Artykuł 9

1. Podmiot finansowy określony zgodnie z art. 26 ust. 8 akapit trzeci rozporządzenia (UE) 2022/2554 inicjuje TLPT po otrzymaniu od organu ds. TLPT powiadomienia o konieczności przeprowadzenia TLPT.

2. W terminie 3 miesięcy od otrzymania powiadomienia, o którym mowa w ust. 1, podmiot finansowy przekazuje kierownikom testów wszystkie następujące informacje związane z inicjacją TLPT:

a) kartę projektu zawierającą wysokopoziomowy plan projektu, obejmujący informacje określone w załączniku I;

b) dane kontaktowe lidera zespołu typu control team;

c) informację, czy planowane jest wykorzystanie testerów wewnętrznych czy zewnętrznych, czy też, w stosownych przypadkach, jednych i drugich, jak określono w art. 15;

d) informacje na temat kanałów komunikacji, które będą wykorzystywane podczas TLPT;

e) kryptonim TLPT.

3. Jeżeli informacje, o których mowa w ust. 2 lit. a)–e), są kompletne oraz zapewniają odpowiedniość i skuteczność TLPT, organ ds. TLPT zatwierdza przedłożone przez podmiot finansowy informacje związane z inicjacją TLPT i powiadamia o tym podmiot finansowy.

4. Po zatwierdzeniu przez organ ds. TLPT informacji o inicjacji TLPT podmiot finansowy powołuje zespół typu control team, który wspiera lidera zespołu typu control team w wykonywaniu następujących zadań:

a) określenie kanałów i procesów komunikacji w obrębie zespołu typu control team oraz z testerami i dostawcami analizy zagrożeń we wszystkich kwestiach związanych z TLPT;

b) informowanie organu zarządzającego podmiotu finansowego o postępach w TLPT i o związanym z nimi ryzyku;

c) podejmowanie decyzji w oparciu o merytoryczną wiedzę specjalistyczną przez cały czas trwania TLPT;

d) przeprowadzanie TLPT zgodnie z niniejszym rozporządzeniem;

e) wybór dostawcy analizy zagrożeń na potrzeby TLPT;

f) wybór testerów zewnętrznych, testerów wewnętrznych lub obu rodzajów testerów;

g) przygotowanie dokumentu określającego zakres.

5. Jeżeli organ ds. TLPT uzna, że początkowy skład zespołu typu control team i wszelkie późniejsze zmiany w tym składzie umożliwiają odpowiednie wykonywanie zadań, o których mowa w ust. 4, organ ds. TLPT zatwierdza zespół typu control team i powiadamia o tym lidera tego zespołu.

6. W terminie 6 miesięcy od otrzymania powiadomienia od organu ds. TLPT, o którym to powiadomieniu mowa w ust. 1, podmiot finansowy przekazuje kierownikom testów dokument określający zakres zawierający wszystkie informacje wskazane w załączniku II. Organ zarządzający podmiotu finansowego zatwierdza dokument określający zakres.

7. Podmioty finansowe podejmują decyzję o objęciu zakresem TLPT krytycznych lub istotnych funkcji, biorąc pod uwagę następujące kryteria:

a) krytyczny lub istotny charakter danej funkcji oraz jej ewentualny wpływ na sektor finansowy i stabilność finansową na szczeblu unijnym i krajowym;

b) znaczenie funkcji dla bieżącej działalności gospodarczej podmiotu finansowego;

c) wymienność funkcji;

d) wzajemne powiązania z innymi funkcjami;

e) położenie geograficzne funkcji;

f) sektorową zależność innych podmiotów od funkcji;

g) w miarę dostępności – analizę zagrożeń dotyczącą tej funkcji.

8. Po zawarciu umowy z testerami i dostawcami analizy zagrożeń zespół typu control team udostępnia im informacje związane z inicjacją TLPT oraz dokument określający zakres. Zespół typu control team informuje testerów i dostawców analizy zagrożeń o procesie testowania, który będzie realizowany.

9. Podmiot finansowy dopilnowuje, aby pozyskiwanie lub wyznaczanie testerów i dostawców analizy zagrożeń zostało zakończone przed rozpoczęciem etapu testowania.

10. Przed rozpoczęciem etapu testowania zespół typu control team konsultuje się z kierownikami testów w sprawie oceny ryzyka związanego z TLPT i środków zarządzania ryzykiem. Zespół typu control team dokonuje przeglądu oceny ryzyka lub środków zarządzania ryzykiem, jeżeli organ ds. TLPT jest zdania, że nie uwzględniają one w odpowiedni sposób ryzyka związanego z TLPT.

11. Zespół typu control team ocenia, czy dostawcy analizy zagrożeń i testerzy, których bierze pod uwagę pod kątem udziału w TLPT, spełniają wymogi określone w art. 27 rozporządzenia (UE) 2022/2554 i art. 7 ust. 1 niniejszego rozporządzenia, oraz dokumentuje wynik tej oceny. Zespół typu control team wybiera dostawców analizy zagrożeń zgodnie z tą oceną i swoimi praktykami zarządzania ryzykiem. Przed zawarciem umowy z wybranymi dostawcami analizy zagrożeń i zewnętrznymi testerami zespół typu control team przedstawia kierownikom testów dowody potwierdzające spełnianie przez tych dostawców analizy zagrożeń i testerów wymogów określonych w art. 27 rozporządzenia (UE) 2022/2554 oraz w art. 7 ust. 1 niniejszego rozporządzenia. Zespół typu control team nie może zawrzeć umowy z wybranymi dostawcami analizy zagrożeń i testerami zewnętrznymi, jeżeli organ ds. TLPT jest zdania, że ci wybrani dostawcy analizy zagrożeń i testerzy zewnętrzni nie spełniają wymogów określonych w art. 27 rozporządzenia (UE) 2022/2554 lub wymogów określonych w art. 7 ust. 1 niniejszego rozporządzenia, lub dodatkowych wymogów wynikających z krajowych przepisów dotyczących bezpieczeństwa zgodnie z prawem Unii, lub jeżeli podmiot finansowy nie spełnia wymogów określonych w art. 7 ust. 2 akapit pierwszy niniejszego rozporządzenia lub jeżeli nie są spełnione warunki, o których mowa w art. 7 ust. 2 akapit drugi niniejszego rozporządzenia.

12. Jeżeli dokument określający zakres jest kompletny i zapewnia odpowiednie przeprowadzenie skutecznych TLPT, organ ds. TLPT zatwierdza ten dokument i informuje o tym lidera zespołu typu control team.