Artykuł 24

1. Do celów oceny gotowości do obsługi incydentów związanych z ICT, określania słabości, niedoskonałości i luk w zakresie operacyjnej odporności cyfrowej oraz niezwłocznego wdrażania środków naprawczych podmioty finansowe inne niż mikroprzedsiębiorstwa – biorąc pod uwagę kryteria określone w art. 4 ust. 2 – ustanawiają i utrzymują prawidłowy i kompleksowy program testowania operacyjnej odporności cyfrowej stanowiący integralną część ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 6, oraz dokonują przeglądu tego programu.

2. Program testowania operacyjnej odporności cyfrowej obejmuje szereg ocen, testów, metodyk, praktyk i narzędzi, które należy stosować zgodnie z art. 25 i 26.

3. Podczas realizacji programu testowania operacyjnej odporności cyfrowej, o którym mowa w ust. 1 niniejszego artykułu, podmioty finansowe inne niż mikroprzedsiębiorstwa stosują podejście oparte na analizie ryzyka i biorą pod uwagę kryteria określone w art. 4 ust. 2, należycie uwzględniając zmieniające się środowisko ryzyka związanego z ICT, wszelkie szczególne rodzaje ryzyka, na które dany podmiot finansowy jest lub może być narażony, krytyczność zasobów informacyjnych i świadczonych usług, jak również wszelkie inne czynniki, które podmiot finansowy uzna za stosowne.

4. Podmioty finansowe inne niż mikroprzedsiębiorstwa zapewniają, aby testy były przeprowadzane przez niezależne strony wewnętrzne lub zewnętrzne. W przypadku gdy testy są przeprowadzane przez testera wewnętrznego, podmioty finansowe przeznaczają wystarczające zasoby i zapewniają unikanie konfliktów interesów na wszystkich etapach projektowania i wykonywania testu.

5. Podmioty finansowe inne niż mikroprzedsiębiorstwa ustanawiają procedury i zasady ustalania hierarchii, klasyfikowania i rozwiązywania wszystkich problemów ujawnionych w trakcie przeprowadzania testów oraz ustanawiają wewnętrzne metody zatwierdzania w celu dopilnowania, aby w pełni usunięto wszystkie stwierdzone słabości, niedoskonałości lub luki.

6. Podmioty finansowe inne niż mikroprzedsiębiorstwa zapewniają, co najmniej raz w roku, przeprowadzenie odpowiednich testów wszystkich systemów i aplikacji ICT wspierających krytyczne lub istotne funkcje.