Kommissionens delegerade förordning (EU) 2025/1190 av den 13 februari 2025 om komplettering av Europaparlamentets och rådets förordning (EU) 2022/2554 vad gäller tekniska standarder för tillsyn som specificerar de kriterier som används för att identifiera finansiella entiteter som är skyldiga att genomföra hotbildsstyrd penetrationstestning, kraven och standarderna för användning av interna testare, kraven i fråga om omfattning, testmetod och tillvägagångssätt för varje fas av testningen, resultat och avslutnings- och åtgärdsfaser, samt typen av tillsynssamarbete och annat relevant samarbete som krävs för genomförandet av hotbildsstyrd penetrationstestning och för underlättandet av ömsesidigt erkännande

(1)

Denna förordning har utarbetats i enlighet med TIBER-EU-ramen och återspeglar den metod, process och struktur för hotbildsstyrd penetrationstestning som beskrivs i TIBER-EU. Finansiella entiteter som omfattas av hotbildsstyrd penetrationstestning får hänvisa till och tillämpa TIBER-EU-ramen eller något av dess nationella genomförandearrangemang, i den mån ramen eller genomförandearrangemanget uppfyller kraven i artiklarna 26 och 27 i förordning (EU) 2022/2554 och denna förordning. Utseendet av en enda offentlig myndighet inom finanssektorn som ansvarar för frågor som rör hotbildsstyrd penetrationstestning på nationell nivå enligt artikel 26.9 i förordning (EU) 2022/2554 bör inte påverka de behöriga myndigheternas behörighet som tilldelats på unionsnivå för tillsynen av vissa finansiella entiteter i enlighet med artikel 46 i den förordningen, till exempel vad gäller Europeiska centralbanken i fråga om betydande kreditinstitut där behörighet ska anses finnas för frågor som rör hotbildsstyrd penetrationstestning. Om endast vissa uppgifter som rör hotbildsstyrd penetrationstestning delegeras till en annan nationell myndighet inom finanssektorn i enlighet med artikel 26.10 i förordning (EU) 2022/2554 bör den finansiella entitetens behöriga myndighet som avses i artikel 46 i den förordningen förbli myndighet för de uppgifter som rör hotbildsstyrd penetrationstestning som inte har delegerats.

(2)

Med tanke på komplexiteten hos den hotbildsstyrda penetrationstestningen och de risker som är förknippade med den, bör dess användning begränsas till de finansiella entiteter för vilka den är motiverad. Myndigheter med ansvar för frågor som rör hotbildsstyrd penetrationstestning (myndigheter på antingen unionsnivå eller nationell nivå med ansvar för hotbildsstyrd penetrationstestning) bör därför inte inkludera finansiella entiteter som är verksamma inom delsektorer för centrala finansiella tjänster, för vilka en hotbildsstyrd penetrationstestning inte är motiverad. Detta innebär att kreditinstitut, betalningsinstitut och institut för elektroniska pengar, värdepapperscentraler, centrala motparter, handelsplatser och försäkrings- och återförsäkringsföretag skulle kunna befrias från kravet på hotbildsstyrd penetrationstestning, även om de uppfyller de kvantitativa kriterierna, mot bakgrund av en övergripande bedömning av deras IKT-riskprofil och IKT-mognad, påverkan på finanssektorn och därmed sammanhängande risker för den finansiella stabiliteten.

(3)

Myndigheter med ansvar för hotbildsstyrd penetrationstestning bör, mot bakgrund av en övergripande bedömning av IKT-riskprofilen och IKT-mognaden, av påverkan på finanssektorn och av därmed sammanhängande risker för den finansiella stabiliteten, bedöma huruvida andra typer av finansiella entiteter än kreditinstitut, betalningsinstitut, institut för elektroniska pengar, centrala motparter, värdepapperscentraler, handelsplatser och försäkrings- och återförsäkringsföretag bör omfattas av hotbildsstyrd penetrationstestning. Bedömningen av om sådana finansiella entiteter uppfyller dessa kvalitativa kriterier bör ha som mål att identifiera finansiella entiteter för vilka hotbildsstyrd penetrationstestning är lämplig genom användning av sektorsövergripande och objektiva indikatorer. Samtidigt bör bedömningen av om en finansiell entitet uppfyller dessa kvalitativa kriterier begränsa de entiteter som ska omfattas av hotbildsstyrd penetrationstestning till de entiteter för vilka testningen är motiverad. Huruvida en finansiell entitet uppfyller dessa kvalitativa kriterier bör även bedömas mot bakgrund av ny marknadsutveckling och den ökande betydelsen av nya marknadsaktörer för finanssektorn i framtiden, inbegripet leverantörer av kryptotillgångstjänster som auktoriserats i enlighet med artikel 59 i Europaparlamentets och rådets förordning (EU) 2023/1114 (2).

(4)

Finansiella entiteter kan ha samma koncerninterna IKT-tjänsteleverantör eller tillhöra samma koncern och förlita sig på gemensamma IKT-system. I så fall är det viktigt att myndigheter med ansvar för hotbildsstyrd penetrationstestning beaktar den finansiella entitetens struktur och betydelse för systemet som helhet eller betydelse för finanssektorn på nationell nivå eller unionsnivå vid bedömningen av huruvida en finansiell entitet bör omfattas av hotbildsstyrd penetrationstestning och huruvida den hotbildsstyrda penetrationstestningen bör genomföras på entitetsnivå eller koncernnivå (genom en samlad hotbildsstyrd penetrationstestning).

(5)

För att avspegla TIBER-EU-ramen är det nödvändigt att testmetoden skapar förutsättningar för medverkan av följande huvuddeltagare: den finansiella entiteten, med ett ledningslag (motsvarande TIBER-EU:s ”ledningslag”) och ett blått lag (motsvarande TIBER-EU:s ”blå lag”), och myndigheten med ansvar för hotbildsstyrd penetrationstestning, i form av ett cyberlag för hotbildsstyrd penetrationstestning (motsvarande TIBER-EU:s ”TIBER-cyberlag”), en leverantör av underrättelser om hot, och testare (där testarna motsvarar TIBER-EU:s ”rött lag-leverantör”).

(6)

För att se till att den hotbildsstyrda penetrationstestningen drar nytta av erfarenheterna från genomförandet av TIBER-EU och för att minska riskerna vid genomförandet av testningen, bör det säkerställas att ansvarsområdena för de cyberlag som ska inrättas vid myndigheterna med ansvar för hotbildsstyrd penetrationstestning motsvarar ansvarsområdena för TIBER-EU:s cyberlag så nära som möjligt. Följaktligen bör cyberlagen för hotbildsstyrd penetrationstestning ha testledare som ansvarar för att övervaka enskilda hotbildsstyrda penetrationstestningar och för att planera och samordna enskilda tester. Cyberlag för hotbildsstyrd penetrationstestning bör fungera som en gemensam kontaktpunkt för testrelaterad kommunikation till interna och externa intressenter, för insamling och bearbetning av återkoppling och lärdomar från tidigare utförda tester och för stöd till finansiella entiteter som genomgår hotbildsstyrd penetrationstestning.

(7)

För att avspegla TIBER-EU-ramens metoder bör testledarna ha nödvändig förmåga och kompetens för att kunna ge råd och ifrågasätta testarnas förslag. Erfarenheterna från TIBER-EU-ramen har visat att det är värdefullt att ha ett lag bestående av minst två testledare för varje test. För att återspegla att hotbildsstyrd penetrationstestning är tänkt att uppmuntra till lärande, och för att skydda testernas konfidentialitet, uppmanas myndigheter med ansvar för hotbildsstyrd penetrationstestning starkt att, såvida de inte har brist på resurser och expertis, ta hänsyn till att testledarna då testningen pågår inte bör bedriva tillsynsverksamhet på samma finansiella entitet som genomgår hotbildsstyrd penetrationstestning.

(8)

För att uppnå överensstämmelse med TIBER-EU-ramen är det viktigt att myndigheten med ansvar för hotbildsstyrd penetrationstestning noggrant följer testningen i varje steg. Med tanke på testningens karaktär och de risker som är förknippade med den är det av grundläggande betydelse att myndigheten med ansvar för hotbildsstyrd penetrationstestning är involverad i varje specifik testfas. I synnerhet bör myndigheten med ansvar för hotbildsstyrd penetrationstestning rådfrågas och validera de bedömningar eller beslut från de finansiella entiteternas sida som å ena sidan kan påverka testets effektivitet och å andra sidan kan påverka de risker som är förknippade med testet. Till de grundläggande steg som myndigheten med ansvar för hotbildsstyrd penetrationstestning specifikt måste vara involverad i hör validering av viss grundläggande testdokumentation och val av leverantörer av underrättelser om hot och testare samt riskhanteringsåtgärder. Involveringen av myndigheterna med ansvar för hotbildsstyrd penetrationstestning bör, särskilt när det gäller valideringar, inte leda till en alltför stor börda på dessa myndigheter och bör därför begränsas till sådan dokumentation och sådana beslut som direkt påverkar genomförandet av den hotbildsstyrda penetrationstestningen. Genom aktivt deltagande i varje fas av testningen kan myndigheterna med ansvar för hotbildsstyrd penetrationstestning på ett effektivt sätt bedöma de finansiella entiteternas efterlevnad av de relevanta kraven, vilket bör göra det möjligt för dessa myndigheter att utfärda intyg i enlighet med artikel 26.7 i förordning (EU) 2022/2554.

(9)

Sekretess är av yttersta vikt för den hotbildsstyrda penetrationstestningen för att säkerställa att testförhållandena är realistiska. Av denna anledning bör den hotbildsstyrda testningen ske dolt, och försiktighetsåtgärder bör vidtas för att hålla den konfidentiell, vilket innefattar val av kodnamn som bör tas fram så att tredje part inte kan identifiera testningen. Om personal som ansvarar för den finansiella gruppens säkerhet skulle känna till en planerad eller pågående hotbildsstyrd penetrationstestning är det sannolikt att de skulle vara mer uppmärksamma och observanta än under normala arbetsförhållanden, vilket skulle leda till ett skevt resultat av testningen. Personal vid den finansiella entiteten som inte ingår i ledningslaget bör därför endast göras uppmärksam på planerade eller pågående hotbildsstyrda penetrationstestningar om det finns tvingande skäl för detta och efter godkännande i förhand från testledarna, till exempel för att säkerställa att testet hålls hemligt om en medlem i det blå laget har upptäckt testningen.

(10)

Som framgår av de erfarenheter som gjorts inom TIBER-EU-ramen när det gäller ”ledningslaget” är det absolut nödvändigt att välja en lämplig ledare för ledningslaget för att den hotbildsstyrda penetrationstestningen ska kunna genomföras på ett säkert sätt. Ledningslagets ledare bör ha det mandat inom den finansiella entiteten som krävs för att leda alla aspekter av testningen, utan att dess sekretess äventyras. Av samma skäl bör medlemmarna i ledningslaget ha djupgående kunskap om den finansiella entiteten och om den yrkesroll och strategiska position som ledningslagets ledare har, samt ha erforderlig tjänstgöringstid och direkt tillgång till styrelsen. För att minska risken för att den hotbildsstyrda penetrationstestningen avslöjas bör ledningslaget vara så litet som möjligt.

(11)

Det finns inneboende riskelement kopplade till hotbildsstyrd penetrationstestning eftersom kritiska funktioner testas i en produktionsmiljö som är i drift, med risk att orsaka överbelastningstillbud, oväntade driftsavbrott i system, skador på kritiska produktionssystem som är i drift eller förlust, ändring eller avslöjande av data. Dessa risker innebär att det krävs tillförlitliga riskhanteringsåtgärder. För att säkerställa att den hotbildsstyrda penetrationstestningen utförs på ett kontrollerat sätt under hela testningen är det mycket viktigt att de finansiella entiteterna hela tiden är medvetna om de särskilda risker som uppstår vid en hotbildsstyrd penetrationstestning och att dessa risker minskas. Utan att det påverkar den finansiella entitetens interna processer och det ansvar och de delegeringar som ledningslagets ledare redan har fått, kan det i detta sammanhang vara lämpligt med information om riskhanteringsåtgärder kopplade till hotbildsstyrd penetrationstestning eller, i specifika fall, godkännande av dessa riskhanteringsåtgärder av den finansiella entitetens ledningsorgan. För att kunna tillhandahålla effektiva och högt kvalificerade yrkesmässiga tjänster och minska dessa risker är det också viktigt att testare och leverantörer av underrättelser om hot (tillsammans kallade leverantörer av hotbildsstyrd penetrationstestning) har mycket hög kompetens och sakkunskap samt lämplig erfarenhet av underrättelser om hot och hotbildsstyrd penetrationstestning inom sektorn för finansiella tjänster.

(12)

Traditionella penetrationstester ger en detaljerad och användbar bedömning av tekniska och konfigurationsrelaterade sårbarheter, ofta isolerade till ett enda system eller en enda miljö, men till skillnad från underrättelsestyrda rött lag-tester bedömer de inte hela scenariot med ett riktat angrepp mot en hel entitet, där samtliga personer, processer och tekniska system berörs. Under urvalsprocessen för leverantörer av hotbildsstyrd penetrationstestning bör finansiella entiteter därför säkerställa att dessa leverantörer har den kompetens som krävs för att utföra underrättelsestyrda rött lag-tester och inte bara penetrationstester. Det är således nödvändigt att fastställa heltäckande kriterier för testare, både interna och externa, och leverantörer av underrättelser om hot, som alltid är externa. När leverantörerna av hotbildsstyrd penetrationstestning tillhör samma företag bör personalen som utsetts att genomföra testningen hållas tillräckligt separerad.

(13)

Det kan finnas exceptionella omständigheter som gör att finansiella entiteter inte lyckas ingå avtal med leverantörer av hotbildsstyrd penetrationstestning som uppfyller de heltäckande kriterierna. Finansiella entiteter bör därför, efter att ha bevisat att sådana leverantörer av underrättelser om hot inte finns att tillgå, tillåtas att använda personer som inte uppfyller samtliga av de heltäckande kriterierna, förutsatt att de på ett korrekt sätt minskar eventuella ytterligare risker som följer av detta och att myndigheten som ansvarar för hotbildsstyrd penetrationstestning bedömer alla dessa kriterier.

(14)

Om flera finansiella entiteter och flera myndigheter med ansvar för hotbildsstyrd penetrationstestning deltar i en hotbildsstyrd penetrationstestning bör rollerna för alla parter i testprocessen specificeras så att ett så effektivt och säkert test som möjligt kan genomföras. Vid gemensam testning behövs särskilda krav för att specificera den utsedda finansiella entitetens roll, närmare bestämt att den bör ansvara för att tillhandahålla all nödvändig dokumentation till den ledande myndigheten med ansvar för hotbildsstyrd penetrationstestning och för att övervaka testprocessen. Den utsedda finansiella entiteten bör även ansvara för de gemensamma aspekterna av riskhanteringsbedömningen. Oberoende av den utsedda finansiella entitetens roll bör skyldigheterna för varje finansiell entitet som deltar i den gemensamma processen för hotbildsstyrd penetrationstestning förbli opåverkade under det gemensamma testet. Samma princip bör gälla för samlad hotbildsstyrd penetrationstestning.

(15)

Som framgår av erfarenheterna från genomförandet av TIBER-EU-ramen är det effektivaste sättet att säkerställa ett korrekt genomförande av testningen att hålla fysiska eller virtuella möten med alla berörda intressenter (finansiella entiteter, myndigheter, testare och leverantörer av underrättelser om hot). Fysiska och virtuella möten bör därför hållas under flera olika skeden av processen, särskilt under förberedelsefasen vid starten av den hotbildsstyrda penetrationstestningen och för att fastställa dess omfattning, under testfasen för att färdigställa hotunderrättelserapporten och planen för rött lag-testning och de veckovisa uppdateringarna, samt under avslutningsfasen för att gå igenom testarnas och det blå lagets åtgärder och de lila lagövningarna och utbyta återkoppling om den hotbildsstyrda penetrationstestningen.

(16)

För att säkerställa att testningen förlöper smidigt bör myndigheten med ansvar för hotbildsstyrd penetrationstestning tydligt redovisa sina förväntningar i fråga om testningen för den finansiella entiteten. I detta avseende bör testledarna säkerställa att ett lämpligt informationsflöde upprättas med ledningslaget inom den finansiella entiteten och med leverantörerna av hotbildsstyrd penetrationstestning.

(17)

Den finansiella entiteten bör välja ut de kritiska eller viktiga funktioner som ska omfattas av den hotbildsstyrda penetrationstestningen. När den finansiella entiteten väljer ut dessa funktioner bör den basera valet på olika kriterier för hur viktig varje funktion är för den finansiella entiteten själv och för finanssektorn, på unionsnivå och på nationell nivå, och inte bara i ekonomiskt avseende utan även med beaktande av funktionens symboliska eller politiska status. För att underlätta en smidig övergång till fasen för insamling av underrättelser om hot bör ledningslaget förse testare och leverantörer av underrättelser om hot, som inte är involverade i processen för att identifiera omfattningen, med detaljerad information om den överenskomna omfattningen.

(18)

För att förse testarna med den information som krävs för att simulera ett verkligt och realistiskt angrepp på den finansiella entitetens system i drift som stöder dess kritiska eller viktiga funktioner bör leverantören av underrättelser om hot samla in underrättelser eller information som omfattar minst två nyckelområden: målen, genom att identifiera potentiella angreppsytor inom hela den finansiella entiteten, och hoten, genom att identifiera relevanta hotaktörer och sannolika hotscenarier. För att säkerställa att leverantören av underrättelser om hot beaktar de relevanta hoten mot den finansiella entiteten bör testarna, ledningslaget och testledarna lämna återkoppling på utkastet till hotunderrättelserapport. Som utgångspunkt för den nationella hotbilden får leverantören av underrättelser om hot använda en generell hotbild som tillhandahålls av myndigheten som ansvarar för hotbildsstyrd penetrationstestning för finanssektorn i en medlemsstat, om en sådan finns tillgänglig. Baserat på tillämpningen av TIBER-EU-ramen tar processen för insamling av underrättelser om hot vanligtvis cirka fyra veckor.

(19)

För att testarna ska kunna få insikt i och ytterligare granska omfattningsdokumentet och den målinriktade hotunderrättelserapporten, i syfte att slutföra rött lag-testplanen, är det viktigt att testarna före rött lag-testfasen i den hotbildsstyrda penetrationstestningen får detaljerade förklaringar av den målinriktade hotunderrättelserapporten och analysen av möjliga hotscenarier från leverantören av underrättelser om hot.

(20)

För att testarna ska kunna utföra en realistisk och heltäckande testning där alla angreppsfaser utförs och alla flaggor nås bör tillräcklig tid avsättas för den aktiva rött lag-testfasen. Baserat på de erfarenheter som gjorts inom TIBER-EU-ramen bör den tid som avsätts vara minst tolv veckor och den bör fastställas med beaktande av antalet deltagande parter, omfattningen av den hotbildsstyrda penetrationstestningen, den eller de berörda finansiella entiteternas resurser, eventuella externa krav och tillgången till stödjande information som tillhandahålls av den finansiella entiteten.

(21)

Under den aktiva rött lag-testfasen bör testarna använda olika taktiker, teknik och förfaranden för att på lämpligt sätt testa den finansiella entitetens produktionssystem i drift. Taktikerna, tekniken och förfarandena bör, när så är lämpligt, innefatta rekognosering (dvs. insamling av så mycket information som möjligt om ett mål), användning av information som vapen (dvs. analys av information om infrastruktur, anläggningar och anställda och förberedelse för insatser riktade specifikt mot målet), utförande (dvs. aktiv igångsättning av hela insatsen mot målet), utnyttjande (dvs. där testarnas mål är att angripa den finansiella entitetens servrar och nätverk och utnyttja dess personal genom social manipulering), kontroll och förflyttning (dvs. försök att gå över från de angripna systemen till andra sårbara eller värdefulla system) och åtgärder gentemot målet (dvs. få ytterligare tillgång till angripna system och få tillgång till tidigare överenskommen målinformation och tidigare överenskomna måldata, enligt vad som tidigare överenskommits i planen för rött lag-testning).

(22)

När testare genomför en hotbildsstyrd penetrationstestning bör de agera med hänsyn till den tid som finns tillgänglig för att utföra angreppet, resurserna och etiska och rättsliga gränser. Om testarna inte kan gå vidare till nästa steg av angreppet enligt planen bör ledningslaget, efter överenskommelse med myndigheten som ansvarar för hotbildsstyrd penetrationstestning, ge tillfällig hjälp i form av hjälpinsatser. Hjälpinsatser kan i stora drag delas upp i hjälpinsatser som rör information respektive tillgång och kan innebära att tillgång ges till IKT-system eller interna nätverk för att fortsätta med testet och fokusera på följande angreppssteg.

(23)

Om det är nödvändigt för att kunna fortsätta den hotbildsstyrda penetrationstestningen, som en sista utväg under exceptionella omständigheter och när alla andra alternativ har uttömts, bör under de aktiva rött lag-insatserna i testfasen en gemensam testverksamhet som innefattar både testarna och det blå laget tillämpas. I samband med en sådan begränsad lila lagövning kan följande metoder användas: ”fångst och återsläpp”, där testare försöker fortsätta scenarierna, blir upptäcka och sedan återupptar testningen, ”krigsspel”, som möjliggör mer komplexa scenarier för att testa strategiskt beslutsfattande, eller ”koncepttest under samverkan”, som låter testare och medlemmar i det blå laget gemensamt validera specifika säkerhetsåtgärder, säkerhetsverktyg eller säkerhetsteknik i en kontrollerad och samarbetsinriktad miljö.

(24)

Den hotbildsstyrda penetrationstestningen bör användas som ett tillfälle till lärande för att öka de finansiella entiteternas digitala operativa motståndskraft. Av detta skäl bör det blå laget och testarna gå igenom angreppet och se över de steg som vidtogs för att dra lärdom av testerfarenheterna i samverkan med testarna. I detta syfte och för att möjliggöra lämplig förberedelse bör det röda lagets testrapport och det blå lagets testrapport göras tillgängliga för alla parter som deltar i genomgången innan någon genomgång av åtgärderna inleds. Dessutom bör en lila lagövning genomföras, under avslutningsfasen, för att maximera möjligheterna till lärande. Till metoderna som kan användas för lila lagövningar under avslutningsfasen bör höra diskussioner om alternativa angreppsscenarier, undersökning av system i drift i alternativa scenarier eller ny undersökning av planerade scenarier för system i drift som testarna inte kunde slutföra eller genomföra under testfasen.

(25)

För att ytterligare underlätta lärandet för alla parter som deltar i den hotbildsstyrda penetrationstestningen, till nytta för framtida tester och för att främja finansiella entiteters digitala operativa motståndskraft, bör de deltagande parterna ge varandra återkoppling om den övergripande processen och i synnerhet identifiera vilka aktiviteter som förlöpte bra eller som kunde ha förbättrats, samt vilka aspekter av testningen som fungerade bra eller som kunde ha förbättrats.

(26)

De behöriga myndigheter som avses i artikel 46 i förordning (EU) 2022/2554 och myndigheterna med ansvar för hotbildsstyrd penetrationstestning bör, om det inte rör sig om samma myndigheter, samarbeta för att införliva avancerad testning i form av hotbildsstyrd penetrationstestning i de befintliga tillsynsprocesserna. Av detta skäl och för att dela en korrekt förståelse av resultaten av den hotbildsstyrda penetrationstestningen och av hur de bör tolkas är det lämpligt, särskilt när det gäller den sammanfattande testrapporten och åtgärdsplanerna, att skapa ett nära samarbete mellan testledarna som var involverade i den hotbildsstyrda penetrationstestningen och ansvariga tillsynsmyndigheter.

(27)

Enligt artikel 26.8 första stycket i förordning (EU) 2022/2554 ska de finansiella entiteterna anlita externa testare vid vart tredje test. Om de finansiella entiteterna har både interna och externa testare i gruppen av testare bör detta, vad gäller tillämpningen av den artikeln, betraktas som en hotbildsstyrd penetrationstestning som utförs med interna testare.

(28)

Denna förordning grundar sig på det förslag till tekniska standarder för tillsyn som överlämnats till kommissionen av Europeiska bankmyndigheten, Europeiska försäkrings- och tjänstepensionsmyndigheten och Europeiska värdepappers- och marknadsmyndigheten (de europeiska tillsynsmyndigheterna) i samförstånd med Europeiska centralbanken.

(29)

De europeiska tillsynsmyndigheterna har genomfört öppna offentliga samråd om det förslag till tekniska standarder för tillsyn som denna förordning bygger på, gjort en kostnads–nyttoanalys samt begärt råd från den bankintressentgrupp som inrättats i enlighet med artikel 37 i Europaparlamentets och rådets förordning (EU) nr 1093/2010 (3), den intressentgrupp för försäkring och återförsäkring och den intressentgrupp för tjänstepensioner som inrättats i enlighet med artikel 37 i Europaparlamentets och rådets förordning (EU) nr 1094/2010 (4) och den intressentgrupp för värdepapper och marknader som inrättats i enlighet med artikel 37 i Europaparlamentets och rådets förordning (EU) nr 1095/2010 (5).

(30)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (6) och avgav ett yttrande den 20 augusti 2024.

1.

ledningslag: lag bestående av personal från den testade finansiella entiteten och, när så är relevant med hänsyn till omfattningen av den hotbildsstyrda penetrationstestningen, personal från dess tredjepartsleverantörer av tjänster och eventuella andra parter, vilket leder och hanterar testet.

2.

ledningslagets ledare: den medarbetare hos den finansiella entiteten som ansvarar för genomförandet av all verksamhet som rör hotbildsstyrd penetrationstestning för den finansiella entiteten i samband med ett specifikt test.

3.

blått lag: personal hos den finansiella entiteten och, när så är relevant, personal hos den finansiella entitetens tredjepartsleverantörer av tjänster och eventuella andra parter som anses relevanta med hänsyn till omfattningen av den hotbildsstyrda penetrationstestningen, som försvarar en finansiell entitets användning av nätverk och informationssystem genom att upprätthålla säkerheten gentemot simulerade eller verkliga angrepp och som inte känner till den hotbildsstyrda penetrationstestningen.

4.

blått lag-uppgifter: uppgifter som normalt utförs av det blå laget, som driften av ett säkerhetscentrum (SOC, Security Operation Centre), IKT-infrastrukturtjänster, helpdesktjänster och incidenthanteringstjänster på operativ nivå.

5.

rött lag: testare, interna eller externa, som anlitats för eller utsetts att genomföra en hotbildsstyrd penetrationstestning.

6.

lila lagövning: en samarbetsinriktad testaktivitet som innefattar både testarna och det blå laget.

7.

myndighet med ansvar för hotbildsstyrd penetrationstestning:

8.

cybergrupp för hotbildsstyrd penetrationstestning: personal inom myndigheterna med ansvar för hotbildsstyrd penetrationstestning som ansvarar för frågor som rör hotbildsstyrd penetrationstestning.

9.

testledare: personal som utsetts att leda aktiviteterna hos myndigheten med ansvar för hotbildsstyrd penetrationstestning i fråga om en specifik hotbildsstyrd penetrationstestning för att övervaka efterlevnaden av denna förordning.

10.

leverantör av underrättelser om hot: experter som anlitas av den finansiella entiteten för varje enskild hotbildsstyrd penetrationstestning som är externa i förhållande till den finansiella entiteten och eventuella koncerninterna IKT-tjänsteleverantörer, vilka samlar in och analyserar målinriktade underrättelser om hot som är relevanta för den finansiella entiteten sett till en specifik hotbildsstyrd penetrationstestning och tar fram matchande relevanta och realistiska hotscenarier.

11.

leverantörer av hotbildsstyrd penetrationstestning: testare och leverantörer av underrättelser om hot.

12.

hjälpinsats: den hjälp eller information som tillhandahålls av ledningslaget till testarna för att göra det möjligt för testarna att fortsätta genomförandet av en angreppsmetod när dessa inte klarar av att gå vidare på egen hand och när det inte finns något annat rimligt alternativ, i vilket innefattas brist på tid eller resurser i en specifik hotbildsstyrd penetrationstestning.

13.

angreppsmetod: den väg som testarna följer under den aktiva rött lag-testfasen i den hotbildsstyrda penetrationstestningen för att nå de flaggor som specificerats för denna testning.

14.

flaggor: centrala mål kopplade till de IKT-system som stöder en finansiell entitets kritiska eller viktiga funktioner vilka testarna försöker uppnå genom testet.

15.

känslig information: information som lätt kan utnyttjas för att utföra angrepp mot den finansiella entitetens IKT-system, immateriella rättigheter, konfidentiella affärsdata eller personuppgifter, som direkt eller indirekt kan skada den finansiella entiteten och dess ekosystem om den skulle falla i händerna på fientliga aktörer.

16.

gemensam pool: alla finansiella entiteter som deltar i en gemensam hotbildsstyrd penetrationstestning i enlighet med artikel 26.4 i förordning (EU) 2022/2554.

17.

värdmedlemsstat: värdmedlemsstaten i enlighet med den sektorsspecifika unionsrätt som är tillämplig för varje finansiell entitet.

18.

samlad hotbildsstyrd penetrationstestning: en annan hotbildsstyrd penetrationstestning än en gemensam hotbildsstyrd penetrationstestning enligt artikel 26.4 i förordning (EU) 2022/2554 som innefattar flera finansiella entiteter som använder samma koncerninterna IKT-tjänsteleverantör eller som tillhör samma koncern och delar IKT-system.