Чл. 2

Член 2 Определяне на финансовите субекти, от които се изисква да извършват тестване за проникване

1. Органите в областта на тестването за проникване преценяват дали от даден финансов субект се изисква да извършва тестване за проникване, като вземат предвид въздействието на тези финансови субекти, системния им характер и техния рисков профил в областта на ИКТ, въз основа на всички изброени по-долу критерии:

а) фактори, свързани с въздействието, и фактори, свързани със системния характер: i) ii) iii) размера на финансовия субект, определен въз основа на това дали финансовият субект предоставя финансови услуги в една или повече държави членки и чрез сравняване на дейностите на финансовия субект с тези на други финансови субекти, предоставящи подобни услуги; степента и естеството на взаимосвързаност на финансовия субект с други финансови субекти от финансовия сектор в една или повече държави членки; критичната значимост или важността на услугите, които финансовият субект предоставя на финансовия сектор; ELI: http://data.europa.eu/eli/reg_del/2025/1190/oj 7/29

BG iv) v) vi) OB L, 18.6.2025 г. степента, в която могат да бъдат заменени услугите, които предоставя финансовият субект; сложността на бизнес модела на финансовия субект и свързаните с него услуги и процеси; дали финансовият субект е част от група със системен характер на равнището на Съюза или на национално равнище във финансовия сектор и използва общи системи на ИКТ; б) рискови фактори, свързани с ИКТ: i) ii) iii) iv) v) vi) vii) viii) рисковия профил на финансовия субект; картината на заплахите за финансовия субект; степента на зависимост на критичните или важните функции или на поддържащите ги функции на финансовия субект от системите и процесите на ИКТ; сложността на архитектурата на ИКТ на финансовия субект; услугите и функциите на ИКТ, поддържани от трети страни доставчици на услуги в областта на ИКТ, както и броя и вида на договорните споразумения с трети страни доставчици на услуги в областта на ИКТ или вътрешногрупови доставчици на услуги в областта на ИКТ; резултатите от всички надзорни прегледи, свързани с оценката на степента на развитост на ИКТ на финансовия субект;

степента на развитост на плановете за непрекъснатост на дейността на ИКТ и плановете за реакция и възстановяване на ИКТ; степента на развитост на мерките за откриване на инциденти във връзка с оперативната сигурност на ИКТ и смекчаване на последиците за тях, включително способността за: 1) 2) 3) 4) постоянно наблюдение на инфраструктурата на ИКТ на финансовия субект; откриване на събития, свързани с ИКТ, в реално време; анализиране на събитията, посочени в подточка 2; своевременно и ефективно реагиране на събитията, посочени в подточка 2; ix) дали финансовият субект е част от група, действаща във финансовия сектор на равнището на Съюза или на национално равнище, която използва общи системи на ИКТ. За целите на буква а), точка i) органът в областта на тестването за проникване, когато е възможно, взема предвид: а) б) в) позицията на финансовия субект по отношение на пазарния му дял на равнището на Съюза и на национално равнище; обхвата на дейностите, предлагани от финансовия субект; пазарния дял на услугите, предоставяни от финансовия субект, или на дейностите, извършвани на равнището на Съюза и на национално равнище.

за целите на буква а), точка v) органът в областта на тестването за проникване, когато е възможно, взема предвид: а) б) дали финансовият субект прилага повече от един бизнес модел; степента на взаимосвързаност на различните работни процеси и свързаните с тях услуги.

1. Органите в областта на тестването за проникване изискват от всички изброени по-долу финансови субекти да извършват тестване за проникване, освен ако посочената в параграф 1 оценка по отношение на даден финансов субект показва, че неговото въздействие, опасенията за финансовата стабилност, свързани с този финансов субект, или неговият рисков профил в областта на ИКТ не оправдават извършването на тестване за проникване:

а) кредитни институции, които отговарят на някое от следните условия: i) ii) те са определени като глобални системно значими институции (Г-СЗИ) в съответствие с член 131 от Директива 2013/36/ЕС на Европейския парламент и на Съвета (7); те са определени като други системно значими институции (Д-СЗИ) в съответствие с член 131 от Директива 2013/36/ЕС;

iii) те са част от Г-СЗИ или Д-СЗИ; (7) Директива 2013/36/ЕС на Европейския парламент и на Съвета от 26 юни 2013 г. относно достъпа до осъществяването на дейност от кредитните институции и относно пруденциалния надзор върху кредитните институции, за изменение на Директива 2002/87/ЕО и за отмяна на директиви 2006/48/ЕО и 2006/49/ЕО (ОВ L 176, 27.6.2013 г., стр. 338, ELI: http://data.europa.eu/eli/dir/2013/36/oj). 8/29 ELI: http://data.europa.eu/eli/reg_del/2025/1190/oj

OB L, 18.6.2025 г. BG б) в) г) д) е) платежни институции, чиито платежни операции, както са определени в член 4, точка 5 от Директива (ЕС) 2015/2366 на Европейския парламент и на Съвета (8), са надхвърлили обща стойност от 150 милиарда евро през всяка от двете календарни години, предхождащи оценката от страна на органа в областта на тестването за проникване; институции за електронни пари, чиито платежни операции, както са определени в член 4, точка 5 от Директива (ЕС) 2015/2366, са надхвърлили обща стойност от 150 милиарда евро, или чиито електронни пари в обращение са надхвърлили обща стойност от 40 милиарда евро през всяка от двете календарни години, предхождащи оценката на органа в областта на тестването за проникване; централни депозитари на ценни книжа; централни контрагенти; места за търговия с електронна система за търговия, които отговарят на някой от следните критерии: i) мястото за търговия има най-голям пазарен дял по отношение на оборота на национално равнище през всяка от двете календарни години, предхождащи оценката от органа в областта на тестването за проникване, в някоя от следните области:

1) 2) 3) 4) прехвърлими ценни книжа съгласно определението в член 4, параграф 1, точка 44, буква а) от Директива 2014/65/ЕС на Европейския парламент и на Съвета (9); прехвърлими ценни книжа съгласно определеното в член 4, параграф 1, точка 44, буква б) от Директива 2014/65/ЕС; деривати съгласно определението в член 2, параграф 1, точка 29 от Регламент (ЕС) № 600/2014 на Европейския парламент и на Съвета (10); структурирани финансови продукти съгласно определението в член 2, параграф 1, точка 28 от Регламент (ЕС) № 600/2014; 5) „квоти за емисии“, както са посочени в раздел В, точка 11 от приложение I към Директива 2014/65/ЕС; ii) мястото за търговия има пазарен дял по отношение на оборота на равнището на Съюза, който надхвърля 5 % през всяка от двете календарни години, предхождащи оценката на органа в областта на тестването за проникване, в някоя от следните области: 1) 2) 3) 4) акции в дружества и други ценни книжа, еквивалентни на акции в дружества, съдружия или други субекти, както и депозитарни разписки във връзка с акции;

облигации или други форми на секюритизиран дълг, включително депозитарни разписки във връзка с тези ценни книжа; деривати, както са определени в член 2, параграф 1, точка 29 от Регламент (ЕС) № 600/2014; структурирани финансови продукти съгласно определението в член 2, параграф 1, точка 28 от Регламент (ЕС) 600/2014; 5) квоти за емисии, както са посочени в раздел В, точка 11 от приложение I към Директива 2014/65/ЕС; (8) Директива (ЕС) 2015/2366 на Европейския парламент и на Съвета от 25 ноември 2015 г. за платежните услуги във вътрешния пазар, за (ЕС) № 1093/2010 и за отмяна на изменение на директиви 2002/65/ЕО, 2009/110/ЕО и 2013/36/ЕС и Регламент Директива 2007/64/ЕО (ОВ L 337, 23.12.2015 г., стр. 35, ELI: http://data.europa.eu/eli/dir/2015/2366/oj). (9) Директива 2014/65/ЕС на Европейския парламент и на Съвета от 15 май 2014 г. относно пазарите на финансови инструменти и за изменение на Директива 2002/92/ЕО и на Директива 2011/61/ЕС (ОВ L 173, 12.6.2014 г., стр. 349, ELI: http://data.europa.eu/eli/dir/ 2014/65/oj).

(10) Регламент (ЕС) № 600/2014 на Европейския парламент и на Съвета от 15 май 2014 г. относно пазарите на финансови инструменти и за изменение на Регламент (ЕС) № 648/2012 (ОВ L 173, 12.6.2014 г., стр. 84, ELI: http://data.europa.eu/eli/reg/2014/600/oj). ELI: http://data.europa.eu/eli/reg_del/2025/1190/oj 9/29

BG OB L, 18.6.2025 г. ж) застрахователни и презастрахователни предприятия, които отговарят на всички изброени по-долу критерии: i) ii) iii) имат брутна записана премия (БЗП), която надхвърля 1 500 000 000 EUR; имат технически резерви, които надхвърлят 10 000 000 000 EUR; застрахователни предприятия, които извършват само животозастрахователни дейности или извършват както животозастрахователни, така и общозастрахователни дейности, и които имат общи активи, надвишаващи 3,5 % от сумата на общите активи, оценени в съответствие с член 75 от Директива 2009/138/ЕО на Европейския парламент и на Съвета (11), на застрахователните и презастрахователните предприятия, установени в държавата членка. За целите на буква е), точка ii), когато мястото за търговия е част от група, която използва общи системи на ИКТ или един и същ вътрешногрупов доставчик на услуги в областта на ИКТ, се взема предвид оборотът на договорите за ценни книжа и деривати на всички места за търговия, принадлежащи към същата група и установени в Съюза.

За целите на буква ж) органите в областта на тестването за проникване определят подгрупа от всички застрахователни и презастрахователни предприятия, като прилагат критериите, посочени в буква ж), точки i), ii) и iii). От застрахователните и презастрахователните предприятия, включени в тази подгрупа, се изисква да извършват тестване за проникване, когато отговарят и на някой от следните критерии: а) б) в) брутна записана премия (БЗП), която надхвърля 3 000 000 000 EUR; технически резерви, които надхвърлят 30 000 000 000 EUR; общи активи, които надхвърлят 10 % от сумата на общите активи, оценени в съответствие с член 75 от Директива 2009/138/ЕО, на застрахователните и презастрахователните предприятия, установени в държавата членка. Когато повече от един финансов субект, принадлежащ към една и съща група и използващ общи системи на ИКТ, или 3. когато повече от един финансов субект, използващ същия вътрешногрупов доставчик на услуги в областта на ИКТ, отговаря на критериите, посочени в параграф 2, органите в областта на тестването за проникване на тези финансови субекти преценяват, в съответствие с член 16, параграф 2, дали изискването за извършване на тестване за проникване на индивидуална основа е приложимо за тези финансови субекти.

Когато органът в областта на тестването за проникване на предприятието майка на група от финансови субекти, посочени в първа алинея, е различен от органите в областта на тестването за проникване на финансовите субекти от групата, органите в областта на тестването за проникване на финансовите субекти, принадлежащи към тази група, се консултират с посочения орган относно целесъобразността на тестването за проникване на индивидуална основа.