1. Les autorités TIFM évaluent si une entité financière est tenue d’effectuer des TIFM, en tenant compte de l’incidence de cette entité financière, de son caractère systémique et de son profil de risque lié aux TIC, sur la base de l’ensemble des critères suivants:
|
a)
|
facteurs liés à l’incidence et au caractère systémique:
|
i)
|
la taille de l’entité financière, déterminée en examinant si l’entité financière fournit des services financiers dans un seul État membre ou dans plusieurs et en comparant les activités de l’entité financière à celles d’autres entités financières fournissant des services similaires;
|
|
ii)
|
l’ampleur et la nature de l’interconnexion de l’entité financière avec d’autres entités financières du secteur financier dans un ou plusieurs États membres;
|
|
iii)
|
la criticité ou l’importance des services que l’entité financière fournit au secteur financier;
|
|
iv)
|
la substituabilité des services fournis par l’entité financière;
|
|
v)
|
la complexité du modèle économique de l’entité financière et des services et processus connexes;
|
|
vi)
|
le fait que l’entité financière fasse ou non partie d’un groupe de caractère systémique au niveau de l’Union ou au niveau national dans le secteur financier qui partage des systèmes de TIC;
|
|
|
b)
|
facteurs liés aux risques liés aux TIC:
|
i)
|
le profil de risque de l’entité financière;
|
|
ii)
|
le panorama de la menace relatif à l’entité financière;
|
|
iii)
|
le degré de dépendance des fonctions critiques ou importantes de l’entité financière, ou de leurs fonctions de soutien, à l’égard des systèmes et processus de TIC;
|
|
iv)
|
la complexité de l’architecture des TIC de l’entité financière;
|
|
v)
|
les services et fonctions de TIC soutenus par des prestataires tiers de services TIC, ainsi que le nombre et le type d’accords contractuels conclus avec des prestataires tiers de services TIC ou des prestataires de services TIC intra-groupe;
|
|
vi)
|
les résultats des examens des autorités de surveillance pertinents pour l’évaluation de la maturité des TIC de l’entité financière;
|
|
vii)
|
la maturité des plans de continuité des activités de TIC et des plans de réponse et de rétablissement des TIC;
|
|
viii)
|
la maturité des mesures opérationnelles de détection et d’atténuation en matière de sécurité des TIC, y compris la capacité:
|
1)
|
d’assurer une surveillance permanente de l’infrastructure TIC de l’entité financière;
|
|
2)
|
de détecter les événements liés aux TIC en temps réel;
|
|
3)
|
d’analyser les événements visés au point 2);
|
|
4)
|
de réagir aux événements visés au point 2) en temps utile et de manière efficace;
|
|
|
ix)
|
le fait que l’entité financière fasse ou non partie d’un groupe actif dans le secteur financier au niveau de l’Union ou au niveau national qui partage des systèmes de TIC.
|
|
Aux fins du point a), i), l’autorité TIFM tient compte, dans la mesure du possible:
|
a)
|
de la part de marché de l’entité financière au niveau de l’Union et au niveau national;
|
|
b)
|
de l’éventail des activités proposées par l’entité financière;
|
|
c)
|
de la part de marché des services fournis par l’entité financière ou des activités menées au niveau de l’Union et au niveau national.
|
Aux fins du point a), v), l’autorité TIFM tient compte, dans la mesure du possible:
|
a)
|
du fait que l’entité financière applique ou non plus d’un modèle d’entreprise;
|
|
b)
|
de l’interconnexion des différents processus opérationnels et des services connexes.
|