Articolul 10 Faza de testare: date operative privind amenințările

(1)   În urma aprobării documentului privind specificarea sferei de aplicare de către autoritatea TLPT, furnizorul de date operative privind amenințările analizează datele operative privind amenințările generice și specifice sectorului relevante pentru entitatea financiară. În cazul în care autoritatea TLPT a furnizat un peisaj generic al amenințărilor pentru sectorul financiar al unui stat membru, furnizorul de date operative privind amenințările poate utiliza acest peisaj ca referință pentru peisajul amenințărilor naționale. Furnizorul de date operative privind amenințările identifică amenințările cibernetice și vulnerabilitățile existente sau potențiale în ceea ce privește entitatea financiară. În plus, furnizorul de date operative privind amenințările colectează informații privind entitatea financiară și analizează date operative concrete, executabile și contextualizate privind amenințările vizând entitatea financiară, inclusiv prin consultarea echipei de control și a managerilor de testare.

(2)   Furnizorul de date operative privind amenințările prezintă amenințările relevante și datele operative specifice privind amenințările și propune scenariile necesare echipei de control, entităților de testare și managerilor de testare. Scenariile propuse diferă în ceea ce privește actorii de amenințare identificați și tacticile, tehnicile și procedurile asociate și vizează fiecare funcție critică sau importantă din sfera de aplicare a TLPT.

(3)   Șeful echipei de control selectează cel puțin trei scenarii pentru efectuarea TLPT pe baza tuturor elementelor următoare:

(4)   Cel mult unul dintre scenariile selectate poate să nu se bazeze pe amenințări și se poate baza pe o amenințare prospectivă și potențial fictivă cu o valoare predictivă, anticipativă, oportunistă sau prospectivă ridicată, având în vedere evoluțiile anticipate ale peisajului amenințărilor în ceea ce privește entitatea financiară.

Pentru TLPT-urile grupate, fără a aduce atingere scenariilor care vizează în mod direct funcțiile critice sau importante ale entităților financiare implicate în testare, cel puțin un scenariu include sistemele, procesele și tehnologiile TIC subiacente relevante ale furnizorului terț de servicii TIC care sprijină funcțiile critice sau importante ale entităților financiare care intră în sfera de aplicare.

În cazul în care testul este un TLPT comun care implică un furnizor de servicii TIC intragrup, fără a aduce atingere scenariilor care vizează în mod direct funcțiile critice sau importante ale entităților financiare implicate în testare, cel puțin un scenariu include sistemele, procesele și tehnologiile TIC subiacente relevante ale furnizorului de servicii TIC intragrup care sprijină funcțiile critice sau importante ale entităților financiare care intră în sfera de aplicare.

(5)   Furnizorul de date operative privind amenințările furnizează echipei de control raportul referitor la date operative specifice privind amenințările, inclusiv scenariile selectate în conformitate cu alineatele (3) și (4). Raportul referitor la datele operative privind amenințările conține informațiile prevăzute în anexa III.

(6)   Echipa de control prezintă managerului de testare, spre aprobare, raportul referitor la datele operative privind amenințările specifice. În cazul în care raportul referitor la datele operative privind amenințările specifice este complet și asigură executarea unui TLPT adecvat și eficace, autoritatea TLPT aprobă raportul referitor la datele operative privind amenințările specifice și informează șeful echipei de control cu privire la acest lucru.