Art. 9
Fase di preparazione
In vigore dal 13 feb 2025
Fase di preparazione
1. Un’entità finanziaria identificata a norma dell’articolo 26, paragrafo 8, terzo comma, del regolamento (UE) 2022/2554 avvia un TLPT a seguito di una notifica circa la necessità di condurre un TLTP da parte dell’autorità competente per il TLPT.
2. Entro tre mesi dal ricevimento della notifica di cui al paragrafo 1, l’entità finanziaria trasmette ai responsabili dei test tutte le informazioni seguenti relative all’avvio del TLPT:
a)
una carta del progetto comprendente un piano di progetto ad alto livello, contenente le informazioni di cui all’allegato I;
b)
i recapiti del responsabile del team di controllo;
c)
informazioni sull’uso previsto di soggetti incaricati dello svolgimento dei test interni o esterni o di entrambi, se del caso come specificato all’;
d)
informazioni sui canali di comunicazione da utilizzare durante il TLPT;
e)
il nome in codice del TLPT.
3. Se le informazioni di cui al paragrafo 2, lettere da a) a e), sono complete e garantiscono l’idoneità e lo svolgimento efficace del TLPT, l’autorità competente per il TLPT convalida le informazioni di avvio del TLPT dell’entità finanziaria e ne informa quest’ultima.
4. A seguito della convalida delle informazioni relative all’avvio del TLPT da parte dell’autorità competente per il TLPT, l’entità finanziaria istituisce un team di controllo per coadiuvare il responsabile del team di controllo nei compiti seguenti:
a)
specificare i canali e i processi di comunicazione all’interno del team di controllo, con i soggetti incaricati dello svolgimento dei test e i soggetti che forniscono analisi delle minacce in tutte le questioni relative al TLPT;
b)
informare l’organo di gestione dell’entità finanziaria in merito ai progressi del TLPT e ai rischi connessi;
c)
adottare decisioni basate sulle competenze in materia durante tutto il TLPT;
d)
eseguire il TLPT conformemente al presente regolamento;
e)
selezionare il soggetto che fornisce analisi delle minacce per il TLPT;
f)
selezionare i soggetti incaricati dello svolgimento dei test esterni, i soggetti incaricati dello svolgimento dei test interni o entrambi;
g)
preparare il documento contenente le specifiche relative all’ambito di applicazione.
5. Se ritiene che la composizione iniziale del team di controllo e le eventuali modifiche successive siano adeguate per lo svolgimento dei compiti di cui al paragrafo 4, l’autorità competente per il TLPT convalida il team di controllo e ne informa il relativo responsabile.
6. L’entità finanziaria presenta ai responsabili dei test un documento relativo alle specifiche dell’ambito di applicazione contenente tutte le informazioni di cui all’allegato II entro sei mesi dal ricevimento della notifica da parte dell’autorità competente per il TLPT di cui al paragrafo 1. L’organo di gestione dell’entità finanziaria approva il documento relativo alle specifiche dell’ambito di applicazione.
7. Ai fini dell’inclusione di funzioni essenziali o importanti nell’ambito di applicazione del TLPT, le entità finanziarie prendono in considerazione i criteri seguenti:
a)
l’essenzialità o l’importanza della funzione e il suo possibile impatto sul settore finanziario e sulla stabilità finanziaria a livello dell’Unione e nazionale;
b)
l’importanza della funzione per l’operatività quotidiana dell’entità finanziaria;
c)
l’intercambiabilità della funzione;
d)
l’interconnessione con altre funzioni;
e)
l’ubicazione geografica della funzione;
f)
la dipendenza settoriale di altre entità dalla funzione;
g)
se disponibili, analisi delle minacce riguardanti la funzione.
8. Dopo che i soggetti incaricati dello svolgimento dei test e i soggetti che forniscono analisi delle minacce hanno ricevuto l’incarico, il team di controllo condivide con loro le informazioni sull’avvio del TLPT e il documento relativo alle specifiche dell’ambito di applicazione. Il team di controllo informa i soggetti incaricati dello svolgimento dei test e i soggetti che forniscono analisi delle minacce in merito al processo di test da seguire.
9. L’entità finanziaria garantisce che l’acquisizione o l’assegnazione di soggetti incaricati dello svolgimento dei test e di soggetti che forniscono analisi delle minacce sia ultimata prima dell’inizio della fase di test.
10. Prima dell’inizio della fase di test, il team di controllo consulta i responsabili dei test in merito alla valutazione dei rischi relativi al TLPT e alle relative misure di gestione dei rischi. Se l’autorità competente per il TLPT ritiene che la valutazione dei rischi o le misure di gestione dei rischi non affrontino adeguatamente i rischi relativi al TLPT, il team di controllo provvede a riesaminarle.
11. Il team di controllo valuta se i soggetti che forniscono analisi delle minacce e i soggetti incaricati dello svolgimento dei test che si intende coinvolgere nel TLPT soddisfano i requisiti di cui all’articolo 27 del regolamento (UE) 2022/2554 e all’, paragrafo 1, del presente regolamento e documenta l’esito di tale valutazione. Il team di controllo seleziona i soggetti che forniscono analisi delle minacce conformemente a tale valutazione e alle sue pratiche di gestione dei rischi. Prima di avvalersi dei soggetti che forniscono analisi delle minacce e dei soggetti incaricati dello svolgimento dei test esterni selezionati, il team di controllo fornisce ai responsabili dei test prove del fatto che tali soggetti che forniscono analisi delle minacce e soggetti incaricati dello svolgimento dei test soddisfano i requisiti di cui all’articolo 27 del regolamento (UE) 2022/2554 e all’, paragrafo 1, del presente regolamento. Il team di controllo non si avvale dei soggetti che forniscono analisi delle minacce e dei soggetti incaricati dello svolgimento dei test esterni selezionati se l’autorità competente per il TLPT ritiene che i soggetti che forniscono analisi delle minacce e i soggetti incaricati dello svolgimento dei test esterni selezionati non soddisfino i requisiti di cui all’articolo 27 del regolamento (UE) 2022/2554, i requisiti di cui all’, paragrafo 1, del presente regolamento o requisiti supplementari derivanti da normative nazionali in materia di sicurezza conformemente al diritto dell’Unione, o qualora l’entità finanziaria non rispetti l’, paragrafo 2, primo comma, del presente regolamento, o qualora non siano soddisfatte le circostanze di cui all’, paragrafo 2, secondo comma, del presente regolamento.
12. Se il documento relativo alle specifiche dell’ambito di applicazione è completo e garantisce lo svolgimento di un TLPT adeguato ed efficace, l’autorità competente per il TLPT approva tale documento e ne informa il responsabile del team di controllo.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_del:2025:1190:oj#art-9