Delegierte Verordnung (EU) 2025/1190 der Kommission vom 13. Februar 2025 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Kriterien für die Bestimmung der Finanzunternehmen, die zur Durchführung von bedrohungsorientierten Penetrationstests verpflichtet sind, der Anforderungen und Standards für den Einsatz interner Tester, der Anforderungen hinsichtlich des Testumfangs, der Testmethodik und des Testkonzepts für jede einzelne Phase des Testverfahrens sowie der Ergebnisse, des Abschlusses und der Behebungsphasen der Tests sowie der Art der aufsichtlichen und sonstigen relevanten Zusammenarbeit, die für die Umsetzung von bedrohungsorientierten Penetrationstests und die Erleichterung der gegenseitigen Anerkennung dieser Tests erforderlich ist

(1) Die in Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bescheinigung muss die in Anhang VIII aufgeführten Angaben enthalten.(2) Wenn mehrere TLPT-Behörden an einem TLPT beteiligt waren, stellt die federführende TLPT-Behörde den getesteten Finanzunternehmen die in Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bescheinigung aus.

Bescheinigung

Begriffsbestimmungen

Bestimmung der Finanzunternehmen, die zur Durchführung eines TLPT verpflichtet sind

TCT- und TLPT-Testmanager

Von den Finanzunternehmen zu treffende organisatorische Vorkehrungen

Risikomanagement bei TLPT

Risikomanagement bei gebündelten oder gemeinsamen TLPT

Auswahl der TLPT-Anbieter

Besondere Anforderungen bei gebündelten oder gemeinsamen TLPT

Vorbereitungsphase

Testphase: Bedrohungsanalyse

Testphase: Red-Team-Test

Abschlussphase

Plan mit Abhilfemaßnahmen

Einsatz interner Tester

Zusammenarbeit und gegenseitige Anerkennung

Inkrafttreten

Inhalt der Projektcharta (Artikel 9 Absatz 2 Buchstabe a)

Inhalt des Scoping-Dokuments (Artikel 9 Absatz 6)

Inhalt des spezifischen Bedrohungsanalyseberichts (Artikel 10 Absatz 5)

Inhalt des Red-Team-Testplans (Artikel 11 Absatz 1)

Inhalt des Red-Team-Testberichts (Artikel 12 Absatz 2)

Inhalt des Blue-Team-Testberichts (Artikel 12 Absatz 4)

Inhalt des Berichts mit einer Zusammenfassung der maßgeblichen Ergebnisse des TLPT gemäß Artikel 26 Absatz 6 der Verordnung (EU) 2022/2554

Inhalt der Bescheinigung über den TLPT gemäß Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554

Europäisches Sekundärrecht

Artikel 14 VO (EU) 2025/1190

Bescheinigung