Artigo 9.o Fase de preparação

1.   Uma entidade financeira identificada nos termos do artigo 26.o, n.o 8, terceiro parágrafo, do Regulamento (UE) 2022/2554 deve dar início a um TLPT na sequência de uma notificação da autoridade TLPT nesse sentido.

2.   Uma entidade financeira deve, no prazo de três meses a contar da receção da notificação a que se refere o n.o 1, apresentar aos gestores dos testes todas as informações indicadas a seguir relativamente ao lançamento do TLPT:

3.   Se as informações referidas no n.o 2, alíneas a) a e), estiverem completas e garantirem a adequação e a realização efetiva do TLPT, a autoridade TLPT deve validar as informações relativas ao início do TLPT da entidade financeira e notificar a entidade financeira desse facto.

4.   Na sequência da validação das informações relativas ao início do TLPT pela autoridade TLPT, a entidade financeira deve criar uma equipa de controlo para apoiar o chefe da equipa de controlo nas suas seguintes funções:

5.   Se a autoridade TLPT considerar que a composição inicial da equipa de controlo e quaisquer alterações subsequentes da mesma são adequadas para o desempenho das funções referidas no n.o 4, deve validar a equipa de controlo e notificar do facto o chefe da equipa de controlo.

6.   A entidade financeira deve apresentar aos gestores dos testes um documento de especificação do âmbito que contenha todas as informações previstas no anexo II, no prazo de seis meses a contar da receção da notificação da autoridade TLPT a que se refere o n.o 1. O órgão de administração da entidade financeira deve aprovar o documento de especificação do âmbito.

7.   As entidades financeiras devem ter em conta os seguintes critérios para a inclusão de funções críticas ou importantes no âmbito dos TLPT:

8.   A equipa de controlo deve partilhar as informações relativas ao início do TLPT e o documento de especificação do âmbito com os testadores e os prestadores de informações sobre as ameaças, após a sua contratação. A equipa de controlo deve informar os testadores e os prestadores de informações sobre as ameaças acerca do processo de teste que deve ser seguido.

9.   A entidade financeira deve assegurar que a contratação ou afetação de testadores e prestadores de informações sobre as ameaças é concluída antes do início da fase de testes.

10.   Antes do início da fase de testes, a equipa de controlo deve consultar os gestores dos testes sobre a avaliação dos riscos TLPT e sobre as medidas de gestão dos riscos. A equipa de controlo deve rever a avaliação dos riscos ou as medidas de gestão dos riscos se a autoridade TLPT considerar que estas não dão uma resposta adequada aos riscos do TLPT.

11.   A equipa de controlo deve avaliar a conformidade dos prestadores de informações sobre as ameaças e dos testadores que ponderem integrar nos TLPT com os requisitos estabelecidos no artigo 27.o do Regulamento (UE) 2022/2554 e no artigo 7.o, n.o 1, do presente regulamento, e devem documentar o resultado dessa avaliação. A equipa de controlo deve selecionar os prestadores de informações sobre as ameaças em conformidade com essa avaliação e com as suas práticas de gestão de riscos. Antes de contratar os prestadores de informações sobre as ameaças e os testadores externos selecionados, a equipa de controlo deve fornecer aos gestores dos testes provas da conformidade desses prestadores de informações sobre as ameaças e testadores com os requisitos estabelecidos no artigo 27.o do Regulamento (UE) 2022/2554 e no artigo 7.o, n.o 1, do presente regulamento. A equipa de controlo não pode contratar os prestadores de informações sobre as ameaças e os testadores externos selecionados se a autoridade TLPT considerar que os mesmos não cumprem os requisitos estabelecidos no artigo 27.o do Regulamento (UE) 2022/2554, os requisitos estabelecidos no artigo 7.o, n.o 1, do presente regulamento ou os requisitos adicionais decorrentes das legislações nacionais de segurança em conformidade com o direito da União, se a entidade financeira não cumprir o artigo 7.o, n.o 2, primeiro parágrafo, do presente regulamento ou se as circunstâncias referidas no artigo 7.o, n.o 2, segundo parágrafo, do presente regulamento não se verificarem.

12.   Se o documento de especificação do âmbito estiver completo e garantir a realização de um TLPT adequado e eficaz, a autoridade TLPT deve aprovar esse documento e informar do facto o chefe da equipa de controlo.