1. Organy ds. TLPT oceniają, czy dany podmiot finansowy jest zobowiązany do przeprowadzenia TLPT, biorąc pod uwagę wpływ tego podmiotu finansowego, jego systemowy charakter i jego profil ryzyka związanego z ICT, w oparciu o wszystkie poniższe kryteria:
|
a)
|
czynniki związane z wpływem i systemowym charakterem:
|
(i)
|
wielkość podmiotu finansowego, określona na podstawie tego, czy podmiot finansowy świadczy usługi finansowe w jednym państwie członkowskim czy w większej ich liczbie, oraz poprzez porównanie działalności podmiotu finansowego z działalnością innych podmiotów finansowych świadczących podobne usługi;
|
|
(ii)
|
zakres i charakter wzajemnych powiązań danego podmiotu finansowego z innymi podmiotami finansowymi w sektorze finansowym w co najmniej jednym państwie członkowskim;
|
|
(iii)
|
krytyczny lub istotny charakter usług świadczonych przez podmiot finansowy na rzecz sektora finansowego;
|
|
(iv)
|
zastępowalność usług świadczonych przez podmiot finansowy;
|
|
(v)
|
złożoność modelu biznesowego podmiotu finansowego oraz powiązanych usług i procesów;
|
|
(vi)
|
to, czy podmiot finansowy należy do grupy o systemowym charakterze na szczeblu unijnym lub krajowym w sektorze finansowym i czy dzieli z tą grupą systemy ICT;
|
|
|
b)
|
czynniki ryzyka związanego z ICT:
|
(i)
|
profil ryzyka podmiotu finansowego;
|
|
(ii)
|
krajobraz zagrożeń podmiotu finansowego;
|
|
(iii)
|
stopień zależności krytycznych lub istotnych funkcji podmiotu finansowego lub jego funkcji wspierających od systemów i procesów ICT;
|
|
(iv)
|
złożoność architektury ICT podmiotu finansowego;
|
|
(v)
|
usługi i funkcje ICT wspierane przez zewnętrznych dostawców usług ICT oraz liczba i rodzaj umów z zewnętrznymi dostawcami usług ICT lub dostawcami usług ICT wewnątrz grupy;
|
|
(vi)
|
wyniki wszelkich przeglądów nadzorczych istotnych dla oceny zaawansowania podmiotu finansowego pod względem ICT;
|
|
(vii)
|
dojrzałość planów ciągłości działania w zakresie ICT oraz planów reagowania i przywracania sprawności ICT;
|
|
(viii)
|
dojrzałość operacyjnych środków wykrywania i ograniczania zagrożeń bezpieczeństwa ICT, w tym zdolność do:
|
1)
|
stałego monitorowania infrastruktury ICT podmiotu finansowego;
|
|
2)
|
wykrywania zdarzeń związanych z ICT w czasie rzeczywistym;
|
|
3)
|
analizowania zdarzeń, o których mowa w ppkt 2;
|
|
4)
|
reagowania na zdarzenia, o których mowa w ppkt 2, w sposób szybki i skuteczny;
|
|
|
(ix)
|
to, czy podmiot finansowy należy do grupy działającej w sektorze finansowym na szczeblu unijnym lub krajowym i czy współdzieli z tą grupą systemy ICT.
|
|
Do celów lit. a) pkt (i) organ ds. TLPT w miarę możliwości bierze pod uwagę:
|
a)
|
udział w rynku podmiotu finansowego na poziomie unijnym i krajowym;
|
|
b)
|
zakres działań oferowanych przez podmiot finansowy;
|
|
c)
|
udział w rynku usług świadczonych przez podmiot finansowy lub działań podejmowanych na szczeblu unijnym i krajowym.
|
Do celów lit. a) pkt (v) organ ds. TLPT w miarę możliwości bierze pod uwagę:
|
a)
|
czy podmiot finansowy stosuje więcej niż jeden model biznesowy;
|
|
b)
|
wzajemne powiązania różnych procesów biznesowych i powiązanych usług.
|