Artigo 10.o Fase de testes: informações sobre as ameaças

1.   Na sequência da aprovação do documento de especificação do âmbito pela autoridade TLPT, o prestador de informações sobre as ameaças deve analisar informações genéricas e setoriais sobre as ameaças relevantes para a entidade financeira. Caso a autoridade TLPT forneça um cenário de ameaças genérico para o setor financeiro de um Estado-Membro, o prestador de informações sobre as ameaças pode utilizar esse cenário como base de referência para o cenário de ameaças nacional. O prestador de informações sobre as ameaças deve identificar ciberameaças e vulnerabilidades existentes ou potenciais relativas à entidade financeira. Além disso, o prestador de informações sobre as ameaças deve recolher e analisar informações concretas, acionáveis e contextualizadas sobre alvos e ameaças relativamente à entidade financeira, nomeadamente através da consulta da equipa de controlo e dos gestores dos testes.

2.   O prestador de informações sobre as ameaças deve apresentar as ameaças pertinentes e as informações específicas sobre as ameaças e propor os cenários necessários à equipa de controlo, aos testadores e aos gestores dos testes. Os cenários propostos devem diferir no que respeita aos autores de ameaças identificados e às táticas, técnicas e procedimentos associados e devem visar cada função crítica ou importante no âmbito do TLPT.

3.   O chefe da equipa de controlo deve selecionar pelo menos três cenários para realizar o TLPT com base em todos os elementos indicados a seguir:

4.   Dos cenários selecionados, só um pode não ser baseado em ameaças, mas eventualmente numa ameaça prospetiva e potencialmente fictícia com um elevado valor preditivo, antecipatório, oportunista ou prospetivo, tendo em conta a evolução prevista do cenário de ameaças no que respeita à entidade financeira.

No caso dos TLPT agrupados, sem prejuízo dos cenários que visam diretamente as funções críticas ou importantes das entidades financeiras envolvidas nos testes, pelo menos um cenário deve incluir os sistemas, processos e tecnologias de TIC subjacentes relevantes do terceiro prestador de serviços de TIC que apoiam as funções críticas ou importantes das entidades financeiras abrangidas.

Se o teste for um TLPT conjunto que envolva um prestador de serviços de TIC intragrupo, sem prejuízo dos cenários que visem diretamente as funções críticas ou importantes das entidades financeiras envolvidas no teste, pelo menos um cenário deve incluir os sistemas, processos e tecnologias de TIC subjacentes relevantes do prestador de serviços de TIC intragrupo que apoiam as funções críticas ou importantes das entidades financeiras abrangidas.

5.   O prestador de informações sobre as ameaças deve fornecer o relatório de informações sobre as ameaças específicas à equipa de controlo, incluindo os cenários selecionados em conformidade com os n.os 3 e 4. O relatório de informações sobre as ameaças deve conter as informações previstas no anexo III.

6.   A equipa de controlo deve apresentar o relatório de informações sobre as ameaças específicas ao gestor do teste para aprovação. Se o relatório de informações sobre as ameaças específicas estiver completo e garantir a realização de um TLPT eficaz, a autoridade TLPT deve aprovar o relatório de informações sobre as ameaças específicas e informar do facto o chefe da equipa de controlo.