1. TLPT-autoriteiten beoordelen of financiële entiteiten een TLPT moet uitvoeren, rekening houdende met de impact van die financiële entiteiten op de financiële sector, hun systemische karakter en hun ICT-risicoprofiel, op basis van alle hiernavolgende criteria:
|
a)
|
impactgerelateerde factoren en systemisch karakter:
|
i)
|
de omvang van de financiële entiteit, bepaald aan de hand van de vraag of de financiële entiteit financiële diensten in een of meer lidstaten verricht en door de activiteiten van de financiële entiteit te vergelijken met die van andere financiële entiteiten die soortgelijke diensten verrichten;
|
|
ii)
|
de mate en de aard van de verwevenheid van de financiële entiteit met andere financiële entiteiten in de financiële sector in een of meer lidstaten;
|
|
iii)
|
het kritieke karakter of het belang van de diensten die de financiële entiteit aan de financiële sector verleent;
|
|
iv)
|
de substitueerbaarheid van de diensten die de financiële entiteit verleent;
|
|
v)
|
de complexiteit van het bedrijfsmodel van de financiële entiteit en de daarmee verband houdende diensten en processen;
|
|
vi)
|
de vraag of de financiële entiteit deel uitmaakt van een groep die een systemisch karakter op Unieniveau of op nationaal niveau in de financiële sector heeft en ICT-systemen deelt;
|
|
|
b)
|
ICT-risicofactoren:
|
i)
|
het risicoprofiel van de financiële entiteit;
|
|
ii)
|
het dreigingslandschap van de financiële entiteit;
|
|
iii)
|
de mate waarin kritieke of belangrijke functies, of functies die deze functies ondersteunen, van de financiële entiteit afhankelijk zijn van ICT-systemen en -processen;
|
|
iv)
|
de complexiteit van de ICT-architectuur van de financiële entiteit;
|
|
v)
|
de ICT-diensten en -functies die door derde aanbieders van ICT-diensten worden ondersteund, en de hoeveelheid en het soort contractuele regelingen met derde aanbieders van ICT-diensten of intragroepsaanbieders van ICT-diensten;
|
|
vi)
|
de resultaten van door toezichthouders verrichte toetsingen die relevant zijn voor de beoordeling van de ICT-maturiteit van de financiële entiteit;
|
|
vii)
|
de maturiteit van ICT-bedrijfscontinuïteitsplannen en ICT-respons- en herstelplannen;
|
|
viii)
|
de maturiteit van de operationele ICT-beveiligingsdetectie en -mitigatiemaatregelen, met inbegrip van het vermogen om:
|
1)
|
de ICT-infrastructuur van de financiële entiteit op permanente basis te monitoren;
|
|
2)
|
ICT-gerelateerde gebeurtenissen in realtime te detecteren;
|
|
3)
|
de in punt 2) bedoelde gebeurtenissen te analyseren;
|
|
4)
|
tijdig en doeltreffend op de in punt 2) bedoelde gebeurtenissen te reageren;
|
|
|
ix)
|
de vraag of de financiële entiteit deel uitmaakt van een groep die actief is in de financiële sector op Unieniveau of op nationaal niveau en ICT-systemen deelt.
|
|
Voor de toepassing van punt a), i), houdt de TLPT-autoriteit, voor zover mogelijk, rekening met de volgende factoren:
|
a)
|
het marktaandeel van de financiële entiteit op Unieniveau en op nationaal niveau;
|
|
b)
|
het scala aan activiteiten dat door de financiële entiteit wordt aangeboden;
|
|
c)
|
het marktaandeel van de door de financiële entiteit verrichte diensten of van de activiteiten die op Unieniveau en op nationaal niveau worden verricht.
|
Voor de toepassing van punt a), v), houdt de TLPT-autoriteit, voor zover mogelijk, rekening met volgende factoren:
|
a)
|
of de financiële entiteit meer dan één bedrijfsmodel hanteert;
|
|
b)
|
de onderlinge verwevenheid van verschillende bedrijfsprocessen en de daarmee verband houdende diensten.
|