Artykuł 2

1. Organy ds. TLPT oceniają, czy dany podmiot finansowy jest zobowiązany do przeprowadzenia TLPT, biorąc pod uwagę wpływ tego podmiotu finansowego, jego systemowy charakter i jego profil ryzyka związanego z ICT, w oparciu o wszystkie poniższe kryteria:

a) czynniki związane z wpływem i systemowym charakterem:

(i) wielkość podmiotu finansowego, określona na podstawie tego, czy podmiot finansowy świadczy usługi finansowe w jednym państwie członkowskim czy w większej ich liczbie, oraz poprzez porównanie działalności podmiotu finansowego z działalnością innych podmiotów finansowych świadczących podobne usługi;

(ii) zakres i charakter wzajemnych powiązań danego podmiotu finansowego z innymi podmiotami finansowymi w sektorze finansowym w co najmniej jednym państwie członkowskim;

(iii) krytyczny lub istotny charakter usług świadczonych przez podmiot finansowy na rzecz sektora finansowego;

(iv) zastępowalność usług świadczonych przez podmiot finansowy;

(v) złożoność modelu biznesowego podmiotu finansowego oraz powiązanych usług i procesów;

(vi) to, czy podmiot finansowy należy do grupy o systemowym charakterze na szczeblu unijnym lub krajowym w sektorze finansowym i czy dzieli z tą grupą systemy ICT;

b) czynniki ryzyka związanego z ICT:

(i) profil ryzyka podmiotu finansowego;

(ii) krajobraz zagrożeń podmiotu finansowego;

(iii) stopień zależności krytycznych lub istotnych funkcji podmiotu finansowego lub jego funkcji wspierających od systemów i procesów ICT;

(iv) złożoność architektury ICT podmiotu finansowego;

(v) usługi i funkcje ICT wspierane przez zewnętrznych dostawców usług ICT oraz liczba i rodzaj umów z zewnętrznymi dostawcami usług ICT lub dostawcami usług ICT wewnątrz grupy;

(vi) wyniki wszelkich przeglądów nadzorczych istotnych dla oceny zaawansowania podmiotu finansowego pod względem ICT;

(vii) dojrzałość planów ciągłości działania w zakresie ICT oraz planów reagowania i przywracania sprawności ICT;

(viii) dojrzałość operacyjnych środków wykrywania i ograniczania zagrożeń bezpieczeństwa ICT, w tym zdolność do:

1) stałego monitorowania infrastruktury ICT podmiotu finansowego;

2) wykrywania zdarzeń związanych z ICT w czasie rzeczywistym;

3) analizowania zdarzeń, o których mowa w ppkt 2;

4) reagowania na zdarzenia, o których mowa w ppkt 2, w sposób szybki i skuteczny;

(ix) to, czy podmiot finansowy należy do grupy działającej w sektorze finansowym na szczeblu unijnym lub krajowym i czy współdzieli z tą grupą systemy ICT.

Do celów lit. a) pkt (i) organ ds. TLPT w miarę możliwości bierze pod uwagę:

a) udział w rynku podmiotu finansowego na poziomie unijnym i krajowym;

b) zakres działań oferowanych przez podmiot finansowy;

c) udział w rynku usług świadczonych przez podmiot finansowy lub działań podejmowanych na szczeblu unijnym i krajowym.

Do celów lit. a) pkt (v) organ ds. TLPT w miarę możliwości bierze pod uwagę:

a) czy podmiot finansowy stosuje więcej niż jeden model biznesowy;

b) wzajemne powiązania różnych procesów biznesowych i powiązanych usług.

2. Organy ds. TLPT wymagają, aby wszystkie wymienione poniżej podmioty finansowe przeprowadziły TLPT, chyba że ocena, o której mowa w ust. 1, wskazuje w odniesieniu do danego podmiotu finansowego, że jego wpływ, kwestie stabilności finansowej dotyczące tego podmiotu finansowego lub jego profil ryzyka związanego z ICT nie uzasadniają przeprowadzenia TLPT:

a) instytucje kredytowe, które spełniają którykolwiek z poniższych warunków:

(i) zostały określone jako globalne instytucje o znaczeniu systemowym zgodnie z art. 131 dyrektywy Parlamentu Europejskiego i Rady 2013/36/UE (7);

(ii) zostały określone jako inne instytucje o znaczeniu systemowym zgodnie z art. 131 dyrektywy 2013/36/UE;

(iii) są częścią globalnych instytucji o znaczeniu systemowym lub innych instytucji o znaczeniu systemowym;

b) instytucje płatnicze, w przypadku których w każdym z dwóch lat kalendarzowych poprzedzających ocenę dokonaną przez organ ds. TLPT łączna wartość transakcji płatniczych zdefiniowanych w art. 4 pkt 5 dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/2366 przekroczyła 150 mld EUR (8);

c) instytucje pieniądza elektronicznego, w przypadku których w każdym z dwóch lat kalendarzowych poprzedzających ocenę dokonaną przez organ ds. TLPT łączna wartość transakcji płatniczych zdefiniowanych w art. 4 pkt 5 dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/2366 przekroczyła 150 mld EUR albo łączna wartość pieniądza elektronicznego pozostającego w obiegu przekroczyła 40 mld EUR;

d) centralne depozyty papierów wartościowych;

e) kontrahenci centralni;

f) systemy obrotu z elektronicznym systemem obrotu, które spełniają którekolwiek z poniższych kryteriów:

(i) system obrotu ma najwyższy udział w rynku pod względem obrotu na poziomie krajowym w każdym z dwóch lat kalendarzowych poprzedzających ocenę dokonaną przez organ ds. TLPT w którymkolwiek z obszarów, do których należą:

1) zbywalne papiery wartościowe zdefiniowane w art. 4 ust. 1 pkt 44 lit. a) dyrektywy Parlamentu Europejskiego i Rady 2014/65/UE (9);

2) zbywalne papiery wartościowe zdefiniowane w art. 4 ust. 1 pkt 44 lit. b) dyrektywy 2014/65/UE;

3) instrumenty pochodne zdefiniowane w art. 2 ust. 1 pkt 29 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 600/2014 (10);

4) strukturyzowane produkty finansowe zdefiniowane w art. 2 ust. 1 pkt 28 rozporządzenia (UE) nr 600/2014;

5) uprawnienia do emisji, o których mowa w sekcji C pkt 11 załącznika I do dyrektywy 2014/65/UE;

(ii) w każdym z dwóch lat kalendarzowych poprzedzających ocenę dokonaną przez organ ds. TLPT udział systemu obrotu w rynku pod względem obrotu na poziomie Unii przekracza 5 % w którymkolwiek z poniższych obszarów, do których należą:

1) akcje spółek oraz inne papiery wartościowe odpowiadające akcjom spółek, udziałom w spółkach osobowych lub w innych podmiotach oraz kwity depozytowe dotyczące akcji lub udziałów;

2) obligacje lub innego rodzaju papiery dłużne, w tym kwity depozytowe dotyczące takich papierów wartościowych;

3) instrumenty pochodne zdefiniowane w art. 2 ust. 1 pkt 29 rozporządzenia (UE) nr 600/2014;

4) strukturyzowane produkty finansowe zdefiniowane w art. 2 ust. 1 pkt 28 rozporządzenia (UE) nr 600/2014;

5) uprawnienia do emisji, o których mowa w sekcji C pkt 11 załącznika I do dyrektywy 2014/65/UE;

g) zakłady ubezpieczeń i zakłady reasekuracji, które spełniają wszystkie następujące kryteria:

(i) wysokość ich składki przypisanej brutto przekracza 1 500 000 000 EUR;

(ii) zakłady te posiadają rezerwy techniczno-ubezpieczeniowe przekraczające 10 000 000 000 EUR;

(iii) w przypadku zakładów ubezpieczeń, które prowadzą wyłącznie działalność w zakresie ubezpieczeń na życie lub które prowadzą zarówno działalność w zakresie ubezpieczeń na życie, jak i działalność w zakresie ubezpieczeń innych niż ubezpieczenia na życie – łączna wartość ich aktywów, wycenionych zgodnie z art. 75 dyrektywy Parlamentu Europejskiego i Rady 2009/138/WE (11), przekracza 3,5 % łącznej wartości aktywów zakładów ubezpieczeń i zakładów reasekuracji mających siedzibę w danym państwie członkowskim.

Do celów lit. f) pkt (ii), w przypadku gdy system obrotu jest częścią grupy korzystającej ze wspólnych systemów ICT lub z tego samego dostawcy usług ICT wewnątrz grupy, uwzględnia się obrót z tytułu papierów wartościowych i kontraktów na instrumenty pochodne we wszystkich systemach obrotu należących do tej samej grupy i mających siedzibę w Unii.

Do celów lit. g) organy ds. TLPT określają podzbiór wszystkich zakładów ubezpieczeń i zakładów reasekuracji, stosując kryteria określone w lit. g) pkt (i), (ii) oraz (iii). Zakłady ubezpieczeń i zakłady reasekuracji należące do tego podzbioru są zobowiązane do przeprowadzenia TLPT, jeżeli spełniają również którekolwiek z następujących kryteriów:

a) wysokość ich składki przypisanej brutto przekracza 3 000 000 000 EUR;

b) ich rezerwy techniczno-ubezpieczeniowe przekraczają 30 000 000 000 EUR;

c) łączna wartość ich aktywów, wycenionych zgodnie z art. 75 dyrektywy 2009/138/WE, przekracza 10 % łącznej wartości aktywów zakładów ubezpieczeń i zakładów reasekuracji mających siedzibę w danym państwie członkowskim.

3. W przypadku gdy kryteria określone w ust. 2 spełnia więcej niż jeden podmiot finansowy należący do tej samej grupy i korzystający ze wspólnych systemów ICT lub więcej niż jeden podmiot finansowy korzystający z tego samego dostawcy usług ICT wewnątrz grupy, organy ds. TLPT tych podmiotów finansowych, zgodnie z art. 16 ust. 2, podejmują decyzję, czy do tych podmiotów finansowych ma zastosowanie wymóg indywidualnego przeprowadzania TLPT.

W przypadku gdy organ ds. TLPT właściwy dla jednostki dominującej grupy podmiotów finansowych, o której mowa w akapicie pierwszym, jest inny niż organy ds. TLPT właściwe dla podmiotów finansowych należących do tej grupy, organy ds. TLPT właściwe dla podmiotów finansowych należących do grupy konsultują się z organem właściwym dla jednostki dominującej w sprawie w zasadności indywidualnego przeprowadzania TLPT.