+Artículo 2 1
|
Artículo 2 1
1. Las autoridades competentes en relación con las pruebas de penetración basadas en amenazas evaluarán si una entidad financiera está obligada a realizar dichas pruebas teniendo en cuenta el impacto de dichas entidades financieras, su carácter sistémico y su perfil de riesgo relacionado con las TIC, sobre la base de todos los criterios que se enumeran a continuación:
|
a)
|
factores relacionados con el impacto y el carácter sistémico:
|
i)
|
el tamaño de la entidad financiera, determinado en función de si la entidad financiera presta servicios financieros en uno o varios Estados miembros y comparando las actividades de la entidad financiera con las de otras entidades financieras que presten servicios similares,
|
|
ii)
|
el alcance y la naturaleza de la interconexión de la entidad financiera con otras entidades financieras del sector financiero de uno o varios Estados miembros,
|
|
iii)
|
el carácter esencial o la importancia de los servicios que la entidad financiera presta al sector financiero,
|
|
iv)
|
la sustituibilidad de los servicios que presta la entidad financiera,
|
|
v)
|
la complejidad del modelo de negocio de la entidad financiera y los servicios y procesos conexos,
|
|
vi)
|
si la entidad financiera forma parte de un grupo de carácter sistémico a escala de la Unión o nacional en el sector financiero que comparte sistemas de TIC;
|
|
|
b)
|
factores vinculados al riesgo relacionado con las TIC:
|
i)
|
el perfil de riesgo de la entidad financiera,
|
|
ii)
|
el panorama de amenazas a que se enfrenta la entidad financiera,
|
|
iii)
|
el grado de dependencia de las funciones esenciales o importantes de la entidad financiera o de sus funciones de apoyo respecto de los sistemas y procesos de TIC,
|
|
iv)
|
la complejidad de la arquitectura de TIC de la entidad financiera,
|
|
v)
|
los servicios y funciones de TIC sustentados por proveedores terceros de servicios de TIC, y la cantidad y el tipo de acuerdos contractuales con proveedores terceros de servicios de TIC o proveedores intragrupo de servicios de TIC,
|
|
vi)
|
los resultados de cualquier revisión supervisora pertinentes para la evaluación de la madurez de las TIC de la entidad financiera,
|
|
vii)
|
la madurez de los planes de continuidad de la actividad en materia de TIC y de los planes de respuesta y recuperación en materia de TIC,
|
|
viii)
|
la madurez de las medidas operativas de detección y mitigación de la seguridad de las TIC, incluida la capacidad de:
|
1)
|
efectuar un seguimiento permanente de la infraestructura de TIC de la entidad financiera;
|
|
2)
|
detectar incidentes relacionados con las TIC en tiempo real;
|
|
3)
|
analizar los incidentes a que se refiere el punto 2;
|
|
4)
|
responder a los incidentes a que se refiere el punto 2 de manera oportuna y eficaz,
|
|
|
ix)
|
si la entidad financiera forma parte de un grupo activo en el sector financiero a escala de la Unión o nacional que comparte sistemas de TIC.
|
|
A efectos de la letra a), inciso i), la autoridad competente en relación con las pruebas de penetración basadas en amenazas analizará, cuando sea posible, los aspectos siguientes:
|
a)
|
la cuota de mercado de la entidad financiera a escala nacional y de la Unión;
|
|
b)
|
la gama de actividades que ofrece la entidad financiera;
|
|
c)
|
la cuota de mercado de los servicios prestados por la entidad financiera o de las actividades que lleva a cabo a escala nacional y de la Unión.
|
A efectos de la letra a), inciso v), la autoridad competente en relación con las pruebas de penetración basadas en amenazas analizará, cuando sea posible, los aspectos siguientes:
|
a)
|
si la entidad financiera opera con más de un modelo de negocio;
|
|
b)
|
la interconexión de los diferentes procesos empresariales y los servicios conexos.
|
1. Resumen
1.1 Referencias
1.2 Requisitos identificados
1.3 Estándares relacionados
2. Requisitos identificados
Requisitos
| Fuente |
Requisito |
3. Estándares relacionados
Estándares
| Fuente |
Requisito |
|