Delegierte Verordnung (EU) 2025/1190 der Kommission vom 13. Februar 2025 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Kriterien für die Bestimmung der Finanzunternehmen, die zur Durchführung von bedrohungsorientierten Penetrationstests verpflichtet sind, der Anforderungen und Standards für den Einsatz interner Tester, der Anforderungen hinsichtlich des Testumfangs, der Testmethodik und des Testkonzepts für jede einzelne Phase des Testverfahrens sowie der Ergebnisse, des Abschlusses und der Behebungsphasen der Tests sowie der Art der aufsichtlichen und sonstigen relevanten Zusammenarbeit, die für die Umsetzung von bedrohungsorientierten Penetrationstests und die Erleichterung der gegenseitigen Anerkennung dieser Tests erforderlich ist

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

enthält. Das Kontrollteam legt den Blue-Team-Testbericht umgehend den Testern und den Testmanagern vor. Sofern von den Testmanagern verlangt, darf der in Unterabsatz 1 genannte Bericht keine sensiblen Informationen enthalten. (5) Spätestens zehn Wochen nach dem Ende der aktiven Red-Team-Testphase wiederholen das Blue Team und die Tester die während des TLPT vorgenommenen offensiven und defensiven Handlungen. Das Kontrollteam führt zudem Purple-Teaming-Übungen zu Themen durch, die vom Blue Team und den Testern gemeinsam auf der Grundlage der während des Tests festgestellten Schwachstellen ermittelt wurden, und gegebenenfalls zu Fragen, die während der aktiven Red-Team-Testphase nicht getestet werden konnten. (6) Nach Abschluss der Wiederholungsaktivitäten und der Purple-Teaming-Übungen geben das Kontrollteam, das Blue Team, die Tester und die Anbieter von Bedrohungsanalysen einander Rückmeldungen zu dem TLPT-Verfahren. Die Testmanager können Rückmeldungen geben. (7) Sobald die TLPT-Behörde den Leiter des Kontrollteams darüber unterrichtet hat, dass der Blue-Team-Testbericht und der Red-Team-Testbericht ihrer Bewertung zufolge die in den Anhängen V und VI aufgeführten Informationen enthalten, legt das Finanzunternehmen der TLPT-Behörde gemäß Artikel 26 Absatz 6 der Verordnung (EU) 2022/2554 innerhalb von acht Wochen den Bericht mit einer Zusammenfassung der maßgeblichen Ergebnisse des TLPT, der die in Anhang VII aufgeführten Angaben enthält, zur Genehmigung vor. Sofern von der TLPT-Behörde verlangt, darf der in Unterabsatz 1 genannte Bericht keine sensiblen Informationen enthalten. Artikel 13 Plan mit Abhilfemaßnahmen (1) Innerhalb von acht Wochen nach der in Artikel 12 Absatz 7 der vorliegenden Verordnung genannten Unterrichtung legt das Finanzunternehmen der TLPT-Behörde und — sofern es sich nicht um dieselbe Behörde handelt — der für das Finanzunternehmen zuständigen Behörde die in Artikel 26 Absatz 6 der Verordnung (EU) 2022/2554 genannten Pläne mit Abhilfemaßnahmen und Dokumente vor. (2) Der in Absatz 1 genannte Plan mit Abhilfemaßnahmen enthält für jedes Ergebnis im Rahmen des TLPT Folgendes: a) Beschreibung der festgestellten Mängel, b) Beschreibung der vorgeschlagenen Abhilfemaßnahmen, ihrer Priorisierung und ihres voraussichtlichen Abschlusses, gegebenenfalls einschließlich Maßnahmen zur Verbesserung der Identifizierungs-, Schutz-, Erkennungs- und Reaktionsfähigkeiten, c) Ursachenanalyse, d) Mitarbeiter oder Funktionen des Finanzunternehmens, die für die Umsetzung der vorgeschlagenen Abhilfemaßnahmen oder Verbesserungen verantwortlich sind, e) Risiken in Verbindung mit einer ausbleibenden Umsetzung der unter Buchstabe b genannten Maßnahmen und gegebenenfalls die mit der Umsetzung dieser Maßnahmen verbundenen Risiken. Artikel 14 Bescheinigung (1) Die in Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bescheinigung muss die in Anhang VIII aufgeführten Angaben enthalten. (2) Wenn mehrere TLPT-Behörden an einem TLPT beteiligt waren, stellt die federführende TLPT-Behörde den getesteten Finanzunternehmen die in Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bescheinigung aus. Artikel 15 Einsatz interner Tester (1) Die Finanzunternehmen treffen alle folgenden Vorkehrungen für den Einsatz interner Tester: a) Festlegung und Umsetzung einer Strategie für das Management interner Tester bei einem TLPT, b) Maßnahmen, mit denen sichergestellt wird, dass sich der Einsatz interner Tester für die Durchführung eines TLPT nicht nachteilig auf die allgemeinen Verteidigungs- oder Resilienzfähigkeiten des Finanzunternehmens in Bezug auf IKT-bezogene Vorfälle auswirkt oder sich erheblich auf die Verfügbarkeit von Ressourcen auswirkt, die während eines TLPT für IKT-bezogene Aufgaben eingesetzt werden, c) Maßnahmen, mit denen sichergestellt wird, dass interne Tester über ausreichende Ressourcen und Fähigkeiten verfügen, um einen TLPT durchzuführen. Die unter Buchstabe a genannte Strategie muss a) Kriterien für die Beurteilung von Eignung, Kompetenz und potenziellen Interessenkonflikten der internen Tester enthalten und die Zuständigkeiten der Geschäftsleitung in dem Testverfahren enthalten, b) dokumentiert und regelmäßig überprüft werden, c) vorsehen, dass dem internen Testteam ein Testmanager und mindestens zwei zusätzliche Mitglieder angehören, d) verlangen, dass alle Mitglieder des Testteams in den vorangegangenen zwölf Monaten bei dem Finanzunternehmen oder einem gruppeninternen IKT-Dienstleister beschäftigt waren, e) Schulungen zur Durchführung von Penetrationstests und Red-Team-Tests für die internen Tester vorsehen. (2) Wenn eine TLPT-Behörde den Einsatz interner Tester gemäß Artikel 27 Absatz 2 Buchstabe a der Verordnung (EU) 2022/2554 genehmigt, berücksichtigt die TLPT-Behörde die in Artikel 7 Absatz 1 der vorliegenden Verordnung festgelegten Anforderungen. (3) Beim Einsatz interner Tester stellt das Finanzunternehmen sicher, dass in den folgenden Dokumenten darauf verwiesen wird: a) Informationen über die Einleitung des Tests gemäß Artikel 9, b) Red-Team-Testbericht gemäß Artikel 12 Absatz 2, c) Bericht mit einer Zusammenfassung der maßgeblichen Ergebnisse des TLPT gemäß den Artikeln 26 Absatz 6 der Verordnung (EU) 2022/2554. (4) Tester, die bei einem gruppeninternen IKT-Dienstleister beschäftigt sind, gelten als interne Tester des Finanzunternehmens. Artikel 16 Zusammenarbeit und gegenseitige Anerkennung (1) Für die Durchführung eines TLPT bei einem Finanzunternehmen, das Dienstleistungen in mehr als einem Mitgliedstaat, auch über eine Zweigniederlassung, erbringt, muss die jeweils zuständige TLPT-Behörde a) bestimmen, welche TLPT-Behörden in den Aufnahmemitgliedstaaten beteiligt werden sollen; dabei ist zu berücksichtigen, ob eine oder mehrere kritische oder wichtige Funktionen in den Aufnahmemitgliedstaaten ausgeübt oder von diesen gemeinsam genutzt werden, b) die gemäß Buchstabe a bestimmten TLPT-Behörden über die Entscheidung, einen TLPT bei dem Finanzunternehmen durchzuführen, unterrichten, c) die Leitung des TLPT übernehmen, sofern die TLPT-Behörden nichts anderes vereinbaren. Die TLPT-Behörden der Aufnahmemitgliedstaaten können innerhalb von zwanzig Arbeitstagen nach Erhalt der Informationen über die künftige Durchführung eines TLPT entweder ihr Interesse daran bekunden, den TLPT als Beobachter zu verfolgen, oder einen Testmanager benennen, der an dem TLPT teilnimmt. Die federführende TLPT-Behörde übermittelt allen TLPT-Behörden, die als Beobachter an dem TLPT teilnehmen, das Scoping-Dokument, den zusammenfassenden Testbericht, den Plan mit Abhilfemaßnahmen und die Bescheinigung. Die federführende TLPT-Behörde koordiniert alle teilnehmenden TLPT-Behörden während des gesamten Tests und trifft alle Entscheidungen, die für eine angemessene und wirksame Durchführung des TLPT erforderlich sind. Die federführende TLPT-Behörde kann festlegen, dass die Zahl der teilnehmenden TLPT-Behörden eine bestimmte Schwelle nicht übersteigen darf, wenn andernfalls die wirksame Durchführung des TLPT gefährdet werden könnte. (2) Nimmt ein Finanzunternehmen denselben gruppeninternen IKT-Dienstleister in Anspruch wie Finanzunternehmen mit Sitz in anderen Mitgliedstaaten oder gehört es einer Gruppe an und nutzt IKT-Systeme gemeinsam mit Finanzunternehmen derselben Gruppe, die in anderen Mitgliedstaaten niedergelassen sind, so wendet sich die für das Finanzunternehmen zuständige TLPT-Behörde an die für die anderen Finanzunternehmen zuständigen TLPT-Behörden, die dieselben gruppeninternen IKT-Dienstleister in Anspruch nehmen oder IKT-Systeme als Teil der Gruppe gemeinsam nutzen, und bewertet gemeinsam mit diesen die Durchführbarkeit und Eignung eines gemeinsamen TLPT. Ein gemeinsamer TLPT ist einem Einzel-TLPT vorzuziehen, wenn dadurch bei den Finanzunternehmen und den TLPT-Behörden Kosten gesenkt und Ressourcen eingespart werden können, sofern die Belastbarkeit und Wirksamkeit der Tests nicht beeinträchtigt werden. (3) Für die Durchführung eines gemeinsamen TLPT gilt Folgendes: a) Die für die Finanzunternehmen zuständigen TLPT-Behörden vereinbaren unter Berücksichtigung der Gruppenstruktur und der Wirksamkeit des Tests, welches Finanzunternehmen für die Durchführung des TLPT benannt wird. b) Die für das gemäß Buchstabe a benannte Finanzunternehmen zuständige TLPT-Behörde leitet den TLPT, sofern die für die am gemeinsamen TLPT beteiligten Finanzunternehmen zuständigen TLPT-Behörden nichts anderes vereinbaren. c) Die für die Finanzunternehmen, bei denen es sich nicht um das benannte Finanzunternehmen handelt, das den gemeinsamen TLPT leitet, zuständigen TLPT-Behörden können entweder ihr Interesse daran bekunden, den TLPT als Beobachter zu verfolgen, oder einen Testmanager für den betreffenden TLPT benennen. Die federführende TLPT-Behörde koordiniert alle am gemeinsamen TLPT beteiligten TLPT-Behörden und trifft alle Entscheidungen, die für eine belastbare und wirksame Durchführung des gemeinsamen TLPT erforderlich sind. (4) Beabsichtigt ein Finanzunternehmen, einen gebündelten TLPT gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554 durchzuführen, an dem möglicherweise in anderen Mitgliedstaaten niedergelassene Finanzunternehmen beteiligt sind, so setzt sich seine TLPT-Behörde mit den für die anderen Finanzunternehmen zuständigen TLPT-Behörden in Verbindung und bewertet mit ihnen die Durchführbarkeit und Eignung eines gebündelten TLPT bei diesen Unternehmen gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554. (5) Für die Durchführung eines gebündelten TLPT gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554 a) vereinbaren die für die Finanzunternehmen zuständigen TLPT-Behörden, welches Finanzunternehmen unter Berücksichtigung der IKT-Dienstleistungen, die der IKT-Drittdienstleister für die Finanzunternehmen erbringt, und der Wirksamkeit des Tests benannt wird, um den gebündelten TLPT durchzuführen, b) übernimmt die für das gemäß Buchstabe a benannte Finanzunternehmen zuständige TLPT-Behörde die Leitung für den TLPT, sofern die für die am gebündelten TLPT beteiligten Finanzunternehmen zuständigen TLPT-Behörden nichts anderes vereinbaren, c) können die für die Finanzunternehmen, bei denen es sich nicht um das benannte Finanzunternehmen handelt, das den gemeinsamen TLPT leitet, zuständigen TLPT-Behörden entweder ihr Interesse daran bekunden, den TLPT als Beobachter zu verfolgen, oder einen Testmanager für den betreffenden TLPT benennen. Die federführende TLPT-Behörde koordiniert alle am gebündelten TLPT beteiligten TLPT-Behörden und trifft alle Entscheidungen, die für eine belastbare und wirksame Durchführung des gebündelten TLPT erforderlich sind. (6) Unterscheidet sich die für ein Finanzunternehmen, das einen TLPT durchführen muss, zuständige TLPT-Behörde von der in Artikel 46 der Verordnung (EU) 2022/2554 genannten zuständigen Behörde, so teilen diese Behörden alle relevanten Informationen über alle mit dem TLPT verbundenen Angelegenheiten für die Zwecke der Durchführung des TLPT oder zur Wahrnehmung ihrer Aufgaben gemäß der genannten Verordnung mit. Artikel 17 Inkrafttreten Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. ANHANG I Inhalt der Projektcharta (Artikel 9 Absatz 2 Buchstabe a) Information Erforderliche Angaben Für den Projektplan verantwortliche Person, d. h. Leiter des Kontrollteams Name Kontaktdaten Tester □ intern □ extern □ beides Gemäß Artikel 9 Absatz 2 Buchstabe d und Artikel 9 Absatz 4 Buchstabe a gewählte Kommunikationskanäle, einschließlich: a) Verwendung von E-Mail-Verschlüsselung b) Verwendung von Online-Datenräumen c) Verwendung von Instant Messaging Codename des TLPT Etwaige kritische oder wichtige Funktionen, die das Finanzunternehmen in anderen Mitgliedstaaten ausübt 1. Auflistung kritischer oder wichtiger Funktionen, die in einem anderen Mitgliedstaat ausgeübt werden 2. für jede kritische oder wichtige Funktion Angabe des Mitgliedstaats bzw. der Mitgliedstaaten, in dem (denen) sie ausgeübt werden Etwaige kritische oder wichtige Funktionen, die von IKT-Drittdienstleistern unterstützt werden 3. Auflistung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern unterstützt werden 4. für jede Funktion Angabe des IKT-Drittdienstleisters Voraussichtliche Fristen für den Abschluss 1. der Vorbereitungsphase gemäß Artikel 9 JJJJ-MM-TT 2. der Testphase gemäß den Artikeln 10 und 11 JJJJ-MM-TT 3. der Abschlussphase gemäß Artikel 12 JJJJ-MM-TT 4. der Erstellung des Plans mit Abhilfemaßnahmen gemäß Artikel 13 JJJJ-MM-TT ANHANG II Inhalt des Scoping-Dokuments (Artikel 9 Absatz 6) 1. Das Scoping-Dokument enthält eine Auflistung aller kritischen oder wichtigen Funktionen, die das Finanzunternehmen ermittelt hat. 2. Für jede ermittelte kritische oder wichtige Funktion sind folgende Angaben zu machen: a) Wenn die kritische oder wichtige Funktion nicht in den Anwendungsbereich des TLPT fällt, Erläuterung der Gründe, aus denen sie nicht einbezogen wurde. b) Wenn die kritische oder wichtige Funktion in den Anwendungsbereich des TLPT fällt: i) Angabe der Gründe für die Einbeziehung, ii) das (die) identifizierte(n) IKT-System(e) zur Unterstützung dieser kritischen oder wichtigen Funktion, iii) für jedes ermittelte IKT-System: 1. Angabe, ob es ausgelagert ist, und falls ja, Name des IKT-Drittdienstleisters, 2. Rechtsräume, in denen das IKT-System verwendet wird, 3. übergeordnete Beschreibung der vorläufigen Flags, aus der hervorgeht, welcher Sicherheitsaspekt (Vertraulichkeit, Integrität, Authentizität oder Verfügbarkeit) von dem einzelnen Flag erfasst ist. ANHANG III Inhalt des spezifischen Bedrohungsanalyseberichts (Artikel 10 Absatz 5) Der spezifische Bedrohungsanalysebericht enthält Informationen zu allen folgenden Punkten: 1. Gesamtumfang der Bedrohungsuntersuchungen, die mindestens Folgendes einbeziehen: a) kritische oder wichtige Funktionen, die in den Anwendungsbereich fallen, b) ihr geografischer Standort, c) verwendete EU-Amtssprache, d) relevante IKT-Drittdienstleister, e) Zeitraum, in dem die Untersuchungen durchgeführt wurden. 2. Gesamtbewertung, welche konkreten verwertbaren Informationen über das Finanzunternehmen zu finden sind, unter anderem: a) Benutzernamen und Passwörter der Mitarbeiter, b) Look-Alike-Domains, die mit offiziellen Domains des Finanzunternehmens verwechselt werden können, c) technische Auskundschaftung: (für Exploits) anfällige Software, Systeme und Technologien, d) von Mitarbeitern im Internet veröffentlichte Informationen über das Finanzunternehmen, die für die Zwecke eines Angriffs verwendet werden könnten, e) Informationen, die im Dark Web verkauft werden, f) sonstige einschlägige Informationen, die im Internet oder in öffentlichen Netzwerken verfügbar sind, g) gegebenenfalls Informationen über Möglichkeiten des physischen Zugangs, z. B. zu den Räumlichkeiten des Finanzunternehmens. 3. Bedrohungsanalysen unter Berücksichtigung der allgemeinen Bedrohungslage und der besonderen Situation des Finanzunternehmens, darunter mindestens: a) das geopolitische Umfeld, b) das wirtschaftliche Umfeld, c) technologische und sonstige Trends im Zusammenhang mit den Tätigkeiten im Finanzdienstleistungssektor. 4. Bedrohungsprofile der böswilligen Akteure (bestimmte Einzelperson/Gruppe oder allgemeine Gruppe), die das Finanzunternehmen angreifen könnten, einschließlich der Systeme des Finanzunternehmens, die von böswilligen Akteuren am wahrscheinlichsten kompromittiert oder angegriffen werden, der möglichen Motivation, Absicht und Gründe für den möglichen zielgerichteten Angriff und der möglichen Vorgehensweise der Angreifer. 5. Bedrohungsszenarien: mindestens drei End-to-End-Bedrohungsszenarien für die gemäß Nummer 4 ermittelten Bedrohungsprofile, die die höchsten Werte für die Schwere der Bedrohung aufweisen. Die Bedrohungsszenarien beschreiben den End-to-End-Angriffspfad und umfassen mindestens: a) ein Szenario, das u. a. eine Kompromittierung der Dienstverfügbarkeit umfasst, b) ein Szenario, das u. a. eine Kompromittierung der Datenintegrität umfasst, c) ein Szenario, das u. a. die Kompromittierung der Vertraulichkeit von Informationen umfasst. 6. Gegebenenfalls eine Beschreibung des in Artikel 10 Absatz 4 genannten nicht bedrohungsorientierten Szenarios. ANHANG IV Inhalt des Red-Team-Testplans (Artikel 11 Absatz 1) Der Red-Team-Testplan enthält Informationen zu allen folgenden Punkten: a) Kommunikationskanäle und -verfahren, b) für den Angriff zulässige und nicht zulässige Taktiken, Techniken und Verfahren, einschließlich ethischer Grenzen für Social Engineering, c) von den Testern zu ergreifende Risikomanagementmaßnahmen, d) Beschreibung jedes Szenarios, einschließlich i) des simulierten Angreifers, ii) seiner Absicht, Motivation und Ziele, iii) der Funktionen und der unterstützenden IKT-Systeme, gegen die sich der Angriff richtet, iv) der Aspekte der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität, auf die der Angriff ausgerichtet ist, v) Flags, e) detaillierte Beschreibung jedes voraussichtlichen Angriffspfads, einschließlich der Voraussetzungen und etwaigen Hilfestellungen durch das Kontrollteam, mit Angabe der zeitlichen Vorgaben für deren Aktivierung und potenziellen Verwendung, f) Planung der Red-Teaming-Aktivitäten, einschließlich der Zeitplanung für die Durchführung jedes Szenarios, mindestens aufgeschlüsselt nach den drei Phasen, die ein Tester während der Testphase absolviert, d. h. Eindringen in die IKT-Systeme des Finanzunternehmens, Bewegung durch die IKT-Systeme und letztlich Erreichen des Angriffsziels und Rückzug aus den IKT-Systemen (In-, Through- und Out-Phase), g) Besonderheiten der Infrastruktur der Finanzunternehmen, die bei den Tests zu berücksichtigen sind, h) gegebenenfalls zusätzliche Informationen oder sonstige Ressourcen, die die Tester für die Ausführung der Szenarien benötigen. ANHANG V Inhalt des Red-Team-Testberichts (Artikel 12 Absatz 2) Der Red-Team-Testbericht enthält mindestens Informationen zu allen folgenden Punkten: a) Informationen über den durchgeführten Angriff, einschließlich Angaben zu i) den angegriffenen kritischen oder wichtigen Funktionen und ermittelten IKT-Systemen, -Prozessen und -Technologien, die die kritische oder wichtige Funktion unterstützen, wie im Red-Team-Testplan festgelegt, ii) Zusammenfassung jedes Szenarios, iii) erreichte und nicht erreichte Flags, iv) erfolgreich und nicht erfolgreich verfolgte Angriffspfade, v) erfolgreich und nicht erfolgreich angewandte Taktiken, Techniken und Verfahren, vi) etwaige Abweichungen vom Red-Team-Testplan, vii) etwaige Hilfestellungen, b) alle Aktivitäten, von denen die Tester wissen, dass sie vom Blue Team durchgeführt wurden, um den Angriff zu rekonstruieren und seine Auswirkungen abzumildern, c) festgestellte Schwachstellen und andere Probleme, einschließlich: i) Beschreibung der Schwachstelle und anderer Probleme, einschließlich ihrer Kritikalität, ii) Ursachenanalyse erfolgreicher Angriffe, iii) Empfehlungen für Abhilfemaßnahmen mit Priorisierung. ANHANG VI Inhalt des Blue-Team-Testberichts (Artikel 12 Absatz 4) Der Blue-Team-Testbericht enthält mindestens Informationen zu allen folgenden Punkten: 1. Für jeden von den Testern im Red-Team-Testbericht beschriebenen Angriffsschritt: a) Auflistung der entdeckten Angriffshandlungen, b) Protokolleinträge für diese entdeckten Handlungen, 2. Bewertung der Ergebnisse und Empfehlungen der Tester, 3. vom Blue Team gesammelte Beweise für den Angriff durch die Tester, 4. Blue-Team-Ursachenanalyse erfolgreicher Angriffe durch die Tester, 5. Auflistung der gewonnenen Erkenntnisse und ermittelten Verbesserungspotenziale, 6. Auflistung der Themen, die beim Purple-Teaming behandelt werden sollen. ANHANG VII Inhalt des Berichts mit einer Zusammenfassung der maßgeblichen Ergebnisse des TLPT gemäß Artikel 26 Absatz 6 der Verordnung (EU) 2022/2554 Der zusammenfassende Testbericht muss mindestens Angaben zu allen folgenden Punkten enthalten: a) beteiligte Parteien, b) Projektplan, c) validierter Umfang, einschließlich der Gründe für die Einbeziehung oder den Ausschluss kritischer oder wichtiger Funktionen und ermittelter IKT-Systeme, -Prozesse und -Technologien, die die vom TLPT erfassten kritischen oder wichtigen Funktionen unterstützen, d) gewählte Szenarien und etwaige erhebliche Abweichungen vom spezifischen Bedrohungsanalysebericht, e) verfolgte Angriffspfade und angewandte Taktiken, Techniken und Verfahren, f) erreichte und nicht erreichte Flags, g) etwaige Abweichungen vom Red-Team-Testplan, h) etwaige vom Blue Team aufgedeckte Handlungen, i) Purple-Teaming in der Testphase, sofern durchgeführt, und zugrunde liegende Voraussetzungen, j) etwaige Hilfestellungen, k) ergriffene Risikomanagementmaßnahmen, l) festgestellte Schwachstellen und andere Probleme, einschließlich ihrer Kritikalität, m) Ursachenanalyse erfolgreicher Angriffe, n) umfassender Plan mit Abhilfemaßnahmen, in dem