ДЕЛЕГИРАН РЕГЛАМЕНТ (ЕС) 2025/1190 НА КОМИСИЯТА от 13 февруари 2025 година за допълнение на Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета по отношение на регулаторните технически стандарти за уточняване на критериите, използвани за определяне на финансовите субекти, от които се изисква да извършват тестване за проникване, изискванията и стандартите, уреждащи използването на вътрешни лица, провеждащи тестове, изискванията във връзка с обхвата, тестовата методика и подхода за всеки етап от тестването, резултатите, приключването на процеса и корективните мерки, както и вида на сътрудничеството за надзорни и други цели, необходимо с оглед на изпълнението на тестването за проникване и улесняването на взаимното признаване на тестването (текст от значение за ЕИП)

(1)

Проектът на настоящия регламент е разработен съгласно рамката TIBER-EU и отразява методиката, процеса и структурата на тестването за проникване, както са описани в TIBER-EU. Финансовите субекти, подлежащи на тестване за проникване, може да се позовават на рамката TIBER-EU и да прилагат тази рамка или начина, по който е приложена на национално равнище в дадена държава членка, доколкото рамката или националното ѝ прилагане са в съответствие с изискванията, посочени в членове 26 и 27 от Регламент (ЕС) 2022/2554 и в настоящия регламент. Определянето на единен публичен орган във финансовия сектор, който да отговаря за свързаните с тестването за проникване въпроси на национално равнище, в съответствие с член 26, параграф 9 от Регламент (ЕС) 2022/2554 не следва да засяга компетентността на компетентните органи, на които е възложен надзорът на равнището на Съюза върху определени финансови субекти в съответствие с член 46 от посочения регламент, като например Европейската централна банка за кредитните институции, класифицирани като значими, които следва да се считат за компетентни по свързаните с тестването за проникване въпроси. Когато само някои от задачите, свързани с тестването за проникване, са делегирани на друг национален орган във финансовия сектор съгласно член 26, параграф 10 от Регламент (ЕС) 2022/2554, компетентният орган на финансовия субект, посочен в член 46 от същия регламент, следва да продължи да бъде органът, отговарящ за задачите, свързани с тестване за проникване, които не са били делегирани.

(2)

Като се има предвид сложността на тестването за проникване и свързаните с него рискове, използването му следва да бъде ограничено до онези финансови субекти, за които това е оправдано. Следователно органите, отговарящи за въпросите, свързани с тестването за проникване (органи в областта на тестването за проникване на равнището на Съюза или на национално равнище), следва да изключат от обхвата на тестването за проникване онези финансови субекти, които извършват дейност в основните подсектори на финансовите услуги, за които тестване за проникване не е оправдано. Това означава, че кредитните институции, платежните институции, институциите за електронни пари, централните депозитари, централните контрагенти, местата за търговия, застрахователните и презастрахователните предприятия, въпреки че отговарят на количествените критерии, могат да бъдат освободени от изискването за тестване за проникване с оглед на цялостната оценка на техния рисков профил в областта на ИКТ, степента на развитост на техните ИКТ, въздействието върху финансовия сектор и свързаните с това опасения за финансовата стабилност.

(3)

В светлината на цялостната оценка на рисковия профил в областта на ИКТ, степента на развитост на ИКТ, на въздействието върху финансовия сектор и на свързаните с това опасения за финансовата стабилност органите в областта на тестването за проникване следва да преценят дали всеки вид финансов субект, различен от кредитни институции, платежни институции, институции за електронни пари, централни контрагенти, централни депозитари на ценни книжа, места за търговия, застрахователни и презастрахователни предприятия, следва да подлежи на тестване за проникване. Оценката на това дали тези финансови субекти отговарят на тези качествени критерии следва да има за цел да идентифицира финансовите субекти, за които е целесъобразно да се прилага тестване за проникване, като се използват междусекторни и обективни показатели. В същото време оценката на това дали финансовият субект отговаря на тези качествени критерии следва да ограничи субектите, подлежащи на тестване за проникване, до онези, за които тестването е оправдано. Дали даден финансов субект отговаря на тези качествени критерии следва да се оценява и с оглед на развитието на новите пазари и на нарастващото значение на новите участници на пазара за финансовия сектор в бъдеще, включително доставчиците на услуги за криптоактиви, получили разрешение в съответствие с член 59 от Регламент (ЕС) 2023/1114 на Европейския парламент и на Съвета (2).

(4)

Финансовите субекти могат да имат един и същ вътрешногрупов доставчик на услуги в областта на ИКТ или да принадлежат към една и съща група и да използват общи системи на ИКТ. В този случай е важно органите в областта на тестването за проникване да вземат предвид структурата и системния характер на този финансов субект или значението му за финансовия сектор на национално равнище или на равнището на Съюза при оценката на това дали даден финансов субект следва да подлежи на тестване за проникване и дали тестването за проникване следва да се проведе на равнище субект или на равнище група (чрез съвместно тестване за проникване).

(5)

За да се отрази рамката TIBER-EU, е необходимо методиката за тестване да предвижда включване на следните основни участници: финансовия субект, разполагащ с контролен екип (огледален на „контролния екип“ съгласно TIBER-EU) и син екип (огледален на „синия екип“ съгласно TIBER-EU), и органа в областта на тестването за проникване под формата на киберекип за тестване за проникване (КТП) (огледален на екипите „TIBER Cyber Team“ съгласно TIBER-EU), доставчик на разузнавателни сведения за заплахи, както и лица, провеждащи тестове (като лицата, провеждащи тестове, са огледални на „доставчика на червен екип“ (red-team provider) съгласно TIBER-EU).

(6)

За да се гарантира, че при тестването за проникване ще се използва опитът, натрупан в хода на изпълнението на TIBER-EU, и за да се намалят рисковете, свързани с извършването на тестване за проникване, следва да се гарантира, че отговорностите на киберекипите за тестване за проникване, които ще бъдат създадени на равнището на органите в областта на тестването за проникване, съвпадат във възможно най-голяма степен с тези на киберекипите съгласно TIBER-EU. Следователно киберекипите за тестване за проникване следва да имат управляващи тестването лица, които да отговарят за надзора на индивидуалното тестване за проникване и за планирането и координирането на индивидуалните тестове. Киберекипите за тестване за проникване следва да служат като единно звено за контакт за свързана с тестовете комуникация с вътрешните и външните заинтересовани страни, за събиране и обработване на обратна информация и извлечени поуки от предишни тестове и за подкрепа на финансовите субекти, които са подложени на тестване за проникване.

(7)

За да отразяват методиката на рамката TIBER-EU, лицата, управляващи тестването, следва да притежават необходимите умения и способности да дават съвети и да подлагат на изпитание предложенията на лицата, провеждащи тестове. Опитът във връзка с рамката TIBER-EU доказа, че е полезно всеки тест да бъде възложен на екип от поне две лица, управляващи тестването. За да се отрази фактът, че тестването за проникване се използва за насърчаване на обучителния аспект, и за да се запази поверителността на тестовете, органите в областта на тестването за проникване енергично се насърчават — освен ако нямат затруднения, касаещи ресурсите или експертните знания — да обмислят възможността през периода на тестването за проникване лицата, управляващи тестването, да не извършват надзорни дейности по отношение на същия финансов субект, който е подложен на тестване за проникване.

(8)

За да се постигне съгласуваност с рамката TIBER-EU, е важно органът в областта на тестването за проникване да следи отблизо тестването през всеки един от етапите му. Като се имат предвид естеството на тестването и свързаните с него рискове, от основно значение е органът в областта на тестването за проникване да участва във всеки конкретен етап от тестването. По-специално следва да се направи консултация с органа в областта на тестването за проникване и той следва да утвърди онези оценки или решения на финансовите субекти, които може, от една страна, да повлияят на ефективността на теста и, от друга страна, да окажат въздействие върху рисковете, свързани с теста. Основните етапи, в които е необходимо специфично участие на органа в областта на тестването за проникване, включват утвърждаването на някои основни документи във връзка с тестването, както и избора на доставчици на разузнавателни сведения за заплахи и на лица, провеждащи тестове, и мерките за управление на риска. Участието на органите в областта на тестването за проникване, и по-специално при утвърждаването, не следва да води до прекомерна тежест за тези органи и съответно следва да бъде ограничено до онези документи и решения, които пряко засягат провеждането на тестване за проникване. Чрез активното си участие във всеки етап от тестването органите в областта на тестването за проникване могат ефективно да оценят съответствието на финансовите субекти с действащите изисквания, което следва да позволи на тези органи да издават удостоверения в изпълнение на член 26, параграф 7 от Регламент (ЕС) 2022/2554.

(9)

Тайният характер на тестването за проникване е от изключителна важност, за да се гарантира, че условията на тестовете са реалистични. Поради тази причина тестването следва да се провежда скрито и да се вземат предпазни мерки за запазване на поверителността на тестването за проникване, включително избора на кодови имена, които следва да са съставени така, че да предотвратят откриването на тестването за проникване от трети страни. Ако членовете на персонала, отговарящи за сигурността на финансовия екип, знаят за планирано или провеждащо се тестване за проникване, вероятно ще бъдат по-наблюдателни и бдителни, отколкото при обичайни работни условия, което ще доведе до промяна на резултата от тестването. Поради това членовете на персонала на финансовия субект извън контролния екип следва да бъдат информирани за всяко планирано или провеждано тестване за проникване само при наличието на състоятелни причини и при предварително съгласие на лицата, управляващи тестването, наред с другото, за да се гарантира тайната на теста, в случай че член на синия екип е открил тестването.

(10)

Както се вижда от опита, натрупан във връзка с рамката TIBER-EU по отношение на „контролния екип“, изборът на подходящ ръководител на контролния екип е изключително важен за безопасното провеждане на тестването за проникване. Ръководителят на контролния екип следва да има необходимите правомощия в рамките на финансовия субект, за да ръководи всички аспекти на тестването, без да застрашава неговия поверителен характер. По същата причина членовете на контролния екип следва да познават задълбочено финансовия субект, ролята на длъжността ръководител на контролния екип и стратегическото му позициониране, да имат необходимия стаж и да имат достъп до управителния съвет. За да се намали рискът от застрашаване на сигурността на тестването за проникване, контролният екип следва да бъде възможно най-малък.

(11)

При тестването за проникване са налице присъщи елементи на рискове, тъй като критичните функции се тестват в реално време в продукционна среда, като е възможно да бъдат предизвикани инциденти от типа „отказ на услуги“, неочаквани сривове на системата, повреди на критични системи в реално време в продукционна среда или загуба, промяна или разкриване на данни. Тези рискове подчертават необходимостта от надеждни мерки за управление на риска. За да се гарантира, че тестването за проникване се провежда по контролиран начин през цялото време на провеждане на тестовете, е много важно финансовите субекти във всеки един момент да са наясно с конкретните рискове, които възникват при тестването за проникване, и тези рискове да бъдат ограничени. Във връзка с това, без да се засягат вътрешните процеси на финансовия субект и отговорността и делегирането на правомощия, които вече са предоставени на ръководителя на контролния екип, може да е подходящо да се предостави информация за мерките за управление на риска, свързан с тестването за проникване, или, в конкретни случаи, одобряването на тези мерки за управление на риска от самия ръководен орган на финансовия субект. За да могат да се предоставят ефективни и най-квалифицирани професионални услуги и да се намалят тези рискове, от съществено значение е също така лицата, провеждащи тестове, и доставчиците на разузнавателни сведения за заплахи (заедно наричани доставчици на услуги в областта на тестването за проникване) да притежават умения, експертни познания и подходящ опит на най-високо равнище в областта на разузнавателните сведения за заплахи и тестването за проникване в сектора на финансовите услуги.

(12)

Чрез конвенционалните тестове за проникване се предоставя подробна и полезна оценка на техническите уязвими места и уязвимите места в конфигурацията, често на една-единствена система или среда в изолация, но за разлика от опиращия се на разузнавателни сведения тест чрез червен екип, те не позволяват да се оцени пълният сценарий на целенасочена атака срещу даден субект в неговата цялост, включително пълния обхват на свързаните с него лица, процеси и технологии. Ето защо по време на процеса на подбор на доставчици на услуги в областта на тестването за проникване финансовите субекти следва да се уверят, че тези доставчици притежават необходимите умения за извършване на опиращи се на разузнавателни сведения тестове чрез червен екип, а не само на тестове за проникване. Ето защо е необходимо да се определят изчерпателни критерии за лицата, провеждащи тестове — както вътрешни, така и външни лица, и за доставчиците на разузнавателни сведения за заплахи, които винаги са външни лица. Когато доставчиците на услуги в областта на тестването за проникване принадлежат към същото дружество, персоналът, на който е възложено дадено тестване за проникване, следва да бъде отделен по подходящ начин.

(13)

Възможно е да има извънредни обстоятелства, при които финансовите субекти да не са в състояние да сключат договори с доставчици на услуги в областта на тестването за проникване, които отговарят на изчерпателните критерии. Поради това на финансовите субекти следва да бъде разрешено да ангажират лица, които не отговарят на всички изчерпателни критерии, след като докажат, че не разполагат с такива доставчици на разузнавателни сведения за заплахи, при условие че надлежно ограничат произтичащите от това допълнителни рискове и че органът в областта на тестването за проникване оцени всички тези критерии.

(14)

Когато в тестването за проникване участват няколко финансови субекта и няколко органа в областта на тестването за проникване, ролите на всички страни в процеса на тестването за проникване следва да бъдат уточнени, за да се проведе най-ефективният и безопасен тест. За целите на съвкупното тестване са необходими специфични изисквания за уточняване на ролята на определения финансов субект, а именно, че той следва да отговаря за предоставянето на водещия орган в областта на тестването за проникване на цялата необходима документация, както и за наблюдението на процеса на тестване. Определеният финансов субект следва да отговаря и за общите аспекти на оценката на управлението на риска. Независимо от ролята на определения финансов субект изпълнението на задълженията на всеки финансов субект, участващ в процеса на съвкупното тестване за проникване, следва да остане незасегнато по време на съвкупното тестване. Същият принцип следва да се прилага и за съвместното тестване за проникване.

(15)

Както показва опитът от прилагането на рамката TIBER-EU, провеждането на присъствени или виртуални срещи с участието на всички заинтересовани страни (финансови субекти, органи, лица, провеждащи тестове, и доставчици на разузнавателни сведения за заплахи) е най-ефективният начин за осигуряване на подходящо провеждане на тестването. Поради това присъствени и виртуални срещи следва да се провеждат на различни етапи от процеса, и по-специално, по време на подготвителния етап — при привеждането в действие на тестването за проникване и при окончателното определяне на неговия обхват, по време на етапа на тестване — при оформянето на окончателния текст на доклада за разузнавателни сведения за заплахи и на плана за тестване чрез червен екип, както и при седмичните актуализации, и по време на етапа на приключване — при възпроизвеждането на действията на лицата, провеждащи тестове, и действията на синия екип, при техниката „лилав екип“ и при обмена на обратна информация относно тестването за проникване.

(16)

За да се гарантира безпрепятственото провеждане на тестването за проникване, органът в областта на тестването за проникване следва да представи на финансовия субект по ясен начин своите очаквания по отношение на тестването. В тази връзка лицата, управляващи тестването, следва да гарантират, че е установен подходящ информационен поток с контролния екип в рамките на финансовия субект и с доставчиците на услуги в областта на тестването за проникване.

(17)

Финансовият субект следва да избере критичните или важните функции, които ще попаднат в обхвата на тестването за проникване. При избора на тези функции финансовият субект следва да се основава на различни критерии, свързани със значението на всяка функция за самия финансов субект и за финансовия сектор на равнището на Съюза и на национално равнище, не само от икономическа гледна точка, но и като се отчита символичният или политическият статут на функцията. За да се улесни плавният преход към етапа на събиране на разузнавателни сведения за заплахи, контролният екип следва да предостави на провеждащите тестовете лица и на доставчика на разузнавателни сведения за заплахи, които не участват в процеса на определяне на обхвата, подробна информация относно договорения обхват.

(18)

За да предостави на лицата, провеждащи тестове, необходимата информация за симулиране на действителна и реалистична атака срещу системите на финансовия субект, които са в основата на неговите критични или важни функции, доставчикът на разузнавателни сведения за заплахи следва да събира разузнавателни сведения или информация, които обхващат поне две ключови области на интерес: целите — чрез идентифициране на потенциални уязвими на атаки аспекти в рамките на финансовия субект, и заплахите — чрез идентифициране на съответните автори на заплахи и на вероятни сценарии за заплахи. С цел да се гарантира, че доставчикът на разузнавателни сведения за заплахи взема предвид съответните заплахи за финансовия субект, лицата, провеждащи тестове, контролният екип и лицата, управляващи тестването, следва да предоставят обратна информация по проектодоклада за разузнавателни сведения за заплахи. Ако такава е налична, доставчикът на разузнавателни сведения за заплахи може да използва предоставената от органа в областта на тестването за проникване обща картина на заплахите за финансовия сектор на дадена държава членка като базов сценарий за националната картина на заплахите. Въз основа на прилагането на рамката TIBER-EU процесът на събиране на разузнавателни сведения за заплахи обикновено трае около 4 седмици.

(19)

За да могат лицата, провеждащи тестове, да придобият представа и да направят допълнителен преглед на документа със спецификацията на обхвата и доклада за целеви разузнавателни сведения за заплахи, за да оформят окончателния план за тестване чрез червен екип, от съществено значение е преди етапа на тестването за проникване чрез червен екип лицата, провеждащи тестове, да получат от доставчика на разузнавателни сведения за заплахи подробни обяснения относно доклада за целеви разузнавателни сведения за заплахи и анализ на възможните сценарии за заплахи.

(20)

За да се даде възможност на лицата, провеждащи тестове, да проведат реалистично и цялостно тестване, при което са изпълнени всички етапи на атаката и са достигнати главните цели, следва да се предвиди достатъчно време за етапа на активно тестване чрез червен екип. Въз основа на опита, натрупан с рамката TIBER-EU, предвиденото време следва да бъде най-малко 12 седмици и следва да се определи, като се вземат предвид броят на участващите страни, обхватът на тестването за проникване, ресурсите на участващия финансов субект или субекти, всички външни изисквания и наличието на подкрепяща информация, предоставена от финансовия субект.

(21)

По време на етапа на активно тестване чрез червен екип лицата, провеждащи тестове, следва да използват набор от тактики, техники и процедури (ТТП), за да тестват по подходящ начин в реално време в продукционна среда системите на финансовия субект. ТТП следва да съдържат, според случая, разузнаване (т.е. събиране на възможно най-много информация за дадена цел), подготовка (т.е. анализиране на информацията за инфраструктурата, съоръженията и служителите и подготовка за операции, специално насочени към целта), осъществяване (т.е. активно привеждане в действие на пълната операция спрямо целта), използване (т.е. когато целта на лицата, провеждащи тестове, е да застрашат сигурността на сървърите, мрежите на финансовия субект и да използват неговия персонал чрез социално инженерство), контрол и преминаване (т.е. опити за преминаване от системите със застрашена сигурност към допълнителни уязвими системи или системи с голямо значение) и действия спрямо целта (т.е. получаване на допълнителен достъп до системите със застрашена сигурност и придобиване на достъп до предварително съгласуваната информация и данни за целта, както е предварително договорено в плана за тестване чрез червен екип).

(22)

При провеждането на тестване за проникване лицата, провеждащи тестове, следва да вземат предвид времето, с което разполагат за извършване на атаката, ресурсите, както и етичните и правните граници. Ако лицата, провеждащи тестове, не са в състояние да преминат към програмирания следващ етап на атаката, контролният екип следва в някои случаи да им окаже съдействие, след съгласие от страна на органа в областта на тестването за проникване, под формата на „улеснения“. Улесненията може да бъдат разделени най-общо на улеснения, свързани с информацията, и улеснения, свързани с достъпа, и може да се състоят в предоставяне на достъп до системи на ИКТ или вътрешни мрежи, за да може тестът да продължи и усилията да се съсредоточат върху следващите стъпки на атаката.

(23)

По време на етапа на активно тестване чрез червен екип следва да се използва — ако това е необходимо с цел тестването за проникване да продължи като крайна мярка при извънредни обстоятелства и след като всички алтернативни възможности са изчерпани — съвместна дейност по тестване, която включва както лицата, провеждащи тестове, така и синия екип. В контекста на такава ограничена работа в лилав екип могат да се използват следните методи: „залавяне и освобождаване“ (catch-and-release), при който лицата, провеждащи тестове, се опитват да продължат сценариите, биват открити и след това подновяват тестването, „военни игри“ (war gaming), който позволява по-сложни сценарии за тестване на процеса на вземане на стратегически решения, или „съвместно доказване на концепцията“ (collaborative proof-of-concept), който позволява на лицата, провеждащи тестове, и членовете на синия екип съвместно да утвърдят конкретни мерки, инструменти или техники за сигурност в контролирана среда на сътрудничество.

(24)

Тестването за проникване следва да се използва като опит за придобиване на знания и практика за повишаване на оперативната устойчивост на финансовите субекти в цифровата сфера. В тази връзка синият екип и лицата, провеждащи тестове, следва да възпроизведат атаката и да прегледат предприетите стъпки, за да се извлекат поуки от тестването в сътрудничество с лицата, провеждащи тестове. За тази цел и за да се даде възможност за подходяща подготовка, докладът от теста чрез червен екип и докладът от теста чрез син екип следва да бъдат предоставени на всички страни, участващи в дейностите по възпроизвеждане, преди провеждането на каквито и да било дейности по възпроизвеждане. Освен това, за да се увеличи максимално опитът за придобиване на знания и практика, в етапа на приключване следва да се проведе действие чрез техниката „лилав екип“. Методите, които могат да се използват за техниката „лилав екип“ по време на етапа на приключване, следва да включват обсъждане на алтернативни сценарии за атака, проучване на алтернативни сценарии върху оперативни системи или повторно проучване на планирани сценарии върху оперативни системи, които лицата, провеждащи тестове, не са успели да завършат или изпълнят по време на етапа на тестване.

(25)

За да се улесни допълнително придобиването на знания и практически опит за всички страни, участващи в тестването за проникване, в полза на бъдещи тестове и за да се повиши цифровата оперативна устойчивост на финансовите субекти, заинтересованите страни следва да си предоставят обратна информация относно цялостния процес, и по-специално да определят кои дейности са се развили добре или биха могли да бъдат подобрени, както и кои аспекти на процеса на тестването за проникване са проработили добре или биха могли да бъдат подобрени.

(26)

Компетентните органи, посочени в член 46 от Регламент (ЕС) 2022/2554, и органите в областта на тестването за проникване, когато те са различни, следва да си сътрудничат, за да включат обстойното тестване чрез тестване за проникване в съществуващите процеси по надзор. В това отношение и за да се сподели правилното разбиране на констатациите от тестването за проникване и на начина, по който те следва да се тълкуват, е целесъобразно да се установи тясно сътрудничество между лицата, управляващи тестването, които са участвали в тестването за проникване, и отговорните органи за надзор, по-специално по отношение на обобщаващия доклад от теста и плановете за корективни мерки.

(27)

Член 26, параграф 8, първа алинея от Регламент (ЕС) 2022/2554 изисква от финансовите субекти да наемат външни лица, провеждащи тестове, на всеки три теста. Когато финансовите субекти включват в екипа от лица, провеждащи тестове, както вътрешни, така и външни такива лица, за целите на този член това следва да се счита за тестване за проникване, извършено с вътрешни лица, провеждащи тестовете.

(28)

Настоящият регламент се основава на проектите на регулаторни технически стандарти, представени на Комисията от Европейския банков орган, Европейския орган за застраховане и професионално пенсионно осигуряване, Европейския орган за ценни книжа и пазари (европейски надзорни органи — ЕНО) след съгласуване с Европейската централна банка.

(29)

Европейските надзорни органи проведоха открити обществени консултации по проектите на регулаторни технически стандарти, въз основа на които е изготвен настоящият регламент, анализираха потенциалните разходи и ползи и поискаха становище от Групата на участниците от банковия сектор, създадена в съответствие с член 37 от Регламент (ЕС) № 1093/2010 на Европейския парламент и на Съвета (3), Групата на участниците от сектора на застраховането и презастраховането и Групата на участниците от професионалните пенсионни фондове, създадени в съответствие с член 37 от Регламент (ЕС) № 1094/2010 на Европейския парламент и на Съвета (4), и Групата на участниците от сектора на ценните книжа и пазарите, създадена в съответствие с член 37 от Регламент (ЕС) № 1095/2010 на Европейския парламент и на Съвета (5).

(30)

С Европейския надзорен орган по защита на данните беше извършена консултация в съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (6) и той прие своето становище на 20 август 2024 г.,