Člen 10 Faza testiranja: obveščevalni podatki o grožnjah

1.   Potem ko organ za TLPT odobri dokument s specifikacijo obsega, ponudnik obveščevalnih podatkov o grožnjah analizira splošne in sektorske obveščevalne podatke o grožnjah, ki so pomembni za finančni subjekt. Kadar organ za TLPT zagotovi splošno krajino groženj za finančni sektor države članice, lahko ponudnik obveščevalnih podatkov o grožnjah to krajino uporabi kot izhodišče za nacionalno krajino groženj. Ponudnik obveščevalnih podatkov o grožnjah opredeli kibernetske grožnje in obstoječe ali morebitne ranljivosti v zvezi s finančnim subjektom. Poleg tega ponudnik obveščevalnih podatkov o grožnjah zbira informacije o konkretnih in kontekstualiziranih obveščevalnih podatkih o tarčah in grožnjah v zvezi s finančnim subjektom, na podlagi katerih je mogoče ukrepati, ter jih analizira, tudi s posvetovanjem z nadzorno ekipo in vodji testiranja.

2.   Ponudnik obveščevalnih podatkov o grožnjah nadzorni ekipi, preizkuševalcem in vodjem testiranja predstavi ustrezne grožnje in ciljno usmerjene obveščevalne podatke o grožnjah ter predlaga potrebne scenarije. Predlagani scenariji se razlikujejo glede na opredeljene akterje groženj ter povezane taktike, tehnike in postopke ter so usmerjeni v vsako kritično ali pomembno funkcijo, ki je vključena v obseg TLPT.

3.   Vodja nadzorne ekipe izbere vsaj tri scenarije za izvedbo TLPT na podlagi vseh naslednjih elementov:

4.   Največ eden od izbranih scenarijev lahko namesto na analizi groženj temelji na v prihodnost usmerjeni in potencialno navidezni grožnji z visoko napovedno, anticipativno, oportunistično ali potencialno vrednostjo glede na pričakovani razvoj krajine groženj v zvezi s finančnim subjektom.

Pri skupnem TLPT, brez poseganja v scenarije, ki so neposredno usmerjeni v kritične ali pomembne funkcije finančnih subjektov, vključenih v testiranje, najmanj en scenarij vključuje ustrezne osnovne sisteme, postopke in tehnologije IKT tretjega ponudnika storitev IKT, ki podpirajo kritične ali pomembne funkcije finančnih subjektov, vključenih v obseg TLPT.

Pri skupinskem TLPT, v katerega je vključen ponudnik storitev IKT znotraj skupine, brez poseganja v scenarije, ki so neposredno usmerjeni v kritične ali pomembne funkcije finančnih subjektov, vključenih v testiranje, najmanj en scenarij vključuje ustrezne osnovne sisteme, postopke in tehnologije IKT ponudnika storitev IKT znotraj skupine, ki podpirajo kritične ali pomembne funkcije finančnih subjektov, vključenih v obseg TLPT.

5.   Ponudnik obveščevalnih podatkov o grožnjah nadzorni ekipi predloži ciljno usmerjeno poročilo o obveščevalnih podatkih o grožnjah, vključno s scenariji, izbranimi v skladu z odstavkoma 3 in 4. Poročilo o obveščevalnih podatkih o grožnjah vsebuje informacije iz Priloge III.

6.   Nadzorna ekipa predloži ciljno usmerjeno poročilo o obveščevalnih podatkih o grožnjah vodji testiranja v odobritev. Kadar je ciljno usmerjeno poročilo o obveščevalnih podatkih o grožnjah popolno in zagotavlja izvajanje učinkovitega TLPT, organ za TLPT poročilo odobri in o tem obvesti vodjo nadzorne ekipe.