Artykuł 15

1. Podmioty finansowe ustanawiają wszystkie poniższe środki na potrzeby korzystania z testerów wewnętrznych:

a) ustanowienie i wdrożenie polityki zarządzania testerami wewnętrznymi podczas TLPT;

b) środki służące zapewnieniu, aby korzystanie z testerów wewnętrznych do przeprowadzania TLPT nie miało negatywnego wpływu na ogólne zdolności podmiotu finansowego w zakresie obrony lub odporności na incydenty związane z ICT ani nie miało znaczącego wpływu na dostępność zasobów przeznaczonych na zadania związane z ICT podczas TLPT;

c) środki służące zapewnieniu, aby testerzy wewnętrzni posiadali wystarczające zasoby i zdolności do przeprowadzenia TLPT.

Polityka, o której mowa w lit. a):

a) zawiera kryteria oceny odpowiedniości, kompetencji i potencjalnych konfliktów interesów testerów wewnętrznych oraz określa obowiązki zarządcze w procesie testowania;

b) jest dokumentowana i poddawana okresowym przeglądom;

c) zapewnia, aby w skład zespołu testerów wewnętrznych wchodził lider testów i co najmniej dwóch dodatkowych członków;

d) zawiera wymóg, aby wszyscy członkowie zespołu testerów byli zatrudnieni przez podmiot finansowy lub przez dostawcę usług ICT wewnątrz grupy przez ostatnie 12 miesięcy;

e) uwzględnia przepisy dotyczące szkolenia testerów wewnętrznych w zakresie sposobu przeprowadzania testów penetracyjnych i testów z udziałem zespołu typu red team.

2. Przy zatwierdzaniu przez organ ds. TLPT korzystania z testerów wewnętrznych zgodnie z art. 27 ust. 2 lit. a) rozporządzenia (UE) 2022/2554 organ ds. TLPT uwzględnia wymogi określone w art. 7 ust. 1 niniejszego rozporządzenia.

3. Korzystając z testerów wewnętrznych, podmiot finansowy zapewnia, aby takie korzystanie zostało wymienione w następujących dokumentach:

a) informacjach dotyczących inicjacji testów, o których mowa w art. 9;

b) sprawozdaniu z testów sporządzonym przez zespół typu red team, o którym to sprawozdaniu mowa w art. 12 ust. 2;

c) sprawozdaniu podsumowującym najbardziej istotne ustalenia z TLPT, o którym mowa w art. 26 ust. 6 rozporządzenia (UE) 2022/2554.

4. Testerów zatrudnionych przez dostawcę usług ICT wewnątrz grupy uznaje się za testerów wewnętrznych podmiotu finansowego.