Bekendtgørelse om henlæggelse af beføjelser til Danmarks Nationalbank
Bekendtgørelsen lægger TLPT-opgaver og beføjelser hos Danmarks Nationalbank og giver Nationalbanken adgang til at udpege, vejlede, koordinere og indhente oplysninger om TLPT.
Bekendtgørelse om henlæggelse af beføjelser til Danmarks Nationalbank 1) I bekendtgørelsen er der medtaget visse bestemmelser fra Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 og (EU) 2016/1011 EU-Tidende 2022, nr. L 333, side 1. Ifølge artikel 288 i EUF-Traktaten gælder en forordning umiddelbart i hver medlemsstat. Gengivelsen af disse bestemmelser i bekendtgørelsen er således udelukkende begrundet i praktiske hensyn og berører ikke forordningens umiddelbare gyldighed i Danmark. Bekendtgørelse om henlæggelse af beføjelser til Danmarks Nationalbank I bekendtgørelsen er der medtaget visse bestemmelser fra Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 og (EU) 2016/1011 EU-Tidende 2022, nr. L 333, side 1. Ifølge artikel 288 i EUF-Traktaten gælder en forordning umiddelbart i hver medlemsstat. Gengivelsen af disse bestemmelser i bekendtgørelsen er således udelukkende begrundet i praktiske hensyn og berører ikke forordningens umiddelbare gyldighed i Danmark. I medfør af § 344 f i lov om finansiel virksomhed, jf. lovbekendtgørelse nr. 1013 af 21. august 2024, fastsættes: Danmarks Nationalbank varetager anliggender vedrørende trusselsbaserede penetrationstest (TLPT-relaterede anliggender) i henhold til artikel 26, stk. 9, i Europa-Parlamentets og Rådets forordning om digital operationel modstandsdygtighed i den finansielle sektor og retsakter udstedt i medfør heraf, og for operatører af finansielle digitale infrastrukturer. Danmarks Nationalbank udpeger finansielle virksomheder, der skal gennemføre TLPT i henhold til artikel 26, stk. 8, i Europa-Parlamentets og Rådets forordning om digital operationel modstandsdygtighed i den finansielle sektor. Danmarks Nationalbank udpeger ligeledes operatører af finansielle digitale infrastrukturer udpeget af Finanstilsynet i overensstemmelse med lov om finansiel virksomhed § 333, der skal gennemføre TLPT i henhold til lov om finansiel virksomhed § 333 g, stk. 3. Danmarks Nationalbank skal planlægge de enkelte testforløb med den udpegede virksomhed, påse gennemførslen af testen og afslutte testen. Danmarks Nationalbank træffer herunder afgørelse om brug af interne testere i henhold til artikel 27, stk. 2, litra b, i Europa-Parlamentets og Rådets forordning om digital operationel modstandsdygtighed i den finansielle sektor. Danmarks Nationalbank koordinerer gennemførsel af grænseoverskridende TLPT med relevante TLPT-myndigheder. Danmarks Nationalbank vejleder virksomheder udpeget til at skulle gennemføre TLPT samt de af deres leverandører og underleverandører som indgår i testen om gennemførelse af testforløb med henblik på at skabe læring, som bidrager til at øge cyberrobustheden. Danmarks Nationalbank udarbejder herunder retningslinjer for TLPT og stiller disse til rådighed for de virksomheder, der udpeges til at gennemføre TLPT samt deres leverandører og underleverandører. Danmarks Nationalbank kan anmode virksomheder udpeget til at skulle gennemføre TLPT om de oplysninger, der er nødvendige for, at Danmarks Nationalbank kan varetage TLPT-relaterede anliggender, herunder oplysninger fra deres leverandører og underleverandører. Danmarks Nationalbank kan herunder kræve at kunne gøre sig bekendt med ’red team test rapport’ hos den testede virksomhed. Afgørelser truffet af Danmarks Nationalbank i medfør af § 2, § 3, stk. 2, og § 6 i denne bekendtgørelse kan påklages til Erhvervsankenævnet. Bekendtgørelsen træder i kraft den 17. januar 2025.