1. Tijela za TLPT procjenjuju je li određeni financijski subjekt dužan provoditi TLPT uzimajući u obzir učinak tih financijskih subjekata, njihovu sistemsku prirodu i njihov profil IKT rizičnosti na temelju svih sljedećih kriterija:
|
(a)
|
čimbenici povezani s učinkom i sistemskom prirodom:
|
i.
|
veličina financijskog subjekta, utvrđena na temelju toga pruža li financijske usluge u jednoj ili više država članica i na temelju usporedbe njegovih djelatnosti s djelatnostima drugih financijskih subjekata koji pružaju slične usluge;
|
|
ii.
|
opseg i priroda međusobne povezanosti financijskog subjekta s drugim financijskim subjektima u financijskom sektoru u jednoj ili više država članica;
|
|
iii.
|
ključnost ili važnost usluga koje financijski subjekt pruža financijskom sektoru;
|
|
iv.
|
zamjenjivost usluga koje financijski subjekt pruža;
|
|
v.
|
složenost poslovnog modela financijskog subjekta te povezanih usluga i procesa;
|
|
vi.
|
činjenica je li financijski subjekt dio grupe od sistemskog značaja u financijskom sektoru na razini Unije ili na nacionalnoj razini i dijeli li IKT sustave s ostatkom grupe;
|
|
|
(b)
|
čimbenici povezani s IKT rizicima:
|
i.
|
profil rizičnosti financijskog subjekta;
|
|
ii.
|
prijetnje s kojima se suočava financijski subjekt;
|
|
iii.
|
stupanj ovisnosti ključnih ili važnih funkcija ili funkcija kojima se podupiru te funkcije financijskog subjekta o IKT sustavima i procesima;
|
|
iv.
|
složenost IKT arhitekture financijskog subjekta;
|
|
v.
|
IKT usluge i funkcije koje podupiru treće strane pružatelji IKT usluga te količina i vrsta ugovornih aranžmana s trećim stranama pružateljima IKT usluga ili pružateljima IKT usluga unutar grupe;
|
|
vi.
|
ishodi svih nadzornih provjera relevantnih za procjenu IKT zrelosti financijskog subjekta;
|
|
vii.
|
razrađenost planova kontinuiteta poslovanja u području IKT-a te planova odgovora i oporavka u području IKT-a;
|
|
viii.
|
razrađenost operativnih mjera za otkrivanje i ublažavanje u području IKT sigurnosti, uključujući sposobnost:
|
1.
|
kontinuiranog praćenja IKT infrastrukture financijskog subjekta;
|
|
2.
|
otkrivanja događaja povezanih s IKT-om u stvarnom vremenu;
|
|
3.
|
analiziranja događaja iz točke 2.;
|
|
4.
|
pravodobnog i učinkovitog odgovaranja na događaje iz točke 2.;
|
|
|
ix.
|
činjenica je li financijski subjekt dio grupe aktivne u financijskom sektoru na razini Unije ili na nacionalnoj razini koja dijeli IKT sustave.
|
|
Za potrebe točke (a) podtočke i. tijelo za TLPT, ako je to moguće, razmatra:
|
(a)
|
položaj financijskog subjekta s obzirom na tržišni udio na razini Unije i na nacionalnoj razini;
|
|
(b)
|
opseg aktivnosti koje nudi financijski subjekt;
|
|
(c)
|
tržišni udio usluga koje pruža financijski subjekt ili djelatnosti koje obavlja na razini Unije i na nacionalnoj razini.
|
Za potrebe točke (a) podtočke v. tijelo za TLPT, ako je to moguće, razmatra:
|
(a)
|
primjenjuje li financijski subjekt u poslovanju više od jednog poslovnog modela;
|
|
(b)
|
međusobnu povezanost različitih poslovnih procesa i povezanih usluga.
|