Bekendtgørelse om henlæggelse af beføjelser til Danmarks Nationalbank

Danmarks Nationalbank varetager anliggender vedrørende trusselsbaserede penetrationstest (TLPT-relaterede anliggender) i henhold til artikel 26, stk. 9, i Europa-Parlamentets og Rådets forordning om digital operationel modstandsdygtighed i den finansielle sektor og retsakter udstedt i medfør heraf, og for operatører af finansielle digitale infrastrukturer.

Danmarks Nationalbank udpeger finansielle virksomheder, der skal gennemføre TLPT i henhold til artikel 26, stk. 8, i Europa-Parlamentets og Rådets forordning om digital operationel modstandsdygtighed i den finansielle sektor.

Danmarks Nationalbank udpeger ligeledes operatører af finansielle digitale infrastrukturer udpeget af Finanstilsynet i overensstemmelse med lov om finansiel virksomhed § 333, der skal gennemføre TLPT i henhold til lov om finansiel virksomhed § 333 g, stk. 3.

Danmarks Nationalbank skal

1. planlægge de enkelte testforløb med den udpegede virksomhed,

1. påse gennemførslen af testen og

1. afslutte testen.

Danmarks Nationalbank træffer herunder afgørelse om brug af interne testere i henhold til artikel 27, stk. 2, litra b, i Europa-Parlamentets og Rådets forordning om digital operationel modstandsdygtighed i den finansielle sektor.

Danmarks Nationalbank koordinerer gennemførsel af grænseoverskridende TLPT med relevante TLPT-myndigheder.

Danmarks Nationalbank vejleder virksomheder udpeget til at skulle gennemføre TLPT samt de af deres leverandører og underleverandører som indgår i testen om gennemførelse af testforløb med henblik på at skabe læring, som bidrager til at øge cyberrobustheden.

Danmarks Nationalbank udarbejder herunder retningslinjer for TLPT og stiller disse til rådighed for de virksomheder, der udpeges til at gennemføre TLPT samt deres leverandører og underleverandører.

Danmarks Nationalbank kan anmode virksomheder udpeget til at skulle gennemføre TLPT om de oplysninger, der er nødvendige for, at Danmarks Nationalbank kan varetage TLPT-relaterede anliggender, herunder oplysninger fra deres leverandører og underleverandører.

Danmarks Nationalbank kan herunder kræve at kunne gøre sig bekendt med ’red team test rapport’ hos den testede virksomhed.

Afgørelser truffet af Danmarks Nationalbank i medfør af § 2, § 3, stk. 2, og § 6 i denne bekendtgørelse kan påklages til Erhvervsankenævnet.

Bekendtgørelsen træder i kraft den 17. januar 2025.

Erhvervsministeriet

/Morten Bødskov / Hans Høj/