Article considérant 2

(2) Compte tenu de la complexité des tests d’intrusion fondés sur la menace et des risques y afférents, leur utilisation devrait être limitée aux entités financières pour lesquelles elle est justifiée. Par conséquent, les autorités responsables des questions relatives aux TIFM (les «autorités TIFM», au niveau de l’Union ou au niveau national) devraient exclure du champ d’application des TIFM les entités financières qui exercent leurs activités dans des sous-secteurs essentiels de services financiers pour lesquels un TIFM n’est pas justifié. Cela signifie que des établissements de crédit, des établissements de paiement et de monnaie électronique, des dépositaires centraux de titres, des contreparties centrales, des plates-formes de négociation et des entreprises d’assurance et de réassurance, même s’ils remplissent les critères quantitatifs, pourraient être dispensés de l’exigence de TIFM à la lumière d’une évaluation globale de leur profil de risque lié aux TIC et de la maturité de leurs TIC, de leur incidence sur le secteur financier et des préoccupations relatives à la stabilité financière.