(EU) 2025/1190Nařízení Komise v přenesené pravomoci (EU) 2025/1190 ze dne 13. února 2025, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2022/2554, pokud jde o regulační technické normy upřesňující kritéria, která se použijí pro určení finančních subjektů, které jsou povinny provádět penetrační testování na základě hrozeb, požadavky a normy, kterými se řídí využívání interních subjektů provádějících testování, požadavky týkající se rozsahu testování, metodiky a postupů testování pro jednotlivé fáze procesu testování, výsledků a fáze ukončení testování a nápravy a druhu spolupráce v oblasti dohledu a jiné relevantní spolupráce, která je zapotřebí k provádění penetračního testování na základě hrozeb a pro usnadnění vzájemného uznávání těchto testů

(1)

Toto nařízení bylo vypracováno v souladu s rámcem TIBER-EU a odráží metodiku, proces a strukturu penetračního testování na základě hrozeb, jak je popsáno v rámci TIBER-EU. Finanční subjekty, na které se vztahuje penetrační testování na základě hrozeb, mohou odkazovat na rámec TIBER-EU nebo na některé jeho vnitrostátní prováděcí opatření a uplatňovat je, pokud je tento rámec nebo toto vnitrostátní prováděcí opatření v souladu s požadavky stanovenými v článcích 26 a 27 nařízení (EU) 2022/2554 a v tomto nařízení. Určením jediného veřejného orgánu ve finančním sektoru, který bude na vnitrostátní úrovni odpovědný za záležitosti související s penetračním testováním na základě hrozeb v souladu s čl. 26 odst. 9 nařízení (EU) 2022/2554, by neměla být dotčena pravomoc příslušných orgánů svěřená na úrovni Unie pro dohled nad některými finančními subjekty v souladu s článkem 46 uvedeného nařízení, jakou je například pravomoc svěřená Evropské centrální bance příslušné k provádění dohledu nad významnými úvěrovými institucemi, které mají být považovány za příslušné pro záležitosti týkající se penetračního testování na základě hrozeb. Pokud je podle čl. 26 odst. 10 nařízení (EU) 2022/2554 jiný vnitrostátní orgán ve finančním sektoru pověřen výkonem pouze některých úkolů souvisejících s penetračním testováním na základě hrozeb, měl by příslušným orgánem pro úkoly související s penetračním testováním na základě hrozeb, jejichž výkonem nebyl pověřen žádný jiný orgán, zůstat příslušný orgán finančního subjektu uvedený v článku 46 uvedeného nařízení.

(2)

Vzhledem ke složitosti penetračního testování na základě hrozeb a rizikům s ním spojeným by se jeho použití mělo omezit na ty finanční subjekty, u nichž je to odůvodněné. Proto by orgány odpovědné za záležitosti související s penetračním testováním na základě hrozeb (orgány pro penetrační testování na základě hrozeb buď na úrovni Unie, nebo na vnitrostátní úrovni) měly z rozsahu penetračního testování na základě hrozeb vyloučit ty finanční subjekty, které působí v hlavních pododvětvích finančních služeb, pro něž není penetrační testování na základě hrozeb odůvodněné. To znamená, že od požadavku na penetrační testování na základě hrozeb by mohly být osvobozeny úvěrové instituce, platební instituce a instituce elektronických peněz, centrální depozitáře cenných papírů, ústřední protistrany, obchodní systémy, pojišťovny a zajišťovny, přestože splňují kvantitativní kritéria, a to s ohledem na celkové posouzení jejich rizikového profilu a vyspělosti v oblasti IKT, dopadu na finanční sektor a souvisejících hledisek finanční stability.

(3)

Orgány pro penetrační testování na základě hrozeb by měly s ohledem na celkové posouzení rizikového profilu a vyspělosti v oblasti IKT, dopadu na finanční sektor a souvisejících hledisek finanční stability posoudit, zda by se penetrační testování na základě hrozeb mělo vztahovat na jakýkoli typ finančního subjektu kromě úvěrových institucí, platebních institucí, institucí elektronických peněz, ústředních protistran, centrálních depozitářů cenných papírů, obchodních systémů, pojišťoven a zajišťoven. Posouzení, zda tyto finanční subjekty splňují tato kvalitativní kritéria, by mělo být zaměřeno na určení finančních subjektů, pro které je penetrační testování na základě hrozeb vhodné, a to pomocí meziodvětvových a objektivních ukazatelů. Zároveň by se posuzování, zda finanční subjekt splňuje tato kvalitativní kritéria, mělo omezit na ty dotčené subjekty, u nichž je toto penetrační testování na základě hrozeb odůvodněné. To, zda finanční subjekt splňuje tato kvalitativní kritéria, by mělo být posuzováno také s ohledem na vývoj nových trhů a na rostoucí význam nových účastníků trhu pro finanční sektor v budoucnu, včetně poskytovatelů služeb souvisejících s kryptoaktivy povolených v souladu s článkem 59 nařízení Evropského parlamentu a Rady (EU) 2023/1114 (2).

(4)

Finanční subjekty mohou mít stejného poskytovatele služeb IKT v rámci skupiny nebo mohou patřit do stejné skupiny a spoléhat se na využívání sdílených systémů IKT. V takovém případě je důležité, aby orgány pro penetrační testování na základě hrozeb při posuzování toho, zda by se na finanční subjekt mělo vztahovat penetrační testování na základě hrozeb a zda by penetrační testování na základě hrozeb mělo být prováděno na úrovni subjektu nebo na úrovni skupiny (prostřednictvím sdruženého penetrační testování na základě hrozeb), zvážily strukturu a systémovou povahu nebo význam tohoto finančního subjektu pro finanční sektor na vnitrostátní úrovni nebo na úrovni Unie.

(5)

Aby metodika testování odrážela rámec TIBER-EU, je nutné, aby umožňovala zapojení těchto hlavních účastníků: finančního subjektu s řídícím týmem (odrážejícího „řídící tým“ rámce TIBER-EU) a modrým týmem (odrážejícím „modrý tým“ rámce TIBER-EU) a orgánu pro penetrační testování na základě hrozeb v podobě kybernetického týmu pro penetrační testování na základě hrozeb (odrážejícího „kybernetické týmy“ rámce TIBER-EU), poskytovatele operativních informací o hrozbách a subjektů provádějících testování (přičemž subjekty provádějící testování odrážejí „červený tým“ rámce TIBER-EU).

(6)

Aby se zajistilo, že penetrační testování na základě hrozeb bude těžit ze zkušeností získaných při provádění rámce TIBER-EU, a aby se snížila rizika spojená s prováděním penetračního testování na základě hrozeb, mělo by se zajistit, že povinnosti kybernetických týmů pro penetrační testování na základě hrozeb, které mají být zřízeny na úrovni orgánů pro penetrační testování na základě hrozeb, budou co nejvíce odpovídat povinnostem kybernetických týmů rámce TIBER-EU. Proto by kybernetické týmy pro penetrační testování na základě hrozeb měly mít vedoucí pracovníky pro testy, kteří budou odpovědní za dohled nad jednotlivými testy v rámci penetračního testování na základě hrozeb a za plánování a koordinaci jednotlivých testů. Kybernetické týmy pro penetrační testování na základě hrozeb by měly sloužit jako jediné kontaktní místo pro komunikaci s interními a externími zúčastněnými stranami ohledně testování, pro shromažďování a zpracovávání zpětné vazby a zkušeností z dříve provedených testů a pro podporu finančních subjektů, které penetrační testování na základě hrozeb podstupují.

(7)

Aby byla zohledněna metodika rámce TIBER-EU, měli by mít vedoucí pracovníci pro testy dovednosti a schopnosti potřebné k poskytování poradenství a ověřování návrhů subjektů provádějících testování. Zkušenosti s rámcem TIBER-EU ukázaly, že je přínosné mít ke každému testu přidělen tým zahrnující alespoň dva vedoucí pracovníky pro testy. S ohledem na to, že penetrační testování na základě hrozeb slouží k podpoře získávání zkušeností, se orgánům pro penetrační testování na základě hrozeb z důvodu ochrany důvěrnosti testů, a pokud nemají problémy se zdroji nebo odbornými znalostmi, důrazně doporučuje, aby vzaly na vědomí, že po dobu trvání penetračního testování na základě hrozeb by vedoucí pracovníci pro testy neměli provádět činnosti dohledu nad stejným finančním subjektem, který prochází penetračním testováním na základě hrozeb.

(8)

Pro zajištění souladu s rámcem TIBER-EU je důležité, aby orgán pro penetrační testování na základě hrozeb pečlivě sledoval testování v každé jeho fázi. Vzhledem k povaze testování a rizikům s ním spojeným je zásadní, aby byl orgán pro penetrační testování na základě hrozeb zapojen do každé konkrétní fáze testování. Orgán pro penetrační testování na základě hrozeb by měl být zejména konzultován a měl by potvrdit posouzení nebo rozhodnutí finančních subjektů, která mohou na jedné straně ovlivnit účinnost testu a na druhé straně mít dopad na rizika spojená s testem. K základním krokům, do nichž se musí orgán pro penetrační testování na základě hrozeb konkrétně zapojit, patří potvrzování určité základní dokumentace testování a výběr poskytovatelů operativních informací o hrozbách a subjektů provádějících testování a opatření k řízení rizik. Zapojení orgánů pro penetrační testování na základě hrozeb, zejména do potvrzování, by nemělo vést k nadměrné zátěži těchto orgánů, a mělo by se proto omezit na dokumenty a rozhodnutí, které přímo ovlivňují provádění penetračního testování na základě hrozeb. Díky aktivní účasti v každé fázi testování mohou orgány pro penetrační testování na základě hrozeb účinně posoudit soulad finančních subjektů s příslušnými požadavky, což by mělo těmto orgánům umožnit vydávat osvědčení podle čl. 26 odst. 7 nařízení (EU) 2022/2554.

(9)

Důvěrný charakter penetračního testování na základě hrozeb má zásadní význam pro zajištění reálných podmínek testování. Z tohoto důvodu by mělo být testování skryté, měla by být přijata opatření k zachování důvěrnosti penetračního testování na základě hrozeb a měly by být mimo jiné vybrány názvy kódů, které by měly být navrženy tak, aby třetím stranám zabránily zjištění penetračního testování na základě hrozeb. Pokud by se zaměstnanci odpovědní za bezpečnost finančního týmu dozvěděli o plánovaném nebo probíhajícím penetračním testování na základě hrozeb, je pravděpodobné, že by byli pozornější a ostražitější než za běžných pracovních podmínek, což by vedlo ke změně výsledku testování. Zaměstnanci finančního subjektu mimo řídící tým by proto měli být o plánovaném nebo probíhajícím penetračním testování na základě hrozeb informováni pouze v případě, že k tomu existují pádné důvody, a po předchozím souhlasu vedoucích pracovníků pro testy, mimo jiné proto, aby byla zajištěna důvěrnost testu pro případ, že by člen modrého týmu testování odhalil.

(10)

Jak vyplývá ze zkušeností získaných rámcem TIBER-EU v souvislosti s „řídícím týmem“, je pro bezpečné provádění penetračního testování na základě hrozeb nezbytný výběr vhodného vedoucího člena řídícího týmu. Vedoucí člen řídícího týmu by měl mít v rámci finančního subjektu potřebný mandát k řízení všech aspektů testování, aniž by byla narušena jeho důvěrnost. Ze stejného důvodu by členové řídícího týmu měli mít hluboké znalosti o finančním subjektu, o pracovní roli vedoucího člena řídícího týmu a o jeho strategickém postavení, měli by mít požadovanou délku výkonu funkce a přístup ke správní radě. Aby se snížilo riziko narušení penetračního testování na základě hrozeb, měl by být řídící tým co nejmenší.

(11)

S penetračním testováním na základě hrozeb jsou neodmyslitelně spojena rizika, protože zásadní funkce jsou testovány v produkčním prostředí za provozu, což může způsobit incidenty odmítnutí služby, neočekávané pády systému, poškození kritických produkčních systémů za provozu nebo ztrátu, modifikaci či zveřejnění dat. Tato rizika zdůrazňují potřebu důkladných opatření k řízení rizik. Aby bylo zajištěno, že penetrační testování na základě hrozeb bude po celou dobu testování probíhat kontrolovaně, je velmi důležité, aby si finanční subjekty byly ve všech bodech vědomy konkrétních rizik, která při penetračním testování na základě hrozeb vznikají, a aby tato rizika byla zmírněna. V tomto ohledu, aniž by byly dotčeny interní procesy finančního subjektu a odpovědnost a pověření, které již byly svěřeny vedoucímu členovi řídícího týmu, může být vhodné poskytnout informace o opatřeních k řízení rizik v souvislosti s penetračním testováním na základě hrozeb nebo v konkrétních případech může být vhodné schválení těchto opatření k řízení rizik samotným vedoucím orgánem finančního subjektu. Aby bylo možné poskytovat efektivní a co nejkvalifikovanější odborné služby a snižovat tato rizika, je také nezbytné, aby subjekty provádějící testování a poskytovatelé operativních informací o hrozbách (společně poskytovatelé penetračního testování na základě hrozeb) měli nejvyšší úroveň dovedností, odborných znalostí a odpovídající zkušenosti v oblasti operativních informací o hrozbách a penetračního testování na základě hrozeb v odvětví finančních služeb.

(12)

Běžné penetrační testy poskytují podrobné a užitečné posouzení technických a konfiguračních zranitelností často jednoho izolovaného systému nebo prostředí, ale na rozdíl od na operativních informacích založeného (metoda „červeného týmu“) testování nehodnotí celý scénář cíleného útoku na celý subjekt, ani kompletní rozsah jeho lidského kapitálu, procesů a technologií. Finanční subjekty by se proto měly při výběru poskytovatelů penetračního testování na základě hrozeb ujistit, že tito poskytovatelé mají potřebné dovednosti k provádění na operativních informacích založeného (metoda „červeného týmu“) testování, a nikoli pouze penetračních testů. Je proto nutné stanovit komplexní kritéria pro interní i externí subjekty provádějící testování a poskytovatele operativních informací o hrozbách, vždy externí. Pokud poskytovatelé penetračního testování na základě hrozeb patří do stejné společnosti, měli by být zaměstnanci pověření penetračním testováním na základě hrozeb náležitě odděleni.

(13)

Mohou nastat výjimečné okolnosti, za kterých finanční subjekty nemohou uzavřít smlouvu s poskytovateli penetračního testování na základě hrozeb, kteří splňují komplexní kritéria. Finanční subjekty by proto měly mít po prokázání nedostupnosti těchto poskytovatelů operativních informací o hrozbách možnost zapojit osoby, které nesplňují všechna komplexní kritéria, za předpokladu, že řádně zmírní veškerá z toho vyplývající dodatečná rizika a že orgán pro penetrační testování na základě hrozeb všechna tato kritéria posoudí.

(14)

Pokud se na penetračním testování na základě hrozeb podílí několik finančních subjektů a několik orgánů pro penetrační testování na základě hrozeb, měly by být v procesu penetračního testování na základě hrozeb upřesněny role všech stran, aby bylo možné provést co nejefektivnější a nejbezpečnější test. Pro účely společného testování je nutné stanovit zvláštní požadavky na úlohu určeného finančního subjektu, konkrétně to, že by měl být odpovědný za poskytování veškeré potřebné dokumentace vedoucímu orgánu pro penetrační testování na základě hrozeb a za monitorování procesu testování. Určený finanční subjekt by měl mít na starosti také společné aspekty hodnocení řízení rizik. Bez ohledu na roli určeného finančního subjektu by neměly být během společného testu dotčeny povinnosti jednotlivých finančních subjektů, které se účastní procesu společného penetračního testování na základě hrozeb. Stejná zásada by měla platit i pro sdružené penetrační testování na základě hrozeb.

(15)

Jak ukazují zkušenosti s prováděním rámce TIBER-EU, nejefektivnějším způsobem, jak zajistit řádný průběh testování, je pořádání osobních nebo virtuálních schůzek zahrnujících všechny zúčastněné strany (finanční subjekty, orgány, subjekty provádějící testování a poskytovatele operativních informací o hrozbách). Osobní a virtuální schůzky by se proto měly konat v různých fázích procesu, a to zejména ve fázi přípravy a při zahájení penetračního testování na základě hrozeb za účelem dokončení vymezení jeho rozsahu, ve fázi testování za účelem dokončení zprávy o operativních informacích o hrozbách a plánu testování metodou „červeného týmu“ a za účelem týdenních aktualizací a ve fázi ukončení k zopakování akcí subjektů provádějících testování a modrého týmu, testování metodou „fialového týmu“ a za účelem výměny zpětné vazby k penetračnímu testování na základě hrozeb.

(16)

Aby bylo zajištěno bezproblémové provádění penetračního testování na základě hrozeb, měl by orgán pro penetrační testování na základě hrozeb finančnímu subjektu jasně sdělit svá očekávání ohledně testování. V tomto ohledu by měli vedoucí pracovníci pro testy zajistit, aby byl vytvořen vhodný tok informací s řídícím týmem v rámci finančního subjektu a s poskytovateli penetračního testování na základě hrozeb.

(17)

Finanční subjekt by měl vybrat zásadní nebo důležité funkce, které budou spadat do rozsahu penetračního testování na základě hrozeb. Při výběru těchto funkcí by měl finanční subjekt vycházet z různých kritérií týkajících se významu každé funkce pro samotný finanční subjekt a pro finanční sektor na úrovni Unie a na vnitrostátní úrovni, a to nejen z ekonomického hlediska, ale také s ohledem na symbolický nebo politický status funkce. Pro usnadnění bezproblémového přechodu do fáze shromažďování operativních informací o hrozbách by měl řídící tým poskytnout subjektům provádějícím testování a poskytovatelům operativních informací o hrozbách, kteří nejsou zapojeni do procesu stanovení rozsahu, podrobné informace o dohodnutém rozsahu.

(18)

Aby subjektům provádějícím testování poskytl informace potřebné k simulaci skutečného a realistického útoku na systémy finančního subjektu za provozu, které jsou základem jeho zásadních nebo důležitých funkcí, měl by poskytovatel operativních informací o hrozbách shromažďovat operativní informace nebo informace, které pokrývají alespoň dvě klíčové oblasti zájmu: cíle, a to identifikací potenciálních prostorů k útoku v rámci finančního subjektu, a hrozby, a to identifikací příslušných aktérů hrozeb a pravděpodobných scénářů hrozeb. Aby se zajistilo, že poskytovatel operativních informací o hrozbách zohlední relevantní hrozby pro finanční subjekt, měly by subjekty provádějící testování, řídící tým a vedoucí pracovníci pro testy poskytnout zpětnou vazbu k návrhu zprávy o operativních informacích o hrozbách. Pokud je k dispozici, může poskytovatel operativních informací o hrozbách použít jako základ pro vnitrostátní prostředí hrozeb generické prostředí hrozeb poskytnuté orgánem pro penetrační testování na základě hrozeb pro finanční sektor členského státu. Na základě uplatňování rámce TIBER-EU trvá proces shromažďování operativních informací o hrozbách obvykle přibližně čtyři týdny.

(19)

Aby mohly subjekty provádějící testování získat přehled a podrobněji přezkoumat dokument upřesňující rozsah a zprávu o cílených operativních informacích o hrozbách, a dokončit tak plán testování metodou „červeného týmu“, je nezbytné, aby před fází testování metodou „červeného týmu“ v rámci penetračního testování na základě hrozeb obdržely od poskytovatele operativních informací o hrozbách podrobné vysvětlení zprávy o cílených operativních informacích o hrozbách a analýzu možných scénářů hrozeb.

(20)

Aby mohly subjekty provádějící testování provést realistické a komplexní testování, při kterém se provedou všechny fáze útoku a dosáhne se příznaků, měla by být na fázi aktivního testování metodou „červeného týmu“ vyhrazena dostatečná doba. Na základě zkušeností získaných s rámcem TIBER-EU by měla být vyhrazená doba dlouhá nejméně dvanáct týdnů a měla by být stanovena s ohledem na počet zúčastněných stran, rozsah penetračního testování na základě hrozeb, zdroje zúčastněného finančního subjektu nebo zúčastněných finančních subjektů, případné externí požadavky a dostupnost podpůrných informací poskytnutých finančním subjektem.

(21)

Ve fázi aktivního testování metodou „červeného týmu“ by měly subjekty provádějící testování využívat řadu taktik, technik a postupů, aby adekvátně otestovaly produkční systémy finančního subjektu za provozu. Taktiky, techniky a postupy by měly podle potřeby zahrnovat průzkum (tj. shromáždění co největšího množství informací o cíli), přípravu (tj. analýzu informací o infrastruktuře, zařízeních a zaměstnancích a přípravu na operace specifické pro daný cíl), spuštění (tj. aktivní zahájení kompletní operace zaměřené na cíl), využití (tj. kdy je cílem subjektů provádějících testování kompromitovat servery, sítě finančního subjektu a využít jeho zaměstnance prostřednictvím sociálního inženýrství), kontrolu a přesun (tj. pokusy o přesun z kompromitovaných systémů do dalších zranitelných systémů nebo systémů s vysokou hodnotou) a opatření zaměřená na cíl (tj. získání širšího přístupu do kompromitovaných systémů a získání přístupu k předem dohodnutým informacím a datům cíle, jak bylo předem dohodnuto v plánu testování metodou „červeného týmu“).

(22)

Při provádění penetračního testování na základě hrozeb by měly subjekty provádějící testování postupovat s ohledem na dobu, která je k provedení útoku k dispozici, zdroje a etické a právní hranice. Pokud by subjekty provádějící testování nedokázaly postoupit do další naprogramované fáze útoku, měl by jim řídící tým po dohodě s orgánem pro penetrační testování na základě hrozeb poskytnout příležitostnou pomoc ve formě „podpory“. Podporu lze obecně rozdělit na informační a přístupovou; může spočívat v poskytnutí přístupu do systémů IKT nebo interních sítí, aby bylo možné pokračovat v testu a zaměřit se na následující kroky útoku.

(23)

Během aktivního testování nasazením „červeného týmu“ ve fázi testování by mělo být využito společné testování, do kterého se zapojí jak subjekty provádějící testování, tak modrý tým, pokud je to nutné, aby bylo možné pokračovat v penetračním testování na základě hrozeb jako poslední možnosti za výjimečných okolností a po vyčerpání všech alternativních možností. V rámci tohoto omezeného testování metodou „fialového týmu“ lze použít následující metody: metodu „catch-and-release“, kdy se subjekty provádějící testování pokoušejí pokračovat ve scénářích, jsou odhaleni a poté pokračují v testování, metodu „war gaming“, která umožňuje složitější scénáře pro testování strategického rozhodování, nebo metodu „collaborative proof-of-concept“, která umožňuje subjektům provádějící testování a členům modrého týmu společně ověřovat konkrétní bezpečnostní opatření, nástroje nebo techniky v kontrolovaném a spolupracujícím prostředí.

(24)

Penetrační testování na základě hrozeb by mělo sloužit k získávání zkušeností s cílem zvýšit digitální provozní odolnost finančních subjektů. V tomto ohledu by modrý tým a subjekty provádějící testování měly útok zopakovat a ve spolupráci se subjekty provádějícími testování přezkoumat kroky, které byly podniknuty, aby se z testování poučily. Za tímto účelem a s cílem umožnit odpovídající přípravu by měly být zpráva o testování metodou „červeného týmu“ a zpráva o testování metodou „modrého týmu“ zpřístupněny všem stranám zapojeným do zopakování před tím, než budou provedeny jakékoli činnosti v rámci zopakování. Ve fázi ukončení by navíc mělo být provedeno testování metodou „fialového týmu“, aby se maximalizovaly získané zkušenosti. Metody, které mohou být použity pro testování metodou „fialového týmu“ ve fázi ukončení, by měly zahrnovat diskuse o alternativních scénářích útoku, zkoumání alternativních scénářů na systémech za provozu nebo opětovné zkoumání plánovaných scénářů na systémech za provozu, které se subjektům provádějícím testování nepodařilo dokončit nebo provést během fáze testování.

(25)

Aby se zajistilo, že všechny zúčastněné strany zapojené do penetračního testování na základě hrozeb získají zkušenosti, aby se zlepšily budoucí testy a aby se posílila digitální provozní odolnost finančních subjektů, měly by si zúčastněné strany vzájemně poskytovat zpětnou vazbu k celému procesu a zejména určit, které činnosti probíhaly dobře nebo mohly být zlepšeny a které aspekty procesu penetračního testování na základě hrozeb fungovaly dobře nebo by mohly být zlepšeny.

(26)

Příslušné orgány uvedené v článku 46 nařízení (EU) 2022/2554 a orgány pro penetrační testování na základě hrozeb by měly, pokud se liší, spolupracovat na začlenění pokročilého testování prostřednictvím penetračního testování na základě hrozeb do stávajících postupů dohledu. V tomto ohledu a za účelem zajištění správného pochopení zjištění z penetračního testování na základě hrozeb a jejich výkladu je vhodné, aby zejména v případě souhrnné zprávy o testu a plánů nápravných opatření byla navázána úzká spolupráce mezi vedoucími pracovníky pro testy, kteří se podíleli na penetračním testování na základě hrozeb, a odpovědnými orgány dohledu.

(27)

Ustanovení čl. 26 odst. 8 prvního pododstavce nařízení (EU) 2022/2554 stanoví, že finanční subjekty musí provedení vždy jednoho ze tří testů zadat externímu subjektu provádějícímu testování. Pokud finanční subjekty zahrnují do týmu subjektů provádějících testování jak interní, tak externí subjekty provádějící testování, mělo by se pro účely uvedeného článku považovat penetrační testování na základě hrozeb za takové, jež je prováděné interními subjekty provádějícími testování.

(28)

Toto nařízení je založeno na návrhu regulačních technických norem předloženém Komisi Evropským orgánem pro bankovnictví, Evropským orgánem pro pojišťovnictví a zaměstnanecké penzijní pojištění a Evropským orgánem pro cenné papíry a trhy (dále jen „evropské orgány dohledu“), a to po dohodě s Evropskou centrální bankou.

(29)

Evropské orgány dohledu uspořádaly otevřené veřejné konzultace o návrzích regulačních technických norem, z nichž toto nařízení vychází, provedly analýzu potenciálních souvisejících nákladů a přínosů a vyžádaly si stanovisko skupiny subjektů působících v bankovnictví zřízené na základě článku 37 nařízení Evropského parlamentu a Rady (EU) č. 1093/2010 (3), skupiny subjektů působících v oblasti pojištění a zajištění a skupiny subjektů působících v oblasti zaměstnaneckého penzijního pojištění zřízených na základě článku 37 nařízení Evropského parlamentu a Rady (EU) č. 1094/2010 (4) a skupiny subjektů působících v oblasti cenných papírů a trhů zřízené na základě článku 37 nařízení Evropského parlamentu a Rady (EU) č. 1095/2010 (5).

(30)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (6) byl konzultován evropský inspektor ochrany údajů, který vydal stanovisko dne 20. srpna 2024,

1)

„řídícím týmem“ tým složený ze zaměstnanců testovaného finančního subjektu, a pokud je to s ohledem na rozsah penetračního testování na základě hrozeb relevantní, ze zaměstnanců jeho poskytovatelů služeb z řad třetích stran a jakékoli další zúčastněné strany, která řídí test;

2)

„vedoucím členem řídícího týmu“ zaměstnanec finančního subjektu odpovědný za provádění všech činností souvisejících s penetračním testováním na základě hrozeb pro finanční subjekt v rámci daného testu;

3)

„modrým týmem“ zaměstnanci finančního subjektu a případně zaměstnanci jeho poskytovatelů služeb z řad třetích stran a jakákoli další zúčastněná strana, která je považována za relevantní s ohledem na rozsah penetračního testování na základě hrozeb, jeho poskytovatelů služeb z řad třetích stran, kteří brání používání sítě a informačních systémů finančního subjektu tím, že udržují jeho stav zabezpečení před simulovanými nebo skutečnými útoky, a kteří si nejsou penetračního testování na základě hrozeb vědomi;

4)

„úkoly modrého týmu“ úkoly, které obvykle vykonává modrý tým, jako jsou bezpečnostní operační středisko, služby infrastruktury IKT, služby helpdesku, služby řízení incidentů na provozní úrovni;

5)

„červeným týmem“ interní nebo externí subjekty provádějící testování, které jsou pro penetrační testování na základě hrozeb najati nebo přiděleni;

6)

„testováním metodou ‚fialového týmu‘“ společné testování, do kterého jsou zapojeny subjekty provádějící testování i modrý tým;

7)

„orgánem pro penetrační testování na základě hrozeb“:

8)

„kybernetickým týmem pro penetrační testování na základě hrozeb“ zaměstnanci orgánů pro penetrační testování na základě hrozeb, kteří jsou odpovědní za záležitosti týkající se tohoto testování;

9)

„vedoucími pracovníky pro testy“ zaměstnanci určení k vedení činností orgánu pro penetrační testování na základě hrozeb pro konkrétní penetrační testování na základě hrozeb za účelem sledování dodržování tohoto nařízení;

10)

„poskytovatelem operativních informací o hrozbách“ odborníci najatí finančním subjektem pro každé penetrační testování na základě hrozeb, kteří jsou externí vůči finančnímu subjektu a případným poskytovatelům služeb IKT v rámci skupiny a kteří shromažďují a analyzují cílené operativní informace o hrozbách relevantní pro finanční subjekty v rámci konkrétního penetračního testování na základě hrozeb a vypracovávají odpovídající relevantní a realistické scénáře hrozeb;

11)

„poskytovateli penetračního testování na základě hrozeb“ subjekty provádějící testování a poskytovatelé operativních informací o hrozbách;

12)

„podporou“ pomoc nebo informace, které řídící tým poskytuje subjektům provádějícím testování, aby jim umožnil pokračovat v provádění cesty útoku, pokud nejsou schopni postupovat dále samy a pokud neexistuje jiná rozumná alternativa, a to i z důvodu nedostatečného času nebo zdrojů v daném penetračním testování na základě hrozeb;

13)

„cestou útoku“ trasa, po které se subjekty provádějící testování během fáze aktivního testování metodou „červeného týmu“ v rámci penetračního testování na základě hrozeb dostanou k příznakům určeným pro dané penetrační testování na základě hrozeb;

14)

„příznaky“ klíčové cíle v systémech IKT podporujících zásadní nebo důležité funkce finančního subjektu, kterých se subjekty provádějící testování snaží dosáhnout prostřednictvím testu;

15)

„citlivými informacemi“ informace, které lze snadno využít k útokům na systémy IKT finančního subjektu, duševní vlastnictví, důvěrné obchodní údaje nebo osobní údaje, které mohou přímo či nepřímo poškodit finanční subjekt a jeho ekosystém, pokud by se dostaly do rukou zlovolných aktérů;

16)

„skupinou“ všechny finanční subjekty, které se účastní společného penetračního testování na základě hrozeb podle čl. 26 odst. 4 nařízení (EU) 2022/2554;

17)

„hostitelským členským státem“ hostitelský členský stát v souladu s odvětvovým právem Unie, které se vztahuje na každý finanční subjekt;

18)

„sdruženým penetračním testováním na základě hrozeb“ se rozumí penetrační testování na základě hrozeb jiné než společné penetrační testování na základě hrozeb uvedené v čl. 26 odst. 4 nařízení (EU) 2022/2554, které zahrnuje několik finančních subjektů využívajících stejného poskytovatele služeb IKT v rámci skupiny nebo patřících do stejné skupiny a sdílejících systémy IKT.