+Член 2 1

Член 2 1

1.   Органите в областта на тестването за проникване преценяват дали от даден финансов субект се изисква да извършва тестване за проникване, като вземат предвид въздействието на тези финансови субекти, системния им характер и техния рисков профил в областта на ИКТ, въз основа на всички изброени по-долу критерии:

а)

фактори, свързани с въздействието, и фактори, свързани със системния характер:

i)

размера на финансовия субект, определен въз основа на това дали финансовият субект предоставя финансови услуги в една или повече държави членки и чрез сравняване на дейностите на финансовия субект с тези на други финансови субекти, предоставящи подобни услуги;

ii)

степента и естеството на взаимосвързаност на финансовия субект с други финансови субекти от финансовия сектор в една или повече държави членки;

iii)

критичната значимост или важността на услугите, които финансовият субект предоставя на финансовия сектор;

iv)

степента, в която могат да бъдат заменени услугите, които предоставя финансовият субект;

v)

сложността на бизнес модела на финансовия субект и свързаните с него услуги и процеси;

vi)

дали финансовият субект е част от група със системен характер на равнището на Съюза или на национално равнище във финансовия сектор и използва общи системи на ИКТ;

б)

рискови фактори, свързани с ИКТ:

i)

рисковия профил на финансовия субект;

ii)

картината на заплахите за финансовия субект;

iii)

степента на зависимост на критичните или важните функции или на поддържащите ги функции на финансовия субект от системите и процесите на ИКТ;

iv)

сложността на архитектурата на ИКТ на финансовия субект;

v)

услугите и функциите на ИКТ, поддържани от трети страни доставчици на услуги в областта на ИКТ, както и броя и вида на договорните споразумения с трети страни доставчици на услуги в областта на ИКТ или вътрешногрупови доставчици на услуги в областта на ИКТ;

vi)

резултатите от всички надзорни прегледи, свързани с оценката на степента на развитост на ИКТ на финансовия субект;

vii)

степента на развитост на плановете за непрекъснатост на дейността на ИКТ и плановете за реакция и възстановяване на ИКТ;

viii)

степента на развитост на мерките за откриване на инциденти във връзка с оперативната сигурност на ИКТ и смекчаване на последиците за тях, включително способността за:

1)

постоянно наблюдение на инфраструктурата на ИКТ на финансовия субект;

2)

откриване на събития, свързани с ИКТ, в реално време;

3)

анализиране на събитията, посочени в подточка 2;

4)

своевременно и ефективно реагиране на събитията, посочени в подточка 2;

ix)

дали финансовият субект е част от група, действаща във финансовия сектор на равнището на Съюза или на национално равнище, която използва общи системи на ИКТ.

За целите на буква а), точка i) органът в областта на тестването за проникване, когато е възможно, взема предвид:

а)

позицията на финансовия субект по отношение на пазарния му дял на равнището на Съюза и на национално равнище;

б)

обхвата на дейностите, предлагани от финансовия субект;

в)

пазарния дял на услугите, предоставяни от финансовия субект, или на дейностите, извършвани на равнището на Съюза и на национално равнище.

за целите на буква а), точка v) органът в областта на тестването за проникване, когато е възможно, взема предвид:

а)

дали финансовият субект прилага повече от един бизнес модел;

б)

степента на взаимосвързаност на различните работни процеси и свързаните с тях услуги.

1. Преглед

,

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

Изисквания

3. Свързани стандарти

Стандарти