Kort fortalt
Artiklen opregner, hvilke relevante test testprogrammet efter artikel 24 skal indeholde bestemmelser om, i overensstemmelse med proportionalitet: sårbarhedsvurderinger og -scanninger, open source-analyser, netsikkerhedsvurderinger, mangelanalyser, fysiske sikkerhedsgennemgange, spørgeskemaer, gennemgang af kildekode, hvor det er praktisk muligt, scenariebaserede test, kompatibilitets-, præstations- og end-to-end-test samt penetrationstest. Værdipapircentraler og centrale modparter skal lave sårbarhedsvurderinger, før systemer, der understøtter kritiske eller vigtige funktioner, tages i brug eller genindføres. Mikrovirksomheder kan afbalancere testindsatsen ud fra risiko.
Det betyder i praksis
Brug listen som tjekliste for testprogrammet, og tilpas omfanget til jeres risiko. Mikrovirksomheder afvejer ressourcer mod risiko, men skal stadig gennemføre testene.
Eksempel
Et e-pengeinstitut, der er mikrovirksomhed, kombinerer en årlig sårbarhedsscanning af kundesystemerne med en penetrationstest af den mest kritiske platform og begrunder prioriteringen med sin risikoprofil.
Ofte stillede spørgsmål
Skal vi gennemføre alle de nævnte test?
Programmet skal indeholde bestemmelser om relevante test, såsom dem på listen, i overensstemmelse med kriterierne i artikel 4, stk. 2. Listen er eksempler (»såsom«), så enheden vælger de test, der er relevante for dens risiko.
Hvad er forskellen på disse test og TLPT?
Testene i artikel 25 er grundniveauet i testprogrammet. TLPT efter artikel 26 er en avanceret test, der efterligner rigtige trusselsaktører på live-produktionssystemer, og kun enheder, som myndighederne har udpeget, skal udføre den, mindst hvert tredje år.
Relevante betragtninger
Relaterede bestemmelser
- Artikel 24 – Generelle krav til gennemførelsen af test af digital operationel modstandsdygtighed
- Artikel 26 – Avancerede test af IKT-værktøjer, -systemer og -processer baseret på TLPT
Den officielle ordlyd
Artikel 25
-
Det i artikel 24 omhandlede program for test af den digitale operationelle modstandsdygtighed skal i overensstemmelse med kriterierne i artikel 4, stk. 2, indeholde bestemmelser om gennemførelse af relevante test såsom sårbarhedsvurderinger og -scanninger, open source-analyser, vurderinger af netsikkerheden, mangelanalyser, fysiske sikkerhedsgennemgange, spørgeskemaer og scanningssoftwareløsninger, gennemgange af kildekoder, når det er praktisk muligt, scenariebaserede test, kompatibilitetstest, præstationstest, end-to-end-test og penetrationstest.
-
Værdipapircentraler og centrale modparter foretager sårbarhedsvurderinger inden indførelse eller genindførelse af nye eller eksisterende applikationer og infrastrukturkomponenter og IKT-tjenester, der understøtter den finansielle enheds kritiske eller vigtige funktioner.
-
Mikrovirksomheder gennemfører de i stk. 1 omhandlede test ved at kombinere en risikobaseret tilgang med strategisk planlægning af IKT-test under behørig hensyntagen til behovet for at opretholde en afbalanceret tilgang mellem omfanget af ressourcer og den tid, der skal afsættes til IKT-test som omhandlet i denne artikel, på den ene side og den hastende karakter, risikotype og informationsaktivernes og de leverede tjenesters kritiske betydning samt alle andre relevante faktorer, herunder den finansielle enheds evne til at tage kalkulerede risici, på den anden side.
Den officielle danske tekst følger 2022-12-27 (32022R2554).