+Artículo 2 2

Artículo 2 2

2.   Las autoridades competentes en relación con las pruebas de penetración basadas en amenazas exigirán a todas las entidades financieras siguientes que realicen pruebas de este tipo, a menos que la evaluación a que se refiere el apartado 1 con respecto a una entidad financiera indique que su impacto, los problemas de estabilidad financiera relacionados con dicha entidad financiera o su perfil de riesgo relacionado con las TIC no justifican la realización de una prueba de dicha naturaleza:

a)

las entidades de crédito que cumplan alguna de las condiciones siguientes:

i)

haber sido identificadas como entidades de importancia sistémica mundial (EISM) de conformidad con el artículo 131 de la Directiva 2013/36/UE del Parlamento Europeo y del Consejo (7),

ii)

haber sido identificadas como otras entidades de importancia sistémica (OEIS) de conformidad con el artículo 131 de la Directiva 2013/36/UE,

iii)

formar parte de una EISM u OEIS;

b)

las entidades de pago que hayan realizado operaciones de pago, tal como se definen en el artículo 4, punto 5, de la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo (8), por un valor total superior a 150 000 millones EUR en cada uno de los dos años naturales anteriores a la evaluación por parte de la autoridad competente en relación con las pruebas de penetración basadas en amenazas;

c)

las entidades de dinero electrónico que hayan realizado operaciones de pago, tal como se definen en el artículo 4, apartado 5, de la Directiva (UE) 2015/2366, por un valor total superior a 150 000 millones EUR, en cada uno de los dos años naturales anteriores a la evaluación por parte de la autoridad competente en relación con las pruebas de penetración basadas en amenazas, o registrado una cantidad de dinero electrónico en circulación por un importe total superior a 40 000 millones EUR;

d)

los depositarios centrales de valores;

e)

las entidades de contrapartida central;

f)

los centros de negociación con un sistema electrónico de negociación que cumplan cualquiera de los criterios siguientes:

i)

que el centro de negociación ostente la mayor cuota de mercado en términos de volumen de negocios de cualquiera de los títulos siguientes a nivel nacional en cada uno de los dos años naturales anteriores a la evaluación por parte de la autoridad competente en relación con las pruebas de penetración basadas en amenazas:

1)

valores negociables de acuerdo con la definición del artículo 4, apartado 1, punto 44, letra a), de la Directiva 2014/65/UE del Parlamento Europeo y del Consejo (9);

2)

valores negociables, de acuerdo con la definición del artículo 4, apartado 1, punto 44, letra b), de la Directiva 2014/65/UE;

3)

derivados, de acuerdo con la definición del artículo 2, apartado 1, punto 29, del Reglamento (UE) n.o 600/2014 del Parlamento Europeo y del Consejo (10);

4)

productos de titulización, de acuerdo con la definición del artículo 2, apartado 1, punto 28, del Reglamento (UE) n.o 600/2014;

5)

los derechos de emisión a que se refiere el anexo I, sección C, punto 11, de la Directiva 2014/65/UE,

ii)

que el centro de negociación ostente una cuota de mercado en términos de volumen de negocios a escala de la Unión en cualquiera de los títulos siguientes superior al 5 % en cada uno de los dos años naturales anteriores a la evaluación por parte de la autoridad competente en relación con las pruebas de penetración basadas en amenazas:

1)

acciones de sociedades y otros valores equiparables a las acciones de sociedades, asociaciones u otras entidades, y certificados de depósito de valores representativos de acciones;

2)

bonos y obligaciones u otras formas de deuda titulizada, incluidos los certificados de depósito de valores representativos de tales valores;

3)

derivados, de acuerdo con la definición del artículo 2, apartado 1, punto 29, del Reglamento (UE) n.o 600/2014;

4)

productos de titulización, de acuerdo con la definición del artículo 2, apartado 1, punto 28, del Reglamento (UE) n.o 600/2014;

5)

los derechos de emisión a que se refiere el anexo I, sección C, punto 11, de la Directiva 2014/65/UE;

g)

las empresas de seguros y reaseguros que cumplan todos los criterios siguientes:

i)

tener una prima bruta suscrita superior a 1 500 000 000 EUR,

ii)

tener provisiones técnicas superiores a 10 000 000 000 EUR,

iii)

las empresas de seguros que ejerzan únicamente actividades de vida o que ejerzan actividades tanto de vida como de no vida y cuyos activos totales superen el 3,5 % de la suma de los activos totales de las empresas de seguros y reaseguros establecidas en el Estado miembro, valorados de conformidad con el artículo 75 de la Directiva 2009/138/CE del Parlamento Europeo y del Consejo (11).

A efectos de la letra f), inciso ii), cuando el centro de negociación forme parte de un grupo que comparta sistemas de TIC o el mismo proveedor intragrupo de servicios de TIC, se tendrá en cuenta el volumen de negocios de los contratos de valores y derivados en todos los centros de negociación pertenecientes al mismo grupo y establecidos en la Unión.

A efectos de la letra g), las autoridades competentes en relación con las pruebas de penetración basadas en amenazas determinarán un subconjunto de todas las empresas de seguros y reaseguros aplicando los criterios establecidos en la letra g), incisos i), ii) y iii). Las empresas de seguros y reaseguros incluidas en ese subconjunto estarán obligadas a realizar pruebas de penetración basadas en amenazas cuando también cumplan cualquiera de los criterios siguientes:

a)

tener una prima bruta suscrita superior a 3 000 000 000 EUR;

b)

tener provisiones técnicas superiores a 30 000 000 000 EUR;

c)

tener unos activos totales que superen el 10 % de la suma de los activos totales de las empresas de seguros y reaseguros establecidas en el Estado miembro, valorados de conformidad con el artículo 75 de la Directiva 2009/138/CE.

1. Resumen

,

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

Requisitos

3. Estándares relacionados

Estándares