Статья 27. Требования к специалистам по проведению испытаний для проведения TLPT

Статья 27
Требования к специалистам по проведению испытаний для проведения TLPT

1. Финансовые организации привлекают к проведению TLPT только таких специалистов по проведению испытаний, которые:

(a) в наибольшей степени соответствуют требованиям и обладают высокой репутацией;

(b) обладают техническими и организационными способностями и демонстрируют наличие определенного опыта в связи с аналитическими данными и информацией об угрозах, в проведении испытаний на проникновение и в проведении испытаний "красными" командами;

(c) сертифицированы органом по аккредитации в государстве-члене ЕС или придерживаются формальных кодексов поведения или этических норм;

(d) предоставляют независимую гарантию или аудиторский отчет в отношении надежного управления рисками, связанными с проведением TLPT, включая надлежащую защиту конфиденциальной информации финансовой организации и устранение предпринимательских рисков финансовой организации;

(е) должным образом и в полном объеме застрахованы соответствующими полисами страхования профессиональной ответственности, в том числе от рисков совершения неправомерных действий и небрежности.

2. При привлечении внутренних специалистов по проведению испытаний финансовые организации должны гарантировать выполнение следующих условий в дополнение к требованиям, перечисленным в параграфе 1 настоящей Статьи:

(a) привлечение таких специалистов было одобрено соответствующим компетентным органом или единым органом власти, назначенным в соответствии со Статьей 26(9) и (10) настоящего Регламента;

(b) соответствующий компетентный орган удостоверился в том, что финансовая организация выделила достаточные ресурсы и обеспечила недопущение конфликта интересов на всех этапах планирования и проведения испытаний; и

(c) поставщик аналитических данных и информации об угрозах является внешним по отношению к финансовой организации.

3. Финансовые организации должны гарантировать, что контракты, заключенные с внешними специалистами по проведению испытаний, требуют надежного управления результатами TLPT и что любая обработка ими данных, включая генерацию, хранение, агрегирование, составление, сообщение, передачу или уничтожение, не создает рисков для финансовой организации.