Artykuł 9 Etap przygotowawczy

1.   Podmiot finansowy określony zgodnie z art. 26 ust. 8 akapit trzeci rozporządzenia (UE) 2022/2554 inicjuje TLPT po otrzymaniu od organu ds. TLPT powiadomienia o konieczności przeprowadzenia TLPT.

2.   W terminie 3 miesięcy od otrzymania powiadomienia, o którym mowa w ust. 1, podmiot finansowy przekazuje kierownikom testów wszystkie następujące informacje związane z inicjacją TLPT:

3.   Jeżeli informacje, o których mowa w ust. 2 lit. a)–e), są kompletne oraz zapewniają odpowiedniość i skuteczność TLPT, organ ds. TLPT zatwierdza przedłożone przez podmiot finansowy informacje związane z inicjacją TLPT i powiadamia o tym podmiot finansowy.

4.   Po zatwierdzeniu przez organ ds. TLPT informacji o inicjacji TLPT podmiot finansowy powołuje zespół typu control team, który wspiera lidera zespołu typu control team w wykonywaniu następujących zadań:

5.   Jeżeli organ ds. TLPT uzna, że początkowy skład zespołu typu control team i wszelkie późniejsze zmiany w tym składzie umożliwiają odpowiednie wykonywanie zadań, o których mowa w ust. 4, organ ds. TLPT zatwierdza zespół typu control team i powiadamia o tym lidera tego zespołu.

6.   W terminie 6 miesięcy od otrzymania powiadomienia od organu ds. TLPT, o którym to powiadomieniu mowa w ust. 1, podmiot finansowy przekazuje kierownikom testów dokument określający zakres zawierający wszystkie informacje wskazane w załączniku II. Organ zarządzający podmiotu finansowego zatwierdza dokument określający zakres.

7.   Podmioty finansowe podejmują decyzję o objęciu zakresem TLPT krytycznych lub istotnych funkcji, biorąc pod uwagę następujące kryteria:

8.   Po zawarciu umowy z testerami i dostawcami analizy zagrożeń zespół typu control team udostępnia im informacje związane z inicjacją TLPT oraz dokument określający zakres. Zespół typu control team informuje testerów i dostawców analizy zagrożeń o procesie testowania, który będzie realizowany.

9.   Podmiot finansowy dopilnowuje, aby pozyskiwanie lub wyznaczanie testerów i dostawców analizy zagrożeń zostało zakończone przed rozpoczęciem etapu testowania.

10.   Przed rozpoczęciem etapu testowania zespół typu control team konsultuje się z kierownikami testów w sprawie oceny ryzyka związanego z TLPT i środków zarządzania ryzykiem. Zespół typu control team dokonuje przeglądu oceny ryzyka lub środków zarządzania ryzykiem, jeżeli organ ds. TLPT jest zdania, że nie uwzględniają one w odpowiedni sposób ryzyka związanego z TLPT.

11.   Zespół typu control team ocenia, czy dostawcy analizy zagrożeń i testerzy, których bierze pod uwagę pod kątem udziału w TLPT, spełniają wymogi określone w art. 27 rozporządzenia (UE) 2022/2554 i art. 7 ust. 1 niniejszego rozporządzenia, oraz dokumentuje wynik tej oceny. Zespół typu control team wybiera dostawców analizy zagrożeń zgodnie z tą oceną i swoimi praktykami zarządzania ryzykiem. Przed zawarciem umowy z wybranymi dostawcami analizy zagrożeń i zewnętrznymi testerami zespół typu control team przedstawia kierownikom testów dowody potwierdzające spełnianie przez tych dostawców analizy zagrożeń i testerów wymogów określonych w art. 27 rozporządzenia (UE) 2022/2554 oraz w art. 7 ust. 1 niniejszego rozporządzenia. Zespół typu control team nie może zawrzeć umowy z wybranymi dostawcami analizy zagrożeń i testerami zewnętrznymi, jeżeli organ ds. TLPT jest zdania, że ci wybrani dostawcy analizy zagrożeń i testerzy zewnętrzni nie spełniają wymogów określonych w art. 27 rozporządzenia (UE) 2022/2554 lub wymogów określonych w art. 7 ust. 1 niniejszego rozporządzenia, lub dodatkowych wymogów wynikających z krajowych przepisów dotyczących bezpieczeństwa zgodnie z prawem Unii, lub jeżeli podmiot finansowy nie spełnia wymogów określonych w art. 7 ust. 2 akapit pierwszy niniejszego rozporządzenia lub jeżeli nie są spełnione warunki, o których mowa w art. 7 ust. 2 akapit drugi niniejszego rozporządzenia.

12.   Jeżeli dokument określający zakres jest kompletny i zapewnia odpowiednie przeprowadzenie skutecznych TLPT, organ ds. TLPT zatwierdza ten dokument i informuje o tym lidera zespołu typu control team.