1. Uhkaperusteisesta tunkeutumistestauksesta vastaavien viranomaisten on arvioitava kaikkien seuraavien kriteerien perusteella, vaaditaanko tiettyä finanssiyhteisöä tekemään uhkaperusteinen tunkeutumistestaus, kun otetaan huomioon finanssiyhteisön vaikutus, systeeminen luonne ja TVT-riskiprofiili:
|
a)
|
vaikutukseen ja systeemiseen luonteeseen liittyvät tekijät:
|
i)
|
finanssiyhteisön koko, joka määritetään sen perusteella, tarjoaako finanssiyhteisö finanssipalveluja yhdessä vai useammassa jäsenvaltiossa, ja vertaamalla finanssiyhteisön toimintaa muiden samankaltaisia palveluja tarjoavien finanssiyhteisöjen toimintaan;
|
|
ii)
|
finanssiyhteisöllä yhdessä tai useassa jäsenvaltiossa olevien muiden finanssialan yhteisöjen kanssa olevien sidonnaisuuksien laajuus ja luonne;
|
|
iii)
|
finanssiyhteisön finanssialalle tarjoamien palvelujen kriittisyys ja merkitys;
|
|
iv)
|
finanssiyhteisön tarjoamien palvelujen korvattavuus;
|
|
v)
|
finanssiyhteisön liiketoimintamallin ja siihen liittyvien palvelujen ja prosessien monitahoisuus;
|
|
vi)
|
se, kuuluuko finanssiyhteisö konserniin, jolla on systeeminen luonne finanssialalla unionin tai kansallisella tasolla ja yhteiset TVT-järjestelmät;
|
|
|
b)
|
TVT-riskiin liittyvät tekijät:
|
i)
|
finanssiyhteisön riskiprofiili;
|
|
ii)
|
finanssiyhteisön uhkaympäristö;
|
|
iii)
|
finanssiyhteisön kriittisten tai tärkeiden toimintojen tai niitä tukevien toimintojen riippuvuus TVT-järjestelmistä ja -prosesseista;
|
|
iv)
|
finanssiyhteisön TVT-arkkitehtuurin monimutkaisuus;
|
|
v)
|
TVT-palveluntarjoajana olevien kolmansien osapuolten tukemat TVT-palvelut ja -toiminnot sekä TVT-palveluntarjoajana olevien kolmansien osapuolten tai konsernin sisäisten TVT-palveluntarjoajien kanssa tehtyjen sopimusjärjestelyjen määrä ja tyyppi;
|
|
vi)
|
finanssiyhteisön TVT-valmiuksien tason arvioinnin kannalta merkityksellisten valvontatarkastusten tulokset;
|
|
vii)
|
TVT-liiketoiminnan jatkuvuutta koskevien suunnitelmien sekä TVT-reagointi- ja palautumissuunnitelmien taso;
|
|
viii)
|
operatiiviseen TVT-turvallisuuteen liittyvien poikkeamien havaitsemis- ja lieventämistoimenpiteiden taso, mukaan lukien kyky
|
1)
|
valvoa jatkuvasti finanssiyhteisön TVT-infrastruktuuria;
|
|
2)
|
havaita tieto- ja viestintätekniikkaan liittyvät poikkeamat reaaliaikaisesti;
|
|
3)
|
analysoida 2 alakohdassa tarkoitetut poikkeamat;
|
|
4)
|
reagoida 2 alakohdassa tarkoitettuihin poikkeamiin oikea-aikaisesti ja tuloksellisesti;
|
|
|
ix)
|
se, kuuluuko finanssiyhteisö finanssialan konserniin, joka toimii unionin tai kansallisella tasolla ja jolla on yhteiset TVT-järjestelmät.
|
|
Sovellettaessa a alakohdan i alakohtaa uhkaperusteisesta tunkeutumistestauksesta vastaavan viranomaisen on mahdollisuuksien mukaan otettava huomioon
|
a)
|
finanssiyhteisön markkinaosuus unionin ja kansallisella tasolla;
|
|
b)
|
finanssiyhteisön toiminnan muodot;
|
|
c)
|
finanssiyhteisön tarjoamien palvelujen tai unionin ja kansallisella tasolla toteutettujen toimien markkinaosuus.
|
Sovellettaessa a alakohdan v alakohtaa uhkaperusteisesta tunkeutumistestauksesta vastaavan viranomaisen on mahdollisuuksien mukaan otettava huomioon
|
a)
|
onko finanssiyhteisöllä useampi kuin yksi liiketoimintamalli;
|
|
b)
|
eri liiketoimintaprosessien ja niihin liittyvien palvelujen keskinäiset yhteydet.
|