Delegierte Verordnung (EU) 2025/1190 der Kommission vom 13. Februar 2025 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Kriterien für die Bestimmung der Finanzunternehmen, die zur Durchführung von bedrohungsorientierten Penetrationstests verpflichtet sind, der Anforderungen und Standards für den Einsatz interner Tester, der Anforderungen hinsichtlich des Testumfangs, der Testmethodik und des Testkonzepts für jede einzelne Phase des Testverfahrens sowie der Ergebnisse, des Abschlusses und der Behebungsphasen der Tests sowie der Art der aufsichtlichen und sonstigen relevanten Zusammenarbeit, die für die Umsetzung von bedrohungsorientierten Penetrationstests und die Erleichterung der gegenseitigen Anerkennung dieser Tests erforderlich ist

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

um fortgeschrittene Tests in Form von TLPT in die bestehenden Aufsichtsverfahren einzubeziehen. In diesem Zusammenhang und um das korrekte Verständnis der aus dem TLPT gewonnenen Erkenntnisse und die Art und Weise der Interpretation zu kommunizieren, sollte insbesondere für den zusammenfassenden Testbericht und die Pläne mit Abhilfemaßnahmen eine enge Zusammenarbeit zwischen den am TLPT beteiligten Testmanagern und den zuständigen Aufsichtsbehörden stattfinden. (27) Nach Artikel 26 Absatz 8 Unterabsatz 1 der Verordnung (EU) 2022/2554 müssen Finanzunternehmen bei jedem dritten Test externe Tester beauftragen. Wenn Finanzunternehmen sowohl interne als auch externe Tester in das Testteam einbeziehen, ist dieser Test für die Zwecke des genannten Artikels als TLPT mit internen Testern zu betrachten. (28) Diese Verordnung beruht auf dem Entwurf technischer Regulierungsstandards, der der Kommission von der Europäischen Bankenaufsichtsbehörde, der Europäischen Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung und der Europäischen Wertpapier- und Marktaufsichtsbehörde (im Folgenden „Europäische Aufsichtsbehörden“) im Einvernehmen mit der Europäischen Zentralbank vorgelegt wurde. (29) Die Europäischen Aufsichtsbehörden haben zu diesem Entwurf offene öffentliche Konsultationen durchgeführt, die damit verbundenen potenziellen Kosten- und Nutzeneffekte analysiert und die Stellungnahme der nach Artikel 37 der Verordnung (EU) Nr. 1093/2010 des Europäischen Parlaments und des Rates (3) eingesetzten Interessengruppe „Bankensektor“, der nach Artikel 37 der Verordnung (EU) Nr. 1094/2010 des Europäischen Parlaments und des Rates (4) eingesetzten Interessengruppen „Versicherung und Rückversicherung“ und „Betriebliche Altersversorgung“ sowie der nach Artikel 37 der Verordnung (EU) Nr. 1095/2010 des Europäischen Parlaments und des Rates (5) eingesetzten Interessengruppe „Wertpapiere und Wertpapiermärkte“ eingeholt. (30) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (6) konsultiert und gab am 20. August 2024 eine Stellungnahme ab –– HAT FOLGENDE VERORDNUNG ERLASSEN: Artikel 1 Begriffsbestimmungen Für die Zwecke dieser Verordnung bezeichnet der Ausdruck: 1. „Kontrollteam“ das Team, das sich aus Mitarbeitern des getesteten Finanzunternehmens und, entsprechend dem Umfang des TLPT, gegebenenfalls aus Mitarbeitern seiner Drittdienstleister und jeder anderen Partei, die den Test leitet, zusammensetzt; 2. „Leiter des Kontrollteams“ den Mitarbeiter des Finanzunternehmens, der für die Durchführung aller TLPT-bezogenen Aktivitäten des Finanzunternehmens im Rahmen eines bestimmten Tests verantwortlich ist; 3. „Blue Team“ die Mitarbeiter des Finanzunternehmens und gegebenenfalls die Mitarbeiter der Drittdienstleister des Finanzunternehmens und alle anderen entsprechend dem Umfang des TLPT als relevant erachteten Parteien bei den Drittdienstleitern des Finanzunternehmens, die die Nutzung von Netzwerk- und Informationssystemen des Finanzunternehmens absichern, indem sie seine Fähigkeit zur Abwehr simulierter oder realer Angriffe aufrechterhalten, und die keine Kenntnis vom TLPT haben; 4. „Blue-Team-Aufgaben“ Aufgaben, die in der Regel vom Blue Team wahrgenommen werden, wie z. B. Security Operation Centre (SOC), IKT-Infrastrukturdienstleistungen, Helpdesk-Dienstleistungen und Vorfallmanagement-Dienstleistungen auf operativer Ebene; 5. „Red Team“ die internen oder externen Tester, die mit einem TLPT beauftragt oder betraut wurden; 6. „Purple-Teaming“ gemeinsam durchgeführte Tests, an denen sowohl die Tester als auch das Blue Team beteiligt sind; 7. „TLPT-Behörde“ eine der folgenden Behörden: a) die gemäß Artikel 26 Absatz 9 der Verordnung (EU) 2022/2554 benannte einzige staatliche Behörde im Finanzsektor, b) die für den Finanzsektor zuständige Behörde, der die Wahrnehmung einiger oder aller Aufgaben im Zusammenhang mit TLPT gemäß Artikel 26 Absatz 10 der Verordnung (EU) 2022/2554 übertragen wird, c) eine der in Artikel 46 der Verordnung (EU) 2022/2554 genannten zuständigen Behörden; 8. „TLPT-Cyberteam“ oder „TCT“ die Mitarbeiter der TLPT-Behörden, die für mit TLPT verbundene Angelegenheiten zuständig sind; 9. „Testmanager“ die Mitarbeiter, die benannt wurden, um die Aktivitäten der TLPT-Behörde für einen bestimmten TLPT zu leiten und die Einhaltung dieser Verordnung zu überwachen; 10. „Anbieter von Bedrohungsanalysen“ die Sachverständigen, die vom Finanzunternehmen für den jeweiligen TLPT beauftragt wurden und nicht dem Finanzunternehmen oder etwaigen gruppeninternen IKT-Dienstleistern angehören und die gezielte Bedrohungsinformationen sammeln und analysieren, welche für die Finanzunternehmen, die in den Anwendungsbereich eines spezifischen TLPT fallen, relevant sind, und entsprechende relevante und realistische Bedrohungsszenarien entwickeln; 11. „TLPT-Anbieter“ Tester und Anbieter von Bedrohungsanalysen; 12. „Hilfestellung“ oder „Leg-up“ die Unterstützung oder Informationen, die das Kontrollteam den Testern zur Verfügung stellt, um es ihnen zu ermöglichen, einen Angriffspfad fortzusetzen, wenn sie allein nicht weiterkommen, und wenn es keine andere vernünftige Alternative gibt, z. B. wenn für einen TLPT nicht genug Zeit oder Ressourcen zur Verfügung stehen; 13. „Angriffspfad“ den Pfad, dem die Tester während des aktiven Red-Team-Tests folgen, um die für diesen TLPT vordefinierten Ziele zu erreichen; 14. „Flags“ oder „vordefinierte Ziele“ Kernziele der IKT-Systeme zur Unterstützung kritischer oder wichtiger Funktionen eines Finanzunternehmens, die die Tester mit dem Test zu erreichen versuchen; 15. „sensible Informationen“ Informationen, die leicht für Angriffe auf die IKT-Systeme des Finanzunternehmens genutzt werden können, geistiges Eigentum, vertrauliche Geschäftsdaten oder personenbezogene Daten, die dem Finanzunternehmen und seinem Ökosystem direkt oder indirekt schaden könnten, wenn sie in die Hände böswilliger Akteure fallen würden; 16. „Pool“ alle Finanzunternehmen, die an einem gebündelten TLPT gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554 teilnehmen; 17. „Aufnahmemitgliedstaat“ den Aufnahmemitgliedstaat gemäß den sektorspezifischen Rechtsvorschriften der Union, die für das betreffende Finanzunternehmen gelten; 18. „gemeinsamer TLPT“ einen TLPT, bei dem es sich nicht um einen gebündelten TLPT im Sinne des Artikels 26 Absatz 4 der Verordnung (EU) 2022/2554 handelt und an dem mehrere Finanzunternehmen beteiligt sind, die denselben gruppeninternen IKT-Dienstleister in Anspruch nehmen oder derselben Gruppe angehören und IKT-Systeme gemeinsam nutzen. Artikel 2 Bestimmung der Finanzunternehmen, die zur Durchführung eines TLPT verpflichtet sind (1) Die TLPT-Behörden prüfen, ob ein Finanzunternehmen zur Durchführung eines TLPT verpflichtet ist, und berücksichtigen dabei die Auswirkungen dieses Finanzunternehmens, seinen systemischen Charakter und sein IKT-Risikoprofil auf der Grundlage aller folgenden Kriterien: a) Faktoren in Verbindung mit Auswirkungen und systemischem Charakter: i) Größe des Finanzunternehmens, die sich danach richtet, ob das Finanzunternehmen Finanzdienstleistungen in einem oder mehreren Mitgliedstaaten erbringt, und die durch Vergleich der Tätigkeiten des Finanzunternehmens mit denen anderer Finanzunternehmen, die ähnliche Dienstleistungen erbringen, ermittelt wird, ii) Ausmaß und Art der Verflechtung des Finanzunternehmens mit anderen Finanzunternehmen des Finanzsektors in einem oder mehreren Mitgliedstaaten, iii) Kritikalität oder Bedeutung der Dienstleistungen, die das Finanzunternehmen für den Finanzsektor erbringt, iv) Substituierbarkeit der von dem betreffenden Finanzunternehmen erbrachten Dienstleistungen, v) Komplexität des Geschäftsmodells des Finanzunternehmens und der damit verbundenen Dienstleistungen und Prozesse, vi) Frage, ob das Finanzunternehmen Teil einer Gruppe systemischen Charakters auf Unionsebene oder auf nationaler Ebene im Finanzsektor ist und IKT-Systeme gemeinsam nutzt; b) Faktoren in Verbindung mit dem IKT-Risiko: i) Risikoprofil des Finanzunternehmens, ii) Bedrohungslage des Finanzunternehmens, iii) Grad der Abhängigkeit kritischer oder wichtiger Funktionen des Finanzunternehmens oder seiner unterstützenden Funktionen von IKT-Systemen und -Prozessen, iv) Komplexität der IKT-Architektur des Finanzunternehmens, v) Von IKT-Drittdienstleistern unterstützte IKT-Dienstleistungen und -Funktionen sowie Anzahl und Art der vertraglichen Vereinbarungen mit IKT-Drittdienstleistern oder gruppeninternen IKT-Dienstleistern, vi) Ergebnisse etwaiger aufsichtlicher Überprüfungen, die für die Bewertung der IKT-Reife des Finanzunternehmens relevant sind, vii) Reifegrad der IKT-Geschäftsfortführungspläne und IKT-Reaktions- und Wiederherstellungspläne, viii) Reifegrad der operativen IKT-Sicherheitskontrollen und Risikominderungsmaßnahmen, einschließlich der Fähigkeit, 1. die IKT-Infrastruktur des Finanzunternehmens dauerhaft zu überwachen, 2. IKT-bezogene Ereignisse in Echtzeit zu erkennen, 3. die unter Ziffer 2 genannten Ereignisse zu analysieren, 4. auf die unter Ziffer 2 genannten Ereignisse schnell und wirksam zu reagieren, ix) Frage, ob das Finanzunternehmen Teil einer Gruppe ist, die auf Unionsebene oder auf nationaler Ebene im Finanzsektor tätig ist und IKT-Systeme gemeinsam nutzt. Für die Zwecke des Buchstabens a Ziffer i berücksichtigt die TLPT-Behörde nach Möglichkeit a) den Marktanteil des Finanzunternehmens auf Unions- und nationaler Ebene, b) das Spektrum der vom Finanzunternehmen angebotenen Tätigkeiten, c) den Marktanteil der vom Finanzunternehmen erbrachten Dienstleistungen oder der auf Unions- und nationaler Ebene durchgeführten Tätigkeiten. Für die Zwecke des Buchstabens a Ziffer v berücksichtigt die TLPT-Behörde, soweit möglich, a) ob das Finanzunternehmen über mehr als ein Geschäftsmodell verfügt, b) die Verflechtung der verschiedenen Geschäftsprozesse und der damit verbundenen Dienstleistungen. (2) Die TLPT-Behörden verlangen von allen folgenden Finanzunternehmen die Durchführung von TLPT, es sei denn, die Bewertung eines Finanzunternehmens gemäß Absatz 1 hat ergeben, dass seine Auswirkungen, Bedenken hinsichtlich der Finanzstabilität in Bezug auf das betreffende Finanzunternehmen oder sein IKT-Risikoprofil die Durchführung eines TLPT nicht rechtfertigen: a) Kreditinstitute, die eine der folgenden Bedingungen erfüllen: i) Sie wurden gemäß Artikel 131 der Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates (7) als global systemrelevante Institute (G-SRI) eingestuft. ii) Sie wurden gemäß Artikel 131 der Richtlinie 2013/36/EU als andere systemrelevante Institute („A-SRI“) ermittelt. iii) Sie sind Teil eines G-SRI oder A-SRI. b) Zahlungsinstitute, die in jedem der beiden Kalenderjahre, die der Bewertung durch die TLPT-Behörde vorausgehen, einen Gesamtbetrag der Zahlungsvorgänge im Sinne von Artikel 4 Ziffer 5 der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates (8) von 150 Mrd. EUR überschritten haben, c) E-Geld-Institute, die in jedem der beiden Kalenderjahre, die der Bewertung durch die TLPT-Behörde vorausgehen, entweder einen Gesamtbetrag der Zahlungsvorgänge im Sinne von Artikel 4 Ziffer 5 der Richtlinie (EU) 2015/2366 von 150 Mrd. EUR oder einen Gesamtbetrag des E-Geld-Umlaufs von 40 Mrd. EUR überschritten haben, d) Zentralverwahrer, e) zentrale Gegenparteien, f) Handelsplätze mit einem elektronischen Handelssystem, die eines der folgenden Kriterien erfüllen: i) Der Handelsplatz hat in jedem der beiden Kalenderjahre, die der Bewertung durch die TLPT-Behörde vorausgehen, in Bezug auf den Umsatz auf nationaler Ebene den höchsten Marktanteil in einem der folgenden Bereiche: 1. übertragbare Wertpapiere im Sinne des Artikels 4 Absatz 1 Nummer 44 Buchstabe a der Richtlinie 2014/65/EU des Europäischen Parlaments und des Rates (9), 2. übertragbare Wertpapiere im Sinne des Artikels 4 Absatz 1 Nummer 44 Buchstabe b der Richtlinie 2014/65/EU, 3. Derivate im Sinne des Artikels 2 Absatz 1 Nummer 29 der Verordnung (EU) Nr. 600/2014 des Europäischen Parlaments und des Rates (10), 4. strukturierte Finanzprodukte im Sinne des Artikels 2 Absatz 1 Nummer 28 der Verordnung (EU) Nr. 600/2014, 5. Emissionszertifikate im Sinne des Anhangs I Abschnitt C Nummer 11 der Richtlinie 2014/65/EU, ii) Der Handelsplatz hat in jedem der beiden Kalenderjahre, die der Bewertung durch die TLPT-Behörde vorausgehen, in Bezug auf den Umsatz auf Unionsebene einen Marktanteil von über 5 % in einem der folgenden Bereiche: 1. Aktien und andere, Aktien oder Anteilen an Gesellschaften, Personengesellschaften oder anderen Rechtspersönlichkeiten gleichzustellende Wertpapiere sowie Aktienzertifikate, 2. Schuldverschreibungen oder andere verbriefte Schuldtitel, einschließlich Zertifikaten (Hinterlegungsscheinen) für solche Wertpapiere, 3. Derivate, die in Artikel 2 Absatz 1 Nummer 29 der Verordnung (EU) Nr. 600/2014 definiert sind, 4. strukturierte Finanzprodukte im Sinne des Artikels 2 Absatz 1 Nummer 28 der Verordnung (EU) Nr. 600/2014, 5. Emissionszertifikate im Sinne des Anhangs I Abschnitt C Nummer 11 der Richtlinie 2014/65/EU. g) Versicherungs- und Rückversicherungsunternehmen, die alle folgenden Kriterien erfüllen: i) Die verbuchten Bruttoprämieneinnahmen betragen mehr als 1 500 000 000 EUR. ii) Die versicherungstechnischen Rückstellungen betragen mehr als 10 000 000 000 EUR. iii) Versicherungsunternehmen, die nur in der Lebensversicherung oder die sowohl in der Lebensversicherung als auch in der Nichtlebensversicherung tätig sind und deren Vermögenswerte insgesamt 3,5 % der Summe der gemäß Artikel 75 der Richtlinie 2009/138/EG des Europäischen Parlaments und des Rates bewerteten gesamten Vermögenswerte (11) der in dem Mitgliedstaat niedergelassenen Versicherungs- und Rückversicherungsunternehmen übersteigen. Für die Zwecke des Buchstabens f Ziffer ii wird für den Fall, dass der Handelsplatz Teil eines gruppenübergreifenden IKT-Systems oder desselben gruppeninternen IKT-Dienstleisters ist, der Umsatz mit den Wertpapieren und Derivatkontrakten an allen Handelsplätzen berücksichtigt, die derselben Gruppe angehören und in der Union niedergelassen sind. Für die Zwecke des Buchstabens g ermitteln die TLPT-Behörden eine Untergruppe aller Versicherungs- und Rückversicherungsunternehmen und wenden die unter Buchstabe g Ziffern i, ii und iii festgelegten Kriterien an. Zu dieser Untergruppe gehörende Versicherungs- und Rückversicherungsunternehmen sind zur Durchführung von TLPT verpflichtet, wenn sie eines der folgenden Kriterien erfüllen: a) verbuchte Bruttoprämieneinnahmen von mehr als 3 000 000 000 EUR, b) versicherungstechnische Rückstellungen von mehr als 30 000 000 000 EUR, c) Summe der Vermögenswerte übersteigt 10 % der Summe der gemäß Artikel 75 der Richtlinie 2009/138/EG bewerteten gesamten Vermögenswerte der in dem Mitgliedstaat niedergelassenen Versicherungs- und Rückversicherungsunternehmen. (3) Erfüllen mehrere Finanzunternehmen, die derselben Gruppe angehören und IKT-Systeme gemeinsam nutzen, oder mehrere Finanzunternehmen, die denselben gruppeninternen IKT-Dienstleister in Anspruch nehmen, die in Absatz 2 genannten Kriterien, so entscheiden die für diese Finanzunternehmen zuständigen TLPT-Behörden gemäß Artikel 16 Absatz 2, ob die Pflicht zur Durchführung von TLPT auf Einzelbasis für diese Finanzunternehmen relevant ist. Unterscheidet sich die für das Mutterunternehmen einer in Unterabsatz 1 genannten Gruppe von Finanzunternehmen zuständige TLPT-Behörde von den für die Finanzunternehmen der Gruppe zuständigen TLPT-Behörden, so wird diese Behörde von den TLPT-Behörden, die für die zu dieser Gruppe gehörenden Finanzunternehmen zuständig sind, zu der Frage konsultiert, ob TLPT auf Einzelbasis durchgeführt werden sollten. Artikel 3 TCT- und TLPT-Testmanager (1) Eine TLPT-Behörde überträgt die Zuständigkeit für die Koordinierung der mit TLPT verbundenen Aktivitäten einem Test-Cyberteam (im Folgenden „TCT“). Ein TCT setzt sich aus Testmanagern zusammen, die mit der Beaufsichtigung eines einzelnen TLPT betraut sind. (2) Für jeden Test benennt die TLPT-Behörde einen Testmanager und mindestens einen Stellvertreter. (3) Die Testmanager überwachen, ob die in dieser Verordnung festgelegten Anforderungen eingehalten werden, und stellen deren Einhaltung sicher. (4) Der Testmanager teilt dem Finanzunternehmen die Kontaktdaten des TCT im Wege der in Artikel 9 Absatz 1 genannten Aufforderung mit. (5) Die TLPT-Behörde nimmt an allen Phasen des TLPT teil. Artikel 4 Von den Finanzunternehmen zu treffende organisatorische Vorkehrungen (1) Die Finanzunternehmen benennen ein Kontrollteam, das für die laufende Umsetzung des TLPT sowie die Entscheidungen und Maßnahmen des Kontrollteams zuständig ist. (2) Finanzunternehmen legen organisatorische und verfahrenstechnische Maßnahmen fest, um sicherzustellen, dass a) der Zugang zu Informationen über geplante oder laufende TLPT dem Kontrollteam, dem Leitungsorgan, den Testern, dem Anbieter von Bedrohungsanalysen und der TLPT-Behörde nur in dem Maße gewährt wird, in dem die Kenntnis der Informationen notwendig ist, b) das Kontrollteam die Testmanager konsultiert, bevor es ein Mitglied des Blue Teams in einen TLPT einbindet, c) das Kontrollteam informiert wird, wenn ein Mitarbeiter des Finanzunternehmens oder seiner Drittdienstleister den TLPT aufdeckt, im Falle einer Eskalation der sich daraus ergebenden Reaktion auf Vorfälle das Kontrollteam erforderlichenfalls eine solche Eskalation eindämmt, d) Vereinbarungen über die Geheimhaltung des TLPT bestehen, die für die Mitarbeiter des Finanzunternehmens, die Mitarbeiter der betreffenden IKT-Drittdienstleister, Tester und den Anbieter von Bedrohungsanalysen gelten, e) das Kontrollteam den Testmanagern auf Anfrage alle Informationen über den TLPT zur Verfügung stellt, f) sich die am TLPT beteiligten Parteien nach Möglichkeit nur mit Codenamen darauf beziehen. Artikel 5 Risikomanagement bei TLPT (1) Während der Vorbereitungsphase gemäß Artikel 9 bewertet das Kontrollteam die Risiken im Zusammenhang mit Tests der Live-Produktionssysteme kritischer oder wichtiger Funktionen des Finanzunternehmens, einschließlich möglicher Auswirkungen auf a) den Finanzsektor, b) die Finanzstabilität auf Unions- oder nationaler Ebene. Das Kontrollteam überprüft diese Auswirkungen während des gesamten Tests. (2) Für die Zwecke der Risikobewertung und des Risikomanagements berücksichtigt das Kontrollteam mindestens die folgenden Arten von Risiken in Verbindung mit a) der Gewährung des Zugangs zu sensiblen Informationen über das Finanzunternehmen für die Anbieter von Bedrohungsanalysen und gegebenenfalls externe Tester, b) der unzureichenden Einhaltung der Verordnung (EU) 2022/2554 und der vorliegenden Verordnung bei der Durchführung des TLPT, wenn diese unzureichende Einhaltung dazu führt, dass die in Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bescheinigung nicht ausgestellt wird, auch wenn diese unzureichende Einhaltung auf Verletzungen der Vertraulichkeit des TLPT oder mangelndes ethisches Verhalten zurückzuführen ist, c) einer Eskalation in eine Krise oder einen Vorfall, d) der aktiven Red-Team-Phase, einschließlich der Risiken in Verbindung mit der Unterbrechung kritischer Tätigkeiten und der Datenkorruption aufgrund der Aktivitäten der Tester, und ihrer potenziellen Auswirkungen auf Dritte, e) der Aktivität des Blue Teams, einschließlich der Risiken in Verbindung mit der Unterbrechung kritischer Tätigkeiten und der Datenkorruption aufgrund der Aktivitäten des Blue Teams, und ihrer potenziellen Auswirkungen auf Dritte, f) der unvollständigen Wiederherstellung der vom TLPT betroffenen Systeme. Artikel 6 Risikomanagement bei gebündelten oder gemeinsamen TLPT (1) Im Falle eines gemeinsamen TLPT oder eines gebündelten TLPT führt das Kontrollteam jedes Finanzunternehmens eine eigene Risikobewertung durch und legt seine eigenen Risikomanagementmaßnahmen fest. (2) Das Kontrollteam des gemäß Artikel 16 Absatz 3 Buchstabe b dieser Verordnung benannten Finanzunternehmens oder das gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554 benannte Finanzunternehmen bewertet die Risiken in Verbindung mit der Beteiligung mehrerer Finanzunternehmen an dem TLPT. Die Kontrollteams der beteiligten Finanzunternehmen arbeiten mit dem Kontrollteam des benannten Finanzunternehmens zusammen, um potenzielle gemeinsame Risiken zu ermitteln. Artikel 7 Auswahl der TLPT-Anbieter (1) Das Kontrollteam ergreift Maßnahmen zur Steuerung der mit dem TLPT verbundenen Risiken und stellt insbesondere sicher, dass bei jedem TLPT a) der Anbieter von Bedrohungsanalysen und externe Tester dem Kontrollteam einen ausführlichen Lebenslauf und Kopien von Bescheinigungen vorlegen, die nach anerkannten Marktstandards eine geeignete Grundlage für die Durchführung ihrer Tätigkeiten sind, b) der Anbieter von Bedrohungsanalysen und externe Tester ordnungsgemäß und vollständig durch einschlägige Berufshaftpflichtversicherungen abgesichert sind, einschließlich einer Versicherung gegen das Risiko von Fehlverhalten und Fahrlässigkeit, c) der Anbieter von Bedrohungsanalyen mindestens drei Referenzen aus früheren Aufträgen im Zusammenhang mit Penetrationstests und Red-Team-Testing vorlegt, d) die externen Tester mindestens fünf Referenzen aus früheren Aufträgen im Zusammenhang mit Penetrationstests und Red-Team-Testing vorlegen, e) die dem TLPT zugewiesenen Mitarbeiter des Anbieters von Bedrohungsanalysen i) aus mindestens einer Führungskraft mit mindestens fünf Jahren Erfahrung im Bereich der Bedrohungsanalyse und mindestens einem weiteren Mitglied mit mindestens zwei Jahren Erfahrung im Bereich der Bedrohungsanalyse besteht, ii) ein breites und angemessenes Niveau an Fachkenntnissen und beruflichen Qualifikationen aufweist, darunter 1. Kenntnis der Taktiken, Techniken und Verfahren zur Informationsgewinnung, 2. geopolitisches, technisches und sektorbezogenes Wissen, 3. angemessene Kommunikationsfähigkeiten, um das Ergebnis des Arbeitsauftrags klar darzulegen und darüber Bericht zu erstatten, iii) in der Vergangenheit an insgesamt mindestens drei Arbeitsaufträgen im Bereich der Bedrohungsanalyse im Zusammenhang mit Penetrationstests und Red-Team-Tests beteiligt war, iv) nicht gleichzeitig Blue-Team-Aufgaben oder andere Dienstleistungen ausführt, die einen Interessenkonflikt hinsichtlich des an dem TLPT, dem sie zugewiesen sind, beteiligten Finanzunternehmens, IKT-Drittdienstleisters oder gruppeninternen IKT-Dienstleisters darstellen könnten, v) von Mitarbeitern desselben TLPT-Anbieters, der externe Tester für denselben TLPT bereitstellt, getrennt ist und diesen nicht Bericht erstattet, f) bei externen Testern das dem TLPT zugewiesene Red Team i) aus mindestens einer Führungskraft mit mindestens fünf Jahren Erfahrung mit Penetrationstests und Red-Team-Tests sowie mindestens zwei weiteren Testern, die jeweils mindestens zwei Jahre Erfahrung mit Penetrationstests und Red-Team-Tests haben, besteht, ii) ein breites und angemessenes Niveau an Fachkenntnissen und beruflichen Qualifikationen aufweist, darunter Kenntnisse über die Geschäftstätigkeit des Finanzunternehmens, Auskundschaftung, Risikomanagement, Exploit-Entwicklung, physische Penetration, Social Engineering und Schwachstellenanalyse, und angemessene Kommunikationsfähigkeiten besitzt, um das Ergebnis des Arbeitsauftrags klar darzulegen und darüber Bericht zu erstatten, iii) in der Vergangenheit an insgesamt mindestens fünf Arbeitsaufträgen im Zusammenhang mit Penetrationstests und Red-Team-Tests beteiligt war, iv) weder bei einem Anbieter von Bedrohun