1. Ohuteabel põhineva läbistustestimise asutused peavad hindama, kas mis tahes finantssektori ettevõtjalt nõutakse ohuteabel põhineva läbistustestimise tegemist, võttes arvesse kõnealuste finantssektori ettevõtjate mõju, nende süsteemset olemust ja IKT riskiprofiili lähtuvalt kõigist järgmisest kriteeriumidest:
|
a)
|
mõju ja süsteemse olemusega seotud tegurid:
|
i)
|
finantssektori ettevõtja suurus, mis määratakse kindlaks lähtuvalt sellest, kas finantssektori ettevõtja osutab finantsteenuseid ühes või mitmes liikmesriigis, ja finantssektori ettevõtja tegevust samalaadseid teenuseid osutavate teiste finantssektori ettevõtjate tegevusega võrreldes;
|
|
ii)
|
finantssektori ettevõtja ja teiste finantssektori ettevõtjate vaheliste sidemete ulatus ja olemus ühe või mitme liikmesriigi finantssektoris;
|
|
iii)
|
nende teenuste kriitiline tähtsus või olulisus, mida finantssektori ettevõtja finantssektorile osutab;
|
|
iv)
|
finantssektori ettevõtja osutatavate teenuste asendatavus;
|
|
v)
|
finantssektori ettevõtja ärimudeli ning sellega seotud teenuste ja protsesside keerukus;
|
|
vi)
|
kas finantssektori ettevõtja kuulub liidu või riiklikul tasandil finantssektoris süsteemsesse kontserni ja jagab IKT-süsteeme;
|
|
|
b)
|
IKT riskitegurid:
|
i)
|
finantssektori ettevõtja riskiprofiil;
|
|
ii)
|
finantssektori ettevõtja ohumaastik;
|
|
iii)
|
finantssektori ettevõtja kriitilise tähtsusega või oluliste funktsioonide või toetavate funktsioonide IKT-süsteemidest ja -protsessidest sõltuvuse määr;
|
|
iv)
|
finantssektori ettevõtja IKT-arhitektuuri keerukus;
|
|
v)
|
IKT-teenused ja -funktsioonid, mida toetavad kolmandast isikust IKT-teenuste osutajad, ning kolmandast isikust IKT-teenuste osutajate või kontsernisiseste IKT-teenuste osutajatega sõlmitud lepingute arv ja liik;
|
|
vi)
|
finantssektori ettevõtja IKT küpsuse hindamiseks asjakohaste mis tahes järelevalvealaste läbivaatamiste tulemused;
|
|
vii)
|
IKT talitluspidevuse kavade ning IKT reageerimis- ja taastekavade küpsus;
|
|
viii)
|
operatiivsete IKT-turbe avastamis- ja leevendusmeetmete küpsus, sh võime teha järgmist:
|
1)
|
jälgida pidevalt finantssektori ettevõtja IKT-taristut;
|
|
2)
|
avastada IKTga seotud sündmusi reaalajas;
|
|
3)
|
analüüsida punktis 2 osutatud sündmusi;
|
|
4)
|
reageerida punktis 2 osutatud sündmustele kiiresti ja tulemuslikult;
|
|
|
ix)
|
kas finantssektori ettevõtja kuulub liidu või riiklikul tasandil finantssektoris tegutsevasse kontserni, mis jagab IKT-süsteeme.
|
|
Punkti a alapunkti i kohaldamisel peab ohuteabel põhineva läbistustestimise asutus võimaluse korral arvestama järgmist:
|
a)
|
finantssektori ettevõtja turuosa positsioon liidu ja riiklikul tasandil;
|
|
b)
|
finantssektori ettevõtja pakutava tegevuse ulatus;
|
|
c)
|
finantssektori ettevõtja osutatavate teenuste või liidu ja riiklikul tasandil toimuva tegevuse turuosa.
|
Punkti a alapunkti v kohaldamisel peab ohuteabel põhineva läbistustestimise asutus võimaluse korral arvestama järgmist:
|
a)
|
kas finantssektori ettevõtja rakendab rohkem kui ühte ärimudelit;
|
|
b)
|
erinevate äriprotsesside ja seotud teenuste omavaheline seotus.
|