2. Myndigheter med ansvar för hotbildsstyrd penetrationstestning ska kräva att alla följande finansiella entiteter genomför hotbildsstyrd penetrationstestning, såvida inte den bedömning som avses i punkt 1 i fråga om en finansiell entitet indikerar att dess påverkan, riskerna för den finansiella stabiliteten kopplade till den finansiella entiteten eller dess IKT-riskprofil inte motiverar genomförandet av en hotbildsstyrd penetrationstestning:
|
a)
|
Kreditinstitut som uppfyller något av följande villkor:
|
i)
|
De har identifierats som globala systemviktiga institut (G-SII) i enlighet med artikel 131 i Europaparlamentets och rådets direktiv 2013/36/EU (7).
|
|
ii)
|
De har identifierats som andra systemviktiga institut (O-SII) i enlighet med artikel 131 i direktiv 2013/36/EU.
|
|
iii)
|
De utgör delar av globala systemviktiga institut eller andra systemviktiga institut.
|
|
|
b)
|
Betalningsinstitut som under vart och ett av de två kalenderår som föregick bedömningen av myndigheten med ansvar för hotbildsstyrd penetrationstestning hade betalningstransaktioner, enligt definitionen i artikel 4.5 i Europaparlamentets och rådets direktiv (EU) 2015/2366 (8), till ett totalt värde som översteg 150 miljarder euro.
|
|
c)
|
Institut för elektroniska pengar som under vart och ett av de två kalenderår som föregick bedömningen av myndigheten med ansvar för hotbildsstyrd penetrationstestning antingen hade betalningstransaktioner, enligt definitionen i artikel 4.5 i direktiv (EU) 2015/2366, till ett totalt värde som översteg 150 miljarder euro eller hade utestående elektroniska pengar till ett totalt värde som översteg 40 miljarder euro.
|
|
d)
|
Värdepapperscentraler.
|
|
f)
|
Handelsplatser med ett elektroniskt handelssystem som uppfyller något av följande kriterier:
|
i)
|
Handelsplatsen hade den största marknadsandelen sett till omsättning på nationell nivå under vart och ett av de två kalenderår som föregick bedömningen av myndigheten med ansvar för hotbildsstyrd penetrationstestning i fråga om något av följande:
|
1.
|
Överlåtbara värdepapper enligt definitionen i artikel 4.1.44 a i Europaparlamentets och rådets direktiv 2014/65/EU (9).
|
|
2.
|
Överlåtbara värdepapper enligt definitionen i artikel 4.1.44 b i direktiv 2014/65/EU.
|
|
3.
|
Derivat enligt definitionen i artikel 2.1.29 i Europaparlamentets och rådets förordning (EU) nr 600/2014 (10).
|
|
4.
|
Strukturerade finansiella produkter enligt definitionen i artikel 2.1.28 i förordning (EU) nr 600/2014.
|
|
5.
|
Utsläppsrätter enligt avsnitt C.11 i bilaga I till direktiv 2014/65/EU.
|
|
|
ii)
|
Handelsplatsen hade en marknadsandel sett till omsättning på unionsnivå som översteg 5 % under vart och ett av de två kalenderår som föregick bedömningen av myndigheten med ansvar för hotbildsstyrd penetrationstestning i fråga om något av följande:
|
1.
|
Aktier och andra värdepapper som motsvarar andelar i aktiebolag, bolag med personligt ansvar eller andra entiteter samt depåbevis för aktier.
|
|
2.
|
Obligationer eller andra former av skuldförbindelser i värdepappersform, inbegripet depåbevis för sådana värdepapper.
|
|
3.
|
Derivat enligt definitionen i artikel 2.1.29 i förordning (EU) nr 600/2014.
|
|
4.
|
Strukturerade finansiella produkter enligt definitionen i artikel 2.1.28 i förordning (EU) nr 600/2014.
|
|
5.
|
Utsläppsrätter enligt avsnitt C.11 i bilaga I till direktiv 2014/65/EU.
|
|
|
|
g)
|
Försäkrings- och återförsäkringsföretag som uppfyller samtliga av följande kriterier:
|
i)
|
De har en bruttopremieinkomst (GWP) som överstiger 1 500 000 000 euro.
|
|
ii)
|
De har försäkringstekniska avsättningar som överstiger 10 000 000 000 euro.
|
|
iii)
|
Försäkringsföretag som endast bedriver livförsäkringsverksamhet eller som bedriver både livförsäkrings- och skadeförsäkringsverksamhet och som har totala tillgångar som överstiger 3,5 % av summan av de totala tillgångarna, värderade i enlighet med artikel 75 i Europaparlamentets och rådets direktiv 2009/138/EG (11), för de försäkrings- och återförsäkringsföretag som är etablerade i medlemsstaten.
|
|
Vid tillämpning av led f ii ska, om handelsplatsen är en del av en koncern som delar IKT-system eller samma koncerninterna IKT-tjänsteleverantör, omsättningen av värdepapper och derivatavtal på alla handelsplatser som tillhör samma koncern och som är etablerade i unionen räknas med.
Vid tillämpning av led g ska myndigheter med ansvar för hotbildsstyrd penetrationstestning identifiera en undergrupp av alla försäkrings- och återförsäkringsföretag genom att tillämpa de kriterier som anges i leden g i, ii och iii. Försäkrings- och återförsäkringsföretag som ingår i denna undergrupp ska vara skyldiga att genomföra hotbildsstyrd penetrationstestning om de även uppfyller något av följande kriterier:
|
a)
|
Bruttopremieinkomst (GWP) som överstiger 3 000 000 000 euro.
|
|
b)
|
Tekniska avsättningar som överstiger 30 000 000 000 euro.
|
|
c)
|
Totala tillgångar som överstiger 10 % av summan av de totala tillgångarna, värderade i enlighet med artikel 75 i direktiv 2009/138/EG, för de försäkrings- och återförsäkringsföretag som är etablerade i medlemsstaten.
|