(1) Autoritățile TLPT evaluează dacă o entitate financiară este obligată să efectueze TLPT, ținând seama de impactul entităților financiare respective, de caracterul lor sistemic și de profilul lor de risc TIC, pe baza tuturor criteriilor următoare:
|
(a)
|
factori legați de impact și de caracterul sistemic:
|
(i)
|
dimensiunea entității financiare, stabilită pe baza faptului dacă entitatea financiară furnizează servicii financiare în unul sau mai multe state membre și prin compararea activităților entității financiare cu cele ale altor entități financiare care furnizează servicii similare;
|
|
(ii)
|
amploarea și natura interconectării entității financiare cu alte entități financiare din sectorul financiar din unul sau mai multe state membre;
|
|
(iii)
|
caracterul critic sau importanța serviciilor pe care entitatea financiară le furnizează sectorului financiar;
|
|
(iv)
|
posibilitatea de substituire a serviciilor furnizate de entitatea financiară;
|
|
(v)
|
complexitatea modelului de afaceri al entității financiare și a serviciilor și proceselor conexe;
|
|
(vi)
|
dacă entitatea financiară face parte dintr-un grup cu caracter sistemic la nivelul Uniunii sau la nivel național în sectorul financiar și partajează sistemele TIC;
|
|
|
(b)
|
factori legați de riscurile TIC:
|
(i)
|
profilul de risc al entității financiare;
|
|
(ii)
|
peisajul amenințărilor cu care se confruntă entitatea financiară;
|
|
(iii)
|
gradul de dependență a funcțiilor critice sau importante ori a funcțiilor de sprijin ale entității financiare de sistemele și procesele TIC;
|
|
(iv)
|
complexitatea arhitecturii TIC a entității financiare;
|
|
(v)
|
serviciile și funcțiile TIC sprijinite de furnizori terți de servicii TIC, precum și cantitatea și tipul de acorduri contractuale cu furnizorii terți de servicii TIC sau cu furnizorii de servicii TIC intragrup;
|
|
(vi)
|
rezultatele analizelor de supraveghere relevante pentru evaluarea maturității TIC a entității financiare;
|
|
(vii)
|
maturitatea planurilor de continuitate a activității TIC și a planurilor de răspuns și de recuperare în domeniul TIC;
|
|
(viii)
|
maturitatea măsurilor operaționale de detectare și atenuare în domeniul securității TIC, inclusiv capacitatea de:
|
1.
|
monitorizare a infrastructurii TIC a entității financiare în mod permanent;
|
|
2.
|
detectare a evenimentelor legate de TIC în timp real;
|
|
3.
|
analiză a evenimentelor menționate la punctul 2;
|
|
4.
|
răspuns la evenimentele menționate la punctul 2 în timp util și în mod eficace;
|
|
|
(ix)
|
dacă entitatea financiară face parte dintr-un grup activ în sectorul financiar la nivelul Uniunii sau la nivel național care partajează sisteme TIC.
|
|
În sensul literei (a) punctul (i), autoritatea TLPT ia în considerare, atunci când este posibil:
|
(a)
|
poziția cotei de piață a entității financiare la nivelul Uniunii și la nivel național;
|
|
(b)
|
gama de activități oferite de entitatea financiară;
|
|
(c)
|
cota de piață a serviciilor furnizate de entitatea financiară sau a activităților întreprinse la nivelul Uniunii și la nivel național.
|
În sensul literei (a) punctul (v), autoritatea TLPT ia în considerare, atunci când este posibil:
|
(a)
|
dacă entitatea financiară desfășoară mai multe modele de afaceri;
|
|
(b)
|
interconectarea diferitelor procese operaționale și a serviciilor conexe.
|