1. Le autorità competenti per i TLPT valutano se un’entità finanziaria ha l’obbligo di svolgere TLPT, tenendo conto dell’impatto di tali entità finanziarie, del loro carattere sistemico e del loro profilo dei rischi informatici, sulla base di tutti i criteri seguenti:
|
a)
|
fattori correlati all’impatto e al carattere sistemico:
|
i)
|
le dimensioni dell’entità finanziaria, determinate in base al fatto che l’entità finanziaria fornisca servizi finanziari in uno o più Stati membri e confrontando le attività dell’entità finanziaria con quelle di altre entità finanziarie che forniscono servizi analoghi;
|
|
ii)
|
la portata e la natura dell’interconnessione dell’entità finanziaria con altre entità finanziarie del settore finanziario in uno o più Stati membri;
|
|
iii)
|
la criticità o l’importanza dei servizi che l’entità finanziaria fornisce al settore finanziario;
|
|
iv)
|
la sostituibilità dei servizi che l’entità finanziaria fornisce;
|
|
v)
|
la complessità del modello aziendale dell’entità finanziaria e dei relativi servizi e processi;
|
|
vi)
|
se l’entità finanziaria fa parte di un gruppo di carattere sistemico a livello dell’Unione o nazionale nel settore finanziario e che condivide sistemi di TIC;
|
|
|
b)
|
fattori correlati ai rischi informatici:
|
i)
|
il profilo di rischio dell’entità finanziaria;
|
|
ii)
|
il panorama delle minacce dell’entità finanziaria;
|
|
iii)
|
il grado di dipendenza delle funzioni essenziali o importanti o delle relative funzioni di supporto dell’entità finanziaria da processi e sistemi di TIC;
|
|
iv)
|
la complessità dell’architettura delle TIC dell’entità finanziaria;
|
|
v)
|
le funzioni e i servizi TIC supportati da fornitori terzi di servizi TIC nonché la quantità e il tipo di accordi contrattuali con i fornitori terzi di servizi TIC o con i fornitori intragruppo di servizi TIC;
|
|
vi)
|
i risultati di eventuali esami di vigilanza pertinenti per la valutazione della maturità delle TIC dell’entità finanziaria;
|
|
vii)
|
la maturità dei piani di continuità operativa delle TIC e dei piani di risposta e ripristino relativi alle TIC;
|
|
viii)
|
la maturità delle misure operative di individuazione e attenuazione per la sicurezza delle TIC, compresa la capacità di:
|
1)
|
monitorare l’infrastruttura delle TIC dell’entità finanziaria in maniera permanente;
|
|
2)
|
individuare gli eventi connessi alle TIC in tempo reale;
|
|
3)
|
analizzare gli eventi di cui al punto 2);
|
|
4)
|
reagire agli eventi di cui al punto 2) in modo tempestivo ed efficace;
|
|
|
ix)
|
se l’entità finanziaria fa parte di un gruppo attivo nel settore finanziario a livello dell’Unione o nazionale che condivide sistemi di TIC.
|
|
Ai fini della lettera a), punto i), l’autorità competente per il TLPT prende in considerazione, ove possibile:
|
a)
|
la posizione in termini di quota di mercato dell’entità finanziaria a livello dell’Unione e nazionale;
|
|
b)
|
la gamma di attività offerte dall’entità finanziaria;
|
|
c)
|
la quota di mercato dei servizi forniti dall’entità finanziaria o delle attività intraprese a livello dell’Unione e nazionale.
|
Ai fini della lettera a), punto v), l’autorità competente per il TLPT prende in considerazione, ove possibile:
|
a)
|
se l’entità finanziaria gestisce più di un modello aziendale;
|
|
b)
|
l’interconnessione dei diversi processi aziendali e dei relativi servizi.
|