REGULAMENTO DELEGADO (UE) 2025/1190 DA COMISSÃO de 13 de fevereiro de 2025 que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita às normas técnicas de regulamentação que especificam os critérios utilizados para identificar as entidades financeiras obrigadas a realizar testes de penetração baseados em ameaças, os requisitos e normas que regem a utilização de testadores internos, os requisitos relativos ao âmbito, metodologia e abordagem para cada uma das fases de realização dos testes, os resultados, as fases de conclusão e de correção e o tipo de cooperação em matéria de supervisão e outra cooperação relevante e necessária para a realização dos TLPT e para facilitar o reconhecimento mútuo (Texto relevante para efeitos do EEE)

(1)

O presente regulamento foi elaborado em conformidade com o quadro TIBER-EU e reflete a metodologia, o processo e a estrutura dos testes de penetração baseados em ameaças (TLPT), tal como descrito no TIBER-EU. As entidades financeiras sujeitas aos TLPT podem referenciar ou aplicar o quadro TIBER-EU, ou uma das respetivas aplicações nacionais, na medida em que esse quadro ou essas aplicações sejam coerentes com os requisitos estabelecidos nos artigos 26.o e 27.o do Regulamento (UE) 2022/2554 e no presente regulamento. A designação de uma única autoridade pública do setor financeiro responsável pelas questões relacionadas com os TLPT a nível nacional, em conformidade com o artigo 26.o, n.o 9, do Regulamento (UE) 2022/2554, não deverá prejudicar a competência das autoridades competentes confiada a nível da União para a supervisão de determinadas entidades financeiras nos termos do artigo 46.o desse regulamento, como por exemplo o Banco Central Europeu, para as instituições de crédito significativas, que devem ser consideradas competentes para as questões relacionadas com os TLPT. Se apenas algumas das funções relacionadas com os TLPT forem delegadas noutra autoridade nacional do setor financeiro nos termos do artigo 26.o, n.o 10, do Regulamento (UE) 2022/2554, a autoridade competente da entidade financeira a que se refere o artigo 46.o desse regulamento deve continuar a ser a autoridade responsável pelas funções relacionadas com os TLPT que não tenham sido delegadas.

(2)

Tendo em conta a complexidade dos TLPT e os riscos que lhes estão associados, a sua utilização deve ser limitada às entidades financeiras para as quais se justifica. Por conseguinte, as autoridades responsáveis pelas questões relativas aos TLPT (autoridades TLPT, quer a nível da União quer a nível nacional) devem excluir do âmbito dos TLPT as entidades financeiras que operam em subsetores com serviços financeiros fundamentais para os quais não se justifica a sua realização. Tal significa que as instituições de crédito, as instituições de pagamento e de moeda eletrónica, as centrais de valores mobiliários, as contrapartes centrais, as plataformas de negociação e as empresas de seguros e de resseguros, mesmo que cumpram os critérios quantitativos, podem ser dispensadas do requisito de realização de TLPT à luz de uma avaliação global do seu perfil de risco e da sua maturidade no domínio das TIC, do impacto no setor financeiro e de preocupações conexas em matéria de estabilidade financeira.

(3)

As autoridades TLPT devem avaliar, à luz de uma apreciação global do perfil de risco e da maturidade no domínio das TIC, do impacto no setor financeiro, bem como de preocupações conexas em matéria de estabilidade financeira, se qualquer outro tipo de entidade financeira que não as instituições de crédito, instituições de pagamento, instituições de moeda eletrónica, contrapartes centrais, centrais de valores mobiliários, plataformas de negociação e empresas de seguros e de resseguros deve ser sujeito à realização de TLPT. A avaliação para determinar se essas entidades financeiras cumprem os referidos critérios qualitativos deve ter como objetivo identificar as entidades financeiras para as quais é adequado realizar os TLPT, utilizando indicadores intersetoriais e objetivos. Ao mesmo tempo, a avaliação para determinar se uma entidade financeira cumpre esses critérios qualitativos deve limitar as entidades sujeitas aos TLPT àquelas para as quais os testes se justificam. A questão de saber se uma entidade financeira cumpre esses critérios qualitativos deve também ser avaliada à luz do desenvolvimento de novos mercados e da importância crescente dos novos intervenientes no mercado para o setor financeiro no futuro, incluindo os prestadores de serviços de criptoativos autorizados em conformidade com o artigo 59.o do Regulamento (UE) 2023/1114 do Parlamento Europeu e do Conselho (2).

(4)

As entidades financeiras podem ter um mesmo prestador de serviços de TIC intragrupo ou pertencer a um mesmo grupo e utilizar sistemas de TIC partilhados. Nesse caso, é importante que as autoridades TLPT tenham em conta a estrutura e o caráter sistémico ou a importância dessa entidade financeira para o setor financeiro a nível nacional ou da União quando avaliam se deve ser sujeita aos TLPT e se esses TLPT devem ser realizados a nível da entidade ou a nível do grupo (através de um TLPT conjunto).

(5)

Para refletir o quadro TIBER-EU, é necessário que a metodologia dos testes preveja o envolvimento dos principais participantes indicados a seguir: a entidade financeira, com uma equipa de controlo (que reflete a «equipa de controlo» do quadro TIBER-EU) e uma equipa azul (que reflete a «equipa azul» do quadro TIBER-EU), e a autoridade TLPT, sob a forma de uma equipa cibernética TLPT (que reflete as «equipas cibernéticas TIBER» do quadro TIBER-EU), um prestador de informações sobre as ameaças e testadores (testadores esses que refletem o «prestador da equipa vermelha» do quadro TIBER-EU).

(6)

A fim de assegurar que os TLPT beneficiam da experiência desenvolvida no âmbito da aplicação do TIBER-EU e de reduzir os riscos associados à realização dos TLPT, importa garantir que as responsabilidades das equipas cibernéticas TLPT que serão criadas a nível das autoridades TLPT correspondem tão estreitamente quanto possível às das equipas cibernéticas do quadro TIBER-EU. Por conseguinte, as equipas cibernéticas dos TLPT devem ter gestores dos testes responsáveis pela supervisão dos TLPT individuais e pelo planeamento e coordenação dos testes individuais. As equipas cibernéticas dos TLPT devem servir de ponto de contacto único para a comunicação relacionada com os testes às partes interessadas internas e externas, para a recolha e o tratamento das observações e ensinamentos retirados dos testes realizados anteriormente e para o apoio às entidades financeiras submetidas aos testes TLPT.

(7)

A fim de refletir a metodologia do quadro TIBER-EU, os gestores dos testes devem dispor das competências e capacidades necessárias para prestar aconselhamento e contestar as propostas dos testadores. A experiência no âmbito do quadro TIBER-EU demonstrou que é útil dispor de uma equipa de pelo menos dois gestores dos testes para cada teste. A fim de refletir que os TLPT são utilizados para incentivar a experiência de aprendizagem, as autoridades TLPT, a menos que tenham problemas de recursos ou de conhecimentos especializados, são fortemente incentivadas a ter em conta que, no decurso de um TLPT, os gestores dos testes não devem exercer atividades de supervisão referentes à mesma entidade financeira sujeita a um TLPT, de modo a salvaguardar a confidencialidade dos testes.

(8)

Por razões de coerência com o quadro TIBER-EU, é importante que a autoridade TLPT acompanhe de perto todas as fases dos testes. Tendo em conta a natureza dos testes e os riscos que lhes estão associados, é fundamental que a autoridade TLPT esteja envolvida em cada fase específica dos testes. A autoridade TLPT deve, em particular, ser consultada e validar as avaliações ou decisões das entidades financeiras que possam, por um lado, influenciar a eficácia do teste e, por outro, ter impacto nos riscos associados ao teste. As etapas fundamentais em que é necessária uma participação específica da autoridade TLPT incluem a validação de determinados documentos fundamentais dos testes, bem como a seleção dos prestadores de informações sobre as ameaças e testadores e das medidas de gestão dos riscos. A participação das autoridades TLPT, especialmente nas validações, não deve resultar num encargo excessivo para essas autoridades, devendo por conseguinte limitar-se à documentação e às decisões que afetam diretamente a realização dos TLPT. Através da participação ativa em cada fase dos testes, as autoridades TLPT podem avaliar eficazmente a conformidade das entidades financeiras com os requisitos pertinentes, o que deverá permitir a emissão, por parte dessas autoridades, dos comprovativos referidos no artigo 26.o, n.o 7, do Regulamento (UE) 2022/2554.

(9)

O sigilo dos TLPT é da maior importância para garantir que as condições dos testes sejam realistas. Por esse motivo, os testes devem ser secretos e devem ser tomadas precauções para manter a confidencialidade dos TLPT, incluindo a escolha dos nomes de código que devem ser criados para impedir a identificação dos TLPT por terceiros. Se os membros do pessoal responsáveis pela segurança da equipa financeira tiverem conhecimento de um TLPT planeado ou em curso, é provável que estejam mais atentos e alerta do que em condições normais de trabalho, o que alterará o resultado dos testes. Por conseguinte, os membros do pessoal da entidade financeira que não fazem parte da equipa de controlo só devem ser informados de quaisquer TLPT planeados ou em curso se existirem motivos convincentes para o fazer e mediante o acordo prévio dos gestores dos testes, nomeadamente para garantir o sigilo do teste caso um membro da equipa azul tenha detetado as atividades de teste.

(10)

Tal como demonstrado pela experiência adquirida no quadro do TIBER-EU no que respeita à «equipa de controlo», a seleção de um chefe de equipa adequado para a equipa de controlo é indispensável para a realização segura dos TLPT. O chefe da equipa de controlo deve possuir a autoridade necessária no seio da entidade financeira para orientar todos os aspetos dos testes, sem comprometer a sua confidencialidade. Pela mesma razão, os membros da equipa de controlo devem ter um conhecimento profundo da entidade financeira, das funções profissionais e posicionamento estratégico do chefe da equipa de controlo, possuir a antiguidade exigida e ter acesso ao conselho de administração. Para reduzir o risco de comprometer os TLPT, a equipa de controlo deve ser o mais pequena possível.

(11)

Existem elementos de risco inerentes aos TLPT, uma vez que as funções críticas são testadas num ambiente de produção «ao vivo», o que pode causar incidentes de negação de serviço, falhas inesperadas do sistema, danos em sistemas críticos de produção «ao vivo» ou a perda, alteração ou divulgação de dados. Esses riscos sublinham a necessidade de medidas de gestão dos riscos sólidas. A fim de assegurar que os TLPT são realizados de forma controlada durante todo o período de testes, é muito importante que as entidades financeiras estejam sempre cientes dos riscos específicos que surgem num TLPT e que esses riscos sejam atenuados. A este respeito, sem prejuízo dos processos internos da entidade financeira e das responsabilidades e delegações já atribuídas ao chefe da equipa de controlo, pode ser adequado fornecer informações sobre as medidas de gestão dos riscos dos TLPT ou, em casos específicos, assegurar a aprovação dessas medidas de gestão de riscos pelo próprio órgão de administração da entidade financeira. Para poderem prestar serviços profissionais eficazes e mais qualificados e reduzir esses riscos, é também essencial que os testadores e os prestadores de informações sobre as ameaças (em conjunto, os prestadores TLPT) possuam o mais elevado nível de competências, conhecimentos especializados e experiência adequada em matéria de informações sobre as ameaças e os TLPT no setor dos serviços financeiros.

(12)

Os testes de penetração convencionais proporcionam uma avaliação pormenorizada e útil das vulnerabilidades técnicas e de configuração, frequentemente de um único sistema ou ambiente de forma isolada, mas, ao contrário dos testes da equipa vermelha com base em informações, não avaliam o cenário completo de um ataque direcionado contra a entidade no seu conjunto, incluindo todos os seus funcionários, processos e tecnologias. Durante o processo de seleção dos prestadores TLPT, as entidades financeiras devem, assim, assegurar que esses prestadores possuem as competências necessárias para realizar testes da equipa vermelha com base em informações, e não apenas testes de penetração. Por conseguinte, é necessário estabelecer critérios abrangentes para os testadores, tanto internos como externos, e para os prestadores de informações sobre as ameaças, que são sempre externos. Se os prestadores TLPT pertencerem à mesma empresa, o pessoal afetado a um TLPT deve ser adequadamente separado.

(13)

Pode haver circunstâncias excecionais em que as entidades financeiras não possam contratar prestadores TLPT que cumpram os critérios abrangentes. Assim, as entidades financeiras, após comprovarem a indisponibilidade desses prestadores de informações sobre as ameaças, deverão ser autorizadas a contratar pessoas que não preencham todos os critérios abrangentes, desde que atenuem adequadamente quaisquer riscos adicionais daí resultantes e que a autoridade TLPT avalie todos esses critérios.

(14)

Sempre que várias entidades financeiras e várias autoridades TLPT estejam envolvidas num TLPT, há que especificar as funções de todas as partes no processo do TLPT por forma a garantir que seja o mais eficiente e seguro possível. Para efeitos dos testes agrupados, são necessários requisitos específicos para especificar o papel da entidade financeira designada, nomeadamente o facto de que será responsável por fornecer toda a documentação necessária à autoridade TLPT principal e pelo acompanhamento do processo do teste. A entidade financeira designada deverá também ser responsável pelos aspetos comuns da avaliação da gestão dos riscos. Não obstante o papel da entidade financeira designada, as obrigações de cada entidade financeira participante no processo de TLPT agrupado não devem ser afetadas durante a realização desse teste. Aplica-se o mesmo princípio aos TLPT conjuntos.

(15)

Tal como demonstrado pela experiência adquirida com a aplicação do quadro TIBER-EU, a realização de reuniões presenciais ou virtuais que incluam todas as partes interessadas (entidades financeiras, autoridades, testadores e prestadores de informações sobre as ameaças) é a forma mais eficiente de assegurar a realização adequada dos testes. Por conseguinte, devem ser realizadas reuniões presenciais e virtuais em várias fases do processo, em especial durante a fase de preparação do lançamento do TLPT, para delimitar o seu âmbito, durante a fase de testes, para finalizar o relatório de informações sobre as ameaças e o plano de testes da equipa vermelha e para as atualizações semanais, bem como durante a fase de conclusão, para reproduzir as ações dos testadores e da equipa azul, para proceder à associação de equipas (equipa roxa) e para trocar observações sobre o TLPT.

(16)

A fim de assegurar o bom desempenho dos TLPT, a autoridade TLPT deve apresentar claramente à entidade financeira as suas expectativas em relação aos testes. A este respeito, os gestores dos testes devem assegurar o estabelecimento de um fluxo adequado de informações com a equipa de controlo na entidade financeira e com os prestadores TLPT.

(17)

A entidade financeira deve selecionar as funções críticas ou importantes que serão abrangidas pelos TLPT. Ao selecionar essas funções, a entidade financeira deve basear-se em vários critérios relacionados com a importância de cada função para a própria entidade financeira e para o setor financeiro, a nível da União e a nível nacional, não só em termos económicos como também tendo em conta a natureza simbólica ou política da função. A fim de facilitar uma transição harmoniosa para a fase de recolha de informações sobre as ameaças, a equipa de controlo deve fornecer aos testadores e ao prestador de informações sobre as ameaças que não estejam envolvidos no processo de delimitação do âmbito informações pormenorizadas sobre a delimitação acordada.

(18)

A fim de fornecer aos testadores as informações necessárias para simular um ataque realista aos sistemas «ao vivo» da entidade financeira subjacentes às suas funções críticas ou importantes, o prestador de informações sobre as ameaças deve recolher informações que abranjam pelo menos dois domínios de interesse fundamentais: os alvos, identificando potenciais superfícies de ataque em toda a entidade financeira, e as ameaças, identificando os autores relevantes e os cenários prováveis de ameaça. A fim de assegurar que o prestador de informações sobre as ameaças tem em conta as ameaças relevantes para a entidade financeira, os testadores, a equipa de controlo e os gestores dos testes devem apresentar as suas observações sobre o projeto de relatório de informações sobre as ameaças. O prestador de informações sobre as ameaças pode utilizar, se estiver disponível, um cenário de ameaças genérico fornecido pela autoridade TLPT para o setor financeiro de um Estado-Membro como referência para o cenário de ameaças nacional. Com base na aplicação do quadro TIBER-EU, o processo de recolha de informações sobre as ameaças dura normalmente cerca de quatro semanas.

(19)

Para que os testadores possam conhecer e rever mais aprofundadamente o documento de especificação do âmbito e o relatório de informações específicas sobre as ameaças para finalizarem o plano de testes da equipa vermelha, é essencial que, antes da fase de testes da equipa vermelha do TLPT, os testadores recebam do prestador de informações explicações pormenorizadas quanto ao relatório de informações específicas sobre as ameaças e uma análise dos possíveis cenários de ameaça.

(20)

A fim de permitir que os testadores realizem testes realistas e abrangentes, em que todas as fases de ataque são executadas e os alertas são desencadeados, deve ser atribuído tempo suficiente à fase ativa dos testes da equipa vermelha. Com base na experiência adquirida com o quadro TIBER-EU, o tempo atribuído deve ser de pelo menos 12 semanas e deve ser determinado tendo em conta o número de partes envolvidas, o âmbito dos TLPT, os recursos da entidade ou entidades financeiras envolvidas, quaisquer requisitos externos e a disponibilidade das informações de apoio fornecidas pela entidade financeira.

(21)

Durante a fase ativa dos testes da equipa vermelha, os testadores devem utilizar uma série de táticas, técnicas e procedimentos (TTP) para testar adequadamente os sistemas de produção «ao vivo» da entidade financeira. Os TTP devem conter, consoante o caso, o reconhecimento (ou seja, a recolha do maior número possível de informações sobre um alvo), a instrumentalização (ou seja, a análise das informações sobre as infraestruturas, as instalações e os trabalhadores e a preparação das operações especificamente destinadas ao alvo visado), a execução (ou seja, o lançamento ativo da operação completa sobre o alvo), a exploração (ou seja, as situações em que o objetivo dos testadores é comprometer os servidores e as redes da entidade financeira e explorar o seu pessoal através da engenharia social), o controlo e movimento (ou seja, tentativas de passar dos sistemas comprometidos para outros mais vulneráveis ou de elevado valor) e as ações relativas ao alvo (ou seja, obter maior acesso aos sistemas comprometidos e acesso às informações e dados acordados anteriormente no âmbito do plano de testes da equipa vermelha).

(22)

Ao realizarem um TLPT, os testadores devem atuar tendo em conta o tempo disponível para realizar o ataque, os recursos utilizados e os limites éticos e jurídicos. Caso os testadores não consigam avançar para a próxima fase programada do ataque, a equipa de controlo deverá prestar assistência ocasional, mediante acordo da autoridade TLPT, sob a forma de «ajudas». As ajudas podem, de um modo geral, ser categorizadas em informações e ajudas ao acesso e podem consistir na disponibilização de acesso a sistemas de TIC ou redes internas para que o teste possa prosseguir e centrar-se nas etapas de ataque seguintes.

(23)

Durante a fase ativa dos testes da equipa vermelha, se tal for necessário para permitir a continuação do TLPT como último recurso, em circunstâncias excecionais e uma vez esgotadas todas as opções alternativas, deve ser utilizada uma atividade de teste colaborativa que envolva tanto os testadores como a equipa azul. No contexto deste exercício limitado de associação de equipas (equipa roxa), podem ser utilizados os seguintes métodos: «captura e libertação», em que os testadores tentam dar seguimento aos cenários, são detetados e, em seguida, retomam o teste, «jogos de guerra», que permite cenários mais complexos para testar a tomada de decisões estratégicas, ou «prova de conceito colaborativa», que permite que os testadores e os membros da equipa azul validem conjuntamente medidas, ferramentas ou técnicas de segurança específicas num ambiente controlado e cooperativo.

(24)

Os TLPT devem ser utilizados como experiência de aprendizagem para reforçar a resiliência operacional digital das entidades financeiras. A este respeito, a equipa azul e os testadores devem reproduzir o ataque e rever as medidas tomadas para retirar ilações dos testes em colaboração com os testadores. Para o efeito, e a fim de permitir uma preparação adequada, os relatórios de testes da equipa vermelha e da equipa azul devem ser disponibilizados a todas as partes envolvidas nas atividades de reprodução dos ataques, antes da realização de quaisquer dessas atividades. Além disso, na fase de conclusão, deve ser realizado um exercício de associação de equipas (equipa roxa) para maximizar a experiência de aprendizagem. Os métodos que podem ser utilizados para a associação de equipas (equipa roxa) na fase de conclusão devem incluir a discussão de cenários de ataque alternativos, a exploração dos sistemas «ao vivo» dos cenários alternativos ou a reexploração de cenários planeados em sistemas «ao vivo» que os testadores não tenham podido concluir ou executar durante a fase de testes.

(25)

A fim de facilitar ainda mais a experiência de aprendizagem de todas as partes envolvidas nos TLPT, em prol de testes futuros, e reforçar a resiliência operacional digital das entidades financeiras, as partes em causa devem trocar observações sobre o processo global e, em especial, identificar quais as atividades que decorreram de forma positiva ou poderiam ter sido melhoradas e que aspetos do processo TLPT funcionaram bem ou poderiam ser melhorados.

(26)

As autoridades competentes referidas no artigo 46.o do Regulamento (UE) 2022/2554 e as autoridades TLPT, caso sejam diferentes, devem cooperar para incorporar testes avançados através dos TLPT nos processos de supervisão existentes. A este respeito, e a fim de partilhar a correta compreensão das conclusões dos TLPT e da forma como devem ser interpretadas, é conveniente que, em especial no que respeita ao relatório de síntese dos testes e aos planos corretivos, seja estabelecida uma estreita cooperação entre os gestores dos testes que participaram nos TLPT e os supervisores responsáveis.

(27)

Nos termos do artigo 26.o, n.o 8, primeiro parágrafo, do Regulamento (UE) 2022/2554, as entidades financeiras devem contratar testadores externos de três em três testes. Sempre que as entidades financeiras incluam testadores internos e externos na equipa, deve considerar-se, para efeitos do referido artigo, que um TLPT é realizado com testadores internos.

(28)

O presente regulamento tem por base os projetos de normas técnicas de regulamentação apresentados à Comissão pela Autoridade Bancária Europeia, pela Autoridade Europeia dos Seguros e Pensões Complementares de Reforma e pela Autoridade Europeia dos Valores Mobiliários e dos Mercados (Autoridades Europeias de Supervisão), em concertação com o Banco Central Europeu.

(29)

As Autoridades Europeias de Supervisão realizaram consultas públicas abertas sobre os projetos de normas técnicas de regulamentação que estão na base do presente regulamento, analisaram os potenciais custos e benefícios associados e solicitaram o parecer do Grupo das Partes Interessadas do Setor Bancário criado em conformidade com o artigo 37.o do Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho (3), do Grupo de Interessados do Setor dos Seguros e Resseguros e do Grupo de Interessados do Setor das Pensões Complementares de Reforma criados em conformidade com o artigo 37.o do Regulamento (UE) n.o 1094/2010 do Parlamento Europeu e do Conselho (4), e do Grupo de Interessados do Setor dos Valores Mobiliários e dos Mercados criado em conformidade com o artigo 37.o do Regulamento (UE) n.o 1095/2010 do Parlamento Europeu e do Conselho (5).

(30)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (6) e emitiu parecer em 20 de agosto de 2024,