(2) Като се има предвид сложността на тестването за проникване и свързаните с него рискове, използването му следва да бъде ограничено до онези финансови субекти, за които това е оправдано. Следователно органите, отговарящи за въпросите, свързани с тестването за проникване (органи в областта на тестването за проникване на равнището на Съюза или на национално равнище), следва да изключат от обхвата на тестването за проникване онези финансови субекти, които извършват дейност в основните подсектори на финансовите услуги, за които тестване за проникване не е оправдано. Това означава, че кредитните институции, платежните институции, институциите за електронни пари, централните депозитари, централните контрагенти, местата за търговия, застрахователните и презастрахователните предприятия, въпреки че отговарят на количествените критерии, могат да бъдат освободени от изискването за тестване за проникване с оглед на цялостната оценка на техния рисков профил в областта на ИКТ, степента на развитост на техните ИКТ, въздействието върху финансовия сектор и свързаните с това опасения за финансовата стабилност.