1. Myndigheter som ansvarar för hotbildsstyrd penetrationstestning ska bedöma huruvida finansiella entiteter är skyldiga att genomföra hotbildsstyrd penetrationstestning, med beaktande av dessa finansiella entiteters påverkan, betydelse för systemet och IKT-riskprofil, på grundval av samtliga av följande kriterier:
|
a)
|
Faktorer relaterade till påverkan och till betydelse för systemet, enligt följande:
|
i)
|
Storleken på den finansiella entiteten, fastställd på grundval av huruvida den finansiella entiteten tillhandahåller finansiella tjänster i en eller flera medlemsstater och genom jämförelse av den finansiella entitetens verksamhet med verksamheten hos andra finansiella entiteter som tillhandahåller liknande tjänster.
|
|
ii)
|
Omfattningen och arten av den finansiella entitetens sammanlänkning med andra finansiella entiteter inom finanssektorn i en eller flera medlemsstater.
|
|
iii)
|
Hur pass kritiska eller viktiga de tjänster som den finansiella entiteten tillhandahåller finanssektorn är.
|
|
iv)
|
Utbytbarheten hos de tjänster som den finansiella entiteten tillhandahåller.
|
|
v)
|
Komplexiteten i den finansiella entitetens affärsmodell och tillhörande tjänster och processer.
|
|
vi)
|
Huruvida den finansiella entiteten ingår i en koncern av betydelse för systemet på unionsnivå eller nationell nivå inom finanssektorn och delar IKT-system.
|
|
|
b)
|
Faktorer relaterade till IKT-risk, enligt följande:
|
i)
|
Den finansiella entitetens riskprofil.
|
|
ii)
|
Den finansiella entitetens hotbild.
|
|
iii)
|
Den finansiella entitetens grad av beroende av kritiska eller viktiga funktioner eller deras stödfunktioner sett till IKT-system och IKT-processer.
|
|
iv)
|
Komplexiteten i den finansiella entitetens IKT-arkitektur.
|
|
v)
|
De IKT-tjänster och IKT-funktioner som stöds av tredjepartsleverantörer av IKT-tjänster och kvantiteten och typen av kontraktsmässiga arrangemang med tredjepartsleverantörer av IKT-tjänster eller koncerninterna IKT-tjänsteleverantörer.
|
|
vi)
|
Resultaten av eventuella tillsynsgranskningar som är relevanta för bedömningen av den finansiella entitetens IKT-mognad.
|
|
vii)
|
Mognaden hos IKT-kontinuitetsplaner och åtgärds- och återställningsplaner avseende IKT.
|
|
viii)
|
Mognaden hos de operativa upptäckts- och begränsningsåtgärderna för IKT-säkerhet, inbegripet förmågan att
|
1)
|
permanent övervaka den finansiella entitetens IKT-infrastruktur,
|
|
2)
|
upptäcka IKT-relaterade händelser i realtid,
|
|
3)
|
analysera de händelser som avses i punkt 2,
|
|
4)
|
reagera på de händelser som avses i punkt 2 på ett skyndsamt och effektivt sätt.
|
|
|
ix)
|
Huruvida den finansiella entiteten ingår i en koncern som är verksam inom finanssektorn på unionsnivå eller nationell nivå och som delar IKT-system.
|
|
Vid tillämpning av led a i ska myndigheten med ansvar för hotbildsstyrd penetrationstestning om möjligt beakta
|
a)
|
den finansiella entitetens marknadsandel på unionsnivå och nationell nivå,
|
|
b)
|
utbudet av verksamheter som erbjuds av den finansiella entiteten,
|
|
c)
|
marknadsandelen för de tjänster som tillhandahålls av den finansiella entiteten eller för de verksamheter som bedrivs på unionsnivå och nationell nivå.
|
Vid tillämpning av led a v ska myndigheten med ansvar för hotbildsstyrd penetrationstestning om möjligt beakta
|
a)
|
huruvida den finansiella entiteten använder mer än en affärsmodell,
|
|
b)
|
sammanlänkningen av olika affärsprocesser och tillhörande tjänster.
|