Rozporządzenie delegowane Komisji (UE) 2025/1190 z dnia 13 lutego 2025 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych określających kryteria stosowane do identyfikacji podmiotów finansowych zobowiązanych do przeprowadzania testów penetracyjnych pod kątem wyszukiwania zagrożeń, wymogi i standardy regulujące korzystanie z testerów wewnętrznych, wymogi dotyczące zakresu, metodyki testowania i podejścia dla każdego etapu procesu testowania oraz etapów testów odnoszących się do wyników, zamykania i środków naprawczych, a także rodzaj współpracy w zakresie nadzoru i inne odpowiednie rodzaje współpracy potrzebne do przeprowadzenia TLPT i do ułatwienia wzajemnego uznawania

Załącznik VII

W mocy

Szczegóły sprawozdania podsumowującego istotne ustalenia TLPT, o którym mowa w art. 26 ust. 6 rozporządzenia (UE) 2022/2554

Sprawozdanie podsumowujące testy zawiera co najmniej wszystkie informacje, o których mowa poniżej:

a) zaangażowane strony;

b) plan projektu;

c) zatwierdzony zakres, w tym uzasadnienie objęcia bądź nieobjęcia nim krytycznych lub istotnych funkcji, oraz zidentyfikowane systemy, procesy i technologie ICT wspierające krytyczne lub istotne funkcje objęte TLPT;

d) wybrane scenariusze i wszelkie znaczące odstępstwa od sprawozdania z ukierunkowanej analizy zagrożeń;

e) zrealizowane ścieżki ataku oraz zastosowane taktyki, techniki i procedury;

f) zdobyte i niezdobyte flagi;

g) ewentualne odstępstwa od planu testów z udziałem zespołu typu red team;

h) ewentualne wykrycia przez zespół typu blue team;

i) działania z udziałem zespołu typu purple team w fazie testowania, jeżeli zostały przeprowadzone, i związane z tym warunki;

j) ewentualne ułatwienia;

k) wprowadzone środki zarządzania ryzykiem;

l) zidentyfikowane podatności i inne ustalenia, w tym ich krytyczność;

m) analizę podstawowych przyczyn powodzenia ataków;

n) wysokopoziomowy plan dotyczący środków zaradczych, łączący podatności na zagrożenia i inne ustalenia, ich podstawowe przyczyny i hierarchię ważności działań zaradczych;

o) wnioski wyciągnięte z otrzymanych informacji zwrotnych.

Tekst urzędowy w EUR-Lex. Lexeva pokazuje treść przepisu, nie udziela porad prawnych. Moc prawną ma wyłącznie tekst opublikowany w Dzienniku Urzędowym Unii Europejskiej.