Podnikatelia

TESTOVANIE DIGITÁLNEJ PREVÁDZKOVEJ ODOLNOSTI

  • Vydanie: ULC PRO BONO 07/2025

1. ABSTRAKT

Nariadenie DORA vyžaduje, aby poskytovatelia finančných služieb testovali svoje systémy na základe súvisiacich rizík. Testovanie digitálnej prevádzkovej odolnosti je povinné a jeho cieľom je posúdiť pripravenosť na riešenie incidentov súvisiacich s IKT, identifikovať slabé stránky, nedostatky a medzery v digitálnej prevádzkovej odolnosti a urýchlene zaviesť nápravné opatrenia. V našom článku sa podrobnejšie dočítate aj o takzvaných penetračných testoch.

2. VŠEOBECNÉ POŽIADAVKY NA TESTOVANIE

Na účely posúdenia pripravenosti riešiť incidenty súvisiace s IKT, identifikácie slabých miest, nedostatkov a medzier digitálnej prevádzkovej odolnosti a urýchleného vykonania nápravných opatrení finančné subjekty iné ako mikropodniky zriadia, udržiavajú a preskúmavajú spoľahlivý a komplexný program testovania digitálnej prevádzkovej odolnosti ako integrálnu súčasť rámca riadenia IKT rizika.

Program na testovanie digitálnej prevádzkovej odolnosti zahŕňa celý rad posúdení, testov, metodík, postupov a nástrojov.

Pri vykonávaní programu testovania digitálnej prevádzkovej odolnosti sa finančné subjekty iné ako mikropodniky riadia prístupom založeným na riziku, pričom náležite prihliadajú na vyvíjajúce sa prostredie IKT rizika, všetky špecifické riziká, ktorým je alebo by mohol byť dotknutý finančný subjekt vystavený, kritickosť informačných aktív a poskytovaných služieb, ako aj akýkoľvek iný faktor, ktorý finančný subjekt považuje za vhodný.

Finančné subjekty iné ako mikropodniky zabezpečia, aby testy vykonávali nezávislé strany, či už interné alebo externé. Ak testy vykonáva interný testovací subjekt, finančné

subjekty vyčlenia dostatočné zdroje a zabezpečia, aby sa vo fáze navrhovania a vykonávania testu zabránilo konfliktom záujmov.

Finančné subjekty iné ako mikropodniky stanovia postupy a politiky na určenie priorít, klasifikáciu a nápravu všetkých problémov odhalených počas vykonávania testov a zavedú interné metodiky validácie s cieľom zabezpečiť úplné riešenie všetkých zistených slabých miest, nedostatkov a medzier.

Finančné subjekty iné ako mikropodniky zabezpečia, aby sa aspoň raz ročne vykonávali vhodné testy všetkých IKT systémov a aplikácií podporujúcich kritické alebo dôležité funkcie.

3. TESTOVANIE IKT NÁSTROJOV A SYSTÉMOV

V rámci programu testovania digitálnej prevádzkovej odolnosti finančný subjekt zabezpečí vykonanie vhodných testov, ako sú (i) posúdenia a vyhľadávania zraniteľnosti, (ii) analýzy otvorených zdrojov (analýzy open-source riešení), (iii) posúdenia bezpečnosti sietí, (iv) analýzy nedostatkov, (v) preskúmania fyzickej bezpečnosti, (vi) dotazníky a skenovacie softvérové riešenia, preskúmania zdrojových kódov, (vii) ak je to možné, testy založené na konkrétnych scenároch, (viii) testovania kompatibility, (ix) testovania výkonnosti, (x) testovania medzi koncovými bodmi (end-to-end testovania) a (xi) penetračné testovania.

4. POKROČILÉ TESTOVANIE IKT NÁSTROJOV, SYSTÉMOV A PROCESOV

Veľké a prepojené finančné subjekty, vykonávajú aspoň každé tri roky pokročilé testovanie prostredníctvom penetračného testovania. Na základe rizikového profilu finančného subjektu a s prihliadnutím na prevádzkové okolnosti môže príslušný orgán v prípade potreby požiadať finančný subjekt o zníženie alebo zvýšenie tejto frekvencie.

TLPT je skratka pre tzv. Threat-Led Penetration Test.

Ide o formu bezpečnostného testovania, ktoré simuluje reálne kybernetické útoky za účelom vyhodnotenia účinnosti bezpečnostných opatrení finančného subjektu. Je založené na skutočných alebo predpokladaných hrozbách alebo zraniteľnosti.

Penetračné testovanie je jedným z pilierov nariadenia DORA.

Každý penetračný test na základe konkrétnej hrozby zahŕňa viaceré alebo všetky kritické alebo dôležité funkcie finančného subjektu a vykonáva sa na živých produkčných systémoch podporujúcich takéto funkcie.

Finančné subjekty identifikujú všetky relevantné podkladové IKT systémy, procesy a technológie podporujúce kritické alebo dôležité funkcie a všetky relevantné IKT služby vrátane tých, ktoré podporujú kritické alebo dôležité funkcie, ktoré sú externe zabezpečované formou outsourcingu alebo zmluvne dohodnuté s externým poskytovateľom IKT služieb.

Finančné subjekty posúdia, na ktoré kritické alebo dôležité funkcie, sa TLPT musí vzťahovať. Výsledok tohto posúdenia určí presný rozsah TLPT a validujú ho príslušné orgány.

Ak sú externí poskytovatelia IKT služieb zahrnutí do rozsahu pôsobnosti TLPT, finančný subjekt prijme potrebné opatrenia a záruky na zabezpečenie účasti takýchto externých poskytovateľov IKT služieb na TLPT a vždy si ponechá plnú zodpovednosť za zabezpečenie súladu s týmto nariadením.

Finančné subjekty uzatvárajú zmluvy s testovacími subjektmi na účely vykonávania TLPT v súlade s článkom 27 nariadenia DORA. Ak finančné subjekty využívajú interné testovacie subjekty na účely vykonávania TLPT, uzatvoria zmluvu s externými testovacími subjektmi po každom treťom testovaní.

Príslušné orgány určia finančné subjekty, od ktorých sa vyžaduje vykonávanie TLPT, pričom zohľadnia kritériá stanovené v článku 4 ods. 2, a to na základe posúdenia (i) faktorov súvisiacich s vplyvom, najmä rozsahom, v akom služby poskytované a činnosti vykonávané finančným subjektom majú vplyv na finančný sektor, (ii) prípadných obáv o finančnú stabilitu vrátane systémového charakteru finančného subjektu na úrovni Únie alebo na vnútroštátnej úrovni, podľa toho, čo je uplatniteľné (iii) konkrétneho IKT rizikového profilu, úrovne IKT vyspelosti finančného subjektu alebo súvisiacich technologických prvkov.

4.1 Testovacie subjekty

V súlade s nariadením DORA finančné subjekty využívajú na vykonávanie TLPT iba testovacie subjekty, ktoré (i) sú najvhodnejšie a najuznávanejšie, (ii) disponujú technickými a organizačnými spôsobilosťami a preukazujú osobitné odborné znalosti v oblasti spravodajských informácií o hrozbách, penetračného testovania a testovania prostredníctvom červeného tímu, (iii) sú certifikované akreditačným orgánom v členskom štáte alebo dodržiavajú formálne kódexy správania alebo etické rámce, (iv) poskytujú nezávislé uistenie alebo audítorskú správu v súvislosti so správnym riadením rizík spojených s vykonávaním TLPT vrátane náležitej ochrany dôverných informácií finančného subjektu a nápravy obchodných rizík finančného subjektu, (v) sú riadne a v plnom rozsahu kryté príslušnými poisteniami zodpovednosti za škodu spôsobenú pri výkone povolania, a to aj pre prípad pochybenia a nedbanlivosti.

Ak využívajú interné testovacie subjekty, finančné subjekty musia zabezpečiť, aby okrem uvedených požiadaviek, boli splnené aj tieto podmienky: (vi) takéto využitie schválil relevantný príslušný orgán alebo jeden verejný orgán určený v súlade s článkom 26 ods. 9 a 10 nariadenia, (vii) relevantný príslušný orgán overil, že finančný subjekt má dostatočné vyčlenené zdroje a zabezpečil, aby sa vo fáze navrhovania a vykonávania testu zabránilo konfliktom záujmov a (viii) poskytovateľ spravodajských informácií o hrozbách je vo vzťahu k finančnému subjektu externým subjektom.

Finančné subjekty zabezpečia, aby sa v zmluvách uzavretých s externými testovacími subjektmi vyžadovalo správne riadenie výsledkov TLPT a aby akékoľvek spracúvanie z toho vyplývajúcich údajov vrátane akéhokoľvek generovania, uchovávania, agregácie, navrhovania, podávania správ, komunikácie alebo likvidácie nevytváralo pre finančný subjekt riziká.

4.2 Detaily penetračného testovania

Účelom tohto špeciálneho vydania Pro Bona nie je predstaviť kompletné technické detaily penetračného testovania, iba právny rámec.

Tak, ako aj nahlasovanie incidentov a riadenie IKT rizík má svoje delegované nariadenia, aj penetračné testovanie je detailne upravené v ďalšom delegovanom nariadení.

Ide o DELEGOVANÉ NARIADENIE KOMISIE (EÚ) 2025/1190 z 13. februára 2025, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, v ktorých sa bližšie špecifikujú kritériá používané na identifikáciu finančných subjektov povinných vykonať penetračné testovanie na základe konkrétnej hrozby, požiadavky a normy, ktorými sa riadi využívanie interných testovacích subjektov, požiadavky týkajúce sa rozsahu pôsobnosti, metodiky testovania a prístupu pre každú fázu testovania, výsledkov, záverečného a nápravného štádia a druh spolupráce v oblasti dohľadu a v iných relevantných oblastiach potrebnej na vykonávanie TLPT a na uľahčenie vzájomného uznávania.

Je dostupné online:

https://eur-lex.europa.eu/legal-content/SK/TXT/PDF/?uri=OJ:L_202501190.

Toto delegované nariadenie odzrkadľuje metodiku, proces a štruktúru penetračného testovania na základe konkrétnej hrozby.

Vzhľadom na zložitosť TLPT a s ním súvisiace riziká by sa jeho používanie malo obmedziť na tie finančné subjekty, pre ktoré je odôvodnené. Orgány zodpovedné za záležitosti TLPT (orgány TLPT buď na úrovni Únie alebo na vnútroštátnej úrovni) by preto mali z rozsahu pôsobnosti TLPT vylúčiť tie finančné subjekty, ktoré pôsobia v hlavných pododvetviach finančných služieb, pre ktoré TLPT nie je odôvodnené. To znamená, že aj keď úverové inštitúcie, platobné inštitúcie a inštitúcie elektronického peňažníctva, centrálne depozitáre cenných papierov, centrálne protistrany, obchodné miesta, poisťovne a zaisťovne spĺňajú kvantitatívne kritériá, mohli by byť oslobodené od požiadavky TLPT vzhľadom na celkové posúdenie ich rizikového profilu a vyspelosti v oblasti IKT, vplyvu na finančný sektor a súvisiacich obáv týkajúcich sa finančnej stability.

Metodika penetračného testovania zabezpečuje zapojenie týchto hlavných účastníkov: (i) finančného subjektu s kontrolným tímom (tzv. „kontrolný tím“) a modrým tímom a (ii) orgánu TLPT vo forme kybernetického tímu TLPT, (iii) poskytovateľa spravodajských informácií o hrozbách a (iv) testovacích subjektov (tzv. červený tím).

Pre zaujímavosť uvádzame jednotlivú definíciu pojmov do aplikačnej praxe penetračného testovania.

„Kontrolný tím“ je tím zložený zo zamestnancov testovaného finančného subjektu a, ak je to relevantné vzhľadom na rozsah pôsobnosti TLPT, zo zamestnancov jeho externých poskytovateľov služieb a akejkoľvek inej strany, ktorá test riadi.

„Vedúci kontrolného tímu“ je zamestnanec finančného subjektu zodpovedný za vykonávanie všetkých činností súvisiacich s TLPT pre finančný subjekt v kontexte daného testu.

„Modrý tím“ sú zamestnanci finančného subjektu a prípadne zamestnanci externých poskytovateľov služieb finančného subjektu a akejkoľvek inej strany považovanej za relevantnú z hľadiska rozsahu pôsobnosti TLPT, externých poskytovateľov služieb finančného subjektu, ktorí bránia používanie sietí a informačných systémov finančného subjektu, a to udržiavaním stavu bezpečnosti pred simulovanými alebo skutočnými útokmi a ktorí nemajú vedomosť o TLPT.

„Úlohy modrého tímu“ sú úlohy, ktoré zvyčajne vykonáva modrý tím, ako sú centrum bezpečnostných operácií (CBO), služby infraštruktúry IKT, služby helpdesku, služby riadenia incidentov na operačnej úrovni.

„Červený tím“ sú interné alebo externé testovacie subjekty, ktoré sú zazmluvnené alebo pridelené na TLPT.

„Poskytovatelia TLPT“ sú testovacie subjekty a poskytovatelia spravodajských informácií o hrozbách.

„Opora“ je pomoc alebo informácie, ktoré kontrolný tím poskytuje testovacím subjektom s cieľom umožniť testovacím subjektom pokračovať vo vykonávaní dráhy útoku, ak nie sú schopní napredovať samostatne a ak neexistuje žiadna iná primeraná alternatíva, a to aj vzhľadom na nedostatočný čas alebo zdroje v danom TLPT.

„Dráha útoku“ je trasa, ktorú nasledujú testovacie subjekty počas fázy aktívneho testovania prostredníctvom červeného tímu TLPT, aby dosiahli vlajky špecifikované pre dané TLPT.

„Vlajky“ sú kľúčové ciele IKT systémov podporujúcich kritické alebo dôležité funkcie finančného subjektu, ktoré sa testovacie subjekty snažia dosiahnuť cez test.

„Citlivé informácie“ sú informácie, ktoré možno ľahko využiť na vykonanie útokov na IKT systémy finančného subjektu, duševné vlastníctvo, dôverné obchodné údaje alebo osobné údaje, ktoré môžu priamo alebo nepriamo poškodiť finančný subjekt a jeho ekosystém, ak by boli v rukách aktérov s nekalými úmyslami.

4.3. Identifikácia finančných subjektov povinných vykonať TLPT

Identifikáciu subjektov pre povinné penetračné testovanie nájdeme v spomínanom delegovanom nariadení.

Orgány TLPT posudzujú, či je akýkoľvek finančný subjekt povinný vykonať TLPT, pričom zohľadňujú vplyv týchto finančných subjektov, ich systémový charakter a ich rizikový profil v oblasti IKT, a to na základe všetkých týchto kritérií:

A) faktory súvisiace s vplyvom a systémovým charakterom:

i) veľkosť finančného subjektu určená na základe toho, či finančný subjekt poskytuje finančné služby v jednom alebo viacerých členských štátoch, a porovnaním činností finančného subjektu s činnosťami iných finančných subjektov poskytujúcich podobné služby;

ii) rozsah a povaha prepojenia finančného subjektu s inými finančnými subjektmi vo finančnom sektore v jednom alebo viacerých členských štátoch;

iii) kritickosť alebo význam služieb, ktoré finančný subjekt poskytuje finančnému sektoru;

iv) nahraditeľnosť služieb, ktoré finančný subjekt poskytuje;

v) zložitosť obchodného modelu finančného subjektu a súvisiacich služieb a procesov;

vi) či je finančný subjekt súčasťou skupiny systémového charakteru na úrovni Únie alebo na vnútroštátnej úrovni vo finančnom sektore a zdieľa IKT systémy;

B) faktory súvisiace s IKT rizikom:

i) rizikový profil finančného subjektu;

ii) panoráma hrozieb finančného subjektu;

iii) stupeň závislosti kritických alebo dôležitých funkcií alebo ich podporných funkcií finančného subjektu od IKT systémov a procesov;

iv) zložitosť architektúry IKT finančného subjektu;

v) IKT služby a funkcie podporované externými poskytovateľmi IKT služieb a množstvo a typ zmluvných dojednaní s externými poskytovateľmi IKT služieb alebo vnútroskupinovými poskytovateľmi IKT služieb;

vi) výsledky všetkých preskúmaní orgánmi dohľadu, ktoré sú relevantné pre posúdenie vyspelosti finančného subjektu v oblasti IKT;

vii) vyspelosť plánov kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT;

viii) vyspelosť operačných bezpečnostných opatrení v oblasti IKT na odhaľovanie a zmierňovanie vrátane schopnosti: 1. neustále monitorovať infraštruktúru IKT finančného subjektu; 2. v reálnom čase odhaľovať udalosti súvisiace s IKT; 3. analyzovať udalosti uvedené v bode 2; 4. včas a účinne reagovať na udalosti uvedené v bode 2;

ix) či je finančný subjekt súčasťou skupiny pôsobiacej vo finančnom sektore na úrovni Únie alebo na vnútroštátnej úrovni, v rámci ktorej sa zdieľajú IKT systémy.

Bez ohľadu na splnenie alebo nesplnenie uvedených faktorov, orgány TLPT vyžadujú, aby TLPT vykonávali všetky nasledujúce finančné subjekty:

A) úverové inštitúcie, ktoré spĺňajú ktorúkoľvek z týchto podmienok:

i) boli identifikované ako globálne systémovo významné inštitúcie (G-SII) v súlade s článkom 131 smernice Európskeho parlamentu a Rady 2013/36/EÚ (7);

ii) boli identifikované ako inak systémovo významné inštitúcie (O-SII) v súlade s článkom 131 smernice 2013/36/EÚ; iii) sú súčasťou G-SII alebo O-SII;

B) platobné inštitúcie, ktoré v každom z dvoch kalendárnych rokov predchádzajúcich posúdeniu orgánom TLPT prekročili celkovú hodnotu platobných transakcií vo výške 150 miliárd EUR v zmysle vymedzenia v článku 4 bode 5 smernice Európskeho parlamentu a Rady (EÚ) 2015/2366 (8);

C) inštitúcie elektronického peňažníctva, ktoré v každom z dvoch kalendárnych rokov predchádzajúcich posúdeniu orgánom TLPT prekročili buď celkovú hodnotu platobných transakcií vo výške 150 miliárd EUR v zmysle vymedzenia v článku 4 bode 5 smernice (EÚ) 2015/2366 alebo celkovú hodnotu 40 miliárd EUR sumy vydaných elektronických peňazí;

D) centrálne depozitáre cenných papierov;

E) centrálne protistrany;

F) obchodné miesta s elektronickým systémom obchodovania, ktoré spĺňajú ktorékoľvek z podrobných kritérií určených delegovaným nariadením;

G) poisťovne a zaisťovne, ktoré spĺňajú všetky tieto kritériá:

i) majú hrubé predpísané poistné, ktoré presahuje 1 500 000 000 EUR;

ii) majú technické rezervy, ktoré presahujú 10 000 000 000 EUR;

iii) poisťovne, ktoré vykonávajú len činnosti životného poistenia alebo činnosti životného aj neživotného poistenia a ktorých celkové aktíva presahujú 3,5 % súčtu celkových aktív poisťovní a zaisťovní usadených v členskom štáte ocenených v súlade s článkom 75 smernice Európskeho parlamentu a Rady (11) 2009/138/ES.

Na podrobnosti v posudzovaní opätovne odkazujeme na delegované nariadenie a najmä na jeho článok 2: https://eur-lex.europa.eu/legal-content/SK/TXT/PDF/?uri=OJ:L_202501190.

Jednotlivé fázy penetračného testovania, výber externého subjektu penetračného testovania a všetky podrobné postupy sú obsiahnuté v delegovanom nariadení, na ktoré odkazujeme online.

5. OSVEDČENIE O PENETRAČNOM TESTE A LEHOTY

O realizácií penetračného testu u slovenského finančného subjektu podliehajúcemu povinnosti penetračného testovania, vydáva osvedčenie v zmysle § 36a zákona o dohľade nad finančným trhom  č. 747/2004 Z. z. v platnom znení, Národná banka Slovenska. Národná banka Slovenska vydáva na účely vzájomného uznávania podľa osobitného predpisu osvedčenia o vykonaní penetračného testu na základe konkrétnej hrozby. Keďže nariadenie DORA bolo zverejnené v Úradnom vestníku Európskej únie dňa 27. decembra 2022 a nadobudlo platnosť od 16. januára 2023 a od tohto dátumu mali inštitúcie 24 mesiacov na začlenenie nových pravidiel do svojich procesov, tak z uvedeného vyplýva, že penetračné testovanie, vzhľadom na jeho povinnosť realizácie každé 3 roky, by malo začať koncom roka 2025.

Publikované dňa 04.09.2025.

Kontaktný formulár

Sme pripravení naplniť Vaše práva.
Kontaktujte nás!

Zadajte vašu e-mailovú adresu.
Zadajte vaše telefónne čislo.
Napíšte nám správu.
Súhlaste so spracovaním osobných údajov.

Správa sa odosiela ....