Kort fortalt
Finansielle enheder må kun bruge testere til TLPT, der opfylder fem krav: de er de mest egnede og har det bedste omdømme, har tekniske og organisatoriske kapaciteter og specifik ekspertise i trusselsefterretning, penetrationstest og red team-test, er certificerede eller har tilsluttet sig formelle adfærdskodekser eller etiske rammer, giver en uafhængig garanti eller revisionsrapport om forsvarlig risikostyring og er dækket af erhvervsansvarsforsikring. Interne testere kræver desuden myndighedens godkendelse, og trusselsefterretningen skal komme fra en ekstern formidler. Kontrakter med eksterne testere skal sikre forsvarlig håndtering af testens data.
Det betyder i praksis
Dokumentér, at hver tester opfylder alle fem krav, før kontrakten indgås, og få myndighedens godkendelse, hvis I bruger interne testere. Kontrakten skal indeholde krav om sikker håndtering af data fra testen.
Eksempel
Et forsikringsselskab vil bruge sit eget red team til TLPT. Før testen skal myndigheden godkende det, og selskabet skal hente trusselsefterretningen hos en ekstern leverandør.
Ofte stillede spørgsmål
Hvordan kan en tester vise, at den er egnet?
Efter stk. 1 skal testeren være certificeret af et akkrediteringsorgan i en medlemsstat eller have overholdt formelle adfærdskodekser eller etiske rammer (litra c), kunne fremlægge en uafhængig garanti eller revisionsrapport om forsvarlig risikostyring i testen (litra d) og have erhvervsansvarsforsikring (litra e).
Hvem må levere trusselsefterretningen, hvis vi bruger interne testere?
Formidleren af trusselsefterretninger skal være ekstern i forhold til enheden. Det gælder også, når enheden bruger interne testere (stk. 2, litra c, og betragtning 61).
Hvad skal kontrakten med en ekstern tester sige om data?
Den skal kræve forsvarlig forvaltning af testens resultater og af enhver databehandling i den forbindelse, fra generering og lagring til aggregering, rapportering, kommunikation og destruktion, så behandlingen ikke skaber risici for enheden (stk. 3).
Relevante betragtninger
Relaterede bestemmelser
- Artikel 26 – Avancerede test af IKT-værktøjer, -systemer og -processer baseret på TLPT
- Artikel 24 – Generelle krav til gennemførelsen af test af digital operationel modstandsdygtighed
Den officielle ordlyd
Artikel 27
- De finansielle enheder må kun anvende testere til gennemførelsen af TLPT, som:
a) | er de mest egnede, og som har det bedste omdømme |
b) | er i besiddelse af tekniske og organisatoriske kapaciteter og har specifik ekspertise med hensyn til trusselsefterretning, penetrationstest og red team-test |
c) | er certificerede af et akkrediteringsorgan i en medlemsstat eller har overholdt formelle adfærdskodekser eller etiske rammer |
d) | afgiver en uafhængig garanti for eller en revisionsrapport vedrørende forsvarlig risikostyring i forbindelse med gennemførelsen af TLPT, herunder behørig beskyttelse af den finansielle enheds fortrolige oplysninger og afhjælpning af den finansielle enheds forretningsrisici |
e) | er behørigt og fuldt ud dækket af relevante erhvervsansvarsforsikringer, herunder mod risici for forseelser og forsømmelighed. |
- Når de anvender interne testere, skal de finansielle enheder i tillæg til kravene i stk. 1 sikre, at følgende betingelser er opfyldt:
a) | en sådan anvendelse er blevet godkendt af den relevante kompetente myndighed eller den fælles offentlige myndighed, som er udpeget i overensstemmelse med artikel 26, stk. 9 og 10 |
b) | den relevante kompetente myndighed har efterprøvet, at den finansielle enhed har afsat tilstrækkelige særlige ressourcer, og sikret, at interessekonflikter undgås under testens udformnings- og gennemførelsesfaser, og |
c) | formidleren af trusselsefterretninger er ekstern i forhold til den finansielle enhed. |
- De finansielle enheder sikrer, at der i de kontrakter, der indgås med eksterne testere, kræves en forsvarlig forvaltning af resultaterne af TLPT, og at enhver databehandling heraf, herunder enhver form for generering, lagring, aggregering, udkast, rapportering, kommunikation eller destruktion, ikke medfører risici for den finansielle enhed.
Den officielle danske tekst følger 2022-12-27 (32022R2554).