Rozporządzenie delegowane Komisji (UE) 2025/1190 z dnia 13 lutego 2025 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych określających kryteria stosowane do identyfikacji podmiotów finansowych zobowiązanych do przeprowadzania testów penetracyjnych pod kątem wyszukiwania zagrożeń, wymogi i standardy regulujące korzystanie z testerów wewnętrznych, wymogi dotyczące zakresu, metodyki testowania i podejścia dla każdego etapu procesu testowania oraz etapów testów odnoszących się do wyników, zamykania i środków naprawczych, a także rodzaj współpracy w zakresie nadzoru i inne odpowiednie rodzaje współpracy potrzebne do przeprowadzenia TLPT i do ułatwienia wzajemnego uznawania
Artykuł 16
W mocyWspółpraca i wzajemne uznawanie
1. Do celów przeprowadzenia TLPT w odniesieniu do podmiotu finansowego świadczącego usługi w więcej niż jednym państwie członkowskim, w tym za pośrednictwem oddziału, jego organ ds. TLPT:
a) ustala, które organy ds. TLPT w przyjmujących państwach członkowskich należy zaangażować, biorąc pod uwagę, czy co najmniej jedna krytyczna lub istotna funkcja jest realizowana w przyjmujących państwach członkowskich lub jest współdzielona przez te państwa;
b) informuje organy ds. TLPT określone zgodnie z lit. a) o decyzji, by poddać podmiot finansowy testom TLPT;
c) o ile organy ds. TLPT nie uzgodnią inaczej, organ ds. TLPT właściwy dla podmiotu finansowego kieruje TLPT.
W ciągu 20 dni roboczych od otrzymania informacji o planowanym przeprowadzeniu TLPT organy ds. TLPT przyjmujących państw członkowskich mogą wyrazić zainteresowanie udziałem w TLPT w charakterze obserwatorów albo wyznaczyć kierownika testów do udziału w TLPT. Wiodący organ ds. TLPT przekazuje wszystkim organom ds. TLPT uczestniczącym w TLPT w charakterze obserwatorów dokument określający zakres, sprawozdanie podsumowujące z testów, plan naprawczy i poświadczenie.
Wiodący organ ds. TLPT koordynuje działania wszystkich uczestniczących organów ds. TLPT przez cały czas trwania testów i podejmuje wszelkie decyzje niezbędne do właściwego i skutecznego przeprowadzenia TLPT. Wiodący organ ds. TLPT może ustalić maksymalną liczbę uczestniczących organów ds. TLPT, jeżeli uczestnictwo większej ich liczby mogłoby zagrozić skutecznemu przeprowadzeniu TLPT.
2. W przypadku gdy podmiot finansowy korzysta z tego samego dostawcy usług ICT wewnątrz grupy co podmioty finansowe mające siedzibę w innych państwach członkowskich lub należy do grupy i współdzieli systemy ICT z podmiotami finansowymi z tej samej grupy mającymi siedzibę w innych państwach członkowskich, organ ds. TLPT podmiotu finansowego kontaktuje się z organami ds. TLPT innych podmiotów finansowych korzystających z tego samego dostawcy usług ICT wewnątrz grupy lub współdzielących systemy ICT w ramach grupy i ocenia wraz z nimi wykonalność i stosowność przeprowadzenia dla tych podmiotów wspólnych TLPT. Przeprowadzenie wspólnych TLPT uznaje się za lepsze rozwiązanie niż przeprowadzenie indywidualnych TLPT, jeżeli może to skutkować ograniczeniem kosztów i zasobów podmiotów finansowych i organów ds. TLPT, pod warunkiem że nie wpłynie to negatywnie na rzetelność i skuteczność testów.
3. Na potrzeby przeprowadzenia wspólnych TLPT:
a) organy ds. TLPT podmiotów finansowych uzgadniają, który podmiot finansowy zostanie wyznaczony do przeprowadzenia TLPT, biorąc pod uwagę strukturę grupy i skuteczność testu;
b) organ ds. TLPT podmiotu finansowego wyznaczonego zgodnie z lit. a) kieruje TLPT, chyba że organy ds. TLPT podmiotów finansowych uczestniczących we wspólnych TLPT uzgodnią inaczej;
c) organy ds. TLPT podmiotów finansowych innych niż podmiot finansowy wyznaczony do kierowania wspólnymi TLPT mogą wyrazić zainteresowanie śledzeniem TLPT w charakterze obserwatorów albo przydzielić kierownika testów do tych TLPT.
Wiodący organ ds. TLPT koordynuje działania wszystkich organów ds. TLPT zaangażowanych we wspólne TLPT i podejmuje wszystkie decyzje niezbędne do przeprowadzenia wspólnych TLPT w prawidłowy i skuteczny sposób.
4. W przypadku gdy podmiot finansowy zamierza przeprowadzić zbiorcze TLPT, o których mowa w art. 26 ust. 4 rozporządzenia (UE) 2022/2554, z ewentualnym udziałem podmiotów finansowych mających siedzibę w innych państwach członkowskich, jego organ ds. TLPT kontaktuje się z organami ds. TLPT pozostałych podmiotów finansowych i wraz z nimi ocenia wykonalność i stosowność przeprowadzenia dla tych podmiotów zbiorczych TLPT zgodnie z art. 26 ust. 4 rozporządzenia (UE) 2022/2554.
5. Na potrzeby przeprowadzenia zbiorczych TLPT, o których mowa w art. 26 ust. 4 rozporządzenia (UE) 2022/2554:
a) organy ds. TLPT podmiotów finansowych uzgadniają, który podmiot finansowy zostanie wyznaczony do prowadzenia zbiorczych TLPT, biorąc pod uwagę usługi ICT świadczone przez zewnętrznego dostawcę usług ICT na rzecz podmiotów finansowych oraz skuteczność testu;
b) organ ds. TLPT podmiotu finansowego wyznaczonego zgodnie z lit. a) kieruje TLPT, chyba że organy ds. TLPT podmiotów finansowych uczestniczących w zbiorczych TLPT uzgodnią inaczej;
c) organy ds. TLPT podmiotów finansowych innych niż podmiot finansowy wyznaczony do kierowania zbiorczymi TLPT mogą wyrazić zainteresowanie śledzeniem TLPT w charakterze obserwatorów albo przydzielić kierownika testów do tych TLPT.
Wiodący organ ds. TLPT koordynuje działania wszystkich organów ds. TLPT zaangażowanych w zbiorcze TLPT i podejmuje wszystkie decyzje niezbędne do przeprowadzenia zbiorczych TLPT w prawidłowy i skuteczny sposób.
6. W przypadku gdy organ ds. TLPT podmiotu finansowego zobowiązanego do przeprowadzenia TLPT różni się od jego właściwego organu, o którym mowa w art. 46 rozporządzenia (UE) 2022/2554, organy te, na potrzeby przeprowadzenia TLPT lub wykonywania swoich obowiązków zgodnie z tym rozporządzeniem, wymieniają się wszelkimi istotnymi informacjami dotyczącymi wszystkich kwestii związanych z TLPT.
Tekst urzędowy w EUR-Lex. Lexeva pokazuje treść przepisu, nie udziela porad prawnych. Moc prawną ma wyłącznie tekst opublikowany w Dzienniku Urzędowym Unii Europejskiej.