Artigo 11.o Fase de testes: teste da equipa vermelha

1.   Após a aprovação do relatório de informações sobre as ameaças específicas pela autoridade TLPT, os testadores devem elaborar o plano de testes da equipa vermelha, que deve conter as informações previstas no anexo IV. Os testadores devem utilizar o documento de especificação do âmbito e o relatório de informações sobre as ameaças específicas como base para a elaboração dos cenários de ataque.

2.   Os testadores devem consultar a equipa de controlo, o prestador de informações sobre as ameaças e os gestores dos testes sobre o plano de testes da equipa vermelha, incluindo as disposições em matéria de comunicação, procedimentos e gestão de projetos, a preparação e os casos de utilização para ativação das ajudas e os acordos de comunicação de informações à equipa de controlo e aos gestores dos testes.

3.   Se o plano de testes da equipa vermelha estiver completo e garantir a realização de um TLPT eficaz, a equipa de controlo e a autoridade TLPT devem aprovar o plano de testes da equipa vermelha e o TLPT deve informar do facto o chefe da equipa de controlo.

4.   Após a aprovação do plano de testes da equipa vermelha em conformidade com o n.o 3, os testadores devem realizar o TLPT durante a fase ativa de testes da equipa vermelha.

5.   A duração da fase ativa de testes da equipa vermelha deve ser proporcionada ao âmbito do TLPT e à dimensão, atividade, complexidade e número das entidades financeiras e terceiros prestadores de serviços de TIC ou prestadores de serviços de TIC intragrupo envolvidos no TLPT, devendo, em qualquer caso, ser de pelo menos 12 semanas. Os cenários de ataque podem ser executados sequencialmente ou em simultâneo. A equipa de controlo, o prestador de informações sobre as ameaças, os testadores e os gestores dos testes devem chegar a acordo sobre a conclusão da fase ativa de testes da equipa vermelha.

6.   Sob reserva de assegurar que o plano de testes da equipa vermelha permanece completo e permite a realização de um TLPT eficaz, o chefe da equipa de controlo e os gestores dos testes devem aprovar quaisquer alterações no plano de testes da equipa vermelha subsequentes à sua aprovação, que afetem nomeadamente o calendário, âmbito, os sistemas-alvo ou o desencadeamento dos alertas.

7.   Durante toda a fase ativa de testes da equipa vermelha, os testadores devem informar pelo menos semanalmente a equipa de controlo e os gestores dos testes sobre os progressos realizados no TLPT, e o prestador de informações sobre as ameaças deve permanecer disponível para consulta e informações adicionais quando a equipa de controlo as solicitar.

8.   A equipa de controlo deve fornecer atempadamente as ajudas concebidas com base no plano de testes da equipa vermelha. As ajudas podem ser acrescentadas ou adaptadas mediante aprovação da equipa de controlo e dos gestores dos testes.

9.   Caso as atividades de teste sejam detetadas por qualquer membro do pessoal da entidade financeira ou dos seus terceiros prestadores de serviços de TIC ou prestador de serviços de TIC intragrupo, se for caso disso, a equipa de controlo, em consulta com os testadores e sem prejuízo do disposto no n.o 10, deve propor e apresentar medidas que permitam prosseguir o TLPT, assegurando ao mesmo tempo o seu sigilo, aos gestores dos testes para validação.

10.   Em circunstâncias excecionais que desencadeiem riscos de impacto nos dados, danos nos ativos e perturbações nas funções, serviços ou operações críticos ou importantes da própria entidade financeira, dos seus terceiros prestadores de serviços de TIC ou prestadores de serviços de TIC intragrupo, ou perturbações nas suas contrapartes ou no setor financeiro, o chefe da equipa de controlo pode suspender o TLPT ou, como último recurso, caso a continuação do TLPT não seja de outro modo possível, e sob reserva de validação prévia pela autoridade TLPT, prosseguir o TLPT utilizando um exercício limitado de associação de equipas (equipa roxa). A duração do exercício limitado de associação de equipas (equipa roxa) deve ser contabilizada para efeitos da duração mínima de 12 semanas, referida no n.o 5, para a fase ativa de testes da equipa vermelha.