Art. 13 Åtgärdsplan | RTS on threat-led penetration testing | DORA

This article deals with the post-testing remediation obligations that follow the conclusion of a TLPT.

Building directly on Article 12, which covers the reporting phase, Article 13 sets out what financial entities must do once they have received the TLPT authority's notification regarding the test reports.

The article requires financial entities to produce and submit remediation plans, and specifies in considerable detail what those plans must contain for each finding identified during the TLPT.

Important points:

Within 8 weeks of the notification from Article 12(7), submit remediation plans and supporting documentation to both the TLPT authority and, where applicable, the competent authority.
Ensure each remediation plan addresses every TLPT finding and covers the identified shortcomings, proposed measures with prioritisation and expected completion, a root cause analysis, and the staff or functions responsible for implementation.
The plan must also set out the risks of not implementing the proposed remediation measures, and where relevant, the risks associated with implementing them.

1. Inom åtta veckor från den underrättelse som avses i artikel 12.7 i denna förordning ska den finansiella entiteten överlämna de åtgärdsplaner och den dokumentation som avses i artikel 26.6 i förordning (EU) 2022/2554 till myndigheten med ansvar för hotbildsstyrd penetrationstestning och, om det inte rör sig om samma myndighet, till den finansiella entitetens behöriga myndighet.
1. Den åtgärdsplan som avses i punkt 1 ska för varje resultat som framkommit i den hotbildsstyrda penetrationstestningen innehålla följande:
  1. En beskrivning av de identifierade bristerna.
  2. En beskrivning av de föreslagna åtgärderna och av deras prioritering och förväntade slutförande, i förekommande fall inklusive åtgärder för att förbättra kapaciteten för identifiering, skydd, detektering och respons.
  3. En analys av grundorsakerna.
  4. Personalen eller funktionerna inom den finansiella entiteten som ansvarar för genomförandet av de föreslagna åtgärderna eller förbättringarna.
  5. De risker som är förknippade med att inte genomföra de åtgärder som avses i led b och, i förekommande fall, de risker som är förknippade med genomförandet av dessa åtgärder.

Artikel 13 Åtgärdsplan

Relevant recitals