Rozporządzenie delegowane Komisji (UE) 2025/1190 z dnia 13 lutego 2025 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych określających kryteria stosowane do identyfikacji podmiotów finansowych zobowiązanych do przeprowadzania testów penetracyjnych pod kątem wyszukiwania zagrożeń, wymogi i standardy regulujące korzystanie z testerów wewnętrznych, wymogi dotyczące zakresu, metodyki testowania i podejścia dla każdego etapu procesu testowania oraz etapów testów odnoszących się do wyników, zamykania i środków naprawczych, a także rodzaj współpracy w zakresie nadzoru i inne odpowiednie rodzaje współpracy potrzebne do przeprowadzenia TLPT i do ułatwienia wzajemnego uznawania

Załącznik V

W mocy

Treść sprawozdania z testów sporządzanego przez zespół typu red team (art. 12 ust. 2)

Sprawozdanie z testów sporządzane przez zespół typu red team zawiera co najmniej wszystkie informacje, o których mowa poniżej:

a) informacje o przeprowadzonym ataku, w tym:

(i) będące celem ataku krytyczne lub istotne funkcje oraz zidentyfikowane systemy, procesy i technologie ICT wspierające krytyczne lub istotne funkcję, określone w planie testów z udziałem zespołu typu red team;

(ii) podsumowanie każdego scenariusza;

(iii) zdobyte i niezdobyte flagi;

(iv) ścieżki ataku, które zakończyły się sukcesem i porażką;

(v) taktyki, techniki i procedury stosowane z powodzeniem i bez powodzenia;

(vi) ewentualne odstępstwa od planu testów z udziałem zespołu typu red team;

(vii) ewentualne przyznane ułatwienia;

b) wszystkie znane testerom działania, które zostały przeprowadzone przez zespół typu blue team w celu zrekonstruowania ataku i złagodzenia jego skutków;

c) wykryte podatności i inne ustalenia, w tym:

(i) opis podatności i innych ustaleń, w tym ich krytyczności;

(ii) analizę podstawowych przyczyn powodzenia ataków;

(iii) zalecenia dotyczące środków zaradczych, w tym wskazanie ich hierarchii ważności.

Tekst urzędowy w EUR-Lex. Lexeva pokazuje treść przepisu, nie udziela porad prawnych. Moc prawną ma wyłącznie tekst opublikowany w Dzienniku Urzędowym Unii Europejskiej.