Articolul 9 Faza de pregătire

(1)   O entitate financiară identificată în temeiul articolului 26 alineatul (8) al treilea paragraf din Regulamentul (UE) 2022/2554 inițiază un TLPT în urma unei notificări din partea autorității TLPT cu privire la efectuarea unui TLPT.

(2)   În termen de trei luni de la primirea notificării menționate la alineatul (1), o entitate financiară transmite managerilor de testare toate informațiile următoare referitoare la inițierea TLPT:

(3)   În cazul în care informațiile menționate la alineatul (2) literele (a)-(e) sunt complete și asigură adecvarea și executarea eficace a TLPT, autoritatea TLPT validează informațiile de inițiere a TLPT ale entității financiare și notifică acest lucru entității financiare.

(4)   În urma validării informațiilor privind inițierea TLPT de către autoritatea TLPT, entitatea financiară înființează o echipă de control pentru a sprijini șeful echipei de control în sarcinile sale de:

(5)   În cazul în care autoritatea TLPT consideră că atât componența inițială a echipei de control, cât și modificările ulterioare ale acesteia sunt adecvate pentru îndeplinirea sarcinilor menționate la alineatul (4), autoritatea TLPT validează echipa de control și notifică acest lucru șefului echipei de control.

(6)   În termen de șase luni de la primirea notificării din partea autorității TLPT menționate la alineatul (1), entitatea financiară transmite managerilor de testare un document privind specificarea sferei de aplicare care conține toate informațiile prevăzute în anexa II. Organul de conducere al entității financiare aprobă documentul privind specificarea sferei de aplicare.

(7)   Entitățile financiare iau în considerare următoarele criterii pentru includerea funcțiilor critice sau importante în sfera de aplicare a TLPT:

(8)   Echipa de control transmite entităților de testare și furnizorilor de date operative privind amenințările, odată ce aceștia sunt contractați, informațiile privind inițierea TLPT și documentul privind specificarea sferei de aplicare. Echipa de control informează entitățile de testare și furnizorii de date operative privind amenințările cu privire la procesul de testare care trebuie urmat.

(9)   Entitatea financiară se asigură că achiziția sau desemnarea entităților de testare și a furnizorilor de date operative privind amenințările este finalizată înainte de inițierea fazei de testare.

(10)   Înainte de inițierea fazei de testare, echipa de control consultă managerii de testare cu privire la evaluarea riscurilor TLPT și la măsurile de gestionare a riscurilor. Echipa de control analizează evaluarea riscurilor sau măsurile de gestionare a riscurilor în cazul în care autoritatea TLPT consideră că acestea nu abordează în mod adecvat riscurile TLPT.

(11)   Echipa de control evaluează dacă furnizorii de date operative privind amenințările și entitățile de testare pe care intenționează să îi includă în TLPT îndeplinesc cerințele prevăzute la articolul 27 din Regulamentul (UE) 2022/2554 și respectă dispozițiile articolului 7 alineatul (1) din prezentul regulament și documentează rezultatul evaluării respective. Echipa de control selectează furnizorii de date operative privind amenințările în conformitate cu evaluarea respectivă și cu practicile sale de gestionare a riscurilor. Înainte de a contracta furnizorii de date operative privind amenințările și entitățile externe de testare selectate, echipa de control furnizează managerilor de testare dovezi ale conformității respectivilor furnizori de date operative privind amenințările și respectivelor entități de testare cu cerințele prevăzute la articolul 27 din Regulamentul (UE) 2022/2554 și cu articolul 7 alineatul (1) din prezentul regulament. Echipa de control nu încheie contracte cu furnizorii de date operative privind amenințările selectați și cu entitățile externe de testare selectate în cazul în care autoritatea TLPT consideră că furnizorii de date operative privind amenințările selectați și entitățile externe de testare selectate nu respectă cerințele prevăzute la articolul 27 din Regulamentul (UE) 2022/2554 sau cerințele prevăzute la articolul 7 alineatul (1) din prezentul regulament sau cerințele suplimentare care decurg din legislațiile naționale în materie de securitate în conformitate cu dreptul Uniunii sau în cazul în care entitatea financiară nu respectă articolul 7 alineatul (2) primul paragraf din prezentul regulament sau în cazul în care nu sunt îndeplinite circumstanțele menționate la articolul 7 alineatul (2) al doilea paragraf din prezentul regulament.

(12)   În cazul în care documentul privind specificarea sferei de aplicare este complet și asigură executarea unui TLPT adecvat și eficace, autoritatea TLPT aprobă documentul respectiv și informează șeful echipei de control cu privire la acest lucru.