1. Orgány pro penetrační testování na základě hrozeb posoudí, zda je některý finanční subjekt povinen provést penetrační testování na základě hrozeb, přičemž zohlední dopad těchto finančních subjektů, jejich systémovou povahu a jejich rizikový profil v oblasti IKT, a to na základě všech těchto kritérií:
|
a)
|
faktorů souvisejících s dopady a systémovou povahou:
|
i)
|
velikosti finančního subjektu, která se určí na základě toho, zda finanční subjekt poskytuje finanční služby v jednom nebo více členských státech, a porovnáním činností finančního subjektu s činnostmi jiných finančních subjektů poskytujících podobné služby;
|
|
ii)
|
rozsahu a povahy propojení finančního subjektu s jinými finančními subjekty ve finančním sektoru v jednom nebo více členských státech;
|
|
iii)
|
významu nebo důležitosti služeb, které finanční subjekt poskytuje finančnímu sektoru;
|
|
iv)
|
nahraditelnosti služeb, které finanční subjekt poskytuje;
|
|
v)
|
složitosti obchodního modelu finančního subjektu a souvisejících služeb a procesů;
|
|
vi)
|
zda je finanční subjekt součástí skupiny systémové povahy na úrovni Unie nebo na vnitrostátní úrovni ve finančním sektoru a sdílí systémy IKT;
|
|
|
b)
|
faktorů souvisejících s riziky v oblasti IKT:
|
i)
|
rizikového profilu finančního subjektu;
|
|
ii)
|
prostředí hrozeb finančního subjektu;
|
|
iii)
|
stupně závislosti zásadních nebo důležitých funkcí nebo jejich podpůrných funkcí finančního subjektu na systémech a procesech IKT;
|
|
iv)
|
složitosti architektury IKT finančního subjektu;
|
|
v)
|
služeb a funkcí IKT podporovaných poskytovateli služeb IKT z řad třetích stran a množství a druhu smluvních ujednání s poskytovateli služeb IKT z řad třetích stran nebo poskytovateli služeb IKT v rámci skupiny;
|
|
vi)
|
výsledků všech přezkumů provedených orgány dohledu relevantních pro posouzení vyspělosti IKT finančního subjektu;
|
|
vii)
|
vyspělosti plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT;
|
|
viii)
|
vyspělosti provozních opatření pro odhalování a zmírňování dopadů na bezpečnost IKT, včetně schopnosti:
|
1)
|
trvale sledovat infrastrukturu IKT finančního subjektu;
|
|
2)
|
zjišťovat události související s IKT v reálném čase;
|
|
3)
|
analyzovat události uvedené v bodě 2;
|
|
4)
|
včas a účinně reagovat na události uvedené v bodě 2;
|
|
|
ix)
|
zda je finanční subjekt součástí skupiny působící ve finančním sektoru na úrovni Unie nebo na vnitrostátní úrovni, která sdílí systémy IKT.
|
|
Pro účely písmene a) bodu i) orgán pro penetrační testování na základě hrozeb pokud možno zohlední:
|
a)
|
postavení finančního subjektu na trhu na úrovni Unie a na vnitrostátní úrovni;
|
|
b)
|
rozsah činností, které finanční subjekt nabízí;
|
|
c)
|
podíl služeb poskytovaných finančním subjektem nebo podíl činností prováděných na úrovni Unie a na vnitrostátní úrovni na trhu.
|
Pro účely písmene a) bodu v) orgán pro penetrační testování na základě hrozeb pokud možno zohlední:
|
a)
|
zda finanční subjekt provozuje více než jeden obchodní model;
|
|
b)
|
propojení různých obchodních procesů a souvisejících služeb.
|