Delegierte Verordnung (EU) 2025/1190 der Kommission vom 13. Februar 2025 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Kriterien für die Bestimmung der Finanzunternehmen, die zur Durchführung von bedrohungsorientierten Penetrationstests verpflichtet sind, der Anforderungen und Standards für den Einsatz interner Tester, der Anforderungen hinsichtlich des Testumfangs, der Testmethodik und des Testkonzepts für jede einzelne Phase des Testverfahrens sowie der Ergebnisse, des Abschlusses und der Behebungsphasen der Tests sowie der Art der aufsichtlichen und sonstigen relevanten Zusammenarbeit, die für die Umsetzung von bedrohungsorientierten Penetrationstests und die Erleichterung der gegenseitigen Anerkennung dieser Tests erforderlich ist

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

ung, einen TLPT bei dem Finanzunternehmen durchzuführen, unterrichten, c) die Leitung des TLPT übernehmen, sofern die TLPT-Behörden nichts anderes vereinbaren. Die TLPT-Behörden der Aufnahmemitgliedstaaten können innerhalb von zwanzig Arbeitstagen nach Erhalt der Informationen über die künftige Durchführung eines TLPT entweder ihr Interesse daran bekunden, den TLPT als Beobachter zu verfolgen, oder einen Testmanager benennen, der an dem TLPT teilnimmt. Die federführende TLPT-Behörde übermittelt allen TLPT-Behörden, die als Beobachter an dem TLPT teilnehmen, das Scoping-Dokument, den zusammenfassenden Testbericht, den Plan mit Abhilfemaßnahmen und die Bescheinigung. Die federführende TLPT-Behörde koordiniert alle teilnehmenden TLPT-Behörden während des gesamten Tests und trifft alle Entscheidungen, die für eine angemessene und wirksame Durchführung des TLPT erforderlich sind. Die federführende TLPT-Behörde kann festlegen, dass die Zahl der teilnehmenden TLPT-Behörden eine bestimmte Schwelle nicht übersteigen darf, wenn andernfalls die wirksame Durchführung des TLPT gefährdet werden könnte. (2) Nimmt ein Finanzunternehmen denselben gruppeninternen IKT-Dienstleister in Anspruch wie Finanzunternehmen mit Sitz in anderen Mitgliedstaaten oder gehört es einer Gruppe an und nutzt IKT-Systeme gemeinsam mit Finanzunternehmen derselben Gruppe, die in anderen Mitgliedstaaten niedergelassen sind, so wendet sich die für das Finanzunternehmen zuständige TLPT-Behörde an die für die anderen Finanzunternehmen zuständigen TLPT-Behörden, die dieselben gruppeninternen IKT-Dienstleister in Anspruch nehmen oder IKT-Systeme als Teil der Gruppe gemeinsam nutzen, und bewertet gemeinsam mit diesen die Durchführbarkeit und Eignung eines gemeinsamen TLPT. Ein gemeinsamer TLPT ist einem Einzel-TLPT vorzuziehen, wenn dadurch bei den Finanzunternehmen und den TLPT-Behörden Kosten gesenkt und Ressourcen eingespart werden können, sofern die Belastbarkeit und Wirksamkeit der Tests nicht beeinträchtigt werden. (3) Für die Durchführung eines gemeinsamen TLPT gilt Folgendes: a) Die für die Finanzunternehmen zuständigen TLPT-Behörden vereinbaren unter Berücksichtigung der Gruppenstruktur und der Wirksamkeit des Tests, welches Finanzunternehmen für die Durchführung des TLPT benannt wird. b) Die für das gemäß Buchstabe a benannte Finanzunternehmen zuständige TLPT-Behörde leitet den TLPT, sofern die für die am gemeinsamen TLPT beteiligten Finanzunternehmen zuständigen TLPT-Behörden nichts anderes vereinbaren. c) Die für die Finanzunternehmen, bei denen es sich nicht um das benannte Finanzunternehmen handelt, das den gemeinsamen TLPT leitet, zuständigen TLPT-Behörden können entweder ihr Interesse daran bekunden, den TLPT als Beobachter zu verfolgen, oder einen Testmanager für den betreffenden TLPT benennen. Die federführende TLPT-Behörde koordiniert alle am gemeinsamen TLPT beteiligten TLPT-Behörden und trifft alle Entscheidungen, die für eine belastbare und wirksame Durchführung des gemeinsamen TLPT erforderlich sind. (4) Beabsichtigt ein Finanzunternehmen, einen gebündelten TLPT gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554 durchzuführen, an dem möglicherweise in anderen Mitgliedstaaten niedergelassene Finanzunternehmen beteiligt sind, so setzt sich seine TLPT-Behörde mit den für die anderen Finanzunternehmen zuständigen TLPT-Behörden in Verbindung und bewertet mit ihnen die Durchführbarkeit und Eignung eines gebündelten TLPT bei diesen Unternehmen gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554. (5) Für die Durchführung eines gebündelten TLPT gemäß Artikel 26 Absatz 4 der Verordnung (EU) 2022/2554 a) vereinbaren die für die Finanzunternehmen zuständigen TLPT-Behörden, welches Finanzunternehmen unter Berücksichtigung der IKT-Dienstleistungen, die der IKT-Drittdienstleister für die Finanzunternehmen erbringt, und der Wirksamkeit des Tests benannt wird, um den gebündelten TLPT durchzuführen, b) übernimmt die für das gemäß Buchstabe a benannte Finanzunternehmen zuständige TLPT-Behörde die Leitung für den TLPT, sofern die für die am gebündelten TLPT beteiligten Finanzunternehmen zuständigen TLPT-Behörden nichts anderes vereinbaren, c) können die für die Finanzunternehmen, bei denen es sich nicht um das benannte Finanzunternehmen handelt, das den gemeinsamen TLPT leitet, zuständigen TLPT-Behörden entweder ihr Interesse daran bekunden, den TLPT als Beobachter zu verfolgen, oder einen Testmanager für den betreffenden TLPT benennen. Die federführende TLPT-Behörde koordiniert alle am gebündelten TLPT beteiligten TLPT-Behörden und trifft alle Entscheidungen, die für eine belastbare und wirksame Durchführung des gebündelten TLPT erforderlich sind. (6) Unterscheidet sich die für ein Finanzunternehmen, das einen TLPT durchführen muss, zuständige TLPT-Behörde von der in Artikel 46 der Verordnung (EU) 2022/2554 genannten zuständigen Behörde, so teilen diese Behörden alle relevanten Informationen über alle mit dem TLPT verbundenen Angelegenheiten für die Zwecke der Durchführung des TLPT oder zur Wahrnehmung ihrer Aufgaben gemäß der genannten Verordnung mit. Artikel 17 Inkrafttreten Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. Brüssel, den 13. Februar 2025 Für die Kommission Die Präsidentin Ursula VON DER LEYEN (1) ABl. L 333 vom 27.12.2022, S. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj. (2) Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates vom 31. Mai 2023 über Märkte für Kryptowerte und zur Änderung der Verordnungen (EU) Nr. 1093/2010 und (EU) Nr. 1095/2010 sowie der Richtlinien 2013/36/EU und (EU) 2019/1937 (ABl. L 150 vom 9.6.2023, S. 40, ELI: http://data.europa.eu/eli/reg/2023/1114/oj). (3) Verordnung (EU) Nr. 1093/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Bankenaufsichtsbehörde), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/78/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 12, ELI: http://data.europa.eu/eli/reg/2010/1093/oj). (4) Verordnung (EU) Nr. 1094/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/79/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 48, ELI: http://data.europa.eu/eli/reg/2010/1094/oj). (5) Verordnung (EU) Nr. 1095/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Wertpapier- und Marktaufsichtsbehörde), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/77/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 84, ELI: http://data.europa.eu/eli/reg/2010/1095/oj). (6) Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. L 295 vom 21.11.2018, S. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj). (7) Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates vom 26. Juni 2013 über den Zugang zur Tätigkeit von Kreditinstituten und die Beaufsichtigung von Kreditinstituten und Wertpapierfirmen, zur Änderung der Richtlinie 2002/87/EG und zur Aufhebung der Richtlinien 2006/48/EG und 2006/49/EG (ABl. L 176 vom 27.6.2013, S. 338, ELI: http://data.europa.eu/eli/dir/2013/36/oj). (8) Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 über Zahlungsdienste im Binnenmarkt, zur Änderung der Richtlinien 2002/65/EG, 2009/110/EG und 2013/36/EU und der Verordnung (EU) Nr. 1093/2010 sowie zur Aufhebung der Richtlinie 2007/64/EG (ABl. L 337 vom 23.12.2015, S. 35, ELI: http://data.europa.eu/eli/dir/2015/2366/oj). (9) Richtlinie 2014/65/EU des Europäischen Parlaments und des Rates vom 15. Mai 2014 über Märkte für Finanzinstrumente sowie zur Änderung der Richtlinien 2002/92/EG und 2011/61/EU (ABl. L 173 vom 12.6.2014, S. 349, ELI: http://data.europa.eu/eli/dir/2014/65/oj). (10) Verordnung (EU) Nr. 600/2014 des Europäischen Parlaments und des Rates vom 15. Mai 2014 über Märkte für Finanzinstrumente und zur Änderung der Verordnung (EU) Nr. 648/2012 (ABl. L 173 vom 12.6.2014, S. 84, ELI: http://data.europa.eu/eli/reg/2014/600/oj). (11) Richtlinie 2009/138/EG des Europäischen Parlaments und des Rates vom 25. November 2009 betreffend die Aufnahme und Ausübung der Versicherungs- und der Rückversicherungstätigkeit (Solvabilität II) (ABl. L 335 vom 17.12.2009, S. 1, ELI: http://data.europa.eu/eli/dir/2009/138/oj). ANHANG I Inhalt der Projektcharta (Artikel 9 Absatz 2 Buchstabe a) Information Erforderliche Angaben Für den Projektplan verantwortliche Person, d. h. Leiter des Kontrollteams Name Kontaktdaten Tester ☐ intern ☐ extern ☐ beides Gemäß Artikel 9 Absatz 2 Buchstabe d und Artikel 9 Absatz 4 Buchstabe a gewählte Kommunikationskanäle, einschließlich: a) Verwendung von E-Mail-Verschlüsselung b) Verwendung von Online-Datenräumen c) Verwendung von Instant Messaging Codename des TLPT Etwaige kritische oder wichtige Funktionen, die das Finanzunternehmen in anderen Mitgliedstaaten ausübt 1. Auflistung kritischer oder wichtiger Funktionen, die in einem anderen Mitgliedstaat ausgeübt werden 2. für jede kritische oder wichtige Funktion Angabe des Mitgliedstaats bzw. der Mitgliedstaaten, in dem (denen) sie ausgeübt werden Etwaige kritische oder wichtige Funktionen, die von IKT-Drittdienstleistern unterstützt werden 3. Auflistung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern unterstützt werden 4. für jede Funktion Angabe des IKT-Drittdienstleisters Voraussichtliche Fristen für den Abschluss 1. der Vorbereitungsphase gemäß Artikel 9 JJJJ-MM-TT 2. der Testphase gemäß den Artikeln 10 und 11 JJJJ-MM-TT 3. der Abschlussphase gemäß Artikel 12 JJJJ-MM-TT 4. der Erstellung des Plans mit Abhilfemaßnahmen gemäß Artikel 13 JJJJ-MM-TT ANHANG II Inhalt des Scoping-Dokuments (Artikel 9 Absatz 6) 1. Das Scoping-Dokument enthält eine Auflistung aller kritischen oder wichtigen Funktionen, die das Finanzunternehmen ermittelt hat. 2. Für jede ermittelte kritische oder wichtige Funktion sind folgende Angaben zu machen: a) Wenn die kritische oder wichtige Funktion nicht in den Anwendungsbereich des TLPT fällt, Erläuterung der Gründe, aus denen sie nicht einbezogen wurde. b) Wenn die kritische oder wichtige Funktion in den Anwendungsbereich des TLPT fällt: i) Angabe der Gründe für die Einbeziehung, ii) das (die) identifizierte(n) IKT-System(e) zur Unterstützung dieser kritischen oder wichtigen Funktion, iii) für jedes ermittelte IKT-System: 1. Angabe, ob es ausgelagert ist, und falls ja, Name des IKT-Drittdienstleisters, 2. Rechtsräume, in denen das IKT-System verwendet wird, 3. übergeordnete Beschreibung der vorläufigen Flags, aus der hervorgeht, welcher Sicherheitsaspekt (Vertraulichkeit, Integrität, Authentizität oder Verfügbarkeit) von dem einzelnen Flag erfasst ist. ANHANG III Inhalt des spezifischen Bedrohungsanalyseberichts (Artikel 10 Absatz 5) Der spezifische Bedrohungsanalysebericht enthält Informationen zu allen folgenden Punkten: 1. Gesamtumfang der Bedrohungsuntersuchungen, die mindestens Folgendes einbeziehen: a) kritische oder wichtige Funktionen, die in den Anwendungsbereich fallen, b) ihr geografischer Standort, c) verwendete EU-Amtssprache, d) relevante IKT-Drittdienstleister, e) Zeitraum, in dem die Untersuchungen durchgeführt wurden. 2. Gesamtbewertung, welche konkreten verwertbaren Informationen über das Finanzunternehmen zu finden sind, unter anderem: a) Benutzernamen und Passwörter der Mitarbeiter, b) Look-Alike-Domains, die mit offiziellen Domains des Finanzunternehmens verwechselt werden können, c) technische Auskundschaftung: (für Exploits) anfällige Software, Systeme und Technologien, d) von Mitarbeitern im Internet veröffentlichte Informationen über das Finanzunternehmen, die für die Zwecke eines Angriffs verwendet werden könnten, e) Informationen, die im Dark Web verkauft werden, f) sonstige einschlägige Informationen, die im Internet oder in öffentlichen Netzwerken verfügbar sind, g) gegebenenfalls Informationen über Möglichkeiten des physischen Zugangs, z. B. zu den Räumlichkeiten des Finanzunternehmens. 3. Bedrohungsanalysen unter Berücksichtigung der allgemeinen Bedrohungslage und der besonderen Situation des Finanzunternehmens, darunter mindestens: a) das geopolitische Umfeld, b) das wirtschaftliche Umfeld, c) technologische und sonstige Trends im Zusammenhang mit den Tätigkeiten im Finanzdienstleistungssektor. 4. Bedrohungsprofile der böswilligen Akteure (bestimmte Einzelperson/Gruppe oder allgemeine Gruppe), die das Finanzunternehmen angreifen könnten, einschließlich der Systeme des Finanzunternehmens, die von böswilligen Akteuren am wahrscheinlichsten kompromittiert oder angegriffen werden, der möglichen Motivation, Absicht und Gründe für den möglichen zielgerichteten Angriff und der möglichen Vorgehensweise der Angreifer. 5. Bedrohungsszenarien: mindestens drei End-to-End-Bedrohungsszenarien für die gemäß Nummer 4 ermittelten Bedrohungsprofile, die die höchsten Werte für die Schwere der Bedrohung aufweisen. Die Bedrohungsszenarien beschreiben den End-to-End-Angriffspfad und umfassen mindestens: a) ein Szenario, das u. a. eine Kompromittierung der Dienstverfügbarkeit umfasst, b) ein Szenario, das u. a. eine Kompromittierung der Datenintegrität umfasst, c) ein Szenario, das u. a. die Kompromittierung der Vertraulichkeit von Informationen umfasst. 6. Gegebenenfalls eine Beschreibung des in Artikel 10 Absatz 4 genannten nicht bedrohungsorientierten Szenarios. ANHANG IV Inhalt des Red-Team-Testplans (Artikel 11 Absatz 1) Der Red-Team-Testplan enthält Informationen zu allen folgenden Punkten: a) Kommunikationskanäle und -verfahren, b) für den Angriff zulässige und nicht zulässige Taktiken, Techniken und Verfahren, einschließlich ethischer Grenzen für Social Engineering, c) von den Testern zu ergreifende Risikomanagementmaßnahmen, d) Beschreibung jedes Szenarios, einschließlich i) des simulierten Angreifers, ii) seiner Absicht, Motivation und Ziele, iii) der Funktionen und der unterstützenden IKT-Systeme, gegen die sich der Angriff richtet, iv) der Aspekte der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität, auf die der Angriff ausgerichtet ist, v) Flags, e) detaillierte Beschreibung jedes voraussichtlichen Angriffspfads, einschließlich der Voraussetzungen und etwaigen Hilfestellungen durch das Kontrollteam, mit Angabe der zeitlichen Vorgaben für deren Aktivierung und potenziellen Verwendung, f) Planung der Red-Teaming-Aktivitäten, einschließlich der Zeitplanung für die Durchführung jedes Szenarios, mindestens aufgeschlüsselt nach den drei Phasen, die ein Tester während der Testphase absolviert, d. h. Eindringen in die IKT-Systeme des Finanzunternehmens, Bewegung durch die IKT-Systeme und letztlich Erreichen des Angriffsziels und Rückzug aus den IKT-Systemen (In-, Through- und Out-Phase), g) Besonderheiten der Infrastruktur der Finanzunternehmen, die bei den Tests zu berücksichtigen sind, h) gegebenenfalls zusätzliche Informationen oder sonstige Ressourcen, die die Tester für die Ausführung der Szenarien benötigen. ANHANG V Inhalt des Red-Team-Testberichts (Artikel 12 Absatz 2) Der Red-Team-Testbericht enthält mindestens Informationen zu allen folgenden Punkten: a) Informationen über den durchgeführten Angriff, einschließlich Angaben zu i) den angegriffenen kritischen oder wichtigen Funktionen und ermittelten IKT-Systemen, -Prozessen und -Technologien, die die kritische oder wichtige Funktion unterstützen, wie im Red-Team-Testplan festgelegt, ii) Zusammenfassung jedes Szenarios, iii) erreichte und nicht erreichte Flags, iv) erfolgreich und nicht erfolgreich verfolgte Angriffspfade, v) erfolgreich und nicht erfolgreich angewandte Taktiken, Techniken und Verfahren, vi) etwaige Abweichungen vom Red-Team-Testplan, vii) etwaige Hilfestellungen, b) alle Aktivitäten, von denen die Tester wissen, dass sie vom Blue Team durchgeführt wurden, um den Angriff zu rekonstruieren und seine Auswirkungen abzumildern, c) festgestellte Schwachstellen und andere Probleme, einschließlich: i) Beschreibung der Schwachstelle und anderer Probleme, einschließlich ihrer Kritikalität, ii) Ursachenanalyse erfolgreicher Angriffe, iii) Empfehlungen für Abhilfemaßnahmen mit Priorisierung. ANHANG VI Inhalt des Blue-Team-Testberichts (Artikel 12 Absatz 4) Der Blue-Team-Testbericht enthält mindestens Informationen zu allen folgenden Punkten: 1. Für jeden von den Testern im Red-Team-Testbericht beschriebenen Angriffsschritt: a) Auflistung der entdeckten Angriffshandlungen, b) Protokolleinträge für diese entdeckten Handlungen, 2. Bewertung der Ergebnisse und Empfehlungen der Tester, 3. vom Blue Team gesammelte Beweise für den Angriff durch die Tester, 4. Blue-Team-Ursachenanalyse erfolgreicher Angriffe durch die Tester, 5. Auflistung der gewonnenen Erkenntnisse und ermittelten Verbesserungspotenziale, 6. Auflistung der Themen, die beim Purple-Teaming behandelt werden sollen. ANHANG VII Inhalt des Berichts mit einer Zusammenfassung der maßgeblichen Ergebnisse des TLPT gemäß Artikel 26 Absatz 6 der Verordnung (EU) 2022/2554 Der zusammenfassende Testbericht muss mindestens Angaben zu allen folgenden Punkten enthalten: a) beteiligte Parteien, b) Projektplan, c) validierter Umfang, einschließlich der Gründe für die Einbeziehung oder den Ausschluss kritischer oder wichtiger Funktionen und ermittelter IKT-Systeme, -Prozesse und -Technologien, die die vom TLPT erfassten kritischen oder wichtigen Funktionen unterstützen, d) gewählte Szenarien und etwaige erhebliche Abweichungen vom spezifischen Bedrohungsanalysebericht, e) verfolgte Angriffspfade und angewandte Taktiken, Techniken und Verfahren, f) erreichte und nicht erreichte Flags, g) etwaige Abweichungen vom Red-Team-Testplan, h) etwaige vom Blue Team aufgedeckte Handlungen, i) Purple-Teaming in der Testphase, sofern durchgeführt, und zugrunde liegende Voraussetzungen, j) etwaige Hilfestellungen, k) ergriffene Risikomanagementmaßnahmen, l) festgestellte Schwachstellen und andere Probleme, einschließlich ihrer Kritikalität, m) Ursachenanalyse erfolgreicher Angriffe, n) umfassender Plan mit Abhilfemaßnahmen, in dem Schwachstellen und andere festgestellte Probleme, ihre Ursachen und die Priorität der Behebung zueinander in Beziehung gesetzt werden, o) Erkenntnisgewinn aus den Rückmeldungen. ANHANG VIII Inhalt der Bescheinigung über den TLPT gemäß Artikel 26 Absatz 7 der Verordnung (EU) 2022/2554 Die Bescheinigung enthält mindestens alle folgenden Angaben: a) Zum durchgeführten TLPT: i) Beginn und Ende des TLPT, ii) die kritischen oder wichtigen Funktionen, die Gegenstand des Tests waren, iii) gegebenenfalls Informationen über kritische oder wichtige Funktionen, die Gegenstand des Tests waren und für die der TLPT nicht durchgeführt wurde, iv) etwaige andere Finanzunternehmen, die an dem TLPT beteiligt waren, v) etwaige IKT-Drittdienstleister, die an dem TLPT beteiligt waren, vi) zu den Testern: 1. Angabe, ob interne Tester eingesetzt wurden, 2. Angabe, ob das Finanzunternehmen von Artikel 5 Absatz 3 Unterabsatz 2 Gebrauch gemacht hat, vii) Dauer der aktiven Red-Team-Testphase in Kalendertagen, b) wenn mehrere TLPT-Behörden an dem TLPT beteiligt waren: Nennung der anderen TLPT-Behörden und Angabe, in welcher Eigenschaft sie daran beteiligt waren, c) Aufstellung der Dokumente, die von der TLPT-Behörde für die Ausstellung der Bescheinigung geprüft wurden. ELI: http://data.europa.eu/eli/reg_del/2025/1190/oj ISSN 1977-0642 (electronic edition)