Rozporządzenie delegowane Komisji (UE) 2025/1190 z dnia 13 lutego 2025 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych określających kryteria stosowane do identyfikacji podmiotów finansowych zobowiązanych do przeprowadzania testów penetracyjnych pod kątem wyszukiwania zagrożeń, wymogi i standardy regulujące korzystanie z testerów wewnętrznych, wymogi dotyczące zakresu, metodyki testowania i podejścia dla każdego etapu procesu testowania oraz etapów testów odnoszących się do wyników, zamykania i środków naprawczych, a także rodzaj współpracy w zakresie nadzoru i inne odpowiednie rodzaje współpracy potrzebne do przeprowadzenia TLPT i do ułatwienia wzajemnego uznawania
Artykuł 4
W mocyRozwiązania organizacyjne dla podmiotów finansowych
1. Podmioty finansowe wyznaczają lidera zespołu typu control team, który odpowiada za bieżące zarządzanie TLPT oraz za decyzje i działania zespołu typu control team.
2. Podmioty finansowe ustanawiają środki organizacyjne i proceduralne w celu zapewnienia, aby:
a) dostęp do informacji dotyczących wszelkich planowanych lub trwających TLPT był ograniczony na zasadzie wiedzy koniecznej do zespołu typu control team, organu zarządzającego, testerów, dostawcy analizy zagrożeń i organu ds. TLPT;
b) przed zaangażowaniem jakiegokolwiek członka zespołu typu blue team w TLPT zespół typu control team konsultował się z kierownikami testów;
c) zespół typu control team był informowany o każdym wykryciu TLPT przez pracowników podmiotu finansowego lub jego zewnętrznych dostawców usług; w przypadku eskalacji reagowania na wynikłe incydenty, w razie potrzeby, zespół typu control team powstrzymał taką eskalację;
d) wprowadzono ustalenia dotyczące poufności TLPT, mające zastosowanie do pracowników podmiotu finansowego, pracowników zainteresowanych zewnętrznych dostawców usług ICT, testerów i dostawcy analizy zagrożeń;
e) zespół typu control team przekazywał kierownikom testów na ich wniosek wszelkie informacje dotyczące TLPT;
f) w miarę możliwości strony zaangażowane w TLPT nawiązywały do testów wyłącznie za pomocą kryptonimu.
Tekst urzędowy w EUR-Lex. Lexeva pokazuje treść przepisu, nie udziela porad prawnych. Moc prawną ma wyłącznie tekst opublikowany w Dzienniku Urzędowym Unii Europejskiej.