# Euroopan unionin L 333/2022

| | ISSN 1977-0812 |
| --- | --- |
| Euroopan unionin
  virallinen lehti | L 333 |
| | |
| Suomenkielinen laitos | Lainsäädäntö | 65. vuosikerta27. joulukuuta 2022 |

ISSN 1977-0812

Euroopan unionin

virallinen lehti

L 333

Suomenkielinen laitos

Lainsäädäntö

65. vuosikerta27. joulukuuta 2022

---

| Sisältö | | I   Lainsäätämisjärjestyksessä hyväksyttävät säädökset | Sivu |
| --- | --- | --- | --- |
| | | ASETUKSET |
| | * | Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (
  1
  ) | 1 |
| | | DIREKTIIVIT |
| | * | Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555, annettu 14 päivänä joulukuuta 2022, toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 -direktiivi) (
  1
  ) | 80 |
| | * | Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2556, annettu 14 päivänä joulukuuta 2022, direktiivien 2009/65/EY, 2009/138/EY, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 ja (EU) 2016/2341 muuttamisesta finanssialan digitaalisen häiriönsietokyvyn osalta (
  1
  ) | 153 |
| | * | Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2557, annettu 14 päivänä joulukuuta 2022, kriittisten toimijoiden häiriönsietokyvystä ja direktiivin 2008/114/EY kumoamisesta (
  1
  ) | 164 |

Sisältö

I   Lainsäätämisjärjestyksessä hyväksyttävät säädökset

Sivu

ASETUKSET

*

Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (
  1
  )

1

1

DIREKTIIVIT

*

Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555, annettu 14 päivänä joulukuuta 2022, toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 -direktiivi) (
  1
  )

1

80

*

Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2556, annettu 14 päivänä joulukuuta 2022, direktiivien 2009/65/EY, 2009/138/EY, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 ja (EU) 2016/2341 muuttamisesta finanssialan digitaalisen häiriönsietokyvyn osalta (
  1
  )

1

153

*

Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2557, annettu 14 päivänä joulukuuta 2022, kriittisten toimijoiden häiriönsietokyvystä ja direktiivin 2008/114/EY kumoamisesta (
  1
  )

1

164

| | |
| --- | --- |
| | (1)   ETA:n kannalta merkityksellinen teksti. |

---

(1)   ETA:n kannalta merkityksellinen teksti.

1

| FI | Säädökset, joiden otsikot on painettu laihalla kirjasintyypillä, ovat maatalouspolitiikan alaan kuuluvia juoksevien asioiden hoitoon liityviä säädöksiä, joiden voimassaoloaika on yleensä rajoitettu.
  Kaikkien muiden säädösten otsikot on painettu lihavalla kirjasintyypillä ja merkitty tähdellä. |
| --- | --- |

FI

Säädökset, joiden otsikot on painettu laihalla kirjasintyypillä, ovat maatalouspolitiikan alaan kuuluvia juoksevien asioiden hoitoon liityviä säädöksiä, joiden voimassaoloaika on yleensä rajoitettu.

Kaikkien muiden säädösten otsikot on painettu lihavalla kirjasintyypillä ja merkitty tähdellä.

---

I Lainsäätämisjärjestyksessä hyväksyttävät säädökset

ASETUKSET

| 27.12.2022 | FI | Euroopan unionin virallinen lehti | L 333/1 |
| --- | --- | --- | --- |

27.12.2022

FI

Euroopan unionin virallinen lehti

L 333/1

---

EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS (EU) 2022/2554,

annettu 14 päivänä joulukuuta 2022,

finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta

(ETA:n kannalta merkityksellinen teksti)

EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka

ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 114 artiklan,

ottavat huomioon Euroopan komission ehdotuksen,

sen jälkeen kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille,

ottavat huomioon Euroopan keskuspankin lausunnon (1),

ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon (2),

noudattavat tavallista lainsäätämisjärjestystä (3),

sekä katsovat seuraavaa:

| (1) | Digiaikana tieto- ja viestintätekniikalla, jäljempänä ’TVT’, tuetaan monimutkaisia järjestelmiä, joita käytetään jokapäiväisissä toiminnoissa. Se pitää taloutemme toiminnassa keskeisillä aloilla, mukaan lukien finanssiala, ja tehostaa sisämarkkinoiden toimintaa. Lisääntyvä digitalisaatio ja yhteenliitettävyys laajentavat myös TVT-riskin mahdollisuutta, mikä tekee koko yhteiskunnasta ja erityisesti finanssijärjestelmästä alttiimman kyberuhkille tai TVT-häiriöille. Vaikka TVT-järjestelmien yleinen käyttö sekä pitkälle menevä digitalisaatio ja yhteenliitettävyys ovat nykypäivänä unionin finanssiyhteisöjen toiminnan keskeisiä piirteitä, niiden digitaalista häiriönsietokykyä on vielä käsiteltävä paremmin ja se on sisällytettävä osaksi niiden laajempia toimintapuitteita. |
| --- | --- |

(1)

Digiaikana tieto- ja viestintätekniikalla, jäljempänä ’TVT’, tuetaan monimutkaisia järjestelmiä, joita käytetään jokapäiväisissä toiminnoissa. Se pitää taloutemme toiminnassa keskeisillä aloilla, mukaan lukien finanssiala, ja tehostaa sisämarkkinoiden toimintaa. Lisääntyvä digitalisaatio ja yhteenliitettävyys laajentavat myös TVT-riskin mahdollisuutta, mikä tekee koko yhteiskunnasta ja erityisesti finanssijärjestelmästä alttiimman kyberuhkille tai TVT-häiriöille. Vaikka TVT-järjestelmien yleinen käyttö sekä pitkälle menevä digitalisaatio ja yhteenliitettävyys ovat nykypäivänä unionin finanssiyhteisöjen toiminnan keskeisiä piirteitä, niiden digitaalista häiriönsietokykyä on vielä käsiteltävä paremmin ja se on sisällytettävä osaksi niiden laajempia toimintapuitteita.

| (2) | TVT:n käyttö on viime vuosikymmeninä noussut keskeiseen asemaan finanssipalvelujen tarjoamisessa siinä määrin, että nykyään sen merkitys kaikkien finanssiyhteisöjen tavanomaisissa arkipäivän toiminnoissa on kriittinen. Digitalisaatio kattaa nykyään esimerkiksi maksut, joissa on siirrytty yhä enemmän käteis- ja paperipohjaisista menetelmistä digitaalisten ratkaisujen käyttöön, sekä arvopaperien määrityksen ja toimituksen, sähköisen ja algoritmisen kaupankäynnin, lainaus- ja rahoitustoiminnot, vertaisrahoituksen, luottokelpoisuusluokituksen, saatavien hoidon ja back-office-toiminnot. TVT:n käyttö on muuttanut myös vakuutusalaa vakuutusteknologian (InsurTech) avulla verkossa palvelujaan tarjoavien digitaalisten vakuutusedustajien markkinoille tulosta aina digitaaliseen vakuutusten merkintään saakka. Koko finanssiala on pitkälti digitalisoitunut, mutta digitalisaatio on myös syventänyt finanssialan sisäisiä yhteyksiä ja keskinäistä riippuvuutta myös kolmansista infrastruktuurin ja palvelujen tarjoajista. |
| --- | --- |

(2)

TVT:n käyttö on viime vuosikymmeninä noussut keskeiseen asemaan finanssipalvelujen tarjoamisessa siinä määrin, että nykyään sen merkitys kaikkien finanssiyhteisöjen tavanomaisissa arkipäivän toiminnoissa on kriittinen. Digitalisaatio kattaa nykyään esimerkiksi maksut, joissa on siirrytty yhä enemmän käteis- ja paperipohjaisista menetelmistä digitaalisten ratkaisujen käyttöön, sekä arvopaperien määrityksen ja toimituksen, sähköisen ja algoritmisen kaupankäynnin, lainaus- ja rahoitustoiminnot, vertaisrahoituksen, luottokelpoisuusluokituksen, saatavien hoidon ja back-office-toiminnot. TVT:n käyttö on muuttanut myös vakuutusalaa vakuutusteknologian (InsurTech) avulla verkossa palvelujaan tarjoavien digitaalisten vakuutusedustajien markkinoille tulosta aina digitaaliseen vakuutusten merkintään saakka. Koko finanssiala on pitkälti digitalisoitunut, mutta digitalisaatio on myös syventänyt finanssialan sisäisiä yhteyksiä ja keskinäistä riippuvuutta myös kolmansista infrastruktuurin ja palvelujen tarjoajista.

| (3) | Euroopan järjestelmäriskikomitea (EJRK) vahvisti vuonna 2020 antamassaan systeemistä kyberriskiä käsittelevässä raportissaan, kuinka nykyiset finanssiyhteisöjen, -markkinoiden ja -markkinainfrastruktuurin tiiviit keskinäiset kytkökset ja etenkin niiden TVT-järjestelmien keskinäiset riippuvuussuhteet saattavat muodostaa systeemisen haavoittuvuuden, sillä paikalliset kyberhäiriötilanteet voivat nopeasti levitä mistä tahansa unionin noin 22 000 finanssiyhteisöstä koko finanssijärjestelmään maantieteellisten rajojen estämättä. Finanssialalla ilmenevät vakavat TVT-rikkomukset eivät vaikuta pelkästään finanssiyhteisöihin yksinään. Ne luovat maaperää myös paikallisten haavoittuvuuksien leviämiselle rahoituksen välityskanaviin ja voivat heikentää unionin finanssijärjestelmän vakautta esimerkiksi aiheuttamalla likviditeettipakoja ja rapauttamalla yleisesti uskoa ja luottamusta rahoitusmarkkinoihin. |
| --- | --- |

(3)

Euroopan järjestelmäriskikomitea (EJRK) vahvisti vuonna 2020 antamassaan systeemistä kyberriskiä käsittelevässä raportissaan, kuinka nykyiset finanssiyhteisöjen, -markkinoiden ja -markkinainfrastruktuurin tiiviit keskinäiset kytkökset ja etenkin niiden TVT-järjestelmien keskinäiset riippuvuussuhteet saattavat muodostaa systeemisen haavoittuvuuden, sillä paikalliset kyberhäiriötilanteet voivat nopeasti levitä mistä tahansa unionin noin 22 000 finanssiyhteisöstä koko finanssijärjestelmään maantieteellisten rajojen estämättä. Finanssialalla ilmenevät vakavat TVT-rikkomukset eivät vaikuta pelkästään finanssiyhteisöihin yksinään. Ne luovat maaperää myös paikallisten haavoittuvuuksien leviämiselle rahoituksen välityskanaviin ja voivat heikentää unionin finanssijärjestelmän vakautta esimerkiksi aiheuttamalla likviditeettipakoja ja rapauttamalla yleisesti uskoa ja luottamusta rahoitusmarkkinoihin.

| (4) | Viime vuosina kansainvälisen, unionin ja kansallisen tason poliittiset päättäjät, sääntelyviranomaiset ja standardointielimet ovat kiinnittäneet huomiota TVT-riskiin pyrkimyksessään tehostaa digitaalista häiriönsietokykyä, asettaa standardeja ja koordinoida sääntely- tai valvontatoimia. Kansainvälisellä tasolla Baselin pankkivalvontakomitea, maksujärjestelmä- ja markkinainfrastruktuurikomitea, finanssimarkkinoiden vakauden valvontaryhmä, rahoitusjärjestelmän vakautta valvova instituutti sekä G7- ja G20-maat pyrkivät tarjoamaan toimivaltaisille viranomaisille ja markkinatoimijoille useilla eri lainkäyttöalueilla välineitä, joiden avulla ne voivat vahvistaa finanssijärjestelmiensä häiriönsietokykyä. Kyseistä työtä on ohjannut myös tarve ottaa TVT-riski asianmukaisesti huomioon tiiviisti yhteenliitetyssä maailmanlaajuisessa rahoitusjärjestelmässä ja pyrkiä edelleen yhdenmukaistamaan asiaan liittyviä parhaita käytäntöjä. |
| --- | --- |

(4)

Viime vuosina kansainvälisen, unionin ja kansallisen tason poliittiset päättäjät, sääntelyviranomaiset ja standardointielimet ovat kiinnittäneet huomiota TVT-riskiin pyrkimyksessään tehostaa digitaalista häiriönsietokykyä, asettaa standardeja ja koordinoida sääntely- tai valvontatoimia. Kansainvälisellä tasolla Baselin pankkivalvontakomitea, maksujärjestelmä- ja markkinainfrastruktuurikomitea, finanssimarkkinoiden vakauden valvontaryhmä, rahoitusjärjestelmän vakautta valvova instituutti sekä G7- ja G20-maat pyrkivät tarjoamaan toimivaltaisille viranomaisille ja markkinatoimijoille useilla eri lainkäyttöalueilla välineitä, joiden avulla ne voivat vahvistaa finanssijärjestelmiensä häiriönsietokykyä. Kyseistä työtä on ohjannut myös tarve ottaa TVT-riski asianmukaisesti huomioon tiiviisti yhteenliitetyssä maailmanlaajuisessa rahoitusjärjestelmässä ja pyrkiä edelleen yhdenmukaistamaan asiaan liittyviä parhaita käytäntöjä.

| (5) | Unionin ja kansallisen tason kohdennetuista politiikka- ja lainsäädäntöaloitteista huolimatta TVT-riski muodostaa edelleen haasteen unionin rahoitusjärjestelmän häiriönsietokyvylle, toiminnalle ja vakaudelle. Vuoden 2008 finanssikriisin jälkeen toteutetuilla uudistuksilla vahvistettiin ensisijaisesti unionin finanssialan finanssipoliittista häiriönsietokykyä ja pyrittiin turvaamaan unionin kilpailukyky ja vakaus talouden, vakavaraisuuden ja markkinakäyttäytymisen kannalta. Vaikka TVT-turvallisuus ja digitaalinen häiriönsietokyky ovat osa operatiivista riskiä, ne ovat jääneet vähemmälle huomiolle finanssikriisin jälkeisessä sääntelyohjelmassa, ja niitä on kehitetty vain joillakin unionin finanssipalvelupolitiikan ja sääntely-ympäristön osa-alueilla tai vain muutamassa jäsenvaltiossa. |
| --- | --- |

(5)

Unionin ja kansallisen tason kohdennetuista politiikka- ja lainsäädäntöaloitteista huolimatta TVT-riski muodostaa edelleen haasteen unionin rahoitusjärjestelmän häiriönsietokyvylle, toiminnalle ja vakaudelle. Vuoden 2008 finanssikriisin jälkeen toteutetuilla uudistuksilla vahvistettiin ensisijaisesti unionin finanssialan finanssipoliittista häiriönsietokykyä ja pyrittiin turvaamaan unionin kilpailukyky ja vakaus talouden, vakavaraisuuden ja markkinakäyttäytymisen kannalta. Vaikka TVT-turvallisuus ja digitaalinen häiriönsietokyky ovat osa operatiivista riskiä, ne ovat jääneet vähemmälle huomiolle finanssikriisin jälkeisessä sääntelyohjelmassa, ja niitä on kehitetty vain joillakin unionin finanssipalvelupolitiikan ja sääntely-ympäristön osa-alueilla tai vain muutamassa jäsenvaltiossa.

| (6) | Komission 8 päivänä maaliskuuta 2018 julkaisemassa tiedonannossa ”FinTech-toimintasuunnitelma Euroopan rahoitusalan kilpailukyvyn ja innovatiivisuuden parantamiseksi” korostettiin, että on ensiarvoisen tärkeää parantaa unionin finanssialan häiriönsietokykyä myös operatiivisesta näkökulmasta, jotta voidaan varmistaa sen teknologinen turvallisuus ja toimivuus ja sen nopea toipuminen TVT-rikkomusten ja -poikkeamien jälkeen, mikä viime kädessä mahdollistaa finanssipalvelujen tehokkuuden ja niiden sujuvan tarjoamisen koko unionissa, myös stressitilanteissa, siten, että samalla säilytetään kuluttajien ja markkinoiden usko ja luottamus. |
| --- | --- |

(6)

Komission 8 päivänä maaliskuuta 2018 julkaisemassa tiedonannossa ”FinTech-toimintasuunnitelma Euroopan rahoitusalan kilpailukyvyn ja innovatiivisuuden parantamiseksi” korostettiin, että on ensiarvoisen tärkeää parantaa unionin finanssialan häiriönsietokykyä myös operatiivisesta näkökulmasta, jotta voidaan varmistaa sen teknologinen turvallisuus ja toimivuus ja sen nopea toipuminen TVT-rikkomusten ja -poikkeamien jälkeen, mikä viime kädessä mahdollistaa finanssipalvelujen tehokkuuden ja niiden sujuvan tarjoamisen koko unionissa, myös stressitilanteissa, siten, että samalla säilytetään kuluttajien ja markkinoiden usko ja luottamus.

| (7) | Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 1093/2010 (4) perustettu Euroopan valvontaviranomainen (Euroopan pankkiviranomainen (EPV)), Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 1094/2010 (5) perustettu Euroopan valvontaviranomainen (Euroopan vakuutus- ja lisäeläkeviranomainen (EIOPA)) ja asetuksella (EU) N:o 1095/2010 (6) perustettu Euroopan valvontaviranomainen (Euroopan arvopaperimarkkinaviranomainen (ESMA)) (joita kutsutaan yhteisesti nimellä ’Euroopan valvontaviranomaiset’) antoivat yhdessä huhtikuussa 2019 teknisiä neuvoja, joissa peräänkuulutettiin johdonmukaista lähestymistapaa TVT-riskiin finanssialalla ja suositettiin finanssipalvelualan digitaalisen häiriönsietokyvyn vahvistamista oikeasuhteisella tavalla unionin alakohtaisen aloitteen avulla. |
| --- | --- |

(7)

Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 1093/2010 (4) perustettu Euroopan valvontaviranomainen (Euroopan pankkiviranomainen (EPV)), Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 1094/2010 (5) perustettu Euroopan valvontaviranomainen (Euroopan vakuutus- ja lisäeläkeviranomainen (EIOPA)) ja asetuksella (EU) N:o 1095/2010 (6) perustettu Euroopan valvontaviranomainen (Euroopan arvopaperimarkkinaviranomainen (ESMA)) (joita kutsutaan yhteisesti nimellä ’Euroopan valvontaviranomaiset’) antoivat yhdessä huhtikuussa 2019 teknisiä neuvoja, joissa peräänkuulutettiin johdonmukaista lähestymistapaa TVT-riskiin finanssialalla ja suositettiin finanssipalvelualan digitaalisen häiriönsietokyvyn vahvistamista oikeasuhteisella tavalla unionin alakohtaisen aloitteen avulla.

| (8) | Unionin finanssialaa säännellään yhteisellä sääntökirjalla ja hallinnoidaan Euroopan finanssivalvontajärjestelmällä. Tästä huolimatta digitaalista häiriönsietokykyä ja TVT-turvallisuutta koskevia säännöksiä ei ole vielä täysin tai johdonmukaisesti yhdenmukaistettu siitä huolimatta, että digitaalinen häiriönsietokyky on ratkaisevan tärkeä rahoitusvakauden ja markkinoiden eheyden varmistamiseksi digiaikana, minkä lisäksi se on aivan yhtä merkityksellinen kuin esimerkiksi toiminnan vakautta tai markkinakäyttäytymistä koskevat yhteiset standardit. Yhteistä sääntökirjaa ja valvontajärjestelmää olisi sen vuoksi kehitettävä, jotta se kattaisi myös digitaalisen häiriönsietokyvyn, vahvistamalla toimivaltaisten viranomaisten toimivaltuuksia niin, että ne voivat valvoa finanssialan TVT-riskin hallitsemista sisämarkkinoiden eheyden ja tehokkuuden suojelemiseksi ja sen säännönmukaisen toiminnan helpottamiseksi. |
| --- | --- |

(8)

Unionin finanssialaa säännellään yhteisellä sääntökirjalla ja hallinnoidaan Euroopan finanssivalvontajärjestelmällä. Tästä huolimatta digitaalista häiriönsietokykyä ja TVT-turvallisuutta koskevia säännöksiä ei ole vielä täysin tai johdonmukaisesti yhdenmukaistettu siitä huolimatta, että digitaalinen häiriönsietokyky on ratkaisevan tärkeä rahoitusvakauden ja markkinoiden eheyden varmistamiseksi digiaikana, minkä lisäksi se on aivan yhtä merkityksellinen kuin esimerkiksi toiminnan vakautta tai markkinakäyttäytymistä koskevat yhteiset standardit. Yhteistä sääntökirjaa ja valvontajärjestelmää olisi sen vuoksi kehitettävä, jotta se kattaisi myös digitaalisen häiriönsietokyvyn, vahvistamalla toimivaltaisten viranomaisten toimivaltuuksia niin, että ne voivat valvoa finanssialan TVT-riskin hallitsemista sisämarkkinoiden eheyden ja tehokkuuden suojelemiseksi ja sen säännönmukaisen toiminnan helpottamiseksi.

| (9) | Lainsäädännölliset erot ja epätasaiset kansalliset TVT-riskin sääntelyä tai valvontaa koskevat lähestymistavat muodostavat esteitä finanssipalvelujen sisämarkkinoiden toiminnalle ja hankaloittavat sijoittautumisvapauden sujuvaa harjoittamista sekä palvelujen tarjoamista rajatylittävää toimintaa harjoittaville finanssiyhteisöille. Eri jäsenvaltioissa toimivien samantyyppisten finanssiyhteisöjen välinen kilpailu saattaa myös vääristyä. Tämä koskee erityisesti aloja, joilla yhdenmukaistaminen unionissa on ollut hyvin vähäistä, kuten digitaalisen häiriönsietokyvyn testaus, tai olematonta, kuten kolmansiin osapuoliin liittyvän TVT-riskin seuranta. Kansallisella tasolla ennakoidusta kehityksestä johtuvat erot voisivat luoda lisäesteitä sisämarkkinoiden toiminnalle, mikä haittaisi markkinatoimijoita ja rahoitusvakautta. |
| --- | --- |

(9)

Lainsäädännölliset erot ja epätasaiset kansalliset TVT-riskin sääntelyä tai valvontaa koskevat lähestymistavat muodostavat esteitä finanssipalvelujen sisämarkkinoiden toiminnalle ja hankaloittavat sijoittautumisvapauden sujuvaa harjoittamista sekä palvelujen tarjoamista rajatylittävää toimintaa harjoittaville finanssiyhteisöille. Eri jäsenvaltioissa toimivien samantyyppisten finanssiyhteisöjen välinen kilpailu saattaa myös vääristyä. Tämä koskee erityisesti aloja, joilla yhdenmukaistaminen unionissa on ollut hyvin vähäistä, kuten digitaalisen häiriönsietokyvyn testaus, tai olematonta, kuten kolmansiin osapuoliin liittyvän TVT-riskin seuranta. Kansallisella tasolla ennakoidusta kehityksestä johtuvat erot voisivat luoda lisäesteitä sisämarkkinoiden toiminnalle, mikä haittaisi markkinatoimijoita ja rahoitusvakautta.

| (10) | Koska TVT-riskiin liittyviä säännöksiä on tähän mennessä käsitelty unionin tasolla vain osittain, tärkeillä osa-alueilla, kuten TVT:hen liittyvien poikkeamien raportoinnissa ja digitaalisen häiriönsietokyvyn testauksessa, esiintyy puutteita tai päällekkäisyyksiä sekä epäjohdonmukaisuuksia, jotka johtuvat uusista toisistaan poikkeavista kansallisista säännöistä tai päällekkäisten sääntöjen kustannustehottomasta soveltamisesta. Tämä on erityisen haitallista TVT-intensiivisille käyttäjille, kuten finanssialalle, koska teknologiariskeillä ei ole rajoja ja finanssiala käyttää sen palveluja laajalti rajojen yli unionissa ja sen ulkopuolella. Yksittäiset finanssiyhteisöt, jotka toimivat rajojen yli tai joilla on useita toimilupia (esimerkiksi yhdellä finanssiyhteisöllä voi olla pankki-, sijoituspalveluyritys- ja maksulaitostoimilupa, joista jokainen on eri toimivaltaisen viranomaisen myöntämä yhdessä tai useammassa jäsenvaltiossa), joutuvat vastaamaan operatiivisiin haasteisiin niiden torjuessa yksin TVT-riskiä ja hillitessä TVT-poikkeamien kielteisiä vaikutuksia johdonmukaisella ja kustannustehokkaalla tavalla. |
| --- | --- |

(10)

Koska TVT-riskiin liittyviä säännöksiä on tähän mennessä käsitelty unionin tasolla vain osittain, tärkeillä osa-alueilla, kuten TVT:hen liittyvien poikkeamien raportoinnissa ja digitaalisen häiriönsietokyvyn testauksessa, esiintyy puutteita tai päällekkäisyyksiä sekä epäjohdonmukaisuuksia, jotka johtuvat uusista toisistaan poikkeavista kansallisista säännöistä tai päällekkäisten sääntöjen kustannustehottomasta soveltamisesta. Tämä on erityisen haitallista TVT-intensiivisille käyttäjille, kuten finanssialalle, koska teknologiariskeillä ei ole rajoja ja finanssiala käyttää sen palveluja laajalti rajojen yli unionissa ja sen ulkopuolella. Yksittäiset finanssiyhteisöt, jotka toimivat rajojen yli tai joilla on useita toimilupia (esimerkiksi yhdellä finanssiyhteisöllä voi olla pankki-, sijoituspalveluyritys- ja maksulaitostoimilupa, joista jokainen on eri toimivaltaisen viranomaisen myöntämä yhdessä tai useammassa jäsenvaltiossa), joutuvat vastaamaan operatiivisiin haasteisiin niiden torjuessa yksin TVT-riskiä ja hillitessä TVT-poikkeamien kielteisiä vaikutuksia johdonmukaisella ja kustannustehokkaalla tavalla.

| (11) | Koska yhteiseen sääntökirjaan ei ole liitetty kattavaa TVT- tai operatiivisen riskin kehystä, keskeisiä digitaalista häiriönsietokykyä koskevia vaatimuksia on yhdenmukaistettava edelleen kaikkien finanssiyhteisöjen osalta. Se, että finanssiyhteisöt kehittäisivät TVT-valmiuksia ja yleistä häiriönsietokykyä kyseisten keskeisten vaatimusten pohjalta selvitäkseen operatiivisista käyttökeskeytyksistä, auttaisi säilyttämään unionin finanssimarkkinoiden vakauden ja eheyden, mikä edistäisi myös sijoittajien ja kuluttajien suojan korkean tason varmistamista unionissa. Koska tämän asetuksen tarkoituksena on edistää sisämarkkinoiden moitteetonta toimintaa, sen olisi perustuttava Euroopan unionin toiminnasta tehdyn sopimuksen, jäljempänä ’SEUT’, 114 artiklaan, sellaisena kuin sitä tulkitaan Euroopan unionin tuomioistuimen vakiintuneessa oikeuskäytännössä. |
| --- | --- |

(11)

Koska yhteiseen sääntökirjaan ei ole liitetty kattavaa TVT- tai operatiivisen riskin kehystä, keskeisiä digitaalista häiriönsietokykyä koskevia vaatimuksia on yhdenmukaistettava edelleen kaikkien finanssiyhteisöjen osalta. Se, että finanssiyhteisöt kehittäisivät TVT-valmiuksia ja yleistä häiriönsietokykyä kyseisten keskeisten vaatimusten pohjalta selvitäkseen operatiivisista käyttökeskeytyksistä, auttaisi säilyttämään unionin finanssimarkkinoiden vakauden ja eheyden, mikä edistäisi myös sijoittajien ja kuluttajien suojan korkean tason varmistamista unionissa. Koska tämän asetuksen tarkoituksena on edistää sisämarkkinoiden moitteetonta toimintaa, sen olisi perustuttava Euroopan unionin toiminnasta tehdyn sopimuksen, jäljempänä ’SEUT’, 114 artiklaan, sellaisena kuin sitä tulkitaan Euroopan unionin tuomioistuimen vakiintuneessa oikeuskäytännössä.

| (12) | Tällä asetuksella pyritään lujittamaan ja parantamaan TVT-riskiä koskevia vaatimuksia osana operatiivista riskiä koskevia vaatimuksia, joita tähän mennessä on käsitelty erikseen useissa unionin säädöksissä. Vaikka kyseiset säädökset kattoivat rahoitusriskin pääluokat (esimerkiksi luotto-, markkina-, vastapuoliluotto- ja likviditeetti- sekä markkinakäyttäytymisriski), niissä ei hyväksymisajankohtanaan kokonaisvaltaisesti puututtu kaikkiin toiminnallisen häiriönsietokyvyn osatekijöihin. Operatiivista riskiä koskevissa säännöissä, sellaisena kuin ne ovat edelleen täsmennettyinä kyseisissä unionin säädöksissä, suosittiin usein perinteistä kvantitatiivista lähestymistapaa riskeihin puuttumiseksi (eli pääomavaatimuksen asettamista TVT-riskin kattamiseksi) kohdennettujen laadullisten sääntöjen sijasta, jotka koskevat suojelu-, havaitsemis-, käyttöönotto-, toipumis- ja korjausvalmiuksia TVT:hen liittyvien poikkeamien torjumiseksi tai raportointi- ja digitaalisia testausvalmiuksia. Kyseisten säädösten ensisijainen tarkoitus oli kattaa toiminnan vakauden valvontaa, markkinoiden eheyttä tai toimintaa koskevat keskeiset säännöt ja päivittää niitä. Vahvistamalla TVT-riskiä koskevia eri sääntöjä ja päivittämällä niitä kaikki finanssialan digitaalista riskiä koskevat säännökset pitäisi saada ensimmäistä kertaa koottua johdonmukaisella tavalla yhteen säädökseen. Näin ollen tällä asetuksella korjataan joidenkin aiempien säädösten puutteet tai epäjohdonmukaisuudet, myös niissä käytetyn terminologian osalta, ja siinä nimenomaisesti viitataan TVT-riskiin kohdennetuilla säännöillä, jotka koskevat TVT-riskinhallintavalmiuksia, poikkeamien raportointia, toiminnallisen häiriönsietokyvyn testausta sekä ulkopuolisiin TVT-palveluntarjoajiin liittyvän riskin seurantaa. Tällä asetuksella olisi näin ollen myös lisättävä tietoisuutta TVT-riskistä ja otettava huomioon, että TVT-poikkeamat ja toiminnallisen häiriönsietokyvyn puute saattavat vaarantaa finanssiyhteisöjen vakauden. |
| --- | --- |

(12)

Tällä asetuksella pyritään lujittamaan ja parantamaan TVT-riskiä koskevia vaatimuksia osana operatiivista riskiä koskevia vaatimuksia, joita tähän mennessä on käsitelty erikseen useissa unionin säädöksissä. Vaikka kyseiset säädökset kattoivat rahoitusriskin pääluokat (esimerkiksi luotto-, markkina-, vastapuoliluotto- ja likviditeetti- sekä markkinakäyttäytymisriski), niissä ei hyväksymisajankohtanaan kokonaisvaltaisesti puututtu kaikkiin toiminnallisen häiriönsietokyvyn osatekijöihin. Operatiivista riskiä koskevissa säännöissä, sellaisena kuin ne ovat edelleen täsmennettyinä kyseisissä unionin säädöksissä, suosittiin usein perinteistä kvantitatiivista lähestymistapaa riskeihin puuttumiseksi (eli pääomavaatimuksen asettamista TVT-riskin kattamiseksi) kohdennettujen laadullisten sääntöjen sijasta, jotka koskevat suojelu-, havaitsemis-, käyttöönotto-, toipumis- ja korjausvalmiuksia TVT:hen liittyvien poikkeamien torjumiseksi tai raportointi- ja digitaalisia testausvalmiuksia. Kyseisten säädösten ensisijainen tarkoitus oli kattaa toiminnan vakauden valvontaa, markkinoiden eheyttä tai toimintaa koskevat keskeiset säännöt ja päivittää niitä. Vahvistamalla TVT-riskiä koskevia eri sääntöjä ja päivittämällä niitä kaikki finanssialan digitaalista riskiä koskevat säännökset pitäisi saada ensimmäistä kertaa koottua johdonmukaisella tavalla yhteen säädökseen. Näin ollen tällä asetuksella korjataan joidenkin aiempien säädösten puutteet tai epäjohdonmukaisuudet, myös niissä käytetyn terminologian osalta, ja siinä nimenomaisesti viitataan TVT-riskiin kohdennetuilla säännöillä, jotka koskevat TVT-riskinhallintavalmiuksia, poikkeamien raportointia, toiminnallisen häiriönsietokyvyn testausta sekä ulkopuolisiin TVT-palveluntarjoajiin liittyvän riskin seurantaa. Tällä asetuksella olisi näin ollen myös lisättävä tietoisuutta TVT-riskistä ja otettava huomioon, että TVT-poikkeamat ja toiminnallisen häiriönsietokyvyn puute saattavat vaarantaa finanssiyhteisöjen vakauden.

| (13) | Finanssiyhteisöjen olisi noudatettava samaa lähestymistapaa ja samoja periaatteisiin perustuvia sääntöjä käsitellessään TVT-riskiä ottaen huomioon kokonsa ja yleisen riskiprofiilinsa sekä palvelujensa, toimintojensa ja toimintansa luonne, laajuus ja monitahoisuus. Johdonmukaisuus lisää osaltaan luottamusta finanssijärjestelmään ja auttaa sen vakauden säilyttämisessä erityisesti sellaisina aikoina, jolloin TVT-järjestelmistä, -alustoista ja -infrastruktuurista ollaan erittäin riippuvaisia, mihin liittyy suurempi digitaalisen riskin vaara. Peruskyberhygieniaa noudattamalla pitäisi myös voida välttää taloudelle aiheutuvia raskaita kustannuksia, kun TVT-häiriöiden vaikutukset ja kustannukset minimoidaan. |
| --- | --- |

(13)

Finanssiyhteisöjen olisi noudatettava samaa lähestymistapaa ja samoja periaatteisiin perustuvia sääntöjä käsitellessään TVT-riskiä ottaen huomioon kokonsa ja yleisen riskiprofiilinsa sekä palvelujensa, toimintojensa ja toimintansa luonne, laajuus ja monitahoisuus. Johdonmukaisuus lisää osaltaan luottamusta finanssijärjestelmään ja auttaa sen vakauden säilyttämisessä erityisesti sellaisina aikoina, jolloin TVT-järjestelmistä, -alustoista ja -infrastruktuurista ollaan erittäin riippuvaisia, mihin liittyy suurempi digitaalisen riskin vaara. Peruskyberhygieniaa noudattamalla pitäisi myös voida välttää taloudelle aiheutuvia raskaita kustannuksia, kun TVT-häiriöiden vaikutukset ja kustannukset minimoidaan.

| (14) | Asetus auttaa vähentämään sääntelyn monimutkaisuutta, edistää valvontakäytäntöjen lähentymistä ja lisää oikeusvarmuutta sekä myös auttaa rajoittamaan säännösten noudattamisesta aiheutuvia kustannuksia, erityisesti niiden finanssiyhteisöjen osalta, jotka toimivat rajojen yli, sekä vähentämään kilpailun vääristymisiä. Asetuksen valinta finanssiyhteisöjen digitaalista häiriönsietokykyä koskevan yhteisen kehyksen käyttöönottamiseksi on näin ollen asianmukaisin tapa taata, että unionin finanssiala soveltaa kaikkia TVT-riskinhallinnan osatekijöitä yhteisesti ja johdonmukaisesti. |
| --- | --- |

(14)

Asetus auttaa vähentämään sääntelyn monimutkaisuutta, edistää valvontakäytäntöjen lähentymistä ja lisää oikeusvarmuutta sekä myös auttaa rajoittamaan säännösten noudattamisesta aiheutuvia kustannuksia, erityisesti niiden finanssiyhteisöjen osalta, jotka toimivat rajojen yli, sekä vähentämään kilpailun vääristymisiä. Asetuksen valinta finanssiyhteisöjen digitaalista häiriönsietokykyä koskevan yhteisen kehyksen käyttöönottamiseksi on näin ollen asianmukaisin tapa taata, että unionin finanssiala soveltaa kaikkia TVT-riskinhallinnan osatekijöitä yhteisesti ja johdonmukaisesti.

| (15) | Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148 (7) oli ensimmäinen unionin tasolla toteutettu horisontaalinen kyberturvallisuuskehys, jota sovelletaan myös kolmeen finanssiyhteisön tyyppiin: luottolaitoksiin, kauppapaikkoihin ja keskusvastapuoliin. Koska direktiivissä (EU) 2016/1148 kuitenkin otettiin käyttöön keskeisten palvelujen tarjoajien määrittämismekanismi kansallisella tasolla, ainoastaan tietyt luottolaitokset, kauppapaikat ja keskusvastapuolet, jotka jäsenvaltiot määrittivät, on käytännössä saatettu sen soveltamisalan piiriin ja näin ollen niiden on noudatettava siinä säädettyjä TVT-turvallisuutta ja -poikkeamien ilmoittamista koskevia vaatimuksia. Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2555 (8) vahvistetaan yhdenmukainen peruste, jolla määritetään direktiivin soveltamisalaan kuuluvat yhteisöt (ns. size-cap-sääntö), ja samalla myös säilytetään edellä mainitut kolme finanssiyhteisön tyyppiä direktiivin soveltamisalan piirissä. |
| --- | --- |

(15)

Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148 (7) oli ensimmäinen unionin tasolla toteutettu horisontaalinen kyberturvallisuuskehys, jota sovelletaan myös kolmeen finanssiyhteisön tyyppiin: luottolaitoksiin, kauppapaikkoihin ja keskusvastapuoliin. Koska direktiivissä (EU) 2016/1148 kuitenkin otettiin käyttöön keskeisten palvelujen tarjoajien määrittämismekanismi kansallisella tasolla, ainoastaan tietyt luottolaitokset, kauppapaikat ja keskusvastapuolet, jotka jäsenvaltiot määrittivät, on käytännössä saatettu sen soveltamisalan piiriin ja näin ollen niiden on noudatettava siinä säädettyjä TVT-turvallisuutta ja -poikkeamien ilmoittamista koskevia vaatimuksia. Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2555 (8) vahvistetaan yhdenmukainen peruste, jolla määritetään direktiivin soveltamisalaan kuuluvat yhteisöt (ns. size-cap-sääntö), ja samalla myös säilytetään edellä mainitut kolme finanssiyhteisön tyyppiä direktiivin soveltamisalan piirissä.

| (16) | Koska tällä asetuksella kuitenkin lisätään digitaalisen häiriönsietokyvyn useiden eri osatekijöiden yhdenmukaistamisen tasoa ottamalla käyttöön TVT-riskinhallintaa ja TVT:hen liittyvien poikkeamien raportointia koskevia vaatimuksia, jotka ovat tiukempia kuin voimassa olevassa unionin finanssipalvelulainsäädännössä säädetyt vaatimukset, tämä korkeampi taso merkitsee vielä pidemmälle vietyä yhdenmukaistamista myös verrattuna direktiivissä (EU) 2022/2555 säädettyihin vaatimuksiin. Näin ollen tämä asetus on erityissäädös (lex specialis) suhteessa direktiiviin (EU) 2022/2555. Samalla on tärkeää säilyttää vahva yhteys finanssialan ja unionin horisontaalisen kyberturvallisuuskehyksen, sellaisena kuin se on nyt vahvistettuna direktiivissä (EU) 2022/2555, välillä, jotta voidaan varmistaa johdonmukaisuus jäsenvaltioiden hyväksymien kyberturvallisuusstrategioiden kanssa ja saattaa finanssivalvojien tietoon kyberturvallisuuspoikkeamat, jotka vaikuttavat kyseisen direktiivin piiriin kuuluviin muihin aloihin. |
| --- | --- |

(16)

Koska tällä asetuksella kuitenkin lisätään digitaalisen häiriönsietokyvyn useiden eri osatekijöiden yhdenmukaistamisen tasoa ottamalla käyttöön TVT-riskinhallintaa ja TVT:hen liittyvien poikkeamien raportointia koskevia vaatimuksia, jotka ovat tiukempia kuin voimassa olevassa unionin finanssipalvelulainsäädännössä säädetyt vaatimukset, tämä korkeampi taso merkitsee vielä pidemmälle vietyä yhdenmukaistamista myös verrattuna direktiivissä (EU) 2022/2555 säädettyihin vaatimuksiin. Näin ollen tämä asetus on erityissäädös (lex specialis) suhteessa direktiiviin (EU) 2022/2555. Samalla on tärkeää säilyttää vahva yhteys finanssialan ja unionin horisontaalisen kyberturvallisuuskehyksen, sellaisena kuin se on nyt vahvistettuna direktiivissä (EU) 2022/2555, välillä, jotta voidaan varmistaa johdonmukaisuus jäsenvaltioiden hyväksymien kyberturvallisuusstrategioiden kanssa ja saattaa finanssivalvojien tietoon kyberturvallisuuspoikkeamat, jotka vaikuttavat kyseisen direktiivin piiriin kuuluviin muihin aloihin.

| (17) | Euroopan unionista tehdyn sopimuksen 4 artiklan 2 kohdan mukaisesti ja rajoittamatta Euroopan unionin tuomioistuimen harjoittamaa oikeudellista valvontaa, tämä asetus ei saisi vaikuttaa jäsenvaltioiden vastuuseen valtion keskeisistä tehtävistä, jotka koskevat yleistä turvallisuutta, puolustusta ja kansallisen turvallisuuden suojaamista, esimerkiksi sellaisen tietojen toimittamisen osalta, joka olisi ristiriidassa kansallisen turvallisuuden suojaamisen kanssa. |
| --- | --- |

(17)

Euroopan unionista tehdyn sopimuksen 4 artiklan 2 kohdan mukaisesti ja rajoittamatta Euroopan unionin tuomioistuimen harjoittamaa oikeudellista valvontaa, tämä asetus ei saisi vaikuttaa jäsenvaltioiden vastuuseen valtion keskeisistä tehtävistä, jotka koskevat yleistä turvallisuutta, puolustusta ja kansallisen turvallisuuden suojaamista, esimerkiksi sellaisen tietojen toimittamisen osalta, joka olisi ristiriidassa kansallisen turvallisuuden suojaamisen kanssa.

| (18) | Jotta voitaisiin mahdollistaa monialainen oppiminen ja hyödyntää tehokkaasti muilta aloilta saatuja kokemuksia kyberuhkiin vastaamisesta, direktiivissä (EU) 2022/2555 tarkoitettujen finanssiyhteisöjen olisi pysyttävä osana kyseisen direktiivin ”ekosysteemiä” (esimerkiksi verkko- ja tietoturva-alan yhteistyöryhmä ja tietoturvaloukkauksiin reagoivat ja niitä tutkivat yksiköt, jäljempänä ’CSIRT-yksiköt’). Euroopan valvontaviranomaisten ja kansallisten toimivaltaisten viranomaisten olisi voitava osallistua kyseisen direktiivin mukaisiin strategisiin toimintapoliittisiin keskusteluihin sekä verkko- ja tietoturva-alan yhteistyöryhmän tekniseen työhön ja vaihtaa tietoja ja tehdä edelleen yhteistyötä kyseisen direktiivin mukaisesti nimettyjen tai perustettujen keskitettyjen yhteyspisteiden kanssa. Tämän asetuksen mukaisten toimivaltaisten viranomaisten olisi myös kuultava kansallisia CSIRT-yksiköitä ja tehtävä niiden kanssa yhteistyötä. Toimivaltaisten viranomaisten olisi myös voitava pyytää teknisiä neuvoja direktiivin (EU) 2022/2555 mukaisesti nimetyiltä tai perustetuilta toimivaltaisilta viranomaisilta ja ottaa käyttöön yhteistyöjärjestelyjä, joilla pyritään varmistamaan tehokkaat ja nopeat koordinointimekanismit. |
| --- | --- |

(18)

Jotta voitaisiin mahdollistaa monialainen oppiminen ja hyödyntää tehokkaasti muilta aloilta saatuja kokemuksia kyberuhkiin vastaamisesta, direktiivissä (EU) 2022/2555 tarkoitettujen finanssiyhteisöjen olisi pysyttävä osana kyseisen direktiivin ”ekosysteemiä” (esimerkiksi verkko- ja tietoturva-alan yhteistyöryhmä ja tietoturvaloukkauksiin reagoivat ja niitä tutkivat yksiköt, jäljempänä ’CSIRT-yksiköt’). Euroopan valvontaviranomaisten ja kansallisten toimivaltaisten viranomaisten olisi voitava osallistua kyseisen direktiivin mukaisiin strategisiin toimintapoliittisiin keskusteluihin sekä verkko- ja tietoturva-alan yhteistyöryhmän tekniseen työhön ja vaihtaa tietoja ja tehdä edelleen yhteistyötä kyseisen direktiivin mukaisesti nimettyjen tai perustettujen keskitettyjen yhteyspisteiden kanssa. Tämän asetuksen mukaisten toimivaltaisten viranomaisten olisi myös kuultava kansallisia CSIRT-yksiköitä ja tehtävä niiden kanssa yhteistyötä. Toimivaltaisten viranomaisten olisi myös voitava pyytää teknisiä neuvoja direktiivin (EU) 2022/2555 mukaisesti nimetyiltä tai perustetuilta toimivaltaisilta viranomaisilta ja ottaa käyttöön yhteistyöjärjestelyjä, joilla pyritään varmistamaan tehokkaat ja nopeat koordinointimekanismit.

| (19) | Koska finanssiyhteisöjen digitaalisen häiriönsietokyvyn ja fyysisen häiriönsietokyvyn välillä on vahvat yhteydet, tässä asetuksessa ja Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2557 (9) on omaksuttava johdonmukainen lähestymistapa kriittisten yhteisöjen häiriönsietokykyyn. Koska finanssiyhteisöjen fyysistä häiriönsietokykyä käsitellään kattavasti tämän asetuksen soveltamisalaan kuuluvissa TVT-riskinhallinta- ja -raportointivelvoitteissa, direktiivin (EU) 2022/2557 III ja IV luvussa säädettyjä velvoitteita ei pitäisi soveltaa kyseisen direktiivin soveltamisalaan kuuluviin finanssiyhteisöihin. |
| --- | --- |

(19)

Koska finanssiyhteisöjen digitaalisen häiriönsietokyvyn ja fyysisen häiriönsietokyvyn välillä on vahvat yhteydet, tässä asetuksessa ja Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2557 (9) on omaksuttava johdonmukainen lähestymistapa kriittisten yhteisöjen häiriönsietokykyyn. Koska finanssiyhteisöjen fyysistä häiriönsietokykyä käsitellään kattavasti tämän asetuksen soveltamisalaan kuuluvissa TVT-riskinhallinta- ja -raportointivelvoitteissa, direktiivin (EU) 2022/2557 III ja IV luvussa säädettyjä velvoitteita ei pitäisi soveltaa kyseisen direktiivin soveltamisalaan kuuluviin finanssiyhteisöihin.

| (20) | Pilvipalvelujen tarjoajat on yksi direktiivin (EU) 2022/2555 piiriin kuuluva digitaalisen infrastruktuurin ryhmä. Tällä asetuksella perustettua unionin valvontakehystä, jäljempänä ’valvontakehys’, sovelletaan kaikkiin kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin, myös pilvipalvelun tarjoajiin, jotka tarjoavat TVT-palveluita finanssiyhteisöille, ja sen olisi katsottava täydentävän direktiivin (EU) 2022/2555 nojalla suoritettavaa valvontaa. Lisäksi tällä asetuksella perustettavan valvontakehyksenolisi katettava pilvipalvelujen tarjoajat, koska unionin horisontaalinen kehys, jolla perustetaan digitaalinen valvontaviranomainen, puuttuu. |
| --- | --- |

(20)

Pilvipalvelujen tarjoajat on yksi direktiivin (EU) 2022/2555 piiriin kuuluva digitaalisen infrastruktuurin ryhmä. Tällä asetuksella perustettua unionin valvontakehystä, jäljempänä ’valvontakehys’, sovelletaan kaikkiin kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin, myös pilvipalvelun tarjoajiin, jotka tarjoavat TVT-palveluita finanssiyhteisöille, ja sen olisi katsottava täydentävän direktiivin (EU) 2022/2555 nojalla suoritettavaa valvontaa. Lisäksi tällä asetuksella perustettavan valvontakehyksenolisi katettava pilvipalvelujen tarjoajat, koska unionin horisontaalinen kehys, jolla perustetaan digitaalinen valvontaviranomainen, puuttuu.

| (21) | TVT-riskin täyden hallinnan säilyttämiseksi finanssiyhteisöillä on oltava käytössään kattavat valmiudet, jotka mahdollistavat vahvan ja tehokkaan TVT-riskinhallinnan, ja niiden ohella erityismekanismeja ja -toimintaperiaatteita kaikkien TVT:hen liittyvien poikkeamien käsittelemiseksi ja laajavaikutteisista TVT:hen liittyvistä poikkeamista raportoimiseksi. Samoin finanssiyhteisöillä olisi oltava toimintaperiaatteet TVT-järjestelmien, -valvontatoimien ja -prosessien testausta sekä kolmansiin osapuoliin liittyvän TVT-riskin hallintaa varten. Finanssiyhteisöjen digitaalisen häiriönsietokyvyn perustasoa olisi nostettava samalla kun myös mahdollistetaan vaatimusten oikeasuhteinen soveltaminen tietyille finanssiyhteisöille, erityisesti mikroyrityksille, sekä sellaisille finanssiyhteisöille, joihin sovelletaan yksinkertaistettua TVT-riskinhallintakehystä. Jotta helpotettaisiin ammatillisia lisäeläkkeitä tarjoavien laitosten tehokasta valvontaa, joka on oikeasuhteista ja jolla vastataan tarpeeseen vähentää toimivaltaisiin viranomaisiin kohdistuvaa hallinnollista rasitusta, tällaisten finanssiyhteisöjen asiaankuuluvissa kansallisissa valvontajärjestelyissä olisi otettava huomioon niiden koko ja yleinen riskiprofiili sekä niiden palvelujen, toimintojen ja toiminnan luonne, laajuus ja monitahoisuus, jopa silloin kun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/2341 (10) 5 artiklassa vahvistetut asianomaiset kynnysarvot ylittyvät. Valvontatoimissa olisi erityisesti keskityttävä ensisijaisesti tarpeeseen puuttua tietyn yhteisön TVT-riskinhallintaan liittyviin vakaviin riskeihin.
  Toimivaltaisten viranomaisten olisi myös noudatettava tarkkaavaista mutta oikeasuhteista lähestymistapaa ammatillisia lisäeläkkeitä tarjoavien laitosten valvonnassa, sillä nämä ulkoistavat direktiivin (EU) 2016/2341 31 artiklan mukaisesti palveluntarjoajille merkittävän osan ydinliiketoiminnastaan, kuten omaisuudenhoidon, vakuutusmatemaattiset laskelmat, kirjanpidon ja tiedonhallinnan. |
| --- | --- |

(21)

TVT-riskin täyden hallinnan säilyttämiseksi finanssiyhteisöillä on oltava käytössään kattavat valmiudet, jotka mahdollistavat vahvan ja tehokkaan TVT-riskinhallinnan, ja niiden ohella erityismekanismeja ja -toimintaperiaatteita kaikkien TVT:hen liittyvien poikkeamien käsittelemiseksi ja laajavaikutteisista TVT:hen liittyvistä poikkeamista raportoimiseksi. Samoin finanssiyhteisöillä olisi oltava toimintaperiaatteet TVT-järjestelmien, -valvontatoimien ja -prosessien testausta sekä kolmansiin osapuoliin liittyvän TVT-riskin hallintaa varten. Finanssiyhteisöjen digitaalisen häiriönsietokyvyn perustasoa olisi nostettava samalla kun myös mahdollistetaan vaatimusten oikeasuhteinen soveltaminen tietyille finanssiyhteisöille, erityisesti mikroyrityksille, sekä sellaisille finanssiyhteisöille, joihin sovelletaan yksinkertaistettua TVT-riskinhallintakehystä. Jotta helpotettaisiin ammatillisia lisäeläkkeitä tarjoavien laitosten tehokasta valvontaa, joka on oikeasuhteista ja jolla vastataan tarpeeseen vähentää toimivaltaisiin viranomaisiin kohdistuvaa hallinnollista rasitusta, tällaisten finanssiyhteisöjen asiaankuuluvissa kansallisissa valvontajärjestelyissä olisi otettava huomioon niiden koko ja yleinen riskiprofiili sekä niiden palvelujen, toimintojen ja toiminnan luonne, laajuus ja monitahoisuus, jopa silloin kun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/2341 (10) 5 artiklassa vahvistetut asianomaiset kynnysarvot ylittyvät. Valvontatoimissa olisi erityisesti keskityttävä ensisijaisesti tarpeeseen puuttua tietyn yhteisön TVT-riskinhallintaan liittyviin vakaviin riskeihin.

Toimivaltaisten viranomaisten olisi myös noudatettava tarkkaavaista mutta oikeasuhteista lähestymistapaa ammatillisia lisäeläkkeitä tarjoavien laitosten valvonnassa, sillä nämä ulkoistavat direktiivin (EU) 2016/2341 31 artiklan mukaisesti palveluntarjoajille merkittävän osan ydinliiketoiminnastaan, kuten omaisuudenhoidon, vakuutusmatemaattiset laskelmat, kirjanpidon ja tiedonhallinnan.

| (22) | TVT:hen liittyvien poikkeamien raportointikynnyksissä ja luokituksissa on kansallisella tasolla huomattavia eroja. Vaikka yhteinen pohja voidaan saavuttaa Euroopan parlamentin ja neuvoston asetuksella (EU) 2019/881 (11) perustetun EU:n kyberturvallisuusviraston (ENISA) ja direktiivin (EU) 2022/2555 mukaisen yhteistyöryhmän tekemän asiaankuuluvan työn avulla, kynnysarvojen asettamista ja luokitusten käyttöä koskevia erilaisia lähestymistapoja on edelleen tai voi ilmetä jatkossa jäljelle jäävien finanssiyhteisöjen osalta. Kyseisistä eroista johtuen on useita vaatimuksia, joita finanssiyhteisöjen on noudatettava erityisesti silloin, kun ne toimivat useissa jäsenvaltioissa tai ovat osa finanssikonsernia. Lisäksi tällaiset erot voivat haitata sellaisten yhdenmukaisten tai keskitettyjen unionin lisämekanismien luomista, joilla nopeutetaan raportointiprosessia ja tuetaan nopeaa ja sujuvaa toimivaltaisten viranomaisten välistä tietojenvaihtoa, joka on erittäin tärkeää TVT-riskin torjumiseksi mahdollisissa suuren mittakaavan hyökkäyksissä, joilla voi olla järjestelmätason vaikutuksia. |
| --- | --- |

(22)

TVT:hen liittyvien poikkeamien raportointikynnyksissä ja luokituksissa on kansallisella tasolla huomattavia eroja. Vaikka yhteinen pohja voidaan saavuttaa Euroopan parlamentin ja neuvoston asetuksella (EU) 2019/881 (11) perustetun EU:n kyberturvallisuusviraston (ENISA) ja direktiivin (EU) 2022/2555 mukaisen yhteistyöryhmän tekemän asiaankuuluvan työn avulla, kynnysarvojen asettamista ja luokitusten käyttöä koskevia erilaisia lähestymistapoja on edelleen tai voi ilmetä jatkossa jäljelle jäävien finanssiyhteisöjen osalta. Kyseisistä eroista johtuen on useita vaatimuksia, joita finanssiyhteisöjen on noudatettava erityisesti silloin, kun ne toimivat useissa jäsenvaltioissa tai ovat osa finanssikonsernia. Lisäksi tällaiset erot voivat haitata sellaisten yhdenmukaisten tai keskitettyjen unionin lisämekanismien luomista, joilla nopeutetaan raportointiprosessia ja tuetaan nopeaa ja sujuvaa toimivaltaisten viranomaisten välistä tietojenvaihtoa, joka on erittäin tärkeää TVT-riskin torjumiseksi mahdollisissa suuren mittakaavan hyökkäyksissä, joilla voi olla järjestelmätason vaikutuksia.

| (23) | Jotta voitaisiin vähentää tiettyjen finanssiyhteisöjen hallinnollista rasitetta ja mahdollisesti päällekkäisiä raportointivelvoitteita, Euroopan parlamentin ja neuvoston direktiivin (EU) 2015/2366 (12) mukaista raportointivaatimusta poikkeamista olisi lakattava soveltamasta maksupalveluntarjoajiin, jotka kuuluvat tämän asetuksen soveltamisalaan. Näin ollen kyseisen direktiivin 33 artiklan 1 kohdassa tarkoitettujen luottolaitosten, sähköisen rahan liikkeeseenlaskijalaitosten, maksulaitosten ja tilitietopalvelun tarjoajien olisi tämän asetuksen soveltamispäivästä alkaen ilmoitettava tämän asetuksen mukaisesti kaikista toiminnan harjoittamiseen tai turvallisuuteen vaikuttavista maksuihin liittyvistä poikkeamista, joista on aiemmin ilmoitettu kyseisen direktiivin mukaisesti, riippumatta siitä, liittyvätkö tällaiset poikkeamat TVT:hen. |
| --- | --- |

(23)

Jotta voitaisiin vähentää tiettyjen finanssiyhteisöjen hallinnollista rasitetta ja mahdollisesti päällekkäisiä raportointivelvoitteita, Euroopan parlamentin ja neuvoston direktiivin (EU) 2015/2366 (12) mukaista raportointivaatimusta poikkeamista olisi lakattava soveltamasta maksupalveluntarjoajiin, jotka kuuluvat tämän asetuksen soveltamisalaan. Näin ollen kyseisen direktiivin 33 artiklan 1 kohdassa tarkoitettujen luottolaitosten, sähköisen rahan liikkeeseenlaskijalaitosten, maksulaitosten ja tilitietopalvelun tarjoajien olisi tämän asetuksen soveltamispäivästä alkaen ilmoitettava tämän asetuksen mukaisesti kaikista toiminnan harjoittamiseen tai turvallisuuteen vaikuttavista maksuihin liittyvistä poikkeamista, joista on aiemmin ilmoitettu kyseisen direktiivin mukaisesti, riippumatta siitä, liittyvätkö tällaiset poikkeamat TVT:hen.

| (24) | Jotta toimivaltaiset viranomaiset voivat täyttää valvontatehtävät hankkimalla kattavan yleiskuvan TVT:hen liittyvien poikkeamien luonteesta, yleisyydestä, merkityksestä ja vaikutuksista ja jotta voidaan tehostaa tietojenvaihtoa asiaankuuluvien viranomaisten, myös lainvalvonta- ja kriisinratkaisuviranomaisten, välillä, tässä asetuksessa olisi säädettävä vankasta TVT:hen liittyvien poikkeamien raportointijärjestelmästä, jonka myötä asiaankuuluvilla vaatimuksilla puututaan rahoituspalvelulainsäädännön nykyisiin puutteisiin, ja sillä olisi poistettava olemassa olevat päällekkäisyydet kustannusten vähentämiseksi. On olennaista yhdenmukaistaa TVT:hen liittyvien poikkeamien raportointijärjestelmää vaatimalla, että kaikki finanssiyhteisöt raportoivat toimivaltaisille viranomaisilleen tässä asetuksessa säädetyn yhteisen virtaviivaistetun kehyksen avulla. Lisäksi Euroopan valvontaviranomaisille olisi annettava mahdollisuus täsmentää edelleen TVT:hen liittyvien poikkeamien raportointikehykseen liittyviä olennaisia osatekijöitä, kuten luokitusta, aikatauluja, datajoukkoja, malleja ja sovellettavia kynnysarvoja. Täyden yhdenmukaisuuden varmistamiseksi direktiivin (EU) 2022/2555 kanssa finanssiyhteisöjen olisi voitava vapaaehtoisesti ilmoittaa merkittävistä kyberuhkista asianomaiselle toimivaltaiselle viranomaiselle, kun ne katsovat, että kyberuhka on merkityksellinen rahoitusjärjestelmän, palvelujen käyttäjien tai asiakkaiden kannalta. |
| --- | --- |

(24)

Jotta toimivaltaiset viranomaiset voivat täyttää valvontatehtävät hankkimalla kattavan yleiskuvan TVT:hen liittyvien poikkeamien luonteesta, yleisyydestä, merkityksestä ja vaikutuksista ja jotta voidaan tehostaa tietojenvaihtoa asiaankuuluvien viranomaisten, myös lainvalvonta- ja kriisinratkaisuviranomaisten, välillä, tässä asetuksessa olisi säädettävä vankasta TVT:hen liittyvien poikkeamien raportointijärjestelmästä, jonka myötä asiaankuuluvilla vaatimuksilla puututaan rahoituspalvelulainsäädännön nykyisiin puutteisiin, ja sillä olisi poistettava olemassa olevat päällekkäisyydet kustannusten vähentämiseksi. On olennaista yhdenmukaistaa TVT:hen liittyvien poikkeamien raportointijärjestelmää vaatimalla, että kaikki finanssiyhteisöt raportoivat toimivaltaisille viranomaisilleen tässä asetuksessa säädetyn yhteisen virtaviivaistetun kehyksen avulla. Lisäksi Euroopan valvontaviranomaisille olisi annettava mahdollisuus täsmentää edelleen TVT:hen liittyvien poikkeamien raportointikehykseen liittyviä olennaisia osatekijöitä, kuten luokitusta, aikatauluja, datajoukkoja, malleja ja sovellettavia kynnysarvoja. Täyden yhdenmukaisuuden varmistamiseksi direktiivin (EU) 2022/2555 kanssa finanssiyhteisöjen olisi voitava vapaaehtoisesti ilmoittaa merkittävistä kyberuhkista asianomaiselle toimivaltaiselle viranomaiselle, kun ne katsovat, että kyberuhka on merkityksellinen rahoitusjärjestelmän, palvelujen käyttäjien tai asiakkaiden kannalta.

| (25) | Tietyillä rahoitusalan alasektoreilla on kehitetty digitaalisen häiriönsietokyvyn testausvaatimuksia, joissa vahvistetaan kehykset, jotka eivät aina ole täysin yhdenmukaisia. Tämä johtaa mahdollisiin päällekkäisiin kustannuksiin rajojen yli toimiville finanssiyhteisöille ja tekee digitaalisen häiriönsietokyvyn testauksen tulosten vastavuoroisesta tunnustamisesta monimutkaista, mikä puolestaan voi hajauttaa sisämarkkinoita. |
| --- | --- |

(25)

Tietyillä rahoitusalan alasektoreilla on kehitetty digitaalisen häiriönsietokyvyn testausvaatimuksia, joissa vahvistetaan kehykset, jotka eivät aina ole täysin yhdenmukaisia. Tämä johtaa mahdollisiin päällekkäisiin kustannuksiin rajojen yli toimiville finanssiyhteisöille ja tekee digitaalisen häiriönsietokyvyn testauksen tulosten vastavuoroisesta tunnustamisesta monimutkaista, mikä puolestaan voi hajauttaa sisämarkkinoita.

| (26) | Lisäksi silloin, kun TVT-testausta ei vaadita, haavoittuvuudet jäävät havaitsematta ja näin altistavat finanssiyhteisön TVT-riskille sekä lisäävät viime kädessä finanssialan vakauteen ja eheyteen kohdistuvaa riskiä. Ilman unionin toimia digitaalisen häiriönsietokyvyn testaus olisi edelleen epäjohdonmukaista ja siitä puuttuisi järjestelmä TVT-testitulosten vastavuoroiseksi tunnustamiseksi eri lainkäyttöalueilla. Lisäksi koska on epätodennäköistä, että muut finanssialan alasektorit ottaisivat testausjärjestelmät käyttöön mielekkäässä määrin, ne jäisivät vaille testauskehyksen mahdollisia hyötyjä, joita ovat TVT-haavoittuvuuksien ja -riskien paljastuminen sekä puolustautumisvalmiuksien ja liiketoiminnan jatkuvuuden testaus, joka lisää sekä asiakkaiden, toimittajien että liikekumppaneiden luottamusta. Kyseisten päällekkäisyyksien, eroavuuksien ja aukkojen poistamiseksi on tarpeen vahvistaa koordinoitua testausjärjestelmää koskevat säännöt ja siten helpottaa tässä asetuksessa säädetyt vaatimukset täyttävien finanssiyhteisöjen kehittyneen testauksen vastavuoroista tunnustamista. |
| --- | --- |

(26)

Lisäksi silloin, kun TVT-testausta ei vaadita, haavoittuvuudet jäävät havaitsematta ja näin altistavat finanssiyhteisön TVT-riskille sekä lisäävät viime kädessä finanssialan vakauteen ja eheyteen kohdistuvaa riskiä. Ilman unionin toimia digitaalisen häiriönsietokyvyn testaus olisi edelleen epäjohdonmukaista ja siitä puuttuisi järjestelmä TVT-testitulosten vastavuoroiseksi tunnustamiseksi eri lainkäyttöalueilla. Lisäksi koska on epätodennäköistä, että muut finanssialan alasektorit ottaisivat testausjärjestelmät käyttöön mielekkäässä määrin, ne jäisivät vaille testauskehyksen mahdollisia hyötyjä, joita ovat TVT-haavoittuvuuksien ja -riskien paljastuminen sekä puolustautumisvalmiuksien ja liiketoiminnan jatkuvuuden testaus, joka lisää sekä asiakkaiden, toimittajien että liikekumppaneiden luottamusta. Kyseisten päällekkäisyyksien, eroavuuksien ja aukkojen poistamiseksi on tarpeen vahvistaa koordinoitua testausjärjestelmää koskevat säännöt ja siten helpottaa tässä asetuksessa säädetyt vaatimukset täyttävien finanssiyhteisöjen kehittyneen testauksen vastavuoroista tunnustamista.

| (27) | Finanssiyhteisöjen riippuvuus TVT-palvelujen käytöstä johtuu osittain niiden tarpeesta mukautua kehittyvään kilpailukykyiseen digitaaliseen maailmantalouteen, parantaa liiketoimintansa tehokkuutta ja vastata kuluttajien kysyntään. Tällaisen riippuvuuden luonne ja laajuus ovat muuttuneet jatkuvasti viime vuosina, mikä on johtanut rahoituksen välityksen kustannusten alenemiseen, mahdollistanut liiketoiminnan laajentamisen ja skaalattavuuden rahoitustoiminnan käyttöönotossa ja tarjonnut samalla monenlaisia TVT-välineitä monimutkaisten sisäisten prosessien hallintaan. |
| --- | --- |

(27)

Finanssiyhteisöjen riippuvuus TVT-palvelujen käytöstä johtuu osittain niiden tarpeesta mukautua kehittyvään kilpailukykyiseen digitaaliseen maailmantalouteen, parantaa liiketoimintansa tehokkuutta ja vastata kuluttajien kysyntään. Tällaisen riippuvuuden luonne ja laajuus ovat muuttuneet jatkuvasti viime vuosina, mikä on johtanut rahoituksen välityksen kustannusten alenemiseen, mahdollistanut liiketoiminnan laajentamisen ja skaalattavuuden rahoitustoiminnan käyttöönotossa ja tarjonnut samalla monenlaisia TVT-välineitä monimutkaisten sisäisten prosessien hallintaan.

| (28) | TVT-palvelujen laajasta käytöstä ovat osoituksena monimutkaiset sopimusjärjestelyt, joiden vuoksi finanssiyhteisöillä on usein vaikeuksia neuvotella sopimusehdoista, jotka on räätälöity vakavaraisuusnormien tai muiden niihin sovellettavien sääntelyvaatimusten mukaisiksi, tai muutoin panna täytäntöön erityisiä oikeuksia, kuten pääsy- tai auditointioikeuksia, jopa silloin kun viimeksi mainitut on kirjattu niiden sopimusjärjestelyihin. Monet kyseisistä sopimusjärjestelyistä eivät myöskään tarjoa riittäviä takeita, jotka mahdollistaisivat alihankintaprosessien täysimittaisen seurannan, mikä poistaa finanssiyhteisöiltä mahdollisuuden arvioida niihin liittyviä riskejä. Lisäksi koska TVT-palveluntarjoajana olevat kolmannet osapuolet tarjoavat usein standardoituja palveluja erityyppisille asiakkaille, tällaisissa sopimusjärjestelyissä ei aina oteta riittävästi huomioon finanssialan toimijoiden yksilöllisiä tai erityisiä tarpeita. |
| --- | --- |

(28)

TVT-palvelujen laajasta käytöstä ovat osoituksena monimutkaiset sopimusjärjestelyt, joiden vuoksi finanssiyhteisöillä on usein vaikeuksia neuvotella sopimusehdoista, jotka on räätälöity vakavaraisuusnormien tai muiden niihin sovellettavien sääntelyvaatimusten mukaisiksi, tai muutoin panna täytäntöön erityisiä oikeuksia, kuten pääsy- tai auditointioikeuksia, jopa silloin kun viimeksi mainitut on kirjattu niiden sopimusjärjestelyihin. Monet kyseisistä sopimusjärjestelyistä eivät myöskään tarjoa riittäviä takeita, jotka mahdollistaisivat alihankintaprosessien täysimittaisen seurannan, mikä poistaa finanssiyhteisöiltä mahdollisuuden arvioida niihin liittyviä riskejä. Lisäksi koska TVT-palveluntarjoajana olevat kolmannet osapuolet tarjoavat usein standardoituja palveluja erityyppisille asiakkaille, tällaisissa sopimusjärjestelyissä ei aina oteta riittävästi huomioon finanssialan toimijoiden yksilöllisiä tai erityisiä tarpeita.

| (29) | Vaikka finanssipalveluja koskevassa unionin oikeudessa on tiettyjä ulkoistamista koskevia yleisiä sääntöjä, sopimusulottuvuuden seurantaa ei ole täysin sisällytetty unionin oikeuteen. TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyihin sopimusjärjestelyihin sovellettavien selkeiden ja räätälöityjen unionin standardien puuttuessa TVT-riskin ulkoiseen lähteeseen ei voida puuttua kokonaisvaltaisesti. Siksi on välttämätöntä vahvistaa tietyt keskeiset periaatteet, jotka ohjaavat finanssiyhteisöjen kolmansiin osapuoliin liittyvän TVT-riskin hallintaa ja jotka ovat erityisen tärkeitä, kun finanssiyhteisöt turvautuvat TVT-palveluntarjoajana oleviin kolmansiin osapuoliin tukeakseen kriittisiä tai tärkeitä toimintojaan. Kyseisiin periaatteisiin olisi liitettävä joukko keskeisiä sopimusperusteisia oikeuksia, jotka liittyvät useisiin sopimusjärjestelyjen täyttämisen ja päättämisen osatekijöihin, jotta voidaan vahvistaa tietyt vähimmäistakeet, jotta vahvistetaan finanssiyhteisöjen kykyä seurata tehokkaasti kaikkia kolmansien palveluntarjoajien tasolla ilmeneviä TVT-riskejä. Kyseiset periaatteet täydentävät ulkoistamiseen sovellettavaa alakohtaista lainsäädäntöä. |
| --- | --- |

(29)

Vaikka finanssipalveluja koskevassa unionin oikeudessa on tiettyjä ulkoistamista koskevia yleisiä sääntöjä, sopimusulottuvuuden seurantaa ei ole täysin sisällytetty unionin oikeuteen. TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyihin sopimusjärjestelyihin sovellettavien selkeiden ja räätälöityjen unionin standardien puuttuessa TVT-riskin ulkoiseen lähteeseen ei voida puuttua kokonaisvaltaisesti. Siksi on välttämätöntä vahvistaa tietyt keskeiset periaatteet, jotka ohjaavat finanssiyhteisöjen kolmansiin osapuoliin liittyvän TVT-riskin hallintaa ja jotka ovat erityisen tärkeitä, kun finanssiyhteisöt turvautuvat TVT-palveluntarjoajana oleviin kolmansiin osapuoliin tukeakseen kriittisiä tai tärkeitä toimintojaan. Kyseisiin periaatteisiin olisi liitettävä joukko keskeisiä sopimusperusteisia oikeuksia, jotka liittyvät useisiin sopimusjärjestelyjen täyttämisen ja päättämisen osatekijöihin, jotta voidaan vahvistaa tietyt vähimmäistakeet, jotta vahvistetaan finanssiyhteisöjen kykyä seurata tehokkaasti kaikkia kolmansien palveluntarjoajien tasolla ilmeneviä TVT-riskejä. Kyseiset periaatteet täydentävät ulkoistamiseen sovellettavaa alakohtaista lainsäädäntöä.

| (30) | Tällä hetkellä on ilmeistä, että kolmansiin osapuoliin liittyvien TVT-riskin ja -riippuvuuksien seuranta on jossain määrin epäyhtenäistä ja lähentymätöntä. Vaikka ulkoistamiseen on yritetty puuttua, muun muassa EPV:n vuoden 2019 suuntaviivoilla ulkoistamisesta ja ESMAn vuoden 2021 suuntaviivoilla ulkoistamisesta pilvipalvelujen tarjoajille, unionin oikeudessa ei riittävästi puututa laajempaan kysymykseen sellaisen järjestelmäriskin torjumisesta, joka voi aiheutua finanssialalle sen hyödyntämien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten vähäisestä määrästä. Tätä unionin tason sääntöjen puutetta kärjistää se, että käytössä ei ole kansallisia sääntöjä toimeksiannoista ja välineistä, joiden avulla finanssivalvojat voisivat saada selkeän kuvan riippuvuudesta, joka liittyy TVT-palveluntarjoajana oleviin kolmansiin osapuoliin, ja seurata riittävästi riskejä, joita aiheutuu kyseisten riippuvuussuhteiden keskittymisestä. |
| --- | --- |

(30)

Tällä hetkellä on ilmeistä, että kolmansiin osapuoliin liittyvien TVT-riskin ja -riippuvuuksien seuranta on jossain määrin epäyhtenäistä ja lähentymätöntä. Vaikka ulkoistamiseen on yritetty puuttua, muun muassa EPV:n vuoden 2019 suuntaviivoilla ulkoistamisesta ja ESMAn vuoden 2021 suuntaviivoilla ulkoistamisesta pilvipalvelujen tarjoajille, unionin oikeudessa ei riittävästi puututa laajempaan kysymykseen sellaisen järjestelmäriskin torjumisesta, joka voi aiheutua finanssialalle sen hyödyntämien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten vähäisestä määrästä. Tätä unionin tason sääntöjen puutetta kärjistää se, että käytössä ei ole kansallisia sääntöjä toimeksiannoista ja välineistä, joiden avulla finanssivalvojat voisivat saada selkeän kuvan riippuvuudesta, joka liittyy TVT-palveluntarjoajana oleviin kolmansiin osapuoliin, ja seurata riittävästi riskejä, joita aiheutuu kyseisten riippuvuussuhteiden keskittymisestä.

| (31) | Kun otetaan huomioon mahdollinen järjestelmäriski, joka liittyy ulkoistamiskäytäntöjen yleistymiseen sekä kolmansiin osapuoliin liittyvien TVT-riippuvuuksien keskittymiseen, ja kansallisten mekanismien riittämättömyys tarjota finanssivalvojille riittävät välineet, joilla voidaan määrittää kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten toiminnasta aiheutuvan TVT-riskin seurauksien määrää ja laatua ja korjata niitä, on välttämätöntä ottaa käyttöön asianmukainen valvontakehys, joka mahdollistaa sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten toiminnan seurannan, jotka ovat finanssiyhteisöjen kannalta kriittisiä TVT-palveluja tarjoavia kolmansia osapuolia, samalla kun varmistetaan, että muiden asiakkaiden kuin finanssiyhteisöjen luottamuksellisuus ja turvallisuus säilyy. Vaikka TVT-palvelujen tarjoamiseen konsernin sisällä liittyy erityisiä riskejä ja hyötyjä, sitä ei pitäisi automaattisesti pitää vähemmän riskialttiina kuin sitä, että finanssikonsernin ulkopuoliset palveluntarjoajat tarjoavat TVT-palveluja, minkä vuoksi konsernin sisäiseen TVT-palvelujen tarjoamiseen olisi sovellettava samaa sääntelykehystä. Jos TVT-palveluja tarjotaan konsernin sisällä, finanssiyhteisöillä saattaa kuitenkin olla suurempi määräysvalta konsernin sisäisiin palveluntarjoajiin, mikä olisi otettava huomioon yleisessä riskinarvioinnissa. |
| --- | --- |

(31)

Kun otetaan huomioon mahdollinen järjestelmäriski, joka liittyy ulkoistamiskäytäntöjen yleistymiseen sekä kolmansiin osapuoliin liittyvien TVT-riippuvuuksien keskittymiseen, ja kansallisten mekanismien riittämättömyys tarjota finanssivalvojille riittävät välineet, joilla voidaan määrittää kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten toiminnasta aiheutuvan TVT-riskin seurauksien määrää ja laatua ja korjata niitä, on välttämätöntä ottaa käyttöön asianmukainen valvontakehys, joka mahdollistaa sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten toiminnan seurannan, jotka ovat finanssiyhteisöjen kannalta kriittisiä TVT-palveluja tarjoavia kolmansia osapuolia, samalla kun varmistetaan, että muiden asiakkaiden kuin finanssiyhteisöjen luottamuksellisuus ja turvallisuus säilyy. Vaikka TVT-palvelujen tarjoamiseen konsernin sisällä liittyy erityisiä riskejä ja hyötyjä, sitä ei pitäisi automaattisesti pitää vähemmän riskialttiina kuin sitä, että finanssikonsernin ulkopuoliset palveluntarjoajat tarjoavat TVT-palveluja, minkä vuoksi konsernin sisäiseen TVT-palvelujen tarjoamiseen olisi sovellettava samaa sääntelykehystä. Jos TVT-palveluja tarjotaan konsernin sisällä, finanssiyhteisöillä saattaa kuitenkin olla suurempi määräysvalta konsernin sisäisiin palveluntarjoajiin, mikä olisi otettava huomioon yleisessä riskinarvioinnissa.

| (32) | Kun TVT-riski muuttuu yhä monimutkaisemmaksi ja kehittyneemmäksi, asianmukaiset toimenpiteet TVT-riskin havaitsemiseksi ja ehkäisemiseksi riippuvat suurelta osin siitä, miten finanssiyhteisöt jakavat säännöllisesti uhkia ja haavoittuvuutta koskevia tiedustelutietoja. Tietojen jakaminen lisää tietoisuutta kyberuhkista. Tämä puolestaan parantaa finanssiyhteisöjen valmiuksia estää kyberuhkia kehittymästä todellisiksi TVT:hen liittyviksi poikkeamiksi ja mahdollistaa sen, että finanssiyhteisöt voivat hillitä tehokkaammin TVT:hen liittyvien poikkeamien vaikutuksia ja palautua niistä nopeammin. Näyttää siltä, että unionin tason ohjeistuksen puuttuessa tällaista tiedonvaihtoa ovat vaikeuttaneet useat seikat, erityisesti epävarmuus siitä, onko tiedonvaihto tietosuoja-, kilpailu- ja vastuusääntöjen mukaista. |
| --- | --- |

(32)

Kun TVT-riski muuttuu yhä monimutkaisemmaksi ja kehittyneemmäksi, asianmukaiset toimenpiteet TVT-riskin havaitsemiseksi ja ehkäisemiseksi riippuvat suurelta osin siitä, miten finanssiyhteisöt jakavat säännöllisesti uhkia ja haavoittuvuutta koskevia tiedustelutietoja. Tietojen jakaminen lisää tietoisuutta kyberuhkista. Tämä puolestaan parantaa finanssiyhteisöjen valmiuksia estää kyberuhkia kehittymästä todellisiksi TVT:hen liittyviksi poikkeamiksi ja mahdollistaa sen, että finanssiyhteisöt voivat hillitä tehokkaammin TVT:hen liittyvien poikkeamien vaikutuksia ja palautua niistä nopeammin. Näyttää siltä, että unionin tason ohjeistuksen puuttuessa tällaista tiedonvaihtoa ovat vaikeuttaneet useat seikat, erityisesti epävarmuus siitä, onko tiedonvaihto tietosuoja-, kilpailu- ja vastuusääntöjen mukaista.

| (33) | Lisäksi epävarmuus siitä, minkä tyyppisiä tietoja voidaan jakaa muille markkinatoimijoille tai muille kuin valvontaviranomaisille (kuten ENISAlle analyysejä varten tai Europolille lainvalvontatarkoituksia varten) on johtanut siihen, että hyödyllisiä tietoja ei ole toimitettu eteenpäin. Tietojenvaihto on näin ollen edelleen määrältään ja laadultaan suppeaa ja hajanaista; merkityksellistä vaihtoa tehdään lähinnä paikallisesti (kansallisten aloitteiden kautta), eikä käytössä ole yhtenäisiä unionin laajuisia tiedonvaihtojärjestelyjä, jotka olisi räätälöity yhdentyneen rahoitusjärjestelmän tarpeisiin. Sen vuoksi on tärkeää vahvistaa kyseisiä viestintäkanavia. |
| --- | --- |

(33)

Lisäksi epävarmuus siitä, minkä tyyppisiä tietoja voidaan jakaa muille markkinatoimijoille tai muille kuin valvontaviranomaisille (kuten ENISAlle analyysejä varten tai Europolille lainvalvontatarkoituksia varten) on johtanut siihen, että hyödyllisiä tietoja ei ole toimitettu eteenpäin. Tietojenvaihto on näin ollen edelleen määrältään ja laadultaan suppeaa ja hajanaista; merkityksellistä vaihtoa tehdään lähinnä paikallisesti (kansallisten aloitteiden kautta), eikä käytössä ole yhtenäisiä unionin laajuisia tiedonvaihtojärjestelyjä, jotka olisi räätälöity yhdentyneen rahoitusjärjestelmän tarpeisiin. Sen vuoksi on tärkeää vahvistaa kyseisiä viestintäkanavia.

| (34) | Finanssiyhteisöjä olisi kannustettava vaihtamaan keskenään tietoja ja tiedustelutietoa kyberuhkista ja hyödyntämään yhdessä erikseen hankittua tietämystään ja käytännön kokemustaan strategisella, taktisella ja operatiivisella tasolla, jotta ne voivat parantaa valmiuksiaan arvioida ja seurata kyberuhkia sekä puolustautua niiltä ja reagoida niihin riittävällä tavalla osallistumalla tiedonvaihtojärjestelyihin. Siksi on tarpeen mahdollistaa sellaisten vapaaehtoisten unionin tason tiedonvaihtojärjestelmien luominen, jotka luotettavissa toimintaympäristöissä toteutettuina auttaisivat finanssialaa ehkäisemään kyberuhkia ja reagoimaan yhteisesti niihin rajoittamalla nopeasti TVT-riskin leviämistä laajemmalle rahoituskanaviin. Kyseisten mekanismien olisi oltava sovellettavien, komission 14 päivänä tammikuuta 2011 julkaisemassa tiedonannossa ”Suuntaviivat Euroopan unionin toiminnasta tehdyn sopimuksen 101 artiklan soveltamisesta horisontaalista yhteistyötä koskeviin sopimuksiin” vahvistettujen unionin kilpailuoikeuden sääntöjen sekä unionin tietosuojasääntöjen, erityisesti Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (13), mukaisia. Niiden toiminnan olisi perustuttava yhden tai useamman kyseisen asetuksen 6 artiklassa säädetyn oikeusperustan käyttöön, kuten sellaisen henkilötietojen käsittelyn yhteydessä, joka on tarpeen kyseisen asetuksen 6 artiklan 1 kohdan f alakohdassa tarkoitetun rekisterinpitäjän tai kolmannen osapuolen oikeutetun edun toteuttamiseksi, sekä sellaisen henkilötietojen käsittelyn yhteydessä, joka on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi, kyseisen asetuksen 6 artiklan 1 kohdan c ja e alakohdassa tarkoitetun yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. |
| --- | --- |

(34)

Finanssiyhteisöjä olisi kannustettava vaihtamaan keskenään tietoja ja tiedustelutietoa kyberuhkista ja hyödyntämään yhdessä erikseen hankittua tietämystään ja käytännön kokemustaan strategisella, taktisella ja operatiivisella tasolla, jotta ne voivat parantaa valmiuksiaan arvioida ja seurata kyberuhkia sekä puolustautua niiltä ja reagoida niihin riittävällä tavalla osallistumalla tiedonvaihtojärjestelyihin. Siksi on tarpeen mahdollistaa sellaisten vapaaehtoisten unionin tason tiedonvaihtojärjestelmien luominen, jotka luotettavissa toimintaympäristöissä toteutettuina auttaisivat finanssialaa ehkäisemään kyberuhkia ja reagoimaan yhteisesti niihin rajoittamalla nopeasti TVT-riskin leviämistä laajemmalle rahoituskanaviin. Kyseisten mekanismien olisi oltava sovellettavien, komission 14 päivänä tammikuuta 2011 julkaisemassa tiedonannossa ”Suuntaviivat Euroopan unionin toiminnasta tehdyn sopimuksen 101 artiklan soveltamisesta horisontaalista yhteistyötä koskeviin sopimuksiin” vahvistettujen unionin kilpailuoikeuden sääntöjen sekä unionin tietosuojasääntöjen, erityisesti Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (13), mukaisia. Niiden toiminnan olisi perustuttava yhden tai useamman kyseisen asetuksen 6 artiklassa säädetyn oikeusperustan käyttöön, kuten sellaisen henkilötietojen käsittelyn yhteydessä, joka on tarpeen kyseisen asetuksen 6 artiklan 1 kohdan f alakohdassa tarkoitetun rekisterinpitäjän tai kolmannen osapuolen oikeutetun edun toteuttamiseksi, sekä sellaisen henkilötietojen käsittelyn yhteydessä, joka on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi, kyseisen asetuksen 6 artiklan 1 kohdan c ja e alakohdassa tarkoitetun yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi.

| (35) | Jotta voidaan säilyttää digitaalisen häiriönsietokyvyn korkea taso koko finanssialalla ja pysyä samalla tekniikan kehityksen tasalla, tällä asetuksella olisi puututtava kaikentyyppisistä TVT-palveluista aiheutuviin riskeihin. Tätä varten tämän asetuksen mukainen TVT-palvelujen määritelmä olisi ymmärrettävä laajasti siten, että se kattaa TVT-järjestelmien kautta yhdelle tai useammalle sisäiselle tai ulkopuoliselle käyttäjälle jatkuvasti tarjottavat digitaaliset ja datapalvelut. Kyseiseen määritelmään olisi sisällyttävä esimerkiksi niin kutsutut avoimen internetin kautta tarjottavat (over the top) palvelut, jotka kuuluvat sähköisten viestintäpalvelujen luokkaan. Sen ulkopuolelle olisi jätettävä ainoastaan sellaisten perinteisten analogisten puhelinpalvelujen ryhmä, joita voidaan pitää yleisen kytkentäisen puhelinverkon (PSTN) palveluina, lankaverkkopalveluina, perinteisinä puhelinpalveluina tai kiinteän puhelinverkon palveluina. |
| --- | --- |

(35)

Jotta voidaan säilyttää digitaalisen häiriönsietokyvyn korkea taso koko finanssialalla ja pysyä samalla tekniikan kehityksen tasalla, tällä asetuksella olisi puututtava kaikentyyppisistä TVT-palveluista aiheutuviin riskeihin. Tätä varten tämän asetuksen mukainen TVT-palvelujen määritelmä olisi ymmärrettävä laajasti siten, että se kattaa TVT-järjestelmien kautta yhdelle tai useammalle sisäiselle tai ulkopuoliselle käyttäjälle jatkuvasti tarjottavat digitaaliset ja datapalvelut. Kyseiseen määritelmään olisi sisällyttävä esimerkiksi niin kutsutut avoimen internetin kautta tarjottavat (over the top) palvelut, jotka kuuluvat sähköisten viestintäpalvelujen luokkaan. Sen ulkopuolelle olisi jätettävä ainoastaan sellaisten perinteisten analogisten puhelinpalvelujen ryhmä, joita voidaan pitää yleisen kytkentäisen puhelinverkon (PSTN) palveluina, lankaverkkopalveluina, perinteisinä puhelinpalveluina tai kiinteän puhelinverkon palveluina.

| (36) | Tässä asetuksessa kaavaillusta laajasta kattavuudesta huolimatta digitaalista häiriönsietokykyä koskevien sääntöjen soveltamisessa olisi otettava huomioon, että finanssiyhteisöjen välillä on merkittäviä eroja, jotka liittyvät niiden kokoon ja yleiseen riskiprofiiliin. Yleisenä periaatteena, kun resursseja ja valmiuksia jaetaan TVT-riskinhallintajärjestelmän toteuttamiseksi, finanssiyhteisöjen olisi arvioitava TVT:hen liittyvät tarpeensa kokonsa ja yleisen riskiprofiilinsa sekä palvelujensa, toimintojensa ja toimintansa luonteen, laajuuden ja monitahoisuuden mukaan ja samalla toimivaltaisten viranomaisten olisi edelleen arvioitava ja tarkistettava tällaiseen jakamiseen liittyvää lähestymistapaa. |
| --- | --- |

(36)

Tässä asetuksessa kaavaillusta laajasta kattavuudesta huolimatta digitaalista häiriönsietokykyä koskevien sääntöjen soveltamisessa olisi otettava huomioon, että finanssiyhteisöjen välillä on merkittäviä eroja, jotka liittyvät niiden kokoon ja yleiseen riskiprofiiliin. Yleisenä periaatteena, kun resursseja ja valmiuksia jaetaan TVT-riskinhallintajärjestelmän toteuttamiseksi, finanssiyhteisöjen olisi arvioitava TVT:hen liittyvät tarpeensa kokonsa ja yleisen riskiprofiilinsa sekä palvelujensa, toimintojensa ja toimintansa luonteen, laajuuden ja monitahoisuuden mukaan ja samalla toimivaltaisten viranomaisten olisi edelleen arvioitava ja tarkistettava tällaiseen jakamiseen liittyvää lähestymistapaa.

| (37) | Direktiivin (EU) 2015/2366 33 artiklan 1 kohdassa tarkoitetut tilitietopalvelun tarjoajat on nimenomaisesti sisällytetty tämän asetuksen soveltamisalaan ottaen huomioon niiden toiminnan erityisluonne ja siitä aiheutuvat riskit. Lisäksi sähköisen rahan liikkeeseenlaskijalaitokset ja maksulaitokset, joihin sovelletaan Euroopan parlamentin ja neuvoston direktiivin 2009/110/EY (14) 9 artiklan 1 kohdan ja direktiivin (EU) 2015/2366 32 artiklan 1 kohdan nojalla vapautuksia, kuuluvat tämän asetuksen soveltamisalaan, vaikka niille ei ole myönnetty direktiivin 2009/110/EY mukaista toimilupaa sähköisen rahan liikkeeseenlaskuun tai niille ei ole myönnetty direktiivin (EU) 2015/2366 mukaista toimilupaa maksupalvelujen tarjoamiseen ja toteuttamiseen. Euroopan parlamentin ja neuvoston direktiivin 2013/36/EU (15) 2 artiklan 5 kohdan 3 alakohdassa tarkoitetut postisiirtoa hoitavat laitokset eivät kuitenkaan kuulu tämän asetuksen soveltamisalaan. Direktiivin (EU) 2015/2366 nojalla vapautettujen maksulaitosten, direktiivin 2009/110/EY nojalla vapautettujen sähköisen rahan liikkeeseenlaskijalaitosten ja direktiivin (EU) 2015/2366 33 artiklan 1 kohdassa tarkoitettujen tilitietopalvelun tarjoajien osalta toimivaltaisen viranomaisen olisi oltava direktiivin (EU) 2015/2366 22 artiklan mukaisesti nimetty toimivaltainen viranomainen. |
| --- | --- |

(37)

Direktiivin (EU) 2015/2366 33 artiklan 1 kohdassa tarkoitetut tilitietopalvelun tarjoajat on nimenomaisesti sisällytetty tämän asetuksen soveltamisalaan ottaen huomioon niiden toiminnan erityisluonne ja siitä aiheutuvat riskit. Lisäksi sähköisen rahan liikkeeseenlaskijalaitokset ja maksulaitokset, joihin sovelletaan Euroopan parlamentin ja neuvoston direktiivin 2009/110/EY (14) 9 artiklan 1 kohdan ja direktiivin (EU) 2015/2366 32 artiklan 1 kohdan nojalla vapautuksia, kuuluvat tämän asetuksen soveltamisalaan, vaikka niille ei ole myönnetty direktiivin 2009/110/EY mukaista toimilupaa sähköisen rahan liikkeeseenlaskuun tai niille ei ole myönnetty direktiivin (EU) 2015/2366 mukaista toimilupaa maksupalvelujen tarjoamiseen ja toteuttamiseen. Euroopan parlamentin ja neuvoston direktiivin 2013/36/EU (15) 2 artiklan 5 kohdan 3 alakohdassa tarkoitetut postisiirtoa hoitavat laitokset eivät kuitenkaan kuulu tämän asetuksen soveltamisalaan. Direktiivin (EU) 2015/2366 nojalla vapautettujen maksulaitosten, direktiivin 2009/110/EY nojalla vapautettujen sähköisen rahan liikkeeseenlaskijalaitosten ja direktiivin (EU) 2015/2366 33 artiklan 1 kohdassa tarkoitettujen tilitietopalvelun tarjoajien osalta toimivaltaisen viranomaisen olisi oltava direktiivin (EU) 2015/2366 22 artiklan mukaisesti nimetty toimivaltainen viranomainen.

| (38) | Kun otetaan huomioon, että suuremmilla finanssiyhteisöillä saattaa olla käytettävissään laajempia resursseja ja ne voivat nopeasti ottaa käyttöön varoja hallintorakenteiden kehittämiseen ja erilaisten yritysstrategioiden käyttöönottamiseen, ainoastaan sellaisilta finanssiyhteisöiltä, jotka eivät ole tässä asetuksessa tarkoitettuja mikroyrityksiä, olisi vaadittava monimutkaisempien hallintojärjestelyjen käyttöönottoa. Tällaisilla yhteisöillä on paremmat edellytykset erityisesti ottaa käyttöön kohdennettuja hallinnointitoimintoja TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa sovittujen järjestelyjen valvomista varten tai kriisinhallinnan hoitamiseksi, järjestää TVT-riskinhallintansa kolmen puolustuslinjan mallin mukaisesti tai ottaa käyttöön sisäisen riskinhallinnan ja valvonnan malli, ja toimittaa TVT-riskin hallintajärjestelmänsä sisäisen tarkastuksen piiriin. |
| --- | --- |

(38)

Kun otetaan huomioon, että suuremmilla finanssiyhteisöillä saattaa olla käytettävissään laajempia resursseja ja ne voivat nopeasti ottaa käyttöön varoja hallintorakenteiden kehittämiseen ja erilaisten yritysstrategioiden käyttöönottamiseen, ainoastaan sellaisilta finanssiyhteisöiltä, jotka eivät ole tässä asetuksessa tarkoitettuja mikroyrityksiä, olisi vaadittava monimutkaisempien hallintojärjestelyjen käyttöönottoa. Tällaisilla yhteisöillä on paremmat edellytykset erityisesti ottaa käyttöön kohdennettuja hallinnointitoimintoja TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa sovittujen järjestelyjen valvomista varten tai kriisinhallinnan hoitamiseksi, järjestää TVT-riskinhallintansa kolmen puolustuslinjan mallin mukaisesti tai ottaa käyttöön sisäisen riskinhallinnan ja valvonnan malli, ja toimittaa TVT-riskin hallintajärjestelmänsä sisäisen tarkastuksen piiriin.

| (39) | Jotkin finanssiyhteisöt hyötyvät vapautuksista tai niihin sovelletaan hyvin kevyttä sääntelykehystä asiaa koskevan alakohtaisen unionin oikeuden nojalla. Tällaisia finanssiyhteisöjä ovat muun muassa Euroopan parlamentin ja neuvoston direktiivin 2011/61/EU (16) 3 artiklan 2 kohdassa tarkoitetut vaihtoehtoisten sijoitusrahastojen hoitajat, Euroopan parlamentin ja neuvoston direktiivin 2009/138/EY (17) 4 artiklassa tarkoitetut vakuutus- ja jälleenvakuutusyritykset ja ammatillisia lisäeläkkeitä tarjoavat laitokset, jotka hallinnoivat eläkejärjestelmiä, joissa on yhteensä enintään 15 jäsentä. Kyseisten vapautusten perusteella ei olisi oikeasuhteista sisällyttää tällaisia finanssiyhteisöjä tämän asetuksen soveltamisalaan. Lisäksi tässä asetuksessa otetaan huomioon vakuutusten välityksen markkinarakenteen erityispiirteet, minkä vuoksi tätä asetusta ei pitäisi soveltaa vakuutus- ja jälleenvakuutusedustajiin ja sivutoimisiin vakuutusedustajiin, jotka katsotaan mikroyrityksiksi taikka pieniksi tai keskisuuriksi yrityksiksi. |
| --- | --- |

(39)

Jotkin finanssiyhteisöt hyötyvät vapautuksista tai niihin sovelletaan hyvin kevyttä sääntelykehystä asiaa koskevan alakohtaisen unionin oikeuden nojalla. Tällaisia finanssiyhteisöjä ovat muun muassa Euroopan parlamentin ja neuvoston direktiivin 2011/61/EU (16) 3 artiklan 2 kohdassa tarkoitetut vaihtoehtoisten sijoitusrahastojen hoitajat, Euroopan parlamentin ja neuvoston direktiivin 2009/138/EY (17) 4 artiklassa tarkoitetut vakuutus- ja jälleenvakuutusyritykset ja ammatillisia lisäeläkkeitä tarjoavat laitokset, jotka hallinnoivat eläkejärjestelmiä, joissa on yhteensä enintään 15 jäsentä. Kyseisten vapautusten perusteella ei olisi oikeasuhteista sisällyttää tällaisia finanssiyhteisöjä tämän asetuksen soveltamisalaan. Lisäksi tässä asetuksessa otetaan huomioon vakuutusten välityksen markkinarakenteen erityispiirteet, minkä vuoksi tätä asetusta ei pitäisi soveltaa vakuutus- ja jälleenvakuutusedustajiin ja sivutoimisiin vakuutusedustajiin, jotka katsotaan mikroyrityksiksi taikka pieniksi tai keskisuuriksi yrityksiksi.

| (40) | Koska direktiivin 2013/36/EU 2 artiklan 5 kohdan 4–23 alakohdassa tarkoitetut yhteisöt eivät kuulu kyseisen direktiivin soveltamisalaan, jäsenvaltioiden olisi näin ollen voitava päättää tällaisten omalla alueellaan sijaitsevien laitosten vapauttamisesta tämän asetuksen soveltamisen suhteen. |
| --- | --- |

(40)

Koska direktiivin 2013/36/EU 2 artiklan 5 kohdan 4–23 alakohdassa tarkoitetut yhteisöt eivät kuulu kyseisen direktiivin soveltamisalaan, jäsenvaltioiden olisi näin ollen voitava päättää tällaisten omalla alueellaan sijaitsevien laitosten vapauttamisesta tämän asetuksen soveltamisen suhteen.

| (41) | Vastaavasti tämän asetuksen mukauttamiseksi Euroopan parlamentin ja neuvoston direktiivin 2014/65/EU (18) soveltamisalaan, on myös aiheellista jättää tämän asetuksen soveltamisalan ulkopuolelle kyseisen direktiivin 2 ja 3 artiklassa tarkoitetut luonnolliset henkilöt ja oikeushenkilöt, joilla on lupa tarjota sijoituspalveluja ilman direktiivin 2014/65/EU mukaista toimilupaa. Direktiivin 2014/65/EU 2 artiklassa kuitenkin myös jätetään kyseisen direktiivin soveltamisalan ulkopuolelle yhteisöt, jotka katsotaan tätä asetusta sovellettaessa finanssiyhteisöiksi, kuten arvopaperikeskukset, yhteissijoitusyritykset tai vakuutus- ja jälleenvakuutusyritykset. Mainitun direktiivin 2 ja 3 artiklassa tarkoitettujen henkilöiden ja yhteisöjen jättäminen tämän asetuksen soveltamisalan ulkopuolelle ei saisi koskea kyseisiä arvopaperikeskuksia, yhteissijoitusyrityksiä eikä vakuutus- ja jälleenvakuutusyrityksiä. |
| --- | --- |

(41)

Vastaavasti tämän asetuksen mukauttamiseksi Euroopan parlamentin ja neuvoston direktiivin 2014/65/EU (18) soveltamisalaan, on myös aiheellista jättää tämän asetuksen soveltamisalan ulkopuolelle kyseisen direktiivin 2 ja 3 artiklassa tarkoitetut luonnolliset henkilöt ja oikeushenkilöt, joilla on lupa tarjota sijoituspalveluja ilman direktiivin 2014/65/EU mukaista toimilupaa. Direktiivin 2014/65/EU 2 artiklassa kuitenkin myös jätetään kyseisen direktiivin soveltamisalan ulkopuolelle yhteisöt, jotka katsotaan tätä asetusta sovellettaessa finanssiyhteisöiksi, kuten arvopaperikeskukset, yhteissijoitusyritykset tai vakuutus- ja jälleenvakuutusyritykset. Mainitun direktiivin 2 ja 3 artiklassa tarkoitettujen henkilöiden ja yhteisöjen jättäminen tämän asetuksen soveltamisalan ulkopuolelle ei saisi koskea kyseisiä arvopaperikeskuksia, yhteissijoitusyrityksiä eikä vakuutus- ja jälleenvakuutusyrityksiä.

| (42) | Alakohtaisen unionin oikeuden nojalla joihinkin finanssiyhteisöihin sovelletaan kevyempiä vaatimuksia tai vapautuksia niiden kokoon tai niiden tarjoamiin palveluihin liittyvistä syistä. Kyseiseen finanssiyhteisöjen kategoriaan kuuluvat muun muassa pienet ja ilman sidossuhteita olevat sijoituspalveluyritykset, pienet ammatillisia lisäeläkkeitä tarjoavat laitokset, jotka asianomainen jäsenvaltio voi jättää direktiivin (EU) 2016/2341 soveltamisalan ulkopuolelle kyseisen direktiivin 5 artiklassa säädetyin edellytyksin ja jotka hallinnoivat eläkejärjestelmiä, joissa on yhteensä enintään 100 jäsentä, sekä direktiivin 2013/36/EU nojalla vapautetut laitokset. Sen vuoksi suhteellisuusperiaatteen mukaisesti ja alakohtaisen unionin oikeuden hengen säilyttämiseksi on myös aiheellista soveltaa kyseisiin finanssiyhteisöihin yksinkertaistettua TVT-riskinhallintajärjestelmää tämän asetuksen mukaisesti. Kyseisiä finanssiyhteisöjä koskevan TVT-riskinhallintajärjestelmän oikeasuhteisuutta ei pitäisi muuttaa teknisillä sääntelystandardeilla, jotka Euroopan valvontaviranomaisten on määrä laatia. Suhteellisuusperiaatteen mukaisesti on lisäksi aiheellista soveltaa direktiivin (EU) 2015/2366 32 artiklan 1 kohdassa tarkoitettuihin maksulaitoksiin ja direktiivin 2009/110/EY 9 artiklassa tarkoitettuihin sähköisen rahan liikkeeseenlaskijalaitoksiin, jotka on vapautettu näiden unionin säädösten osaksi kansallista lainsäädäntöä saattamisen mukaisesti, tämän asetuksen mukaista yksinkertaistettua TVT-riskinhallintajärjestelmää, kun taas maksulaitosten ja sähköisen rahan liikkeeseenlaskijalaitosten, joita ei ole vapautettu osaksi kansallista lainsäädäntöä saatetun alakohtaisen unionin oikeuden mukaisesti, olisi noudatettava tässä asetuksessa säädettyä yleistä kehystä. |
| --- | --- |

(42)

Alakohtaisen unionin oikeuden nojalla joihinkin finanssiyhteisöihin sovelletaan kevyempiä vaatimuksia tai vapautuksia niiden kokoon tai niiden tarjoamiin palveluihin liittyvistä syistä. Kyseiseen finanssiyhteisöjen kategoriaan kuuluvat muun muassa pienet ja ilman sidossuhteita olevat sijoituspalveluyritykset, pienet ammatillisia lisäeläkkeitä tarjoavat laitokset, jotka asianomainen jäsenvaltio voi jättää direktiivin (EU) 2016/2341 soveltamisalan ulkopuolelle kyseisen direktiivin 5 artiklassa säädetyin edellytyksin ja jotka hallinnoivat eläkejärjestelmiä, joissa on yhteensä enintään 100 jäsentä, sekä direktiivin 2013/36/EU nojalla vapautetut laitokset. Sen vuoksi suhteellisuusperiaatteen mukaisesti ja alakohtaisen unionin oikeuden hengen säilyttämiseksi on myös aiheellista soveltaa kyseisiin finanssiyhteisöihin yksinkertaistettua TVT-riskinhallintajärjestelmää tämän asetuksen mukaisesti. Kyseisiä finanssiyhteisöjä koskevan TVT-riskinhallintajärjestelmän oikeasuhteisuutta ei pitäisi muuttaa teknisillä sääntelystandardeilla, jotka Euroopan valvontaviranomaisten on määrä laatia. Suhteellisuusperiaatteen mukaisesti on lisäksi aiheellista soveltaa direktiivin (EU) 2015/2366 32 artiklan 1 kohdassa tarkoitettuihin maksulaitoksiin ja direktiivin 2009/110/EY 9 artiklassa tarkoitettuihin sähköisen rahan liikkeeseenlaskijalaitoksiin, jotka on vapautettu näiden unionin säädösten osaksi kansallista lainsäädäntöä saattamisen mukaisesti, tämän asetuksen mukaista yksinkertaistettua TVT-riskinhallintajärjestelmää, kun taas maksulaitosten ja sähköisen rahan liikkeeseenlaskijalaitosten, joita ei ole vapautettu osaksi kansallista lainsäädäntöä saatetun alakohtaisen unionin oikeuden mukaisesti, olisi noudatettava tässä asetuksessa säädettyä yleistä kehystä.

| (43) | Finanssiyhteisöjä, jotka katsotaan mikroyrityksiksi tai joihin sovelletaan tämän asetuksen mukaista yksinkertaistettua TVT-riskinhallintajärjestelmää, ei myöskään tulisi velvoittaa perustamaan tehtävää TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyjen TVT-palvelujen käyttöä koskevien järjestelyjensä valvomiseksi, tai nimeämään ylemmän johdon jäsentä vastaamaan asiaan liittyvän riskialttiuden ja sitä koskevan dokumentaation valvonnasta, eikä osoittamaan vastuuta TVT-riskin hallinnasta ja valvonnasta valvontatoiminnolle ja varmistamaan tällaisen valvontatoiminnon riittävän tasoinen riippumattomuus eturistiriitojen välttämiseksi, eikä dokumentoimaan ja tarkistamaan TVT-riskinhallintajärjestelmää vähintään kerran vuodessa, eikä ottamaan säännöllisesti sisäisen tarkastuksen piiriin TVT-riskin hallintajärjestelmää, eikä tekemään perusteellisia arviointeja niiden verkko- ja tietojärjestelmäinfrastruktuuriin ja -prosesseihin tehtyjen merkittävien muutosten jälkeen, eikä tekemään säännöllisesti aiemman sukupolven TVT-järjestelmiä koskevia riskianalyysejä, eikä saattamaan TVT:tä koskevia reagointi- ja palautumissuunnitelmien täytäntöönpanoa riippumattoman sisäisen tarkastuksen piiriin, eikä ylläpitämään kriisinhallintatoimintoa, eikä laajentamaan liiketoiminnan jatkuvuuden sekä reagointi- ja palautumissuunnitelmien testausta, jotta voidaan kattaa skenaariot, jotka koskevat vaihtoa ensisijaisen TVT-infrastruktuurin ja TVT-varakapasiteetin välillä, eikä raportoimaan niiden pyynnöstä toimivaltaisille viranomaisille arviota merkittävien TVT-poikkeamien aiheuttamista yhteenlasketuista vuosittaisista kustannuksista ja tappioista, eikä pitämään yllä TVT-varakapasiteettia, eikä ilmoittamaan kansallisille toimivaltaisille viranomaisille TVT:hen liittyvien poikkeamien jälkeisten tarkistusten pohjalta toteutetuista muutoksista, eikä valvomaan jatkuvasti asiaan kuuluvaa teknologista kehitystä, eikä perustamaan kattavaa digitaalisen häiriönsietokyvyn testausohjelmaa erottamattomana osana tässä asetuksessa säädettyä TVT-riskinhallintajärjestelmää eikä hyväksymään kolmansiin osapuoliin liittyvää TVT-riskiä koskevaa strategiaa ja tarkistamaan sitä säännöllisesti. Lisäksi mikroyrityksiä olisi vaadittava ainoastaan arvioimaan tarve säilyttää tällainen TVT-varakapasiteetti niiden riskiprofiilin perusteella. Mikroyritysten olisi hyödyttävä joustavammasta järjestelmästä digitaalisen häiriönsietokyvyn testausohjelmien osalta. Kun tarkastellaan suoritettavan testauksen tyyppiä ja suoritustiheyttä, näiden olisi oltava asianmukaisessa tasapainossa korkean digitaalisen häiriönsietokyvyn säilyttämistä koskevan tavoitteen, mikroyritysten käytettävissä olevien resurssien ja niiden yleisen riskiprofiilin välillä. Mikroyritykset ja finanssiyhteisöt, joihin sovelletaan tämän asetuksen mukaista yksinkertaistettua TVT-riskinhallintajärjestelmää, olisi vapautettava vaatimuksesta suorittaa TVT-välineiden, järjestelmien ja -prosessien kehittynyttä testausta uhkaperusteisen tunkeutumistestauksen perusteella, koska vain tässä asetuksessa säädetyt vaatimukset täyttäviä finanssiyhteisöjä olisi vaadittava tekemään tällainen testaus. Koska mikroyritysten valmiudet ovat rajalliset, niiden olisi voitava sopia TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa siitä, että finanssiyhteisön pääsy-, tarkastus- ja auditointioikeudet siirretään TVT-palveluntarjoajana olevan kolmannen osapuolen nimittämälle riippumattomalle kolmannelle osapuolelle edellyttäen, että finanssiyhteisö voi milloin tahansa pyytää kyseiseltä riippumattomalta kolmannelta osapuolelta kaikki asiaankuuluvat tiedot ja vakuutukset TVT-palveluntarjoajana olevan kolmannen osapuolen toiminnasta. |
| --- | --- |

(43)

Finanssiyhteisöjä, jotka katsotaan mikroyrityksiksi tai joihin sovelletaan tämän asetuksen mukaista yksinkertaistettua TVT-riskinhallintajärjestelmää, ei myöskään tulisi velvoittaa perustamaan tehtävää TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyjen TVT-palvelujen käyttöä koskevien järjestelyjensä valvomiseksi, tai nimeämään ylemmän johdon jäsentä vastaamaan asiaan liittyvän riskialttiuden ja sitä koskevan dokumentaation valvonnasta, eikä osoittamaan vastuuta TVT-riskin hallinnasta ja valvonnasta valvontatoiminnolle ja varmistamaan tällaisen valvontatoiminnon riittävän tasoinen riippumattomuus eturistiriitojen välttämiseksi, eikä dokumentoimaan ja tarkistamaan TVT-riskinhallintajärjestelmää vähintään kerran vuodessa, eikä ottamaan säännöllisesti sisäisen tarkastuksen piiriin TVT-riskin hallintajärjestelmää, eikä tekemään perusteellisia arviointeja niiden verkko- ja tietojärjestelmäinfrastruktuuriin ja -prosesseihin tehtyjen merkittävien muutosten jälkeen, eikä tekemään säännöllisesti aiemman sukupolven TVT-järjestelmiä koskevia riskianalyysejä, eikä saattamaan TVT:tä koskevia reagointi- ja palautumissuunnitelmien täytäntöönpanoa riippumattoman sisäisen tarkastuksen piiriin, eikä ylläpitämään kriisinhallintatoimintoa, eikä laajentamaan liiketoiminnan jatkuvuuden sekä reagointi- ja palautumissuunnitelmien testausta, jotta voidaan kattaa skenaariot, jotka koskevat vaihtoa ensisijaisen TVT-infrastruktuurin ja TVT-varakapasiteetin välillä, eikä raportoimaan niiden pyynnöstä toimivaltaisille viranomaisille arviota merkittävien TVT-poikkeamien aiheuttamista yhteenlasketuista vuosittaisista kustannuksista ja tappioista, eikä pitämään yllä TVT-varakapasiteettia, eikä ilmoittamaan kansallisille toimivaltaisille viranomaisille TVT:hen liittyvien poikkeamien jälkeisten tarkistusten pohjalta toteutetuista muutoksista, eikä valvomaan jatkuvasti asiaan kuuluvaa teknologista kehitystä, eikä perustamaan kattavaa digitaalisen häiriönsietokyvyn testausohjelmaa erottamattomana osana tässä asetuksessa säädettyä TVT-riskinhallintajärjestelmää eikä hyväksymään kolmansiin osapuoliin liittyvää TVT-riskiä koskevaa strategiaa ja tarkistamaan sitä säännöllisesti. Lisäksi mikroyrityksiä olisi vaadittava ainoastaan arvioimaan tarve säilyttää tällainen TVT-varakapasiteetti niiden riskiprofiilin perusteella. Mikroyritysten olisi hyödyttävä joustavammasta järjestelmästä digitaalisen häiriönsietokyvyn testausohjelmien osalta. Kun tarkastellaan suoritettavan testauksen tyyppiä ja suoritustiheyttä, näiden olisi oltava asianmukaisessa tasapainossa korkean digitaalisen häiriönsietokyvyn säilyttämistä koskevan tavoitteen, mikroyritysten käytettävissä olevien resurssien ja niiden yleisen riskiprofiilin välillä. Mikroyritykset ja finanssiyhteisöt, joihin sovelletaan tämän asetuksen mukaista yksinkertaistettua TVT-riskinhallintajärjestelmää, olisi vapautettava vaatimuksesta suorittaa TVT-välineiden, järjestelmien ja -prosessien kehittynyttä testausta uhkaperusteisen tunkeutumistestauksen perusteella, koska vain tässä asetuksessa säädetyt vaatimukset täyttäviä finanssiyhteisöjä olisi vaadittava tekemään tällainen testaus. Koska mikroyritysten valmiudet ovat rajalliset, niiden olisi voitava sopia TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa siitä, että finanssiyhteisön pääsy-, tarkastus- ja auditointioikeudet siirretään TVT-palveluntarjoajana olevan kolmannen osapuolen nimittämälle riippumattomalle kolmannelle osapuolelle edellyttäen, että finanssiyhteisö voi milloin tahansa pyytää kyseiseltä riippumattomalta kolmannelta osapuolelta kaikki asiaankuuluvat tiedot ja vakuutukset TVT-palveluntarjoajana olevan kolmannen osapuolen toiminnasta.

| (44) | Koska ainoastaan digitaalisen häiriönsietokyvyn kehittyneen testauksen kannalta tunnistetuilta finanssiyhteisöiltä olisi vaadittava uhkaperusteisia tunkeutumistestejä, tällaisten testien suorittamiseen liittyvien hallinnollisten prosessien ja kustannusten olisi oltava finanssiyhteisöjen pienen prosenttiosuuden vastuulla. |
| --- | --- |

(44)

Koska ainoastaan digitaalisen häiriönsietokyvyn kehittyneen testauksen kannalta tunnistetuilta finanssiyhteisöiltä olisi vaadittava uhkaperusteisia tunkeutumistestejä, tällaisten testien suorittamiseen liittyvien hallinnollisten prosessien ja kustannusten olisi oltava finanssiyhteisöjen pienen prosenttiosuuden vastuulla.

| (45) | Jotta voidaan varmistaa finanssiyhteisöjen liiketoimintastrategioiden yhdenmukaisuus kaikilta osin ja yleinen johdonmukaisuus sekä TVT-riskinhallinnan toteuttaminen, finanssiyhteisöjen ylimmiltä hallintoelimiltä olisi edellytettävä, että ne säilyttävät keskeisen ja aktiivisen roolin TVT-riskinhallintajärjestelmän ja digitaalisen häiriönsietokyvyn yleisen strategian ohjaamisessa ja mukauttamisessa. Ylimpien hallintoelinten lähestymistavassa ei pitäisi keskittyä ainoastaan TVT-järjestelmien häiriönsietokyvyn varmistamiskeinoihin, vaan sen olisi katettava myös ihmiset ja prosessit sellaisten toimintaperiaatteiden kautta, joilla edistetään kaikilla yrityksen tasoilla ja koko henkilöstön osalta, vahvaa tiedostamista kyberriskeistä ja sitoutumista tiukkaan kyberhygieniaan kaikilla tasoilla. Ylimmän hallintoelimen lopullisena vastuuna finanssiyhteisön TVT-riskin hallinnassa olisi oltava kyseisen kokonaisvaltaisen lähestymistavan yleisperiaate, joka näkyisi ylimmän hallintoelimen jatkuvana sitoutumisena TVT-riskinhallinnan valvontaan. |
| --- | --- |

(45)

Jotta voidaan varmistaa finanssiyhteisöjen liiketoimintastrategioiden yhdenmukaisuus kaikilta osin ja yleinen johdonmukaisuus sekä TVT-riskinhallinnan toteuttaminen, finanssiyhteisöjen ylimmiltä hallintoelimiltä olisi edellytettävä, että ne säilyttävät keskeisen ja aktiivisen roolin TVT-riskinhallintajärjestelmän ja digitaalisen häiriönsietokyvyn yleisen strategian ohjaamisessa ja mukauttamisessa. Ylimpien hallintoelinten lähestymistavassa ei pitäisi keskittyä ainoastaan TVT-järjestelmien häiriönsietokyvyn varmistamiskeinoihin, vaan sen olisi katettava myös ihmiset ja prosessit sellaisten toimintaperiaatteiden kautta, joilla edistetään kaikilla yrityksen tasoilla ja koko henkilöstön osalta, vahvaa tiedostamista kyberriskeistä ja sitoutumista tiukkaan kyberhygieniaan kaikilla tasoilla. Ylimmän hallintoelimen lopullisena vastuuna finanssiyhteisön TVT-riskin hallinnassa olisi oltava kyseisen kokonaisvaltaisen lähestymistavan yleisperiaate, joka näkyisi ylimmän hallintoelimen jatkuvana sitoutumisena TVT-riskinhallinnan valvontaan.

| (46) | Lisäksi periaate, jonka mukaan ylimmällä hallintoelimellä on täysi ja lopullinen vastuu finanssiyhteisön TVT-riskin hallinnasta, on sidoksissa tarpeeseen varmistaa sellaiset TVT:hen liittyvien investointien taso ja finanssiyhteisön kokonaisbudjetti, joiden avulla finanssiyhteisö voi saavuttaa korkeatasoisen digitaalisen häiriönsietokyvyn. |
| --- | --- |

(46)

Lisäksi periaate, jonka mukaan ylimmällä hallintoelimellä on täysi ja lopullinen vastuu finanssiyhteisön TVT-riskin hallinnasta, on sidoksissa tarpeeseen varmistaa sellaiset TVT:hen liittyvien investointien taso ja finanssiyhteisön kokonaisbudjetti, joiden avulla finanssiyhteisö voi saavuttaa korkeatasoisen digitaalisen häiriönsietokyvyn.

| (47) | Kyberriskien hallintaa koskeviin kansainvälisiin, kansallisiin ja toimialan parhaisiin käytäntöihin, suuntaviivoihin, suosituksiin ja lähestymistapoihin perustuen tällä asetuksella edistetään periaatteita, joilla helpotetaan TVT-riskinhallinnan kokonaisrakennetta. Näin ollen niin kauan kuin finanssiyhteisöjen tässä asetuksessa säädetyn TVT-riskinhallinnan eri tehtävien (tunnistus, suojelu ja ennaltaehkäisy, havaitseminen, reagointi ja toipuminen, oppiminen ja kehitys sekä viestintä) huomioon ottamiseksi käyttöönottamilla keskeisillä valmiuksilla, finanssiyhteisöjen olisi saatava vapaasti käyttää TVT-riskinhallintamalleja, jotka on määritelty tai luokiteltu eri tavoin. |
| --- | --- |

(47)

Kyberriskien hallintaa koskeviin kansainvälisiin, kansallisiin ja toimialan parhaisiin käytäntöihin, suuntaviivoihin, suosituksiin ja lähestymistapoihin perustuen tällä asetuksella edistetään periaatteita, joilla helpotetaan TVT-riskinhallinnan kokonaisrakennetta. Näin ollen niin kauan kuin finanssiyhteisöjen tässä asetuksessa säädetyn TVT-riskinhallinnan eri tehtävien (tunnistus, suojelu ja ennaltaehkäisy, havaitseminen, reagointi ja toipuminen, oppiminen ja kehitys sekä viestintä) huomioon ottamiseksi käyttöönottamilla keskeisillä valmiuksilla, finanssiyhteisöjen olisi saatava vapaasti käyttää TVT-riskinhallintamalleja, jotka on määritelty tai luokiteltu eri tavoin.

| (48) | Jotta voidaan pysyä nopeasti muuttuvan kyberuhkaympäristön kehityksen tahdissa, finanssiyhteisöjen olisi ylläpidettävä ajantasaisia TVT-järjestelmiä, jotka ovat luotettavia ja joilla on kyky paitsi taata niiden palvelujen edellyttämä tietojen käsittely myös varmistaa, että ne ovat teknisesti riittävän kestäviä selviytyäkseen asianmukaisesti tavallista suuremman tietomäärän käsittelystä, joka johtuu stressikausien markkinaolosuhteista tai muista vaikeista tilanteista. |
| --- | --- |

(48)

Jotta voidaan pysyä nopeasti muuttuvan kyberuhkaympäristön kehityksen tahdissa, finanssiyhteisöjen olisi ylläpidettävä ajantasaisia TVT-järjestelmiä, jotka ovat luotettavia ja joilla on kyky paitsi taata niiden palvelujen edellyttämä tietojen käsittely myös varmistaa, että ne ovat teknisesti riittävän kestäviä selviytyäkseen asianmukaisesti tavallista suuremman tietomäärän käsittelystä, joka johtuu stressikausien markkinaolosuhteista tai muista vaikeista tilanteista.

| (49) | Tehokkaita liiketoiminnan jatkuvuus- ja palautumissuunnitelmia tarvitaan, jotta finanssiyhteisöt voivat nopeasti ratkaista TVT:hen liittyvät poikkeamat, erityisesti kyberhyökkäykset, rajoittamalla vahinkoja ja antamalla etusijan toiminnan jatkamiselle ja palautustoimille niiden varmuuskopiointikäytäntöjen mukaisesti. Tällainen toiminnan jatkaminen ei kuitenkaan saisi millään tavoin vaarantaa verkko- ja tietojärjestelmien eheyttä ja turvallisuutta eikä tietojen saatavuutta, aitoutta, eheyttä tai luottamuksellisuutta. |
| --- | --- |

(49)

Tehokkaita liiketoiminnan jatkuvuus- ja palautumissuunnitelmia tarvitaan, jotta finanssiyhteisöt voivat nopeasti ratkaista TVT:hen liittyvät poikkeamat, erityisesti kyberhyökkäykset, rajoittamalla vahinkoja ja antamalla etusijan toiminnan jatkamiselle ja palautustoimille niiden varmuuskopiointikäytäntöjen mukaisesti. Tällainen toiminnan jatkaminen ei kuitenkaan saisi millään tavoin vaarantaa verkko- ja tietojärjestelmien eheyttä ja turvallisuutta eikä tietojen saatavuutta, aitoutta, eheyttä tai luottamuksellisuutta.

| (50) | Vaikka tässä asetuksessa sallitaan se, että finanssiyhteisöt määrittävät toipumisaika- ja toipumispistetavoitteensa joustavasti ja voivat näin ollen asettaa tällaiset tavoitteet ottamalla täysin huomioon asianomaisten toimintojen luonteen ja kriittisyyden sekä liiketoiminnan mahdolliset erityistarpeet, siinä olisi kuitenkin edellytettävä, että finanssiyhteisöt tällaisia tavoitteita määrittäessään suorittavat arvion mahdollisesta kokonaisvaikutuksesta markkinoiden tehokkuuteen. |
| --- | --- |

(50)

Vaikka tässä asetuksessa sallitaan se, että finanssiyhteisöt määrittävät toipumisaika- ja toipumispistetavoitteensa joustavasti ja voivat näin ollen asettaa tällaiset tavoitteet ottamalla täysin huomioon asianomaisten toimintojen luonteen ja kriittisyyden sekä liiketoiminnan mahdolliset erityistarpeet, siinä olisi kuitenkin edellytettävä, että finanssiyhteisöt tällaisia tavoitteita määrittäessään suorittavat arvion mahdollisesta kokonaisvaikutuksesta markkinoiden tehokkuuteen.

| (51) | Kyberhyökkäysten levittäjillä on taipumus pyrkiä hyötymään taloudellisesti suoraan lähteellä, mikä näin ollen altistaa finanssiyhteisöt merkittäville seurauksille. Jotta TVT-järjestelmät eivät menettäisi eheyttään tai eivät enää olisi käytettävissä, ja jotta näin ollen vältettäisiin tietoturvaloukkaukset ja fyysiselle TVT-infrastruktuurille aiheutuvat vahingot, finanssiyhteisöjen raportointia merkittävistä TVT-poikkeamista olisi merkittävästi parannettava ja virtaviivaistettava. TVT:hen liittyvien poikkeamien raportointi olisi yhdenmukaistettava ottamalla käyttöön vaatimus, jonka mukaan kaikkien finanssiyhteisöjen on raportoitava suoraan asianomaisille toimivaltaisille viranomaisilleen. Jos finanssiyhteisöä valvoo useampi kuin yksi kansallinen toimivaltainen viranomainen, jäsenvaltioiden olisi nimettävä yksi toimivaltainen viranomainen tällaisen raportoinnin vastaanottajaksi. Luottolaitosten, jotka on luokiteltu merkittäviksi neuvoston asetuksen (EU) N:o 1024/2013 (19) 6 artiklan 4 kohdan mukaisesti, olisi toimitettava tällainen raportti kansallisille toimivaltaisille viranomaisille, joiden olisi sen jälkeen toimitettava se Euroopan keskuspankille (EKP). |
| --- | --- |

(51)

Kyberhyökkäysten levittäjillä on taipumus pyrkiä hyötymään taloudellisesti suoraan lähteellä, mikä näin ollen altistaa finanssiyhteisöt merkittäville seurauksille. Jotta TVT-järjestelmät eivät menettäisi eheyttään tai eivät enää olisi käytettävissä, ja jotta näin ollen vältettäisiin tietoturvaloukkaukset ja fyysiselle TVT-infrastruktuurille aiheutuvat vahingot, finanssiyhteisöjen raportointia merkittävistä TVT-poikkeamista olisi merkittävästi parannettava ja virtaviivaistettava. TVT:hen liittyvien poikkeamien raportointi olisi yhdenmukaistettava ottamalla käyttöön vaatimus, jonka mukaan kaikkien finanssiyhteisöjen on raportoitava suoraan asianomaisille toimivaltaisille viranomaisilleen. Jos finanssiyhteisöä valvoo useampi kuin yksi kansallinen toimivaltainen viranomainen, jäsenvaltioiden olisi nimettävä yksi toimivaltainen viranomainen tällaisen raportoinnin vastaanottajaksi. Luottolaitosten, jotka on luokiteltu merkittäviksi neuvoston asetuksen (EU) N:o 1024/2013 (19) 6 artiklan 4 kohdan mukaisesti, olisi toimitettava tällainen raportti kansallisille toimivaltaisille viranomaisille, joiden olisi sen jälkeen toimitettava se Euroopan keskuspankille (EKP).

| (52) | Suoran raportoinnin pitäisi antaa finanssivalvojille mahdollisuus saada välittömästi tietoja laajavaikutteisista TVT:hen liittyvistä poikkeamista. Finanssivalvojien olisi puolestaan toimitettava yksityiskohtaiset tiedot laajavaikutteisista TVT:hen liittyvistä poikkeamista finanssialan ulkopuolisille viranomaisille (kuten direktiivin (EU) 2022/2555 mukaisille toimivaltaisille viranomaisille ja keskitetyille yhteyspisteille, kansallisille tietosuojaviranomaisille ja lainvalvontaviranomaisille sellaisten laajavaikutteisten TVT:hen liittyvien poikkeamien osalta, jotka ovat luonteeltaan rikosoikeudellisia), jotta voidaan lisätä tällaisten viranomaisten tietoisuutta tällaisista poikkeamista ja CSIRT-yksiköiden tapauksessa helpottaa nopeaa apua, jota voidaan tarvittaessa antaa finanssiyhteisöille. Jäsenvaltioiden olisi lisäksi voitava päättää, että finanssiyhteisöjen olisi itse annettava tällaisia tietoja rahoituspalvelualan ulkopuolella toimiville viranomaisille. Kyseisten tietovirtojen ansiosta finanssiyhteisöjen pitäisi voida nopeasti hyötyä kaikesta asiaankuuluvasta teknisestä asiantuntemuksesta, korjaustoimenpiteitä koskevasta neuvonnasta ja tällaisten viranomaisten jatkotoimista. Laajavaikutteisia TVT:hen liittyviä poikkeamia koskevia tietoja olisi ohjattava eteenpäin vastavuoroisesti: finanssivalvojien olisi annettava kaikki tarvittavat huomiot tai ohjeet finanssiyhteisölle ja samalla Euroopan valvontaviranomaisten olisi jaettava nimettömiksi tehtyjä tietoja poikkeamaan liittyvistä kyberuhkista ja haavoittuvuuksista laajemman kollektiivisen puolustuksen edistämiseksi. |
| --- | --- |

(52)

Suoran raportoinnin pitäisi antaa finanssivalvojille mahdollisuus saada välittömästi tietoja laajavaikutteisista TVT:hen liittyvistä poikkeamista. Finanssivalvojien olisi puolestaan toimitettava yksityiskohtaiset tiedot laajavaikutteisista TVT:hen liittyvistä poikkeamista finanssialan ulkopuolisille viranomaisille (kuten direktiivin (EU) 2022/2555 mukaisille toimivaltaisille viranomaisille ja keskitetyille yhteyspisteille, kansallisille tietosuojaviranomaisille ja lainvalvontaviranomaisille sellaisten laajavaikutteisten TVT:hen liittyvien poikkeamien osalta, jotka ovat luonteeltaan rikosoikeudellisia), jotta voidaan lisätä tällaisten viranomaisten tietoisuutta tällaisista poikkeamista ja CSIRT-yksiköiden tapauksessa helpottaa nopeaa apua, jota voidaan tarvittaessa antaa finanssiyhteisöille. Jäsenvaltioiden olisi lisäksi voitava päättää, että finanssiyhteisöjen olisi itse annettava tällaisia tietoja rahoituspalvelualan ulkopuolella toimiville viranomaisille. Kyseisten tietovirtojen ansiosta finanssiyhteisöjen pitäisi voida nopeasti hyötyä kaikesta asiaankuuluvasta teknisestä asiantuntemuksesta, korjaustoimenpiteitä koskevasta neuvonnasta ja tällaisten viranomaisten jatkotoimista. Laajavaikutteisia TVT:hen liittyviä poikkeamia koskevia tietoja olisi ohjattava eteenpäin vastavuoroisesti: finanssivalvojien olisi annettava kaikki tarvittavat huomiot tai ohjeet finanssiyhteisölle ja samalla Euroopan valvontaviranomaisten olisi jaettava nimettömiksi tehtyjä tietoja poikkeamaan liittyvistä kyberuhkista ja haavoittuvuuksista laajemman kollektiivisen puolustuksen edistämiseksi.

| (53) | Vaikka kaikkia finanssiyhteisöjä olisi vaadittava raportoimaan poikkeamista, kyseisen vaatimuksen ei odoteta vaikuttavan niihin kaikkiin samalla tavalla. Asiaankuuluvia olennaisuusrajoja ja raportoinnin määräaikoja olisikin asianmukaisesti mukautettava Euroopan valvontaviranomaisten laatimiin teknisiin sääntelystandardeihin perustuvien delegoitujen säädösten yhteydessä, jotta ne kattaisivat ainoastaan laajavaikutteiset TVT:hen liittyvät poikkeamat. Lisäksi finanssiyhteisöjen erityispiirteet olisi otettava huomioon raportointivelvoitteiden määräaikoja asetettaessa. |
| --- | --- |

(53)

Vaikka kaikkia finanssiyhteisöjä olisi vaadittava raportoimaan poikkeamista, kyseisen vaatimuksen ei odoteta vaikuttavan niihin kaikkiin samalla tavalla. Asiaankuuluvia olennaisuusrajoja ja raportoinnin määräaikoja olisikin asianmukaisesti mukautettava Euroopan valvontaviranomaisten laatimiin teknisiin sääntelystandardeihin perustuvien delegoitujen säädösten yhteydessä, jotta ne kattaisivat ainoastaan laajavaikutteiset TVT:hen liittyvät poikkeamat. Lisäksi finanssiyhteisöjen erityispiirteet olisi otettava huomioon raportointivelvoitteiden määräaikoja asetettaessa.

| (54) | Tässä asetuksessa olisi edellytettävä, että luottolaitokset, maksulaitokset, tilitietopalvelun tarjoajat ja sähköisen rahan liikkeeseenlaskijalaitokset ilmoittavat kaikista toiminnan harjoittamiseen tai turvallisuuteen vaikuttavista maksuihin liittyvistä poikkeamista, joista on aiemmin ilmoitettu direktiivin (EU) 2015/2366 nojalla, poikkeaman TVT-luonteesta riippumatta. |
| --- | --- |

(54)

Tässä asetuksessa olisi edellytettävä, että luottolaitokset, maksulaitokset, tilitietopalvelun tarjoajat ja sähköisen rahan liikkeeseenlaskijalaitokset ilmoittavat kaikista toiminnan harjoittamiseen tai turvallisuuteen vaikuttavista maksuihin liittyvistä poikkeamista, joista on aiemmin ilmoitettu direktiivin (EU) 2015/2366 nojalla, poikkeaman TVT-luonteesta riippumatta.

| (55) | Euroopan valvontaviranomaisille olisi annettava tehtäväksi arvioida TVT:hen liittyviä poikkeamia koskevien raporttien mahdollisen keskittämisen toteutettavuutta ja edellytyksiä unionin tasolla. Tällainen keskittäminen voisi koostua siitä, että laaja-alaisia TVT:hen liittyviä poikkeamia koskevaa raportointia varten otetaan käyttöön yksi EU:n keskus, joka joko vastaanottaisi asiaankuuluvat raportit suoraan ja ilmoittaisi niistä automaattisesti kansallisille toimivaltaisille viranomaisille tai pelkästään keskittäisi kansallisten toimivaltaisten viranomaisten välittämät asiaankuuluvat raportit ja suorittaisi siten koordinointitehtävää. Euroopan valvontaviranomaisille olisi annettava tehtäväksi laatia EKP:tä ja ENISAa kuullen yhteinen raportti, jossa tarkasteltaisiin yhden EU:n keskuksen käyttöönoton toteutettavuutta. |
| --- | --- |

(55)

Euroopan valvontaviranomaisille olisi annettava tehtäväksi arvioida TVT:hen liittyviä poikkeamia koskevien raporttien mahdollisen keskittämisen toteutettavuutta ja edellytyksiä unionin tasolla. Tällainen keskittäminen voisi koostua siitä, että laaja-alaisia TVT:hen liittyviä poikkeamia koskevaa raportointia varten otetaan käyttöön yksi EU:n keskus, joka joko vastaanottaisi asiaankuuluvat raportit suoraan ja ilmoittaisi niistä automaattisesti kansallisille toimivaltaisille viranomaisille tai pelkästään keskittäisi kansallisten toimivaltaisten viranomaisten välittämät asiaankuuluvat raportit ja suorittaisi siten koordinointitehtävää. Euroopan valvontaviranomaisille olisi annettava tehtäväksi laatia EKP:tä ja ENISAa kuullen yhteinen raportti, jossa tarkasteltaisiin yhden EU:n keskuksen käyttöönoton toteutettavuutta.

| (56) | Korkeatasoisen digitaalisen häiriönsietokyvyn saavuttamiseksi sekä asiaankuuluvia kansainvälisiä standardeja (esimerkiksi G7-työryhmän uhkaperusteisen tunkeutumistestauksen peruselementit) että unionissa sovellettuja kehyksiä, kuten TIBER–EU, noudattaen finanssiyhteisöjen olisi säännöllisesti testattava TVT-järjestelmiään ja henkilöstöään, jolla on TVT:n kannalta merkittäviä vastuualueita, niiden ennaltaehkäisy-, havaitsemis-, reagointi- ja toipumisvalmiuksien tehokkuuden osalta, jotta mahdolliset TVT-haavoittuvuudet voitaisiin havaita ja niihin voitaisiin reagoida. Jotta voidaan ottaa huomioon finanssialan eri alasektoreiden keskinäiset ja sisäiset erot finanssiyhteisöjen kyberturvallisuuden valmiustason osalta, testaukseen olisi sisällytettävä monia erilaisia välineitä ja toimia, jotka ulottuvat perusvaatimusten arvioinnista (esimerkiksi haavoittuvuusarvioinnit ja -luotaukset, avoimen lähdekoodin analyysit, verkkoturvallisuusarvioinnit, puuteanalyysit, fyysisen turvallisuuden tarkistukset, kyselyt, luotaukseen liittyvät ohjelmistoratkaisut, mahdollisuuksien mukaan lähdekooditarkistukset ja skenaarioihin perustuvat testit, vastaavuustestaus, suorituskykytestaus tai päästä päähän -testaus) kehittyneempään testaukseen uhkaperusteista tunkeutumistestausta käyttäen. Tällaista edistyneempää testausta olisi vaadittava vain sellaisten finanssiyhteisöjen osalta, jotka ovat TVT-näkökulmasta riittävän kypsiä, jotta ne voivat tehdä sen järkevästi. Tämän asetuksen edellyttämän digitaalisen häiriönsietokyvyn testauksen olisi näin ollen oltava vaativampaa tässä asetuksessa säädetyt vaatimukset täyttävien finanssiyhteisöjen (esimerkiksi suurten, systeemisten ja TVT-edistyneiden luottolaitosten, arvopaperipörssien, arvopaperikeskusten ja keskusvastapuolten) kuin muiden finanssiyhteisöjen osalta. Samalla digitaalisen häiriönsietokyvyn testauksen uhkaperusteisen tunkeutumistestauksen avulla olisi myös oltava olennaisempaa sellaisten finanssiyhteisöjen osalta, jotka toimivat ydinrahoituspalvelujen alasektoreilla ja jotka ovat systeemisesti tärkeitä (esimerkiksi maksut, pankkikysymykset sekä selvitykset ja toimitukset) ja vähemmän olennaista muilla alasektoreilla (esimerkiksi varainhoitajat ja luottoluokituslaitokset). |
| --- | --- |

(56)

Korkeatasoisen digitaalisen häiriönsietokyvyn saavuttamiseksi sekä asiaankuuluvia kansainvälisiä standardeja (esimerkiksi G7-työryhmän uhkaperusteisen tunkeutumistestauksen peruselementit) että unionissa sovellettuja kehyksiä, kuten TIBER–EU, noudattaen finanssiyhteisöjen olisi säännöllisesti testattava TVT-järjestelmiään ja henkilöstöään, jolla on TVT:n kannalta merkittäviä vastuualueita, niiden ennaltaehkäisy-, havaitsemis-, reagointi- ja toipumisvalmiuksien tehokkuuden osalta, jotta mahdolliset TVT-haavoittuvuudet voitaisiin havaita ja niihin voitaisiin reagoida. Jotta voidaan ottaa huomioon finanssialan eri alasektoreiden keskinäiset ja sisäiset erot finanssiyhteisöjen kyberturvallisuuden valmiustason osalta, testaukseen olisi sisällytettävä monia erilaisia välineitä ja toimia, jotka ulottuvat perusvaatimusten arvioinnista (esimerkiksi haavoittuvuusarvioinnit ja -luotaukset, avoimen lähdekoodin analyysit, verkkoturvallisuusarvioinnit, puuteanalyysit, fyysisen turvallisuuden tarkistukset, kyselyt, luotaukseen liittyvät ohjelmistoratkaisut, mahdollisuuksien mukaan lähdekooditarkistukset ja skenaarioihin perustuvat testit, vastaavuustestaus, suorituskykytestaus tai päästä päähän -testaus) kehittyneempään testaukseen uhkaperusteista tunkeutumistestausta käyttäen. Tällaista edistyneempää testausta olisi vaadittava vain sellaisten finanssiyhteisöjen osalta, jotka ovat TVT-näkökulmasta riittävän kypsiä, jotta ne voivat tehdä sen järkevästi. Tämän asetuksen edellyttämän digitaalisen häiriönsietokyvyn testauksen olisi näin ollen oltava vaativampaa tässä asetuksessa säädetyt vaatimukset täyttävien finanssiyhteisöjen (esimerkiksi suurten, systeemisten ja TVT-edistyneiden luottolaitosten, arvopaperipörssien, arvopaperikeskusten ja keskusvastapuolten) kuin muiden finanssiyhteisöjen osalta. Samalla digitaalisen häiriönsietokyvyn testauksen uhkaperusteisen tunkeutumistestauksen avulla olisi myös oltava olennaisempaa sellaisten finanssiyhteisöjen osalta, jotka toimivat ydinrahoituspalvelujen alasektoreilla ja jotka ovat systeemisesti tärkeitä (esimerkiksi maksut, pankkikysymykset sekä selvitykset ja toimitukset) ja vähemmän olennaista muilla alasektoreilla (esimerkiksi varainhoitajat ja luottoluokituslaitokset).

| (57) | Rajat ylittävää toimintaa ja sijoittautumisvapautta tai palvelujen tarjoamisen vapautta unionissa harjoittavien finanssiyhteisöjen olisi noudatettava yhtenäisiä kehittyneeseen testaukseen (eli uhkaperusteinen tunkeutumistestaus) liittyviä vaatimuksia kotijäsenvaltiossaan, ja kyseiseen testiin olisi sisällytettävä TVT-infrastruktuurit kaikilla lainkäyttöalueilla, joilla rajatylittävä finanssikonserni toimii unionissa, mikä mahdollistaisi sen, että tällaisille rajatylittäville finanssikonserneille aiheutuisi asiaan liittyviä TVT-testauskustannuksia vain yhdellä lainkäyttöalueella. |
| --- | --- |

(57)

Rajat ylittävää toimintaa ja sijoittautumisvapautta tai palvelujen tarjoamisen vapautta unionissa harjoittavien finanssiyhteisöjen olisi noudatettava yhtenäisiä kehittyneeseen testaukseen (eli uhkaperusteinen tunkeutumistestaus) liittyviä vaatimuksia kotijäsenvaltiossaan, ja kyseiseen testiin olisi sisällytettävä TVT-infrastruktuurit kaikilla lainkäyttöalueilla, joilla rajatylittävä finanssikonserni toimii unionissa, mikä mahdollistaisi sen, että tällaisille rajatylittäville finanssikonserneille aiheutuisi asiaan liittyviä TVT-testauskustannuksia vain yhdellä lainkäyttöalueella.

| (58) | Jotta voitaisiin hyödyntää asiantuntemusta, jota tietyt toimivaltaiset viranomaiset ovat jo hankkineet erityisesti TIBER–EU-kehyksen täytäntöönpanosta, tässä asetuksessa olisi annettava jäsenvaltioille mahdollisuus nimetä yksi viranomainen, joka kansallisella tasolla vastaa rahoitusalalla kaikista uhkaperusteiseen tunkeutumistestaukseen liittyvistä asioista, tai toimivaltaiset viranomaiset, jotka tällaisen nimeämisen puuttuessa delegoivat uhkaperusteiseen tunkeutumistestaukseen liittyvien tehtävien hoitamisen toiselle kansalliselle finanssialan toimivaltaiselle viranomaiselle. |
| --- | --- |

(58)

Jotta voitaisiin hyödyntää asiantuntemusta, jota tietyt toimivaltaiset viranomaiset ovat jo hankkineet erityisesti TIBER–EU-kehyksen täytäntöönpanosta, tässä asetuksessa olisi annettava jäsenvaltioille mahdollisuus nimetä yksi viranomainen, joka kansallisella tasolla vastaa rahoitusalalla kaikista uhkaperusteiseen tunkeutumistestaukseen liittyvistä asioista, tai toimivaltaiset viranomaiset, jotka tällaisen nimeämisen puuttuessa delegoivat uhkaperusteiseen tunkeutumistestaukseen liittyvien tehtävien hoitamisen toiselle kansalliselle finanssialan toimivaltaiselle viranomaiselle.

| (59) | Koska tässä asetuksessa ei edellytetä, että finanssiyhteisöjen olisi katettava kaikki kriittiset tai tärkeät toiminnot yhdessä ainoassa uhkaperusteisessa tunkeutumistestissä, finanssiyhteisöjen olisi voitava vapaasti määrittää, mitkä kriittiset tai tärkeät toiminnot ja kuinka monta kriittistä tai tärkeää toimintoa olisi sisällytettävä tällaisen testin soveltamisalaan. |
| --- | --- |

(59)

Koska tässä asetuksessa ei edellytetä, että finanssiyhteisöjen olisi katettava kaikki kriittiset tai tärkeät toiminnot yhdessä ainoassa uhkaperusteisessa tunkeutumistestissä, finanssiyhteisöjen olisi voitava vapaasti määrittää, mitkä kriittiset tai tärkeät toiminnot ja kuinka monta kriittistä tai tärkeää toimintoa olisi sisällytettävä tällaisen testin soveltamisalaan.

| (60) | Tässä asetuksessa tarkoitettu yhdistetty testaus, jossa useat finanssiyhteisöt osallistuvat uhkaperusteiseen tunkeutumistestaukseen ja jonka osalta TVT-palveluntarjoajana oleva kolmas osapuoli voi tehdä suoraan sopimusjärjestelyjä ulkopuolisen testaajan kanssa, olisi sallittava vain, jos TVT-palveluntarjoajana olevan kolmannen osapuolen asiakkaille, jotka ovat tämän asetuksen soveltamisalaan kuulumattomia yhteisöjä, tarjoamien palvelujen laatuun tai turvallisuuteen tai tällaisiin palveluihin liittyvän datan luottamuksellisuuteen voidaan kohtuudella odottaa kohdistuvan haitallisia vaikutuksia. Yhdistettyyn testaukseen olisi myös sovellettava suojatoimia (yksi nimetty finanssiyhteisö johtavassa roolissa, osallistuvien finanssiyhteisöjen lukumäärän kalibrointi) sen varmistamiseksi, että asianomaiset finanssiyhteisöt, jotka täyttävät tämän asetuksen mukaiset uhkaperusteisen tunkeutumistestauksen tavoitteet, testataan tarkasti. |
| --- | --- |

(60)

Tässä asetuksessa tarkoitettu yhdistetty testaus, jossa useat finanssiyhteisöt osallistuvat uhkaperusteiseen tunkeutumistestaukseen ja jonka osalta TVT-palveluntarjoajana oleva kolmas osapuoli voi tehdä suoraan sopimusjärjestelyjä ulkopuolisen testaajan kanssa, olisi sallittava vain, jos TVT-palveluntarjoajana olevan kolmannen osapuolen asiakkaille, jotka ovat tämän asetuksen soveltamisalaan kuulumattomia yhteisöjä, tarjoamien palvelujen laatuun tai turvallisuuteen tai tällaisiin palveluihin liittyvän datan luottamuksellisuuteen voidaan kohtuudella odottaa kohdistuvan haitallisia vaikutuksia. Yhdistettyyn testaukseen olisi myös sovellettava suojatoimia (yksi nimetty finanssiyhteisö johtavassa roolissa, osallistuvien finanssiyhteisöjen lukumäärän kalibrointi) sen varmistamiseksi, että asianomaiset finanssiyhteisöt, jotka täyttävät tämän asetuksen mukaiset uhkaperusteisen tunkeutumistestauksen tavoitteet, testataan tarkasti.

| (61) | Jotta voitaisiin hyödyntää yritystasolla käytettävissä olevia sisäisiä resursseja, tässä asetuksessa olisi sallittava sisäisten testaajien käyttö uhkaperusteisen tunkeutumistestauksen toteuttamiseen edellyttäen, että valvontaviranomaiselta on saatu hyväksyntä, että eturistiriitoja ei ole ja että sisäisiä testaajia ja ulkopuolisia testaajia käytetään vuorotellen määräajoin (joka kolmas testi), ja samalla olisi edellytettävä, että uhkaperusteisen tunkeutumistestauksen uhkatiedustelutietojen tarjoaja on aina ulkopuolinen finanssiyhteisöön nähden. Vastuun uhkaperusteisen tunkeutumistestauksen toteuttamisesta olisi säilyttävä täysimääräisesti finanssiyhteisöllä. Viranomaisten antamien todistusten olisi oltava yksinomaan vastavuoroista tunnustamista varten eivätkä ne saisi estää mahdollisia jatkotoimia, joita tarvitaan finanssiyhteisöön kohdistuvaan TVT-riskiin puuttumiseksi, eikä niitä saisi pitää valvontaviranomaisen hyväksyntänä finanssiyhteisön TVT-riskin hallinta- ja vähentämisvalmiuksista. |
| --- | --- |

(61)

Jotta voitaisiin hyödyntää yritystasolla käytettävissä olevia sisäisiä resursseja, tässä asetuksessa olisi sallittava sisäisten testaajien käyttö uhkaperusteisen tunkeutumistestauksen toteuttamiseen edellyttäen, että valvontaviranomaiselta on saatu hyväksyntä, että eturistiriitoja ei ole ja että sisäisiä testaajia ja ulkopuolisia testaajia käytetään vuorotellen määräajoin (joka kolmas testi), ja samalla olisi edellytettävä, että uhkaperusteisen tunkeutumistestauksen uhkatiedustelutietojen tarjoaja on aina ulkopuolinen finanssiyhteisöön nähden. Vastuun uhkaperusteisen tunkeutumistestauksen toteuttamisesta olisi säilyttävä täysimääräisesti finanssiyhteisöllä. Viranomaisten antamien todistusten olisi oltava yksinomaan vastavuoroista tunnustamista varten eivätkä ne saisi estää mahdollisia jatkotoimia, joita tarvitaan finanssiyhteisöön kohdistuvaan TVT-riskiin puuttumiseksi, eikä niitä saisi pitää valvontaviranomaisen hyväksyntänä finanssiyhteisön TVT-riskin hallinta- ja vähentämisvalmiuksista.

| (62) | Kolmansiin osapuoliin liittyvän finanssialan TVT-riskin asianmukaisen seurannan varmistamiseksi on tarpeen vahvistaa periaatteisiin perustuvat säännöt ohjaamaan finanssiyhteisöjä sellaisten riskien seurannassa, joita aiheutuu TVT-palveluntarjoajana oleville kolmansille osapuolille ulkoistettujen toimintojen yhteydessä, etenkin kun on kyse kriittisiä tai tärkeitä toimintoja tukevista TVT-palveluista, ja yleisemmin, kun kyse on kaikesta TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvästä riippuvuudesta. |
| --- | --- |

(62)

Kolmansiin osapuoliin liittyvän finanssialan TVT-riskin asianmukaisen seurannan varmistamiseksi on tarpeen vahvistaa periaatteisiin perustuvat säännöt ohjaamaan finanssiyhteisöjä sellaisten riskien seurannassa, joita aiheutuu TVT-palveluntarjoajana oleville kolmansille osapuolille ulkoistettujen toimintojen yhteydessä, etenkin kun on kyse kriittisiä tai tärkeitä toimintoja tukevista TVT-palveluista, ja yleisemmin, kun kyse on kaikesta TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvästä riippuvuudesta.

| (63) | Jotta voidaan puuttua TVT-riskin eri lähteiden monitahoisuuteen ja samalla ottaa huomioon rahoituspalvelujen sujuvan tarjoamisen mahdollistavien teknisten ratkaisujen tarjoajien moninaisuus ja monimuotoisuus, tämän asetuksen olisi katettava laaja joukko TVT-palveluntarjoajana olevia kolmansia osapuolia, mukaan lukien pilvipalvelujen, ohjelmistojen, data-analytiikkapalvelujen ja datakeskuspalvelujen tarjoajat. Koska finanssiyhteisöjen olisi tosiasiallisesti ja johdonmukaisesti tunnistettava ja hallittava vastaavasti kaiken tyyppisiä riskejä, myös finanssikonsernin sisällä hankittujen TVT-palvelujen yhteydessä, olisi selvennettävä, että finanssikonserniin kuuluvia yrityksiä, jotka tarjoavat TVT-palveluja pääasiassa emoyritykselleen tai emoyrityksensä tytäryrityksille tai sivuliikkeille, sekä finanssiyhteisöjä, jotka tarjoavat TVT-palveluja muille finanssiyhteisöille, olisi myös pidettävä tässä asetuksessa tarkoitettuina TVT-palveluntarjoajina olevina kolmansina osapuolina. Koska kehittyvät maksupalvelumarkkinat ovat yhä riippuvaisempia monimutkaisista teknisistä ratkaisuista ja kun otetaan huomioon uudet maksupalvelutyypit ja maksuihin liittyvät ratkaisut, maksupalvelujen ekosysteemiin osallistujia, jotka tarjoavat maksukäsittelytoimintoja tai ylläpitävät maksuinfrastruktuureja, olisi myös pidettävä tämän asetuksen mukaisina TVT-palveluntarjoajana olevina kolmansina osapuolina, lukuun ottamatta keskuspankkeja näiden ylläpitäessä maksu- tai arvopapereiden selvitysjärjestelmiä sekä viranomaisia näiden tarjotessa TVT:hen liittyviä palveluja valtion tehtävien hoitamisen yhteydessä. |
| --- | --- |

(63)

Jotta voidaan puuttua TVT-riskin eri lähteiden monitahoisuuteen ja samalla ottaa huomioon rahoituspalvelujen sujuvan tarjoamisen mahdollistavien teknisten ratkaisujen tarjoajien moninaisuus ja monimuotoisuus, tämän asetuksen olisi katettava laaja joukko TVT-palveluntarjoajana olevia kolmansia osapuolia, mukaan lukien pilvipalvelujen, ohjelmistojen, data-analytiikkapalvelujen ja datakeskuspalvelujen tarjoajat. Koska finanssiyhteisöjen olisi tosiasiallisesti ja johdonmukaisesti tunnistettava ja hallittava vastaavasti kaiken tyyppisiä riskejä, myös finanssikonsernin sisällä hankittujen TVT-palvelujen yhteydessä, olisi selvennettävä, että finanssikonserniin kuuluvia yrityksiä, jotka tarjoavat TVT-palveluja pääasiassa emoyritykselleen tai emoyrityksensä tytäryrityksille tai sivuliikkeille, sekä finanssiyhteisöjä, jotka tarjoavat TVT-palveluja muille finanssiyhteisöille, olisi myös pidettävä tässä asetuksessa tarkoitettuina TVT-palveluntarjoajina olevina kolmansina osapuolina. Koska kehittyvät maksupalvelumarkkinat ovat yhä riippuvaisempia monimutkaisista teknisistä ratkaisuista ja kun otetaan huomioon uudet maksupalvelutyypit ja maksuihin liittyvät ratkaisut, maksupalvelujen ekosysteemiin osallistujia, jotka tarjoavat maksukäsittelytoimintoja tai ylläpitävät maksuinfrastruktuureja, olisi myös pidettävä tämän asetuksen mukaisina TVT-palveluntarjoajana olevina kolmansina osapuolina, lukuun ottamatta keskuspankkeja näiden ylläpitäessä maksu- tai arvopapereiden selvitysjärjestelmiä sekä viranomaisia näiden tarjotessa TVT:hen liittyviä palveluja valtion tehtävien hoitamisen yhteydessä.

| (64) | Finanssiyhteisön olisi kaikissa tilanteissa pysyttävä täysin vastuussa tässä asetuksessa säädettyjen velvoitteidensa noudattamisesta. Finanssiyhteisöjen olisi sovellettava oikeasuhteista lähestymistapaa TVT-palveluntarjoajana olevien kolmansien osapuolten tasolla esiintyvien riskien seurantaan ottamalla asianmukaisesti huomioon niiden TVT-riippuvuuksien luonne, laajuus, monitahoisuus ja merkitys sekä sopimusjärjestelyjen kohteena olevien palvelujen, prosessien tai toimintojen kriittisyys tai merkitys ja perustamalla ne huolelliseen arviointiin siitä, millaisia mahdollisia vaikutuksia niillä voi olla finanssipalvelujen jatkuvuuteen ja laatuun yksittäisellä ja tapauksen mukaan ryhmän tasolla. |
| --- | --- |

(64)

Finanssiyhteisön olisi kaikissa tilanteissa pysyttävä täysin vastuussa tässä asetuksessa säädettyjen velvoitteidensa noudattamisesta. Finanssiyhteisöjen olisi sovellettava oikeasuhteista lähestymistapaa TVT-palveluntarjoajana olevien kolmansien osapuolten tasolla esiintyvien riskien seurantaan ottamalla asianmukaisesti huomioon niiden TVT-riippuvuuksien luonne, laajuus, monitahoisuus ja merkitys sekä sopimusjärjestelyjen kohteena olevien palvelujen, prosessien tai toimintojen kriittisyys tai merkitys ja perustamalla ne huolelliseen arviointiin siitä, millaisia mahdollisia vaikutuksia niillä voi olla finanssipalvelujen jatkuvuuteen ja laatuun yksittäisellä ja tapauksen mukaan ryhmän tasolla.

| (65) | Tällaisen seurannan toteuttamisessa olisi noudatettava strategista lähestymistapaa, jossa otetaan huomioon kolmansiin osapuoliin liittyvä TVT-riski Ja finanssiyhteisön ylimmän hallintoelimen olisi virallistettava lähestymistapa kohdennetulla kolmansiin osapuoliin liittyvää TVT-riskiä käsittelevällä strategialla, joka perustuu kaikkien TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riippuvuuksien jatkuvaan tarkasteluun. Jotta voidaan lisätä tietämystä TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riippuvuuksien valvonnasta ja tukea edelleen tällä asetuksella käyttöön otetun valvontakehyksen puitteissa tehtävää työtä, kaikilta finanssiyhteisöiltä olisi edellytettävä, että ne pitävät tietorekisteriä kaikista sopimusjärjestelyistä, jotka koskevat TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä. Finanssivalvojien olisi voitava pyytää täydellistä rekisteriä tai sen tiettyjä osia ja siten saada olennaisia tietoja, joiden avulla voidaan luoda laajempi käsitys finanssiyhteisöjen TVT-riippuvuuksista. |
| --- | --- |

(65)

Tällaisen seurannan toteuttamisessa olisi noudatettava strategista lähestymistapaa, jossa otetaan huomioon kolmansiin osapuoliin liittyvä TVT-riski Ja finanssiyhteisön ylimmän hallintoelimen olisi virallistettava lähestymistapa kohdennetulla kolmansiin osapuoliin liittyvää TVT-riskiä käsittelevällä strategialla, joka perustuu kaikkien TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riippuvuuksien jatkuvaan tarkasteluun. Jotta voidaan lisätä tietämystä TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riippuvuuksien valvonnasta ja tukea edelleen tällä asetuksella käyttöön otetun valvontakehyksen puitteissa tehtävää työtä, kaikilta finanssiyhteisöiltä olisi edellytettävä, että ne pitävät tietorekisteriä kaikista sopimusjärjestelyistä, jotka koskevat TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä. Finanssivalvojien olisi voitava pyytää täydellistä rekisteriä tai sen tiettyjä osia ja siten saada olennaisia tietoja, joiden avulla voidaan luoda laajempi käsitys finanssiyhteisöjen TVT-riippuvuuksista.

| (66) | Sopimusta edeltävän perusteellisen analyysin olisi oltava pohjana sopimusjärjestelyjen tekemiselle jo ennen niiden virallista tekemistä, erityisesti keskittymällä suunnitellun TVT-sopimuksen tukemien palvelujen kriittisyyteen tai merkitykseen, tarvittaviin valvontaviranomaisen hyväksyntöihin tai muihin ehtoihin, mahdolliseen keskittymäriskiin sekä siihen, että TVT-palveluntarjoajana olevien kolmansien osapuolten valinta- ja arviointiprosessissa ja mahdollisten eturistiriitojen arvioinnissa noudatetaan asianmukaista huolellisuutta. Kriittisiä tai tärkeitä toimintoja koskevien sopimusjärjestelyjen osalta finanssiyhteisöjen olisi otettava huomioon, miten TVT-palveluntarjoajana olevat kolmannet osapuolet käyttävät uusimpia ja korkeimpia tietoturvastandardeja. Sopimusjärjestelyjen irtisanominen voisi johtua ainakin useista olosuhteista, jotka osoittavat puutteita TVT-palveluntarjoajana olevan kolmannen osapuolen tasolla, erityisesti merkittävistä lakien tai sopimusehtojen rikkomisista, olosuhteista, jotka paljastavat mahdollisen muutoksen sopimusjärjestelyissä määrättyjen toimintojen suorittamisessa, näyttöä TVT-palveluntarjoajana olevan kolmannen osapuolen heikkouksista sen yleisessä TVT-riskinhallinnassa taikka olosuhteista, jotka osoittavat asianomaisen toimivaltaisen viranomaisen kyvyttömyyden valvoa tehokkaasti finanssiyhteisöä. |
| --- | --- |

(66)

Sopimusta edeltävän perusteellisen analyysin olisi oltava pohjana sopimusjärjestelyjen tekemiselle jo ennen niiden virallista tekemistä, erityisesti keskittymällä suunnitellun TVT-sopimuksen tukemien palvelujen kriittisyyteen tai merkitykseen, tarvittaviin valvontaviranomaisen hyväksyntöihin tai muihin ehtoihin, mahdolliseen keskittymäriskiin sekä siihen, että TVT-palveluntarjoajana olevien kolmansien osapuolten valinta- ja arviointiprosessissa ja mahdollisten eturistiriitojen arvioinnissa noudatetaan asianmukaista huolellisuutta. Kriittisiä tai tärkeitä toimintoja koskevien sopimusjärjestelyjen osalta finanssiyhteisöjen olisi otettava huomioon, miten TVT-palveluntarjoajana olevat kolmannet osapuolet käyttävät uusimpia ja korkeimpia tietoturvastandardeja. Sopimusjärjestelyjen irtisanominen voisi johtua ainakin useista olosuhteista, jotka osoittavat puutteita TVT-palveluntarjoajana olevan kolmannen osapuolen tasolla, erityisesti merkittävistä lakien tai sopimusehtojen rikkomisista, olosuhteista, jotka paljastavat mahdollisen muutoksen sopimusjärjestelyissä määrättyjen toimintojen suorittamisessa, näyttöä TVT-palveluntarjoajana olevan kolmannen osapuolen heikkouksista sen yleisessä TVT-riskinhallinnassa taikka olosuhteista, jotka osoittavat asianomaisen toimivaltaisen viranomaisen kyvyttömyyden valvoa tehokkaasti finanssiyhteisöä.

| (67) | Jotta voidaan puuttua TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvän keskittymäriskin systeemiseen vaikutukseen, tässä asetuksessa edistetään tasapainoista ratkaisua tällaiseen keskittymäriskiin omaksumalla joustava ja vaiheittainen lähestymistapa, sillä joustamattomien ylärajojen tai tiukkojen rajoitusten asettaminen voi haitata liiketoiminnan harjoittamista ja rajoittaa sopimusvapautta. Finanssiyhteisöjen olisi arvioitava perusteellisesti suunniteltuja sopimusjärjestelyjään, jotta voitaisiin tunnistaa tällaisen riskin aiheutumisen todennäköisyys, muun muassa analysoimalla perusteellisesti alihankintajärjestelyjä etenkin silloin, kun järjestelyjä tehdään kolmanteen maahan sijoittautuneiden TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa. Tässä vaiheessa ja oikean tasapainon löytämiseksi sopimusvapauden säilyttämisen ja rahoitusvakauden takaamisen välillä ei pidetä tarkoituksenmukaisena asettaa tiukkoja ylärajoja koskevia sääntöjä ja rajoja TVT-palveluntarjoajana olevien kolmansien osapuolten käytölle. Valvontakehyksen yhteydessä tämän asetuksen mukaisesti nimetyn päävalvojan olisi kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolen osalta oltava erityisen tarkkaavainen voidakseen saada kattavan kuvan riippuvuussuhteiden laajuudesta, havaitakseen erityisiä tapauksia, joissa kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten keskittymä on suurta unionissa ja todennäköisesti asettaa paineita unionin finanssijärjestelmän vakaudelle ja eheydelle, ja ylläpitääkseen vuoropuhelua kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa, kun kyseinen erityinen riski havaitaan. |
| --- | --- |

(67)

Jotta voidaan puuttua TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvän keskittymäriskin systeemiseen vaikutukseen, tässä asetuksessa edistetään tasapainoista ratkaisua tällaiseen keskittymäriskiin omaksumalla joustava ja vaiheittainen lähestymistapa, sillä joustamattomien ylärajojen tai tiukkojen rajoitusten asettaminen voi haitata liiketoiminnan harjoittamista ja rajoittaa sopimusvapautta. Finanssiyhteisöjen olisi arvioitava perusteellisesti suunniteltuja sopimusjärjestelyjään, jotta voitaisiin tunnistaa tällaisen riskin aiheutumisen todennäköisyys, muun muassa analysoimalla perusteellisesti alihankintajärjestelyjä etenkin silloin, kun järjestelyjä tehdään kolmanteen maahan sijoittautuneiden TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa. Tässä vaiheessa ja oikean tasapainon löytämiseksi sopimusvapauden säilyttämisen ja rahoitusvakauden takaamisen välillä ei pidetä tarkoituksenmukaisena asettaa tiukkoja ylärajoja koskevia sääntöjä ja rajoja TVT-palveluntarjoajana olevien kolmansien osapuolten käytölle. Valvontakehyksen yhteydessä tämän asetuksen mukaisesti nimetyn päävalvojan olisi kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolen osalta oltava erityisen tarkkaavainen voidakseen saada kattavan kuvan riippuvuussuhteiden laajuudesta, havaitakseen erityisiä tapauksia, joissa kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten keskittymä on suurta unionissa ja todennäköisesti asettaa paineita unionin finanssijärjestelmän vakaudelle ja eheydelle, ja ylläpitääkseen vuoropuhelua kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa, kun kyseinen erityinen riski havaitaan.

| (68) | Jotta voidaan arvioida ja seurata säännöllisesti TVT-palveluntarjoajana olevan kolmannen osapuolen kykyä tarjota turvallisesti palveluja finanssiyhteisölle vaikuttamatta haitallisesti finanssiyhteisön digitaaliseen häiriönsietokykyyn, olisi yhdenmukaistettava useita keskeisiä sopimuselementtejä TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa. Tällaisen yhdenmukaistamisen olisi katettava vähintään alat, jotka ovat ratkaisevan tärkeitä, jotta finanssiyhteisö voi seurata täysimääräisesti TVT-palveluntarjoajana olevasta kolmannesta osapuolesta mahdollisesti aiheutuvia riskejä finanssiyhteisön digitaalisen häiriönsietokyvyn turvaamistarpeen näkökulmasta, koska häiriönsietokyky on erittäin riippuvainen vastaanotettujen TVT-palvelujen vakaudesta, toimivuudesta, saatavuudesta ja turvallisuudesta. |
| --- | --- |

(68)

Jotta voidaan arvioida ja seurata säännöllisesti TVT-palveluntarjoajana olevan kolmannen osapuolen kykyä tarjota turvallisesti palveluja finanssiyhteisölle vaikuttamatta haitallisesti finanssiyhteisön digitaaliseen häiriönsietokykyyn, olisi yhdenmukaistettava useita keskeisiä sopimuselementtejä TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa. Tällaisen yhdenmukaistamisen olisi katettava vähintään alat, jotka ovat ratkaisevan tärkeitä, jotta finanssiyhteisö voi seurata täysimääräisesti TVT-palveluntarjoajana olevasta kolmannesta osapuolesta mahdollisesti aiheutuvia riskejä finanssiyhteisön digitaalisen häiriönsietokyvyn turvaamistarpeen näkökulmasta, koska häiriönsietokyky on erittäin riippuvainen vastaanotettujen TVT-palvelujen vakaudesta, toimivuudesta, saatavuudesta ja turvallisuudesta.

| (69) | Neuvoteltaessa uudelleen sopimusjärjestelyistä, joilla pyritään yhdenmukaisuuteen tämän asetuksen vaatimusten kanssa, finanssiyhteisöjen ja TVT-palveluntarjoajana olevien kolmansien osapuolten olisi varmistettava, että tässä asetuksessa säädetyt keskeiset sopimusmääräykset tulevat käsitellyiksi. |
| --- | --- |

(69)

Neuvoteltaessa uudelleen sopimusjärjestelyistä, joilla pyritään yhdenmukaisuuteen tämän asetuksen vaatimusten kanssa, finanssiyhteisöjen ja TVT-palveluntarjoajana olevien kolmansien osapuolten olisi varmistettava, että tässä asetuksessa säädetyt keskeiset sopimusmääräykset tulevat käsitellyiksi.

| (70) | Tässä asetuksessa säädetty ilmaisun ’kriittinen tai tärkeä toiminto’ määritelmä käsittää ’kriittiset toiminnot’ sellaisina kuin ne on määritelty Euroopan parlamentin ja neuvoston direktiivin 2014/59/EU (20) 2 artiklan 1 kohdan 35 alakohdassa. Näin ollen toiminnot, joita pidetään direktiivin 2014/59/EU mukaisesti kriittisinä, sisällytetään tässä asetuksessa tarkoitettuun kriittisten toimintojen määritelmään. |
| --- | --- |

(70)

Tässä asetuksessa säädetty ilmaisun ’kriittinen tai tärkeä toiminto’ määritelmä käsittää ’kriittiset toiminnot’ sellaisina kuin ne on määritelty Euroopan parlamentin ja neuvoston direktiivin 2014/59/EU (20) 2 artiklan 1 kohdan 35 alakohdassa. Näin ollen toiminnot, joita pidetään direktiivin 2014/59/EU mukaisesti kriittisinä, sisällytetään tässä asetuksessa tarkoitettuun kriittisten toimintojen määritelmään.

| (71) | TVT-palvelujen tukeman toiminnon kriittisyydestä tai merkityksestä riippumatta sopimusjärjestelyissä olisi erityisesti eriteltävä toimintojen ja palvelujen kattavat kuvaukset, missä tällaisia toimintoja tarjotaan ja missä dataa käsitellään, sekä annettava palvelutason kuvaukset. Muita sopimusmääräyksiä, jotka ovat olennaisen tärkeitä, jotta finanssiyhteisö voi seurata kolmannen osapuolen TVT-riskiä, ovat: sopimusmääräykset, joissa täsmennetään, miten TVT-palveluntarjoajana oleva kolmas osapuoli varmistaa henkilötietojen saavutettavuuden, saatavuuden, eheyden, turvallisuuden ja suojan, määräykset, joissa määrätään asianmukaisista takeista, jotka mahdollistavat tietoihin pääsyn, niiden pelastamisen ja takaisin saamisen siinä tapauksessa, että TVT-palveluntarjoajana oleva kolmas osapuoli on maksukyvytön tai kriisinratkaisun kohteena tai lopettaa liiketoiminnan, sekä määräykset, joilla TVT-palveluntarjoajana olevaa kolmatta osapuolta vaaditaan antamaan apua tarjottuihin palveluihin liittyvissä TVT-poikkeamissa ilman lisäkustannuksia tai etukäteen määritetyin kustannuksin; määräykset, jotka koskevat TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuutta tehdä täysimääräistä yhteistyötä finanssiyhteisön toimivaltaisten viranomaisten ja kriisinratkaisuviranomaisten kanssa; sekä määräykset, jotka koskevat sopimusjärjestelyjen irtisanomisoikeuksia ja niihin liittyviä irtisanomisen vähimmäisaikoja toimivaltaisten viranomaisten ja kriisinratkaisuviranomaisten odotusten mukaisesti. |
| --- | --- |

(71)

TVT-palvelujen tukeman toiminnon kriittisyydestä tai merkityksestä riippumatta sopimusjärjestelyissä olisi erityisesti eriteltävä toimintojen ja palvelujen kattavat kuvaukset, missä tällaisia toimintoja tarjotaan ja missä dataa käsitellään, sekä annettava palvelutason kuvaukset. Muita sopimusmääräyksiä, jotka ovat olennaisen tärkeitä, jotta finanssiyhteisö voi seurata kolmannen osapuolen TVT-riskiä, ovat: sopimusmääräykset, joissa täsmennetään, miten TVT-palveluntarjoajana oleva kolmas osapuoli varmistaa henkilötietojen saavutettavuuden, saatavuuden, eheyden, turvallisuuden ja suojan, määräykset, joissa määrätään asianmukaisista takeista, jotka mahdollistavat tietoihin pääsyn, niiden pelastamisen ja takaisin saamisen siinä tapauksessa, että TVT-palveluntarjoajana oleva kolmas osapuoli on maksukyvytön tai kriisinratkaisun kohteena tai lopettaa liiketoiminnan, sekä määräykset, joilla TVT-palveluntarjoajana olevaa kolmatta osapuolta vaaditaan antamaan apua tarjottuihin palveluihin liittyvissä TVT-poikkeamissa ilman lisäkustannuksia tai etukäteen määritetyin kustannuksin; määräykset, jotka koskevat TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuutta tehdä täysimääräistä yhteistyötä finanssiyhteisön toimivaltaisten viranomaisten ja kriisinratkaisuviranomaisten kanssa; sekä määräykset, jotka koskevat sopimusjärjestelyjen irtisanomisoikeuksia ja niihin liittyviä irtisanomisen vähimmäisaikoja toimivaltaisten viranomaisten ja kriisinratkaisuviranomaisten odotusten mukaisesti.

| (72) | Tällaisten sopimusmääräysten lisäksi ja jotta voidaan varmistaa, että finanssiyhteisöt pystyvät edelleen täysimääräisesti hallitsemaan kaikkia kolmansien osapuolten tasolla syntyviä tilanteita, jotka saattavat heikentää niiden TVT-turvallisuutta, olisi kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen tarjoamista koskevissa sopimuksissa määrättävä myös seuraavista: palvelutason täyden kuvauksen määrittely, joka sisältää täsmälliset määrälliset ja laadulliset suoritustavoitteet, jotta asianmukaisia korjaavia toimenpiteitä voidaan toteuttaa ilman aiheetonta viivytystä, jos sovittuja palvelutasoja ei saavuteta; asiaankuuluvat TVT-palveluntarjoajana olevien kolmansien osapuolten ilmoitusajat ja raportointivelvoitteet siinä tapauksessa, että tilanne saattaa vaikuttaa olennaisesti TVT-palveluntarjoajana olevan kolmannen osapuolen kykyyn tarjota tehokkaasti asianomaisia TVT-palvelujaan; TVT-palveluntarjoajana olevaa kolmatta osapuolta koskeva vaatimus toteuttaa ja testata liiketoiminnan varautumissuunnitelmia ja käyttää TVT-turvatoimenpiteitä, -välineitä ja -periaatteita, jotka mahdollistavat palvelujen turvallisen tarjoamisen, sekä osallistua finanssiyhteisön suorittamaan uhkaperusteiseen tunkeutumistestaukseen ja tehdä sen yhteydessä täysimääräistä yhteistyötä. |
| --- | --- |

(72)

Tällaisten sopimusmääräysten lisäksi ja jotta voidaan varmistaa, että finanssiyhteisöt pystyvät edelleen täysimääräisesti hallitsemaan kaikkia kolmansien osapuolten tasolla syntyviä tilanteita, jotka saattavat heikentää niiden TVT-turvallisuutta, olisi kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen tarjoamista koskevissa sopimuksissa määrättävä myös seuraavista: palvelutason täyden kuvauksen määrittely, joka sisältää täsmälliset määrälliset ja laadulliset suoritustavoitteet, jotta asianmukaisia korjaavia toimenpiteitä voidaan toteuttaa ilman aiheetonta viivytystä, jos sovittuja palvelutasoja ei saavuteta; asiaankuuluvat TVT-palveluntarjoajana olevien kolmansien osapuolten ilmoitusajat ja raportointivelvoitteet siinä tapauksessa, että tilanne saattaa vaikuttaa olennaisesti TVT-palveluntarjoajana olevan kolmannen osapuolen kykyyn tarjota tehokkaasti asianomaisia TVT-palvelujaan; TVT-palveluntarjoajana olevaa kolmatta osapuolta koskeva vaatimus toteuttaa ja testata liiketoiminnan varautumissuunnitelmia ja käyttää TVT-turvatoimenpiteitä, -välineitä ja -periaatteita, jotka mahdollistavat palvelujen turvallisen tarjoamisen, sekä osallistua finanssiyhteisön suorittamaan uhkaperusteiseen tunkeutumistestaukseen ja tehdä sen yhteydessä täysimääräistä yhteistyötä.

| (73) | Kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen tarjoamista koskevien sopimusten olisi myös sisällettävä määräyksiä, jotka antavat finanssiyhteisölle tai nimetylle kolmannelle osapuolelle pääsy-, tarkastus- ja auditointioikeudet sekä oikeuden ottaa jäljennöksiä, sillä nämä ovat ratkaisevan tärkeitä välineitä käynnissä olevassa seurannassa, jota finanssiyhteisöt kohdistavat TVT-palveluntarjoajana olevan kolmannen osapuolen toimintaan, samoin kuin viimeksi mainitun täysimääräinen yhteistyö tarkastusten aikana. Myös finanssiyhteisön toimivaltaisella viranomaisella olisi oltava oikeus tehdä TVT-palveluntarjoajana olevaan kolmanteen osapuoleen kohdistuvia tarkastuksia ja auditointeja, joista on ilmoitettu ennalta, edellyttäen, että luottamukselliset tiedot suojataan. |
| --- | --- |

(73)

Kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen tarjoamista koskevien sopimusten olisi myös sisällettävä määräyksiä, jotka antavat finanssiyhteisölle tai nimetylle kolmannelle osapuolelle pääsy-, tarkastus- ja auditointioikeudet sekä oikeuden ottaa jäljennöksiä, sillä nämä ovat ratkaisevan tärkeitä välineitä käynnissä olevassa seurannassa, jota finanssiyhteisöt kohdistavat TVT-palveluntarjoajana olevan kolmannen osapuolen toimintaan, samoin kuin viimeksi mainitun täysimääräinen yhteistyö tarkastusten aikana. Myös finanssiyhteisön toimivaltaisella viranomaisella olisi oltava oikeus tehdä TVT-palveluntarjoajana olevaan kolmanteen osapuoleen kohdistuvia tarkastuksia ja auditointeja, joista on ilmoitettu ennalta, edellyttäen, että luottamukselliset tiedot suojataan.

| (74) | Tällaisissa sopimusjärjestelyissä olisi myös määrättävä erityisistä irtautumisstrategioista, jotka mahdollistavat erityisesti pakolliset siirtymäkaudet, joiden aikana TVT-palveluntarjoajana olevien kolmansien osapuolten olisi huolehdittava edelleen asiaankuuluvien palvelujen tarjoamisesta, jotta voidaan vähentää häiriöiden riskiä finanssiyhteisön tasolla tai antaa viimeksi mainituille mahdollisuus siirtyä tosiasiallisesti käyttämään toisten TVT-palveluntarjoajana olevien kolmansien osapuolten palveluja tai vaihtoehtoisesti vaihtaa sisäisiin ratkaisuihin, jotka vastaavat tarjotun TVT-palvelun monitahoisuutta. Lisäksi direktiivin 2014/59/EU soveltamisalaan kuuluvien finanssiyhteisöjen olisi varmistettava, että asiaankuuluvat TVT-palveluja koskevat sopimukset ovat vankkoja ja täysin täytäntöönpanokelpoisia kyseisten finanssiyhteisöjen kriisinratkaisun tapauksessa. Kriisinratkaisuviranomaisten odotusten mukaisesti kyseisten finanssiyhteisöjen olisi näin ollen varmistettava, että asiaankuuluvat TVT-palveluja koskevat sopimukset ovat kriisinratkaisun kannalta kestäviä. Niin kauan kuin kyseiset finanssiyhteisöt jatkavat maksuvelvoitteidensa täyttämistä, niiden olisi varmistettava muiden vaatimusten ohella, että asiaankuuluvat TVT-palveluja koskevat sopimukset sisältävät lausekkeita, jotka koskevat sopimuksen purkamatta, keskeyttämättä ja muuttamatta jättämistä uudelleenjärjestelyn tai kriisinratkaisun perusteella. |
| --- | --- |

(74)

Tällaisissa sopimusjärjestelyissä olisi myös määrättävä erityisistä irtautumisstrategioista, jotka mahdollistavat erityisesti pakolliset siirtymäkaudet, joiden aikana TVT-palveluntarjoajana olevien kolmansien osapuolten olisi huolehdittava edelleen asiaankuuluvien palvelujen tarjoamisesta, jotta voidaan vähentää häiriöiden riskiä finanssiyhteisön tasolla tai antaa viimeksi mainituille mahdollisuus siirtyä tosiasiallisesti käyttämään toisten TVT-palveluntarjoajana olevien kolmansien osapuolten palveluja tai vaihtoehtoisesti vaihtaa sisäisiin ratkaisuihin, jotka vastaavat tarjotun TVT-palvelun monitahoisuutta. Lisäksi direktiivin 2014/59/EU soveltamisalaan kuuluvien finanssiyhteisöjen olisi varmistettava, että asiaankuuluvat TVT-palveluja koskevat sopimukset ovat vankkoja ja täysin täytäntöönpanokelpoisia kyseisten finanssiyhteisöjen kriisinratkaisun tapauksessa. Kriisinratkaisuviranomaisten odotusten mukaisesti kyseisten finanssiyhteisöjen olisi näin ollen varmistettava, että asiaankuuluvat TVT-palveluja koskevat sopimukset ovat kriisinratkaisun kannalta kestäviä. Niin kauan kuin kyseiset finanssiyhteisöt jatkavat maksuvelvoitteidensa täyttämistä, niiden olisi varmistettava muiden vaatimusten ohella, että asiaankuuluvat TVT-palveluja koskevat sopimukset sisältävät lausekkeita, jotka koskevat sopimuksen purkamatta, keskeyttämättä ja muuttamatta jättämistä uudelleenjärjestelyn tai kriisinratkaisun perusteella.

| (75) | Lisäksi viranomaisten tai unionin toimielinten laatimien vakiosopimuslausekkeiden ja erityisesti komission pilvipalveluja varten laatimien sopimuslausekkeiden vapaaehtoinen käyttö voisi antaa lisävarmuutta finanssiyhteisöille ja TVT-palveluntarjoajana oleville kolmansille osapuolille lisäämällä niiden oikeusvarmuuden tasoa finanssialan käyttämien pilvipalvelujen osalta noudattaen kaikilta osin unionin rahoituspalvelua koskevan oikeuden vaatimuksia ja odotuksia. Vakiosopimuslausekkeiden laatiminen perustuu toimenpiteisiin, joita suunniteltiin jo vuoden 2018 FinTech-toimintasuunnitelmassa, jossa ilmoitettiin komission aikomuksesta edistää ja helpottaa sellaisten vakiosopimuslausekkeiden laatimista, joita finanssiyhteisöt voivat käyttää pilvipalveluja koskevissa ulkoistuksissa, hyödyntäen monialaisia pilvipalvelujen sidosryhmien toimia, joita komissio on helpottanut rahoitusalan avustuksella. |
| --- | --- |

(75)

Lisäksi viranomaisten tai unionin toimielinten laatimien vakiosopimuslausekkeiden ja erityisesti komission pilvipalveluja varten laatimien sopimuslausekkeiden vapaaehtoinen käyttö voisi antaa lisävarmuutta finanssiyhteisöille ja TVT-palveluntarjoajana oleville kolmansille osapuolille lisäämällä niiden oikeusvarmuuden tasoa finanssialan käyttämien pilvipalvelujen osalta noudattaen kaikilta osin unionin rahoituspalvelua koskevan oikeuden vaatimuksia ja odotuksia. Vakiosopimuslausekkeiden laatiminen perustuu toimenpiteisiin, joita suunniteltiin jo vuoden 2018 FinTech-toimintasuunnitelmassa, jossa ilmoitettiin komission aikomuksesta edistää ja helpottaa sellaisten vakiosopimuslausekkeiden laatimista, joita finanssiyhteisöt voivat käyttää pilvipalveluja koskevissa ulkoistuksissa, hyödyntäen monialaisia pilvipalvelujen sidosryhmien toimia, joita komissio on helpottanut rahoitusalan avustuksella.

| (76) | Jotta voidaan edistää niiden valvontaan liittyvien lähestymistapojen lähentymistä ja tehokkuutta, joita sovelletaan kolmansiin osapuoliin liittyvään TVT-riskiin finanssialalla, sekä vahvistaa niiden finanssiyhteisöjen digitaalista häiriönsietokykyä, jotka ovat finanssipalvelujen tarjoamista tukevien TVT-palvelujen osalta riippuvaisia kriittisistä TVT-palveluntarjoajana olevista kolmansista osapuolista, ja näin edistää unionin finanssijärjestelmän vakauden säilyttämistä ja finanssipalvelujen sisämarkkinoiden eheyttä, kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin olisi sovellettava unionin valvontakehystä. Vaikka valvontakehyksen perustaminen on perusteltua unionin tason toimista saatavan lisäarvon perusteella ja ottaen huomioon TVT-palvelujen käytön luontaisen roolin ja erityispiirteet finanssipalvelujen tarjoamisessa, olisi samalla muistettava, että tämä ratkaisu vaikuttaa sopivalta vain tämän asetuksen yhteydessä, jossa käsitellään erityisesti rahoitusalan digitaalista häiriönsietokykyä. Tällaista valvontakehystä ei kuitenkaan olisi pidettävä unionin valvonnan uutena mallina rahoituspalvelujen ja -toiminnan aloilla. |
| --- | --- |

(76)

Jotta voidaan edistää niiden valvontaan liittyvien lähestymistapojen lähentymistä ja tehokkuutta, joita sovelletaan kolmansiin osapuoliin liittyvään TVT-riskiin finanssialalla, sekä vahvistaa niiden finanssiyhteisöjen digitaalista häiriönsietokykyä, jotka ovat finanssipalvelujen tarjoamista tukevien TVT-palvelujen osalta riippuvaisia kriittisistä TVT-palveluntarjoajana olevista kolmansista osapuolista, ja näin edistää unionin finanssijärjestelmän vakauden säilyttämistä ja finanssipalvelujen sisämarkkinoiden eheyttä, kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin olisi sovellettava unionin valvontakehystä. Vaikka valvontakehyksen perustaminen on perusteltua unionin tason toimista saatavan lisäarvon perusteella ja ottaen huomioon TVT-palvelujen käytön luontaisen roolin ja erityispiirteet finanssipalvelujen tarjoamisessa, olisi samalla muistettava, että tämä ratkaisu vaikuttaa sopivalta vain tämän asetuksen yhteydessä, jossa käsitellään erityisesti rahoitusalan digitaalista häiriönsietokykyä. Tällaista valvontakehystä ei kuitenkaan olisi pidettävä unionin valvonnan uutena mallina rahoituspalvelujen ja -toiminnan aloilla.

| (77) | Valvontakehystä olisi sovellettava ainoastaan kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin. Sen vuoksi olisi otettava käyttöön nimeämismekanismi, jossa otetaan huomioon, missä määrin ja millä tavalla finanssiala on riippuvainen tällaisista TVT-palveluntarjoajana olevista kolmansista osapuolista. Kyseisessä mekanismissa olisi käytettävä joukkoa määrällisiä ja laadullisia kriteereitä, joiden pohjalta määritetään kriittisyysparametrit, jotka ovat perustana valvontakehykseen sisällyttämiselle. Kyseisen arvioinnin tarkkuuden varmistamiseksi ja TVT-palveluntarjoajana olevan kolmannen osapuolen organisaatiorakenteesta riippumatta tällaisissa kriteereissä olisi otettava huomioon TVT-palveluntarjoajana olevan kolmannen osapuolen koko konsernirakenne, jos kyseessä on laajempaan konserniin kuuluva TVT-palveluntarjoajana oleva kolmas osapuoli. Toisaalta kriittisillä TVT-palveluntarjoajana olevilla kolmansilla osapuolilla, joita ei ole automaattisesti nimetty kyseisten kriteerien perusteella, olisi oltava mahdollisuus osallistua vapaaehtoisesti valvontakehykseen, ja toisaalta ne TVT-palveluntarjoajana olevat kolmannet osapuolet, jotka ovat jo Euroopan keskuspankkijärjestelmän tehtävien suorittamista tukevien valvontamekanismien piirissä SEUT 127 artiklan 2 kohdan mukaisesti, olisi vapautettava tästä. |
| --- | --- |

(77)

Valvontakehystä olisi sovellettava ainoastaan kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin. Sen vuoksi olisi otettava käyttöön nimeämismekanismi, jossa otetaan huomioon, missä määrin ja millä tavalla finanssiala on riippuvainen tällaisista TVT-palveluntarjoajana olevista kolmansista osapuolista. Kyseisessä mekanismissa olisi käytettävä joukkoa määrällisiä ja laadullisia kriteereitä, joiden pohjalta määritetään kriittisyysparametrit, jotka ovat perustana valvontakehykseen sisällyttämiselle. Kyseisen arvioinnin tarkkuuden varmistamiseksi ja TVT-palveluntarjoajana olevan kolmannen osapuolen organisaatiorakenteesta riippumatta tällaisissa kriteereissä olisi otettava huomioon TVT-palveluntarjoajana olevan kolmannen osapuolen koko konsernirakenne, jos kyseessä on laajempaan konserniin kuuluva TVT-palveluntarjoajana oleva kolmas osapuoli. Toisaalta kriittisillä TVT-palveluntarjoajana olevilla kolmansilla osapuolilla, joita ei ole automaattisesti nimetty kyseisten kriteerien perusteella, olisi oltava mahdollisuus osallistua vapaaehtoisesti valvontakehykseen, ja toisaalta ne TVT-palveluntarjoajana olevat kolmannet osapuolet, jotka ovat jo Euroopan keskuspankkijärjestelmän tehtävien suorittamista tukevien valvontamekanismien piirissä SEUT 127 artiklan 2 kohdan mukaisesti, olisi vapautettava tästä.

| (78) | Vastaavasti finanssiyhteisöt, jotka tarjoavat TVT-palveluja muille finanssiyhteisöille mutta kuuluvat tämän asetuksen mukaiseen TVT-palveluntarjoajana olevien kolmansien osapuolten luokkaan, olisi myös jätettävä valvontakehyksen ulkopuolelle, koska niihin sovelletaan jo asiaankuuluvassa unionin rahoituspalvelua koskevassa oikeudessa vahvistettuja valvontamekanismeja. Toimivaltaisten viranomaisten olisi tarvittaessa otettava valvontatoimissaan huomioon TVT-palveluja tarjoavien finanssiyhteisöjen finanssiyhteisöille aiheuttama TVT-riski. Samoin konsernitasolla käytössä olevien riskinseurantamekanismien vuoksi sama vapautus olisi otettava käyttöön niiden TVT-palveluntarjoajana olevien kolmansien osapuolten osalta, jotka tarjoavat palveluja pääasiassa oman konserninsa yhteisöille. TVT-palveluntarjoajana olevat kolmannet osapuolet, jotka tarjoavat TVT-palveluja ainoastaan yhdessä jäsenvaltiossa finanssiyhteisöille, jotka toimivat ainoastaan kyseisessä jäsenvaltiossa, olisi myös vapautettava nimeämismekanismista, koska niiden toiminta on vähäistä eikä niillä ole rajat ylittäviä vaikutuksia. |
| --- | --- |

(78)

Vastaavasti finanssiyhteisöt, jotka tarjoavat TVT-palveluja muille finanssiyhteisöille mutta kuuluvat tämän asetuksen mukaiseen TVT-palveluntarjoajana olevien kolmansien osapuolten luokkaan, olisi myös jätettävä valvontakehyksen ulkopuolelle, koska niihin sovelletaan jo asiaankuuluvassa unionin rahoituspalvelua koskevassa oikeudessa vahvistettuja valvontamekanismeja. Toimivaltaisten viranomaisten olisi tarvittaessa otettava valvontatoimissaan huomioon TVT-palveluja tarjoavien finanssiyhteisöjen finanssiyhteisöille aiheuttama TVT-riski. Samoin konsernitasolla käytössä olevien riskinseurantamekanismien vuoksi sama vapautus olisi otettava käyttöön niiden TVT-palveluntarjoajana olevien kolmansien osapuolten osalta, jotka tarjoavat palveluja pääasiassa oman konserninsa yhteisöille. TVT-palveluntarjoajana olevat kolmannet osapuolet, jotka tarjoavat TVT-palveluja ainoastaan yhdessä jäsenvaltiossa finanssiyhteisöille, jotka toimivat ainoastaan kyseisessä jäsenvaltiossa, olisi myös vapautettava nimeämismekanismista, koska niiden toiminta on vähäistä eikä niillä ole rajat ylittäviä vaikutuksia.

| (79) | Rahoituspalvelujen alalla tapahtunut digitalisaatio on johtanut ennennäkemättömään TVT-palvelujen käyttöön ja riippuvuuteen niistä. Koska on tullut mahdottomaksi tarjota rahoituspalveluja ilman pilvipalvelujen, ohjelmistoratkaisujen ja dataan liittyvien palvelujen käyttöä, unionin rahoitusalan ekosysteemi on tullut erottamattomasti riippuvaiseksi tietyistä TVT-palveluntarjoajien tarjoamista TVT-palveluista. Joillakin kyseisistä toimittajista, jotka ovat TVT-pohjaisia teknologioita kehittäviä ja soveltavia innovoijia, on merkittävä rooli rahoituspalvelujen tarjoamisessa tai ne ovat integroituneet rahoituspalvelujen arvoketjuun. Niistä on näin ollen tullut kriittisiä unionin rahoitusjärjestelmän vakauden ja eheyden kannalta. Tämä laaja riippuvuus kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamista palveluista yhdistettynä eri markkinatoimijoiden tietojärjestelmien keskinäiseen riippuvuuteen aiheuttaa suoran ja mahdollisesti vakavan riskin unionin rahoituspalvelujärjestelmälle ja rahoituspalvelujen tarjonnan jatkuvuudelle, jos toiminnalliset häiriöt tai merkittävät kyberpoikkeamat pääsevät vaikuttamaan kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin. Kyberturvallisuuspoikkeamilla on erityinen kyky moninkertaistua ja levitä rahoitusjärjestelmässä huomattavasti nopeammin kuin muuntyyppisten riskien, joita rahoitusalalla seurataan, ja ne voivat ulottua eri aloille ja maantieteellisten rajojen ulkopuolelle. Ne saattavat kehittyä systeemiseksi kriisiksi, jossa luottamus rahoitusjärjestelmään on heikentynyt reaalitaloutta tukevien toimintojen häiriintymisen tai merkittävien taloudellisten tappioiden vuoksi, saavuttaen tason, jota rahoitusjärjestelmä ei kestä, tai joka edellyttää raskaiden häiriöiden vaimentamistoimenpiteiden käyttöönottoa. Jotta voidaan estää, että nämä skenaariot toteutuvat ja siten vaarantavat unionin rahoitusvakauden ja rahoitusjärjestelmän eheyden, on olennaisen tärkeää lähentää valvontakäytäntöjä, jotka liittyvät kolmansiin osapuoliin liittyvään TVT-riskiin rahoitusalalla, erityisesti uusilla säännöillä, jotka mahdollistavat kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten valvonnan unionissa. |
| --- | --- |

(79)

Rahoituspalvelujen alalla tapahtunut digitalisaatio on johtanut ennennäkemättömään TVT-palvelujen käyttöön ja riippuvuuteen niistä. Koska on tullut mahdottomaksi tarjota rahoituspalveluja ilman pilvipalvelujen, ohjelmistoratkaisujen ja dataan liittyvien palvelujen käyttöä, unionin rahoitusalan ekosysteemi on tullut erottamattomasti riippuvaiseksi tietyistä TVT-palveluntarjoajien tarjoamista TVT-palveluista. Joillakin kyseisistä toimittajista, jotka ovat TVT-pohjaisia teknologioita kehittäviä ja soveltavia innovoijia, on merkittävä rooli rahoituspalvelujen tarjoamisessa tai ne ovat integroituneet rahoituspalvelujen arvoketjuun. Niistä on näin ollen tullut kriittisiä unionin rahoitusjärjestelmän vakauden ja eheyden kannalta. Tämä laaja riippuvuus kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamista palveluista yhdistettynä eri markkinatoimijoiden tietojärjestelmien keskinäiseen riippuvuuteen aiheuttaa suoran ja mahdollisesti vakavan riskin unionin rahoituspalvelujärjestelmälle ja rahoituspalvelujen tarjonnan jatkuvuudelle, jos toiminnalliset häiriöt tai merkittävät kyberpoikkeamat pääsevät vaikuttamaan kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin. Kyberturvallisuuspoikkeamilla on erityinen kyky moninkertaistua ja levitä rahoitusjärjestelmässä huomattavasti nopeammin kuin muuntyyppisten riskien, joita rahoitusalalla seurataan, ja ne voivat ulottua eri aloille ja maantieteellisten rajojen ulkopuolelle. Ne saattavat kehittyä systeemiseksi kriisiksi, jossa luottamus rahoitusjärjestelmään on heikentynyt reaalitaloutta tukevien toimintojen häiriintymisen tai merkittävien taloudellisten tappioiden vuoksi, saavuttaen tason, jota rahoitusjärjestelmä ei kestä, tai joka edellyttää raskaiden häiriöiden vaimentamistoimenpiteiden käyttöönottoa. Jotta voidaan estää, että nämä skenaariot toteutuvat ja siten vaarantavat unionin rahoitusvakauden ja rahoitusjärjestelmän eheyden, on olennaisen tärkeää lähentää valvontakäytäntöjä, jotka liittyvät kolmansiin osapuoliin liittyvään TVT-riskiin rahoitusalalla, erityisesti uusilla säännöillä, jotka mahdollistavat kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten valvonnan unionissa.

| (80) | Valvontakehys riippuu suurelta osin päävalvojan ja sen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen välisestä yhteistyöstä, joka tarjoaa finanssiyhteisöille rahoituspalvelujen tarjontaan vaikuttavia palveluja. Menestyksekäs valvonta perustuu muun muassa päävalvojan kykyyn suorittaa tehokkaasti seurantakäyntejä ja -tarkastuksia, joilla arvioidaan kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten käyttämiä sääntöjä, valvontatoimia ja prosesseja sekä niiden toiminnan mahdollisia kerrannaisvaikutuksia rahoitusvakauteen ja rahoitusjärjestelmän eheyteen. Samalla on ratkaisevan tärkeää, että kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet noudattavat päävalvojan suosituksia ja huomioivat sen huolenaiheet. Koska rahoituspalvelujen tarjontaan vaikuttavia palveluja tarjoavan kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen yhteistyön puute, esimerkiksi kieltämällä pääsy tiloihinsa tai kieltäytymällä toimittamasta tietoja, viime kädessä riistäisi päävalvojalta tämän keskeiset välineet kolmansiin osapuoliin liittyvän TVT-riskin arvioimiseksi ja voisi vaikuttaa kielteisesti rahoitusvakauteen ja rahoitusjärjestelmän eheyteen, on myös tarpeen säätää oikeasuhteisesta seuraamusjärjestelmästä. |
| --- | --- |

(80)

Valvontakehys riippuu suurelta osin päävalvojan ja sen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen välisestä yhteistyöstä, joka tarjoaa finanssiyhteisöille rahoituspalvelujen tarjontaan vaikuttavia palveluja. Menestyksekäs valvonta perustuu muun muassa päävalvojan kykyyn suorittaa tehokkaasti seurantakäyntejä ja -tarkastuksia, joilla arvioidaan kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten käyttämiä sääntöjä, valvontatoimia ja prosesseja sekä niiden toiminnan mahdollisia kerrannaisvaikutuksia rahoitusvakauteen ja rahoitusjärjestelmän eheyteen. Samalla on ratkaisevan tärkeää, että kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet noudattavat päävalvojan suosituksia ja huomioivat sen huolenaiheet. Koska rahoituspalvelujen tarjontaan vaikuttavia palveluja tarjoavan kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen yhteistyön puute, esimerkiksi kieltämällä pääsy tiloihinsa tai kieltäytymällä toimittamasta tietoja, viime kädessä riistäisi päävalvojalta tämän keskeiset välineet kolmansiin osapuoliin liittyvän TVT-riskin arvioimiseksi ja voisi vaikuttaa kielteisesti rahoitusvakauteen ja rahoitusjärjestelmän eheyteen, on myös tarpeen säätää oikeasuhteisesta seuraamusjärjestelmästä.

| (81) | Tätä taustaa vasten päävalvojan tarve määrätä uhkasakkoja kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten pakottamiseksi noudattamaan tässä asetuksessa säädettyjä avoimuuteen ja pääsyoikeuksiin liittyviä velvoitteita ei saisi vaarantua siksi, että kyseisten uhkasakkojen täytäntöönpano suhteessa kolmansiin maihin sijoittautuneisiin kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin aiheuttaa hankaluuksia. Jotta voidaan varmistaa, että tällaiset seuraamukset on mahdollista panna täytäntöön, ja ottaa nopeasti käyttöön menettelyt, joilla turvataan kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten puolustautumisoikeudet nimeämismekanismin ja suositusten antamisen yhteydessä, kyseisiltä kriittisiltä TVT-palveluntarjoajana olevilta kolmansilta osapuolilta, jotka tarjoavat finanssiyhteisöille finanssipalvelujen tarjontaan vaikuttavia palveluja, olisi edellytettävä, että niillä on asianmukainen toimipaikka unionissa. Valvonnan luonteen vuoksi ja koska muilla lainkäyttöalueilla ei ole vastaavia järjestelyjä, ei ole olemassa soveltuvia vaihtoehtoisia mekanismeja, joilla tämä tavoite voitaisiin varmistaa tekemällä tehokasta yhteistyötä kolmansien maiden finanssivalvojien kanssa, jotta voitaisiin seurata sellaisten systeemisten TVT-palveluntarjoajana olevien kolmansien osapuolten aiheuttamien digitaaliseen häiriönsietokykyyn liittyvien riskien vaikutuksia, jotka katsotaan kolmansiin maihin sijoittautuneiksi kriittisiksi TVT-palveluntarjoajana oleviksi kolmansiksi osapuoliksi. Näin ollen, jotta kolmanteen maahan sijoittautunut TVT-palveluntarjoajana oleva kolmas osapuoli, joka on nimetty kriittiseksi tämän asetuksen mukaisesti, voisi jatkaa TVT-palvelujen tarjoamista finanssiyhteisöille unionissa, sen olisi 12 kuukauden kuluessa nimeämisestä toteutettava kaikki tarvittavat järjestelyt, joilla varmistetaan sen sijoittautuminen unioniin perustamalla tytäryhtiö, sellaisena kuin tytäryhtiö on määritelty unionin säännöstössä ja erityisesti Euroopan parlamentin ja neuvoston direktiivissä 2013/34/EU (21). |
| --- | --- |

(81)

Tätä taustaa vasten päävalvojan tarve määrätä uhkasakkoja kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten pakottamiseksi noudattamaan tässä asetuksessa säädettyjä avoimuuteen ja pääsyoikeuksiin liittyviä velvoitteita ei saisi vaarantua siksi, että kyseisten uhkasakkojen täytäntöönpano suhteessa kolmansiin maihin sijoittautuneisiin kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin aiheuttaa hankaluuksia. Jotta voidaan varmistaa, että tällaiset seuraamukset on mahdollista panna täytäntöön, ja ottaa nopeasti käyttöön menettelyt, joilla turvataan kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten puolustautumisoikeudet nimeämismekanismin ja suositusten antamisen yhteydessä, kyseisiltä kriittisiltä TVT-palveluntarjoajana olevilta kolmansilta osapuolilta, jotka tarjoavat finanssiyhteisöille finanssipalvelujen tarjontaan vaikuttavia palveluja, olisi edellytettävä, että niillä on asianmukainen toimipaikka unionissa. Valvonnan luonteen vuoksi ja koska muilla lainkäyttöalueilla ei ole vastaavia järjestelyjä, ei ole olemassa soveltuvia vaihtoehtoisia mekanismeja, joilla tämä tavoite voitaisiin varmistaa tekemällä tehokasta yhteistyötä kolmansien maiden finanssivalvojien kanssa, jotta voitaisiin seurata sellaisten systeemisten TVT-palveluntarjoajana olevien kolmansien osapuolten aiheuttamien digitaaliseen häiriönsietokykyyn liittyvien riskien vaikutuksia, jotka katsotaan kolmansiin maihin sijoittautuneiksi kriittisiksi TVT-palveluntarjoajana oleviksi kolmansiksi osapuoliksi. Näin ollen, jotta kolmanteen maahan sijoittautunut TVT-palveluntarjoajana oleva kolmas osapuoli, joka on nimetty kriittiseksi tämän asetuksen mukaisesti, voisi jatkaa TVT-palvelujen tarjoamista finanssiyhteisöille unionissa, sen olisi 12 kuukauden kuluessa nimeämisestä toteutettava kaikki tarvittavat järjestelyt, joilla varmistetaan sen sijoittautuminen unioniin perustamalla tytäryhtiö, sellaisena kuin tytäryhtiö on määritelty unionin säännöstössä ja erityisesti Euroopan parlamentin ja neuvoston direktiivissä 2013/34/EU (21).

| (82) | Vaatimus tytäryhtiön perustamisesta unioniin ei saisi estää kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta tarjoamasta TVT-palveluja ja niihin liittyvää teknistä tukea unionin ulkopuolella sijaitsevista laitoksista ja infrastruktuurista käsin. Tämä asetus ei aseta datan säilytyspaikkaa koskevaa velvoitetta, koska siinä ei edellytetä tietojen säilyttämistä tai käsittelyä unionissa. |
| --- | --- |

(82)

Vaatimus tytäryhtiön perustamisesta unioniin ei saisi estää kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta tarjoamasta TVT-palveluja ja niihin liittyvää teknistä tukea unionin ulkopuolella sijaitsevista laitoksista ja infrastruktuurista käsin. Tämä asetus ei aseta datan säilytyspaikkaa koskevaa velvoitetta, koska siinä ei edellytetä tietojen säilyttämistä tai käsittelyä unionissa.

| (83) | Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten olisi voitava tarjota TVT-palveluja mistä tahansa maailmassa, eikä välttämättä tai pelkästään unionissa sijaitsevista toimitiloista. Valvontatoimet olisi toteutettava ensin unionissa sijaitsevissa tiloissa ja vuorovaikutuksessa unionissa sijaitsevien toimijoiden kanssa, mukaan lukien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tämän asetuksen mukaisesti perustamat tytäryhtiöt. Tällaiset unionissa toteutetut toimet saattavat kuitenkin olla riittämättömiä, jotta päävalvoja voisi hoitaa täysimääräisesti ja tehokkaasti tämän asetuksen mukaiset tehtävänsä. Päävalvojan olisi sen vuoksi voitava käyttää asiaankuuluvia valvontavaltuuksiaan myös kolmansissa maissa. Käyttämällä kyseisiä valtuuksia kolmansissa maissa päävalvojan olisi voitava tutkia laitokset, joista käsin kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli tosiasiallisesti tarjoaa TVT-palvelut tai tekniset tukipalvelut tai joissa niitä hallinnoidaan, ja saada kattava käsitys siitä, miten kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli hallinnoi TVT-riskiä, ja tähän liittyvistä toiminnallisista näkökohdista. Päävalvojan mahdollisuudelle käyttää unionin viraston ominaisuudessa toimivaltaa unionin alueen ulkopuolella olisi asetettava asianmukaiset ehdot, erityisesti asianomaisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen suostumus. Vastaavasti kolmannen maan asiaankuuluville viranomaisille olisi ilmoitettava asiasta, eikä niiden pitäisi vastustaa päävalvojan toiminnan harjoittamista niiden omalla alueellaan. Tehokkaan täytäntöönpanon varmistamiseksi, ja rajoittamatta unionin toimielinten ja jäsenvaltioiden toimivaltaa, tällaisten valtuuksien on kuitenkin myös oltava kaikilta osin kytköksissä hallinnollisten yhteistyöjärjestelyjen tekemiseen asianomaisen kolmannen maan asiaankuuluvien viranomaisten kanssa. Tämän asetuksen olisi sen vuoksi mahdollistettava se, että Euroopan valvontaviranomaiset voivat tehdä kolmansien maiden asiaankuuluvien viranomaisten kanssa hallinnollisia yhteistyöjärjestelyjä, jotka eivät muutoin saisi luoda oikeudellisia velvoitteita unionia ja sen jäsenvaltioita kohtaan. |
| --- | --- |

(83)

Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten olisi voitava tarjota TVT-palveluja mistä tahansa maailmassa, eikä välttämättä tai pelkästään unionissa sijaitsevista toimitiloista. Valvontatoimet olisi toteutettava ensin unionissa sijaitsevissa tiloissa ja vuorovaikutuksessa unionissa sijaitsevien toimijoiden kanssa, mukaan lukien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tämän asetuksen mukaisesti perustamat tytäryhtiöt. Tällaiset unionissa toteutetut toimet saattavat kuitenkin olla riittämättömiä, jotta päävalvoja voisi hoitaa täysimääräisesti ja tehokkaasti tämän asetuksen mukaiset tehtävänsä. Päävalvojan olisi sen vuoksi voitava käyttää asiaankuuluvia valvontavaltuuksiaan myös kolmansissa maissa. Käyttämällä kyseisiä valtuuksia kolmansissa maissa päävalvojan olisi voitava tutkia laitokset, joista käsin kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli tosiasiallisesti tarjoaa TVT-palvelut tai tekniset tukipalvelut tai joissa niitä hallinnoidaan, ja saada kattava käsitys siitä, miten kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli hallinnoi TVT-riskiä, ja tähän liittyvistä toiminnallisista näkökohdista. Päävalvojan mahdollisuudelle käyttää unionin viraston ominaisuudessa toimivaltaa unionin alueen ulkopuolella olisi asetettava asianmukaiset ehdot, erityisesti asianomaisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen suostumus. Vastaavasti kolmannen maan asiaankuuluville viranomaisille olisi ilmoitettava asiasta, eikä niiden pitäisi vastustaa päävalvojan toiminnan harjoittamista niiden omalla alueellaan. Tehokkaan täytäntöönpanon varmistamiseksi, ja rajoittamatta unionin toimielinten ja jäsenvaltioiden toimivaltaa, tällaisten valtuuksien on kuitenkin myös oltava kaikilta osin kytköksissä hallinnollisten yhteistyöjärjestelyjen tekemiseen asianomaisen kolmannen maan asiaankuuluvien viranomaisten kanssa. Tämän asetuksen olisi sen vuoksi mahdollistettava se, että Euroopan valvontaviranomaiset voivat tehdä kolmansien maiden asiaankuuluvien viranomaisten kanssa hallinnollisia yhteistyöjärjestelyjä, jotka eivät muutoin saisi luoda oikeudellisia velvoitteita unionia ja sen jäsenvaltioita kohtaan.

| (84) | Viestinnän helpottamiseksi päävalvojan kanssa ja riittävän edustuksen varmistamiseksi konserniin kuuluvien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten olisi nimettävä yksi oikeushenkilö koordinointipisteekseen. |
| --- | --- |

(84)

Viestinnän helpottamiseksi päävalvojan kanssa ja riittävän edustuksen varmistamiseksi konserniin kuuluvien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten olisi nimettävä yksi oikeushenkilö koordinointipisteekseen.

| (85) | Valvontakehys ei saisi rajoittaa jäsenvaltioiden toimivaltaa toteuttaa omia valvonta- tai seurantaoperaatioita sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten osalta, joita ei ole nimetty kriittisiksi tämän asetuksen nojalla mutta jotka katsotaan tärkeiksi kansallisella tasolla. |
| --- | --- |

(85)

Valvontakehys ei saisi rajoittaa jäsenvaltioiden toimivaltaa toteuttaa omia valvonta- tai seurantaoperaatioita sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten osalta, joita ei ole nimetty kriittisiksi tämän asetuksen nojalla mutta jotka katsotaan tärkeiksi kansallisella tasolla.

| (86) | Jotta finanssipalvelualan monitasoista rakennetta voitaisiin parantaa, Euroopan valvontaviranomaisten yhteiskomitean olisi edelleen varmistettava yleinen monialainen koordinointi kaikissa TVT-riskiin liittyvissä asioissa kyberturvallisuuteen liittyvien tehtäviensä mukaisesti. Sen tukena olisi käytettävä uutta alakomiteaa, jäljempänä ’valvontafoorumi’, jonka tehtävänä on valmistella sekä yksittäisiä päätöksiä, jotka koskevat kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia, että sellaisten yhteisten suositusten antamista, jotka liittyvät erityisesti kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten valvontaohjelmien vertailuun, ja määrittää TVT-keskittymäriskiin liittyvien ongelmien ratkaisemiseen käytettyjä parhaita käytäntöjä. |
| --- | --- |

(86)

Jotta finanssipalvelualan monitasoista rakennetta voitaisiin parantaa, Euroopan valvontaviranomaisten yhteiskomitean olisi edelleen varmistettava yleinen monialainen koordinointi kaikissa TVT-riskiin liittyvissä asioissa kyberturvallisuuteen liittyvien tehtäviensä mukaisesti. Sen tukena olisi käytettävä uutta alakomiteaa, jäljempänä ’valvontafoorumi’, jonka tehtävänä on valmistella sekä yksittäisiä päätöksiä, jotka koskevat kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia, että sellaisten yhteisten suositusten antamista, jotka liittyvät erityisesti kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten valvontaohjelmien vertailuun, ja määrittää TVT-keskittymäriskiin liittyvien ongelmien ratkaisemiseen käytettyjä parhaita käytäntöjä.

| (87) | Jotta voidaan varmistaa, että kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia valvotaan asianmukaisesti ja tehokkaasti unionin tasolla, tässä asetuksessa säädetään, että mikä tahansa kolmesta Euroopan valvontaviranomaisesta voitaisiin nimetä päävalvojaksi. Kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen yksittäisen osoittamisen jollekin kolmesta Euroopan valvontaviranomaisesta olisi perustuttava arvioon sellaisten finanssiyhteisöjen enemmistöstä, jotka toimivat niillä rahoitusaloilla, joista kyseinen Euroopan valvontaviranomainen on vastuussa. Tämän lähestymistavan olisi johdettava tehtävien ja vastuiden tasapainoiseen jakamiseen kolmen Euroopan valvontaviranomaisen välillä valvontatehtäviä hoidettaessa, ja siinä olisi hyödynnettävä parhaalla mahdollisella tavalla kunkin kolmen Euroopan valvontaviranomaisen käytettävissä olevia henkilöresursseja ja teknistä asiantuntemusta. |
| --- | --- |

(87)

Jotta voidaan varmistaa, että kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia valvotaan asianmukaisesti ja tehokkaasti unionin tasolla, tässä asetuksessa säädetään, että mikä tahansa kolmesta Euroopan valvontaviranomaisesta voitaisiin nimetä päävalvojaksi. Kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen yksittäisen osoittamisen jollekin kolmesta Euroopan valvontaviranomaisesta olisi perustuttava arvioon sellaisten finanssiyhteisöjen enemmistöstä, jotka toimivat niillä rahoitusaloilla, joista kyseinen Euroopan valvontaviranomainen on vastuussa. Tämän lähestymistavan olisi johdettava tehtävien ja vastuiden tasapainoiseen jakamiseen kolmen Euroopan valvontaviranomaisen välillä valvontatehtäviä hoidettaessa, ja siinä olisi hyödynnettävä parhaalla mahdollisella tavalla kunkin kolmen Euroopan valvontaviranomaisen käytettävissä olevia henkilöresursseja ja teknistä asiantuntemusta.

| (88) | Päävalvojille olisi myönnettävä tarvittavat valtuudet tehdä tutkimuksia, suorittaa tarkastuksia kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten toimitiloissa, liiketiloissa ja paikoissa ja niiden ulkopuolella ja saada kattavat ja ajantasaiset tiedot. Kyseisten valtuuksien avulla päävalvojan olisi voitava saada todellinen käsitys finanssiyhteisöihin ja viime kädessä unionin rahoitusjärjestelmään kohdistuvan kolmansiin osapuoliin liittyvän TVT-riskin tyypistä, ulottuvuudesta ja vaikutuksista. Päävalvontatehtävän antaminen Euroopan valvontaviranomaisille on ennakkoedellytys sille, että finanssialaan kohdistuvan TVT-riskin systeemisestä ulottuvuudesta voidaan saada kokonaisvaltainen käsitys ja puuttua siihen. Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten vaikutus unionin finanssisektoriin ja siihen liittyvästä TVT-keskittymäriskistä mahdollisesti aiheutuvat ongelmat edellyttävät unionin tasolla sovellettavaa yhteistä lähestymistapaa. Useiden toimivaltaisten viranomaisten erikseen suorittamien useiden tarkastusten ja käyttöoikeuksien samanaikainen suorittaminen siten, että niiden välinen koordinointi on vähäistä tai olematonta, estäisi finanssivalvojia saamasta täydellistä ja kattavaa yleiskuvaa kolmansiin osapuoliin liittyvästä TVT-riskistä unionissa, lisäksi se samalla aiheuttaisi päällekkäisyyksiä, rasitetta ja monimutkaisuutta kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille, jos niihin kohdistuisi lukuisia seuranta- ja tarkastuspyyntöjä. |
| --- | --- |

(88)

Päävalvojille olisi myönnettävä tarvittavat valtuudet tehdä tutkimuksia, suorittaa tarkastuksia kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten toimitiloissa, liiketiloissa ja paikoissa ja niiden ulkopuolella ja saada kattavat ja ajantasaiset tiedot. Kyseisten valtuuksien avulla päävalvojan olisi voitava saada todellinen käsitys finanssiyhteisöihin ja viime kädessä unionin rahoitusjärjestelmään kohdistuvan kolmansiin osapuoliin liittyvän TVT-riskin tyypistä, ulottuvuudesta ja vaikutuksista. Päävalvontatehtävän antaminen Euroopan valvontaviranomaisille on ennakkoedellytys sille, että finanssialaan kohdistuvan TVT-riskin systeemisestä ulottuvuudesta voidaan saada kokonaisvaltainen käsitys ja puuttua siihen. Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten vaikutus unionin finanssisektoriin ja siihen liittyvästä TVT-keskittymäriskistä mahdollisesti aiheutuvat ongelmat edellyttävät unionin tasolla sovellettavaa yhteistä lähestymistapaa. Useiden toimivaltaisten viranomaisten erikseen suorittamien useiden tarkastusten ja käyttöoikeuksien samanaikainen suorittaminen siten, että niiden välinen koordinointi on vähäistä tai olematonta, estäisi finanssivalvojia saamasta täydellistä ja kattavaa yleiskuvaa kolmansiin osapuoliin liittyvästä TVT-riskistä unionissa, lisäksi se samalla aiheuttaisi päällekkäisyyksiä, rasitetta ja monimutkaisuutta kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille, jos niihin kohdistuisi lukuisia seuranta- ja tarkastuspyyntöjä.

| (89) | Kriittiseksi nimeämisen merkittävän vaikutuksen vuoksi tällä asetuksella olisi varmistettava, että kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten oikeuksia kunnioitetaan valvontakehyksen täytäntöönpanossa kauttaaltaan. Ennen kuin tällaiset palveluntarjoajat nimetään kriittisiksi, niillä olisi esimerkiksi oltava oikeus toimittaa päävalvojalle perusteltu lausunto, joka sisältää kaikki merkitykselliset tiedot niiden nimeämiseen liittyvän arvioinnin kannalta. Koska päävalvojalle olisi annettava valtuudet antaa suosituksia TVT-riskiin liittyvistä kysymyksistä ja niihin sopivista korjaustoimenpiteistä, mukaan lukien valtuudet vastustaa tiettyjä sopimusjärjestelyjä, jotka viime kädessä vaikuttavat finanssiyhteisön tai rahoitusjärjestelmän vakauteen, kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille olisi myös annettava mahdollisuus antaa ennen kyseisten suositusten viimeistelyä selvityksiä suosituksissa esitettyjen ratkaisujen odotetusta vaikutuksesta asiakkaisiin, jotka ovat tämän asetuksen soveltamisalan ulkopuolisia yhteisöjä, sekä muotoilla ratkaisuja riskien lieventämiseksi. Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten, jotka ovat eri mieltä suosituksista, olisi esitettävä perusteltu selvitys aikomuksestaan olla hyväksymättä suositusta. Jos tällaista perusteltua selvitystä ei esitetä tai sitä ei pidetä riittävänä, päävalvojan olisi annettava julkinen ilmoitus, jossa kuvataan lyhyesti noudattamatta jättämistä. |
| --- | --- |

(89)

Kriittiseksi nimeämisen merkittävän vaikutuksen vuoksi tällä asetuksella olisi varmistettava, että kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten oikeuksia kunnioitetaan valvontakehyksen täytäntöönpanossa kauttaaltaan. Ennen kuin tällaiset palveluntarjoajat nimetään kriittisiksi, niillä olisi esimerkiksi oltava oikeus toimittaa päävalvojalle perusteltu lausunto, joka sisältää kaikki merkitykselliset tiedot niiden nimeämiseen liittyvän arvioinnin kannalta. Koska päävalvojalle olisi annettava valtuudet antaa suosituksia TVT-riskiin liittyvistä kysymyksistä ja niihin sopivista korjaustoimenpiteistä, mukaan lukien valtuudet vastustaa tiettyjä sopimusjärjestelyjä, jotka viime kädessä vaikuttavat finanssiyhteisön tai rahoitusjärjestelmän vakauteen, kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille olisi myös annettava mahdollisuus antaa ennen kyseisten suositusten viimeistelyä selvityksiä suosituksissa esitettyjen ratkaisujen odotetusta vaikutuksesta asiakkaisiin, jotka ovat tämän asetuksen soveltamisalan ulkopuolisia yhteisöjä, sekä muotoilla ratkaisuja riskien lieventämiseksi. Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten, jotka ovat eri mieltä suosituksista, olisi esitettävä perusteltu selvitys aikomuksestaan olla hyväksymättä suositusta. Jos tällaista perusteltua selvitystä ei esitetä tai sitä ei pidetä riittävänä, päävalvojan olisi annettava julkinen ilmoitus, jossa kuvataan lyhyesti noudattamatta jättämistä.

| (90) | Toimivaltaisten viranomaisten olisi asianmukaisesti sisällytettävä finanssiyhteisöjen vakavaraisuusvalvontaan liittyviin tehtäviinsä sen todentaminen, että päävalvojan antamia suosituksia noudatetaan olennaisilta osin. Toimivaltaisten viranomaisten olisi voitava vaatia finanssiyhteisöjä toteuttamaan lisätoimenpiteitä päävalvojan suosituksissa yksilöityjen riskien torjumiseksi, ja niiden olisi hyvissä ajoin annettava asiaa koskevia ilmoituksia. Jos päävalvoja antaa suosituksia kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille, joita valvotaan direktiivin (EU) 2022/2555 mukaisesti, toimivaltaisten viranomaisten olisi voitava kuulla vapaaehtoisuuden pohjalta ja ennen lisätoimenpiteiden hyväksymistä kyseisen direktiivin mukaisia toimivaltaisia viranomaisia edistääkseen koordinoitua lähestymistapaa kyseisten kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten suhteen. |
| --- | --- |

(90)

Toimivaltaisten viranomaisten olisi asianmukaisesti sisällytettävä finanssiyhteisöjen vakavaraisuusvalvontaan liittyviin tehtäviinsä sen todentaminen, että päävalvojan antamia suosituksia noudatetaan olennaisilta osin. Toimivaltaisten viranomaisten olisi voitava vaatia finanssiyhteisöjä toteuttamaan lisätoimenpiteitä päävalvojan suosituksissa yksilöityjen riskien torjumiseksi, ja niiden olisi hyvissä ajoin annettava asiaa koskevia ilmoituksia. Jos päävalvoja antaa suosituksia kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille, joita valvotaan direktiivin (EU) 2022/2555 mukaisesti, toimivaltaisten viranomaisten olisi voitava kuulla vapaaehtoisuuden pohjalta ja ennen lisätoimenpiteiden hyväksymistä kyseisen direktiivin mukaisia toimivaltaisia viranomaisia edistääkseen koordinoitua lähestymistapaa kyseisten kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten suhteen.

| (91) | Valvonnan toteuttamisessa olisi noudatettava kolmea toimintaperiaatetta, joilla pyritään varmistamaan a) tiivis koordinointi Euroopan valvontaviranomaisten välillä niiden suorittaessa päävalvojan tehtäviä yhteisen valvontaverkoston kautta, b) johdonmukaisuus direktiivillä (EU) 2022/2555 perustetun kehyksen kanssa (kyseisen direktiivin mukaisten elinten vapaaehtoisella kuulemisella, jotta vältetään kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin kohdistettujen toimenpiteiden päällekkäisyys), ja c) huolellisuuden noudattaminen, jotta minimoidaan mahdollinen häiriöriski palveluille, joita kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet tarjoavat asiakkaille, jotka eivät kuulu tämän asetuksen soveltamisalaan. |
| --- | --- |

(91)

Valvonnan toteuttamisessa olisi noudatettava kolmea toimintaperiaatetta, joilla pyritään varmistamaan a) tiivis koordinointi Euroopan valvontaviranomaisten välillä niiden suorittaessa päävalvojan tehtäviä yhteisen valvontaverkoston kautta, b) johdonmukaisuus direktiivillä (EU) 2022/2555 perustetun kehyksen kanssa (kyseisen direktiivin mukaisten elinten vapaaehtoisella kuulemisella, jotta vältetään kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin kohdistettujen toimenpiteiden päällekkäisyys), ja c) huolellisuuden noudattaminen, jotta minimoidaan mahdollinen häiriöriski palveluille, joita kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet tarjoavat asiakkaille, jotka eivät kuulu tämän asetuksen soveltamisalaan.

| (92) | Valvontakehys ei saisi millään tavoin tai miltään osin korvata finanssiyhteisöjen velvoitetta itse hallita riskejä, jotka liittyvät TVT-palveluntarjoajana oleviin kolmansien osapuolten käyttöön, mukaan lukien niiden velvoite ylläpitää jatkuvasti kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyjen sopimusjärjestelyjen seurantaa. Valvontakehys ei myöskään saisi vaikuttaa siihen, että finanssiyhteisöillä on täysi vastuu noudattaa kaikkia tässä asetuksessa ja asiaankuuluvassa finanssipalvelua koskevassa oikeudessa säädettyjä oikeudellisia velvoitteita. |
| --- | --- |

(92)

Valvontakehys ei saisi millään tavoin tai miltään osin korvata finanssiyhteisöjen velvoitetta itse hallita riskejä, jotka liittyvät TVT-palveluntarjoajana oleviin kolmansien osapuolten käyttöön, mukaan lukien niiden velvoite ylläpitää jatkuvasti kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyjen sopimusjärjestelyjen seurantaa. Valvontakehys ei myöskään saisi vaikuttaa siihen, että finanssiyhteisöillä on täysi vastuu noudattaa kaikkia tässä asetuksessa ja asiaankuuluvassa finanssipalvelua koskevassa oikeudessa säädettyjä oikeudellisia velvoitteita.

| (93) | Päällekkäisyyksien välttämiseksi toimivaltaisten viranomaisten olisi pidättäydyttävä toteuttamasta erikseen toimenpiteitä, joiden tavoitteena on kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riskien seuranta, ja niiden olisi tältä osin tukeuduttava asianomaisen päävalvojan arvioon. Kaikki toimenpiteet olisi joka tapauksessa koordinoitava ja niistä olisi sovittava etukäteen päävalvojan kanssa suoritettaessa valvontakehyksen mukaisia tehtäviä. |
| --- | --- |

(93)

Päällekkäisyyksien välttämiseksi toimivaltaisten viranomaisten olisi pidättäydyttävä toteuttamasta erikseen toimenpiteitä, joiden tavoitteena on kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riskien seuranta, ja niiden olisi tältä osin tukeuduttava asianomaisen päävalvojan arvioon. Kaikki toimenpiteet olisi joka tapauksessa koordinoitava ja niistä olisi sovittava etukäteen päävalvojan kanssa suoritettaessa valvontakehyksen mukaisia tehtäviä.

| (94) | Jotta voidaan edistää TVT-palveluntarjoajana olevien kolmansien osapuolten digitaalisen riskinhallinnan uudelleentarkastelussa ja seurannassa käytettävien parhaiden käytäntöjen lähentymistä kansainvälisellä tasolla, Euroopan valvontaviranomaisia olisi kannustettava tekemään yhteistyöjärjestelyjä asiaankuuluvien kolmansien maiden valvonta- ja sääntelyviranomaisten kanssa. |
| --- | --- |

(94)

Jotta voidaan edistää TVT-palveluntarjoajana olevien kolmansien osapuolten digitaalisen riskinhallinnan uudelleentarkastelussa ja seurannassa käytettävien parhaiden käytäntöjen lähentymistä kansainvälisellä tasolla, Euroopan valvontaviranomaisia olisi kannustettava tekemään yhteistyöjärjestelyjä asiaankuuluvien kolmansien maiden valvonta- ja sääntelyviranomaisten kanssa.

| (95) | Toimivaltaisten viranomaisten, kolmen Euroopan valvontaviranomaisen ja vapaaehtoiselta pohjalta direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten puitteissa työskentelevän operatiivisen riskin ja TVT-riskin hallintaan erikoistuneen henkilöstön erityisten toimivaltuuksien, teknisten taitojen ja asiantuntemuksen hyödyntämiseksi mahdollisimman tehokkaasti, päävalvojan olisi hyödynnettävä kansallisia valvontavalmiuksia ja -osaamista ja perustettava erikoistuneita tutkintaryhmiä kutakin kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta varten sekä yhdistettävä monialaisia ryhmiä, jotka tukevat valvontatoimien valmistelua ja toteuttamista, mukaan lukien kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin kohdistuvat yleiset tutkimukset ja tarkastukset, ja huolehtivat mahdollisesti tarvittavista niihin liittyvistä jatkotoimista. |
| --- | --- |

(95)

Toimivaltaisten viranomaisten, kolmen Euroopan valvontaviranomaisen ja vapaaehtoiselta pohjalta direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten puitteissa työskentelevän operatiivisen riskin ja TVT-riskin hallintaan erikoistuneen henkilöstön erityisten toimivaltuuksien, teknisten taitojen ja asiantuntemuksen hyödyntämiseksi mahdollisimman tehokkaasti, päävalvojan olisi hyödynnettävä kansallisia valvontavalmiuksia ja -osaamista ja perustettava erikoistuneita tutkintaryhmiä kutakin kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta varten sekä yhdistettävä monialaisia ryhmiä, jotka tukevat valvontatoimien valmistelua ja toteuttamista, mukaan lukien kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin kohdistuvat yleiset tutkimukset ja tarkastukset, ja huolehtivat mahdollisesti tarvittavista niihin liittyvistä jatkotoimista.

| (96) | Vaikka valvontatehtävistä aiheutuvat kustannukset rahoitettaisiin kokonaisuudessaan kriittisiltä TVT-palveluntarjoajana olevilta kolmansilta osapuolilta perittävillä maksuilla, Euroopan valvontaviranomaisille aiheutuu kuitenkin todennäköisesti ennen valvontakehyksen toiminnan käynnistämistä kustannuksia, jotka johtuvat tulevaa valvontaa tukevien erityisten TVT-järjestelmien täytäntöönpanosta, koska erityisiä TVT-järjestelmiä olisi kehitettävä ja otettava käyttöön etukäteen. Sen vuoksi tässä asetuksessa säädetään hybridirahoitusmallista, jossa valvontakehys rahoitettaisiin kokonaisuudessaan maksuilla ja Euroopan valvontaviranomaisten TVT-järjestelmien kehittäminen rahoitettaisiin unionin ja kansallisten toimivaltaisten viranomaisten rahoitusosuuksilla. |
| --- | --- |

(96)

Vaikka valvontatehtävistä aiheutuvat kustannukset rahoitettaisiin kokonaisuudessaan kriittisiltä TVT-palveluntarjoajana olevilta kolmansilta osapuolilta perittävillä maksuilla, Euroopan valvontaviranomaisille aiheutuu kuitenkin todennäköisesti ennen valvontakehyksen toiminnan käynnistämistä kustannuksia, jotka johtuvat tulevaa valvontaa tukevien erityisten TVT-järjestelmien täytäntöönpanosta, koska erityisiä TVT-järjestelmiä olisi kehitettävä ja otettava käyttöön etukäteen. Sen vuoksi tässä asetuksessa säädetään hybridirahoitusmallista, jossa valvontakehys rahoitettaisiin kokonaisuudessaan maksuilla ja Euroopan valvontaviranomaisten TVT-järjestelmien kehittäminen rahoitettaisiin unionin ja kansallisten toimivaltaisten viranomaisten rahoitusosuuksilla.

| (97) | Toimivaltaisilla viranomaisilla olisi oltava kaikki tarvittavat valvonta-, tutkinta- ja seuraamusvaltuudet tämän asetuksen mukaisten tehtäviensä asianmukaisen hoitamisen varmistamiseksi. Niiden olisi lähtökohtaisesti julkaistava ilmoitukset määräämistään hallinnollisista seuraamuksista. Koska finanssiyhteisöt ja TVT-palveluntarjoajana olevat kolmannet osapuolet voivat olla sijoittautuneet eri jäsenvaltioihin ja niitä valvovat eri toimivaltaiset viranomaiset, tämän asetuksen soveltamista olisi helpotettava toisaalta tiiviillä yhteistyöllä asianomaisten toimivaltaisten viranomaisten välillä, EKP mukaan lukien neuvoston asetuksessa (EU) N:o 1024/2013 annettujen erityistehtävien osalta, ja toisaalta Euroopan valvontaviranomaisia kuullen, keskinäisen tietojenvaihdon avulla sekä antamalla apua asiaankuuluvien valvontatehtävien yhteydessä. |
| --- | --- |

(97)

Toimivaltaisilla viranomaisilla olisi oltava kaikki tarvittavat valvonta-, tutkinta- ja seuraamusvaltuudet tämän asetuksen mukaisten tehtäviensä asianmukaisen hoitamisen varmistamiseksi. Niiden olisi lähtökohtaisesti julkaistava ilmoitukset määräämistään hallinnollisista seuraamuksista. Koska finanssiyhteisöt ja TVT-palveluntarjoajana olevat kolmannet osapuolet voivat olla sijoittautuneet eri jäsenvaltioihin ja niitä valvovat eri toimivaltaiset viranomaiset, tämän asetuksen soveltamista olisi helpotettava toisaalta tiiviillä yhteistyöllä asianomaisten toimivaltaisten viranomaisten välillä, EKP mukaan lukien neuvoston asetuksessa (EU) N:o 1024/2013 annettujen erityistehtävien osalta, ja toisaalta Euroopan valvontaviranomaisia kuullen, keskinäisen tietojenvaihdon avulla sekä antamalla apua asiaankuuluvien valvontatehtävien yhteydessä.

| (98) | Jotta voitaisiin edelleen tarkentaa niiden kriteerien määrää ja laatua, joita käytetään TVT-palveluntarjoajana olevien kolmansien osapuolten kriittiseksi nimeämistä varten, ja yhdenmukaistaa valvontamaksuja, komissiolle olisi tämän asetuksen täydentämiseksi siirrettävä valta hyväksyä SEUT 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, joilla täsmennetään edelleen järjestelmävaikutuksia, joita voisi aiheutua TVT-palveluntarjoajana olevan kolmannen osapuolen epäonnistuessa palvelujensa tarjoamisessa tai kärsiessä toimintakatkoksesta niille finanssiyhteisöille, joille se tarjoaa TVT-palveluja, niiden maailmanlaajuisten järjestelmän kannalta merkittävien laitosten (G-SII) tai muiden järjestelmän kannalta merkittävien laitosten (O-SII) lukumäärää, jotka ovat riippuvaisia kyseisestä TVT-palveluntarjoajana olevasta kolmannesta osapuolesta, tietyillä markkinoilla toimivien TVT-palveluntarjoajana olevien kolmansien osapuolten lukumäärää, datan ja TVT-työn siirtämisestä muille TVT-palveluntarjoajana oleville kolmansille osapuolille aiheutuvia kustannuksia, sekä valvontamaksujen määrää ja sitä, missä muodossa ne on maksettava. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa (22) vahvistettujen periaatteiden mukaisesti. Jotta voitaisiin erityisesti varmistaa tasavertainen osallistuminen delegoitujen säädösten valmisteluun, Euroopan parlamentille ja neuvostolle toimitetaan kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, ja Euroopan parlamentin ja neuvoston asiantuntijoilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, joissa valmistellaan delegoituja säädöksiä. |
| --- | --- |

(98)

Jotta voitaisiin edelleen tarkentaa niiden kriteerien määrää ja laatua, joita käytetään TVT-palveluntarjoajana olevien kolmansien osapuolten kriittiseksi nimeämistä varten, ja yhdenmukaistaa valvontamaksuja, komissiolle olisi tämän asetuksen täydentämiseksi siirrettävä valta hyväksyä SEUT 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, joilla täsmennetään edelleen järjestelmävaikutuksia, joita voisi aiheutua TVT-palveluntarjoajana olevan kolmannen osapuolen epäonnistuessa palvelujensa tarjoamisessa tai kärsiessä toimintakatkoksesta niille finanssiyhteisöille, joille se tarjoaa TVT-palveluja, niiden maailmanlaajuisten järjestelmän kannalta merkittävien laitosten (G-SII) tai muiden järjestelmän kannalta merkittävien laitosten (O-SII) lukumäärää, jotka ovat riippuvaisia kyseisestä TVT-palveluntarjoajana olevasta kolmannesta osapuolesta, tietyillä markkinoilla toimivien TVT-palveluntarjoajana olevien kolmansien osapuolten lukumäärää, datan ja TVT-työn siirtämisestä muille TVT-palveluntarjoajana oleville kolmansille osapuolille aiheutuvia kustannuksia, sekä valvontamaksujen määrää ja sitä, missä muodossa ne on maksettava. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa (22) vahvistettujen periaatteiden mukaisesti. Jotta voitaisiin erityisesti varmistaa tasavertainen osallistuminen delegoitujen säädösten valmisteluun, Euroopan parlamentille ja neuvostolle toimitetaan kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, ja Euroopan parlamentin ja neuvoston asiantuntijoilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, joissa valmistellaan delegoituja säädöksiä.

| (99) | Teknisillä sääntelystandardeilla olisi varmistettava tässä asetuksessa säädettyjen vaatimusten johdonmukainen yhdenmukaistaminen. Koska Euroopan valvontaviranomaiset ovat elimiä, joilla on pitkälle menevää erityisasiantuntemusta, niiden olisi laadittava ja toimitettava komissiolle luonnoksia teknisiksi sääntelystandardeiksi, joihin ei liity toimintapoliittisia valintoja. Teknisiä sääntelystandardeja olisi laadittava TVT-riskinhallinnan, laajavaikutteisten TVT:hen liittyvien poikkeamien raportoinnin, testauksen sekä keskeisten vaatimusten osa-alueilla kolmansiin osapuoliin liittyvän TVT-riskin asianmukaista seurantaa varten. Komission ja Euroopan valvontaviranomaisten olisi varmistettava, että kaikki finanssiyhteisöt voivat soveltaa kyseisiä standardeja ja vaatimuksia oikeassa suhteessa niiden kokoon ja yleiseen riskiprofiiliin sekä niiden palvelujen, toimintojen ja toiminnan luonteeseen, laajuuteen ja monitahoisuuteen nähden. Komissiolle olisi siirrettävä valta hyväksyä nämä tekniset sääntelystandardit SEUT 290 artiklan mukaisilla delegoiduilla säädöksillä ja asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti. |
| --- | --- |

(99)

Teknisillä sääntelystandardeilla olisi varmistettava tässä asetuksessa säädettyjen vaatimusten johdonmukainen yhdenmukaistaminen. Koska Euroopan valvontaviranomaiset ovat elimiä, joilla on pitkälle menevää erityisasiantuntemusta, niiden olisi laadittava ja toimitettava komissiolle luonnoksia teknisiksi sääntelystandardeiksi, joihin ei liity toimintapoliittisia valintoja. Teknisiä sääntelystandardeja olisi laadittava TVT-riskinhallinnan, laajavaikutteisten TVT:hen liittyvien poikkeamien raportoinnin, testauksen sekä keskeisten vaatimusten osa-alueilla kolmansiin osapuoliin liittyvän TVT-riskin asianmukaista seurantaa varten. Komission ja Euroopan valvontaviranomaisten olisi varmistettava, että kaikki finanssiyhteisöt voivat soveltaa kyseisiä standardeja ja vaatimuksia oikeassa suhteessa niiden kokoon ja yleiseen riskiprofiiliin sekä niiden palvelujen, toimintojen ja toiminnan luonteeseen, laajuuteen ja monitahoisuuteen nähden. Komissiolle olisi siirrettävä valta hyväksyä nämä tekniset sääntelystandardit SEUT 290 artiklan mukaisilla delegoiduilla säädöksillä ja asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

| (100) | Jotta voidaan helpottaa TVT:hen liittyvien laajavaikutteisten poikkeamien ja toiminnan harjoittamiseen tai turvallisuuteen vaikuttavien maksuihin liittyvien laajavaikutteisten poikkeamien raportoinnin vertailtavuutta sekä varmistaa TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä koskevien sopimusjärjestelyjen avoimuus, Euroopan valvontaviranomaisten olisi laadittava luonnoksia teknisiksi täytäntöönpanostandardeiksi, joissa vahvistetaan finanssiyhteisöjä varten vakiomuotoiset mallit, lomakkeet ja menettelyt, joilla ne voivat ilmoittaa laajavaikutteisesta TVT:hen liittyvästä poikkeamasta ja toiminnan harjoittamiseen tai turvallisuuteen vaikuttavasta maksuihin liittyvästä laajavaikutteisesta poikkeamasta, sekä vakiomuotoisia malleja tietorekisteriä varten. Kyseisiä standardeja laatiessaan Euroopan valvontaviranomaisten olisi otettava huomioon finanssiyhteisön koko ja yleinen riskiprofiili sekä sen palvelujen, toiminnan ja toimintojen luonne, laajuus ja monitahoisuus. Komissiolle olisi siirrettävä valta hyväksyä nämä tekniset täytäntöönpanostandardit SEUT 291 artiklan mukaisilla täytäntöönpanosäädöksillä ja asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 15 artiklan mukaisesti. |
| --- | --- |

(100)

Jotta voidaan helpottaa TVT:hen liittyvien laajavaikutteisten poikkeamien ja toiminnan harjoittamiseen tai turvallisuuteen vaikuttavien maksuihin liittyvien laajavaikutteisten poikkeamien raportoinnin vertailtavuutta sekä varmistaa TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä koskevien sopimusjärjestelyjen avoimuus, Euroopan valvontaviranomaisten olisi laadittava luonnoksia teknisiksi täytäntöönpanostandardeiksi, joissa vahvistetaan finanssiyhteisöjä varten vakiomuotoiset mallit, lomakkeet ja menettelyt, joilla ne voivat ilmoittaa laajavaikutteisesta TVT:hen liittyvästä poikkeamasta ja toiminnan harjoittamiseen tai turvallisuuteen vaikuttavasta maksuihin liittyvästä laajavaikutteisesta poikkeamasta, sekä vakiomuotoisia malleja tietorekisteriä varten. Kyseisiä standardeja laatiessaan Euroopan valvontaviranomaisten olisi otettava huomioon finanssiyhteisön koko ja yleinen riskiprofiili sekä sen palvelujen, toiminnan ja toimintojen luonne, laajuus ja monitahoisuus. Komissiolle olisi siirrettävä valta hyväksyä nämä tekniset täytäntöönpanostandardit SEUT 291 artiklan mukaisilla täytäntöönpanosäädöksillä ja asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 15 artiklan mukaisesti.

| (101) | Koska lisävaatimuksia on jo täsmennetty Euroopan parlamentin ja neuvoston asetuksiin (EY) N:o 1060/2009 (23), (EU) N:o 648/2012 (24), (EU) N:o 600/2014 (25) ja (EU) N:o 909/2014 (26) sisältyviin teknisiin sääntely- ja täytäntöönpanostandardeihin perustuvilla delegoiduilla säädöksillä ja täytäntöönpanosäädöksillä, on asianmukaista antaa Euroopan valvontaviranomaisten tehtäväksi, joko yksittäin tai yhteiskomitean välityksellä, toimittaa komissiolle teknisiä sääntely- ja täytäntöönpanostandardeja sellaisten delegoitujen ja täytäntöönpanosäädösten hyväksymiseksi, joilla siirretään voimassa olevia TVT-riskinhallintasääntöjä ja päivitetään niitä. |
| --- | --- |

(101)

Koska lisävaatimuksia on jo täsmennetty Euroopan parlamentin ja neuvoston asetuksiin (EY) N:o 1060/2009 (23), (EU) N:o 648/2012 (24), (EU) N:o 600/2014 (25) ja (EU) N:o 909/2014 (26) sisältyviin teknisiin sääntely- ja täytäntöönpanostandardeihin perustuvilla delegoiduilla säädöksillä ja täytäntöönpanosäädöksillä, on asianmukaista antaa Euroopan valvontaviranomaisten tehtäväksi, joko yksittäin tai yhteiskomitean välityksellä, toimittaa komissiolle teknisiä sääntely- ja täytäntöönpanostandardeja sellaisten delegoitujen ja täytäntöönpanosäädösten hyväksymiseksi, joilla siirretään voimassa olevia TVT-riskinhallintasääntöjä ja päivitetään niitä.

| (102) | Koska tässä asetuksessa sekä Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2556 (27) edellytetään TVT-riskinhallintaa koskevien säännösten konsolidointia lukuisissa finanssipalveluja koskevan unionin säännöstön asetuksissa ja direktiiveissä, muun muassa asetuksissa (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) N:o 909/2014 sekä Euroopan parlamentin ja neuvoston asetuksessa (EU) 2016/1011 (28), olisi täysimääräisen johdonmukaisuuden varmistamiseksi muutettava kyseisiä asetuksia sen selventämiseksi, että sovellettavista TVT-riskiin liittyvistä säännöksistä on säädetty tässä asetuksessa. |
| --- | --- |

(102)

Koska tässä asetuksessa sekä Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2556 (27) edellytetään TVT-riskinhallintaa koskevien säännösten konsolidointia lukuisissa finanssipalveluja koskevan unionin säännöstön asetuksissa ja direktiiveissä, muun muassa asetuksissa (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) N:o 909/2014 sekä Euroopan parlamentin ja neuvoston asetuksessa (EU) 2016/1011 (28), olisi täysimääräisen johdonmukaisuuden varmistamiseksi muutettava kyseisiä asetuksia sen selventämiseksi, että sovellettavista TVT-riskiin liittyvistä säännöksistä on säädetty tässä asetuksessa.

| (103) | Näin ollen niiden operatiiviseen riskiin liittyvien asiaankuuluvien artiklojen soveltamisalaa, joiden nojalla asetuksissa (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 on annettu valtuudet hyväksyä delegoituja säädöksiä ja täytäntöönpanosäädöksiä, olisi kavennettava, jotta tähän asetukseen voidaan siirtää kaikki säännökset, jotka kattavat kyseisiin asetuksiin tällä hetkellä kuuluvat digitaalista häiriönsietokykyä koskevat näkökohdat. |
| --- | --- |

(103)

Näin ollen niiden operatiiviseen riskiin liittyvien asiaankuuluvien artiklojen soveltamisalaa, joiden nojalla asetuksissa (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 on annettu valtuudet hyväksyä delegoituja säädöksiä ja täytäntöönpanosäädöksiä, olisi kavennettava, jotta tähän asetukseen voidaan siirtää kaikki säännökset, jotka kattavat kyseisiin asetuksiin tällä hetkellä kuuluvat digitaalista häiriönsietokykyä koskevat näkökohdat.

| (104) | Maksujärjestelmien toiminnan ja maksujen käsittelytoimien tarjoamisen mahdollistavien TVT-infrastruktuurien käyttöön liittyvää mahdollista systeemistä kyberriskiä olisi käsiteltävä asianmukaisesti unionin tasolla digitaalista häiriönsietokykyä koskevien yhdenmukaistettujen sääntöjen avulla. Tätä varten komission olisi pikaisesti arvioitava, onko tämän asetuksen soveltamisalaa tarpeen tarkistaa, ja samalla yhdenmukaistettava tällainen uudelleentarkastelu direktiivissä (EU) 2015/2366 tarkoitetun kattavan uudelleentarkastelun tulosten kanssa. Lukuisat laajamittaiset hyökkäykset viime vuosikymmenen aikana osoittavat, kuinka maksujärjestelmät ovat tulleet alttiiksi kyberuhkille. Koska ne ovat maksupalveluketjun ytimessä ja niillä on vahvat yhteydet koko rahoitusjärjestelmään, maksujärjestelmistä ja maksujen käsittelytoimista on tullut ratkaisevan tärkeitä unionin rahoitusmarkkinoiden toiminnan kannalta. Tällaisiin järjestelmiin kohdistuvat kyberhyökkäykset voivat aiheuttaa vakavia toiminnallisia häiriöitä, joilla on suoria vaikutuksia keskeisiin taloudellisiin toimintoihin, kuten maksujen helpottamiseen, ja välillisiä vaikutuksia niihin liittyviin taloudellisiin prosesseihin. Siihen saakka, kunnes unionin tasolla otetaan käyttöön yhdenmukaistettu järjestelmä ja maksujärjestelmien ylläpitäjien ja käsittely-yksiköiden valvonta, jäsenvaltiot voivat samankaltaisten markkinakäytäntöjen soveltamiseksi hyödyntää tässä asetuksessa säädettyjä digitaalista häiriönsietokykyä koskevia vaatimuksia soveltaessaan sääntöjä omalla lainkäyttöalueellaan valvottuihin maksujärjestelmien ylläpitäjiin ja käsittely-yksiköihin. |
| --- | --- |

(104)

Maksujärjestelmien toiminnan ja maksujen käsittelytoimien tarjoamisen mahdollistavien TVT-infrastruktuurien käyttöön liittyvää mahdollista systeemistä kyberriskiä olisi käsiteltävä asianmukaisesti unionin tasolla digitaalista häiriönsietokykyä koskevien yhdenmukaistettujen sääntöjen avulla. Tätä varten komission olisi pikaisesti arvioitava, onko tämän asetuksen soveltamisalaa tarpeen tarkistaa, ja samalla yhdenmukaistettava tällainen uudelleentarkastelu direktiivissä (EU) 2015/2366 tarkoitetun kattavan uudelleentarkastelun tulosten kanssa. Lukuisat laajamittaiset hyökkäykset viime vuosikymmenen aikana osoittavat, kuinka maksujärjestelmät ovat tulleet alttiiksi kyberuhkille. Koska ne ovat maksupalveluketjun ytimessä ja niillä on vahvat yhteydet koko rahoitusjärjestelmään, maksujärjestelmistä ja maksujen käsittelytoimista on tullut ratkaisevan tärkeitä unionin rahoitusmarkkinoiden toiminnan kannalta. Tällaisiin järjestelmiin kohdistuvat kyberhyökkäykset voivat aiheuttaa vakavia toiminnallisia häiriöitä, joilla on suoria vaikutuksia keskeisiin taloudellisiin toimintoihin, kuten maksujen helpottamiseen, ja välillisiä vaikutuksia niihin liittyviin taloudellisiin prosesseihin. Siihen saakka, kunnes unionin tasolla otetaan käyttöön yhdenmukaistettu järjestelmä ja maksujärjestelmien ylläpitäjien ja käsittely-yksiköiden valvonta, jäsenvaltiot voivat samankaltaisten markkinakäytäntöjen soveltamiseksi hyödyntää tässä asetuksessa säädettyjä digitaalista häiriönsietokykyä koskevia vaatimuksia soveltaessaan sääntöjä omalla lainkäyttöalueellaan valvottuihin maksujärjestelmien ylläpitäjiin ja käsittely-yksiköihin.

| (105) | Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän asetuksen tavoitetta eli saavuttaa säänneltyjen finanssiyhteisöiden digitaalisen häiriönsietokyvyn korkeaa tasoa, koska se edellyttää lukuisten erilaisten sääntöjen yhdenmukaistamista unionin oikeudessa ja kansallisessa lainsäädännössä, vaan se voidaan toiminnan laajuuden ja vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen kyseisen tavoitteen saavuttamiseksi. |
| --- | --- |

(105)

Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän asetuksen tavoitetta eli saavuttaa säänneltyjen finanssiyhteisöiden digitaalisen häiriönsietokyvyn korkeaa tasoa, koska se edellyttää lukuisten erilaisten sääntöjen yhdenmukaistamista unionin oikeudessa ja kansallisessa lainsäädännössä, vaan se voidaan toiminnan laajuuden ja vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen kyseisen tavoitteen saavuttamiseksi.

| (106) | Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (29) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausunnon 10 päivänä toukokuuta 2021 (30), |
| --- | --- |

(106)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (29) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausunnon 10 päivänä toukokuuta 2021 (30),

OVAT HYVÄKSYNEET TÄMÄN ASETUKSEN:

I LUKU

Yleiset säännökset

1 artikla

Kohde

1.   Yhteisen digitaalisen häiriönsietokyvyn korkean tason saavuttamiseksi tässä asetuksessa vahvistetaan yhdenmukaiset vaatimukset, jotka koskevat finanssiyhteisöjen liiketoimintaprosesseja tukevien verkko- ja tietojärjestelmien turvallisuutta, seuraavasti:

| a) | vaatimukset, joita sovelletaan finanssiyhteisöihin seuraavien seikkojen osalta:






  i) | tieto- ja viestintätekniikan, jäljempänä ’TVT’, riskinhallinta; |
| --- | --- | --- |

a)

vaatimukset, joita sovelletaan finanssiyhteisöihin seuraavien seikkojen osalta:

i)

tieto- ja viestintätekniikan, jäljempänä ’TVT’, riskinhallinta;

| ii) | laajamittaisten TVT:hen liittyvien poikkeamien raportointi ja vapaaehtoinen ilmoittaminen merkittävistä kyberuhkista toimivaltaisille viranomaisille; |
| --- | --- |

ii)

laajamittaisten TVT:hen liittyvien poikkeamien raportointi ja vapaaehtoinen ilmoittaminen merkittävistä kyberuhkista toimivaltaisille viranomaisille;

| iii) | jäljempänä 2 artiklan 1 kohdan a–d alakohdassa tarkoitetut finanssiyhteisöt raportoivat toiminnan harjoittamiseen tai turvallisuuteen vaikuttavista maksuihin liittyvistä laajavaikutteisista poikkeamista toimivaltaisille viranomaisille; |
| --- | --- |

iii)

jäljempänä 2 artiklan 1 kohdan a–d alakohdassa tarkoitetut finanssiyhteisöt raportoivat toiminnan harjoittamiseen tai turvallisuuteen vaikuttavista maksuihin liittyvistä laajavaikutteisista poikkeamista toimivaltaisille viranomaisille;

| iv) | digitaalisen häiriönsietokyvyn testaus; |
| --- | --- |

iv)

digitaalisen häiriönsietokyvyn testaus;

| v) | kyberuhkia ja haavoittuvuuksia koskevien tietojen ja tiedustelutietojen jakaminen; |
| --- | --- |

v)

kyberuhkia ja haavoittuvuuksia koskevien tietojen ja tiedustelutietojen jakaminen;

| vi) | toimenpiteet, joilla varmistetaan, että kolmansiin osapuoliin liittyvää TVT-riskiä hallinnoidaan moitteettomasti; |
| --- | --- |

vi)

toimenpiteet, joilla varmistetaan, että kolmansiin osapuoliin liittyvää TVT-riskiä hallinnoidaan moitteettomasti;

| b) | vaatimukset, jotka koskevat TVT-palveluntarjoajana olevien kolmansien osapuolten ja finanssiyhteisöjen välillä tehtyjä sopimusjärjestelyjä; |
| --- | --- |

b)

vaatimukset, jotka koskevat TVT-palveluntarjoajana olevien kolmansien osapuolten ja finanssiyhteisöjen välillä tehtyjä sopimusjärjestelyjä;

| c) | säännöt, jotka koskevat sellaisen valvontakehyksen perustamista ja toteuttamista, jota sovelletaan kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin niiden tarjotessa palveluja finanssiyhteisöille; |
| --- | --- |

c)

säännöt, jotka koskevat sellaisen valvontakehyksen perustamista ja toteuttamista, jota sovelletaan kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin niiden tarjotessa palveluja finanssiyhteisöille;

| d) | säännöt, jotka koskevat yhteistyötä toimivaltaisten viranomaisten kesken, ja säännöt, jotka koskevat toimivaltaisten viranomaisten suorittamaa valvontaa ja täytäntöönpanoa kaikkien tämän asetuksen soveltamisalaan kuuluvien seikkojen osalta. |
| --- | --- |

d)

säännöt, jotka koskevat yhteistyötä toimivaltaisten viranomaisten kesken, ja säännöt, jotka koskevat toimivaltaisten viranomaisten suorittamaa valvontaa ja täytäntöönpanoa kaikkien tämän asetuksen soveltamisalaan kuuluvien seikkojen osalta.

2.   Niiden finanssiyhteisöjen osalta, jotka määritellään direktiivin (EU) 2022/2555 3 artiklan kansalliseen lainsäädäntöön sisällyttävissä kansallisissa säännöissä keskeisiksi ja tärkeiksi toimijoiksi, tätä asetusta pidetään alakohtaisena unionin säädöksenä mainitun direktiivin 4 artiklan soveltamista varten.

3.   Tämä asetus ei vaikuta jäsenvaltioiden vastuuseen keskeisistä valtion tehtävistä yleisen turvallisuuden, puolustuksen ja kansallisen turvallisuuden alalla unionin oikeuden mukaisesti.

2 artikla

Soveltamisala

1.   Tätä asetusta sovelletaan seuraaviin yhteisöihin, sanotun kuitenkaan rajoittamatta 3 ja 4 kohdan soveltamista:

| a) | luottolaitokset; |
| --- | --- |

a)

luottolaitokset;

| b) | maksulaitokset, mukaan lukien direktiivin (EU) 2015/2366 nojalla vapautetut maksulaitokset; |
| --- | --- |

b)

maksulaitokset, mukaan lukien direktiivin (EU) 2015/2366 nojalla vapautetut maksulaitokset;

| c) | tilitietopalvelun tarjoajat; |
| --- | --- |

c)

tilitietopalvelun tarjoajat;

| d) | sähköisen rahan liikkeeseenlaskijalaitokset, mukaan lukien direktiivin 2009/110/EY nojalla vapautetut sähköisen rahan liikkeeseenlaskijalaitokset; |
| --- | --- |

d)

sähköisen rahan liikkeeseenlaskijalaitokset, mukaan lukien direktiivin 2009/110/EY nojalla vapautetut sähköisen rahan liikkeeseenlaskijalaitokset;

| e) | sijoituspalveluyritykset; |
| --- | --- |

e)

sijoituspalveluyritykset;

| f) | kryptovarapalvelun tarjoajat, jotka hyväksytään kryptovarojen markkinoista ja asetusten (EU) N:o 1093/2010 ja (EU) N:o 1095/2010 sekä direktiivien 2013/36/EU ja (EU) 2019/1937 muuttamisesta annettavan Euroopan parlamentin ja neuvoston asetuksen, jäljempänä ’kryptovarojen markkinoita koskeva asetus’, nojalla, ja referenssivaratokenien liikkeeseenlaskijat; |
| --- | --- |

f)

kryptovarapalvelun tarjoajat, jotka hyväksytään kryptovarojen markkinoista ja asetusten (EU) N:o 1093/2010 ja (EU) N:o 1095/2010 sekä direktiivien 2013/36/EU ja (EU) 2019/1937 muuttamisesta annettavan Euroopan parlamentin ja neuvoston asetuksen, jäljempänä ’kryptovarojen markkinoita koskeva asetus’, nojalla, ja referenssivaratokenien liikkeeseenlaskijat;

| g) | arvopaperikeskukset; |
| --- | --- |

g)

arvopaperikeskukset;

| h) | keskusvastapuolet; |
| --- | --- |

h)

keskusvastapuolet;

| i) | kauppapaikat; |
| --- | --- |

i)

kauppapaikat;

| j) | kauppatietorekisterit; |
| --- | --- |

j)

kauppatietorekisterit;

| k) | vaihtoehtoisten sijoitusrahastojen hoitajat; |
| --- | --- |

k)

vaihtoehtoisten sijoitusrahastojen hoitajat;

| l) | rahastoyhtiöt; |
| --- | --- |

l)

rahastoyhtiöt;

| m) | raportointipalvelujen tarjoajat; |
| --- | --- |

m)

raportointipalvelujen tarjoajat;

| n) | vakuutus- ja jälleenvakuutusyritykset; |
| --- | --- |

n)

vakuutus- ja jälleenvakuutusyritykset;

| o) | vakuutus- ja jälleenvakuutusedustajat sekä sivutoimiset vakuutusedustajat; |
| --- | --- |

o)

vakuutus- ja jälleenvakuutusedustajat sekä sivutoimiset vakuutusedustajat;

| p) | ammatillisia lisäeläkkeitä tarjoavat laitokset; |
| --- | --- |

p)

ammatillisia lisäeläkkeitä tarjoavat laitokset;

| q) | luottoluokituslaitokset; |
| --- | --- |

q)

luottoluokituslaitokset;

| r) | kriittisten vertailuarvojen hallinnoijat; |
| --- | --- |

r)

kriittisten vertailuarvojen hallinnoijat;

| s) | joukkorahoituspalvelun tarjoajat; |
| --- | --- |

s)

joukkorahoituspalvelun tarjoajat;

| t) | arvopaperistamisrekisterit; |
| --- | --- |

t)

arvopaperistamisrekisterit;

| u) | TVT-palveluntarjoajana olevat kolmannet osapuolet. |
| --- | --- |

u)

TVT-palveluntarjoajana olevat kolmannet osapuolet.

2.   Edellä 1 kohdan a–t alakohdassa tarkoitetuista yhteisöistä käytetään tätä asetusta sovellettaessa yhteisesti nimitystä ’finanssiyhteisöt’.

3.   Tätä asetusta ei sovelleta

| a) | direktiivin 2011/61/EU 3 artiklan 2 kohdassa tarkoitettuihin vaihtoehtoisten sijoitusrahastojen hoitajiin; |
| --- | --- |

a)

direktiivin 2011/61/EU 3 artiklan 2 kohdassa tarkoitettuihin vaihtoehtoisten sijoitusrahastojen hoitajiin;

| b) | direktiivin 2009/138/EY 4 artiklassa tarkoitettuihin vakuutus- ja jälleenvakuutusyrityksiin; |
| --- | --- |

b)

direktiivin 2009/138/EY 4 artiklassa tarkoitettuihin vakuutus- ja jälleenvakuutusyrityksiin;

| c) | ammatillisia lisäeläkkeitä tarjoaviin laitoksiin, jotka hallinnoivat eläkejärjestelmiä, joissa on yhteensä enintään 15 jäsentä; |
| --- | --- |

c)

ammatillisia lisäeläkkeitä tarjoaviin laitoksiin, jotka hallinnoivat eläkejärjestelmiä, joissa on yhteensä enintään 15 jäsentä;

| d) | luonnollisiin tai oikeushenkilöihin, joihin sovelletaan poikkeusta direktiivin 2014/65/EU 2 ja 3 artiklan nojalla; |
| --- | --- |

d)

luonnollisiin tai oikeushenkilöihin, joihin sovelletaan poikkeusta direktiivin 2014/65/EU 2 ja 3 artiklan nojalla;

| e) | vakuutus- ja jälleenvakuutusedustajiin ja sivutoimisiin vakuutusedustajiin, jotka ovat mikroyrityksiä taikka pieniä tai keskisuuria yrityksiä; |
| --- | --- |

e)

vakuutus- ja jälleenvakuutusedustajiin ja sivutoimisiin vakuutusedustajiin, jotka ovat mikroyrityksiä taikka pieniä tai keskisuuria yrityksiä;

| f) | direktiivin 2013/36/EU 2 artiklan 5 kohdan 3 alakohdassa tarkoitettuihin postisiirtoa hoitaviin laitoksiin. |
| --- | --- |

f)

direktiivin 2013/36/EU 2 artiklan 5 kohdan 3 alakohdassa tarkoitettuihin postisiirtoa hoitaviin laitoksiin.

4.   Jäsenvaltiot voivat jättää tämän asetuksen soveltamisalan ulkopuolelle direktiivin 2013/36/EU 2 artiklan 5 kohdan 4–23 alakohdassa tarkoitetut yhteisöt, jotka sijaitsevat niiden alueella. Jos jäsenvaltio käyttää tällaista mahdollisuutta, sen on ilmoitettava komissiolle siitä ja soveltamisalan ulkopuolelle jättämisen mahdollisista myöhemmistä muutoksista. Komissio asettaa kyseiset tiedot julkisesti saataville verkkosivustollaan tai muilla helposti saatavilla olevilla keinoilla.

3 artikla

Määritelmät

Tässä asetuksessa tarkoitetaan

| 1) | ’digitaalisella häiriönsietokyvyllä’ finanssiyhteisön kykyä luoda ja turvata toimintavarmuutensa ja luotettavuutensa ja tarkastella sitä uudelleen varmistamalla joko suoraan tai epäsuorasti TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamia palveluja käyttäen kaikki TVT-valmiudet, jotka tarvitaan finanssiyhteisön käyttämien verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi ja jotka tukevat finanssipalvelujen tarjonnan jatkumista ja niiden laatua myös häiriöiden aikana; |
| --- | --- |

1)

’digitaalisella häiriönsietokyvyllä’ finanssiyhteisön kykyä luoda ja turvata toimintavarmuutensa ja luotettavuutensa ja tarkastella sitä uudelleen varmistamalla joko suoraan tai epäsuorasti TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamia palveluja käyttäen kaikki TVT-valmiudet, jotka tarvitaan finanssiyhteisön käyttämien verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi ja jotka tukevat finanssipalvelujen tarjonnan jatkumista ja niiden laatua myös häiriöiden aikana;

| 2) | ’verkko- ja tietojärjestelmällä’ direktiivin (EU) 2022/2555 6 artiklan 1 alakohdassa määriteltyä verkko- ja tietojärjestelmää; |
| --- | --- |

2)

’verkko- ja tietojärjestelmällä’ direktiivin (EU) 2022/2555 6 artiklan 1 alakohdassa määriteltyä verkko- ja tietojärjestelmää;

| 3) | ’aiemman sukupolven TVT-järjestelmällä’ TVT-järjestelmää, joka on saavuttanut elinkaarensa lopun (käyttöikänsä lopun) ja joka ei teknisistä tai kaupallisista syistä sovellu päivitettäväksi tai korjattavaksi tai jota sen toimittaja tai TVT-palveluntarjoajana oleva kolmas osapuoli ei enää tue mutta joka on edelleen käytössä ja tukee finanssiyhteisön toimintoja; |
| --- | --- |

3)

’aiemman sukupolven TVT-järjestelmällä’ TVT-järjestelmää, joka on saavuttanut elinkaarensa lopun (käyttöikänsä lopun) ja joka ei teknisistä tai kaupallisista syistä sovellu päivitettäväksi tai korjattavaksi tai jota sen toimittaja tai TVT-palveluntarjoajana oleva kolmas osapuoli ei enää tue mutta joka on edelleen käytössä ja tukee finanssiyhteisön toimintoja;

| 4) | ’verkko- ja tietojärjestelmien turvallisuudella’ direktiivin (EU) 2022/2555 6 artiklan 2 alakohdassa määriteltyä verkko- ja tietojärjestelmien turvallisuutta; |
| --- | --- |

4)

’verkko- ja tietojärjestelmien turvallisuudella’ direktiivin (EU) 2022/2555 6 artiklan 2 alakohdassa määriteltyä verkko- ja tietojärjestelmien turvallisuutta;

| 5) | ’TVT-riskillä’ mitä tahansa kohtuudella tunnistettavissa olevaa verkko- ja tietojärjestelmien käyttöön liittyvää olosuhdetta, joka toteutuessaan voi vaarantaa verkko- ja tietojärjestelmien, minkä tahansa teknologiasta riippuvaisen välineen tai prosessin, toimintojen ja prosessien tai palvelujen tarjoamisen turvallisuuden aiheuttamalla kielteisiä vaikutuksia digitaalisessa tai fyysisessä ympäristössä; |
| --- | --- |

5)

’TVT-riskillä’ mitä tahansa kohtuudella tunnistettavissa olevaa verkko- ja tietojärjestelmien käyttöön liittyvää olosuhdetta, joka toteutuessaan voi vaarantaa verkko- ja tietojärjestelmien, minkä tahansa teknologiasta riippuvaisen välineen tai prosessin, toimintojen ja prosessien tai palvelujen tarjoamisen turvallisuuden aiheuttamalla kielteisiä vaikutuksia digitaalisessa tai fyysisessä ympäristössä;

| 6) | ’tieto-omaisuudella’ aineellista tai aineetonta tietokokonaisuutta, joka on suojaamisen arvoinen; |
| --- | --- |

6)

’tieto-omaisuudella’ aineellista tai aineetonta tietokokonaisuutta, joka on suojaamisen arvoinen;

| 7) | ’TVT-omaisuudella’ finanssiyhteisön käyttämissä verkko- ja tietojärjestelmissä olevaa ohjelmistoa tai laitteistoa; |
| --- | --- |

7)

’TVT-omaisuudella’ finanssiyhteisön käyttämissä verkko- ja tietojärjestelmissä olevaa ohjelmistoa tai laitteistoa;

| 8) | ’TVT:hen liittyvällä poikkeamalla’ yksittäistä tapahtumaa tai toisiinsa liittyvien tapahtumien sarjaa, jota finanssiyhteisö ei ole ennakoinut ja joka vaarantaa verkko- ja tietojärjestelmien turvallisuuden ja vaikuttaa haitallisesti datan saatavuuteen, aitouteen, eheyteen tai luottamuksellisuuteen tai finanssiyhteisön tarjoamiin palveluihin; |
| --- | --- |

8)

’TVT:hen liittyvällä poikkeamalla’ yksittäistä tapahtumaa tai toisiinsa liittyvien tapahtumien sarjaa, jota finanssiyhteisö ei ole ennakoinut ja joka vaarantaa verkko- ja tietojärjestelmien turvallisuuden ja vaikuttaa haitallisesti datan saatavuuteen, aitouteen, eheyteen tai luottamuksellisuuteen tai finanssiyhteisön tarjoamiin palveluihin;

| 9) | ’toiminnan harjoittamiseen tai turvallisuuteen vaikuttavalla maksuihin liittyvällä poikkeamalla’ yksittäistä tapahtumaa tai toisiinsa liittyvien tapahtumien sarjaa, jota 2 artiklan 1 kohdan a–d alakohdassa tarkoitetut finanssiyhteisöt eivät ole ennakoineet, riippumatta siitä, liittyykö se TVT:hen vai ei, ja jolla on kielteinen vaikutus maksutietojen saatavuuteen, aitouteen, eheyteen tai luottamuksellisuuteen tai finanssiyhtiön tarjoamiin maksuihin liittyviin palveluihin; |
| --- | --- |

9)

’toiminnan harjoittamiseen tai turvallisuuteen vaikuttavalla maksuihin liittyvällä poikkeamalla’ yksittäistä tapahtumaa tai toisiinsa liittyvien tapahtumien sarjaa, jota 2 artiklan 1 kohdan a–d alakohdassa tarkoitetut finanssiyhteisöt eivät ole ennakoineet, riippumatta siitä, liittyykö se TVT:hen vai ei, ja jolla on kielteinen vaikutus maksutietojen saatavuuteen, aitouteen, eheyteen tai luottamuksellisuuteen tai finanssiyhtiön tarjoamiin maksuihin liittyviin palveluihin;

| 10) | ’laajavaikutteisella TVT:hen liittyvällä poikkeamalla’ TVT:hen liittyvää poikkeamaa, jolla on suuri haittavaikutus finanssiyhteisön kriittisiä tai tärkeitä toimintoja tukeviin verkko- ja tietojärjestelmiin; |
| --- | --- |

10)

’laajavaikutteisella TVT:hen liittyvällä poikkeamalla’ TVT:hen liittyvää poikkeamaa, jolla on suuri haittavaikutus finanssiyhteisön kriittisiä tai tärkeitä toimintoja tukeviin verkko- ja tietojärjestelmiin;

| 11) | ’toiminnan harjoittamiseen tai turvallisuuteen vaikuttavalla maksuihin liittyvällä laajavaikutteisella poikkeamalla’ toiminnan harjoittamiseen tai turvallisuuteen vaikuttavaa maksuihin liittyvää poikkeamaa, jolla on suuri kielteinen vaikutus tarjottuihin maksuihin liittyviin palveluihin; |
| --- | --- |

11)

’toiminnan harjoittamiseen tai turvallisuuteen vaikuttavalla maksuihin liittyvällä laajavaikutteisella poikkeamalla’ toiminnan harjoittamiseen tai turvallisuuteen vaikuttavaa maksuihin liittyvää poikkeamaa, jolla on suuri kielteinen vaikutus tarjottuihin maksuihin liittyviin palveluihin;

| 12) | ’kyberuhalla’ asetuksen (EU) 2019/881 2 artiklan 8 alakohdassa määriteltyä ’kyberuhkaa’; |
| --- | --- |

12)

’kyberuhalla’ asetuksen (EU) 2019/881 2 artiklan 8 alakohdassa määriteltyä ’kyberuhkaa’;

| 13) | ’merkittävällä kyberuhalla’ kyberuhkaa, jonka tekniset ominaisuudet viittaavat siihen, että se voisi johtaa laajavaikutteiseen TVT:hen liittyvään poikkeamaan taikka toiminnan harjoittamiseen tai turvallisuuteen vaikuttavaan maksuihin liittyvään laajavaikutteiseen poikkeamaan; |
| --- | --- |

13)

’merkittävällä kyberuhalla’ kyberuhkaa, jonka tekniset ominaisuudet viittaavat siihen, että se voisi johtaa laajavaikutteiseen TVT:hen liittyvään poikkeamaan taikka toiminnan harjoittamiseen tai turvallisuuteen vaikuttavaan maksuihin liittyvään laajavaikutteiseen poikkeamaan;

| 14) | ’kyberhyökkäyksellä’ minkä tahansa uhkatoimijan tahallisesti aiheuttamaa vihamielistä TVT:hen liittyvää poikkeamaa, jonka tarkoituksena on tuhota, paljastaa, muuttaa, tehdä toimintakyvyttömäksi tai varastaa jokin omaisuuserä tai hankkia siihen luvaton pääsy tai käyttää sitä ilman lupaa; |
| --- | --- |

14)

’kyberhyökkäyksellä’ minkä tahansa uhkatoimijan tahallisesti aiheuttamaa vihamielistä TVT:hen liittyvää poikkeamaa, jonka tarkoituksena on tuhota, paljastaa, muuttaa, tehdä toimintakyvyttömäksi tai varastaa jokin omaisuuserä tai hankkia siihen luvaton pääsy tai käyttää sitä ilman lupaa;

| 15) | ’uhkatiedustelutiedolla’ tietoa, joka on yhdistetty, muunnettu tai analysoitu tai jota on tulkittu tai parannettu niin, että se muodostaa päätöksenteossa tarvittavan kontekstin, ja sen avulla voidaan saada asiasta merkityksellinen ja riittävä käsitys TVT:hen liittyvän poikkeaman tai kyberuhkan vaikutusten lieventämiseksi, mukaan lukien kyberhyökkäyksen tekniset yksityiskohdat, hyökkäyksestä vastuussa olevat tahot sekä niiden toimintatavat ja toiminnan vaikuttimet; |
| --- | --- |

15)

’uhkatiedustelutiedolla’ tietoa, joka on yhdistetty, muunnettu tai analysoitu tai jota on tulkittu tai parannettu niin, että se muodostaa päätöksenteossa tarvittavan kontekstin, ja sen avulla voidaan saada asiasta merkityksellinen ja riittävä käsitys TVT:hen liittyvän poikkeaman tai kyberuhkan vaikutusten lieventämiseksi, mukaan lukien kyberhyökkäyksen tekniset yksityiskohdat, hyökkäyksestä vastuussa olevat tahot sekä niiden toimintatavat ja toiminnan vaikuttimet;

| 16) | ’haavoittuvuudella’ omaisuuserän, järjestelmän, prosessin tai valvonnan heikkoutta, herkkyyttä tai vikaa, jota voidaan hyödyntää; |
| --- | --- |

16)

’haavoittuvuudella’ omaisuuserän, järjestelmän, prosessin tai valvonnan heikkoutta, herkkyyttä tai vikaa, jota voidaan hyödyntää;

| 17) | ’uhkaperusteisella tunkeutumistestauksella’ toimintaa, jossa jäljitellään aitona kyberuhkana pidettyjen todellisten uhkatoimijoiden taktiikoita, tekniikoita ja menettelyjä ja jonka avulla finanssiyhteisön kriittisille toiminnassa oleville tuotantojärjestelmille tehdään valvottu, räätälöity, tiedustelutietoon perustuva hyökkäystestaus (ns. red team); |
| --- | --- |

17)

’uhkaperusteisella tunkeutumistestauksella’ toimintaa, jossa jäljitellään aitona kyberuhkana pidettyjen todellisten uhkatoimijoiden taktiikoita, tekniikoita ja menettelyjä ja jonka avulla finanssiyhteisön kriittisille toiminnassa oleville tuotantojärjestelmille tehdään valvottu, räätälöity, tiedustelutietoon perustuva hyökkäystestaus (ns. red team);

| 18) | ’kolmansiin osapuoliin liittyvällä TVT-riskillä’ TVT-riskejä, joita finanssiyhteisö voi kohdata käyttäessään TVT-palveluntarjoajana olevien kolmansien osapuolten tai niiden alihankkijoiden tarjoamia TVT-palveluja, myös ulkoistamisjärjestelyjen kautta hankittuja; |
| --- | --- |

18)

’kolmansiin osapuoliin liittyvällä TVT-riskillä’ TVT-riskejä, joita finanssiyhteisö voi kohdata käyttäessään TVT-palveluntarjoajana olevien kolmansien osapuolten tai niiden alihankkijoiden tarjoamia TVT-palveluja, myös ulkoistamisjärjestelyjen kautta hankittuja;

| 19) | ’TVT-palveluntarjoajana olevilla kolmansilla osapuolilla’ yrityksiä, jotka tarjoavat TVT-palveluja; |
| --- | --- |

19)

’TVT-palveluntarjoajana olevilla kolmansilla osapuolilla’ yrityksiä, jotka tarjoavat TVT-palveluja;

| 20) | ’konsernin sisäisellä TVT-palveluntarjoajalla’ yritystä, joka on osa finanssikonsernia ja tarjoaa pääasiassa TVT-palveluja samaan konserniin kuuluville finanssiyhteisöille tai samaan laitosten suojajärjestelmään kuuluville finanssiyhteisöille, myös niiden emoyrityksille, tytäryhtiöille ja sivuliikkeille tai muille yhteisöille, jotka ovat yhteisessä omistuksessa tai yhteisen määräysvallan alaisia; |
| --- | --- |

20)

’konsernin sisäisellä TVT-palveluntarjoajalla’ yritystä, joka on osa finanssikonsernia ja tarjoaa pääasiassa TVT-palveluja samaan konserniin kuuluville finanssiyhteisöille tai samaan laitosten suojajärjestelmään kuuluville finanssiyhteisöille, myös niiden emoyrityksille, tytäryhtiöille ja sivuliikkeille tai muille yhteisöille, jotka ovat yhteisessä omistuksessa tai yhteisen määräysvallan alaisia;

| 21) | ’TVT-palveluilla’ TVT-järjestelmien kautta yhdelle tai useammalle sisäiselle tai ulkopuoliselle käyttäjälle jatkuvasti tarjottavia digitaalisia ja datapalveluja, mukaan lukien laitteistot palveluna ja laitteistopalvelut, joihin sisältyy teknisen tuen tarjoaminen laitteiston tarjoajan ohjelmisto- tai laiteohjelmistopäivitysten kautta, lukuun ottamatta perinteisiä analogisia puhelinpalveluja; |
| --- | --- |

21)

’TVT-palveluilla’ TVT-järjestelmien kautta yhdelle tai useammalle sisäiselle tai ulkopuoliselle käyttäjälle jatkuvasti tarjottavia digitaalisia ja datapalveluja, mukaan lukien laitteistot palveluna ja laitteistopalvelut, joihin sisältyy teknisen tuen tarjoaminen laitteiston tarjoajan ohjelmisto- tai laiteohjelmistopäivitysten kautta, lukuun ottamatta perinteisiä analogisia puhelinpalveluja;

| 22) | ’kriittisellä tai tärkeällä toiminnolla’ toimintoa, jonka häiriö heikentäisi olennaisesti finanssiyhteisön taloudellista tuloksellisuutta tai sen palvelujen ja toimintojen moitteettomuutta tai jatkuvuutta tai jonka keskeytyminen, vikaantuminen tai puuttuminen heikentäisi olennaisesti finanssiyhteisön kykyä noudattaa jatkuvasti toimilupansa mukaisia ehtoja ja velvoitteita tai sovellettavan finanssipalvelulainsäädännön mukaisia muita velvoitteittaan; |
| --- | --- |

22)

’kriittisellä tai tärkeällä toiminnolla’ toimintoa, jonka häiriö heikentäisi olennaisesti finanssiyhteisön taloudellista tuloksellisuutta tai sen palvelujen ja toimintojen moitteettomuutta tai jatkuvuutta tai jonka keskeytyminen, vikaantuminen tai puuttuminen heikentäisi olennaisesti finanssiyhteisön kykyä noudattaa jatkuvasti toimilupansa mukaisia ehtoja ja velvoitteita tai sovellettavan finanssipalvelulainsäädännön mukaisia muita velvoitteittaan;

| 23) | ’kriittisellä TVT-palveluntarjoajana olevalla kolmannella osapuolella’ TVT-palveluntarjoajana olevaa kolmatta osapuolta, joka on nimetty kriittiseksi 31 artiklan mukaisesti; |
| --- | --- |

23)

’kriittisellä TVT-palveluntarjoajana olevalla kolmannella osapuolella’ TVT-palveluntarjoajana olevaa kolmatta osapuolta, joka on nimetty kriittiseksi 31 artiklan mukaisesti;

| 24) | ’kolmanteen maahan sijoittautuneella TVT-palveluntarjoajana olevalla kolmannella osapuolella’ TVT-palveluntarjoajana olevaa kolmatta osapuolta, joka on kolmanteen maahan sijoittautunut oikeushenkilö ja joka on tehnyt finanssiyhteisön kanssa TVT-palvelujen tarjoamista koskevan sopimusjärjestelyn; |
| --- | --- |

24)

’kolmanteen maahan sijoittautuneella TVT-palveluntarjoajana olevalla kolmannella osapuolella’ TVT-palveluntarjoajana olevaa kolmatta osapuolta, joka on kolmanteen maahan sijoittautunut oikeushenkilö ja joka on tehnyt finanssiyhteisön kanssa TVT-palvelujen tarjoamista koskevan sopimusjärjestelyn;

| 25) | ’tytäryrityksellä’ direktiivin 2013/34/EU 2 artiklan 10 alakohdassa ja 22 artiklassa tarkoitettua tytäryritystä; |
| --- | --- |

25)

’tytäryrityksellä’ direktiivin 2013/34/EU 2 artiklan 10 alakohdassa ja 22 artiklassa tarkoitettua tytäryritystä;

| 26) | ’konsernilla’ direktiivin 2013/34/EU 2 artiklan 11 alakohdassa määriteltyä konsernia; |
| --- | --- |

26)

’konsernilla’ direktiivin 2013/34/EU 2 artiklan 11 alakohdassa määriteltyä konsernia;

| 27) | ’emoyrityksellä’ direktiivin 2013/34/EU 2 artiklan 9 alakohdassa ja 22 artiklassa tarkoitettua emoyritystä; |
| --- | --- |

27)

’emoyrityksellä’ direktiivin 2013/34/EU 2 artiklan 9 alakohdassa ja 22 artiklassa tarkoitettua emoyritystä;

| 28) | ’kolmanteen maahan sijoittautuneella TVT-alihankkijalla’ TVT-alihankkijaa, joka on kolmanteen maahan sijoittautunut oikeushenkilö ja joka on tehnyt sopimusjärjestelyn joko TVT-palveluntarjoajana olevan kolmannen osapuolen tai kolmanteen maahan sijoittautuneen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa; |
| --- | --- |

28)

’kolmanteen maahan sijoittautuneella TVT-alihankkijalla’ TVT-alihankkijaa, joka on kolmanteen maahan sijoittautunut oikeushenkilö ja joka on tehnyt sopimusjärjestelyn joko TVT-palveluntarjoajana olevan kolmannen osapuolen tai kolmanteen maahan sijoittautuneen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa;

| 29) | ’TVT-keskittymäriskillä’ sitä, että käytetään yhtä tai useampaa toisiinsa liittyvää kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta, mikä johtaa sellaiseen riippuvuuteen tällaisista palveluntarjoajista, että kun ne eivät ole käytettävissä tai kun niiden toiminta keskeytyy tai siihen liittyy muita puutteita, tämä voi vaarantaa finanssiyhteisön kyvyn suorittaa kriittisiä tai tärkeitä toimintoja tai aiheuttaa finanssiyhteisölle muita haittavaikutuksia, myös suuria menetyksiä, taikka vaarantaa koko unionin rahoitusjärjestelmän vakauden; |
| --- | --- |

29)

’TVT-keskittymäriskillä’ sitä, että käytetään yhtä tai useampaa toisiinsa liittyvää kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta, mikä johtaa sellaiseen riippuvuuteen tällaisista palveluntarjoajista, että kun ne eivät ole käytettävissä tai kun niiden toiminta keskeytyy tai siihen liittyy muita puutteita, tämä voi vaarantaa finanssiyhteisön kyvyn suorittaa kriittisiä tai tärkeitä toimintoja tai aiheuttaa finanssiyhteisölle muita haittavaikutuksia, myös suuria menetyksiä, taikka vaarantaa koko unionin rahoitusjärjestelmän vakauden;

| 30) | ’ylimmällä hallintoelimellä’ direktiivin 2014/65/EU 4 artiklan 1 kohdan 36 alakohdassa, direktiivin 2013/36/EU 3 artiklan 1 kohdan 7 alakohdassa, Euroopan parlamentin ja neuvoston direktiivin 2009/65//EY (31) 2 artiklan 1 kohdan s alakohdassa, asetuksen (EU) N:o 909/2014 2 artiklan 1 kohdan 45 alakohdassa, asetuksen (EU) 2016/1011 3 artiklan 1 kohdan 20 alakohdassa, kryptovarojen markkinoita koskevan asetuksen asiaankuuluvassa säännöksessä määriteltyä ylintä hallintoelintä tai vastaavia henkilöitä, jotka tosiasiallisesti johtavat yhteisöä tai hoitavat asiaa koskevan unionin oikeuden tai kansallisen lainsäädännön mukaisia keskeisiä tehtäviä; |
| --- | --- |

30)

’ylimmällä hallintoelimellä’ direktiivin 2014/65/EU 4 artiklan 1 kohdan 36 alakohdassa, direktiivin 2013/36/EU 3 artiklan 1 kohdan 7 alakohdassa, Euroopan parlamentin ja neuvoston direktiivin 2009/65//EY (31) 2 artiklan 1 kohdan s alakohdassa, asetuksen (EU) N:o 909/2014 2 artiklan 1 kohdan 45 alakohdassa, asetuksen (EU) 2016/1011 3 artiklan 1 kohdan 20 alakohdassa, kryptovarojen markkinoita koskevan asetuksen asiaankuuluvassa säännöksessä määriteltyä ylintä hallintoelintä tai vastaavia henkilöitä, jotka tosiasiallisesti johtavat yhteisöä tai hoitavat asiaa koskevan unionin oikeuden tai kansallisen lainsäädännön mukaisia keskeisiä tehtäviä;

31

| 31) | ’luottolaitoksella’ Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 575/2013 (32) 4 artiklan 1 kohdan 1 alakohdassa määriteltyä luottolaitosta; |
| --- | --- |

31)

’luottolaitoksella’ Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 575/2013 (32) 4 artiklan 1 kohdan 1 alakohdassa määriteltyä luottolaitosta;

32

| 32) | ’direktiivin 2013/36/EU nojalla vapautetulla laitoksella’ direktiivin 2013/36/EU 2 artiklan 5 kohdan 4–23 alakohdassa tarkoitettua yhteisöä; |
| --- | --- |

32)

’direktiivin 2013/36/EU nojalla vapautetulla laitoksella’ direktiivin 2013/36/EU 2 artiklan 5 kohdan 4–23 alakohdassa tarkoitettua yhteisöä;

| 33) | ’sijoituspalveluyrityksellä’ direktiivin 2014/65/EU 4 artiklan 1 kohdan 1 alakohdassa määriteltyä sijoituspalveluyritystä; |
| --- | --- |

33)

’sijoituspalveluyrityksellä’ direktiivin 2014/65/EU 4 artiklan 1 kohdan 1 alakohdassa määriteltyä sijoituspalveluyritystä;

| 34) | ’pienellä ja ilman sidossuhteita olevalla sijoituspalveluyrityksellä’ sijoituspalveluyritystä, joka täyttää Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/2033 (33) 12 artiklan 1 kohdassa säädetyt edellytykset; |
| --- | --- |

34)

’pienellä ja ilman sidossuhteita olevalla sijoituspalveluyrityksellä’ sijoituspalveluyritystä, joka täyttää Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/2033 (33) 12 artiklan 1 kohdassa säädetyt edellytykset;

33

| 35) | ’maksulaitoksella’ direktiivin (EU) 2015/2366 4 artiklan 4 alakohdassa määriteltyä maksulaitosta; |
| --- | --- |

35)

’maksulaitoksella’ direktiivin (EU) 2015/2366 4 artiklan 4 alakohdassa määriteltyä maksulaitosta;

| 36) | ’direktiivin (EU) 2015/2366 nojalla vapautetulla maksulaitoksella’ maksulaitosta, johon sovelletaan vapautusta direktiivin (EU) 2015/2366 32 artiklan 1 kohdan nojalla; |
| --- | --- |

36)

’direktiivin (EU) 2015/2366 nojalla vapautetulla maksulaitoksella’ maksulaitosta, johon sovelletaan vapautusta direktiivin (EU) 2015/2366 32 artiklan 1 kohdan nojalla;

| 37) | ’tilitietopalvelun tarjoajalla’ direktiivin (EU) 2015/2366 33 artiklan 1 kohdassa tarkoitettua tilitietopalvelun tarjoajaa; |
| --- | --- |

37)

’tilitietopalvelun tarjoajalla’ direktiivin (EU) 2015/2366 33 artiklan 1 kohdassa tarkoitettua tilitietopalvelun tarjoajaa;

| 38) | ’sähköisen rahan liikkeeseenlaskijalaitoksella’ direktiivin 2009/110/EY 2 artiklan 1 alakohdassa määriteltyä sähköisen rahan liikkeeseenlaskijalaitosta; |
| --- | --- |

38)

’sähköisen rahan liikkeeseenlaskijalaitoksella’ direktiivin 2009/110/EY 2 artiklan 1 alakohdassa määriteltyä sähköisen rahan liikkeeseenlaskijalaitosta;

| 39) | ’direktiivin 2009/110/EY nojalla vapautetulla sähköisen rahan liikkeeseenlaskijalaitoksella’ sähköisen rahan liikkeeseenlaskijalaitosta, johon sovelletaan direktiivin 2009/110/EY 9 artiklan 1 kohdassa tarkoitettua poikkeusta; |
| --- | --- |

39)

’direktiivin 2009/110/EY nojalla vapautetulla sähköisen rahan liikkeeseenlaskijalaitoksella’ sähköisen rahan liikkeeseenlaskijalaitosta, johon sovelletaan direktiivin 2009/110/EY 9 artiklan 1 kohdassa tarkoitettua poikkeusta;

| 40) | ’keskusvastapuolella’ asetuksen (EU) N:o 648/2012 2 artiklan 1 alakohdassa määriteltyä keskusvastapuolta; |
| --- | --- |

40)

’keskusvastapuolella’ asetuksen (EU) N:o 648/2012 2 artiklan 1 alakohdassa määriteltyä keskusvastapuolta;

| 41) | ’kauppatietorekisterillä’ asetuksen (EU) N:o 648/2012 2 artiklan 2 alakohdassa määriteltyä kauppatietorekisteriä; |
| --- | --- |

41)

’kauppatietorekisterillä’ asetuksen (EU) N:o 648/2012 2 artiklan 2 alakohdassa määriteltyä kauppatietorekisteriä;

| 42) | ’arvopaperikeskuksella’ asetuksen (EU) N:o 909/2014 2 artiklan 1 kohdan 1 alakohdassa määriteltyä arvopaperikeskusta; |
| --- | --- |

42)

’arvopaperikeskuksella’ asetuksen (EU) N:o 909/2014 2 artiklan 1 kohdan 1 alakohdassa määriteltyä arvopaperikeskusta;

| 43) | ’kauppapaikalla’ direktiivin 2014/65/EU 4 artiklan 1 kohdan 24 alakohdassa määriteltyä kauppapaikkaa; |
| --- | --- |

43)

’kauppapaikalla’ direktiivin 2014/65/EU 4 artiklan 1 kohdan 24 alakohdassa määriteltyä kauppapaikkaa;

| 44) | ’vaihtoehtoisten sijoitusrahastojen hoitajalla’ direktiivin 2011/61/EU 4 artiklan 1 kohdan b alakohdassa määriteltyä vaihtoehtoisten sijoitusrahastojen hoitajaa; |
| --- | --- |

44)

’vaihtoehtoisten sijoitusrahastojen hoitajalla’ direktiivin 2011/61/EU 4 artiklan 1 kohdan b alakohdassa määriteltyä vaihtoehtoisten sijoitusrahastojen hoitajaa;

| 45) | ’rahastoyhtiöllä’ direktiivin 2009/65/EY 2 artiklan 1 kohdan b alakohdassa määriteltyä rahastoyhtiötä; |
| --- | --- |

45)

’rahastoyhtiöllä’ direktiivin 2009/65/EY 2 artiklan 1 kohdan b alakohdassa määriteltyä rahastoyhtiötä;

| 46) | ’raportointipalvelujen tarjoajalla’ asetuksen (EU) N:o 600/2014 2 artiklan 1 kohdan 34–36 alakohdassa tarkoitettua raportointipalvelujen tarjoajaa; |
| --- | --- |

46)

’raportointipalvelujen tarjoajalla’ asetuksen (EU) N:o 600/2014 2 artiklan 1 kohdan 34–36 alakohdassa tarkoitettua raportointipalvelujen tarjoajaa;

| 47) | ’vakuutusyrityksellä’ direktiivin 2009/138/EY 13 artiklan 1 alakohdassa määriteltyä vakuutusyritystä; |
| --- | --- |

47)

’vakuutusyrityksellä’ direktiivin 2009/138/EY 13 artiklan 1 alakohdassa määriteltyä vakuutusyritystä;

| 48) | ’jälleenvakuutusyrityksellä’ direktiivin 2009/138/EY 13 artiklan 4 alakohdassa määriteltyä jälleenvakuutusyritystä; |
| --- | --- |

48)

’jälleenvakuutusyrityksellä’ direktiivin 2009/138/EY 13 artiklan 4 alakohdassa määriteltyä jälleenvakuutusyritystä;

| 49) | ’vakuutusedustajalla’ Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/97 (34) 2 artiklan 1 kohdan 3 alakohdassa määriteltyä vakuutusedustajaa; |
| --- | --- |

49)

’vakuutusedustajalla’ Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/97 (34) 2 artiklan 1 kohdan 3 alakohdassa määriteltyä vakuutusedustajaa;

34

| 50) | ’sivutoimisella vakuutusedustajalla’ direktiivin (EU) 2016/97 2 artiklan 1 kohdan 4 alakohdassa määriteltyä sivutoimista vakuutusedustajaa; |
| --- | --- |

50)

’sivutoimisella vakuutusedustajalla’ direktiivin (EU) 2016/97 2 artiklan 1 kohdan 4 alakohdassa määriteltyä sivutoimista vakuutusedustajaa;

| 51) | ’jälleenvakuutusedustajalla’ direktiivin (EU) 2016/97 2 artiklan 1 kohdan 5 alakohdassa määriteltyä jälleenvakuutusedustajaa; |
| --- | --- |

51)

’jälleenvakuutusedustajalla’ direktiivin (EU) 2016/97 2 artiklan 1 kohdan 5 alakohdassa määriteltyä jälleenvakuutusedustajaa;

| 52) | ’ammatillisia lisäeläkkeitä tarjoavalla laitoksella’ direktiivin (EU) 2016/2341 6 artiklan 1 alakohdassa tarkoitettua ammatillisia lisäeläkkeitä tarjoavaa laitosta; |
| --- | --- |

52)

’ammatillisia lisäeläkkeitä tarjoavalla laitoksella’ direktiivin (EU) 2016/2341 6 artiklan 1 alakohdassa tarkoitettua ammatillisia lisäeläkkeitä tarjoavaa laitosta;

| 53) | ’pienellä ammatillisia lisäeläkkeitä tarjoavalla laitoksella’ ammatillisia lisäeläkkeitä tarjoavaa laitosta, joka hallinnoi eläkejärjestelmiä, joissa on yhteensä alle 100 jäsentä; |
| --- | --- |

53)

’pienellä ammatillisia lisäeläkkeitä tarjoavalla laitoksella’ ammatillisia lisäeläkkeitä tarjoavaa laitosta, joka hallinnoi eläkejärjestelmiä, joissa on yhteensä alle 100 jäsentä;

| 54) | ’luottoluokituslaitoksella’ asetuksen (EY) N:o 1060/2009 3 artiklan 1 kohdan b alakohdassa määriteltyä luottoluokituslaitosta; |
| --- | --- |

54)

’luottoluokituslaitoksella’ asetuksen (EY) N:o 1060/2009 3 artiklan 1 kohdan b alakohdassa määriteltyä luottoluokituslaitosta;

| 55) | ’kryptovarapalvelun tarjoajalla’ kryptovarojen markkinoita koskevan asetuksen asiaankuuluvassa säännöksessä määriteltyä kryptovarapalvelun tarjoajaa; |
| --- | --- |

55)

’kryptovarapalvelun tarjoajalla’ kryptovarojen markkinoita koskevan asetuksen asiaankuuluvassa säännöksessä määriteltyä kryptovarapalvelun tarjoajaa;

| 56) | ’referenssivaratokenien liikkeeseenlaskijalla’ kryptovarojen markkinoita koskevan asetuksen asiaankuuluvassa säännöksessä määriteltyä referenssivaratokenien liikkeeseenlaskijaa; |
| --- | --- |

56)

’referenssivaratokenien liikkeeseenlaskijalla’ kryptovarojen markkinoita koskevan asetuksen asiaankuuluvassa säännöksessä määriteltyä referenssivaratokenien liikkeeseenlaskijaa;

| 57) | ’kriittisten vertailuarvojen hallinnoijalla’ asetuksen (EU) 2016/1011 3 artiklan 1 kohdan 25 alakohdassa määriteltyjen kriittisten vertailuarvojen hallinnoijaa; |
| --- | --- |

57)

’kriittisten vertailuarvojen hallinnoijalla’ asetuksen (EU) 2016/1011 3 artiklan 1 kohdan 25 alakohdassa määriteltyjen kriittisten vertailuarvojen hallinnoijaa;

| 58) | ’joukkorahoituspalvelun tarjoajalla’ Euroopan parlamentin ja neuvoston asetuksen (EU) 2020/1503 (35) 2 artiklan 1 kohdan e alakohdassa määriteltyä joukkorahoituspalvelun tarjoajaa; |
| --- | --- |

58)

’joukkorahoituspalvelun tarjoajalla’ Euroopan parlamentin ja neuvoston asetuksen (EU) 2020/1503 (35) 2 artiklan 1 kohdan e alakohdassa määriteltyä joukkorahoituspalvelun tarjoajaa;

35

| 59) | ’arvopaperistamisrekisterillä’ Euroopan parlamentin ja neuvoston asetuksen (EU) 2017/2402 (36) 2 artiklan 23 kohdassa määriteltyä arvopaperistamisrekisteriä; |
| --- | --- |

59)

’arvopaperistamisrekisterillä’ Euroopan parlamentin ja neuvoston asetuksen (EU) 2017/2402 (36) 2 artiklan 23 kohdassa määriteltyä arvopaperistamisrekisteriä;

36

| 60) | ’mikroyrityksellä’ muuta finanssiyhteisöä kuin kauppapaikkaa, keskusvastapuolta, kauppatietorekisteriä tai arvopaperikeskusta, jonka palveluksessa on alle 10 henkilöä ja jonka vuosiliikevaihto ja/tai vuositaseen loppusumma on enintään 2 miljoonaa euroa; |
| --- | --- |

60)

’mikroyrityksellä’ muuta finanssiyhteisöä kuin kauppapaikkaa, keskusvastapuolta, kauppatietorekisteriä tai arvopaperikeskusta, jonka palveluksessa on alle 10 henkilöä ja jonka vuosiliikevaihto ja/tai vuositaseen loppusumma on enintään 2 miljoonaa euroa;

| 61) | ’päävalvojalla’ tämän asetuksen 31 artiklan 1 kohdan b alakohdan mukaisesti nimettyä Euroopan valvontaviranomaista; |
| --- | --- |

61)

’päävalvojalla’ tämän asetuksen 31 artiklan 1 kohdan b alakohdan mukaisesti nimettyä Euroopan valvontaviranomaista;

| 62) | ’yhteiskomitealla’ asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 54 artiklassa tarkoitettua komiteaa; |
| --- | --- |

62)

’yhteiskomitealla’ asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 54 artiklassa tarkoitettua komiteaa;

| 63) | ’pienellä yrityksellä’ finanssiyhteisöä, jonka palveluksessa on 10 tai yli työntekijää mutta alle 50 työntekijää ja jonka vuosiliikevaihto ja/tai vuositaseen loppusumma on yli 2 miljoonaa euroa mutta enintään 10 miljoonaa euroa; |
| --- | --- |

63)

’pienellä yrityksellä’ finanssiyhteisöä, jonka palveluksessa on 10 tai yli työntekijää mutta alle 50 työntekijää ja jonka vuosiliikevaihto ja/tai vuositaseen loppusumma on yli 2 miljoonaa euroa mutta enintään 10 miljoonaa euroa;

| 64) | ’keskisuurella yrityksellä’ finanssiyhteisöä, joka ei ole pieni yritys ja jonka palveluksessa on alle 250 työntekijää ja jonka vuosiliikevaihto on enintään 50 miljoonaa euroa ja/tai jonka vuositaseen loppusumma on enintään 43 miljoonaa euroa; |
| --- | --- |

64)

’keskisuurella yrityksellä’ finanssiyhteisöä, joka ei ole pieni yritys ja jonka palveluksessa on alle 250 työntekijää ja jonka vuosiliikevaihto on enintään 50 miljoonaa euroa ja/tai jonka vuositaseen loppusumma on enintään 43 miljoonaa euroa;

| 65) | ’viranomaisella’ mitä tahansa valtiollista tai muuta julkishallinnon elintä, kansalliset keskuspankit mukaan luettuina. |
| --- | --- |

65)

’viranomaisella’ mitä tahansa valtiollista tai muuta julkishallinnon elintä, kansalliset keskuspankit mukaan luettuina.

4 artikla

Suhteellisuusperiaate

1.   Finanssiyhteisöjen on pantava täytäntöön II luvussa säädetyt säännöt suhteellisuusperiaatteen mukaisesti ottaen huomioon kokonsa ja yleinen riskiprofiilinsa sekä palvelujensa, toimintansa ja toimintojensa luonne, laajuus ja monitahoisuus.

2.   Lisäksi sen, että finanssiyhteisöt soveltavat III, IV ja V luvun I jaksoa, on oltava oikeassa suhteessa niiden kokoon ja yleiseen riskiprofiiliin sekä niiden palvelujen, toiminnan ja toimintojen luonteeseen, laajuuteen ja monitahoisuuteen, kuten kyseisten lukujen asiaa koskevissa säännöissä nimenomaisesti säädetään.

3.   Toimivaltaisten viranomaisten on otettava huomioon, miten finanssiyhteisöt soveltavat suhteellisuusperiaatetta, kun ne tarkastelevat TVT-riskinhallintajärjestelmän johdonmukaisuutta toimivaltaisten viranomaisten pyynnöstä toimitettujen kertomusten perusteella 6 artiklan 5 kohdan ja 16 artiklan 2 kohdan nojalla.

II LUKU

TVT-riskin hallinta

I jakso

5 artikla

Hallinto ja organisaatio

1.   Finanssiyhteisöillä on oltava sisäinen hallinto- ja valvontakehys, jolla varmistetaan TVT-riskin tehokas ja järkevä hallinnointi 6 artiklan 4 kohdan mukaisesti, jotta voidaan saavuttaa digitaalisen häiriönsietokyvyn korkea taso.

2.   Finanssiyhteisön ylimmän hallintoelimen on määriteltävä ja vahvistettava kaikki 6 artiklan 1 kohdassa tarkoitettuun TVT-riskinhallintajärjestelmään liittyvät järjestelyt, valvottava niiden toteuttamista ja vastattava niistä.

Ensimmäisen alakohdan soveltamiseksi ylimmän hallintoelimen on

| a) | kannettava lopullinen vastuu finanssiyhteisön TVT-riskistä; |
| --- | --- |

a)

kannettava lopullinen vastuu finanssiyhteisön TVT-riskistä;

| b) | otettava käyttöön toimintatapoja, joilla pyritään pitämään datan saatavuus, aitous, eheys ja luottamuksellisuus korkealla tasolla; |
| --- | --- |

b)

otettava käyttöön toimintatapoja, joilla pyritään pitämään datan saatavuus, aitous, eheys ja luottamuksellisuus korkealla tasolla;

| c) | määriteltävä selkeät roolit ja vastuut kaikille TVT:hen liittyville toiminnoille ja otettava käyttöön asianmukaiset hallintojärjestelyt, joilla varmistetaan tehokas ja oikea-aikainen viestintä, yhteistyö ja koordinointi kyseisten toimintojen välillä; |
| --- | --- |

c)

määriteltävä selkeät roolit ja vastuut kaikille TVT:hen liittyville toiminnoille ja otettava käyttöön asianmukaiset hallintojärjestelyt, joilla varmistetaan tehokas ja oikea-aikainen viestintä, yhteistyö ja koordinointi kyseisten toimintojen välillä;

| d) | kannettava kokonaisvastuu 6 artiklan 8 kohdassa tarkoitetun digitaalisen häiriönsietokyvyn strategian laatimisesta ja hyväksymisestä, mukaan lukien finanssiyhteisön TVT-riskin asianmukaisen 6 artiklan 8 kohdan b alakohdassa tarkoitetun riskitason määrittäminen; |
| --- | --- |

d)

kannettava kokonaisvastuu 6 artiklan 8 kohdassa tarkoitetun digitaalisen häiriönsietokyvyn strategian laatimisesta ja hyväksymisestä, mukaan lukien finanssiyhteisön TVT-riskin asianmukaisen 6 artiklan 8 kohdan b alakohdassa tarkoitetun riskitason määrittäminen;

| e) | vahvistettava 11 artiklan 1 kohdassa tarkoitetut finanssiyhteisön TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet sekä 11 artiklan 3 kohdassa tarkoitetut TVT-reagointi- ja palautumissuunnitelmat, jotka voidaan hyväksyä erityisinä toimintaperiaatteina, jotka ovat erottamaton osa finanssiyhteisön yleisiä liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita ja reagointi- ja palautussuunnitelmaa, sekä valvottava niiden täytäntöönpanoa ja tarkasteltava niitä säännöllisesti uudelleen; |
| --- | --- |

e)

vahvistettava 11 artiklan 1 kohdassa tarkoitetut finanssiyhteisön TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet sekä 11 artiklan 3 kohdassa tarkoitetut TVT-reagointi- ja palautumissuunnitelmat, jotka voidaan hyväksyä erityisinä toimintaperiaatteina, jotka ovat erottamaton osa finanssiyhteisön yleisiä liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita ja reagointi- ja palautussuunnitelmaa, sekä valvottava niiden täytäntöönpanoa ja tarkasteltava niitä säännöllisesti uudelleen;

| f) | vahvistettava finanssiyhteisön sisäiset TVT-auditointisuunnitelmat, tehdyt TVT-auditoinnit ja olennaiset muutokset niihin sekä tarkasteltava niitä säännöllisesti uudelleen; |
| --- | --- |

f)

vahvistettava finanssiyhteisön sisäiset TVT-auditointisuunnitelmat, tehdyt TVT-auditoinnit ja olennaiset muutokset niihin sekä tarkasteltava niitä säännöllisesti uudelleen;

| g) | osoitettava asianmukaiset määrärahat ja tarkasteltava niitä säännöllisesti uudelleen, jotta finanssiyhteisön digitaalisen häiriönsietokyvyn tarpeet voidaan täyttää kaikkien eri resurssityyppien osalta, mukaan lukien 13 artiklan 6 kohdassa tarkoitetut asianmukaiset TVT-turvallisuutta koskevat valistusohjelmat ja digitaalista häiriönsietokykyä käsittelevä koulutus sekä koko henkilöstön TVT-osaaminen; |
| --- | --- |

g)

osoitettava asianmukaiset määrärahat ja tarkasteltava niitä säännöllisesti uudelleen, jotta finanssiyhteisön digitaalisen häiriönsietokyvyn tarpeet voidaan täyttää kaikkien eri resurssityyppien osalta, mukaan lukien 13 artiklan 6 kohdassa tarkoitetut asianmukaiset TVT-turvallisuutta koskevat valistusohjelmat ja digitaalista häiriönsietokykyä käsittelevä koulutus sekä koko henkilöstön TVT-osaaminen;

| h) | vahvistettava finanssiyhteisön toimintaperiaatteet, jotka koskevat TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöön liittyviä järjestelyjä, ja tarkasteltava niitä säännöllisesti uudelleen; |
| --- | --- |

h)

vahvistettava finanssiyhteisön toimintaperiaatteet, jotka koskevat TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöön liittyviä järjestelyjä, ja tarkasteltava niitä säännöllisesti uudelleen;

| i) | otettava käyttöön yritystasolla raportointikanavia, joiden avulla sille voidaan asianmukaisesti tiedottaa seuraavista:






  i) | TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehdyistä TVT-palvelujen käyttöä koskevista järjestelyistä, |
| --- | --- | --- |

i)

otettava käyttöön yritystasolla raportointikanavia, joiden avulla sille voidaan asianmukaisesti tiedottaa seuraavista:

i)

TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehdyistä TVT-palvelujen käyttöä koskevista järjestelyistä,

| ii) | suunnitelluista TVT-palveluntarjoajana olevia kolmansia osapuolia koskevista merkittävistä muutoksista, |
| --- | --- |

ii)

suunnitelluista TVT-palveluntarjoajana olevia kolmansia osapuolia koskevista merkittävistä muutoksista,

| iii) | tällaisten muutosten mahdollisesta vaikutuksesta kyseisten järjestelyjen kohteena oleviin kriittisiin tai tärkeisiin toimintoihin, mukaan lukien riskianalyysin tiivistelmä kyseisten muutosten vaikutusten arvioimiseksi, ja ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista ja niiden vaikutuksista sekä reagointi-, palautus- ja korjaustoimenpiteistä. |
| --- | --- |

iii)

tällaisten muutosten mahdollisesta vaikutuksesta kyseisten järjestelyjen kohteena oleviin kriittisiin tai tärkeisiin toimintoihin, mukaan lukien riskianalyysin tiivistelmä kyseisten muutosten vaikutusten arvioimiseksi, ja ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista ja niiden vaikutuksista sekä reagointi-, palautus- ja korjaustoimenpiteistä.

3.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on perustettava tehtävä, johon kuuluu TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyjen TVT-palvelujen käyttöä koskevien järjestelyjen valvonta, tai nimettävä ylemmän johdon jäsen vastaamaan niihin liittyvän kokonaisriskin ja niitä koskevan dokumentaation valvonnasta.

4.   Finanssiyhteisön ylimmän hallintoelimen jäsenten on aktiivisesti ylläpidettävä riittäviä tietoja ja osaamista, jotka ovat tarpeen TVT-riskin ja siitä finanssiyhteisön toiminnalle aiheutuvien vaikutusten ymmärtämistä ja arvioimista varten, mukaan lukien säännöllinen osallistuminen erityiskoulutukseen, joka vastaa hallittavaa TVT-riskiä.

II jakso

6 artikla

TVT-riskinhallintajärjestelmä

1.   Finanssiyhteisöillä on oltava osana yleistä riskinhallintajärjestelmäänsä vankka, kattava ja hyvin dokumentoitu TVT-riskinhallintajärjestelmä, jonka avulla ne voivat puuttua TVT-riskiin nopeasti, tehokkaasti ja kattavasti ja varmistaa korkeatasoisen digitaalisen häiriönsietokyvyn.

2.   TVT-riskinhallintajärjestelmän tulee sisältää ainakin strategiat, toimintaperiaatteet, menettelyt, TVT-protokollat ja välineet, jotka ovat tarpeen kaiken tieto-omaisuuden ja TVT-omaisuuden, myös ohjelmistojen, tietokonelaitteistojen ja palvelimien, asianmukaiseksi ja riittäväksi suojelemiseksi, sekä kaikkien asiaankuuluvien fyysisten komponenttien ja infrastruktuurien, kuten tilojen, datakeskusten ja nimettyjen herkkien alueiden suojelemiseksi niin, että voidaan varmistaa kaiken tieto-omaisuuden ja TVT-omaisuuden tarkoituksenmukainen suojelu riskeiltä, myös vahingoittumiselta ja luvattomalta pääsyltä tai käytöltä.

3.   Finanssiyhteisöjen on TVT-riskinhallintajärjestelmänsä mukaisesti minimoitava TVT-riskin vaikutus ottamalla käyttöön asianmukaisia strategioita, toimintaperiaatteita, menettelyjä, TVT-protokollia ja välineitä. Niiden on toimitettava toimivaltaisille viranomaisille näiden pyynnöstä TVT-riskiä ja TVT-riskinhallintajärjestelmäänsä koskevat kattavat ja ajantasaiset tiedot.

4.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on annettava vastuu TVT-riskin hallinnasta ja valvonnasta valvontatoiminnolle ja varmistettava tällaisen valvontatoiminnon asianmukainen riippumattomuuden taso eturistiriitojen välttämiseksi. Finanssiyhteisöjen on huolehdittava siitä, että TVT-riskinhallintotehtävät, valvontatehtävät ja sisäisen tarkastuksen tehtävät ovat asianmukaisella tavalla eroteltuja ja riippumattomia kolmen puolustuslinjan mallin tai sisäisen riskinhallinnan ja valvonnan mallin mukaisesti.

5.   TVT-riskinhallintajärjestelmän on oltava dokumentoitu ja sitä on tarkasteltava uudelleen vähintään kerran vuodessa, tai mikroyritysten osalta määräajoin, ja laajavaikutteisten TVT:hen liittyvien poikkeamien sattuessa sekä digitaalisen häiriönsietokyvyn testauksen tai auditointiprosessien perusteella annettujen valvontaohjeiden tai päätelmien pohjalta. Sitä on parannettava jatkuvasti täytäntöönpanosta ja seurannasta saatujen kokemusten perusteella. Toimivaltaiselle viranomaiselle on toimitettava sen pyynnöstä kertomus TVT-riskinhallintajärjestelmän uudelleentarkastelusta.

6.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen TVT-riskinhallintajärjestelmä on otettava säännöllisesti sisäisten tarkastajien toimesta sisäisen tarkastuksen piiriin finanssiyhteisöjen tarkastussuunnitelman mukaisesti. Kyseisillä tarkastajilla on oltava riittävät tiedot, taidot ja asiantuntemus TVT-riskistä ja heidän on oltava asianmukaisesti riippumattomia. TVT-auditointien tiheys ja painopisteet on määritettävä finanssiyhteisön TVT-riskiä vastaavasti.

7.   Finanssiyhteisöjen on otettava käyttöön sisäisen tarkastuksen päätelmien perusteella virallinen seurantaprosessi, johon sisältyvät säännöt kriittisten TVT-tarkastushavaintojen oikea-aikaisesta todentamisesta ja korjaamisesta.

8.   TVT-riskinhallintajärjestelmän on sisällettävä digitaalisen häiriönsietokyvyn strategia, jossa esitetään, miten järjestelmä pannaan täytäntöön. Sitä varten digitaalisen häiriösietokyvyn strategiaan on sisällyttävä menetelmät, joiden avulla puututaan TVT-riskiin ja saavutetaan erityiset TVT-tavoitteet siten, että

| a) | kuvataan, miten TVT-riskinhallintajärjestelmä tukee finanssiyhteisön liiketoimintastrategiaa ja -tavoitteita; |
| --- | --- |

a)

kuvataan, miten TVT-riskinhallintajärjestelmä tukee finanssiyhteisön liiketoimintastrategiaa ja -tavoitteita;

| b) | määritetään riskitaso TVT-riskille finanssiyhteisön riskinottohalun mukaisesti ja analysoidaan TVT-keskeytymisten sietokyky; |
| --- | --- |

b)

määritetään riskitaso TVT-riskille finanssiyhteisön riskinottohalun mukaisesti ja analysoidaan TVT-keskeytymisten sietokyky;

| c) | asetetaan selkeät tietoturvatavoitteet, mukaan lukien keskeiset tulosindikaattorit ja keskeiset riskimittarit; |
| --- | --- |

c)

asetetaan selkeät tietoturvatavoitteet, mukaan lukien keskeiset tulosindikaattorit ja keskeiset riskimittarit;

| d) | kuvataan TVT-viiterakenne ja tiettyjen liiketoimintatavoitteiden saavuttamiseksi mahdollisesti tarvittavat muutokset; |
| --- | --- |

d)

kuvataan TVT-viiterakenne ja tiettyjen liiketoimintatavoitteiden saavuttamiseksi mahdollisesti tarvittavat muutokset;

| e) | luetellaan käytössä olevat mekanismit TVT:hen liittyvien poikkeamien havaitsemiseksi, niiden haittavaikutusten estämiseksi ja niiltä suojautumiseksi; |
| --- | --- |

e)

luetellaan käytössä olevat mekanismit TVT:hen liittyvien poikkeamien havaitsemiseksi, niiden haittavaikutusten estämiseksi ja niiltä suojautumiseksi;

| f) | todennetaan nykyinen digitaalisen häiriönsietokyvyn tilanne ilmoitettujen laajavaikutteisten TVT:hen liittyvien poikkeamien lukumäärän ja ehkäisevien toimenpiteiden tehokkuuden perusteella; |
| --- | --- |

f)

todennetaan nykyinen digitaalisen häiriönsietokyvyn tilanne ilmoitettujen laajavaikutteisten TVT:hen liittyvien poikkeamien lukumäärän ja ehkäisevien toimenpiteiden tehokkuuden perusteella;

| g) | toteutetaan digitaalisen häiriönsietokyvyn testaus tämän asetuksen IV luvun mukaisesti; |
| --- | --- |

g)

toteutetaan digitaalisen häiriönsietokyvyn testaus tämän asetuksen IV luvun mukaisesti;

| h) | laaditaan viestintästrategia sellaisia TVT:hen liittyviä poikkeamia varten, joiden julkistamista edellytetään 14 artiklan mukaisesti. |
| --- | --- |

h)

laaditaan viestintästrategia sellaisia TVT:hen liittyviä poikkeamia varten, joiden julkistamista edellytetään 14 artiklan mukaisesti.

9.   Finanssiyhteisöt voivat 8 kohdassa tarkoitetun digitaalisen häiriönsietokyvyn strategian yhteydessä määritellä konsernin tai yhteisön tasolla kokonaisvaltaisen usean toimittajan tarjoamien TVT-toimitusten strategian, jossa esitetään keskeiset riippuvuudet TVT-palveluntarjoajana olevista kolmansista osapuolista ja selitetään periaatteet, joiden mukaan TVT-palveluntarjoajana olevien kolmansien osapuolten yhdistelmä valitaan.

10.   Finanssiyhteisöt voivat unionin oikeuden ja kansallisen alakohtaisen lainsäädännön mukaisesti ulkoistaa TVT-riskinhallintavaatimusten noudattamisen todentamistehtävät konsernin sisäisille tai ulkopuolisille yrityksille. Tällaisen ulkoistamisen tapauksessa finanssiyhteisö on edelleen täysin vastuussa TVT-riskinhallintavaatimusten noudattamisen todentamisesta.

7 artikla

TVT-järjestelmät, -protokollat ja -välineet

TVT-riskin torjumiseksi ja hallitsemiseksi finanssiyhteisöjen on käytettävä ja pidettävä yllä ajantasaisia TVT-järjestelmiä, -protokollia ja -välineitä, jotka ovat

| a) | niiden liiketoimintaa tukevien toimien suuruusluokan kannalta tarkoituksenmukaisia 4 artiklassa tarkoitetun suhteellisuusperiaatteen mukaisesti; |
| --- | --- |

a)

niiden liiketoimintaa tukevien toimien suuruusluokan kannalta tarkoituksenmukaisia 4 artiklassa tarkoitetun suhteellisuusperiaatteen mukaisesti;

| b) | luotettavia; |
| --- | --- |

b)

luotettavia;

| c) | varustettuja riittävällä kapasiteetilla datan tarkkaan käsittelyyn toimintojen suorittamiseksi ja palvelujen tarjoamiseksi oikea-aikaisesti sekä tarvittaessa toimeksiantojen, viestien tai liiketoimien ruuhkahuippujen käsittelyyn, myös uuden teknologian käyttöönoton yhteydessä; |
| --- | --- |

c)

varustettuja riittävällä kapasiteetilla datan tarkkaan käsittelyyn toimintojen suorittamiseksi ja palvelujen tarjoamiseksi oikea-aikaisesti sekä tarvittaessa toimeksiantojen, viestien tai liiketoimien ruuhkahuippujen käsittelyyn, myös uuden teknologian käyttöönoton yhteydessä;

| d) | teknisesti kestäviä selviytyäkseen asianmukaisesti tavallista suuremman tietomäärän käsittelystä silloin kun se on tarpeen stressikausien markkinaolosuhteissa tai muissa vaikeissa tilanteissa. |
| --- | --- |

d)

teknisesti kestäviä selviytyäkseen asianmukaisesti tavallista suuremman tietomäärän käsittelystä silloin kun se on tarpeen stressikausien markkinaolosuhteissa tai muissa vaikeissa tilanteissa.

8 artikla

Yksilöinti

1.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää yksilöitävä, luokiteltava ja asianmukaisesti dokumentoitava kaikki TVT:n tukemat liiketoiminnot, tehtävät ja vastuut, kyseisiä toimintoja tukevat tieto-omaisuus ja TVT-omaisuus sekä tehtävänsä ja riippuvuutensa suhteessa TVT-riskiin. Finanssiyhteisöjen on tarkasteltava uudelleen tämän luokittelun ja sitä koskevan dokumentaation asianmukaisuutta tarvittaessa ja vähintään kerran vuodessa.

2.   Finanssiyhteisöjen on jatkuvasti yksilöitävä kaikki TVT-riskin lähteet, erityisesti muihin finanssiyhteisöihin liittyvät riskit, ja arvioitava niiden TVT:n tukemiin liiketoimintoihin, tieto-omaisuuteen ja TVT-omaisuuteen liittyviä kyberuhkia ja TVT-haavoittuvuuksia. Finanssiyhteisöjen on tarkasteltava niihin vaikuttavia riskiskenaarioita säännöllisesti ja vähintään kerran vuodessa.

3.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on tehtävä riskinarviointi aina kun verkko- ja tietojärjestelmäinfrastruktuurissa tai niiden TVT:n tukemiin liiketoimintoihin, tieto-omaisuuteen tai TVT-omaisuuteen vaikuttavissa prosesseissa tai menettelyissä tapahtuu merkittäviä muutoksia.

4.   Finanssiyhteisöjen on yksilöitävä kaikki tieto-omaisuus ja TVT-omaisuus, myös etäkohteissa oleva, sekä verkkoresurssit ja laitteistot, ja kartoitettava ne, joita pidetään kriittisinä. Niiden on kartoitettava tieto-omaisuuden ja TVT-omaisuuden kokoonpano ja erilaisten tieto-omaisuus- ja TVT-omaisuustyyppien keskinäiset yhteydet ja riippuvuussuhteet.

5.   Finanssiyhteisöjen on yksilöitävä ja dokumentoitava kaikki TVT-palveluntarjoajana olevista kolmansista osapuolista riippuvaiset prosessit ja yksilöitävä yhteenkytkennät sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa, jotka tarjoavat kriittisiä tai tärkeitä toimintoja tukevia palveluja.

6.   Finanssiyhteisöjen on pidettävä yllä ja päivitettävä säännöllisesti 1, 4 ja 5 kohdan soveltamista varten tarvittavia omaisuusluetteloita ja päivitettävä ne säännöllisesti ja aina, kun 3 kohdassa tarkoitettuja merkittäviä muutoksia tapahtuu.

7.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on tehtävä säännöllisesti ja vähintään kerran vuodessa erityinen TVT-riskinarviointi, joka kattaa kaikki aiemman sukupolven TVT-järjestelmät, joka tapauksessa ennen teknologian, sovellusten tai järjestelmien yhteenliittämistä ja sen jälkeen.

9 artikla

Suojaaminen ja ehkäiseminen

1.   Jotta voidaan asianmukaisesti suojata TVT-järjestelmiä ja organisoida reagointitoimet, finanssiyhteisöjen on jatkuvasti seurattava ja valvottava TVT-järjestelmien ja -välineiden turvallisuutta ja toimintaa ja minimoitava TVT-riskin vaikutus TVT-järjestelmiin ottamalla käyttöön asianmukaiset TVT-turvallisuutta koskevat välineet, toimintatavat ja menettelyt.

2.   Finanssiyhteisöjen on suunniteltava, hankittava ja toteutettava TVT-turvallisuutta koskevat toimintatavat, menettelyt, protokollat ja välineet, joiden tarkoituksena on varmistaa TVT-järjestelmien ja erityisesti kriittisiä tai tärkeitä toimintoja tukevien TVT-järjestelmien häiriönsietokyky, jatkuvuus ja käytettävyys ja säilyttää datan saatavuus, aitous, eheys ja luottamuksellisuus korkealla tasolla riippumatta siitä, onko kyseessä lepäävä, käytössä oleva vai siirrettävä data.

3.   Edellä 2 kohdassa tarkoitettujen tavoitteiden saavuttamiseksi finanssiyhteisöjen on käytettävä 4 artiklan mukaisesti asianmukaisia TVT-ratkaisuja ja -prosesseja. Kyseisten TVT-ratkaisujen ja -prosessien on

| a) | varmistettava datansiirtovälineiden suojaus; |
| --- | --- |

a)

varmistettava datansiirtovälineiden suojaus;

| b) | minimoitava datan turmeltumisen tai menettämisen, luvattoman käytön ja liiketoimintaa mahdollisesti haittaavien teknisten vikojen riski; |
| --- | --- |

b)

minimoitava datan turmeltumisen tai menettämisen, luvattoman käytön ja liiketoimintaa mahdollisesti haittaavien teknisten vikojen riski;

| c) | ehkäistävä datan saatavuuden puutetta, aitouden tai eheyden heikkenemistä, luottamuksellisuuden rikkomisia ja datan menettämistä; |
| --- | --- |

c)

ehkäistävä datan saatavuuden puutetta, aitouden tai eheyden heikkenemistä, luottamuksellisuuden rikkomisia ja datan menettämistä;

| d) | varmistettava, että data on suojattu tiedonhallinnassa esiintyviltä riskeiltä, mukaan lukien huono hallinto, käsittelyyn liittyvät riskit ja inhimilliset virheet. |
| --- | --- |

d)

varmistettava, että data on suojattu tiedonhallinnassa esiintyviltä riskeiltä, mukaan lukien huono hallinto, käsittelyyn liittyvät riskit ja inhimilliset virheet.

4.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää

| a) | laadittava ja dokumentoitava tietoturvapolitiikka, jossa määritellään säännöt yhteisöjen ja tarvittaessa niiden asiakkaiden datan, tieto-omaisuuden ja TVT-omaisuuden saatavuuden, aitouden, eheyden ja luottamuksellisuuden suojaamiseksi: |
| --- | --- |

a)

laadittava ja dokumentoitava tietoturvapolitiikka, jossa määritellään säännöt yhteisöjen ja tarvittaessa niiden asiakkaiden datan, tieto-omaisuuden ja TVT-omaisuuden saatavuuden, aitouden, eheyden ja luottamuksellisuuden suojaamiseksi:

| b) | riskiperusteista lähestymistapaa noudattaen otettava käyttöön vankka verkko- ja infrastruktuurin hallinnointirakenne käyttäen asianmukaisia tekniikoita, menetelmiä ja protokollia, joihin voi kuulua automatisoitujen mekanismien toteuttaminen mahdollisen kyberhyökkäyksen yhteydessä vahingoittuneen tieto-omaisuuden eristämiseksi; |
| --- | --- |

b)

riskiperusteista lähestymistapaa noudattaen otettava käyttöön vankka verkko- ja infrastruktuurin hallinnointirakenne käyttäen asianmukaisia tekniikoita, menetelmiä ja protokollia, joihin voi kuulua automatisoitujen mekanismien toteuttaminen mahdollisen kyberhyökkäyksen yhteydessä vahingoittuneen tieto-omaisuuden eristämiseksi;

| c) | otettava käyttöön toimintatavat, joilla rajoitetaan fyysinen tai looginen pääsy tieto-omaisuuteen ja TVT-omaisuuteen vain siihen, mikä on tarpeen oikeutettuja ja hyväksyttyjä toimintoja ja tehtäviä varten, ja laaditaan tätä varten toimintaperiaatteet, menettelyt ja valvontatoimet, joissa määritellään pääsyoikeudet ja varmistetaan sen moitteeton hallinnointi; |
| --- | --- |

c)

otettava käyttöön toimintatavat, joilla rajoitetaan fyysinen tai looginen pääsy tieto-omaisuuteen ja TVT-omaisuuteen vain siihen, mikä on tarpeen oikeutettuja ja hyväksyttyjä toimintoja ja tehtäviä varten, ja laaditaan tätä varten toimintaperiaatteet, menettelyt ja valvontatoimet, joissa määritellään pääsyoikeudet ja varmistetaan sen moitteeton hallinnointi;

| d) | toteutettava vahvan todentamisen mekanismien edellyttämät toimintatavat ja protokollat asiaa koskevien standardien ja erityisten valvontajärjestelmien pohjalta, sekä niiden salausavaimien suojaustoimenpiteet, joilla data on salattu, hyväksyttyjen datan luokittelua ja TVT-riskinarviointia koskevien prosessien tulosten perusteella; |
| --- | --- |

d)

toteutettava vahvan todentamisen mekanismien edellyttämät toimintatavat ja protokollat asiaa koskevien standardien ja erityisten valvontajärjestelmien pohjalta, sekä niiden salausavaimien suojaustoimenpiteet, joilla data on salattu, hyväksyttyjen datan luokittelua ja TVT-riskinarviointia koskevien prosessien tulosten perusteella;

| e) | toteutettava TVT-muutosten hallintaa koskevat dokumentoidut toimintaperiaatteet, menettelyt ja valvontatoimet, joissa otetaan huomioon ohjelmistojen, laitteiden, laiteohjelmistokomponenttien, järjestelmien tai turvaparametrien muutokset ja jotka perustuvat riskinarviointiin ja ovat olennainen osa finanssiyhteisön yleistä muutoksenhallintaprosessia, jotta voidaan varmistaa, että kaikki TVT-järjestelmien muutokset tallennetaan, testataan, arvioidaan, hyväksytään, toteutetaan ja todennetaan valvotusti; |
| --- | --- |

e)

toteutettava TVT-muutosten hallintaa koskevat dokumentoidut toimintaperiaatteet, menettelyt ja valvontatoimet, joissa otetaan huomioon ohjelmistojen, laitteiden, laiteohjelmistokomponenttien, järjestelmien tai turvaparametrien muutokset ja jotka perustuvat riskinarviointiin ja ovat olennainen osa finanssiyhteisön yleistä muutoksenhallintaprosessia, jotta voidaan varmistaa, että kaikki TVT-järjestelmien muutokset tallennetaan, testataan, arvioidaan, hyväksytään, toteutetaan ja todennetaan valvotusti;

| f) | otettava käyttöön ohjelmisto- ja korjauspäivityksiä koskevat asianmukaiset ja kattavat dokumentoidut toimintaperiaatteet. |
| --- | --- |

f)

otettava käyttöön ohjelmisto- ja korjauspäivityksiä koskevat asianmukaiset ja kattavat dokumentoidut toimintaperiaatteet.

Ensimmäisen alakohdan b alakohdan soveltamiseksi finanssiyhteisöjen on suunniteltava verkkoyhteysinfrastruktuuri siten, että se voidaan irrottaa tai segmentoida välittömästi, jotta voidaan minimoida ja estää häiriöiden leviäminen erityisesti toisiinsa sidoksissa olevien rahoitusprosessien yhteydessä.

Ensimmäisen alakohdan e alakohdan soveltamiseksi TVT-muutoksenhallintaprosessin on saatava asianmukaisten hallintolinjojen hyväksyntä ja siinä on oltava erityiset protokollat.

10 artikla

Havaitseminen

1.   Finanssiyhteisöillä on oltava käytössään mekanismit, joiden avulla ne voivat nopeasti havaita poikkeavan toiminnan 17 artiklan mukaisesti, mukaan lukien TVT-verkon suorituskykyyn liittyvät ongelmat ja TVT:hen liittyvät poikkeamat, ja yksilöidä potentiaaliset olennaiset vikakohdat.

Kaikki ensimmäisessä alakohdassa tarkoitetut havaitsemismekanismit on testattava säännöllisesti 25 artiklan mukaisesti.

2.   Edellä 1 kohdassa tarkoitettujen havaitsemismekanismien on mahdollistettava monikerroksinen valvonta, ja niissä on määriteltävä hälytystasot ja -kriteerit, joiden perusteella käynnistetään menettelyt TVT:hen liittyviin poikkeamiin reagoimiseksi, mukaan lukien automaattiset hälytysmekanismit TVT:hen liittyviin poikkeamiin reagoinnista vastaavaa asiaankuuluvaa henkilöstöä varten.

3.   Finanssiyhteisöjen on osoitettava riittävät resurssit ja valmiudet käyttäjien toiminnan, TVT-anomalioiden ja TVT:hen liittyvien poikkeamien ja erityisesti kyberhyökkäysten valvontaa varten.

4.   Raportointipalvelujen tarjoajilla on lisäksi oltava käytössä järjestelmät, joiden avulla voidaan tehokkaasti tarkistaa kaupankäynti-ilmoitusten kattavuus, osoittaa puutteet ja ilmeiset virheet sekä pyytää kyseisten ilmoitusten uudelleenlähettämistä.

11 artikla

Reagointi ja toipuminen

1.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää ja 8 artiklassa vahvistettujen yksilöintivaatimusten pohjalta otettava käyttöön kattavat TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet, jotka voidaan hyväksyä erillisinä erityisinä toimintaperiaatteina ja jotka ovat olennainen osa finanssiyhteisön yleisiä liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita.

2.   Finanssiyhteisöjen on toteutettava TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet sellaisten erityisten, asianmukaisten ja dokumentoitujen järjestelyjen, suunnitelmien, menettelyjen ja mekanismien avulla, joiden tavoitteena on

| a) | varmistaa finanssiyhteisön kriittisten tai tärkeiden toimintojen jatkuvuus; |
| --- | --- |

a)

varmistaa finanssiyhteisön kriittisten tai tärkeiden toimintojen jatkuvuus;

| b) | reagoida kaikkiin TVT:hen liittyviin poikkeamiin nopeasti, asianmukaisesti ja tuloksellisesti ja ratkaista ne, siten että voidaan rajoittaa vahinkoja ja asettaa etusijalle toiminnan jatkaminen ja toipumistoimet; |
| --- | --- |

b)

reagoida kaikkiin TVT:hen liittyviin poikkeamiin nopeasti, asianmukaisesti ja tuloksellisesti ja ratkaista ne, siten että voidaan rajoittaa vahinkoja ja asettaa etusijalle toiminnan jatkaminen ja toipumistoimet;

| c) | aktivoida viipymättä erityiset suunnitelmat, joiden nojalla voidaan ottaa käyttöön kunkin TVT:hen liittyvän poikkeamatyypin edellyttämät rajoittamistoimet, -menettelyt ja -teknologiat ja estää lisävahinkojen syntyminen, sekä 12 artiklan mukaisesti vahvistetut räätälöidyt reagointi- ja toipumismenettelyt; |
| --- | --- |

c)

aktivoida viipymättä erityiset suunnitelmat, joiden nojalla voidaan ottaa käyttöön kunkin TVT:hen liittyvän poikkeamatyypin edellyttämät rajoittamistoimet, -menettelyt ja -teknologiat ja estää lisävahinkojen syntyminen, sekä 12 artiklan mukaisesti vahvistetut räätälöidyt reagointi- ja toipumismenettelyt;

| d) | arvioida alustavat vaikutukset, vahingot ja menetykset; |
| --- | --- |

d)

arvioida alustavat vaikutukset, vahingot ja menetykset;

| e) | vahvistaa viestintä- ja kriisinhallintatoimet, joilla varmistetaan, että ajantasaiset tiedot toimitetaan kaikille asianomaisille sisäisen henkilöstön jäsenille ja ulkopuolisille sidosryhmille 14 artiklan mukaisesti sekä toimivaltaisille viranomaisille 19 artiklan mukaisesti. |
| --- | --- |

e)

vahvistaa viestintä- ja kriisinhallintatoimet, joilla varmistetaan, että ajantasaiset tiedot toimitetaan kaikille asianomaisille sisäisen henkilöstön jäsenille ja ulkopuolisille sidosryhmille 14 artiklan mukaisesti sekä toimivaltaisille viranomaisille 19 artiklan mukaisesti.

3.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää toteutettava siihen liittyvät TVT-reagointi- ja palautumissuunnitelmat, joille on tehtävä riippumaton sisäinen auditointi, jos finanssiyhteisö on muu kuin mikroyritys.

4.   Finanssiyhteisöjen on laadittava asianmukainen TVT-liiketoiminnan jatkuvuutta koskevat suunnitelmat, pidettävä niitä yllä ja testattava niitä määräajoin, erityisesti sellaisten kriittisten tai tärkeiden toimintojen osalta, jotka on ulkoistettu tai joiden toteuttamisesta on tehty sopimusjärjestely TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa.

5.   Finanssiyhteisöjen on osana yleisiä liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita tehtävä liiketoimintaan kohdistuvien vaikutusten analyysi (liiketoiminnan vaikutusanalyysi) altistumisestaan vakaville liiketoiminnan häiriöille. Finanssiyhteisöjen on liiketoiminnan vaikutusanalyysin mukaisesti arvioitava vakavien liiketoiminnan häiriöiden mahdolliset vaikutukset määrällisin ja laadullisin perustein käyttäen tapauksen mukaan sisäistä ja ulkoista dataa ja skenaarioanalyysejä. Liiketoiminnan vaikutusanalyysissä on otettava huomioon yksilöityjen ja kartoitettujen liiketoimintojen, tukiprosessien, kolmansista osapuolista riippuvuuden ja tieto-omaisuuden kriittisyys sekä niiden keskinäiset riippuvuussuhteet. Finanssiyhteisöjen on varmistettava, että TVT-omaisuus ja TVT-palvelut suunnitellaan ja niitä käytetään täysin liiketoiminnan vaikutusanalyysin mukaisesti, erityisesti siten, että varmistetaan asianmukaisesti kaikkien kriittisten komponenttien varakapasiteetti.

6.   Finanssiyhteisöjen on osana kattavaa TVT-riskinhallintajärjestelmäänsä

| a) | testattava TVT-toiminnan jatkuvuussuunnitelmia ja TVT-reagointi- ja palautumissuunnitelmia suhteessa kaikkia toimintoja tukeviin TVT-järjestelmiin ainakin kerran vuodessa sekä siinä tapauksessa, että kriittisiä tai tärkeitä toimintoja tukevissa TVT-järjestelmissä tapahtuu merkittäviä muutoksia; |
| --- | --- |

a)

testattava TVT-toiminnan jatkuvuussuunnitelmia ja TVT-reagointi- ja palautumissuunnitelmia suhteessa kaikkia toimintoja tukeviin TVT-järjestelmiin ainakin kerran vuodessa sekä siinä tapauksessa, että kriittisiä tai tärkeitä toimintoja tukevissa TVT-järjestelmissä tapahtuu merkittäviä muutoksia;

| b) | testattava 14 artiklan mukaisesti laadittuja kriisiviestintäsuunnitelmia. |
| --- | --- |

b)

testattava 14 artiklan mukaisesti laadittuja kriisiviestintäsuunnitelmia.

Ensimmäisen alakohdan a alakohdan soveltamista varten muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on sisällytettävä testaussuunnitelmiin skenaariot, jotka koskevat kyberhyökkäyksiä ja vaihtoa ensisijaisen TVT-infrastruktuurin ja 12 artiklassa säädettyjen velvoitteiden täyttämiseksi tarvittavan varakapasiteetin, varmuuskopioiden ja varajärjestelmien välillä.

Finanssiyhteisöjen on tarkasteltava TVT-liiketoiminnan jatkuvuutta koskevia toimintaperiaatteitaan ja TVT-reagointi- ja palautumissuunnitelmiansa säännöllisesti uudelleen ottaen huomioon ensimmäisen alakohdan mukaisesti suoritettujen testien tulokset ja auditointien tai valvontatarkastusten perusteella annetut suositukset.

7.   Muilla kuin mikroyrityksiä olevilla finanssiyhteisöillä on oltava kriisinhallintatoiminto, jossa muun muassa esitetään niiden TVT-liiketoiminnan jatkuvuutta koskevien suunnitelmien tai TVT-reagointi- ja palautumissuunnitelmien käynnistämisen varalta selkeät menettelyt sisäisen ja ulkoisen kriisiviestinnän hoitamiseksi 14 artiklan mukaisesti.

8.   Finanssiyhteisöjen on pidettävä kirjaa helposti saatavilla olevassa muodossa ennen toiminnan keskeytymistä ja sen aikana toteutetuista toimista, kun niiden TVT-liiketoiminnan jatkuvuutta koskevat suunnitelmat ja TVT-reagointi- ja palautumissuunnitelmat on käynnistetty.

9.   Arvopaperikeskusten on toimitettava toimivaltaisille viranomaisille jäljennökset TVT-liiketoiminnan jatkuvuutta koskevien testien tai vastaavien toimenpiteiden tuloksista.

10.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on toimitettava toimivaltaisille viranomaisille näiden pyynnöstä arvio laajavaikutteisten TVT:hen liittyvien poikkeamien aiheuttamista vuotuisista kokonaiskustannuksista ja -tappioista.

11.   Euroopan valvontaviranomaiset laativat asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 16 artiklan mukaisesti yhteiskomiteassa viimeistään 17 päivänä heinäkuuta 2024 yhteiset suuntaviivat 10 kohdassa tarkoitettujen vuotuisten kokonaiskustannusten ja -tappioiden arvioimiseksi.

12 artikla

Varmuuskopiointikäytännöt ja -menettelyt sekä palautus- ja toipumismenettelyt ja -menetelmät

1.   Jotta TVT-järjestelmät ja data voidaan palauttaa niin, että palvelukatkos jää mahdollisimman lyhyeksi ja keskeytymisten ja menetysten määrää rajoitetaan, finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä laadittava ja dokumentoitava:

| a) | varmuuskopiointikäytännöt ja -menettelyt, joissa määritellään varmuuskopioitava data ja varmuuskopioinnin vähimmäistiheys tietojen kriittisyyden tai datan luottamuksellisuustason mukaan; |
| --- | --- |

a)

varmuuskopiointikäytännöt ja -menettelyt, joissa määritellään varmuuskopioitava data ja varmuuskopioinnin vähimmäistiheys tietojen kriittisyyden tai datan luottamuksellisuustason mukaan;

| b) | palautus- ja toipumismenettelyt ja -menetelmät. |
| --- | --- |

b)

palautus- ja toipumismenettelyt ja -menetelmät.

2.   Finanssiyhteisöjen on perustettava varmuuskopiointijärjestelmiä, jotka voidaan aktivoida varmuuskopiointikäytäntöjen ja -menettelyjen sekä palautus- ja toipumismenettelyjen ja -menetelmien mukaisesti. Varmuuskopiointijärjestelmien aktivointi ei saa vaarantaa verkko- ja tietojärjestelmien turvallisuutta eikä datan saatavuutta, aitoutta, eheyttä tai luottamuksellisuutta. Varmuuskopiointimenettelyjen sekä palautus- ja toipumismenettelyjen ja -menetelmien testaus on suoritettava säännöllisin väliajoin.

3.   Palauttaessaan varmuuskopioitua dataa omien järjestelmiensä avulla finanssiyhteisöjen on käytettävä TVT-järjestelmiä, jotka on fyysisesti ja loogisesti erotettu lähteenä olevasta TVT-järjestelmästä. TVT-järjestelmät on suojattava turvallisesti kaikelta luvattomalta pääsyltä tai TVT:hen liittyvältä korruptoitumiselta, ja niiden on tarpeen mukaan mahdollistettava dataa ja järjestelmien varmuuskopioita käyttävien palvelujen oikea-aikainen palauttaminen.

Keskusvastapuolten osalta toipumissuunnitelmien on mahdollistettava kaikkien liiketoimien toipuminen keskeytymisen tapahtuessa, jotta keskusvastapuoli voi turvallisesti jatkaa toimintaansa ja saattaa toimituksen loppuun määräpäivänä.

Raportointipalvelujen tarjoajien on lisäksi pidettävä yllä riittävät resurssit, ja niillä on oltava varmuuskopiointi- ja palautusjärjestelyt käytössä palvelujensa tarjoamiseksi ja ylläpitämiseksi kaikkina aikoina.

4.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on pidettävä yllä TVT-varakapasiteettia, jossa on riittävät resurssit, valmiudet ja toiminnot liiketoiminnan tarpeiden täyttämiseksi. Mikroyritysten on arvioitava tarve pitää yllä tällaista TVT-varakapasiteettia riskiprofiilinsa perusteella.

5.   Arvopaperikeskusten on pidettävä yllä ainakin yhtä toissijaista käsittelypaikkaa, jossa on riittävät resurssit, valmiudet, toiminnot ja henkilöstöjärjestelyt liiketoiminnan tarpeiden täyttämiseksi.

Toissijaisen käsittelypaikan on

| a) | sijaittava sopivalla maantieteellisellä etäisyydellä ensisijaisesta käsittelypaikasta, jotta toissijaisella käsittelypaikalla olisi erilainen riskiprofiili ja siihen ei vaikuttaisi sama tapahtuma, joka vaikuttaa ensisijaiseen käsittelypaikkaan; |
| --- | --- |

a)

sijaittava sopivalla maantieteellisellä etäisyydellä ensisijaisesta käsittelypaikasta, jotta toissijaisella käsittelypaikalla olisi erilainen riskiprofiili ja siihen ei vaikuttaisi sama tapahtuma, joka vaikuttaa ensisijaiseen käsittelypaikkaan;

| b) | kyettävä turvaamaan kriittisten tai tärkeiden toimintojen jatkuvuus samalla tavalla kuin ensisijaisessa käsittelypaikassa tai tarjottava riittävän tasoiset palvelut sen varmistamiseksi, että finanssiyhteisö suorittaa keskeiset toimintonsa toipumistavoitteiden mukaisesti; |
| --- | --- |

b)

kyettävä turvaamaan kriittisten tai tärkeiden toimintojen jatkuvuus samalla tavalla kuin ensisijaisessa käsittelypaikassa tai tarjottava riittävän tasoiset palvelut sen varmistamiseksi, että finanssiyhteisö suorittaa keskeiset toimintonsa toipumistavoitteiden mukaisesti;

| c) | oltava välittömästi finanssiyhteisön henkilöstön käytettävissä, jotta varmistetaan kriittisten tai tärkeiden toimintojen jatkuvuus silloin, kun ensisijainen käsittelypaikka ei ole käytettävissä. |
| --- | --- |

c)

oltava välittömästi finanssiyhteisön henkilöstön käytettävissä, jotta varmistetaan kriittisten tai tärkeiden toimintojen jatkuvuus silloin, kun ensisijainen käsittelypaikka ei ole käytettävissä.

6.   Määrittäessään kunkin toiminnon toipumisaika- ja toipumispistetavoitetta finanssiyhteisöjen on otettava huomioon, onko kyseessä kriittinen tai tärkeä toiminto, sekä mahdollinen kokonaisvaikutus markkinoiden tehokkuuteen. Tällaisilla aikatavoitteilla on varmistettava, että äärimmäisissä skenaarioissa saavutetaan sovitut palvelutasot.

7.   Toipuessaan TVT:hen liittyvästä poikkeamasta finanssiyhteisöjen on suoritettava tarvittavat tarkistukset, myös mahdollisesti useita tarkistuksia ja täsmäytyksiä, jotta voidaan varmistaa, että datan eheys säilyy korkeimmalla tasolla. Nämä tarkistukset on suoritettava myös silloin, kun dataa koostetaan ulkoisilta sidosryhmiltä, jotta voidaan varmistaa kaiken datan yhdenmukaisuus eri järjestelmien kesken.

13 artikla

Oppiminen ja kehitys

1.   Finanssiyhteisöillä on oltava valmiudet ja henkilöstö, jotta ne voivat kerätä tietoa haavoittuvuuksista ja kyberuhkista, TVT:hen liittyvistä poikkeamista ja erityisesti kyberhyökkäyksistä, ja analysoida niiden todennäköistä vaikutusta digitaaliseen häiriönsietokykyynsä.

2.   Finanssiyhteisöjen on toteutettava sellainen TVT:hen liittyvien poikkeamien jälkitarkastelu sen jälkeen kun laajavaikutteinen TVT:hen liittyvä poikkeama aiheuttaa keskeytymisiä niiden ydintoiminnoissa, jossa analysoidaan keskeytymisen syyt ja määritetään tarvittavat TVT-toimien tai 11 artiklassa tarkoitettujen TVT-liiketoiminnan jatkuvuutta koskevien toimintaperiaatteiden parannukset.

Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on pyynnöstä ilmoitettava toimivaltaisille viranomaisille muutoksista, jotka on toteutettu ensimmäisessä alakohdassa tarkoitettujen TVT:hen liittyvien poikkeamien jälkiarviointien seurauksena.

Ensimmäisessä alakohdassa tarkoitettujen TVT:hen liittyvien poikkeamien jälkitarkastelussa on selvitettävä, noudatettiinko vakiintuneita menettelyjä ja olivatko toteutetut toimet tuloksellisia, muun muassa seuraavien seikkojen osalta:

| a) | turvallisuusvaroituksiin reagoinnin ja TVT:hen liittyvien poikkeamien vaikutuksen ja vakavuuden määrittämisen nopeus; |
| --- | --- |

a)

turvallisuusvaroituksiin reagoinnin ja TVT:hen liittyvien poikkeamien vaikutuksen ja vakavuuden määrittämisen nopeus;

| b) | rikosteknisen analyysin laatu ja nopeus, jos tämä katsotaan aiheelliseksi; |
| --- | --- |

b)

rikosteknisen analyysin laatu ja nopeus, jos tämä katsotaan aiheelliseksi;

| c) | poikkeaman eskaloinnin tuloksellisuus finanssiyhteisössä; |
| --- | --- |

c)

poikkeaman eskaloinnin tuloksellisuus finanssiyhteisössä;

| d) | sisäisen ja ulkoisen viestinnän vaikuttavuus. |
| --- | --- |

d)

sisäisen ja ulkoisen viestinnän vaikuttavuus.

3.   Kokemukset, jotka on saatu 26 ja 27 artiklan mukaisesti toteutetusta digitaalisen häiriönsietokyvyn testauksesta sekä todellisista TVT:hen liittyvistä poikkeamista, erityisesti kyberhyökkäyksistä, sekä TVT-liiketoiminnan jatkuvuutta koskevien suunnitelmien ja TVT-reagointi- ja -toipumissuunnitelmien käynnistämisen yhteydessä kohdatut haasteet ja vastapuolten kanssa vaihdetut ja valvontatarkastusten yhteydessä arvioidut tiedot on asianmukaisesti ja jatkuvasti sisällytettävä TVT-riskinarviointiprosessiin. Kyseisten havaintojen perusteella on tehtävä asianmukaiset tarkastukset 6 artiklan 1 kohdassa tarkoitetun TVT-riskinhallintajärjestelmän asianomaisiin komponentteihin.

4.   Finanssiyhteisöjen on seurattava 6 artiklan 8 kohdassa tarkoitetun digitaalista häiriönsietokykyä koskevan strategiansa toteutuksen tuloksellisuutta. Niiden on kartoitettava TVT-riskin kehitystä ajan mittaan, analysoitava TVT:hen liittyvien poikkeamien esiintymistiheyttä, tyyppejä, laajuutta ja kehitystä, erityisesti kyberhyökkäyksiä ja niiden toteuttamistapoja, voidakseen selvittää finanssiyhteisön TVT-riskille altistumisen tason, erityisesti kriittisten tai tärkeiden toimintojen osalta, ja tehostaa sen kybervalmiutta ja kyberuhkiin varautumista.

5.   Ylemmän TVT-henkilöstön on raportoitava ylimmälle hallintoelimelle ainakin vuosittain 3 kohdassa tarkoitetuista havainnoista ja esitettävä suosituksia.

6.   Finanssiyhteisöjen on laadittava TVT-turvallisuutta koskevia valistusohjelmia ja digitaalista häiriönsietokykyä käsittelevää koulutusta osana henkilöstön pakollista koulutusohjelmaa. Kyseisten ohjelmien ja koulutuksen on oltava pakollisia sekä kaikille työntekijöille että ylemmälle johdolle, ja niiden monimuotoisuuden on oltava suhteessa osallistujien tehtäviin. Finanssiyhteisöjen on tarvittaessa otettava TVT-palveluntarjoajana olevat kolmannet osapuolet mukaan asiaankuuluviin koulutusohjelmiinsa 30 artiklan 2 kohdan i alakohdan mukaisesti.

7.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on jatkuvasti seurattava teknologian kehitystä, myös voidakseen ymmärtää tällaisten uusien teknologioiden käyttöönoton mahdollisia vaikutuksia TVT-turvallisuusvaatimuksiin ja digitaaliseen häiriönsietokykyyn. Niiden on pysyteltävä ajan tasalla uusimmissa TVT-riskinhallintaprosesseissa, jotta nykyisiä tai uusia kyberhyökkäysten muotoja voidaan torjua tuloksellisesti.

14 artikla

Viestintä

1.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää toteutettava kriisiviestintäsuunnitelmia, joidenka avulla voidaan vastuullisesti tiedottaa ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista tai haavoittuvuuksista tarpeen mukaan asiakkaille ja vastapuolille sekä suurelle yleisölle.

2.   Finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmää toteutettava sekä sisäisen henkilöstön jäsenille että ulkoisille sidosryhmille suunnattua viestintäpolitiikkaa. Henkilöstölle suunnatussa viestintäpolitiikassa on tehtävä ero TVT-riskinhallintaan ja erityisesti reagointi- ja toipumistoimiin osallistuvan henkilöstön ja toisaalta sen henkilöstön välillä, jolle on tiedotettava kyseisistä toimista.

3.   Finanssiyhteisössä on oltava ainakin yksi henkilö, jonka tehtävänä on toteuttaa TVT:hen liittyviä poikkeamia koskeva viestintästrategia ja vastata tähän liittyvästä tiedottamisesta yleisölle ja tiedotusvälineille.

15 artikla

TVT-riskinhallintavälineiden, -menetelmien, -menettelyjen ja -politiikkatoimien yhdenmukaistaminen

Euroopan valvontaviranomaisten on yhteiskomitean välityksellä ja Euroopan unionin kyberturvallisuusvirastoa (ENISA) kuullen laadittava yhteisten teknisten sääntelystandardien luonnoksia, jotta voidaan

| a) | täsmentää edelleen tekijöitä, jotka on sisällytettävä 9 artiklan 2 kohdassa tarkoitettuihin TVT-turvallisuutta koskeviin toimintatapoihin, menettelyihin, protokolliin ja välineisiin, jotta voidaan varmistaa verkkojen turvallisuus, mahdollistaa riittävät suojatoimet tunkeutumisia ja datan väärinkäyttöä vastaan, säilyttää datan saatavuus, aitous, eheys ja luottamuksellisuus, salaustekniikat mukaan lukien, ja taata datan tarkka ja nopea siirto ilman laajavaikutteisia keskeytymisiä ja aiheetonta viivytystä; |
| --- | --- |

a)

täsmentää edelleen tekijöitä, jotka on sisällytettävä 9 artiklan 2 kohdassa tarkoitettuihin TVT-turvallisuutta koskeviin toimintatapoihin, menettelyihin, protokolliin ja välineisiin, jotta voidaan varmistaa verkkojen turvallisuus, mahdollistaa riittävät suojatoimet tunkeutumisia ja datan väärinkäyttöä vastaan, säilyttää datan saatavuus, aitous, eheys ja luottamuksellisuus, salaustekniikat mukaan lukien, ja taata datan tarkka ja nopea siirto ilman laajavaikutteisia keskeytymisiä ja aiheetonta viivytystä;

| b) | kehittää edelleen 9 artiklan 4 kohdan c alakohdassa tarkoitettuun pääsyoikeuksien hallinnan valvontaan liittyviä elementtejä ja siihen liittyvää henkilöresurssipolitiikkaa, joiden puitteissa määritellään pääsyoikeudet, menettelyt oikeuksien myöntämistä ja peruuttamista varten, TVT-riskiin liittyvän poikkeavan käyttäytymisen seuranta soveltaen asianmukaisia indikaattoreita, mukaan lukien verkon käyttötavat, ajankohdat, IT-toimet ja tuntemattomat laitteet; |
| --- | --- |

b)

kehittää edelleen 9 artiklan 4 kohdan c alakohdassa tarkoitettuun pääsyoikeuksien hallinnan valvontaan liittyviä elementtejä ja siihen liittyvää henkilöresurssipolitiikkaa, joiden puitteissa määritellään pääsyoikeudet, menettelyt oikeuksien myöntämistä ja peruuttamista varten, TVT-riskiin liittyvän poikkeavan käyttäytymisen seuranta soveltaen asianmukaisia indikaattoreita, mukaan lukien verkon käyttötavat, ajankohdat, IT-toimet ja tuntemattomat laitteet;

| c) | kehittää edelleen 10 artiklan 1 kohdassa tarkoitettuja mekanismeja, joiden avulla poikkeava toiminta voidaan havaita, ja 10 artiklan 2 kohdassa vahvistettuja kriteerejä, joiden perusteella TVT:hen liittyvien poikkeamien havaitsemis- ja reagointiprosessit käynnistyvät; |
| --- | --- |

c)

kehittää edelleen 10 artiklan 1 kohdassa tarkoitettuja mekanismeja, joiden avulla poikkeava toiminta voidaan havaita, ja 10 artiklan 2 kohdassa vahvistettuja kriteerejä, joiden perusteella TVT:hen liittyvien poikkeamien havaitsemis- ja reagointiprosessit käynnistyvät;

| d) | täsmentää edelleen 11 artiklan 1 kohdassa tarkoitettujen TVT-liiketoiminnan jatkuvuutta koskevien toimintaperiaatteiden osatekijöitä; |
| --- | --- |

d)

täsmentää edelleen 11 artiklan 1 kohdassa tarkoitettujen TVT-liiketoiminnan jatkuvuutta koskevien toimintaperiaatteiden osatekijöitä;

| e) | täsmentää edelleen 11 artiklan 6 kohdassa tarkoitettua TVT-liiketoiminnan jatkuvuutta koskevien suunnitelmien testausta sen varmistamiseksi, että tällaisessa testauksessa otetaan asianmukaisesti huomioon skenaariot, joissa kriittisten tai tärkeiden toimintojen tarjonta heikkenee laadullisesti tasolle, jota ei voida hyväksyä, tai vikaantuu, ja otetaan asianmukaisesti huomioon TVT-palveluntarjoajana olevien kolmansien osapuolten maksukyvyttömyyden tai muiden häiriöiden mahdollinen vaikutus ja tarvittaessa asianomaisten palveluntarjoajien lainkäyttöalueisiin liittyvät poliittiset riskit; |
| --- | --- |

e)

täsmentää edelleen 11 artiklan 6 kohdassa tarkoitettua TVT-liiketoiminnan jatkuvuutta koskevien suunnitelmien testausta sen varmistamiseksi, että tällaisessa testauksessa otetaan asianmukaisesti huomioon skenaariot, joissa kriittisten tai tärkeiden toimintojen tarjonta heikkenee laadullisesti tasolle, jota ei voida hyväksyä, tai vikaantuu, ja otetaan asianmukaisesti huomioon TVT-palveluntarjoajana olevien kolmansien osapuolten maksukyvyttömyyden tai muiden häiriöiden mahdollinen vaikutus ja tarvittaessa asianomaisten palveluntarjoajien lainkäyttöalueisiin liittyvät poliittiset riskit;

| f) | täsmentää edelleen 11 artiklan 3 kohdassa tarkoitettujen TVT-reagointi- ja palautumissuunnitelmien osatekijöitä; |
| --- | --- |

f)

täsmentää edelleen 11 artiklan 3 kohdassa tarkoitettujen TVT-reagointi- ja palautumissuunnitelmien osatekijöitä;

| g) | täsmentää edelleen 6 artiklan 5 kohdassa tarkoitetun TVT-riskinhallintajärjestelmän uudelleentarkastelua koskevan kertomuksen sisältöä ja muotoa. |
| --- | --- |

g)

täsmentää edelleen 6 artiklan 5 kohdassa tarkoitetun TVT-riskinhallintajärjestelmän uudelleentarkastelua koskevan kertomuksen sisältöä ja muotoa.

Laatiessaan kyseisiä teknisten sääntelystandardien luonnoksia Euroopan valvontaviranomaisten on otettava huomioon finanssiyhteisön koko ja yleinen riskiprofiili sekä sen palvelujen, toiminnan ja toimintojen luonne, laajuus ja monitahoisuus ottaen samalla asianmukaisesti huomioon eri rahoituspalvelusektoreilla harjoitettavan toiminnan erilaisesta luonteesta johtuvat erityispiirteet.

Euroopan valvontaviranomaiset toimittavat kyseiset teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä tammikuuta 2024 .

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisessä kohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

16 artikla

Yksinkertaistettu TVT-riskinhallintajärjestelmä

1.   Tämän asetuksen 5–15 artiklaa ei sovelleta pieniin ja ilman sidossuhteita oleviin sijoituspalveluyrityksiin eikä maksulaitoksiin, joihin sovelletaan vapautusta direktiivin (EU) 2015/2366 nojalla; laitoksiin, joihin sovelletaan vapautusta direktiivin 2013/36/EU nojalla ja joiden osalta jäsenvaltiot ovat päättäneet olla soveltamatta tämän asetuksen 2 artiklan 4 kohdassa tarkoitettua vaihtoehtoa; sähköisen rahan liikkeeseenlaskijalaitoksiin, joihin sovelletaan vapautusta direktiivin 2009/110/EY nojalla; eikä pieniin ammatillisia lisäeläkkeitä tarjoaviin laitoksiin.

Ensimmäisen alakohdan soveltamista rajoittamatta ensimmäisessä alakohdassa lueteltujen finanssiyhteisöjen on

| a) | otettava käyttöön luotettava ja dokumentoitu TVT-riskinhallintajärjestelmä, jossa esitetään yksityiskohtaisesti mekanismit ja toimenpiteet, joilla pyritään nopeaan, tehokkaaseen ja kattavaan TVT-riskin hallintaan, mukaan lukien asiaankuuluvien fyysisten komponenttien ja infrastruktuurien suojaaminen, ja ylläpidettävä sitä; |
| --- | --- |

a)

otettava käyttöön luotettava ja dokumentoitu TVT-riskinhallintajärjestelmä, jossa esitetään yksityiskohtaisesti mekanismit ja toimenpiteet, joilla pyritään nopeaan, tehokkaaseen ja kattavaan TVT-riskin hallintaan, mukaan lukien asiaankuuluvien fyysisten komponenttien ja infrastruktuurien suojaaminen, ja ylläpidettävä sitä;

| b) | valvottava jatkuvasti kaikkien TVT-järjestelmien turvallisuutta ja toimintaa; |
| --- | --- |

b)

valvottava jatkuvasti kaikkien TVT-järjestelmien turvallisuutta ja toimintaa;

| c) | minimoitava TVT-riskin vaikutukset käyttämällä luotettavia, häiriönsietokykyisiä ja ajantasaisia TVT-järjestelmiä, -protokollia ja -välineitä, jotka ovat asianmukaisia tukemaan niiden toimintaa ja palvelujen tarjoamista ja suojaamaan riittävällä tavalla verkko- ja tietojärjestelmien sisältämän datan saatavuutta, aitoutta, eheyttä ja luottamuksellisuutta; |
| --- | --- |

c)

minimoitava TVT-riskin vaikutukset käyttämällä luotettavia, häiriönsietokykyisiä ja ajantasaisia TVT-järjestelmiä, -protokollia ja -välineitä, jotka ovat asianmukaisia tukemaan niiden toimintaa ja palvelujen tarjoamista ja suojaamaan riittävällä tavalla verkko- ja tietojärjestelmien sisältämän datan saatavuutta, aitoutta, eheyttä ja luottamuksellisuutta;

| d) | mahdollistettava TVT-riskin ja poikkeamien lähteiden nopea tunnistaminen ja havaitseminen verkko- ja tietojärjestelmissä ja TVT:hen liittyvien poikkeamien nopea käsittely; |
| --- | --- |

d)

mahdollistettava TVT-riskin ja poikkeamien lähteiden nopea tunnistaminen ja havaitseminen verkko- ja tietojärjestelmissä ja TVT:hen liittyvien poikkeamien nopea käsittely;

| e) | yksilöitävä keskeiset riippuvuudet TVT-palveluntarjoajana olevista kolmansista osapuolista; |
| --- | --- |

e)

yksilöitävä keskeiset riippuvuudet TVT-palveluntarjoajana olevista kolmansista osapuolista;

| f) | varmistettava kriittisten tai tärkeiden toimintojen jatkuvuus sellaisten liiketoiminnan jatkuvuussuunnitelmien ja reagointi- ja toipumistoimenpiteiden avulla, joihin sisältyy vähintään varmuuskopiointi- ja palauttamistoimenpiteitä; |
| --- | --- |

f)

varmistettava kriittisten tai tärkeiden toimintojen jatkuvuus sellaisten liiketoiminnan jatkuvuussuunnitelmien ja reagointi- ja toipumistoimenpiteiden avulla, joihin sisältyy vähintään varmuuskopiointi- ja palauttamistoimenpiteitä;

| g) | testattava säännöllisesti f alakohdassa tarkoitettuja suunnitelmia ja toimenpiteitä sekä a ja c alakohdan mukaisesti toteutettujen tarkastusten tehokkuutta; |
| --- | --- |

g)

testattava säännöllisesti f alakohdassa tarkoitettuja suunnitelmia ja toimenpiteitä sekä a ja c alakohdan mukaisesti toteutettujen tarkastusten tehokkuutta;

| h) | pantava tarvittaessa g alakohdassa tarkoitetuista testeistä ja poikkeamien jälkeisestä analyysistä saadut asiaankuuluvat toimintaa koskevat johtopäätökset täytäntöön TVT-riskinarviointiprosessissa ja laadittava tarpeiden ja TVT-riskiprofiilin mukaisesti henkilöstölle ja johdolle suunnattuja TVT-turvallisuutta koskevia valistusohjelmia ja digitaalista häiriönsietokykyä koskevaa koulusta. |
| --- | --- |

h)

pantava tarvittaessa g alakohdassa tarkoitetuista testeistä ja poikkeamien jälkeisestä analyysistä saadut asiaankuuluvat toimintaa koskevat johtopäätökset täytäntöön TVT-riskinarviointiprosessissa ja laadittava tarpeiden ja TVT-riskiprofiilin mukaisesti henkilöstölle ja johdolle suunnattuja TVT-turvallisuutta koskevia valistusohjelmia ja digitaalista häiriönsietokykyä koskevaa koulusta.

2.   Edellä 1 kohdan toisen alakohdan a alakohdassa tarkoitettu TVT-riskinhallintajärjestelmä on dokumentoitava ja sitä on tarkistettava säännöllisesti ja laajavaikutteisten TVT:hen liittyvien poikkeamien yhteydessä valvontaohjeiden mukaisesti. Sitä on parannettava jatkuvasti täytäntöönpanosta ja seurannasta saatujen kokemusten perusteella. Toimivaltaiselle viranomaiselle on sen pyynnöstä toimitettava kertomus TVT-riskinhallintajärjestelmän uudelleentarkastelusta.

3.   Euroopan valvontaviranomaisten on yhteiskomitean välityksellä ja ENISAa kuullen laadittava yhteisten teknisten sääntelystandardien luonnoksia, jotta voidaan

| a) | täsmentää edelleen 1 kohdan toisen alakohdan a alakohdassa tarkoitettuun TVT-riskinhallintajärjestelmään sisällytettäviä seikkoja; |
| --- | --- |

a)

täsmentää edelleen 1 kohdan toisen alakohdan a alakohdassa tarkoitettuun TVT-riskinhallintajärjestelmään sisällytettäviä seikkoja;

| b) | täsmentää edelleen järjestelmiin, protokolliin ja välineisiin liittyviä tekijöitä, joilla minimoidaan 1 kohdan toisen alakohdan c alakohdassa tarkoitetut TVT-riskin vaikutukset, jotta voidaan varmistaa verkkojen turvallisuus, mahdollistetaan riittävät suojatoimet tunkeutumisen ja datan väärinkäytön varalta sekä säilytetään datan saatavuus, aitous, eheys ja luottamuksellisuus; |
| --- | --- |

b)

täsmentää edelleen järjestelmiin, protokolliin ja välineisiin liittyviä tekijöitä, joilla minimoidaan 1 kohdan toisen alakohdan c alakohdassa tarkoitetut TVT-riskin vaikutukset, jotta voidaan varmistaa verkkojen turvallisuus, mahdollistetaan riittävät suojatoimet tunkeutumisen ja datan väärinkäytön varalta sekä säilytetään datan saatavuus, aitous, eheys ja luottamuksellisuus;

| c) | täsmentää edelleen 1 kohdan toisen alakohdan f alakohdassa tarkoitettujen TVT-liiketoiminnan jatkuvuutta koskevien suunnitelmien osatekijöitä; |
| --- | --- |

c)

täsmentää edelleen 1 kohdan toisen alakohdan f alakohdassa tarkoitettujen TVT-liiketoiminnan jatkuvuutta koskevien suunnitelmien osatekijöitä;

| d) | täsmentää edelleen liiketoiminnan jatkuvuussuunnitelmien testausta koskevat säännöt ja varmistaa 1 kohdan toisen alakohdan g alakohdassa tarkoitettujen valvontatoimien tehokkuus sekä varmistaa, että tällaisessa testauksessa otetaan asianmukaisesti huomioon skenaariot, joissa kriittisen tai tärkeän toiminnon tarjonta heikkenee laadullisesti tasolle, jota ei voida hyväksyä, tai vikaantuu; |
| --- | --- |

d)

täsmentää edelleen liiketoiminnan jatkuvuussuunnitelmien testausta koskevat säännöt ja varmistaa 1 kohdan toisen alakohdan g alakohdassa tarkoitettujen valvontatoimien tehokkuus sekä varmistaa, että tällaisessa testauksessa otetaan asianmukaisesti huomioon skenaariot, joissa kriittisen tai tärkeän toiminnon tarjonta heikkenee laadullisesti tasolle, jota ei voida hyväksyä, tai vikaantuu;

| e) | täsmentää edelleen 2 kohdassa tarkoitetun TVT-riskinhallintajärjestelmän uudelleentarkastelua koskevan kertomuksen sisältöä ja muotoa. |
| --- | --- |

e)

täsmentää edelleen 2 kohdassa tarkoitetun TVT-riskinhallintajärjestelmän uudelleentarkastelua koskevan kertomuksen sisältöä ja muotoa.

Kyseisiä teknisten sääntelystandardien luonnoksia laatiessaan Euroopan valvontaviranomaisten on otettava huomioon finanssiyhteisön koko ja yleinen riskiprofiili sekä sen palvelujen, toiminnan ja toimintojen luonne, laajuus ja monitahoisuus.

Euroopan valvontaviranomaisten on toimitettava kyseisten teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä tammikuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

III LUKU

TVT:hen liittyvien poikkeamien hallinta, luokittelu ja raportointi

17 artikla

TVT:hen liittyvien poikkeamien hallintaprosessi

1.   Finanssiyhteisöjen on määriteltävä, laadittava ja toteutettava TVT:hen liittyvien poikkeamien hallintaprosessi, jonka avulla TVT:hen liittyviä poikkeamia voidaan havaita ja hallinnoida ja niistä voidaan ilmoittaa.

2.   Finanssiyhteisöjen on kirjattava kaikki TVT:hen liittyvät poikkeamat ja merkittävät kyberuhat. Finanssiyhteisöjen on laadittava asianmukaiset menettelyt ja prosessit, joilla taataan TVT:hen liittyvien poikkeamien yhdenmukainen ja yhdennetty valvonta, käsittely ja seuranta sen varmistamiseksi, että niiden perimmäiset syyt tunnistetaan, dokumentoidaan ja niihin puututaan, jotta tällaiset poikkeamat voidaan estää.

3.   Edellä 1 kohdassa tarkoitetussa TVT:hen liittyvien poikkeamien hallintaprosessissa on

| a) | otettava käyttöön varhaisen varoituksen indikaattorit; |
| --- | --- |

a)

otettava käyttöön varhaisen varoituksen indikaattorit;

| b) | vahvistettava menettelyt, joiden avulla TVT:hen liittyvät poikkeamat voidaan tunnistaa, jäljittää, kirjata lokiin ja luokitella niiden tärkeyden, vakavuuden ja sen palvelun kriittisyyden mukaan, johon ne vaikuttavat, 18 artiklan 1 kohdassa vahvistettujen kriteerien mukaisesti; |
| --- | --- |

b)

vahvistettava menettelyt, joiden avulla TVT:hen liittyvät poikkeamat voidaan tunnistaa, jäljittää, kirjata lokiin ja luokitella niiden tärkeyden, vakavuuden ja sen palvelun kriittisyyden mukaan, johon ne vaikuttavat, 18 artiklan 1 kohdassa vahvistettujen kriteerien mukaisesti;

| c) | osoitettava tehtävät ja vastuualueet, jotka erityyppisten TVT:hen liittyvien poikkeamien ja skenaarioiden osalta on aktivoitava; |
| --- | --- |

c)

osoitettava tehtävät ja vastuualueet, jotka erityyppisten TVT:hen liittyvien poikkeamien ja skenaarioiden osalta on aktivoitava;

| d) | esitettävä 14 artiklan mukaisesti viestintäsuunnitelmat, jotka koskevat tiedottamista henkilöstölle, ulkoisille sidosryhmille ja tiedotusvälineille sekä asiakkaille, sisäisiä eskalointimenettelyjä, myös TVT:hen liittyvien asiakasvalitusten osalta, sekä tarpeen mukaan tiedottamista vastapuolina toimiville finanssiyhteisöille; |
| --- | --- |

d)

esitettävä 14 artiklan mukaisesti viestintäsuunnitelmat, jotka koskevat tiedottamista henkilöstölle, ulkoisille sidosryhmille ja tiedotusvälineille sekä asiakkaille, sisäisiä eskalointimenettelyjä, myös TVT:hen liittyvien asiakasvalitusten osalta, sekä tarpeen mukaan tiedottamista vastapuolina toimiville finanssiyhteisöille;

| e) | varmistettava, että ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista raportoidaan asiaankuuluvalle ylemmälle johdolle, ja tiedotettava ylimmälle hallintoelimelle ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista selittämällä niiden vaikutukset ja niiden vuoksi toteutettavat reagointitoimet ja lisävalvontatoimet; |
| --- | --- |

e)

varmistettava, että ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista raportoidaan asiaankuuluvalle ylemmälle johdolle, ja tiedotettava ylimmälle hallintoelimelle ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista selittämällä niiden vaikutukset ja niiden vuoksi toteutettavat reagointitoimet ja lisävalvontatoimet;

| f) | otettava käyttöön TVT:hen liittyviin poikkeamiin liittyvät reagointimenettelyt, jotta voidaan lieventää niiden vaikutuksia ja varmistaa oikea-aikaisesti, että palvelut alkavat jälleen toimia ja ovat turvallisia. |
| --- | --- |

f)

otettava käyttöön TVT:hen liittyviin poikkeamiin liittyvät reagointimenettelyt, jotta voidaan lieventää niiden vaikutuksia ja varmistaa oikea-aikaisesti, että palvelut alkavat jälleen toimia ja ovat turvallisia.

18 artikla

TVT:hen liittyvien poikkeamien ja kyberuhkien luokittelu

1.   Finanssiyhteisöjen on luokiteltava TVT:hen liittyvät poikkeamat ja määriteltävä niiden vaikutukset seuraavien kriteerien perusteella:

| a) | niiden asiakkaiden tai finanssialan vastapuolien lukumäärä ja/tai merkityksellisyys, ja tarvittaessa toteutuneiden liiketoimien määrä tai lukumäärä, joihin TVT:hen liittyvä poikkeama on vaikuttanut, ja tieto siitä, onko TVT:hen liittyvällä poikkeamalla ollut maineeseen liittyviä vaikutuksia; |
| --- | --- |

a)

niiden asiakkaiden tai finanssialan vastapuolien lukumäärä ja/tai merkityksellisyys, ja tarvittaessa toteutuneiden liiketoimien määrä tai lukumäärä, joihin TVT:hen liittyvä poikkeama on vaikuttanut, ja tieto siitä, onko TVT:hen liittyvällä poikkeamalla ollut maineeseen liittyviä vaikutuksia;

| b) | TVT:hen liittyvän poikkeaman kesto, palvelukatkos mukaan lukien; |
| --- | --- |

b)

TVT:hen liittyvän poikkeaman kesto, palvelukatkos mukaan lukien;

| c) | sen alueen maantieteellinen laajuus, johon TVT:hen liittyvä poikkeama vaikuttaa, varsinkin jos se vaikuttaa useampaan kuin kahteen jäsenvaltioon; |
| --- | --- |

c)

sen alueen maantieteellinen laajuus, johon TVT:hen liittyvä poikkeama vaikuttaa, varsinkin jos se vaikuttaa useampaan kuin kahteen jäsenvaltioon;

| d) | TVT:hen liittyvän poikkeaman aiheuttamat datan menetykset datan saatavuuden, aitouden, eheyden tai luottamuksellisuuden osalta; |
| --- | --- |

d)

TVT:hen liittyvän poikkeaman aiheuttamat datan menetykset datan saatavuuden, aitouden, eheyden tai luottamuksellisuuden osalta;

| e) | vaikutusten kohteena olevien palvelujen kriittisyys, finanssiyhteisön liiketoimet ja toiminnot mukaan lukien; |
| --- | --- |

e)

vaikutusten kohteena olevien palvelujen kriittisyys, finanssiyhteisön liiketoimet ja toiminnot mukaan lukien;

| f) | TVT:hen liittyvän poikkeaman taloudelliset vaikutukset, erityisesti välittömät ja välilliset kustannukset ja tappiot, sekä absoluuttisesti että suhteellisesti ilmaistuna. |
| --- | --- |

f)

TVT:hen liittyvän poikkeaman taloudelliset vaikutukset, erityisesti välittömät ja välilliset kustannukset ja tappiot, sekä absoluuttisesti että suhteellisesti ilmaistuna.

2.   Finanssiyhteisöjen on luokiteltava kyberuhat merkittäviksi riskinalaisten palvelujen, mukaan lukien finanssiyhteisön liiketoimet ja toiminnot, kriittisyyden, kohteena olevien asiakkaiden tai finanssialan vastapuolten lukumäärän ja/tai merkityksellisyyden sekä riskialueiden maantieteellisen jakautumisen perusteella.

3.   Euroopan valvontaviranomaiset laativat yhteiskomiteassa ja EKP:tä ja ENISAa kuultuaan yhteisten teknisten sääntelystandardien luonnoksia, joissa määritetään seuraavat:

| a) | edellä 1 kohdassa vahvistetut kriteerit, mukaan lukien olennaisuusrajat sellaisten TVT:hen liittyvien laajavaikutteisten poikkeamien tai tapauksen mukaan toiminnan harjoittamiseen tai turvallisuuteen vaikuttavien maksuihin liittyvien laajavaikutteisten poikkeamien määrittämiseksi, joihin sovelletaan 19 artiklan 1 kohdassa säädettyä ilmoitusvelvollisuutta; |
| --- | --- |

a)

edellä 1 kohdassa vahvistetut kriteerit, mukaan lukien olennaisuusrajat sellaisten TVT:hen liittyvien laajavaikutteisten poikkeamien tai tapauksen mukaan toiminnan harjoittamiseen tai turvallisuuteen vaikuttavien maksuihin liittyvien laajavaikutteisten poikkeamien määrittämiseksi, joihin sovelletaan 19 artiklan 1 kohdassa säädettyä ilmoitusvelvollisuutta;

| b) | kriteerit, joita toimivaltaisten viranomaisten on sovellettava arvioidessaan laajavaikutteisten TVT:hen liittyvien poikkeamien tai tapauksen mukaan toiminnan harjoittamiseen tai turvallisuuteen vaikuttavien maksuihin liittyvien laajavaikutteisten poikkeamien merkitystä muiden jäsenvaltioiden asianomaisten toimivaltaisten viranomaisten kannalta, ja niiden laajavaikutteisia TVT:hen liittyviä poikkeamia tai tapauksen mukaan toiminnan harjoittamiseen tai turvallisuuteen vaikuttavia maksuihin liittyviä laajavaikutteisia poikkeamia koskevien raporttien yksityiskohdat, jotka on jaettava muiden toimivaltaisten viranomaisten kanssa 19 artiklan 6 ja 7 kohdan nojalla; |
| --- | --- |

b)

kriteerit, joita toimivaltaisten viranomaisten on sovellettava arvioidessaan laajavaikutteisten TVT:hen liittyvien poikkeamien tai tapauksen mukaan toiminnan harjoittamiseen tai turvallisuuteen vaikuttavien maksuihin liittyvien laajavaikutteisten poikkeamien merkitystä muiden jäsenvaltioiden asianomaisten toimivaltaisten viranomaisten kannalta, ja niiden laajavaikutteisia TVT:hen liittyviä poikkeamia tai tapauksen mukaan toiminnan harjoittamiseen tai turvallisuuteen vaikuttavia maksuihin liittyviä laajavaikutteisia poikkeamia koskevien raporttien yksityiskohdat, jotka on jaettava muiden toimivaltaisten viranomaisten kanssa 19 artiklan 6 ja 7 kohdan nojalla;

| c) | tämän artiklan 2 kohdassa vahvistetut kriteerit, mukaan lukien korkeat olennaisuusrajat merkittävien kyberuhkien määrittämiseksi. |
| --- | --- |

c)

tämän artiklan 2 kohdassa vahvistetut kriteerit, mukaan lukien korkeat olennaisuusrajat merkittävien kyberuhkien määrittämiseksi.

4.   Kun Euroopan valvontaviranomaiset laativat tämän artiklan 3 kohdassa tarkoitettuja yhteisten teknisten sääntelystandardien luonnoksia, niiden on otettava huomioon 4 artiklan 2 kohdassa vahvistetut kriteerit sekä kansainväliset standardit, ohjaus ja ENISAn laatimat ja julkaisemat eritelmät, tarpeen vaatiessa myös muita talouden aloja koskevat eritelmät. Sovellettaessa 4 artiklan 2 kohdassa vahvistettuja kriteerejä Euroopan valvontaviranomaisten on otettava asianmukaisesti huomioon mikroyritysten sekä pienten ja keskisuurten yritysten tarve ottaa käyttöön riittävät resurssit ja valmiudet sen varmistamiseksi, että TVT:hen liittyviä poikkeamia hallitaan nopeasti.

Euroopan valvontaviranomaiset toimittavat kyseiset yhteisten teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä tammikuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä 3 kohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

19 artikla

Laajavaikutteisista TVT:hen liittyvistä poikkeamista raportointi ja vapaaehtoinen ilmoittaminen merkittävistä kyberuhkista

1.   Finanssiyhteisöjen on raportoitava laajavaikutteisista TVT:hen liittyvistä poikkeamista 46 artiklassa tarkoitetulle asianomaiselle toimivaltaiselle viranomaiselle tämän artiklan 4 kohdan mukaisesti.

Jos finanssiyhteisöä valvoo useampi kuin yksi 46 artiklassa tarkoitettu kansallinen toimivaltainen viranomainen, jäsenvaltioiden on nimettävä yksi toimivaltainen viranomainen asianomaiseksi toimivaltaiseksi viranomaiseksi, joka vastaa tässä artiklassa säädettyjen tehtävien ja velvollisuuksien suorittamisesta.

Luottolaitosten, jotka on luokiteltu merkittäviksi asetuksen (EU) N:o 1024/2013 6 artiklan 4 kohdan mukaisesti, on raportoitava laajavaikutteisista TVT:hen liittyvistä poikkeamista direktiivin 2013/36/EU 4 artiklan mukaisesti nimetylle asianomaiselle kansalliselle toimivaltaiselle viranomaiselle, jonka on välitettävä kyseinen raportti välittömästi EKP:lle.

Ensimmäistä alakohtaa sovellettaessa finanssiyhteisöjen on kaikkien asiaankuuluvien tietojen keräämisen ja analysoinnin jälkeen laadittava tämän artiklan 4 kohdassa tarkoitetut alustava ilmoitus ja raportit 20 artiklassa tarkoitettuja malleja käyttäen ja toimitettava ne toimivaltaiselle viranomaiselle. Jos tekninen mahdottomuus estää alustavan ilmoituksen toimittamisen mallia käyttäen, finanssiyhteisöjen on ilmoitettava siitä toimivaltaiselle viranomaiselle vaihtoehtoisin keinoin.

Jäljempänä 4 kohdassa tarkoitetuissa alustavassa ilmoituksessa ja raporteissa on esitettävä kaikki tiedot, jotka toimivaltainen viranomainen tarvitsee voidakseen määrittää laajavaikutteisen TVT:hen liittyvän poikkeaman merkityksen ja arvioida mahdollisia rajatylittäviä vaikutuksia.

Rajoittamatta ensimmäisen alakohdan mukaista raportointia, jonka finanssiyhteisö suorittaa asianomaiselle toimivaltaiselle viranomaiselle, jäsenvaltiot voivat lisäksi päättää, että joidenkin tai kaikkien finanssiyhteisöjen on myös toimitettava alustava ilmoitus ja kaikki tämän artiklan 4 kohdassa tarkoitetut raportit 20 artiklassa tarkoitettuja malleja käyttäen toimivaltaisille viranomaisille tai direktiivin (EU) 2022/2555 mukaisesti nimetyille tai perustetuille tietoturvaloukkauksiin reagoiville ja niitä tutkiville yksiköille, jäljempänä ’CSIRT-yksiköt’.

2.   Finanssiyhteisöt voivat vapaaehtoisesti ilmoittaa merkittävistä kyberuhkista asianomaiselle toimivaltaiselle viranomaiselle, jos ne pitävät uhkaa merkittävänä rahoitusjärjestelmän, palvelujen käyttäjien tai asiakkaiden kannalta. Asianomainen toimivaltainen viranomainen voi toimittaa tällaisia tietoja 6 kohdassa tarkoitetuille muille asianomaisille viranomaisille.

Luottolaitokset, jotka on luokiteltu merkittäviksi asetuksen (EU) N:o 1024/2013 6 artiklan 4 kohdan mukaisesti, voivat vapaaehtoisesti ilmoittaa merkittävistä kyberuhkista direktiivin 2013/36/EU 4 artiklan mukaisesti nimetylle asianomaiselle kansalliselle toimivaltaiselle viranomaiselle, jonka on välitettävä ilmoitus välittömästi EKP:lle.

Jäsenvaltiot voivat päättää, että ne finanssiyhteisöt, jotka ensimmäisen alakohdan mukaisesti suorittavat ilmoittamisen vapaaehtoisesti, voivat toimittaa kyseisen ilmoituksen myös direktiivin (EU) 2022/2555 mukaisesti nimetyille tai perustetuille CSIRT-yksiköille.

3.   Jos laajavaikutteinen TVT:hen liittyvä poikkeama ilmenee ja vaikuttaa asiakkaiden taloudellisiin etuihin, finanssiyhteisöjen on ilman aiheetonta viivytystä välittömästi tultuaan asiasta tietoisiksi ilmoitettava asiakkailleen laajavaikutteisesta TVT:hen liittyvästä poikkeamasta ja toimenpiteistä, joita on toteutettu tällaisen poikkeaman haitallisten vaikutusten lieventämiseksi.

Jos kyseessä on merkittävä kyberuhka, finanssiyhteisöjen on tarvittaessa ilmoitettava asiakkailleen, joihin asia mahdollisesti vaikuttaa, kaikista asianmukaisista suojatoimenpiteistä, joiden toteuttamista nämä voivat harkita.

4.   Finanssiyhteisöjen on 20 artiklan ensimmäisen kohdan a alakohdan ii alakohdan mukaisesti vahvistettavissa määräajoissa toimitettava asianomaiselle toimivaltaiselle viranomaiselle seuraavat:

| a) | alustava ilmoitus; |
| --- | --- |

a)

alustava ilmoitus;

| b) | väliraportti a alakohdassa tarkoitetun alustavan ilmoituksen jälkeen heti, kun alkuperäisen poikkeaman tila on muuttunut merkittävästi tai laajavaikutteisen TVT:hen liittyvän poikkeaman käsittely on muuttunut saatavilla olevien uusien tietojen perusteella, ja tarvittaessa päivitetyt ilmoitukset aina kun asiaa koskeva tilannepäivitys on saatavilla, sekä toimivaltaisen viranomaisen sitä erikseen pyytäessä; |
| --- | --- |

b)

väliraportti a alakohdassa tarkoitetun alustavan ilmoituksen jälkeen heti, kun alkuperäisen poikkeaman tila on muuttunut merkittävästi tai laajavaikutteisen TVT:hen liittyvän poikkeaman käsittely on muuttunut saatavilla olevien uusien tietojen perusteella, ja tarvittaessa päivitetyt ilmoitukset aina kun asiaa koskeva tilannepäivitys on saatavilla, sekä toimivaltaisen viranomaisen sitä erikseen pyytäessä;

| c) | loppuraportti, kun perimmäisten syiden analysointi on saatu päätökseen, riippumatta siitä, onko lieventäviä toimenpiteitä jo toteutettu, ja kun arvioiden sijasta voidaan esittää todellisia vaikutuksia koskevat luvut. |
| --- | --- |

c)

loppuraportti, kun perimmäisten syiden analysointi on saatu päätökseen, riippumatta siitä, onko lieventäviä toimenpiteitä jo toteutettu, ja kun arvioiden sijasta voidaan esittää todellisia vaikutuksia koskevat luvut.

5.   Finanssiyhteisöt voivat ulkoistaa unionin ja kansallisen alakohtaisen lainsäädännön mukaisesti tämän artiklan mukaiset raportointivelvollisuudet palveluntarjoajana olevalle kolmannelle osapuolelle. Tällaisen ulkoistamisen tapauksessa finanssiyhteisö on edelleen täysin vastuussa poikkeamien raportointia koskevien vaatimusten täyttämisestä.

6.   Toimivaltaisen viranomaisen on 4 kohdassa tarkoitetun alustavan ilmoituksen ja kunkin raportin saatuaan hyvissä ajoin toimitettava laajavaikutteista TVT:hen liittyvää poikkeamaa koskevat yksityiskohtaiset tiedot seuraaville vastaanottajille soveltuvin osin näiden toimivallan perusteella:

| a) | EPV:lle, ESMAlle tai EIOPAlle; |
| --- | --- |

a)

EPV:lle, ESMAlle tai EIOPAlle;

| b) | EKP:lle, jos kyseessä ovat 2 artiklan 1 kohdan a, b ja d alakohdassa tarkoitetut finanssiyhteisöt; |
| --- | --- |

b)

EKP:lle, jos kyseessä ovat 2 artiklan 1 kohdan a, b ja d alakohdassa tarkoitetut finanssiyhteisöt;

| c) | direktiivin (EU) 2022/2555 mukaisesti nimetyille tai perustetuille toimivaltaisille viranomaisille, keskitetyille yhteyspisteille tai CSIRT-yksiköille; |
| --- | --- |

c)

direktiivin (EU) 2022/2555 mukaisesti nimetyille tai perustetuille toimivaltaisille viranomaisille, keskitetyille yhteyspisteille tai CSIRT-yksiköille;

| d) | direktiivin 2014/59/EU 3 artiklassa tarkoitetuille kriisinratkaisuviranomaisille sekä yhteiselle kriisinratkaisuneuvostolle Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 806/2014 (37) 7 artiklan 2 kohdassa tarkoitettujen yhteisöjen osalta ja asetuksen (EU) N:o 806/2014 7 artiklan 4 kohdan b alakohdassa ja 5 kohdassa tarkoitettujen yhteisöjen ja konsernien osalta, jos tällaiset tiedot koskevat poikkeamia, jotka aiheuttavat riskin direktiivin 2014/59/EU 2 artiklan 1 kohdan 35 alakohdassa tarkoitettujen kriittisten toimintojen varmistamiselle; ja |
| --- | --- |

d)

direktiivin 2014/59/EU 3 artiklassa tarkoitetuille kriisinratkaisuviranomaisille sekä yhteiselle kriisinratkaisuneuvostolle Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 806/2014 (37) 7 artiklan 2 kohdassa tarkoitettujen yhteisöjen osalta ja asetuksen (EU) N:o 806/2014 7 artiklan 4 kohdan b alakohdassa ja 5 kohdassa tarkoitettujen yhteisöjen ja konsernien osalta, jos tällaiset tiedot koskevat poikkeamia, jotka aiheuttavat riskin direktiivin 2014/59/EU 2 artiklan 1 kohdan 35 alakohdassa tarkoitettujen kriittisten toimintojen varmistamiselle; ja

| e) | muille kansallisen lainsäädännön mukaisille asianomaisille viranomaisille. |
| --- | --- |

e)

muille kansallisen lainsäädännön mukaisille asianomaisille viranomaisille.

7.   Saatuaan tiedot 6 kohdan mukaisesti EPV, ESMA tai EIOPA ja EKP arvioivat ENISAa kuullen ja yhteistyössä asianomaisen toimivaltaisen viranomaisen kanssa, onko laajavaikutteinen TVT:hen liittyvä poikkeama merkityksellinen muiden jäsenvaltioiden toimivaltaisten viranomaisten kannalta. Kyseisen arvioinnin jälkeen EPV, ESMA tai EIOPA ilmoittavat asiasta mahdollisimman pian muiden jäsenvaltioiden asianomaisille toimivaltaisille viranomaisille. EKP ilmoittaa Euroopan keskuspankkijärjestelmän jäsenille maksujärjestelmien kannalta merkityksellisistä seikoista. Toimivaltaisten viranomaisten on kyseisen ilmoituksen perusteella toteutettava tapauksen mukaan kaikki tarvittavat toimenpiteet suojellakseen rahoitusjärjestelmän välitöntä vakautta.

8.   ESMAn tämän artiklan 7 kohdan nojalla tekemä ilmoitus ei rajoita toimivaltaisen viranomaisen velvollisuutta toimittaa kiireellisesti yksityiskohtaiset tiedot laajavaikutteisesta TVT:hen liittyvästä poikkeamasta vastaanottavan jäsenvaltion asianomaiselle viranomaiselle, kun arvopaperikeskuksella on merkittävää rajatylittävää toimintaa vastaanottavassa jäsenvaltiossa, laajavaikutteisesta TVT:hen liittyvästä poikkeamasta todennäköisesti aiheutuu vakavia seurauksia vastaanottavan jäsenvaltion finanssimarkkinoille ja kun toimivaltaisten viranomaisten keskuudessa on finanssiyhteisöjen valvontaan liittyviä yhteistyöjärjestelyjä.

20 artikla

Raportoinnin sisällön ja mallien yhdenmukaistaminen

Euroopan valvontaviranomaiset laativat yhteiskomiteassa ja ENISAa ja EKP:tä kuullen

| a) | yhteisten teknisten sääntelystandardien luonnoksia, jotta voidaan






  i) | määrittää laajavaikutteisia TVT:hen liittyviä poikkeamia koskevien raporttien sisältö, jotta voidaan ottaa huomioon 18 artiklan 1 kohdassa säädetyt kriteerit, ja sisällyttää muita tekijöitä, kuten yksityiskohtaiset tiedot muille jäsenvaltioille raportoinnin merkityksellisyyden määrittämiseksi ja se, onko kyseessä laajavaikutteinen toiminnan harjoittamiseen tai turvallisuuteen vaikuttava maksuihin liittyvä poikkeama vai ei; |
| --- | --- | --- |

a)

yhteisten teknisten sääntelystandardien luonnoksia, jotta voidaan

i)

määrittää laajavaikutteisia TVT:hen liittyviä poikkeamia koskevien raporttien sisältö, jotta voidaan ottaa huomioon 18 artiklan 1 kohdassa säädetyt kriteerit, ja sisällyttää muita tekijöitä, kuten yksityiskohtaiset tiedot muille jäsenvaltioille raportoinnin merkityksellisyyden määrittämiseksi ja se, onko kyseessä laajavaikutteinen toiminnan harjoittamiseen tai turvallisuuteen vaikuttava maksuihin liittyvä poikkeama vai ei;

| ii) | vahvistaa 19 artiklan 4 kohdassa tarkoitettujen alustavan ilmoituksen ja kunkin raportin määräajat; |
| --- | --- |

ii)

vahvistaa 19 artiklan 4 kohdassa tarkoitettujen alustavan ilmoituksen ja kunkin raportin määräajat;

| iii) | määrittää merkittäviä kyberuhkia koskevan ilmoituksen sisältö. |
| --- | --- |

iii)

määrittää merkittäviä kyberuhkia koskevan ilmoituksen sisältö.

Laatiessaan kyseisiä luonnoksia teknisiksi sääntelystandardeiksi Euroopan valvontaviranomaisten on otettava huomioon finanssiyhteisön koko ja kokonaisriskiprofiili sekä sen palvelujen, toiminnan ja toimintojen luonne, laajuus ja monitahoisuus, ja erityisesti sen varmistamiseksi, että tämän kohdan a alakohdan ii alakohtaa sovellettaessa eri määräajoissa voidaan tarvittaessa ottaa huomioon rahoitusalojen erityispiirteet, sanotun kuitenkaan rajoittamatta johdonmukaisen lähestymistavan säilyttämistä tämän asetuksen ja direktiivin (EU) 2022/2555 mukaisen TVT:hen liittyviä poikkeamia koskevan raportoinnin osalta. Euroopan valvontaviranomaisten on tapauksen mukaan esitettävä perustelut, kun ne poikkeavat kyseisen direktiivin puitteissa noudatetuista lähestymistavoista;

| b) | yhteisten teknisten täytäntöönpanostandardien luonnokset, jotta voidaan vahvistaa vakiomuotoiset lomakkeet, mallit ja menettelyt, joiden avulla finanssiyhteisöt raportoivat laajavaikutteisesta TVT:hen liittyvästä poikkeamasta ja ilmoittavat merkittävästä kyberuhkasta. |
| --- | --- |

b)

yhteisten teknisten täytäntöönpanostandardien luonnokset, jotta voidaan vahvistaa vakiomuotoiset lomakkeet, mallit ja menettelyt, joiden avulla finanssiyhteisöt raportoivat laajavaikutteisesta TVT:hen liittyvästä poikkeamasta ja ilmoittavat merkittävästä kyberuhkasta.

Euroopan valvontaviranomaisten on toimitettava ensimmäisen kohdan a alakohdassa tarkoitetut yhteisten teknisten sääntelystandardien luonnokset ja ensimmäisen kohdan b alakohdassa tarkoitetut yhteisten teknisten täytäntöönpanostandardien luonnokset komissiolle viimeistään 17 päivänä heinäkuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisen kohdan a alakohdassa tarkoitetut yhteiset tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

Siirretään komissiolle valta hyväksyä ensimmäisen kohdan b alakohdassa tarkoitetut yhteiset tekniset täytäntöönpanostandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 15 artiklan mukaisesti.

21 artikla

Laajavaikutteisia TVT:hen liittyviä poikkeamia koskevan raportoinnin keskittäminen

1.   Euroopan valvontaviranomaiset laativat yhteiskomiteassa ja EKP:tä ja ENISAa kuullen yhteisen raportin, jossa arvioidaan mahdollisuuksia keskittää poikkeamia koskevaa raportointia edelleen perustamalla yksi yhteinen EU:n keskus finanssiyhteisöjen suorittamaa laajavaikutteisia TVT:hen liittyviä poikkeamia koskevaa raportointia varten. Yhteisessä raportissa on tutkittava keinoja helpottaa TVT:hen liittyviä poikkeamia koskevaa jatkuvaa raportointia, vähentää siihen liittyviä kustannuksia ja tukea aihekohtaisia analyyseja valvontakäytäntöjen lähentymisen tehostamiseksi.

2.   Edellä 1 kohdassa tarkoitetussa yhteisessä raportissa on tarkasteltava ainakin seuraavia seikkoja:

| a) | edellytykset yhden yhteisen EU:n keskuksen perustamiselle; |
| --- | --- |

a)

edellytykset yhden yhteisen EU:n keskuksen perustamiselle;

| b) | hyödyt, rajoitukset ja riskit, mukaan lukien arkaluonteisten tietojen suureen keskittymään liittyvät riskit; |
| --- | --- |

b)

hyödyt, rajoitukset ja riskit, mukaan lukien arkaluonteisten tietojen suureen keskittymään liittyvät riskit;

| c) | tarvittava valmius varmistaa yhteentoimivuus suhteessa muihin asiaankuuluviin raportointijärjestelmiin; |
| --- | --- |

c)

tarvittava valmius varmistaa yhteentoimivuus suhteessa muihin asiaankuuluviin raportointijärjestelmiin;

| d) | käytännön hallinnointiin liittyvät seikat; |
| --- | --- |

d)

käytännön hallinnointiin liittyvät seikat;

| e) | jäsenyyden ehdot; |
| --- | --- |

e)

jäsenyyden ehdot;

| f) | tekniset järjestelyt, joiden mukaisesti finanssiyhteisöillä ja kansallisilla toimivaltaisilla viranomaisilla olisi pääsy yhteen yhteiseen EU:n keskukseen; |
| --- | --- |

f)

tekniset järjestelyt, joiden mukaisesti finanssiyhteisöillä ja kansallisilla toimivaltaisilla viranomaisilla olisi pääsy yhteen yhteiseen EU:n keskukseen;

| g) | alustava arvio yhtä yhteistä EU:n keskusta tukevan operatiivisen alustan perustamiseen liittyvistä rahoituskustannuksista, tarvittava asiantuntemus mukaan lukien. |
| --- | --- |

g)

alustava arvio yhtä yhteistä EU:n keskusta tukevan operatiivisen alustan perustamiseen liittyvistä rahoituskustannuksista, tarvittava asiantuntemus mukaan lukien.

3.   Euroopan valvontaviranomaisten on toimitettava 1 kohdassa tarkoitettu raportti Euroopan parlamentille, neuvostolle ja komissiolle viimeistään 17 päivänä tammikuuta 2025.

22 artikla

Valvojan palaute

1.   Rajoittamatta CSIRT-yksiköiden direktiivin (EU) 2022/2555 nojalla tapauksen mukaan kansallisen lainsäädännön mukaisesti mahdollisesti toimittamaa teknistä asiantuntemusta, ohjeistusta tai korjaustoimenpiteitä sekä niihin perustuvia jatkotoimia toimivaltaisen viranomaisen on 19 artiklan 4 kohdassa tarkoitetut alustavan ilmoituksen ja kunkin raportin vastaanottaessaan annettava vahvistus vastaanottamisesta; lisäksi se voi mahdollisuuksien mukaan antaa hyvissä ajoin asiaankuuluvaa ja oikeasuhteista palautetta tai korkeatasoista ohjeistusta finanssiyhteisölle, erityisesti asettamalla saataville samankaltaisia uhkia koskevia asiaankuuluvia anonymisoituja tietoja ja tiedustelutietoja, ja se voi keskustella finanssiyhteisön tasolla sovellettavista korjaustoimenpiteistä ja keinoista minimoida kielteiset vaikutukset ja lieventää niitä koko finanssialalla. Finanssiyhteisöt ovat edelleen täysin vastuussa 19 artiklan 1 kohdan mukaisesti raportoitujen TVT:hen liittyvien poikkeamien käsittelystä ja seurauksista, sanotun kuitenkaan rajoittamatta vastaanotettua valvojan palautetta.

2.   Euroopan valvontaviranomaiset raportoivat anonymisoitujen ja yhdistettyjen tietojen pohjalta vuosittain yhteiskomiteassa laajavaikutteisista TVT:hen liittyvistä poikkeamista, joista toimivaltaiset viranomaiset antavat yksityiskohtaiset tiedot 19 artiklan 6 kohdan mukaisesti, ja esittävät ainakin laajavaikutteisten TVT:hen liittyvien poikkeamien lukumäärän, niiden luonteen ja vaikutuksen finanssiyhteisöjen tai asiakkaiden toimintoihin sekä toteutetut korjaustoimenpiteet ja aiheutuneet kustannukset.

Euroopan valvontaviranomaiset antavat varoituksia ja tuottavat laadukkaita tilastoja TVT-uhkia ja -haavoittuvuuksia koskevien arviointien tueksi.

23 artikla

Luottolaitoksia, maksulaitoksia, tilitietopalvelun tarjoajia ja sähköisen rahan liikkeeseenlaskijoita koskevat toiminnan harjoittamiseen tai turvallisuuteen vaikuttavat maksuihin liittyvät poikkeamat

Tässä luvussa säädettyjä vaatimuksia sovelletaan myös toiminnan harjoittamiseen tai turvallisuuteen vaikuttaviin maksuihin liittyviin poikkeamiin ja laajavaikutteisiin toiminnan harjoittamiseen tai turvallisuuteen vaikuttaviin maksuihin liittyviin poikkeamiin, kun ne koskevat luottolaitoksia, maksulaitoksia, tilitietopalvelun tarjoajia ja sähköisen rahan liikkeeseenlaskijoita.

IV LUKU

Digitaalisen häiriönsietokyvyn testaus

24 artikla

Digitaalisen häiriönsietokyvyn testausta koskevat yleiset vaatimukset

1.   Voidakseen arvioida varautumista TVT:hen liittyvien poikkeamien käsittelyyn ja yksilöidä digitaalisen häiriönsietokyvyn heikkouksia, puutteita ja aukkoja ja toteuttaa korjaavia toimenpiteitä nopeasti, muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on 4 artiklan 2 kohdassa vahvistetut kriteerit huomioon ottaen laadittava vankka ja kattava digitaalisen häiriönsietokyvyn testausohjelma, joka on olennainen osa 6 artiklassa tarkoitettua TVT-riskinhallintajärjestelmää, pidettävä sitä yllä ja tarkistettava sitä.

2.   Digitaalisen häiriönsietokyvyn testausohjelman on sisällettävä erilaisia arviointeja, testejä, menetelmiä, käytäntöjä ja välineitä, joita sovelletaan 25 ja 26 artiklan mukaisesti.

3.   Tämän artiklan 1 kohdassa tarkoitettua digitaalisen häiriönsietokyvyn testausohjelmaa toteuttaessaan muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on 4 artiklan 2 kohdassa vahvistetut kriteerit huomioon ottaen noudatettava riskiperusteista lähestymistapaa ottamalla asianmukaisesti huomioon muuttuva TVT-riski, asianomaiseen finanssiyhteisöön kohdistuvat tai mahdollisesti kohdistuvat erityiset riskit, tieto-omaisuuden ja tarjottujen palvelujen kriittisyys sekä kaikki muut tekijät, jotka finanssiyhteisö katsoo aiheellisiksi.

4.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on varmistettava, että testien suorittajat ovat riippumattomia, olivatpa ne sisäisiä tai ulkoisia osapuolia. Jos testit suorittaa sisäinen testaaja, finanssiyhteisöjen on osoitettava riittävästi resursseja ja varmistettava, että eturistiriidat vältetään testin suunnittelu- ja toteutusvaiheissa.

5.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on laadittava menettelyt ja toimintaperiaatteet, joiden avulla ne voivat asettaa tärkeysjärjestykseen, luokitella ja korjata kaikki testien aikana paljastuneet ongelmat, ja otettava käyttöön sisäiset validointimenetelmät sen varmistamiseksi, että kaikki havaitut heikkoudet, puutteet ja aukot korjataan kaikilta osin.

6.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on vähintään kerran vuodessa varmistettava, että kaikille kriittisiä tai tärkeitä toimintoja tukeville TVT-järjestelmille ja -sovelluksille tehdään asianmukaiset testit.

25 artikla

TVT-välineiden ja -järjestelmien testaus

1.   Edellä 24 artiklassa tarkoitetussa digitaalisen häiriönsietokyvyn testausohjelmassa on määrättävä 4 artiklan 2 kohdassa esitettyjen kriteerien mukaisesti aiheellisten testien, kuten haavoittuvuusarviointien ja -kartoitusten, avoimen lähdekoodin analyysien, verkkoturvallisuusarviointien, kuiluanalyysien, fyysisen turvallisuuden tarkastelujen, kyselylomakkeiden ja ohjelmistoratkaisujen kartoittamisen, lähdekoodin tarkastelujen siltä osin kuin mahdollista, skenaarioihin perustuvien testien, yhteensopivuustestauksen, suorituskykytestauksen, päästä päähän -testauksen ja tunkeutumistestauksen, toteuttamisesta.

2.   Arvopaperikeskusten ja keskusvastapuolten on suoritettava haavoittuvuusarviointeja ennen kuin ne ottavat käyttöön tai ottavat uudelleen käyttöön uusia tai olemassa olevia sovelluksia ja infrastruktuurikomponentteja sekä TVT-palveluja, jotka tukevat finanssiyhteisön kriittisiä tai tärkeitä toimintoja.

3.   Mikroyritysten on suoritettava 1 kohdassa tarkoitetut testit yhdistämällä riskiperusteinen lähestymistapa TVT-testauksen strategiseen suunnitteluun ja ottamalla asianmukaisesti huomioon tarve säilyttää tasapainoinen lähestymistapa yhtäältä resurssien laajuuden ja tässä artiklassa säädettyyn TVT-testaukseen osoitettavan ajan ja toisaalta kiireellisyyden, riskin tyypin, tieto-omaisuuden ja tarjottujen palvelujen kriittisyyden sekä muiden merkityksellisten tekijöiden, mukaan lukien finanssiyhteisön kyky ottaa laskelmoituja riskejä, välillä.

26 artikla

TVT-välineiden, -järjestelmien ja -prosessien kehittynyt testaus uhkaperusteisen tunkeutumistestauksen pohjalta

1.   Finanssiyhteisöjen, jotka ovat muita kuin 16 artiklan 1 kohdan ensimmäisessä alakohdassa tarkoitettuja yhteisöjä sekä muita kuin mikroyrityksiä ja jotka yksilöidään tämän artiklan 8 kohdan kolmannen alakohdan mukaisesti, on suoritettava vähintään kolmen vuoden välein kehittynyt testaus uhkaperusteisen tunkeutumistestauksen avulla. Toimivaltainen viranomainen voi tarvittaessa pyytää finanssiyhteisöä harventamaan tai tiuhentamaan tätä testausväliä finanssiyhteisön riskiprofiilin perusteella ja ottaen huomioon toimintaolosuhteet.

2.   Kunkin uhkaperusteisen tunkeutumistestin on katettava finanssiyhteisön useat tai kaikki kriittiset tai tärkeät toiminnot, ja se on toteutettava tällaisia toimintoja tukevilla toiminnassa olevilla tuotantojärjestelmillä.

Finanssiyhteisöjen on yksilöitävä kaikki kriittisiä tai tärkeitä toimintoja ja TVT-palveluja tukevat asiaankuuluvat TVT-järjestelmät, -prosessit ja -teknologiat, mukaan lukien ne, jotka tukevat kriittisiä tai tärkeitä toimintoja, jotka on ulkoistettu tai joista on tehty sopimus TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa.

Finanssiyhteisöjen on arvioitava, mitkä kriittiset tai tärkeät toiminnot on sisällytettävä uhkaperusteisen tunkeutumistestauksen piiriin. Tämän arvioinnin tulos määrittää uhkaperusteisen tunkeutumistestauksen tarkan soveltamisalan, ja toimivaltaiset viranomaiset vahvistavat sen.

3.   Jos uhkaperusteisen tunkeutumistestauksen soveltamisalaan kuuluu TVT-palveluntarjoajana olevia kolmansia osapuolia, finanssiyhteisön on toteutettava tarvittavat toimenpiteet ja suojatoimet varmistaakseen tällaisten TVT-palveluntarjoajina olevien kolmansien osapuolten osallistumisen uhkaperusteiseen tunkeutumistestaukseen ja se on koko ajan täysin vastuussa tämän asetuksen noudattamisen varmistamisesta.

4.   Rajoittamatta 2 kohdan ensimmäisen ja toisen alakohdan soveltamista kun voidaan kohtuudella odottaa, että 3 kohdassa tarkoitettu TVT-palveluntarjoajana olevan kolmannen osapuolen osallistuminen uhkaperusteiseen tunkeutumistestaukseen vaikuttaa kielteisesti niiden palvelujen laatuun tai turvallisuuteen, joita TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa asiakkaille, jotka ovat tämän asetuksen soveltamisalan ulkopuolisia yhteisöjä, taikka tällaisiin palveluihin liittyvien tietojen luottamuksellisuuteen, finanssiyhteisö ja TVT-palveluntarjoajana oleva kolmas osapuoli voivat sopia kirjallisesti, että TVT-palveluntarjoajana oleva kolmas osapuoli tekee suoraan sopimusjärjestelyjä ulkopuolisen testaajan kanssa yhdistetyn uhkaperusteisen tunkeutumistestauksen toteuttamiseksi yhden nimetyn finanssiyhteisön johdolla siten, että siihen osallistuu useita sellaisia finanssiyhteisöjä (yhdistetty testaus), joille TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa TVT-palveluja.

Kyseisen yhdistetyn testauksen on katettava asiaankuuluvat TVT-palvelut, jotka tukevat kriittisiä tai tärkeitä toimintoja, joista finanssiyhteisöt ovat tehneet sopimuksen kyseisen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa. Yhdistettyä testausta on pidettävä yhdistettyyn testaukseen osallistuvien finanssiyhteisöjen suorittamana uhkaperusteisena tunkeutumistestauksena.

Yhdistettyyn testaukseen osallistuvien finanssiyhteisöjen lukumäärä on kalibroitava asianmukaisesti ottaen huomioon asiaan liittyvien palvelujen monimutkaisuus ja tyypit.

5.   Finanssiyhteisöjen on sovellettava yhteistyössä TVT-palveluntarjoajina olevien kolmansien osapuolten ja muiden asiaan liittyvien osapuolten kanssa, mukaan lukien testaajat mutta lukuun ottamatta toimivaltaisia viranomaisia, vaikuttavia riskienhallinnan valvontamenetelmiä lieventääkseen mahdollisten dataan kohdistuvien vaikutusten, omaisuuserille koituvien vahinkojen ja kriittisten tai tärkeiden toimintojen, palvelujen tai toimintojen keskeytymisten riskejä finanssiyhteisössä itsessään, sen vastapuolissa tai finanssialalla.

6.   Testauksen lopuksi, kun raporteista ja korjaussuunnitelmista on sovittu, finanssiyhteisön ja tapauksen mukaan ulkopuolisten testaajien on toimitettava 9 tai 10 kohdan mukaisesti nimetylle viranomaiselle yhteenveto asiaankuuluvista havainnoista, korjaussuunnitelmat ja asiakirjat osoituksena siitä, että uhkaperusteinen tunkeutumistestaus on suoritettu vaatimusten mukaisesti.

7.   Viranomaisten on annettava finanssiyhteisöille todistus, jossa vahvistetaan, että testi on suoritettu asiakirjoissa osoitetun mukaisesti vaatimuksia noudattaen, jotta toimivaltaiset viranomaiset voivat vastavuoroisesti tunnustaa uhkaperusteiset tunkeutumistestit. Finanssiyhteisön on toimitettava todistus, yhteenveto asiaankuuluvista havainnoista ja korjaussuunnitelmat asianomaiselle toimivaltaiselle viranomaiselle.

Tällaisesta todistuksesta huolimatta finanssiyhteisöt ovat edelleen koko ajan täysin vastuussa 4 kohdassa tarkoitetuista testien vaikutuksista.

8.   Finanssiyhteisöjen on tehtävä testaajien kanssa sopimuksia 27 artiklan mukaisen uhkaperusteisen tunkeutumistestauksen toteuttamiseksi. Kun finanssiyhteisöt käyttävät sisäisiä testaajia uhkaperusteisen tunkeutumistestauksen toteuttamisessa, niiden on teetettävä joka kolmas testi ulkopuolisilla testaajilla.

Luottolaitokset, jotka on luokiteltu merkittäviksi asetuksen (EU) N:o 1024/2013 6 artiklan 4 kohdan mukaisesti, saavat käyttää ainoastaan 27 artiklan 1 kohdan a–e alakohdan mukaisia ulkopuolisia testaajia.

Toimivaltaisten viranomaisten on yksilöitävä finanssiyhteisöt, joilta vaaditaan 4 artiklan 2 kohdassa vahvistetut kriteerit huomioon ottaen uhkaperusteisen tunkeutumistestauksen tekemistä seuraavien seikkojen arvioinnin perusteella:

| a) | vaikutuksiin liittyvät tekijät, erityisesti missä määrin finanssiyhteisön tarjoamat palvelut ja sen harjoittama toiminta vaikuttavat finanssialaan; |
| --- | --- |

a)

vaikutuksiin liittyvät tekijät, erityisesti missä määrin finanssiyhteisön tarjoamat palvelut ja sen harjoittama toiminta vaikuttavat finanssialaan;

| b) | mahdolliset rahoitusvakauteen liittyvät ongelmat, mukaan lukien tapauksen mukaan finanssiyhteisön systeeminen luonne unionin tai kansallisella tasolla; |
| --- | --- |

b)

mahdolliset rahoitusvakauteen liittyvät ongelmat, mukaan lukien tapauksen mukaan finanssiyhteisön systeeminen luonne unionin tai kansallisella tasolla;

| c) | erityinen TVT-riskiprofiili, finanssiyhteisön TVT-valmiuksien taso tai siihen liittyvät tekniset ominaisuudet. |
| --- | --- |

c)

erityinen TVT-riskiprofiili, finanssiyhteisön TVT-valmiuksien taso tai siihen liittyvät tekniset ominaisuudet.

9.   Jäsenvaltiot voivat nimetä rahoitusalan yhden viranomaisen, joka vastaa rahoitusalalla uhkaperusteiseen tunkeutumistestaukseen kansallisella tasolla liittyvistä asioista, ja antaa sille kaikki tätä koskevat toimivaltuudet ja tehtävät.

10.   Jos tämän artiklan 9 kohdan mukaista nimeämistä ei ole tehty ja rajoittamatta valtuuksia yksilöidä finanssiyhteisöt, joiden on suoritettava uhkaperusteinen tunkeutumistestaus, toimivaltainen viranomainen voi siirtää joidenkin tai kaikkien tässä artiklassa ja 27 artiklassa tarkoitettujen tehtävien hoitamisen toiselle finanssialan kansalliselle viranomaiselle.

11.   Euroopan valvontaviranomaiset laativat yhdessä EKP:n kanssa yhteisten teknisten sääntelystandardien luonnoksia TIBER–EU-kehyksen mukaisesti tarkoituksena täsmentää tarkemmin:

| a) | 8 kohdan toisen alakohdan soveltamiseksi käytetyt kriteerit; |
| --- | --- |

a)

8 kohdan toisen alakohdan soveltamiseksi käytetyt kriteerit;

| b) | sisäisten testaajien käyttöä koskevat vaatimukset ja standardit; |
| --- | --- |

b)

sisäisten testaajien käyttöä koskevat vaatimukset ja standardit;

| c) | vaatimukset, jotka koskevat






  i) | edellä 2 kohdassa tarkoitetun uhkaperusteisen tunkeutumistestauksen soveltamisalaa; |
| --- | --- | --- |

c)

vaatimukset, jotka koskevat

i)

edellä 2 kohdassa tarkoitetun uhkaperusteisen tunkeutumistestauksen soveltamisalaa;

| ii) | testausmenetelmää ja lähestymistapaa, jota kussakin testausprosessin vaiheessa on noudatettava; |
| --- | --- |

ii)

testausmenetelmää ja lähestymistapaa, jota kussakin testausprosessin vaiheessa on noudatettava;

| iii) | testauksen tuloksia, sen lopettamista ja korjaustoimenpiteiden vaiheita; |
| --- | --- |

iii)

testauksen tuloksia, sen lopettamista ja korjaustoimenpiteiden vaiheita;

| d) | valvontayhteistyö ja muu asianmukainen yhteistyö, joita uhkaperusteisen tunkeutumistestauksen toteuttamisessa ja kyseisen testauksen vastavuoroisen tunnustamisen helpottamiseksi tarvitaan finanssiyhteisöissä, jotka toimivat useammassa kuin yhdessä jäsenvaltiossa, jotta saavutetaan asianmukainen valvonnan taso ja joustava toteutus niin, että voidaan ottaa huomioon finanssialan alasektoreiden tai paikallisten finanssimarkkinoiden erityispiirteet. |
| --- | --- |

d)

valvontayhteistyö ja muu asianmukainen yhteistyö, joita uhkaperusteisen tunkeutumistestauksen toteuttamisessa ja kyseisen testauksen vastavuoroisen tunnustamisen helpottamiseksi tarvitaan finanssiyhteisöissä, jotka toimivat useammassa kuin yhdessä jäsenvaltiossa, jotta saavutetaan asianmukainen valvonnan taso ja joustava toteutus niin, että voidaan ottaa huomioon finanssialan alasektoreiden tai paikallisten finanssimarkkinoiden erityispiirteet.

Laatiessaan kyseisiä teknisten sääntelystandardien luonnoksia Euroopan valvontaviranomaiset ottavat asianmukaisesti huomioon eri rahoituspalvelusektoreilla harjoitettavan toiminnan erilaisesta luonteesta johtuvat erityispiirteet.

Euroopan valvontaviranomaiset toimittavat kyseiset teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä heinäkuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

27 artikla

Testaajia uhkaperusteisen tunkeutumistestauksen suorittamisessa koskevat vaatimukset

1.   Finanssiyhteisöjen on käytettävä uhkaperusteisen tunkeutumistestauksen suorittamiseen vain testaajia,

| a) | joiden soveltuvuus ja maine ovat erityisen korkeaa tasoa; |
| --- | --- |

a)

joiden soveltuvuus ja maine ovat erityisen korkeaa tasoa;

| b) | joilla on tarvittavat tekniset ja organisatoriset valmiudet ja näyttöä siitä, että heillä on erityistä asiantuntemusta uhkatiedustelusta, tunkeutumistestauksesta ja hyökkäystestauksesta (red team); |
| --- | --- |

b)

joilla on tarvittavat tekniset ja organisatoriset valmiudet ja näyttöä siitä, että heillä on erityistä asiantuntemusta uhkatiedustelusta, tunkeutumistestauksesta ja hyökkäystestauksesta (red team);

| c) | joilla on jonkin jäsenvaltion akkreditointielimen myöntämä sertifiointi tai jotka noudattavat virallisia käytännesääntöjä tai eettisiä sääntöjä; |
| --- | --- |

c)

joilla on jonkin jäsenvaltion akkreditointielimen myöntämä sertifiointi tai jotka noudattavat virallisia käytännesääntöjä tai eettisiä sääntöjä;

| d) | jotka esittävät riippumattoman tahon antaman varmistuksen tai auditointikertomuksen, jonka mukaan uhkaperusteisen tunkeutumistestauksen suorittamiseen liittyvien riskien hallinnointi on moitteetonta, mukaan lukien finanssiyhteisön luottamuksellisten tietojen asianmukainen suojaus ja oikeussuojakeinot finanssiyhteisön liiketoimintariskien osalta; |
| --- | --- |

d)

jotka esittävät riippumattoman tahon antaman varmistuksen tai auditointikertomuksen, jonka mukaan uhkaperusteisen tunkeutumistestauksen suorittamiseen liittyvien riskien hallinnointi on moitteetonta, mukaan lukien finanssiyhteisön luottamuksellisten tietojen asianmukainen suojaus ja oikeussuojakeinot finanssiyhteisön liiketoimintariskien osalta;

| e) | joilla on asianmukainen ja kattava ammatillinen vastuuvakuutus, joka kattaa myös väärinkäytöksistä ja huolimattomuudesta johtuvat riskit. |
| --- | --- |

e)

joilla on asianmukainen ja kattava ammatillinen vastuuvakuutus, joka kattaa myös väärinkäytöksistä ja huolimattomuudesta johtuvat riskit.

2.   Jos käytetään sisäisiä testaajia, finanssiyhteisöjen on varmistettava, että 1 kohdan vaatimusten lisäksi noudatetaan seuraavia edellytyksiä:

| a) | asianomainen toimivaltainen viranomainen tai 26 artiklan 9 ja 10 kohdan mukaisesti nimetty yksi viranomainen on hyväksynyt tällaisen käytön; |
| --- | --- |

a)

asianomainen toimivaltainen viranomainen tai 26 artiklan 9 ja 10 kohdan mukaisesti nimetty yksi viranomainen on hyväksynyt tällaisen käytön;

| b) | asianomainen toimivaltainen viranomainen on todentanut finanssiyhteisön kohdennettujen resurssien riittävyyden ja varmistanut, että testin suunnittelu- ja toteutusvaiheissa vältytään eturistiriidoilta; ja |
| --- | --- |

b)

asianomainen toimivaltainen viranomainen on todentanut finanssiyhteisön kohdennettujen resurssien riittävyyden ja varmistanut, että testin suunnittelu- ja toteutusvaiheissa vältytään eturistiriidoilta; ja

| c) | uhkatiedustelutietojen tarjoaja on ulkopuolinen finanssiyhteisöön nähden. |
| --- | --- |

c)

uhkatiedustelutietojen tarjoaja on ulkopuolinen finanssiyhteisöön nähden.

3.   Finanssiyhteisöjen on varmistettava, että ulkopuolisten testaajien kanssa tehdyissä sopimuksissa edellytetään uhkaperusteisen tunkeutumistestauksen tulosten moitteetonta hallintaa ja että niihin liittyvien tietojen käsittely, mukaan lukien tulosten generointi, tallentaminen, koontaminen, luonnostelu, raportointi, välittäminen tai tuhoaminen, eivät aiheuta finanssiyhteisölle riskejä.

V LUKU

Kolmansiin osapuoliin liittyvän TVT-riskin hallinta

I jakso

Kolmansiin osapuoliin liittyvän TVT-riskin moitteetonta hallintaa koskevat keskeiset periaatteet

28 artikla

Yleiset periaatteet

1.   Finanssiyhteisöjen on hallinnoitava kolmansiin osapuoliin liittyvää TVT-riskiä erottamattomana osana TVT-riskiä 6 artiklan 1 kohdassa tarkoitetun TVT-riskinhallintajärjestelmänsä puitteissa ja seuraavien periaatteiden mukaisesti:

| a) | finanssiyhteisöjen, jotka ovat tehneet sopimusjärjestelyjä TVT-palvelujen käytöstä liiketoimintojensa hoitamista varten, on aina oltava täysin vastuussa kaikkien tästä asetuksesta ja sovellettavasta finanssipalvelulainsäädännöstä johtuvien velvoitteiden noudattamisesta ja velvollisuuksien suorittamisesta; |
| --- | --- |

a)

finanssiyhteisöjen, jotka ovat tehneet sopimusjärjestelyjä TVT-palvelujen käytöstä liiketoimintojensa hoitamista varten, on aina oltava täysin vastuussa kaikkien tästä asetuksesta ja sovellettavasta finanssipalvelulainsäädännöstä johtuvien velvoitteiden noudattamisesta ja velvollisuuksien suorittamisesta;

| b) | finanssiyhteisöjen kolmansiin osapuoliin liittyvän TVT-riskin hallinta on toteutettava suhteellisuusperiaatteen mukaisesti ottaen huomioon seuraavat:






  i) | TVT:hen liittyvien riippuvuuksien luonne, laajuus, monitahoisuus ja tärkeys; |
| --- | --- | --- |

b)

finanssiyhteisöjen kolmansiin osapuoliin liittyvän TVT-riskin hallinta on toteutettava suhteellisuusperiaatteen mukaisesti ottaen huomioon seuraavat:

i)

TVT:hen liittyvien riippuvuuksien luonne, laajuus, monitahoisuus ja tärkeys;

| ii) | TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa TVT-palvelujen käytöstä tehtyihin sopimusjärjestelyihin liittyvät riskit, ottaen huomioon kyseisen palvelun, prosessin tai toiminnon kriittisyys tai tärkeys ja sen mahdollinen vaikutus finanssipalvelujen ja -toimintojen jatkuvuuteen ja käytettävyyteen sekä yksittäisten yhteisöjen että konsernien tasolla. |
| --- | --- |

ii)

TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa TVT-palvelujen käytöstä tehtyihin sopimusjärjestelyihin liittyvät riskit, ottaen huomioon kyseisen palvelun, prosessin tai toiminnon kriittisyys tai tärkeys ja sen mahdollinen vaikutus finanssipalvelujen ja -toimintojen jatkuvuuteen ja käytettävyyteen sekä yksittäisten yhteisöjen että konsernien tasolla.

2.   Finanssiyhteisöjen, jotka ovat muita kuin 16 artiklan 1 kohdan ensimmäisessä alakohdassa tarkoitettuja yhteisöjä sekä muita kuin mikroyrityksiä, on osana TVT-riskinhallintajärjestelmäänsä hyväksyttävä kolmansiin osapuoliin liittyvää TVT-riskiä koskeva strategia ja tarkistettava sitä säännöllisesti, ottaen tapauksen mukaan huomioon 6 artiklan 9 kohdassa tarkoitettu usean toimittajan tarjoamien TVT-toimitusten strategia. Kolmansiin osapuoliin liittyvää TVT-riskiä koskevassa strategiassa on määriteltävä TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevat toimintaperiaatteet, joita on sovellettava sekä yksittäisten yhteisöjen että tarvittaessa alakonsolidointiryhmien ja konsolidointiryhmien tasolla. Ylimmän hallintoelimen on finanssiyhteisön kokonaisriskiprofiilin sekä liike-elämän palvelujen laajuuden ja monitahoisuuden arvioinnin perusteella tarkasteltava säännöllisesti uudelleen havaittuja riskejä, jotka liittyvät kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin.

3.   Finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä pidettävä yllä ja päivitettävä yhteisön tasolla sekä alakonsolidointiryhmien ja konsolidointiryhmien tasolla tietorekisteriä kaikista TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä koskevista sopimusjärjestelyistä.

Ensimmäisessä alakohdassa tarkoitetut sopimusjärjestelyt on dokumentoitava asianmukaisesti siten, että toisistaan erotetaan järjestelyt, jotka kattavat kriittisiä tai tärkeitä toimintoja tukevat TVT-palvelut, ja ne, jotka eivät kata näitä.

Finanssiyhteisöjen on raportoitava toimivaltaisille viranomaisille vähintään vuosittain TVT-palvelujen käyttöä koskevien uusien järjestelyjen määrästä, TVT-palveluntarjoajana olevien kolmansien osapuolten ryhmistä, sopimusjärjestelyjen tyypistä ja tarjotuista TVT-palveluista ja toiminnoista.

Finanssiyhteisöjen on toimitettava toimivaltaiselle viranomaiselle sen pyynnöstä tietorekisteri kokonaisuudessaan tai pyynnön mukaan sen tietyt osat sekä kaikki finanssiyhteisön tehokasta valvontaa varten tarpeellisiksi katsotut tiedot.

Finanssiyhteisöjen on ilmoitettava toimivaltaiselle viranomaiselle hyvissä ajoin kaikista kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevista suunnitelluista sopimusjärjestelyistä sekä siitä, että jostakin toiminnosta on tullut kriittinen tai tärkeä.

4.   Ennen kuin finanssiyhteisöt tekevät TVT-palvelujen käyttöä koskevan sopimusjärjestelyn, niiden on

| a) | arvioitava, kattaako sopimusjärjestely jotakin kriittistä tai tärkeää toimintoa tukevien TVT-palvelujen käytön; |
| --- | --- |

a)

arvioitava, kattaako sopimusjärjestely jotakin kriittistä tai tärkeää toimintoa tukevien TVT-palvelujen käytön;

| b) | arvioitava, täyttyvätkö sopimuksentekoa koskevat valvontaedellytykset; |
| --- | --- |

b)

arvioitava, täyttyvätkö sopimuksentekoa koskevat valvontaedellytykset;

| c) | määritettävä ja arvioitava kaikki sopimusjärjestelyyn liittyvät asiaankuuluvat riskit, mukaan lukien mahdollisuus, että tällainen sopimusjärjestely voi edistää 29 artiklassa tarkoitetun TVT-keskittymäriskin voimistumista; |
| --- | --- |

c)

määritettävä ja arvioitava kaikki sopimusjärjestelyyn liittyvät asiaankuuluvat riskit, mukaan lukien mahdollisuus, että tällainen sopimusjärjestely voi edistää 29 artiklassa tarkoitetun TVT-keskittymäriskin voimistumista;

| d) | toteutettava mahdollisten TVT-palveluntarjoajana olevien kolmansien osapuolten suhteen kaikki asianmukaista huolellisuutta koskevat menettelyt ja varmistettava koko valinta- ja arviointiprosessin ajan, että TVT-palveluntarjoajana oleva kolmas osapuoli on sopiva; |
| --- | --- |

d)

toteutettava mahdollisten TVT-palveluntarjoajana olevien kolmansien osapuolten suhteen kaikki asianmukaista huolellisuutta koskevat menettelyt ja varmistettava koko valinta- ja arviointiprosessin ajan, että TVT-palveluntarjoajana oleva kolmas osapuoli on sopiva;

| e) | määritettävä ja arvioitava sopimusjärjestelystä mahdollisesti aiheutuvat eturistiriidat. |
| --- | --- |

e)

määritettävä ja arvioitava sopimusjärjestelystä mahdollisesti aiheutuvat eturistiriidat.

5.   Finanssiyhteisöt voivat tehdä sopimusjärjestelyjä vain sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa, jotka noudattavat asianmukaisia tietoturvastandardeja. Kun kyseiset sopimusjärjestelyt koskevat kriittisiä tai tärkeitä toimintoja, finanssiyhteisöjen on ennen järjestelyjen tekemistä otettava asianmukaisesti huomioon se, miten TVT-palveluntarjoajana olevat kolmannet osapuolet käyttävät uusimpia ja korkealaatuisimpia tietoturvastandardeja.

6.   Kun finanssiyhteisöt käyttävät TVT-palveluntarjoajana olevan kolmannen osapuolen suhteen pääsy-, tarkastus- ja auditointioikeutta, niiden on riskiperusteisen lähestymistavan perusteella määritettävä ennalta auditointien ja tarkastusten tiheys samoin kuin auditoitavat alueet noudattaen yleisesti hyväksyttyjä auditointistandardeja tällaisten auditointistandardien käytöstä ja niiden noudattamisesta mahdollisesti annettujen valvontaohjeiden mukaisesti.

Jos TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tehdyt TVT-palvelujen käyttöä koskevat sopimusjärjestelyt ovat teknisesti hyvin monimutkaisia, finanssiyhteisön on varmistettava, että auditoijilla, joko sisäisillä tai ulkopuolisilla taikka auditointiryhmillä, on asianmukaiset taidot ja tiedot asiaankuuluvien auditointien ja arviointien tuloksellista suorittamista varten.

7.   Finanssiyhteisöjen on varmistettava, että TVT-palvelujen käyttöä koskevat sopimusjärjestelyt voidaan irtisanoa missä tahansa seuraavista olosuhteista:

| a) | TVT-palveluntarjoajana oleva kolmas osapuoli rikkoo merkittävästi sovellettavia lakeja ja määräyksiä tai sopimusehtoja; |
| --- | --- |

a)

TVT-palveluntarjoajana oleva kolmas osapuoli rikkoo merkittävästi sovellettavia lakeja ja määräyksiä tai sopimusehtoja;

| b) | kolmansiin osapuoliin liittyvän riskin valvonnan yhteydessä havaitaan seikkoja, joiden katsotaan voivan muuttaa sopimusjärjestelyn puitteissa tarjottujen toimintojen suorittamista, mukaan lukien olennaiset muutokset, jotka vaikuttavat järjestelyyn tai TVT-palveluntarjoajana olevan kolmannen osapuolen tilanteeseen; |
| --- | --- |

b)

kolmansiin osapuoliin liittyvän riskin valvonnan yhteydessä havaitaan seikkoja, joiden katsotaan voivan muuttaa sopimusjärjestelyn puitteissa tarjottujen toimintojen suorittamista, mukaan lukien olennaiset muutokset, jotka vaikuttavat järjestelyyn tai TVT-palveluntarjoajana olevan kolmannen osapuolen tilanteeseen;

| c) | todennetut heikkoudet, jotka liittyvät TVT-palveluntarjoajana olevan kolmannen osapuolen yleiseen TVT-riskinhallintaan, ja erityisesti tavassa, jolla se varmistaa henkilötietojen tai muutoin arkaluonteisten tietojen taikka muiden kuin henkilötietojen saatavuuden, aitouden, eheyden ja luottamuksellisuuden; |
| --- | --- |

c)

todennetut heikkoudet, jotka liittyvät TVT-palveluntarjoajana olevan kolmannen osapuolen yleiseen TVT-riskinhallintaan, ja erityisesti tavassa, jolla se varmistaa henkilötietojen tai muutoin arkaluonteisten tietojen taikka muiden kuin henkilötietojen saatavuuden, aitouden, eheyden ja luottamuksellisuuden;

| d) | toimivaltainen viranomainen ei voi asianomaisen sopimusjärjestelyn ehtojen tai siihen liittyvien olosuhteiden seurauksena enää valvoa finanssiyhteisöä tehokkaasti. |
| --- | --- |

d)

toimivaltainen viranomainen ei voi asianomaisen sopimusjärjestelyn ehtojen tai siihen liittyvien olosuhteiden seurauksena enää valvoa finanssiyhteisöä tehokkaasti.

8.   Kun kyseessä ovat kriittisiä tai tärkeitä toimintoja tukevat TVT-palvelut, finanssiyhteisöjen on otettava käyttöön irtautumisstrategiat. Irtautumisstrategioissa on otettava huomioon mahdolliset TVT-palveluntarjoajana olevien kolmansien osapuolten tasolla ilmenevät riskit, erityisesti niiden mahdollinen vikaantuminen, tarjottujen TVT-palvelujen laadun heikkeneminen, virheellisestä tai viallisesta TVT-palvelujen tarjonnasta johtuvat liiketoiminnan keskeytymiset tai kaikki olennaiset riskit, jotka aiheutuvat asianomaisen TVT-palvelun asianmukaisesta ja jatkuvasta käytöstä tai TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tehtyjen sopimusjärjestelyjen päättymisestä jossakin 7 kohdassa tarkoitetuista tilanteista.

Finanssiyhteisöjen on varmistettava, että ne voivat irtautua sopimusjärjestelyistä ilman, että

| a) | niiden liiketoiminnot keskeytyvät; |
| --- | --- |

a)

niiden liiketoiminnot keskeytyvät;

| b) | lakisääteisten vaatimusten noudattamista rajoitetaan; |
| --- | --- |

b)

lakisääteisten vaatimusten noudattamista rajoitetaan;

| c) | asiakkaille tarjottavien palvelujen jatkuvuus ja laatu kärsivät. |
| --- | --- |

c)

asiakkaille tarjottavien palvelujen jatkuvuus ja laatu kärsivät.

Irtautumissuunnitelmien on oltava kattavia, dokumentoituja, ja niiden on 4 artiklan 2 kohdassa vahvistettujen kriteerien mukaisesti oltava riittävästi testattuja ja säännöllisesti uudelleen tarkasteltuja.

Finanssiyhteisöjen on määritettävä vaihtoehtoisia ratkaisuja ja laadittava siirtymäsuunnitelmia, joiden avulla ne voivat poistaa sopimusten kattamat TVT-palvelut ja niihin liittyvän datan TVT-palveluntarjoajana olevilta kolmansilta osapuolilta ja siirtää ne turvallisesti ja kokonaisuudessaan vaihtoehtoisille palveluntarjoajille tai integroida ne uudelleen yhteisön sisällä.

Finanssiyhteisöillä on oltava käytössään asianmukaiset varotoimenpiteet liiketoiminnan jatkuvuuden ylläpitämiseksi ensimmäisessä alakohdassa tarkoitetuissa tilanteissa.

9.   Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia teknisiksi täytäntöönpanostandardeiksi, joissa määritetään vakiomuotoiset mallit 3 kohdassa tarkoitettua tietorekisteriä varten, mukaan lukien yhteiset tiedot kaikille TVT-palvelujen käyttöä koskeville sopimusjärjestelyille. Euroopan valvontaviranomaiset toimittavat kyseisten teknisten täytäntöönpanostandardien luonnokset komissiolle viimeistään 17 päivänä tammikuuta 2024.

Siirretään komissiolle valta hyväksyä ensimmäisessä alakohdassa tarkoitetut tekniset täytäntöönpanostandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 15 artiklan mukaisesti.

10.   Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia teknisiksi sääntelystandardeiksi, joissa täsmennetään 2 kohdassa tarkoitettujen toimintaperiaatteiden yksityiskohtainen sisältö TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käytöstä tehtyjen sopimusjärjestelyjen osalta.

Laatiessaan kyseisiä teknisten sääntelystandardien luonnoksia Euroopan valvontaviranomaisten on otettava huomioon finanssiyhteisön koko ja yleinen riskiprofiili sekä sen palvelujen, toiminnan ja toimintojen luonne, laajuus ja monitahoisuus. Euroopan valvontaviranomaiset toimittavat kyseisten teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä tammikuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

29 artikla

TVT-keskittymäriskin alustava arviointi yhteisötasolla

1.   Kun finanssiyhteisöt suorittavat 28 artiklan 4 kohdan c alakohdassa tarkoitettua riskien määritystä ja arviointia, niiden on myös otettava huomioon, johtaisiko kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja koskevan sopimusjärjestelyn suunniteltu tekeminen johonkin seuraavista:

| a) | sopimukseen vaikeasti korvattavissa olevan TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa; tai |
| --- | --- |

a)

sopimukseen vaikeasti korvattavissa olevan TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa; tai

| b) | useisiin kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen tarjoamista koskeviin sopimusjärjestelyihin yhden ja saman TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tai toisiinsa läheisesti yhteydessä olevien TVT-palveluntarjoajina olevien kolmansien osapuolten kanssa. |
| --- | --- |

b)

useisiin kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen tarjoamista koskeviin sopimusjärjestelyihin yhden ja saman TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tai toisiinsa läheisesti yhteydessä olevien TVT-palveluntarjoajina olevien kolmansien osapuolten kanssa.

Finanssiyhteisöjen on punnittava vaihtoehtoisten ratkaisujen, kuten useampien eri TVT-palveluntarjoajina olevien kolmansien osapuolten käytön, hyötyjä ja kustannuksia ottaen huomioon, vastaavatko suunnitellut ratkaisut niiden liiketoiminnan tarpeita ja digitaalisen häiriönsietokyvyn strategiassa asetettuja tavoitteita.

2.   Jos kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin sisältyy mahdollisuus, että TVT-palveluntarjoajana oleva kolmas osapuoli edelleenulkoistaa kriittistä tai tärkeää toimintoa tukevia TVT-palveluja muille TVT-palveluntarjoajina oleville kolmansille osapuolille, finanssiyhteisöjen on punnittava etuja ja riskejä, joita tällaisesta edelleenulkoistamisesta voi aiheutua, erityisesti siinä tapauksessa, että on kyse kolmanteen maahan sijoittautuneesta TVT-alihankkijasta.

Jos sopimusjärjestelyt koskevat kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja, finanssiyhteisöjen on otettava asianmukaisesti huomioon maksukyvyttömyyslainsäädännön säännökset, joita sovelletaan, jos TVT-palveluntarjoajana oleva kolmas osapuoli ajautuu konkurssiin, sekä pakottavat tilanteet, joita voi syntyä finanssiyhteisön datan kiireelliseen pelastamiseen liittyen.

Jos kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevista sopimusjärjestelyistä sovitaan kolmanteen maahan sijoittautuneen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa, finanssiyhteisöjen on toisessa alakohdassa tarkoitettujen näkökohtien lisäksi otettava huomioon myös unionin tietosuojasääntöjen noudattaminen ja lainsäädännön tehokas täytäntöönpano kyseisessä kolmannessa maassa.

Jos kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevissa sopimusjärjestelyissä sallitaan edelleenulkoistaminen, finanssiyhteisöjen on arvioitava, voivatko mahdollisesti pitkät tai monimutkaiset edelleenulkoistusketjut vaikuttaa niiden kykyyn kaikilta osin seurata ulkoistettuja toimintoja ja toimivaltaisen viranomaisen kykyyn tosiasiallisesti valvoa finanssiyhteisöä tältä osin.

30 artikla

Keskeiset sopimusmääräykset

1.   Finanssiyhteisön ja TVT-palveluntarjoajana olevan kolmannen osapuolen oikeudet ja velvoitteet on jaettava selkeästi ja vahvistettava kirjallisesti. Koko sopimuksen on sisällettävä palvelutasosopimukset, ja se on dokumentoitava yhdessä kirjallisessa asiakirjassa, joka on osapuolten käytettävissä paperilla, tai muussa ladattavassa, kestävässä ja saatavilla olevassa muodossa.

2.   TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin on sisällytettävä ainakin seuraavat seikat:

| a) | kaikkien TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien toimintojen ja TVT-palvelujen selkeä ja kaikenkattava kuvaus, josta käy ilmi, onko kriittistä tai tärkeää toimintoa tai sen olennaisia osia tukevan TVT-palvelun edelleenulkoistaminen sallittua, ja jos on, tällaiseen edelleenulkoistamiseen sovellettavat ehdot; |
| --- | --- |

a)

kaikkien TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien toimintojen ja TVT-palvelujen selkeä ja kaikenkattava kuvaus, josta käy ilmi, onko kriittistä tai tärkeää toimintoa tai sen olennaisia osia tukevan TVT-palvelun edelleenulkoistaminen sallittua, ja jos on, tällaiseen edelleenulkoistamiseen sovellettavat ehdot;

| b) | paikat, eli alueet tai maat, joissa ulkoistetut tai edelleenulkoistetut toiminnot ja TVT-palvelut on määrä tarjota ja joissa dataa on tarkoitus käsitellä, mukaan lukien datan säilytyspaikka, ja TVT-palveluntarjoajana olevalle kolmannelle osapuolelle asetettu vaatimus ilmoittaa ennakolta finanssiyhteisölle, jos se suunnittelee tällaisten paikkojen muuttamista; |
| --- | --- |

b)

paikat, eli alueet tai maat, joissa ulkoistetut tai edelleenulkoistetut toiminnot ja TVT-palvelut on määrä tarjota ja joissa dataa on tarkoitus käsitellä, mukaan lukien datan säilytyspaikka, ja TVT-palveluntarjoajana olevalle kolmannelle osapuolelle asetettu vaatimus ilmoittaa ennakolta finanssiyhteisölle, jos se suunnittelee tällaisten paikkojen muuttamista;

| c) | tietosuojaan, myös henkilötietojen suojaan, liittyvät saatavuutta, aitoutta, eheyttä ja luottamuksellisuutta koskevat määräykset; |
| --- | --- |

c)

tietosuojaan, myös henkilötietojen suojaan, liittyvät saatavuutta, aitoutta, eheyttä ja luottamuksellisuutta koskevat määräykset;

| d) | määräykset, jotka koskevat sen varmistamista, että finanssiyhteisön käsittelemiin henkilötietoihin ja muihin kuin henkilötietoihin on pääsy ja ne voidaan pelastaa ja saada takaisin helposti saatavilla olevassa muodossa siinä tapauksessa, että TVT-palvelujentarjoajana oleva kolmas osapuoli on maksukyvytön tai kriisinratkaisun kohteena tai se lopettaa liiketoimintansa tai siinä tapauksessa, että sopimusjärjestelyt irtisanotaan; |
| --- | --- |

d)

määräykset, jotka koskevat sen varmistamista, että finanssiyhteisön käsittelemiin henkilötietoihin ja muihin kuin henkilötietoihin on pääsy ja ne voidaan pelastaa ja saada takaisin helposti saatavilla olevassa muodossa siinä tapauksessa, että TVT-palvelujentarjoajana oleva kolmas osapuoli on maksukyvytön tai kriisinratkaisun kohteena tai se lopettaa liiketoimintansa tai siinä tapauksessa, että sopimusjärjestelyt irtisanotaan;

| e) | palvelutason kuvaukset, mukaan lukien niiden päivitykset ja tarkistukset; |
| --- | --- |

e)

palvelutason kuvaukset, mukaan lukien niiden päivitykset ja tarkistukset;

| f) | TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuus antaa finanssiyhteisölle apua ilman lisäkustannuksia tai etukäteen määritetyin kustannuksin, kun ilmenee finanssiyhteisölle tarjottuun TVT-palveluun liittyvä TVT-poikkeama; |
| --- | --- |

f)

TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuus antaa finanssiyhteisölle apua ilman lisäkustannuksia tai etukäteen määritetyin kustannuksin, kun ilmenee finanssiyhteisölle tarjottuun TVT-palveluun liittyvä TVT-poikkeama;

| g) | TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuus tehdä täysimääräisesti yhteistyötä toimivaltaisten viranomaisten ja finanssiyhteisön kriisinratkaisuviranomaisten, myös näiden nimittämien henkilöiden, kanssa; |
| --- | --- |

g)

TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuus tehdä täysimääräisesti yhteistyötä toimivaltaisten viranomaisten ja finanssiyhteisön kriisinratkaisuviranomaisten, myös näiden nimittämien henkilöiden, kanssa;

| h) | irtisanomisoikeudet ja niihin liittyvät sopimusjärjestelyjen vähimmäisirtisanomisajat toimivaltaisten viranomaisten ja kriisinratkaisuviranomaisten odotuksia vastaavasti; |
| --- | --- |

h)

irtisanomisoikeudet ja niihin liittyvät sopimusjärjestelyjen vähimmäisirtisanomisajat toimivaltaisten viranomaisten ja kriisinratkaisuviranomaisten odotuksia vastaavasti;

| i) | edellytykset TVT-palveluntarjoajina olevien kolmansien osapuolten osallistumiselle finanssiyhteisöjen TVT-turvallisuutta koskeviin valistusohjelmiin ja digitaalista häiriönsietokykyä käsittelevään koulutukseen 13 artiklan 6 kohdan mukaisesti. |
| --- | --- |

i)

edellytykset TVT-palveluntarjoajina olevien kolmansien osapuolten osallistumiselle finanssiyhteisöjen TVT-turvallisuutta koskeviin valistusohjelmiin ja digitaalista häiriönsietokykyä käsittelevään koulutukseen 13 artiklan 6 kohdan mukaisesti.

3.   Kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin on sisällyttävä 2 kohdassa tarkoitettujen seikkojen lisäksi ainakin seuraavat:

| a) | kattavat palvelutason kuvaukset, mukaan lukien niiden päivitykset ja tarkistukset, sekä täsmälliset määrälliset ja laadulliset suoritustavoitteet sovittujen palvelutasojen sisällä, jotta finanssiyhteisö voi tosiasiallisesti seurata TVT-palveluja ja jotta voidaan ilman aiheetonta viivytystä toteuttaa asianmukaisia korjaustoimia, kun sovittuja palvelutasoja ei saavuteta; |
| --- | --- |

a)

kattavat palvelutason kuvaukset, mukaan lukien niiden päivitykset ja tarkistukset, sekä täsmälliset määrälliset ja laadulliset suoritustavoitteet sovittujen palvelutasojen sisällä, jotta finanssiyhteisö voi tosiasiallisesti seurata TVT-palveluja ja jotta voidaan ilman aiheetonta viivytystä toteuttaa asianmukaisia korjaustoimia, kun sovittuja palvelutasoja ei saavuteta;

| b) | TVT-palveluntarjoajana olevan kolmannen osapuolen irtisanomisajat ja raportointivelvoitteet suhteessa finanssiyhteisöön, mukaan lukien ilmoittaminen kaikesta sellaisesta kehityksestä, jolla saattaa olla olennainen vaikutus TVT-palveluntarjoajana olevan kolmannen osapuolen kykyyn tosiasiallisesti tarjota kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja sovittujen palvelutasojen mukaisesti; |
| --- | --- |

b)

TVT-palveluntarjoajana olevan kolmannen osapuolen irtisanomisajat ja raportointivelvoitteet suhteessa finanssiyhteisöön, mukaan lukien ilmoittaminen kaikesta sellaisesta kehityksestä, jolla saattaa olla olennainen vaikutus TVT-palveluntarjoajana olevan kolmannen osapuolen kykyyn tosiasiallisesti tarjota kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja sovittujen palvelutasojen mukaisesti;

| c) | TVT-palveluntarjoajana olevalle kolmannelle osapuolelle asetetut vaatimukset toteuttaa ja testata liiketoiminnan jatkuvuussuunnitelmia ja ottaa käyttöön TVT:hen liittyviä turvallisuustoimenpiteitä, -välineitä ja -periaatteita, joilla varmistetaan riittävän tasoinen turvallisuus kun finanssiyhteisö tarjoaa palveluja sääntelykehyksensä mukaisesti; |
| --- | --- |

c)

TVT-palveluntarjoajana olevalle kolmannelle osapuolelle asetetut vaatimukset toteuttaa ja testata liiketoiminnan jatkuvuussuunnitelmia ja ottaa käyttöön TVT:hen liittyviä turvallisuustoimenpiteitä, -välineitä ja -periaatteita, joilla varmistetaan riittävän tasoinen turvallisuus kun finanssiyhteisö tarjoaa palveluja sääntelykehyksensä mukaisesti;

| d) | TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuus osallistua 26 ja 27 artiklassa tarkoitettuun finanssiyhteisön uhkaperusteiseen tunkeutumistestaukseen ja tehdä sen yhteydessä täysimääräistä yhteistyötä; |
| --- | --- |

d)

TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuus osallistua 26 ja 27 artiklassa tarkoitettuun finanssiyhteisön uhkaperusteiseen tunkeutumistestaukseen ja tehdä sen yhteydessä täysimääräistä yhteistyötä;

| e) | oikeus seurata jatkuvasti TVT-palveluntarjoajana olevan kolmannen osapuolen suoriutumista, mihin kuuluu






  i) | finanssiyhteisön tai jonkin nimetyn kolmannen osapuolen ja toimivaltaisen viranomaisen rajoittamaton oikeus tutustua asiaankuuluvaan dokumentaation ja tutkia ja auditoida sitä sekä oikeus ottaa siitä jäljennöksiä paikalla, jos ne ovat kriittisiä TVT-palveluntarjoajana olevan kolmannen osapuolen toiminnan kannalta, ilman, että muut sopimusjärjestelyt tai toteutusperiaatteet estävät tai rajoittavat tämän oikeuden tosiasiallista käyttöä; |
| --- | --- | --- |

e)

oikeus seurata jatkuvasti TVT-palveluntarjoajana olevan kolmannen osapuolen suoriutumista, mihin kuuluu

i)

finanssiyhteisön tai jonkin nimetyn kolmannen osapuolen ja toimivaltaisen viranomaisen rajoittamaton oikeus tutustua asiaankuuluvaan dokumentaation ja tutkia ja auditoida sitä sekä oikeus ottaa siitä jäljennöksiä paikalla, jos ne ovat kriittisiä TVT-palveluntarjoajana olevan kolmannen osapuolen toiminnan kannalta, ilman, että muut sopimusjärjestelyt tai toteutusperiaatteet estävät tai rajoittavat tämän oikeuden tosiasiallista käyttöä;

| ii) | oikeus sopia vaihtoehtoisista varmuustasoista, jos muiden asiakkaiden oikeuksiin kohdistuu vaikutuksia; |
| --- | --- |

ii)

oikeus sopia vaihtoehtoisista varmuustasoista, jos muiden asiakkaiden oikeuksiin kohdistuu vaikutuksia;

| iii) | TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuus tehdä täysimääräistä yhteistyötä toimivaltaisten viranomaisten, päävalvojan, finanssiyhteisön tai nimetyn kolmannen osapuolen paikalla tekemien tarkastusten ja auditointien aikana; ja |
| --- | --- |

iii)

TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuus tehdä täysimääräistä yhteistyötä toimivaltaisten viranomaisten, päävalvojan, finanssiyhteisön tai nimetyn kolmannen osapuolen paikalla tekemien tarkastusten ja auditointien aikana; ja

| iv) | velvollisuus antaa yksityiskohtaiset tiedot tällaisten tarkastusten ja auditointien laajuudesta, niissä noudatettavista menettelyistä ja niiden tiheydestä; |
| --- | --- |

iv)

velvollisuus antaa yksityiskohtaiset tiedot tällaisten tarkastusten ja auditointien laajuudesta, niissä noudatettavista menettelyistä ja niiden tiheydestä;

| f) | irtautumisstrategiat, erityisesti riittävän pitkä pakollinen siirtymäkausi






  i) | jonka aikana TVT-palveluntarjoajana oleva kolmas osapuoli jatkaa asianomaisten toimintojen tai TVT-palvelujen tarjoamista finanssiyhteisön häiriöriskin pienentämiseksi tai tilanteen tehokkaan ratkaisemisen tai uudelleenjärjestämisen varmistamiseksi; |
| --- | --- | --- |

f)

irtautumisstrategiat, erityisesti riittävän pitkä pakollinen siirtymäkausi

i)

jonka aikana TVT-palveluntarjoajana oleva kolmas osapuoli jatkaa asianomaisten toimintojen tai TVT-palvelujen tarjoamista finanssiyhteisön häiriöriskin pienentämiseksi tai tilanteen tehokkaan ratkaisemisen tai uudelleenjärjestämisen varmistamiseksi;

| ii) | joka antaa finanssiyhteisölle mahdollisuuden siirtyä toiseen TVT-palveluntarjoajana olevaan kolmanteen osapuoleen tai vaihtaa sisäisiin ratkaisuihin tarjotun palvelun monitahoisuutta vastaavasti. |
| --- | --- |

ii)

joka antaa finanssiyhteisölle mahdollisuuden siirtyä toiseen TVT-palveluntarjoajana olevaan kolmanteen osapuoleen tai vaihtaa sisäisiin ratkaisuihin tarjotun palvelun monitahoisuutta vastaavasti.

Poiketen siitä, mitä e alakohdassa säädetään, TVT-palveluntarjoajana oleva kolmas osapuoli ja finanssiyhteisö, joka on mikroyritys, voivat sopia, että finanssiyhteisön pääsy-, tarkastus- ja auditointioikeudet voidaan siirtää riippumattomalle kolmannelle osapuolelle, jonka TVT-palveluntarjoajana oleva kolmas osapuoli nimittää, ja että finanssiyhteisö voi milloin tahansa pyytää kolmannelta osapuolelta tietoja ja vakuutuksen TVT-palveluntarjoajana olevan kolmannen osapuolen suoriutumisesta.

4.   Sopimusjärjestelyistä neuvotellessaan finanssiyhteisöjen ja TVT-palveluntarjoajina toimivien kolmansien osapuolien on harkittava viranomaisten yksittäisiä palveluja varten laatimien mallisopimuslausekkeiden käyttöä.

5.   Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia teknisiksi sääntelystandardeiksi, joissa täsmennetään tarkemmin 2 kohdan a alakohdassa tarkoitetut seikat, jotka finanssiyhteisön on määritettävä ja arvioitava, kun kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja edelleenulkoistetaan.

Laatiessaan kyseisiä luonnoksia teknisiksi sääntelystandardeiksi Euroopan valvontaviranomaisten on otettava huomioon finanssiyhteisön koko ja yleinen riskiprofiili sekä sen palvelujen, toiminnan ja toimintojen luonne, laajuus ja monitahoisuus.

Euroopan valvontaviranomaiset toimittavat kyseiset teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä heinäkuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

II jakso

Kriittisten TVT-palveluntarjoajina olevien kolmansien osapuolten valvontakehys

31 artikla

Kriittisten TVT-palveluntarjoajina olevien kolmansien osapuolten nimeäminen

1.   Yhteiskomitean välityksellä ja 32 artiklan 1 kohdan nojalla perustetun valvontafoorumin suosituksesta Euroopan valvontaviranomaiset

| a) | nimeävät finanssiyhteisöjen kannalta kriittiset TVT-palveluntarjoajina olevat kolmannet osapuolet 2 kohdassa täsmennetyt kriteerit huomioon ottavan arvioinnin perusteella; |
| --- | --- |

a)

nimeävät finanssiyhteisöjen kannalta kriittiset TVT-palveluntarjoajina olevat kolmannet osapuolet 2 kohdassa täsmennetyt kriteerit huomioon ottavan arvioinnin perusteella;

| b) | nimittävät kullekin kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle päävalvojaksi Euroopan valvontaviranomaisen, joka on asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 tai (EU) N:o 1095/2010 mukaisesti vastuussa finanssiyhteisöistä, joilla on yhdessä suurin kokonaisvarojen osuus kaikkien asianomaisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen palveluja käyttävien finanssiyhteisöjen yhteenlaskettujen varojen kokonaisarvosta kyseisten finanssiyhteisöjen erillisten taseiden summan perusteella. |
| --- | --- |

b)

nimittävät kullekin kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle päävalvojaksi Euroopan valvontaviranomaisen, joka on asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 tai (EU) N:o 1095/2010 mukaisesti vastuussa finanssiyhteisöistä, joilla on yhdessä suurin kokonaisvarojen osuus kaikkien asianomaisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen palveluja käyttävien finanssiyhteisöjen yhteenlaskettujen varojen kokonaisarvosta kyseisten finanssiyhteisöjen erillisten taseiden summan perusteella.

2.   Edellä 1 kohdan a alakohdassa tarkoitettu nimeäminen perustuu kaikkiin seuraaviin, TVT-palveluntarjoajana olevan kolmannen osapuolen tarjoamia TVT-palveluja koskeviin kriteereihin:

| a) | järjestelmävaikutus finanssipalvelujen tarjoamisen vakauteen, jatkuvuuteen tai laatuun siinä tapauksessa, että asianomainen TVT-palveluntarjoajana oleva kolmas osapuoli epäonnistuisi laajamittaisesti palvelujensa tarjoamisessa, kun otetaan huomioon niiden finanssiyhteisöjen lukumäärä ja niiden finanssiyhteisöjen varojen kokonaisarvo, joille asianomainen TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa palveluja; |
| --- | --- |

a)

järjestelmävaikutus finanssipalvelujen tarjoamisen vakauteen, jatkuvuuteen tai laatuun siinä tapauksessa, että asianomainen TVT-palveluntarjoajana oleva kolmas osapuoli epäonnistuisi laajamittaisesti palvelujensa tarjoamisessa, kun otetaan huomioon niiden finanssiyhteisöjen lukumäärä ja niiden finanssiyhteisöjen varojen kokonaisarvo, joille asianomainen TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa palveluja;

| b) | niiden finanssiyhteisöjen systeeminen luonne tai merkitys, jotka tukeutuvat asianomaisen TVT-palveluntarjoajana olevan kolmannen osapuolen palveluihin, seuraavilla parametreilla arvioituna:






  i) | niiden maailmanlaajuisten järjestelmän kannalta merkittävien laitosten (G-SII-laitokset) tai muiden järjestelmän kannalta merkittävien laitosten (O-SII-laitokset) lukumäärä, jotka tukeutuvat asianomaiseen TVT-palveluntarjoajana olevaan kolmanteen osapuoleen; |
| --- | --- | --- |

b)

niiden finanssiyhteisöjen systeeminen luonne tai merkitys, jotka tukeutuvat asianomaisen TVT-palveluntarjoajana olevan kolmannen osapuolen palveluihin, seuraavilla parametreilla arvioituna:

i)

niiden maailmanlaajuisten järjestelmän kannalta merkittävien laitosten (G-SII-laitokset) tai muiden järjestelmän kannalta merkittävien laitosten (O-SII-laitokset) lukumäärä, jotka tukeutuvat asianomaiseen TVT-palveluntarjoajana olevaan kolmanteen osapuoleen;

| ii) | edellä i alakohdassa tarkoitettujen G-SII-laitosten tai O-SII-laitosten ja muiden finanssiyhteisöjen keskinäinen riippuvuus, mukaan lukien tilanteet, joissa G-SII-laitokset tai O-SII-laitokset tarjoavat finanssi-infrastruktuuripalveluja muille finanssiyhteisöille; |
| --- | --- |

ii)

edellä i alakohdassa tarkoitettujen G-SII-laitosten tai O-SII-laitosten ja muiden finanssiyhteisöjen keskinäinen riippuvuus, mukaan lukien tilanteet, joissa G-SII-laitokset tai O-SII-laitokset tarjoavat finanssi-infrastruktuuripalveluja muille finanssiyhteisöille;

| c) | finanssiyhteisöjen tukeutuminen asianomaisen TVT-palveluntarjoajana olevan kolmannen osapuolen tarjoamiin palveluihin sellaisten finanssiyhteisöjen kriittisten tai tärkeiden toimintojen osalta, joissa viime kädessä on mukana sama TVT-palveluntarjoajana oleva kolmas osapuoli, riippumatta siitä, tukeutuvatko finanssiyhteisöt kyseisiin palveluihin suoraan tai välillisesti, ulkoistusjärjestelyjen välityksellä; |
| --- | --- |

c)

finanssiyhteisöjen tukeutuminen asianomaisen TVT-palveluntarjoajana olevan kolmannen osapuolen tarjoamiin palveluihin sellaisten finanssiyhteisöjen kriittisten tai tärkeiden toimintojen osalta, joissa viime kädessä on mukana sama TVT-palveluntarjoajana oleva kolmas osapuoli, riippumatta siitä, tukeutuvatko finanssiyhteisöt kyseisiin palveluihin suoraan tai välillisesti, ulkoistusjärjestelyjen välityksellä;

| d) | TVT-palveluntarjoajana olevan kolmannen osapuolen korvattavuus ottaen huomioon seuraavat parametrit:






  i) | todellisten tai edes osittaisten vaihtoehtojen puute, joka johtuu yksittäisillä markkinoilla toimivien TVT-palveluntarjoajina olevien kolmansien osapuolten vähäisestä määrästä, asianomaisen TVT-palveluntarjoajana olevan kolmannen osapuolen markkinaosuudesta, asiaan liittyvästä teknisestä monimutkaisuudesta tai kehittyneisyydestä, myös suhteessa valmistajakohtaiseen teknologiaan, tai TVT-palveluntarjoajana olevan kolmannen osapuolen organisaation tai toiminnan erityispiirteistä; |
| --- | --- | --- |

d)

TVT-palveluntarjoajana olevan kolmannen osapuolen korvattavuus ottaen huomioon seuraavat parametrit:

i)

todellisten tai edes osittaisten vaihtoehtojen puute, joka johtuu yksittäisillä markkinoilla toimivien TVT-palveluntarjoajina olevien kolmansien osapuolten vähäisestä määrästä, asianomaisen TVT-palveluntarjoajana olevan kolmannen osapuolen markkinaosuudesta, asiaan liittyvästä teknisestä monimutkaisuudesta tai kehittyneisyydestä, myös suhteessa valmistajakohtaiseen teknologiaan, tai TVT-palveluntarjoajana olevan kolmannen osapuolen organisaation tai toiminnan erityispiirteistä;

| ii) | vaikeudet, joita asianomaisen datan ja työn siirtäminen asianomaiselta TVT-palveluntarjoajana olevalta kolmannelta osapuolelta osittain tai kokonaan toiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle aiheuttaa siirtoprosessiin liittyvien merkittävien taloudellisten kustannusten, ajan tai muiden resurssien vuoksi, tai lisääntyneen TVT-riskin tai muiden sellaisten operatiivisten riskien vuoksi, joille finanssiyhteisö voi altistua tällaisessa siirrossa. |
| --- | --- |

ii)

vaikeudet, joita asianomaisen datan ja työn siirtäminen asianomaiselta TVT-palveluntarjoajana olevalta kolmannelta osapuolelta osittain tai kokonaan toiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle aiheuttaa siirtoprosessiin liittyvien merkittävien taloudellisten kustannusten, ajan tai muiden resurssien vuoksi, tai lisääntyneen TVT-riskin tai muiden sellaisten operatiivisten riskien vuoksi, joille finanssiyhteisö voi altistua tällaisessa siirrossa.

3.   Jos TVT-palveluntarjoajana oleva kolmas osapuoli kuuluu johonkin konserniin, 2 kohdassa tarkoitetut kriteerit on otettava huomioon koko konsernin tarjoamien TVT-palvelujen yhteydessä.

4.   Konserniin kuuluvien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten on nimettävä koordinointipisteeksi yksi oikeushenkilö, jotta varmistetaan riittävä edustus ja helpotetaan viestintää päävalvojan kanssa.

5.   Päävalvojan on ilmoitettava TVT-palveluntarjoajana olevalle kolmannelle osapuolelle 1 kohdan a alakohdassa tarkoitettuun nimeämiseen johtavan arvioinnin tuloksesta. TVT-palveluntarjoajana oleva kolmas osapuoli voi kuuden viikon kuluessa ilmoituspäivästä toimittaa päävalvojalle perustellun lausunnon, joka sisältää kaikki merkitykselliset tiedot arviointia varten. Päävalvojan on tarkasteltava perusteltua lausuntoa, ja se voi pyytää lisätietoja, jotka on toimitettava 30 kalenteripäivän kuluessa tällaisen lausunnon vastaanottamisesta.

Nimettyään jonkin TVT-palveluntarjoajana olevan kolmannen osapuolen kriittiseksi Euroopan valvontaviranomaiset antavat yhteiskomitean välityksellä kyseiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle tiedon kyseisestä nimeämisestä ja ilmoittavat päivän, josta alkaen siihen tosiasiallisesti sovelletaan valvontatoimia. Kyseinen alkamispäivä voi olla enintään yhden kuukauden kuluttua ilmoituksesta. TVT-palveluntarjoajana olevan kolmannen osapuolen on ilmoitettava kriittiseksi nimeämisestään finanssiyhteisöille, joille ne tarjoavat palveluja.

6.   Siirretään komissiolle valta antaa viimeistään 17 päivänä heinäkuuta 2024 57 artiklan mukaisesti delegoitu säädös, jolla täydennetään tätä asetusta täsmentämällä tarkemmin tämän artiklan 2 kohdassa tarkoitetut perusteet.

7.   Edellä 1 kohdan a alakohdassa tarkoitettua nimeämistä ei käytetä ennen kuin komissio on antanut delegoidun säädöksen 6 kohdan mukaisesti.

8.   Edellä 1 kohdan a alakohdassa tarkoitettua nimeämistä ei sovelleta seuraaviin:

| i) | finanssiyhteisöt, jotka tarjoavat TVT-palveluja muille finanssiyhteisöille; |
| --- | --- |

i)

finanssiyhteisöt, jotka tarjoavat TVT-palveluja muille finanssiyhteisöille;

| ii) | TVT-palveluntarjoajana olevat kolmannet osapuolet, joihin sovelletaan Euroopan unionin toiminnasta tehdyn sopimuksen 127 artiklan 2 kohdassa tarkoitettujen tehtävien tukemiseksi perustettuja valvontakehyksiä; |
| --- | --- |

ii)

TVT-palveluntarjoajana olevat kolmannet osapuolet, joihin sovelletaan Euroopan unionin toiminnasta tehdyn sopimuksen 127 artiklan 2 kohdassa tarkoitettujen tehtävien tukemiseksi perustettuja valvontakehyksiä;

| iii) | konsernin sisäiset TVT-palveluntarjoajat; |
| --- | --- |

iii)

konsernin sisäiset TVT-palveluntarjoajat;

| iv) | TVT-palveluntarjoajana olevat kolmannet osapuolet, jotka tarjoavat TVT-palveluja yksinomaan yhdessä jäsenvaltiossa finanssiyhteisöille, jotka toimivat ainoastaan kyseisessä jäsenvaltiossa. |
| --- | --- |

iv)

TVT-palveluntarjoajana olevat kolmannet osapuolet, jotka tarjoavat TVT-palveluja yksinomaan yhdessä jäsenvaltiossa finanssiyhteisöille, jotka toimivat ainoastaan kyseisessä jäsenvaltiossa.

9.   Euroopan valvontaviranomaisten on yhteiskomitean välityksellä laadittava, julkaistava ja päivitettävä vuosittain luettelo unionin tason kriittisistä TVT-palveluntarjoajina olevista kolmansista osapuolista.

10.   Sovellettaessa 1 kohdan a alakohtaa toimivaltaisten viranomaisten on toimitettava 28 artiklan 3 kohdan kolmannessa alakohdassa tarkoitetut kertomukset 32 artiklan nojalla perustetulle valvontafoorumille vuosittain kootusti. Valvontafoorumi arvioi toimivaltaisilta viranomaisilta saatujen tietojen perusteella finanssiyhteisöjen riippuvuutta TVT-palveluntarjoajina olevista kolmansista osapuolista.

11.   TVT-palveluntarjoajina olevat kolmannet osapuolet, joita ei ole sisällytetty 9 kohdassa tarkoitettuun luetteloon, voivat pyytää, että ne nimetään 1 kohdan a alakohdan mukaisesti kriittisiksi.

TVT-palveluntarjoajana olevan kolmannen osapuolen on ensimmäistä alakohtaa sovellettaessa toimitettava perusteltu hakemus EPV:lle, ESMAlle tai EIOPAlle, joka päättää yhteiskomitean välityksellä, nimetäänkö kyseinen TVT-palveluntarjoajana oleva kolmas osapuoli 1 kohdan a alakohdan mukaisesti kriittiseksi.

Toisessa alakohdassa tarkoitettu päätös tehdään ja annetaan tiedoksi TVT-palveluntarjoajana olevalle kolmannelle osapuolelle kuuden kuukauden kuluessa hakemuksen vastaanottamisesta.

12.   Finanssiyhteisöt saavat käyttää kolmanteen maahan sijoittautuneen ja 1 kohdan a alakohdan mukaisesti kriittiseksi nimetyn TVT-palveluntarjoajana olevan kolmannen osapuolen palveluja ainoastaan, jos viimeksi mainittu on perustanut unioniin tytäryhtiön 12 kuukauden kuluessa nimeämisestä.

13.   Edellä 12 kohdassa tarkoitetun kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen on ilmoitettava päävalvojalle kaikista muutoksista unioniin perustetun tytäryhtiön johdon rakenteessa.

32 artikla

Valvontakehyksen rakenne

1.   Yhteiskomitea perustaa asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 57 artiklan 1 kohdan nojalla alakomiteakseen valvontafoorumin, joka tukee yhteiskomitean ja 31 artiklan 1 kohdan b alakohdassa tarkoitetun päävalvojan työtä kolmansiin osapuoliin liittyvän TVT-riskin alalla finanssialan eri sektoreilla. Valvontafoorumi valmistelee luonnokset yhteiskomitean yhteisiksi kannoiksi ja yhteisiksi säädöksiksi kyseisellä osa-alueella.

Valvontafoorumi keskustelee säännöllisesti TVT-riskin ja -haavoittuvuuksien kehityksestä ja edistää johdonmukaista lähestymistapaa kolmansiin osapuoliin liittyvän TVT-riskin seurannassa unionin tasolla.

2.   Valvontafoorumi tekee vuosittain kollektiivisen arvioinnin kaikkien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten osalta toteutettujen valvontatoimien tuloksista ja havainnoista ja edistää koordinointitoimenpiteitä finanssiyhteisöjen digitaalisen häiriönsietokyvyn parantamiseksi ja parhaita käytäntöjä TVT-keskittymäriskin käsittelemiseksi sekä tutkii tekijöitä, joilla voidaan hillitä riskien siirtymistä sektorilta toiseen.

3.   Valvontafoorumi toimittaa kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia koskevia kattavia vertailuarvoja yhteiskomitealle, joka hyväksyy ne Euroopan valvontaviranomaisten yhteisinä kantoina asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 56 artiklan 1 kohdan nojalla.

4.   Valvontafoorumi muodostuu seuraavista:

| a) | Euroopan valvontaviranomaisten puheenjohtajat; |
| --- | --- |

a)

Euroopan valvontaviranomaisten puheenjohtajat;

| b) | yksi korkean tason edustaja 46 artiklassa tarkoitetusta kunkin jäsenvaltion asianomaisen toimivaltaisen viranomaisen kulloisestakin henkilöstöstä; |
| --- | --- |

b)

yksi korkean tason edustaja 46 artiklassa tarkoitetusta kunkin jäsenvaltion asianomaisen toimivaltaisen viranomaisen kulloisestakin henkilöstöstä;

| c) | kunkin Euroopan valvontaviranomaisen toimitusjohtaja ja yksi edustaja komissiosta, EJRK:stä, EKP:stä ja ENISAsta tarkkailijoina; |
| --- | --- |

c)

kunkin Euroopan valvontaviranomaisen toimitusjohtaja ja yksi edustaja komissiosta, EJRK:stä, EKP:stä ja ENISAsta tarkkailijoina;

| d) | tarvittaessa yksi 46 artiklassa tarkoitetun toimivaltaisen viranomaisen lisäedustaja kustakin jäsenvaltiosta tarkkailijana; |
| --- | --- |

d)

tarvittaessa yksi 46 artiklassa tarkoitetun toimivaltaisen viranomaisen lisäedustaja kustakin jäsenvaltiosta tarkkailijana;

| e) | tapauksen mukaan tarkkailijana yksi sellaisten direktiivin (EU) 2022/2555 mukaisesti nimettyjen tai perustettujen toimivaltaisten viranomaisten edustaja, jotka ovat vastuussa kriittiseksi TVT-palveluntarjoajana olevaksi kolmanneksi osapuoleksi nimetyn keskeisen tai tärkeän toimijan, johon sovelletaan kyseistä direktiiviä, valvonnasta. |
| --- | --- |

e)

tapauksen mukaan tarkkailijana yksi sellaisten direktiivin (EU) 2022/2555 mukaisesti nimettyjen tai perustettujen toimivaltaisten viranomaisten edustaja, jotka ovat vastuussa kriittiseksi TVT-palveluntarjoajana olevaksi kolmanneksi osapuoleksi nimetyn keskeisen tai tärkeän toimijan, johon sovelletaan kyseistä direktiiviä, valvonnasta.

Valvontafoorumi voi tarvittaessa pyytää neuvoa 6 kohdan mukaisesti nimitetyiltä riippumattomilta asiantuntijoilta.

5.   Kunkin jäsenvaltion on nimettävä asianomainen toimivaltainen viranomainen, jonka henkilöstön jäsen on 4 kohdan ensimmäisen alakohdan b alakohdassa tarkoitettu korkean tason edustaja, ja sen on ilmoitettava asiasta päävalvojalle.

Euroopan valvontaviranomaiset julkaisevat verkkosivustollaan luettelon jäsenvaltioiden nimeämistä asianomaisen toimivaltaisen viranomaisen nykyiseen henkilöstöön kuuluvista korkean tason edustajista.

6.   Valvontafoorumi nimittää 4 kohdan toisessa alakohdassa tarkoitetut riippumattomat asiantuntijat asiantuntijaryhmästä, joka on valittu julkista ja avointa hakumenettelyä noudattaen.

Riippumattomat asiantuntijat nimitetään heidän rahoitusvakautta, digitaalista häiriönsietokykyä ja tieto- ja viestintätekniikan turvallisuuskysymyksiä koskevan asiantuntemuksensa perusteella. Heidän on toimittava riippumattomasti, puolueettomasti ja yksinomaan koko unionin edun mukaisesti pyytämättä tai ottamatta vastaan ohjeita unionin toimielimiltä tai elimiltä, minkään jäsenvaltion hallitukselta tai muulta julkiselta tai yksityiseltä elimeltä.

7.   Tämän jakson soveltamiseksi Euroopan valvontaviranomaiset antavat asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 16 artiklan mukaisesti viimeistään 17 päivänä heinäkuuta 2024 Euroopan valvontaviranomaisten ja toimivaltaisten viranomaisten välistä yhteistyötä koskevia ohjeita, jotka kattavat yksityiskohtaiset menettelyt ja edellytykset tehtävien jakamiseksi toimivaltaisten viranomaisten ja Euroopan valvontaviranomaisten välillä ja kyseisten tehtävien suorittamiseksi sekä yksityiskohtaiset tiedot tietojenvaihdosta, jota tarvitaan toimivaltaisten viranomaisten välillä, jotta voidaan varmistaa kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille 35 artiklan 1 kohdan d alakohdan mukaisesti osoitettujen suositusten jatkotoimet.

8.   Tässä jaksossa vahvistetut vaatimukset eivät rajoita direktiivin (EU) 2022/2555 ja pilvipalvelujen tarjoajien valvontaa koskevien unionin muiden sääntöjen soveltamista.

9.   Euroopan valvontaviranomaiset toimittavat yhteiskomitean välityksellä ja valvontafoorumin tekemän valmistelutyön pohjalta vuosittain Euroopan parlamentille, neuvostolle ja komissiolle kertomuksen tämän jakson soveltamisesta.

33 artikla

Päävalvojan tehtävät

1.   Edellä olevan 31 artiklan 1 kohdan b alakohdan mukaisesti nimitetty päävalvoja valvoo nimettyjä kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia ja on kyseisten kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten ensisijainen yhteyspiste kaikissa valvontaan liittyvissä asioissa.

2.   Edellä olevan 1 kohdan soveltamiseksi päävalvoja arvioi, onko kullakin kriittisellä TVT-palveluntarjoajana olevalla kolmannella osapuolella kattavat, luotettavat ja toimivat säännöt, menettelyt, mekanismit ja järjestelyt, joilla hallita TVT-riskiä, jonka se voi finanssiyhteisöille aiheuttaa.

Ensimmäisessä alakohdassa tarkoitetussa arvioinnissa on keskityttävä pääasiassa kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen tarjoamiin, finanssiyhteisöjen kriittisiä tai tärkeitä toimintoja tukeviin TVT-palveluihin. Kaikkien merkityksellisten riskien käsittelemiseksi kyseinen arviointi on tarvittaessa laajennettava muita kuin kriittisiä tai tärkeitä toimintoja tukeviin TVT-palveluihin.

3.   Edellä 2 kohdassa tarkoitettu arviointi kattaa

| a) | TVT-vaatimukset, joilla varmistetaan erityisesti kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen finanssiyhteisöille tarjoamien palvelujen turvallisuus, käytettävyys, jatkuvuus, skaalattavuus ja laatu sekä kyky pitää datan saatavuus, aitous, eheys ja luottamuksellisuus jatkuvasti korkealla tasolla; |
| --- | --- |

a)

TVT-vaatimukset, joilla varmistetaan erityisesti kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen finanssiyhteisöille tarjoamien palvelujen turvallisuus, käytettävyys, jatkuvuus, skaalattavuus ja laatu sekä kyky pitää datan saatavuus, aitous, eheys ja luottamuksellisuus jatkuvasti korkealla tasolla;

| b) | fyysinen turvallisuus, joka edistää TVT-turvallisuuden varmistamista, mukaan lukien tilojen, laitteiden ja datakeskusten turvallisuus; |
| --- | --- |

b)

fyysinen turvallisuus, joka edistää TVT-turvallisuuden varmistamista, mukaan lukien tilojen, laitteiden ja datakeskusten turvallisuus;

| c) | riskinhallintaprosessit, mukaan lukien TVT-riskinhallinnan toimintaperiaatteet, TVT-toiminnan jatkuvuussuunnitelmat ja TVT-reagointi- ja -toipumissuunnitelmat; |
| --- | --- |

c)

riskinhallintaprosessit, mukaan lukien TVT-riskinhallinnan toimintaperiaatteet, TVT-toiminnan jatkuvuussuunnitelmat ja TVT-reagointi- ja -toipumissuunnitelmat;

| d) | hallintojärjestelyt, mukaan lukien organisaatiorakenne, jossa on selkeät, läpinäkyvät ja johdonmukaiset vastuusuhteet ja vastuuvelvollisuutta koskevat säännöt, jotka mahdollistavat toimivan TVT-riskinhallinnan; |
| --- | --- |

d)

hallintojärjestelyt, mukaan lukien organisaatiorakenne, jossa on selkeät, läpinäkyvät ja johdonmukaiset vastuusuhteet ja vastuuvelvollisuutta koskevat säännöt, jotka mahdollistavat toimivan TVT-riskinhallinnan;

| e) | TVT:hen liittyvien olennaisten poikkeamien tunnistaminen, seuranta ja nopea raportointi finanssiyhteisöille sekä kyseisten poikkeamien, erityisesti kyberhyökkäysten, hallinta ja ratkaiseminen; |
| --- | --- |

e)

TVT:hen liittyvien olennaisten poikkeamien tunnistaminen, seuranta ja nopea raportointi finanssiyhteisöille sekä kyseisten poikkeamien, erityisesti kyberhyökkäysten, hallinta ja ratkaiseminen;

| f) | datan siirrettävyyteen, sovellusten siirrettävyyteen ja yhteentoimivuuteen liittyvät mekanismit, joilla varmistetaan, että finanssiyhteisöt voivat tosiasiallisesti käyttää oikeuttaan sopimuksen purkamiseen; |
| --- | --- |

f)

datan siirrettävyyteen, sovellusten siirrettävyyteen ja yhteentoimivuuteen liittyvät mekanismit, joilla varmistetaan, että finanssiyhteisöt voivat tosiasiallisesti käyttää oikeuttaan sopimuksen purkamiseen;

| g) | TVT-järjestelmien, -infrastruktuurin ja -valvonnan testaaminen; |
| --- | --- |

g)

TVT-järjestelmien, -infrastruktuurin ja -valvonnan testaaminen;

| h) | TVT-auditoinnit; |
| --- | --- |

h)

TVT-auditoinnit;

| i) | sellaisten asiaankuuluvien kansallisten ja kansainvälisten standardien käyttö, joita sovelletaan sen TVT-palvelujen tarjoamiseen finanssiyhteisöille. |
| --- | --- |

i)

sellaisten asiaankuuluvien kansallisten ja kansainvälisten standardien käyttö, joita sovelletaan sen TVT-palvelujen tarjoamiseen finanssiyhteisöille.

4.   Päävalvoja hyväksyy 2 kohdassa tarkoitetun arvioinnin perusteella ja koordinoidusti 34 artiklan 1 kohdassa tarkoitetun yhteisen valvontaverkoston kanssa selkeän, yksityiskohtaisen ja perustellun yksilöllisen valvontasuunnitelman, jossa kuvaillaan kunkin kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen osalta suunnitellut vuosittaiset valvontatavoitteet ja tärkeimmät valvontatoimet. Kyseinen suunnitelma toimitetaan kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle vuosittain.

Ennen valvontasuunnitelman hyväksymistä päävalvoja toimittaa valvontasuunnitelman luonnoksen kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle.

Valvontasuunnitelman luonnoksen saatuaan kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli voi toimittaa 15 kalenteripäivän kuluessa perustellun lausunnon, jossa osoitetaan odotettavissa oleva vaikutus asiakkaisiin, jotka ovat tämän asetuksen soveltamisalaan kuulumattomia yhteisöjä, ja esitetään tarvittaessa ratkaisuja riskien lieventämiseksi.

5.   Kun 4 kohdassa tarkoitetut vuotuiset valvontasuunnitelmat on hyväksytty ja niistä on ilmoitettu kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille, toimivaltaiset viranomaiset voivat toteuttaa tällaisia kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia koskevia toimenpiteitä ainoastaan yhteisymmärryksessä päävalvojan kanssa.

34 artikla

Toiminnan koordinointi päävalvojien välillä

1.   Valvontatoimiin liittyvän johdonmukaisen toimintatavan varmistamiseksi sekä koordinoitujen yleisten valvontastrategioiden, yhtenäisten operatiivisten toimintatapojen ja työskentelymenetelmien mahdollistamiseksi 31 artiklan 1 kohdan b alakohdan mukaisesti nimitetyt kolme päävalvojaa perustavat yhteisen valvontaverkoston koordinoidakseen toimintaansa keskenään valmisteluvaiheissa ja koordinoidakseen kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin kohdistamiensa valvontatoimien toteuttamista sekä kaikissa toimissa, jotka saattavat olla tarpeen 42 artiklan nojalla.

2.   Edellä olevan 1 kohdan soveltamiseksi päävalvojat laativat yhteisen valvontaprotokollan, jossa täsmennetään yksityiskohtaiset menettelyt, joita on noudatettava päivittäisen koordinoinnin toteuttamiseksi sekä nopean tietojenvaihdon ja reagoinnin varmistamiseksi. Protokollaa tarkistetaan säännöllisesti operatiivisten tarpeiden, erityisesti käytännön valvontajärjestelyjen kehityksen huomioon ottamiseksi.

3.   Päävalvojat voivat pyytää tapauskohtaisesti EKP:tä ja ENISAa antamaan teknistä neuvontaa, jakamaan käytännön kokemuksia tai osallistumaan tiettyihin yhteisen valvontaverkoston koordinointikokouksiin.

35 artikla

Päävalvojan valtuudet

1.   Tässä jaksossa säädettyjen tehtävien hoitamiseksi päävalvojalla on valtuudet kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten osalta

| a) | pyytää kaikkia asiaankuuluvia tietoja ja asiakirjoja 37 artiklan mukaisesti; |
| --- | --- |

a)

pyytää kaikkia asiaankuuluvia tietoja ja asiakirjoja 37 artiklan mukaisesti;

| b) | suorittaa 38 artiklan mukaisia yleisiä tutkimuksia ja 39 artiklan mukaisia tarkastuksia; |
| --- | --- |

b)

suorittaa 38 artiklan mukaisia yleisiä tutkimuksia ja 39 artiklan mukaisia tarkastuksia;

| c) | pyytää valvontatoimien päätyttyä raportteja, joissa eritellään kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tämän kohdan d alakohdassa tarkoitettujen suositusten perusteella toteuttamat toimet tai korjaukset; |
| --- | --- |

c)

pyytää valvontatoimien päätyttyä raportteja, joissa eritellään kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tämän kohdan d alakohdassa tarkoitettujen suositusten perusteella toteuttamat toimet tai korjaukset;

| d) | antaa suosituksia 33 artiklan 3 kohdassa tarkoitetuilla osa-alueilla, erityisesti seuraavien osalta:






  i) | erityisten TVT-turvallisuus- ja laatuvaatimusten tai -prosessien käyttö, etenkin kun on kyse ohjelmistokorjauksista, päivityksistä, salauksesta ja muiden sellaisten turvallisuustoimenpiteiden käyttöönotosta, joita päävalvoja pitää merkityksellisinä finanssiyhteisöille tarjottavien palvelujen TVT-turvallisuuden varmistamiseksi; |
| --- | --- | --- |

d)

antaa suosituksia 33 artiklan 3 kohdassa tarkoitetuilla osa-alueilla, erityisesti seuraavien osalta:

i)

erityisten TVT-turvallisuus- ja laatuvaatimusten tai -prosessien käyttö, etenkin kun on kyse ohjelmistokorjauksista, päivityksistä, salauksesta ja muiden sellaisten turvallisuustoimenpiteiden käyttöönotosta, joita päävalvoja pitää merkityksellisinä finanssiyhteisöille tarjottavien palvelujen TVT-turvallisuuden varmistamiseksi;

| ii) | sellaisten ehtojen käyttö kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tarjotessa TVT-palveluja finanssiyhteisöille, mukaan lukien ehtojen tekninen toteutus, joita päävalvoja pitää merkityksellisinä yksittäisten vikaantumispisteiden syntymisen tai lisääntymisen estämiseksi tai TVT-keskittymäriskin tapauksessa mahdollisen järjestelmävaikutuksen minimoimiseksi unionin finanssialalla; |
| --- | --- |

ii)

sellaisten ehtojen käyttö kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tarjotessa TVT-palveluja finanssiyhteisöille, mukaan lukien ehtojen tekninen toteutus, joita päävalvoja pitää merkityksellisinä yksittäisten vikaantumispisteiden syntymisen tai lisääntymisen estämiseksi tai TVT-keskittymäriskin tapauksessa mahdollisen järjestelmävaikutuksen minimoimiseksi unionin finanssialalla;

| iii) | suunniteltu alihankinta, jos päävalvoja katsoo, että edelleenulkoistus, mukaan lukien alihankintajärjestelyt, joihin kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet aikovat ryhtyä TVT-palveluntarjoajana olevien kolmansien osapuolten tai kolmanteen maahan sijoittautuneiden TVT-alihankkijoiden kanssa, voi aiheuttaa riskejä finanssiyhteisön palvelujen tarjonnalle tai rahoitusvakaudelle 37 ja 38 artiklan mukaisesti koottujen tietojen tarkastelun perusteella; |
| --- | --- |

iii)

suunniteltu alihankinta, jos päävalvoja katsoo, että edelleenulkoistus, mukaan lukien alihankintajärjestelyt, joihin kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet aikovat ryhtyä TVT-palveluntarjoajana olevien kolmansien osapuolten tai kolmanteen maahan sijoittautuneiden TVT-alihankkijoiden kanssa, voi aiheuttaa riskejä finanssiyhteisön palvelujen tarjonnalle tai rahoitusvakaudelle 37 ja 38 artiklan mukaisesti koottujen tietojen tarkastelun perusteella;

| iv) | pidättäytyminen edelleenulkoistusjärjestelystä, jos seuraavat kumulatiiviset edellytykset täyttyvät:






  — | suunniteltu alihankkija on TVT-palveluntarjoajana oleva kolmas osapuoli tai kolmanteen maahan sijoittautunut TVT-alihankkija; |
| --- | --- | --- |

iv)

pidättäytyminen edelleenulkoistusjärjestelystä, jos seuraavat kumulatiiviset edellytykset täyttyvät:

—

suunniteltu alihankkija on TVT-palveluntarjoajana oleva kolmas osapuoli tai kolmanteen maahan sijoittautunut TVT-alihankkija;

| — | alihankinta koskee finanssiyhteisön kriittisiä tai tärkeitä toimintoja; ja |
| --- | --- |

—

alihankinta koskee finanssiyhteisön kriittisiä tai tärkeitä toimintoja; ja

| — | päävalvoja arvioi, että tällaisen alihankinnan käyttö aiheuttaa selkeän ja vakavan riskin unionin rahoitusvakaudelle tai finanssiyhteisöille, mukaan lukien finanssiyhteisöjen kyvylle noudattaa valvontavaatimuksia. |
| --- | --- |

—

päävalvoja arvioi, että tällaisen alihankinnan käyttö aiheuttaa selkeän ja vakavan riskin unionin rahoitusvakaudelle tai finanssiyhteisöille, mukaan lukien finanssiyhteisöjen kyvylle noudattaa valvontavaatimuksia.

Tämän kohdan iv alakohdan soveltamiseksi TVT-palveluntarjoajana olevien kolmansien osapuolten on toimitettava päävalvojalle alihankintaa koskevat tiedot käyttäen 41 artiklan 1 kohdan b alakohdassa tarkoitettua mallia.

2.   Tässä artiklassa tarkoitettuja valtuuksia käyttäessään päävalvojan on

| a) | varmistettava säännöllinen koordinointi yhteisessä valvontaverkostossa ja erityisesti pyrittävä tarvittaessa johdonmukaisiin toimintatapoihin kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten valvonnan osalta; |
| --- | --- |

a)

varmistettava säännöllinen koordinointi yhteisessä valvontaverkostossa ja erityisesti pyrittävä tarvittaessa johdonmukaisiin toimintatapoihin kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten valvonnan osalta;

| b) | otettava asianmukaisesti huomioon direktiivillä (EU) 2022/2555 perustettu kehys ja kuultava tarvittaessa kyseisen direktiivin mukaisesti nimettyjä tai perustettuja asiasta vastaavia viranomaisia, jotta vältetään tarpeettomat päällekkäiset tekniset ja organisatoriset toimenpiteet, joita voidaan soveltaa kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin kyseisen direktiivin nojalla; |
| --- | --- |

b)

otettava asianmukaisesti huomioon direktiivillä (EU) 2022/2555 perustettu kehys ja kuultava tarvittaessa kyseisen direktiivin mukaisesti nimettyjä tai perustettuja asiasta vastaavia viranomaisia, jotta vältetään tarpeettomat päällekkäiset tekniset ja organisatoriset toimenpiteet, joita voidaan soveltaa kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin kyseisen direktiivin nojalla;

| c) | pyrittävä minimoimaan, siinä määrin kuin mahdollista, häiriöriski palveluille, joita kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet tarjoavat asiakkaille, jotka ovat tämän asetuksen soveltamisalaan kuulumattomia yhteisöjä. |
| --- | --- |

c)

pyrittävä minimoimaan, siinä määrin kuin mahdollista, häiriöriski palveluille, joita kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet tarjoavat asiakkaille, jotka ovat tämän asetuksen soveltamisalaan kuulumattomia yhteisöjä.

3.   Päävalvoja kuulee valvontafoorumia ennen 1 kohdassa tarkoitettujen valtuuksien käyttämistä.

Ennen suositusten antamista 1 kohdan d alakohdan mukaisesti päävalvojan on annettava TVT-palveluntarjoajana oleville kolmansille osapuolille mahdollisuus toimittaa 30 kalenteripäivän kuluessa asiaankuuluvat tiedot, joissa osoitetaan odotettavissa oleva vaikutus asiakkaisiin, jotka ovat tämän asetuksen soveltamisalaan kuulumattomia yhteisöjä, ja esitetään tarvittaessa ratkaisuja riskien lieventämiseksi.

4.   Päävalvojan on ilmoitettava yhteiselle valvontaverkostolle 1 kohdan a ja b alakohdassa tarkoitettujen valtuuksien käyttämisen tuloksesta. Päävalvojan on ilman aiheetonta viivytystä toimitettava yhteiselle valvontaverkostolle ja kyseisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen TVT-palveluja käyttävien finanssiyhteisöjen toimivaltaisille viranomaisille 1 kohdan c alakohdassa tarkoitetut raportit.

5.   Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten on tehtävä vilpitöntä yhteistyötä päävalvojan kanssa ja avustettava sitä sen tehtävien suorittamisessa.

6.   Jos 1 kohdan a, b ja c alakohdan mukaisten valtuuksien käyttämisen nojalla toteutettaviksi vaadittuja toimenpiteitä ei noudateta kokonaan tai osittain ja sen jälkeen, kun on kulunut vähintään 30 kalenteripäivää siitä, kun kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli sai ilmoituksen asianomaisista toimenpiteistä, päävalvojan on tehtävä päätös, jossa määrätään uhkasakko, pakottaakseen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen noudattamaan kyseisiä toimenpiteitä.

7.   Edellä 6 kohdassa tarkoitettu uhkasakko määrätään maksettavaksi päivittäin, kunnes vaatimuksia noudatetaan, ja enintään kuuden kuukauden ajan siitä, kun kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle on ilmoitettu uhkasakon määräävästä päätöksestä.

8.   Uhkasakon määrä, joka lasketaan uhkasakon määräämistä koskevassa päätöksessä säädetystä päivästä alkaen, on enintään 1 prosentti kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen edellisen tilikauden päivittäisestä maailmanlaajuisesta keskiliikevaihdosta. Uhkasakon määrää määrittäessään päävalvojan on otettava huomioon seuraavat kriteerit, jotka koskevat 6 kohdassa tarkoitettujen toimenpiteiden laiminlyöntiä:

| a) | laiminlyönnin vakavuus ja kesto; |
| --- | --- |

a)

laiminlyönnin vakavuus ja kesto;

| b) | onko laiminlyönti tapahtunut tahallisesti vai tuottamuksellisesti; |
| --- | --- |

b)

onko laiminlyönti tapahtunut tahallisesti vai tuottamuksellisesti;

| c) | se, missä määrin TVT-palveluntarjoajana oleva kolmas osapuoli on tehnyt yhteistyötä päävalvojan kanssa. |
| --- | --- |

c)

se, missä määrin TVT-palveluntarjoajana oleva kolmas osapuoli on tehnyt yhteistyötä päävalvojan kanssa.

Ensimmäisen alakohdan soveltamiseksi päävalvojan on kuultava yhteistä valvontaverkostoa johdonmukaisen toimintatavan varmistamiseksi.

9.   Uhkasakko on luonteeltaan hallinnollinen ja täytäntöönpanokelpoinen. Täytäntöönpanoon sovelletaan sen jäsenvaltion säännöksiä lainkäytöstä riita-asioissa, jonka alueella tutkimukset ja tilojen tarkastaminen tapahtuu. Asianomaisen jäsenvaltion tuomioistuimet ovat toimivaltaisia tutkimaan virheellistä täytäntöönpanoa koskevat valitukset. Uhkasakkojen määrät kohdennetaan Euroopan unionin yleiseen talousarvioon.

10.   Päävalvojan on julkistettava jokainen uhkasakko, joka on määrätty, paitsi jos tällainen julkistaminen vaarantaisi vakavasti finanssimarkkinat tai aiheuttaisi kohtuutonta haittaa asianosaisille.

11.   Ennen kuin päävalvoja määrää uhkasakon 6 kohdan nojalla, se antaa menettelyn kohteena olevan kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen edustajille mahdollisuuden tulla kuulluiksi havainnoistaan ja tekee päätöksensä ainoastaan sellaisten havaintojen perusteella, joista menettelyn kohteena olevalla kriittisellä TVT-palveluntarjoajana olevalla kolmannella osapuolella on ollut mahdollisuus esittää huomautuksensa.

Menettelyssä on kunnioitettava täysin niiden henkilöiden puolustautumisoikeuksia, joita menettely koskee. Menettelyn kohteena olevalla kriittisellä TVT-palveluntarjoajana olevalla kolmannella osapuolella on oikeus tutustua asiakirja-aineistoon, jollei muiden henkilöiden liikesalaisuuksien suojelemiseen liittyvistä oikeutetuista eduista muuta johdu. Oikeus tutustua asiakirja-aineistoon ei ulotu luottamuksellisiin tietoihin eikä päävalvojan sisäisiin valmisteleviin asiakirjoihin.

36 artikla

Päävalvojan valtuuksien käyttö unionin ulkopuolella

1.   Kun valvontatavoitteita ei voida saavuttaa toimimalla vuorovaikutuksessa 31 artiklan 12 kohdan soveltamiseksi perustetun tytäryhtiön kanssa tai toteuttamalla valvontatoimia unionissa sijaitsevissa tiloissa, päävalvoja voi käyttää seuraavissa säännöksissä tarkoitettuja valtuuksia kaikissa kolmannessa maassa sijaitsevissa tiloissa, jotka ovat kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen omistuksessa tai millä tahansa tavalla niiden käytössä palvelujen tarjoamiseksi unionin finanssiyhteisöille ja jotka ovat yhteydessä sen liiketoimintaan, toimintoihin, palveluihin, mukaan lukien kaikki hallinnolliset, liiketoiminnan ja operatiiviset toimipisteet, tilat, maa-alat, rakennukset tai muut kiinteistöt:

| a) | 35 artiklan 1 kohdan a alakohta; ja |
| --- | --- |

a)

35 artiklan 1 kohdan a alakohta; ja

| b) | 35 artiklan 1 kohdan b alakohta 38 artiklan 2 kohdan a, b ja d alakohdan ja 39 artiklan 1 kohdan ja 2 kohdan a alakohdan mukaisesti. |
| --- | --- |

b)

35 artiklan 1 kohdan b alakohta 38 artiklan 2 kohdan a, b ja d alakohdan ja 39 artiklan 1 kohdan ja 2 kohdan a alakohdan mukaisesti.

Ensimmäisessä alakohdassa tarkoitettuja valtuuksia voi käyttää, jos kaikki seuraavat edellytykset täyttyvät:

| i) | päävalvoja katsoo, että tarkastuksen suorittaminen kolmannessa maassa on tarpeen, jotta se voisi hoitaa täysimääräisesti ja tehokkaasti tämän asetuksen mukaiset tehtävänsä; |
| --- | --- |

i)

päävalvoja katsoo, että tarkastuksen suorittaminen kolmannessa maassa on tarpeen, jotta se voisi hoitaa täysimääräisesti ja tehokkaasti tämän asetuksen mukaiset tehtävänsä;

| ii) | kolmannessa maassa suoritettava tarkastus liittyy suoraan TVT-palvelujen tarjoamiseen unionissa sijaitseville finanssiyhteisöille; |
| --- | --- |

ii)

kolmannessa maassa suoritettava tarkastus liittyy suoraan TVT-palvelujen tarjoamiseen unionissa sijaitseville finanssiyhteisöille;

| iii) | asianomainen kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli suostuu tarkastuksen suorittamiseen kolmannessa maassa; ja |
| --- | --- |

iii)

asianomainen kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli suostuu tarkastuksen suorittamiseen kolmannessa maassa; ja

| iv) | päävalvoja on ilmoittanut asiasta virallisesti kyseisen kolmannen maan asiaankuuluvalle viranomaiselle eikä tämä ole vastustanut sitä. |
| --- | --- |

iv)

päävalvoja on ilmoittanut asiasta virallisesti kyseisen kolmannen maan asiaankuuluvalle viranomaiselle eikä tämä ole vastustanut sitä.

2.   Edellä olevan 1 kohdan soveltamiseksi EPV:n, ESMAn tai EIOPAn on sovittava kolmannen maan asiaankuuluvien viranomaisten kanssa hallinnollisista yhteistyöjärjestelyistä mahdollistaakseen niiden tarkastusten sujuvuuden asianomaisessa kolmannessa maassa, joita päävalvoja ja sen tehtävää varten kyseiseen kolmanteen maahan nimetty ryhmä suorittaa, sanotun kuitenkaan rajoittamatta unionin toimielinten ja jäsenvaltioiden toimivaltaa. Kyseisistä järjestelyistä ei saa seurata oikeudellisia velvoitteita unionille ja sen jäsenvaltioille, eivätkä ne saa estää jäsenvaltioita ja niiden toimivaltaisia viranomaisia tekemästä kahden- tai monenvälisiä järjestelyjä kyseisten kolmansien maiden ja näiden asiaankuuluvien viranomaisten kanssa.

Kyseisissä yhteistyöjärjestelyissä täsmennetään vähintään seuraavat seikat:

| a) | menettelyt tämän asetuksen mukaisesti toteutettavien valvontatoimien ja asianomaisen kolmannen maan asiaankuuluvan viranomaisen vastaavasti suorittaman kolmansiin osapuoliin liittyvän finanssialan TVT-riskin valvonnan koordinoimiseksi, mukaan lukien yksityiskohtaiset tiedot viimeksi mainitun antaman suostumuksen välittämiseksi, jotta päävalvoja ja sen nimetty ryhmä voivat toteuttaa sen lainkäyttövaltaan kuuluvalla alueella yleisiä tutkimuksia ja paikalla tehtäviä tarkastuksia 1 kohdan ensimmäisen alakohdan mukaisesti; |
| --- | --- |

a)

menettelyt tämän asetuksen mukaisesti toteutettavien valvontatoimien ja asianomaisen kolmannen maan asiaankuuluvan viranomaisen vastaavasti suorittaman kolmansiin osapuoliin liittyvän finanssialan TVT-riskin valvonnan koordinoimiseksi, mukaan lukien yksityiskohtaiset tiedot viimeksi mainitun antaman suostumuksen välittämiseksi, jotta päävalvoja ja sen nimetty ryhmä voivat toteuttaa sen lainkäyttövaltaan kuuluvalla alueella yleisiä tutkimuksia ja paikalla tehtäviä tarkastuksia 1 kohdan ensimmäisen alakohdan mukaisesti;

| b) | mekanismi kaikkien merkityksellisten tietojen välittämiseksi EPV:n, ESMAn tai EIOPAn sekä asianomaisen kolmannen maan asiaankuuluvan viranomaisen kesken, erityisesti päävalvojan 37 artiklan nojalla mahdollisesti pyytämien tietojen osalta; |
| --- | --- |

b)

mekanismi kaikkien merkityksellisten tietojen välittämiseksi EPV:n, ESMAn tai EIOPAn sekä asianomaisen kolmannen maan asiaankuuluvan viranomaisen kesken, erityisesti päävalvojan 37 artiklan nojalla mahdollisesti pyytämien tietojen osalta;

| c) | mekanismit, joiden avulla asianomaisen kolmannen maan asiaankuuluva viranomainen ilmoittaa viipymättä EPV:lle, ESMAlle tai EIOPAlle tapauksista, joissa kolmanteen maahan sijoittautuneen TVT-palveluntarjoajana olevan kolmannen osapuolen, joka on nimetty 31 artiklan 1 kohdan alakohdan mukaisesti kriittiseksi, katsotaan rikkoneen vaatimuksia, joita sen edellytetään noudattavan asianomaisessa kolmannessa maassa sovellettavan lainsäädännön nojalla tarjotessaan finanssiyhteisöille palveluja kyseisessä kolmannessa maassa, sekä sovellettavat korjaustoimenpiteet ja seuraamukset; |
| --- | --- |

c)

mekanismit, joiden avulla asianomaisen kolmannen maan asiaankuuluva viranomainen ilmoittaa viipymättä EPV:lle, ESMAlle tai EIOPAlle tapauksista, joissa kolmanteen maahan sijoittautuneen TVT-palveluntarjoajana olevan kolmannen osapuolen, joka on nimetty 31 artiklan 1 kohdan alakohdan mukaisesti kriittiseksi, katsotaan rikkoneen vaatimuksia, joita sen edellytetään noudattavan asianomaisessa kolmannessa maassa sovellettavan lainsäädännön nojalla tarjotessaan finanssiyhteisöille palveluja kyseisessä kolmannessa maassa, sekä sovellettavat korjaustoimenpiteet ja seuraamukset;

| d) | säännöllisesti lähetettävät päivitykset sääntelyn tai valvonnan kehityksestä kolmansiin osapuoliin liittyvän rahoituslaitosten TVT-riskin valvonnan alalla asianomaisessa kolmannessa maassa; |
| --- | --- |

d)

säännöllisesti lähetettävät päivitykset sääntelyn tai valvonnan kehityksestä kolmansiin osapuoliin liittyvän rahoituslaitosten TVT-riskin valvonnan alalla asianomaisessa kolmannessa maassa;

| e) | yksityiskohtaiset tiedot, jotka koskevat tarvittaessa sen sallimista, että yksi asiaankuuluvan kolmannen maan viranomaisen edustaja osallistuu päävalvojan ja nimetyn ryhmän toteuttamiin tarkastuksiin. |
| --- | --- |

e)

yksityiskohtaiset tiedot, jotka koskevat tarvittaessa sen sallimista, että yksi asiaankuuluvan kolmannen maan viranomaisen edustaja osallistuu päävalvojan ja nimetyn ryhmän toteuttamiin tarkastuksiin.

3.   Kun päävalvoja ei kykene toteuttamaan 1 ja 2 kohdassa tarkoitettuja valvontatoimia unionin ulkopuolella, sen on

| a) | käytettävä 35 artiklan mukaisia valtuuksiaan kaikkien käytettävissään olevien tosiseikkojen ja asiakirjojen pohjalta; |
| --- | --- |

a)

käytettävä 35 artiklan mukaisia valtuuksiaan kaikkien käytettävissään olevien tosiseikkojen ja asiakirjojen pohjalta;

| b) | dokumentoitava ja selitettävä mahdolliset seuraukset, joita aiheutuu sen kyvyttömyydestä toteuttaa tässä artiklassa tarkoitettuja suunniteltuja valvontatoimia. |
| --- | --- |

b)

dokumentoitava ja selitettävä mahdolliset seuraukset, joita aiheutuu sen kyvyttömyydestä toteuttaa tässä artiklassa tarkoitettuja suunniteltuja valvontatoimia.

Tämän kohdan b alakohdassa tarkoitetut mahdolliset seuraukset on otettava huomioon päävalvojan 35 artiklan 1 kohdan d alakohdan mukaisesti antamissa suosituksissa.

37 artikla

Tietojen pyytäminen

1.   Päävalvoja voi pelkällä pyynnöllä tai tekemällään päätöksellä vaatia kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia toimittamaan kaikki tiedot, jotka ovat tarpeen, jotta päävalvoja voi suorittaa tämän asetuksen mukaiset tehtävänsä, mukaan lukien kaikki asiaankuuluvat liiketoimintaan liittyvät tai operatiiviset asiakirjat, sopimukset, toimintaperiaatteita koskevat asiakirjat, TVT-turvallisuusauditointiraportit, TVT:hen liittyviä poikkeamia koskevat raportit sekä tiedot osapuolista, joille kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli on ulkoistanut operatiivisia tehtäviä tai toimintaa.

2.   Lähettäessään 1 kohdan nojalla tietojensaantia koskevan pyynnön päävalvoja

| a) | viittaa tähän artiklaan pyynnön oikeusperustana; |
| --- | --- |

a)

viittaa tähän artiklaan pyynnön oikeusperustana;

| b) | ilmoittaa pyynnön tarkoituksen; |
| --- | --- |

b)

ilmoittaa pyynnön tarkoituksen;

| c) | täsmentää, mitä tietoja pyydetään; |
| --- | --- |

c)

täsmentää, mitä tietoja pyydetään;

| d) | asettaa määräajan, jonka kuluessa tiedot on toimitettava; |
| --- | --- |

d)

asettaa määräajan, jonka kuluessa tiedot on toimitettava;

| e) | ilmoittaa sen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen edustajalle, jolta tietoja pyydetään, että se ei ole velvollinen antamaan tietoja mutta jos se vastaa pyyntöön vapaaehtoisesti, annetut tiedot eivät saa olla virheellisiä tai harhaanjohtavia. |
| --- | --- |

e)

ilmoittaa sen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen edustajalle, jolta tietoja pyydetään, että se ei ole velvollinen antamaan tietoja mutta jos se vastaa pyyntöön vapaaehtoisesti, annetut tiedot eivät saa olla virheellisiä tai harhaanjohtavia.

3.   Päätöksessään, jossa vaaditaan 1 kohdan nojalla toimittamaan tietoja, päävalvoja

| a) | viittaa tähän artiklaan pyynnön oikeusperustana; |
| --- | --- |

a)

viittaa tähän artiklaan pyynnön oikeusperustana;

| b) | ilmoittaa pyynnön tarkoituksen; |
| --- | --- |

b)

ilmoittaa pyynnön tarkoituksen;

| c) | täsmentää, mitä tietoja pyydetään; |
| --- | --- |

c)

täsmentää, mitä tietoja pyydetään;

| d) | asettaa määräajan, jonka kuluessa tiedot on toimitettava; |
| --- | --- |

d)

asettaa määräajan, jonka kuluessa tiedot on toimitettava;

| e) | ilmoittaa uhkasakoista, joista 35 artiklan 6 kohdassa säädetään sen varalta, että toimitetut tiedot ovat puutteellisia tai jos tällaisia tietoja ei ole toimitettu tämän kohdan d alakohdassa tarkoitetussa määräajassa; |
| --- | --- |

e)

ilmoittaa uhkasakoista, joista 35 artiklan 6 kohdassa säädetään sen varalta, että toimitetut tiedot ovat puutteellisia tai jos tällaisia tietoja ei ole toimitettu tämän kohdan d alakohdassa tarkoitetussa määräajassa;

| f) | ilmoittaa oikeudesta hakea päätökseen muutosta Euroopan valvontaviranomaisen valituslautakunnalta ja oikeudesta saattaa päätös Euroopan unionin tuomioistuimen käsiteltäväksi asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 60 ja 61 artiklan mukaisesti. |
| --- | --- |

f)

ilmoittaa oikeudesta hakea päätökseen muutosta Euroopan valvontaviranomaisen valituslautakunnalta ja oikeudesta saattaa päätös Euroopan unionin tuomioistuimen käsiteltäväksi asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 60 ja 61 artiklan mukaisesti.

4.   Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten edustajien on toimitettava pyydetyt tiedot. Asianmukaisesti valtuutetut lakimiehet voivat antaa pyydetyt tiedot asiakkaidensa nimissä. Kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen on kannettava kuitenkin täysi vastuu, jos annetut tiedot ovat puutteellisia, virheellisiä tai harhaanjohtavia.

5.   Päävalvoja välittää tietojen toimittamista koskevasta päätöksestä viipymättä jäljennöksen asianomaisten kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten palveluja käyttävien finanssiyhteisöjen toimivaltaisille viranomaisille ja yhteiselle valvontaverkostolle.

38 artikla

Yleiset tutkimukset

1.   Voidakseen hoitaa tämän asetuksen mukaiset tehtävänsä päävalvoja, jota avustaa 40 artiklan 1 kohdassa tarkoitettu yhteinen tutkintaryhmä, voi tarvittaessa suorittaa kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia koskevia tutkimuksia.

2.   Päävalvojalla on valtuudet

| a) | tutkia asiakirjoja, dataa, menettelyjä ja muuta aineistoa, jolla on merkitystä sen tehtävien hoidolle, riippumatta välineestä, jolle ne on tallennettu; |
| --- | --- |

a)

tutkia asiakirjoja, dataa, menettelyjä ja muuta aineistoa, jolla on merkitystä sen tehtävien hoidolle, riippumatta välineestä, jolle ne on tallennettu;

| b) | ottaa tai hankkia oikeaksi todistettuja jäljennöksiä tai otteita tällaisista asiakirjoista, datasta, dokumentoiduista menettelyistä ja mistä tahansa muusta aineistosta; |
| --- | --- |

b)

ottaa tai hankkia oikeaksi todistettuja jäljennöksiä tai otteita tällaisista asiakirjoista, datasta, dokumentoiduista menettelyistä ja mistä tahansa muusta aineistosta;

| c) | pyytää kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen edustajilta suullisia tai kirjallisia selvityksiä tutkimuksen kohteeseen ja tarkoitukseen liittyvistä tosiseikoista tai asiakirjoista ja tallentaa vastaukset; |
| --- | --- |

c)

pyytää kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen edustajilta suullisia tai kirjallisia selvityksiä tutkimuksen kohteeseen ja tarkoitukseen liittyvistä tosiseikoista tai asiakirjoista ja tallentaa vastaukset;

| d) | haastatella ketä tahansa muuta haastatteluun suostuvaa luonnollista henkilöä tai oikeushenkilöä tutkimuksen kohteeseen liittyvien tietojen keräämiseksi; |
| --- | --- |

d)

haastatella ketä tahansa muuta haastatteluun suostuvaa luonnollista henkilöä tai oikeushenkilöä tutkimuksen kohteeseen liittyvien tietojen keräämiseksi;

| e) | vaatia puhelin- ja dataliikennetietoja. |
| --- | --- |

e)

vaatia puhelin- ja dataliikennetietoja.

3.   Päävalvojan 1 kohdassa tarkoitettua tutkimusta suorittamaan valtuuttamien virkamiesten ja muiden henkilöiden on valtuuksiaan käyttäessään esitettävä kirjallinen valtuutus, jossa yksilöidään tutkimuksen kohde ja tarkoitus.

Lisäksi kyseisessä valtuutuksessa on ilmoitettava uhkasakoista, joista 35 artiklan 6 kohdassa säädetään sen varalta, että pyydettyjä asiakirjoja, dataa, dokumentoituja menettelyjä tai mitä tahansa muuta aineistoa taikka vastauksia TVT-palveluntarjoajana olevan kolmannen osapuolen edustajille esitettyihin kysymyksiin ei anneta lainkaan tai niitä ei anneta kokonaisuudessaan.

4.   Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten edustajien on suostuttava tutkimuksiin päävalvojan päätöksen perusteella. Päätöksessä yksilöidään tutkimuksen kohde ja tarkoitus sekä ilmoitetaan 35 artiklan 6 kohdassa säädetyistä uhkasakoista, asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 nojalla käytettävissä olevista oikeussuojakeinoista sekä oikeudesta saattaa päätös Euroopan unionin tuomioistuimen käsiteltäväksi.

5.   Päävalvoja antaa kyseisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen TVT-palveluja käyttävien finanssiyhteisöjen toimivaltaisille viranomaisille hyvissä ajoin ennen tutkimuksen aloittamista tiedon suunnitellusta tutkimuksesta ja sitä suorittamaan valtuutettujen henkilöiden henkilöllisyydestä.

Päävalvoja ilmoittaa yhteiselle valvontaverkostolle kaikki ensimmäisen alakohdan nojalla toimitetut tiedot.

39 artikla

Tarkastukset

1.   Voidakseen hoitaa tämän asetuksen mukaiset tehtävänsä päävalvoja, jota 40 artiklan 1 kohdassa tarkoitetut yhteiset tutkintaryhmät avustavat, saa mennä TVT-palveluntarjoajana olevien kolmansien osapuolten liiketiloihin, maa-alueille tai kiinteistöihin, kuten päätoimitiloihin, operaatiokeskuksiin ja toissijaisiin tiloihin, ja suorittaa siellä kaikki tarvittavat paikalla tehtävät tarkastukset sekä tehdä tarkastuksia muualla kuin paikalla.

Ensimmäisessä alakohdassa tarkoitettujen valtuuksien käyttämistä varten päävalvojan on kuultava yhteistä valvontaverkostoa.

2.   Virkamiehillä ja muilla henkilöillä, jotka päävalvoja on valtuuttanut tekemään tarkastuksen paikalla, on valtuudet

| a) | mennä kaikkiin tällaisiin liiketiloihin tai kiinteistöihin ja kaikille tällaisille maa-alueille, ja |
| --- | --- |

a)

mennä kaikkiin tällaisiin liiketiloihin tai kiinteistöihin ja kaikille tällaisille maa-alueille, ja

| b) | sinetöidä mitkä tahansa tällaiset liiketilat, kirjanpito tai asiakirjat siksi ajaksi ja siinä laajuudessa kuin se on tarpeen tarkastuksen suorittamiseksi. |
| --- | --- |

b)

sinetöidä mitkä tahansa tällaiset liiketilat, kirjanpito tai asiakirjat siksi ajaksi ja siinä laajuudessa kuin se on tarpeen tarkastuksen suorittamiseksi.

Virkamiesten ja muiden päävalvojan valtuuttamien henkilöiden on valtuuksiaan käyttäessään esitettävä kirjallinen valtuutus, jossa yksilöidään tutkimuksen kohde ja tarkoitus sekä 35 artiklan 6 kohdassa säädetyt uhkasakot, jos kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten edustajat eivät suostu tarkastukseen.

3.   Päävalvoja antaa kyseistä TVT-palveluntarjoajana olevaa kolmatta osapuolta käyttävien finanssiyhteisöjen toimivaltaisille viranomaisille hyvissä ajoin ennen tarkastusta siitä tiedon.

4.   Tarkastukset kattavat kaikki asiaankuuluvat TVT-järjestelmät, verkot, laitteet, tiedot ja datan, joita käytetään tai jotka myötävaikuttavat TVT-palvelujen tarjoamiseen finanssiyhteisöille.

5.   Ennen suunniteltua paikalla tehtävää tarkastusta päävalvoja ilmoittaa asiasta kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille hyvissä ajoin, jollei se hätätapauksen tai kriisitilanteen vuoksi ole mahdotonta tai jos se johtaisi tilanteeseen, jossa tarkastus tai auditointi ei enää olisi vaikuttava.

6.   Kriittisen TVT-palveluntarjoajan on suostuttava päävalvojan päätöksellä määrättyihin paikalla tehtäviin tarkastuksiin. Päätöksessä yksilöidään tarkastuksen kohde ja tarkoitus, vahvistetaan päivä, jona tarkastus alkaa, ja ilmoitetaan 35 artiklan 6 kohdassa säädetyistä uhkasakoista, asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 nojalla käytettävissä olevista oikeussuojakeinoista sekä oikeudesta saattaa päätös Euroopan unionin tuomioistuimen käsiteltäväksi.

7.   Jos virkamiehet ja muut päävalvojan valtuuttamat henkilöt toteavat, että kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli vastustaa tämän artiklan nojalla määrättyä tarkastusta, päävalvoja ilmoittaa kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle tällaisen vastustuksen seurauksista, mukaan lukien asianomaisten finanssiyhteisöjen toimivaltaisten viranomaisten mahdollisuus vaatia finanssiyhteisöjä irtisanomaan kyseisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tehdyt sopimusjärjestelyt.

40 artikla

Jatkuva valvonta

1.   Päävalvojaa avustaa valvontatoimien, erityisesti yleisten tutkimusten tai tarkastusten, suorittamisessa kutakin kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta varten perustettu yhteinen tutkintaryhmä.

2.   Edellä 1 kohdassa tarkoitetun yhteisen tutkintaryhmän kokoonpanoon kuuluu seuraavien viranomaisten henkilöstön jäseniä:

| a) | Euroopan valvontaviranomaiset; |
| --- | --- |

a)

Euroopan valvontaviranomaiset;

| b) | kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen TVT-palveluja käyttäviä finanssiyhteisöjä valvovat asianomaiset toimivaltaiset viranomaiset; |
| --- | --- |

b)

kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen TVT-palveluja käyttäviä finanssiyhteisöjä valvovat asianomaiset toimivaltaiset viranomaiset;

| c) | 32 artiklan 4 kohdan e alakohdassa tarkoitettu, vapaaehtoispohjalta osallistuva toimivaltainen kansallinen viranomainen; |
| --- | --- |

c)

32 artiklan 4 kohdan e alakohdassa tarkoitettu, vapaaehtoispohjalta osallistuva toimivaltainen kansallinen viranomainen;

| d) | yksi vapaaehtoispohjalta osallistuva toimivaltainen kansallinen viranomainen siitä jäsenvaltiosta, johon kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli on sijoittautunut. |
| --- | --- |

d)

yksi vapaaehtoispohjalta osallistuva toimivaltainen kansallinen viranomainen siitä jäsenvaltiosta, johon kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli on sijoittautunut.

Yhteisen tutkintaryhmän jäsenillä on oltava asiantuntemusta TVT-asioista ja operatiivisista riskeistä. Yhteinen tutkintaryhmä toimii nimetyn päävalvojan henkilöstön jäsenen, jäljempänä ’päävalvojan koordinaattori’, koordinoimana.

3.   Päävalvoja antaa valvontafoorumia kuultuaan kolmen kuukauden kuluessa siitä, kun tutkimus tai tarkastus on saatettu päätökseen, 35 artiklassa tarkoitettujen valtuuksien nojalla suosituksia, jotka osoitetaan kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle.

4.   Edellä 3 kohdassa tarkoitetut suositukset annetaan välittömästi tiedoksi kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle ja niiden finanssiyhteisöjen toimivaltaisille viranomaisille, joille se tarjoaa TVT-palveluja.

Valvontatoimien toteuttamiseksi päävalvoja voi ottaa huomioon kaikki asiaankuuluvat kolmannen osapuolen sertifioinnit ja TVT-palveluja tarjoavan kolmannen osapuolen sisäiset tai ulkoiset auditointiraportit, jotka kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli on asettanut saataville.

41 artikla

Valvontatoimien toteuttamisen mahdollistavien edellytysten yhdenmukaistaminen

1.   Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia teknisiksi sääntelystandardeiksi, joissa täsmennetään

| a) | tiedot, jotka TVT-palveluntarjoajana olevan kolmannen osapuolen on annettava hakemuksessa, joka koskee vapaaehtoista pyyntöä tulla nimetyksi kriittiseksi 31 artiklan 11 kohdan mukaisesti; |
| --- | --- |

a)

tiedot, jotka TVT-palveluntarjoajana olevan kolmannen osapuolen on annettava hakemuksessa, joka koskee vapaaehtoista pyyntöä tulla nimetyksi kriittiseksi 31 artiklan 11 kohdan mukaisesti;

| b) | niiden tietojen sisältö, rakenne ja muoto, jotka TVT-palveluntarjoajana olevien kolmansien osapuolten on 35 artiklan 1 kohdan mukaisesti toimitettava, julkistettava tai raportoitava, mukaan lukien vakiomuotoinen malli alihankintajärjestelyjä koskevien tietojen ilmoittamiseen; |
| --- | --- |

b)

niiden tietojen sisältö, rakenne ja muoto, jotka TVT-palveluntarjoajana olevien kolmansien osapuolten on 35 artiklan 1 kohdan mukaisesti toimitettava, julkistettava tai raportoitava, mukaan lukien vakiomuotoinen malli alihankintajärjestelyjä koskevien tietojen ilmoittamiseen;

| c) | arviointiperusteet, joiden mukaisesti päätetään yhteisen tutkintaryhmän kokoonpanosta, jonka osalta varmistetaan Euroopan valvontaviranomaisten henkilöstön jäsenten ja asiaankuuluvien toimivaltaisten viranomaisten henkilöstön jäsenten välinen tasapainoinen edustus, sekä heidän nimeämisestään, tehtävistään ja työjärjestelyistään; |
| --- | --- |

c)

arviointiperusteet, joiden mukaisesti päätetään yhteisen tutkintaryhmän kokoonpanosta, jonka osalta varmistetaan Euroopan valvontaviranomaisten henkilöstön jäsenten ja asiaankuuluvien toimivaltaisten viranomaisten henkilöstön jäsenten välinen tasapainoinen edustus, sekä heidän nimeämisestään, tehtävistään ja työjärjestelyistään;

| d) | yksityiskohdat toimivaltaisten viranomaisten 42 artiklan 3 kohdan nojalla suorittamalle arvioinnille, joka koskee päävalvojan suositusten perusteella toteutettuja kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten toteuttamia toimenpiteitä. |
| --- | --- |

d)

yksityiskohdat toimivaltaisten viranomaisten 42 artiklan 3 kohdan nojalla suorittamalle arvioinnille, joka koskee päävalvojan suositusten perusteella toteutettuja kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten toteuttamia toimenpiteitä.

2.   Euroopan valvontaviranomaiset toimittavat kyseiset teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä heinäkuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä 1 kohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklassa säädetyn menettelyn mukaisesti.

42 artikla

Toimivaltaisten viranomaisten jatkotoimenpiteet

1.   Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten on 60 kalenteripäivän kuluessa siitä, kun ne ovat vastaanottaneet 35 artiklan 1 kohdan d alakohdan nojalla annetut päävalvojan suositukset, joko ilmoitettava päävalvojalle aikovansa noudattaa suosituksia tai annettava perusteltu selitys tällaisten suositusten noudattamatta jättämiselle. Päävalvoja toimittaa tämän tiedon välittömästi asianomaisten finanssiyhteisöjen toimivaltaisille viranomaisille.

2.   Jos jokin kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli jättää antamatta päävalvojalle 1 kohdan mukaisen ilmoituksen tai jos kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen antamaa selitystä ei pidetä riittävänä, päävalvoja julkistaa tiedon siitä. Julkaistavissa tiedoissa kerrotaan kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen henkilöllisyys sekä tiedot siitä, minkä tyyppisestä ja luonteisesta noudattamatta jättämisestä on kyse. Tällaisten tietojen sisältö rajataan siihen, mikä on merkityksellistä ja suhteellista yleisen tietoisuuden varmistamiseksi, paitsi jos tällainen julkistaminen aiheuttaisi suhteetonta vahinkoa asiaankuuluville osapuolille tai vaarantaa vakavalla tavalla finanssimarkkinoiden asianmukaisen toiminnan ja eheyden tai unionin rahoitusjärjestelmän vakauden kokonaisuudessaan tai osittain.

Päävalvoja ilmoittaa TVT-palveluntarjoajana olevalle kolmannelle osapuolelle kyseisestä tietojen julkistamisesta.

3.   Toimivaltaiset viranomaiset tiedottavat asiaankuuluville finanssiyhteisöille riskeistä, jotka on yksilöity kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille 35 artiklan 1 kohdan d alakohdan mukaisesti osoitetuissa suosituksissa.

Finanssiyhteisöjen on otettava kolmansiin osapuoliin liittyvän TVT-riskin hallinnassa huomioon ensimmäisessä alakohdassa tarkoitetut riskit.

4.   Kun toimivaltainen viranomainen katsoo, ettei finanssiyhteisö ole TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvän riskin hallinnassa ottanut lainkaan tai ei riittävästi huomioon suosituksissa yksilöityjä erityisiä riskejä, se ilmoittaa finanssiyhteisölle siitä mahdollisuudesta, että 60 kalenteripäivän kuluessa tällaisen ilmoituksen vastaanottamisesta tehdään 6 kohdan mukainen päätös, ellei tällaisten riskien hallitsemiseen tarkoitettuja asianmukaisia sopimusjärjestelyjä ole tehty.

5.   Toimivaltaiset viranomaiset voivat 35 artiklan 1 kohdan c alakohdassa tarkoitetut raportit saatuaan ja ennen tämän artiklan 6 kohdassa tarkoitetun päätöksen tekemistä kuulla vapaaehtoispohjalta direktiivin (EU) 2022/2555 mukaisesti nimettyjä tai perustettuja toimivaltaisia viranomaisia, jotka vastaavat kriittiseksi TVT-palveluntarjoajana olevaksi kolmanneksi osapuoleksi nimetyn keskeisen tai tärkeän toimijan, johon sovelletaan kyseistä direktiiviä, valvonnasta.

6.   Toimivaltaiset viranomaiset voivat tämän artiklan 4 ja 5 kohdan mukaisen ilmoittamisen ja tarvittaessa suoritetun kuulemisen jälkeen kaikkein viimeisimpänä toimenpiteenä tehdä 50 artiklan mukaisesti päätöksen, jonka mukaan finanssiyhteisöjä vaaditaan tilapäisesti joko osittain tai kokonaan keskeyttämään kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen tarjoaman palvelun käyttö tai käyttöönotto, kunnes kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille osoitetuissa suosituksissa yksilöityihin riskeihin on puututtu. Ne voivat tarvittaessa vaatia finanssiyhteisöjä kokonaan tai osittain irtisanomaan kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehdyt asiaankuuluvat sopimusjärjestelyt.

7.   Jos kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli kieltäytyy hyväksymästä suosituksia perustuen päävalvojan suosittelemasta poikkeavaan toimintatapaan ja jos tällainen suositellusta poikkeava toimintatapa voi vaikuttaa kielteisesti suureen määrään finanssiyhteisöjä tai merkittävään osaan finanssialaa ja jos toimivaltaisten viranomaisten antamat yksittäiset varoitukset eivät ole johtaneet johdonmukaisiin toimintatapoihin, joilla lievennettäisiin rahoitusjärjestelmän vakauteen kohdistuvaa potentiaalista riskiä, päävalvoja voi valvontafoorumia kuultuaan antaa toimivaltaisille viranomaisille lausuntoja, jotka eivät ole sitovia eivätkä julkisia, tarkoituksena edistää tarvittaessa yhdenmukaisten ja yhtenäisten valvonnan jatkotoimien toteuttamista.

8.   Saatuaan 35 artiklan 1 kohdan c alakohdassa tarkoitetut raportit toimivaltaisten viranomaisten on tämän artiklan 6 kohdassa tarkoitettua päätöstä tehdessään otettava huomioon, minkä tyyppinen ja kuinka suuri on riski, johon kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli ei ole puuttunut, sekä se, kuinka vakavasta laiminlyönnistä on kyse, tarkastellen asiaa seuraavien kriteerien perusteella:

| a) | laiminlyönnin vakavuus ja kesto; |
| --- | --- |

a)

laiminlyönnin vakavuus ja kesto;

| b) | onko laiminlyönti paljastanut vakavia heikkouksia kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen menettelyissä, hallintojärjestelmissä, riskinhallinnassa ja sisäisessä valvonnassa; |
| --- | --- |

b)

onko laiminlyönti paljastanut vakavia heikkouksia kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen menettelyissä, hallintojärjestelmissä, riskinhallinnassa ja sisäisessä valvonnassa;

| c) | onko laiminlyönti helpottanut tai aiheuttanut talousrikollisuutta tai liittyykö laiminlyönti siihen muulla tavoin; |
| --- | --- |

c)

onko laiminlyönti helpottanut tai aiheuttanut talousrikollisuutta tai liittyykö laiminlyönti siihen muulla tavoin;

| d) | onko laiminlyönti tapahtunut tahallisesti vai tuottamuksellisesti; |
| --- | --- |

d)

onko laiminlyönti tapahtunut tahallisesti vai tuottamuksellisesti;

| e) | aiheuttaako sopimusjärjestelyjen keskeyttäminen tai irtisanominen riskin finanssiyhteisön liiketoimien jatkuvuudelle huolimatta finanssiyhteisön toimista, joilla pyritään välttämään häiriöt sen palvelujen tarjonnassa; |
| --- | --- |

e)

aiheuttaako sopimusjärjestelyjen keskeyttäminen tai irtisanominen riskin finanssiyhteisön liiketoimien jatkuvuudelle huolimatta finanssiyhteisön toimista, joilla pyritään välttämään häiriöt sen palvelujen tarjonnassa;

| f) | tapauksen mukaan tämän artiklan 5 kohdan mukaisesti vapaaehtoispohjalta pyydetty lausunto niiltä direktiivin (EU) 2022/2555 mukaisesti nimetyiltä tai perustetuilta toimivaltaisilta viranomaisilta, jotka vastaavat kriittiseksi TVT-palveluntarjoajana olevaksi kolmanneksi osapuoleksi nimetyn keskeisen tai tärkeän toimijan, johon sovelletaan kyseistä direktiiviä, valvonnasta. |
| --- | --- |

f)

tapauksen mukaan tämän artiklan 5 kohdan mukaisesti vapaaehtoispohjalta pyydetty lausunto niiltä direktiivin (EU) 2022/2555 mukaisesti nimetyiltä tai perustetuilta toimivaltaisilta viranomaisilta, jotka vastaavat kriittiseksi TVT-palveluntarjoajana olevaksi kolmanneksi osapuoleksi nimetyn keskeisen tai tärkeän toimijan, johon sovelletaan kyseistä direktiiviä, valvonnasta.

Toimivaltaiset viranomaiset antavat finanssiyhteisöille tarvittavan ajan siihen, että ne voivat mukauttaa kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyjä sopimusjärjestelyjä siten, että vältetään haitalliset vaikutukset niiden digitaaliseen häiriönsietokykyyn, ja ne voivat ottaa käyttöön 28 artiklassa tarkoitetut irtautumisstrategiat ja siirtymäsuunnitelmat.

9.   Tämän artiklan 6 kohdassa tarkoitettu päätös annetaan tiedoksi 32 artiklan 4 kohdan a, b ja c alakohdassa tarkoitetun valvontafoorumin jäsenille ja yhteiselle valvontaverkostolle.

Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten, joita 6 kohdassa säädetyt päätökset koskevat, on tehtävä täysimääräisesti yhteistyötä niiden finanssiyhteisöjen kanssa, joihin asia vaikuttaa, erityisesti niiden sopimusjärjestelyjen keskeyttämisen tai irtisanomisen yhteydessä.

10.   Toimivaltaiset viranomaiset tiedottavat säännöllisesti päävalvojalle noudattamistaan toimintatavoista ja toimenpiteistä, joita ne ovat toteuttaneet finanssiyhteisöihin liittyvissä valvontatehtävissään, sekä finanssiyhteisöjen tekemistä sopimusjärjestelyistä, siinä tapauksessa, että kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet eivät ole kaikilta osin tai lainkaan hyväksyneet päävalvojan niille antamia suosituksia.

11.   Päävalvoja voi antaa pyynnöstä lisäselvityksiä annetuista suosituksista ohjeeksi toimivaltaisille viranomaisille jatkotoimien toteuttamiseen.

43 artikla

Valvontamaksut

1.   Päävalvoja perii tämän artiklan 2 kohdassa tarkoitetun delegoidun säädöksen mukaisesti kriittisiltä TVT-palveluntarjoajana olevilta kolmansilta osapuolilta maksuja, jotka kattavat kokonaan päävalvojan tämän asetuksen mukaisten valvontatehtävien suorittamisesta aiheutuvat välttämättömät menot, mukaan lukien sellaisten kustannusten korvaaminen, joita voi aiheutua 40 artiklassa tarkoitetun yhteisen tutkintaryhmän tekemästä työstä sekä 32 artiklan 4 kohdan toisessa alakohdassa tarkoitettujen riippumattomien asiantuntijoiden antamasta neuvonnasta asioissa, jotka kuuluvat suoraa valvontatoimintaa koskevan toimeksiannon piiriin.

Kriittiseltä TVT-palveluntarjoajana olevalta kolmannelta osapuolelta perittävän maksun on katettava kaikki tässä jaksossa säädettyjen tehtävien suorittamisesta aiheutuvat kustannukset, ja sen on oltava oikeassa suhteessa sen liikevaihtoon.

2.   Siirretään komissiolle valta antaa 57 artiklan mukaisesti delegoitu säädös, jolla täydennetään tätä asetusta määrittämällä maksujen suuruus ja maksutapa, viimeistään 17 päivänä heinäkuuta 2024.

44 artikla

Kansainvälinen yhteistyö

1.   EPV, ESMA ja EIOPA voivat asetusten (EU) N:o 1093/2010, (EU) N:o 1095/2010 ja (EU) N:o 1094/2010 33 artiklan nojalla sopia kolmansien maiden sääntely- ja valvontaviranomaisten kanssa hallinnollisista järjestelyistä, joilla edistetään kolmansiin osapuoliin liittyviä TVT-riskejä koskevaa kansainvälistä yhteistyötä finanssialan eri sektoreilla, erityisesti kehittämällä parhaita käytäntöjä TVT-riskinhallintakäytäntöjen ja -valvonnan, riskinlieventämistoimenpiteiden ja poikkeamiin reagoimisen uudelleentarkastelua varten, sanotun kuitenkaan rajoittamatta tämän asetuksen 36 artiklan soveltamista.

2.   Euroopan valvontaviranomaiset toimittavat yhteiskomitean välityksellä joka viides vuosi Euroopan parlamentille, neuvostolle ja komissiolle yhteisen luottamuksellisen selvityksen, jossa esitetään yhteenveto 1 kohdassa tarkoitettujen kolmansien maiden viranomaisten kanssa käytyjen asiaankuuluvien keskustelujen havainnoista ja erityisesti kolmansiin osapuoliin liittyvän TVT-riskin kehittymisestä ja vaikutuksista rahoitusvakauteen, markkinoiden eheyteen, sijoittajien suojaan ja sisämarkkinoiden toimintaan.

VI LUKU

Tietojenvaihtojärjestelyt

45 artikla

Järjestelyt kyberuhkia koskevien tietojen ja tiedustelutietojen vaihtamiseksi

1.   Finanssiyhteisöt voivat vaihtaa keskenään kyberuhkia koskevia tietoja ja tiedustelutietoja, mukaan lukien vaarantumisindikaattorit, taktiikat, tekniikat ja menettelyt, kyberturvallisuushälytykset ja konfigurointivälineet, siltä osin kuin tällainen tietojen ja tiedustelutietojen vaihto

| a) | on tarkoitettu parantamaan finanssiyhteisöjen digitaalista häiriönsietokykyä erityisesti lisäämällä tietoisuutta kyberuhista, rajoittamalla tai estämällä kyberuhkien leviämiskykyä, tukemalla puolustautumisvalmiuksia, uhkien havaitsemistekniikoita, riskinlieventämisstrategioita tai reagointi- ja toipumisvaiheita; |
| --- | --- |

a)

on tarkoitettu parantamaan finanssiyhteisöjen digitaalista häiriönsietokykyä erityisesti lisäämällä tietoisuutta kyberuhista, rajoittamalla tai estämällä kyberuhkien leviämiskykyä, tukemalla puolustautumisvalmiuksia, uhkien havaitsemistekniikoita, riskinlieventämisstrategioita tai reagointi- ja toipumisvaiheita;

| b) | toteutetaan luotettavissa finanssiyhteisöjen muodostamissa yhteisöissä; |
| --- | --- |

b)

toteutetaan luotettavissa finanssiyhteisöjen muodostamissa yhteisöissä;

| c) | toteutetaan tietojenvaihtojärjestelyillä, joilla suojellaan jaettujen tietojen mahdollista arkaluonteisuutta ja joita säännellään käytännesäännöillä kunnioittaen kaikilta osin liikesalaisuuksien luottamuksellisuutta ja asetuksen (EU) 2016/679 mukaista henkilötietojen suojaa ja noudattaen kilpailupolitiikkaa koskevia suuntaviivoja. |
| --- | --- |

c)

toteutetaan tietojenvaihtojärjestelyillä, joilla suojellaan jaettujen tietojen mahdollista arkaluonteisuutta ja joita säännellään käytännesäännöillä kunnioittaen kaikilta osin liikesalaisuuksien luottamuksellisuutta ja asetuksen (EU) 2016/679 mukaista henkilötietojen suojaa ja noudattaen kilpailupolitiikkaa koskevia suuntaviivoja.

2.   Edellä olevan 1 kohdan c alakohdan soveltamiseksi tietojenvaihtojärjestelyissä on määriteltävä osallistumisedellytykset ja tarvittaessa vahvistettava yksityiskohtaiset säännöt viranomaisten osallistumisesta ja siitä, missä ominaisuudessa viranomaiset voivat osallistua tietojenvaihtojärjestelyihin, TVT-palveluntarjoajana olevien kolmansien osapuolten osallistumisesta sekä operatiivisista elementeistä, mukaan lukien erityisten tietoteknisten alustojen käyttö.

3.   Finanssiyhteisöjen on ilmoitettava toimivaltaisille viranomaisille osallistumisestaan 1 kohdassa tarkoitettuihin tietojenvaihtojärjestelyihin, kun niiden jäsenyys on vahvistettu, tai tapauksen mukaan jäsenyytensä päättymisestä, kun se tulee voimaan.

VII LUKU

Toimivaltaiset viranomaiset

46 artikla

Toimivaltaiset viranomaiset

Rajoittamatta tämän asetuksen V luvun II jaksossa tarkoitetun kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin sovellettavan valvontakehyksen säännösten soveltamista seuraavien toimivaltaisten viranomaisten on varmistettava tässä asetuksessa säädettyjen velvoitteiden noudattaminen asiaa koskevissa säädöksissä annettujen valtuuksien mukaisesti:

| a) | luottolaitosten ja direktiivin 2013/36/EU nojalla vapautettujen laitosten osalta kyseisen direktiivin 4 artiklan mukaisesti nimetty toimivaltainen viranomainen ja niiden luottolaitosten osalta, jotka on asetuksen (EU) N:o 1024/2013 6 artiklan 4 kohdan mukaisesti luokiteltu merkittäviksi, EKP kyseisessä asetuksessa määritellyn toimivallan ja tehtävien mukaisesti; |
| --- | --- |

a)

luottolaitosten ja direktiivin 2013/36/EU nojalla vapautettujen laitosten osalta kyseisen direktiivin 4 artiklan mukaisesti nimetty toimivaltainen viranomainen ja niiden luottolaitosten osalta, jotka on asetuksen (EU) N:o 1024/2013 6 artiklan 4 kohdan mukaisesti luokiteltu merkittäviksi, EKP kyseisessä asetuksessa määritellyn toimivallan ja tehtävien mukaisesti;

| b) | maksulaitosten, mukaan lukien direktiivin (EU) 2015/2366 perusteella vapautettujen maksulaitosten, sähköisen rahan liikkeeseenlaskijalaitosten, mukaan lukien direktiivin 2009/110/EY perusteella vapautettujen sähköisen rahan liikkeeseenlaskijalaitosten, ja direktiivin (EU) 2015/2366 33 artiklan 1 kohdassa tarkoitettujen tilitietopalvelun tarjoajien osalta direktiivin (EU) 2015/2366 22 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

b)

maksulaitosten, mukaan lukien direktiivin (EU) 2015/2366 perusteella vapautettujen maksulaitosten, sähköisen rahan liikkeeseenlaskijalaitosten, mukaan lukien direktiivin 2009/110/EY perusteella vapautettujen sähköisen rahan liikkeeseenlaskijalaitosten, ja direktiivin (EU) 2015/2366 33 artiklan 1 kohdassa tarkoitettujen tilitietopalvelun tarjoajien osalta direktiivin (EU) 2015/2366 22 artiklan mukaisesti nimetty toimivaltainen viranomainen;

| c) | sijoituspalveluyritysten osalta Euroopan parlamentin ja neuvoston direktiivin (EU) 2019/2034 (38) 4 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

c)

sijoituspalveluyritysten osalta Euroopan parlamentin ja neuvoston direktiivin (EU) 2019/2034 (38) 4 artiklan mukaisesti nimetty toimivaltainen viranomainen;

38

| d) | kryptovarojen markkinoita koskevan asetuksen perusteella hyväksyttyjen kryptovarapalvelun tarjoajien ja referenssivaratokenien liikkeeseenlaskijoiden osalta kyseisen asetuksen asiaankuuluvien säännösten mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

d)

kryptovarojen markkinoita koskevan asetuksen perusteella hyväksyttyjen kryptovarapalvelun tarjoajien ja referenssivaratokenien liikkeeseenlaskijoiden osalta kyseisen asetuksen asiaankuuluvien säännösten mukaisesti nimetty toimivaltainen viranomainen;

| e) | arvopaperikeskusten osalta asetuksen (EU) N:o 909/2014 11 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

e)

arvopaperikeskusten osalta asetuksen (EU) N:o 909/2014 11 artiklan mukaisesti nimetty toimivaltainen viranomainen;

| f) | keskusvastapuolten osalta asetuksen (EU) N:o 648/2012 22 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

f)

keskusvastapuolten osalta asetuksen (EU) N:o 648/2012 22 artiklan mukaisesti nimetty toimivaltainen viranomainen;

| g) | kauppapaikkojen osalta direktiivin 2014/65/EU 67 artiklan mukaisesti nimetty toimivaltainen viranomainen ja raportointipalvelujen tarjoajien osalta asetuksen (EU) N:o 600/2014 2 artiklan 1 kohdan 18 alakohdassa määritelty toimivaltainen viranomainen; |
| --- | --- |

g)

kauppapaikkojen osalta direktiivin 2014/65/EU 67 artiklan mukaisesti nimetty toimivaltainen viranomainen ja raportointipalvelujen tarjoajien osalta asetuksen (EU) N:o 600/2014 2 artiklan 1 kohdan 18 alakohdassa määritelty toimivaltainen viranomainen;

| h) | kauppatietorekistereiden osalta asetuksen (EU) N:o 648/2012 22 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

h)

kauppatietorekistereiden osalta asetuksen (EU) N:o 648/2012 22 artiklan mukaisesti nimetty toimivaltainen viranomainen;

| i) | vaihtoehtoisten sijoitusrahastojen hoitajien osalta direktiivin 2011/61/EU 44 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

i)

vaihtoehtoisten sijoitusrahastojen hoitajien osalta direktiivin 2011/61/EU 44 artiklan mukaisesti nimetty toimivaltainen viranomainen;

| j) | rahastoyhtiöiden osalta direktiivin 2009/65/EY 97 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

j)

rahastoyhtiöiden osalta direktiivin 2009/65/EY 97 artiklan mukaisesti nimetty toimivaltainen viranomainen;

| k) | vakuutus- ja jälleenvakuutusyritysten osalta direktiivin 2009/138/EY 30 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

k)

vakuutus- ja jälleenvakuutusyritysten osalta direktiivin 2009/138/EY 30 artiklan mukaisesti nimetty toimivaltainen viranomainen;

| l) | vakuutus- ja jälleenvakuutusedustajien sekä sivutoimisten vakuutusedustajien osalta direktiivin (EU) 2016/97 12 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

l)

vakuutus- ja jälleenvakuutusedustajien sekä sivutoimisten vakuutusedustajien osalta direktiivin (EU) 2016/97 12 artiklan mukaisesti nimetty toimivaltainen viranomainen;

| m) | ammatillisia lisäeläkkeitä tarjoavien laitosten osalta direktiivin (EU) 2016/2341 47 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

m)

ammatillisia lisäeläkkeitä tarjoavien laitosten osalta direktiivin (EU) 2016/2341 47 artiklan mukaisesti nimetty toimivaltainen viranomainen;

| n) | luottoluokituslaitosten osalta asetuksen (EY) N:o 1060/2009 21 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

n)

luottoluokituslaitosten osalta asetuksen (EY) N:o 1060/2009 21 artiklan mukaisesti nimetty toimivaltainen viranomainen;

| o) | kriittisten vertailuarvojen hallinnoijien osalta asetuksen (EU) 2016/1011 40 ja 41 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

o)

kriittisten vertailuarvojen hallinnoijien osalta asetuksen (EU) 2016/1011 40 ja 41 artiklan mukaisesti nimetty toimivaltainen viranomainen;

| p) | joukkorahoituspalvelun tarjoajien osalta asetuksen (EU) 2020/1503 29 artiklan mukaisesti nimetty toimivaltainen viranomainen; |
| --- | --- |

p)

joukkorahoituspalvelun tarjoajien osalta asetuksen (EU) 2020/1503 29 artiklan mukaisesti nimetty toimivaltainen viranomainen;

| q) | arvopaperistamisrekistereiden osalta asetuksen (EU) 2017/2402 10 artiklan ja 14 artiklan 1 kohdan mukaisesti nimetty toimivaltainen viranomainen. |
| --- | --- |

q)

arvopaperistamisrekistereiden osalta asetuksen (EU) 2017/2402 10 artiklan ja 14 artiklan 1 kohdan mukaisesti nimetty toimivaltainen viranomainen.

47 artikla

Yhteistyö direktiivillä (EU) 2022/2555 perustettujen rakenteiden ja viranomaisten kanssa

1.   Jotta voitaisiin edistää yhteistyötä ja mahdollistaa valvontaa koskevien tietojen vaihto tämän asetuksen nojalla nimettyjen toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 14 artiklalla perustetun yhteistyöryhmän välillä, Euroopan valvontaviranomaiset ja toimivaltaiset viranomaiset voivat osallistua yhteistyöryhmän toimintaan asioissa, jotka koskevat niiden valvontatoimia finanssilaitosten osalta. Euroopan valvontaviranomaiset ja toimivaltaiset viranomaiset voivat pyytää, että ne kutsutaan osallistumaan yhteistyöryhmän toimintaan asioissa, jotka koskevat keskeisiä tai tärkeitä toimijoita, joihin sovelletaan direktiiviä (EU) 2022/2555 ja jotka on myös nimetty tämän asetuksen 31 artiklan mukaisesti kriittisiksi TVT-palveluntarjoajana oleviksi kolmansiksi osapuoliksi.

2.   Toimivaltaiset viranomaiset voivat tarvittaessa kuulla direktiivin (EU) 2022/2555 mukaisesti nimettyjä tai perustettuja keskitettyjä yhteyspisteitä ja CSIRT-yksiköitä sekä vaihtaa tietoja niiden kanssa.

3.   Toimivaltaiset viranomaiset voivat tarvittaessa pyytää asiaankuuluvaa teknistä neuvontaa ja apua direktiivin (EU) 2022/2555 mukaisesti nimetyiltä tai perustetuilta toimivaltaisilta viranomaisilta ja sopia yhteistyöjärjestelyistä, joiden perusteella voidaan ottaa käyttöön tehokkaita ja nopeaan reagointiin pystyviä koordinointimekanismeja.

4.   Tämän artiklan 3 kohdassa tarkoitetuissa järjestelyissä voidaan muun muassa täsmentää koordinointimenettelyt valvontatoimille, jotka koskevat tämän asetuksen 31 artiklan nojalla kriittisiksi TVT-palveluntarjoajana oleviksi kolmansiksi osapuoliksi nimettyjä keskeisiä tai tärkeitä toimijoita, joihin sovelletaan direktiiviä (EU) 2022/2555, mukaan lukien menettelyt tutkimusten ja paikalla suoritettavien tarkastusten suorittamiseen kansallisen lainsäädännön mukaisesti sekä menettelyt tämän asetuksen mukaisten toimivaltaisten viranomaisten ja kyseisen direktiivin mukaisesti nimettyjen tai perustettujen toimivaltaisten viranomaisten välisen tiedonvaihdon mekanismeille, mihin sisältyy myös oikeus saada käyttöön viimeksi mainittujen viranomaisten pyytämät tiedot.

48 artikla

Viranomaisten välinen yhteistyö

1.   Toimivaltaiset viranomaiset tekevät läheistä yhteistyötä keskenään ja tarvittaessa päävalvojan kanssa.

2.   Toimivaltaiset viranomaiset ja päävalvoja vaihtavat hyvissä ajoin keskenään kaikkia kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia koskevia asiaankuuluvia tietoja, joita ne tarvitsevat hoitaakseen tämän asetuksen mukaiset tehtävänsä, erityisesti tietoja päävalvojan valvontatehtävien yhteydessä määritellyistä riskeistä, toimintatavoista ja toimenpiteistä.

49 artikla

Finanssialan sektorien väliset harjoitukset, viestintä ja yhteistyö

1.   Euroopan valvontaviranomaiset voivat yhteiskomitean välityksellä ja yhteistyössä toimivaltaisten viranomaisten, direktiivin 2014/59/EU 3 artiklassa tarkoitettujen kriisinratkaisuviranomaisten, EKP:n, asetuksen (EU) N:o 806/2014 soveltamisalaan kuuluviin yhteisöihin liittyvien tietojen osalta yhteisen kriisinratkaisuneuvoston, EJRK:n ja ENISAn kanssa ottaa tarvittaessa käyttöön mekanismeja, joiden avulla voidaan jakaa toimivia käytäntöjä finanssialan eri sektoreiden välillä tilannetietoisuuden parantamiseksi ja yhteisten kyberhaavoittuvuuksien ja -riskien tunnistamiseksi eri sektoreilla.

Ne voivat kehittää kriisinhallinta- ja valmiusharjoituksia, joihin sisältyy kyberhyökkäysskenaarioita, jotta voidaan kehittää viestintäkanavia ja asteittain mahdollistaa toimiva koordinoitu reagointi unionin tasolla, jos ilmenee laajavaikutteinen rajatylittävä TVT:hen liittyvä poikkeama tai siihen liittyvä uhka, jolla on järjestelmävaikutuksia unionin finanssialaan kokonaisuutena.

Kyseisillä harjoituksilla voidaan tarvittaessa testata myös finanssialan riippuvuutta muista talouden aloista.

2.   Toimivaltaisten viranomaisten, Euroopan valvontaviranomaisten ja EKP:n on tehtävä tiivistä yhteistyötä keskenään ja vaihdettava tietoja suorittaakseen 47–54 artiklassa säädetyt tehtävänsä. Niiden on koordinoitava tiiviisti valvontatoimiaan havaitakseen ja korjatakseen tämän asetuksen rikkomiset, kehittääkseen ja edistääkseen parhaita käytäntöjä, helpottaakseen yhteistyötä, parantaakseen tulkinnan johdonmukaisuutta ja antaakseen toisia oikeudenkäyttöalueita koskevia arviointeja erimielisyystilanteissa.

50 artikla

Hallinnolliset seuraamukset ja korjaavat toimenpiteet

1.   Toimivaltaisilla viranomaisilla on oltava kaikki tämän asetuksen mukaisten tehtäviensä hoitamiseen tarvittavat valtuudet valvoa, tutkia ja määrätä seuraamuksia.

2.   Edellä 1 kohdassa tarkoitettuihin valtuuksiin on kuuluttava ainakin seuraavat valtuudet:

| a) | saada tutustua kaikkiin sellaisiin missä tahansa muodossa oleviin asiakirjoihin tai muuhun dataan, joilla toimivaltainen viranomainen katsoo olevan merkitystä tehtäviensä suorittamisen kannalta, ja oikeus saada tai ottaa jäljennös niistä; |
| --- | --- |

a)

saada tutustua kaikkiin sellaisiin missä tahansa muodossa oleviin asiakirjoihin tai muuhun dataan, joilla toimivaltainen viranomainen katsoo olevan merkitystä tehtäviensä suorittamisen kannalta, ja oikeus saada tai ottaa jäljennös niistä;

| b) | suorittaa paikalla tehtäviä tarkastuksia tai tutkimuksia, joiden yhteydessä voidaan muun muassa






  i) | pyytää finanssiyhteisöjen edustajilta suullisia tai kirjallisia selvityksiä tutkimuksen kohteeseen ja tarkoitukseen liittyvistä tosiseikoista tai asiakirjoista ja tallentaa vastaukset; |
| --- | --- | --- |

b)

suorittaa paikalla tehtäviä tarkastuksia tai tutkimuksia, joiden yhteydessä voidaan muun muassa

i)

pyytää finanssiyhteisöjen edustajilta suullisia tai kirjallisia selvityksiä tutkimuksen kohteeseen ja tarkoitukseen liittyvistä tosiseikoista tai asiakirjoista ja tallentaa vastaukset;

| ii) | haastatella ketä tahansa muuta haastatteluun suostuvaa luonnollista henkilöä tai oikeushenkilöä tutkimuksen kohteeseen liittyvien tietojen keräämiseksi; |
| --- | --- |

ii)

haastatella ketä tahansa muuta haastatteluun suostuvaa luonnollista henkilöä tai oikeushenkilöä tutkimuksen kohteeseen liittyvien tietojen keräämiseksi;

| c) | vaatia oikaisevia ja korjaavia toimenpiteitä, jos tämän asetuksen vaatimuksia rikotaan. |
| --- | --- |

c)

vaatia oikaisevia ja korjaavia toimenpiteitä, jos tämän asetuksen vaatimuksia rikotaan.

3.   Jäsenvaltioiden on vahvistettava säännöt, jotka koskevat tämän asetuksen rikkomiseen liittyviä asianmukaisia hallinnollisia seuraamuksia ja korjaavia toimenpiteitä, ja varmistettava niiden tehokas täytäntöönpano, sanotun kuitenkaan rajoittamatta jäsenvaltioiden oikeutta määrätä rikosoikeudellisia seuraamuksia 52 artiklan mukaisesti.

Kyseisten seuraamusten ja toimenpiteiden on oltava tehokkaita, oikeasuhteisia ja varoittavia.

4.   Jäsenvaltioiden on annettava tämän asetuksen rikkomistapauksissa toimivaltaisille viranomaisille valtuudet soveltaa ainakin seuraavia hallinnollisia seuraamuksia tai korjaavia toimenpiteitä:

| a) | antaa määräys, jossa kyseessä olevaa luonnollista henkilöä tai oikeushenkilöä vaaditaan lopettamaan tämän asetuksen vastainen toiminta ja pidättäytymään toistamasta kyseistä toimintaa; |
| --- | --- |

a)

antaa määräys, jossa kyseessä olevaa luonnollista henkilöä tai oikeushenkilöä vaaditaan lopettamaan tämän asetuksen vastainen toiminta ja pidättäytymään toistamasta kyseistä toimintaa;

| b) | vaatia sellaisen käytännön tai menettelytavan tilapäistä tai pysyvää lopettamista, jonka toimivaltainen viranomainen katsoo olevan ristiriidassa tämän asetuksen säännösten kanssa, ja estää kyseisen käytännön tai menettelytavan toistuminen; |
| --- | --- |

b)

vaatia sellaisen käytännön tai menettelytavan tilapäistä tai pysyvää lopettamista, jonka toimivaltainen viranomainen katsoo olevan ristiriidassa tämän asetuksen säännösten kanssa, ja estää kyseisen käytännön tai menettelytavan toistuminen;

| c) | ottaa käyttöön minkä tahansa tyyppisiä toimenpiteitä, myös taloudellisia, sen varmistamiseksi, että finanssiyhteisöt jatkavat lakisääteisten vaatimusten noudattamista; |
| --- | --- |

c)

ottaa käyttöön minkä tahansa tyyppisiä toimenpiteitä, myös taloudellisia, sen varmistamiseksi, että finanssiyhteisöt jatkavat lakisääteisten vaatimusten noudattamista;

| d) | vaatia, siinä määrin kuin se sallitaan kansallisessa lainsäädännössä, teleoperaattorin hallussa olevia dataliikennetietoja, jos voidaan perustellusti epäillä tämän asetuksen rikkomista ja jos tällaiset tiedot voivat olla merkityksellisiä tämän asetuksen rikkomista koskevan tutkinnan kannalta; ja |
| --- | --- |

d)

vaatia, siinä määrin kuin se sallitaan kansallisessa lainsäädännössä, teleoperaattorin hallussa olevia dataliikennetietoja, jos voidaan perustellusti epäillä tämän asetuksen rikkomista ja jos tällaiset tiedot voivat olla merkityksellisiä tämän asetuksen rikkomista koskevan tutkinnan kannalta; ja

| e) | antaa julkisia ilmoituksia, mukaan lukien julkiset lausumat, joissa ilmoitetaan luonnollisen henkilön tai oikeushenkilön henkilöllisyys ja rikkomisen luonne. |
| --- | --- |

e)

antaa julkisia ilmoituksia, mukaan lukien julkiset lausumat, joissa ilmoitetaan luonnollisen henkilön tai oikeushenkilön henkilöllisyys ja rikkomisen luonne.

5.   Jos 2 kohdan c alakohtaa ja 4 kohtaa sovelletaan oikeushenkilöihin, jäsenvaltioiden on annettava toimivaltaisille viranomaisille toimivalta soveltaa kansallisessa lainsäädännössä säädetyin edellytyksin hallinnollisia seuraamuksia ja korjaavia toimenpiteitä ylimmän hallintoelimen jäseniin ja muihin luonnollisiin henkilöihin, jotka ovat kansallisen lainsäädännön mukaan vastuussa rikkomisesta.

6.   Jäsenvaltioiden on varmistettava, että kaikki päätökset, joilla määrätään 2 kohdan c alakohdassa säädettyjä hallinnollisia seuraamuksia tai korjaavia toimenpiteitä, ovat asianmukaisesti perusteltuja ja että niihin voidaan hakea muutosta.

51 artikla

Hallinnollisten seuraamusten ja korjaavien toimenpiteiden määräämisvaltuuksien käyttö

1.   Toimivaltaisten viranomaisten on käytettävä valtuuksiaan määrätä 50 artiklassa tarkoitettuja hallinnollisia seuraamuksia ja korjaavia toimenpiteitä kansallisen oikeudellisen kehyksensä mukaisesti tapauksen mukaan

| a) | suoraan; |
| --- | --- |

a)

suoraan;

| b) | yhteistyössä muiden viranomaisten kanssa; |
| --- | --- |

b)

yhteistyössä muiden viranomaisten kanssa;

| c) | omalla vastuullaan antamalla valtuudet muille viranomaisille; tai |
| --- | --- |

c)

omalla vastuullaan antamalla valtuudet muille viranomaisille; tai

| d) | saattamalla asia toimivaltaisten oikeusviranomaisten käsiteltäväksi. |
| --- | --- |

d)

saattamalla asia toimivaltaisten oikeusviranomaisten käsiteltäväksi.

2.   Kun toimivaltaiset viranomaiset määrittävät 50 artiklan mukaisesti määrättävän hallinnollisen seuraamuksen tai korjaavan toimenpiteen tyyppiä ja tasoa, niiden on otettava huomioon, missä määrin rikkominen on tahallinen tai tuottamuksellinen, ja kaikki muut asiaan vaikuttavat olosuhteet, mukaan lukien tapauksen mukaan seuraavat:

| a) | rikkomisen olennaisuus, vakavuus ja kesto; |
| --- | --- |

a)

rikkomisen olennaisuus, vakavuus ja kesto;

| b) | rikkomuksesta vastuussa olevan luonnollisen henkilön tai oikeushenkilön vastuun aste; |
| --- | --- |

b)

rikkomuksesta vastuussa olevan luonnollisen henkilön tai oikeushenkilön vastuun aste;

| c) | vastuussa olevan luonnollisen henkilön tai oikeushenkilön taloudellinen vahvuus; |
| --- | --- |

c)

vastuussa olevan luonnollisen henkilön tai oikeushenkilön taloudellinen vahvuus;

| d) | vastuussa olevan luonnollisen henkilön tai oikeushenkilön saamien voittojen tai näiden välttämien tappioiden suuruus, jos ne ovat määritettävissä; |
| --- | --- |

d)

vastuussa olevan luonnollisen henkilön tai oikeushenkilön saamien voittojen tai näiden välttämien tappioiden suuruus, jos ne ovat määritettävissä;

| e) | rikkomisen kolmansille osapuolille aiheuttamat tappiot, jos ne ovat määritettävissä; |
| --- | --- |

e)

rikkomisen kolmansille osapuolille aiheuttamat tappiot, jos ne ovat määritettävissä;

| f) | se, missä määrin vastuussa oleva luonnollinen henkilö tai oikeushenkilö on tehnyt yhteistyötä toimivaltaisen viranomaisen kanssa, sanotun kuitenkaan rajoittamatta tarvetta varmistaa, että kyseinen luonnollinen henkilö tai oikeushenkilö joutuu luopumaan saamistaan voitoista tai välttämistään tappioista; |
| --- | --- |

f)

se, missä määrin vastuussa oleva luonnollinen henkilö tai oikeushenkilö on tehnyt yhteistyötä toimivaltaisen viranomaisen kanssa, sanotun kuitenkaan rajoittamatta tarvetta varmistaa, että kyseinen luonnollinen henkilö tai oikeushenkilö joutuu luopumaan saamistaan voitoista tai välttämistään tappioista;

| g) | vastuussa olevan luonnollisen henkilön tai oikeushenkilön aiempi syyllistyminen rikkomiseen. |
| --- | --- |

g)

vastuussa olevan luonnollisen henkilön tai oikeushenkilön aiempi syyllistyminen rikkomiseen.

52 artikla

Rikosoikeudelliset seuraamukset

1.   Jäsenvaltiot voivat päättää, että ne eivät säädä hallinnollisia seuraamuksia tai korjaavia toimenpiteitä koskevia sääntöjä sellaisten rikkomisten osalta, joihin sovelletaan niiden kansallisen lainsäädännön mukaisia rikosoikeudellisia seuraamuksia.

2.   Jos jäsenvaltiot ovat päättäneet säätää rikosoikeudellisista seuraamuksista tämän asetuksen rikkomisesta, niiden on varmistettava, että on toteutettu asianmukaiset toimenpiteet, jotta toimivaltaisilla viranomaisilla on kaikki tarvittavat valtuudet olla yhteydessä oikeus- ja syyttäjäviranomaisiin tai rikosoikeusviranomaisiin niiden lainkäyttöalueella vastaanottaakseen tietoja rikosoikeudellisista tutkimuksista tai menettelyistä, jotka on käynnistetty tämän asetuksen rikkomisen vuoksi, ja antaakseen samat tiedot muille toimivaltaisille viranomaisille sekä EPV:lle, ESMAlle tai EIOPAlle, jotta ne voivat täyttää yhteistyövelvoitteensa tätä asetusta sovellettaessa.

53 artikla

Ilmoitusvelvollisuudet

Jäsenvaltioiden on ilmoitettava viimeistään 17 päivänä tammikuuta 2025 komissiolle, ESMAlle, EPV:lle ja EIOPAlle tämän luvun täytäntöönpanoa koskevat lakinsa, asetuksensa ja hallinnolliset määräyksensä, mukaan lukien asiaa koskevat rikosoikeudelliset säännökset. Jäsenvaltioiden on ilman aiheetonta viivästystä ilmoitettava komissiolle, ESMAlle, EPV:lle ja EIOPAlle myöhemmistä muutoksista kyseisiin säännöksiin.

54 artikla

Hallinnollisten seuraamusten julkaiseminen

1.   Toimivaltaisten viranomaisten on julkaistava virallisilla verkkosivustoillaan ilman aiheetonta viivytystä kaikki hallinnollisen seuraamuksen määräämistä koskevat päätökset, joihin ei voi hakea muutosta, sen jälkeen, kun kyseinen päätös on annettu tiedoksi seuraamuksen kohteena olevalle henkilölle.

2.   Edellä 1 kohdassa tarkoitetun julkaisemisen on sisällettävä tiedot rikkomisen tyypistä ja luonteesta, tiedot vastuussa olevista henkilöistä sekä määrätyt seuraamukset.

3.   Jos toimivaltainen viranomainen tapauskohtaisen arvioinnin perusteella katsoo, että oikeushenkilöiden henkilöllisyyden tai luonnollisten henkilöiden henkilöllisyyden ja henkilötietojen julkaiseminen olisi kohtuutonta, mukaan lukien henkilötietojen suojaan liittyvät riskit, tai vaarantaisi finanssimarkkinoiden vakauden tai meneillään olevan rikostutkinnan tai aiheuttaisi asianomaiselle henkilölle kohtuutonta vahinkoa sikäli kuin vahinko on arvioitavissa, sen on valittava hallinnollisen seuraamuksen määräämistä koskevan päätöksen suhteen jokin seuraavista ratkaisuista:

| a) | julkaisemisen lykkääminen siihen saakka, kunnes julkaisematta jättämiseen ei enää ole mitään syytä; |
| --- | --- |

a)

julkaisemisen lykkääminen siihen saakka, kunnes julkaisematta jättämiseen ei enää ole mitään syytä;

| b) | julkaiseminen ilman nimiä kansallista lainsäädäntöä noudattaen; tai |
| --- | --- |

b)

julkaiseminen ilman nimiä kansallista lainsäädäntöä noudattaen; tai

| c) | julkaisemisesta pidättyminen, jos a ja b alakohdassa esitetyt vaihtoehdot katsotaan joko riittämättömiksi takaamaan, ettei finanssimarkkinoiden vakaudelle aiheudu vaaraa, tai jos tällainen julkaiseminen ei olisi oikeassa suhteessa määrätyn seuraamuksen lievyyteen. |
| --- | --- |

c)

julkaisemisesta pidättyminen, jos a ja b alakohdassa esitetyt vaihtoehdot katsotaan joko riittämättömiksi takaamaan, ettei finanssimarkkinoiden vakaudelle aiheudu vaaraa, tai jos tällainen julkaiseminen ei olisi oikeassa suhteessa määrätyn seuraamuksen lievyyteen.

4.   Jos kyseessä on päätös julkaista hallinnollinen seuraamus 3 kohdan b alakohdan mukaisesti ilman nimiä, kyseiset tiedot voidaan julkaista myöhemmin.

5.   Jos toimivaltainen viranomainen julkaisee hallinnollisen seuraamuksen määräämistä koskevan päätöksen, johon haetaan muutosta asianomaisilta oikeusviranomaisilta, toimivaltaisten viranomaisten on välittömästi lisättävä viralliselle verkkosivustolleen tämä tieto ja myöhemmissä vaiheissa kaikki myöhemmät asiaan liittyvät tiedot tällaisen muutoksenhaun lopputuloksesta. Lisäksi on julkaistava kaikki tuomioistuimen päätökset, joilla kumotaan hallinnollisen seuraamuksen määräämistä koskeva päätös.

6.   Toimivaltaisten viranomaisten on varmistettava, että 1–4 kohdassa tarkoitetut julkaistut tiedot pysyvät niiden virallisella verkkosivustolla vain sen ajan, joka on tarpeen tämän artiklan tarkoituksen täyttämiseksi. Kyseinen ajanjakso saa olla korkeintaan viisi vuotta tietojen julkaisemisesta.

55 artikla

Salassapitovelvollisuus

1.   Tämän asetuksen nojalla saatuja, vaihdettuja tai toimitettuja luottamuksellisia tietoja koskee 2 kohdassa säädetty salassapitovelvollisuus.

2.   Salassapitovelvollisuutta sovelletaan kaikkiin, jotka tämän asetuksen nojalla työskentelevät tai ovat työskennelleet toimivaltaisen viranomaisen tai sellaisten viranomaisten tai markkinoilla toimivien yritysten tai luonnollisen henkilön tai oikeushenkilön palveluksessa, joille toimivaltaiset viranomaiset ovat siirtäneet valtuuksiaan, mukaan lukien niiden kanssa sopimuksen tehneet auditoijat ja asiantuntijat.

3.   Salassapitovelvollisuuden piiriin kuuluvaa tietoa, mukaan lukien tämän asetuksen mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 mukaisesti nimettyjen tai perustettujen toimivaltaisten viranomaisten välinen tiedonvaihto, ei saa ilmaista toiselle henkilölle eikä toiselle viranomaiselle, jollei unionin oikeudessa tai kansallisessa lainsäädännössä toisin säädetä.

4.   Kaikki toimivaltaisten viranomaisten välillä tämän asetuksen nojalla vaihdetut tiedot, jotka koskevat liiketoiminta- tai toimintaolosuhteita ja muita taloudellisia tai henkilökohtaisia asioita, on katsottava luottamuksellisiksi ja niihin on sovellettava salassapitovelvollisuutta koskevia vaatimuksia, paitsi jos toimivaltainen viranomainen ilmoittaa tietoja toimittaessaan, että tällaiset tiedot saa luovuttaa, tai jos niiden luovuttaminen on tarpeen oikeudenkäyntiä varten.

56 artikla

Tietosuoja

1.   Euroopan valvontaviranomaisilla ja toimivaltaisilla viranomaisilla on lupa käsitellä henkilötietoja vain siltä osin, mikä on tarpeen niille tämän asetuksen nojalla kuuluvien velvoitteiden ja tehtävien täyttämiseksi erityisesti tutkintojen, tarkastusten, tietopyyntöjen, viestinnän, tietojen julkistamisen, arviointien, todentamisten, arvioinnin ja valvontasuunnitelmien laatimisen yhteydessä. Henkilötietoja on käsiteltävä tapauksen mukaan asetuksen (EU) 2016/679 tai asetuksen (EU) 2018/1725 mukaisesti.

2.   Jollei muissa alakohtaisissa säädöksissä toisin säädetä, 1 kohdassa tarkoitettuja henkilötietoja säilytetään siihen saakka, kunnes sovellettavat valvontatehtävät on suoritettu, ja joka tapauksessa enintään 15 vuoden ajan, ellei vireillä ole tuomioistuinkäsittelyä, joka edellyttää tällaisten tietojen säilyttämistä tuota pidemmän ajan.

VIII LUKU

Delegoidut säädökset

57 artikla

Siirretyn säädösvallan käyttäminen

1.   Komissiolle siirrettyä valtaa antaa delegoituja säädöksiä koskevat tässä artiklassa säädetyt edellytykset.

2.   Siirretään komissiolle 17 päivästä tammikuuta 2024 viiden vuoden ajaksi 31 artiklan 6 kohdassa ja 43 artiklan 2 kohdassa tarkoitettu valta antaa delegoituja säädöksiä. Komissio laatii siirrettyä säädösvaltaa koskevan kertomuksen viimeistään yhdeksän kuukautta ennen tämän viiden vuoden kauden päättymistä. Säädösvallan siirtoa jatketaan ilman eri toimenpiteitä samanpituisiksi kausiksi, jollei Euroopan parlamentti tai neuvosto vastusta tällaista jatkamista viimeistään kolme kuukautta ennen kunkin kauden päättymistä.

3.   Euroopan parlamentti tai neuvosto voi milloin tahansa peruuttaa 31 artiklan 6 kohdassa ja 43 artiklan 2 kohdassa tarkoitetun säädösvallan siirron. Peruuttamispäätöksellä lopetetaan tuossa päätöksessä mainittu säädösvallan siirto. Peruuttaminen tulee voimaan sitä päivää seuraavana päivänä, jona sitä koskeva päätös julkaistaan Euroopan unionin virallisessa lehdessä, tai jonakin myöhempänä, kyseisessä päätöksessä mainittuna päivänä. Peruuttamispäätös ei vaikuta jo voimassa olevien delegoitujen säädösten pätevyyteen.

4.   Ennen kuin komissio hyväksyy delegoidun säädöksen, se kuulee kunkin jäsenvaltion nimeämiä asiantuntijoita paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa vahvistettujen periaatteiden mukaisesti.

5.   Heti kun komissio on antanut delegoidun säädöksen, komissio antaa sen tiedoksi yhtäaikaisesti Euroopan parlamentille ja neuvostolle.

6.   Edellä olevien 31 artiklan 6 kohdan ja 43 artiklan 2 kohdan nojalla annettu delegoitu säädös tulee voimaan ainoastaan, jos Euroopan parlamentti tai neuvosto ei ole kolmen kuukauden kuluessa siitä, kun asianomainen säädös on annettu tiedoksi Euroopan parlamentille ja neuvostolle, ilmaissut vastustavansa sitä tai jos sekä Euroopan parlamentti että neuvosto ovat ennen mainitun määräajan päättymistä ilmoittaneet komissiolle, että ne eivät vastusta säädöstä. Euroopan parlamentin tai neuvoston aloitteesta tätä määräaikaa jatketaan kolmella kuukaudella.

IX LUKU

Siirtymä- ja loppusäännökset

I jakso

58 artikla

Uudelleentarkastelulauseke

1.   Komissio toteuttaa, tarvittaessa Euroopan valvontaviranomaisia ja EJRK:ta kuultuaan, viimeistään 17 päivänä tammikuuta 2028 uudelleentarkastelun ja toimittaa Euroopan parlamentille ja neuvostolle kertomuksen, tarvittaessa yhdessä lainsäädäntöehdotuksen kanssa. Uudelleentarkastelun on katettava vähintään seuraavat osa-alueet:

| a) | kriteerit, joiden perusteella kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet nimetään 31 artiklan 2 kohdan mukaisesti; |
| --- | --- |

a)

kriteerit, joiden perusteella kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet nimetään 31 artiklan 2 kohdan mukaisesti;

| b) | edellä 19 artiklassa tarkoitetun merkittävistä kyberuhkista ilmoittamisen vapaaehtoisuus; |
| --- | --- |

b)

edellä 19 artiklassa tarkoitetun merkittävistä kyberuhkista ilmoittamisen vapaaehtoisuus;

| c) | edellä 31 artiklan 12 kohdassa tarkoitettu järjestelmä ja 35 artiklan 1 kohdan d alakohdan iv alakohdan ensimmäisessä luetelmakohdassa säädetty päävalvojan toimivalta, tarkoituksena arvioida kyseisten säännösten vaikuttavuutta sen osalta, mikä koskee kolmansiin maihin sijoittautuneiden, kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tehokkaan valvonnan varmistamista ja tarvetta perustaa tytäryhtiö unionin alueelle.
  Uudelleentarkastelun on tämän alakohdan ensimmäisen alakohdan soveltamiseksi sisällettävä analyysi 31 artiklan 12 kohdassa tarkoitetusta järjestelmästä, mukaan lukien ehdot unionin finanssiyhteisöjen pääsylle kolmansista maista käsin tarjottavien palvelujen piiriin ja tällaisten palvelujen saatavuus unionin markkinoilla, ja uudelleentarkastelussa on otettava huomioon kehitys tämän asetuksen soveltamisalaan kuuluvien palvelujen markkinoilla, finanssiyhteisöjen käytännön kokemukset kyseisen järjestelmän soveltamisesta ja finanssivalvojien käytännön kokemukset sen valvonnasta sekä mahdollinen kansainvälisen tason kehitys sääntelyn ja valvonnan alalla; |
| --- | --- |

c)

edellä 31 artiklan 12 kohdassa tarkoitettu järjestelmä ja 35 artiklan 1 kohdan d alakohdan iv alakohdan ensimmäisessä luetelmakohdassa säädetty päävalvojan toimivalta, tarkoituksena arvioida kyseisten säännösten vaikuttavuutta sen osalta, mikä koskee kolmansiin maihin sijoittautuneiden, kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tehokkaan valvonnan varmistamista ja tarvetta perustaa tytäryhtiö unionin alueelle.

Uudelleentarkastelun on tämän alakohdan ensimmäisen alakohdan soveltamiseksi sisällettävä analyysi 31 artiklan 12 kohdassa tarkoitetusta järjestelmästä, mukaan lukien ehdot unionin finanssiyhteisöjen pääsylle kolmansista maista käsin tarjottavien palvelujen piiriin ja tällaisten palvelujen saatavuus unionin markkinoilla, ja uudelleentarkastelussa on otettava huomioon kehitys tämän asetuksen soveltamisalaan kuuluvien palvelujen markkinoilla, finanssiyhteisöjen käytännön kokemukset kyseisen järjestelmän soveltamisesta ja finanssivalvojien käytännön kokemukset sen valvonnasta sekä mahdollinen kansainvälisen tason kehitys sääntelyn ja valvonnan alalla;

| d) | sen aiheellisuus, että tämän asetuksen soveltamisalaan luetaan 2 artiklan 3 kohdan e alakohdassa tarkoitetut finanssiyhteisöt, jotka käyttävät automatisoituja myyntijärjestelmiä, tällaisten järjestelmien käytön tulevan markkinakehityksen kannalta; |
| --- | --- |

d)

sen aiheellisuus, että tämän asetuksen soveltamisalaan luetaan 2 artiklan 3 kohdan e alakohdassa tarkoitetut finanssiyhteisöt, jotka käyttävät automatisoituja myyntijärjestelmiä, tällaisten järjestelmien käytön tulevan markkinakehityksen kannalta;

| e) | yhteisen valvontaverkoston toiminta ja tehokkuus valvonnan johdonmukaisuuden tukemisessa ja tietojenvaihdon tehokkuus valvontakehyksessä. |
| --- | --- |

e)

yhteisen valvontaverkoston toiminta ja tehokkuus valvonnan johdonmukaisuuden tukemisessa ja tietojenvaihdon tehokkuus valvontakehyksessä.

2.   Komissio arvioi direktiivin (EU) 2015/2366 uudelleentarkastelun yhteydessä tarvetta vahvistaa maksujärjestelmien ja maksunkäsittelytoimintojen häiriönsietokykyä kyberuhkien varalta sekä sitä, onko aiheellista laajentaa tämän asetuksen soveltamisala koskemaan maksujärjestelmien ylläpitäjiä ja maksunkäsittelytoimintojen alalla toimivia yhteisöjä. Komissio antaa tämän arvioinnin pohjalta osana direktiivin (EU) 2015/2366 uudelleentarkastelua kertomuksen Euroopan parlamentille ja neuvostolle viimeistään 17 päivänä heinäkuuta 2023.

Komissio voi kyseisen uudelleentarkastelukertomuksen pohjalta ja Euroopan valvontaviranomaisia, EKP:tä ja EJRK:ta kuultuaan antaa tarvittaessa ja osana säädösehdotusta, jonka se voi antaa direktiivin (EU) 2015/2366 108 artiklan toisen kohdan mukaisesti, ehdotuksen sen varmistamiseksi, että kaikki maksujärjestelmien ylläpitäjät ja maksunkäsittelytoimintojen alalla toimivat yhteisöt kuuluvat asianmukaisen valvonnan piiriin, ottaen samalla huomioon olemassa olevan keskuspankin suorittaman valvonnan.

3.   Komissio toteuttaa Euroopan valvontaviranomaisia ja Euroopan tilintarkastajien valvontaelinten komiteaa kuultuaan viimeistään 17 päivänä tammikuuta 2026 uudelleentarkastelun ja toimittaa Euroopan parlamentille ja neuvostolle kertomuksen, tarvittaessa yhdessä lainsäädäntöehdotuksen kanssa, sen aiheellisuudesta, että lakisääteisiä tilintarkastajia ja tilintarkastusyrityksiä koskevia vaatimuksia tiukennetaan digitaalisen häiriönsietokyvyn osalta sisällyttämällä lakisääteiset tilintarkastajat ja tilintarkastusyritykset tämän asetuksen soveltamisalaan tai muuttamalla Euroopan parlamentin ja neuvoston direktiiviä 2006/43/EY (39).

II jakso

Muutokset

59 artikla

Asetuksen (EY) N:o 1060/2009 muuttaminen

Muutetaan asetus (EY) N:o 1060/2009 seuraavasti:

| 1) | korvataan liitteessä I olevan A jakson 4 kohdan ensimmäinen alakohta seuraavasti:

  ”Luottoluokituslaitoksella on oltava moitteettomat hallinto- ja kirjanpitomenettelyt, omat sisäiset valvontamekanismit, tehokkaat riskinarviointimenettelyt sekä tehokkaat valvonta- ja turvajärjestelyt, jotta se voi hallinnoida tieto- ja viestintäteknisiä järjestelmiä Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*1) mukaisesti.

  (*1)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;" |
| --- | --- |

1)

korvataan liitteessä I olevan A jakson 4 kohdan ensimmäinen alakohta seuraavasti:

”Luottoluokituslaitoksella on oltava moitteettomat hallinto- ja kirjanpitomenettelyt, omat sisäiset valvontamekanismit, tehokkaat riskinarviointimenettelyt sekä tehokkaat valvonta- ja turvajärjestelyt, jotta se voi hallinnoida tieto- ja viestintäteknisiä järjestelmiä Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*1) mukaisesti.

*1

(*1)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;"

*1

| 2) | korvataan liitteessä III oleva 12 kohta seuraavasti:






  ”12. | Luottoluokituslaitos rikkoo 6 artiklan 2 kohtaa yhdessä liitteessä I olevan A jakson 4 kohdan kanssa siten, että sillä ei ole moitteettomia hallinto- tai kirjanpitomenettelyjä, omia sisäisiä valvontamekanismeja, tehokkaita riskinarviointimenettelyjä tai tehokkaita valvonta- ja turvajärjestelyjä, jotta se voi hallinnoida tieto- ja viestintäteknisiä järjestelmiä asetuksen (EU) 2022/2554 mukaisesti, tai siten, että se ei sovella tai ylläpidä kyseisessä kohdassa vaadittuja päätöksentekomenettelyjä tai organisaatiorakenteita.” |
| --- | --- | --- |

2)

korvataan liitteessä III oleva 12 kohta seuraavasti:

”12.

Luottoluokituslaitos rikkoo 6 artiklan 2 kohtaa yhdessä liitteessä I olevan A jakson 4 kohdan kanssa siten, että sillä ei ole moitteettomia hallinto- tai kirjanpitomenettelyjä, omia sisäisiä valvontamekanismeja, tehokkaita riskinarviointimenettelyjä tai tehokkaita valvonta- ja turvajärjestelyjä, jotta se voi hallinnoida tieto- ja viestintäteknisiä järjestelmiä asetuksen (EU) 2022/2554 mukaisesti, tai siten, että se ei sovella tai ylläpidä kyseisessä kohdassa vaadittuja päätöksentekomenettelyjä tai organisaatiorakenteita.”

60 artikla

Asetuksen (EU) N:o 648/2012 muuttaminen

Muutetaan asetus (EU) N:o 648/2012 seuraavasti:

| 1) | muutetaan 26 artikla seuraavasti:






  a) | korvataan 3 kohta seuraavasti:

  ”3.   Keskusvastapuolen on pidettävä yllä ja käytettävä organisaatiorakennetta, jolla varmistetaan sen palvelujen tarjoamisen ja toiminnan harjoittamisen jatkuvuus ja säännönmukaisuus. Sen on käytettävä tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, resursseja ja menettelyjä, mukaan lukien Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*2) mukaisesti hallinnoidut tieto- ja viestintätekniset järjestelmät.


  (*2)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;" |
| --- | --- | --- |

1)

muutetaan 26 artikla seuraavasti:

a)

korvataan 3 kohta seuraavasti:

”3.   Keskusvastapuolen on pidettävä yllä ja käytettävä organisaatiorakennetta, jolla varmistetaan sen palvelujen tarjoamisen ja toiminnan harjoittamisen jatkuvuus ja säännönmukaisuus. Sen on käytettävä tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, resursseja ja menettelyjä, mukaan lukien Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*2) mukaisesti hallinnoidut tieto- ja viestintätekniset järjestelmät.

(*2)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;"

*2

| b) | kumotaan 6 kohta; |
| --- | --- |

b)

kumotaan 6 kohta;

| 2) | muutetaan 34 artikla seuraavasti:






  a) | korvataan 1 kohta seuraavasti:

  ”1.   Keskusvastapuolen on otettava käyttöön ja pantava täytäntöön asianmukaiset liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja palautumissuunnitelma, mukaan lukien asetuksen (EU) 2022/2554 mukaisesti laaditut ja täytäntöön pannut liiketoiminnan jatkuvuutta koskevat tieto- ja viestintätekniset toimintaperiaatteet sekä tieto- ja viestintätekniset -reagointi- ja palautumissuunnitelmat, joiden tavoitteena on varmistaa keskusvastapuolen toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen, sekä ylläpidettävä kyseisiä suunnitelmia.”; |
| --- | --- | --- |

2)

muutetaan 34 artikla seuraavasti:

a)

korvataan 1 kohta seuraavasti:

”1.   Keskusvastapuolen on otettava käyttöön ja pantava täytäntöön asianmukaiset liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja palautumissuunnitelma, mukaan lukien asetuksen (EU) 2022/2554 mukaisesti laaditut ja täytäntöön pannut liiketoiminnan jatkuvuutta koskevat tieto- ja viestintätekniset toimintaperiaatteet sekä tieto- ja viestintätekniset -reagointi- ja palautumissuunnitelmat, joiden tavoitteena on varmistaa keskusvastapuolen toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen, sekä ylläpidettävä kyseisiä suunnitelmia.”;

| b) | korvataan 3 kohdan ensimmäinen alakohta seuraavasti:

  ”3.   Jotta voidaan varmistaa tämän artiklan yhdenmukainen soveltaminen, arvopaperimarkkinaviranomainen laatii EKPJ:n jäseniä kuultuaan luonnoksia teknisiksi sääntelystandardeiksi, joissa yksilöidään tarkemmin toiminnan jatkuvuutta koskevien toimintaperiaatteiden ja palautumissuunnitelman vähimmäissisältö ja vaatimukset, lukuun ottamatta liiketoiminnan jatkuvuutta koskevia tieto- ja viestintäteknisiä toimintaperiaatteita ja palautumissuunnitelmia.”; |
| --- | --- |

b)

korvataan 3 kohdan ensimmäinen alakohta seuraavasti:

”3.   Jotta voidaan varmistaa tämän artiklan yhdenmukainen soveltaminen, arvopaperimarkkinaviranomainen laatii EKPJ:n jäseniä kuultuaan luonnoksia teknisiksi sääntelystandardeiksi, joissa yksilöidään tarkemmin toiminnan jatkuvuutta koskevien toimintaperiaatteiden ja palautumissuunnitelman vähimmäissisältö ja vaatimukset, lukuun ottamatta liiketoiminnan jatkuvuutta koskevia tieto- ja viestintäteknisiä toimintaperiaatteita ja palautumissuunnitelmia.”;

| 3) | korvataan 56 artiklan 3 kohdan ensimmäinen alakohta seuraavasti:

  ”3.   Jotta voidaan varmistaa tämän artiklan yhdenmukainen soveltaminen, arvopaperimarkkinaviranomainen laatii luonnoksia teknisiksi sääntelystandardeiksi, joissa yksilöidään 1 kohdassa tarkoitetun rekisteröintihakemuksen tiedot lukuun ottamatta tieto- ja viestintätekniseen riskinhallintaan liittyviä vaatimuksia.”; |
| --- | --- |

3)

korvataan 56 artiklan 3 kohdan ensimmäinen alakohta seuraavasti:

”3.   Jotta voidaan varmistaa tämän artiklan yhdenmukainen soveltaminen, arvopaperimarkkinaviranomainen laatii luonnoksia teknisiksi sääntelystandardeiksi, joissa yksilöidään 1 kohdassa tarkoitetun rekisteröintihakemuksen tiedot lukuun ottamatta tieto- ja viestintätekniseen riskinhallintaan liittyviä vaatimuksia.”;

| 4) | korvataan 79 artiklan 1 ja 2 kohta seuraavasti:

  ”1.   Kauppatietorekisterin on tunnistettava operatiivisen riskin lähteet ja minimoitava ne, myös kehittämällä tarkoituksenmukaisia järjestelmiä, tarkastuksia ja menettelyjä, mukaan lukien asetuksen (EU) 2022/2554 mukaisesti hallinnoidut tieto- ja viestintätekniset järjestelmät.


  2.   Kauppatietorekisterin on otettava käyttöön ja pantava täytäntöön asianmukaiset liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja palautumissuunnitelma, mukaan lukien asetuksen (EU) 2022/2554 mukaisesti vahvistetut liiketoiminnan jatkuvuutta koskevat tieto- ja viestintätekniset toimintaperiaatteet sekä tieto- ja viestintätekniset reagointi- ja palautumissuunnitelmat, joiden tavoitteena on varmistaa kauppatietorekisterin toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen, sekä ylläpidettävä kyseisiä suunnitelmia.”; |
| --- | --- |

4)

korvataan 79 artiklan 1 ja 2 kohta seuraavasti:

”1.   Kauppatietorekisterin on tunnistettava operatiivisen riskin lähteet ja minimoitava ne, myös kehittämällä tarkoituksenmukaisia järjestelmiä, tarkastuksia ja menettelyjä, mukaan lukien asetuksen (EU) 2022/2554 mukaisesti hallinnoidut tieto- ja viestintätekniset järjestelmät.

2.   Kauppatietorekisterin on otettava käyttöön ja pantava täytäntöön asianmukaiset liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja palautumissuunnitelma, mukaan lukien asetuksen (EU) 2022/2554 mukaisesti vahvistetut liiketoiminnan jatkuvuutta koskevat tieto- ja viestintätekniset toimintaperiaatteet sekä tieto- ja viestintätekniset reagointi- ja palautumissuunnitelmat, joiden tavoitteena on varmistaa kauppatietorekisterin toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen, sekä ylläpidettävä kyseisiä suunnitelmia.”;

| 5) | kumotaan 80 artiklan 1 kohta; |
| --- | --- |

5)

kumotaan 80 artiklan 1 kohta;

| 6) | muutetaan liitteessä I oleva II jakso seuraavasti:






  a) | korvataan a ja b alakohta seuraavasti:






  ”a) | kauppatietorekisteri rikkoo 79 artiklan 1 kohtaa, koska se ei tunnista operatiivisen riskin lähteitä tai ei minimoi kyseisiä riskejä kehittämällä tarkoituksenmukaisia järjestelmiä, tarkastuksia ja menettelyjä, mukaan lukien asetuksen (EU) 2022/2554 mukaisesti hallinnoidut tieto- ja viestintätekniset järjestelmät; |
| --- | --- | --- | --- |

6)

muutetaan liitteessä I oleva II jakso seuraavasti:

a)

korvataan a ja b alakohta seuraavasti:

”a)

kauppatietorekisteri rikkoo 79 artiklan 1 kohtaa, koska se ei tunnista operatiivisen riskin lähteitä tai ei minimoi kyseisiä riskejä kehittämällä tarkoituksenmukaisia järjestelmiä, tarkastuksia ja menettelyjä, mukaan lukien asetuksen (EU) 2022/2554 mukaisesti hallinnoidut tieto- ja viestintätekniset järjestelmät;

| b) | kauppatietorekisteri rikkoo 79 artiklan 2 kohtaa, koska se ei ole ottanut käyttöön, pannut täytäntöön tai ylläpitänyt asetuksen (EU) 2022/2554 mukaisesti laadittuja asianmukaisia liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita ja palautumissuunnitelmaa, joiden tavoitteena on varmistaa kauppatietorekisterin toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen;” |
| --- | --- |

b)

kauppatietorekisteri rikkoo 79 artiklan 2 kohtaa, koska se ei ole ottanut käyttöön, pannut täytäntöön tai ylläpitänyt asetuksen (EU) 2022/2554 mukaisesti laadittuja asianmukaisia liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita ja palautumissuunnitelmaa, joiden tavoitteena on varmistaa kauppatietorekisterin toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen;”

| b) | kumotaan c alakohta; |
| --- | --- |

b)

kumotaan c alakohta;

| 7) | muutetaan liite III seuraavasti:






  a) | muutetaan II jakso seuraavasti:






  i) | korvataan c alakohta seuraavasti:






  ”c) | toisen tason keskusvastapuoli rikkoo 26 artiklan 3 kohtaa, koska se ei pidä yllä tai ei käytä organisaatiorakennetta, jolla varmistetaan sen palvelujen tarjoamisen ja toiminnan harjoittamisen jatkuvuus ja säännönmukaisuus, tai se ei käytä tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, resursseja tai menettelyjä, mukaan lukien asetuksen (EU) 2022/2554 mukaisesti hallinnoidut tieto- ja viestintätekniset järjestelmät;” |
| --- | --- | --- | --- | --- |

7)

muutetaan liite III seuraavasti:

a)

muutetaan II jakso seuraavasti:

i)

korvataan c alakohta seuraavasti:

”c)

toisen tason keskusvastapuoli rikkoo 26 artiklan 3 kohtaa, koska se ei pidä yllä tai ei käytä organisaatiorakennetta, jolla varmistetaan sen palvelujen tarjoamisen ja toiminnan harjoittamisen jatkuvuus ja säännönmukaisuus, tai se ei käytä tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, resursseja tai menettelyjä, mukaan lukien asetuksen (EU) 2022/2554 mukaisesti hallinnoidut tieto- ja viestintätekniset järjestelmät;”

| ii) | kumotaan f alakohta; |
| --- | --- |

ii)

kumotaan f alakohta;

| b) | korvataan III jakson a alakohta seuraavasti:






  ”a) | toisen tason keskusvastapuoli rikkoo 34 artiklan 1 kohtaa, koska se ei ota käyttöön, pane täytäntöön tai ylläpidä asetuksen (EU) 2022/2554 mukaisesti vahvistettuja asianmukaisia liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita ja reagointi- ja palautumissuunnitelmaa, joiden tavoitteena on varmistaa sen toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen ja joiden on mahdollistettava ainakin kaikkien transaktioiden elvyttäminen häiriön aikana, jotta keskusvastapuoli voi jatkaa luotettavasti toimintaansa ja saattaa toimituksen loppuun määräaikaan mennessä;”. |
| --- | --- | --- |

b)

korvataan III jakson a alakohta seuraavasti:

”a)

toisen tason keskusvastapuoli rikkoo 34 artiklan 1 kohtaa, koska se ei ota käyttöön, pane täytäntöön tai ylläpidä asetuksen (EU) 2022/2554 mukaisesti vahvistettuja asianmukaisia liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita ja reagointi- ja palautumissuunnitelmaa, joiden tavoitteena on varmistaa sen toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen ja joiden on mahdollistettava ainakin kaikkien transaktioiden elvyttäminen häiriön aikana, jotta keskusvastapuoli voi jatkaa luotettavasti toimintaansa ja saattaa toimituksen loppuun määräaikaan mennessä;”.

61 artikla

Asetuksen (EU) N:o 909/2014 muuttaminen

Muutetaan asetuksen (EU) N:o 909/2014 45 artikla seuraavasti:

| 1) | korvataan 1 kohta seuraavasti:

  ”1.   Arvopaperikeskuksen on tunnistettava operatiivisen riskin lähteet – niin ulkoiset kuin sisäiset – ja minimoitava niiden vaikutus käyttämällä tarkoituksenmukaisia Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*3) mukaisesti luotuja ja hallinnoituja tieto- ja viestintäteknisiä välineitä, prosesseja ja periaatteita sekä muita tarkoituksenmukaisia välineitä, tarkastuksia ja menettelyjä muuntyyppisten operatiivisten riskien varalta, myös kaikkien ylläpitämiensä arvopapereiden selvitysjärjestelmien osalta.


  (*3)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;" |
| --- | --- |

1)

korvataan 1 kohta seuraavasti:

”1.   Arvopaperikeskuksen on tunnistettava operatiivisen riskin lähteet – niin ulkoiset kuin sisäiset – ja minimoitava niiden vaikutus käyttämällä tarkoituksenmukaisia Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*3) mukaisesti luotuja ja hallinnoituja tieto- ja viestintäteknisiä välineitä, prosesseja ja periaatteita sekä muita tarkoituksenmukaisia välineitä, tarkastuksia ja menettelyjä muuntyyppisten operatiivisten riskien varalta, myös kaikkien ylläpitämiensä arvopapereiden selvitysjärjestelmien osalta.

(*3)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;"

*3

| 2) | kumotaan 2 kohta; |
| --- | --- |

2)

kumotaan 2 kohta;

| 3) | korvataan 3 ja 4 kohta seuraavasti:

  ”3.   Arvopaperikeskuksen on tarjoamiensa palvelujen sekä kunkin ylläpitämänsä arvopapereiden selvitysjärjestelmän osalta otettava käyttöön ja pantava täytäntöön asianmukaiset liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja palautumissuunnitelma, mukaan lukien asetuksen (EU) 2022/2554 mukaisesti vahvistetut liiketoiminnan jatkuvuutta koskevat tieto- ja viestintätekniset toimintaperiaatteet sekä tieto- ja viestintätekniset reagointi- ja palautumissuunnitelmat, joiden tavoitteena on varmistaa arvopaperikeskuksen toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen, jos jokin tapahtuma vakavasti vaarantaa toiminnan jatkuvuuden, sekä ylläpidettävä kyseisiä toimintaperiaatteita ja suunnitelmia.


  4.   Edellä 3 kohdassa tarkoitetun suunnitelman on mahdollistettava kaikkien tapahtumien ja osallistujien positioiden palauttaminen häiriön tapahtuessa muun muassa takaamalla olennaisten tietotekniikkajärjestelmien toiminnan jatkuminen häiriön alettua, kuten asetuksen (EU) 2022/2554 12 artiklan 5 ja 7 kohdassa säädetään, jotta arvopaperikeskuksen osallistujat voivat turvallisesti jatkaa toimintaansa ja saattaa toteutuksen loppuun määräpäivänä.”; |
| --- | --- |

3)

korvataan 3 ja 4 kohta seuraavasti:

”3.   Arvopaperikeskuksen on tarjoamiensa palvelujen sekä kunkin ylläpitämänsä arvopapereiden selvitysjärjestelmän osalta otettava käyttöön ja pantava täytäntöön asianmukaiset liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja palautumissuunnitelma, mukaan lukien asetuksen (EU) 2022/2554 mukaisesti vahvistetut liiketoiminnan jatkuvuutta koskevat tieto- ja viestintätekniset toimintaperiaatteet sekä tieto- ja viestintätekniset reagointi- ja palautumissuunnitelmat, joiden tavoitteena on varmistaa arvopaperikeskuksen toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen, jos jokin tapahtuma vakavasti vaarantaa toiminnan jatkuvuuden, sekä ylläpidettävä kyseisiä toimintaperiaatteita ja suunnitelmia.

4.   Edellä 3 kohdassa tarkoitetun suunnitelman on mahdollistettava kaikkien tapahtumien ja osallistujien positioiden palauttaminen häiriön tapahtuessa muun muassa takaamalla olennaisten tietotekniikkajärjestelmien toiminnan jatkuminen häiriön alettua, kuten asetuksen (EU) 2022/2554 12 artiklan 5 ja 7 kohdassa säädetään, jotta arvopaperikeskuksen osallistujat voivat turvallisesti jatkaa toimintaansa ja saattaa toteutuksen loppuun määräpäivänä.”;

| 4) | korvataan 6 kohta seuraavasti:

  ”6.   Arvopaperikeskuksen on tunnistettava riskit, joita sen ylläpitämän arvopapereiden selvitysjärjestelmän keskeisistä osallistujista, palveluntarjoajista, toisista arvopaperikeskuksista ja muista markkinainfrastruktuureista saattaa aiheutua sen toiminnoille, sekä seurattava ja hallittava niitä. Sen on pyynnöstä toimitettava toimivaltaisille viranomaisille ja muille asiaan liittyville viranomaisille tiedot kaikista tällaisista tunnistetuista riskeistä. Sen on myös ilmoitettava toimivaltaiselle viranomaiselle ja muille asiaan liittyville viranomaisille viipymättä toiminnan harjoittamiseen vaikuttavista tapahtumista, jotka johtuvat kyseisistä riskeistä, lukuun ottamatta tieto- ja viestintäteknisiä riskejä.”; |
| --- | --- |

4)

korvataan 6 kohta seuraavasti:

”6.   Arvopaperikeskuksen on tunnistettava riskit, joita sen ylläpitämän arvopapereiden selvitysjärjestelmän keskeisistä osallistujista, palveluntarjoajista, toisista arvopaperikeskuksista ja muista markkinainfrastruktuureista saattaa aiheutua sen toiminnoille, sekä seurattava ja hallittava niitä. Sen on pyynnöstä toimitettava toimivaltaisille viranomaisille ja muille asiaan liittyville viranomaisille tiedot kaikista tällaisista tunnistetuista riskeistä. Sen on myös ilmoitettava toimivaltaiselle viranomaiselle ja muille asiaan liittyville viranomaisille viipymättä toiminnan harjoittamiseen vaikuttavista tapahtumista, jotka johtuvat kyseisistä riskeistä, lukuun ottamatta tieto- ja viestintäteknisiä riskejä.”;

| 5) | korvataan 7 kohdan ensimmäinen alakohta seuraavasti:

  ”7.   EAMV laatii tiiviissä yhteistyössä EKPJ:n jäsenten kanssa teknisten sääntelystandardien luonnoksia tarkentaakseen 1 ja 6 kohdassa tarkoitetut operatiiviset riskit, tieto- ja viestintäteknisiä riskejä lukuun ottamatta, sekä menetelmät, joilla kyseisiä riskejä testataan ja käsitellään tai ne minimoidaan, mukaan lukien 3 ja 4 kohdassa tarkoitetut liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja palautumissuunnitelmat, sekä käytettävät arviointimenetelmät.” |
| --- | --- |

5)

korvataan 7 kohdan ensimmäinen alakohta seuraavasti:

”7.   EAMV laatii tiiviissä yhteistyössä EKPJ:n jäsenten kanssa teknisten sääntelystandardien luonnoksia tarkentaakseen 1 ja 6 kohdassa tarkoitetut operatiiviset riskit, tieto- ja viestintäteknisiä riskejä lukuun ottamatta, sekä menetelmät, joilla kyseisiä riskejä testataan ja käsitellään tai ne minimoidaan, mukaan lukien 3 ja 4 kohdassa tarkoitetut liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja palautumissuunnitelmat, sekä käytettävät arviointimenetelmät.”

62 artikla

Asetuksen (EU) N:o 600/2014 muuttaminen

Muutetaan asetus (EU) N:o 600/2014 seuraavasti:

| 1) | muutetaan 27 g artikla seuraavasti:






  a) | korvataan 4 kohta seuraavasti:






  ”4. | Hyväksytyn julkistamisjärjestelyn on noudatettava Euroopan parlamentin ja neuvoston asetuksessa (EU) 2022/2554 (*4) asetettuja vaatimuksia verkko- ja tietojärjestelmien turvallisuudesta. |
| --- | --- | --- | --- |

1)

muutetaan 27 g artikla seuraavasti:

a)

korvataan 4 kohta seuraavasti:

”4.

Hyväksytyn julkistamisjärjestelyn on noudatettava Euroopan parlamentin ja neuvoston asetuksessa (EU) 2022/2554 (*4) asetettuja vaatimuksia verkko- ja tietojärjestelmien turvallisuudesta.

*4

(*4)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;"

*4

| b) | korvataan 8 kohdan c alakohta seuraavasti:






  ”c) | edellä 3 ja 5 kohdassa asetetut toiminnan järjestämistä koskevat käytännön vaatimukset.”; |
| --- | --- | --- |

b)

korvataan 8 kohdan c alakohta seuraavasti:

”c)

edellä 3 ja 5 kohdassa asetetut toiminnan järjestämistä koskevat käytännön vaatimukset.”;

| 2) | muutetaan 27 h artikla seuraavasti:






  a) | korvataan 5 kohta seuraavasti:

  ”5.   Konsolidoitujen kauppatietojen tarjoajan on noudatettava asetuksessa (EU) 2022/2554 asetettuja vaatimuksia verkko- ja tietojärjestelmien turvallisuudesta.”; |
| --- | --- | --- |

2)

muutetaan 27 h artikla seuraavasti:

a)

korvataan 5 kohta seuraavasti:

”5.   Konsolidoitujen kauppatietojen tarjoajan on noudatettava asetuksessa (EU) 2022/2554 asetettuja vaatimuksia verkko- ja tietojärjestelmien turvallisuudesta.”;

| b) | korvataan 8 kohdan e alakohta seuraavasti:






  ”e) | edellä 4 kohdassa asetetut toiminnan järjestämistä koskevat käytännön vaatimukset.”; |
| --- | --- | --- |

b)

korvataan 8 kohdan e alakohta seuraavasti:

”e)

edellä 4 kohdassa asetetut toiminnan järjestämistä koskevat käytännön vaatimukset.”;

| 3) | muutetaan 27 i artikla seuraavasti:






  a) | korvataan 3 kohta seuraavasti:

  ”3.   Hyväksytyn ilmoitusjärjestelmän on noudatettava asetuksessa (EU) 2022/2554 asetettuja vaatimuksia verkko- ja tietojärjestelmien turvallisuudesta.”; |
| --- | --- | --- |

3)

muutetaan 27 i artikla seuraavasti:

a)

korvataan 3 kohta seuraavasti:

”3.   Hyväksytyn ilmoitusjärjestelmän on noudatettava asetuksessa (EU) 2022/2554 asetettuja vaatimuksia verkko- ja tietojärjestelmien turvallisuudesta.”;

| b) | korvataan 5 kohdan b alakohta seuraavasti:






  ”b) | edellä 2 ja 4 kohdassa asetetut toiminnan järjestämistä koskevat käytännön vaatimukset.” |
| --- | --- | --- |

b)

korvataan 5 kohdan b alakohta seuraavasti:

”b)

edellä 2 ja 4 kohdassa asetetut toiminnan järjestämistä koskevat käytännön vaatimukset.”

63 artikla

Asetuksen (EU) 2016/1011 muuttaminen

Lisätään asetuksen (EU) 2016/1011 6 artiklaan kohta seuraavasti:

| ”6. | Kriittisten vertailuarvojen osalta hallinnoijalla on oltava moitteettomat hallinto- ja kirjanpitomenettelyt, omat sisäiset valvontamekanismit, tehokkaat riskinarviointimenettelyt sekä tehokkaat valvonta- ja turvajärjestelyt, jotta se voi hallinnoida tieto- ja viestintäteknisiä järjestelmiä Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*5) mukaisesti. |
| --- | --- |

”6.

Kriittisten vertailuarvojen osalta hallinnoijalla on oltava moitteettomat hallinto- ja kirjanpitomenettelyt, omat sisäiset valvontamekanismit, tehokkaat riskinarviointimenettelyt sekä tehokkaat valvonta- ja turvajärjestelyt, jotta se voi hallinnoida tieto- ja viestintäteknisiä järjestelmiä Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*5) mukaisesti.

*5

64 artikla

Voimaantulo ja soveltaminen

Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Euroopan unionin virallisessa lehdessä

Sitä sovelletaan 17 päivästä tammikuuta 2025.

Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa.

Tehty Strasbourgissa 14 päivänä joulukuuta 2022.

Euroopan parlamentin puolesta

Puhemies

R. METSOLA

Neuvoston puolesta

Puheenjohtaja

M. BEK

---

(1)  
  EUVL C 343, 26.8.2021, s. 1.

1

(2)  
  EUVL C 155, 30.4.2021, s. 38.

2

(3)  Euroopan parlamentin kanta, vahvistettu 10. marraskuuta 2022 (ei vielä julkaistu virallisessa lehdessä), ja neuvoston päätös, tehty 28. marraskuuta 2022.

3

(4)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 1093/2010, annettu 24 päivänä marraskuuta 2010, Euroopan valvontaviranomaisen (Euroopan pankkiviranomainen) perustamisesta sekä päätöksen N:o 716/2009/EY muuttamisesta ja komission päätöksen 2009/78/EY kumoamisesta (EUVL L 331, 15.12.2010, s. 12).

4

(5)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 1094/2010, annettu 24 päivänä marraskuuta 2010, Euroopan valvontaviranomaisen (Euroopan vakuutus- ja lisäeläkeviranomainen) perustamisesta sekä päätöksen N:o 716/2009/EY muuttamisesta ja komission päätöksen 2009/79/EY kumoamisesta (EUVL L 331, 15.12.2010, s. 48).

5

(6)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 1095/2010, annettu 24 päivänä marraskuuta 2010, Euroopan valvontaviranomaisen (Euroopan arvopaperimarkkinaviranomainen) perustamisesta sekä päätöksen N:o 716/2009/EY muuttamisesta ja komission päätöksen 2009/77/EY kumoamisesta (EUVL L 331, 15.12.2010, s. 84).

6

(7)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148, annettu 6 päivänä heinäkuuta 2016, toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa (EUVL L 194, 19.7.2016, s. 1).

7

(8)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555, annettu 14 päivänä joulukuuta 2022, toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi koko unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 (toinen verkko- ja tietoturvadirektiivi) kumoamisesta (ks. tämän virallisen lehden s. 80)

8

(9)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2557, annettu 14 päivänä joulukuuta 2022, kriittisten toimijoiden häiriönsietokyvystä ja direktiivin 2008/114/EY kumoamisesta (ks. tämän virallisen lehden s. 164).

9

(10)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/2341, annettu 14 päivänä joulukuuta 2016, ammatillisia lisäeläkkeitä tarjoavien laitosten toiminnasta ja valvonnasta (EUVL L 354, 23.12.2016, s. 37).

10

(11)  Euroopan parlamentin ja neuvoston asetus (EU) 2019/881, annettu 17 päivänä huhtikuuta 2019, Euroopan unionin kyberturvallisuusvirasto ENISAsta ja tieto- ja viestintätekniikan kyberturvallisuussertifioinnista sekä asetuksen (EU) N:o 526/2013 kumoamisesta (kyberturvallisuusasetus) (EUVL L 151, 7.6.2019, s. 15).

11

(12)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2015/2366, annettu 25 päivänä marraskuuta 2015, maksupalveluista sisämarkkinoilla, direktiivien 2002/65/EY, 2009/110/EY ja 2013/36/EU ja asetuksen (EU) N:o 1093/2010 muuttamisesta sekä direktiivin 2007/64/EY kumoamisesta (EUVL L 337, 23.12.2015, s. 35).

12

(13)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

13

(14)  Euroopan parlamentin ja neuvoston direktiivi 2009/110/EY, annettu 16 päivänä syyskuuta 2009, sähköisen rahan liikkeeseenlaskijalaitosten liiketoiminnan aloittamisesta, harjoittamisesta ja toiminnan vakauden valvonnasta, direktiivien 2005/60/EY ja 2006/48/EY muuttamisesta sekä direktiivin 2000/46/EY kumoamisesta (EUVL L 267, 10.10.2009, s. 7).

14

(15)  Euroopan parlamentin ja neuvoston direktiivi 2013/36/EU, annettu 26 päivänä kesäkuuta 2013, oikeudesta harjoittaa luottolaitostoimintaa ja luottolaitosten vakavaraisuusvalvonnasta, direktiivin 2002/87/EY muuttamisesta sekä direktiivien 2006/48/EY ja 2006/49/EY kumoamisesta (EUVL L 176, 27.6.2013, s. 338).

15

(16)  Euroopan parlamentin ja neuvoston direktiivi 2011/61/EU, annettu 8 päivänä kesäkuuta 2011, vaihtoehtoisten sijoitusrahastojen hoitajista ja direktiivin 2003/41/EY ja 2009/65/EY sekä asetuksen (EY) N:o 1060/2009 ja (EU) N:o 1095/2010 muuttamisesta (EUVL L 174, 1.7.2011, s. 1).

16

(17)  Euroopan parlamentin ja neuvoston direktiivi 2009/138/EY, annettu 25 päivänä marraskuuta 2009, vakuutus- ja jälleenvakuutustoiminnan aloittamisesta ja harjoittamisesta (Solvenssi II) (EUVL L 335, 17.12.2009, s. 1).

17

(18)  Euroopan parlamentin ja neuvoston direktiivi 2014/65/EU, annettu 15 päivänä toukokuuta 2014, rahoitusvälineiden markkinoista sekä direktiivin 2002/92/EY ja direktiivin 2011/61/EU muuttamisesta (EUVL L 173, 12.6.2014, s. 349).

18

(19)  Neuvoston asetus (EU) N:o 1024/2013, annettu 15 päivänä lokakuuta 2013, luottolaitosten vakavaraisuusvalvontaan liittyvää politiikkaa koskevien erityistehtävien antamisesta Euroopan keskuspankille (EUVL L 287, 29.10.2013, s. 63).

19

(20)  Euroopan parlamentin ja neuvoston direktiivi 2014/59/EU, annettu 15 päivänä toukokuuta 2014, luottolaitosten ja sijoituspalveluyritysten elvytys- ja kriisinratkaisukehyksestä sekä neuvoston direktiivin 82/891/ETY, Euroopan parlamentin ja neuvoston direktiivien 2001/24/EY, 2002/47/EY, 2004/25/EY, 2005/56/EY, 2007/36/EY, 2011/35/EU, 2012/30/EU ja 2013/36/EU ja asetusten (EU) N:o 1093/2010 ja (EU) N:o 648/2012 muuttamisesta (EUVL L 173, 12.6.2014, s. 190).

20

(21)  Euroopan parlamentin ja neuvoston direktiivi 2013/34/EU, annettu 26 päivänä kesäkuuta 2013, tietyntyyppisten yritysten vuositilinpäätöksistä, konsernitilinpäätöksistä ja niihin liittyvistä kertomuksista, Euroopan parlamentin ja neuvoston direktiivin 2006/43/EY muuttamisesta ja neuvoston direktiivien 78/660/ETY ja 83/349/ETY kumoamisesta (EUVL L 182, 29.6.2013, s. 19).

21

(22)  
  EUVL L 123, 12.5.2016, s. 1.

22

(23)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 1060/2009, annettu 16 päivänä syyskuuta 2009, luottoluokituslaitoksista (EUVL L 302, 17.11.2009, s. 1).

23

(24)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 648/2012, annettu 4 päivänä heinäkuuta 2012, OTC-johdannaisista, keskusvastapuolista ja kauppatietorekistereistä (EUVL L 201, 27.7.2012, s. 1).

24

(25)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 600/2014, annettu 15 päivänä toukokuuta 2014, rahoitusvälineiden markkinoista sekä asetuksen (EU) N:o 648/2012 muuttamisesta (EUVL L 173, 12.6.2014, s. 84).

25

(26)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 909/2014, annettu 23 päivänä heinäkuuta 2014, arvopaperitoimituksen parantamisesta Euroopan unionissa sekä arvopaperikeskuksista ja direktiivien 98/26/EY ja 2014/65/EU sekä asetuksen (EU) N:o 236/2012 muuttamisesta (EUVL L 257, 28.8.2014, s. 1).

26

(27)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2556, annettu 14 päivänä joulukuuta 2022, direktiivien 2009/65/EY, 2009/138/EY, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 ja (EU) 2016/2341 muuttamisesta finanssialan digitaalisen häiriönsietokyvyn osalta (ks. tämän virallisen lehden s. 153).

27

(28)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/1011, annettu 8 päivänä kesäkuuta 2016, rahoitusvälineissä ja rahoitussopimuksissa vertailuarvoina tai sijoitusrahastojen arvonkehityksen mittaamisessa käytettävistä indekseistä ja direktiivien 2008/48/EY ja 2014/17/EU sekä asetuksen (EU) N:o 596/2014 muuttamisesta (EUVL L 171, 29.6.2016, s. 1).

28

(29)  Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EYVL L 295, 21.11.2018, s. 39).

29

(30)  
  EUVL C 229, 15.6.2021, s. 16.

30

(31)  Euroopan parlamentin ja neuvoston direktiivi 2009/65/EY, annettu 13 päivänä heinäkuuta 2009, siirtokelpoisiin arvopapereihin kohdistuvaa yhteistä sijoitustoimintaa harjoittavia yrityksiä (yhteissijoitusyritykset) koskevien lakien, asetusten ja hallinnollisten määräysten yhteensovittamisesta (EUVL L 302, 17.11.2009, s. 32).

31

(32)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 575/2013, annettu 26 päivänä kesäkuuta 2013, luottolaitosten vakavaraisuusvaatimuksista ja asetuksen (EU) N:o 648/2012 muuttamisesta (EUVL L 176, 27.6.2013, s. 1).

32

(33)  Euroopan parlamentin ja neuvoston asetus (EU) 2019/2033, annettu 27 päivänä marraskuuta 2019, sijoituspalveluyritysten vakavaraisuusvaatimuksista sekä asetusten (EU) N:o 1093/2010, (EU) N:o 575/2013, (EU) N:o 600/2014 ja (EU) N:o 806/2014 muuttamisesta (EUVL L 314, 5.12.2019, s. 1).

33

(34)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/97, annettu 20 päivänä tammikuuta 2016, vakuutusten tarjoamisesta (EUVL L 26, 2.2.2016, s. 19).

34

(35)  Euroopan parlamentin ja neuvoston asetus (EU) 2020/1503, annettu 7 päivänä lokakuuta 2020, yrityksille suunnatun joukkorahoituspalvelun eurooppalaisista tarjoajista sekä asetuksen (EU) 2017/1129 ja direktiivin (EU) 2019/1937 muuttamisesta (EUVL L 347, 20.10.2020, s. 1).

35

(36)  Euroopan parlamentin ja neuvoston asetus (EU) 2017/2402, annettu 12 päivänä joulukuuta 2017, yleisestä arvopaperistamista koskevasta kehyksestä ja erityisestä kehyksestä yksinkertaiselle, läpinäkyvälle ja standardoidulle arvopaperistamiselle sekä direktiivien 2009/65/EY, 2009/138/EY ja 2011/61/EU ja asetusten (EY) N:o 1060/2009 ja (EU) N:o 648/2012 muuttamisesta (EUVL L 347, 28.12.2017, s. 35).

36

(37)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 806/2014, annettu 15 päivänä heinäkuuta 2014, yhdenmukaisten sääntöjen ja yhdenmukaisen menettelyn vahvistamisesta luottolaitosten ja tiettyjen sijoituspalveluyritysten kriisinratkaisua varten yhteisen kriisinratkaisumekanismin ja yhteisen kriisinratkaisurahaston puitteissa sekä asetuksen (EU) N:o 1093/2010 muuttamisesta (EUVL L 225, 30.7.2014, s. 1).

37

(38)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2019/2034, annettu 27 päivänä marraskuuta 2019, sijoituspalveluyritysten vakavaraisuusvalvonnasta ja direktiivien 2002/87/EY, 2009/65/EY, 2011/61/EU, 2013/36/EU, 2014/59/EU ja 2014/65/EU muuttamisesta (EUVL L 314, 5.12.2019, s. 64).

38

(39)  Euroopan parlamentin ja neuvoston direktiivi 2006/43/EY, annettu 17 päivänä toukokuuta 2006, tilinpäätösten ja konsolidoitujen tilinpäätösten lakisääteisestä tilintarkastuksesta, direktiivien 78/660/ETY ja 83/349/ETY muuttamisesta sekä neuvoston direktiivin 84/253/ETY kumoamisesta (EUVL L 157, 9.6.2006, s. 87).

39

---

DIREKTIIVIT

| 27.12.2022 | FI | Euroopan unionin virallinen lehti | L 333/80 |
| --- | --- | --- | --- |

27.12.2022

FI

Euroopan unionin virallinen lehti

L 333/80

---

EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVI (EU) 2022/2555,

annettu 14 päivänä joulukuuta 2022,

toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 -direktiivi)

(ETA:n kannalta merkityksellinen teksti)

EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka

ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 114 artiklan,

ottavat huomioon Euroopan komission ehdotuksen,

sen jälkeen kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille,

ottavat huomioon Euroopan keskuspankin lausunnon (1),

ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon (2),

ovat kuulleet alueiden komiteaa,

noudattavat tavallista lainsäätämisjärjestystä (3),

sekä katsovat seuraavaa:

| (1) | Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/1148 (4) tavoitteena oli kehittää kyberturvallisuusvalmiuksia kaikkialla unionissa, lieventää keskeisten palvelujen tarjoamiseen keskeisillä aloilla käytettäviin verkko- ja tietojärjestelmiin kohdistuvia uhkia ja varmistaa tällaisten palvelujen jatkuvuus poikkeamatilanteissa sekä tukea näin unionin turvallisuutta ja sen talouden ja yhteiskunnan tehokasta toimintaa. |
| --- | --- |

(1)

Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/1148 (4) tavoitteena oli kehittää kyberturvallisuusvalmiuksia kaikkialla unionissa, lieventää keskeisten palvelujen tarjoamiseen keskeisillä aloilla käytettäviin verkko- ja tietojärjestelmiin kohdistuvia uhkia ja varmistaa tällaisten palvelujen jatkuvuus poikkeamatilanteissa sekä tukea näin unionin turvallisuutta ja sen talouden ja yhteiskunnan tehokasta toimintaa.

| (2) | Direktiivin (EU) 2016/1148 voimaantulon jälkeen unionin kyberresilienssin parantamisessa on edistytty merkittävästi. Mainitun direktiivin uudelleentarkastelu on osoittanut, että se on vauhdittanut institutionaalista ja sääntelyyn perustuvaa lähestymistapaa kyberturvallisuuteen unionissa ja tasoittanut tietä merkittävälle ajattelutavan muutokselle. Direktiivillä on varmistettu verkko- ja tietojärjestelmien turvallisuutta koskevien kansallisten kehysten täydentäminen määrittämällä kansalliset verkko- ja tietojärjestelmien turvallisuutta koskevat strategiat, luomalla kansallisia valmiuksia ja toteuttamalla sääntelytoimenpiteitä, jotka kattavat kunkin jäsenvaltion määrittämät keskeiset infrastruktuurit ja toimijat. Direktiivillä (EU) 2016/1148 on myös edistetty yhteistyötä unionin tasolla perustamalla erityinen yhteistyöryhmä ja tietoturvaloukkauksiin reagoivien ja niitä tutkivien kansallisten yksiköiden verkosto. Näistä saavutuksista huolimatta direktiivin (EU) 2016/1148 uudelleentarkastelussa on tullut esiin sisälähtöisiä puutteita, joiden vuoksi sillä ei kyetä tuloksekkaasti puuttumaan nykyisiin ja esiin nouseviin kyberturvallisuushaasteisiin. |
| --- | --- |

(2)

Direktiivin (EU) 2016/1148 voimaantulon jälkeen unionin kyberresilienssin parantamisessa on edistytty merkittävästi. Mainitun direktiivin uudelleentarkastelu on osoittanut, että se on vauhdittanut institutionaalista ja sääntelyyn perustuvaa lähestymistapaa kyberturvallisuuteen unionissa ja tasoittanut tietä merkittävälle ajattelutavan muutokselle. Direktiivillä on varmistettu verkko- ja tietojärjestelmien turvallisuutta koskevien kansallisten kehysten täydentäminen määrittämällä kansalliset verkko- ja tietojärjestelmien turvallisuutta koskevat strategiat, luomalla kansallisia valmiuksia ja toteuttamalla sääntelytoimenpiteitä, jotka kattavat kunkin jäsenvaltion määrittämät keskeiset infrastruktuurit ja toimijat. Direktiivillä (EU) 2016/1148 on myös edistetty yhteistyötä unionin tasolla perustamalla erityinen yhteistyöryhmä ja tietoturvaloukkauksiin reagoivien ja niitä tutkivien kansallisten yksiköiden verkosto. Näistä saavutuksista huolimatta direktiivin (EU) 2016/1148 uudelleentarkastelussa on tullut esiin sisälähtöisiä puutteita, joiden vuoksi sillä ei kyetä tuloksekkaasti puuttumaan nykyisiin ja esiin nouseviin kyberturvallisuushaasteisiin.

| (3) | Verkko- ja tietojärjestelmät ovat kehittyneet arjen keskeiseksi osaksi yhteiskuntien digitalisaation ja verkottumisen edetessä nopeasti, myös rajatylittävässä yhteydenpidossa. Tämä kehitys on laajentanut kyberuhkaympäristöä ja tuonut mukanaan uusia haasteita, jotka edellyttävät mukautettuja, koordinoituja ja innovatiivisia hallintatoimia kaikissa jäsenvaltioissa. Poikkeamien määrä, laajuus, kehittyneisyys, esiintymistiheys ja vaikutukset lisääntyvät, ja ne muodostavat merkittävän uhkan verkko- ja tietojärjestelmien toiminnalle. Tämän seurauksena poikkeamat voivat haitata taloudellisen toiminnan harjoittamista sisämarkkinoilla, aiheuttaa taloudellisia tappioita, heikentää käyttäjien luottamusta ja aiheuttaa huomattavaa vahinkoa unionin taloudelle ja yhteiskunnalle. Kyberturvallisuusvalmius ja tehokas kyberturvallisuus ovat siksi nyt tärkeämpiä kuin koskaan sisämarkkinoiden moitteettoman toiminnan kannalta. Lisäksi kyberturvallisuus on monilla kriittisillä toimialoilla keskeinen tekijä, jotta digitaalinen siirtymä voidaan toteuttaa onnistuneesti ja digitalisaation taloudelliset, sosiaaliset ja kestävyysedut voidaan hyödyntää täysimääräisesti. |
| --- | --- |

(3)

Verkko- ja tietojärjestelmät ovat kehittyneet arjen keskeiseksi osaksi yhteiskuntien digitalisaation ja verkottumisen edetessä nopeasti, myös rajatylittävässä yhteydenpidossa. Tämä kehitys on laajentanut kyberuhkaympäristöä ja tuonut mukanaan uusia haasteita, jotka edellyttävät mukautettuja, koordinoituja ja innovatiivisia hallintatoimia kaikissa jäsenvaltioissa. Poikkeamien määrä, laajuus, kehittyneisyys, esiintymistiheys ja vaikutukset lisääntyvät, ja ne muodostavat merkittävän uhkan verkko- ja tietojärjestelmien toiminnalle. Tämän seurauksena poikkeamat voivat haitata taloudellisen toiminnan harjoittamista sisämarkkinoilla, aiheuttaa taloudellisia tappioita, heikentää käyttäjien luottamusta ja aiheuttaa huomattavaa vahinkoa unionin taloudelle ja yhteiskunnalle. Kyberturvallisuusvalmius ja tehokas kyberturvallisuus ovat siksi nyt tärkeämpiä kuin koskaan sisämarkkinoiden moitteettoman toiminnan kannalta. Lisäksi kyberturvallisuus on monilla kriittisillä toimialoilla keskeinen tekijä, jotta digitaalinen siirtymä voidaan toteuttaa onnistuneesti ja digitalisaation taloudelliset, sosiaaliset ja kestävyysedut voidaan hyödyntää täysimääräisesti.

| (4) | Direktiivin (EU) 2016/1148 oikeusperustana oli Euroopan unionin toiminnasta tehdyn sopimuksen 114 artikla, jonka tavoitteena on sisämarkkinoiden toteuttaminen ja toiminta tehostamalla toimenpiteitä kansallisten sääntöjen lähentämiseksi. Taloudellisesti merkittäviä palveluja tarjoaville tai taloudellisesti merkittävää toimintaa harjoittaville toimijoille asetetut kyberturvallisuusvaatimukset vaihtelevat huomattavasti jäsenvaltiosta toiseen vaatimusten tyypin, yksityiskohtaisuuden ja valvontamenetelmän osalta. Nämä erot aiheuttavat lisäkustannuksia ja vaikeuksia toimijoille, jotka tarjoavat tavaroita tai palveluja yli valtioiden rajojen. Tällaiseen rajatylittävään toimintaan voi merkittävästi vaikuttaa se, jos yhden jäsenvaltion asettamat vaatimukset eroavat toisen jäsenvaltion asettamista vaatimuksista tai ovat jopa ristiriidassa niiden kanssa. Jos kyberturvallisuusvaatimusten suunnittelu tai täytäntöönpano sattuu lisäksi olemaan jossain jäsenvaltiossa puutteellista, tämä todennäköisesti vaikuttaa kyberturvallisuuden tasoon muissa jäsenvaltioissa, erityisesti kun otetaan huomioon rajatylittävien yhteyksien määrä. Direktiivin (EU) 2016/1148 uudelleentarkastelu on osoittanut, että jäsenvaltiot ovat panneet sen täytäntöön hyvin eri tavoin, myös sen soveltamisalan osalta, jonka rajaaminen jätettiin suurelta osin jäsenvaltioiden harkintaan. Direktiivin (EU) 2016/1148 mukaan jäsenvaltioilla oli myös hyvin laaja harkintavalta päättää, miten ne panevat täytäntöön siinä säädetyt turvallisuutta ja poikkeamista raportointia koskevat velvoitteet. Niinpä näiden velvoitteiden täytäntöönpanossa kansallisella tasolla on merkittäviä eroja. Valvontaa ja täytäntöönpanoa koskevien direktiivin (EU) 2016/1148 säännösten täytäntöönpanossa on samankaltaisia eroja. |
| --- | --- |

(4)

Direktiivin (EU) 2016/1148 oikeusperustana oli Euroopan unionin toiminnasta tehdyn sopimuksen 114 artikla, jonka tavoitteena on sisämarkkinoiden toteuttaminen ja toiminta tehostamalla toimenpiteitä kansallisten sääntöjen lähentämiseksi. Taloudellisesti merkittäviä palveluja tarjoaville tai taloudellisesti merkittävää toimintaa harjoittaville toimijoille asetetut kyberturvallisuusvaatimukset vaihtelevat huomattavasti jäsenvaltiosta toiseen vaatimusten tyypin, yksityiskohtaisuuden ja valvontamenetelmän osalta. Nämä erot aiheuttavat lisäkustannuksia ja vaikeuksia toimijoille, jotka tarjoavat tavaroita tai palveluja yli valtioiden rajojen. Tällaiseen rajatylittävään toimintaan voi merkittävästi vaikuttaa se, jos yhden jäsenvaltion asettamat vaatimukset eroavat toisen jäsenvaltion asettamista vaatimuksista tai ovat jopa ristiriidassa niiden kanssa. Jos kyberturvallisuusvaatimusten suunnittelu tai täytäntöönpano sattuu lisäksi olemaan jossain jäsenvaltiossa puutteellista, tämä todennäköisesti vaikuttaa kyberturvallisuuden tasoon muissa jäsenvaltioissa, erityisesti kun otetaan huomioon rajatylittävien yhteyksien määrä. Direktiivin (EU) 2016/1148 uudelleentarkastelu on osoittanut, että jäsenvaltiot ovat panneet sen täytäntöön hyvin eri tavoin, myös sen soveltamisalan osalta, jonka rajaaminen jätettiin suurelta osin jäsenvaltioiden harkintaan. Direktiivin (EU) 2016/1148 mukaan jäsenvaltioilla oli myös hyvin laaja harkintavalta päättää, miten ne panevat täytäntöön siinä säädetyt turvallisuutta ja poikkeamista raportointia koskevat velvoitteet. Niinpä näiden velvoitteiden täytäntöönpanossa kansallisella tasolla on merkittäviä eroja. Valvontaa ja täytäntöönpanoa koskevien direktiivin (EU) 2016/1148 säännösten täytäntöönpanossa on samankaltaisia eroja.

| (5) | Kaikki nämä erot aiheuttavat sisämarkkinoiden pirstoutumista ja voivat haitata niiden toimintaa, mikä vaikuttaa erityisesti rajatylittävään palveluntarjontaan ja kyberresilienssin tasoon, kun käytössä on monenlaisia toimenpiteitä. Nämä erot saattavat viime kädessä lisätä joidenkin jäsenvaltioiden haavoittuvuutta kyberuhkille, millä voi olla heijastusvaikutuksia kaikkialla unionissa. Tällä direktiivillä pyritään poistamaan näitä jäsenvaltioiden välisiä suuria eroja erityisesti vahvistamalla vähimmäissäännöt koordinoidun sääntelykehyksen toiminnalle, vahvistamalla järjestelyt kunkin jäsenvaltion vastuuviranomaisten toimivaa yhteistyötä varten, ajantasaistamalla luettelo aloista ja toiminnoista, joihin sovelletaan kyberturvallisuusvelvoitteita, ja säätämällä tehokkaista oikeussuojakeinoista ja täytäntöönpanotoimenpiteistä, jotka ovat olennaisen tärkeitä velvoitteiden tehokkaan täytäntöönpanon kannalta. Sen vuoksi direktiivi (EU) 2016/1148 olisi kumottava ja korvattava tällä direktiivillä. |
| --- | --- |

(5)

Kaikki nämä erot aiheuttavat sisämarkkinoiden pirstoutumista ja voivat haitata niiden toimintaa, mikä vaikuttaa erityisesti rajatylittävään palveluntarjontaan ja kyberresilienssin tasoon, kun käytössä on monenlaisia toimenpiteitä. Nämä erot saattavat viime kädessä lisätä joidenkin jäsenvaltioiden haavoittuvuutta kyberuhkille, millä voi olla heijastusvaikutuksia kaikkialla unionissa. Tällä direktiivillä pyritään poistamaan näitä jäsenvaltioiden välisiä suuria eroja erityisesti vahvistamalla vähimmäissäännöt koordinoidun sääntelykehyksen toiminnalle, vahvistamalla järjestelyt kunkin jäsenvaltion vastuuviranomaisten toimivaa yhteistyötä varten, ajantasaistamalla luettelo aloista ja toiminnoista, joihin sovelletaan kyberturvallisuusvelvoitteita, ja säätämällä tehokkaista oikeussuojakeinoista ja täytäntöönpanotoimenpiteistä, jotka ovat olennaisen tärkeitä velvoitteiden tehokkaan täytäntöönpanon kannalta. Sen vuoksi direktiivi (EU) 2016/1148 olisi kumottava ja korvattava tällä direktiivillä.

| (6) | Kun direktiivi (EU) 2016/1148 kumotaan, toimialoittainen soveltamisala olisi laajennettava koskemaan suurempaa osaa taloudesta, jotta sen piiriin saadaan kaikki toimialat ja palvelut, jotka ovat elintärkeitä sisämarkkinoiden yhteiskunnallisten ja taloudellisten avaintoimintojen kannalta. Tällä direktiivillä pyritään erityisesti korjaamaan puutteet, jotka liittyvät keskeisten palvelujen tarjoajien ja digitaalisten palvelujen tarjoajien väliseen erotteluun, joka on osoittautunut vanhanaikaiseksi, koska se ei kuvasta toimialojen tai palvelujen merkitystä yhteiskunnalliselle ja taloudelliselle toiminnalle sisämarkkinoilla. |
| --- | --- |

(6)

Kun direktiivi (EU) 2016/1148 kumotaan, toimialoittainen soveltamisala olisi laajennettava koskemaan suurempaa osaa taloudesta, jotta sen piiriin saadaan kaikki toimialat ja palvelut, jotka ovat elintärkeitä sisämarkkinoiden yhteiskunnallisten ja taloudellisten avaintoimintojen kannalta. Tällä direktiivillä pyritään erityisesti korjaamaan puutteet, jotka liittyvät keskeisten palvelujen tarjoajien ja digitaalisten palvelujen tarjoajien väliseen erotteluun, joka on osoittautunut vanhanaikaiseksi, koska se ei kuvasta toimialojen tai palvelujen merkitystä yhteiskunnalliselle ja taloudelliselle toiminnalle sisämarkkinoilla.

| (7) | Direktiivin (EU) 2016/1148 mukaan oli jäsenvaltioiden tehtävä määrittää toimijat, jotka täyttävät kriteerit, joiden perusteella niitä voidaan pitää keskeisten palvelujen tarjoajina. Jotta voidaan poistaa asiaan liittyvät jäsenvaltioiden väliset suuret erot ja varmistaa oikeusvarmuus kaikkien asianomaisten toimijoiden kyberturvallisuusriskien hallintatoimenpiteiden ja raportointivelvoitteiden osalta, olisi vahvistettava yhdenmukainen kriteeri, jolla määritetään tämän direktiivin soveltamisalaan kuuluvat toimijat. Kriteerinä olisi sovellettava enimmäiskokoa koskevaa sääntöä, jonka mukaan direktiivin soveltamisalaan kuuluvat kaikki toimijat, jotka täyttävät komission suosituksen 2003/361/EY (5) liitteessä olevan 2 artiklan mukaiset keskisuuria yrityksiä koskevat edellytykset tai jotka ylittävät kyseisen artiklan 1 kohdassa säädetyt keskisuurten yritysten määrittelyssä käytettävät kynnysarvot ja jotka toimivat sellaisilla toimialoilla ja tarjoavat sellaisia palvelutyyppejä tai harjoittavat sellaista toimintaa, jotka kuuluvat tämän direktiivin soveltamisalaan. Jäsenvaltioiden olisi myös säädettävä, että tämän direktiivin soveltamisalaan kuuluvat sellaiset kyseisessä liitteessä olevan 2 artiklan 2 ja 3 kohdassa määritellyt pienet yritykset ja mikroyritykset, jotka täyttävät erityiset kriteerit, jotka osoittavat niiden olevan avainasemassa yhteiskunnassa, taloudessa tai tietyillä toimialoilla tai tietyissä palvelutyypeissä. |
| --- | --- |

(7)

Direktiivin (EU) 2016/1148 mukaan oli jäsenvaltioiden tehtävä määrittää toimijat, jotka täyttävät kriteerit, joiden perusteella niitä voidaan pitää keskeisten palvelujen tarjoajina. Jotta voidaan poistaa asiaan liittyvät jäsenvaltioiden väliset suuret erot ja varmistaa oikeusvarmuus kaikkien asianomaisten toimijoiden kyberturvallisuusriskien hallintatoimenpiteiden ja raportointivelvoitteiden osalta, olisi vahvistettava yhdenmukainen kriteeri, jolla määritetään tämän direktiivin soveltamisalaan kuuluvat toimijat. Kriteerinä olisi sovellettava enimmäiskokoa koskevaa sääntöä, jonka mukaan direktiivin soveltamisalaan kuuluvat kaikki toimijat, jotka täyttävät komission suosituksen 2003/361/EY (5) liitteessä olevan 2 artiklan mukaiset keskisuuria yrityksiä koskevat edellytykset tai jotka ylittävät kyseisen artiklan 1 kohdassa säädetyt keskisuurten yritysten määrittelyssä käytettävät kynnysarvot ja jotka toimivat sellaisilla toimialoilla ja tarjoavat sellaisia palvelutyyppejä tai harjoittavat sellaista toimintaa, jotka kuuluvat tämän direktiivin soveltamisalaan. Jäsenvaltioiden olisi myös säädettävä, että tämän direktiivin soveltamisalaan kuuluvat sellaiset kyseisessä liitteessä olevan 2 artiklan 2 ja 3 kohdassa määritellyt pienet yritykset ja mikroyritykset, jotka täyttävät erityiset kriteerit, jotka osoittavat niiden olevan avainasemassa yhteiskunnassa, taloudessa tai tietyillä toimialoilla tai tietyissä palvelutyypeissä.

| (8) | Julkishallinnon toimijoista olisi jätettävä tämän direktiivin soveltamisalan ulkopuolelle ne, jotka harjoittavat toimintaa pääasiassa kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan alalla, mukaan lukien rikosten ennalta estäminen, tutkiminen, paljastaminen ja rikoksiin liittyvät syytetoimet. Niitä julkishallinnon toimijoita, joiden toiminta liittyy vain marginaalisesti mainittuihin aloihin, ei kuitenkaan olisi jätettävä tämän direktiivin soveltamisalan ulkopuolelle. Tätä direktiiviä sovellettaessa sääntelyvaltaa käyttävien toimijoiden ei katsota harjoittavan toimintaa lainvalvonnan alalla, joten niitä ei kyseisellä perusteella jätetä tämän direktiivin soveltamisalan ulkopuolelle. Julkishallinnon toimijat, jotka on perustettu yhdessä kolmannen maan kanssa kansainvälisen sopimuksen mukaisesti, eivät kuulu tämän direktiivin soveltamisalaan. Tätä direktiiviä ei sovelleta jäsenvaltioiden kolmansissa maissa sijaitseviin diplomaattisiin edustustoihin ja konsuliedustustoihin tai näiden verkko- ja tietojärjestelmiin, siltä osin kuin tällaiset järjestelmät sijaitsevat edustuston tiloissa tai niitä ylläpidetään kolmannessa maassa olevia käyttäjiä varten. |
| --- | --- |

(8)

Julkishallinnon toimijoista olisi jätettävä tämän direktiivin soveltamisalan ulkopuolelle ne, jotka harjoittavat toimintaa pääasiassa kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan alalla, mukaan lukien rikosten ennalta estäminen, tutkiminen, paljastaminen ja rikoksiin liittyvät syytetoimet. Niitä julkishallinnon toimijoita, joiden toiminta liittyy vain marginaalisesti mainittuihin aloihin, ei kuitenkaan olisi jätettävä tämän direktiivin soveltamisalan ulkopuolelle. Tätä direktiiviä sovellettaessa sääntelyvaltaa käyttävien toimijoiden ei katsota harjoittavan toimintaa lainvalvonnan alalla, joten niitä ei kyseisellä perusteella jätetä tämän direktiivin soveltamisalan ulkopuolelle. Julkishallinnon toimijat, jotka on perustettu yhdessä kolmannen maan kanssa kansainvälisen sopimuksen mukaisesti, eivät kuulu tämän direktiivin soveltamisalaan. Tätä direktiiviä ei sovelleta jäsenvaltioiden kolmansissa maissa sijaitseviin diplomaattisiin edustustoihin ja konsuliedustustoihin tai näiden verkko- ja tietojärjestelmiin, siltä osin kuin tällaiset järjestelmät sijaitsevat edustuston tiloissa tai niitä ylläpidetään kolmannessa maassa olevia käyttäjiä varten.

| (9) | Jäsenvaltioiden olisi voitava toteuttaa tarvittavat toimenpiteet keskeisten kansalliseen turvallisuuteen liittyvien etujen suojaamiseksi, yleisen järjestyksen ja turvallisuuden takaamiseksi sekä rikosten ennalta estämisen, tutkimisen, paljastamisen ja rikoksiin liittyvien syytetoimien mahdollistamiseksi. Tätä varten jäsenvaltioiden olisi voitava vapauttaa erityiset toimijat, jotka harjoittavat toimintaa kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan alalla, mukaan lukien rikosten ennalta estäminen, tutkiminen, paljastaminen ja rikoksiin liittyvät syytetoimet, tietyistä tässä direktiivissä säädetyistä velvoitteista mainituissa toiminnoissa. Jos toimija tarjoaa palveluja yksinomaan tämän direktiivin soveltamisalan kuulumattomalle julkishallinnon toimijalle, jäsenvaltioiden olisi voitava vapauttaa kyseinen toimija tässä direktiivissä säädetyistä velvoitteista mainituissa palveluissa. Mitään jäsenvaltiota ei myöskään pitäisi vaatia antamaan tietoja, joiden luovuttaminen olisi vastoin sen keskeisiä kansalliseen turvallisuuteen, yleiseen turvallisuuteen tai puolustukseen liittyviä etuja. Tässä yhteydessä olisi otettava huomioon turvallisuusluokiteltujen tietojen suojaamista koskevat unionin tai kansalliset säännöt, salassapitosopimukset ja epäviralliset salassapitosopimukset, kuten Traffic Light Protocol -käsittelyluokitus. Traffic Light Protocol -käsittelyluokitus on keino tiedottaa mahdollisista tietojen levittämiseen liittyvistä rajoituksista. Sitä käytetään lähes kaikissa tietoturvaloukkauksiin reagoivissa ja niitä tutkivissa yksiköissä (CSIRT) ja joissakin tietojen jakamisen ja analysoinnin keskuksissa. |
| --- | --- |

(9)

Jäsenvaltioiden olisi voitava toteuttaa tarvittavat toimenpiteet keskeisten kansalliseen turvallisuuteen liittyvien etujen suojaamiseksi, yleisen järjestyksen ja turvallisuuden takaamiseksi sekä rikosten ennalta estämisen, tutkimisen, paljastamisen ja rikoksiin liittyvien syytetoimien mahdollistamiseksi. Tätä varten jäsenvaltioiden olisi voitava vapauttaa erityiset toimijat, jotka harjoittavat toimintaa kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan alalla, mukaan lukien rikosten ennalta estäminen, tutkiminen, paljastaminen ja rikoksiin liittyvät syytetoimet, tietyistä tässä direktiivissä säädetyistä velvoitteista mainituissa toiminnoissa. Jos toimija tarjoaa palveluja yksinomaan tämän direktiivin soveltamisalan kuulumattomalle julkishallinnon toimijalle, jäsenvaltioiden olisi voitava vapauttaa kyseinen toimija tässä direktiivissä säädetyistä velvoitteista mainituissa palveluissa. Mitään jäsenvaltiota ei myöskään pitäisi vaatia antamaan tietoja, joiden luovuttaminen olisi vastoin sen keskeisiä kansalliseen turvallisuuteen, yleiseen turvallisuuteen tai puolustukseen liittyviä etuja. Tässä yhteydessä olisi otettava huomioon turvallisuusluokiteltujen tietojen suojaamista koskevat unionin tai kansalliset säännöt, salassapitosopimukset ja epäviralliset salassapitosopimukset, kuten Traffic Light Protocol -käsittelyluokitus. Traffic Light Protocol -käsittelyluokitus on keino tiedottaa mahdollisista tietojen levittämiseen liittyvistä rajoituksista. Sitä käytetään lähes kaikissa tietoturvaloukkauksiin reagoivissa ja niitä tutkivissa yksiköissä (CSIRT) ja joissakin tietojen jakamisen ja analysoinnin keskuksissa.

| (10) | Vaikka tätä direktiiviä sovelletaan toimijoihin, jotka toteuttavat ydinvoimaloiden sähköntuotantoon liittyviä toimintoja, jotkin kyseisistä toiminnoista voivat liittyä kansalliseen turvallisuuteen. Jos näin on, jäsenvaltion olisi voitava perussopimusten mukaisesti kantaa vastuunsa kansallisen turvallisuuden takaamisesta näiden toimintojen osalta, mukaan lukien ydinenergia-alan arvoketjuun kuuluvat toiminnot. |
| --- | --- |

(10)

Vaikka tätä direktiiviä sovelletaan toimijoihin, jotka toteuttavat ydinvoimaloiden sähköntuotantoon liittyviä toimintoja, jotkin kyseisistä toiminnoista voivat liittyä kansalliseen turvallisuuteen. Jos näin on, jäsenvaltion olisi voitava perussopimusten mukaisesti kantaa vastuunsa kansallisen turvallisuuden takaamisesta näiden toimintojen osalta, mukaan lukien ydinenergia-alan arvoketjuun kuuluvat toiminnot.

| (11) | Jotkut toimijat toimivat kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan alalla, mukaan lukien rikosten ennalta estäminen, tutkiminen, paljastaminen ja rikoksiin liittyvät syytetoimet, ja tarjoavat lisäksi luottamuspalveluja. Luottamuspalvelun tarjoajien, jotka kuuluvat Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 910/2014 (6) soveltamisalaan, olisi kuuluttava tämän direktiivin soveltamisalaan, jotta voidaan varmistaa sama tietoturvavaatimusten ja valvonnan taso, josta on säädetty aiemmin kyseisessä asetuksessa luottamuspalvelun tarjoajien osalta. Samoin kuin tietyt erityispalvelut eivät kuulu asetuksen (EU) N:o 910/2014 soveltamisalaan, tätä direktiiviä ei pitäisi soveltaa sellaisten luottamuspalvelujen tarjoamiseen, joita käytetään yksinomaan kansallisesta oikeudesta tai määrätyn osallistujajoukon välisistä sopimuksista johtuvissa suljetuissa järjestelmissä. |
| --- | --- |

(11)

Jotkut toimijat toimivat kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan alalla, mukaan lukien rikosten ennalta estäminen, tutkiminen, paljastaminen ja rikoksiin liittyvät syytetoimet, ja tarjoavat lisäksi luottamuspalveluja. Luottamuspalvelun tarjoajien, jotka kuuluvat Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 910/2014 (6) soveltamisalaan, olisi kuuluttava tämän direktiivin soveltamisalaan, jotta voidaan varmistaa sama tietoturvavaatimusten ja valvonnan taso, josta on säädetty aiemmin kyseisessä asetuksessa luottamuspalvelun tarjoajien osalta. Samoin kuin tietyt erityispalvelut eivät kuulu asetuksen (EU) N:o 910/2014 soveltamisalaan, tätä direktiiviä ei pitäisi soveltaa sellaisten luottamuspalvelujen tarjoamiseen, joita käytetään yksinomaan kansallisesta oikeudesta tai määrätyn osallistujajoukon välisistä sopimuksista johtuvissa suljetuissa järjestelmissä.

| (12) | Euroopan parlamentin ja neuvoston direktiivissä 97/67/EY (7) määriteltyjen postipalvelujen tarjoajien, myös kuriiripalvelujen tarjoajien, olisi kuuluttava tämän direktiivin soveltamisalaan, jos ne tarjoavat vähintään yhden postiketjun vaiheista, erityisesti postilähetysten keräilyn, lajittelun, kuljetuksen tai jakelun, mukaan lukien noutopalvelut, ja ottaen huomioon, missä määrin ne ovat riippuvaisia verkko- ja tietojärjestelmistä. Kuljetuspalvelut, jotka eivät koske jotain mainituista vaiheista, olisi jätettävä postipalvelujen määritelmän ulkopuolelle. |
| --- | --- |

(12)

Euroopan parlamentin ja neuvoston direktiivissä 97/67/EY (7) määriteltyjen postipalvelujen tarjoajien, myös kuriiripalvelujen tarjoajien, olisi kuuluttava tämän direktiivin soveltamisalaan, jos ne tarjoavat vähintään yhden postiketjun vaiheista, erityisesti postilähetysten keräilyn, lajittelun, kuljetuksen tai jakelun, mukaan lukien noutopalvelut, ja ottaen huomioon, missä määrin ne ovat riippuvaisia verkko- ja tietojärjestelmistä. Kuljetuspalvelut, jotka eivät koske jotain mainituista vaiheista, olisi jätettävä postipalvelujen määritelmän ulkopuolelle.

| (13) | Koska kyberuhkat ovat yhä runsaslukuisempia ja kehittyneempiä, jäsenvaltioiden olisi pyrittävä varmistamaan, että tämän direktiivin soveltamisalaan kuulumattomat toimijat saavuttavat korkean tason kyberturvallisuudessa, ja tukemaan vastaavien kyberturvallisuusriskien hallintatoimenpiteiden täytäntöönpanoa, joissa otetaan huomioon kyseisten toimijoiden toiminnan arkaluonteisuus. |
| --- | --- |

(13)

Koska kyberuhkat ovat yhä runsaslukuisempia ja kehittyneempiä, jäsenvaltioiden olisi pyrittävä varmistamaan, että tämän direktiivin soveltamisalaan kuulumattomat toimijat saavuttavat korkean tason kyberturvallisuudessa, ja tukemaan vastaavien kyberturvallisuusriskien hallintatoimenpiteiden täytäntöönpanoa, joissa otetaan huomioon kyseisten toimijoiden toiminnan arkaluonteisuus.

| (14) | Kaikkeen tämän direktiivin mukaiseen henkilötietojen käsittelyyn sovelletaan unionin tietosuojalainsäädäntöä ja yksityisyyden suojaa koskevaa unionin lainsäädäntöä. Tällä direktiivillä ei etenkään rajoiteta Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (8) ja Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (9) soveltamista. Tämä direktiivi ei sen vuoksi saisi vaikuttaa muun muassa niiden viranomaisten tehtäviin ja valtuuksiin, jotka ovat toimivaltaisia valvomaan sovellettavan unionin tietosuojalainsäädännön ja yksityisyyden suojaa koskevan unionin lainsäädännön noudattamista. |
| --- | --- |

(14)

Kaikkeen tämän direktiivin mukaiseen henkilötietojen käsittelyyn sovelletaan unionin tietosuojalainsäädäntöä ja yksityisyyden suojaa koskevaa unionin lainsäädäntöä. Tällä direktiivillä ei etenkään rajoiteta Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (8) ja Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (9) soveltamista. Tämä direktiivi ei sen vuoksi saisi vaikuttaa muun muassa niiden viranomaisten tehtäviin ja valtuuksiin, jotka ovat toimivaltaisia valvomaan sovellettavan unionin tietosuojalainsäädännön ja yksityisyyden suojaa koskevan unionin lainsäädännön noudattamista.

| (15) | Kyberturvallisuusriskien hallintatoimenpiteiden ja raportointivelvoitteiden noudattamista varten tämän direktiivin soveltamisalaan kuuluvat toimijat olisi luokiteltava kahteen luokkaan, keskeisiin toimijoihin ja tärkeisiin toimijoihin, sen mukaan, kuinka kriittisiä ne ovat alallaan tai tarjoamansa palvelutyypin tarjoajina sekä kokonsa mukaan. Tältä osin olisi tapauksen mukaan otettava asianmukaisesti huomioon mahdolliset merkitykselliset alakohtaiset riskinarvioinnit tai toimivaltaisten viranomaisten antama ohjeistus. Näiden kahden toimijaluokan valvonta- ja täytäntöönpanojärjestelmät olisi eriytettävä, jotta varmistetaan oikeudenmukainen tasapaino yhtäältä riskiperusteisten vaatimusten ja velvoitteiden ja toisaalta sääntöjen noudattamisen valvonnasta aiheutuvan hallinnollisen rasitteen välillä. |
| --- | --- |

(15)

Kyberturvallisuusriskien hallintatoimenpiteiden ja raportointivelvoitteiden noudattamista varten tämän direktiivin soveltamisalaan kuuluvat toimijat olisi luokiteltava kahteen luokkaan, keskeisiin toimijoihin ja tärkeisiin toimijoihin, sen mukaan, kuinka kriittisiä ne ovat alallaan tai tarjoamansa palvelutyypin tarjoajina sekä kokonsa mukaan. Tältä osin olisi tapauksen mukaan otettava asianmukaisesti huomioon mahdolliset merkitykselliset alakohtaiset riskinarvioinnit tai toimivaltaisten viranomaisten antama ohjeistus. Näiden kahden toimijaluokan valvonta- ja täytäntöönpanojärjestelmät olisi eriytettävä, jotta varmistetaan oikeudenmukainen tasapaino yhtäältä riskiperusteisten vaatimusten ja velvoitteiden ja toisaalta sääntöjen noudattamisen valvonnasta aiheutuvan hallinnollisen rasitteen välillä.

| (16) | Jottei toimijoita, joilla on omistusyhteysyrityksiä tai jotka ovat sidosyrityksiä, pidettäisi keskeisinä tai tärkeinä toimijoina tapauksissa, joissa se olisi suhteetonta, jäsenvaltiot voivat ottaa huomioon sen, kuinka riippumaton toimija on omistusyhteysyrityksistään tai sidosyrityksistään, sovellettaessa suosituksen 2003/361/EY liitteessä olevan 6 artiklan 2 kohtaa. Jäsenvaltiot voivat erityisesti ottaa huomioon sen seikan, että toimija ei ole riippuvainen omistusyhteys- tai sidosyrityksistään palvelujensa tarjoamiseen käyttämiensä verkko- ja tietojärjestelmien osalta ja tarjoamiensa palvelujen osalta. Tämän perusteella jäsenvaltiot voivat tarvittaessa katsoa, että tällainen toimija ei täytä suosituksen 2003/361/EY liitteessä olevan 2 artiklan mukaisia keskisuuria yrityksiä koskevia edellytyksiä tai että se ei ylitä kyseisen artiklan 1 kohdassa säädettyjä keskisuurten yritysten määrittelyssä käytettäviä kynnysarvoja, jos kyseisen toimijan ei olisi sen jälkeen, kun on otettu huomioon sen riippumattomuuden aste, katsottu täyttävän keskisuuria yrityksiä koskevia edellytyksiä tai ylittävän näitä kynnysarvoja, jos ainoastaan sen omat tiedot olisi otettu huomioon. Tämä ei vaikuta tämän direktiivin soveltamisalaan kuuluvien omistusyhteys- ja sidosyritysten tässä direktiivissä säädettyihin velvoitteisiin. |
| --- | --- |

(16)

Jottei toimijoita, joilla on omistusyhteysyrityksiä tai jotka ovat sidosyrityksiä, pidettäisi keskeisinä tai tärkeinä toimijoina tapauksissa, joissa se olisi suhteetonta, jäsenvaltiot voivat ottaa huomioon sen, kuinka riippumaton toimija on omistusyhteysyrityksistään tai sidosyrityksistään, sovellettaessa suosituksen 2003/361/EY liitteessä olevan 6 artiklan 2 kohtaa. Jäsenvaltiot voivat erityisesti ottaa huomioon sen seikan, että toimija ei ole riippuvainen omistusyhteys- tai sidosyrityksistään palvelujensa tarjoamiseen käyttämiensä verkko- ja tietojärjestelmien osalta ja tarjoamiensa palvelujen osalta. Tämän perusteella jäsenvaltiot voivat tarvittaessa katsoa, että tällainen toimija ei täytä suosituksen 2003/361/EY liitteessä olevan 2 artiklan mukaisia keskisuuria yrityksiä koskevia edellytyksiä tai että se ei ylitä kyseisen artiklan 1 kohdassa säädettyjä keskisuurten yritysten määrittelyssä käytettäviä kynnysarvoja, jos kyseisen toimijan ei olisi sen jälkeen, kun on otettu huomioon sen riippumattomuuden aste, katsottu täyttävän keskisuuria yrityksiä koskevia edellytyksiä tai ylittävän näitä kynnysarvoja, jos ainoastaan sen omat tiedot olisi otettu huomioon. Tämä ei vaikuta tämän direktiivin soveltamisalaan kuuluvien omistusyhteys- ja sidosyritysten tässä direktiivissä säädettyihin velvoitteisiin.

| (17) | Jäsenvaltioiden olisi voitava päättää, että ne toimijat, jotka on ennen tämän direktiivin voimaantuloa määritetty keskeisten palvelujen tarjoajiksi direktiivin (EU) 2016/1148 mukaisesti, on katsottava keskeisiksi toimijoiksi. |
| --- | --- |

(17)

Jäsenvaltioiden olisi voitava päättää, että ne toimijat, jotka on ennen tämän direktiivin voimaantuloa määritetty keskeisten palvelujen tarjoajiksi direktiivin (EU) 2016/1148 mukaisesti, on katsottava keskeisiksi toimijoiksi.

| (18) | Jotta voidaan saada selkeä yleiskuva tämän direktiivin soveltamisalaan kuuluvista toimijoista, jäsenvaltioiden olisi laadittava luettelo keskeisistä ja tärkeistä toimijoista sekä verkkotunnusten rekisteröintipalveluja tarjoavista toimijoista. Tätä varten jäsenvaltioiden olisi vaadittava toimijoita toimittamaan toimivaltaisille viranomaisille ainakin seuraavat tiedot: toimijan nimi, osoite ja ajantasaiset yhteystiedot, mukaan lukien toimijan sähköpostiosoitteet, IP-osoitealueet ja puhelinnumerot ja tapauksen mukaan asiaankuuluva toimiala ja toimialan osa liitteiden mukaisesti sekä tapauksen mukaan luettelo jäsenvaltioista, joissa ne tarjoavat tämän direktiivin soveltamisalaan kuuluvia palveluja. Tätä varten komission olisi Euroopan unionin kyberturvallisuusviraston (ENISA) avustuksella ilman aiheetonta viivytystä annettava ohjeita ja malleja tietojen toimittamisvelvoitteen täyttämiseksi. Keskeisten ja tärkeiden toimijoiden sekä verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden luettelon laatimisen ja ajantasaistamisen helpottamiseksi jäsenvaltioiden olisi voitava perustaa kansallisia järjestelyjä, joiden ansiosta toimijat voivat itse kirjautua luetteloon. Jos kansallisella tasolla on olemassa rekistereitä, jäsenvaltiot voivat päättää asianmukaisista järjestelyistä, joiden avulla voidaan tunnistaa tämän direktiivin soveltamisalaan kuuluvat toimijat. |
| --- | --- |

(18)

Jotta voidaan saada selkeä yleiskuva tämän direktiivin soveltamisalaan kuuluvista toimijoista, jäsenvaltioiden olisi laadittava luettelo keskeisistä ja tärkeistä toimijoista sekä verkkotunnusten rekisteröintipalveluja tarjoavista toimijoista. Tätä varten jäsenvaltioiden olisi vaadittava toimijoita toimittamaan toimivaltaisille viranomaisille ainakin seuraavat tiedot: toimijan nimi, osoite ja ajantasaiset yhteystiedot, mukaan lukien toimijan sähköpostiosoitteet, IP-osoitealueet ja puhelinnumerot ja tapauksen mukaan asiaankuuluva toimiala ja toimialan osa liitteiden mukaisesti sekä tapauksen mukaan luettelo jäsenvaltioista, joissa ne tarjoavat tämän direktiivin soveltamisalaan kuuluvia palveluja. Tätä varten komission olisi Euroopan unionin kyberturvallisuusviraston (ENISA) avustuksella ilman aiheetonta viivytystä annettava ohjeita ja malleja tietojen toimittamisvelvoitteen täyttämiseksi. Keskeisten ja tärkeiden toimijoiden sekä verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden luettelon laatimisen ja ajantasaistamisen helpottamiseksi jäsenvaltioiden olisi voitava perustaa kansallisia järjestelyjä, joiden ansiosta toimijat voivat itse kirjautua luetteloon. Jos kansallisella tasolla on olemassa rekistereitä, jäsenvaltiot voivat päättää asianmukaisista järjestelyistä, joiden avulla voidaan tunnistaa tämän direktiivin soveltamisalaan kuuluvat toimijat.

| (19) | Jäsenvaltioiden olisi vastattava siitä, että komissiolle toimitetaan vähintään kunkin liitteissä mainitun toimialan ja toimialan osan keskeisten ja tärkeiden toimijoiden lukumäärä sekä asiaankuuluvat tiedot määritettyjen toimijoiden lukumäärästä ja siitä, mihin tämän direktiivin säännökseen kunkin toimijan määrittäminen perustuu, sekä niiden tarjoaman palvelun tyyppi. Jäsenvaltioita kannustetaan vaihtamaan komission kanssa tietoja keskeisistä ja tärkeistä toimijoista sekä laajamittaisen kyberturvallisuuspoikkeaman tapauksessa asiaankuuluvia tietoja, kuten asianomaisen toimijan nimi. |
| --- | --- |

(19)

Jäsenvaltioiden olisi vastattava siitä, että komissiolle toimitetaan vähintään kunkin liitteissä mainitun toimialan ja toimialan osan keskeisten ja tärkeiden toimijoiden lukumäärä sekä asiaankuuluvat tiedot määritettyjen toimijoiden lukumäärästä ja siitä, mihin tämän direktiivin säännökseen kunkin toimijan määrittäminen perustuu, sekä niiden tarjoaman palvelun tyyppi. Jäsenvaltioita kannustetaan vaihtamaan komission kanssa tietoja keskeisistä ja tärkeistä toimijoista sekä laajamittaisen kyberturvallisuuspoikkeaman tapauksessa asiaankuuluvia tietoja, kuten asianomaisen toimijan nimi.

| (20) | Komission olisi yhteistyössä yhteistyöryhmän kanssa ja asianomaisia sidosryhmiä kuultuaan annettava ohjeita mikroyrityksiin ja pieniin yrityksiin sovellettavien kriteerien käytöstä sen arvioimisessa, kuuluvatko ne tämän direktiivin soveltamisalaan. Komission olisi myös varmistettava, että tämän direktiivin soveltamisalaan kuuluville mikroyrityksille ja pienille yrityksille annetaan asianmukaista ohjeistusta. Komission olisi jäsenvaltioiden avustuksella asetettava asiaa koskevia tietoja mikroyritysten ja pienten yritysten saataville. |
| --- | --- |

(20)

Komission olisi yhteistyössä yhteistyöryhmän kanssa ja asianomaisia sidosryhmiä kuultuaan annettava ohjeita mikroyrityksiin ja pieniin yrityksiin sovellettavien kriteerien käytöstä sen arvioimisessa, kuuluvatko ne tämän direktiivin soveltamisalaan. Komission olisi myös varmistettava, että tämän direktiivin soveltamisalaan kuuluville mikroyrityksille ja pienille yrityksille annetaan asianmukaista ohjeistusta. Komission olisi jäsenvaltioiden avustuksella asetettava asiaa koskevia tietoja mikroyritysten ja pienten yritysten saataville.

| (21) | Komissio voisi antaa ohjeistusta avustaakseen jäsenvaltioita soveltamisalaa koskevien tämän direktiivin säännösten täytäntöönpanossa ja tämän direktiivin nojalla toteutettavien toimenpiteiden oikeasuhteisuuden arvioimisessa, erityisesti kun on kyse toimijoista, jotka kompleksisen liiketoimintamallinsa tai toimintaympäristönsä vuoksi voivat samanaikaisesti täyttää sekä keskeisille että tärkeille toimijoille asetetut kriteerit tai voivat samanaikaisesti harjoittaa toimintaa, josta osa kuuluu ja osa ei kuulu tämän direktiivin soveltamisalaan. |
| --- | --- |

(21)

Komissio voisi antaa ohjeistusta avustaakseen jäsenvaltioita soveltamisalaa koskevien tämän direktiivin säännösten täytäntöönpanossa ja tämän direktiivin nojalla toteutettavien toimenpiteiden oikeasuhteisuuden arvioimisessa, erityisesti kun on kyse toimijoista, jotka kompleksisen liiketoimintamallinsa tai toimintaympäristönsä vuoksi voivat samanaikaisesti täyttää sekä keskeisille että tärkeille toimijoille asetetut kriteerit tai voivat samanaikaisesti harjoittaa toimintaa, josta osa kuuluu ja osa ei kuulu tämän direktiivin soveltamisalaan.

| (22) | Tässä direktiivissä vahvistetaan kyberturvallisuusriskien hallintatoimenpiteiden ja raportointivelvoitteiden perustaso kaikilla direktiivin soveltamisalaan kuuluvilla toimialoilla. Jos pidetään tarpeellisena antaa täydentäviä kyberturvallisuusriskien hallintatoimenpiteisiin ja raportointivelvoitteisiin liittyviä alakohtaisia unionin säädöksiä kyberturvallisuuden korkean tason varmistamiseksi kaikkialla unionissa, komission olisi arvioitava, voitaisiinko tällaisia täydentäviä säännöksiä antaa täytäntöönpanosäädöksessä tämän direktiivin nojalla, jotta vältetään unionin säädösten kyberturvallisuussäännösten hajanaisuus. Jos tällainen täytäntöönpanosäädös ei sovi tähän tarkoitukseen, alakohtaisilla unionin säädöksillä voitaisiin edistää kyberturvallisuuden korkean tason varmistamista kaikkialla unionissa, samalla kun otetaan kaikilta osin huomioon asianomaisten toimialojen erityispiirteet ja kompleksisuus. Siksi tämä direktiivi ei estä hyväksymästä täydentäviä alakohtaisia unionin säädöksiä, jotka koskevat kyberturvallisuusriskien hallintatoimenpiteitä ja raportointivelvoitteita ja joissa otetaan asianmukaisesti huomioon kattavan ja johdonmukaisen kyberturvallisuuskehyksen tarve. Tämä direktiivi ei vaikuta nykyiseen täytäntöönpanovaltaan, joka on siirretty komissiolle useilla aloilla, mukaan lukien liikenne ja energia. |
| --- | --- |

(22)

Tässä direktiivissä vahvistetaan kyberturvallisuusriskien hallintatoimenpiteiden ja raportointivelvoitteiden perustaso kaikilla direktiivin soveltamisalaan kuuluvilla toimialoilla. Jos pidetään tarpeellisena antaa täydentäviä kyberturvallisuusriskien hallintatoimenpiteisiin ja raportointivelvoitteisiin liittyviä alakohtaisia unionin säädöksiä kyberturvallisuuden korkean tason varmistamiseksi kaikkialla unionissa, komission olisi arvioitava, voitaisiinko tällaisia täydentäviä säännöksiä antaa täytäntöönpanosäädöksessä tämän direktiivin nojalla, jotta vältetään unionin säädösten kyberturvallisuussäännösten hajanaisuus. Jos tällainen täytäntöönpanosäädös ei sovi tähän tarkoitukseen, alakohtaisilla unionin säädöksillä voitaisiin edistää kyberturvallisuuden korkean tason varmistamista kaikkialla unionissa, samalla kun otetaan kaikilta osin huomioon asianomaisten toimialojen erityispiirteet ja kompleksisuus. Siksi tämä direktiivi ei estä hyväksymästä täydentäviä alakohtaisia unionin säädöksiä, jotka koskevat kyberturvallisuusriskien hallintatoimenpiteitä ja raportointivelvoitteita ja joissa otetaan asianmukaisesti huomioon kattavan ja johdonmukaisen kyberturvallisuuskehyksen tarve. Tämä direktiivi ei vaikuta nykyiseen täytäntöönpanovaltaan, joka on siirretty komissiolle useilla aloilla, mukaan lukien liikenne ja energia.

| (23) | Jos alakohtaisessa unionin säädöksessä on säännöksiä, joissa keskeisiä tai tärkeitä toimijoita vaaditaan ottamaan käyttöön kyberturvallisuusriskien hallintatoimenpiteitä tai ilmoittamaan merkittävistä poikkeamista, ja jos kyseiset vaatimukset ovat vaikutukseltaan vähintään tässä direktiivissä säädettyjä velvoitteita vastaavia, tällaisiin toimijoihin olisi sovellettava kyseisiä säännöksiä, mukaan lukien valvontaa ja täytäntöönpanoa koskevat säännökset. Jos alakohtainen unionin säädös ei kata tämän direktiivin soveltamisalaan kuuluvan tietyn toimialan kaikkia toimijoita, tämän direktiivin asiaankuuluvia säännöksiä olisi edelleen sovellettava niihin toimijoihin, joita mainittu säädös ei kata. |
| --- | --- |

(23)

Jos alakohtaisessa unionin säädöksessä on säännöksiä, joissa keskeisiä tai tärkeitä toimijoita vaaditaan ottamaan käyttöön kyberturvallisuusriskien hallintatoimenpiteitä tai ilmoittamaan merkittävistä poikkeamista, ja jos kyseiset vaatimukset ovat vaikutukseltaan vähintään tässä direktiivissä säädettyjä velvoitteita vastaavia, tällaisiin toimijoihin olisi sovellettava kyseisiä säännöksiä, mukaan lukien valvontaa ja täytäntöönpanoa koskevat säännökset. Jos alakohtainen unionin säädös ei kata tämän direktiivin soveltamisalaan kuuluvan tietyn toimialan kaikkia toimijoita, tämän direktiivin asiaankuuluvia säännöksiä olisi edelleen sovellettava niihin toimijoihin, joita mainittu säädös ei kata.

| (24) | Jos alakohtaisen unionin säädöksen säännöksissä vaaditaan keskeisiä tai tärkeitä toimijoita noudattamaan raportointivelvoitteita, jotka ovat vaikutukseltaan vähintään tässä direktiivissä säädettyjä raportointivelvoitteita vastaavia, olisi varmistettava poikkeamailmoitusten käsittelyn johdonmukaisuus ja tehokkuus. Tätä varten poikkeamista ilmoittamiseen liittyvissä alakohtaisen unionin säädöksen säännöksissä olisi annettava tämän direktiivin mukaisille CSIRT-yksiköille, toimivaltaisille viranomaisille tai kyberturvallisuusalan keskitetyille yhteyspisteille, jäljempänä ’keskitetty yhteyspiste’, välitön pääsy alakohtaisen unionin säädöksen mukaisesti tehtyihin poikkeamailmoituksiin. Tällainen välitön pääsy voidaan varmistaa erityisesti, jos poikkeamailmoitukset toimitetaan ilman aiheetonta viivytystä eteenpäin tämän direktiivin mukaiselle CSIRT-yksikölle, toimivaltaiselle viranomaiselle tai keskitetylle yhteyspisteelle. Jäsenvaltioiden olisi tarvittaessa otettava käyttöön automaattinen ja suora raportointimekanismi, jolla varmistetaan tällaisten poikkeamailmoitusten käsittelyä koskevien tietojen järjestelmällinen ja välitön jakaminen CSIRT-yksiköiden, toimivaltaisten viranomaisten tai keskitettyjen yhteyspisteiden kanssa. Ilmoittamisen yksinkertaistamiseksi ja automaattisen ja suoran raportointimekanismin toteuttamiseksi jäsenvaltiot voisivat alakohtaisen unionin säädöksen mukaisesti käyttää keskitettyä asiointipistettä. |
| --- | --- |

(24)

Jos alakohtaisen unionin säädöksen säännöksissä vaaditaan keskeisiä tai tärkeitä toimijoita noudattamaan raportointivelvoitteita, jotka ovat vaikutukseltaan vähintään tässä direktiivissä säädettyjä raportointivelvoitteita vastaavia, olisi varmistettava poikkeamailmoitusten käsittelyn johdonmukaisuus ja tehokkuus. Tätä varten poikkeamista ilmoittamiseen liittyvissä alakohtaisen unionin säädöksen säännöksissä olisi annettava tämän direktiivin mukaisille CSIRT-yksiköille, toimivaltaisille viranomaisille tai kyberturvallisuusalan keskitetyille yhteyspisteille, jäljempänä ’keskitetty yhteyspiste’, välitön pääsy alakohtaisen unionin säädöksen mukaisesti tehtyihin poikkeamailmoituksiin. Tällainen välitön pääsy voidaan varmistaa erityisesti, jos poikkeamailmoitukset toimitetaan ilman aiheetonta viivytystä eteenpäin tämän direktiivin mukaiselle CSIRT-yksikölle, toimivaltaiselle viranomaiselle tai keskitetylle yhteyspisteelle. Jäsenvaltioiden olisi tarvittaessa otettava käyttöön automaattinen ja suora raportointimekanismi, jolla varmistetaan tällaisten poikkeamailmoitusten käsittelyä koskevien tietojen järjestelmällinen ja välitön jakaminen CSIRT-yksiköiden, toimivaltaisten viranomaisten tai keskitettyjen yhteyspisteiden kanssa. Ilmoittamisen yksinkertaistamiseksi ja automaattisen ja suoran raportointimekanismin toteuttamiseksi jäsenvaltiot voisivat alakohtaisen unionin säädöksen mukaisesti käyttää keskitettyä asiointipistettä.

| (25) | Alakohtaisissa unionin säädöksissä, joissa säädetään kyberturvallisuusriskien hallintatoimenpiteistä tai raportointivelvoitteista, jotka ovat vaikutukseltaan vähintään tässä direktiivissä säädettyjä toimenpiteitä ja velvoitteita vastaavia, voitaisiin säätää, että tällaisten säädösten mukaiset toimivaltaiset viranomaiset käyttävät näiden toimenpiteiden tai velvoitteiden valvonta- ja täytäntöönpanovaltuuksiaan tämän direktiivin mukaisten toimivaltaisten viranomaisten avustuksella. Kyseiset toimivaltaiset viranomaiset voisivat perustaa yhteistyöjärjestelyjä tätä tarkoitusta varten. Tällaisissa yhteistyöjärjestelyissä voitaisiin täsmentää muun muassa valvontatoimien koordinointia koskevat menettelyt, mukaan lukien kansallisen lainsäädännön mukaiset tutkintamenettelyt ja paikalla tehtävät tarkastukset sekä järjestely valvontaa ja täytäntöönpanoa koskevien asiaankuuluvien tietojen vaihtamiseksi toimivaltaisten viranomaisten välillä, myös pääsy tämän direktiivin mukaisten toimivaltaisten viranomaisten pyytämiin kyberturvallisuustietoihin. |
| --- | --- |

(25)

Alakohtaisissa unionin säädöksissä, joissa säädetään kyberturvallisuusriskien hallintatoimenpiteistä tai raportointivelvoitteista, jotka ovat vaikutukseltaan vähintään tässä direktiivissä säädettyjä toimenpiteitä ja velvoitteita vastaavia, voitaisiin säätää, että tällaisten säädösten mukaiset toimivaltaiset viranomaiset käyttävät näiden toimenpiteiden tai velvoitteiden valvonta- ja täytäntöönpanovaltuuksiaan tämän direktiivin mukaisten toimivaltaisten viranomaisten avustuksella. Kyseiset toimivaltaiset viranomaiset voisivat perustaa yhteistyöjärjestelyjä tätä tarkoitusta varten. Tällaisissa yhteistyöjärjestelyissä voitaisiin täsmentää muun muassa valvontatoimien koordinointia koskevat menettelyt, mukaan lukien kansallisen lainsäädännön mukaiset tutkintamenettelyt ja paikalla tehtävät tarkastukset sekä järjestely valvontaa ja täytäntöönpanoa koskevien asiaankuuluvien tietojen vaihtamiseksi toimivaltaisten viranomaisten välillä, myös pääsy tämän direktiivin mukaisten toimivaltaisten viranomaisten pyytämiin kyberturvallisuustietoihin.

| (26) | Jos alakohtaisissa unionin säädöksissä vaaditaan toimijoita ilmoittamaan tai tarjotaan toimijoille kannustimia ilmoittaa merkittävistä kyberuhkista, jäsenvaltioiden olisi myös kannustettava merkittäviä kyberuhkia koskevien tietojen jakamiseen tämän direktiivin mukaisten CSIRT-yksiköiden, toimivaltaisten viranomaisten tai keskitettyjen yhteyspisteiden kanssa, jotta voidaan varmistaa kyseisten elinten parempi tietoisuus kyberuhkaympäristöstä ja antaa niille mahdollisuus reagoida tehokkaasti ja oikea-aikaisesti, jos merkittävät kyberuhkat toteutuvat. |
| --- | --- |

(26)

Jos alakohtaisissa unionin säädöksissä vaaditaan toimijoita ilmoittamaan tai tarjotaan toimijoille kannustimia ilmoittaa merkittävistä kyberuhkista, jäsenvaltioiden olisi myös kannustettava merkittäviä kyberuhkia koskevien tietojen jakamiseen tämän direktiivin mukaisten CSIRT-yksiköiden, toimivaltaisten viranomaisten tai keskitettyjen yhteyspisteiden kanssa, jotta voidaan varmistaa kyseisten elinten parempi tietoisuus kyberuhkaympäristöstä ja antaa niille mahdollisuus reagoida tehokkaasti ja oikea-aikaisesti, jos merkittävät kyberuhkat toteutuvat.

| (27) | Tulevissa alakohtaisissa unionin säädöksissä olisi otettava asianmukaisesti huomioon tässä direktiivissä säädetyt määritelmät ja valvonta- ja täytäntöönpanokehys. |
| --- | --- |

(27)

Tulevissa alakohtaisissa unionin säädöksissä olisi otettava asianmukaisesti huomioon tässä direktiivissä säädetyt määritelmät ja valvonta- ja täytäntöönpanokehys.

| (28) | Euroopan parlamentin ja neuvoston asetusta (EU) 2022/2554 (10) olisi pidettävä tähän direktiiviin liittyvänä alakohtaisena unionin säädöksenä finanssialan toimijoiden osalta. Asetuksen (EU) 2022/2554 säännöksiä, jotka koskevat tieto- ja viestintätekniikan (TVT) riskinhallintaa, TVT:hen liittyvien poikkeamien hallintaa ja erityisesti laajavaikutteisista TVT:hen liittyvistä poikkeamista raportointia, sekä sen säännöksiä digitaalisen häiriönsietokyvyn testauksesta, tiedonjakojärjestelyistä ja TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvistä riskeistä olisi sovellettava tämän direktiivin säännösten asemesta. Sen vuoksi jäsenvaltioiden ei pitäisi soveltaa tämän direktiivin säännöksiä, jotka koskevat kyberturvallisuusriskien hallintaa ja raportointivelvoitteita sekä valvontaa ja täytäntöönpanoa, asetuksen (EU) 2022/2554 soveltamisalaan kuuluviin finanssialan toimijoihin. Samalla tässä direktiivissä on tärkeää säilyttää vahva yhteys finanssialaan ja tietojenvaihto finanssialan kanssa. Tätä varten asetuksessa (EU) 2022/2554 annetaan Euroopan valvontaviranomaisille ja kyseisen asetuksen mukaisille toimivaltaisille viranomaisille mahdollisuus osallistua yhteistyöryhmän toimintaan sekä vaihtaa tietoja ja tehdä yhteistyötä keskitettyjen yhteyspisteiden sekä tämän direktiivin mukaisten CSIRT-yksiköiden ja toimivaltaisten viranomaisten kanssa. Asetuksen (EU) 2022/2554 mukaisten toimivaltaisten viranomaisten olisi myös toimitettava tiedot laajavaikutteisista TVT:hen liittyvistä poikkeamista ja tapauksen mukaan merkittävistä kyberuhkista tämän direktiivin mukaisille CSIRT-yksiköille, toimivaltaisille viranomaisille tai keskitetyille yhteyspisteille. Tämä voidaan toteuttaa tarjoamalla välitön pääsy poikkeamailmoituksiin ja toimittamalla ne eteenpäin joko suoraan tai poikkeamailmoituksia käsittelevän keskitetyn asiointipisteen kautta. Lisäksi jäsenvaltioiden olisi edelleen sisällytettävä finanssiala kyberturvallisuusstrategioihinsa, ja CSIRT-yksiköt voivat kattaa finanssialan toiminnassaan. |
| --- | --- |

(28)

Euroopan parlamentin ja neuvoston asetusta (EU) 2022/2554 (10) olisi pidettävä tähän direktiiviin liittyvänä alakohtaisena unionin säädöksenä finanssialan toimijoiden osalta. Asetuksen (EU) 2022/2554 säännöksiä, jotka koskevat tieto- ja viestintätekniikan (TVT) riskinhallintaa, TVT:hen liittyvien poikkeamien hallintaa ja erityisesti laajavaikutteisista TVT:hen liittyvistä poikkeamista raportointia, sekä sen säännöksiä digitaalisen häiriönsietokyvyn testauksesta, tiedonjakojärjestelyistä ja TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvistä riskeistä olisi sovellettava tämän direktiivin säännösten asemesta. Sen vuoksi jäsenvaltioiden ei pitäisi soveltaa tämän direktiivin säännöksiä, jotka koskevat kyberturvallisuusriskien hallintaa ja raportointivelvoitteita sekä valvontaa ja täytäntöönpanoa, asetuksen (EU) 2022/2554 soveltamisalaan kuuluviin finanssialan toimijoihin. Samalla tässä direktiivissä on tärkeää säilyttää vahva yhteys finanssialaan ja tietojenvaihto finanssialan kanssa. Tätä varten asetuksessa (EU) 2022/2554 annetaan Euroopan valvontaviranomaisille ja kyseisen asetuksen mukaisille toimivaltaisille viranomaisille mahdollisuus osallistua yhteistyöryhmän toimintaan sekä vaihtaa tietoja ja tehdä yhteistyötä keskitettyjen yhteyspisteiden sekä tämän direktiivin mukaisten CSIRT-yksiköiden ja toimivaltaisten viranomaisten kanssa. Asetuksen (EU) 2022/2554 mukaisten toimivaltaisten viranomaisten olisi myös toimitettava tiedot laajavaikutteisista TVT:hen liittyvistä poikkeamista ja tapauksen mukaan merkittävistä kyberuhkista tämän direktiivin mukaisille CSIRT-yksiköille, toimivaltaisille viranomaisille tai keskitetyille yhteyspisteille. Tämä voidaan toteuttaa tarjoamalla välitön pääsy poikkeamailmoituksiin ja toimittamalla ne eteenpäin joko suoraan tai poikkeamailmoituksia käsittelevän keskitetyn asiointipisteen kautta. Lisäksi jäsenvaltioiden olisi edelleen sisällytettävä finanssiala kyberturvallisuusstrategioihinsa, ja CSIRT-yksiköt voivat kattaa finanssialan toiminnassaan.

| (29) | Jotta vältetään ilmailualan toimijoille asetettujen kyberturvallisuusvelvoitteiden väliset puutteet ja päällekkäisyydet, Euroopan parlamentin ja neuvoston asetusten (EY) N:o 300/2008 (11) ja (EU) 2018/1139 (12) mukaisten kansallisten viranomaisten ja tämän direktiivin mukaisten toimivaltaisten viranomaisten olisi tehtävä yhteistyötä kyberturvallisuusriskien hallintatoimenpiteiden täytäntöönpanon ja näiden toimenpiteiden noudattamisen kansallisen tason valvonnan osalta. Jos toimija täyttää asetuksissa (EY) N:o 300/2008 ja (EU) 2018/1139 sekä niiden nojalla hyväksytyissä asiaankuuluvissa delegoiduissa säädöksissä ja täytäntöönpanosäädöksissä säädetyt turvallisuusvaatimukset, tämän direktiivin mukaiset toimivaltaiset viranomaiset voivat katsoa sen täyttävän tässä direktiivissä säädetyt vastaavat vaatimukset. |
| --- | --- |

(29)

Jotta vältetään ilmailualan toimijoille asetettujen kyberturvallisuusvelvoitteiden väliset puutteet ja päällekkäisyydet, Euroopan parlamentin ja neuvoston asetusten (EY) N:o 300/2008 (11) ja (EU) 2018/1139 (12) mukaisten kansallisten viranomaisten ja tämän direktiivin mukaisten toimivaltaisten viranomaisten olisi tehtävä yhteistyötä kyberturvallisuusriskien hallintatoimenpiteiden täytäntöönpanon ja näiden toimenpiteiden noudattamisen kansallisen tason valvonnan osalta. Jos toimija täyttää asetuksissa (EY) N:o 300/2008 ja (EU) 2018/1139 sekä niiden nojalla hyväksytyissä asiaankuuluvissa delegoiduissa säädöksissä ja täytäntöönpanosäädöksissä säädetyt turvallisuusvaatimukset, tämän direktiivin mukaiset toimivaltaiset viranomaiset voivat katsoa sen täyttävän tässä direktiivissä säädetyt vastaavat vaatimukset.

| (30) | Kyberturvallisuuden ja toimijoiden fyysisen turvallisuuden välisten yhteyksien vuoksi olisi varmistettava johdonmukainen lähestymistapa Euroopan parlamentin ja neuvoston direktiivin (EU) 2022/2557 (13) ja tämän direktiivin välillä. Tämän saavuttamiseksi direktiivin (EU) 2022/2557 nojalla kriittisiksi toimijoiksi määritettyjä toimijoita olisi pidettävä tämän direktiivin mukaisina keskeisinä toimijoina. Kunkin jäsenvaltion olisi myös varmistettava, että sen kansallinen kyberturvallisuusstrategia sisältää toimintakehyksen koordinoinnin tehostamiselle kyseisessä jäsenvaltioissa sen tämän direktiivin mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten välillä, kun vaihdetaan tietoja riskeistä, kyberuhkista ja poikkeamista ja muista kuin kyberturvallisuuteen liittyvistä riskeistä, uhkista ja poikkeamista sekä hoidetaan valvontatehtäviä. Tämän direktiivin ja direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten olisi tehtävä yhteistyötä ja vaihdettava tietoja ilman aiheetonta viivytystä erityisesti kriittisten toimijoiden, riskien, kyberuhkien ja poikkeamien tunnistamisesta sekä kriittisiin toimijoihin vaikuttavista muista kuin kyberturvallisuuteen liittyvistä riskeistä, uhkista ja poikkeamista, mukaan lukien kriittisten toimijoiden toteuttamat kyberturvallisuustoimenpiteet ja fyysiset toimenpiteet sekä näitä toimijoita koskevien valvontatoimien tulokset.
  Lisäksi jotta valvontatoimia voitaisiin virtaviivaistaa tämän direktiivin ja direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten kesken ja jotta asianomaisille toimijoille aiheutuva hallinnollinen rasite voitaisiin minimoida, kyseisten toimivaltaisten viranomaisten olisi pyrittävä yhdenmukaistamaan poikkeamailmoitusmallit ja valvontamenettelyt. Direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten olisi voitava tarvittaessa pyytää tämän direktiivin mukaisia toimivaltaisia viranomaisia käyttämään valvonta- ja täytäntöönpanovaltuuksiaan suhteessa toimijaan, joka on määritetty kriittiseksi toimijaksi direktiivin (EU) 2022/2557 nojalla. Tämän direktiivin ja direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten olisi tehtävä yhteistyötä ja vaihdettava tietoja, mahdollisuuksien mukaan reaaliaikaisesti, tätä tarkoitusta varten. |
| --- | --- |

(30)

Kyberturvallisuuden ja toimijoiden fyysisen turvallisuuden välisten yhteyksien vuoksi olisi varmistettava johdonmukainen lähestymistapa Euroopan parlamentin ja neuvoston direktiivin (EU) 2022/2557 (13) ja tämän direktiivin välillä. Tämän saavuttamiseksi direktiivin (EU) 2022/2557 nojalla kriittisiksi toimijoiksi määritettyjä toimijoita olisi pidettävä tämän direktiivin mukaisina keskeisinä toimijoina. Kunkin jäsenvaltion olisi myös varmistettava, että sen kansallinen kyberturvallisuusstrategia sisältää toimintakehyksen koordinoinnin tehostamiselle kyseisessä jäsenvaltioissa sen tämän direktiivin mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten välillä, kun vaihdetaan tietoja riskeistä, kyberuhkista ja poikkeamista ja muista kuin kyberturvallisuuteen liittyvistä riskeistä, uhkista ja poikkeamista sekä hoidetaan valvontatehtäviä. Tämän direktiivin ja direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten olisi tehtävä yhteistyötä ja vaihdettava tietoja ilman aiheetonta viivytystä erityisesti kriittisten toimijoiden, riskien, kyberuhkien ja poikkeamien tunnistamisesta sekä kriittisiin toimijoihin vaikuttavista muista kuin kyberturvallisuuteen liittyvistä riskeistä, uhkista ja poikkeamista, mukaan lukien kriittisten toimijoiden toteuttamat kyberturvallisuustoimenpiteet ja fyysiset toimenpiteet sekä näitä toimijoita koskevien valvontatoimien tulokset.

Lisäksi jotta valvontatoimia voitaisiin virtaviivaistaa tämän direktiivin ja direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten kesken ja jotta asianomaisille toimijoille aiheutuva hallinnollinen rasite voitaisiin minimoida, kyseisten toimivaltaisten viranomaisten olisi pyrittävä yhdenmukaistamaan poikkeamailmoitusmallit ja valvontamenettelyt. Direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten olisi voitava tarvittaessa pyytää tämän direktiivin mukaisia toimivaltaisia viranomaisia käyttämään valvonta- ja täytäntöönpanovaltuuksiaan suhteessa toimijaan, joka on määritetty kriittiseksi toimijaksi direktiivin (EU) 2022/2557 nojalla. Tämän direktiivin ja direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten olisi tehtävä yhteistyötä ja vaihdettava tietoja, mahdollisuuksien mukaan reaaliaikaisesti, tätä tarkoitusta varten.

| (31) | Digitaalisen infrastruktuurin toimialan toimijoiden toiminta perustuu olennaisesti verkko- ja tietojärjestelmiin, joten kyseisille toimijoille tämän direktiivin nojalla asetetuilla velvoitteilla olisi varmistettava kattavasti kyseisten järjestelmien fyysinen turvallisuus osana toimijoiden kyberturvallisuusriskien hallintatoimenpiteitä ja raportointivelvoitteita. Koska näistä seikoista säädetään tässä direktiivissä, direktiivin (EU) 2022/2557 III, IV ja VI luvussa säädettyjä velvoitteita ei sovelleta näihin toimijoihin. |
| --- | --- |

(31)

Digitaalisen infrastruktuurin toimialan toimijoiden toiminta perustuu olennaisesti verkko- ja tietojärjestelmiin, joten kyseisille toimijoille tämän direktiivin nojalla asetetuilla velvoitteilla olisi varmistettava kattavasti kyseisten järjestelmien fyysinen turvallisuus osana toimijoiden kyberturvallisuusriskien hallintatoimenpiteitä ja raportointivelvoitteita. Koska näistä seikoista säädetään tässä direktiivissä, direktiivin (EU) 2022/2557 III, IV ja VI luvussa säädettyjä velvoitteita ei sovelleta näihin toimijoihin.

| (32) | Luotettavan, häiriönsietokykyisen ja turvallisen verkkotunnusjärjestelmän (DNS) ylläpitäminen ja säilyttäminen ovat keskeisiä tekijöitä internetin eheyden säilymisen kannalta ja olennaisen tärkeitä internetin jatkuvalle ja vakaalle toiminnalle, mistä koko digitaalitalous ja -yhteiskunta ovat riippuvaisia. Sen vuoksi tätä direktiiviä olisi sovellettava aluetunnusrekistereihin ja DNS-palveluntarjoajiin, jotka on ymmärrettävä toimijoiksi, jotka tarjoavat yleisesti saatavilla olevia rekursiivisia verkkotunnusten selvityspalveluja internetin loppukäyttäjille tai auktoritatiivisia verkkotunnusten selvityspalveluja kolmansille osapuolille. Tätä direktiiviä ei pitäisi soveltaa juurinimipalvelimiin. |
| --- | --- |

(32)

Luotettavan, häiriönsietokykyisen ja turvallisen verkkotunnusjärjestelmän (DNS) ylläpitäminen ja säilyttäminen ovat keskeisiä tekijöitä internetin eheyden säilymisen kannalta ja olennaisen tärkeitä internetin jatkuvalle ja vakaalle toiminnalle, mistä koko digitaalitalous ja -yhteiskunta ovat riippuvaisia. Sen vuoksi tätä direktiiviä olisi sovellettava aluetunnusrekistereihin ja DNS-palveluntarjoajiin, jotka on ymmärrettävä toimijoiksi, jotka tarjoavat yleisesti saatavilla olevia rekursiivisia verkkotunnusten selvityspalveluja internetin loppukäyttäjille tai auktoritatiivisia verkkotunnusten selvityspalveluja kolmansille osapuolille. Tätä direktiiviä ei pitäisi soveltaa juurinimipalvelimiin.

| (33) | Pilvipalveluihin olisi luettava digitaaliset palvelut, jotka tarjoavat laajaan etäkäyttöön skaalattavan ja joustavan joukon jaettavissa olevia ja tarveperusteisesti ohjattavia tietoteknisiä resursseja, myös sijainniltaan hajautettuja resursseja. Tietoteknisiin resursseihin kuuluu esimerkiksi verkkoja, palvelimia ja muuta infrastruktuuria, käyttöjärjestelmiä, ohjelmistoja, tallennustilaa, sovelluksia ja palveluja. Pilvipalvelujen palvelumalleihin kuuluvat muun muassa infrastruktuuripalvelu (IaaS), alustapalvelu (PaaS), sovelluspalvelu (SaaS) ja tietoverkkopalvelu (NaaS). Pilvipalvelujen toimintamalleina olisi otettava huomioon yksityiset, yhteisövetoiset, julkiset ja hybridipilvipalvelut. Pilvipalvelujen palvelu- ja toimintamalleilla tarkoitetaan samaa kuin standardissa ISO/IEC 17788:2014 määritellyillä palvelu- ja toimintamalleilla. Pilvipalvelun käyttäjän kykyä käyttää yksipuolisesti ja oma-aloitteisesti tietojenkäsittelyvalmiuksia, kuten palvelinaikaa tai verkkotallennustilaa, ilman pilvipalveluntarjoajan inhimillistä panosta voitaisiin kuvata tarveperusteiseksi ohjaukseksi. Ilmaisua ’laaja etäkäyttö’ käytetään kuvaamaan sitä, että pilvipalveluresursseja tarjotaan verkossa ja niitä pääsee käyttämään erilaisten prosessointivalmiuksiltaan kevyiden tai raskaiden päätelaitteiden, kuten älypuhelinten, tablettitietokoneiden, kannettavien tietokoneiden ja työasemien, käytön mahdollistavien järjestelyjen ansiosta.
  Ilmaisu ’skaalautuva’ viittaa tietoteknisiin resursseihin, joita pilvipalvelujen tarjoaja jakaa joustavasti resurssien maantieteellisestä sijainnista riippumatta kysynnän vaihtelun mukaan. Ilmaisua ’joustava joukko’ käytetään kuvaamaan tietoteknisiä resursseja, joita tarjotaan ja vapautetaan käyttöön kysynnän mukaan niin, että resursseja voidaan nopeasti lisätä ja vähentää kuormituksen perusteella. Ilmaisua ’jaettavissa oleva’ käytetään kuvaamaan tietoteknisiä resursseja, joita tarjotaan useille käyttäjille, joilla on yhteinen pääsy palveluun, jossa prosessointi on kuitenkin käyttäjäkohtaista, vaikka palvelu tarjotaan saman sähköisen laitteiston kautta. Ilmaisua ’hajautettu’ käytetään kuvaamaan tietoteknisiä resursseja, jotka sijaitsevat erillisissä verkotetuissa tietokoneissa tai laitteissa ja jotka viestivät ja koordinoivat toimintaansa keskenään rakenteisella viestinvaihdolla. |
| --- | --- |

(33)

Pilvipalveluihin olisi luettava digitaaliset palvelut, jotka tarjoavat laajaan etäkäyttöön skaalattavan ja joustavan joukon jaettavissa olevia ja tarveperusteisesti ohjattavia tietoteknisiä resursseja, myös sijainniltaan hajautettuja resursseja. Tietoteknisiin resursseihin kuuluu esimerkiksi verkkoja, palvelimia ja muuta infrastruktuuria, käyttöjärjestelmiä, ohjelmistoja, tallennustilaa, sovelluksia ja palveluja. Pilvipalvelujen palvelumalleihin kuuluvat muun muassa infrastruktuuripalvelu (IaaS), alustapalvelu (PaaS), sovelluspalvelu (SaaS) ja tietoverkkopalvelu (NaaS). Pilvipalvelujen toimintamalleina olisi otettava huomioon yksityiset, yhteisövetoiset, julkiset ja hybridipilvipalvelut. Pilvipalvelujen palvelu- ja toimintamalleilla tarkoitetaan samaa kuin standardissa ISO/IEC 17788:2014 määritellyillä palvelu- ja toimintamalleilla. Pilvipalvelun käyttäjän kykyä käyttää yksipuolisesti ja oma-aloitteisesti tietojenkäsittelyvalmiuksia, kuten palvelinaikaa tai verkkotallennustilaa, ilman pilvipalveluntarjoajan inhimillistä panosta voitaisiin kuvata tarveperusteiseksi ohjaukseksi. Ilmaisua ’laaja etäkäyttö’ käytetään kuvaamaan sitä, että pilvipalveluresursseja tarjotaan verkossa ja niitä pääsee käyttämään erilaisten prosessointivalmiuksiltaan kevyiden tai raskaiden päätelaitteiden, kuten älypuhelinten, tablettitietokoneiden, kannettavien tietokoneiden ja työasemien, käytön mahdollistavien järjestelyjen ansiosta.

Ilmaisu ’skaalautuva’ viittaa tietoteknisiin resursseihin, joita pilvipalvelujen tarjoaja jakaa joustavasti resurssien maantieteellisestä sijainnista riippumatta kysynnän vaihtelun mukaan. Ilmaisua ’joustava joukko’ käytetään kuvaamaan tietoteknisiä resursseja, joita tarjotaan ja vapautetaan käyttöön kysynnän mukaan niin, että resursseja voidaan nopeasti lisätä ja vähentää kuormituksen perusteella. Ilmaisua ’jaettavissa oleva’ käytetään kuvaamaan tietoteknisiä resursseja, joita tarjotaan useille käyttäjille, joilla on yhteinen pääsy palveluun, jossa prosessointi on kuitenkin käyttäjäkohtaista, vaikka palvelu tarjotaan saman sähköisen laitteiston kautta. Ilmaisua ’hajautettu’ käytetään kuvaamaan tietoteknisiä resursseja, jotka sijaitsevat erillisissä verkotetuissa tietokoneissa tai laitteissa ja jotka viestivät ja koordinoivat toimintaansa keskenään rakenteisella viestinvaihdolla.

| (34) | Innovatiivisten teknologioiden ja uusien liiketoimintamallien myötä sisämarkkinoille odotetaan tulevan uusia pilvipalvelujen palvelu- ja toimintamalleja, joilla vastataan asiakkaiden muuttuviin tarpeisiin. Pilvipalveluja voidaan tarjota pitkälle hajautetussa muodossa ja entistä lähempänä paikkaa, jossa dataa tuotetaan tai kerätään, jolloin siirrytään perinteisestä mallista pitkälle hajautettuun malliin (reunalaskentamalli). |
| --- | --- |

(34)

Innovatiivisten teknologioiden ja uusien liiketoimintamallien myötä sisämarkkinoille odotetaan tulevan uusia pilvipalvelujen palvelu- ja toimintamalleja, joilla vastataan asiakkaiden muuttuviin tarpeisiin. Pilvipalveluja voidaan tarjota pitkälle hajautetussa muodossa ja entistä lähempänä paikkaa, jossa dataa tuotetaan tai kerätään, jolloin siirrytään perinteisestä mallista pitkälle hajautettuun malliin (reunalaskentamalli).

| (35) | Datakeskuspalvelujen tarjoajat eivät välttämättä aina tarjoa palvelujaan pilvipalveluna. Näin ollen datakeskukset eivät välttämättä aina ole osa pilvipalveluinfrastruktuuria. Kaikkien verkko- ja tietojärjestelmien turvallisuuteen kohdistuvien riskien hallitsemiseksi tämän direktiivin olisi siksi katettava sellaisten datakeskuspalvelujen tarjoajat, jotka eivät ole pilvipalveluja. Tässä direktiivissä ’datakeskuspalvelulla’ olisi tarkoitettava sellaisen palvelun tarjoamista, joka käsittää rakenteita tai rakenteiden ryhmiä, jotka on tarkoitettu datan tallennus-, käsittely- ja siirtopalveluja tarjoavien tietoteknisten ja verkkolaitteiden keskitettyyn ylläpitoon, yhteenliittämiseen ja ohjaukseen yhdessä kaikkien tarvittavien sähkönjakeluun ja toimintaolosuhteiden säätelyyn tarkoitettujen laitteiden ja infrastruktuurien kanssa. Ilmaisua ’datakeskuspalvelu’ ei pitäisi käyttää toimijan omistamista ja omiin sisäisiin käyttötarkoituksiinsa operoimista datakeskuksista. |
| --- | --- |

(35)

Datakeskuspalvelujen tarjoajat eivät välttämättä aina tarjoa palvelujaan pilvipalveluna. Näin ollen datakeskukset eivät välttämättä aina ole osa pilvipalveluinfrastruktuuria. Kaikkien verkko- ja tietojärjestelmien turvallisuuteen kohdistuvien riskien hallitsemiseksi tämän direktiivin olisi siksi katettava sellaisten datakeskuspalvelujen tarjoajat, jotka eivät ole pilvipalveluja. Tässä direktiivissä ’datakeskuspalvelulla’ olisi tarkoitettava sellaisen palvelun tarjoamista, joka käsittää rakenteita tai rakenteiden ryhmiä, jotka on tarkoitettu datan tallennus-, käsittely- ja siirtopalveluja tarjoavien tietoteknisten ja verkkolaitteiden keskitettyyn ylläpitoon, yhteenliittämiseen ja ohjaukseen yhdessä kaikkien tarvittavien sähkönjakeluun ja toimintaolosuhteiden säätelyyn tarkoitettujen laitteiden ja infrastruktuurien kanssa. Ilmaisua ’datakeskuspalvelu’ ei pitäisi käyttää toimijan omistamista ja omiin sisäisiin käyttötarkoituksiinsa operoimista datakeskuksista.

| (36) | Tutkimustoiminnalla on keskeinen rooli uusien tuotteiden ja prosessien kehittämisessä. Monia näistä toiminnoista suorittavat toimijat, jotka jakavat, levittävät tai hyödyntävät tutkimustuloksiaan kaupallisiin tarkoituksiin. Nämä toimijat voivat näin ollen olla tärkeitä lenkkejä arvoketjuissa, minkä johdosta niiden verkko- ja tietojärjestelmien turvallisuus on erottamaton osa sisämarkkinoiden yleistä kyberturvallisuutta. Tutkimusorganisaatioihin olisi luettava toimijat, joiden toiminnasta olennainen osa on Taloudellisen yhteistyön ja kehityksen järjestön vuonna 2015 laaditussa, tutkimus- ja kehittämistoiminnan tietojen keräämis- ja raportointiohjeita koskevassa Frascati-käsikirjassa tarkoitettua soveltavaa tutkimusta tai kokeellista kehitystyötä, joiden tuloksia ne hyödyntävät kaupallisiin tarkoituksiin, kuten tuotteen valmistamiseen tai kehittämiseen tai prosessiin, palvelun tarjoamiseen tai sen markkinointiin. |
| --- | --- |

(36)

Tutkimustoiminnalla on keskeinen rooli uusien tuotteiden ja prosessien kehittämisessä. Monia näistä toiminnoista suorittavat toimijat, jotka jakavat, levittävät tai hyödyntävät tutkimustuloksiaan kaupallisiin tarkoituksiin. Nämä toimijat voivat näin ollen olla tärkeitä lenkkejä arvoketjuissa, minkä johdosta niiden verkko- ja tietojärjestelmien turvallisuus on erottamaton osa sisämarkkinoiden yleistä kyberturvallisuutta. Tutkimusorganisaatioihin olisi luettava toimijat, joiden toiminnasta olennainen osa on Taloudellisen yhteistyön ja kehityksen järjestön vuonna 2015 laaditussa, tutkimus- ja kehittämistoiminnan tietojen keräämis- ja raportointiohjeita koskevassa Frascati-käsikirjassa tarkoitettua soveltavaa tutkimusta tai kokeellista kehitystyötä, joiden tuloksia ne hyödyntävät kaupallisiin tarkoituksiin, kuten tuotteen valmistamiseen tai kehittämiseen tai prosessiin, palvelun tarjoamiseen tai sen markkinointiin.

| (37) | Kasvavat keskinäiset riippuvuussuhteet ovat tulosta yhä useammin rajatylittävästä ja keskinäisriippuvaisesta verkostosta, jossa käytetään eri puolilla unionia sijaitsevia keskeisiä infrastruktuureja palveluntarjontaan energian, liikenteen, digitaalisen infrastruktuurin, juoma- ja jäteveden, terveyden ja julkishallinnon tiettyjen näkökohtien kaltaisilla aloilla sekä avaruustoiminnassa siinä määrin kuin on kyse sellaisten palvelujen tarjoamisesta, jotka ovat riippuvaisia joko jäsenvaltioiden tai yksityisten osapuolten omistamasta, hallinnoimasta ja operoimasta maassa sijaitsevasta infrastruktuurista, mihin ei näin ollen lueta infrastruktuuria, jonka unioni omistaa tai jota se hallinnoi tai operoi tai jota hallinnoidaan tai operoidaan sen puolesta osana sen avaruusohjelmaa. Näiden keskinäisriippuvuuksien vuoksi kaikilla häiriöillä, vaikka ne alun perin rajoittuisivatkin yhteen toimijaan tai yhteen toimialaan, voi olla laajempi, ketjureaktiona etenevä vaikutus, joka saattaa johtaa kauaskantoisiin ja pitkäkestoisiin kielteisiin vaikutuksiin palvelujen tarjontaan sisämarkkinoilla. Covid-19-pandemian aikana lisääntyneet kyberhyökkäykset ovat osoittaneet yhä voimakkaammin keskinäisriippuvaisten yhteiskuntiemme haavoittuvuuden kohdatessamme alhaisen todennäköisyyden riskejä. |
| --- | --- |

(37)

Kasvavat keskinäiset riippuvuussuhteet ovat tulosta yhä useammin rajatylittävästä ja keskinäisriippuvaisesta verkostosta, jossa käytetään eri puolilla unionia sijaitsevia keskeisiä infrastruktuureja palveluntarjontaan energian, liikenteen, digitaalisen infrastruktuurin, juoma- ja jäteveden, terveyden ja julkishallinnon tiettyjen näkökohtien kaltaisilla aloilla sekä avaruustoiminnassa siinä määrin kuin on kyse sellaisten palvelujen tarjoamisesta, jotka ovat riippuvaisia joko jäsenvaltioiden tai yksityisten osapuolten omistamasta, hallinnoimasta ja operoimasta maassa sijaitsevasta infrastruktuurista, mihin ei näin ollen lueta infrastruktuuria, jonka unioni omistaa tai jota se hallinnoi tai operoi tai jota hallinnoidaan tai operoidaan sen puolesta osana sen avaruusohjelmaa. Näiden keskinäisriippuvuuksien vuoksi kaikilla häiriöillä, vaikka ne alun perin rajoittuisivatkin yhteen toimijaan tai yhteen toimialaan, voi olla laajempi, ketjureaktiona etenevä vaikutus, joka saattaa johtaa kauaskantoisiin ja pitkäkestoisiin kielteisiin vaikutuksiin palvelujen tarjontaan sisämarkkinoilla. Covid-19-pandemian aikana lisääntyneet kyberhyökkäykset ovat osoittaneet yhä voimakkaammin keskinäisriippuvaisten yhteiskuntiemme haavoittuvuuden kohdatessamme alhaisen todennäköisyyden riskejä.

| (38) | Jotta voidaan ottaa huomioon kansallisten hallintorakenteiden erot ja säilyttää olemassa olevat alakohtaiset järjestelyt tai unionin valvonta- ja sääntelyelimet, jäsenvaltioiden olisi voitava nimetä tai perustaa yksi tai useampi toimivaltainen viranomainen, joka vastaa kyberturvallisuudesta ja tämän direktiivin mukaisista valvontatehtävistä. |
| --- | --- |

(38)

Jotta voidaan ottaa huomioon kansallisten hallintorakenteiden erot ja säilyttää olemassa olevat alakohtaiset järjestelyt tai unionin valvonta- ja sääntelyelimet, jäsenvaltioiden olisi voitava nimetä tai perustaa yksi tai useampi toimivaltainen viranomainen, joka vastaa kyberturvallisuudesta ja tämän direktiivin mukaisista valvontatehtävistä.

| (39) | Viranomaisten välisen rajatylittävän yhteistyön ja viestinnän helpottamiseksi ja tämän direktiivin tehokkaan täytäntöönpanon mahdollistamiseksi kunkin jäsenvaltion olisi nimettävä keskitetty yhteyspiste, joka vastaa verkko- ja tietojärjestelmien turvallisuuteen ja rajatylittävään yhteistyöhön liittyvien kysymysten koordinoinnista unionin tasolla. |
| --- | --- |

(39)

Viranomaisten välisen rajatylittävän yhteistyön ja viestinnän helpottamiseksi ja tämän direktiivin tehokkaan täytäntöönpanon mahdollistamiseksi kunkin jäsenvaltion olisi nimettävä keskitetty yhteyspiste, joka vastaa verkko- ja tietojärjestelmien turvallisuuteen ja rajatylittävään yhteistyöhön liittyvien kysymysten koordinoinnista unionin tasolla.

| (40) | Keskitettyjen yhteyspisteiden olisi varmistettava tehokas rajatylittävä yhteistyö muiden jäsenvaltioiden asiaankuuluvien viranomaisten ja tarvittaessa komission ja ENISAn kanssa. Keskitetyille yhteyspisteille olisi sen vuoksi annettava tehtäväksi toimittaa ilmoitukset merkittävistä poikkeamista, joilla on rajatylittäviä vaikutuksia, eteenpäin niiden muiden jäsenvaltioiden keskitetyille yhteyspisteille, joihin poikkeama vaikuttaa, CSIRT-yksikön tai toimivaltaisen viranomaisen pyynnöstä. Kansallisella tasolla keskitettyjen yhteyspisteiden olisi mahdollistettava sujuva toimialarajat ylittävä yhteistyö muiden toimivaltaisten viranomaisten kanssa. Keskitetyt yhteyspisteet voisivat myös olla asetuksen (EU) 2022/2554 mukaisten toimivaltaisten viranomaisten toimittamien, finanssialan yhteisöjä koskevia poikkeamia koskevien asiaankuuluvien tietojen vastaanottajia, ja niiden olisi voitava tarvittaessa toimittaa nämä tiedot eteenpäin tämän direktiivin mukaisille CSIRT-yksiköille tai toimivaltaisille viranomaisille. |
| --- | --- |

(40)

Keskitettyjen yhteyspisteiden olisi varmistettava tehokas rajatylittävä yhteistyö muiden jäsenvaltioiden asiaankuuluvien viranomaisten ja tarvittaessa komission ja ENISAn kanssa. Keskitetyille yhteyspisteille olisi sen vuoksi annettava tehtäväksi toimittaa ilmoitukset merkittävistä poikkeamista, joilla on rajatylittäviä vaikutuksia, eteenpäin niiden muiden jäsenvaltioiden keskitetyille yhteyspisteille, joihin poikkeama vaikuttaa, CSIRT-yksikön tai toimivaltaisen viranomaisen pyynnöstä. Kansallisella tasolla keskitettyjen yhteyspisteiden olisi mahdollistettava sujuva toimialarajat ylittävä yhteistyö muiden toimivaltaisten viranomaisten kanssa. Keskitetyt yhteyspisteet voisivat myös olla asetuksen (EU) 2022/2554 mukaisten toimivaltaisten viranomaisten toimittamien, finanssialan yhteisöjä koskevia poikkeamia koskevien asiaankuuluvien tietojen vastaanottajia, ja niiden olisi voitava tarvittaessa toimittaa nämä tiedot eteenpäin tämän direktiivin mukaisille CSIRT-yksiköille tai toimivaltaisille viranomaisille.

| (41) | Jäsenvaltioilla olisi oltava käytössään riittävät sekä tekniset että organisatoriset valmiudet, jotta voidaan ehkäistä, havaita ja hallita poikkeamia ja riskejä sekä lieventää niiden vaikutuksia. Jäsenvaltioiden olisi sen vuoksi perustettava tai nimettävä yksi tai useampi tämän direktiivin mukainen CSIRT-yksikkö ja varmistettava, että niillä on riittävät resurssit ja tarvittavat tekniset valmiudet. CSIRT-yksiköiden olisi täytettävä tässä direktiivissä säädetyt vaatimukset, jotta voidaan taata tehokkaat ja yhteensopivat valmiudet käsitellä poikkeamia ja riskejä ja varmistaa tehokas yhteistyö unionin tasolla. Jäsenvaltioiden olisi voitavat nimetä CSIRT-yksiköiksi olemassa olevia tietotekniikan kriisiryhmiä (CERT). Toimijoiden ja CSIRT-yksiköiden välisen luottamuksen lujittamiseksi tapauksissa, joissa CSIRT on osa toimivaltaista viranomaista, jäsenvaltioiden olisi voitava harkita CSIRT-yksiköiden operatiivisten tehtävien, erityisesti tietojen jakamisen ja toimijoille annettavan tuen, erottamista toiminnallisesti toimivaltaisten viranomaisten valvontatoimista. |
| --- | --- |

(41)

Jäsenvaltioilla olisi oltava käytössään riittävät sekä tekniset että organisatoriset valmiudet, jotta voidaan ehkäistä, havaita ja hallita poikkeamia ja riskejä sekä lieventää niiden vaikutuksia. Jäsenvaltioiden olisi sen vuoksi perustettava tai nimettävä yksi tai useampi tämän direktiivin mukainen CSIRT-yksikkö ja varmistettava, että niillä on riittävät resurssit ja tarvittavat tekniset valmiudet. CSIRT-yksiköiden olisi täytettävä tässä direktiivissä säädetyt vaatimukset, jotta voidaan taata tehokkaat ja yhteensopivat valmiudet käsitellä poikkeamia ja riskejä ja varmistaa tehokas yhteistyö unionin tasolla. Jäsenvaltioiden olisi voitavat nimetä CSIRT-yksiköiksi olemassa olevia tietotekniikan kriisiryhmiä (CERT). Toimijoiden ja CSIRT-yksiköiden välisen luottamuksen lujittamiseksi tapauksissa, joissa CSIRT on osa toimivaltaista viranomaista, jäsenvaltioiden olisi voitava harkita CSIRT-yksiköiden operatiivisten tehtävien, erityisesti tietojen jakamisen ja toimijoille annettavan tuen, erottamista toiminnallisesti toimivaltaisten viranomaisten valvontatoimista.

| (42) | CSIRT-yksiköille annetaan tehtäväksi poikkeamien käsittely. Tämä edellyttää suurten tietomäärien käsittelyä, ja nämä tiedot ovat toisinaan arkaluonteisia. Jäsenvaltioiden olisi varmistettava, että CSIRT-yksiköillä on infrastruktuuri tietojen jakamiseen ja käsittelyyn sekä hyvin varustettu henkilöstö, jotta voidaan varmistaa näiden yksiköiden toimintojen luottamuksellisuus ja luotettavuus. CSIRT-yksiköt voivat myös hyväksyä asiaa koskevia käytännesääntöjä. |
| --- | --- |

(42)

CSIRT-yksiköille annetaan tehtäväksi poikkeamien käsittely. Tämä edellyttää suurten tietomäärien käsittelyä, ja nämä tiedot ovat toisinaan arkaluonteisia. Jäsenvaltioiden olisi varmistettava, että CSIRT-yksiköillä on infrastruktuuri tietojen jakamiseen ja käsittelyyn sekä hyvin varustettu henkilöstö, jotta voidaan varmistaa näiden yksiköiden toimintojen luottamuksellisuus ja luotettavuus. CSIRT-yksiköt voivat myös hyväksyä asiaa koskevia käytännesääntöjä.

| (43) | Henkilötietojen osalta CSIRT-yksiköiden olisi voitava tarjota asetuksen (EU) 2016/679 mukaisesti keskeisen tai tärkeän toimijan pyynnöstä niiden verkko- ja tietojärjestelmien ennakoiva skannaus, joita kyseinen toimija käyttää palvelujensa tarjoamiseen. Jäsenvaltioiden olisi tapauksen mukaan pyrittävä varmistamaan, että kaikilla toimialakohtaisilla CSIRT-yksiköillä on yhtäläiset tekniset valmiudet. Jäsenvaltioiden olisi voitava pyytää ENISAa avustamaan CSIRT-yksiköidensä kehittämisessä. |
| --- | --- |

(43)

Henkilötietojen osalta CSIRT-yksiköiden olisi voitava tarjota asetuksen (EU) 2016/679 mukaisesti keskeisen tai tärkeän toimijan pyynnöstä niiden verkko- ja tietojärjestelmien ennakoiva skannaus, joita kyseinen toimija käyttää palvelujensa tarjoamiseen. Jäsenvaltioiden olisi tapauksen mukaan pyrittävä varmistamaan, että kaikilla toimialakohtaisilla CSIRT-yksiköillä on yhtäläiset tekniset valmiudet. Jäsenvaltioiden olisi voitava pyytää ENISAa avustamaan CSIRT-yksiköidensä kehittämisessä.

| (44) | CSIRT-yksiköiden olisi voitava keskeisen tai tärkeän toimijan pyynnöstä seurata toimijan internetiin yhteydessä olevia resursseja sekä tämän toimitiloissa että niiden ulkopuolella, jotta voidaan tunnistaa, ymmärtää ja hallita toimijan yleisiä organisaatioriskejä, jotka liittyvät äskettäin havaittuihin toimitusketjun vaarantumisiin tai kriittisiin haavoittuvuuksiin. Toimijaa olisi kannustettava ilmoittamaan CSIRT-yksikölle, onko sillä käytössä etuoikeutettu hallintarajapinta, koska tämä voi vaikuttaa siihen, miten nopeasti lieventäviä toimia voidaan toteuttaa. |
| --- | --- |

(44)

CSIRT-yksiköiden olisi voitava keskeisen tai tärkeän toimijan pyynnöstä seurata toimijan internetiin yhteydessä olevia resursseja sekä tämän toimitiloissa että niiden ulkopuolella, jotta voidaan tunnistaa, ymmärtää ja hallita toimijan yleisiä organisaatioriskejä, jotka liittyvät äskettäin havaittuihin toimitusketjun vaarantumisiin tai kriittisiin haavoittuvuuksiin. Toimijaa olisi kannustettava ilmoittamaan CSIRT-yksikölle, onko sillä käytössä etuoikeutettu hallintarajapinta, koska tämä voi vaikuttaa siihen, miten nopeasti lieventäviä toimia voidaan toteuttaa.

| (45) | Kun otetaan huomioon kyberturvallisuutta koskevan kansainvälisen yhteistyön tärkeys, CSIRT-yksiköiden olisi voitava osallistua kansainvälisiin yhteistyöverkostoihin tällä direktiivillä perustettavan CSIRT-verkoston lisäksi. Sen vuoksi CSIRT-yksiköiden ja toimivaltaisten viranomaisten olisi voitava tehtäviensä suorittamiseksi vaihtaa tietoja, myös henkilötietoja, kolmansien maiden tietoturvaloukkauksiin reagoivien ja niitä tutkivien kansallisten yksiköiden tai toimivaltaisten viranomaisten kanssa edellyttäen, että unionin tietosuojalainsäädännön mukaiset edellytykset henkilötietojen siirrolle kolmansiin maihin, muun muassa asetuksen (EU) 2016/679 49 artiklassa säädetyt edellytykset, täyttyvät. |
| --- | --- |

(45)

Kun otetaan huomioon kyberturvallisuutta koskevan kansainvälisen yhteistyön tärkeys, CSIRT-yksiköiden olisi voitava osallistua kansainvälisiin yhteistyöverkostoihin tällä direktiivillä perustettavan CSIRT-verkoston lisäksi. Sen vuoksi CSIRT-yksiköiden ja toimivaltaisten viranomaisten olisi voitava tehtäviensä suorittamiseksi vaihtaa tietoja, myös henkilötietoja, kolmansien maiden tietoturvaloukkauksiin reagoivien ja niitä tutkivien kansallisten yksiköiden tai toimivaltaisten viranomaisten kanssa edellyttäen, että unionin tietosuojalainsäädännön mukaiset edellytykset henkilötietojen siirrolle kolmansiin maihin, muun muassa asetuksen (EU) 2016/679 49 artiklassa säädetyt edellytykset, täyttyvät.

| (46) | On olennaisen tärkeää varmistaa riittävät resurssit tämän direktiivin tavoitteiden saavuttamiseksi ja sen mahdollistamiseksi, että toimivaltaiset viranomaiset ja CSIRT-yksiköt voivat suorittaa tässä säädetyt tehtävänsä. Jäsenvaltiot voivat ottaa kansallisella tasolla käyttöön rahoitusmekanismin, jolla katetaan tarpeelliset menot, jotka liittyvät kyberturvallisuudesta jäsenvaltiossa tämän direktiivin nojalla vastaavien julkisten toimijoiden tehtävien hoitamiseen. Tällaisen mekanismin olisi oltava unionin oikeuden mukainen, sen olisi oltava oikeasuhteinen ja syrjimätön, ja siinä olisi otettava huomioon erilaiset lähestymistavat turvallisten palvelujen tarjoamiseen. |
| --- | --- |

(46)

On olennaisen tärkeää varmistaa riittävät resurssit tämän direktiivin tavoitteiden saavuttamiseksi ja sen mahdollistamiseksi, että toimivaltaiset viranomaiset ja CSIRT-yksiköt voivat suorittaa tässä säädetyt tehtävänsä. Jäsenvaltiot voivat ottaa kansallisella tasolla käyttöön rahoitusmekanismin, jolla katetaan tarpeelliset menot, jotka liittyvät kyberturvallisuudesta jäsenvaltiossa tämän direktiivin nojalla vastaavien julkisten toimijoiden tehtävien hoitamiseen. Tällaisen mekanismin olisi oltava unionin oikeuden mukainen, sen olisi oltava oikeasuhteinen ja syrjimätön, ja siinä olisi otettava huomioon erilaiset lähestymistavat turvallisten palvelujen tarjoamiseen.

| (47) | CSIRT-verkoston olisi jatkossakin edistettävä luottamuksen vahvistumista sekä ripeää ja toimivaa operatiivista yhteistyötä jäsenvaltioiden välillä. Unionin tason operatiivisen yhteistyön parantamiseksi CSIRT-verkoston olisi harkittava kyberturvallisuuspolitiikkaan osallistuvien unionin elinten ja virastojen, kuten Europolin, kutsumista osallistumaan sen työhön. |
| --- | --- |

(47)

CSIRT-verkoston olisi jatkossakin edistettävä luottamuksen vahvistumista sekä ripeää ja toimivaa operatiivista yhteistyötä jäsenvaltioiden välillä. Unionin tason operatiivisen yhteistyön parantamiseksi CSIRT-verkoston olisi harkittava kyberturvallisuuspolitiikkaan osallistuvien unionin elinten ja virastojen, kuten Europolin, kutsumista osallistumaan sen työhön.

| (48) | Kyberturvallisuuden korkean tason saavuttamiseksi ja ylläpitämiseksi tässä direktiivissä edellytettävien kansallisten kyberturvallisuusstrategioiden olisi sisällettävä yhtenäinen kehys, jossa määritetään kyberturvallisuutta koskevat strategiset tavoitteet ja painopisteet ja hallintokehys niiden saavuttamiseksi. Nämä strategiat voivat koostua yhdestä tai useammasta lainsäädännöllisestä tai muusta välineestä. |
| --- | --- |

(48)

Kyberturvallisuuden korkean tason saavuttamiseksi ja ylläpitämiseksi tässä direktiivissä edellytettävien kansallisten kyberturvallisuusstrategioiden olisi sisällettävä yhtenäinen kehys, jossa määritetään kyberturvallisuutta koskevat strategiset tavoitteet ja painopisteet ja hallintokehys niiden saavuttamiseksi. Nämä strategiat voivat koostua yhdestä tai useammasta lainsäädännöllisestä tai muusta välineestä.

| (49) | Kyberhygieniaperiaatteet laskevat perustan toimille, joilla suojataan verkko- ja tietojärjestelmien infrastruktuuri, laitteistojen, ohjelmistojen ja verkkosovellusten turvallisuus sekä yritys- tai loppukäyttäjätiedot, joita toimijat hyödyntävät. Kyberhygieniaperiaatteet, joihin kuuluvat yhteiset perustason käytännöt, kuten ohjelmisto- ja laitteistopäivitykset, salasanojen vaihtaminen, uusien asennusten hallinta, ylläpitäjän käyttöoikeuksia edellyttävien tilien rajoittaminen ja tietojen varmuuskopiointi, tarjoavat ennakoivan kehyksen, jossa varautua poikkeamiin ja kyberuhkiin ja varmistaa yleinen turvallisuus niiden toteutuessa. ENISAn olisi seurattava ja analysoitava jäsenvaltioiden kyberhygieniaperiaatteita. |
| --- | --- |

(49)

Kyberhygieniaperiaatteet laskevat perustan toimille, joilla suojataan verkko- ja tietojärjestelmien infrastruktuuri, laitteistojen, ohjelmistojen ja verkkosovellusten turvallisuus sekä yritys- tai loppukäyttäjätiedot, joita toimijat hyödyntävät. Kyberhygieniaperiaatteet, joihin kuuluvat yhteiset perustason käytännöt, kuten ohjelmisto- ja laitteistopäivitykset, salasanojen vaihtaminen, uusien asennusten hallinta, ylläpitäjän käyttöoikeuksia edellyttävien tilien rajoittaminen ja tietojen varmuuskopiointi, tarjoavat ennakoivan kehyksen, jossa varautua poikkeamiin ja kyberuhkiin ja varmistaa yleinen turvallisuus niiden toteutuessa. ENISAn olisi seurattava ja analysoitava jäsenvaltioiden kyberhygieniaperiaatteita.

| (50) | Kyberturvallisuustietoisuus ja kyberhygienia ovat olennaisen tärkeitä kyberturvallisuuden tason nostamiseksi unionissa, etenkin kun verkkoon liitettyjä laitteita on yhä enemmän ja niitä käytetään yhä useammin kyberhyökkäyksissä. Yleistä tietoisuutta tällaisiin laitteisiin liittyvistä riskeistä olisi pyrittävä lisäämään, ja unionin tason arvioinnit voisivat auttaa varmistamaan, että nämä riskit tiedostetaan yleisesti sisämarkkinoilla. |
| --- | --- |

(50)

Kyberturvallisuustietoisuus ja kyberhygienia ovat olennaisen tärkeitä kyberturvallisuuden tason nostamiseksi unionissa, etenkin kun verkkoon liitettyjä laitteita on yhä enemmän ja niitä käytetään yhä useammin kyberhyökkäyksissä. Yleistä tietoisuutta tällaisiin laitteisiin liittyvistä riskeistä olisi pyrittävä lisäämään, ja unionin tason arvioinnit voisivat auttaa varmistamaan, että nämä riskit tiedostetaan yleisesti sisämarkkinoilla.

| (51) | Jäsenvaltioiden olisi kannustettava käyttämään mitä tahansa innovatiivista teknologiaa, myös tekoälyä, jonka käyttö voisi parantaa kyberhyökkäysten havaitsemista ja ehkäisemistä ja mahdollistaa resurssien tehokkaamman kohdentamisen kyberhyökkäyksiin. Jäsenvaltioiden olisi sen vuoksi edistettävä kansallisissa kyberturvallisuusstrategioissaan tutkimus- ja kehitystoimia, joilla helpotetaan tällaisten teknologioiden, erityisesti automatisoituihin tai puoliautomaattisiin kyberturvallisuustyökaluihin liittyvien teknologioiden, käyttöä sekä tarvittaessa tällaisen teknologian käyttäjien kouluttamiseen ja sen parantamiseen tarvittavien tietojen jakamista. Käytettäessä mitä tahansa innovatiivista teknologiaa, myös tekoälyä, olisi noudatettava unionin tietosuojalainsäädäntöä ja tietosuojaperiaatteita, joita ovat tietojen täsmällisyys, tietojen minimointi, asianmukaisuus ja läpinäkyvyys, ja varmistettava tietoturva, esimerkiksi viimeisintä kehitystä edustavan salaustekniikan käyttäminen. Asetuksessa (EU) 2016/679 vahvistettuja sisäänrakennetun ja oletusarvoisen tietosuojan vaatimuksia olisi hyödynnettävä täysimääräisesti. |
| --- | --- |

(51)

Jäsenvaltioiden olisi kannustettava käyttämään mitä tahansa innovatiivista teknologiaa, myös tekoälyä, jonka käyttö voisi parantaa kyberhyökkäysten havaitsemista ja ehkäisemistä ja mahdollistaa resurssien tehokkaamman kohdentamisen kyberhyökkäyksiin. Jäsenvaltioiden olisi sen vuoksi edistettävä kansallisissa kyberturvallisuusstrategioissaan tutkimus- ja kehitystoimia, joilla helpotetaan tällaisten teknologioiden, erityisesti automatisoituihin tai puoliautomaattisiin kyberturvallisuustyökaluihin liittyvien teknologioiden, käyttöä sekä tarvittaessa tällaisen teknologian käyttäjien kouluttamiseen ja sen parantamiseen tarvittavien tietojen jakamista. Käytettäessä mitä tahansa innovatiivista teknologiaa, myös tekoälyä, olisi noudatettava unionin tietosuojalainsäädäntöä ja tietosuojaperiaatteita, joita ovat tietojen täsmällisyys, tietojen minimointi, asianmukaisuus ja läpinäkyvyys, ja varmistettava tietoturva, esimerkiksi viimeisintä kehitystä edustavan salaustekniikan käyttäminen. Asetuksessa (EU) 2016/679 vahvistettuja sisäänrakennetun ja oletusarvoisen tietosuojan vaatimuksia olisi hyödynnettävä täysimääräisesti.

| (52) | Avoimen lähdekoodin kyberturvallisuustyökalut ja -sovellukset voivat osaltaan lisätä avoimuutta, ja niillä voi olla myönteinen vaikutus teollisen innovoinnin tehokkuuteen. Avoimet standardit helpottavat turvallisuustyökalujen yhteentoimivuutta, mikä edistää teollisuuden sidosryhmien turvallisuutta. Avoimen lähdekoodin kyberturvallisuustyökaluissa ja -sovelluksissa voidaan hyödyntää laajempaa kehittäjäyhteisöä, minkä ansiosta toimijat voivat monipuolistaa toimittajapohjaansa. Avoimen lähdekoodin käyttö voi tehdä kyberturvallisuustyökalujen varmennusprosessista läpinäkyvämmän ja haavoittuvuuksien havaitsemisesta yhteisövetoista. Jäsenvaltioiden olisi siksi voitava edistää avoimen lähdekoodin ohjelmistojen ja avointen standardien käyttöä toimintaperiaatteilla, jotka liittyvät avoimen datan ja avoimen lähdekoodin käyttöön osana avoimuuteen perustuvaa turvallisuutta. Toimintaperiaatteet, joilla edistetään avoimen lähdekoodin kyberturvallisuustyökalujen käyttöönottoa ja kestävää käyttöä, ovat erityisen tärkeitä pienille ja keskisuurille yrityksille, joille täytäntöönpanosta aiheutuu huomattavia kustannuksia, jotka voitaisiin minimoida vähentämällä erityisten sovellusten tai työkalujen tarvetta. |
| --- | --- |

(52)

Avoimen lähdekoodin kyberturvallisuustyökalut ja -sovellukset voivat osaltaan lisätä avoimuutta, ja niillä voi olla myönteinen vaikutus teollisen innovoinnin tehokkuuteen. Avoimet standardit helpottavat turvallisuustyökalujen yhteentoimivuutta, mikä edistää teollisuuden sidosryhmien turvallisuutta. Avoimen lähdekoodin kyberturvallisuustyökaluissa ja -sovelluksissa voidaan hyödyntää laajempaa kehittäjäyhteisöä, minkä ansiosta toimijat voivat monipuolistaa toimittajapohjaansa. Avoimen lähdekoodin käyttö voi tehdä kyberturvallisuustyökalujen varmennusprosessista läpinäkyvämmän ja haavoittuvuuksien havaitsemisesta yhteisövetoista. Jäsenvaltioiden olisi siksi voitava edistää avoimen lähdekoodin ohjelmistojen ja avointen standardien käyttöä toimintaperiaatteilla, jotka liittyvät avoimen datan ja avoimen lähdekoodin käyttöön osana avoimuuteen perustuvaa turvallisuutta. Toimintaperiaatteet, joilla edistetään avoimen lähdekoodin kyberturvallisuustyökalujen käyttöönottoa ja kestävää käyttöä, ovat erityisen tärkeitä pienille ja keskisuurille yrityksille, joille täytäntöönpanosta aiheutuu huomattavia kustannuksia, jotka voitaisiin minimoida vähentämällä erityisten sovellusten tai työkalujen tarvetta.

| (53) | Julkiset laitokset liitetään kaupungeissa yhä useammin digitaalisiin verkkoihin, jotta voidaan parantaa kaupunkiliikenneverkkoja, vesihuoltoa ja jätehuoltoa sekä tehostaa valaistusta ja rakennusten lämmitystä. Nämä digitalisoidut laitokset ovat alttiita kyberhyökkäyksille ja saattavat kyberhyökkäyksen onnistuessa aiheuttaa kansalaisille suuren mittakaavan haittaa keskinäisten yhteyksiensä vuoksi. Jäsenvaltioiden olisi kehitettävä kansallisessa kyberturvallisuusstrategiassaan toimintaperiaatteita, joilla käsitellään tällaisten verkkoon liitettyjen eli älykkäiden kaupunkien kehittymistä ja niiden mahdollisia vaikutuksia yhteiskuntaan. |
| --- | --- |

(53)

Julkiset laitokset liitetään kaupungeissa yhä useammin digitaalisiin verkkoihin, jotta voidaan parantaa kaupunkiliikenneverkkoja, vesihuoltoa ja jätehuoltoa sekä tehostaa valaistusta ja rakennusten lämmitystä. Nämä digitalisoidut laitokset ovat alttiita kyberhyökkäyksille ja saattavat kyberhyökkäyksen onnistuessa aiheuttaa kansalaisille suuren mittakaavan haittaa keskinäisten yhteyksiensä vuoksi. Jäsenvaltioiden olisi kehitettävä kansallisessa kyberturvallisuusstrategiassaan toimintaperiaatteita, joilla käsitellään tällaisten verkkoon liitettyjen eli älykkäiden kaupunkien kehittymistä ja niiden mahdollisia vaikutuksia yhteiskuntaan.

| (54) | Kiristyshaittaohjelmahyökkäykset, joissa haittaohjelma salaa tietoja ja järjestelmiä ja vaatii lunnaita salauksen purkamisesta, ovat viime vuosina lisääntyneet unionissa räjähdysmäisesti. Kiristyshaittaohjelmahyökkäysten esiintymistiheyttä ja vakavuutta voivat lisätä useat tekijät, kuten erilaiset hyökkäyskuviot, ”kiristyshaittaohjelmapalveluun” ja kryptovaluuttoihin liittyvät rikolliset liiketoimintamallit, lunnasvaatimukset ja toimitusketjuun kohdistuvien hyökkäysten yleistyminen. Jäsenvaltioiden olisi kehitettävä kansallisissa kyberturvallisuusstrategioissaan toimintaperiaatteet, joilla puututaan kiristyshaittaohjelmahyökkäysten lisääntymiseen. |
| --- | --- |

(54)

Kiristyshaittaohjelmahyökkäykset, joissa haittaohjelma salaa tietoja ja järjestelmiä ja vaatii lunnaita salauksen purkamisesta, ovat viime vuosina lisääntyneet unionissa räjähdysmäisesti. Kiristyshaittaohjelmahyökkäysten esiintymistiheyttä ja vakavuutta voivat lisätä useat tekijät, kuten erilaiset hyökkäyskuviot, ”kiristyshaittaohjelmapalveluun” ja kryptovaluuttoihin liittyvät rikolliset liiketoimintamallit, lunnasvaatimukset ja toimitusketjuun kohdistuvien hyökkäysten yleistyminen. Jäsenvaltioiden olisi kehitettävä kansallisissa kyberturvallisuusstrategioissaan toimintaperiaatteet, joilla puututaan kiristyshaittaohjelmahyökkäysten lisääntymiseen.

| (55) | Julkisen ja yksityisen sektorin kyberturvallisuusalan kumppanuudet voivat tarjota tarkoituksenmukaiset puitteet osaamisen vaihdolle, parhaiden käytäntöjen jakamiselle ja yleisen tietoisuuden lisäämiselle sidosryhmien keskuudessa. Jäsenvaltioiden olisi edistettävä toimintaperiaatteita, joilla tuetaan julkisen ja yksityisen sektorin kyberturvallisuuskumppanuuksien perustamista. Näissä toimintaperiaatteissa olisi selvennettävä muun muassa soveltamisala, mukana olevat sidosryhmät, hallintomalli, käytettävissä olevat rahoitusvaihtoehdot ja osallistuvien sidosryhmien vuorovaikutus julkisen ja yksityisen sektorin kumppanuuksien kanssa. Julkisen ja yksityisen sektorin kumppanuudet voivat hyödyntää yksityisen sektorin toimijoiden asiantuntemusta auttaakseen toimivaltaisia viranomaisia kehittämään viimeisintä kehitystä edustavia palveluja ja prosesseja, muun muassa tietojenvaihdon, ennakkovaroitusten, kyberuhka- ja poikkeamaharjoitusten, kriisinhallinnan ja resilienssisuunnittelun aloilla. |
| --- | --- |

(55)

Julkisen ja yksityisen sektorin kyberturvallisuusalan kumppanuudet voivat tarjota tarkoituksenmukaiset puitteet osaamisen vaihdolle, parhaiden käytäntöjen jakamiselle ja yleisen tietoisuuden lisäämiselle sidosryhmien keskuudessa. Jäsenvaltioiden olisi edistettävä toimintaperiaatteita, joilla tuetaan julkisen ja yksityisen sektorin kyberturvallisuuskumppanuuksien perustamista. Näissä toimintaperiaatteissa olisi selvennettävä muun muassa soveltamisala, mukana olevat sidosryhmät, hallintomalli, käytettävissä olevat rahoitusvaihtoehdot ja osallistuvien sidosryhmien vuorovaikutus julkisen ja yksityisen sektorin kumppanuuksien kanssa. Julkisen ja yksityisen sektorin kumppanuudet voivat hyödyntää yksityisen sektorin toimijoiden asiantuntemusta auttaakseen toimivaltaisia viranomaisia kehittämään viimeisintä kehitystä edustavia palveluja ja prosesseja, muun muassa tietojenvaihdon, ennakkovaroitusten, kyberuhka- ja poikkeamaharjoitusten, kriisinhallinnan ja resilienssisuunnittelun aloilla.

| (56) | Jäsenvaltioiden olisi käsiteltävä kansallisissa kyberturvallisuusstrategioissaan pienten ja keskisuurten yritysten erityisiä kyberturvallisuustarpeita. Pienten ja keskisuurten yritysten prosenttiosuus teollisen ja liiketoiminnan markkinoilla on suuri eri puolilla unionia, ja niillä on usein vaikeuksia mukautua uusiin liiketoimintakäytäntöihin yhä tiiviimpien yhteyksien maailmassa ja digitaaliseen toimintaympäristöön, jossa työntekijät työskentelevät kotoa käsin ja liiketoimintaa harjoitetaan yhä enemmän verkossa. Joillakin pienillä ja keskisuurilla yrityksillä on erityisiä kyberturvallisuushaasteita, kuten vähäinen kybertietoisuus, etätietoturvan puuttuminen, kyberturvallisuusratkaisujen korkeat kustannukset ja esimerkiksi kiristyshaittaohjelmista johtuva kohonnut uhkataso, minkä takia niiden olisi saatava ohjausta ja tukea. Pienet ja keskisuuret yritykset joutuvat yhä useammin toimitusketjuun kohdistuvien hyökkäysten kohteeksi, koska niiden kyberturvallisuusriskien hallintatoimenpiteet ja kyberhyökkäysten hallinta eivät ole yhtä kehittyneitä ja koska niillä on rajalliset turvallisuusresurssit. Tällaiset toimitusketjuun kohdistuvat hyökkäykset vaikuttavat yksittäisiin pieniin ja keskisuuriin yrityksiin ja niiden toimintoihin, mutta ne voivat myös laajentua ketjureaktiona sellaisiin toimijoihin kohdistuviksi hyökkäyksiksi, joiden toimittajia yritykset ovat. Jäsenvaltioiden olisi kansallisten kyberturvallisuusstrategioidensa välityksellä autettava pieniä ja keskisuuria yrityksiä vastaamaan toimitusketjujensa haasteisiin. Jäsenvaltioilla olisi oltava pieniä ja keskisuuria yrityksiä kansallisella tai alueellisella tasolla palveleva yhteyspiste, joka joko antaa ohjausta ja tukea pienille ja keskisuurille yrityksille tai ohjaa ne ottamaan yhteyttä asianmukaisiin elimiin, jotka antavat ohjausta ja tukea kyberturvallisuuteen liittyvissä kysymyksissä. Jäsenvaltioita kannustetaan myös tarjoamaan sellaisia palveluja kuin verkkosivuston konfigurointi ja lokikirjanpidon aktivointi mikroyrityksille ja pienille yrityksille, joilta puuttuvat tällaiset valmiudet. |
| --- | --- |

(56)

Jäsenvaltioiden olisi käsiteltävä kansallisissa kyberturvallisuusstrategioissaan pienten ja keskisuurten yritysten erityisiä kyberturvallisuustarpeita. Pienten ja keskisuurten yritysten prosenttiosuus teollisen ja liiketoiminnan markkinoilla on suuri eri puolilla unionia, ja niillä on usein vaikeuksia mukautua uusiin liiketoimintakäytäntöihin yhä tiiviimpien yhteyksien maailmassa ja digitaaliseen toimintaympäristöön, jossa työntekijät työskentelevät kotoa käsin ja liiketoimintaa harjoitetaan yhä enemmän verkossa. Joillakin pienillä ja keskisuurilla yrityksillä on erityisiä kyberturvallisuushaasteita, kuten vähäinen kybertietoisuus, etätietoturvan puuttuminen, kyberturvallisuusratkaisujen korkeat kustannukset ja esimerkiksi kiristyshaittaohjelmista johtuva kohonnut uhkataso, minkä takia niiden olisi saatava ohjausta ja tukea. Pienet ja keskisuuret yritykset joutuvat yhä useammin toimitusketjuun kohdistuvien hyökkäysten kohteeksi, koska niiden kyberturvallisuusriskien hallintatoimenpiteet ja kyberhyökkäysten hallinta eivät ole yhtä kehittyneitä ja koska niillä on rajalliset turvallisuusresurssit. Tällaiset toimitusketjuun kohdistuvat hyökkäykset vaikuttavat yksittäisiin pieniin ja keskisuuriin yrityksiin ja niiden toimintoihin, mutta ne voivat myös laajentua ketjureaktiona sellaisiin toimijoihin kohdistuviksi hyökkäyksiksi, joiden toimittajia yritykset ovat. Jäsenvaltioiden olisi kansallisten kyberturvallisuusstrategioidensa välityksellä autettava pieniä ja keskisuuria yrityksiä vastaamaan toimitusketjujensa haasteisiin. Jäsenvaltioilla olisi oltava pieniä ja keskisuuria yrityksiä kansallisella tai alueellisella tasolla palveleva yhteyspiste, joka joko antaa ohjausta ja tukea pienille ja keskisuurille yrityksille tai ohjaa ne ottamaan yhteyttä asianmukaisiin elimiin, jotka antavat ohjausta ja tukea kyberturvallisuuteen liittyvissä kysymyksissä. Jäsenvaltioita kannustetaan myös tarjoamaan sellaisia palveluja kuin verkkosivuston konfigurointi ja lokikirjanpidon aktivointi mikroyrityksille ja pienille yrityksille, joilta puuttuvat tällaiset valmiudet.

| (57) | Jäsenvaltioiden olisi otettava kansallisissa kyberturvallisuusstrategioissaan käyttöön toimintaperiaatteita, jotka koskevat aktiivisen kybersuojauksen edistämistä osana laajempaa puolustusstrategiaa. Reaktiivisen reagoinnin vastakohtana aktiivisella kybersuojauksella tarkoitetaan verkon tietoturvaloukkausten aktiivista ehkäisemistä, havaitsemista, seurantaa, analysointia ja lieventämistä, joihin yhdistyy valmiuksien käyttö hyökkäyksen uhriksi joutuneessa verkossa ja sen ulkopuolella. Tähän voisivat kuulua jäsenvaltioiden tietyille toimijoille maksutta tarjoamat palvelut tai työkalut, mukaan lukien itsepalveluna tehtävät tarkastukset, havaitsemisvälineet ja poistopalvelut. Kyky jakaa ja ymmärtää nopeasti ja automaattisesti uhkatietoja ja -analyyseja, kyberaktiivisuushälytyksiä ja hallintatoimia on ratkaisevan tärkeä, jotta mahdollistetaan toimien yhtenäisyys verkko- ja tietojärjestelmiin kohdistuvien hyökkäysten onnistunutta ehkäisemistä, havaitsemista, käsittelyä ja estämistä varten. Aktiivinen kybersuojaus perustuu puolustusstrategiaan, johon ei sisälly hyökkääviä toimenpiteitä. |
| --- | --- |

(57)

Jäsenvaltioiden olisi otettava kansallisissa kyberturvallisuusstrategioissaan käyttöön toimintaperiaatteita, jotka koskevat aktiivisen kybersuojauksen edistämistä osana laajempaa puolustusstrategiaa. Reaktiivisen reagoinnin vastakohtana aktiivisella kybersuojauksella tarkoitetaan verkon tietoturvaloukkausten aktiivista ehkäisemistä, havaitsemista, seurantaa, analysointia ja lieventämistä, joihin yhdistyy valmiuksien käyttö hyökkäyksen uhriksi joutuneessa verkossa ja sen ulkopuolella. Tähän voisivat kuulua jäsenvaltioiden tietyille toimijoille maksutta tarjoamat palvelut tai työkalut, mukaan lukien itsepalveluna tehtävät tarkastukset, havaitsemisvälineet ja poistopalvelut. Kyky jakaa ja ymmärtää nopeasti ja automaattisesti uhkatietoja ja -analyyseja, kyberaktiivisuushälytyksiä ja hallintatoimia on ratkaisevan tärkeä, jotta mahdollistetaan toimien yhtenäisyys verkko- ja tietojärjestelmiin kohdistuvien hyökkäysten onnistunutta ehkäisemistä, havaitsemista, käsittelyä ja estämistä varten. Aktiivinen kybersuojaus perustuu puolustusstrategiaan, johon ei sisälly hyökkääviä toimenpiteitä.

| (58) | Koska verkko- ja tietojärjestelmien haavoittuvuuksien hyödyntäminen voi aiheuttaa merkittäviä häiriöitä ja haittoja, tällaisten haavoittuvuuksien nopea tunnistaminen ja korjaaminen on tärkeä tekijä riskin vähentämisessä. Verkko- ja tietojärjestelmiä kehittävien tai hallinnoivien toimijoiden olisi sen vuoksi otettava käyttöön asianmukaiset menettelyt haavoittuvuuksien käsittelemiseksi, kun niitä havaitaan. Koska haavoittuvuuksia havaitsevat ja julkistavat usein kolmannet osapuolet, TVT-tuotteiden valmistajan tai TVT-palvelujen tarjoajan olisi myös otettava käyttöön tarvittavat menettelyt haavoittuvuustietojen saamiseksi kolmansilta osapuolilta. Tältä osin kansainvälisissä standardeissa ISO/IEC 30111 ja ISO/IEC 29147 annetaan ohjeita haavoittuvuuksien käsittelystä ja haavoittuvuuksien julkistamisesta. On erityisen tärkeää lujittaa toimien koordinointia raportoivien luonnollisten henkilöiden ja oikeushenkilöiden ja TVT-tuotteiden tai TVT-palvelujen valmistajien tai tarjoajien välillä, jotta voidaan edistää haavoittuvuuksien julkistamisen vapaaehtoista kehystä. Koordinoitu haavoittuvuuksien julkistaminen on jäsennelty prosessi, jossa haavoittuvuuksista ilmoitetaan mahdollisesti haavoittuvien TVT-tuotteiden tai TVT-palvelujen valmistajalle tai tarjoajalle, jotta se voi diagnosoida haavoittuvuuden ja korjata sen ennen kuin yksityiskohtaiset haavoittuvuustiedot julkistetaan kolmansille osapuolille tai yleisölle. Koordinoituun haavoittuvuuksien julkistamiseen olisi kuuluttava myös haavoittuvuuksien korjaamisen ja julkistamisen aikataulua koskeva raportoivan luonnollisen henkilön tai oikeushenkilön ja mahdollisesti haavoittuvien TVT-tuotteiden tai TVT-palvelujen valmistajan tai tarjoajan välinen yhteensovittaminen. |
| --- | --- |

(58)

Koska verkko- ja tietojärjestelmien haavoittuvuuksien hyödyntäminen voi aiheuttaa merkittäviä häiriöitä ja haittoja, tällaisten haavoittuvuuksien nopea tunnistaminen ja korjaaminen on tärkeä tekijä riskin vähentämisessä. Verkko- ja tietojärjestelmiä kehittävien tai hallinnoivien toimijoiden olisi sen vuoksi otettava käyttöön asianmukaiset menettelyt haavoittuvuuksien käsittelemiseksi, kun niitä havaitaan. Koska haavoittuvuuksia havaitsevat ja julkistavat usein kolmannet osapuolet, TVT-tuotteiden valmistajan tai TVT-palvelujen tarjoajan olisi myös otettava käyttöön tarvittavat menettelyt haavoittuvuustietojen saamiseksi kolmansilta osapuolilta. Tältä osin kansainvälisissä standardeissa ISO/IEC 30111 ja ISO/IEC 29147 annetaan ohjeita haavoittuvuuksien käsittelystä ja haavoittuvuuksien julkistamisesta. On erityisen tärkeää lujittaa toimien koordinointia raportoivien luonnollisten henkilöiden ja oikeushenkilöiden ja TVT-tuotteiden tai TVT-palvelujen valmistajien tai tarjoajien välillä, jotta voidaan edistää haavoittuvuuksien julkistamisen vapaaehtoista kehystä. Koordinoitu haavoittuvuuksien julkistaminen on jäsennelty prosessi, jossa haavoittuvuuksista ilmoitetaan mahdollisesti haavoittuvien TVT-tuotteiden tai TVT-palvelujen valmistajalle tai tarjoajalle, jotta se voi diagnosoida haavoittuvuuden ja korjata sen ennen kuin yksityiskohtaiset haavoittuvuustiedot julkistetaan kolmansille osapuolille tai yleisölle. Koordinoituun haavoittuvuuksien julkistamiseen olisi kuuluttava myös haavoittuvuuksien korjaamisen ja julkistamisen aikataulua koskeva raportoivan luonnollisen henkilön tai oikeushenkilön ja mahdollisesti haavoittuvien TVT-tuotteiden tai TVT-palvelujen valmistajan tai tarjoajan välinen yhteensovittaminen.

| (59) | Komission, ENISAn ja jäsenvaltioiden olisi edelleen edistettävä mukautumista kansainvälisiin standardeihin ja toimialan nykyisiin parhaisiin käytäntöihin kyberturvallisuusriskien hallinnan alalla, esimerkiksi toimitusketjujen turvallisuusarvioinneissa, tietojenvaihdossa ja haavoittuvuuksien julkistamisessa. |
| --- | --- |

(59)

Komission, ENISAn ja jäsenvaltioiden olisi edelleen edistettävä mukautumista kansainvälisiin standardeihin ja toimialan nykyisiin parhaisiin käytäntöihin kyberturvallisuusriskien hallinnan alalla, esimerkiksi toimitusketjujen turvallisuusarvioinneissa, tietojenvaihdossa ja haavoittuvuuksien julkistamisessa.

| (60) | Jäsenvaltioiden olisi yhteistyössä ENISAn kanssa toteutettava toimenpiteitä koordinoidun haavoittuvuuksien julkistamisen helpottamiseksi laatimalla asiaa koskevat kansalliset toimintaperiaatteet. Jäsenvaltioiden olisi kansallisissa toimintaperiaatteissaan pyrittävä mahdollisuuksien mukaan ratkaisemaan haavoittuvuuksia tutkivien kohtaamat haasteet, myös rikosoikeudelliseen vastuuseen joutumisen mahdollisuus, kansallisen lainsäädäntönsä mukaisesti. Koska haavoittuvuuksia tutkivat luonnolliset henkilöt ja oikeushenkilöt voisivat joissakin jäsenvaltioissa joutua rikosoikeudelliseen ja siviilioikeudelliseen vastuuseen, jäsenvaltioita kannustetaan antamaan ohjeita tietoturvaa tutkivien syyttämättä jättämisestä ja vapauttamisesta siviilioikeudellisesta vastuusta niiden toiminnan osalta. |
| --- | --- |

(60)

Jäsenvaltioiden olisi yhteistyössä ENISAn kanssa toteutettava toimenpiteitä koordinoidun haavoittuvuuksien julkistamisen helpottamiseksi laatimalla asiaa koskevat kansalliset toimintaperiaatteet. Jäsenvaltioiden olisi kansallisissa toimintaperiaatteissaan pyrittävä mahdollisuuksien mukaan ratkaisemaan haavoittuvuuksia tutkivien kohtaamat haasteet, myös rikosoikeudelliseen vastuuseen joutumisen mahdollisuus, kansallisen lainsäädäntönsä mukaisesti. Koska haavoittuvuuksia tutkivat luonnolliset henkilöt ja oikeushenkilöt voisivat joissakin jäsenvaltioissa joutua rikosoikeudelliseen ja siviilioikeudelliseen vastuuseen, jäsenvaltioita kannustetaan antamaan ohjeita tietoturvaa tutkivien syyttämättä jättämisestä ja vapauttamisesta siviilioikeudellisesta vastuusta niiden toiminnan osalta.

| (61) | Jäsenvaltioiden olisi nimettävä yksi CSIRT-yksiköistään koordinaattoriksi, joka toimii tarvittaessa luotettuna välittäjänä raportoivien luonnollisten henkilöiden tai oikeushenkilöiden ja sellaisten TVT-tuotteiden tai TVT-palvelujen valmistajien tai tarjoajien, joihin haavoittuvuus todennäköisesti vaikuttaa, välillä. Koordinaattoriksi nimetyn CSIRT-yksikön tehtäviin olisi kuuluttava asianomaisten toimijoiden tunnistaminen ja yhteyden ottaminen niihin, haavoittuvuudesta ilmoittavien luonnollisten henkilöiden tai oikeushenkilöiden avustaminen, julkistamisen aikataulusta neuvotteleminen ja useisiin toimijoihin vaikuttavien haavoittuvuuksien hallinta (monenvälinen koordinoitu haavoittuvuuden julkistaminen). Jos ilmoitetulla haavoittuvuudella voi olla merkittävä vaikutus useamman kuin yhden jäsenvaltion toimijoihin, koordinaattoriksi nimettyjen CSIRT-yksiköiden olisi tarvittaessa tehtävä yhteistyötä CSIRT-verkostossa. |
| --- | --- |

(61)

Jäsenvaltioiden olisi nimettävä yksi CSIRT-yksiköistään koordinaattoriksi, joka toimii tarvittaessa luotettuna välittäjänä raportoivien luonnollisten henkilöiden tai oikeushenkilöiden ja sellaisten TVT-tuotteiden tai TVT-palvelujen valmistajien tai tarjoajien, joihin haavoittuvuus todennäköisesti vaikuttaa, välillä. Koordinaattoriksi nimetyn CSIRT-yksikön tehtäviin olisi kuuluttava asianomaisten toimijoiden tunnistaminen ja yhteyden ottaminen niihin, haavoittuvuudesta ilmoittavien luonnollisten henkilöiden tai oikeushenkilöiden avustaminen, julkistamisen aikataulusta neuvotteleminen ja useisiin toimijoihin vaikuttavien haavoittuvuuksien hallinta (monenvälinen koordinoitu haavoittuvuuden julkistaminen). Jos ilmoitetulla haavoittuvuudella voi olla merkittävä vaikutus useamman kuin yhden jäsenvaltion toimijoihin, koordinaattoriksi nimettyjen CSIRT-yksiköiden olisi tarvittaessa tehtävä yhteistyötä CSIRT-verkostossa.

| (62) | Nopea paikkansapitävien tietojen saanti TVT-tuotteisiin ja TVT-palveluihin vaikuttavista haavoittuvuuksista parantaa kyberturvallisuusriskien hallintaa. Julkisesti saatavilla olevat haavoittuvuuksia koskevat tietolähteet ovat tärkeä apuväline toimijoille ja niiden palvelujen käyttäjille mutta myös toimivaltaisille viranomaisille ja CSIRT-yksiköille. Tästä syystä ENISAn olisi perustettava Euroopan haavoittuvuustietokanta, johon toimijat riippumatta siitä, kuuluvatko ne tämän direktiivin soveltamisalaan, ja niiden verkko- ja tietojärjestelmien toimittajat sekä toimivaltaiset viranomaiset ja CSIRT-yksiköt voivat vapaaehtoisesti ilmoittaa ja kirjata julkisesti tiedossa olevia haavoittuvuuksia, jotta käyttäjät voivat toteuttaa asianmukaisia lieventäviä toimenpiteitä. Tietokannan tarkoituksena on ratkoa riskien unionin toimijoille aiheuttamia ainutlaatuisia haasteita. ENISAn olisi lisäksi otettava käyttöön julkistamisprosessia koskeva asianmukainen menettely, jotta toimijoilla on aikaa toteuttaa haavoittuvuuksiaan lieventäviä toimenpiteitä, ja sovellettava viimeisintä kehitystä edustavia kyberturvallisuusriskien hallintatoimenpiteitä sekä käytettävä koneluettavia tietoaineistoja ja vastaavia rajapintoja. Jotta voidaan edistää toimintakulttuuria, jossa haavoittuvuudet julkistetaan, julkistamisesta ei saisi aiheutua haittaa raportoivalle luonnolliselle henkilölle tai oikeushenkilölle. |
| --- | --- |

(62)

Nopea paikkansapitävien tietojen saanti TVT-tuotteisiin ja TVT-palveluihin vaikuttavista haavoittuvuuksista parantaa kyberturvallisuusriskien hallintaa. Julkisesti saatavilla olevat haavoittuvuuksia koskevat tietolähteet ovat tärkeä apuväline toimijoille ja niiden palvelujen käyttäjille mutta myös toimivaltaisille viranomaisille ja CSIRT-yksiköille. Tästä syystä ENISAn olisi perustettava Euroopan haavoittuvuustietokanta, johon toimijat riippumatta siitä, kuuluvatko ne tämän direktiivin soveltamisalaan, ja niiden verkko- ja tietojärjestelmien toimittajat sekä toimivaltaiset viranomaiset ja CSIRT-yksiköt voivat vapaaehtoisesti ilmoittaa ja kirjata julkisesti tiedossa olevia haavoittuvuuksia, jotta käyttäjät voivat toteuttaa asianmukaisia lieventäviä toimenpiteitä. Tietokannan tarkoituksena on ratkoa riskien unionin toimijoille aiheuttamia ainutlaatuisia haasteita. ENISAn olisi lisäksi otettava käyttöön julkistamisprosessia koskeva asianmukainen menettely, jotta toimijoilla on aikaa toteuttaa haavoittuvuuksiaan lieventäviä toimenpiteitä, ja sovellettava viimeisintä kehitystä edustavia kyberturvallisuusriskien hallintatoimenpiteitä sekä käytettävä koneluettavia tietoaineistoja ja vastaavia rajapintoja. Jotta voidaan edistää toimintakulttuuria, jossa haavoittuvuudet julkistetaan, julkistamisesta ei saisi aiheutua haittaa raportoivalle luonnolliselle henkilölle tai oikeushenkilölle.

| (63) | Vaikka vastaavia haavoittuvuusrekistereitä tai -tietokantoja on olemassa, niitä hallinnoivat ja ylläpitävät tahot, jotka eivät ole sijoittautuneet unioniin. ENISAn ylläpitämä Euroopan haavoittuvuustietokanta lisäisi julkistamisprosessin läpinäkyvyyttä ennen haavoittuvuuden julkistamista yleisölle ja häiriönsietokykyä tilanteissa, joissa samankaltaisten palvelujen tarjonta häiriintyy tai keskeytyy. Jotta voidaan mahdollisimman pitkälle välttää toimien päällekkäisyyttä ja lisätä täydentävyyttä, ENISAn olisi tutkittava mahdollisuutta tehdä sopimuksia jäsennellystä yhteistyöstä kolmannen maan lainkäyttövaltaan kuuluvien vastaavien rekisterien tai tietokantojen kanssa. ENISAn olisi erityisesti tutkittava mahdollisuutta tehdä tiivistä yhteistyötä CVE-järjestelmän (Common Vulnerabilities and Exposures, tunnetut haavoittuvuudet ja tietoturvapuutteet) ylläpitäjien kanssa. |
| --- | --- |

(63)

Vaikka vastaavia haavoittuvuusrekistereitä tai -tietokantoja on olemassa, niitä hallinnoivat ja ylläpitävät tahot, jotka eivät ole sijoittautuneet unioniin. ENISAn ylläpitämä Euroopan haavoittuvuustietokanta lisäisi julkistamisprosessin läpinäkyvyyttä ennen haavoittuvuuden julkistamista yleisölle ja häiriönsietokykyä tilanteissa, joissa samankaltaisten palvelujen tarjonta häiriintyy tai keskeytyy. Jotta voidaan mahdollisimman pitkälle välttää toimien päällekkäisyyttä ja lisätä täydentävyyttä, ENISAn olisi tutkittava mahdollisuutta tehdä sopimuksia jäsennellystä yhteistyöstä kolmannen maan lainkäyttövaltaan kuuluvien vastaavien rekisterien tai tietokantojen kanssa. ENISAn olisi erityisesti tutkittava mahdollisuutta tehdä tiivistä yhteistyötä CVE-järjestelmän (Common Vulnerabilities and Exposures, tunnetut haavoittuvuudet ja tietoturvapuutteet) ylläpitäjien kanssa.

| (64) | Yhteistyöryhmän olisi tuettava ja helpotettava strategista yhteistyötä ja tietojenvaihtoa sekä vahvistettava jäsenvaltioiden keskinäistä luottamusta. Yhteistyöryhmän olisi laadittava joka toinen vuosi työohjelma. Työohjelman olisi sisällettävä toimet, jotka yhteistyöryhmän on määrä toteuttaa tavoitteidensa saavuttamiseksi ja tehtäviensä hoitamiseksi. Tämän direktiivin mukaisen ensimmäisen työohjelman aikataulu olisi sovitettava direktiivin (EU) 2016/1148 mukaisesti laaditun viimeisen työohjelman aikatauluun, jotta vältetään mahdolliset häiriöt yhteistyöryhmän työssä. |
| --- | --- |

(64)

Yhteistyöryhmän olisi tuettava ja helpotettava strategista yhteistyötä ja tietojenvaihtoa sekä vahvistettava jäsenvaltioiden keskinäistä luottamusta. Yhteistyöryhmän olisi laadittava joka toinen vuosi työohjelma. Työohjelman olisi sisällettävä toimet, jotka yhteistyöryhmän on määrä toteuttaa tavoitteidensa saavuttamiseksi ja tehtäviensä hoitamiseksi. Tämän direktiivin mukaisen ensimmäisen työohjelman aikataulu olisi sovitettava direktiivin (EU) 2016/1148 mukaisesti laaditun viimeisen työohjelman aikatauluun, jotta vältetään mahdolliset häiriöt yhteistyöryhmän työssä.

| (65) | Laatiessaan ohjeasiakirjoja yhteistyöryhmän olisi säännönmukaisesti kartoitettava kansallisia ratkaisuja ja kokemuksia, arvioitava yhteistyöryhmän tulosten vaikutusta kansallisiin lähestymistapoihin, keskusteltava täytäntöönpanon haasteista ja laadittava erityisiä suosituksia etenkin siitä, miten voidaan helpottaa tämän direktiivin yhdenmukaista saattamista osaksi kansallista lainsäädäntöä jäsenvaltioissa, olemassa olevien sääntöjen täytäntöönpanon parantamiseksi. Yhteistyöryhmä voisi myös kartoittaa kansalliset ratkaisut edistääkseen kullakin toimialalla eri puolilla unionia sovellettavien kyberturvallisuusratkaisujen yhteensopivuutta. Tämä koskee varsinkin toimialoja, joilla toiminta on kansainvälistä tai rajatylittävää. |
| --- | --- |

(65)

Laatiessaan ohjeasiakirjoja yhteistyöryhmän olisi säännönmukaisesti kartoitettava kansallisia ratkaisuja ja kokemuksia, arvioitava yhteistyöryhmän tulosten vaikutusta kansallisiin lähestymistapoihin, keskusteltava täytäntöönpanon haasteista ja laadittava erityisiä suosituksia etenkin siitä, miten voidaan helpottaa tämän direktiivin yhdenmukaista saattamista osaksi kansallista lainsäädäntöä jäsenvaltioissa, olemassa olevien sääntöjen täytäntöönpanon parantamiseksi. Yhteistyöryhmä voisi myös kartoittaa kansalliset ratkaisut edistääkseen kullakin toimialalla eri puolilla unionia sovellettavien kyberturvallisuusratkaisujen yhteensopivuutta. Tämä koskee varsinkin toimialoja, joilla toiminta on kansainvälistä tai rajatylittävää.

| (66) | Yhteistyöryhmän olisi pysyttävä joustavana foorumina, ja sen olisi voitava reagoida muuttuviin ja uusiin poliittisiin painopisteisiin ja haasteisiin ottaen samalla huomioon käytettävissä olevat resurssit. Se voisi järjestää eri puolilta unionia tulevien asiaankuuluvien yksityisten sidosryhmien kanssa säännöllisiä yhteisiä kokouksia, joissa keskusteltaisiin yhteistyöryhmän toteuttamista toimista ja kerättäisiin tietoja ja näkemyksiä uusista toimintapoliittisista haasteista. Lisäksi yhteistyöryhmän olisi esitettävä säännöllisesti tilannearvio kyberuhkista tai poikkeamista, kuten kiristyshaittaohjelmista. Unionin tason yhteistyön tehostamiseksi yhteistyöryhmän olisi harkittava kyberturvallisuuspolitiikkaan osallistuvien asiaankuuluvien unionin toimielinten, elinten, laitosten ja virastojen, kuten Euroopan parlamentin, Europolin, Euroopan tietosuojaneuvoston, asetuksella (EU) 2018/1139 perustetun Euroopan unionin lentoturvallisuusviraston ja Euroopan parlamentin ja neuvoston asetuksella (EU) 2021/696 (14) perustetun Euroopan unionin avaruusohjelmaviraston, kutsumista osallistumaan sen työhön. |
| --- | --- |

(66)

Yhteistyöryhmän olisi pysyttävä joustavana foorumina, ja sen olisi voitava reagoida muuttuviin ja uusiin poliittisiin painopisteisiin ja haasteisiin ottaen samalla huomioon käytettävissä olevat resurssit. Se voisi järjestää eri puolilta unionia tulevien asiaankuuluvien yksityisten sidosryhmien kanssa säännöllisiä yhteisiä kokouksia, joissa keskusteltaisiin yhteistyöryhmän toteuttamista toimista ja kerättäisiin tietoja ja näkemyksiä uusista toimintapoliittisista haasteista. Lisäksi yhteistyöryhmän olisi esitettävä säännöllisesti tilannearvio kyberuhkista tai poikkeamista, kuten kiristyshaittaohjelmista. Unionin tason yhteistyön tehostamiseksi yhteistyöryhmän olisi harkittava kyberturvallisuuspolitiikkaan osallistuvien asiaankuuluvien unionin toimielinten, elinten, laitosten ja virastojen, kuten Euroopan parlamentin, Europolin, Euroopan tietosuojaneuvoston, asetuksella (EU) 2018/1139 perustetun Euroopan unionin lentoturvallisuusviraston ja Euroopan parlamentin ja neuvoston asetuksella (EU) 2021/696 (14) perustetun Euroopan unionin avaruusohjelmaviraston, kutsumista osallistumaan sen työhön.

| (67) | Jäsenvaltioiden keskinäisen yhteistyön parantamiseksi ja luottamuksen lujittamiseksi toimivaltaisten viranomaisten ja CSIRT-yksiköiden olisi voitava osallistua muiden jäsenvaltioiden virkamiesvaihtojärjestelmiin erityisjärjestelyjen mukaisesti ja kun tällaisiin vaihtojärjestelmiin osallistuville virkamiehille on tarpeen mukaan tehty vaadittava turvallisuusselvitys. Toimivaltaisten viranomaisten olisi toteutettava tarvittavat toimenpiteet, jotta muiden jäsenvaltioiden virkamiehet voivat tuloksekkaasti osallistua vastaanottavan toimivaltaisen viranomaisen tai vastaanottavan CSIRT-yksikön toimintaan. |
| --- | --- |

(67)

Jäsenvaltioiden keskinäisen yhteistyön parantamiseksi ja luottamuksen lujittamiseksi toimivaltaisten viranomaisten ja CSIRT-yksiköiden olisi voitava osallistua muiden jäsenvaltioiden virkamiesvaihtojärjestelmiin erityisjärjestelyjen mukaisesti ja kun tällaisiin vaihtojärjestelmiin osallistuville virkamiehille on tarpeen mukaan tehty vaadittava turvallisuusselvitys. Toimivaltaisten viranomaisten olisi toteutettava tarvittavat toimenpiteet, jotta muiden jäsenvaltioiden virkamiehet voivat tuloksekkaasti osallistua vastaanottavan toimivaltaisen viranomaisen tai vastaanottavan CSIRT-yksikön toimintaan.

| (68) | Jäsenvaltioiden olisi osallistuttava komission suosituksessa (EU) 2017/1584 (15) esitetyn EU:n kyberturvallisuuden kriisinhallintakehyksen perustamiseen olemassa olevien yhteistyöverkostojen, erityisesti EU-CyCLONen, CSIRT-verkoston ja yhteistyöryhmän, välityksellä. Euroopan kyberkriisien yhteysorganisaatioiden verkoston (EU-CyCLONe) ja CSIRT-verkoston olisi tehtävä yhteistyötä sellaisten menettelytapajärjestelyjen pohjalta, joissa täsmennetään kyseisen yhteistyön yksityiskohdat, ja vältettävä tehtävien päällekkäisyyttä. EU-CyCLONen työjärjestyksessä olisi täsmennettävä tarkemmin verkoston toimintatavat, mukaan lukien verkoston roolit, yhteistyökeinot, vuorovaikutus muiden asiaankuuluvien toimijoiden kanssa ja tietojenvaihdon mallit sekä viestintäkeinot. Unionin tason kriisinhallinnassa asianomaisten osapuolten olisi hyödynnettävä EU:n poliittisen kriisitoiminnan integroituja järjestelyjä, joista säädetään neuvoston täytäntöönpanopäätöksessä (EU) 2018/1993 (16), jäljempänä ’IPCR-järjestelyt’. Komission olisi käytettävä tähän tarkoitukseen ARGUS-järjestelmän korkean tason monialaista kriisinkoordinointiprosessia. Jos kriisiin liittyy merkittävä ulkoinen tai yhteisen turvallisuus- ja puolustuspolitiikan ulottuvuus, olisi aktivoitava Euroopan ulkosuhdehallinnon kriisinhallintamekanismi. |
| --- | --- |

(68)

Jäsenvaltioiden olisi osallistuttava komission suosituksessa (EU) 2017/1584 (15) esitetyn EU:n kyberturvallisuuden kriisinhallintakehyksen perustamiseen olemassa olevien yhteistyöverkostojen, erityisesti EU-CyCLONen, CSIRT-verkoston ja yhteistyöryhmän, välityksellä. Euroopan kyberkriisien yhteysorganisaatioiden verkoston (EU-CyCLONe) ja CSIRT-verkoston olisi tehtävä yhteistyötä sellaisten menettelytapajärjestelyjen pohjalta, joissa täsmennetään kyseisen yhteistyön yksityiskohdat, ja vältettävä tehtävien päällekkäisyyttä. EU-CyCLONen työjärjestyksessä olisi täsmennettävä tarkemmin verkoston toimintatavat, mukaan lukien verkoston roolit, yhteistyökeinot, vuorovaikutus muiden asiaankuuluvien toimijoiden kanssa ja tietojenvaihdon mallit sekä viestintäkeinot. Unionin tason kriisinhallinnassa asianomaisten osapuolten olisi hyödynnettävä EU:n poliittisen kriisitoiminnan integroituja järjestelyjä, joista säädetään neuvoston täytäntöönpanopäätöksessä (EU) 2018/1993 (16), jäljempänä ’IPCR-järjestelyt’. Komission olisi käytettävä tähän tarkoitukseen ARGUS-järjestelmän korkean tason monialaista kriisinkoordinointiprosessia. Jos kriisiin liittyy merkittävä ulkoinen tai yhteisen turvallisuus- ja puolustuspolitiikan ulottuvuus, olisi aktivoitava Euroopan ulkosuhdehallinnon kriisinhallintamekanismi.

| (69) | Suosituksen (EU) 2017/1584 liitteen mukaisesti laajamittaisella kyberturvallisuuspoikkeamalla olisi tarkoitettava poikkeamaa, joka aiheuttaa niin laajan häiriön, ettei yksittäisellä jäsenvaltiolla ole valmiuksia hallita sitä, tai jolla on merkittävä vaikutus vähintään kahteen jäsenvaltioon. Laajamittaiset kyberturvallisuuspoikkeamat voivat aiheuttajasta ja vaikutuksista riippuen kärjistyä ja kehittyä todellisiksi kriiseiksi, jotka estävät sisämarkkinoiden moitteettoman toiminnan tai aiheuttavat vakavia yleiseen turvallisuuteen kohdistuvia riskejä toimijoille tai kansalaisille useissa jäsenvaltioissa tai koko unionissa. Kun otetaan huomioon tällaisten poikkeamien laaja vaikuttavuus ja useimmissa tapauksissa rajatylittävä luonne, jäsenvaltioiden ja asiaankuuluvien unionin toimielinten, elinten, laitosten ja virastojen olisi tehtävä yhteistyötä teknisellä, operatiivisella ja poliittisella tasolla, jotta eri puolilla unionia toteutettavia hallintatoimia voidaan koordinoida asianmukaisesti. |
| --- | --- |

(69)

Suosituksen (EU) 2017/1584 liitteen mukaisesti laajamittaisella kyberturvallisuuspoikkeamalla olisi tarkoitettava poikkeamaa, joka aiheuttaa niin laajan häiriön, ettei yksittäisellä jäsenvaltiolla ole valmiuksia hallita sitä, tai jolla on merkittävä vaikutus vähintään kahteen jäsenvaltioon. Laajamittaiset kyberturvallisuuspoikkeamat voivat aiheuttajasta ja vaikutuksista riippuen kärjistyä ja kehittyä todellisiksi kriiseiksi, jotka estävät sisämarkkinoiden moitteettoman toiminnan tai aiheuttavat vakavia yleiseen turvallisuuteen kohdistuvia riskejä toimijoille tai kansalaisille useissa jäsenvaltioissa tai koko unionissa. Kun otetaan huomioon tällaisten poikkeamien laaja vaikuttavuus ja useimmissa tapauksissa rajatylittävä luonne, jäsenvaltioiden ja asiaankuuluvien unionin toimielinten, elinten, laitosten ja virastojen olisi tehtävä yhteistyötä teknisellä, operatiivisella ja poliittisella tasolla, jotta eri puolilla unionia toteutettavia hallintatoimia voidaan koordinoida asianmukaisesti.

| (70) | Toimialojen ja jäsenvaltioiden suuren keskinäisriippuvuuden vuoksi unionin tason laajamittaiset kyberturvallisuuspoikkeamat ja kriisit edellyttävät koordinoituja toimia nopeiden ja vaikuttavien hallintatoimien varmistamiseksi. Kyberresilienttien verkko- ja tietojärjestelmien saatavuus sekä datan saatavuus, luottamuksellisuus ja eheys ovat elintärkeitä unionin turvallisuuden kannalta ja sen kansalaisten, yritysten ja instituutioiden suojelemiseksi poikkeamilta ja kyberuhkilta ja jotta voidaan lujittaa yksilöiden ja organisaatioiden luottamusta unionin kykyyn edistää ja suojella maailmanlaajuista, avointa, vapaata, vakaata ja turvallista kybertoimintaympäristöä, joka perustuu ihmisoikeuksiin, perusvapauksiin, demokratiaan ja oikeusvaltioon. |
| --- | --- |

(70)

Toimialojen ja jäsenvaltioiden suuren keskinäisriippuvuuden vuoksi unionin tason laajamittaiset kyberturvallisuuspoikkeamat ja kriisit edellyttävät koordinoituja toimia nopeiden ja vaikuttavien hallintatoimien varmistamiseksi. Kyberresilienttien verkko- ja tietojärjestelmien saatavuus sekä datan saatavuus, luottamuksellisuus ja eheys ovat elintärkeitä unionin turvallisuuden kannalta ja sen kansalaisten, yritysten ja instituutioiden suojelemiseksi poikkeamilta ja kyberuhkilta ja jotta voidaan lujittaa yksilöiden ja organisaatioiden luottamusta unionin kykyyn edistää ja suojella maailmanlaajuista, avointa, vapaata, vakaata ja turvallista kybertoimintaympäristöä, joka perustuu ihmisoikeuksiin, perusvapauksiin, demokratiaan ja oikeusvaltioon.

| (71) | EU-CyCLONen olisi toimittava teknisen ja poliittisen tason välisenä yhdyssiteenä laajamittaisten kyberturvallisuuspoikkeamien ja kriisien aikana, ja sen olisi tehostettava operatiivisen tason yhteistyötä ja tuettava poliittisen tason päätöksentekoa. EU-CyCLONen olisi hyödynnettävä CSIRT-verkoston havaintoja ja omia valmiuksiaan, kun se analysoi laajamittaisten kyberturvallisuuspoikkeamien ja kriisien vaikutuksia yhteistyössä komission kanssa ottaen huomioon komission kompetenssin kriisinhallinnan alalla. |
| --- | --- |

(71)

EU-CyCLONen olisi toimittava teknisen ja poliittisen tason välisenä yhdyssiteenä laajamittaisten kyberturvallisuuspoikkeamien ja kriisien aikana, ja sen olisi tehostettava operatiivisen tason yhteistyötä ja tuettava poliittisen tason päätöksentekoa. EU-CyCLONen olisi hyödynnettävä CSIRT-verkoston havaintoja ja omia valmiuksiaan, kun se analysoi laajamittaisten kyberturvallisuuspoikkeamien ja kriisien vaikutuksia yhteistyössä komission kanssa ottaen huomioon komission kompetenssin kriisinhallinnan alalla.

| (72) | Kyberhyökkäykset ovat luonteeltaan rajatylittäviä, ja merkittävä poikkeama voi häiritä ja vahingoittaa kriittisiä tietoinfrastruktuureja, joista sisämarkkinoiden moitteeton toiminta on riippuvainen. Suosituksessa (EU) 2017/1584 käsitellään kaikkien asianomaisten toimijoiden roolia. Komissio vastaa Euroopan parlamentin ja neuvoston päätöksellä N:o 1313/2013/EU (17) perustetun unionin pelastuspalvelumekanismin puitteissa yleisistä valmiustoimista, joihin kuuluvat hätäavun koordinointikeskuksen ja yhteisen hätäviestintä- ja tietojärjestelmän hallinnointi, tilannetietoisuus- ja -analyysivalmiuden ylläpito ja edelleen kehittäminen sekä valmiuksien luominen ja ylläpito niin, että voidaan koota ja lähettää paikan päälle asiantuntijaryhmiä, jos jäsenvaltio tai kolmas maa esittää avunpyynnön. Komissio vastaa lisäksi analyysiraporttien laatimisesta täytäntöönpanopäätöksen (EU) 2018/1993 mukaisia IPCR-järjestelyjä varten, mukaan lukien kyberturvallisuustilannekuva ja -valmiudet, sekä tilannekuvasta ja kriisitoiminnasta maatalouden, vaikeiden sääolojen, konfliktien kartoituksen ja ennustamisen, luonnonkatastrofeja koskevien ennakkovaroitusjärjestelmien, terveysuhkien, tartuntatautien seurannan, kasvien terveyden, kemiallisten vaaratilanteiden, elintarvikkeiden ja rehujen turvallisuuden, eläinten terveyden, muuttoliikkeen, tullin, ydinvoima- ja säteilyhätätilanteiden ja energian aloilla. |
| --- | --- |

(72)

Kyberhyökkäykset ovat luonteeltaan rajatylittäviä, ja merkittävä poikkeama voi häiritä ja vahingoittaa kriittisiä tietoinfrastruktuureja, joista sisämarkkinoiden moitteeton toiminta on riippuvainen. Suosituksessa (EU) 2017/1584 käsitellään kaikkien asianomaisten toimijoiden roolia. Komissio vastaa Euroopan parlamentin ja neuvoston päätöksellä N:o 1313/2013/EU (17) perustetun unionin pelastuspalvelumekanismin puitteissa yleisistä valmiustoimista, joihin kuuluvat hätäavun koordinointikeskuksen ja yhteisen hätäviestintä- ja tietojärjestelmän hallinnointi, tilannetietoisuus- ja -analyysivalmiuden ylläpito ja edelleen kehittäminen sekä valmiuksien luominen ja ylläpito niin, että voidaan koota ja lähettää paikan päälle asiantuntijaryhmiä, jos jäsenvaltio tai kolmas maa esittää avunpyynnön. Komissio vastaa lisäksi analyysiraporttien laatimisesta täytäntöönpanopäätöksen (EU) 2018/1993 mukaisia IPCR-järjestelyjä varten, mukaan lukien kyberturvallisuustilannekuva ja -valmiudet, sekä tilannekuvasta ja kriisitoiminnasta maatalouden, vaikeiden sääolojen, konfliktien kartoituksen ja ennustamisen, luonnonkatastrofeja koskevien ennakkovaroitusjärjestelmien, terveysuhkien, tartuntatautien seurannan, kasvien terveyden, kemiallisten vaaratilanteiden, elintarvikkeiden ja rehujen turvallisuuden, eläinten terveyden, muuttoliikkeen, tullin, ydinvoima- ja säteilyhätätilanteiden ja energian aloilla.

| (73) | Unioni voi tarvittaessa tehdä Euroopan unionin toiminnasta tehdyn sopimuksen 218 artiklan mukaisesti kolmansien maiden tai kansainvälisten järjestöjen kanssa kansainvälisiä sopimuksia, joilla mahdollistetaan ja järjestetään niiden osallistuminen tiettyihin yhteistyöryhmän, CSIRT-verkoston EU-CyCLONen toimintoihin. Tällaisilla sopimuksilla olisi varmistettava unionin edut ja riittävä tietosuoja. Tämä ei vaikuta jäsenvaltioiden oikeuteen tehdä kolmansien maiden kanssa yhteistyötä haavoittuvuuksien hallinnassa ja kyberturvallisuusriskien hallinnassa, jotta voidaan helpottaa raportointia ja yleistä tietojenvaihtoa unionin oikeuden mukaisesti. |
| --- | --- |

(73)

Unioni voi tarvittaessa tehdä Euroopan unionin toiminnasta tehdyn sopimuksen 218 artiklan mukaisesti kolmansien maiden tai kansainvälisten järjestöjen kanssa kansainvälisiä sopimuksia, joilla mahdollistetaan ja järjestetään niiden osallistuminen tiettyihin yhteistyöryhmän, CSIRT-verkoston EU-CyCLONen toimintoihin. Tällaisilla sopimuksilla olisi varmistettava unionin edut ja riittävä tietosuoja. Tämä ei vaikuta jäsenvaltioiden oikeuteen tehdä kolmansien maiden kanssa yhteistyötä haavoittuvuuksien hallinnassa ja kyberturvallisuusriskien hallinnassa, jotta voidaan helpottaa raportointia ja yleistä tietojenvaihtoa unionin oikeuden mukaisesti.

| (74) | Jotta voidaan helpottaa tässä direktiivissä säädettyjen, muun muassa haavoittuvuuksien hallintaa, kyberturvallisuusriskien hallintatoimenpiteitä, raportointivelvoitteita ja kyberturvallisuustietojen jakamisjärjestelyjä koskevien säännösten tehokasta täytäntöönpanoa, jäsenvaltiot voivat tehdä yhteistyötä kolmansien maiden kanssa ja toteuttaa tätä varten tarkoituksenmukaisina pitämiään toimia, jollaisia ovat esimerkiksi tietojen vaihto kyberuhkista, poikkeamista, haavoittuvuuksista, työkaluista ja menetelmistä, taktiikasta, tekniikoista ja menettelyistä, kyberturvallisuuskriisien hallintaan valmistautuminen ja kriisinhallintaharjoitukset, koulutus, luottamuksen lujittamistoimet ja jäsennellyt tiedonjakojärjestelyt. |
| --- | --- |

(74)

Jotta voidaan helpottaa tässä direktiivissä säädettyjen, muun muassa haavoittuvuuksien hallintaa, kyberturvallisuusriskien hallintatoimenpiteitä, raportointivelvoitteita ja kyberturvallisuustietojen jakamisjärjestelyjä koskevien säännösten tehokasta täytäntöönpanoa, jäsenvaltiot voivat tehdä yhteistyötä kolmansien maiden kanssa ja toteuttaa tätä varten tarkoituksenmukaisina pitämiään toimia, jollaisia ovat esimerkiksi tietojen vaihto kyberuhkista, poikkeamista, haavoittuvuuksista, työkaluista ja menetelmistä, taktiikasta, tekniikoista ja menettelyistä, kyberturvallisuuskriisien hallintaan valmistautuminen ja kriisinhallintaharjoitukset, koulutus, luottamuksen lujittamistoimet ja jäsennellyt tiedonjakojärjestelyt.

| (75) | Olisi otettava käyttöön vertaisarviointeja, jotta voidaan oppia yhteisistä kokemuksista, lujittaa keskinäistä luottamusta ja saavuttaa kyberturvallisuuden yhteinen korkea taso. Vertaisarvioinnit voivat tuottaa tulokseksi arvokkaita näkemyksiä ja suosituksia, joilla lujitetaan yleisiä kyberturvallisuusvalmiuksia, luodaan uusi toimintamalli parhaiden käytäntöjen jakamiselle jäsenvaltioiden kesken ja edistetään jäsenvaltioiden kyberturvallisuuden kehitystasoa. Vertaisarvioinneissa olisi myös otettava huomioon tulokset, joita on saatu vastaavista mekanismeista, kuten CSIRT-verkoston vertaisarviointijärjestelmästä, ja niissä olisi tuotettava lisäarvoa ja vältettävä päällekkäisyydet. Vertaisarviointien toteuttaminen ei saisi rajoittaa luottamuksellisten tai turvallisuusluokiteltujen tietojen suojaa koskevan unionin oikeuden tai kansallisen lainsäädännön soveltamista. |
| --- | --- |

(75)

Olisi otettava käyttöön vertaisarviointeja, jotta voidaan oppia yhteisistä kokemuksista, lujittaa keskinäistä luottamusta ja saavuttaa kyberturvallisuuden yhteinen korkea taso. Vertaisarvioinnit voivat tuottaa tulokseksi arvokkaita näkemyksiä ja suosituksia, joilla lujitetaan yleisiä kyberturvallisuusvalmiuksia, luodaan uusi toimintamalli parhaiden käytäntöjen jakamiselle jäsenvaltioiden kesken ja edistetään jäsenvaltioiden kyberturvallisuuden kehitystasoa. Vertaisarvioinneissa olisi myös otettava huomioon tulokset, joita on saatu vastaavista mekanismeista, kuten CSIRT-verkoston vertaisarviointijärjestelmästä, ja niissä olisi tuotettava lisäarvoa ja vältettävä päällekkäisyydet. Vertaisarviointien toteuttaminen ei saisi rajoittaa luottamuksellisten tai turvallisuusluokiteltujen tietojen suojaa koskevan unionin oikeuden tai kansallisen lainsäädännön soveltamista.

| (76) | Yhteistyöryhmän olisi vahvistettava jäsenvaltioille itsearviointimenetelmät, joiden on tarkoitus kattaa sellaisia tekijöitä kuin kyberturvallisuusriskien hallintatoimenpiteiden ja raportointivelvoitteiden täytäntöönpanoaste, toimivaltaisten viranomaisten valmiuksien taso ja tuloksekkuus tehtäviensä hoidossa, CSIRT-yksiköiden operatiiviset valmiudet, keskinäisen avunannon toteutusaste, kyberturvallisuustietojen jakamisjärjestelyjen täytäntöönpanoaste taikka rajatylittävät tai useaa toimialaa koskevat erityiskysymykset. Jäsenvaltioita olisi kannustettava tekemään säännöllisesti itsearviointeja sekä esittelemään niiden tulokset ja keskustelemaan näistä yhteistyöryhmässä. |
| --- | --- |

(76)

Yhteistyöryhmän olisi vahvistettava jäsenvaltioille itsearviointimenetelmät, joiden on tarkoitus kattaa sellaisia tekijöitä kuin kyberturvallisuusriskien hallintatoimenpiteiden ja raportointivelvoitteiden täytäntöönpanoaste, toimivaltaisten viranomaisten valmiuksien taso ja tuloksekkuus tehtäviensä hoidossa, CSIRT-yksiköiden operatiiviset valmiudet, keskinäisen avunannon toteutusaste, kyberturvallisuustietojen jakamisjärjestelyjen täytäntöönpanoaste taikka rajatylittävät tai useaa toimialaa koskevat erityiskysymykset. Jäsenvaltioita olisi kannustettava tekemään säännöllisesti itsearviointeja sekä esittelemään niiden tulokset ja keskustelemaan näistä yhteistyöryhmässä.

| (77) | Vastuu verkko- ja tietojärjestelmän turvallisuuden varmistamisesta lankeaa suurelta osin keskeisille ja tärkeille toimijoille. Olisi edistettävä ja kehitettävä riskinhallintakulttuuria, johon sisältyy riskinarviointi ja riskeihin suhteutettujen kyberturvallisuusriskien hallintatoimenpiteiden toteuttaminen. |
| --- | --- |

(77)

Vastuu verkko- ja tietojärjestelmän turvallisuuden varmistamisesta lankeaa suurelta osin keskeisille ja tärkeille toimijoille. Olisi edistettävä ja kehitettävä riskinhallintakulttuuria, johon sisältyy riskinarviointi ja riskeihin suhteutettujen kyberturvallisuusriskien hallintatoimenpiteiden toteuttaminen.

| (78) | Kyberturvallisuusriskien hallintatoimenpiteissä olisi otettava huomioon se, missä määrin keskeinen tai tärkeä toimija on riippuvainen verkko- ja tietojärjestelmistä, ja niihin olisi sisällyttävä toimenpiteitä, joilla tunnistetaan poikkeamariskit, ehkäistään, havaitaan ja hallitaan poikkeamia, palaudutaan niistä ja lievennetään niiden vaikutuksia. Verkko- ja tietojärjestelmien turvallisuuden olisi katettava säilytettävien, siirrettävien ja käsiteltävien tietojen turvallisuus. Kyberturvallisuusriskien hallintatoimenpiteisiin olisi kuuluttava järjestelmäanalyysi, jossa otetaan huomioon inhimilliset tekijät, jotta saadaan täydellinen kuva verkko- ja tietojärjestelmän turvallisuudesta. |
| --- | --- |

(78)

Kyberturvallisuusriskien hallintatoimenpiteissä olisi otettava huomioon se, missä määrin keskeinen tai tärkeä toimija on riippuvainen verkko- ja tietojärjestelmistä, ja niihin olisi sisällyttävä toimenpiteitä, joilla tunnistetaan poikkeamariskit, ehkäistään, havaitaan ja hallitaan poikkeamia, palaudutaan niistä ja lievennetään niiden vaikutuksia. Verkko- ja tietojärjestelmien turvallisuuden olisi katettava säilytettävien, siirrettävien ja käsiteltävien tietojen turvallisuus. Kyberturvallisuusriskien hallintatoimenpiteisiin olisi kuuluttava järjestelmäanalyysi, jossa otetaan huomioon inhimilliset tekijät, jotta saadaan täydellinen kuva verkko- ja tietojärjestelmän turvallisuudesta.

| (79) | Koska verkko- ja tietojärjestelmien turvallisuuteen kohdistuvien uhkien aiheuttajia on monenlaisia, kyberturvallisuusriskien hallintatoimenpiteiden olisi perustuttava kaikki vaaratekijät huomioivaan toimintamalliin, jolla pyritään suojaamaan verkko- ja tietojärjestelmät ja näiden järjestelmien fyysinen ympäristö sellaisilta tapahtumilta kuin varkaus, tulipalo, tulva, televiestintä- tai sähkökatko sekä luvattomalta fyysiseltä pääsyltä keskeisen tai tärkeän toimijan tietoihin tai tietojenkäsittely-ympäristöön ja niille aiheutuvalta vahingolta ja häirinnältä, jotka saattaisivat vaarantaa verkko- ja tietojärjestelmissä tarjottavien tai niiden välityksellä saatavilla olevien tallennettujen, siirrettyjen tai käsiteltyjen tietojen taikka palvelujen saatavuuden, aitouden, eheyden tai luottamuksellisuuden. Kyberturvallisuusriskien hallintatoimenpiteillä olisi näin ollen varmistettava myös verkko- ja tietojärjestelmien fyysinen ja ympäristön turvallisuus sisällyttämällä niihin toimenpiteitä, joilla suojataan tällaiset järjestelmät järjestelmähäiriöiltä, inhimillisiltä virheiltä, vihamielisiltä teoilta tai luonnonilmiöiltä eurooppalaisten tai kansainvälisten standardien, kuten ISO/IEC 27000 -sarjaan kuuluvien standardien, mukaisesti. Tähän liittyen keskeisten ja tärkeiden toimijoiden olisi käsiteltävä kyberturvallisuusriskien hallintatoimenpiteissään myös henkilöstöturvallisuutta ja otettava käyttöön asianmukaiset pääsynhallintaperiaatteet. Näiden toimenpiteiden olisi oltava direktiivin (EU) 2022/2557 mukaisia. |
| --- | --- |

(79)

Koska verkko- ja tietojärjestelmien turvallisuuteen kohdistuvien uhkien aiheuttajia on monenlaisia, kyberturvallisuusriskien hallintatoimenpiteiden olisi perustuttava kaikki vaaratekijät huomioivaan toimintamalliin, jolla pyritään suojaamaan verkko- ja tietojärjestelmät ja näiden järjestelmien fyysinen ympäristö sellaisilta tapahtumilta kuin varkaus, tulipalo, tulva, televiestintä- tai sähkökatko sekä luvattomalta fyysiseltä pääsyltä keskeisen tai tärkeän toimijan tietoihin tai tietojenkäsittely-ympäristöön ja niille aiheutuvalta vahingolta ja häirinnältä, jotka saattaisivat vaarantaa verkko- ja tietojärjestelmissä tarjottavien tai niiden välityksellä saatavilla olevien tallennettujen, siirrettyjen tai käsiteltyjen tietojen taikka palvelujen saatavuuden, aitouden, eheyden tai luottamuksellisuuden. Kyberturvallisuusriskien hallintatoimenpiteillä olisi näin ollen varmistettava myös verkko- ja tietojärjestelmien fyysinen ja ympäristön turvallisuus sisällyttämällä niihin toimenpiteitä, joilla suojataan tällaiset järjestelmät järjestelmähäiriöiltä, inhimillisiltä virheiltä, vihamielisiltä teoilta tai luonnonilmiöiltä eurooppalaisten tai kansainvälisten standardien, kuten ISO/IEC 27000 -sarjaan kuuluvien standardien, mukaisesti. Tähän liittyen keskeisten ja tärkeiden toimijoiden olisi käsiteltävä kyberturvallisuusriskien hallintatoimenpiteissään myös henkilöstöturvallisuutta ja otettava käyttöön asianmukaiset pääsynhallintaperiaatteet. Näiden toimenpiteiden olisi oltava direktiivin (EU) 2022/2557 mukaisia.

| (80) | Jotta voidaan näyttää toteen kyberturvallisuusriskien hallintatoimenpiteiden noudattaminen ja jos saatavilla ei ole Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/881 (18) mukaisesti hyväksyttyä asianmukaista eurooppalaista kyberturvallisuuden sertifiointijärjestelmää, jäsenvaltioiden olisi yhteistyöryhmää ja Euroopan kyberturvallisuuden sertifiointiryhmää kuullen edistettävä asiaa koskevien eurooppalaisten ja kansainvälisten standardien käyttöä keskeisten ja tärkeiden toimijoiden keskuudessa tai ne voivat vaatia toimijoita käyttämään sertifioituja TVT-tuotteita, TVT-palveluja ja TVT-prosesseja. |
| --- | --- |

(80)

Jotta voidaan näyttää toteen kyberturvallisuusriskien hallintatoimenpiteiden noudattaminen ja jos saatavilla ei ole Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/881 (18) mukaisesti hyväksyttyä asianmukaista eurooppalaista kyberturvallisuuden sertifiointijärjestelmää, jäsenvaltioiden olisi yhteistyöryhmää ja Euroopan kyberturvallisuuden sertifiointiryhmää kuullen edistettävä asiaa koskevien eurooppalaisten ja kansainvälisten standardien käyttöä keskeisten ja tärkeiden toimijoiden keskuudessa tai ne voivat vaatia toimijoita käyttämään sertifioituja TVT-tuotteita, TVT-palveluja ja TVT-prosesseja.

| (81) | Jotta keskeisille ja tärkeille toimijoille ei aiheutuisi kohtuutonta taloudellista ja hallinnollista rasitetta, kyberturvallisuusriskien hallintatoimenpiteiden olisi oltava oikeassa suhteessa asianomaiselle verkko- ja tietojärjestelmälle aiheutuviin riskeihin ja niissä olisi otettava huomioon tällaisten toimenpiteiden viimeisin kehitys sekä tapauksen mukaan asiaa koskevat eurooppalaiset ja kansainväliset standardit ja niiden täytäntöönpanokustannukset. |
| --- | --- |

(81)

Jotta keskeisille ja tärkeille toimijoille ei aiheutuisi kohtuutonta taloudellista ja hallinnollista rasitetta, kyberturvallisuusriskien hallintatoimenpiteiden olisi oltava oikeassa suhteessa asianomaiselle verkko- ja tietojärjestelmälle aiheutuviin riskeihin ja niissä olisi otettava huomioon tällaisten toimenpiteiden viimeisin kehitys sekä tapauksen mukaan asiaa koskevat eurooppalaiset ja kansainväliset standardit ja niiden täytäntöönpanokustannukset.

| (82) | Kyberturvallisuusriskien hallintatoimenpiteiden olisi oltava oikeassa suhteessa keskeisen tai tärkeän toimijan altistumiseen riskeille ja niihin yhteiskunnallisiin ja taloudellisiin vaikutuksiin, joita poikkeamalla olisi. Kun vahvistetaan keskeisille ja tärkeille toimijoille sovitettuja kyberturvallisuusriskien hallintatoimenpiteitä, olisi otettava asianmukaisesti huomioon keskeisten ja tärkeiden toimijoiden erilainen altistuminen riskeille, kuten toimijan kriittisyys, ne – myös yhteiskunnalliset – riskit, joille se altistuu, toimijan koko sekä poikkeamien esiintymisen todennäköisyys ja niiden vakavuus, mukaan lukien niiden yhteiskunnalliset ja taloudelliset vaikutukset. |
| --- | --- |

(82)

Kyberturvallisuusriskien hallintatoimenpiteiden olisi oltava oikeassa suhteessa keskeisen tai tärkeän toimijan altistumiseen riskeille ja niihin yhteiskunnallisiin ja taloudellisiin vaikutuksiin, joita poikkeamalla olisi. Kun vahvistetaan keskeisille ja tärkeille toimijoille sovitettuja kyberturvallisuusriskien hallintatoimenpiteitä, olisi otettava asianmukaisesti huomioon keskeisten ja tärkeiden toimijoiden erilainen altistuminen riskeille, kuten toimijan kriittisyys, ne – myös yhteiskunnalliset – riskit, joille se altistuu, toimijan koko sekä poikkeamien esiintymisen todennäköisyys ja niiden vakavuus, mukaan lukien niiden yhteiskunnalliset ja taloudelliset vaikutukset.

| (83) | Keskeisten ja tärkeiden toimijoiden olisi varmistettava toiminnassaan käyttämiensä verkko- ja tietojärjestelmien turvallisuus. Kyseiset järjestelmät ovat pääasiassa yksityisiä verkko- ja tietojärjestelmiä, joita hallinnoi keskeisen tai tärkeän toimijan oma tietotekniikkahenkilöstö tai joiden turvallisuuspalvelut on ulkoistettu. Tässä direktiivissä säädettyjä kyberturvallisuusriskien hallintatoimenpiteitä ja raportointivelvoitteita olisi sovellettava asiaankuuluviin keskeisiin ja tärkeisiin toimijoihin riippumatta siitä, hoitavatko kyseiset toimijat verkko- ja tietojärjestelmiensä ylläpidon sisäisesti vai ovatko ne ulkoistaneet sen. |
| --- | --- |

(83)

Keskeisten ja tärkeiden toimijoiden olisi varmistettava toiminnassaan käyttämiensä verkko- ja tietojärjestelmien turvallisuus. Kyseiset järjestelmät ovat pääasiassa yksityisiä verkko- ja tietojärjestelmiä, joita hallinnoi keskeisen tai tärkeän toimijan oma tietotekniikkahenkilöstö tai joiden turvallisuuspalvelut on ulkoistettu. Tässä direktiivissä säädettyjä kyberturvallisuusriskien hallintatoimenpiteitä ja raportointivelvoitteita olisi sovellettava asiaankuuluviin keskeisiin ja tärkeisiin toimijoihin riippumatta siitä, hoitavatko kyseiset toimijat verkko- ja tietojärjestelmiensä ylläpidon sisäisesti vai ovatko ne ulkoistaneet sen.

| (84) | Kun otetaan huomioon DNS-palveluntarjoajien, aluetunnusrekisterien, pilvipalvelujen tarjoajien, datakeskuspalvelujen tarjoajien, sisällönjakeluverkkojen tarjoajien, hallintapalvelun tarjoajien, tietoturvapalveluntarjoajien, verkossa toimivien markkinapaikkojen tarjoajien, verkossa toimivien hakukoneiden tarjoajien ja verkkoyhteisöalustojen tarjoajien sekä luottamuspalvelun tarjoajien toiminnan rajatylittävä luonne, niihin olisi sovellettava unionin tasolla pitkälle yhdenmukaistettuja sääntöjä. Kyseisiä toimijoita koskevien kyberturvallisuusriskien hallintatoimenpiteiden toteuttamista olisi siksi helpotettava täytäntöönpanosäädöksellä. |
| --- | --- |

(84)

Kun otetaan huomioon DNS-palveluntarjoajien, aluetunnusrekisterien, pilvipalvelujen tarjoajien, datakeskuspalvelujen tarjoajien, sisällönjakeluverkkojen tarjoajien, hallintapalvelun tarjoajien, tietoturvapalveluntarjoajien, verkossa toimivien markkinapaikkojen tarjoajien, verkossa toimivien hakukoneiden tarjoajien ja verkkoyhteisöalustojen tarjoajien sekä luottamuspalvelun tarjoajien toiminnan rajatylittävä luonne, niihin olisi sovellettava unionin tasolla pitkälle yhdenmukaistettuja sääntöjä. Kyseisiä toimijoita koskevien kyberturvallisuusriskien hallintatoimenpiteiden toteuttamista olisi siksi helpotettava täytäntöönpanosäädöksellä.

| (85) | On erityisen tärkeää puuttua riskeihin, jotka johtuvat toimijan toimitusketjusta ja suhteesta toimittajiinsa, kuten datan tallennus- ja käsittelypalvelujen tarjoajiin tai tietoturvapalveluntarjoajiin ja ohjelmistotoimittajiin, kun otetaan huomioon sellaisten poikkeamien yleisyys, jossa toimija on joutunut kyberhyökkäyksen uhriksi ja vihamieliset hyökkääjät ovat onnistuneet vaarantamaan toimijan verkko- ja tietojärjestelmien turvallisuuden hyödyntämällä kolmansien osapuolten tuotteisiin ja palveluihin vaikuttavia haavoittuvuuksia. Keskeisten ja tärkeiden toimijoiden olisi sen vuoksi arvioitava ja otettava huomioon toimittajiensa tuotteiden ja palveluntarjoajiensa palvelujen yleinen laatu ja häiriönsietokyky, tuotteisiin ja palveluihin sisällytetyt kyberturvallisuusriskien hallintatoimenpiteet ja toimittajien ja palveluntarjoajien kyberturvallisuuskäytännöt, mukaan lukien tuotekehityksen suojausmenettelyt. Keskeisiä ja tärkeitä toimijoita olisi erityisesti kannustettava sisällyttämään kyberturvallisuusriskien hallintatoimenpiteitä sopimusjärjestelyihin, joita ne tekevät välittömien toimittajiensa ja palveluntarjoajiensa kanssa. Kyseiset toimijat voisivat käsitellä myös alemman tason toimittajistaan ja palveluntarjoajistaan johtuvia riskejä. |
| --- | --- |

(85)

On erityisen tärkeää puuttua riskeihin, jotka johtuvat toimijan toimitusketjusta ja suhteesta toimittajiinsa, kuten datan tallennus- ja käsittelypalvelujen tarjoajiin tai tietoturvapalveluntarjoajiin ja ohjelmistotoimittajiin, kun otetaan huomioon sellaisten poikkeamien yleisyys, jossa toimija on joutunut kyberhyökkäyksen uhriksi ja vihamieliset hyökkääjät ovat onnistuneet vaarantamaan toimijan verkko- ja tietojärjestelmien turvallisuuden hyödyntämällä kolmansien osapuolten tuotteisiin ja palveluihin vaikuttavia haavoittuvuuksia. Keskeisten ja tärkeiden toimijoiden olisi sen vuoksi arvioitava ja otettava huomioon toimittajiensa tuotteiden ja palveluntarjoajiensa palvelujen yleinen laatu ja häiriönsietokyky, tuotteisiin ja palveluihin sisällytetyt kyberturvallisuusriskien hallintatoimenpiteet ja toimittajien ja palveluntarjoajien kyberturvallisuuskäytännöt, mukaan lukien tuotekehityksen suojausmenettelyt. Keskeisiä ja tärkeitä toimijoita olisi erityisesti kannustettava sisällyttämään kyberturvallisuusriskien hallintatoimenpiteitä sopimusjärjestelyihin, joita ne tekevät välittömien toimittajiensa ja palveluntarjoajiensa kanssa. Kyseiset toimijat voisivat käsitellä myös alemman tason toimittajistaan ja palveluntarjoajistaan johtuvia riskejä.

| (86) | Palveluntarjoajista erityisen tärkeällä sijalla ovat muun muassa poikkeamanhallintaa, tunkeutumisenestotestausta, turvallisuusauditointeja ja konsultointia tarjoavat tietoturvapalveluntarjoajat, jotka avustavat toimijoita niiden pyrkiessä ehkäisemään, havaitsemaan ja hallitsemaan poikkeamia tai palautumaan niistä. Tietoturvapalveluntarjoajat ovat kuitenkin itsekin joutuneet kyberhyökkäysten kohteeksi, ja niiden tiivis integroituminen toimijoiden toimintoihin aiheuttaa erityisen riskin. Keskeisten ja tärkeiden toimijoiden olisi sen vuoksi noudatettava erityisen suurta huolellisuutta tietoturvapalveluntarjoajaa valitessaan. |
| --- | --- |

(86)

Palveluntarjoajista erityisen tärkeällä sijalla ovat muun muassa poikkeamanhallintaa, tunkeutumisenestotestausta, turvallisuusauditointeja ja konsultointia tarjoavat tietoturvapalveluntarjoajat, jotka avustavat toimijoita niiden pyrkiessä ehkäisemään, havaitsemaan ja hallitsemaan poikkeamia tai palautumaan niistä. Tietoturvapalveluntarjoajat ovat kuitenkin itsekin joutuneet kyberhyökkäysten kohteeksi, ja niiden tiivis integroituminen toimijoiden toimintoihin aiheuttaa erityisen riskin. Keskeisten ja tärkeiden toimijoiden olisi sen vuoksi noudatettava erityisen suurta huolellisuutta tietoturvapalveluntarjoajaa valitessaan.

| (87) | Toimivaltaiset viranomaiset voivat hyödyntää valvontatehtävissään myös kyberturvallisuuspalveluja, kuten turvallisuusauditointeja, tunkeutumisenestotestausta ja poikkeamanhallintaa. |
| --- | --- |

(87)

Toimivaltaiset viranomaiset voivat hyödyntää valvontatehtävissään myös kyberturvallisuuspalveluja, kuten turvallisuusauditointeja, tunkeutumisenestotestausta ja poikkeamanhallintaa.

| (88) | Keskeisten ja tärkeiden toimijoiden olisi puututtava myös riskeihin, jotka johtuvat niiden vuorovaikutuksesta ja suhteista muihin sidosryhmiin laajemmassa ekosysteemissä, myös teollisuusvakoilun torjumiseksi ja liikesalaisuuksien suojaamiseksi. Toimijoiden olisi erityisesti varmistettava asianmukaisin toimenpitein, että niiden yhteistyössä akateemisten laitosten ja tutkimuslaitosten kanssa noudatetaan toimijoiden kyberturvallisuusperiaatteita ja hyviä käytäntöjä, jotka koskevat yleensä tiedon suojattua saatavuutta ja levittämistä ja etenkin teollis- ja tekijänoikeuksien suojaa. Kun otetaan huomioon datan merkitys ja arvo keskeisten ja tärkeiden toimijoiden toiminnalle, kyseisten toimijoiden olisi samoin toteutettava kaikki asianmukaiset kyberturvallisuusriskien hallintatoimenpiteet hankkiessaan tietojen muuntamispalveluja ja data-analytiikkapalveluja kolmansilta osapuolilta. |
| --- | --- |

(88)

Keskeisten ja tärkeiden toimijoiden olisi puututtava myös riskeihin, jotka johtuvat niiden vuorovaikutuksesta ja suhteista muihin sidosryhmiin laajemmassa ekosysteemissä, myös teollisuusvakoilun torjumiseksi ja liikesalaisuuksien suojaamiseksi. Toimijoiden olisi erityisesti varmistettava asianmukaisin toimenpitein, että niiden yhteistyössä akateemisten laitosten ja tutkimuslaitosten kanssa noudatetaan toimijoiden kyberturvallisuusperiaatteita ja hyviä käytäntöjä, jotka koskevat yleensä tiedon suojattua saatavuutta ja levittämistä ja etenkin teollis- ja tekijänoikeuksien suojaa. Kun otetaan huomioon datan merkitys ja arvo keskeisten ja tärkeiden toimijoiden toiminnalle, kyseisten toimijoiden olisi samoin toteutettava kaikki asianmukaiset kyberturvallisuusriskien hallintatoimenpiteet hankkiessaan tietojen muuntamispalveluja ja data-analytiikkapalveluja kolmansilta osapuolilta.

| (89) | Keskeisten ja tärkeiden toimijoiden olisi otettava käyttöön monenlaisia perustason kyberhygieniakäytäntöjä, kuten nollaluottamuksen periaate, ohjelmistopäivitykset, laitteiden konfigurointi, verkon segmentointi, identiteetin- ja pääsynhallinta ja käyttäjien tietoisuuden lisääminen, ja järjestettävä henkilöstölleen koulutusta kyberuhkista, verkkourkinnasta ja käyttäjän manipuloinnista. Kyseisten toimijoiden olisi lisäksi arvioitava omat kyberturvallisuusvalmiutensa ja tapauksen mukaan otettava käyttöön kyberturvallisuutta parantavia teknologioita, kuten tekoäly- tai koneoppimisjärjestelmiä, parantaakseen valmiuksiaan ja verkko- ja tietojärjestelmien turvallisuutta. |
| --- | --- |

(89)

Keskeisten ja tärkeiden toimijoiden olisi otettava käyttöön monenlaisia perustason kyberhygieniakäytäntöjä, kuten nollaluottamuksen periaate, ohjelmistopäivitykset, laitteiden konfigurointi, verkon segmentointi, identiteetin- ja pääsynhallinta ja käyttäjien tietoisuuden lisääminen, ja järjestettävä henkilöstölleen koulutusta kyberuhkista, verkkourkinnasta ja käyttäjän manipuloinnista. Kyseisten toimijoiden olisi lisäksi arvioitava omat kyberturvallisuusvalmiutensa ja tapauksen mukaan otettava käyttöön kyberturvallisuutta parantavia teknologioita, kuten tekoäly- tai koneoppimisjärjestelmiä, parantaakseen valmiuksiaan ja verkko- ja tietojärjestelmien turvallisuutta.

| (90) | Jotta voidaan paremmin puuttua keskeisiin toimitusketjun riskeihin ja auttaa tämän direktiivin soveltamisalaan kuuluvien toimialojen keskeisiä ja tärkeitä toimijoita hallitsemaan asianmukaisesti toimitusketjuihin ja toimittajiin liittyviä riskejä, yhteistyöryhmän olisi yhteistyössä komission ja ENISAn kanssa ja kuultuaan tarvittaessa asiaankuuluvia sidosryhmiä, myös toimialan sidosryhmiä, suoritettava kriittisiä toimitusketjuja koskevia koordinoituja turvallisuusriskinarviointeja, jollaisia tehdään 5G-verkkojen osalta komission suosituksen (EU) 2019/534 (19) mukaisesti, jotta voidaan määrittää kullakin alalla kriittiset TVT-palvelut, TVT-järjestelmät tai TVT-tuotteet sekä kyseeseen tulevat uhkat ja haavoittuvuudet. Tällaisissa koordinoiduissa turvallisuusriskinarvioinneissa olisi yksilöitävä toimenpiteitä, lieventämissuunnitelmia ja parhaita käytäntöjä, joilla ehkäistään kriittisiä riippuvuuksia, mahdollisia koko toiminnan lamauttavia yksittäisiä vikaantumispisteitä, uhkia, haavoittuvuuksia ja muita toimitusketjuun liittyviä riskejä, ja niissä olisi selvitettävä keinoja kannustaa niiden laajempaan käyttöönottoon keskeisten ja tärkeiden toimijoiden keskuudessa. Mahdollisia muita kuin teknisiä riskitekijöitä, kuten se, että kolmas maa vaikuttaa sopimattomasti toimittajiin ja palveluntarjoajiin, erityisesti vaihtoehtoisten hallintomallien tapauksessa, ovat salatut haavoittuvuudet tai takaportit ja mahdolliset järjestelmätason toimitushäiriöt, etenkin jos on ajauduttu teknologialukkiutumaan tai toimittajariippuvuuteen. |
| --- | --- |

(90)

Jotta voidaan paremmin puuttua keskeisiin toimitusketjun riskeihin ja auttaa tämän direktiivin soveltamisalaan kuuluvien toimialojen keskeisiä ja tärkeitä toimijoita hallitsemaan asianmukaisesti toimitusketjuihin ja toimittajiin liittyviä riskejä, yhteistyöryhmän olisi yhteistyössä komission ja ENISAn kanssa ja kuultuaan tarvittaessa asiaankuuluvia sidosryhmiä, myös toimialan sidosryhmiä, suoritettava kriittisiä toimitusketjuja koskevia koordinoituja turvallisuusriskinarviointeja, jollaisia tehdään 5G-verkkojen osalta komission suosituksen (EU) 2019/534 (19) mukaisesti, jotta voidaan määrittää kullakin alalla kriittiset TVT-palvelut, TVT-järjestelmät tai TVT-tuotteet sekä kyseeseen tulevat uhkat ja haavoittuvuudet. Tällaisissa koordinoiduissa turvallisuusriskinarvioinneissa olisi yksilöitävä toimenpiteitä, lieventämissuunnitelmia ja parhaita käytäntöjä, joilla ehkäistään kriittisiä riippuvuuksia, mahdollisia koko toiminnan lamauttavia yksittäisiä vikaantumispisteitä, uhkia, haavoittuvuuksia ja muita toimitusketjuun liittyviä riskejä, ja niissä olisi selvitettävä keinoja kannustaa niiden laajempaan käyttöönottoon keskeisten ja tärkeiden toimijoiden keskuudessa. Mahdollisia muita kuin teknisiä riskitekijöitä, kuten se, että kolmas maa vaikuttaa sopimattomasti toimittajiin ja palveluntarjoajiin, erityisesti vaihtoehtoisten hallintomallien tapauksessa, ovat salatut haavoittuvuudet tai takaportit ja mahdolliset järjestelmätason toimitushäiriöt, etenkin jos on ajauduttu teknologialukkiutumaan tai toimittajariippuvuuteen.

| (91) | Kriittisiä toimitusketjuja koskevissa koordinoiduissa turvallisuusriskinarvioinneissa olisi otettava asianomaisen toimialan erityispiirteiden perusteella huomioon sekä tekniset että tarvittaessa muut kuin tekniset tekijät, mukaan lukien suosituksessa (EU) 2019/534, 5G-verkkojen kyberturvallisuutta koskevassa koordinoidussa EU-tason riskinarvioinnissa ja yhteistyöryhmän hyväksymässä 5G-kyberturvallisuutta koskevassa EU:n välineistössä määritetyt tekijät. Koordinoitua turvallisuusriskinarviointia edellyttävien toimitusketjujen määrittämisessä olisi otettava huomioon seuraavat kriteerit: i) missä määrin keskeiset ja tärkeät toimijat käyttävät tiettyjä kriittisiä TVT-palveluja, TVT-järjestelmiä tai TVT-tuotteita ja ovat riippuvaisia niistä; ii) tiettyjen kriittisten TVT-palvelujen, TVT-järjestelmien tai TVT-tuotteiden merkitys kriittisten tai arkaluonteisten toimintojen suorittamisessa, myös henkilötietojen käsittelyssä; iii) vaihtoehtoisten TVT-palvelujen, TVT-järjestelmien tai TVT-tuotteiden saatavuus; iv) TVT-palvelujen, TVT-järjestelmien tai TVT-tuotteiden koko toimitusketjun häiriönsietokyky häiriötilanteissa niiden koko elinkaaren ajan; ja v) käyttöön tulevien uusien TVT-palvelujen, TVT-järjestelmien tai TVT-tuotteiden mahdollinen tuleva merkitys toimijoiden toiminnalle. Lisäksi olisi kiinnitettävä erityistä huomiota sellaisiin TVT-palveluihin, TVT-järjestelmiin tai TVT-tuotteisiin, joihin sovelletaan kolmansista maista johtuvia erityisvaatimuksia. |
| --- | --- |

(91)

Kriittisiä toimitusketjuja koskevissa koordinoiduissa turvallisuusriskinarvioinneissa olisi otettava asianomaisen toimialan erityispiirteiden perusteella huomioon sekä tekniset että tarvittaessa muut kuin tekniset tekijät, mukaan lukien suosituksessa (EU) 2019/534, 5G-verkkojen kyberturvallisuutta koskevassa koordinoidussa EU-tason riskinarvioinnissa ja yhteistyöryhmän hyväksymässä 5G-kyberturvallisuutta koskevassa EU:n välineistössä määritetyt tekijät. Koordinoitua turvallisuusriskinarviointia edellyttävien toimitusketjujen määrittämisessä olisi otettava huomioon seuraavat kriteerit: i) missä määrin keskeiset ja tärkeät toimijat käyttävät tiettyjä kriittisiä TVT-palveluja, TVT-järjestelmiä tai TVT-tuotteita ja ovat riippuvaisia niistä; ii) tiettyjen kriittisten TVT-palvelujen, TVT-järjestelmien tai TVT-tuotteiden merkitys kriittisten tai arkaluonteisten toimintojen suorittamisessa, myös henkilötietojen käsittelyssä; iii) vaihtoehtoisten TVT-palvelujen, TVT-järjestelmien tai TVT-tuotteiden saatavuus; iv) TVT-palvelujen, TVT-järjestelmien tai TVT-tuotteiden koko toimitusketjun häiriönsietokyky häiriötilanteissa niiden koko elinkaaren ajan; ja v) käyttöön tulevien uusien TVT-palvelujen, TVT-järjestelmien tai TVT-tuotteiden mahdollinen tuleva merkitys toimijoiden toiminnalle. Lisäksi olisi kiinnitettävä erityistä huomiota sellaisiin TVT-palveluihin, TVT-järjestelmiin tai TVT-tuotteisiin, joihin sovelletaan kolmansista maista johtuvia erityisvaatimuksia.

| (92) | Jotta voidaan virtaviivaistaa yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajille ja luottamuspalvelun tarjoajille asetettuja velvoitteita, jotka liittyvät niiden verkko- ja tietojärjestelmien turvallisuuteen, sekä antaa näille toimijoille ja Euroopan parlamentin ja neuvoston direktiivin (EU) 2018/1972 (20) ja asetuksen (EU) N:o 910/2014 mukaisille toimivaltaisille viranomaisille mahdollisuus hyötyä tällä direktiivillä perustetusta oikeudellisesta kehyksestä, mukaan lukien poikkeamien käsittelystä vastaavan CSIRT-yksikön nimeäminen sekä asianomaisten toimivaltaisten viranomaisten osallistuminen yhteistyöryhmän ja CSIRT-verkoston toimintaan, kyseiset toimijat olisi sisällytettävä tämän direktiivin soveltamisalaan. Asetuksessa (EU) N:o 910/2014 ja direktiivissä (EU) 2018/1972 vahvistetut vastaavat säännökset tämän tyyppisille toimijoille asetettavista turvallisuus- ja ilmoitusvaatimuksista olisi sen vuoksi kumottava. Tässä direktiivissä säädetyt raportointivelvoitteita koskevat säännöt eivät saisi rajoittaa asetuksen (EU) 2016/679 ja direktiivin 2002/58/EY soveltamista. |
| --- | --- |

(92)

Jotta voidaan virtaviivaistaa yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajille ja luottamuspalvelun tarjoajille asetettuja velvoitteita, jotka liittyvät niiden verkko- ja tietojärjestelmien turvallisuuteen, sekä antaa näille toimijoille ja Euroopan parlamentin ja neuvoston direktiivin (EU) 2018/1972 (20) ja asetuksen (EU) N:o 910/2014 mukaisille toimivaltaisille viranomaisille mahdollisuus hyötyä tällä direktiivillä perustetusta oikeudellisesta kehyksestä, mukaan lukien poikkeamien käsittelystä vastaavan CSIRT-yksikön nimeäminen sekä asianomaisten toimivaltaisten viranomaisten osallistuminen yhteistyöryhmän ja CSIRT-verkoston toimintaan, kyseiset toimijat olisi sisällytettävä tämän direktiivin soveltamisalaan. Asetuksessa (EU) N:o 910/2014 ja direktiivissä (EU) 2018/1972 vahvistetut vastaavat säännökset tämän tyyppisille toimijoille asetettavista turvallisuus- ja ilmoitusvaatimuksista olisi sen vuoksi kumottava. Tässä direktiivissä säädetyt raportointivelvoitteita koskevat säännöt eivät saisi rajoittaa asetuksen (EU) 2016/679 ja direktiivin 2002/58/EY soveltamista.

| (93) | Tässä direktiivissä säädettyjen kyberturvallisuusvelvoitteiden olisi katsottava täydentävän asetuksessa (EU) N:o 910/2014 luottamuspalvelun tarjoajille asetettuja vaatimuksia. Luottamuspalvelun tarjoajia olisi vaadittava toteuttamaan kaikki asianmukaiset ja oikeasuhteiset toimenpiteet palveluihinsa kohdistuvien riskien hallitsemiseksi, myös suhteessa asiakkaisiinsa ja palveluihinsa tukeutuviin kolmansiin osapuoliin, ja raportoimaan tämän direktiivin mukaisista poikkeamista. Näiden kyberturvallisuus- ja raportointivelvoitteiden olisi koskettava myös tarjottujen palvelujen fyysistä suojaamista. Asetuksen (EU) N:o 910/2014 24 artiklassa säädettyjä hyväksyttyjä luottamuspalvelun tarjoajia koskevia vaatimuksia sovelletaan edelleen. |
| --- | --- |

(93)

Tässä direktiivissä säädettyjen kyberturvallisuusvelvoitteiden olisi katsottava täydentävän asetuksessa (EU) N:o 910/2014 luottamuspalvelun tarjoajille asetettuja vaatimuksia. Luottamuspalvelun tarjoajia olisi vaadittava toteuttamaan kaikki asianmukaiset ja oikeasuhteiset toimenpiteet palveluihinsa kohdistuvien riskien hallitsemiseksi, myös suhteessa asiakkaisiinsa ja palveluihinsa tukeutuviin kolmansiin osapuoliin, ja raportoimaan tämän direktiivin mukaisista poikkeamista. Näiden kyberturvallisuus- ja raportointivelvoitteiden olisi koskettava myös tarjottujen palvelujen fyysistä suojaamista. Asetuksen (EU) N:o 910/2014 24 artiklassa säädettyjä hyväksyttyjä luottamuspalvelun tarjoajia koskevia vaatimuksia sovelletaan edelleen.

| (94) | Jäsenvaltiot voivat antaa luottamuspalvelujen suhteen toimivaltaisten viranomaisten tehtävän asetuksen (EU) N:o 910/2014 mukaisille valvontaelimille, jotta voidaan varmistaa nykyisten käytäntöjen jatkuminen ja hyödyntää mainitun asetuksen soveltamisesta saatua tietämystä ja kokemusta. Tällaisessa tapauksessa tämän direktiivin mukaisten toimivaltaisten viranomaisten olisi tehtävä tiivistä ja oikea-aikaista yhteistyötä kyseisten valvontaelinten kanssa vaihtamalla asiaankuuluvia tietoja sen varmistamiseksi, että valvonta on tehokasta ja että luottamuspalvelun tarjoajat noudattavat tässä direktiivissä ja asetuksessa (EU) N:o 910/2014 säädettyjä vaatimuksia. Tapauksen mukaan tämän direktiivin mukaisen CSIRT-yksikön tai toimivaltaisen viranomaisen olisi tiedotettava asetuksen (EU) N:o 910/2014 mukaiselle valvontaelimelle välittömästi kaikista sille ilmoitetuista merkittävistä kyberuhkista ja poikkeamista, jotka vaikuttavat luottamuspalveluihin, sekä luottamuspalvelun tarjoajan mahdollisesta tämän direktiivin rikkomisesta. Jäsenvaltiot voivat tarvittaessa käyttää raportointiin keskitettyä asiointipistettä, joka on perustettu turvaamaan yhteinen ja automaattinen poikkeamista raportointi sekä asetuksen (EU) N:o 910/2014 mukaiselle valvontaelimelle että tämän direktiivin mukaiselle CSIRT-yksikölle tai toimivaltaiselle viranomaiselle. |
| --- | --- |

(94)

Jäsenvaltiot voivat antaa luottamuspalvelujen suhteen toimivaltaisten viranomaisten tehtävän asetuksen (EU) N:o 910/2014 mukaisille valvontaelimille, jotta voidaan varmistaa nykyisten käytäntöjen jatkuminen ja hyödyntää mainitun asetuksen soveltamisesta saatua tietämystä ja kokemusta. Tällaisessa tapauksessa tämän direktiivin mukaisten toimivaltaisten viranomaisten olisi tehtävä tiivistä ja oikea-aikaista yhteistyötä kyseisten valvontaelinten kanssa vaihtamalla asiaankuuluvia tietoja sen varmistamiseksi, että valvonta on tehokasta ja että luottamuspalvelun tarjoajat noudattavat tässä direktiivissä ja asetuksessa (EU) N:o 910/2014 säädettyjä vaatimuksia. Tapauksen mukaan tämän direktiivin mukaisen CSIRT-yksikön tai toimivaltaisen viranomaisen olisi tiedotettava asetuksen (EU) N:o 910/2014 mukaiselle valvontaelimelle välittömästi kaikista sille ilmoitetuista merkittävistä kyberuhkista ja poikkeamista, jotka vaikuttavat luottamuspalveluihin, sekä luottamuspalvelun tarjoajan mahdollisesta tämän direktiivin rikkomisesta. Jäsenvaltiot voivat tarvittaessa käyttää raportointiin keskitettyä asiointipistettä, joka on perustettu turvaamaan yhteinen ja automaattinen poikkeamista raportointi sekä asetuksen (EU) N:o 910/2014 mukaiselle valvontaelimelle että tämän direktiivin mukaiselle CSIRT-yksikölle tai toimivaltaiselle viranomaiselle.

| (95) | Tarkoituksenmukaisissa tapauksissa ja tarpeettomien katkosten välttämiseksi olisi tätä direktiiviä kansallisen lainsäädännön osaksi saatettaessa otettava huomioon olemassa olevat kansalliset ohjeet direktiivin (EU) 2018/1972 40 ja 41 artiklassa säädettyjen turvallisuustoimenpiteitä koskevien sääntöjen saattamisesta osaksi kansallista lainsäädäntöä, jotta voidaan hyödyntää direktiivin (EU) 2018/1972 soveltamisesta turvallisuustoimenpiteiden ja poikkeamien ilmoittamisen alalla saatua tietämystä ja ammattitaitoa. ENISA voi myös laatia yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajille ohjeistusta turvallisuusvaatimuksista ja raportointivelvoitteista yhdenmukaistamisen ja siirtymän helpottamiseksi ja häiriöiden minimoimiseksi. Jäsenvaltiot voivat antaa sähköisen viestinnän suhteen toimivaltaisten viranomaisten tehtävän direktiivin (EU) 2018/1972 mukaisille kansallisille sääntelyviranomaisille, jotta voidaan varmistaa nykyisten käytäntöjen jatkuminen ja hyödyntää kyseisen direktiivin täytäntöönpanosta saatua tietämystä ja kokemusta. |
| --- | --- |

(95)

Tarkoituksenmukaisissa tapauksissa ja tarpeettomien katkosten välttämiseksi olisi tätä direktiiviä kansallisen lainsäädännön osaksi saatettaessa otettava huomioon olemassa olevat kansalliset ohjeet direktiivin (EU) 2018/1972 40 ja 41 artiklassa säädettyjen turvallisuustoimenpiteitä koskevien sääntöjen saattamisesta osaksi kansallista lainsäädäntöä, jotta voidaan hyödyntää direktiivin (EU) 2018/1972 soveltamisesta turvallisuustoimenpiteiden ja poikkeamien ilmoittamisen alalla saatua tietämystä ja ammattitaitoa. ENISA voi myös laatia yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajille ohjeistusta turvallisuusvaatimuksista ja raportointivelvoitteista yhdenmukaistamisen ja siirtymän helpottamiseksi ja häiriöiden minimoimiseksi. Jäsenvaltiot voivat antaa sähköisen viestinnän suhteen toimivaltaisten viranomaisten tehtävän direktiivin (EU) 2018/1972 mukaisille kansallisille sääntelyviranomaisille, jotta voidaan varmistaa nykyisten käytäntöjen jatkuminen ja hyödyntää kyseisen direktiivin täytäntöönpanosta saatua tietämystä ja kokemusta.

| (96) | Kun otetaan huomioon direktiivissä (EU) 2018/1972 määriteltyjen numeroista riippumattomien henkilöiden välisten viestintäpalvelujen kasvava merkitys, on tarpeen varmistaa, että myös tällaisiin palveluihin sovelletaan asianmukaisia turvallisuusvaatimuksia niiden erityisen luonteen ja taloudellisen merkityksen mukaisesti. Hyökkäyspinnan koko ajan kasvaessa numeroista riippumattomista henkilöiden välisistä viestintäpalveluista, kuten sanomanvälityspalveluista, on tulossa laajalti käytettyjä hyökkäysvektoreita. Vihamieliset hyökkääjät käyttävät alustoja viestiäkseen uhreille ja saadakseen heidät avaamaan turvallisuudeltaan vaarantuneita verkkosivuja, mikä lisää sellaisten poikkeamien todennäköisyyttä, joissa käytetään hyväksi henkilötietoja ja jotka siten vaikuttavat verkko- ja tietojärjestelmien turvallisuuteen. Numeroista riippumattomien henkilöiden välisten viestintäpalvelujen tarjoajien olisi varmistettava, että verkko- ja tietojärjestelmien turvallisuuden taso on oikeassa suhteessa aiheutuviin riskeihin. Koska numeroista riippumattomien henkilöiden välisten viestintäpalvelujen tarjoajat eivät yleensä tosiasiallisesti valvo signaalinsiirtoa verkoissa, tällaisille palveluille aiheutuvia riskejä voidaan joiltakin osin pitää perinteisiä sähköisiä viestintäpalveluja alhaisempina. Sama koskee sellaisia direktiivissä (EU) 2018/1972 määriteltyjä henkilöiden välisiä viestintäpalveluja, jotka perustuvat numeroihin mutta joissa palveluntarjoaja ei tosiasiallisesti valvo signaalinsiirtoa. |
| --- | --- |

(96)

Kun otetaan huomioon direktiivissä (EU) 2018/1972 määriteltyjen numeroista riippumattomien henkilöiden välisten viestintäpalvelujen kasvava merkitys, on tarpeen varmistaa, että myös tällaisiin palveluihin sovelletaan asianmukaisia turvallisuusvaatimuksia niiden erityisen luonteen ja taloudellisen merkityksen mukaisesti. Hyökkäyspinnan koko ajan kasvaessa numeroista riippumattomista henkilöiden välisistä viestintäpalveluista, kuten sanomanvälityspalveluista, on tulossa laajalti käytettyjä hyökkäysvektoreita. Vihamieliset hyökkääjät käyttävät alustoja viestiäkseen uhreille ja saadakseen heidät avaamaan turvallisuudeltaan vaarantuneita verkkosivuja, mikä lisää sellaisten poikkeamien todennäköisyyttä, joissa käytetään hyväksi henkilötietoja ja jotka siten vaikuttavat verkko- ja tietojärjestelmien turvallisuuteen. Numeroista riippumattomien henkilöiden välisten viestintäpalvelujen tarjoajien olisi varmistettava, että verkko- ja tietojärjestelmien turvallisuuden taso on oikeassa suhteessa aiheutuviin riskeihin. Koska numeroista riippumattomien henkilöiden välisten viestintäpalvelujen tarjoajat eivät yleensä tosiasiallisesti valvo signaalinsiirtoa verkoissa, tällaisille palveluille aiheutuvia riskejä voidaan joiltakin osin pitää perinteisiä sähköisiä viestintäpalveluja alhaisempina. Sama koskee sellaisia direktiivissä (EU) 2018/1972 määriteltyjä henkilöiden välisiä viestintäpalveluja, jotka perustuvat numeroihin mutta joissa palveluntarjoaja ei tosiasiallisesti valvo signaalinsiirtoa.

| (97) | Sisämarkkinat ovat entistä riippuvaisempia internetin toiminnasta. Lähes kaikkien keskeisten ja tärkeiden toimijoiden palvelut ovat riippuvaisia internetin kautta tarjottavista palveluista. Keskeisten ja tärkeiden toimijoiden tarjoamien palvelujen sujuvan tarjonnan varmistamiseksi on tärkeää, että kaikilla yleisten sähköisten viestintäverkkojen tarjoajilla on käytössä asianmukaiset kyberturvallisuusriskien hallintatoimenpiteet ja että ne raportoivat kyberturvallisuuteen liittyvistä merkittävistä poikkeamista. Jäsenvaltioiden olisi varmistettava, että yleisten sähköisten viestintäverkkojen turvallisuus säilyy ja että niiden elintärkeät turvallisuusedut suojataan sabotaasilta ja vakoilulta. Koska kansainväliset yhteydet parantavat ja nopeuttavat kilpailuun perustuvaa digitalisaatiota unionissa ja sen taloudessa, merenalaisiin tietoliikennekaapeleihin vaikuttavista poikkeamista olisi raportoitava CSIRT-yksikölle tai tapauksen mukaan toimivaltaiselle viranomaiselle. Kansallisessa kyberturvallisuusstrategiassa olisi tarvittaessa otettava huomioon merenalaisten tietoliikennekaapelien kyberturvallisuus, ja siihen olisi sisällyttävä mahdollisten kyberturvallisuusriskien kartoitus ja toimenpiteitä vaikutusten lieventämiseksi, jotta voidaan varmistaa tietoliikennekaapelien mahdollisimman korkeatasoinen suojaus. |
| --- | --- |

(97)

Sisämarkkinat ovat entistä riippuvaisempia internetin toiminnasta. Lähes kaikkien keskeisten ja tärkeiden toimijoiden palvelut ovat riippuvaisia internetin kautta tarjottavista palveluista. Keskeisten ja tärkeiden toimijoiden tarjoamien palvelujen sujuvan tarjonnan varmistamiseksi on tärkeää, että kaikilla yleisten sähköisten viestintäverkkojen tarjoajilla on käytössä asianmukaiset kyberturvallisuusriskien hallintatoimenpiteet ja että ne raportoivat kyberturvallisuuteen liittyvistä merkittävistä poikkeamista. Jäsenvaltioiden olisi varmistettava, että yleisten sähköisten viestintäverkkojen turvallisuus säilyy ja että niiden elintärkeät turvallisuusedut suojataan sabotaasilta ja vakoilulta. Koska kansainväliset yhteydet parantavat ja nopeuttavat kilpailuun perustuvaa digitalisaatiota unionissa ja sen taloudessa, merenalaisiin tietoliikennekaapeleihin vaikuttavista poikkeamista olisi raportoitava CSIRT-yksikölle tai tapauksen mukaan toimivaltaiselle viranomaiselle. Kansallisessa kyberturvallisuusstrategiassa olisi tarvittaessa otettava huomioon merenalaisten tietoliikennekaapelien kyberturvallisuus, ja siihen olisi sisällyttävä mahdollisten kyberturvallisuusriskien kartoitus ja toimenpiteitä vaikutusten lieventämiseksi, jotta voidaan varmistaa tietoliikennekaapelien mahdollisimman korkeatasoinen suojaus.

| (98) | Yleisten sähköisten viestintäverkkojen ja yleisesti saatavilla olevien sähköisten viestintäpalvelujen turvallisuuden takaamiseksi olisi edistettävä salaustekniikoiden, erityisesti päästä päähän -salauksen, käyttöä sekä datakeskeisiä turvallisuuskonsepteja, kuten kartografiaa, segmentointia, tunnisteita, käyttöoikeusperiaatteita ja pääsynhallintaa sekä automatisoituja käyttöoikeuspäätöksiä. Salauksen, erityisesti päästä päähän -salauksen, käytön olisi tarvittaessa oltava pakollista yleisten sähköisten viestintäverkkojen tarjoajille ja yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajille oletusarvoisen ja sisäänrakennetun turvallisuuden ja yksityisyyden suojan periaatteiden mukaisesti tätä direktiiviä sovellettaessa. Päästä päähän -salauksen käyttö olisi sovitettava jäsenvaltioiden toimivaltaan varmistaa keskeisten turvallisuusetujensa ja yleisen turvallisuuden suojelu ja mahdollistaa rikosten ennalta estäminen, tutkiminen, paljastaminen ja rikoksiin liittyvät syytetoimet unionin oikeuden mukaisesti. Tämä ei kuitenkaan saisi heikentää päästä päähän -salausta, joka on tehokkaan tietosuojan, yksityisyyden suojan ja viestinnän turvallisuuden kannalta kriittinen teknologia. |
| --- | --- |

(98)

Yleisten sähköisten viestintäverkkojen ja yleisesti saatavilla olevien sähköisten viestintäpalvelujen turvallisuuden takaamiseksi olisi edistettävä salaustekniikoiden, erityisesti päästä päähän -salauksen, käyttöä sekä datakeskeisiä turvallisuuskonsepteja, kuten kartografiaa, segmentointia, tunnisteita, käyttöoikeusperiaatteita ja pääsynhallintaa sekä automatisoituja käyttöoikeuspäätöksiä. Salauksen, erityisesti päästä päähän -salauksen, käytön olisi tarvittaessa oltava pakollista yleisten sähköisten viestintäverkkojen tarjoajille ja yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajille oletusarvoisen ja sisäänrakennetun turvallisuuden ja yksityisyyden suojan periaatteiden mukaisesti tätä direktiiviä sovellettaessa. Päästä päähän -salauksen käyttö olisi sovitettava jäsenvaltioiden toimivaltaan varmistaa keskeisten turvallisuusetujensa ja yleisen turvallisuuden suojelu ja mahdollistaa rikosten ennalta estäminen, tutkiminen, paljastaminen ja rikoksiin liittyvät syytetoimet unionin oikeuden mukaisesti. Tämä ei kuitenkaan saisi heikentää päästä päähän -salausta, joka on tehokkaan tietosuojan, yksityisyyden suojan ja viestinnän turvallisuuden kannalta kriittinen teknologia.

| (99) | Yleisten sähköisten viestintäverkkojen ja yleisesti saatavilla olevien sähköisten viestintäpalvelujen turvallisuuden takaamiseksi ja niiden väärinkäytön ja manipuloinnin estämiseksi olisi edistettävä suojatun reitityksen standardien käyttöä, jotta voidaan varmistaa reititystoimintojen eheys ja luotettavuus koko internetyhteyspalvelun tarjoajien ekosysteemissä. |
| --- | --- |

(99)

Yleisten sähköisten viestintäverkkojen ja yleisesti saatavilla olevien sähköisten viestintäpalvelujen turvallisuuden takaamiseksi ja niiden väärinkäytön ja manipuloinnin estämiseksi olisi edistettävä suojatun reitityksen standardien käyttöä, jotta voidaan varmistaa reititystoimintojen eheys ja luotettavuus koko internetyhteyspalvelun tarjoajien ekosysteemissä.

| (100) | Jotta voidaan taata internetin toimivuus ja eheys ja edistää DNS-järjestelmän turvallisuutta ja häiriönsietokykyä, asiaankuuluvia sidosryhmiä, mukaan lukien unionin yksityisen sektorin toimijat, yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat, etenkin internetyhteyspalvelun tarjoajat, ja verkossa toimivien hakukoneiden tarjoajat, olisi kannustettava hyväksymään DNS-selvityksen monipuolistamisstrategia. Jäsenvaltioita olisi myös kannustettava kehittämään julkinen ja suojattu eurooppalainen DNS-selvittäjäpalvelu ja käyttämään sitä. |
| --- | --- |

(100)

Jotta voidaan taata internetin toimivuus ja eheys ja edistää DNS-järjestelmän turvallisuutta ja häiriönsietokykyä, asiaankuuluvia sidosryhmiä, mukaan lukien unionin yksityisen sektorin toimijat, yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat, etenkin internetyhteyspalvelun tarjoajat, ja verkossa toimivien hakukoneiden tarjoajat, olisi kannustettava hyväksymään DNS-selvityksen monipuolistamisstrategia. Jäsenvaltioita olisi myös kannustettava kehittämään julkinen ja suojattu eurooppalainen DNS-selvittäjäpalvelu ja käyttämään sitä.

| (101) | Tässä direktiivissä säädetään merkittävien poikkeamien ilmoittamista koskevasta monivaiheisesta lähestymistavasta, jotta löydetään oikea tasapaino yhtäältä nopean ilmoittamisen, joka auttaa lieventämään merkittävien poikkeamien mahdollista leviämistä ja antaa keskeisille ja tärkeille toimijoille mahdollisuuden pyytää apua, ja toisaalta sellaisen perusteellisemman raportoinnin välillä, jonka ansiosta saadaan arvokasta kokemusta yksittäisistä poikkeamista ja parannetaan ajan mittaan yksittäisten toimijoiden ja kokonaisten toimialojen kyberresilienssiä. Tältä osin tähän direktiiviin olisi sisällytettävä sellaisista poikkeamista raportoiminen, jotka voivat asianomaisen toimijan suorittaman alustavan arvioinnin perusteella johtaa vakaviin palvelun toimintahäiriöihin tai aiheuttaa kyseiselle toimijalle suuria taloudellisia tappioita tai vaikuttaa muihin luonnollisiin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista ja aineetonta vahinkoa. Tällaisessa alustavassa arvioinnissa olisi otettava huomioon muun muassa verkko- ja tietojärjestelmät, joihin poikkeama vaikuttaa, ja erityisesti niiden merkitys toimijan palvelujen tarjoamisessa, kyberuhkan vakavuus ja tekniset ominaisuudet sekä mahdolliset taustalla olevat haavoittuvuudet, joita käytetään hyväksi, sekä toimijan kokemukset samanlaisista poikkeamista. Indikaattorit, kuten palvelun häiriintymisen laajuus, poikkeaman kesto tai niiden palvelun vastaanottajien lukumäärä, joihin poikkeama vaikuttaa, voivat olla tärkeitä määritettäessä, onko palvelun toimintahäiriö vakava. |
| --- | --- |

(101)

Tässä direktiivissä säädetään merkittävien poikkeamien ilmoittamista koskevasta monivaiheisesta lähestymistavasta, jotta löydetään oikea tasapaino yhtäältä nopean ilmoittamisen, joka auttaa lieventämään merkittävien poikkeamien mahdollista leviämistä ja antaa keskeisille ja tärkeille toimijoille mahdollisuuden pyytää apua, ja toisaalta sellaisen perusteellisemman raportoinnin välillä, jonka ansiosta saadaan arvokasta kokemusta yksittäisistä poikkeamista ja parannetaan ajan mittaan yksittäisten toimijoiden ja kokonaisten toimialojen kyberresilienssiä. Tältä osin tähän direktiiviin olisi sisällytettävä sellaisista poikkeamista raportoiminen, jotka voivat asianomaisen toimijan suorittaman alustavan arvioinnin perusteella johtaa vakaviin palvelun toimintahäiriöihin tai aiheuttaa kyseiselle toimijalle suuria taloudellisia tappioita tai vaikuttaa muihin luonnollisiin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista ja aineetonta vahinkoa. Tällaisessa alustavassa arvioinnissa olisi otettava huomioon muun muassa verkko- ja tietojärjestelmät, joihin poikkeama vaikuttaa, ja erityisesti niiden merkitys toimijan palvelujen tarjoamisessa, kyberuhkan vakavuus ja tekniset ominaisuudet sekä mahdolliset taustalla olevat haavoittuvuudet, joita käytetään hyväksi, sekä toimijan kokemukset samanlaisista poikkeamista. Indikaattorit, kuten palvelun häiriintymisen laajuus, poikkeaman kesto tai niiden palvelun vastaanottajien lukumäärä, joihin poikkeama vaikuttaa, voivat olla tärkeitä määritettäessä, onko palvelun toimintahäiriö vakava.

| (102) | Kun keskeinen tai tärkeä toimija tulee tietoiseksi merkittävästä poikkeamasta, sillä olisi oltava velvollisuus antaa ennakkovaroitus ilman aiheetonta viivytystä ja joka tapauksessa 24 tunnin kuluessa. Ennakkovaroituksen jälkeen olisi tehtävä poikkeamailmoitus. Asianomaisten toimijoiden olisi tehtävä poikkeamailmoitus ilman aiheetonta viivytystä ja joka tapauksessa 72 tunnin kuluessa siitä, kun ne tulevat tietoisiksi merkittävästä poikkeamasta, ja pyrittävä erityisesti pitämään ennakkovaroituksessa annetut tiedot ajantasaisina ja esittämään alustava arvio merkittävästä poikkeamasta, myös sen vakavuudesta ja vaikutuksista, sekä vaarantumista kuvaavat indikaattorit eli IoC-tieto, jäljempänä 'vaarantumisindikaattorit', jos sellaisia on saatavilla. Lopullinen raportti olisi toimitettava viimeistään kuukauden kuluttua poikkeamailmoituksesta. Ennakkovaroituksen olisi sisällettävä vain ne tiedot, jotka ovat välttämättömiä, jotta CSIRT-yksikkö tai tapauksen mukaan toimivaltainen viranomainen tulee tietoiseksi merkittävästä poikkeamasta ja jotta asianomainen toimija voi tarvittaessa pyytää apua. Tällaisessa ennakkovaroituksessa olisi tapauksen mukaan ilmoitettava, epäilläänkö merkittävän poikkeaman johtuvan lainvastaisista tai vihamielisistä teoista ja onko sillä todennäköisesti rajatylittäviä vaikutuksia. Jäsenvaltioiden olisi varmistettava, että velvollisuus antaa kyseinen ennakkovaroitus tai sen jälkeinen poikkeamailmoitus ei vie ilmoituksen tehneen toimijan resursseja pois poikkeamien käsittelyyn liittyvistä toiminnoista, jotka olisi asetettava etusijalle, jotta voidaan estää se, että poikkeamaraportointivelvoitteet joko vievät resursseja pois merkittävien poikkeamien hallintatoimista tai muulla tavoin vaarantavat toimijan asiaan liittyvät ponnistelut. Jos poikkeama on edelleen meneillään silloin, kun lopullinen raportti pitäisi toimittaa, jäsenvaltioiden olisi varmistettava, että asianomaiset toimijat toimittavat tuolloin edistymisraportin ja lopullisen raportin kuukauden kuluessa siitä, kun ne ovat käsitelleet merkittävän poikkeaman. |
| --- | --- |

(102)

Kun keskeinen tai tärkeä toimija tulee tietoiseksi merkittävästä poikkeamasta, sillä olisi oltava velvollisuus antaa ennakkovaroitus ilman aiheetonta viivytystä ja joka tapauksessa 24 tunnin kuluessa. Ennakkovaroituksen jälkeen olisi tehtävä poikkeamailmoitus. Asianomaisten toimijoiden olisi tehtävä poikkeamailmoitus ilman aiheetonta viivytystä ja joka tapauksessa 72 tunnin kuluessa siitä, kun ne tulevat tietoisiksi merkittävästä poikkeamasta, ja pyrittävä erityisesti pitämään ennakkovaroituksessa annetut tiedot ajantasaisina ja esittämään alustava arvio merkittävästä poikkeamasta, myös sen vakavuudesta ja vaikutuksista, sekä vaarantumista kuvaavat indikaattorit eli IoC-tieto, jäljempänä 'vaarantumisindikaattorit', jos sellaisia on saatavilla. Lopullinen raportti olisi toimitettava viimeistään kuukauden kuluttua poikkeamailmoituksesta. Ennakkovaroituksen olisi sisällettävä vain ne tiedot, jotka ovat välttämättömiä, jotta CSIRT-yksikkö tai tapauksen mukaan toimivaltainen viranomainen tulee tietoiseksi merkittävästä poikkeamasta ja jotta asianomainen toimija voi tarvittaessa pyytää apua. Tällaisessa ennakkovaroituksessa olisi tapauksen mukaan ilmoitettava, epäilläänkö merkittävän poikkeaman johtuvan lainvastaisista tai vihamielisistä teoista ja onko sillä todennäköisesti rajatylittäviä vaikutuksia. Jäsenvaltioiden olisi varmistettava, että velvollisuus antaa kyseinen ennakkovaroitus tai sen jälkeinen poikkeamailmoitus ei vie ilmoituksen tehneen toimijan resursseja pois poikkeamien käsittelyyn liittyvistä toiminnoista, jotka olisi asetettava etusijalle, jotta voidaan estää se, että poikkeamaraportointivelvoitteet joko vievät resursseja pois merkittävien poikkeamien hallintatoimista tai muulla tavoin vaarantavat toimijan asiaan liittyvät ponnistelut. Jos poikkeama on edelleen meneillään silloin, kun lopullinen raportti pitäisi toimittaa, jäsenvaltioiden olisi varmistettava, että asianomaiset toimijat toimittavat tuolloin edistymisraportin ja lopullisen raportin kuukauden kuluessa siitä, kun ne ovat käsitelleet merkittävän poikkeaman.

| (103) | Keskeisten ja tärkeiden toimijoiden olisi tarvittaessa tiedotettava palvelunsa vastaanottajille ilman aiheetonta viivytystä kaikista toimenpiteistä tai korjaavista toimista, joita he voivat toteuttaa lieventääkseen merkittävästä kyberuhkasta johtuvia riskejä. Kyseisten toimijoiden olisi tarvittaessa ja erityisesti silloin, kun merkittävä kyberuhka todennäköisesti toteutuu, tiedotettava palvelunsa vastaanottajille myös itse uhkasta. Kyseisten toimijoiden olisi täytettävä vaatimus tiedottaa merkittävistä kyberuhkista palvelunsa vastaanottajille parhaansa mukaan, mutta tämä ei saisi vapauttaa niitä velvollisuudesta toteuttaa omalla kustannuksellaan asianmukaisia ja välittömiä toimenpiteitä uhkien ehkäisemiseksi tai korjaamiseksi ja palvelun normaalin turvallisuustason palauttamiseksi. Merkittäviä kyberuhkia koskevat tiedot olisi annettava palvelun vastaanottajille maksutta, ja ne olisi ilmaistava helppotajuisesti. |
| --- | --- |

(103)

Keskeisten ja tärkeiden toimijoiden olisi tarvittaessa tiedotettava palvelunsa vastaanottajille ilman aiheetonta viivytystä kaikista toimenpiteistä tai korjaavista toimista, joita he voivat toteuttaa lieventääkseen merkittävästä kyberuhkasta johtuvia riskejä. Kyseisten toimijoiden olisi tarvittaessa ja erityisesti silloin, kun merkittävä kyberuhka todennäköisesti toteutuu, tiedotettava palvelunsa vastaanottajille myös itse uhkasta. Kyseisten toimijoiden olisi täytettävä vaatimus tiedottaa merkittävistä kyberuhkista palvelunsa vastaanottajille parhaansa mukaan, mutta tämä ei saisi vapauttaa niitä velvollisuudesta toteuttaa omalla kustannuksellaan asianmukaisia ja välittömiä toimenpiteitä uhkien ehkäisemiseksi tai korjaamiseksi ja palvelun normaalin turvallisuustason palauttamiseksi. Merkittäviä kyberuhkia koskevat tiedot olisi annettava palvelun vastaanottajille maksutta, ja ne olisi ilmaistava helppotajuisesti.

| (104) | Yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien olisi pantava täytäntöön sisäänrakennettu ja oletusarvoinen turvallisuus sekä tiedotettava palvelunsa vastaanottajille merkittävistä kyberuhkista ja toimenpiteistä, joita he voivat toteuttaa laitteidensa ja viestintänsä turvallisuuden suojaamiseksi esimerkiksi käyttämällä tietyntyyppisiä ohjelmistoja tai salaustekniikoita. |
| --- | --- |

(104)

Yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien olisi pantava täytäntöön sisäänrakennettu ja oletusarvoinen turvallisuus sekä tiedotettava palvelunsa vastaanottajille merkittävistä kyberuhkista ja toimenpiteistä, joita he voivat toteuttaa laitteidensa ja viestintänsä turvallisuuden suojaamiseksi esimerkiksi käyttämällä tietyntyyppisiä ohjelmistoja tai salaustekniikoita.

| (105) | Ennakoiva lähestymistapa kyberuhkiin on ratkaiseva osa kyberturvallisuusriskien hallintaa, jonka avulla toimivaltaisten viranomaisten olisi pystyttävä estämään tehokkaasti kyberuhkien toteutuminen poikkeamina, jotka voivat aiheuttaa huomattavaa aineellista ja aineetonta vahinkoa. Tätä varten kyberuhkista ilmoittaminen on erittäin tärkeää. Siksi toimijoita kannustetaan raportoimaan vapaaehtoisesti kyberuhkista. |
| --- | --- |

(105)

Ennakoiva lähestymistapa kyberuhkiin on ratkaiseva osa kyberturvallisuusriskien hallintaa, jonka avulla toimivaltaisten viranomaisten olisi pystyttävä estämään tehokkaasti kyberuhkien toteutuminen poikkeamina, jotka voivat aiheuttaa huomattavaa aineellista ja aineetonta vahinkoa. Tätä varten kyberuhkista ilmoittaminen on erittäin tärkeää. Siksi toimijoita kannustetaan raportoimaan vapaaehtoisesti kyberuhkista.

| (106) | Tässä direktiivissä edellytettävien tietojen raportoinnin yksinkertaistamiseksi ja toimijoille aiheutuvan hallinnollisen rasitteen vähentämiseksi jäsenvaltioiden olisi tarjottava tekniset keinot, kuten keskitetty asiointipiste, automatisoidut järjestelmät, verkkolomakkeet, käyttäjäystävälliset käyttöliittymät, mallit ja erityiset alustat, joita toimijat riippumatta siitä, kuuluvatko ne tämän direktiivin soveltamisalaan, voivat käyttää asiaankuuluvien raportoitavien tietojen toimittamiseen. Tämän direktiivin täytäntöönpanoa tukevaan unionin rahoitukseen, erityisesti Euroopan parlamentin ja neuvoston asetuksella (EU) 2021/694 (21) perustetusta Digitaalinen Eurooppa -ohjelmasta annettavaan rahoitukseen, voisi sisältyä tuki keskitetyille asiointipisteille. Toimijat ovat lisäksi usein tilanteessa, jossa tietystä poikkeamasta on sen ominaisuuksien vuoksi ilmoitettava useille viranomaisille eri säädöksiin sisältyvien ilmoitusvelvoitteiden vuoksi. Tällaiset tapaukset aiheuttavat hallinnollista lisärasitteita ja saattavat myös synnyttää epävarmuutta tällaisten ilmoitusten muodosta ja menettelyistä. Kun keskitetty asiointipiste on perustettu, jäsenvaltioita kannustetaan käyttämään kyseistä keskitettyä asiointipistettä myös turvapoikkeamien ilmoittamiseen muun unionin lainsäädännön, kuten asetuksen (EU) 2016/679 ja direktiivin 2002/58/EY, nojalla. Tällaisen keskitetyn asiointipisteen käyttö turvapoikkeamien ilmoittamiseen asetuksen (EU) 2016/679 ja direktiivin 2002/58/EY nojalla ei saisi vaikuttaa asetuksen (EU) 2016/679 ja direktiivin 2002/58/EY säännösten soveltamiseen, etenkään niiden säännösten, jotka koskevat niissä tarkoitettujen viranomaisten riippumattomuutta. ENISAn olisi yhteistyössä yhteistyöryhmän kanssa kehitettävä yhteiset ilmoitusmallit antamalla ohjeita, joilla yksinkertaistetaan ja virtaviivaistetaan unionin lainsäädännössä edellytettyjä raportoitavia tietoja ja vähennetään ilmoituksen tehneille toimijoille aiheutuvaa hallinnollista rasitetta. |
| --- | --- |

(106)

Tässä direktiivissä edellytettävien tietojen raportoinnin yksinkertaistamiseksi ja toimijoille aiheutuvan hallinnollisen rasitteen vähentämiseksi jäsenvaltioiden olisi tarjottava tekniset keinot, kuten keskitetty asiointipiste, automatisoidut järjestelmät, verkkolomakkeet, käyttäjäystävälliset käyttöliittymät, mallit ja erityiset alustat, joita toimijat riippumatta siitä, kuuluvatko ne tämän direktiivin soveltamisalaan, voivat käyttää asiaankuuluvien raportoitavien tietojen toimittamiseen. Tämän direktiivin täytäntöönpanoa tukevaan unionin rahoitukseen, erityisesti Euroopan parlamentin ja neuvoston asetuksella (EU) 2021/694 (21) perustetusta Digitaalinen Eurooppa -ohjelmasta annettavaan rahoitukseen, voisi sisältyä tuki keskitetyille asiointipisteille. Toimijat ovat lisäksi usein tilanteessa, jossa tietystä poikkeamasta on sen ominaisuuksien vuoksi ilmoitettava useille viranomaisille eri säädöksiin sisältyvien ilmoitusvelvoitteiden vuoksi. Tällaiset tapaukset aiheuttavat hallinnollista lisärasitteita ja saattavat myös synnyttää epävarmuutta tällaisten ilmoitusten muodosta ja menettelyistä. Kun keskitetty asiointipiste on perustettu, jäsenvaltioita kannustetaan käyttämään kyseistä keskitettyä asiointipistettä myös turvapoikkeamien ilmoittamiseen muun unionin lainsäädännön, kuten asetuksen (EU) 2016/679 ja direktiivin 2002/58/EY, nojalla. Tällaisen keskitetyn asiointipisteen käyttö turvapoikkeamien ilmoittamiseen asetuksen (EU) 2016/679 ja direktiivin 2002/58/EY nojalla ei saisi vaikuttaa asetuksen (EU) 2016/679 ja direktiivin 2002/58/EY säännösten soveltamiseen, etenkään niiden säännösten, jotka koskevat niissä tarkoitettujen viranomaisten riippumattomuutta. ENISAn olisi yhteistyössä yhteistyöryhmän kanssa kehitettävä yhteiset ilmoitusmallit antamalla ohjeita, joilla yksinkertaistetaan ja virtaviivaistetaan unionin lainsäädännössä edellytettyjä raportoitavia tietoja ja vähennetään ilmoituksen tehneille toimijoille aiheutuvaa hallinnollista rasitetta.

| (107) | Jos epäillään, että poikkeama liittyy unionin oikeudessa tai kansallisessa lainsäädännössä tarkoitettuun vakavaan rikolliseen toimintaan, jäsenvaltioiden olisi kannustettava keskeisiä ja tärkeitä toimijoita raportoimaan vakaviksi rikoksiksi epäillyistä poikkeamista asiaankuuluville lainvalvontaviranomaisille sovellettavien rikosoikeudellisia menettelyjä koskevien sääntöjen perusteella unionin oikeuden mukaisesti. Tarvittaessa ja rajoittamatta Europoliin sovellettavien henkilötietojen suojaa koskevien sääntöjen soveltamista on suotavaa, että eri jäsenvaltioiden toimivaltaisten viranomaisten ja lainvalvontaviranomaisten välinen koordinointi tapahtuu Euroopan kyberrikostorjuntakeskuksen (EC3) ja ENISAn myötävaikutuksella. |
| --- | --- |

(107)

Jos epäillään, että poikkeama liittyy unionin oikeudessa tai kansallisessa lainsäädännössä tarkoitettuun vakavaan rikolliseen toimintaan, jäsenvaltioiden olisi kannustettava keskeisiä ja tärkeitä toimijoita raportoimaan vakaviksi rikoksiksi epäillyistä poikkeamista asiaankuuluville lainvalvontaviranomaisille sovellettavien rikosoikeudellisia menettelyjä koskevien sääntöjen perusteella unionin oikeuden mukaisesti. Tarvittaessa ja rajoittamatta Europoliin sovellettavien henkilötietojen suojaa koskevien sääntöjen soveltamista on suotavaa, että eri jäsenvaltioiden toimivaltaisten viranomaisten ja lainvalvontaviranomaisten välinen koordinointi tapahtuu Euroopan kyberrikostorjuntakeskuksen (EC3) ja ENISAn myötävaikutuksella.

| (108) | Poikkeamat vaarantavat monissa tapauksissa henkilötietojen suojan. Niinpä toimivaltaisten viranomaisten olisi tehtävä yhteistyötä ja vaihdettava tietoja kaikista merkityksellisistä asioista asetuksessa (EU) 2016/679 ja direktiivissä 2002/58/EY tarkoitettujen viranomaisten kanssa. |
| --- | --- |

(108)

Poikkeamat vaarantavat monissa tapauksissa henkilötietojen suojan. Niinpä toimivaltaisten viranomaisten olisi tehtävä yhteistyötä ja vaihdettava tietoja kaikista merkityksellisistä asioista asetuksessa (EU) 2016/679 ja direktiivissä 2002/58/EY tarkoitettujen viranomaisten kanssa.

| (109) | Verkkotunnusten rekisteröintitietojen (WHOIS-tietojen) tarkkojen ja kattavien tietokantojen ylläpitäminen ja laillisen pääsyn tarjoaminen tällaisiin tietoihin on olennaisen tärkeää, jotta voidaan varmistaa DNS-järjestelmän turvallisuus, vakaus ja häiriönsietokyky, mikä puolestaan edistää kyberturvallisuuden yhteistä korkeaa tasoa kaikkialla unionissa. Tätä nimenomaista tarkoitusta varten aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat olisi velvoitettava käsittelemään tiettyjä, tähän tarkoitukseen tarvittavia tietoja. Tällaista käsittelyä olisi pidettävä asetuksen (EU) 2016/679 6 artiklan 1 kohdan c alakohdassa tarkoitettuna lakisääteisenä velvoitteena. Tämä velvoite ei rajoita mahdollisuutta kerätä verkkotunnusten rekisteröintitietoja muihin tarkoituksiin, esimerkiksi sopimusjärjestelyjen tai muussa unionin oikeudessa tai kansallisessa lainsäädännössä vahvistettujen oikeudellisten vaatimusten perusteella. Tällä velvoitteella pyritään varmistamaan, että rekisteröintitiedot ovat täydelliset ja tarkat, eikä sen pitäisi johtaa samojen tietojen keräämiseen moneen kertaan. Aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi tehtävä yhteistyötä päällekkäisen keruun välttämiseksi. |
| --- | --- |

(109)

Verkkotunnusten rekisteröintitietojen (WHOIS-tietojen) tarkkojen ja kattavien tietokantojen ylläpitäminen ja laillisen pääsyn tarjoaminen tällaisiin tietoihin on olennaisen tärkeää, jotta voidaan varmistaa DNS-järjestelmän turvallisuus, vakaus ja häiriönsietokyky, mikä puolestaan edistää kyberturvallisuuden yhteistä korkeaa tasoa kaikkialla unionissa. Tätä nimenomaista tarkoitusta varten aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat olisi velvoitettava käsittelemään tiettyjä, tähän tarkoitukseen tarvittavia tietoja. Tällaista käsittelyä olisi pidettävä asetuksen (EU) 2016/679 6 artiklan 1 kohdan c alakohdassa tarkoitettuna lakisääteisenä velvoitteena. Tämä velvoite ei rajoita mahdollisuutta kerätä verkkotunnusten rekisteröintitietoja muihin tarkoituksiin, esimerkiksi sopimusjärjestelyjen tai muussa unionin oikeudessa tai kansallisessa lainsäädännössä vahvistettujen oikeudellisten vaatimusten perusteella. Tällä velvoitteella pyritään varmistamaan, että rekisteröintitiedot ovat täydelliset ja tarkat, eikä sen pitäisi johtaa samojen tietojen keräämiseen moneen kertaan. Aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi tehtävä yhteistyötä päällekkäisen keruun välttämiseksi.

| (110) | Verkkotunnusten rekisteröintitietojen saatavuus ja nopea käytettävyys niihin pääsyä oikeutetusti pyytäville on olennaisen tärkeää DNS-järjestelmän väärinkäytön ehkäisemiseksi ja torjumiseksi sekä poikkeamien ehkäisemiseksi, havaitsemiseksi ja hallitsemiseksi. Pääsyä oikeutetusti pyytävillä tarkoitetaan kaikkia luonnollisia henkilöitä tai oikeushenkilöitä, jotka esittävät pyynnön unionin oikeuden tai kansallisen lainsäädännön nojalla. Niihin voi kuulua viranomaisia, jotka ovat toimivaltaisia tämän direktiivin mukaisesti, sekä viranomaisia, joilla on unionin oikeuden tai kansallisen lainsäädännön nojalla toimivalta rikosten ennalta estämiseen, tutkimiseen, paljastamiseen tai rikoksiin liittyviin syytetoimiin, ja CERT-ryhmiä tai CSIRT-yksiköitä. Aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat olisi velvoitettava antamaan laillinen pääsy tarkasti määrättyihin verkkotunnusten rekisteröintitietoihin, joita tarvitaan esitettyä pyyntöä varten, niille, jotka pyytävät pääsyä oikeutetusti unionin oikeuden ja kansallisen lainsäädännön mukaisesti. Pääsyä oikeutetusti pyytävän olisi liitettävä pyyntöönsä perustelut, joiden avulla voidaan arvioida, onko tietoihin pääsy tarpeen. |
| --- | --- |

(110)

Verkkotunnusten rekisteröintitietojen saatavuus ja nopea käytettävyys niihin pääsyä oikeutetusti pyytäville on olennaisen tärkeää DNS-järjestelmän väärinkäytön ehkäisemiseksi ja torjumiseksi sekä poikkeamien ehkäisemiseksi, havaitsemiseksi ja hallitsemiseksi. Pääsyä oikeutetusti pyytävillä tarkoitetaan kaikkia luonnollisia henkilöitä tai oikeushenkilöitä, jotka esittävät pyynnön unionin oikeuden tai kansallisen lainsäädännön nojalla. Niihin voi kuulua viranomaisia, jotka ovat toimivaltaisia tämän direktiivin mukaisesti, sekä viranomaisia, joilla on unionin oikeuden tai kansallisen lainsäädännön nojalla toimivalta rikosten ennalta estämiseen, tutkimiseen, paljastamiseen tai rikoksiin liittyviin syytetoimiin, ja CERT-ryhmiä tai CSIRT-yksiköitä. Aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat olisi velvoitettava antamaan laillinen pääsy tarkasti määrättyihin verkkotunnusten rekisteröintitietoihin, joita tarvitaan esitettyä pyyntöä varten, niille, jotka pyytävät pääsyä oikeutetusti unionin oikeuden ja kansallisen lainsäädännön mukaisesti. Pääsyä oikeutetusti pyytävän olisi liitettävä pyyntöönsä perustelut, joiden avulla voidaan arvioida, onko tietoihin pääsy tarpeen.

| (111) | Tarkkojen ja täydellisten verkkotunnusten rekisteröintitietojen saatavuuden varmistamiseksi aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi kerättävä verkkotunnusten rekisteröintitiedot ja taattava niiden eheys ja saatavuus. Aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi erityisesti vahvistettava toimintaperiaatteet ja menettelyt, joiden mukaisesti kerätään ja ylläpidetään tarkkoja ja täydellisiä verkkotunnusten rekisteröintitietoja sekä ehkäistään ja korjataan virheellisiä rekisteröintitietoja unionin tietosuojalainsäädännön mukaisesti. Näissä toimintaperiaatteissa ja menettelyissä olisi mahdollisuuksien mukaan otettava huomioon monisidosryhmäisten hallintorakenteiden kansainvälisellä tasolla kehittämät standardit. Aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi hyväksyttävä ja pantava täytäntöön oikeasuhteiset menettelyt verkkotunnusten rekisteröintitietojen tarkistamiseksi. Näiden menettelyjen olisi kuvastettava toimialan parhaita käytäntöjä ja mahdollisuuksien mukaan sähköisen tunnistamisen alalla saavutettua edistystä. Esimerkkejä tarkastusmenettelyistä voivat olla rekisteröintihetkellä suoritettavat ennakkotarkastukset ja rekisteröinnin jälkeen suoritettavat jälkitarkastukset. Aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi erityisesti varmennettava ainakin yksi keino ottaa yhteyttä verkkotunnuksen rekisteröijään. |
| --- | --- |

(111)

Tarkkojen ja täydellisten verkkotunnusten rekisteröintitietojen saatavuuden varmistamiseksi aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi kerättävä verkkotunnusten rekisteröintitiedot ja taattava niiden eheys ja saatavuus. Aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi erityisesti vahvistettava toimintaperiaatteet ja menettelyt, joiden mukaisesti kerätään ja ylläpidetään tarkkoja ja täydellisiä verkkotunnusten rekisteröintitietoja sekä ehkäistään ja korjataan virheellisiä rekisteröintitietoja unionin tietosuojalainsäädännön mukaisesti. Näissä toimintaperiaatteissa ja menettelyissä olisi mahdollisuuksien mukaan otettava huomioon monisidosryhmäisten hallintorakenteiden kansainvälisellä tasolla kehittämät standardit. Aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi hyväksyttävä ja pantava täytäntöön oikeasuhteiset menettelyt verkkotunnusten rekisteröintitietojen tarkistamiseksi. Näiden menettelyjen olisi kuvastettava toimialan parhaita käytäntöjä ja mahdollisuuksien mukaan sähköisen tunnistamisen alalla saavutettua edistystä. Esimerkkejä tarkastusmenettelyistä voivat olla rekisteröintihetkellä suoritettavat ennakkotarkastukset ja rekisteröinnin jälkeen suoritettavat jälkitarkastukset. Aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi erityisesti varmennettava ainakin yksi keino ottaa yhteyttä verkkotunnuksen rekisteröijään.

| (112) | Aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat olisi velvoitettava asettamaan julkisesti saataville verkkotunnusten rekisteröintitiedot, jotka eivät kuulu unionin tietosuojalainsäädännön soveltamisalaan, kuten oikeushenkilöitä koskevat tiedot, asetuksen (EU) 2016/679 johdanto-osan mukaisesti. Oikeushenkilöiden osalta aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi asetettava julkisesti saataville ainakin verkkotunnuksen rekisteröijän nimi ja yhteyspuhelinnumero. Yhteyssähköpostiosoite olisi myös julkaistava edellyttäen, että se ei sisällä henkilötietoja, kuten käyttämällä vaihtoehtoisia sähköpostiosoitteita (alias) tai asiointiosoitteita. Aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi myös unionin tietosuojalainsäädännön mukaisesti annettava pääsyä oikeutetusti pyytäville laillinen pääsy tarkasti määrättyihin luonnollisia henkilöitä koskeviin verkkotunnusten rekisteröintitietoihin. Jäsenvaltioiden olisi edellytettävä, että aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat vastaavat ilman aiheetonta viivytystä pääsyä oikeutetusti pyytävien esittämiin verkkotunnusten rekisteröintitietojen luovuttamispyyntöihin. Aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi vahvistettava toimintaperiaatteet ja menettelyt rekisteröintitietojen julkaisemista ja luovuttamista varten, mukaan lukien palvelutasosopimukset pääsyä oikeutetusti pyytävien esittämien pyyntöjen käsittelemiseksi. Näissä toimintaperiaatteissa ja menettelyissä olisi mahdollisuuksien mukaan otettava huomioon mahdollinen ohjeistus ja monisidosryhmäisten hallintorakenteiden kansainvälisellä tasolla kehittämät standardit. Tietojenluovutusmenettelyssä voidaan käyttää rajapintaa, portaalia tai muuta teknistä välinettä tehokkaan järjestelyn tarjoamiseksi rekisteröintitietojen pyytämistä ja niihin pääsyä varten. Edistääkseen yhdenmukaisia käytäntöjä sisämarkkinoilla komissio voi Euroopan tietosuojaneuvoston toimivaltaa rajoittamatta antaa tällaisia menettelyjä koskevia ohjeita, joissa otetaan mahdollisuuksien mukaan huomioon monisidosryhmäisten hallintorakenteiden kansainvälisellä tasolla kehittämät standardit. Jäsenvaltioiden olisi varmistettava, että kaikenlainen pääsy verkkotunnusten rekisteröintitietoihin, sekä henkilötietoihin että muihin kuin henkilötietoihin, on maksutonta. |
| --- | --- |

(112)

Aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat olisi velvoitettava asettamaan julkisesti saataville verkkotunnusten rekisteröintitiedot, jotka eivät kuulu unionin tietosuojalainsäädännön soveltamisalaan, kuten oikeushenkilöitä koskevat tiedot, asetuksen (EU) 2016/679 johdanto-osan mukaisesti. Oikeushenkilöiden osalta aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi asetettava julkisesti saataville ainakin verkkotunnuksen rekisteröijän nimi ja yhteyspuhelinnumero. Yhteyssähköpostiosoite olisi myös julkaistava edellyttäen, että se ei sisällä henkilötietoja, kuten käyttämällä vaihtoehtoisia sähköpostiosoitteita (alias) tai asiointiosoitteita. Aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi myös unionin tietosuojalainsäädännön mukaisesti annettava pääsyä oikeutetusti pyytäville laillinen pääsy tarkasti määrättyihin luonnollisia henkilöitä koskeviin verkkotunnusten rekisteröintitietoihin. Jäsenvaltioiden olisi edellytettävä, että aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat vastaavat ilman aiheetonta viivytystä pääsyä oikeutetusti pyytävien esittämiin verkkotunnusten rekisteröintitietojen luovuttamispyyntöihin. Aluetunnusrekisterien ja verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden olisi vahvistettava toimintaperiaatteet ja menettelyt rekisteröintitietojen julkaisemista ja luovuttamista varten, mukaan lukien palvelutasosopimukset pääsyä oikeutetusti pyytävien esittämien pyyntöjen käsittelemiseksi. Näissä toimintaperiaatteissa ja menettelyissä olisi mahdollisuuksien mukaan otettava huomioon mahdollinen ohjeistus ja monisidosryhmäisten hallintorakenteiden kansainvälisellä tasolla kehittämät standardit. Tietojenluovutusmenettelyssä voidaan käyttää rajapintaa, portaalia tai muuta teknistä välinettä tehokkaan järjestelyn tarjoamiseksi rekisteröintitietojen pyytämistä ja niihin pääsyä varten. Edistääkseen yhdenmukaisia käytäntöjä sisämarkkinoilla komissio voi Euroopan tietosuojaneuvoston toimivaltaa rajoittamatta antaa tällaisia menettelyjä koskevia ohjeita, joissa otetaan mahdollisuuksien mukaan huomioon monisidosryhmäisten hallintorakenteiden kansainvälisellä tasolla kehittämät standardit. Jäsenvaltioiden olisi varmistettava, että kaikenlainen pääsy verkkotunnusten rekisteröintitietoihin, sekä henkilötietoihin että muihin kuin henkilötietoihin, on maksutonta.

| (113) | Tämän direktiivin soveltamisalaan kuuluvien toimijoiden olisi katsottava kuuluvan sen jäsenvaltion lainkäyttövaltaan, johon ne ovat sijoittautuneet. Yleisten sähköisten viestintäverkkojen tarjoajien tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien olisi kuitenkin katsottava kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa ne tarjoavat palvelujaan. DNS-palveluntarjoajien, aluetunnusrekisterien, verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden, pilvipalvelujen tarjoajien, datakeskuspalvelujen tarjoajien, sisällönjakeluverkkojen tarjoajien, hallintapalvelun tarjoajien, tietoturvapalveluntarjoajien sekä verkossa toimivien markkinapaikkojen tarjoajien, verkossa toimivien hakukoneiden tarjoajien ja verkkoyhteisöalustojen tarjoajien olisi katsottava kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa niiden päätoimipaikka on unionissa. Julkishallinnon toimijoiden olisi kuuluttava sen jäsenvaltion lainkäyttövaltaan, joka ne on perustanut. Jos toimija tarjoaa palveluja useammassa kuin yhdessä jäsenvaltiossa tai on sijoittautunut useampaan kuin yhteen jäsenvaltioon, sen olisi kuuluttava asianomaisten jäsenvaltioiden erilliseen ja rinnakkaiseen lainkäyttövaltaan. Näiden jäsenvaltioiden toimivaltaisten viranomaisten olisi tehtävä yhteistyötä, annettava toisilleen keskinäistä apua ja tarvittaessa toteutettava yhteisiä valvontatoimia. Käyttäessään lainkäyttövaltaansa jäsenvaltiot eivät ne bis in idem -periaatteen mukaisesti saisi määrätä täytäntöönpanotoimenpiteitä tai seuraamuksia useammin kuin kerran samasta toiminnasta. |
| --- | --- |

(113)

Tämän direktiivin soveltamisalaan kuuluvien toimijoiden olisi katsottava kuuluvan sen jäsenvaltion lainkäyttövaltaan, johon ne ovat sijoittautuneet. Yleisten sähköisten viestintäverkkojen tarjoajien tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien olisi kuitenkin katsottava kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa ne tarjoavat palvelujaan. DNS-palveluntarjoajien, aluetunnusrekisterien, verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden, pilvipalvelujen tarjoajien, datakeskuspalvelujen tarjoajien, sisällönjakeluverkkojen tarjoajien, hallintapalvelun tarjoajien, tietoturvapalveluntarjoajien sekä verkossa toimivien markkinapaikkojen tarjoajien, verkossa toimivien hakukoneiden tarjoajien ja verkkoyhteisöalustojen tarjoajien olisi katsottava kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa niiden päätoimipaikka on unionissa. Julkishallinnon toimijoiden olisi kuuluttava sen jäsenvaltion lainkäyttövaltaan, joka ne on perustanut. Jos toimija tarjoaa palveluja useammassa kuin yhdessä jäsenvaltiossa tai on sijoittautunut useampaan kuin yhteen jäsenvaltioon, sen olisi kuuluttava asianomaisten jäsenvaltioiden erilliseen ja rinnakkaiseen lainkäyttövaltaan. Näiden jäsenvaltioiden toimivaltaisten viranomaisten olisi tehtävä yhteistyötä, annettava toisilleen keskinäistä apua ja tarvittaessa toteutettava yhteisiä valvontatoimia. Käyttäessään lainkäyttövaltaansa jäsenvaltiot eivät ne bis in idem -periaatteen mukaisesti saisi määrätä täytäntöönpanotoimenpiteitä tai seuraamuksia useammin kuin kerran samasta toiminnasta.

| (114) | Jotta voidaan ottaa huomioon DNS-palveluntarjoajien, aluetunnusrekisterien, verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden, pilvipalvelujen tarjoajien, datakeskuspalvelujen tarjoajien, sisällönjakeluverkkojen tarjoajien, hallintapalvelun tarjoajien, tietoturvapalveluntarjoajien sekä verkossa toimivien markkinapaikkojen tarjoajien, verkossa toimivien hakukoneiden tarjoajien ja verkkoyhteisöalustojen tarjoajien palvelujen ja toimintojen rajatylittävä luonne, vain yhdellä jäsenvaltiolla olisi oltava lainkäyttövalta näihin toimijoihin nähden. Lainkäyttövalta olisi oltava sillä jäsenvaltiolla, jossa asianomaisen toimijan päätoimipaikka sijaitsee unionissa. Tätä direktiiviä sovellettaessa sijoittautumiskriteerin täyttyminen edellyttää tosiasiallista toimintaa ja kiinteää toimipaikkaa. Sijoittautumisen oikeudellisella muodolla eli sillä, onko kyseessä sivuliike vai tytäryhtiö, jolla on oikeushenkilöys, ei ole tässä suhteessa ratkaisevaa merkitystä. Tämän kriteerin täyttyminen ei saisi riippua siitä, sijaitsevatko verkko- ja tietojärjestelmät fyysisesti määrätyssä paikassa; tällaisten järjestelmien sijainti ja käyttö tietyssä paikassa eivät itsessään tee siitä päätoimipaikkaa, eivätkä ne näin ollen ole ratkaisevia perusteita päätoimipaikan määrittämisessä. Päätoimipaikan olisi katsottava olevan unionissa siinä jäsenvaltiossa, jossa kyberturvallisuusriskien hallintatoimenpiteisiin liittyvät päätökset pääsääntöisesti tehdään. Tämä vastaa tyypillisesti toimijan keskushallinnon sijaintipaikkaa unionissa. Jos tällaista jäsenvaltiota ei voida määrittää tai jos tällaisia päätöksiä ei tehdä unionissa, päätoimipaikan olisi katsottava sijaitsevan jäsenvaltiossa, jossa kyberturvallisuustoiminnot toteutetaan. Jos tällaista jäsenvaltiota ei voida määrittää, päätoimipaikan olisi katsottava sijaitsevan jäsenvaltiossa, jossa toimijalla on eniten työntekijöitä työllistävä toimipaikka unionissa. Jos palvelut suorittaa yritysryhmä, sen päätoimipaikaksi olisi katsottava määräysvaltaa käyttävän yrityksen päätoimipaikka. |
| --- | --- |

(114)

Jotta voidaan ottaa huomioon DNS-palveluntarjoajien, aluetunnusrekisterien, verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden, pilvipalvelujen tarjoajien, datakeskuspalvelujen tarjoajien, sisällönjakeluverkkojen tarjoajien, hallintapalvelun tarjoajien, tietoturvapalveluntarjoajien sekä verkossa toimivien markkinapaikkojen tarjoajien, verkossa toimivien hakukoneiden tarjoajien ja verkkoyhteisöalustojen tarjoajien palvelujen ja toimintojen rajatylittävä luonne, vain yhdellä jäsenvaltiolla olisi oltava lainkäyttövalta näihin toimijoihin nähden. Lainkäyttövalta olisi oltava sillä jäsenvaltiolla, jossa asianomaisen toimijan päätoimipaikka sijaitsee unionissa. Tätä direktiiviä sovellettaessa sijoittautumiskriteerin täyttyminen edellyttää tosiasiallista toimintaa ja kiinteää toimipaikkaa. Sijoittautumisen oikeudellisella muodolla eli sillä, onko kyseessä sivuliike vai tytäryhtiö, jolla on oikeushenkilöys, ei ole tässä suhteessa ratkaisevaa merkitystä. Tämän kriteerin täyttyminen ei saisi riippua siitä, sijaitsevatko verkko- ja tietojärjestelmät fyysisesti määrätyssä paikassa; tällaisten järjestelmien sijainti ja käyttö tietyssä paikassa eivät itsessään tee siitä päätoimipaikkaa, eivätkä ne näin ollen ole ratkaisevia perusteita päätoimipaikan määrittämisessä. Päätoimipaikan olisi katsottava olevan unionissa siinä jäsenvaltiossa, jossa kyberturvallisuusriskien hallintatoimenpiteisiin liittyvät päätökset pääsääntöisesti tehdään. Tämä vastaa tyypillisesti toimijan keskushallinnon sijaintipaikkaa unionissa. Jos tällaista jäsenvaltiota ei voida määrittää tai jos tällaisia päätöksiä ei tehdä unionissa, päätoimipaikan olisi katsottava sijaitsevan jäsenvaltiossa, jossa kyberturvallisuustoiminnot toteutetaan. Jos tällaista jäsenvaltiota ei voida määrittää, päätoimipaikan olisi katsottava sijaitsevan jäsenvaltiossa, jossa toimijalla on eniten työntekijöitä työllistävä toimipaikka unionissa. Jos palvelut suorittaa yritysryhmä, sen päätoimipaikaksi olisi katsottava määräysvaltaa käyttävän yrityksen päätoimipaikka.

| (115) | Jos yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoaja tarjoaa yleisesti saatavilla olevaa rekursiivista DNS-palvelua ainoastaan internetyhteyspalvelun osana, kyseisen toimijan olisi katsottava kuuluvan kaikkien niiden jäsenvaltioiden lainkäyttövaltaan, joissa se tarjoaa palvelujaan. |
| --- | --- |

(115)

Jos yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoaja tarjoaa yleisesti saatavilla olevaa rekursiivista DNS-palvelua ainoastaan internetyhteyspalvelun osana, kyseisen toimijan olisi katsottava kuuluvan kaikkien niiden jäsenvaltioiden lainkäyttövaltaan, joissa se tarjoaa palvelujaan.

| (116) | Kun DNS-palveluntarjoaja, aluetunnusrekisteri, verkkotunnusten rekisteröintipalveluja tarjoava toimija, pilvipalvelujen tarjoaja, datakeskuspalvelujen tarjoaja, sisällönjakeluverkkojen tarjoaja, hallintapalvelun tarjoaja, tietoturvapalveluntarjoaja taikka verkossa toimivien markkinapaikkojen, verkossa toimivien hakukoneiden tai verkkoyhteisöalustojen tarjoaja, joka ei ole sijoittautunut unioniin, tarjoaa palveluja unionissa, sen olisi nimettävä itselleen edustaja unioniin. Jotta voidaan määrittää, tarjoaako tällainen toimija palveluja unionissa, olisi varmistettava, aikooko se tarjota palveluja henkilöille yhdessä tai useammassa jäsenvaltiossa. Pelkkää toimijan tai välittäjän verkkosivuston tai sähköpostiosoitteen tai muiden yhteystietojen saatavuutta unionissa taikka sitä, että käytetään toimijan sijoittautumispaikkana olevassa kolmannessa maassa yleisesti käytettävää kieltä, olisi pidettävä riittämättömänä osoituksena tällaisesta aikomuksesta. Kuitenkin esimerkiksi yhdessä tai useammassa jäsenvaltiossa yleisesti käytettävän kielen tai rahayksikön käyttäminen ja mahdollisuus tilata palveluja kyseisellä kielellä taikka unionissa olevien asiakkaiden tai käyttäjien mainitseminen voivat osoittaa olevan ilmeistä, että toimija aikoo tarjota palveluja unionissa. Edustajan olisi toimittava toimijan puolesta, ja toimivaltaisten viranomaisten tai CSIRT-yksiköiden olisi voitava ottaa yhteyttä edustajaan. Edustaja olisi nimettävä nimenomaisesti toimijan antamalla kirjallisella valtuutuksella hoitamaan tämän puolesta tässä direktiivissä säädetyt velvoitteet, myös poikkeamista raportointi. |
| --- | --- |

(116)

Kun DNS-palveluntarjoaja, aluetunnusrekisteri, verkkotunnusten rekisteröintipalveluja tarjoava toimija, pilvipalvelujen tarjoaja, datakeskuspalvelujen tarjoaja, sisällönjakeluverkkojen tarjoaja, hallintapalvelun tarjoaja, tietoturvapalveluntarjoaja taikka verkossa toimivien markkinapaikkojen, verkossa toimivien hakukoneiden tai verkkoyhteisöalustojen tarjoaja, joka ei ole sijoittautunut unioniin, tarjoaa palveluja unionissa, sen olisi nimettävä itselleen edustaja unioniin. Jotta voidaan määrittää, tarjoaako tällainen toimija palveluja unionissa, olisi varmistettava, aikooko se tarjota palveluja henkilöille yhdessä tai useammassa jäsenvaltiossa. Pelkkää toimijan tai välittäjän verkkosivuston tai sähköpostiosoitteen tai muiden yhteystietojen saatavuutta unionissa taikka sitä, että käytetään toimijan sijoittautumispaikkana olevassa kolmannessa maassa yleisesti käytettävää kieltä, olisi pidettävä riittämättömänä osoituksena tällaisesta aikomuksesta. Kuitenkin esimerkiksi yhdessä tai useammassa jäsenvaltiossa yleisesti käytettävän kielen tai rahayksikön käyttäminen ja mahdollisuus tilata palveluja kyseisellä kielellä taikka unionissa olevien asiakkaiden tai käyttäjien mainitseminen voivat osoittaa olevan ilmeistä, että toimija aikoo tarjota palveluja unionissa. Edustajan olisi toimittava toimijan puolesta, ja toimivaltaisten viranomaisten tai CSIRT-yksiköiden olisi voitava ottaa yhteyttä edustajaan. Edustaja olisi nimettävä nimenomaisesti toimijan antamalla kirjallisella valtuutuksella hoitamaan tämän puolesta tässä direktiivissä säädetyt velvoitteet, myös poikkeamista raportointi.

| (117) | Jotta saadaan selkeä yleiskuva DNS-palveluntarjoajista, aluetunnusrekistereistä, verkkotunnusten rekisteröintipalveluja tarjoavista toimijoista, pilvipalvelujen tarjoajista, datakeskuspalvelujen tarjoajista, sisällönjakeluverkkojen tarjoajista, hallintapalvelun tarjoajista, tietoturvapalveluntarjoajista sekä verkossa toimivien markkinapaikkojen tarjoajista, verkossa toimivien hakukoneiden tarjoajista ja verkkoyhteisöalustojen tarjoajista, jotka tarjoavat tämän direktiivin soveltamisalaan kuuluvia palveluja eri puolilla unionia, ENISAn olisi perustettava tällaisten toimijoiden rekisteri ja ylläpidettävä sitä käyttäen tietoja, joita jäsenvaltiot saavat, tapauksen mukaan toimijoiden rekisteröitymistä varten perustettujen kansallisten järjestelyjen välityksellä. Keskitettyjen yhteyspisteiden olisi toimitettava nämä tiedot ja niihin mahdollisesti tehdyt muutokset ENISAlle. Jotta voidaan varmistaa tähän rekisteriin sisällytettävien tietojen tarkkuus ja täydellisyys, jäsenvaltiot voivat toimittaa ENISAlle mahdollisissa kansallisissa rekistereissään saatavilla olevat tiedot kyseisistä toimijoista. ENISAn ja jäsenvaltioiden olisi toteutettava toimenpiteitä, joilla edistetään tällaisten rekisterien yhteentoimivuutta, ja varmistettava samalla luottamuksellisten tai turvallisuusluokiteltujen tietojen suoja. ENISAn olisi laadittava asianmukaisia tietojen luokitus- ja hallintaprotokollia luovutettujen tietojen turvallisuuden ja luottamuksellisuuden varmistamiseksi ja rajattava pääsy tällaisiin tietoihin ja niiden tallentaminen ja siirtäminen vain aiotuille käyttäjille. |
| --- | --- |

(117)

Jotta saadaan selkeä yleiskuva DNS-palveluntarjoajista, aluetunnusrekistereistä, verkkotunnusten rekisteröintipalveluja tarjoavista toimijoista, pilvipalvelujen tarjoajista, datakeskuspalvelujen tarjoajista, sisällönjakeluverkkojen tarjoajista, hallintapalvelun tarjoajista, tietoturvapalveluntarjoajista sekä verkossa toimivien markkinapaikkojen tarjoajista, verkossa toimivien hakukoneiden tarjoajista ja verkkoyhteisöalustojen tarjoajista, jotka tarjoavat tämän direktiivin soveltamisalaan kuuluvia palveluja eri puolilla unionia, ENISAn olisi perustettava tällaisten toimijoiden rekisteri ja ylläpidettävä sitä käyttäen tietoja, joita jäsenvaltiot saavat, tapauksen mukaan toimijoiden rekisteröitymistä varten perustettujen kansallisten järjestelyjen välityksellä. Keskitettyjen yhteyspisteiden olisi toimitettava nämä tiedot ja niihin mahdollisesti tehdyt muutokset ENISAlle. Jotta voidaan varmistaa tähän rekisteriin sisällytettävien tietojen tarkkuus ja täydellisyys, jäsenvaltiot voivat toimittaa ENISAlle mahdollisissa kansallisissa rekistereissään saatavilla olevat tiedot kyseisistä toimijoista. ENISAn ja jäsenvaltioiden olisi toteutettava toimenpiteitä, joilla edistetään tällaisten rekisterien yhteentoimivuutta, ja varmistettava samalla luottamuksellisten tai turvallisuusluokiteltujen tietojen suoja. ENISAn olisi laadittava asianmukaisia tietojen luokitus- ja hallintaprotokollia luovutettujen tietojen turvallisuuden ja luottamuksellisuuden varmistamiseksi ja rajattava pääsy tällaisiin tietoihin ja niiden tallentaminen ja siirtäminen vain aiotuille käyttäjille.

| (118) | Jos unionin oikeuden tai kansallisen lainsäädännön mukaisesti turvallisuusluokiteltuja tietoja vaihdetaan, ilmoitetaan tai muutoin jaetaan tämän direktiivin nojalla, olisi sovellettava vastaavia turvallisuusluokiteltujen tietojen käsittelyä koskevia sääntöjä. ENISAlla olisi lisäksi oltava käytössään infrastruktuuri, menettelyt ja säännöt, joiden avulla se voi käsitellä arkaluonteisia ja turvallisuusluokiteltuja tietoja EU:n turvallisuusluokiteltuihin tietojen suojaamiseen sovellettavien turvallisuussääntöjen mukaisesti. |
| --- | --- |

(118)

Jos unionin oikeuden tai kansallisen lainsäädännön mukaisesti turvallisuusluokiteltuja tietoja vaihdetaan, ilmoitetaan tai muutoin jaetaan tämän direktiivin nojalla, olisi sovellettava vastaavia turvallisuusluokiteltujen tietojen käsittelyä koskevia sääntöjä. ENISAlla olisi lisäksi oltava käytössään infrastruktuuri, menettelyt ja säännöt, joiden avulla se voi käsitellä arkaluonteisia ja turvallisuusluokiteltuja tietoja EU:n turvallisuusluokiteltuihin tietojen suojaamiseen sovellettavien turvallisuussääntöjen mukaisesti.

| (119) | Koska kyberuhkat ovat yhä monimutkaisempia ja kehittyneempiä, tällaisten uhkien onnistunut havaitseminen ja ehkäisytoimenpiteet ovat pitkälti riippuvaisia uhkiin ja haavoittuvuuksiin liittyvän tiedon säännöllisestä jakamisesta toimijoiden kesken. Tietojenvaihto lisää tietoisuutta kyberuhkista, mikä puolestaan parantaa toimijoiden valmiuksia estää näitä uhkia kehittymästä poikkeamiksi ja auttaa niitä rajoittamaan paremmin poikkeamien vaikutuksia ja palautumaan niistä tehokkaammin. Koska unionin tasolla ei ole annettu ohjeistusta, vaikuttaa siltä, että erilaiset tekijät, erityisesti epävarmuus yhteensopivuudesta kilpailu- ja vastuusääntöjen kanssa, ovat estäneet tällaisen tietojen jakamisen. |
| --- | --- |

(119)

Koska kyberuhkat ovat yhä monimutkaisempia ja kehittyneempiä, tällaisten uhkien onnistunut havaitseminen ja ehkäisytoimenpiteet ovat pitkälti riippuvaisia uhkiin ja haavoittuvuuksiin liittyvän tiedon säännöllisestä jakamisesta toimijoiden kesken. Tietojenvaihto lisää tietoisuutta kyberuhkista, mikä puolestaan parantaa toimijoiden valmiuksia estää näitä uhkia kehittymästä poikkeamiksi ja auttaa niitä rajoittamaan paremmin poikkeamien vaikutuksia ja palautumaan niistä tehokkaammin. Koska unionin tasolla ei ole annettu ohjeistusta, vaikuttaa siltä, että erilaiset tekijät, erityisesti epävarmuus yhteensopivuudesta kilpailu- ja vastuusääntöjen kanssa, ovat estäneet tällaisen tietojen jakamisen.

| (120) | Jäsenvaltioiden olisi kannustettava ja avustettava toimijoita hyödyntämään kollektiivisesti kunkin tietämystä ja käytännön kokemusta strategisella, taktisella ja operatiivisella tasolla, jotta voidaan parantaa niiden valmiuksia ehkäistä, havaita ja hallita poikkeamia tai palautua niistä tai lieventää niiden vaikutuksia asianmukaisesti. Sen vuoksi on tarpeen mahdollistaa vapaaehtoisuuteen perustuvat kyberturvallisuustietojen jakamisjärjestelyt unionin tasolla. Tätä varten jäsenvaltioiden olisi aktiivisesti avustettava ja kannustettava toimijoita, kuten kyberturvallisuuspalveluja ja -tutkimusta tarjoavia toimijoita sekä sellaisia asiaankuuluvia toimijoita, jotka eivät kuulu tämän direktiivin soveltamisalaan, osallistumaan tällaisiin kyberturvallisuustietojen jakamisjärjestelyihin. Nämä järjestelyt olisi toteutettava unionin kilpailusääntöjen ja unionin tietosuojalainsäädännön mukaisesti. |
| --- | --- |

(120)

Jäsenvaltioiden olisi kannustettava ja avustettava toimijoita hyödyntämään kollektiivisesti kunkin tietämystä ja käytännön kokemusta strategisella, taktisella ja operatiivisella tasolla, jotta voidaan parantaa niiden valmiuksia ehkäistä, havaita ja hallita poikkeamia tai palautua niistä tai lieventää niiden vaikutuksia asianmukaisesti. Sen vuoksi on tarpeen mahdollistaa vapaaehtoisuuteen perustuvat kyberturvallisuustietojen jakamisjärjestelyt unionin tasolla. Tätä varten jäsenvaltioiden olisi aktiivisesti avustettava ja kannustettava toimijoita, kuten kyberturvallisuuspalveluja ja -tutkimusta tarjoavia toimijoita sekä sellaisia asiaankuuluvia toimijoita, jotka eivät kuulu tämän direktiivin soveltamisalaan, osallistumaan tällaisiin kyberturvallisuustietojen jakamisjärjestelyihin. Nämä järjestelyt olisi toteutettava unionin kilpailusääntöjen ja unionin tietosuojalainsäädännön mukaisesti.

| (121) | Keskeisten ja tärkeiden toimijoiden suorittamaa henkilötietojen käsittelyä, siinä määrin kuin se on tarpeen ja oikeasuhteista verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi, voidaan pitää lainmukaisena sillä perusteella, että se on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi asetuksen (EU) 2016/679 6 artiklan 1 kohdan c alakohdan ja 6 artiklan 3 kohdan vaatimusten mukaisesti. Henkilötietojen käsittely voi olla tarpeen myös keskeisten ja tärkeiden toimijoiden sekä niiden puolesta toimivien turvallisuusteknologioiden ja -palvelujen tarjoajien oikeutettujen etujen toteuttamiseksi asetuksen (EU) 2016/679 6 artiklan 1 kohdan f alakohdan mukaisesti, myös silloin, kun tällainen käsittely on tarpeen tämän direktiivin mukaisia kyberturvallisuustietojen jakamisjärjestelyjä tai asiaankuuluvien tietojen vapaaehtoista ilmoittamista varten. Toimenpiteet, jotka liittyvät poikkeamien ehkäisemiseen, havaitsemiseen, tunnistamiseen, rajoittamiseen, analysointiin ja hallitsemiseen, toimenpiteet yksittäisistä kyberuhkista tiedottamiseksi, haavoittuvuuden korjaamiseen ja koordinoituun haavoittuvuuden julkistamiseen liittyvä tietojenvaihto sekä vapaaehtoinen tietojenvaihto kyseisistä poikkeamista, kyberuhkista ja haavoittuvuuksista, vaarantumisindikaattoreista, taktiikasta, tekniikoista ja menettelyistä, kyberturvallisuushälytyksistä ja konfigurointityökaluista, saattavat edellyttää tiettyjen henkilötietoryhmien, kuten IP-osoitteiden, URL-osoitteiden, verkkotunnusten, sähköpostiosoitteiden ja, sikäli kuin niistä käy ilmi henkilötietoja, aikaleimojen käsittelyä. Toimivaltaisten viranomaisten, keskitettyjen yhteyspisteiden ja CSIRT-yksiköiden suorittamaa henkilötietojen käsittelyä voidaan pitää lakisääteisenä velvoitteena tai sen voidaan katsoa olevan tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi asetuksen (EU) 2016/679 6 artiklan 1 kohdan c tai e alakohdan ja 6 artiklan 3 kohdan mukaisesti taikka keskeisten ja tärkeiden toimijoiden oikeutettujen etujen toteuttamiseksi asetuksen (EU) 2016/679 6 artiklan 1 kohdan f alakohdan mukaisesti. Lisäksi kansallisessa lainsäädännössä voitaisiin vahvistaa säännöt, joiden nojalla toimivaltaiset viranomaiset, keskitetyt yhteyspisteet ja CSIRT-yksiköt voivat, siinä määrin kuin se on tarpeen ja oikeasuhteista keskeisten ja tärkeiden toimijoiden verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi, käsitellä erityisiä henkilötietoryhmiä asetuksen (EU) 2016/679 9 artiklan mukaisesti, erityisesti säätämällä asianmukaisista erityistoimenpiteistä luonnollisten henkilöiden perusoikeuksien ja etujen suojaamiseksi, myös tällaisten tietojen uudelleenkäyttöä koskevista teknisistä rajoituksista sekä viimeisintä kehitystä edustavien turvallisuustoimenpiteiden ja yksityisyyden suojan säilyttävien toimenpiteiden, kuten pseudonymisoinnin, käytöstä tai salauksen käytöstä, jos anonymisointi voi vaikuttaa merkittävästi aiottuun käyttötarkoitukseen. |
| --- | --- |

(121)

Keskeisten ja tärkeiden toimijoiden suorittamaa henkilötietojen käsittelyä, siinä määrin kuin se on tarpeen ja oikeasuhteista verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi, voidaan pitää lainmukaisena sillä perusteella, että se on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi asetuksen (EU) 2016/679 6 artiklan 1 kohdan c alakohdan ja 6 artiklan 3 kohdan vaatimusten mukaisesti. Henkilötietojen käsittely voi olla tarpeen myös keskeisten ja tärkeiden toimijoiden sekä niiden puolesta toimivien turvallisuusteknologioiden ja -palvelujen tarjoajien oikeutettujen etujen toteuttamiseksi asetuksen (EU) 2016/679 6 artiklan 1 kohdan f alakohdan mukaisesti, myös silloin, kun tällainen käsittely on tarpeen tämän direktiivin mukaisia kyberturvallisuustietojen jakamisjärjestelyjä tai asiaankuuluvien tietojen vapaaehtoista ilmoittamista varten. Toimenpiteet, jotka liittyvät poikkeamien ehkäisemiseen, havaitsemiseen, tunnistamiseen, rajoittamiseen, analysointiin ja hallitsemiseen, toimenpiteet yksittäisistä kyberuhkista tiedottamiseksi, haavoittuvuuden korjaamiseen ja koordinoituun haavoittuvuuden julkistamiseen liittyvä tietojenvaihto sekä vapaaehtoinen tietojenvaihto kyseisistä poikkeamista, kyberuhkista ja haavoittuvuuksista, vaarantumisindikaattoreista, taktiikasta, tekniikoista ja menettelyistä, kyberturvallisuushälytyksistä ja konfigurointityökaluista, saattavat edellyttää tiettyjen henkilötietoryhmien, kuten IP-osoitteiden, URL-osoitteiden, verkkotunnusten, sähköpostiosoitteiden ja, sikäli kuin niistä käy ilmi henkilötietoja, aikaleimojen käsittelyä. Toimivaltaisten viranomaisten, keskitettyjen yhteyspisteiden ja CSIRT-yksiköiden suorittamaa henkilötietojen käsittelyä voidaan pitää lakisääteisenä velvoitteena tai sen voidaan katsoa olevan tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi asetuksen (EU) 2016/679 6 artiklan 1 kohdan c tai e alakohdan ja 6 artiklan 3 kohdan mukaisesti taikka keskeisten ja tärkeiden toimijoiden oikeutettujen etujen toteuttamiseksi asetuksen (EU) 2016/679 6 artiklan 1 kohdan f alakohdan mukaisesti. Lisäksi kansallisessa lainsäädännössä voitaisiin vahvistaa säännöt, joiden nojalla toimivaltaiset viranomaiset, keskitetyt yhteyspisteet ja CSIRT-yksiköt voivat, siinä määrin kuin se on tarpeen ja oikeasuhteista keskeisten ja tärkeiden toimijoiden verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi, käsitellä erityisiä henkilötietoryhmiä asetuksen (EU) 2016/679 9 artiklan mukaisesti, erityisesti säätämällä asianmukaisista erityistoimenpiteistä luonnollisten henkilöiden perusoikeuksien ja etujen suojaamiseksi, myös tällaisten tietojen uudelleenkäyttöä koskevista teknisistä rajoituksista sekä viimeisintä kehitystä edustavien turvallisuustoimenpiteiden ja yksityisyyden suojan säilyttävien toimenpiteiden, kuten pseudonymisoinnin, käytöstä tai salauksen käytöstä, jos anonymisointi voi vaikuttaa merkittävästi aiottuun käyttötarkoitukseen.

| (122) | Jotta voidaan vahvistaa valvontavaltuuksia ja -toimenpiteitä, jotka auttavat varmistamaan sääntöjen tosiasiallisen noudattamisen, tässä direktiivissä olisi vahvistettava vähimmäisluettelo valvontatoimenpiteistä ja -keinoista, joiden avulla toimivaltaiset viranomaiset voivat valvoa keskeisiä ja tärkeitä toimijoita. Lisäksi tässä direktiivissä olisi säädettävä eri valvontajärjestelmästä keskeisille ja tärkeille toimijoille, jotta voidaan varmistaa kyseisten toimijoiden ja toimivaltaisten viranomaisten velvoitteiden oikeudenmukainen tasapaino. Sen vuoksi keskeisiin toimijoihin olisi sovellettava kattavaa valvontajärjestelmää, johon kuuluu etukäteis- ja jälkikäteisvalvonta, ja tärkeisiin toimijoihin olisi sovellettava kevyttä valvontajärjestelmää, johon kuuluu vain jälkikäteisvalvonta. Näin ollen tärkeitä toimijoita ei pitäisi vaatia dokumentoimaan järjestelmällisesti kyberturvallisuusriskien hallintatoimenpiteiden noudattamista, ja toimivaltaisten viranomaisten olisi harjoitettava reaktiivista jälkikäteisvalvontaa eikä niillä olisi oltava yleistä velvoitetta valvoa kyseisiä toimijoita. Tärkeiden toimijoiden jälkikäteisvalvonta voidaan käynnistää, jos toimivaltaisten viranomaisten tietoon tulee näyttöä, viitteitä tai tietoja, joiden perusteella kyseiset viranomaiset epäilevät, että tätä direktiiviä on ehkä rikottu. Tällaista näyttöä, viitteitä tai tietoja voivat olla esimerkiksi muiden viranomaisten, toimijoiden, kansalaisten, tiedotusvälineiden tai muiden lähteiden toimivaltaisille viranomaisille toimittamat tai julkisesti saatavilla olevat tiedot, tai toimivaltaisten viranomaiset voivat saada ne tietoonsa hoitaessaan tehtäviään. |
| --- | --- |

(122)

Jotta voidaan vahvistaa valvontavaltuuksia ja -toimenpiteitä, jotka auttavat varmistamaan sääntöjen tosiasiallisen noudattamisen, tässä direktiivissä olisi vahvistettava vähimmäisluettelo valvontatoimenpiteistä ja -keinoista, joiden avulla toimivaltaiset viranomaiset voivat valvoa keskeisiä ja tärkeitä toimijoita. Lisäksi tässä direktiivissä olisi säädettävä eri valvontajärjestelmästä keskeisille ja tärkeille toimijoille, jotta voidaan varmistaa kyseisten toimijoiden ja toimivaltaisten viranomaisten velvoitteiden oikeudenmukainen tasapaino. Sen vuoksi keskeisiin toimijoihin olisi sovellettava kattavaa valvontajärjestelmää, johon kuuluu etukäteis- ja jälkikäteisvalvonta, ja tärkeisiin toimijoihin olisi sovellettava kevyttä valvontajärjestelmää, johon kuuluu vain jälkikäteisvalvonta. Näin ollen tärkeitä toimijoita ei pitäisi vaatia dokumentoimaan järjestelmällisesti kyberturvallisuusriskien hallintatoimenpiteiden noudattamista, ja toimivaltaisten viranomaisten olisi harjoitettava reaktiivista jälkikäteisvalvontaa eikä niillä olisi oltava yleistä velvoitetta valvoa kyseisiä toimijoita. Tärkeiden toimijoiden jälkikäteisvalvonta voidaan käynnistää, jos toimivaltaisten viranomaisten tietoon tulee näyttöä, viitteitä tai tietoja, joiden perusteella kyseiset viranomaiset epäilevät, että tätä direktiiviä on ehkä rikottu. Tällaista näyttöä, viitteitä tai tietoja voivat olla esimerkiksi muiden viranomaisten, toimijoiden, kansalaisten, tiedotusvälineiden tai muiden lähteiden toimivaltaisille viranomaisille toimittamat tai julkisesti saatavilla olevat tiedot, tai toimivaltaisten viranomaiset voivat saada ne tietoonsa hoitaessaan tehtäviään.

| (123) | Toimivaltaisten viranomaisten valvontatehtävien suorittaminen ei saisi tarpeettomasti haitata asianomaisen toimijan liiketoimintaa. Kun toimivaltaiset viranomaiset suorittavat keskeisiin toimijoihin liittyviä valvontatehtäviään, kuten paikalla tehtäviä tarkastuksia ja muuta kuin paikalla toteutettavaa valvontaa, tämän direktiivin rikkomisten tutkintaa, turvallisuusauditointia tai turvallisuusskannausta, niiden olisi minimoitava vaikutus asianomaisen toimijan liiketoimintaan. |
| --- | --- |

(123)

Toimivaltaisten viranomaisten valvontatehtävien suorittaminen ei saisi tarpeettomasti haitata asianomaisen toimijan liiketoimintaa. Kun toimivaltaiset viranomaiset suorittavat keskeisiin toimijoihin liittyviä valvontatehtäviään, kuten paikalla tehtäviä tarkastuksia ja muuta kuin paikalla toteutettavaa valvontaa, tämän direktiivin rikkomisten tutkintaa, turvallisuusauditointia tai turvallisuusskannausta, niiden olisi minimoitava vaikutus asianomaisen toimijan liiketoimintaan.

| (124) | Kun toimivaltaiset viranomaiset harjoittavat etukäteisvalvontaa, niiden olisi voitava päättää käytettävissään olevien valvontatoimenpiteiden ja -keinojen käytön etusijajärjestyksestä oikeasuhteisella tavalla. Tämä tarkoittaa, että toimivaltaiset viranomaiset voivat päättää etusijajärjestyksestä sellaisten valvontamenetelmien perusteella, joissa olisi sovellettava riskiperusteista lähestymistapaa. Tällaiset menetelmät voivat erityisesti sisältää kriteerejä tai vertailuarvoja, joiden mukaan keskeiset toimijat luokitellaan riskiluokkiin ja kullekin riskiluokalle määritetään suositeltavat valvontatoimenpiteet ja -keinot, kuten paikalla tehtävien tarkastusten, kohdennettujen turvallisuusauditointien tai turvallisuusskannausten käyttö, aikaväli ja tyypit sekä pyydettävien tietojen tyyppi ja yksityiskohtaisuus. Tällaisten valvontamenetelmien ohella voitaisiin käyttää työohjelmia, ja niitä voitaisiin arvioida ja tarkastella uudelleen säännöllisesti, myös esimerkiksi resurssien jakamisen ja tarpeiden osalta. Julkishallinnon toimijoiden suhteen valvontavaltuuksia olisi käytettävä kansallisten lainsäädäntö- ja toimielinkehysten mukaisesti. |
| --- | --- |

(124)

Kun toimivaltaiset viranomaiset harjoittavat etukäteisvalvontaa, niiden olisi voitava päättää käytettävissään olevien valvontatoimenpiteiden ja -keinojen käytön etusijajärjestyksestä oikeasuhteisella tavalla. Tämä tarkoittaa, että toimivaltaiset viranomaiset voivat päättää etusijajärjestyksestä sellaisten valvontamenetelmien perusteella, joissa olisi sovellettava riskiperusteista lähestymistapaa. Tällaiset menetelmät voivat erityisesti sisältää kriteerejä tai vertailuarvoja, joiden mukaan keskeiset toimijat luokitellaan riskiluokkiin ja kullekin riskiluokalle määritetään suositeltavat valvontatoimenpiteet ja -keinot, kuten paikalla tehtävien tarkastusten, kohdennettujen turvallisuusauditointien tai turvallisuusskannausten käyttö, aikaväli ja tyypit sekä pyydettävien tietojen tyyppi ja yksityiskohtaisuus. Tällaisten valvontamenetelmien ohella voitaisiin käyttää työohjelmia, ja niitä voitaisiin arvioida ja tarkastella uudelleen säännöllisesti, myös esimerkiksi resurssien jakamisen ja tarpeiden osalta. Julkishallinnon toimijoiden suhteen valvontavaltuuksia olisi käytettävä kansallisten lainsäädäntö- ja toimielinkehysten mukaisesti.

| (125) | Toimivaltaisten viranomaisten olisi varmistettava, että niille kuuluvia keskeisten ja tärkeiden toimijoiden valvontatehtäviä hoitavat koulutetut ammattilaiset, joilla olisi oltava kyseisten tehtävien suorittamiseen vaadittavat taidot, etenkin paikalla tehtäviä tarkastuksia ja muuta kuin paikalla toteutettavaa valvontaa, kuten tietokantojen, laitteistojen, palomuurien, salauksen ja verkkojen heikkouksien tunnistamista, varten. Nämä tarkastukset ja tämä valvonta olisi toteutettava objektiivisesti. |
| --- | --- |

(125)

Toimivaltaisten viranomaisten olisi varmistettava, että niille kuuluvia keskeisten ja tärkeiden toimijoiden valvontatehtäviä hoitavat koulutetut ammattilaiset, joilla olisi oltava kyseisten tehtävien suorittamiseen vaadittavat taidot, etenkin paikalla tehtäviä tarkastuksia ja muuta kuin paikalla toteutettavaa valvontaa, kuten tietokantojen, laitteistojen, palomuurien, salauksen ja verkkojen heikkouksien tunnistamista, varten. Nämä tarkastukset ja tämä valvonta olisi toteutettava objektiivisesti.

| (126) | Asianmukaisesti perustelluissa tapauksissa, joissa toimivaltainen viranomainen on tietoinen merkittävästä kyberuhkasta tai välittömästä riskistä, toimivaltaisen viranomaisen olisi voitava tehdä välittömästi täytäntöönpanopäätöksiä, joiden tarkoituksena on ehkäistä poikkeama tai hallita sitä. |
| --- | --- |

(126)

Asianmukaisesti perustelluissa tapauksissa, joissa toimivaltainen viranomainen on tietoinen merkittävästä kyberuhkasta tai välittömästä riskistä, toimivaltaisen viranomaisen olisi voitava tehdä välittömästi täytäntöönpanopäätöksiä, joiden tarkoituksena on ehkäistä poikkeama tai hallita sitä.

| (127) | Jotta valvonta olisi tuloksekasta, olisi vahvistettava vähimmäisluettelo täytäntöönpanovaltuuksista, joita voidaan käyttää tässä direktiivissä säädettyjen kyberturvallisuusriskien hallintatoimenpiteiden ja raportointivelvoitteiden laiminlyönnin tapauksessa, ja vahvistettava selkeä ja johdonmukainen kehys tällaiselle täytäntöönpanolle kaikkialla unionissa. Olisi otettava asianmukaisesti huomioon tämä direktiivin rikkomisen luonne, vakavuus ja kesto, aiheutettu aineellinen tai aineeton vahinko, rikkomisen tahallisuus tai tuottamuksellisuus, aineellisen tai aineettoman vahingon ehkäisemiseksi tai lieventämiseksi toteutetut toimet, vastuun aste tai mahdolliset vastaavat aiemmat rikkomiset, yhteistyöhalukkuus toimivaltaisen viranomaisen kanssa ja mahdolliset muut raskauttavat tai lieventävät tekijät. Täytäntöönpanotoimenpiteiden, myös hallinnollisten sakkojen, olisi oltava oikeasuhteisia, ja niiden määräämiseen olisi sovellettava asianmukaisia menettelytakeita unionin oikeuden ja Euroopan unionin perusoikeuskirjan, jäljempänä ’perusoikeuskirja’, yleisten periaatteiden mukaisesti, mukaan lukien oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen, syyttömyysolettama ja oikeus puolustukseen. |
| --- | --- |

(127)

Jotta valvonta olisi tuloksekasta, olisi vahvistettava vähimmäisluettelo täytäntöönpanovaltuuksista, joita voidaan käyttää tässä direktiivissä säädettyjen kyberturvallisuusriskien hallintatoimenpiteiden ja raportointivelvoitteiden laiminlyönnin tapauksessa, ja vahvistettava selkeä ja johdonmukainen kehys tällaiselle täytäntöönpanolle kaikkialla unionissa. Olisi otettava asianmukaisesti huomioon tämä direktiivin rikkomisen luonne, vakavuus ja kesto, aiheutettu aineellinen tai aineeton vahinko, rikkomisen tahallisuus tai tuottamuksellisuus, aineellisen tai aineettoman vahingon ehkäisemiseksi tai lieventämiseksi toteutetut toimet, vastuun aste tai mahdolliset vastaavat aiemmat rikkomiset, yhteistyöhalukkuus toimivaltaisen viranomaisen kanssa ja mahdolliset muut raskauttavat tai lieventävät tekijät. Täytäntöönpanotoimenpiteiden, myös hallinnollisten sakkojen, olisi oltava oikeasuhteisia, ja niiden määräämiseen olisi sovellettava asianmukaisia menettelytakeita unionin oikeuden ja Euroopan unionin perusoikeuskirjan, jäljempänä ’perusoikeuskirja’, yleisten periaatteiden mukaisesti, mukaan lukien oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen, syyttömyysolettama ja oikeus puolustukseen.

| (128) | Tässä direktiivissä ei edellytetä jäsenvaltioiden säätävän, että luonnolliset henkilöt, joiden tehtävänä on varmistaa, että toimija noudattaa tätä direktiiviä, ovat rikosoikeudellisessa tai siviilioikeudellisessa vastuussa vahingosta, jota kolmansille osapuolille on aiheutunut tämän direktiivin rikkomisen tuloksena. |
| --- | --- |

(128)

Tässä direktiivissä ei edellytetä jäsenvaltioiden säätävän, että luonnolliset henkilöt, joiden tehtävänä on varmistaa, että toimija noudattaa tätä direktiiviä, ovat rikosoikeudellisessa tai siviilioikeudellisessa vastuussa vahingosta, jota kolmansille osapuolille on aiheutunut tämän direktiivin rikkomisen tuloksena.

| (129) | Tässä direktiivissä säädettyjen velvoitteiden tehokkaan täytäntöönpanon varmistamiseksi kullakin toimivaltaisella viranomaisella olisi oltava valtuudet määrätä tai pyytää määräämään hallinnollisia sakkoja. |
| --- | --- |

(129)

Tässä direktiivissä säädettyjen velvoitteiden tehokkaan täytäntöönpanon varmistamiseksi kullakin toimivaltaisella viranomaisella olisi oltava valtuudet määrätä tai pyytää määräämään hallinnollisia sakkoja.

| (130) | Jos hallinnollinen sakko määrätään keskeiselle tai tärkeälle toimijalle, joka on yritys, yritys olisi ymmärrettävä Euroopan unionin toiminnasta tehdyn sopimuksen 101 ja 102 artiklan mukaiseksi yritykseksi. Jos hallinnollinen sakko määrätään henkilölle, joka ei ole yritys, toimivaltaisen viranomaisen olisi otettava sakon sopivan määrän harkinnassa huomioon jäsenvaltion yleinen tulotaso ja asianomaisen henkilön taloudellinen tilanne. Olisi oltava jäsenvaltioiden vastuulla määrittää, onko viranomaisille määrättävä hallinnollisia sakkoja ja missä määrin. Hallinnollisen sakon määrääminen ei vaikuta toimivaltaisten viranomaisten muiden valtuuksien soveltamiseen eikä muihin seuraamuksiin, joista säädetään kansallisissa säännöksissä, joilla tämä direktiivi saatetaan osaksi kansallista lainsäädäntöä. |
| --- | --- |

(130)

Jos hallinnollinen sakko määrätään keskeiselle tai tärkeälle toimijalle, joka on yritys, yritys olisi ymmärrettävä Euroopan unionin toiminnasta tehdyn sopimuksen 101 ja 102 artiklan mukaiseksi yritykseksi. Jos hallinnollinen sakko määrätään henkilölle, joka ei ole yritys, toimivaltaisen viranomaisen olisi otettava sakon sopivan määrän harkinnassa huomioon jäsenvaltion yleinen tulotaso ja asianomaisen henkilön taloudellinen tilanne. Olisi oltava jäsenvaltioiden vastuulla määrittää, onko viranomaisille määrättävä hallinnollisia sakkoja ja missä määrin. Hallinnollisen sakon määrääminen ei vaikuta toimivaltaisten viranomaisten muiden valtuuksien soveltamiseen eikä muihin seuraamuksiin, joista säädetään kansallisissa säännöksissä, joilla tämä direktiivi saatetaan osaksi kansallista lainsäädäntöä.

| (131) | Jäsenvaltioiden olisi voitava antaa säännöksiä rikosoikeudellisista seuraamuksista, joita määrätään niiden kansallisten säännösten rikkomisesta, joilla tämä direktiivi saatetaan osaksi kansallista lainsäädäntöä. Näiden kansallisten säännösten rikkomisesta määrättävien rikosoikeudellisten seuraamusten ja niihin liittyvien hallinnollisten seuraamusten määrääminen ei kuitenkaan saisi johtaa ne bis in idem -periaatteen, sellaisena kuin unionin tuomioistuin on sitä tulkinnut, rikkomiseen. |
| --- | --- |

(131)

Jäsenvaltioiden olisi voitava antaa säännöksiä rikosoikeudellisista seuraamuksista, joita määrätään niiden kansallisten säännösten rikkomisesta, joilla tämä direktiivi saatetaan osaksi kansallista lainsäädäntöä. Näiden kansallisten säännösten rikkomisesta määrättävien rikosoikeudellisten seuraamusten ja niihin liittyvien hallinnollisten seuraamusten määrääminen ei kuitenkaan saisi johtaa ne bis in idem -periaatteen, sellaisena kuin unionin tuomioistuin on sitä tulkinnut, rikkomiseen.

| (132) | Sikäli kuin tässä direktiivissä ei yhdenmukaisteta hallinnollisia seuraamuksia tai tarvittaessa muissa tapauksissa, esimerkiksi silloin, kun kyseessä on tämän direktiivin vakava rikkominen, jäsenvaltioiden olisi pantava täytäntöön järjestelmä, jossa määrätään tehokkaista, oikeasuhteisista ja varoittavista seuraamuksista. Tällaisten seuraamusten luonne ja se, ovatko ne rikosoikeudellisia vai hallinnollisia, olisi määriteltävä kansallisessa lainsäädännössä. |
| --- | --- |

(132)

Sikäli kuin tässä direktiivissä ei yhdenmukaisteta hallinnollisia seuraamuksia tai tarvittaessa muissa tapauksissa, esimerkiksi silloin, kun kyseessä on tämän direktiivin vakava rikkominen, jäsenvaltioiden olisi pantava täytäntöön järjestelmä, jossa määrätään tehokkaista, oikeasuhteisista ja varoittavista seuraamuksista. Tällaisten seuraamusten luonne ja se, ovatko ne rikosoikeudellisia vai hallinnollisia, olisi määriteltävä kansallisessa lainsäädännössä.

| (133) | Jotta voidaan edelleen vahvistaa tämän direktiivin rikkomiseen sovellettavien täytäntöönpanotoimenpiteiden vaikuttavuutta ja varoittavuutta, toimivaltaisilla viranomaisilla olisi oltava valtuudet keskeyttää tai pyytää keskeyttämään väliaikaisesti sertifiointi tai lupa, joka koskee keskeisen toimijan tarjoamia kaikkia asiaankuuluvia palveluja tai toimintoja tai osaa niistä, sekä pyytää kieltämään ketä tahansa luonnollista henkilöä, joka hoitaa johtotehtäviä toimitusjohtajan tai laillisen edustajan tasolla, hoitamasta johtotehtäviä. Kun otetaan huomioon tällaisten väliaikaisten keskeyttämisten tai kieltojen vakavuus ja vaikutus toimijoiden toimintaan ja viime kädessä niiden palvelujen käyttäjiin, niitä olisi sovellettava ainoastaan suhteessa rikkomisen vakavuuteen ja ottaen huomioon kunkin yksittäisen tapauksen olosuhteet, mukaan lukien rikkomisen tahallisuus tai tuottamuksellisuus, sekä mahdolliset aineellisen tai aineettoman vahingon ehkäisemiseksi tai lieventämiseksi toteutetut toimet. Tällaisia väliaikaisia keskeyttämisiä tai kieltoja olisi sovellettava vasta viimeisenä keinona eli sen jälkeen, kun muut tässä direktiivissä säädetyt asiaankuuluvat täytäntöönpanotoimenpiteet on käytetty, ja ainoastaan siihen asti, kun asianomainen toimija toteuttaa tarvittavat toimet korjatakseen ne puutteet tai noudattaakseen niitä toimivaltaisen viranomaisen vaatimuksia, joiden johdosta väliaikaisia keskeyttämisiä tai kieltoja sovellettiin. Tällaisten väliaikaisten keskeyttämisten tai kieltojen määräämiseen olisi sovellettava asianmukaisia menettelytakeita unionin oikeuden ja perusoikeuskirjan yleisten periaatteiden mukaisesti, mukaan lukien oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen, syyttömyysolettama ja oikeus puolustukseen. |
| --- | --- |

(133)

Jotta voidaan edelleen vahvistaa tämän direktiivin rikkomiseen sovellettavien täytäntöönpanotoimenpiteiden vaikuttavuutta ja varoittavuutta, toimivaltaisilla viranomaisilla olisi oltava valtuudet keskeyttää tai pyytää keskeyttämään väliaikaisesti sertifiointi tai lupa, joka koskee keskeisen toimijan tarjoamia kaikkia asiaankuuluvia palveluja tai toimintoja tai osaa niistä, sekä pyytää kieltämään ketä tahansa luonnollista henkilöä, joka hoitaa johtotehtäviä toimitusjohtajan tai laillisen edustajan tasolla, hoitamasta johtotehtäviä. Kun otetaan huomioon tällaisten väliaikaisten keskeyttämisten tai kieltojen vakavuus ja vaikutus toimijoiden toimintaan ja viime kädessä niiden palvelujen käyttäjiin, niitä olisi sovellettava ainoastaan suhteessa rikkomisen vakavuuteen ja ottaen huomioon kunkin yksittäisen tapauksen olosuhteet, mukaan lukien rikkomisen tahallisuus tai tuottamuksellisuus, sekä mahdolliset aineellisen tai aineettoman vahingon ehkäisemiseksi tai lieventämiseksi toteutetut toimet. Tällaisia väliaikaisia keskeyttämisiä tai kieltoja olisi sovellettava vasta viimeisenä keinona eli sen jälkeen, kun muut tässä direktiivissä säädetyt asiaankuuluvat täytäntöönpanotoimenpiteet on käytetty, ja ainoastaan siihen asti, kun asianomainen toimija toteuttaa tarvittavat toimet korjatakseen ne puutteet tai noudattaakseen niitä toimivaltaisen viranomaisen vaatimuksia, joiden johdosta väliaikaisia keskeyttämisiä tai kieltoja sovellettiin. Tällaisten väliaikaisten keskeyttämisten tai kieltojen määräämiseen olisi sovellettava asianmukaisia menettelytakeita unionin oikeuden ja perusoikeuskirjan yleisten periaatteiden mukaisesti, mukaan lukien oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen, syyttömyysolettama ja oikeus puolustukseen.

| (134) | Sen varmistamiseksi, että toimijat noudattavat tässä direktiivissä säädettyjä velvoitteitaan, jäsenvaltioiden olisi tehtävä yhteistyötä ja avustettava toisiaan valvonta- ja täytäntöönpanotoimenpiteissä, etenkin kun toimija tarjoaa palveluja useammassa kuin yhdessä jäsenvaltiossa tai kun sen verkko- ja tietojärjestelmät sijaitsevat muussa jäsenvaltiossa kuin siinä, jossa se tarjoaa palveluja. Avunantopyynnön saaneen toimivaltaisen viranomaisen olisi apua antaessaan toteutettava valvonta- tai täytäntöönpanotoimenpiteitä kansallisen lainsäädännön mukaisesti. Tämän direktiivin mukaisen keskinäisen avunannon sujuvuuden varmistamiseksi toimivaltaisten viranomaisten olisi käytettävä yhteistyöryhmää foorumina, jolla keskustellaan tapauksista ja yksittäisistä avunantopyynnöistä. |
| --- | --- |

(134)

Sen varmistamiseksi, että toimijat noudattavat tässä direktiivissä säädettyjä velvoitteitaan, jäsenvaltioiden olisi tehtävä yhteistyötä ja avustettava toisiaan valvonta- ja täytäntöönpanotoimenpiteissä, etenkin kun toimija tarjoaa palveluja useammassa kuin yhdessä jäsenvaltiossa tai kun sen verkko- ja tietojärjestelmät sijaitsevat muussa jäsenvaltiossa kuin siinä, jossa se tarjoaa palveluja. Avunantopyynnön saaneen toimivaltaisen viranomaisen olisi apua antaessaan toteutettava valvonta- tai täytäntöönpanotoimenpiteitä kansallisen lainsäädännön mukaisesti. Tämän direktiivin mukaisen keskinäisen avunannon sujuvuuden varmistamiseksi toimivaltaisten viranomaisten olisi käytettävä yhteistyöryhmää foorumina, jolla keskustellaan tapauksista ja yksittäisistä avunantopyynnöistä.

| (135) | Jotta voidaan varmistaa tehokas valvonta ja täytäntöönpano, erityisesti silloin kun tilanteella on rajatylittävä ulottuvuus, keskinäistä avunantoa koskevan pyynnön saaneen jäsenvaltion olisi kyseisen pyynnön asettamissa rajoissa toteutettava asianmukaisia valvonta- ja täytäntöönpanotoimenpiteitä suhteessa pyynnön kohteena olevaan toimijaan, joka tarjoaa palveluja tai jolla on verkko- ja tietojärjestelmä kyseisen jäsenvaltion alueella. |
| --- | --- |

(135)

Jotta voidaan varmistaa tehokas valvonta ja täytäntöönpano, erityisesti silloin kun tilanteella on rajatylittävä ulottuvuus, keskinäistä avunantoa koskevan pyynnön saaneen jäsenvaltion olisi kyseisen pyynnön asettamissa rajoissa toteutettava asianmukaisia valvonta- ja täytäntöönpanotoimenpiteitä suhteessa pyynnön kohteena olevaan toimijaan, joka tarjoaa palveluja tai jolla on verkko- ja tietojärjestelmä kyseisen jäsenvaltion alueella.

| (136) | Tässä direktiivissä olisi vahvistettava säännöt toimivaltaisten viranomaisten ja asetuksen (EU) 2016/679 mukaisten valvontaviranomaisten välistä yhteistyötä varten henkilötietoihin liittyvien tämän direktiivin rikkomisten käsittelemiseksi. |
| --- | --- |

(136)

Tässä direktiivissä olisi vahvistettava säännöt toimivaltaisten viranomaisten ja asetuksen (EU) 2016/679 mukaisten valvontaviranomaisten välistä yhteistyötä varten henkilötietoihin liittyvien tämän direktiivin rikkomisten käsittelemiseksi.

| (137) | Tällä direktiivillä olisi pyrittävä varmistamaan, että vastuu kyberturvallisuusriskien hallintatoimenpiteistä ja raportointivelvoitteista on keskeisten ja tärkeiden toimijoiden organisaatiossa korkealla tasolla. Sen vuoksi keskeisten ja tärkeiden toimijoiden hallintoelinten olisi hyväksyttävä kyberturvallisuusriskien hallintatoimenpiteet ja valvottava niiden täytäntöönpanoa. |
| --- | --- |

(137)

Tällä direktiivillä olisi pyrittävä varmistamaan, että vastuu kyberturvallisuusriskien hallintatoimenpiteistä ja raportointivelvoitteista on keskeisten ja tärkeiden toimijoiden organisaatiossa korkealla tasolla. Sen vuoksi keskeisten ja tärkeiden toimijoiden hallintoelinten olisi hyväksyttävä kyberturvallisuusriskien hallintatoimenpiteet ja valvottava niiden täytäntöönpanoa.

| (138) | Jotta tämän direktiivin perusteella voidaan varmistaa kyberturvallisuuden yhteinen korkea taso kaikkialla unionissa, komissiolle olisi siirrettävä valta hyväksyä Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, joilla täydennetään tätä direktiiviä täsmentämällä ne keskeisten ja tärkeiden toimijoiden luokat, jotka on velvoitettava käyttämään tiettyjä sertifioituja TVT-tuotteita, TVT-palveluja ja TVT-prosesseja tai hankkimaan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän myöntämä sertifiointi. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa (22) vahvistettujen periaatteiden mukaisesti. Jotta voitaisiin erityisesti varmistaa tasavertainen osallistuminen delegoitujen säädösten valmisteluun, Euroopan parlamentille ja neuvostolle toimitetaan kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, ja Euroopan parlamentin ja neuvoston asiantuntijoilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, joissa valmistellaan delegoituja säädöksiä. |
| --- | --- |

(138)

Jotta tämän direktiivin perusteella voidaan varmistaa kyberturvallisuuden yhteinen korkea taso kaikkialla unionissa, komissiolle olisi siirrettävä valta hyväksyä Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, joilla täydennetään tätä direktiiviä täsmentämällä ne keskeisten ja tärkeiden toimijoiden luokat, jotka on velvoitettava käyttämään tiettyjä sertifioituja TVT-tuotteita, TVT-palveluja ja TVT-prosesseja tai hankkimaan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän myöntämä sertifiointi. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa (22) vahvistettujen periaatteiden mukaisesti. Jotta voitaisiin erityisesti varmistaa tasavertainen osallistuminen delegoitujen säädösten valmisteluun, Euroopan parlamentille ja neuvostolle toimitetaan kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, ja Euroopan parlamentin ja neuvoston asiantuntijoilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, joissa valmistellaan delegoituja säädöksiä.

| (139) | Jotta voidaan varmistaa tämän direktiivin yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa vahvistaa yhteistyöryhmän toiminnan edellyttämät menettelytapajärjestelyt ja kyberturvallisuusriskien hallintatoimenpiteitä koskevat tekniset, menetelmiin liittyvät ja alakohtaiset vaatimukset sekä täsmentää poikkeamista, kyberuhkista ja läheltä piti -tilanteista tehtävien ilmoitusten sekä merkittävistä kyberuhkista annettavien tiedonantojen tietosisältö, muoto ja ilmoitusmenettely sekä tapaukset, joissa poikkeama katsotaan merkittäväksi. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (23) mukaisesti. |
| --- | --- |

(139)

Jotta voidaan varmistaa tämän direktiivin yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa vahvistaa yhteistyöryhmän toiminnan edellyttämät menettelytapajärjestelyt ja kyberturvallisuusriskien hallintatoimenpiteitä koskevat tekniset, menetelmiin liittyvät ja alakohtaiset vaatimukset sekä täsmentää poikkeamista, kyberuhkista ja läheltä piti -tilanteista tehtävien ilmoitusten sekä merkittävistä kyberuhkista annettavien tiedonantojen tietosisältö, muoto ja ilmoitusmenettely sekä tapaukset, joissa poikkeama katsotaan merkittäväksi. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (23) mukaisesti.

| (140) | Komission olisi tarkasteltava tätä direktiiviä määräajoin uudelleen sidosryhmiä kuultuaan, erityisesti sen selvittämiseksi, onko aiheellista ehdottaa yhteiskunnan, politiikan, tekniikan ja markkinaolojen kehitykseen perustuvia muutoksia. Komission olisi osana näitä uudelleentarkasteluja arvioitava asianomaisten toimijoiden koon sekä tämän direktiivin liitteissä tarkoitettujen toimialojen, toimialan osien ja toimijatyyppien merkitystä talouden ja yhteiskunnan toiminnalle kyberturvallisuuden näkökulmasta. Komission olisi arvioitava muun muassa sitä, voitaisiinko tämän direktiivin soveltamisalaan kuuluvat palveluntarjoajat, jotka on nimetty Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2065 (24) 33 artiklan mukaisiksi erittäin suuriksi verkkoalustoiksi, määrittää tämän direktiivin mukaisiksi keskeisiksi toimijoiksi. |
| --- | --- |

(140)

Komission olisi tarkasteltava tätä direktiiviä määräajoin uudelleen sidosryhmiä kuultuaan, erityisesti sen selvittämiseksi, onko aiheellista ehdottaa yhteiskunnan, politiikan, tekniikan ja markkinaolojen kehitykseen perustuvia muutoksia. Komission olisi osana näitä uudelleentarkasteluja arvioitava asianomaisten toimijoiden koon sekä tämän direktiivin liitteissä tarkoitettujen toimialojen, toimialan osien ja toimijatyyppien merkitystä talouden ja yhteiskunnan toiminnalle kyberturvallisuuden näkökulmasta. Komission olisi arvioitava muun muassa sitä, voitaisiinko tämän direktiivin soveltamisalaan kuuluvat palveluntarjoajat, jotka on nimetty Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2065 (24) 33 artiklan mukaisiksi erittäin suuriksi verkkoalustoiksi, määrittää tämän direktiivin mukaisiksi keskeisiksi toimijoiksi.

| (141) | Tällä direktiivillä annetaan ENISAlle uusia tehtäviä ja siten merkittävämpi rooli, minkä johdosta sitä saatetaan vaatia suorittamaan asetuksen (EU) 2019/881 mukaiset nykyiset tehtävänsä aiempaa korkeammalla vaatimustasolla. Sen varmistamiseksi, että ENISAlla on tarvittavat taloudelliset ja henkilöresurssit, jotta se voi suorittaa nykyiset ja uudet tehtävänsä ja selviytyä niistä entistä merkittävämmästä roolistaan johtuvalla, mahdollisesti korkeammalla vaatimustasolla, sen määrärahoja olisi vastaavasti lisättävä. Resurssien tehokkaan käytön varmistamiseksi ENISAlle olisi lisäksi jätettävä enemmän joustovaraa sen suhteen, miten se voi kohdentaa resursseja sisäisesti suorittaakseen tehtävänsä tehokkaasti ja vastatakseen odotuksiin. |
| --- | --- |

(141)

Tällä direktiivillä annetaan ENISAlle uusia tehtäviä ja siten merkittävämpi rooli, minkä johdosta sitä saatetaan vaatia suorittamaan asetuksen (EU) 2019/881 mukaiset nykyiset tehtävänsä aiempaa korkeammalla vaatimustasolla. Sen varmistamiseksi, että ENISAlla on tarvittavat taloudelliset ja henkilöresurssit, jotta se voi suorittaa nykyiset ja uudet tehtävänsä ja selviytyä niistä entistä merkittävämmästä roolistaan johtuvalla, mahdollisesti korkeammalla vaatimustasolla, sen määrärahoja olisi vastaavasti lisättävä. Resurssien tehokkaan käytön varmistamiseksi ENISAlle olisi lisäksi jätettävä enemmän joustovaraa sen suhteen, miten se voi kohdentaa resursseja sisäisesti suorittaakseen tehtävänsä tehokkaasti ja vastatakseen odotuksiin.

| (142) | Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitetta eli saavuttaa kyberturvallisuuden yhteinen korkea taso kaikkialla unionissa, vaan se voidaan toiminnan vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä direktiivissä ei ylitetä sitä, mikä on tarpeen kyseisen tavoitteen saavuttamiseksi. |
| --- | --- |

(142)

Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitetta eli saavuttaa kyberturvallisuuden yhteinen korkea taso kaikkialla unionissa, vaan se voidaan toiminnan vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä direktiivissä ei ylitetä sitä, mikä on tarpeen kyseisen tavoitteen saavuttamiseksi.

| (143) | Tässä direktiivissä kunnioitetaan perusoikeuskirjassa tunnustettuja perusoikeuksia ja noudatetaan siinä tunnustettuja periaatteita, erityisesti oikeutta yksityiselämän ja viestien kunnioittamiseen, henkilötietojen suojaa, elinkeinovapautta, omistusoikeutta, oikeutta tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen, syyttömyysolettamaa ja oikeutta puolustukseen. Oikeus tehokkaisiin oikeussuojakeinoihin on myös keskeisten ja tärkeiden toimijoiden tarjoamien palvelujen vastaanottajilla. Tämä direktiivi olisi pantava täytäntöön näiden oikeuksien ja periaatteiden mukaisesti. |
| --- | --- |

(143)

Tässä direktiivissä kunnioitetaan perusoikeuskirjassa tunnustettuja perusoikeuksia ja noudatetaan siinä tunnustettuja periaatteita, erityisesti oikeutta yksityiselämän ja viestien kunnioittamiseen, henkilötietojen suojaa, elinkeinovapautta, omistusoikeutta, oikeutta tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen, syyttömyysolettamaa ja oikeutta puolustukseen. Oikeus tehokkaisiin oikeussuojakeinoihin on myös keskeisten ja tärkeiden toimijoiden tarjoamien palvelujen vastaanottajilla. Tämä direktiivi olisi pantava täytäntöön näiden oikeuksien ja periaatteiden mukaisesti.

| (144) | Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (25) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausuntonsa 11 päivänä maaliskuuta 2021 (26), |
| --- | --- |

(144)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (25) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausuntonsa 11 päivänä maaliskuuta 2021 (26),

OVAT HYVÄKSYNEET TÄMÄN DIREKTIIVIN:

I LUKU

YLEISET SÄÄNNÖKSET

1 artikla

Kohde

1.   Tässä direktiivissä säädetään toimenpiteistä, joilla pyritään saavuttamaan kyberturvallisuuden yhteinen korkea taso kaikkialla unionissa sisämarkkinoiden toiminnan parantamiseksi.

2.   Tätä varten tässä direktiivissä vahvistetaan

| a) | jäsenvaltioiden velvoitteet hyväksyä kansalliset kyberturvallisuusstrategiat sekä nimetä tai perustaa toimivaltaiset viranomaiset, kyberkriisinhallintaviranomaiset, kyberturvallisuusalan keskitetyt yhteyspisteet, jäljempänä ’keskitetyt yhteyspisteet’, ja tietoturvaloukkauksiin reagoivat ja niitä tutkivat yksiköt, jäljempänä ’CSIRT-yksiköt’; |
| --- | --- |

a)

jäsenvaltioiden velvoitteet hyväksyä kansalliset kyberturvallisuusstrategiat sekä nimetä tai perustaa toimivaltaiset viranomaiset, kyberkriisinhallintaviranomaiset, kyberturvallisuusalan keskitetyt yhteyspisteet, jäljempänä ’keskitetyt yhteyspisteet’, ja tietoturvaloukkauksiin reagoivat ja niitä tutkivat yksiköt, jäljempänä ’CSIRT-yksiköt’;

| b) | kyberturvallisuusriskien hallintatoimenpiteet ja raportointivelvoitteet liitteessä I tai II tarkoitettua toimijatyyppiä oleville toimijoille ja direktiivissä (EU) 2022/2557 kriittisiksi toimijoiksi määritetyille toimijoille; |
| --- | --- |

b)

kyberturvallisuusriskien hallintatoimenpiteet ja raportointivelvoitteet liitteessä I tai II tarkoitettua toimijatyyppiä oleville toimijoille ja direktiivissä (EU) 2022/2557 kriittisiksi toimijoiksi määritetyille toimijoille;

| c) | kyberturvallisuustietojen jakamista koskevat säännöt ja velvoitteet; |
| --- | --- |

c)

kyberturvallisuustietojen jakamista koskevat säännöt ja velvoitteet;

| d) | jäsenvaltioiden valvonta- ja täytäntöönpanovelvoitteet. |
| --- | --- |

d)

jäsenvaltioiden valvonta- ja täytäntöönpanovelvoitteet.

2 artikla

Soveltamisala

1.   Tätä direktiiviä sovelletaan liitteissä I ja II tarkoitettua toimijatyyppiä oleviin julkisiin ja yksityisiin toimijoihin, jotka täyttävät suosituksen 2003/361/EY liitteessä olevan 2 artiklan mukaiset keskisuuria yrityksiä koskevat edellytykset tai ylittävät kyseisen artiklan 1 kohdassa säädetyt keskisuurten yritysten määrittelyssä käytettävät kynnysarvot ja jotka tarjoavat palvelujaan tai harjoittavat toimintaansa unionissa.

Mainitun suosituksen liitteessä olevan 3 artiklan 4 kohtaa ei sovelleta tätä direktiiviä sovellettaessa.

2.   Tätä direktiiviä sovelletaan liitteessä I tai II tarkoitettua toimijatyyppiä oleviin toimijoihin niiden koosta riippumatta myös, kun

| a) | palvelujen tarjoajat ovat






  i) | yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajia; |
| --- | --- | --- |

a)

palvelujen tarjoajat ovat

i)

yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajia;

| ii) | luottamuspalvelun tarjoajia; |
| --- | --- |

ii)

luottamuspalvelun tarjoajia;

| iii) | aluetunnusrekisterejä ja DNS-palveluntarjoajia; |
| --- | --- |

iii)

aluetunnusrekisterejä ja DNS-palveluntarjoajia;

| b) | toimija tarjoaa ainoana jäsenvaltiossa palvelua, joka on yhteiskunnan tai talouden kriittisten toimintojen ylläpitämisen kannalta keskeinen; |
| --- | --- |

b)

toimija tarjoaa ainoana jäsenvaltiossa palvelua, joka on yhteiskunnan tai talouden kriittisten toimintojen ylläpitämisen kannalta keskeinen;

| c) | häiriö toimijan tarjoamassa palvelussa voisi vaikuttaa merkittävästi yleiseen järjestykseen, yleiseen turvallisuuteen tai kansanterveyteen; |
| --- | --- |

c)

häiriö toimijan tarjoamassa palvelussa voisi vaikuttaa merkittävästi yleiseen järjestykseen, yleiseen turvallisuuteen tai kansanterveyteen;

| d) | häiriö toimijan tarjoamassa palvelussa voisi aiheuttaa merkittävän systeemisen riskin erityisesti aloilla, joilla tällaisella häiriöllä voisi olla rajatylittäviä vaikutuksia; |
| --- | --- |

d)

häiriö toimijan tarjoamassa palvelussa voisi aiheuttaa merkittävän systeemisen riskin erityisesti aloilla, joilla tällaisella häiriöllä voisi olla rajatylittäviä vaikutuksia;

| e) | toimija on kriittinen, koska sillä on erityisen suuri merkitys kansallisella tai alueellisella tasolla kyseisen toimialan tai palvelutyypin tai jäsenvaltion muiden keskinäisriippuvaisten toimialojen kannalta; |
| --- | --- |

e)

toimija on kriittinen, koska sillä on erityisen suuri merkitys kansallisella tai alueellisella tasolla kyseisen toimialan tai palvelutyypin tai jäsenvaltion muiden keskinäisriippuvaisten toimialojen kannalta;

| f) | toimija on julkishallinnon toimija,






  i) | jonka jäsenvaltio on kansallisen lainsäädäntönsä mukaisesti määritellyt keskustason julkishallinnon toimijaksi; |
| --- | --- | --- |

f)

toimija on julkishallinnon toimija,

i)

jonka jäsenvaltio on kansallisen lainsäädäntönsä mukaisesti määritellyt keskustason julkishallinnon toimijaksi;

| ii) | jonka jäsenvaltio on kansallisen lainsäädäntönsä mukaisesti määritellyt aluetason julkishallinnon toimijaksi ja joka riskiperusteisen arvioinnin perusteella tarjoaa palveluja, joiden häiriintymisellä voisi olla merkittävä vaikutus yhteiskunnan tai talouden kriittisiin toimintoihin. |
| --- | --- |

ii)

jonka jäsenvaltio on kansallisen lainsäädäntönsä mukaisesti määritellyt aluetason julkishallinnon toimijaksi ja joka riskiperusteisen arvioinnin perusteella tarjoaa palveluja, joiden häiriintymisellä voisi olla merkittävä vaikutus yhteiskunnan tai talouden kriittisiin toimintoihin.

3.   Tätä direktiiviä sovelletaan direktiivin (EU) 2022/2557 nojalla kriittisiksi toimijoiksi määritettyihin toimijoihin niiden koosta riippumatta.

4.   Tätä direktiiviä sovelletaan verkkotunnusten rekisteröintipalveluja tarjoaviin toimijoihin niiden koosta riippumatta.

5.   Jäsenvaltiot voivat säätää, että tätä direktiiviä sovelletaan

| a) | paikallistason julkishallinnon toimijoihin; |
| --- | --- |

a)

paikallistason julkishallinnon toimijoihin;

| b) | opetus- ja koulutusalan laitoksiin, etenkin kun niissä harjoitetaan olennaisen tärkeää tutkimustoimintaa. |
| --- | --- |

b)

opetus- ja koulutusalan laitoksiin, etenkin kun niissä harjoitetaan olennaisen tärkeää tutkimustoimintaa.

6.   Tämä direktiivi ei vaikuta jäsenvaltioiden velvollisuuteen taata kansallinen turvallisuus eikä niiden valtuuksiin huolehtia muista keskeisistä valtion tehtävistä, myös valtion alueellisen koskemattomuuden turvaamisesta ja yleisen järjestyksen ylläpitämisestä.

7.   Tätä direktiiviä ei sovelleta julkishallinnon toimijoihin, jotka harjoittavat toimintaa kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan alalla, mukaan lukien rikosten ennalta estäminen, tutkiminen, paljastaminen ja rikoksiin liittyvät syytetoimet.

8.   Jäsenvaltiot voivat vapauttaa erityiset toimijat, jotka harjoittavat toimintaa kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan alalla, mukaan lukien rikosten ennalta estäminen, tutkiminen, paljastaminen ja rikoksiin liittyvät syytetoimet, tai jotka tarjoavat palveluja yksinomaan tämän artiklan 7 kohdassa tarkoitetuille julkishallinnon toimijoille, 21 tai 23 artiklassa säädetyistä velvoitteista mainituissa toiminnoissa tai palveluissa. Tällöin VII luvussa tarkoitettuja valvonta- ja täytäntöönpanotoimenpiteitä ei sovelleta kyseisiin erityisiin toimintoihin ja palveluihin. Jos toimijoiden harjoittama toiminta tai tarjoamat palvelut ovat yksinomaan tässä kohdassa tarkoitettua tyyppiä, jäsenvaltiot voivat myös päättää vapauttaa kyseiset toimijat 3 ja 27 artiklassa säädetyistä velvoitteista.

9.   Edellä olevia 7 ja 8 kohtaa ei sovelleta, jos toimija toimii luottamuspalvelun tarjoajana.

10.   Tätä direktiiviä ei sovelleta toimijoihin, jotka jäsenvaltiot ovat jättäneet asetuksen (EU) 2022/2554 soveltamisalan ulkopuolelle mainitun asetuksen 2 artiklan 4 kohdan mukaisesti.

11.   Tässä direktiivissä säädettyihin velvoitteisiin ei kuulu sellaisten tietojen antaminen, joiden luovuttaminen olisi vastoin jäsenvaltioiden keskeisiä kansalliseen turvallisuuteen, yleiseen turvallisuuteen tai puolustukseen liittyviä etuja.

12.   Tämän direktiivin soveltaminen ei rajoita asetuksen (EU) 2016/679, direktiivin 2002/58/EY, Euroopan parlamentin ja neuvoston direktiivien 2011/93/EU (27) ja 2013/40/EU (28) eikä direktiivin (EU) 2022/2557 soveltamista.

13.   Tietoja, jotka katsotaan luottamuksellisiksi unionin tai kansallisten sääntöjen, kuten liikesalaisuuksia koskevien sääntöjen, mukaisesti, saa vaihtaa komission ja muiden asiaankuuluvien viranomaisten kanssa tämän direktiivin mukaisesti vain silloin, kun tällainen vaihtaminen on välttämätöntä tämän direktiivin soveltamiseksi, sanotun kuitenkaan rajoittamatta Euroopan unionin toiminnasta tehdyn sopimuksen 346 artiklan soveltamista. Tällöin on vaihdettava ainoastaan sellaisia tietoja, jotka ovat merkityksellisiä ja oikeasuhteisia tällaisen vaihdon tarkoituksen kannalta. Tietojenvaihdossa on säilytettävä kyseisten tietojen luottamuksellisuus sekä suojeltava asianomaisten toimijoiden turvallisuusetuja ja kaupallisia etuja.

14.   Toimijat, toimivaltaiset viranomaiset, keskitetyt yhteyspisteet ja CSIRT-yksiköt käsittelevät henkilötietoja, siinä määrin kuin se on tarpeen tämän direktiivin soveltamiseksi ja asetuksen (EU) 2016/679 mukaisesti, ja tällaisen käsittelyn on oltava erityisesti mainitun asetuksen 6 artiklan mukaista.

Yleisten sähköisten viestintäverkkojen tarjoajien tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien tämän direktiivin nojalla suorittamassa henkilötietojen käsittelyssä on noudatettava unionin tietosuojalainsäädäntöä ja yksityisyyden suojaa koskevaa unionin lainsäädäntöä, erityisesti direktiiviä 2002/58/EY.

3 artikla

Keskeiset ja tärkeät toimijat

1.   Tätä direktiiviä sovellettaessa seuraavia toimijoita pidetään keskeisinä toimijoina:

| a) | liitteessä I tarkoitettua toimijatyyppiä olevat toimijat, jotka ylittävät suosituksen 2003/361/EY liitteessä olevan 2 artiklan 1 kohdassa säädetyt keskisuurten yritysten määrittelyssä käytettävät kynnysarvot; |
| --- | --- |

a)

liitteessä I tarkoitettua toimijatyyppiä olevat toimijat, jotka ylittävät suosituksen 2003/361/EY liitteessä olevan 2 artiklan 1 kohdassa säädetyt keskisuurten yritysten määrittelyssä käytettävät kynnysarvot;

| b) | hyväksytyt luottamuspalvelun tarjoajat ja aluetunnusrekisterit sekä DNS-palveluntarjoajat niiden koosta riippumatta; |
| --- | --- |

b)

hyväksytyt luottamuspalvelun tarjoajat ja aluetunnusrekisterit sekä DNS-palveluntarjoajat niiden koosta riippumatta;

| c) | yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat, jotka täyttävät suosituksen 2003/361/EY liitteessä olevan 2 artiklan mukaiset keskisuuria yrityksiä koskevat edellytykset; |
| --- | --- |

c)

yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat, jotka täyttävät suosituksen 2003/361/EY liitteessä olevan 2 artiklan mukaiset keskisuuria yrityksiä koskevat edellytykset;

| d) | 2 artiklan 2 kohdan f alakohdan i alakohdassa tarkoitetut julkishallinnon toimijat; |
| --- | --- |

d)

2 artiklan 2 kohdan f alakohdan i alakohdassa tarkoitetut julkishallinnon toimijat;

| e) | muut liitteessä I tai II tarkoitettua toimijatyyppiä olevat toimijat, jotka jäsenvaltio on määrittänyt keskeisiksi toimijoiksi 2 artiklan 2 kohdan b–e alakohdan nojalla; |
| --- | --- |

e)

muut liitteessä I tai II tarkoitettua toimijatyyppiä olevat toimijat, jotka jäsenvaltio on määrittänyt keskeisiksi toimijoiksi 2 artiklan 2 kohdan b–e alakohdan nojalla;

| f) | tämän direktiivin 2 artiklan 3 kohdassa tarkoitetut toimijat, jotka on määritetty kriittisiksi toimijoiksi direktiivin (EU) 2022/2557 nojalla; |
| --- | --- |

f)

tämän direktiivin 2 artiklan 3 kohdassa tarkoitetut toimijat, jotka on määritetty kriittisiksi toimijoiksi direktiivin (EU) 2022/2557 nojalla;

| g) | jos jäsenvaltio niin säätää, toimijat, jotka kyseinen jäsenvaltio on ennen 16 päivää tammikuuta 2023 määrittänyt keskeisten palvelujen tarjoajiksi direktiivin (EU) 2016/1148 tai kansallisen lainsäädännön mukaisesti. |
| --- | --- |

g)

jos jäsenvaltio niin säätää, toimijat, jotka kyseinen jäsenvaltio on ennen 16 päivää tammikuuta 2023 määrittänyt keskeisten palvelujen tarjoajiksi direktiivin (EU) 2016/1148 tai kansallisen lainsäädännön mukaisesti.

2.   Tätä direktiiviä sovellettaessa liitteessä I tai II tarkoitettua toimijatyyppiä olevia toimijoita, joita ei pidetä keskeisinä toimijoina tämän artiklan 1 kohdan nojalla, pidetään tärkeinä toimijoina. Niihin luetaan myös toimijat, jotka jäsenvaltiot ovat määrittäneet tärkeiksi toimijoiksi 2 artiklan 2 kohdan b–e alakohdan nojalla.

3.   Jäsenvaltioiden on viimeistään 17 päivänä huhtikuuta 2025 laadittava luettelo keskeisistä ja tärkeistä toimijoista sekä verkkotunnusten rekisteröintipalveluja tarjoavista toimijoista. Jäsenvaltioiden on tarkasteltava luetteloa uudelleen säännöllisesti ja vähintään kahden vuoden välein ja saatettava se tarvittaessa ajan tasalle.

4.   Edellä 3 kohdassa tarkoitetun luettelon laatimiseksi jäsenvaltioiden on vaadittava kyseisessä kohdassa tarkoitettuja toimijoita toimittamaan toimivaltaisille viranomaisille ainakin seuraavat tiedot:

| a) | toimijan nimi; |
| --- | --- |

a)

toimijan nimi;

| b) | osoite ja ajantasaiset yhteystiedot, mukaan lukien sähköpostiosoitteet, IP-osoitealueet ja puhelinnumerot; |
| --- | --- |

b)

osoite ja ajantasaiset yhteystiedot, mukaan lukien sähköpostiosoitteet, IP-osoitealueet ja puhelinnumerot;

| c) | tapauksen mukaan liitteessä I tai II tarkoitettu asiaankuuluva toimiala ja toimialan osa; ja |
| --- | --- |

c)

tapauksen mukaan liitteessä I tai II tarkoitettu asiaankuuluva toimiala ja toimialan osa; ja

| d) | tapauksen mukaan luettelo jäsenvaltioista, joissa ne tarjoavat tämän direktiivin soveltamisalaan kuuluvia palveluja. |
| --- | --- |

d)

tapauksen mukaan luettelo jäsenvaltioista, joissa ne tarjoavat tämän direktiivin soveltamisalaan kuuluvia palveluja.

Edellä 3 kohdassa tarkoitettujen toimijoiden on ilmoitettava kaikista muutoksista tämän kohdan ensimmäisen alakohdan nojalla toimitettuihin tietoihin viipymättä ja joka tapauksessa kahden viikon kuluessa muutospäivästä.

Komissio antaa Euroopan unionin kyberturvallisuusviraston (ENISA) avustuksella ilman aiheetonta viivytystä ohjeita ja malleja tässä kohdassa säädettyjen velvoitteiden täyttämiseksi.

Jäsenvaltiot voivat perustaa kansallisia järjestelyjä, joiden ansiosta toimijat voivat itse kirjautua luetteloon.

5.   Toimivaltaisten viranomaisten on viimeistään 17 päivänä huhtikuuta 2025 ja sen jälkeen kahden vuoden välein ilmoitettava

| a) | komissiolle ja yhteistyöryhmälle luetteloon 3 kohdan nojalla kirjattujen keskeisten ja tärkeiden toimijoiden lukumäärä kullakin liitteessä I tai II tarkoitetulla toimialalla ja toimialan osalla; ja |
| --- | --- |

a)

komissiolle ja yhteistyöryhmälle luetteloon 3 kohdan nojalla kirjattujen keskeisten ja tärkeiden toimijoiden lukumäärä kullakin liitteessä I tai II tarkoitetulla toimialalla ja toimialan osalla; ja

| b) | komissiolle asiaankuuluvat tiedot 2 artiklan 2 kohdan b–e alakohdan nojalla määritettyjen keskeisten ja tärkeiden toimijoiden lukumäärästä, näiden toimijoiden liitteessä I tai II tarkoitetusta toimialasta ja toimialan osasta, niiden tarjoaman palvelun tyypistä sekä siitä, minkä 2 artiklan 2 kohdan b–e alakohdan säännöksen nojalla ne on määritetty. |
| --- | --- |

b)

komissiolle asiaankuuluvat tiedot 2 artiklan 2 kohdan b–e alakohdan nojalla määritettyjen keskeisten ja tärkeiden toimijoiden lukumäärästä, näiden toimijoiden liitteessä I tai II tarkoitetusta toimialasta ja toimialan osasta, niiden tarjoaman palvelun tyypistä sekä siitä, minkä 2 artiklan 2 kohdan b–e alakohdan säännöksen nojalla ne on määritetty.

6.   Jäsenvaltiot voivat 17 päivään huhtikuuta 2025 saakka ja komission pyynnöstä ilmoittaa komissiolle 5 kohdan b alakohdassa tarkoitettujen keskeisten ja tärkeiden toimijoiden nimet.

4 artikla

Alakohtaiset unionin säädökset

1.   Jos alakohtaisissa unionin säädöksissä edellytetään, että keskeiset tai tärkeät toimijat ottavat käyttöön kyberturvallisuusriskien hallintatoimenpiteitä tai ilmoittavat merkittävistä poikkeamista, ja jos kyseiset vaatimukset ovat vaikutukseltaan vähintään tässä direktiivissä säädettyjä velvoitteita vastaavia, tällaisiin toimijoihin ei sovelleta tämän direktiivin asiaankuuluvia säännöksiä, myöskään VII luvun säännöksiä valvonnasta ja täytäntöönpanosta. Jos alakohtaiset unionin säädökset eivät kata tämän direktiivin soveltamisalaan kuuluvan toimialan kaikkia toimijoita, tämän direktiivin asiaankuuluvia säännöksiä sovelletaan edelleen niihin toimijoihin, joita kyseiset alakohtaiset unionin säädökset eivät kata.

2.   Tämän artiklan 1 kohdassa tarkoitettujen vaatimusten katsotaan olevan vaikutukseltaan tässä direktiivissä säädettyjä velvoitteita vastaavia, kun

| a) | kyberturvallisuusriskien hallintatoimenpiteet ovat vaikutukseltaan vähintään 21 artiklan 1 ja 2 kohdassa säädettyjä toimenpiteitä vastaavia; tai |
| --- | --- |

a)

kyberturvallisuusriskien hallintatoimenpiteet ovat vaikutukseltaan vähintään 21 artiklan 1 ja 2 kohdassa säädettyjä toimenpiteitä vastaavia; tai

| b) | alakohtaisessa unionin säädöksessä säädetään tämän direktiivin mukaisten CSIRT-yksiköiden, toimivaltaisten viranomaisten tai keskitettyjen yhteyspisteiden välittömästä, tarvittaessa automaattisesta ja suorasta, pääsystä poikkeamailmoituksiin, jos merkittävistä poikkeamista ilmoittamista koskevat vaatimukset ovat vaikutukseltaan vähintään tämän direktiivin 23 artiklan 1–6 kohdassa säädettyjä vaatimuksia vastaavia. |
| --- | --- |

b)

alakohtaisessa unionin säädöksessä säädetään tämän direktiivin mukaisten CSIRT-yksiköiden, toimivaltaisten viranomaisten tai keskitettyjen yhteyspisteiden välittömästä, tarvittaessa automaattisesta ja suorasta, pääsystä poikkeamailmoituksiin, jos merkittävistä poikkeamista ilmoittamista koskevat vaatimukset ovat vaikutukseltaan vähintään tämän direktiivin 23 artiklan 1–6 kohdassa säädettyjä vaatimuksia vastaavia.

3.   Komissio antaa viimeistään 17 päivänä heinäkuuta 2023 ohjeita, joissa selvennetään 1 ja 2 kohdan soveltamista. Komissio tarkistaa näitä ohjeita säännöllisesti. Komissio ottaa kyseisiä ohjeita laatiessaan huomioon yhteistyöryhmän ja ENISAn mahdollisesti esittämät huomautukset.

5 artikla

Vähimmäistason yhdenmukaistaminen

Tällä direktiivillä ei estetä jäsenvaltioita antamasta tai pitämästä voimassa säännöksiä, joilla varmistetaan kyberturvallisuuden korkeampi taso, edellyttäen, että tällaiset säännökset ovat unionin oikeudessa säädettyjen jäsenvaltioiden velvoitteiden mukaisia.

6 artikla

Määritelmät

Tässä direktiivissä tarkoitetaan:

| 1) | ’verkko- ja tietojärjestelmällä’






  a) | direktiivin (EU) 2018/1972 2 artiklan 1 alakohdassa määriteltyä sähköistä viestintäverkkoa; |
| --- | --- | --- |

1)

’verkko- ja tietojärjestelmällä’

a)

direktiivin (EU) 2018/1972 2 artiklan 1 alakohdassa määriteltyä sähköistä viestintäverkkoa;

| b) | laitetta taikka yhteen kytkettyjen tai toisiinsa yhteydessä olevien laitteiden ryhmää, joista yksi tai useampi suorittaa ohjelman avulla digitaalisten tietojen automaattista käsittelyä; tai |
| --- | --- |

b)

laitetta taikka yhteen kytkettyjen tai toisiinsa yhteydessä olevien laitteiden ryhmää, joista yksi tai useampi suorittaa ohjelman avulla digitaalisten tietojen automaattista käsittelyä; tai

| c) | digitaalisia tietoja, joita a ja b alakohdassa tarkoitetuissa järjestelmissä säilytetään, käsitellään, haetaan tai siirretään näiden järjestelmien toimintaa, käyttöä, suojausta tai ylläpitoa varten; |
| --- | --- |

c)

digitaalisia tietoja, joita a ja b alakohdassa tarkoitetuissa järjestelmissä säilytetään, käsitellään, haetaan tai siirretään näiden järjestelmien toimintaa, käyttöä, suojausta tai ylläpitoa varten;

| 2) | ’verkko- ja tietojärjestelmien turvallisuudella’ verkko- ja tietojärjestelmien kykyä suojautua tietyllä varmuudella tapahtumilta, jotka saattavat vaarantaa kyseisissä verkko- ja tietojärjestelmissä tarjottavien tai niiden välityksellä saatavilla olevien tallennettujen, siirrettyjen tai käsiteltyjen tietojen taikka palvelujen saatavuuden, aitouden, eheyden tai luottamuksellisuuden; |
| --- | --- |

2)

’verkko- ja tietojärjestelmien turvallisuudella’ verkko- ja tietojärjestelmien kykyä suojautua tietyllä varmuudella tapahtumilta, jotka saattavat vaarantaa kyseisissä verkko- ja tietojärjestelmissä tarjottavien tai niiden välityksellä saatavilla olevien tallennettujen, siirrettyjen tai käsiteltyjen tietojen taikka palvelujen saatavuuden, aitouden, eheyden tai luottamuksellisuuden;

| 3) | ’kyberturvallisuudella’ asetuksen (EU) 2019/881 2 artiklan 1 alakohdassa määriteltyä kyberturvallisuutta; |
| --- | --- |

3)

’kyberturvallisuudella’ asetuksen (EU) 2019/881 2 artiklan 1 alakohdassa määriteltyä kyberturvallisuutta;

| 4) | ’kansallisella kyberturvallisuusstrategialla’ jäsenvaltion yhtenäistä kehystä, jossa määritetään kyberturvallisuusalan strategiset tavoitteet ja painopisteet kyseisessä jäsenvaltiossa ja hallintotapa niiden saavuttamiseksi; |
| --- | --- |

4)

’kansallisella kyberturvallisuusstrategialla’ jäsenvaltion yhtenäistä kehystä, jossa määritetään kyberturvallisuusalan strategiset tavoitteet ja painopisteet kyseisessä jäsenvaltiossa ja hallintotapa niiden saavuttamiseksi;

| 5) | ’läheltä piti -tilanteella’ tapahtumaa, joka olisi voinut vaarantaa verkko- ja tietojärjestelmissä tarjottavien tai niiden välityksellä saatavilla olevien tallennettujen, siirrettyjen tai käsiteltyjen tietojen taikka palvelujen saatavuuden, aitouden, eheyden tai luottamuksellisuuden mutta jonka toteutuminen onnistuttiin estämään tai joka ei toteutunut; |
| --- | --- |

5)

’läheltä piti -tilanteella’ tapahtumaa, joka olisi voinut vaarantaa verkko- ja tietojärjestelmissä tarjottavien tai niiden välityksellä saatavilla olevien tallennettujen, siirrettyjen tai käsiteltyjen tietojen taikka palvelujen saatavuuden, aitouden, eheyden tai luottamuksellisuuden mutta jonka toteutuminen onnistuttiin estämään tai joka ei toteutunut;

| 6) | ’poikkeamalla’ tapahtumaa, joka vaarantaa verkko- ja tietojärjestelmissä tarjottavien tai niiden välityksellä saatavilla olevien tallennettujen, siirrettyjen tai käsiteltyjen tietojen taikka palvelujen saatavuuden, aitouden, eheyden tai luottamuksellisuuden; |
| --- | --- |

6)

’poikkeamalla’ tapahtumaa, joka vaarantaa verkko- ja tietojärjestelmissä tarjottavien tai niiden välityksellä saatavilla olevien tallennettujen, siirrettyjen tai käsiteltyjen tietojen taikka palvelujen saatavuuden, aitouden, eheyden tai luottamuksellisuuden;

| 7) | ’laajamittaisella kyberturvallisuuspoikkeamalla’ poikkeamaa, joka aiheuttaa niin laajan häiriön, ettei yksittäisellä jäsenvaltiolla ole valmiuksia hallita sitä, tai jolla on merkittävä vaikutus vähintään kahteen jäsenvaltioon; |
| --- | --- |

7)

’laajamittaisella kyberturvallisuuspoikkeamalla’ poikkeamaa, joka aiheuttaa niin laajan häiriön, ettei yksittäisellä jäsenvaltiolla ole valmiuksia hallita sitä, tai jolla on merkittävä vaikutus vähintään kahteen jäsenvaltioon;

| 8) | ’poikkeaman käsittelyllä’ mitä tahansa toimia ja menettelyjä, joilla pyritään ehkäisemään ja havaitsemaan poikkeama, analysoimaan, rajoittamaan tai hallitsemaan sitä ja palautumaan siitä; |
| --- | --- |

8)

’poikkeaman käsittelyllä’ mitä tahansa toimia ja menettelyjä, joilla pyritään ehkäisemään ja havaitsemaan poikkeama, analysoimaan, rajoittamaan tai hallitsemaan sitä ja palautumaan siitä;

| 9) | ’riskillä’ poikkeaman aiheuttamien menetysten tai häiriön mahdollisuutta, joka ilmaistaan tällaisten menetysten tai häiriön suuruuden ja kyseisen poikkeaman toteutumisen todennäköisyyden yhdistelmänä; |
| --- | --- |

9)

’riskillä’ poikkeaman aiheuttamien menetysten tai häiriön mahdollisuutta, joka ilmaistaan tällaisten menetysten tai häiriön suuruuden ja kyseisen poikkeaman toteutumisen todennäköisyyden yhdistelmänä;

| 10) | ’kyberuhkalla’ asetuksen (EU) 2019/881 2 artiklan 8 alakohdassa määriteltyä kyberuhkaa; |
| --- | --- |

10)

’kyberuhkalla’ asetuksen (EU) 2019/881 2 artiklan 8 alakohdassa määriteltyä kyberuhkaa;

| 11) | ’merkittävällä kyberuhkalla’ kyberuhkaa, jonka voidaan sen teknisten ominaisuuksien perusteella olettaa vaikuttavan mahdollisesti vakavasti toimijan verkko- ja tietojärjestelmiin tai toimijan palvelujen käyttäjiin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa; |
| --- | --- |

11)

’merkittävällä kyberuhkalla’ kyberuhkaa, jonka voidaan sen teknisten ominaisuuksien perusteella olettaa vaikuttavan mahdollisesti vakavasti toimijan verkko- ja tietojärjestelmiin tai toimijan palvelujen käyttäjiin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa;

| 12) | ’TVT-tuotteella’ asetuksen (EU) 2019/881 2 artiklan 12 alakohdassa määriteltyä tieto- ja viestintätekniikan tuotetta; |
| --- | --- |

12)

’TVT-tuotteella’ asetuksen (EU) 2019/881 2 artiklan 12 alakohdassa määriteltyä tieto- ja viestintätekniikan tuotetta;

| 13) | ’TVT-palvelulla’ asetuksen (EU) 2019/881 2 artiklan 13 alakohdassa määriteltyä tieto- ja viestintätekniikan palvelua; |
| --- | --- |

13)

’TVT-palvelulla’ asetuksen (EU) 2019/881 2 artiklan 13 alakohdassa määriteltyä tieto- ja viestintätekniikan palvelua;

| 14) | ’TVT-prosessilla’ asetuksen (EU) 2019/881 2 artiklan 14 alakohdassa määriteltyä tieto- ja viestintätekniikan prosessia; |
| --- | --- |

14)

’TVT-prosessilla’ asetuksen (EU) 2019/881 2 artiklan 14 alakohdassa määriteltyä tieto- ja viestintätekniikan prosessia;

| 15) | ’haavoittuvuudella’ TVT-tuotteiden tai TVT-palvelujen heikkoutta, alttiutta tai vikaa, jota kyberuhka voi hyödyntää; |
| --- | --- |

15)

’haavoittuvuudella’ TVT-tuotteiden tai TVT-palvelujen heikkoutta, alttiutta tai vikaa, jota kyberuhka voi hyödyntää;

| 16) | ’standardilla’ Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1025/2012 (29) 2 artiklan 1 alakohdassa määriteltyä standardia; |
| --- | --- |

16)

’standardilla’ Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1025/2012 (29) 2 artiklan 1 alakohdassa määriteltyä standardia;

29

| 17) | ’teknisellä eritelmällä’ asetuksen (EU) N:o 1025/2012 2 artiklan 4 alakohdassa määriteltyä teknistä eritelmää; |
| --- | --- |

17)

’teknisellä eritelmällä’ asetuksen (EU) N:o 1025/2012 2 artiklan 4 alakohdassa määriteltyä teknistä eritelmää;

| 18) | ’internetin yhdysliikennepisteellä’ verkkoinfrastruktuurin osaa, joka mahdollistaa useamman kuin kahden riippumattoman verkon (autonomisen järjestelmän) yhdistämisen pääasiassa internetliikenteen välittämisen helpottamiseksi, joka tarjoaa yhteenliitäntää ainoastaan autonomisille järjestelmille ja joka ei edellytä minkään yhteenliittämänsä kahden autonomisen järjestelmän väliseltä internetliikenteeltä kulkemista minkään kolmannen autonomisen järjestelmän kautta eikä muokkaa tällaista liikennettä tai muutoin puutu siihen; |
| --- | --- |

18)

’internetin yhdysliikennepisteellä’ verkkoinfrastruktuurin osaa, joka mahdollistaa useamman kuin kahden riippumattoman verkon (autonomisen järjestelmän) yhdistämisen pääasiassa internetliikenteen välittämisen helpottamiseksi, joka tarjoaa yhteenliitäntää ainoastaan autonomisille järjestelmille ja joka ei edellytä minkään yhteenliittämänsä kahden autonomisen järjestelmän väliseltä internetliikenteeltä kulkemista minkään kolmannen autonomisen järjestelmän kautta eikä muokkaa tällaista liikennettä tai muutoin puutu siihen;

| 19) | ’verkkotunnusjärjestelmällä’ tai ’DNS-järjestelmällä’ hierarkkista hajautettua nimipalvelujärjestelmää, joka mahdollistaa internetpalvelujen ja -resurssien yksilöimisen niin, että loppukäyttäjien laitteet voivat käyttää internetin reititys- ja yhteyspalveluja kyseisten palvelujen ja resurssien saavuttamiseen; |
| --- | --- |

19)

’verkkotunnusjärjestelmällä’ tai ’DNS-järjestelmällä’ hierarkkista hajautettua nimipalvelujärjestelmää, joka mahdollistaa internetpalvelujen ja -resurssien yksilöimisen niin, että loppukäyttäjien laitteet voivat käyttää internetin reititys- ja yhteyspalveluja kyseisten palvelujen ja resurssien saavuttamiseen;

| 20) | ’DNS-palveluntarjoajalla’ toimijaa, joka tarjoaa






  a) | yleisesti saatavilla olevia rekursiivisia verkkotunnusten selvityspalveluja internetin loppukäyttäjille; tai |
| --- | --- | --- |

20)

’DNS-palveluntarjoajalla’ toimijaa, joka tarjoaa

a)

yleisesti saatavilla olevia rekursiivisia verkkotunnusten selvityspalveluja internetin loppukäyttäjille; tai

| b) | auktoritatiivisia verkkotunnusten selvityspalveluja kolmansille osapuolille, lukuun ottamatta juurinimipalvelimia; |
| --- | --- |

b)

auktoritatiivisia verkkotunnusten selvityspalveluja kolmansille osapuolille, lukuun ottamatta juurinimipalvelimia;

| 21) | ’aluetunnusrekisterillä’ toimijaa, jolle on myönnetty oikeus hallinnoida tiettyä aluetunnusta ja joka kyseistä aluetunnusta hallinnoidessaan vastaa muun muassa verkkotunnusten rekisteröinnistä kyseisen aluetunnuksen alle sekä kyseisen aluetunnuksen teknisestä toiminnasta, myös siihen liittyvien nimipalvelinten toiminnasta, sen tietokantojen ylläpidosta ja aluetunnuksen vyöhyketiedostojen jakelusta nimipalvelimille, riippumatta siitä, suorittaako toimija kyseiset toiminnot itse vai ulkoistaako se ne, ja lukuun ottamatta tilanteita, joissa rekisteri käyttää aluetunnuksia vain omiin tarkoituksiinsa; |
| --- | --- |

21)

’aluetunnusrekisterillä’ toimijaa, jolle on myönnetty oikeus hallinnoida tiettyä aluetunnusta ja joka kyseistä aluetunnusta hallinnoidessaan vastaa muun muassa verkkotunnusten rekisteröinnistä kyseisen aluetunnuksen alle sekä kyseisen aluetunnuksen teknisestä toiminnasta, myös siihen liittyvien nimipalvelinten toiminnasta, sen tietokantojen ylläpidosta ja aluetunnuksen vyöhyketiedostojen jakelusta nimipalvelimille, riippumatta siitä, suorittaako toimija kyseiset toiminnot itse vai ulkoistaako se ne, ja lukuun ottamatta tilanteita, joissa rekisteri käyttää aluetunnuksia vain omiin tarkoituksiinsa;

| 22) | ’verkkotunnusten rekisteröintipalveluja tarjoavalla toimijalla’ verkkotunnusvälittäjää tai verkkotunnusvälittäjien puolesta toimivaa tahoa, kuten yksityisyys- tai välityspalvelujen tarjoajaa tai jälleenmyyjää; |
| --- | --- |

22)

’verkkotunnusten rekisteröintipalveluja tarjoavalla toimijalla’ verkkotunnusvälittäjää tai verkkotunnusvälittäjien puolesta toimivaa tahoa, kuten yksityisyys- tai välityspalvelujen tarjoajaa tai jälleenmyyjää;

| 23) | ’digitaalisella palvelulla’ Euroopan parlamentin ja neuvoston direktiivin (EU) 2015/1535 (30) 1 artiklan 1 kohdan b alakohdassa tarkoitettua palvelua; |
| --- | --- |

23)

’digitaalisella palvelulla’ Euroopan parlamentin ja neuvoston direktiivin (EU) 2015/1535 (30) 1 artiklan 1 kohdan b alakohdassa tarkoitettua palvelua;

30

| 24) | ’luottamuspalvelulla’ asetuksen (EU) N:o 910/2014 3 artiklan 16 alakohdassa määriteltyä luottamuspalvelua; |
| --- | --- |

24)

’luottamuspalvelulla’ asetuksen (EU) N:o 910/2014 3 artiklan 16 alakohdassa määriteltyä luottamuspalvelua;

| 25) | ’luottamuspalvelun tarjoajalla’ asetuksen (EU) N:o 910/2014 3 artiklan 19 alakohdassa määriteltyä luottamuspalvelu tarjoajaa; |
| --- | --- |

25)

’luottamuspalvelun tarjoajalla’ asetuksen (EU) N:o 910/2014 3 artiklan 19 alakohdassa määriteltyä luottamuspalvelu tarjoajaa;

| 26) | ’hyväksytyllä luottamuspalvelulla’ asetuksen (EU) N:o 910/2014 3 artiklan 17 alakohdassa määriteltyä hyväksyttyä luottamuspalvelua; |
| --- | --- |

26)

’hyväksytyllä luottamuspalvelulla’ asetuksen (EU) N:o 910/2014 3 artiklan 17 alakohdassa määriteltyä hyväksyttyä luottamuspalvelua;

| 27) | ’hyväksytyllä luottamuspalvelun tarjoajalla’ asetuksen (EU) N:o 910/2014 3 artiklan 20 alakohdassa määriteltyä hyväksyttyä luottamuspalvelun tarjoajaa; |
| --- | --- |

27)

’hyväksytyllä luottamuspalvelun tarjoajalla’ asetuksen (EU) N:o 910/2014 3 artiklan 20 alakohdassa määriteltyä hyväksyttyä luottamuspalvelun tarjoajaa;

| 28) | ’verkossa toimivalla markkinapaikalla’ Euroopan parlamentin ja neuvoston direktiivin 2005/29/EY (31) 2 artiklan n alakohdassa määriteltyä verkossa toimivaa markkinapaikkaa; |
| --- | --- |

28)

’verkossa toimivalla markkinapaikalla’ Euroopan parlamentin ja neuvoston direktiivin 2005/29/EY (31) 2 artiklan n alakohdassa määriteltyä verkossa toimivaa markkinapaikkaa;

31

| 29) | ’verkossa toimivalla hakukoneella’ Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/1150 (32) 2 artiklan 5 alakohdassa tarkoitettua verkossa toimivaa hakukonetta; |
| --- | --- |

29)

’verkossa toimivalla hakukoneella’ Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/1150 (32) 2 artiklan 5 alakohdassa tarkoitettua verkossa toimivaa hakukonetta;

32

| 30) | ’pilvipalvelulla’ digitaalista palvelua, joka tarjoaa laajaan etäkäyttöön skaalattavan ja joustavan joukon jaettavissa olevia ja tarveperusteisesti ohjattavia tietoteknisiä resursseja, myös sijainniltaan hajautettuja resursseja; |
| --- | --- |

30)

’pilvipalvelulla’ digitaalista palvelua, joka tarjoaa laajaan etäkäyttöön skaalattavan ja joustavan joukon jaettavissa olevia ja tarveperusteisesti ohjattavia tietoteknisiä resursseja, myös sijainniltaan hajautettuja resursseja;

| 31) | ’datakeskuspalvelulla’ palvelua, joka käsittää rakenteita tai rakenteiden ryhmiä, jotka on tarkoitettu datan tallennus-, käsittely- ja siirtopalveluja tarjoavien tietoteknisten ja verkkolaitteiden keskitettyyn ylläpitoon, yhteenliittämiseen ja ohjaukseen yhdessä kaikkien tarvittavien sähkönjakeluun ja toimintaolosuhteiden säätelyyn tarkoitettujen laitteiden ja infrastruktuurien kanssa; |
| --- | --- |

31)

’datakeskuspalvelulla’ palvelua, joka käsittää rakenteita tai rakenteiden ryhmiä, jotka on tarkoitettu datan tallennus-, käsittely- ja siirtopalveluja tarjoavien tietoteknisten ja verkkolaitteiden keskitettyyn ylläpitoon, yhteenliittämiseen ja ohjaukseen yhdessä kaikkien tarvittavien sähkönjakeluun ja toimintaolosuhteiden säätelyyn tarkoitettujen laitteiden ja infrastruktuurien kanssa;

| 32) | ’sisällönjakeluverkolla’ maantieteellisesti hajautettujen palvelimien verkkoa, jonka tarkoituksena on varmistaa digitaalisen sisällön ja digitaalisten palvelujen hyvä saatavuus, käytettävyys ja nopea jakelu internetin käyttäjille sisällön ja palvelujen tarjoajien puolesta; |
| --- | --- |

32)

’sisällönjakeluverkolla’ maantieteellisesti hajautettujen palvelimien verkkoa, jonka tarkoituksena on varmistaa digitaalisen sisällön ja digitaalisten palvelujen hyvä saatavuus, käytettävyys ja nopea jakelu internetin käyttäjille sisällön ja palvelujen tarjoajien puolesta;

| 33) | ’verkkoyhteisöalustalla’ alustaa, jonka avulla loppukäyttäjät voivat olla yhteydessä toisiinsa, jakaa sisältöä, hakea tietoa ja viestiä keskenään monenlaisilla päätelaitteilla, erityisesti pikaviestikeskustelujen, julkaisujen, videoiden ja suositusten muodossa; |
| --- | --- |

33)

’verkkoyhteisöalustalla’ alustaa, jonka avulla loppukäyttäjät voivat olla yhteydessä toisiinsa, jakaa sisältöä, hakea tietoa ja viestiä keskenään monenlaisilla päätelaitteilla, erityisesti pikaviestikeskustelujen, julkaisujen, videoiden ja suositusten muodossa;

| 34) | ’edustajalla’ unioniin sijoittautunutta luonnollista henkilöä tai oikeushenkilöä, joka on nimenomaisesti nimetty toimimaan unioniin sijoittautumattoman DNS-palveluntarjoajan, aluetunnusrekisterin, verkkotunnusten rekisteröintipalveluja tarjoavan toimijan, pilvipalveluntarjoajan, datakeskuspalvelun tarjoajan, sisällönjakeluverkon tarjoajan, hallintapalvelun tarjoajan, tietoturvapalveluntarjoajan tai verkossa toimivan markkinapaikan tarjoajan, verkossa toimivan hakukoneen tarjoajan tai verkkoyhteisöalustan tarjoajan puolesta ja johon toimivaltainen viranomainen tai CSIRT-yksikkö voi ottaa yhteyttä kyseisen toimijan sijasta, kun on kyse toimijan tämän direktiivin mukaisista velvoitteista; |
| --- | --- |

34)

’edustajalla’ unioniin sijoittautunutta luonnollista henkilöä tai oikeushenkilöä, joka on nimenomaisesti nimetty toimimaan unioniin sijoittautumattoman DNS-palveluntarjoajan, aluetunnusrekisterin, verkkotunnusten rekisteröintipalveluja tarjoavan toimijan, pilvipalveluntarjoajan, datakeskuspalvelun tarjoajan, sisällönjakeluverkon tarjoajan, hallintapalvelun tarjoajan, tietoturvapalveluntarjoajan tai verkossa toimivan markkinapaikan tarjoajan, verkossa toimivan hakukoneen tarjoajan tai verkkoyhteisöalustan tarjoajan puolesta ja johon toimivaltainen viranomainen tai CSIRT-yksikkö voi ottaa yhteyttä kyseisen toimijan sijasta, kun on kyse toimijan tämän direktiivin mukaisista velvoitteista;

| 35) | ’julkishallinnon toimijalla’ jäsenvaltiossa kansallisen lainsäädännön mukaisesti julkishallinnon toimijaksi tunnustettua toimijaa, lukuun ottamatta oikeuslaitosta, parlamentteja ja keskuspankkeja, joka täyttää seuraavat kriteerit:






  a) | se on perustettu tyydyttämään yleisen edun mukaisia tarpeita, eikä sillä ole teollista tai kaupallista luonnetta; |
| --- | --- | --- |

35)

’julkishallinnon toimijalla’ jäsenvaltiossa kansallisen lainsäädännön mukaisesti julkishallinnon toimijaksi tunnustettua toimijaa, lukuun ottamatta oikeuslaitosta, parlamentteja ja keskuspankkeja, joka täyttää seuraavat kriteerit:

a)

se on perustettu tyydyttämään yleisen edun mukaisia tarpeita, eikä sillä ole teollista tai kaupallista luonnetta;

| b) | se on oikeushenkilö tai sillä on lain nojalla oikeus toimia toisen sellaisen toimijan puolesta, joka on oikeushenkilö; |
| --- | --- |

b)

se on oikeushenkilö tai sillä on lain nojalla oikeus toimia toisen sellaisen toimijan puolesta, joka on oikeushenkilö;

| c) | sitä rahoittavat pääosin valtio, alueviranomaiset tai muut julkisoikeudelliset laitokset, sen johto on näiden viranomaisten tai laitosten valvonnan alainen taikka valtio, alueviranomaiset tai muut julkisoikeudelliset laitokset nimittävät yli puolet sen hallinto-, johto- tai valvontaelimen jäsenistä; |
| --- | --- |

c)

sitä rahoittavat pääosin valtio, alueviranomaiset tai muut julkisoikeudelliset laitokset, sen johto on näiden viranomaisten tai laitosten valvonnan alainen taikka valtio, alueviranomaiset tai muut julkisoikeudelliset laitokset nimittävät yli puolet sen hallinto-, johto- tai valvontaelimen jäsenistä;

| d) | sillä on valtuudet osoittaa luonnollisille henkilöille tai oikeushenkilöille hallinnollisia tai sääntelyyn liittyviä päätöksiä, jotka vaikuttavat näiden oikeuksiin henkilöiden, tavaroiden, palvelujen tai pääoman rajatylittävässä liikkuvuudessa; |
| --- | --- |

d)

sillä on valtuudet osoittaa luonnollisille henkilöille tai oikeushenkilöille hallinnollisia tai sääntelyyn liittyviä päätöksiä, jotka vaikuttavat näiden oikeuksiin henkilöiden, tavaroiden, palvelujen tai pääoman rajatylittävässä liikkuvuudessa;

| 36) | ’yleisellä sähköisellä viestintäverkolla’ direktiivin (EU) 2018/1972 2 artiklan 8 alakohdassa määriteltyä yleistä sähköistä viestintäverkkoa; |
| --- | --- |

36)

’yleisellä sähköisellä viestintäverkolla’ direktiivin (EU) 2018/1972 2 artiklan 8 alakohdassa määriteltyä yleistä sähköistä viestintäverkkoa;

| 37) | ’sähköisellä viestintäpalvelulla’ direktiivin (EU) 2018/1972 2 artiklan 4 alakohdassa määriteltyä sähköistä viestintäpalvelua; |
| --- | --- |

37)

’sähköisellä viestintäpalvelulla’ direktiivin (EU) 2018/1972 2 artiklan 4 alakohdassa määriteltyä sähköistä viestintäpalvelua;

| 38) | ’toimijalla’ luonnollista henkilöä tai sijoittautumispaikkansa kansallisen lainsäädännön perusteella muodostettua ja tunnustettua oikeushenkilöä, joka voi omissa nimissään käyttää oikeuksia ja jolle voidaan asettaa velvoitteita; |
| --- | --- |

38)

’toimijalla’ luonnollista henkilöä tai sijoittautumispaikkansa kansallisen lainsäädännön perusteella muodostettua ja tunnustettua oikeushenkilöä, joka voi omissa nimissään käyttää oikeuksia ja jolle voidaan asettaa velvoitteita;

| 39) | ’hallintapalvelun tarjoajalla’ toimijaa, joka tarjoaa TVT-tuotteiden, verkkojen, infrastruktuurin, sovellusten tai muiden verkko- ja tietojärjestelmien asentamiseen, hallintaan, käyttöön tai ylläpitoon liittyviä palveluja joko asiakkaan tiloissa tai etäyhteyden välityksellä toteutettavan tuen tai aktiivisen ylläpidon muodossa; |
| --- | --- |

39)

’hallintapalvelun tarjoajalla’ toimijaa, joka tarjoaa TVT-tuotteiden, verkkojen, infrastruktuurin, sovellusten tai muiden verkko- ja tietojärjestelmien asentamiseen, hallintaan, käyttöön tai ylläpitoon liittyviä palveluja joko asiakkaan tiloissa tai etäyhteyden välityksellä toteutettavan tuen tai aktiivisen ylläpidon muodossa;

| 40) | ’tietoturvapalveluntarjoajalla’ hallintapalvelun tarjoajaa, joka toteuttaa kyberturvallisuusriskien hallintatoimia tai antaa tukea niitä varten; |
| --- | --- |

40)

’tietoturvapalveluntarjoajalla’ hallintapalvelun tarjoajaa, joka toteuttaa kyberturvallisuusriskien hallintatoimia tai antaa tukea niitä varten;

| 41) | ’tutkimusorganisaatiolla’ toimijaa, jonka ensisijaisena tavoitteena on harjoittaa soveltavaa tutkimusta tai kokeellista kehitystyötä kyseisen tutkimuksen tulosten hyödyntämiseksi kaupallisiin tarkoituksiin mutta joka ei ole opetus- ja koulutusalan laitos. |
| --- | --- |

41)

’tutkimusorganisaatiolla’ toimijaa, jonka ensisijaisena tavoitteena on harjoittaa soveltavaa tutkimusta tai kokeellista kehitystyötä kyseisen tutkimuksen tulosten hyödyntämiseksi kaupallisiin tarkoituksiin mutta joka ei ole opetus- ja koulutusalan laitos.

II LUKU

KOORDINOIDUT KYBERTURVALLISUUSKEHYKSET

7 artikla

Kansallinen kyberturvallisuusstrategia

1.   Kunkin jäsenvaltion on hyväksyttävä kansallinen kyberturvallisuusstrategia, jossa määritetään strategiset tavoitteet, kyseisten tavoitteiden saavuttamiseksi tarvittavat resurssit sekä asianmukaiset politiikka- ja sääntelytoimenpiteet kyberturvallisuuden korkean tason saavuttamiseksi ja ylläpitämiseksi. Kansalliseen kyberturvallisuusstrategiaan on sisällyttävä:

| a) | jäsenvaltion kyberturvallisuusstrategian tavoitteet ja painopisteet, jotka kattavat erityisesti liitteissä I ja II tarkoitetut toimialat; |
| --- | --- |

a)

jäsenvaltion kyberturvallisuusstrategian tavoitteet ja painopisteet, jotka kattavat erityisesti liitteissä I ja II tarkoitetut toimialat;

| b) | hallintokehys tämän kohdan a alakohdassa tarkoitettujen tavoitteiden ja painopisteiden saavuttamiseksi, mukaan lukien 2 kohdassa tarkoitetut toimintaperiaatteet; |
| --- | --- |

b)

hallintokehys tämän kohdan a alakohdassa tarkoitettujen tavoitteiden ja painopisteiden saavuttamiseksi, mukaan lukien 2 kohdassa tarkoitetut toimintaperiaatteet;

| c) | hallintokehys, jossa selvennetään asiaankuuluvien kansallisen tason sidosryhmien tehtävät ja vastuut ja joka tukee tämän direktiivin mukaisten toimivaltaisten viranomaisten, keskitettyjen yhteyspisteiden ja CSIRT-yksiköiden välistä yhteistyötä ja koordinointia kansallisella tasolla sekä kyseisten elinten ja alakohtaisten unionin säädösten mukaisten toimivaltaisten viranomaisten välistä koordinointia ja yhteistyötä; |
| --- | --- |

c)

hallintokehys, jossa selvennetään asiaankuuluvien kansallisen tason sidosryhmien tehtävät ja vastuut ja joka tukee tämän direktiivin mukaisten toimivaltaisten viranomaisten, keskitettyjen yhteyspisteiden ja CSIRT-yksiköiden välistä yhteistyötä ja koordinointia kansallisella tasolla sekä kyseisten elinten ja alakohtaisten unionin säädösten mukaisten toimivaltaisten viranomaisten välistä koordinointia ja yhteistyötä;

| d) | menettely asiaankuuluvien toimintojen määrittämiseksi ja arvio riskeistä kyseisessä jäsenvaltiossa; |
| --- | --- |

d)

menettely asiaankuuluvien toimintojen määrittämiseksi ja arvio riskeistä kyseisessä jäsenvaltiossa;

| e) | toimenpiteet, joilla varmistetaan poikkeamiin varautuminen, kyky hallita niitä ja niistä palautuminen, mukaan lukien julkisen ja yksityisen sektorin yhteistyö; |
| --- | --- |

e)

toimenpiteet, joilla varmistetaan poikkeamiin varautuminen, kyky hallita niitä ja niistä palautuminen, mukaan lukien julkisen ja yksityisen sektorin yhteistyö;

| f) | luettelo kansallisen kyberturvallisuusstrategian täytäntöönpanoon osallistuvista eri viranomaisista ja sidosryhmistä; |
| --- | --- |

f)

luettelo kansallisen kyberturvallisuusstrategian täytäntöönpanoon osallistuvista eri viranomaisista ja sidosryhmistä;

| g) | toimintakehys tämän direktiivin mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten välisen koordinoinnin tehostamiseksi, jotta ne voivat tarvittaessa vaihtaa tietoja riskeistä, kyberuhkista ja poikkeamista ja muista kuin kyberturvallisuuteen liittyvistä riskeistä, uhkista ja poikkeamista sekä hoitaa valvontatehtävänsä; |
| --- | --- |

g)

toimintakehys tämän direktiivin mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten välisen koordinoinnin tehostamiseksi, jotta ne voivat tarvittaessa vaihtaa tietoja riskeistä, kyberuhkista ja poikkeamista ja muista kuin kyberturvallisuuteen liittyvistä riskeistä, uhkista ja poikkeamista sekä hoitaa valvontatehtävänsä;

| h) | suunnitelma ja tarvittavat toimenpiteet kansalaisten yleisen kyberturvallisuustietoisuuden parantamiseksi. |
| --- | --- |

h)

suunnitelma ja tarvittavat toimenpiteet kansalaisten yleisen kyberturvallisuustietoisuuden parantamiseksi.

2.   Jäsenvaltioiden on erityisesti vahvistettava kansallisessa kyberturvallisuusstrategiassaan toimintaperiaatteet, joilla

| a) | huolehditaan kyberturvallisuudesta sellaisten TVT-tuotteiden ja TVT-palvelujen toimitusketjussa, joita toimijat käyttävät palvelujensa tarjoamiseen; |
| --- | --- |

a)

huolehditaan kyberturvallisuudesta sellaisten TVT-tuotteiden ja TVT-palvelujen toimitusketjussa, joita toimijat käyttävät palvelujensa tarjoamiseen;

| b) | otetaan käyttöön ja määritetään julkisissa hankinnoissa TVT-tuotteita ja TVT-palveluja koskevat kyberturvallisuusvaatimukset, mukaan lukien kyberturvallisuussertifiointiin, salaukseen ja avoimen lähdekoodin kyberturvallisuustuotteiden käyttöön liittyvät vaatimukset; |
| --- | --- |

b)

otetaan käyttöön ja määritetään julkisissa hankinnoissa TVT-tuotteita ja TVT-palveluja koskevat kyberturvallisuusvaatimukset, mukaan lukien kyberturvallisuussertifiointiin, salaukseen ja avoimen lähdekoodin kyberturvallisuustuotteiden käyttöön liittyvät vaatimukset;

| c) | hallitaan haavoittuvuuksia, myös edistämällä ja helpottamalla 12 artiklan 1 kohdan mukaista koordinoitua haavoittuvuuksien julkistamista; |
| --- | --- |

c)

hallitaan haavoittuvuuksia, myös edistämällä ja helpottamalla 12 artiklan 1 kohdan mukaista koordinoitua haavoittuvuuksien julkistamista;

| d) | ylläpidetään avoimen internetin yleisen ydinverkon yleistä saatavuutta, eheyttä ja luottamuksellisuutta, tarvittaessa myös merenalaisten tietoliikennekaapelien kyberturvallisuutta; |
| --- | --- |

d)

ylläpidetään avoimen internetin yleisen ydinverkon yleistä saatavuutta, eheyttä ja luottamuksellisuutta, tarvittaessa myös merenalaisten tietoliikennekaapelien kyberturvallisuutta;

| e) | edistetään sellaisten asiaankuuluvien kehittyneiden teknologioiden kehittämistä ja integrointia, joilla pyritään panemaan täytäntöön viimeisintä kehitystä edustavia kyberturvallisuusriskien hallintatoimenpiteitä; |
| --- | --- |

e)

edistetään sellaisten asiaankuuluvien kehittyneiden teknologioiden kehittämistä ja integrointia, joilla pyritään panemaan täytäntöön viimeisintä kehitystä edustavia kyberturvallisuusriskien hallintatoimenpiteitä;

| f) | edistetään ja kehitetään kyberturvallisuutta koskevaa valistusta ja koulutusta, kyberturvallisuustaitoja, kyberturvallisuutta koskevia tietoisuuden lisäämistä ja tutkimus- ja kehitysaloitteita sekä kansalaisille, sidosryhmille ja toimijoille suunnattua ohjeistusta hyvistä kyberhygieniakäytännöistä ja -hallintakeinoista; |
| --- | --- |

f)

edistetään ja kehitetään kyberturvallisuutta koskevaa valistusta ja koulutusta, kyberturvallisuustaitoja, kyberturvallisuutta koskevia tietoisuuden lisäämistä ja tutkimus- ja kehitysaloitteita sekä kansalaisille, sidosryhmille ja toimijoille suunnattua ohjeistusta hyvistä kyberhygieniakäytännöistä ja -hallintakeinoista;

| g) | tuetaan akateemisia ja tutkimuslaitoksia niiden kehittäessä ja parantaessa kyberturvallisuustyökaluja ja suojattua verkkoinfrastruktuuria ja edistäessä niiden käyttöönottoa; |
| --- | --- |

g)

tuetaan akateemisia ja tutkimuslaitoksia niiden kehittäessä ja parantaessa kyberturvallisuustyökaluja ja suojattua verkkoinfrastruktuuria ja edistäessä niiden käyttöönottoa;

| h) | tuetaan asiaankuuluvien menettelyjen ja asianmukaisten tiedonjakovälineiden avulla vapaaehtoista kyberturvallisuustietojen jakamista toimijoiden välillä unionin oikeuden mukaisesti; |
| --- | --- |

h)

tuetaan asiaankuuluvien menettelyjen ja asianmukaisten tiedonjakovälineiden avulla vapaaehtoista kyberturvallisuustietojen jakamista toimijoiden välillä unionin oikeuden mukaisesti;

| i) | vahvistetaan pienten ja keskisuurten yritysten, erityisesti tämän direktiivin soveltamisalaan kuulumattomien yritysten, kyberresilienssiä ja kyberhygienian perustasoa tarjoamalla niiden erityistarpeisiin sovitettua helposti saatavilla olevaa ohjausta ja tukea; |
| --- | --- |

i)

vahvistetaan pienten ja keskisuurten yritysten, erityisesti tämän direktiivin soveltamisalaan kuulumattomien yritysten, kyberresilienssiä ja kyberhygienian perustasoa tarjoamalla niiden erityistarpeisiin sovitettua helposti saatavilla olevaa ohjausta ja tukea;

| j) | edistetään aktiivista kybersuojausta. |
| --- | --- |

j)

edistetään aktiivista kybersuojausta.

3.   Jäsenvaltioiden on annettava kansalliset kyberturvallisuusstrategiansa komissiolle tiedoksi kolmen kuukauden kuluessa niiden hyväksymisestä. Jäsenvaltiot voivat jättää pois kansalliseen turvallisuuteensa liittyviä tietoja tällaisista tiedonannoista.

4.   Jäsenvaltioiden on arvioitava kansallista kyberturvallisuusstrategiaansa säännöllisesti ja vähintään viiden vuoden välein keskeisten suorituskykyindikaattorien perusteella ja tarvittaessa ajantasaistettava strategiansa. ENISA avustaa jäsenvaltioita niiden pyynnöstä kansallisen kyberturvallisuusstrategian ja sen arvioinnissa käytettävien keskeisten suorituskykyindikaattorien kehittämisessä tai ajantasaistamisessa, jotta strategia vastaisi tässä direktiivissä säädettyjä vaatimuksia ja velvoitteita.

8 artikla

Toimivaltaiset viranomaiset ja keskitetyt yhteyspisteet

1.   Kunkin jäsenvaltion on nimettävä tai perustettava yksi tai useampi toimivaltainen viranomainen, joka vastaa kyberturvallisuudesta ja VII luvussa tarkoitetuista valvontatehtävistä, jäljempänä ’toimivaltaiset viranomaiset’.

2.   Edellä 1 kohdassa tarkoitettujen toimivaltaisten viranomaisten on valvottava tämän direktiivin täytäntöönpanoa kansallisella tasolla.

3.   Kunkin jäsenvaltion on nimettävä tai perustettava keskitetty yhteyspiste. Jos jäsenvaltio nimeää tai perustaa 1 kohdan nojalla vain yhden toimivaltaisen viranomaisen, kyseinen toimivaltainen viranomainen toimii myös kyseisen jäsenvaltion keskitettynä yhteyspisteenä.

4.   Kunkin keskitetyn yhteyspisteen on huolehdittava yhteydenpidosta ja varmistettava jäsenvaltionsa viranomaisten rajatylittävä yhteistyö muiden jäsenvaltioiden asiaankuuluvien viranomaisten ja tarvittaessa komission ja ENISAn kanssa sekä varmistettava toimialarajat ylittävä yhteistyö jäsenvaltionsa muiden toimivaltaisten viranomaisten kanssa.

5.   Jäsenvaltioiden on varmistettava, että niiden toimivaltaisilla viranomaisilla ja keskitetyllä yhteyspisteellä on riittävät resurssit suorittaa niille osoitetut tehtävät tuloksekkaasti ja tehokkaasti ja siten saavuttaa tämän direktiivin tavoitteet.

6.   Kunkin jäsenvaltion on ilmoitettava komissiolle ilman aiheetonta viivytystä 1 kohdassa tarkoitetun toimivaltaisen viranomaisen ja 3 kohdassa tarkoitetun keskitetyn yhteyspisteen nimi, kyseisten viranomaisten tehtävät ja näiden tietojen mahdolliset myöhemmät muutokset. Kunkin jäsenvaltion on julkistettava toimivaltaisen viranomaisensa nimi. Komissio asettaa julkisesti saataville luettelon keskitetyistä yhteyspisteistä.

9 artikla

Kansalliset kyberkriisinhallintakehykset

1.   Kunkin jäsenvaltion on nimettävä tai perustettava yksi tai useampi toimivaltainen viranomainen, joka vastaa laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallinnasta, jäljempänä ’kyberkriisinhallintaviranomaiset’. Jäsenvaltioiden on varmistettava, että kyseisillä viranomaisilla on riittävät resurssit suorittaa niille osoitetut tehtävät tuloksekkaasti ja tehokkaasti. Jäsenvaltioiden on varmistettava johdonmukaisuus käytössä olevien yleisten kansallisten kriisinhallintakehysten kanssa.

2.   Jos jäsenvaltio nimeää tai perustaa 1 kohdan nojalla useamman kuin yhden kyberkriisinhallintaviranomaisen, sen on selkeästi ilmoitettava, mikä näistä viranomaisista toimii koordinaattorina laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallinnassa.

3.   Kunkin jäsenvaltion on yksilöitävä valmiudet, voimavarat ja menettelyt, joita voidaan käyttää kriisitilanteissa tämän direktiivin soveltamiseksi.

4.   Kunkin jäsenvaltion on laadittava kansallinen laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallintasuunnitelma, jossa vahvistetaan laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallinnan tavoitteet ja järjestelyt. Kyseisessä suunnitelmassa on vahvistettava erityisesti seuraavat seikat:

| a) | kansallisten varautumiskeinojen ja -toimien tavoitteet; |
| --- | --- |

a)

kansallisten varautumiskeinojen ja -toimien tavoitteet;

| b) | kyberkriisinhallintaviranomaisten tehtävät ja vastuut; |
| --- | --- |

b)

kyberkriisinhallintaviranomaisten tehtävät ja vastuut;

| c) | kyberkriisien hallintamenettelyt, mukaan lukien niiden sisällyttäminen yleiseen kansalliseen kriisinhallintakehykseen, ja tiedonvaihtokanavat; |
| --- | --- |

c)

kyberkriisien hallintamenettelyt, mukaan lukien niiden sisällyttäminen yleiseen kansalliseen kriisinhallintakehykseen, ja tiedonvaihtokanavat;

| d) | kansalliset varautumiskeinot, mukaan lukien harjoitukset ja koulutustoimenpiteet; |
| --- | --- |

d)

kansalliset varautumiskeinot, mukaan lukien harjoitukset ja koulutustoimenpiteet;

| e) | asiaankuuluvat julkiset ja yksityiset sidosryhmät ja asiaan liittyvä infrastruktuuri; |
| --- | --- |

e)

asiaankuuluvat julkiset ja yksityiset sidosryhmät ja asiaan liittyvä infrastruktuuri;

| f) | asiaankuuluvien kansallisten viranomaisten ja elinten väliset kansalliset menettelyt ja järjestelyt sen varmistamiseksi, että jäsenvaltio osallistuu tuloksekkaasti laajamittaisten kyberturvallisuuspoikkeamien ja kriisien koordinoituun hallintaan unionin tasolla ja tukee sitä. |
| --- | --- |

f)

asiaankuuluvien kansallisten viranomaisten ja elinten väliset kansalliset menettelyt ja järjestelyt sen varmistamiseksi, että jäsenvaltio osallistuu tuloksekkaasti laajamittaisten kyberturvallisuuspoikkeamien ja kriisien koordinoituun hallintaan unionin tasolla ja tukee sitä.

5.   Kunkin jäsenvaltion on ilmoitettava komissiolle kolmen kuukauden kuluessa 1 kohdassa tarkoitetun kyberkriisinhallintaviranomaisen nimeämisestä tai perustamisesta viranomaisensa nimi ja sen mahdolliset myöhemmät muutokset. Jäsenvaltioiden on toimitettava komissiolle ja Euroopan kyberkriisien yhteysorganisaatioiden verkostolle (EU-CyCLONe) 4 kohdan vaatimuksiin liittyvät asiaankuuluvat tiedot kansallisista laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallintasuunnitelmistaan kolmen kuukauden kuluessa kyseisten suunnitelmien hyväksymisestä. Jäsenvaltiot voivat tässä yhteydessä jättää pois tietoja, jos ja siinä määrin kuin se on kansallisen turvallisuuden kannalta välttämätöntä.

10 artikla

Tietoturvaloukkauksiin reagoivat ja niitä tutkivat yksiköt (CSIRT-yksiköt)

1.   Kunkin jäsenvaltion on nimettävä tai perustettava yksi tai useampi CSIRT-yksikkö. CSIRT-yksikkö voidaan nimetä tai perustaa toimivaltaisen viranomaisen yhteyteen. CSIRT-yksikön on täytettävä 11 artiklan 1 kohdassa säädetyt vaatimukset, katettava ainakin liitteissä I ja II tarkoitetut toimialat, toimialan osat ja toimijatyypit ja vastattava poikkeamien käsittelystä tarkasti määrättyä prosessia noudattaen.

2.   Jäsenvaltioiden on varmistettava, että kullakin CSIRT-yksiköllä on riittävät resurssit suorittaa 11 artiklan 3 kohdassa säädetyt tehtävänsä tuloksekkaasti.

3.   Jäsenvaltioiden on varmistettava, että kullakin CSIRT-yksiköllä on käytössään asianmukainen, suojattu ja häiriönsietokykyinen viestintä- ja tietoinfrastruktuuri tietojen vaihtamiseen keskeisten ja tärkeiden toimijoiden ja muiden asiaankuuluvien sidosryhmien kanssa. Tätä varten jäsenvaltioiden on varmistettava, että kukin CSIRT-yksikkö edistää suojattujen tiedonjakovälineiden käyttöönottoa.

4.   CSIRT-yksiköiden on tehtävä yhteistyötä ja tarvittaessa vaihdettava asiaankuuluvia tietoja 29 artiklan mukaisesti keskeisten ja tärkeiden toimijoiden alakohtaisten tai monialaisten yhteisöjen kanssa.

5.   CSIRT-yksiköiden on osallistuttava 19 artiklan mukaisesti järjestettäviin vertaisarviointeihin.

6.   Jäsenvaltioiden on varmistettava, että niiden CSIRT-yksiköt tekevät tuloksekasta, tehokasta ja suojattua yhteistyötä CSIRT-verkostossa.

7.   CSIRT-yksiköt voivat luoda yhteistyösuhteita kolmansien maiden tietoturvaloukkauksiin reagoiviin ja niitä tutkiviin kansallisiin yksiköihin. Jäsenvaltioiden on tällaisia yhteistyösuhteita varten helpotettava tuloksekasta, tehokasta ja suojattua tietojenvaihtoa kyseisten kolmansien maiden tietoturvaloukkauksiin reagoivien ja niitä tutkivien kansallisten yksiköiden kanssa käyttäen asiaankuuluvia tiedonjakoprotokollia, mukaan lukien Traffic Light Protocol -käsittelyluokitus. CSIRT-yksiköt voivat vaihtaa asiaankuuluvia tietoja kolmansien maiden tietoturvaloukkauksiin reagoivien ja niitä tutkivien kansallisten yksiköiden kanssa, myös henkilötietoja unionin tietosuojalainsäädännön mukaisesti.

8.   CSIRT-yksiköt voivat tehdä yhteistyötä kolmansien maiden tietoturvaloukkauksiin reagoivien ja niitä tutkivien kansallisten yksiköiden tai vastaavien kolmansien maiden elinten kanssa erityisesti avustaakseen niitä kyberturvallisuusasioissa.

9.   Kunkin jäsenvaltion on ilmoitettava komissiolle ilman aiheetonta viivytystä tämän artiklan 1 kohdassa tarkoitetun CSIRT-yksikön ja 12 artiklan 1 kohdan nojalla koordinaattoriksi nimetyn CSIRT-yksikön nimi, kunkin yksikön keskeisiin ja tärkeisiin toimijoihin liittyvät tehtävät ja näiden tietojen mahdolliset myöhemmät muutokset.

10.   Jäsenvaltiot voivat pyytää ENISAa avustamaan CSIRT-yksiköidensä toiminnan kehittämisessä.

11 artikla

CSIRT-yksiköiden vaatimukset, tekniset valmiudet ja tehtävät

1.   CSIRT-yksiköiden on täytettävä seuraavat vaatimukset:

| a) | CSIRT-yksiköiden on varmistettava viestintäkanaviensa kattava saatavuus välttäen viestinnän täysin katkaisevia yksittäisiä vikaantumispisteitä ja ylläpidettävä useita viestintäkeinoja, joilla muut voivat ottaa niihin ja ne voivat ottaa muihin yhteyttä milloin tahansa. CSIRT-yksiköiden on määritettävä selkeästi viestintäkanavat ja tiedotettava niistä kohderyhmilleen ja yhteistyökumppaneilleen; |
| --- | --- |

a)

CSIRT-yksiköiden on varmistettava viestintäkanaviensa kattava saatavuus välttäen viestinnän täysin katkaisevia yksittäisiä vikaantumispisteitä ja ylläpidettävä useita viestintäkeinoja, joilla muut voivat ottaa niihin ja ne voivat ottaa muihin yhteyttä milloin tahansa. CSIRT-yksiköiden on määritettävä selkeästi viestintäkanavat ja tiedotettava niistä kohderyhmilleen ja yhteistyökumppaneilleen;

| b) | CSIRT-yksiköiden toimitilat ja niiden toimia tukevat tietojärjestelmät on sijoitettava suojattuihin paikkoihin; |
| --- | --- |

b)

CSIRT-yksiköiden toimitilat ja niiden toimia tukevat tietojärjestelmät on sijoitettava suojattuihin paikkoihin;

| c) | CSIRT-yksiköillä on oltava tarkoituksenmukainen järjestelmä pyyntöjen hallintaa ja reititystä varten, erityisesti tapausten tuloksekkaan ja tehokkaan edelleenohjauksen helpottamiseksi; |
| --- | --- |

c)

CSIRT-yksiköillä on oltava tarkoituksenmukainen järjestelmä pyyntöjen hallintaa ja reititystä varten, erityisesti tapausten tuloksekkaan ja tehokkaan edelleenohjauksen helpottamiseksi;

| d) | CSIRT-yksiköiden on varmistettava toimintojensa luottamuksellisuus ja luotettavuus; |
| --- | --- |

d)

CSIRT-yksiköiden on varmistettava toimintojensa luottamuksellisuus ja luotettavuus;

| e) | CSIRT-yksiköillä on oltava riittävä henkilöstö palvelujensa jatkuvan saatavuuden varmistamiseksi, ja niiden on varmistettava henkilöstönsä asianmukainen koulutus; |
| --- | --- |

e)

CSIRT-yksiköillä on oltava riittävä henkilöstö palvelujensa jatkuvan saatavuuden varmistamiseksi, ja niiden on varmistettava henkilöstönsä asianmukainen koulutus;

| f) | CSIRT-yksiköillä on oltava varajärjestelmät ja -työtilat palvelujensa jatkuvuuden varmistamiseksi. |
| --- | --- |

f)

CSIRT-yksiköillä on oltava varajärjestelmät ja -työtilat palvelujensa jatkuvuuden varmistamiseksi.

CSIRT-yksiköt voivat osallistua kansainvälisiin yhteistyöverkostoihin.

2.   Jäsenvaltioiden on varmistettava, että niiden CSIRT-yksiköillä on yhdessä tarvittavat tekniset valmiudet suorittaa 3 kohdassa tarkoitetut tehtävät. Jäsenvaltioiden on varmistettava, että niiden CSIRT-yksiköille osoitetaan riittävät resurssit, jotta niillä olisi riittävästi henkilöstöä teknisten valmiuksiensa kehittämisen mahdollistamiseksi.

3.   CSIRT-yksiköiden tehtävänä on

| a) | seurata ja analysoida kyberuhkia, haavoittuvuuksia ja poikkeamia kansallisella tasolla ja avustaa pyynnöstä asianomaisia keskeisiä ja tärkeitä toimijoita näiden verkko- ja tietojärjestelmien reaaliaikaisessa tai lähes reaaliaikaisessa seurannassa; |
| --- | --- |

a)

seurata ja analysoida kyberuhkia, haavoittuvuuksia ja poikkeamia kansallisella tasolla ja avustaa pyynnöstä asianomaisia keskeisiä ja tärkeitä toimijoita näiden verkko- ja tietojärjestelmien reaaliaikaisessa tai lähes reaaliaikaisessa seurannassa;

| b) | antaa kyberuhkia, haavoittuvuuksia ja poikkeamia koskevia ennakkovaroituksia, hälytyksiä, ilmoituksia ja tietoja keskeisille ja tärkeille toimijoille sekä toimivaltaisille viranomaisille ja muille asianomaisille sidosryhmille, mahdollisuuksien mukaan lähes reaaliaikaisesti; |
| --- | --- |

b)

antaa kyberuhkia, haavoittuvuuksia ja poikkeamia koskevia ennakkovaroituksia, hälytyksiä, ilmoituksia ja tietoja keskeisille ja tärkeille toimijoille sekä toimivaltaisille viranomaisille ja muille asianomaisille sidosryhmille, mahdollisuuksien mukaan lähes reaaliaikaisesti;

| c) | reagoida poikkeamiin ja avustaa tapauksen mukaan asianomaisia keskeisiä ja tärkeitä toimijoita; |
| --- | --- |

c)

reagoida poikkeamiin ja avustaa tapauksen mukaan asianomaisia keskeisiä ja tärkeitä toimijoita;

| d) | kerätä ja analysoida forensisia tietoja ja laatia dynaamisia riski- ja poikkeama-analyysejä ja ylläpitää kyberturvallisuuden tilannekuvaa; |
| --- | --- |

d)

kerätä ja analysoida forensisia tietoja ja laatia dynaamisia riski- ja poikkeama-analyysejä ja ylläpitää kyberturvallisuuden tilannekuvaa;

| e) | suorittaa keskeisen tai tärkeän toimijan pyynnöstä asianomaisen toimijan verkko- ja tietojärjestelmien ennakoiva skannaus sellaisten haavoittuvuuksien havaitsemiseksi, joilla voi olla merkittävä vaikutus; |
| --- | --- |

e)

suorittaa keskeisen tai tärkeän toimijan pyynnöstä asianomaisen toimijan verkko- ja tietojärjestelmien ennakoiva skannaus sellaisten haavoittuvuuksien havaitsemiseksi, joilla voi olla merkittävä vaikutus;

| f) | osallistua CSIRT-verkostoon ja antaa valmiuksiensa ja osaamistasonsa mukaan keskinäistä apua muille CSIRT-verkoston jäsenille näiden pyynnöstä; |
| --- | --- |

f)

osallistua CSIRT-verkostoon ja antaa valmiuksiensa ja osaamistasonsa mukaan keskinäistä apua muille CSIRT-verkoston jäsenille näiden pyynnöstä;

| g) | toimia tapauksen mukaan koordinaattorina 12 artiklan 1 kohdan mukaista koordinoitua haavoittuvuuksien julkistamisprosessia varten; |
| --- | --- |

g)

toimia tapauksen mukaan koordinaattorina 12 artiklan 1 kohdan mukaista koordinoitua haavoittuvuuksien julkistamisprosessia varten;

| h) | edistää suojattujen tiedonjakovälineiden käyttöönottoa 10 artiklan 3 kohdan mukaisesti. |
| --- | --- |

h)

edistää suojattujen tiedonjakovälineiden käyttöönottoa 10 artiklan 3 kohdan mukaisesti.

CSIRT-yksiköt voivat suorittaa keskeisten ja tärkeiden toimijoiden yleisesti saatavilla olevien verkko- ja tietojärjestelmien ennakoivaa, ei-intrusiivista skannausta. Tällaisen skannauksen tarkoituksena on havaita haavoittuvat tai epäturvallisesti konfiguroidut verkko- ja tietojärjestelmät ja ilmoittaa niistä asianomaisille toimijoille. Skannaus ei saa haitata asianomaisten toimijoiden palvelujen toimintaa.

Suorittaessaan ensimmäisessä alakohdassa tarkoitettuja tehtäviä CSIRT-yksiköt voivat asettaa etusijalle tiettyjä tehtäviä soveltaen riskiperusteista lähestymistapaa.

4.   CSIRT-yksiköiden on luotava yhteistyösuhteet asiaankuuluviin yksityisen sektorin sidosryhmiin, jotta tämän direktiivin tavoitteet voidaan saavuttaa.

5.   CSIRT-yksiköiden on 4 kohdassa tarkoitetun yhteistyön helpottamiseksi edistettävä yhteisten tai standardoitujen käytäntöjen, luokitusjärjestelmien ja taksonomioiden hyväksymistä ja käyttöä seuraavien osalta:

| a) | poikkeamien käsittelymenettelyt; |
| --- | --- |

a)

poikkeamien käsittelymenettelyt;

| b) | kriisinhallinta; ja |
| --- | --- |

b)

kriisinhallinta; ja

| c) | 12 artiklan 1 kohdan mukainen koordinoitu haavoittuvuuksien julkistaminen. |
| --- | --- |

c)

12 artiklan 1 kohdan mukainen koordinoitu haavoittuvuuksien julkistaminen.

12 artikla

Koordinoitu haavoittuvuuden julkistaminen ja Euroopan haavoittuvuustietokanta

1.   Kunkin jäsenvaltion on nimettävä yksi CSIRT-yksiköistään koordinaattoriksi koordinoitua haavoittuvuuksien julkistamista varten. Koordinaattoriksi nimetty CSIRT-yksikkö toimii luotettuna välittäjänä ja edesauttaa tarvittaessa vuorovaikutusta haavoittuvuudesta ilmoittavan luonnollisen henkilön tai oikeushenkilön ja mahdollisesti haavoittuvien TVT-tuotteiden tai TVT-palvelujen valmistajan tai tarjoajan välillä kumman tahansa osapuolen pyynnöstä. Koordinaattoriksi nimetyn CSIRT-yksikön tehtäviin kuuluvat

| a) | asianomaisten toimijoiden määrittäminen ja yhteyden ottaminen niihin; |
| --- | --- |

a)

asianomaisten toimijoiden määrittäminen ja yhteyden ottaminen niihin;

| b) | haavoittuvuudesta ilmoittavien luonnollisten henkilöiden tai oikeushenkilöiden avustaminen; ja |
| --- | --- |

b)

haavoittuvuudesta ilmoittavien luonnollisten henkilöiden tai oikeushenkilöiden avustaminen; ja

| c) | haavoittuvuuden julkistamisen aikataulusta neuvotteleminen ja useisiin toimijoihin vaikuttavien haavoittuvuuksien hallinta. |
| --- | --- |

c)

haavoittuvuuden julkistamisen aikataulusta neuvotteleminen ja useisiin toimijoihin vaikuttavien haavoittuvuuksien hallinta.

Jäsenvaltioiden on varmistettava, että luonnolliset henkilöt tai oikeushenkilöt, jotka sitä pyytävät, voivat ilmoittaa haavoittuvuudesta koordinaattoriksi nimetylle CSIRT-yksikölle nimettömästi. Koordinaattoriksi nimetyn CSIRT-yksikön on varmistettava, että ilmoitetun haavoittuvuuden johdosta toteutetaan huolelliset jatkotoimet, ja taattava haavoittuvuudesta ilmoittavan luonnollisen henkilön tai oikeushenkilön nimettömyys. Jos ilmoitetulla haavoittuvuudella voi olla merkittävä vaikutus useamman kuin yhden jäsenvaltion toimijoihin, kunkin asianomaisen jäsenvaltion koordinaattoriksi nimetyn CSIRT-yksikön on tarvittaessa tehtävä yhteistyötä muiden koordinaattoreiksi nimettyjen CSIRT-yksiköiden kanssa CSIRT-verkostossa.

2.   ENISA perustaa yhteistyöryhmää kuultuaan Euroopan haavoittuvuustietokannan ja ylläpitää sitä. Tätä varten ENISA luo asianmukaiset tietojärjestelmät, toimintaperiaatteet ja menettelyt ja pitää niitä yllä sekä hyväksyy tarvittavat tekniset ja organisatoriset toimenpiteet Euroopan haavoittuvuustietokannan turvallisuuden ja eheyden varmistamiseksi, etenkin siksi, että toimijat riippumatta siitä, kuuluvatko ne tämän direktiivin soveltamisalaan, ja niiden verkko- ja tietojärjestelmien toimittajat voisivat julkistaa ja kirjata vapaaehtoisesti yleisessä tiedossa olevia TVT-tuotteiden tai TVT-palvelujen haavoittuvuuksia. Kaikille sidosryhmille on annettava pääsy Euroopan haavoittuvuustietokannan sisältämiin haavoittuvuuksia koskeviin tietoihin. Kyseisen tietokannan on sisällettävä

| a) | tiedot, jotka sisältävät kuvauksen haavoittuvuudesta; |
| --- | --- |

a)

tiedot, jotka sisältävät kuvauksen haavoittuvuudesta;

| b) | TVT-tuotteet tai TVT-palvelut, joihin haavoittuvuus vaikuttaa, sekä haavoittuvuuden vakavuus niiden olosuhteiden perusteella, joissa sitä voidaan hyödyntää; |
| --- | --- |

b)

TVT-tuotteet tai TVT-palvelut, joihin haavoittuvuus vaikuttaa, sekä haavoittuvuuden vakavuus niiden olosuhteiden perusteella, joissa sitä voidaan hyödyntää;

| c) | asiaan liittyvien ohjelmistokorjausten saatavuus ja, jos niitä ei ole saatavilla, toimivaltaisten viranomaisten tai CSIRT-yksiköiden antama ohjeistus haavoittuvien TVT-tuotteiden ja TVT-palvelujen käyttäjille siitä, miten julkistetusta haavoittuvuudesta johtuvia riskejä voidaan lieventää. |
| --- | --- |

c)

asiaan liittyvien ohjelmistokorjausten saatavuus ja, jos niitä ei ole saatavilla, toimivaltaisten viranomaisten tai CSIRT-yksiköiden antama ohjeistus haavoittuvien TVT-tuotteiden ja TVT-palvelujen käyttäjille siitä, miten julkistetusta haavoittuvuudesta johtuvia riskejä voidaan lieventää.

13 artikla

Kansallisen tason yhteistyö

1.   Jos saman jäsenvaltion toimivaltaiset viranomaiset, keskitetty yhteyspiste ja CSIRT-yksiköt ovat toisistaan erillisiä, niiden on tehtävä yhteistyötä keskenään tässä direktiivissä säädettyjen velvoitteiden täyttämiseksi.

2.   Jäsenvaltioiden on varmistettava, että niiden CSIRT-yksiköt tai tapauksen mukaan niiden toimivaltaiset viranomaiset saavat 23 artiklan nojalla tehdyt ilmoitukset merkittävistä poikkeamista ja 30 artiklan nojalla tehdyt ilmoitukset poikkeamista, kyberuhkista ja läheltä piti -tilanteista.

3.   Jäsenvaltioiden on varmistettava, että niiden CSIRT-yksiköt tai tapauksen mukaan niiden toimivaltaiset viranomaiset tiedottavat niiden keskitetylle yhteyspisteelle tämän direktiivin nojalla tehdyistä poikkeamia, kyberuhkia ja läheltä piti -tilanteita koskevista ilmoituksista.

4.   Jotta voidaan varmistaa toimivaltaisten viranomaisten, keskitettyjen yhteyspisteiden ja CSIRT-yksiköiden tehtävien ja velvoitteiden tehokas suorittaminen, jäsenvaltioiden on mahdollisuuksien mukaan varmistettava, että kyseiset elimet tekevät asianmukaista yhteistyötä kyseisen jäsenvaltion lainvalvontaviranomaisten, tietosuojaviranomaisten, asetusten (EY) N:o 300/2008 ja (EU) 2018/1139 mukaisten kansallisten viranomaisten, asetuksen (EU) N:o 910/2014 mukaisten valvontaelinten, asetuksen (EU) 2022/2554 mukaisten toimivaltaisten viranomaisten, direktiivin (EU) 2018/1972 mukaisten kansallisten sääntelyviranomaisten, direktiivin (EU) 2022/2557 mukaisten toimivaltaisten viranomaisten sekä muiden alakohtaisten unionin säädösten mukaisten toimivaltaisten viranomaisten kanssa.

5.   Jäsenvaltioiden on varmistettava, että niiden tämän direktiivin mukaiset toimivaltaiset viranomaiset ja niiden direktiivin (EU) 2022/2557 mukaiset toimivaltaiset viranomaiset tekevät yhteistyötä ja vaihtavat säännöllisesti tietoja kriittisten toimijoiden määrittämisestä sekä riskeistä, kyberuhkista ja poikkeamista ja muista kuin kyberturvallisuuteen liittyvistä riskeistä, uhkista ja poikkeamista, jotka vaikuttavat direktiivin (EU) 2022/2557 nojalla kriittisiksi toimijoiksi määritettyihin keskeisiin toimijoihin, sekä tällaisten riskien, uhkien ja poikkeamien hallitsemiseksi toteutetuista toimenpiteistä. Jäsenvaltioiden on myös varmistettava, että niiden tämän direktiivin mukaiset toimivaltaiset viranomaiset ja niiden asetuksen (EU) N:o 910/2014, asetuksen (EU) 2022/2554 ja direktiivin (EU) 2018/1972 mukaiset toimivaltaiset viranomaiset vaihtavat säännöllisesti asiaankuuluvia tietoja, myös merkityksellisistä poikkeamista ja kyberuhkista.

6.   Jäsenvaltioiden on yksinkertaistettava teknisesti 23 ja 30 artiklassa tarkoitettujen ilmoitusten tekemistä.

III LUKU

UNIONIN JA KANSAINVÄLISEN TASON YHTEISTYÖ

14 artikla

Yhteistyöryhmä

1.   Perustetaan yhteistyöryhmä tukemaan ja helpottamaan jäsenvaltioiden välistä strategista yhteistyötä ja tietojenvaihtoa sekä lujittamaan luottamusta.

2.   Yhteistyöryhmä suorittaa tehtävänsä 7 kohdassa tarkoitettujen kaksivuotisten työohjelmien pohjalta.

3.   Yhteistyöryhmä koostuu jäsenvaltioiden, komission ja ENISAn edustajista. Euroopan ulkosuhdehallinto osallistuu yhteistyöryhmän toimintaan tarkkailijana. Euroopan valvontaviranomaiset ja asetuksen (EU) 2022/2554 mukaiset toimivaltaiset viranomaiset voivat osallistua yhteistyöryhmän toimintaan mainitun asetuksen 47 artiklan 1 kohdan mukaisesti.

Yhteistyöryhmä voi tarvittaessa kutsua Euroopan parlamentin ja asiaankuuluvien sidosryhmien edustajia osallistumaan työhönsä.

Komissio huolehtii sihteeristötehtävistä.

4.   Yhteistyöryhmän tehtävänä on

| a) | opastaa toimivaltaisia viranomaisia tämän direktiivin saattamisessa osaksi kansallista lainsäädäntöä ja sen täytäntöönpanossa; |
| --- | --- |

a)

opastaa toimivaltaisia viranomaisia tämän direktiivin saattamisessa osaksi kansallista lainsäädäntöä ja sen täytäntöönpanossa;

| b) | opastaa toimivaltaisia viranomaisia 7 artiklan 2 kohdan c alakohdassa tarkoitettujen koordinoitua haavoittuvuuksien julkistamista koskevien toimintaperiaatteiden laadinnassa ja täytäntöönpanossa; |
| --- | --- |

b)

opastaa toimivaltaisia viranomaisia 7 artiklan 2 kohdan c alakohdassa tarkoitettujen koordinoitua haavoittuvuuksien julkistamista koskevien toimintaperiaatteiden laadinnassa ja täytäntöönpanossa;

| c) | vaihtaa parhaita käytäntöjä ja tietoja, jotka liittyvät tämän direktiivin täytäntöönpanoon, muun muassa kyberuhkiin, poikkeamiin, haavoittuvuuksiin, läheltä piti -tilanteisiin, tietoisuuden lisäämishankkeisiin, koulutukseen, harjoituksiin ja osaamiseen, valmiuksien kehittämiseen, standardeihin ja teknisiin eritelmiin sekä keskeisten ja tärkeiden toimijoiden määrittämiseen 2 artiklan 2 kohdan b–e alakohdan nojalla; |
| --- | --- |

c)

vaihtaa parhaita käytäntöjä ja tietoja, jotka liittyvät tämän direktiivin täytäntöönpanoon, muun muassa kyberuhkiin, poikkeamiin, haavoittuvuuksiin, läheltä piti -tilanteisiin, tietoisuuden lisäämishankkeisiin, koulutukseen, harjoituksiin ja osaamiseen, valmiuksien kehittämiseen, standardeihin ja teknisiin eritelmiin sekä keskeisten ja tärkeiden toimijoiden määrittämiseen 2 artiklan 2 kohdan b–e alakohdan nojalla;

| d) | vaihtaa neuvoja ja tehdä yhteistyötä komission kanssa, kun kyse on uusista kyberturvallisuuspoliittisista aloitteista ja alakohtaisten kyberturvallisuusvaatimusten yleisestä johdonmukaisuudesta; |
| --- | --- |

d)

vaihtaa neuvoja ja tehdä yhteistyötä komission kanssa, kun kyse on uusista kyberturvallisuuspoliittisista aloitteista ja alakohtaisten kyberturvallisuusvaatimusten yleisestä johdonmukaisuudesta;

| e) | vaihtaa neuvoja ja tehdä yhteistyötä komission kanssa, kun kyse on ehdotuksista tämän direktiivin nojalla annettaviksi delegoiduiksi säädöksiksi tai täytäntöönpanosäädöksiksi; |
| --- | --- |

e)

vaihtaa neuvoja ja tehdä yhteistyötä komission kanssa, kun kyse on ehdotuksista tämän direktiivin nojalla annettaviksi delegoiduiksi säädöksiksi tai täytäntöönpanosäädöksiksi;

| f) | vaihtaa parhaita käytäntöjä ja tietoja asiaankuuluvien unionin toimielinten, elinten, laitosten ja virastojen kanssa; |
| --- | --- |

f)

vaihtaa parhaita käytäntöjä ja tietoja asiaankuuluvien unionin toimielinten, elinten, laitosten ja virastojen kanssa;

| g) | vaihtaa näkemyksiä sellaisten alakohtaisten unionin säädösten täytäntöönpanosta, joissa on kyberturvallisuutta koskevia säännöksiä; |
| --- | --- |

g)

vaihtaa näkemyksiä sellaisten alakohtaisten unionin säädösten täytäntöönpanosta, joissa on kyberturvallisuutta koskevia säännöksiä;

| h) | keskustella tarvittaessa 19 artiklan 9 kohdassa tarkoitetuista vertaisarviointiraporteista ja laatia päätelmiä ja suosituksia; |
| --- | --- |

h)

keskustella tarvittaessa 19 artiklan 9 kohdassa tarkoitetuista vertaisarviointiraporteista ja laatia päätelmiä ja suosituksia;

| i) | tehdä kriittisiä toimitusketjuja koskevia koordinoituja turvallisuusriskinarviointeja 22 artiklan 1 kohdan mukaisesti; |
| --- | --- |

i)

tehdä kriittisiä toimitusketjuja koskevia koordinoituja turvallisuusriskinarviointeja 22 artiklan 1 kohdan mukaisesti;

| j) | keskustella keskinäisen avunannon tapauksista, myös 37 artiklassa tarkoitetuista rajatylittävistä yhteisistä valvontatoimista saaduista kokemuksista ja näiden valvontatoimien tuloksista; |
| --- | --- |

j)

keskustella keskinäisen avunannon tapauksista, myös 37 artiklassa tarkoitetuista rajatylittävistä yhteisistä valvontatoimista saaduista kokemuksista ja näiden valvontatoimien tuloksista;

| k) | keskustella yhden tai useamman asianomaisen jäsenvaltion pyynnöstä yksittäisistä 37 artiklassa tarkoitettua keskinäistä avunantoa koskevista pyynnöistä; |
| --- | --- |

k)

keskustella yhden tai useamman asianomaisen jäsenvaltion pyynnöstä yksittäisistä 37 artiklassa tarkoitettua keskinäistä avunantoa koskevista pyynnöistä;

| l) | antaa CSIRT-verkostolle ja EU-CyCLONelle strategista ohjausta erityisissä esiin nousevissa kysymyksissä; |
| --- | --- |

l)

antaa CSIRT-verkostolle ja EU-CyCLONelle strategista ohjausta erityisissä esiin nousevissa kysymyksissä;

| m) | vaihtaa CSIRT-verkostosta ja EU-CyCLONesta saatujen kokemusten pohjalta näkemyksiä toimintaperiaatteista, jotka koskevat laajamittaisten kyberturvallisuuspoikkeamien ja kriisien jälkeisiä jatkotoimia; |
| --- | --- |

m)

vaihtaa CSIRT-verkostosta ja EU-CyCLONesta saatujen kokemusten pohjalta näkemyksiä toimintaperiaatteista, jotka koskevat laajamittaisten kyberturvallisuuspoikkeamien ja kriisien jälkeisiä jatkotoimia;

| n) | edesauttaa kyberturvallisuusvalmiuksien kehittymistä unionissa helpottamalla kansallisten virkamiesten vaihtoa valmiuksien kehittämisohjelmassa, johon osallistuu toimivaltaisten viranomaisten tai CSIRT-yksiköiden henkilöstöä; |
| --- | --- |

n)

edesauttaa kyberturvallisuusvalmiuksien kehittymistä unionissa helpottamalla kansallisten virkamiesten vaihtoa valmiuksien kehittämisohjelmassa, johon osallistuu toimivaltaisten viranomaisten tai CSIRT-yksiköiden henkilöstöä;

| o) | järjestää eri puolilta unionia tulevien asiaankuuluvien yksityisten sidosryhmien kanssa säännöllisiä yhteisiä kokouksia, joissa keskustellaan yhteistyöryhmän toteuttamista toimista ja kerätään näkemyksiä esiin nousevista toimintapoliittisista haasteista; |
| --- | --- |

o)

järjestää eri puolilta unionia tulevien asiaankuuluvien yksityisten sidosryhmien kanssa säännöllisiä yhteisiä kokouksia, joissa keskustellaan yhteistyöryhmän toteuttamista toimista ja kerätään näkemyksiä esiin nousevista toimintapoliittisista haasteista;

| p) | keskustella kyberturvallisuusharjoituksiin liittyvästä työstä, mukaan lukien ENISAn tekemä työ; |
| --- | --- |

p)

keskustella kyberturvallisuusharjoituksiin liittyvästä työstä, mukaan lukien ENISAn tekemä työ;

| q) | vahvistaa 19 artiklan 1 kohdassa tarkoitetut vertaisarviointien menetelmät ja organisatoriset näkökohdat sekä vahvistaa 19 artiklan 5 kohdan mukaisesti jäsenvaltioiden itsearviointimenetelmät komission ja ENISAn avustuksella ja laatia 19 artiklan 6 kohdan mukaisesti yhteistyössä komission ja ENISAn kanssa käytännesäännöt nimettyjen kyberturvallisuusasiantuntijoiden työmenetelmien tueksi; |
| --- | --- |

q)

vahvistaa 19 artiklan 1 kohdassa tarkoitetut vertaisarviointien menetelmät ja organisatoriset näkökohdat sekä vahvistaa 19 artiklan 5 kohdan mukaisesti jäsenvaltioiden itsearviointimenetelmät komission ja ENISAn avustuksella ja laatia 19 artiklan 6 kohdan mukaisesti yhteistyössä komission ja ENISAn kanssa käytännesäännöt nimettyjen kyberturvallisuusasiantuntijoiden työmenetelmien tueksi;

| r) | laatia 40 artiklassa tarkoitettua uudelleentarkastelua varten kertomuksia strategisella tasolla ja vertaisarvioinneista saaduista kokemuksista; |
| --- | --- |

r)

laatia 40 artiklassa tarkoitettua uudelleentarkastelua varten kertomuksia strategisella tasolla ja vertaisarvioinneista saaduista kokemuksista;

| s) | keskustella ja esittää säännöllisesti tilannearvio kyberuhkista tai poikkeamista, kuten kiristyshaittaohjelmista. |
| --- | --- |

s)

keskustella ja esittää säännöllisesti tilannearvio kyberuhkista tai poikkeamista, kuten kiristyshaittaohjelmista.

Yhteistyöryhmä toimittaa ensimmäisen alakohdan r alakohdassa tarkoitetut kertomukset komissiolle, Euroopan parlamentille ja neuvostolle.

5.   Jäsenvaltioiden on varmistettava edustajiensa tuloksekas, tehokas ja suojattu yhteistyö yhteistyöryhmässä.

6.   Yhteistyöryhmä voi pyytää CSIRT-verkostolta teknistä raporttia haluamistaan aiheista.

7.   Yhteistyöryhmä laatii viimeistään 1 päivänä helmikuuta 2024 ja sen jälkeen kahden vuoden välein työohjelman toteutettavista toimista, joilla pannaan täytäntöön sen tavoitteet ja tehtävät.

8.   Komissio voi hyväksyä täytäntöönpanosäädöksiä, joilla vahvistetaan tarvittavat menettelytapajärjestelyt yhteistyöryhmän toimintaa varten.

Nämä täytäntöönpanosäädökset hyväksytään 39 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

Komissio vaihtaa neuvoja ja tekee yhteistyötä yhteistyöryhmän kanssa 4 kohdan e alakohdan mukaisesti, kun kyse on tämän kohdan ensimmäisessä alakohdassa tarkoitetuista ehdotuksista täytäntöönpanosäädöksiksi.

9.   Yhteistyöryhmä kokoontuu säännöllisesti ja joka tapauksessa vähintään kerran vuodessa direktiivillä (EU) 2022/2557 perustetun kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän kanssa edistääkseen ja helpottaakseen strategista yhteistyötä ja tietojenvaihtoa.

15 artikla

CSIRT-verkosto

1.   Jotta voidaan edistää luottamusta sekä ripeää ja tuloksellista operatiivista yhteistyötä jäsenvaltioiden välillä, perustetaan kansallisten CSIRT-yksiköiden verkosto.

2.   CSIRT-verkosto koostuu 10 artiklan nojalla nimettyjen tai perustettujen CSIRT-yksiköiden ja unionin toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän (CERT-EU) edustajista. Komissio osallistuu CSIRT-verkostoon tarkkailijana. ENISA huolehtii sihteeristötehtävistä ja avustaa aktiivisesti CSIRT-yksiköiden keskinäisessä yhteistyössä.

3.   CSIRT-verkoston tehtävänä on

| a) | vaihtaa tietoja CSIRT-yksiköiden valmiuksista; |
| --- | --- |

a)

vaihtaa tietoja CSIRT-yksiköiden valmiuksista;

| b) | helpottaa teknologian sekä asiaankuuluvien toimenpiteiden, toimintaperiaatteiden, työkalujen, prosessien, parhaiden käytäntöjen ja toimintakehysten jakamista, siirtoa ja vaihtoa CSIRT-yksiköiden kesken; |
| --- | --- |

b)

helpottaa teknologian sekä asiaankuuluvien toimenpiteiden, toimintaperiaatteiden, työkalujen, prosessien, parhaiden käytäntöjen ja toimintakehysten jakamista, siirtoa ja vaihtoa CSIRT-yksiköiden kesken;

| c) | vaihtaa asiaankuuluvia tietoja poikkeamista, läheltä piti -tilanteista, kyberuhkista, riskeistä ja haavoittuvuuksista; |
| --- | --- |

c)

vaihtaa asiaankuuluvia tietoja poikkeamista, läheltä piti -tilanteista, kyberuhkista, riskeistä ja haavoittuvuuksista;

| d) | vaihtaa tietoja kyberturvallisuutta koskevista julkaisuista ja suosituksista; |
| --- | --- |

d)

vaihtaa tietoja kyberturvallisuutta koskevista julkaisuista ja suosituksista;

| e) | varmistaa tiedonjakoeritelmien ja -protokollien yhteentoimivuus; |
| --- | --- |

e)

varmistaa tiedonjakoeritelmien ja -protokollien yhteentoimivuus;

| f) | vaihtaa tietoja ja keskustella poikkeamasta ja siihen liittyvistä kyberuhkista, riskeistä ja haavoittuvuuksista sellaisen CSIRT-verkoston jäsenen pyynnöstä, johon poikkeama mahdollisesti vaikuttaa; |
| --- | --- |

f)

vaihtaa tietoja ja keskustella poikkeamasta ja siihen liittyvistä kyberuhkista, riskeistä ja haavoittuvuuksista sellaisen CSIRT-verkoston jäsenen pyynnöstä, johon poikkeama mahdollisesti vaikuttaa;

| g) | keskustella CSIRT-verkoston jäsenen pyynnöstä kyseisen jäsenvaltion lainkäyttöalueella havaitun poikkeaman koordinoiduista hallintatoimista ja mahdollisuuksien mukaan toteuttaa ne; |
| --- | --- |

g)

keskustella CSIRT-verkoston jäsenen pyynnöstä kyseisen jäsenvaltion lainkäyttöalueella havaitun poikkeaman koordinoiduista hallintatoimista ja mahdollisuuksien mukaan toteuttaa ne;

| h) | avustaa jäsenvaltioita rajatylittävien poikkeamien käsittelyssä tämän direktiivin nojalla; |
| --- | --- |

h)

avustaa jäsenvaltioita rajatylittävien poikkeamien käsittelyssä tämän direktiivin nojalla;

| i) | tehdä yhteistyötä, vaihtaa parhaita käytäntöjä ja avustaa 12 artiklan 1 kohdan nojalla koordinaattoriksi nimettyjä CSIRT-yksiköitä sellaisten haavoittuvuuksien koordinoidun julkistamisen hoitamisessa, joilla voisi olla merkittävä vaikutus useamman kuin yhden jäsenvaltion toimijoihin; |
| --- | --- |

i)

tehdä yhteistyötä, vaihtaa parhaita käytäntöjä ja avustaa 12 artiklan 1 kohdan nojalla koordinaattoriksi nimettyjä CSIRT-yksiköitä sellaisten haavoittuvuuksien koordinoidun julkistamisen hoitamisessa, joilla voisi olla merkittävä vaikutus useamman kuin yhden jäsenvaltion toimijoihin;

| j) | keskustella uusista operatiivisen yhteistyön muodoista ja tunnistaa niitä, myös seuraavien osalta:






  i) | kyberuhkien ja poikkeamien luokat; |
| --- | --- | --- |

j)

keskustella uusista operatiivisen yhteistyön muodoista ja tunnistaa niitä, myös seuraavien osalta:

i)

kyberuhkien ja poikkeamien luokat;

| ii) | ennakkovaroitukset; |
| --- | --- |

ii)

ennakkovaroitukset;

| iii) | keskinäinen avunanto; |
| --- | --- |

iii)

keskinäinen avunanto;

| iv) | rajatylittävien riskien ja poikkeamien hallintatoimien koordinoinnin periaatteet ja järjestelyt; |
| --- | --- |

iv)

rajatylittävien riskien ja poikkeamien hallintatoimien koordinoinnin periaatteet ja järjestelyt;

| v) | osallistuminen jäsenvaltion pyynnöstä 9 artiklan 4 kohdassa tarkoitetun kansallisen laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallintasuunnitelman laadintaan; |
| --- | --- |

v)

osallistuminen jäsenvaltion pyynnöstä 9 artiklan 4 kohdassa tarkoitetun kansallisen laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallintasuunnitelman laadintaan;

| k) | tiedottaa yhteistyöryhmälle verkoston toiminnasta ja muista operatiivisen yhteistyön muodoista, joista on keskusteltu j alakohdan mukaisesti, ja pyytää tarvittaessa asiaan liittyvää ohjeistusta; |
| --- | --- |

k)

tiedottaa yhteistyöryhmälle verkoston toiminnasta ja muista operatiivisen yhteistyön muodoista, joista on keskusteltu j alakohdan mukaisesti, ja pyytää tarvittaessa asiaan liittyvää ohjeistusta;

| l) | koota yhteen oppeja kyberturvallisuusharjoituksista, myös ENISAn järjestämistä harjoituksista; |
| --- | --- |

l)

koota yhteen oppeja kyberturvallisuusharjoituksista, myös ENISAn järjestämistä harjoituksista;

| m) | keskustella yksittäisen CSIRT-yksikön pyynnöstä kyseisen CSIRT-yksikön valmiuksista ja varautumisesta; |
| --- | --- |

m)

keskustella yksittäisen CSIRT-yksikön pyynnöstä kyseisen CSIRT-yksikön valmiuksista ja varautumisesta;

| n) | tehdä yhteistyötä ja vaihtaa tietoja alueellisten ja unionin tason turvaoperaatiokeskusten kanssa, jotta voidaan parantaa yhteistä tilannekuvaa poikkeamista ja kyberuhkista kaikkialla unionissa; |
| --- | --- |

n)

tehdä yhteistyötä ja vaihtaa tietoja alueellisten ja unionin tason turvaoperaatiokeskusten kanssa, jotta voidaan parantaa yhteistä tilannekuvaa poikkeamista ja kyberuhkista kaikkialla unionissa;

| o) | keskustella tarvittaessa 19 artiklan 9 kohdassa tarkoitetuista vertaisarviointiraporteista; |
| --- | --- |

o)

keskustella tarvittaessa 19 artiklan 9 kohdassa tarkoitetuista vertaisarviointiraporteista;

| p) | antaa ohjeita, joilla helpotetaan operatiivisten käytäntöjen lähentymistä sovellettaessa tämän artiklan säännöksiä operatiivisesta yhteistyöstä. |
| --- | --- |

p)

antaa ohjeita, joilla helpotetaan operatiivisten käytäntöjen lähentymistä sovellettaessa tämän artiklan säännöksiä operatiivisesta yhteistyöstä.

4.   CSIRT-verkoston on 40 artiklassa tarkoitettua uudelleentarkastelua varten ja viimeistään 17 päivänä tammikuuta 2025 ja sen jälkeen kahden vuoden välein arvioitava edistymistä operatiivisessa yhteistyössä ja annettava siitä kertomus. Kertomuksessa on erityisesti laadittava päätelmiä ja suosituksia kansallisista CSIRT-yksiköistä tehtyjen 19 artiklassa tarkoitettujen vertaisarviointien tulosten pohjalta. Kertomus toimitetaan yhteistyöryhmälle.

5.   CSIRT-verkosto vahvistaa työjärjestyksensä.

6.   CSIRT-verkoston ja EU-CyCLONen on sovittava menettelytapajärjestelyistä ja tehtävä yhteistyötä niiden pohjalta.

16 artikla

Euroopan kyberkriisien yhteysorganisaatioiden verkosto (EU-CyCLONe)

1.   Perustetaan Euroopan kyberkriisien yhteysorganisaatioiden verkosto EU-CyCLONe tukemaan laajamittaisten kyberturvallisuuspoikkeamien ja kriisien koordinoitua hallintaa operatiivisella tasolla ja varmistamaan säännöllinen asiaankuuluvien tietojen vaihto jäsenvaltioiden ja unionin toimielinten, elinten, laitosten ja virastojen välillä.

2.   EU-CyCLONe koostuu jäsenvaltioiden kyberkriisinhallintaviranomaisten edustajista sekä komission edustajista tapauksissa, joissa mahdollisella tai meneillään olevalla laajamittaisella kyberturvallisuuspoikkeamalla on tai todennäköisesti on merkittävä vaikutus tämän direktiivin soveltamisalaan kuuluviin palveluihin ja toimintoihin. Muissa tapauksissa komissio osallistuu EU-CyCLONen toimintaan tarkkailijana.

ENISA huolehtii EU-CyCLONen sihteeristötehtävistä ja tukee suojattua tietojenvaihtoa sekä tarjoaa käyttöön tarvittavat välineet, joilla tuetaan jäsenvaltioiden yhteistyötä varmistaen suojattu tietojenvaihto.

EU-CyCLONe voi tarvittaessa kutsua asiaankuuluvien sidosryhmien edustajia osallistumaan työhönsä tarkkailijoina.

3.   EU-CyCLONen tehtävänä on

| a) | parantaa varautumista laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallintaan; |
| --- | --- |

a)

parantaa varautumista laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallintaan;

| b) | kehittää yhteistä tilannekuvaa laajamittaisista kyberturvallisuuspoikkeamista ja kriiseistä; |
| --- | --- |

b)

kehittää yhteistä tilannekuvaa laajamittaisista kyberturvallisuuspoikkeamista ja kriiseistä;

| c) | arvioida asiaankuuluvien laajamittaisten kyberturvallisuuspoikkeamien ja kriisien seurauksia ja vaikutuksia ja ehdottaa mahdollisia toimenpiteitä niiden lieventämiseksi; |
| --- | --- |

c)

arvioida asiaankuuluvien laajamittaisten kyberturvallisuuspoikkeamien ja kriisien seurauksia ja vaikutuksia ja ehdottaa mahdollisia toimenpiteitä niiden lieventämiseksi;

| d) | koordinoida laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallintaa ja tukea tällaisiin poikkeamiin ja kriiseihin liittyvää poliittisen tason päätöksentekoa; |
| --- | --- |

d)

koordinoida laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallintaa ja tukea tällaisiin poikkeamiin ja kriiseihin liittyvää poliittisen tason päätöksentekoa;

| e) | keskustella 9 artiklan 4 kohdassa tarkoitetuista kansallisista laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallintasuunnitelmista asianomaisen jäsenvaltion pyynnöstä. |
| --- | --- |

e)

keskustella 9 artiklan 4 kohdassa tarkoitetuista kansallisista laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallintasuunnitelmista asianomaisen jäsenvaltion pyynnöstä.

4.   EU-CyCLONe vahvistaa työjärjestyksensä.

5.   EU-CyCLONe raportoi säännöllisesti yhteistyöryhmälle laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallinnasta sekä alan suuntauksista keskittyen erityisesti niiden vaikutuksiin keskeisiin ja tärkeisiin toimijoihin.

6.   EU-CyCLONen tekee CSIRT-verkoston kanssa yhteistyötä 15 artiklan 6 kohdassa säädettyjen menettelytapajärjestelyjen pohjalta.

7.   EU-CyCLONe antaa viimeistään 17 päivänä heinäkuuta 2024 ja sen jälkeen 18 kuukauden välein Euroopan parlamentille ja neuvostolle kertomuksen, jossa arvioidaan sen työtä.

17 artikla

Kansainvälinen yhteistyö

Unioni voi tarvittaessa tehdä Euroopan unionin toiminnasta tehdyn sopimuksen 218 artiklan mukaisesti kolmansien maiden tai kansainvälisten järjestöjen kanssa kansainvälisiä sopimuksia, joilla mahdollistetaan ja järjestetään niiden osallistuminen yhteistyöryhmän, CSIRT-verkoston ja EU-CyCLONen tiettyihin toimintoihin. Tällaisten sopimusten on oltava unionin tietosuojalainsäädännön mukaisia.

18 artikla

Kertomus kyberturvallisuuden tilasta unionissa

1.   ENISA antaa yhteistyössä komission ja yhteistyöryhmän kanssa joka toinen vuosi kyberturvallisuuden tilaa unionissa käsittelevän kertomuksen, jonka se toimittaa ja esittelee Euroopan parlamentille. Kertomus on muun muassa asetettava saataville koneluettavana datana, ja siihen on sisällyttävä seuraavat:

| a) | unionin tasolla tehtävä kyberturvallisuusriskien arviointi, jossa otetaan huomioon kyberuhkaympäristö; |
| --- | --- |

a)

unionin tasolla tehtävä kyberturvallisuusriskien arviointi, jossa otetaan huomioon kyberuhkaympäristö;

| b) | arvio kyberturvallisuusvalmiuksien kehittymisestä julkisella ja yksityisellä sektorilla unionissa; |
| --- | --- |

b)

arvio kyberturvallisuusvalmiuksien kehittymisestä julkisella ja yksityisellä sektorilla unionissa;

| c) | arvio kansalaisten ja toimijoiden, myös pienten ja keskisuurten yritysten, kyberturvallisuustietoisuuden ja kyberhygienian yleisestä tasosta; |
| --- | --- |

c)

arvio kansalaisten ja toimijoiden, myös pienten ja keskisuurten yritysten, kyberturvallisuustietoisuuden ja kyberhygienian yleisestä tasosta;

| d) | kokonaisarvio 19 artiklassa tarkoitettujen vertaisarviointien tuloksista; |
| --- | --- |

d)

kokonaisarvio 19 artiklassa tarkoitettujen vertaisarviointien tuloksista;

| e) | kokonaisarvio kyberturvallisuusvalmiuksien ja -resurssien kehitystasosta unionissa, mukaan lukien alakohtaiset valmiudet ja resurssit, sekä siitä, miten yhdenmukaisia jäsenvaltioiden kansalliset kyberturvallisuusstrategiat ovat. |
| --- | --- |

e)

kokonaisarvio kyberturvallisuusvalmiuksien ja -resurssien kehitystasosta unionissa, mukaan lukien alakohtaiset valmiudet ja resurssit, sekä siitä, miten yhdenmukaisia jäsenvaltioiden kansalliset kyberturvallisuusstrategiat ovat.

2.   Kertomuksen on sisällettävä erityisiä toimintapoliittisia suosituksia, jotta voidaan korjata puutteita ja nostaa kyberturvallisuuden tasoa kaikkialla unionissa, sekä yhteenveto kyseistä kautta koskevista havainnoista, jotka sisältyvät ENISAn asetuksen (EU) 2019/881 7 artiklan 6 kohdan mukaisesti laatimiin poikkeamia ja kyberuhkia koskeviin unionin kyberturvallisuuden teknisiin tilanneraportteihin.

3.   ENISA kehittää yhteistyössä komission, yhteistyöryhmän ja CSIRT-verkoston kanssa menetelmät, mukaan lukien 1 kohdan e alakohdassa tarkoitetussa kokonaisarviossa käytettävät asiaankuuluvat muuttujat, kuten määrälliset ja laadulliset indikaattorit.

19 artikla

Vertaisarvioinnit

1.   Yhteistyöryhmä vahvistaa komission ja ENISAn sekä tarvittaessa CSIRT-verkoston avustuksella viimeistään 17 päivänä tammikuuta 2025 vertaisarviointien menetelmät ja organisatoriset näkökohdat, jotta voidaan oppia yhteisistä kokemuksista, lujittaa keskinäistä luottamusta ja saavuttaa kyberturvallisuuden yhteinen korkea taso sekä kehittää jäsenvaltioiden kyberturvallisuusvalmiuksia ja tämän direktiivin täytäntöönpanon edellyttämiä toimintaperiaatteita. Vertaisarviointeihin osallistuminen on vapaaehtoista. Vertaisarvioinnin suorittavat kyberturvallisuusasiantuntijat. Kyberturvallisuusasiantuntijoiden on oltava vähintään kahden jäsenvaltion nimeämiä, ja arvioitava jäsenvaltio ei voi nimetä asiantuntijoita.

Vertaisarvioinnin on katettava vähintään yksi seuraavista seikoista:

| a) | 21 artiklassa säädettyjen kyberturvallisuusriskien hallintatoimenpiteiden ja 23 artiklassa säädettyjen raportointivelvoitteiden täytäntöönpanoaste; |
| --- | --- |

a)

21 artiklassa säädettyjen kyberturvallisuusriskien hallintatoimenpiteiden ja 23 artiklassa säädettyjen raportointivelvoitteiden täytäntöönpanoaste;

| b) | toimivaltaisten viranomaisten valmiuksien taso, mukaan lukien käytettävissä olevat taloudelliset, tekniset ja henkilöresurssit, sekä toimivaltaisten viranomaisten tuloksekkuus tehtäviensä hoidossa; |
| --- | --- |

b)

toimivaltaisten viranomaisten valmiuksien taso, mukaan lukien käytettävissä olevat taloudelliset, tekniset ja henkilöresurssit, sekä toimivaltaisten viranomaisten tuloksekkuus tehtäviensä hoidossa;

| c) | CSIRT-yksiköiden operatiiviset valmiudet; |
| --- | --- |

c)

CSIRT-yksiköiden operatiiviset valmiudet;

| d) | 37 artiklassa tarkoitetun keskinäisen avunannon toteutusaste; |
| --- | --- |

d)

37 artiklassa tarkoitetun keskinäisen avunannon toteutusaste;

| e) | 29 artiklassa tarkoitettujen kyberturvallisuustietojen jakamisjärjestelyjen täytäntöönpanoaste; |
| --- | --- |

e)

29 artiklassa tarkoitettujen kyberturvallisuustietojen jakamisjärjestelyjen täytäntöönpanoaste;

| f) | rajatylittävät tai useaa toimialaa koskevat erityiskysymykset. |
| --- | --- |

f)

rajatylittävät tai useaa toimialaa koskevat erityiskysymykset.

2.   Edellä 1 kohdassa tarkoitettuihin menetelmiin sisältyvät objektiiviset, syrjimättömät, oikeudenmukaiset ja läpinäkyvät kriteerit, joiden perusteella jäsenvaltiot nimeävät kyberturvallisuusasiantuntijat, joille voidaan antaa tehtäväksi suorittaa vertaisarvioinnit. Komissio ja ENISA osallistuvat vertaisarviointeihin tarkkailijoina.

3.   Jäsenvaltiot voivat yksilöidä 1 kohdan f alakohdassa tarkoitettuja erityiskysymyksiä vertaisarviointia varten.

4.   Ennen 1 kohdassa tarkoitetun vertaisarvioinnin aloittamista jäsenvaltioiden on ilmoitettava osallistuville jäsenvaltioille vertaisarvioinnin laajuudesta, 3 kohdan nojalla yksilöidyt erityiskysymykset mukaan lukien.

5.   Ennen vertaisarvioinnin aloittamista jäsenvaltiot voivat itse tehdä arvioitavista seikoista arvioinnin ja toimittaa kyseisen itsearvioinnin nimetyille kyberturvallisuusasiantuntijoille. Yhteistyöryhmä vahvistaa komission ja ENISAn avustuksella menetelmät jäsenvaltioiden tekemää itsearviointia varten.

6.   Vertaisarviointeihin sisältyy fyysisiä tai virtuaalisia vierailuja toimipaikoissa ja muuta kuin paikalla toteutettavaa tietojenvaihtoa. Vertaisarvioinnin kohteena olevan jäsenvaltion on hyvän yhteistyön hengessä annettava nimetyille kyberturvallisuusasiantuntijoille arviointiin tarvittavat tiedot, sanotun kuitenkaan rajoittamatta luottamuksellisten tai turvallisuusluokiteltujen tietojen suojaamista koskevan unionin oikeuden tai kansallisen lainsäädännön soveltamista ja keskeisistä valtion tehtävistä, kuten kansallisesta turvallisuudesta, huolehtimista. Yhteistyöryhmä laatii yhteistyössä komission ja ENISAn kanssa asianmukaiset käytännesäännöt nimettyjen kyberturvallisuusasiantuntijoiden työmenetelmien tueksi. Vertaisarvioinnin yhteydessä saatuja tietoja saa käyttää ainoastaan tähän tarkoitukseen. Vertaisarviointiin osallistuvat kyberturvallisuusasiantuntijat eivät saa paljastaa vertaisarvioinnin aikana saatuja arkaluonteisia tai luottamuksellisia tietoja ulkopuolisille.

7.   Vertaisarvioinnin kohteena olleessa jäsenvaltiossa arvioiduista seikoista ei tehdä uutta vertaisarviointia kyseisessä jäsenvaltiossa kahteen vuoteen vertaisarvioinnin päättymisestä, ellei kyseinen jäsenvaltio toisin pyydä tai yhteistyöryhmän ehdotuksesta toisin päätetä.

8.   Jäsenvaltioiden on varmistettava, että nimettyjä kyberturvallisuusasiantuntijoita koskevien mahdollisten eturistiriitojen riskeistä ilmoitetaan muille jäsenvaltioille, yhteistyöryhmälle, komissiolle ja ENISAlle ennen vertaisarvioinnin aloittamista. Vertaisarvioinnin kohteena oleva jäsenvaltio voi vastustaa tiettyjen kyberturvallisuusasiantuntijoiden nimeämistä asianmukaisesti perustelluista syistä, jotka sen on ilmoitettava nimeäjänä olevalle jäsenvaltiolle.

9.   Vertaisarviointeihin osallistuvien kyberturvallisuusasiantuntijoiden on laadittava luonnokset raporteiksi vertaisarviointien tuloksista ja päätelmistä. Vertaisarvioinnin kohteena olevat jäsenvaltiot voivat esittää huomautuksia itseään koskevista raporttiluonnoksista, ja tällaiset huomautukset liitetään raportteihin. Raportteihin on sisällytettävä suosituksia, jotta vertaisarviointiprosessin piiriin kuuluvia seikkoja voidaan kehittää. Raportit on toimitettava yhteistyöryhmälle ja tarvittaessa CSIRT-verkostolle. Vertaisarvioinnin kohteena oleva jäsenvaltio voi päättää asettaa raporttinsa tai sen muokatun version julkisesti saataville.

IV LUKU

KYBERTURVALLISUUSRISKIEN HALLINTATOIMENPITEET JA RAPORTOINTIVELVOITTEET

20 artikla

Hallinnointi

1.   Jäsenvaltioiden on varmistettava, että keskeisten ja tärkeiden toimijoiden hallintoelimet hyväksyvät näiden toimijoiden 21 artiklan noudattamiseksi toteuttamat kyberturvallisuusriskien hallintatoimenpiteet ja valvovat mainitun artiklan täytäntöönpanoa ja että nämä hallintoelimet voidaan saattaa vastuuseen, jos toimijat rikkovat kyseistä artiklaa.

Tämän kohdan soveltaminen ei rajoita kansallisen lainsäädännön soveltamista, kun on kyse julkisiin laitoksiin sovellettavista vastuusäännöistä taikka virkamiesten tai vaalilla valittujen tai nimettyjen toimenhaltijoiden vastuusta.

2.   Jäsenvaltioiden on varmistettava, että keskeisten ja tärkeiden toimijoiden hallintoelinten jäsenillä on velvollisuus osallistua koulutukseen, ja kannustettava keskeisiä ja tärkeitä toimijoita tarjoamaan säännöllisesti vastaavaa koulutusta työntekijöilleen, jotta he voivat hankkia riittävät tiedot ja taidot kyetäkseen tunnistamaan riskejä ja arvioimaan kyberturvallisuusriskien hallintakäytäntöjä ja niiden vaikutusta toimijan tarjoamiin palveluihin.

21 artikla

Kyberturvallisuusriskien hallintatoimenpiteet

1.   Jäsenvaltioiden on varmistettava, että keskeiset ja tärkeät toimijat toteuttavat asianmukaiset ja oikeasuhteiset tekniset, operatiiviset ja organisatoriset toimenpiteet hallitakseen riskejä, joita niiden toiminnoissaan tai palveluntarjonnassaan käyttämien verkko- ja tietojärjestelmien turvallisuuteen kohdistuu, ja estääkseen tai minimoidakseen poikkeamien vaikutuksen palvelujensa vastaanottajiin ja muihin palveluihin.

Kun otetaan huomioon viimeisin kehitys ja tapauksen mukaan asiaa koskevat eurooppalaiset ja kansainväliset standardit sekä täytäntöönpanokustannukset, ensimmäisessä alakohdassa tarkoitetuilla toimenpiteillä on varmistettava, että verkko- ja tietojärjestelmien turvallisuuden taso on oikeassa suhteessa riskeihin. Näiden toimenpiteiden oikeasuhteisuutta arvioitaessa on otettava asianmukaisesti huomioon se, missä määrin toimija altistuu riskeille, toimijan koko ja poikkeamien esiintymisen todennäköisyys ja niiden vakavuus, mukaan lukien niiden yhteiskunnalliset ja taloudelliset vaikutukset.

2.   Edellä 1 kohdassa tarkoitettujen toimenpiteiden on perustuttava kaikki vaaratekijät huomioivaan toimintamalliin, jolla pyritään suojaamaan verkko- ja tietojärjestelmät ja näiden järjestelmien fyysinen ympäristö poikkeamilta, ja niihin on sisällyttävä vähintään seuraavat:

| a) | riskianalyysejä ja tietojärjestelmien turvallisuutta koskevat politiikat; |
| --- | --- |

a)

riskianalyysejä ja tietojärjestelmien turvallisuutta koskevat politiikat;

| b) | poikkeamien käsittely; |
| --- | --- |

b)

poikkeamien käsittely;

| c) | toiminnan jatkuvuuden hallinta, esimerkiksi varmuuskopiointi ja palautumissuunnittelu, sekä kriisinhallinta; |
| --- | --- |

c)

toiminnan jatkuvuuden hallinta, esimerkiksi varmuuskopiointi ja palautumissuunnittelu, sekä kriisinhallinta;

| d) | toimitusketjun turvallisuus, mukaan lukien kunkin toimijan ja sen välittömien toimittajien tai palveluntarjoajien välisten suhteiden turvallisuusnäkökohdat; |
| --- | --- |

d)

toimitusketjun turvallisuus, mukaan lukien kunkin toimijan ja sen välittömien toimittajien tai palveluntarjoajien välisten suhteiden turvallisuusnäkökohdat;

| e) | verkko- ja tietojärjestelmien hankinnan, kehittämisen ja ylläpidon turvallisuus, mukaan lukien haavoittuvuuksien käsittely ja julkistaminen; |
| --- | --- |

e)

verkko- ja tietojärjestelmien hankinnan, kehittämisen ja ylläpidon turvallisuus, mukaan lukien haavoittuvuuksien käsittely ja julkistaminen;

| f) | toimintaperiaatteet ja menettelyt, joilla arvioidaan kyberturvallisuusriskien hallintatoimenpiteiden tehokkuutta; |
| --- | --- |

f)

toimintaperiaatteet ja menettelyt, joilla arvioidaan kyberturvallisuusriskien hallintatoimenpiteiden tehokkuutta;

| g) | perustason kyberhygieniakäytännöt ja kyberturvallisuuskoulutus; |
| --- | --- |

g)

perustason kyberhygieniakäytännöt ja kyberturvallisuuskoulutus;

| h) | toimintaperiaatteet ja menettelyt, jotka koskevat kryptografian ja tarvittaessa salauksen käyttöä; |
| --- | --- |

h)

toimintaperiaatteet ja menettelyt, jotka koskevat kryptografian ja tarvittaessa salauksen käyttöä;

| i) | henkilöstöturvallisuus, pääsynhallintaperiaatteet ja omaisuudenhallinta; |
| --- | --- |

i)

henkilöstöturvallisuus, pääsynhallintaperiaatteet ja omaisuudenhallinta;

| j) | tarvittaessa monivaiheisen todennuksen tai jatkuvan todennuksen ratkaisujen, suojatun puhe-, video- ja tekstiviestinnän sekä suojattujen hätäviestintäjärjestelmien käyttö toimijan toiminnassa. |
| --- | --- |

j)

tarvittaessa monivaiheisen todennuksen tai jatkuvan todennuksen ratkaisujen, suojatun puhe-, video- ja tekstiviestinnän sekä suojattujen hätäviestintäjärjestelmien käyttö toimijan toiminnassa.

3.   Jäsenvaltioiden on varmistettava, että toimijoiden harkitessa, mitkä tämän artiklan 2 kohdan d alakohdassa tarkoitetuista toimenpiteistä ovat asianmukaisia, toimijat ottavat huomioon kullekin välittömälle toimittajalle ja palveluntarjoajalle ominaiset haavoittuvuudet, niiden tuotteiden yleisen laadun sekä toimittajiensa ja palveluntarjoajiensa kyberturvallisuuskäytännöt, mukaan lukien tuotekehityksen suojausmenettelyt. Jäsenvaltioiden on myös varmistettava, että toimijoiden harkitessa, mitkä kyseisessä alakohdassa tarkoitetuista toimenpiteistä ovat asianmukaisia, toimijoita vaaditaan ottamaan huomioon 22 artiklan 1 kohdan mukaisesti tehtyjen kriittisiä toimitusketjuja koskevien koordinoitujen riskinarviointien tulokset.

4.   Jäsenvaltioiden on varmistettava, että toimija, joka toteaa, ettei se noudata 2 kohdassa säädettyjä toimenpiteitä, toteuttaa ilman aiheetonta viivytystä kaikki tarvittavat, asianmukaiset ja oikeasuhteiset korjaavat toimenpiteet.

5.   Komissio hyväksyy viimeistään 17 päivänä lokakuuta 2024 täytäntöönpanosäädöksiä, joilla vahvistetaan 2 kohdassa tarkoitettujen toimenpiteiden tekniset ja menetelmiin liittyvät vaatimukset, jotka koskevat DNS-palveluntarjoajia, aluetunnusrekistereitä, pilvipalvelujen tarjoajia, datakeskuspalvelujen tarjoajia, sisällönjakeluverkkojen tarjoajia, hallintapalvelun tarjoajia, tietoturvapalveluntarjoajia, verkossa toimivien markkinapaikkojen tarjoajia, verkossa toimivien hakukoneiden tarjoajia, verkkoyhteisöalustojen tarjoajia ja luottamuspalvelun tarjoajia.

Komissio voi hyväksyä täytäntöönpanosäädöksiä, joilla vahvistetaan 2 kohdassa tarkoitettujen toimenpiteiden tekniset ja menetelmiin liittyvät vaatimukset sekä tarvittaessa alakohtaiset vaatimukset, jotka koskevat muita keskeisiä ja tärkeitä toimijoita kuin tämän kohdan ensimmäisessä alakohdassa tarkoitettuja toimijoita.

Valmistellessaan tämän kohdan ensimmäisessä ja toisessa alakohdassa tarkoitettuja täytäntöönpanosäädöksiä komissio noudattaa mahdollisimman pitkälle eurooppalaisia ja kansainvälisiä standardeja sekä asiaankuuluvia teknisiä eritelmiä. Komissio vaihtaa neuvoja ja tekee yhteistyötä yhteistyöryhmän ja ENISAn kanssa 14 artiklan 4 kohdan e alakohdan mukaisesti, kun kyse on ehdotuksista täytäntöönpanosäädöksiksi.

Nämä täytäntöönpanosäädökset hyväksytään 39 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

22 artikla

Kriittisiä toimitusketjuja koskevat unionin tason koordinoidut turvallisuusriskinarvioinnit

1.   Yhteistyöryhmä voi yhteistyössä komission ja ENISAn kanssa tehdä koordinoituja turvallisuusriskinarviointeja tietyistä kriittisistä TVT-palvelujen, TVT-järjestelmien tai TVT-tuotteiden toimitusketjuista ottaen huomioon tekniset ja tarvittaessa muut kuin tekniset riskitekijät.

2.   Komissio määrittää yhteistyöryhmää ja ENISAa sekä tarvittaessa asiaankuuluvia sidosryhmiä kuultuaan ne kriittiset TVT-palvelut, TVT-järjestelmät tai TVT-tuotteet, joista voidaan tehdä 1 kohdassa tarkoitettu koordinoitu turvallisuusriskinarviointi.

23 artikla

Raportointivelvoitteet

1.   Kunkin jäsenvaltion on varmistettava, että keskeiset ja tärkeät toimijat ilmoittavat ilman aiheetonta viivytystä sen CSIRT-yksikölle tai tapauksen mukaan sen toimivaltaiselle viranomaiselle 4 kohdan mukaisesti mistä tahansa poikkeamasta, jolla on 3 kohdan mukainen merkittävä vaikutus niiden palvelujen tarjoamiseen (merkittävä poikkeama). Asianomaisten toimijoiden on tarvittaessa ilmoitettava ilman aiheetonta viivytystä palvelujensa vastaanottajille merkittävistä poikkeamista, jotka todennäköisesti vaikuttavat haitallisesti kyseisten palvelujen tarjoamiseen. Kunkin jäsenvaltion on varmistettava, että kyseiset toimijat ilmoittavat muun muassa kaikki tiedot, joiden avulla CSIRT-yksikkö tai tapauksen mukaan toimivaltainen viranomainen voi määrittää poikkeaman mahdolliset rajatylittävät vaikutukset. Ilmoittaminen ei itsessään lisää ilmoituksen tehneen toimijan vastuuta.

Jos asianomaiset toimijat ilmoittavat toimivaltaiselle viranomaiselle merkittävästä poikkeamasta ensimmäisen alakohdan nojalla, jäsenvaltion on varmistettava, että kyseinen toimivaltainen viranomainen heti ilmoituksen saatuaan toimittaa sen eteenpäin CSIRT-yksikölle.

Rajatylittävän tai useaa toimialaa koskevan merkittävän poikkeaman tapauksessa jäsenvaltioiden on varmistettava, että niiden keskitetyt yhteyspisteet saavat hyvissä ajoin 4 kohdan mukaisesti ilmoitetut asiaankuuluvat tiedot.

2.   Jäsenvaltioiden on tapauksen mukaan varmistettava, että keskeiset ja tärkeät toimijat tiedottavat ilman aiheetonta viivytystä niille palvelujensa vastaanottajille, joihin merkittävä kyberuhka saattaa vaikuttaa, kaikista toimenpiteistä tai korjaavista toimista, joita kyseiset palvelun vastaanottajat voivat uhkan hallitsemiseksi toteuttaa. Toimijoiden on tarvittaessa myös tiedotettava kyseisille palvelun vastaanottajille merkittävästä kyberuhkasta itsestään.

3.   Poikkeama katsotaan merkittäväksi, jos

| a) | se on aiheuttanut tai voi aiheuttaa palvelujen vakavan toimintahäiriön tai asianomaiselle toimijalle taloudellisia tappioita; |
| --- | --- |

a)

se on aiheuttanut tai voi aiheuttaa palvelujen vakavan toimintahäiriön tai asianomaiselle toimijalle taloudellisia tappioita;

| b) | poikkeama on vaikuttanut tai voi vaikuttaa muihin luonnollisiin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa. |
| --- | --- |

b)

poikkeama on vaikuttanut tai voi vaikuttaa muihin luonnollisiin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa.

4.   Jäsenvaltioiden on varmistettava, että 1 kohdan nojalla tehtävää ilmoittamista varten asianomaiset toimijat toimittavat CSIRT-yksikölle tai tapauksen mukaan toimivaltaiselle viranomaiselle

| a) | ilman aiheetonta viivytystä ja joka tapauksessa 24 tunnin kuluessa siitä, kun ne ovat tulleet tietoisiksi poikkeamasta, ennakkovaroituksen, jossa on tapauksen mukaan ilmoitettava, epäilläänkö merkittävän poikkeaman johtuvan lainvastaisista tai vihamielisistä teoista tai voiko sillä olla rajatylittäviä vaikutuksia; |
| --- | --- |

a)

ilman aiheetonta viivytystä ja joka tapauksessa 24 tunnin kuluessa siitä, kun ne ovat tulleet tietoisiksi poikkeamasta, ennakkovaroituksen, jossa on tapauksen mukaan ilmoitettava, epäilläänkö merkittävän poikkeaman johtuvan lainvastaisista tai vihamielisistä teoista tai voiko sillä olla rajatylittäviä vaikutuksia;

| b) | ilman aiheetonta viivytystä ja joka tapauksessa 72 tunnin kuluessa siitä, kun ne ovat tulleet tietoisiksi merkittävästä poikkeamasta, poikkeamailmoituksen, jossa on tapauksen mukaan ajantasaistettava a alakohdassa tarkoitetut tiedot ja esitettävä ensimmäinen arvio merkittävästä poikkeamasta, sen vakavuudesta ja vaikutuksista sekä vaarantumisindikaattorit, jos sellaisia on saatavilla; |
| --- | --- |

b)

ilman aiheetonta viivytystä ja joka tapauksessa 72 tunnin kuluessa siitä, kun ne ovat tulleet tietoisiksi merkittävästä poikkeamasta, poikkeamailmoituksen, jossa on tapauksen mukaan ajantasaistettava a alakohdassa tarkoitetut tiedot ja esitettävä ensimmäinen arvio merkittävästä poikkeamasta, sen vakavuudesta ja vaikutuksista sekä vaarantumisindikaattorit, jos sellaisia on saatavilla;

| c) | CSIRT-yksikön tai tapauksen mukaan toimivaltaisen viranomaisen pyynnöstä väliraportin asiaan liittyvistä tilannepäivityksistä; |
| --- | --- |

c)

CSIRT-yksikön tai tapauksen mukaan toimivaltaisen viranomaisen pyynnöstä väliraportin asiaan liittyvistä tilannepäivityksistä;

| d) | viimeistään kuukauden kuluttua b alakohdan mukaisen poikkeamailmoituksen toimittamisesta lopullisen raportin, joka sisältää seuraavat tiedot:






  i) | yksityiskohtainen kuvaus poikkeamasta, sen vakavuus ja vaikutukset mukaan lukien; |
| --- | --- | --- |

d)

viimeistään kuukauden kuluttua b alakohdan mukaisen poikkeamailmoituksen toimittamisesta lopullisen raportin, joka sisältää seuraavat tiedot:

i)

yksityiskohtainen kuvaus poikkeamasta, sen vakavuus ja vaikutukset mukaan lukien;

| ii) | poikkeaman todennäköisesti aiheuttaneen uhkan tai juurisyyn tyyppi; |
| --- | --- |

ii)

poikkeaman todennäköisesti aiheuttaneen uhkan tai juurisyyn tyyppi;

| iii) | toteutetut ja meneillään olevat toimenpiteet vaikutusten lieventämiseksi; |
| --- | --- |

iii)

toteutetut ja meneillään olevat toimenpiteet vaikutusten lieventämiseksi;

| iv) | tapauksen mukaan poikkeaman rajatylittävät vaikutukset; |
| --- | --- |

iv)

tapauksen mukaan poikkeaman rajatylittävät vaikutukset;

| e) | jos poikkeama on edelleen meneillään silloin, kun d alakohdassa tarkoitettu lopullinen raportti pitäisi toimittaa, jäsenvaltioiden on varmistettava, että asianomaiset toimijat toimittavat tuolloin edistymisraportin ja lopullisen raportin kuukauden kuluessa siitä, kun ne ovat käsitelleet poikkeaman. |
| --- | --- |

e)

jos poikkeama on edelleen meneillään silloin, kun d alakohdassa tarkoitettu lopullinen raportti pitäisi toimittaa, jäsenvaltioiden on varmistettava, että asianomaiset toimijat toimittavat tuolloin edistymisraportin ja lopullisen raportin kuukauden kuluessa siitä, kun ne ovat käsitelleet poikkeaman.

Poiketen siitä, mitä ensimmäisen alakohdan b alakohdassa säädetään, luottamuspalvelun tarjoajan on ilmoitettava merkittävistä poikkeamista, jotka vaikuttavat sen luottamuspalvelujen tarjontaan, CSIRT-yksikölle tai tapauksen mukaan toimivaltaiselle viranomaiselle ilman aiheetonta viivytystä ja joka tapauksessa 24 tunnin kuluessa siitä, kun se on tullut tietoiseksi merkittävästä poikkeamasta.

5.   CSIRT-yksikön tai toimivaltaisen viranomaisen on ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 24 tunnin kuluessa 4 kohdan a alakohdassa tarkoitetun ennakkovaroituksen vastaanottamisesta annettava ilmoituksen tehneelle toimijalle vastaus, johon sisältyy alustava palaute merkittävästä poikkeamasta sekä kyseisen toimijan pyynnöstä ohjeita tai operatiivisia neuvoja mahdollisten vaikutuksia lieventävien toimenpiteiden täytäntöönpanoa varten. Jos CSIRT-yksikkö ei ole 1 kohdassa tarkoitetun ilmoituksen alkuperäinen vastaanottaja, toimivaltaisen viranomaisen on annettava ohjeet yhteistyössä CSIRT-yksikön kanssa. CSIRT-yksikkö antaa täydentävää teknistä tukea, jos asianomainen toimija sitä pyytää. Jos merkittävää poikkeamaa epäillään rikokseksi, CSIRT-yksikön tai toimivaltaisen viranomaisen on myös annettava ohjeita merkittävän poikkeaman ilmoittamisesta lainvalvontaviranomaisille.

6.   CSIRT-yksikön, toimivaltaisen viranomaisen tai keskitetyn yhteyspisteen on tarvittaessa ja erityisesti silloin, kun merkittävä poikkeama koskee vähintään kahta jäsenvaltiota, tiedotettava merkittävästä poikkeamasta ilman aiheetonta viivytystä niille muille jäsenvaltioille, joihin poikkeama vaikuttaa, ja ENISAlle. Tällöin annettaviin tietoihin on sisällyttävä sen tyyppisiä tietoja kuin on vastaanotettu 4 kohdan mukaisesti. Näin tehdessään CSIRT-yksikön, toimivaltaisen viranomaisen tai keskitetyn yhteyspisteen on unionin oikeuden tai kansallisen lainsäädännön mukaisesti säilytettävä toimijan turvallisuusedut ja kaupalliset edut sekä annettujen tietojen luottamuksellisuus.

7.   Jos yleinen tietoisuus on tarpeen merkittävän poikkeaman estämiseksi tai meneillään olevan merkittävän poikkeaman käsittelemiseksi tai jos merkittävän poikkeaman julkistaminen on muutoin yleisen edun mukaista, jäsenvaltion CSIRT-yksikkö tai tapauksen mukaan sen toimivaltainen viranomainen sekä tarvittaessa muiden asianomaisten jäsenvaltioiden CSIRT-yksiköt tai toimivaltaiset viranomaiset voivat asianomaista toimijaa kuultuaan tiedottaa merkittävästä poikkeamasta yleisölle tai vaatia toimijaa tekemään niin.

8.   Keskitetyn yhteyspisteen on CSIRT-yksikön tai toimivaltaisen viranomaisen pyynnöstä toimitettava 1 kohdan mukaisesti saadut ilmoitukset eteenpäin niiden muiden jäsenvaltioiden keskitetyille yhteyspisteille, joihin poikkeama vaikuttaa.

9.   Keskitetyn yhteyspisteen on toimitettava ENISAlle kolmen kuukauden välein yhteenvetoraportti, joka sisältää anonymisoidut koontitiedot merkittävistä poikkeamista, poikkeamista, kyberuhkista ja läheltä piti -tilanteista, joista on ilmoitettu tämän artiklan 1 kohdan ja 30 artiklan mukaisesti. Edistääkseen toimitettavien tietojen vertailukelpoisuutta ENISA voi antaa teknisiä ohjeita yhteenvetoraporttiin sisällytettävien tietojen parametreista. ENISA tiedottaa kuuden kuukauden välein yhteistyöryhmälle ja CSIRT-verkostolle saatuja ilmoituksia koskevista havainnoistaan.

10.   CSIRT-yksiköiden tai tapauksen mukaan toimivaltaisten viranomaisten on toimitettava direktiivin (EU) 2022/2557 mukaisille toimivaltaisille viranomaisille tietoa merkittävistä poikkeamista, poikkeamista, kyberuhkista ja läheltä piti -tilanteista, joista direktiivin (EU) 2022/2557 nojalla kriittisiksi toimijoiksi määritetyt toimijat ovat ilmoittaneet tämän artiklan 1 kohdan ja 30 artiklan mukaisesti.

11.   Komissio voi hyväksyä täytäntöönpanosäädöksiä, joissa täsmennetään tämän artiklan 1 kohdan ja 30 artiklan nojalla tehtävän ilmoituksen sekä tämän artiklan 2 kohdan nojalla annettavan tiedonannon tietosisältö, muoto ja ilmoitusmenettely.

Komissio hyväksyy viimeistään 17 päivänä lokakuuta 2024 DNS-palveluntarjoajia, aluetunnusrekistereitä, pilvipalvelujen tarjoajia, datakeskuspalvelujen tarjoajia, sisällönjakeluverkkojen tarjoajia, hallintapalvelun tarjoajia, tietoturvapalveluntarjoajia sekä verkossa toimivien markkinapaikkojen tarjoajia, verkossa toimivien hakukoneiden tarjoajia ja verkkoyhteisöalustojen tarjoajia koskevia täytäntöönpanosäädöksiä, joissa täsmennetään tapaukset, joissa poikkeama katsotaan merkittäväksi 3 kohdan mukaisesti. Komissio voi hyväksyä tällaisia täytäntöönpanosäädöksiä muitakin keskeisiä ja tärkeitä toimijoita varten.

Komissio vaihtaa neuvoja ja tekee yhteistyötä yhteistyöryhmän kanssa 14 artiklan 4 kohdan e alakohdan mukaisesti, kun kyse on tämän kohdan ensimmäisessä ja toisessa alakohdassa tarkoitetuista ehdotuksista täytäntöönpanosäädöksiksi.

Nämä täytäntöönpanosäädökset hyväksytään 39 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

24 artikla

Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien käyttö

1.   Tiettyjen 21 artiklan vaatimusten noudattamisen osoittamiseksi jäsenvaltiot voivat vaatia keskeisiä ja tärkeitä toimijoita käyttämään määrättyjä, keskeisen tai tärkeän toimijan itse kehittämiä tai kolmansilta osapuolilta hankittavia TVT-tuotteita, TVT-palveluja ja TVT-prosesseja, jotka on sertifioitu asetuksen (EU) 2019/881 49 artiklan nojalla hyväksyttyjen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien mukaisesti. Lisäksi jäsenvaltioiden on kannustettava keskeisiä ja tärkeitä toimijoita käyttämään hyväksyttyjä luottamuspalveluja.

2.   Siirretään komissiolle valta antaa 38 artiklan mukaisesti delegoituja säädöksiä, joilla täydennetään tätä direktiiviä täsmentämällä, mitä keskeisten ja tärkeiden toimijoiden luokkia on vaadittava käyttämään tiettyjä sertifioituja TVT-tuotteita, TVT-palveluja ja TVT-prosesseja tai hankkimaan sertifiointi asetuksen (EU) 2019/881 49 artiklan nojalla hyväksytyn eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisesti. Tällaisia delegoituja säädöksiä annetaan, kun on havaittu, että kyberturvallisuus ei ole riittävän korkealla tasolla, ja niissä säädetään täytäntöönpanokaudesta.

Ennen tällaisten delegoitujen säädösten hyväksymistä komissio tekee vaikutustenarvioinnin ja toteuttaa kuulemisia asetuksen (EU) 2019/881 56 artiklan mukaisesti.

3.   Jos tämän artiklan 2 kohdan soveltamiseksi ei ole saatavilla asianmukaista eurooppalaista kyberturvallisuuden sertifiointijärjestelmää, komissio voi yhteistyöryhmää ja Euroopan kyberturvallisuuden sertifiointiryhmää kuultuaan pyytää ENISAa valmistelemaan ehdolla olevan järjestelmän asetuksen (EU) 2019/881 48 artiklan 2 kohdan nojalla.

25 artikla

Standardointi

1.   Jäsenvaltioiden on 21 artiklan 1 ja 2 kohdan yhdenmukaisen täytäntöönpanon edistämiseksi kannustettava käyttämään verkko- ja tietojärjestelmien turvallisuuden kannalta merkityksellisiä eurooppalaisia ja kansainvälisiä standardeja ja teknisiä eritelmiä ilman, että ne määräävät käyttämään jotain tiettyä teknologiaa tai harjoittavat syrjintää jonkin tietyn teknologian käytön suosimiseksi.

2.   ENISA antaa yhteistyössä jäsenvaltioiden kanssa ja tarvittaessa asiaankuuluvia sidosryhmiä kuultuaan neuvoja ja ohjeita teknisistä osa-alueista, jotka on otettava huomioon 1 kohtaa sovellettaessa, sekä jo olemassa olevista, myös kansallisista, standardeista, joiden avulla nämä osa-alueet tulisivat katetuiksi.

V LUKU

LAINKÄYTTÖVALTA JA REKISTERÖINTI

26 artikla

Lainkäyttövalta ja alueellisuus

1.   Tämän direktiivin soveltamisalaan kuuluvien toimijoiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, johon ne ovat sijoittautuneet, lukuun ottamatta seuraavia:

| a) | yleisten sähköisten viestintäverkkojen tarjoajat tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat, joiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa ne tarjoavat palvelujaan; |
| --- | --- |

a)

yleisten sähköisten viestintäverkkojen tarjoajat tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat, joiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa ne tarjoavat palvelujaan;

| b) | DNS-palveluntarjoajat, aluetunnusrekisterit, verkkotunnusten rekisteröintipalveluja tarjoavat toimijat, pilvipalvelujen tarjoajat, datakeskuspalvelujen tarjoajat, sisällönjakeluverkkojen tarjoajat, hallintapalvelun tarjoajat, tietoturvapalveluntarjoajat sekä verkossa toimivien markkinapaikkojen, verkossa toimivien hakukoneiden tai verkkoyhteisöalustojen tarjoajat, joiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa niiden päätoimipaikka on unionissa 2 kohdan mukaisesti; |
| --- | --- |

b)

DNS-palveluntarjoajat, aluetunnusrekisterit, verkkotunnusten rekisteröintipalveluja tarjoavat toimijat, pilvipalvelujen tarjoajat, datakeskuspalvelujen tarjoajat, sisällönjakeluverkkojen tarjoajat, hallintapalvelun tarjoajat, tietoturvapalveluntarjoajat sekä verkossa toimivien markkinapaikkojen, verkossa toimivien hakukoneiden tai verkkoyhteisöalustojen tarjoajat, joiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa niiden päätoimipaikka on unionissa 2 kohdan mukaisesti;

| c) | julkishallinnon toimijat, joiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, joka ne on perustanut. |
| --- | --- |

c)

julkishallinnon toimijat, joiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, joka ne on perustanut.

2.   Tätä direktiiviä sovellettaessa 1 kohdan b alakohdassa tarkoitetun toimijan päätoimipaikan katsotaan olevan unionissa siinä jäsenvaltiossa, jossa kyberturvallisuusriskien hallintatoimenpiteisiin liittyvät päätökset pääsääntöisesti tehdään. Jos tällaista jäsenvaltiota ei voida määrittää tai jos tällaisia päätöksiä ei tehdä unionissa, päätoimipaikan katsotaan sijaitsevan jäsenvaltiossa, jossa kyberturvallisuustoiminnot toteutetaan. Jos tällaista jäsenvaltiota ei voida määrittää, päätoimipaikan katsotaan sijaitsevan jäsenvaltiossa, jossa asianomaisella toimijalla on eniten työntekijöitä työllistävä toimipaikka unionissa.

3.   Jos 1 kohdan b alakohdassa tarkoitettu toimija ei ole sijoittautunut unioniin mutta tarjoaa palveluja unionissa, sen on nimettävä itselleen edustaja unioniin. Edustajan on oltava sijoittautunut johonkin niistä jäsenvaltioista, joissa palveluja tarjotaan. Tällaisen toimijan katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, johon sen edustaja on sijoittautunut. Jos toimijalla ei ole unionissa tämän kohdan nojalla nimettyä edustajaa, mikä tahansa jäsenvaltio, jossa toimija tarjoaa palveluja, voi ryhtyä oikeustoimiin toimijaa vastaan tämän direktiivin rikkomisen vuoksi.

4.   Se, että 1 kohdan b alakohdassa tarkoitettu toimija nimeää edustajan, ei rajoita oikeustoimia, joita voidaan panna vireille toimijaa itseään vastaan.

5.   Jäsenvaltiot, jotka ovat saaneet 1 kohdan b alakohdassa tarkoitettuun toimijaan liittyvän keskinäistä avunantoa koskevan pyynnön, voivat kyseisen pyynnön asettamissa rajoissa toteuttaa asianmukaisia valvonta- ja täytäntöönpanotoimenpiteitä suhteessa asianomaiseen toimijaan, joka tarjoaa palveluja tai jolla on verkko- ja tietojärjestelmä niiden alueella.

27 artikla

Toimijoiden rekisteri

1.   ENISA perustaa DNS-palveluntarjoajien, aluetunnusrekisterien, verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden, pilvipalvelujen tarjoajien, datakeskuspalvelujen tarjoajien, sisällönjakeluverkkojen tarjoajien, hallintapalvelun tarjoajien, tietoturvapalveluntarjoajien sekä verkossa toimivien markkinapaikkojen tarjoajien, verkossa toimivien hakukoneiden tarjoajien ja verkkoyhteisöalustojen tarjoajien rekisterin ja ylläpitää sitä käyttäen keskitetyiltä yhteyspisteiltä saatuja tietoja 4 kohdan mukaisesti. ENISA antaa pyynnöstä toimivaltaisille viranomaisille pääsyn kyseiseen rekisteriin ja varmistaa tarvittaessa tietojen luottamuksellisuuden suojaamisen.

2.   Jäsenvaltioiden on edellytettävä, että 1 kohdassa tarkoitetut toimijat toimittavat viimeistään 17 päivänä tammikuuta 2025 toimivaltaisille viranomaisille seuraavat tiedot:

| a) | toimijan nimi; |
| --- | --- |

a)

toimijan nimi;

| b) | tapauksen mukaan liitteessä I tai II tarkoitettu asiaankuuluva toimiala, toimialan osa ja toimijatyyppi; |
| --- | --- |

b)

tapauksen mukaan liitteessä I tai II tarkoitettu asiaankuuluva toimiala, toimialan osa ja toimijatyyppi;

| c) | toimijan päätoimipaikan ja muiden unionissa sijaitsevien laillisten toimipaikkojen osoite tai, jos toimija ei ole sijoittautunut unioniin, sen 26 artiklan 3 kohdan nojalla nimetyn edustajan osoite; |
| --- | --- |

c)

toimijan päätoimipaikan ja muiden unionissa sijaitsevien laillisten toimipaikkojen osoite tai, jos toimija ei ole sijoittautunut unioniin, sen 26 artiklan 3 kohdan nojalla nimetyn edustajan osoite;

| d) | toimijan ja tarvittaessa sen 26 artiklan 3 kohdan nojalla nimetyn edustajan ajantasaiset yhteystiedot, mukaan lukien sähköpostiosoitteet ja puhelinnumerot; |
| --- | --- |

d)

toimijan ja tarvittaessa sen 26 artiklan 3 kohdan nojalla nimetyn edustajan ajantasaiset yhteystiedot, mukaan lukien sähköpostiosoitteet ja puhelinnumerot;

| e) | jäsenvaltiot, joissa toimija tarjoaa palveluja; ja |
| --- | --- |

e)

jäsenvaltiot, joissa toimija tarjoaa palveluja; ja

| f) | toimijan IP-osoitealueet. |
| --- | --- |

f)

toimijan IP-osoitealueet.

3.   Jäsenvaltioiden on varmistettava, että 1 kohdassa tarkoitetut toimijat ilmoittavat toimivaltaiselle viranomaiselle kaikista muutoksista 2 kohdan mukaisesti toimittamiinsa tietoihin viipymättä ja joka tapauksessa kolmen kuukauden kuluessa muutospäivästä.

4.   Kun asianomaisen jäsenvaltion keskitetty yhteyspiste saa 2 ja 3 kohdassa tarkoitetut tiedot, lukuun ottamatta 2 kohdan f alakohdassa tarkoitettuja tietoja, sen on toimitettava ne ilman aiheetonta viivytystä ENISAlle.

5.   Tämän artiklan 2 ja 3 kohdassa tarkoitetut tiedot on tapauksen mukaan toimitettava 3 artiklan 4 kohdan neljännessä alakohdassa tarkoitettujen kansallisten järjestelyjen välityksellä.

28 artikla

Verkkotunnusten rekisteröintitietojen tietokanta

1.   DNS-järjestelmän turvallisuuden, vakauden ja häiriönsietokyvyn edistämiseksi jäsenvaltioiden on edellytettävä, että aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat keräävät ja ylläpitävät tarkkoja ja täydellisiä verkkotunnusten rekisteröintitietoja erityisessä tietokannassa noudattaen unionin tietosuojalainsäädännön mukaisesti asianmukaista huolellisuutta henkilötietojen suhteen.

2.   Edellä olevan 1 kohdan soveltamiseksi jäsenvaltioiden on edellytettävä, että verkkotunnusten rekisteröintitietojen tietokanta sisältää tarvittavat tiedot, jotta verkkotunnusten haltijat ja aluetunnusrekistereissä verkkotunnuksia hallinnoivat yhteyspisteet voidaan tunnistaa ja niihin voidaan ottaa yhteyttä. Näihin tietoihin on sisällyttävä

| a) | verkkotunnus; |
| --- | --- |

a)

verkkotunnus;

| b) | rekisteröintipäivä; |
| --- | --- |

b)

rekisteröintipäivä;

| c) | verkkotunnuksen rekisteröijän nimi, yhteyssähköpostiosoite ja puhelinnumero; |
| --- | --- |

c)

verkkotunnuksen rekisteröijän nimi, yhteyssähköpostiosoite ja puhelinnumero;

| d) | verkkotunnusta hallinnoivan yhteyspisteen yhteyssähköpostiosoite ja puhelinnumero, jos ne eivät ole samat kuin verkkotunnuksen rekisteröijän. |
| --- | --- |

d)

verkkotunnusta hallinnoivan yhteyspisteen yhteyssähköpostiosoite ja puhelinnumero, jos ne eivät ole samat kuin verkkotunnuksen rekisteröijän.

3.   Jäsenvaltioiden on edellytettävä, että aluetunnusrekistereillä ja verkkotunnusten rekisteröintipalveluja tarjoavilla toimijoilla on käytössä toimintaperiaatteet ja menettelyt, myös tarkastusmenettelyt, joilla varmistetaan, että 1 kohdassa tarkoitetut tietokannat sisältävät tarkat ja täydelliset tiedot. Jäsenvaltioiden on edellytettävä, että tiedot tällaisista toimintaperiaatteista ja menettelyistä asetetaan julkisesti saataville.

4.   Jäsenvaltioiden on edellytettävä, että aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat asettavat julkisesti saataville ilman aiheetonta viivytystä verkkotunnuksen rekisteröinnin jälkeen muut verkkotunnuksen rekisteröintitiedot kuin henkilötiedot.

5.   Jäsenvaltioiden on edellytettävä, että aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat antavat pääsyn tarkasti määrättyihin verkkotunnusten rekisteröintitietoihin unionin tietosuojalainsäädännön mukaisesti, kun pääsyä oikeutetusti pyytävä esittää lainmukaisen ja asianmukaisesti perustellun pyynnön. Jäsenvaltioiden on edellytettävä, että aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat vastaavat tietoihin pääsyä koskeviin pyyntöihin ilman aiheetonta viivytystä ja joka tapauksessa 72 tunnin kuluessa pyynnön vastaanottamisesta. Jäsenvaltioiden on edellytettävä, että tällaisten tietojen luovuttamista koskevat toimintaperiaatteet ja menettelyt asetetaan julkisesti saataville.

6.   Edellä 1–5 kohdassa säädettyjen velvoitteiden noudattaminen ei saa johtaa päällekkäisyyksiin verkkotunnusten rekisteröintitietojen keruussa. Tätä varten jäsenvaltioiden on edellytettävä, että aluetunnusrekisterit ja verkkotunnusten rekisteröintipalveluja tarjoavat toimijat tekevät yhteistyötä keskenään.

VI LUKU

TIETOJENVAIHTO

29 artikla

Kyberturvallisuustietojen jakamisjärjestelyt

1)   Jäsenvaltioiden on varmistettava, että tämän direktiivin soveltamisalaan kuuluvat toimijat ja tapauksen mukaan muut toimijat, jotka eivät kuulu tämän direktiivin soveltamisalaan, voivat vapaaehtoisesti vaihtaa keskenään asiaankuuluvia kyberturvallisuustietoja, mukaan lukien tietoja kyberuhkista, läheltä piti -tilanteista, haavoittuvuuksista, tekniikoista ja menettelyistä, vaarantumisindikaattoreista, kyberhyökkäystaktiikoista, yksittäisistä uhkatoimijoista, kyberturvallisuushälytyksistä ja suosituksista, jotka koskevat kyberhyökkäysten havaitsemiseen käytettävien kyberturvallisuustyökalujen konfigurointia, kun tällaisella tietojenvaihdolla

| a) | pyritään ehkäisemään, havaitsemaan ja hallitsemaan poikkeamia tai palautumaan niistä tai lieventämään niiden vaikutuksia; |
| --- | --- |

a)

pyritään ehkäisemään, havaitsemaan ja hallitsemaan poikkeamia tai palautumaan niistä tai lieventämään niiden vaikutuksia;

| b) | parannetaan kyberturvallisuuden tasoa erityisesti lisäämällä tietoisuutta kyberuhkista, rajoittamalla tai estämällä tällaisten uhkien kykyä levitä, tukemalla erilaisia puolustusvalmiuksia, haavoittuvuuden korjaamista ja julkistamista, uhkien havaitsemis-, rajoittamis- ja ehkäisemistekniikoita, lieventämisstrategioita tai hallinta- ja palautumisvaiheita tai edistämällä julkisten ja yksityisten toimijoiden yhteistyöhön perustuvaa kyberuhkatutkimusta. |
| --- | --- |

b)

parannetaan kyberturvallisuuden tasoa erityisesti lisäämällä tietoisuutta kyberuhkista, rajoittamalla tai estämällä tällaisten uhkien kykyä levitä, tukemalla erilaisia puolustusvalmiuksia, haavoittuvuuden korjaamista ja julkistamista, uhkien havaitsemis-, rajoittamis- ja ehkäisemistekniikoita, lieventämisstrategioita tai hallinta- ja palautumisvaiheita tai edistämällä julkisten ja yksityisten toimijoiden yhteistyöhön perustuvaa kyberuhkatutkimusta.

2.   Jäsenvaltioiden on varmistettava, että tietojenvaihto tapahtuu keskeisten ja tärkeiden toimijoiden sekä tarvittaessa niiden toimittajien tai palveluntarjoajien yhteisöjen sisällä. Tällainen tietojenvaihto on toteutettava kyberturvallisuustietojen jakamisjärjestelyillä, joissa otetaan huomioon jaettujen tietojen mahdollinen arkaluonteisuus.

3.   Jäsenvaltioiden on helpotettava tämän artiklan 2 kohdassa tarkoitettujen kyberturvallisuustietojen jakamisjärjestelyjen perustamista. Tällaisissa järjestelyissä voidaan täsmentää tiedonjakojärjestelyjen operatiiviset osat, mukaan lukien tiettyjen TVT-alustojen ja automatisointityökalujen käyttö, sisältö ja edellytykset. Vahvistaessaan viranomaisten tällaisiin järjestelyihin osallistumisen yksityiskohtia jäsenvaltiot voivat asettaa tiettyjä ehtoja toimivaltaisten viranomaisten tai CSIRT-yksiköiden saataville asettamille tiedoille. Jäsenvaltioiden on tarjouduttava avustamaan tällaisten järjestelyjen soveltamisessa 7 artiklan 2 kohdan h alakohdassa tarkoitettujen toimintaperiaatteidensa mukaisesti.

4.   Jäsenvaltioiden on varmistettava, että keskeiset ja tärkeät toimijat ilmoittavat toimivaltaisille viranomaisille osallistumisestaan 2 kohdassa tarkoitettuihin kyberturvallisuustietojen jakamisjärjestelyihin, kun ne liittyvät tällaisiin järjestelyihin, tai tapauksen mukaan vetäytymisestään tällaisista järjestelyistä, kun vetäytyminen tulee voimaan.

5.   ENISA avustaa 2 kohdassa tarkoitettujen kyberturvallisuustietojen jakamisjärjestelyjen perustamisessa vaihtamalla parhaita käytäntöjä ja antamalla ohjeistusta.

30 artikla

Asiaankuuluvien tietojen vapaaehtoinen ilmoittaminen

1.   Jäsenvaltioiden on varmistettava, että 23 artiklassa säädetyn ilmoitusvelvoitteen lisäksi CSIRT-yksiköille tai tapauksen mukaan toimivaltaisille viranomaisille voivat vapaaehtoisesti tehdä ilmoituksia

| a) | keskeiset ja tärkeät toimijat poikkeamista, kyberuhkista ja läheltä piti -tilanteista; |
| --- | --- |

a)

keskeiset ja tärkeät toimijat poikkeamista, kyberuhkista ja läheltä piti -tilanteista;

| b) | muut kuin a alakohdassa tarkoitetut toimijat riippumatta siitä, kuuluvatko ne tämän direktiivin soveltamisalaan, merkittävistä poikkeamista, kyberuhkista ja läheltä piti -tilanteista. |
| --- | --- |

b)

muut kuin a alakohdassa tarkoitetut toimijat riippumatta siitä, kuuluvatko ne tämän direktiivin soveltamisalaan, merkittävistä poikkeamista, kyberuhkista ja läheltä piti -tilanteista.

2.   Jäsenvaltioiden on käsiteltävä tämän artiklan 1 kohdassa tarkoitetut ilmoitukset 23 artiklassa säädettyä menettelyä noudattaen. Jäsenvaltiot voivat asettaa etusijalle pakollisten ilmoitusten käsittelyn vapaaehtoisten ilmoitusten käsittelyyn nähden.

CSIRT-yksiköiden on tarvittaessa ja toimivaltaisten viranomaisten on tapauksen mukaan toimitettava keskitetyille yhteyspisteille tiedot tämän artiklan nojalla saaduista ilmoituksista varmistaen ilmoituksen tehneen toimijan toimittamien tietojen luottamuksellisuuden ja asianmukaisen suojan. Vapaaehtoinen raportointi ei saa johtaa sellaisten lisävelvoitteiden asettamiseen ilmoituksen tehneelle toimijalle, joita siihen ei olisi sovellettu, jos se ei olisi antanut kyseistä ilmoitusta, sanotun kuitenkaan rajoittamatta rikosten ennalta estämistä, tutkimista, paljastamista ja rikoksiin liittyviä syytetoimia.

VII LUKU

VALVONTA JA TÄYTÄNTÖÖNPANO

31 artikla

Valvontaa ja täytäntöönpanoa koskevat yleiset näkökohdat

1.   Jäsenvaltioiden on varmistettava, että niiden toimivaltaiset viranomaiset valvovat tosiasiallisesti tämän direktiivin noudattamista ja toteuttavat tarvittavat toimenpiteet sen varmistamiseksi.

2.   Jäsenvaltiot voivat sallia sen, että niiden toimivaltaiset viranomaiset asettavat valvontatoimenpiteitä etusijalle. Tällaisessa etusijalle asettamisessa on sovellettava riskiperusteista lähestymistapaa. Toimivaltaiset viranomaiset voivat 32 ja 33 artiklassa säädettyjä valvontatehtäviään suorittaessaan vahvistaa valvontamenetelmiä, joiden ansiosta tällaisia tehtäviä voidaan asettaa etusijalle soveltaen riskiperusteista lähestymistapaa.

3.   Toimivaltaisten viranomaisten on tehtävä tiivistä yhteistyötä asetuksen (EU) 2016/679 mukaisten valvontaviranomaisten kanssa käsitellessään henkilötietojen tietoturvaloukkauksiin johtaneita poikkeamia, sanotun kuitenkaan rajoittamatta kyseisen asetuksen mukaisten valvontaviranomaisten toimivaltaa ja tehtäviä.

4.   Jäsenvaltioiden on varmistettava, että toimivaltaisilla viranomaisilla on valvoessaan julkishallinnon toimijoita tämän direktiivin noudattamisessa ja määrätessään tämän direktiivin rikkomista koskevia täytäntöönpanotoimenpiteitä asianmukaiset valtuudet tällaisten tehtävien suorittamiseksi ja että ne ovat toiminnallisesti riippumattomia valvomistaan julkishallinnon toimijoista, sanotun kuitenkaan rajoittamatta kansallisten lainsäädäntö- ja toimielinkehysten soveltamista. Jäsenvaltiot voivat päättää määrätä kyseisiä toimijoita koskevia asianmukaisia, oikeasuhteisia ja tehokkaita valvonta- ja täytäntöönpanotoimenpiteitä kansallisten lainsäädäntö- ja toimielinkehysten mukaisesti.

32 artikla

Keskeisiin toimijoihin liittyvät valvonta- ja täytäntöönpanotoimenpiteet

1.   Jäsenvaltioiden on varmistettava, että keskeisiä toimijoita koskevat tässä direktiivissä säädettyjen velvoitteiden noudattamisen valvonta- tai täytäntöönpanotoimenpiteet ovat vaikuttavia, oikeasuhteisia ja varoittavia ja että niissä otetaan huomioon kunkin yksittäisen tapauksen olosuhteet.

2.   Jäsenvaltioiden on varmistettava, että hoitaessaan keskeisiä toimijoita koskevia valvontatehtäviään toimivaltaisilla viranomaisilla on valtuudet ainakin seuraaviin:

| a) | koulutettujen ammattilaisten toteuttamat paikalla tehtävät tarkastukset ja muu kuin paikalla toteutettava valvonta, mukaan lukien satunnaistarkastukset; |
| --- | --- |

a)

koulutettujen ammattilaisten toteuttamat paikalla tehtävät tarkastukset ja muu kuin paikalla toteutettava valvonta, mukaan lukien satunnaistarkastukset;

| b) | riippumattoman elimen tai toimivaltaisen viranomaisen suorittamat säännölliset ja kohdennetut turvallisuusauditoinnit; |
| --- | --- |

b)

riippumattoman elimen tai toimivaltaisen viranomaisen suorittamat säännölliset ja kohdennetut turvallisuusauditoinnit;

| c) | tapauskohtaiset auditoinnit, myös kun perusteena on merkittävä poikkeama tai se, että keskeinen toimija on rikkonut tätä direktiiviä; |
| --- | --- |

c)

tapauskohtaiset auditoinnit, myös kun perusteena on merkittävä poikkeama tai se, että keskeinen toimija on rikkonut tätä direktiiviä;

| d) | objektiivisiin, syrjimättömiin, oikeudenmukaisiin ja läpinäkyviin riskinarviointikriteereihin perustuvat turvallisuusskannaukset, tarvittaessa yhteistyössä asianomaisen toimijan kanssa; |
| --- | --- |

d)

objektiivisiin, syrjimättömiin, oikeudenmukaisiin ja läpinäkyviin riskinarviointikriteereihin perustuvat turvallisuusskannaukset, tarvittaessa yhteistyössä asianomaisen toimijan kanssa;

| e) | pyynnöt saada tietoja, jotka ovat tarpeen asianomaisen toimijan hyväksymien kyberturvallisuusriskien hallintatoimenpiteiden arvioimiseksi, mukaan lukien dokumentoidut kyberturvallisuusperiaatteet, sekä tietojen toimittamista toimivaltaisille viranomaisille 27 artiklan nojalla koskevan velvoitteen noudattamisen arvioimiseksi; |
| --- | --- |

e)

pyynnöt saada tietoja, jotka ovat tarpeen asianomaisen toimijan hyväksymien kyberturvallisuusriskien hallintatoimenpiteiden arvioimiseksi, mukaan lukien dokumentoidut kyberturvallisuusperiaatteet, sekä tietojen toimittamista toimivaltaisille viranomaisille 27 artiklan nojalla koskevan velvoitteen noudattamisen arvioimiseksi;

| f) | pyynnöt saada pääsy dataan, asiakirjoihin ja tietoihin, joita ne tarvitsevat valvontatehtäviensä suorittamiseksi; |
| --- | --- |

f)

pyynnöt saada pääsy dataan, asiakirjoihin ja tietoihin, joita ne tarvitsevat valvontatehtäviensä suorittamiseksi;

| g) | pyynnöt saada näyttöä kyberturvallisuusperiaatteiden täytäntöönpanosta, kuten pätevän tarkastajan suorittamien turvallisuusauditointien tulokset ja niiden perustana oleva näyttö. |
| --- | --- |

g)

pyynnöt saada näyttöä kyberturvallisuusperiaatteiden täytäntöönpanosta, kuten pätevän tarkastajan suorittamien turvallisuusauditointien tulokset ja niiden perustana oleva näyttö.

Ensimmäisen alakohdan b alakohdassa tarkoitettujen kohdennettujen turvallisuusauditointien on perustuttava toimivaltaisen viranomaisen tai auditoinnin kohteena olevan toimijan tekemiin riskinarviointeihin tai muihin riskeistä saatavilla oleviin tietoihin.

Kohdennetun turvallisuusauditoinnin tulokset on asetettava toimivaltaisen viranomaisen saataville. Auditoinnin kohteena oleva toimija vastaa riippumattoman elimen suorittaman kohdennetun turvallisuusauditoinnin kustannuksista, jollei toimivaltainen viranomainen asianmukaisesti perustelluissa tapauksissa päätä toisin.

3.   Käyttäessään 2 kohdan e, f tai g alakohtaan perustuvia valtuuksiaan toimivaltaisten viranomaisten on ilmoitettava pyynnön tarkoitus ja täsmennettävä pyydetyt tiedot.

4.   Jäsenvaltioiden on varmistettava, että niiden toimivaltaisilla viranomaisilla on käyttäessään täytäntöönpanovaltuuksiaan keskeisten toimijoiden suhteen ainakin valtuudet

| a) | antaa varoituksia, kun asianomaiset toimijat rikkovat tätä direktiiviä; |
| --- | --- |

a)

antaa varoituksia, kun asianomaiset toimijat rikkovat tätä direktiiviä;

| b) | antaa asianomaisille toimijoille sitovia ohjeita, myös poikkeaman ehkäisemiseksi tai korjaamiseksi tarvittavista toimenpiteistä sekä tällaisten toimenpiteiden täytäntöönpanon määräajoista ja täytäntöönpanosta raportoinnin määräajoista, tai määräys, joissa tai jossa ne velvoitetaan korjaamaan havaitut puutteet tai tämän direktiivin rikkominen; |
| --- | --- |

b)

antaa asianomaisille toimijoille sitovia ohjeita, myös poikkeaman ehkäisemiseksi tai korjaamiseksi tarvittavista toimenpiteistä sekä tällaisten toimenpiteiden täytäntöönpanon määräajoista ja täytäntöönpanosta raportoinnin määräajoista, tai määräys, joissa tai jossa ne velvoitetaan korjaamaan havaitut puutteet tai tämän direktiivin rikkominen;

| c) | määrätä asianomaiset toimijat lopettamaan tämän direktiivin vastainen toiminta ja pidättäytymään tästä toiminnasta vastaisuudessa; |
| --- | --- |

c)

määrätä asianomaiset toimijat lopettamaan tämän direktiivin vastainen toiminta ja pidättäytymään tästä toiminnasta vastaisuudessa;

| d) | määrätä asianomaiset toimijat varmistamaan, että niiden kyberturvallisuusriskien hallintatoimenpiteet ovat 21 artiklan mukaisia, tai täyttämään 23 artiklassa säädetyt raportointivelvoitteensa määrätyllä tavalla ja määrätyn ajan kuluessa; |
| --- | --- |

d)

määrätä asianomaiset toimijat varmistamaan, että niiden kyberturvallisuusriskien hallintatoimenpiteet ovat 21 artiklan mukaisia, tai täyttämään 23 artiklassa säädetyt raportointivelvoitteensa määrätyllä tavalla ja määrätyn ajan kuluessa;

| e) | määrätä asianomaiset toimijat tiedottamaan niille luonnollisille henkilöille tai oikeushenkilöille, joille ne tarjoavat palvelujaan tai toimintojaan ja joihin merkittävä kyberuhka saattaa vaikuttaa, uhkan luonteesta sekä mahdollisista suojatoimenpiteistä tai korjaavista toimenpiteistä, joita kyseiset luonnolliset henkilöt tai oikeushenkilöt voivat uhkan hallitsemiseksi toteuttaa; |
| --- | --- |

e)

määrätä asianomaiset toimijat tiedottamaan niille luonnollisille henkilöille tai oikeushenkilöille, joille ne tarjoavat palvelujaan tai toimintojaan ja joihin merkittävä kyberuhka saattaa vaikuttaa, uhkan luonteesta sekä mahdollisista suojatoimenpiteistä tai korjaavista toimenpiteistä, joita kyseiset luonnolliset henkilöt tai oikeushenkilöt voivat uhkan hallitsemiseksi toteuttaa;

| f) | määrätä asianomaiset toimijat panemaan täytäntöön turvallisuusauditoinnin tuloksena annetut suositukset kohtuullisessa määräajassa; |
| --- | --- |

f)

määrätä asianomaiset toimijat panemaan täytäntöön turvallisuusauditoinnin tuloksena annetut suositukset kohtuullisessa määräajassa;

| g) | nimetä valvova virkamies, joka valvoo tarkoin määriteltyjen tehtävien puitteissa määräkauden ajan, että asianomaiset toimijat noudattavat 21 ja 23 artiklaa; |
| --- | --- |

g)

nimetä valvova virkamies, joka valvoo tarkoin määriteltyjen tehtävien puitteissa määräkauden ajan, että asianomaiset toimijat noudattavat 21 ja 23 artiklaa;

| h) | määrätä asianomaiset toimijat julkistamaan määrätyllä tavalla seikat, jotka liittyvät tämän direktiivin rikkomiseen; |
| --- | --- |

h)

määrätä asianomaiset toimijat julkistamaan määrätyllä tavalla seikat, jotka liittyvät tämän direktiivin rikkomiseen;

| i) | määrätä tai pyytää asiaankuuluvia elimiä tai tuomioistuimia määräämään kansallisen lainsäädännön mukaisesti hallinnollisia sakkoja 34 artiklan nojalla minkä tahansa tämän kohdan a–h alakohdassa tarkoitetun toimenpiteen lisäksi. |
| --- | --- |

i)

määrätä tai pyytää asiaankuuluvia elimiä tai tuomioistuimia määräämään kansallisen lainsäädännön mukaisesti hallinnollisia sakkoja 34 artiklan nojalla minkä tahansa tämän kohdan a–h alakohdassa tarkoitetun toimenpiteen lisäksi.

5.   Jos 4 kohdan a–d ja f alakohdan nojalla toteutetut täytäntöönpanotoimenpiteet eivät tuota tulosta, jäsenvaltioiden on varmistettava, että toimivaltaisilla viranomaisilla on valtuudet asettaa määräaika, jonka kuluessa keskeistä toimijaa kehotetaan toteuttamaan tarvittavat toimet puutteiden korjaamiseksi tai kyseisten viranomaisten vaatimusten noudattamiseksi. Jos pyydettyjä toimia ei toteuteta asetetussa määräajassa, jäsenvaltioiden on varmistettava, että toimivaltaisilla viranomaisilla on valtuudet

| a) | keskeyttää väliaikaisesti tai pyytää sertifiointi- tai lupaelintä tai tuomioistuinta keskeyttämään väliaikaisesti kansallisen lainsäädännön mukaisesti sertifiointi tai lupa, joka koskee keskeisen toimijan tarjoamia kaikkia asiaankuuluvia palveluja tai toimintoja tai osaa niistä; |
| --- | --- |

a)

keskeyttää väliaikaisesti tai pyytää sertifiointi- tai lupaelintä tai tuomioistuinta keskeyttämään väliaikaisesti kansallisen lainsäädännön mukaisesti sertifiointi tai lupa, joka koskee keskeisen toimijan tarjoamia kaikkia asiaankuuluvia palveluja tai toimintoja tai osaa niistä;

| b) | pyytää asiaankuuluvia elimiä tai tuomioistuimia kieltämään väliaikaisesti kansallisen lainsäädännön mukaisesti ketä tahansa luonnollista henkilöä, joka hoitaa keskeisen toimijan johtotehtäviä toimitusjohtajan tai laillisen edustajan tasolla, hoitamasta kyseisen toimijan johtotehtäviä. |
| --- | --- |

b)

pyytää asiaankuuluvia elimiä tai tuomioistuimia kieltämään väliaikaisesti kansallisen lainsäädännön mukaisesti ketä tahansa luonnollista henkilöä, joka hoitaa keskeisen toimijan johtotehtäviä toimitusjohtajan tai laillisen edustajan tasolla, hoitamasta kyseisen toimijan johtotehtäviä.

Tämän kohdan nojalla määrättyjä väliaikaisia keskeyttämisiä tai kieltoja on sovellettava ainoastaan siihen asti, kun asianomainen toimija toteuttaa tarvittavat toimet korjatakseen ne puutteet tai noudattaakseen niitä toimivaltaisen viranomaisen vaatimuksia, joiden johdosta seuraamukset määrättiin. Tällaisten väliaikaisten keskeyttämisten tai kieltojen määräämiseen on sovellettava asianmukaisia menettelytakeita unionin oikeuden yleisten periaatteiden ja perusoikeuskirjan mukaisesti, mukaan lukien oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen, syyttömyysolettama ja oikeus puolustukseen.

Tässä kohdassa säädettyjä seuraamuksia ei sovelleta tämän direktiivin soveltamisalaan kuuluviin julkishallinnon toimijoihin.

6.   Jäsenvaltioiden on varmistettava, että jokaisella luonnollisella henkilöllä, joka on vastuussa keskeisestä toimijasta tai toimii sen edustajana sillä perusteella, että hänellä on valtuudet edustaa sitä, valtuudet tehdä päätöksiä sen puolesta tai valtuudet hallinnoida sitä, on valta varmistaa, että toimija noudattaa tätä direktiiviä. Jäsenvaltioiden on varmistettava, että nämä luonnolliset henkilöt voidaan saattaa vastuuseen, jos he ovat laiminlyöneet velvollisuutensa varmistaa tämän direktiivin noudattaminen.

Julkishallinnon toimijoiden osalta tämä kohta ei rajoita kansallisen lainsäädännön soveltamista, kun on kyse virkamiesten tai vaalilla valittujen tai nimettyjen toimenhaltijoiden vastuusta.

7.   Toimivaltaisten viranomaisten on toteuttaessaan 4 kohdassa tarkoitettuja täytäntöönpanotoimenpiteitä tai määrätessään 5 kohdassa tarkoitettuja seuraamuksia kunnioitettava oikeutta puolustukseen ja otettava huomioon kunkin yksittäisen tapauksen olosuhteet sekä vähintään seuraavat seikat:

| a) | rikkomisen vakavuus ja rikottujen säännösten tärkeys siten, että vakavina rikkomisina pidetään joka tapauksessa muun muassa seuraavia:






  i) | toistuvat väärinkäytökset; |
| --- | --- | --- |

a)

rikkomisen vakavuus ja rikottujen säännösten tärkeys siten, että vakavina rikkomisina pidetään joka tapauksessa muun muassa seuraavia:

i)

toistuvat väärinkäytökset;

| ii) | merkittävien poikkeamien jättäminen ilmoittamatta tai korjaamatta; |
| --- | --- |

ii)

merkittävien poikkeamien jättäminen ilmoittamatta tai korjaamatta;

| iii) | puutteiden jättäminen korjaamatta toimivaltaisten viranomaisten sitovista ohjeista huolimatta; |
| --- | --- |

iii)

puutteiden jättäminen korjaamatta toimivaltaisten viranomaisten sitovista ohjeista huolimatta;

| iv) | toimivaltaisen viranomaisen todetun rikkomisen johdosta määräämien auditointien tai seurantatoimien estäminen; |
| --- | --- |

iv)

toimivaltaisen viranomaisen todetun rikkomisen johdosta määräämien auditointien tai seurantatoimien estäminen;

| v) | 21 artiklassa säädettyihin riskinhallintatoimenpiteisiin tai 23 artiklassa säädettyihin raportointivelvoitteisiin liittyvien väärien tai erittäin virheellisten tietojen antaminen; |
| --- | --- |

v)

21 artiklassa säädettyihin riskinhallintatoimenpiteisiin tai 23 artiklassa säädettyihin raportointivelvoitteisiin liittyvien väärien tai erittäin virheellisten tietojen antaminen;

| b) | rikkomisen kesto; |
| --- | --- |

b)

rikkomisen kesto;

| c) | asianomaisen toimijan mahdolliset vastaavat aiemmat rikkomiset; |
| --- | --- |

c)

asianomaisen toimijan mahdolliset vastaavat aiemmat rikkomiset;

| d) | aiheutunut aineellinen tai aineeton vahinko, mukaan lukien rahoitukseen liittyvät tai taloudelliset tappiot, vaikutukset muihin palveluihin sekä niiden käyttäjien lukumäärä, joihin rikkominen vaikuttaa; |
| --- | --- |

d)

aiheutunut aineellinen tai aineeton vahinko, mukaan lukien rahoitukseen liittyvät tai taloudelliset tappiot, vaikutukset muihin palveluihin sekä niiden käyttäjien lukumäärä, joihin rikkominen vaikuttaa;

| e) | rikkojan toiminnan mahdollinen tahallisuus tai tuottamuksellisuus; |
| --- | --- |

e)

rikkojan toiminnan mahdollinen tahallisuus tai tuottamuksellisuus;

| f) | toimenpiteet, jotka toimija on toteuttanut aineellisen tai aineettoman vahingon ehkäisemiseksi tai lieventämiseksi; |
| --- | --- |

f)

toimenpiteet, jotka toimija on toteuttanut aineellisen tai aineettoman vahingon ehkäisemiseksi tai lieventämiseksi;

| g) | hyväksyttyjen käytännesääntöjen tai hyväksyttyjen sertifiointimekanismien noudattaminen; |
| --- | --- |

g)

hyväksyttyjen käytännesääntöjen tai hyväksyttyjen sertifiointimekanismien noudattaminen;

| h) | vastuullisina pidettyjen luonnollisten henkilöiden tai oikeushenkilöiden halukkuus tehdä yhteistyötä toimivaltaisten viranomaisten kanssa. |
| --- | --- |

h)

vastuullisina pidettyjen luonnollisten henkilöiden tai oikeushenkilöiden halukkuus tehdä yhteistyötä toimivaltaisten viranomaisten kanssa.

8.   Toimivaltaisten viranomaisten on esitettävä yksityiskohtaiset perustelut täytäntöönpanotoimenpiteilleen. Toimivaltaisten viranomaisten on ennen tällaisten toimenpiteiden hyväksymistä ilmoitettava asianomaisille toimijoille alustavista havainnoistaan. Niiden on myös varattava kyseisille toimijoille riittävästi aikaa esittää huomautuksia, lukuun ottamatta asianmukaisesti perusteltuja tapauksia, joissa välittömät toimet poikkeamien ehkäisemiseksi tai hallitsemiseksi muuten estyisivät.

9.   Jäsenvaltioiden on varmistettava, että niiden tämän direktiivin mukaiset toimivaltaiset viranomaiset ilmoittavat asiasta direktiivin (EU) 2022/2557 mukaisille saman jäsenvaltion asiaankuuluville toimivaltaisille viranomaisille, kun ne käyttävät valvonta- ja täytäntöönpanovaltuuksiaan varmistaakseen, että direktiivin (EU) 2022/2557 nojalla kriittiseksi toimijaksi määritetty toimija noudattaa tätä direktiiviä. Direktiivin (EU) 2022/2557 mukaiset toimivaltaiset viranomaiset voivat tarvittaessa pyytää tämän direktiivin mukaisia toimivaltaisia viranomaisia käyttämään valvonta- ja täytäntöönpanovaltuuksiaan suhteessa toimijaan, joka on määritetty kriittiseksi toimijaksi direktiivin (EU) 2022/2557 nojalla.

10.   Jäsenvaltioiden on varmistettava, että niiden tämän direktiivin mukaiset toimivaltaiset viranomaiset tekevät yhteistyötä asianomaisen jäsenvaltion asetuksen (EU) 2022/2554 mukaisten asiaankuuluvien toimivaltaisten viranomaisten kanssa. Jäsenvaltioiden on erityisesti varmistettava, että niiden tämän direktiivin mukaiset toimivaltaiset viranomaiset ilmoittavat asiasta asetuksen (EU) 2022/2554 32 artiklan 1 kohdan nojalla perustetulle valvontafoorumille, kun ne käyttävät valvonta- ja täytäntöönpanovaltuuksiaan varmistaakseen, että tämän direktiivin soveltamisalaan kuuluva keskeinen toimija, joka on nimetty kriittiseksi TVT-palveluntarjoajana olevaksi kolmanneksi osapuoleksi asetuksen (EU) 2022/2554 31 artiklan nojalla, noudattaa tätä direktiiviä.

33 artikla

Tärkeitä toimijoita koskevat valvonta- ja täytäntöönpanotoimenpiteet

1.   Jos jäsenvaltiot saavat näyttöä, viitteitä tai tietoja, joiden mukaan tärkeä toimija ei väitetysti noudata tätä direktiiviä ja erityisesti sen 21 ja 23 artiklaa, niiden on varmistettava, että toimivaltaiset viranomaiset puuttuvat tilanteeseen tarpeen mukaan jälkikäteen toteutettavin valvontatoimenpitein. Jäsenvaltioiden on varmistettava, että kyseiset toimenpiteet ovat vaikuttavia, oikeasuhteisia ja varoittavia ja että niissä otetaan huomioon kunkin yksittäisen tapauksen olosuhteet.

2.   Jäsenvaltioiden on varmistettava, että hoitaessaan tärkeitä toimijoita koskevia valvontatehtäviään toimivaltaisilla viranomaisilla on valtuudet ainakin seuraaviin:

| a) | koulutettujen ammattilaisten toteuttamat paikalla tehtävät tarkastukset ja muu kuin paikalla toteutettava jälkikäteisvalvonta; |
| --- | --- |

a)

koulutettujen ammattilaisten toteuttamat paikalla tehtävät tarkastukset ja muu kuin paikalla toteutettava jälkikäteisvalvonta;

| b) | riippumattoman elimen tai toimivaltaisen viranomaisen suorittamat kohdennetut turvallisuusauditoinnit; |
| --- | --- |

b)

riippumattoman elimen tai toimivaltaisen viranomaisen suorittamat kohdennetut turvallisuusauditoinnit;

| c) | objektiivisiin, syrjimättömiin, oikeudenmukaisiin ja läpinäkyviin riskinarviointikriteereihin perustuvat turvallisuusskannaukset, tarvittaessa yhteistyössä asianomaisen toimijan kanssa; |
| --- | --- |

c)

objektiivisiin, syrjimättömiin, oikeudenmukaisiin ja läpinäkyviin riskinarviointikriteereihin perustuvat turvallisuusskannaukset, tarvittaessa yhteistyössä asianomaisen toimijan kanssa;

| d) | pyynnöt saada tietoja, jotka ovat tarpeen asianomaisen toimijan hyväksymien kyberturvallisuusriskien hallintatoimenpiteiden arvioimiseksi jälkikäteen, mukaan lukien dokumentoidut kyberturvallisuusperiaatteet, sekä 27 artiklaan perustuvan toimivaltaisille viranomaisille ilmoittamista koskevan velvoitteen noudattamisen arvioimiseksi; |
| --- | --- |

d)

pyynnöt saada tietoja, jotka ovat tarpeen asianomaisen toimijan hyväksymien kyberturvallisuusriskien hallintatoimenpiteiden arvioimiseksi jälkikäteen, mukaan lukien dokumentoidut kyberturvallisuusperiaatteet, sekä 27 artiklaan perustuvan toimivaltaisille viranomaisille ilmoittamista koskevan velvoitteen noudattamisen arvioimiseksi;

| e) | pyynnöt saada pääsy dataan, asiakirjoihin ja tietoihin, joita ne tarvitsevat valvontatehtäviensä suorittamiseksi; |
| --- | --- |

e)

pyynnöt saada pääsy dataan, asiakirjoihin ja tietoihin, joita ne tarvitsevat valvontatehtäviensä suorittamiseksi;

| f) | pyynnöt saada näyttöä kyberturvallisuusperiaatteiden täytäntöönpanosta, kuten pätevän tarkastajan suorittamien turvallisuusauditointien tulokset ja niiden perustana oleva näyttö. |
| --- | --- |

f)

pyynnöt saada näyttöä kyberturvallisuusperiaatteiden täytäntöönpanosta, kuten pätevän tarkastajan suorittamien turvallisuusauditointien tulokset ja niiden perustana oleva näyttö.

Ensimmäisen alakohdan b alakohdassa tarkoitettujen kohdennettujen turvallisuusauditointien on perustuttava toimivaltaisen viranomaisen tai auditoinnin kohteena olevan toimijan tekemiin riskinarviointeihin tai muihin riskeistä saatavilla oleviin tietoihin.

Kohdennetun turvallisuusauditoinnin tulokset on asetettava toimivaltaisen viranomaisen saataville. Auditoinnin kohteena oleva toimija vastaa riippumattoman elimen suorittaman kohdennetun turvallisuusauditoinnin kustannuksista, jollei toimivaltainen viranomainen asianmukaisesti perustellussa tapauksessa päätä toisin.

3.   Käyttäessään 2 kohdan d, e tai f alakohtaan perustuvia valtuuksiaan toimivaltaisten viranomaisten on ilmoitettava pyynnön tarkoitus ja täsmennettävä pyydetyt tiedot.

4.   Jäsenvaltioiden on varmistettava, että käyttäessään täytäntöönpanovaltuuksiaan tärkeiden toimijoiden suhteen toimivaltaisilla viranomaisilla on ainakin valtuudet

| a) | antaa varoituksia, kun asianomaiset toimijat rikkovat tätä direktiiviä; |
| --- | --- |

a)

antaa varoituksia, kun asianomaiset toimijat rikkovat tätä direktiiviä;

| b) | antaa asianomaisille toimijoille sitovia ohjeita tai määräys, joissa tai jossa ne velvoitetaan korjaamaan havaitut puutteet tai tämän direktiivin rikkominen; |
| --- | --- |

b)

antaa asianomaisille toimijoille sitovia ohjeita tai määräys, joissa tai jossa ne velvoitetaan korjaamaan havaitut puutteet tai tämän direktiivin rikkominen;

| c) | määrätä asianomaiset toimijat lopettamaan tämän direktiivin vastainen toiminta ja pidättäytymään tästä toiminnasta vastaisuudessa; |
| --- | --- |

c)

määrätä asianomaiset toimijat lopettamaan tämän direktiivin vastainen toiminta ja pidättäytymään tästä toiminnasta vastaisuudessa;

| d) | määrätä asianomaiset toimijat varmistamaan, että niiden kybertuvallisuusriskien hallintatoimenpiteet ovat 21 artiklan mukaisia, tai täyttämään 23 artiklassa säädetyt raportointivelvoitteensa määrätyllä tavalla ja määrätyn ajan kuluessa; |
| --- | --- |

d)

määrätä asianomaiset toimijat varmistamaan, että niiden kybertuvallisuusriskien hallintatoimenpiteet ovat 21 artiklan mukaisia, tai täyttämään 23 artiklassa säädetyt raportointivelvoitteensa määrätyllä tavalla ja määrätyn ajan kuluessa;

| e) | määrätä asianomaiset toimijat tiedottamaan niille luonnollisille henkilöille tai oikeushenkilöille, joihin liittyen ne tarjoavat palveluja tai harjoittavat toimintaa ja joihin merkittävä kyberuhka saattaa vaikuttaa, uhkan luonteesta sekä mahdollisista suojatoimenpiteistä tai korjaavista toimenpiteistä, joita kyseiset luonnolliset henkilöt tai oikeushenkilöt voivat uhkan hallitsemiseksi toteuttaa; |
| --- | --- |

e)

määrätä asianomaiset toimijat tiedottamaan niille luonnollisille henkilöille tai oikeushenkilöille, joihin liittyen ne tarjoavat palveluja tai harjoittavat toimintaa ja joihin merkittävä kyberuhka saattaa vaikuttaa, uhkan luonteesta sekä mahdollisista suojatoimenpiteistä tai korjaavista toimenpiteistä, joita kyseiset luonnolliset henkilöt tai oikeushenkilöt voivat uhkan hallitsemiseksi toteuttaa;

| f) | määrätä asianomaiset toimijat panemaan täytäntöön turvallisuusauditoinnin tuloksena annetut suositukset kohtuullisessa määräajassa; |
| --- | --- |

f)

määrätä asianomaiset toimijat panemaan täytäntöön turvallisuusauditoinnin tuloksena annetut suositukset kohtuullisessa määräajassa;

| g) | määrätä asianomaiset toimijat julkistamaan määrätyllä tavalla seikat, jotka liittyvät tämän direktiivin rikkomiseen; |
| --- | --- |

g)

määrätä asianomaiset toimijat julkistamaan määrätyllä tavalla seikat, jotka liittyvät tämän direktiivin rikkomiseen;

| h) | määrätä tai pyytää asiaankuuluvia elimiä tai tuomioistuimia määräämään kansallisen lainsäädännön mukaisesti hallinnollisia sakkoja 34 artiklan nojalla minkä tahansa tämän kohdan a–g alakohdassa tarkoitetun toimenpiteen lisäksi. |
| --- | --- |

h)

määrätä tai pyytää asiaankuuluvia elimiä tai tuomioistuimia määräämään kansallisen lainsäädännön mukaisesti hallinnollisia sakkoja 34 artiklan nojalla minkä tahansa tämän kohdan a–g alakohdassa tarkoitetun toimenpiteen lisäksi.

5.   Tämän asetuksen 32 artiklan 6, 7 ja 8 kohtaa sovelletaan soveltuvin osin tässä artiklassa säädettyihin tärkeitä toimijoita koskeviin valvonta- ja täytäntöönpanotoimenpiteisiin.

6.   Jäsenvaltioiden on varmistettava, että niiden tämän direktiivin mukaiset toimivaltaiset viranomaiset tekevät yhteistyötä asianomaisen jäsenvaltion asetuksen (EU) 2022/2554 mukaisten asiaankuuluvien toimivaltaisten viranomaisten kanssa. Jäsenvaltioiden on erityisesti varmistettava, että niiden tämän direktiivin mukaiset toimivaltaiset viranomaiset ilmoittavat asiasta asetuksen (EU) 2022/2554 32 artiklan 1 kohdan nojalla perustetulle valvontafoorumille, kun ne käyttävät valvonta- ja täytäntöönpanovaltuuksiaan varmistaakseen, että tämän direktiivin soveltamisalaan kuuluva tärkeä toimija, joka on nimetty kriittiseksi TVT-palveluntarjoajana olevaksi kolmanneksi osapuoleksi asetuksen (EU) 2022/2554 31 artiklan nojalla, noudattaa tätä direktiiviä.

34 artikla

Yleiset edellytykset hallinnollisten sakkojen määräämiselle keskeisille ja tärkeille toimijoille

1.   Jäsenvaltioiden on varmistettava, että tämän artiklan nojalla keskeisille ja tärkeille toimijoille tämän direktiivin rikkomisesta määrättävät hallinnolliset sakot ovat vaikuttavia, oikeasuhteisia ja varoittavia ja että niissä otetaan huomioon kunkin yksittäisen tapauksen olosuhteet.

2.   Hallinnolliset sakot määrätään minkä tahansa 32 artiklan 4 kohdan a–h alakohdassa, 32 artiklan 5 kohdassa ja 33 artiklan 4 kohdan a–g alakohdassa tarkoitetun toimenpiteen lisäksi.

3.   Päätettäessä hallinnollisen sakon määräämisestä ja sen suuruudesta kussakin yksittäisessä tapauksessa on otettava asianmukaisesti huomioon vähintään 32 artiklan 7 kohdassa säädetyt seikat.

4.   Jäsenvaltioiden on varmistettava, että keskeisille toimijoille määrätään 21 tai 23 artiklan rikkomisesta tämän artiklan 2 ja 3 kohdan mukaisesti hallinnollinen sakko, joka on enimmillään vähintään 10 000 000 euroa tai enimmillään vähintään 2 prosenttia sen yrityksen, johon keskeinen toimija kuuluu, edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi.

5.   Jäsenvaltioiden on varmistettava, että tärkeille toimijoille määrätään 21 tai 23 artiklan rikkomisesta tämän artiklan 2 ja 3 kohdan mukaisesti hallinnollinen sakko, joka on enimmillään vähintään 7 000 000 euroa tai enimmillään vähintään 1,4 prosenttia sen yrityksen, johon tärkeä toimija kuuluu, edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi.

6.   Jäsenvaltiot voivat säätää valtuudesta määrätä uhkasakkoja, jotta keskeinen tai tärkeä toimija saadaan lopettamaan tämän direktiivin rikkominen toimivaltaisen viranomaisen aiemman päätöksen mukaisesti.

7.   Kukin jäsenvaltio voi vahvistaa säännöt siitä, voidaanko julkishallinnon toimijoille määrätä hallinnollisia sakkoja ja missä määrin, sanotun kuitenkaan rajoittamatta toimivaltaisten viranomaisten 32 ja 33 artiklaan perustuvia valtuuksia.

8.   Jos jäsenvaltion oikeusjärjestelmässä ei säädetä hallinnollisista sakoista, kyseisen jäsenvaltion on varmistettava, että tätä artiklaa sovelletaan niin, että sakon panee vireille toimivaltainen viranomainen ja sen määräävät toimivaltaiset kansalliset tuomioistuimet siten, että samalla varmistetaan, että nämä oikeussuojakeinot ovat tehokkaita ja niillä on vastaava vaikutus kuin toimivaltaisten viranomaisten määräämillä hallinnollisilla sakoilla. Määrättävien sakkojen on joka tapauksessa oltava tehokkaita, oikeasuhteisia ja varoittavia. Jäsenvaltion on ilmoitettava tämän kohdan nojalla antamansa säännökset komissiolle viimeistään 17 päivänä lokakuuta 2024 ja ilmoitettava sille kaikki niitä koskevat myöhemmät muutokset viipymättä.

35 artikla

Henkilötietojen tietoturvaloukkaukseen johtavat rikkomiset

1.   Jos toimivaltaiset viranomaiset saavat valvonnan tai täytäntöönpanon yhteydessä tietoonsa, että keskeisen tai tärkeän toimijan tämän direktiivin 21 ja 23 artiklassa säädettyjen velvoitteiden laiminlyönti voi johtaa asetuksen (EU) 2016/679 4 artiklan 12 kohdassa määriteltyyn henkilötietojen tietoturvaloukkaukseen, josta on ilmoitettava mainitun asetuksen 33 artiklan nojalla, niiden on ilmoitettava asiasta ilman aiheetonta viivytystä mainitun asetuksen 55 ja 56 artiklan mukaisille valvontaviranomaisille.

2.   Jos asetuksen (EU) 2016/679 55 tai 56 artiklan mukaiset valvontaviranomaiset määräävät hallinnollisen seuraamusmaksun mainitun asetuksen 58 artiklan 2 kohdan i alakohdan nojalla, toimivaltaiset viranomaiset eivät saa määrätä hallinnollista sakkoa tämän direktiivin 34 artiklan nojalla tämän artiklan 1 kohdassa tarkoitetusta rikkomisesta, joka johtuu samasta toiminnasta kuin se, josta on määrätty hallinnollinen seuraamusmaksu asetuksen (EU) 2016/679 58 artiklan 2 kohdan i alakohdan nojalla. Toimivaltaiset viranomaiset voivat kuitenkin määrätä täytäntöönpanotoimenpiteitä, joista säädetään tämän direktiivin 32 artiklan 4 kohdan a–h alakohdassa, 32 artiklan 5 kohdassa ja 33 artiklan 4 kohdan a–g alakohdassa.

3.   Jos asetuksen (EU) 2016/679 nojalla toimivaltainen valvontaviranomainen on sijoittautunut toiseen jäsenvaltioon kuin toimivaltainen viranomainen, toimivaltaisen viranomaisen on ilmoitettava asiasta omaan jäsenvaltioonsa sijoittautuneelle valvontaviranomaiselle 1 kohdassa tarkoitetusta mahdollisesta tietoturvaloukkauksesta.

36 artikla

Seuraamukset

Jäsenvaltioiden on säädettävä tämän direktiivin nojalla annettujen kansallisten toimenpiteiden rikkomiseen sovellettavista seuraamuksista ja toteutettava kaikki tarvittavat toimenpiteet niiden täytäntöönpanon varmistamiseksi. Seuraamusten on oltava tehokkaita, oikeasuhteisia ja varoittavia. Jäsenvaltioiden on ilmoitettava nämä säännökset ja toimenpiteet komissiolle viimeistään 17 päivänä tammikuuta 2025, ja jäsenvaltioiden on ilmoitettava komissiolle kaikki niitä koskevat myöhemmät muutokset viipymättä.

37 artikla

Keskinäinen avunanto

1.   Jos toimija tarjoaa palveluja useammassa kuin yhdessä jäsenvaltiossa tai tarjoaa palveluja yhdessä tai useammassa jäsenvaltiossa mutta sen verkko- ja tietojärjestelmät sijaitsevat yhdessä tai useammassa muussa jäsenvaltiossa, asianomaisten jäsenvaltioiden toimivaltaisten viranomaisten on tehtävä yhteistyötä keskenään ja avustettava toisiaan tarpeen mukaan. Tähän yhteistyöhön kuuluu vähintään, että

| a) | valvonta- tai täytäntöönpanotoimenpiteitä jäsenvaltiossa soveltavat toimivaltaiset viranomaiset informoivat ja kuulevat muiden asianomaisten jäsenvaltioiden toimivaltaisia viranomaisia toteutetuista valvonta- ja täytäntöönpanotoimenpiteistä keskitetyn yhteyspisteen kautta; |
| --- | --- |

a)

valvonta- tai täytäntöönpanotoimenpiteitä jäsenvaltiossa soveltavat toimivaltaiset viranomaiset informoivat ja kuulevat muiden asianomaisten jäsenvaltioiden toimivaltaisia viranomaisia toteutetuista valvonta- ja täytäntöönpanotoimenpiteistä keskitetyn yhteyspisteen kautta;

| b) | toimivaltainen viranomainen voi pyytää toista toimivaltaista viranomaista toteuttamaan valvonta- tai täytäntöönpanotoimenpiteitä; |
| --- | --- |

b)

toimivaltainen viranomainen voi pyytää toista toimivaltaista viranomaista toteuttamaan valvonta- tai täytäntöönpanotoimenpiteitä;

| c) | toimivaltainen viranomainen antaa heti toisen toimivaltaisen viranomaisen perustellun pyynnön saatuaan tälle toiselle toimivaltaiselle viranomaiselle keskinäistä apua oikeassa suhteessa omiin resursseihinsa, jotta valvonta- tai täytäntöönpanotoimenpiteet voidaan toteuttaa tuloksekkaasti, tehokkaasti ja johdonmukaisesti. |
| --- | --- |

c)

toimivaltainen viranomainen antaa heti toisen toimivaltaisen viranomaisen perustellun pyynnön saatuaan tälle toiselle toimivaltaiselle viranomaiselle keskinäistä apua oikeassa suhteessa omiin resursseihinsa, jotta valvonta- tai täytäntöönpanotoimenpiteet voidaan toteuttaa tuloksekkaasti, tehokkaasti ja johdonmukaisesti.

Ensimmäisen alakohdan c alakohdassa tarkoitettu keskinäinen avunanto voi kattaa tietopyyntöjä ja valvontatoimenpiteitä, myös pyyntöjä suorittaa paikalla tehtäviä tarkastuksia tai muuta kuin paikalla toteutettavaa valvontaa tai kohdennettuja turvallisuusauditointeja. Toimivaltainen viranomainen, jolle avunantopyyntö on osoitettu, ei saa kieltäytyä pyynnöstä, paitsi jos todetaan, ettei sillä ole toimivaltaa antaa pyydettyä apua, että pyydetty apu ei ole oikeassa suhteessa toimivaltaisen viranomaisen valvontatehtäviin tai että pyyntö koskee tietoja tai käsittää toimintoja, joiden paljastaminen tai toteuttaminen olisi vastoin jäsenvaltion keskeisiä kansalliseen turvallisuuteen, yleiseen turvallisuuteen tai puolustukseen liittyviä etuja. Ennen tällaisesta pyynnöstä kieltäytymistä toimivaltaisen viranomaisen on kuultava muita asianomaisia toimivaltaisia viranomaisia sekä, jos jokin asianomaisista jäsenvaltioista sitä pyytää, komissiota ja ENISAa.

2.   Eri jäsenvaltioiden toimivaltaiset viranomaiset voivat tarvittaessa ja yhteisestä sopimuksesta toteuttaa yhteisiä valvontatoimia.

VIII LUKU

DELEGOIDUT SÄÄDÖKSET JA TÄYTÄNTÖÖNPANOSÄÄDÖKSET

38 artikla

Siirretyn säädösvallan käyttäminen

1.   Komissiolle siirrettyä valtaa antaa delegoituja säädöksiä koskevat tässä artiklassa säädetyt edellytykset.

2.   Siirretään komissiolle 16 päivästä tammikuuta 2023 viiden vuoden ajaksi 24 artiklan 2 kohdassa tarkoitettu valta antaa delegoituja säädöksiä.

3.   Euroopan parlamentti tai neuvosto voi milloin tahansa peruuttaa 24 artiklan 2 kohdassa tarkoitetun säädösvallan siirron. Peruuttamispäätöksellä lopetetaan tuossa päätöksessä mainittu säädösvallan siirto. Peruuttaminen tulee voimaan sitä päivää seuraavana päivänä, jona sitä koskeva päätös julkaistaan Euroopan unionin virallisessa lehdessä, tai jonakin myöhempänä, kyseisessä päätöksessä mainittuna päivänä. Peruuttamispäätös ei vaikuta jo voimassa olevien delegoitujen säädösten pätevyyteen.

4.   Ennen kuin komissio hyväksyy delegoidun säädöksen, se kuulee kunkin jäsenvaltion nimeämiä asiantuntijoita paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten sopimuksessa vahvistettujen periaatteiden mukaisesti.

5.   Heti kun komissio on antanut delegoidun säädöksen, komissio antaa sen tiedoksi yhtäaikaisesti Euroopan parlamentille ja neuvostolle.

6.   Edellä olevan 24 artiklan 2 kohdan nojalla annettu delegoitu säädös tulee voimaan ainoastaan, jos Euroopan parlamentti tai neuvosto ei ole kahden kuukauden kuluessa siitä, kun asianomainen säädös on annettu tiedoksi Euroopan parlamentille ja neuvostolle, ilmaissut vastustavansa sitä tai jos sekä Euroopan parlamentti että neuvosto ovat ennen mainitun määräajan päättymistä ilmoittaneet komissiolle, että ne eivät vastusta säädöstä. Euroopan parlamentin tai neuvoston aloitteesta tätä määräaikaa jatketaan kahdella kuukaudella.

39 artikla

Komiteamenettely

1.   Komissiota avustaa komitea. Tämä komitea on asetuksessa (EU) N:o 182/2011 tarkoitettu komitea.

2.   Kun viitataan tähän kohtaan, sovelletaan asetuksen (EU) N:o 182/2011 5 artiklaa.

3.   Kun komitean lausunto on määrä hankkia kirjallista menettelyä noudattaen, tämä menettely päätetään tuloksettomana, jos komitean puheenjohtaja lausunnon antamiselle asetetussa määräajassa niin päättää tai komitean jäsen sitä pyytää.

IX LUKU

LOPPUSÄÄNNÖKSET

40 artikla

Uudelleentarkastelu

Viimeistään 17 päivänä lokakuuta 2027 ja sen jälkeen 36 kuukauden välein komissio tarkastelee uudelleen tämän direktiivin toimivuutta ja antaa siitä kertomuksen Euroopan parlamentille ja neuvostolle. Kertomuksessa arvioidaan erityisesti asianomaisten toimijoiden koon sekä liitteissä I ja II tarkoitettujen toimialojen, toimialan osien ja toimijatyyppien merkitystä talouden ja yhteiskunnan toiminnalle kyberturvallisuuden näkökulmasta. Tätä tarkoitusta varten ja strategisen ja operatiivisen yhteistyön edistämiseksi edelleen komissio ottaa huomioon yhteistyöryhmän ja CSIRT-verkoston kertomukset strategisella ja operatiivisella tasolla saaduista kokemuksista. Komission kertomukseen liitetään tarvittaessa lainsäädäntöehdotus.

41 artikla

Saattaminen osaksi kansallista lainsäädäntöä

1.   Jäsenvaltioiden on annettava ja julkaistava tämän direktiivin noudattamisen edellyttämät säännökset viimeistään 17 päivänä lokakuuta 2024. Niiden on viipymättä ilmoitettava tästä komissiolle.

Jäsenvaltioiden on sovellettava kyseisiä säännöksiä 18 päivänä lokakuuta 2024.

2.   Kyseisissä jäsenvaltioiden antamissa säännöksissä on viitattava tähän direktiiviin tai niihin on liitettävä tällainen viittaus, kun ne julkaistaan virallisesti. Jäsenvaltioiden on säädettävä siitä, miten viittaukset tehdään.

42 artikla

Asetuksen (EU) N:o 910/2014 muuttaminen

Kumotaan asetuksen (EU) N:o 910/2014 19 artikla 18 päivänä lokakuuta 2024.

43 artikla

Direktiivin (EU) 2018/1972 muuttaminen

Kumotaan direktiivin (EU) 2018/1972 40 ja 41 artikla 18 päivänä lokakuuta 2024.

44 artikla

Kumoaminen

Kumotaan direktiivi (EU) 2016/1148 18 päivänä lokakuuta 2024.

Viittauksia kumottuun direktiiviin pidetään viittauksina tähän direktiiviin liitteessä III olevan vastaavuustaulukon mukaisesti.

45 artikla

Voimaantulo

Tämä direktiivi tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Euroopan unionin virallisessa lehdessä

46 artikla

Osoitus

Tämä direktiivi on osoitettu kaikille jäsenvaltioille.

Tehty Strasbourgissa 14 päivänä joulukuuta 2022.

Euroopan parlamentin puolesta

Puhemies

R. METSOLA

Neuvoston puolesta

Puheenjohtaja

M. BEK

---

(1)  
  EUVL C 233, 16.6.2022, s. 22.

1

(2)  
  EUVL C 286, 16.7.2021, s. 170.

2

(3)  Euroopan parlamentin kanta, vahvistettu 10. marraskuuta 2022 (ei vielä julkaistu virallisessa lehdessä), ja neuvoston päätös, tehty 28. marraskuuta 2022.

3

(4)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148, annettu 6 päivänä heinäkuuta 2016, toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa (EUVL L 194, 19.7.2016, s. 1).

4

(5)  Komission suositus 2003/361/EY, annettu 6 päivänä toukokuuta 2003, mikroyritysten sekä pienten ja keskisuurten yritysten määritelmästä (EUVL L 124, 20.5.2003, s. 36).

5

(6)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 910/2014, annettu 23 päivänä heinäkuuta 2014, sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta (EUVL L 257, 28.8.2014, s. 73).

6

(7)  Euroopan parlamentin ja neuvoston direktiivi 97/67/EY, annettu 15 päivänä joulukuuta 1997, yhteisön postipalvelujen sisämarkkinoiden kehittämistä ja palvelun laadun parantamista koskevista yhteisistä säännöistä (EYVL L 15, 21.1.1998, s. 14).

7

(8)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

8

(9)  Euroopan parlamentin ja neuvoston direktiivi 2002/58/EY, annettu 12 päivänä heinäkuuta 2002, henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (sähköisen viestinnän tietosuojadirektiivi) (EYVL L 201, 31.7.2002, s. 37).

9

(10)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (ks. tämän virallisen lehden s. 1).

10

(11)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 300/2008, annettu 11 päivänä maaliskuuta 2008, yhteisistä siviili-ilmailun turvaamista koskevista säännöistä ja asetuksen (EY) N:o 2320/2002 kumoamisesta (EUVL L 97, 9.4.2008, s. 72).

11

(12)  Euroopan parlamentin ja neuvoston asetus (EU) 2018/1139, annettu 4 päivänä heinäkuuta 2018, yhteisistä siviili-ilmailua koskevista säännöistä ja Euroopan unionin lentoturvallisuusviraston perustamisesta, Euroopan parlamentin ja neuvoston asetusten (EY) N:o 2111/2005, (EY) N:o 1008/2008, (EU) N:o 996/2010, (EU) N:o 376/2014 ja direktiivien 2014/30/EU ja 2014/53/EU muuttamisesta sekä Euroopan parlamentin ja neuvoston asetusten (EY) N:o 552/2004, (EY) N:o 216/2008 ja neuvoston asetuksen (ETY) N:o 3922/91 kumoamisesta (EUVL L 212, 22.8.2018, s. 1).

12

(13)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2557, annettu 14 päivänä joulukuuta 2022, kriittisten toimijoiden häiriönsietokyvystä ja neuvoston direktiivin 2008/114/EY kumoamisesta (ks. tämän virallisen lehden s. 164).

13

(14)  Euroopan parlamentin ja neuvoston asetus (EU) 2021/696, annettu 28 päivänä huhtikuuta 2021, unionin avaruusohjelman ja Euroopan unionin avaruusohjelmaviraston perustamisesta sekä asetusten (EU) N:o 912/2010, (EU) N:o 1285/2013 ja (EU) N:o 377/2014 ja päätöksen N:o 541/2014/EU kumoamisesta (EUVL L 170, 12.5.2021, s. 69).

14

(15)  Komission suositus (EU) 2017/1584, annettu 13 päivänä syyskuuta 2017, koordinoidusta reagoinnista laajamittaisiin kyberturvallisuuspoikkeamiin ja -kriiseihin (EUVL L 239, 19.9.2017, s. 36).

15

(16)  Neuvoston täytäntöönpanopäätös (EU) 2018/1993, annettu 11 päivänä joulukuuta 2018, EU:n poliittisen kriisitoiminnan integroiduista järjestelyistä (EUVL L 320, 17.12.2018, s. 28).

16

(17)  Euroopan parlamentin ja neuvoston päätös N:o 1313/2013/EU, annettu 17 päivänä joulukuuta 2013, unionin pelastuspalvelumekanismista (EUVL L 347, 20.12.2013, s. 924).

17

(18)  Euroopan parlamentin ja neuvoston asetus (EU) 2019/881, annettu 17 päivänä huhtikuuta 2019, Euroopan unionin kyberturvallisuusvirasto ENISAsta ja tieto- ja viestintätekniikan kyberturvallisuussertifioinnista sekä asetuksen (EU) N:o 526/2013 kumoamisesta (kyberturvallisuusasetus) (EUVL L 151, 7.6.2019, s. 15).

18

(19)  Komission suositus (EU) 2019/534, annettu 26 päivänä maaliskuuta 2019, 5G-verkkojen kyberturvallisuudesta (EUVL L 88, 29.3.2019, s. 42).

19

(20)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2018/1972, annettu 11 päivänä joulukuuta 2018, eurooppalaisesta sähköisen viestinnän säännöstöstä (EUVL L 321, 17.12.2018, s. 36).

20

(21)  Euroopan parlamentin ja neuvoston asetus (EU) 2021/694, annettu 29 päivänä huhtikuuta 2021, Digitaalinen Eurooppa -ohjelman perustamisesta ja päätöksen (EU) 2015/2240 kumoamisesta (EUVL L 166, 11.5.2021, s. 1).

21

(22)  
  EUVL L 123, 12.5.2016, s. 1.

22

(23)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 182/2011, annettu 16 päivänä helmikuuta 2011, yleisistä säännöistä ja periaatteista, joiden mukaisesti jäsenvaltiot valvovat komission täytäntöönpanovallan käyttöä (EUVL L 55, 28.2.2011, s. 13).

23

(24)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2065, annettu 19 päivänä lokakuuta 2022, digitaalisten palvelujen sisämarkkinoista ja direktiivin 2000/31/EY muuttamisesta (digipalvelusäädös) (EUVL L 277, 27.10.2022, s. 1).

24

(25)  Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EUVL L 295, 21.11.2018, s. 39).

25

(26)  
  EUVL C 183, 11.5.2021, s. 3.

26

(27)  Euroopan parlamentin ja neuvoston direktiivi 2011/93/EU, annettu 13 päivänä joulukuuta 2011, lasten seksuaalisen hyväksikäytön ja seksuaalisen riiston sekä lapsipornografian torjumisesta ja neuvoston puitepäätöksen 2004/68/YOS korvaamisesta (EUVL L 335, 17.12.2011, s. 1).

27

(28)  Euroopan parlamentin ja neuvoston direktiivi 2013/40/EU, annettu 12 päivänä elokuuta 2013, tietojärjestelmiin kohdistuvista hyökkäyksistä ja neuvoston puitepäätöksen 2005/222/YOS korvaamisesta (EUVL L 218, 14.8.2013, s. 8).

28

(29)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 1025/2012, annettu 25 päivänä lokakuuta 2012, eurooppalaisesta standardoinnista, neuvoston direktiivien 89/686/ETY ja 93/15/ETY sekä Euroopan parlamentin ja neuvoston direktiivien 94/9/EY, 94/25/EY, 95/16/EY, 97/23/EY, 98/34/EY, 2004/22/EY, 2007/23/EY, 2009/23/EY ja 2009/105/EY muuttamisesta ja neuvoston päätöksen 87/95/ETY ja Euroopan parlamentin ja neuvoston päätöksen N:o 1673/2006/EY kumoamisesta (EUVL L 316, 14.11.2012, s. 12).

29

(30)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2015/1535, annettu 9 päivänä syyskuuta 2015, teknisiä määräyksiä ja tietoyhteiskunnan palveluja koskevia määräyksiä koskevien tietojen toimittamisessa noudatettavasta menettelystä (EUVL L 241, 17.9.2015, s. 1).

30

(31)  Euroopan parlamentin ja neuvoston direktiivi 2005/29/EY, annettu 11 päivänä toukokuuta 2005, sopimattomista elinkeinonharjoittajien ja kuluttajien välisistä kaupallisista menettelyistä sisämarkkinoilla ja neuvoston direktiivin 84/450/ETY, Euroopan parlamentin ja neuvoston direktiivien 97/7/EY, 98/27/EY ja 2002/65/EY sekä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 2006/2004 muuttamisesta (sopimattomia kaupallisia menettelyjä koskeva direktiivi) (EUVL L 149, 11.6.2005, s. 22).

31

(32)  Euroopan parlamentin ja neuvoston asetus (EU) 2019/1150, annettu 20 päivänä kesäkuuta 2019, oikeudenmukaisuuden ja avoimuuden edistämisestä verkossa toimivien välityspalvelujen yrityskäyttäjiä varten (EUVL L 186, 11.7.2019, s. 57).

32

---

LIITE I

ERITTÄIN KRIITTISET TOIMIALAT

| Toimiala | Toimialan osa | Toimijatyyppi |
| --- | --- | --- |
| 1. | Energia |

Toimiala

Toimialan osa

Toimijatyyppi

1.

Energia

| a) | Sähkö |
| --- | --- |

a)

Sähkö

| — | Euroopan parlamentin ja neuvoston direktiivin (EU) 2019/944 (1) 2 artiklan 57 alakohdassa määritellyt sähköalan yritykset, jotka harjoittavat mainitun direktiivin 2 artiklan 12 alakohdassa määriteltyä ’toimittamista’ |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin (EU) 2019/944 (1) 2 artiklan 57 alakohdassa määritellyt sähköalan yritykset, jotka harjoittavat mainitun direktiivin 2 artiklan 12 alakohdassa määriteltyä ’toimittamista’

| — | Direktiivin (EU) 2019/944 2 artiklan 29 alakohdassa määritellyt jakeluverkonhaltijat |
| --- | --- |

—

Direktiivin (EU) 2019/944 2 artiklan 29 alakohdassa määritellyt jakeluverkonhaltijat

| — | Direktiivin (EU) 2019/944 2 artiklan 35 alakohdassa määritellyt siirtoverkonhaltijat |
| --- | --- |

—

Direktiivin (EU) 2019/944 2 artiklan 35 alakohdassa määritellyt siirtoverkonhaltijat

| — | Direktiivin (EU) 2019/944 2 artiklan 38 alakohdassa määritellyt tuottajat |
| --- | --- |

—

Direktiivin (EU) 2019/944 2 artiklan 38 alakohdassa määritellyt tuottajat

| — | Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/943 (2) 2 artiklan 8 alakohdassa määritellyt nimitetyt sähkömarkkinaoperaattorit |
| --- | --- |

—

Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/943 (2) 2 artiklan 8 alakohdassa määritellyt nimitetyt sähkömarkkinaoperaattorit

| — | Asetuksen (EU) 2019/943 2 artiklan 25 alakohdassa määritellyt markkinaosapuolet, joka tarjoavat direktiivin (EU) 2019/944 2 artiklan 18 alakohdassa määriteltyä aggregointia, 20 alakohdassa määriteltyä kulutusjoustoa tai 59 alakohdassa määriteltyä energian varastointia |
| --- | --- |

—

Asetuksen (EU) 2019/943 2 artiklan 25 alakohdassa määritellyt markkinaosapuolet, joka tarjoavat direktiivin (EU) 2019/944 2 artiklan 18 alakohdassa määriteltyä aggregointia, 20 alakohdassa määriteltyä kulutusjoustoa tai 59 alakohdassa määriteltyä energian varastointia

| — | Latauspisteiden operaattorit, jotka vastaavat latauspalvelua loppukäyttäjille tarjoavan latauspisteen hallinnoinnista ja toiminnasta, myös liikennepalvelun tarjoajan nimissä ja puolesta |
| --- | --- |

—

Latauspisteiden operaattorit, jotka vastaavat latauspalvelua loppukäyttäjille tarjoavan latauspisteen hallinnoinnista ja toiminnasta, myös liikennepalvelun tarjoajan nimissä ja puolesta

| b) | Kauko-lämmitys ja -jäähdytys |
| --- | --- |

b)

Kauko-lämmitys ja -jäähdytys

| — | Euroopan parlamentin ja neuvoston direktiivin (EU) 2018/2001 (3) 2 kohdan 19 alakohdassa määritellyn kaukolämmityksen tai kaukojäähdytyksen haltijat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin (EU) 2018/2001 (3) 2 kohdan 19 alakohdassa määritellyn kaukolämmityksen tai kaukojäähdytyksen haltijat

| c) | Öljy |
| --- | --- |

c)

Öljy

| — | Öljynsiirtoputkistojen haltijat |
| --- | --- |

—

Öljynsiirtoputkistojen haltijat

| — | Öljyn tuotanto-, jalostus- ja käsittelylaitteistojen haltijat sekä öljyn varastointia ja siirtoa hoitavat operaattorit |
| --- | --- |

—

Öljyn tuotanto-, jalostus- ja käsittelylaitteistojen haltijat sekä öljyn varastointia ja siirtoa hoitavat operaattorit

| — | Neuvoston direktiivin 2009/119/EY (4) 2 kohdan f alakohdassa määritellyt keskusvarastointiyksiköt |
| --- | --- |

—

Neuvoston direktiivin 2009/119/EY (4) 2 kohdan f alakohdassa määritellyt keskusvarastointiyksiköt

| d) | Kaasu |
| --- | --- |

d)

Kaasu

| — | Euroopan parlamentin ja neuvoston direktiivin 2009/73/EY (5) 2 artiklan 8 alakohdassa määritellyt maakaasun toimittajat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2009/73/EY (5) 2 artiklan 8 alakohdassa määritellyt maakaasun toimittajat

| — | Direktiivin 2009/73/EY 2 artiklan 6 alakohdassa määritellyt jakeluverkonhaltijat |
| --- | --- |

—

Direktiivin 2009/73/EY 2 artiklan 6 alakohdassa määritellyt jakeluverkonhaltijat

| — | Direktiivin 2009/73/EY 2 artiklan 4 alakohdassa määritellyt siirtoverkonhaltijat |
| --- | --- |

—

Direktiivin 2009/73/EY 2 artiklan 4 alakohdassa määritellyt siirtoverkonhaltijat

| — | Direktiivin 2009/73/EY 2 artiklan 10 alakohdassa määritellyt varastointilaitteiston haltijat |
| --- | --- |

—

Direktiivin 2009/73/EY 2 artiklan 10 alakohdassa määritellyt varastointilaitteiston haltijat

| — | Direktiivin 2009/73/EY 2 artiklan 12 alakohdassa määritellyt nesteytetyn maakaasun käsittelylaitteiston haltijat |
| --- | --- |

—

Direktiivin 2009/73/EY 2 artiklan 12 alakohdassa määritellyt nesteytetyn maakaasun käsittelylaitteiston haltijat

| — | Direktiivin 2009/73/EY 2 artiklan 1 alakohdassa määritellyt maakaasualan yritykset |
| --- | --- |

—

Direktiivin 2009/73/EY 2 artiklan 1 alakohdassa määritellyt maakaasualan yritykset

| — | Maakaasun jalostus- ja käsittelylaitteistojen haltijat |
| --- | --- |

—

Maakaasun jalostus- ja käsittelylaitteistojen haltijat

| e) | Vety |
| --- | --- |

e)

Vety

| — | Vedyn tuotantoa, varastointia ja siirtoa harjoittavat toimijat |
| --- | --- |

—

Vedyn tuotantoa, varastointia ja siirtoa harjoittavat toimijat

| 2. | Liikenne |
| --- | --- |

2.

Liikenne

| a) | Ilmaliikenne |
| --- | --- |

a)

Ilmaliikenne

| — | Asetuksen (EY) N:o 300/2008 3 artiklan 4 alakohdassa määritellyt lentoliikenteen harjoittajat, joiden toiminta on kaupallista |
| --- | --- |

—

Asetuksen (EY) N:o 300/2008 3 artiklan 4 alakohdassa määritellyt lentoliikenteen harjoittajat, joiden toiminta on kaupallista

| — | Euroopan parlamentin ja neuvoston direktiivin 2009/12/EY (6) 2 artiklan 2 alakohdassa määritellyt lentoaseman pitäjät, mainitun direktiivin 2 artiklan 1 alakohdassa määritellyt lentoasemat, mukaan lukien Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1315/2013 (7) liitteessä II olevassa 2 jaksossa luetellut ydinverkon lentoasemat, sekä lentoasemilla sijaitsevia lisärakennelmia ja -laitteita hoitavat toimijat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2009/12/EY (6) 2 artiklan 2 alakohdassa määritellyt lentoaseman pitäjät, mainitun direktiivin 2 artiklan 1 alakohdassa määritellyt lentoasemat, mukaan lukien Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1315/2013 (7) liitteessä II olevassa 2 jaksossa luetellut ydinverkon lentoasemat, sekä lentoasemilla sijaitsevia lisärakennelmia ja -laitteita hoitavat toimijat

| — | Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 549/2004 (8) 2 artiklan 1 alakohdassa määriteltyä lennonjohtopalvelua tarjoavat lennonjohtopalvelun tarjoajat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 549/2004 (8) 2 artiklan 1 alakohdassa määriteltyä lennonjohtopalvelua tarjoavat lennonjohtopalvelun tarjoajat

| b) | Raideliikenne |
| --- | --- |

b)

Raideliikenne

| — | Euroopan parlamentin ja neuvoston direktiivin 2012/34/EU (9) 3 artiklan 2 alakohdassa määritellyt rataverkon haltijat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2012/34/EU (9) 3 artiklan 2 alakohdassa määritellyt rataverkon haltijat

| — | Direktiivin 2012/34/EU 3 artiklan 1 alakohdassa määritellyt rautatieyritykset, mukaan lukien kyseisen direktiivin 3 artiklan 12 alakohdassa määritellyt palvelupaikan ylläpitäjät |
| --- | --- |

—

Direktiivin 2012/34/EU 3 artiklan 1 alakohdassa määritellyt rautatieyritykset, mukaan lukien kyseisen direktiivin 3 artiklan 12 alakohdassa määritellyt palvelupaikan ylläpitäjät

| c) | Vesiliikenne |
| --- | --- |

c)

Vesiliikenne

| — | Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 725/2004 (10) liitteessä I merenkulun osalta määritellyt sisävesillä, merillä ja rannikoilla matkustaja- ja rahtiliikennettä hoitavat yhtiöt, lukuun ottamatta tällaisten yhtiöiden liikennöimiä yksittäisiä aluksia |
| --- | --- |

—

Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 725/2004 (10) liitteessä I merenkulun osalta määritellyt sisävesillä, merillä ja rannikoilla matkustaja- ja rahtiliikennettä hoitavat yhtiöt, lukuun ottamatta tällaisten yhtiöiden liikennöimiä yksittäisiä aluksia

| — | Euroopan parlamentin ja neuvoston direktiivin 2005/65/EY (11) 3 artiklan 1 alakohdassa määriteltyjen satamien hallinnointielimet, mukaan lukien niiden asetuksen (EY) N:o 725/2004 2 artiklan 11 alakohdassa määritellyt satamarakenteet, sekä toimijat, jotka huolehtivat rakenteista ja varusteista satamien alueella |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2005/65/EY (11) 3 artiklan 1 alakohdassa määriteltyjen satamien hallinnointielimet, mukaan lukien niiden asetuksen (EY) N:o 725/2004 2 artiklan 11 alakohdassa määritellyt satamarakenteet, sekä toimijat, jotka huolehtivat rakenteista ja varusteista satamien alueella

| — | Euroopan parlamentin ja neuvoston direktiivin 2002/59/EY (12) 3 artiklan o alakohdassa määriteltyjen alusliikennepalvelujen tarjoajat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2002/59/EY (12) 3 artiklan o alakohdassa määriteltyjen alusliikennepalvelujen tarjoajat

| d) | Tieliikenne |
| --- | --- |

d)

Tieliikenne

| — | Komission delegoidun asetuksen (EU) 2015/962 (13) 2 artiklan 12 alakohdassa tarkoitetut, liikenteenhallinnasta vastaavat tieviranomaiset, lukuun ottamatta julkishallinnon toimijoita, joille liikenteenhallinta tai älykkäiden liikennejärjestelmien ylläpitäminen ei ole keskeinen osa niiden yleistä toimintaa |
| --- | --- |

—

Komission delegoidun asetuksen (EU) 2015/962 (13) 2 artiklan 12 alakohdassa tarkoitetut, liikenteenhallinnasta vastaavat tieviranomaiset, lukuun ottamatta julkishallinnon toimijoita, joille liikenteenhallinta tai älykkäiden liikennejärjestelmien ylläpitäminen ei ole keskeinen osa niiden yleistä toimintaa

| — | Euroopan parlamentin ja neuvoston direktiivin 2010/40/EU (14) 4 artiklan 1 alakohdassa määriteltyjen älykkäiden liikennejärjestelmien ylläpitäjät |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2010/40/EU (14) 4 artiklan 1 alakohdassa määriteltyjen älykkäiden liikennejärjestelmien ylläpitäjät

| 3. | Pankkitoiminta |
| --- | --- |

3.

Pankkitoiminta

Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 575/2013 (15) 4 artiklan 1 alakohdassa määritellyt luottolaitokset

| 4. | Finanssimarkkinoiden infrastruktuurit |
| --- | --- |

4.

Finanssimarkkinoiden infrastruktuurit

| — | Euroopan parlamentin ja neuvoston direktiivin 2014/65/EU (16) 4 artiklan 24 alakohdassa määriteltyjen kauppapaikkojen ylläpitäjät |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2014/65/EU (16) 4 artiklan 24 alakohdassa määriteltyjen kauppapaikkojen ylläpitäjät

| — | Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 648/2012 (17) 2 artiklan 1 alakohdassa määritellyt keskusvastapuolet |
| --- | --- |

—

Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 648/2012 (17) 2 artiklan 1 alakohdassa määritellyt keskusvastapuolet

| 5. | Terveys |
| --- | --- |

5.

Terveys

| — | Euroopan parlamentin ja neuvoston direktiivin 2011/24/EU (18) 3 artiklan g alakohdassa määritellyt terveydenhuollon tarjoajat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2011/24/EU (18) 3 artiklan g alakohdassa määritellyt terveydenhuollon tarjoajat

| — | Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2371 (19) 15 artiklassa tarkoitetut EU:n vertailulaboratoriot |
| --- | --- |

—

Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2371 (19) 15 artiklassa tarkoitetut EU:n vertailulaboratoriot

| — | Euroopan parlamentin ja neuvoston direktiivin 2001/83/EY (20) 1 artiklan 2 alakohdassa määriteltyjen lääkkeiden tutkimusta ja kehitystä harjoittavat toimijat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2001/83/EY (20) 1 artiklan 2 alakohdassa määriteltyjen lääkkeiden tutkimusta ja kehitystä harjoittavat toimijat

| — | NACE Rev. 2 -luokituksen C jakson kaksinumerotasossa 21 tarkoitettua lääkeaineiden ja lääkkeiden valmistusta harjoittavat toimijat |
| --- | --- |

—

NACE Rev. 2 -luokituksen C jakson kaksinumerotasossa 21 tarkoitettua lääkeaineiden ja lääkkeiden valmistusta harjoittavat toimijat

| — | Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/123 (21) 22 artiklassa tarkoitettuja vakavan kansanterveysuhan aikana kriittisiksi katsottuja lääkinnällisiä laitteita (kansanterveysuhan aikana kriittisten lääkinnällisten laitteiden luettelo) valmistavat toimijat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/123 (21) 22 artiklassa tarkoitettuja vakavan kansanterveysuhan aikana kriittisiksi katsottuja lääkinnällisiä laitteita (kansanterveysuhan aikana kriittisten lääkinnällisten laitteiden luettelo) valmistavat toimijat

| 6. | Juomavesi |
| --- | --- |

6.

Juomavesi

Euroopan parlamentin ja neuvoston direktiivin (EU) 2020/2184 (22) 2 artiklan 1 alakohdan a alakohdassa määritellyn ihmisten käyttöön tarkoitetun veden toimittajat ja jakelijat, lukuun ottamatta jakelijoita, joille ihmisten käyttöön tarkoitetun veden jakelu ei ole keskeinen osa niiden yleistä toimintaa, joka muodostuu muiden hyödykkeiden ja tavaroiden jakelusta

| 7. | Jätevesi |
| --- | --- |

7.

Jätevesi

Neuvoston direktiivin 91/271/ETY (23) 2 artiklan 1, 2 ja 3 alakohdassa määriteltyä yhdyskuntajätevettä, talousjätevettä tai teollisuusjätevettä keräävät, hävittävät tai käsittelevät yritykset, lukuun ottamatta yrityksiä, joille yhdyskuntajäteveden, talousjäteveden tai teollisuusjäteveden kerääminen, hävittäminen tai käsittely ei ole keskeinen osa niiden yleistä toimintaa

| 8. | Digitaalinen infrastruktuuri |
| --- | --- |

8.

Digitaalinen infrastruktuuri

| — | Internetin yhdysliikennepisteiden ylläpitäjät |
| --- | --- |

—

Internetin yhdysliikennepisteiden ylläpitäjät

| — | DNS-palveluntarjoajat, lukuun ottamatta juurinimipalvelinten ylläpitäjiä |
| --- | --- |

—

DNS-palveluntarjoajat, lukuun ottamatta juurinimipalvelinten ylläpitäjiä

| — | Aluetunnusrekisterit |
| --- | --- |

—

Aluetunnusrekisterit

| — | Pilvipalvelujen tarjoajat |
| --- | --- |

—

Pilvipalvelujen tarjoajat

| — | Datakeskuspalvelujen tarjoajat |
| --- | --- |

—

Datakeskuspalvelujen tarjoajat

| — | Sisällönjakeluverkkojen tarjoajat |
| --- | --- |

—

Sisällönjakeluverkkojen tarjoajat

| — | Luottamuspalvelun tarjoajat |
| --- | --- |

—

Luottamuspalvelun tarjoajat

| — | Yleisten sähköisten viestintäverkkojen tarjoajat |
| --- | --- |

—

Yleisten sähköisten viestintäverkkojen tarjoajat

| — | Yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat |
| --- | --- |

—

Yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat

| 9. | TVT-palvelujen hallinta (yritysten välinen) |
| --- | --- |

9.

TVT-palvelujen hallinta (yritysten välinen)

| — | Hallintapalvelun tarjoajat |
| --- | --- |

—

Hallintapalvelun tarjoajat

| — | Tietoturvapalveluntarjoajat |
| --- | --- |

—

Tietoturvapalveluntarjoajat

| 10. | Julkishallinto |
| --- | --- |

10.

Julkishallinto

| — | Keskustason julkishallinnon toimijat, sellaisina kuin jäsenvaltio on ne kansallisen lainsäädännön mukaisesti määrittänyt |
| --- | --- |

—

Keskustason julkishallinnon toimijat, sellaisina kuin jäsenvaltio on ne kansallisen lainsäädännön mukaisesti määrittänyt

| — | Aluetason julkishallinnon toimijat, sellaisina kuin jäsenvaltio on ne kansallisen lainsäädännön mukaisesti määrittänyt |
| --- | --- |

—

Aluetason julkishallinnon toimijat, sellaisina kuin jäsenvaltio on ne kansallisen lainsäädännön mukaisesti määrittänyt

| 11. | Avaruus |
| --- | --- |

11.

Avaruus

Avaruuspohjaisten palvelujen tarjoamista tukevan, jäsenvaltioiden tai yksityisten tahojen omistaman, hallinnoiman ja operoiman maassa sijaitsevan infrastruktuurin ylläpitäjät, lukuun ottamatta yleisten sähköisten viestintäverkkojen tarjoajia

---

(1)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2019/944, annettu 5 päivänä kesäkuuta 2019, sähkön sisämarkkinoita koskevista yhteisistä säännöistä ja direktiivin 2012/27/EU muuttamisesta (EUVL L 158, 14.6.2019, s. 125).

(2)  Euroopan parlamentin ja neuvoston asetus (EU) 2019/943, annettu 5 päivänä kesäkuuta 2019, sähkön sisämarkkinoista (EUVL L 158, 14.6.2019, s. 54).

(3)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2018/2001, annettu 11 päivänä joulukuuta 2018, uusiutuvista lähteistä peräisin olevan energian käytön edistämisestä (EUVL L 328, 21.12.2018, s. 82).

(4)  Neuvoston direktiivi 2009/119/EY, annettu 14 päivänä syyskuuta 2009, jäsenvaltioiden velvollisuudesta ylläpitää raakaöljy- ja/tai öljytuotevarastojen vähimmäistasoa (EUVL L 265, 9.10.2009, s. 9).

(5)  Euroopan parlamentin ja neuvoston direktiivi 2009/73/EY, annettu 13 päivänä heinäkuuta 2009, maakaasun sisämarkkinoita koskevista yhteisistä säännöistä ja direktiivin 2003/55/EY kumoamisesta (EUVL L 211, 14.8.2009, s. 94).

(6)  Euroopan parlamentin ja neuvoston direktiivi 2009/12/EY, annettu 11 päivänä maaliskuuta 2009, lentoasemamaksuista (EUVL L 70, 14.3.2009, s. 11).

(7)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 1315/2013, annettu 11 päivänä joulukuuta 2013, unionin suuntaviivoista Euroopan laajuisen liikenneverkon kehittämiseksi ja päätöksen N:o 661/2010/EU kumoamisesta (EUVL L 348, 20.12.2013, s. 1).

(8)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 549/2004, annettu 10 päivänä maaliskuuta 2004, yhtenäisen eurooppalaisen ilmatilan toteuttamisen puitteista (puiteasetus) (EUVL L 96, 31.3.2004, s. 1).

(9)  Euroopan parlamentin ja neuvoston direktiivi 2012/34/EU, annettu 21 päivänä marraskuuta 2012, yhtenäisestä eurooppalaisesta rautatiealueesta (EUVL L 343, 14.12.2012, s. 32).

(10)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 725/2004, annettu 31 päivänä maaliskuuta 2004, alusten ja satamarakenteiden turvatoimien parantamisesta (EUVL L 129, 29.4.2004, s. 6).

(11)  Euroopan parlamentin ja neuvoston direktiivi 2005/65/EY, annettu 26 päivänä lokakuuta 2005, satamien turvallisuuden parantamisesta (EUVL L 310, 25.11.2005, s. 28).

(12)  Euroopan parlamentin ja neuvoston direktiivi 2002/59/EY, annettu 27 päivänä kesäkuuta 2002, alusliikennettä koskevan yhteisön seuranta- ja tietojärjestelmän perustamisesta sekä neuvoston direktiivin 93/75/ETY kumoamisesta (EYVL L 208, 5.8.2002, s. 10).

(13)  Komission delegoitu asetus (EU) 2015/962, annettu 18 päivänä joulukuuta 2014, Euroopan parlamentin ja neuvoston direktiivin 2010/40/EU täydentämisestä EU:n laajuisten tosiaikaisten liikennetietopalvelujen tarjoamisen osalta (EUVL L 157, 23.6.2015, s. 21).

(14)  Euroopan parlamentin ja neuvoston direktiivi 2010/40/EU, annettu 7 päivänä heinäkuuta 2010, tieliikenteen älykkäiden liikennejärjestelmien käyttöönoton sekä tieliikenteen ja muiden liikennemuotojen rajapintojen puitteista (EUVL L 207, 6.8.2010, s. 1).

(15)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 575/2013, annettu 26 päivänä kesäkuuta 2013, luottolaitosten vakavaraisuusvaatimuksista ja asetuksen (EU) N:o 648/2012 muuttamisesta (EUVL L 176, 27.6.2013, s. 1).

(16)  Euroopan parlamentin ja neuvoston direktiivi 2014/65/EU, annettu 15 päivänä toukokuuta 2014, rahoitusvälineiden markkinoista sekä direktiivin 2002/92/EY ja direktiivin 2011/61/EU muuttamisesta (EUVL L 173, 12.6.2014, s. 349).

(17)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 648/2012, annettu 4 päivänä heinäkuuta 2012, OTC-johdannaisista, keskusvastapuolista ja kauppatietorekistereistä (EUVL L 201, 27.7.2012, s. 1).

(18)  Euroopan parlamentin ja neuvoston direktiivi 2011/24/EU, annettu 9 päivänä maaliskuuta 2011, potilaiden oikeuksien soveltamisesta rajatylittävässä terveydenhuollossa (EUVL L 88, 4.4.2011, s. 45).

(19)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2371, annettu 23 päivänä marraskuuta 2022, rajat ylittävistä vakavista terveysuhkista ja päätöksen N:o 1082/2013/EU kumoamisesta (EUVL L 314, 6.12.2022, s. 26).

(20)  Euroopan parlamentin ja neuvoston direktiivi 2001/83/EY, annettu 6 päivänä marraskuuta 2001, ihmisille tarkoitettuja lääkkeitä koskevista yhteisön säännöistä (EYVL L 311, 28.11.2001, s. 67).

(21)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/123, annettu 25 päivänä tammikuuta 2022, Euroopan lääkeviraston roolin vahvistamisesta kriisivalmiudessa ja -hallinnassa lääkkeiden ja lääkinnällisten laitteiden osalta (EUVL L 20, 31.1.2022, s. 1).

(22)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2020/2184, annettu 16 päivänä joulukuuta 2020, ihmisten käyttöön tarkoitetun veden laadusta (EUVL L 435, 23.12.2020, s. 1).

(23)  Neuvoston direktiivi 91/271/ETY, annettu 21 päivänä toukokuuta 1991, yhdyskuntajätevesien käsittelystä (EYVL L 135, 30.5.1991, s. 40).

---

LIITE II

MUUT KRIITTISET TOIMIALAT

| Toimiala | Toimialan osa | Toimijatyyppi |
| --- | --- | --- |
| 1. | Posti- ja kuriiripalvelut |

Toimiala

Toimialan osa

Toimijatyyppi

1.

Posti- ja kuriiripalvelut

Direktiivin 97/67/EY 2 artiklan 1 a alakohdassa määritellyt postipalvelujen tarjoajat, mukaan lukien kuriiripalvelujen tarjoajat

| 2. | Jätehuolto |
| --- | --- |

2.

Jätehuolto

Euroopan parlamentin ja neuvoston direktiivin 2008/98/EY (1) 3 artiklan 9 alakohdassa määriteltyä jätehuoltoa harjoittavat yritykset, lukuun ottamatta yrityksiä, joille jätehuolto ei ole niiden pääasiallista taloudellista toimintaa

| 3. | Kemikaalien valmistus, tuotanto ja jakelu |
| --- | --- |

3.

Kemikaalien valmistus, tuotanto ja jakelu

Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1907/2006 (2) 3 artiklan 9 alakohdassa tarkoitettua aineiden valmistusta ja 14 alakohdassa tarkoitettua aineiden tai seosten jakelua harjoittavat yritykset sekä yritykset, jotka tuottavat mainitun asetuksen 3 artiklan 3 alakohdassa määriteltyjä esineitä aineista tai seoksista

| 4. | Elintarvikkeiden tuotanto, jalostus ja jakelu |
| --- | --- |

4.

Elintarvikkeiden tuotanto, jalostus ja jakelu

Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 178/2002 (3) 3 artiklan 2 alakohdassa määritellyt elintarvikeyritykset, jotka harjoittavat tukkukauppaa sekä teollista tuotantoa ja jalostusta

| 5. | Valmistus |
| --- | --- |

5.

Valmistus

| a) | Lääkinnällisten laitteiden ja in vitro -diagnostiikkaan tarkoitettujen lääkinnällisten laitteiden valmistus |
| --- | --- |

a)

Lääkinnällisten laitteiden ja in vitro -diagnostiikkaan tarkoitettujen lääkinnällisten laitteiden valmistus

Euroopan parlamentin ja neuvoston asetuksen (EU) 2017/745 (4) 2 artiklan 1 alakohdassa määriteltyjä lääkinnällisiä laitteita valmistavat toimijat sekä Euroopan parlamentin ja neuvoston asetuksen (EU) 2017/746 (5) 2 artiklan 2 alakohdassa määriteltyjä in vitro -diagnostiikkaan tarkoitettuja lääkinnällisiä laitteita valmistavat toimijat, lukuun ottamatta tämän direktiivin liitteessä I olevan 5 kohdan viidennessä luetelmakohdassa mainittuja lääkinnällisiä laitteita valmistavia toimijoita

| b) | Tietokoneiden sekä elektronisten ja optisten tuotteiden valmistus |
| --- | --- |

b)

Tietokoneiden sekä elektronisten ja optisten tuotteiden valmistus

NACE Rev. 2 -luokituksen C jakson kaksinumerotasossa 26 tarkoitettua taloudellista toimintaa harjoittavat yritykset

| c) | Sähkölaitteiden valmistus |
| --- | --- |

c)

Sähkölaitteiden valmistus

NACE Rev. 2 -luokituksen C jakson kaksinumerotasossa 27 tarkoitettua taloudellista toimintaa harjoittavat yritykset

| d) | Muiden koneiden ja laitteiden valmistus |
| --- | --- |

d)

Muiden koneiden ja laitteiden valmistus

NACE Rev. 2 -luokituksen C jakson kaksinumerotasossa 28 tarkoitettua taloudellista toimintaa harjoittavat yritykset

| e) | Moottoriajoneuvojen, perävaunujen ja puoliperävaunujen valmistus |
| --- | --- |

e)

Moottoriajoneuvojen, perävaunujen ja puoliperävaunujen valmistus

NACE Rev. 2 -luokituksen C jakson kaksinumerotasossa 29 tarkoitettua taloudellista toimintaa harjoittavat toimijat

| f) | Muiden kulkuneuvojen valmistus |
| --- | --- |

f)

Muiden kulkuneuvojen valmistus

NACE Rev. 2 -luokituksen C jakson kaksinumerotasossa 30 tarkoitettua taloudellista toimintaa harjoittavat toimijat

| 6. | Digitaalisen palvelun tarjoajat |
| --- | --- |

6.

Digitaalisen palvelun tarjoajat

| — | Verkossa toimivien markkinapaikkojen tarjoajat |
| --- | --- |

—

Verkossa toimivien markkinapaikkojen tarjoajat

| — | Verkossa toimivien hakukoneiden tarjoajat |
| --- | --- |

—

Verkossa toimivien hakukoneiden tarjoajat

| — | Verkkoyhteisöalustojen tarjoajat |
| --- | --- |

—

Verkkoyhteisöalustojen tarjoajat

| 7. | Tutkimustoiminta |
| --- | --- |

7.

Tutkimustoiminta

Tutkimusorganisaatiot

---

(1)  Euroopan parlamentin ja neuvoston direktiivi 2008/98/EY, annettu 19 päivänä marraskuuta 2008, jätteistä ja tiettyjen direktiivien kumoamisesta (EUVL L 312, 22.11.2008, s. 3).

(2)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 1907/2006, annettu 18 päivänä joulukuuta 2006, kemikaalien rekisteröinnistä, arvioinnista, lupamenettelyistä ja rajoituksista (REACH), Euroopan kemikaaliviraston perustamisesta, direktiivin 1999/45/EY muuttamisesta sekä neuvoston asetuksen (ETY) N:o 793/93, komission asetuksen (EY) N:o 1488/94, neuvoston direktiivin 76/769/ETY ja komission direktiivien 91/155/ETY, 93/67/ETY, 93/105/EY ja 2000/21/EY kumoamisesta (EUVL L 396, 30.12.2006, s. 1).

(3)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 178/2002, annettu 28 päivänä tammikuuta 2002, elintarvikelainsäädäntöä koskevista yleisistä periaatteista ja vaatimuksista, Euroopan elintarviketurvallisuusviranomaisen perustamisesta sekä elintarvikkeiden turvallisuuteen liittyvistä menettelyistä (EYVL L 31, 1.2.2002, s. 1).

(4)  Euroopan parlamentin ja neuvoston asetus (EU) 2017/745, annettu 5 päivänä huhtikuuta 2017, lääkinnällisistä laitteista, direktiivin 2001/83/EY, asetuksen (EY) N:o 178/2002 ja asetuksen (EY) N:o 1223/2009 muuttamisesta sekä neuvoston direktiivien 90/385/ETY ja 93/42/ETY kumoamisesta (EUVL L 117, 5.5.2017, s. 1).

(5)  Euroopan parlamentin ja neuvoston asetus (EU) 2017/746, annettu 5 päivänä huhtikuuta 2017, in vitro -diagnostiikkaan tarkoitetuista lääkinnällisistä laitteista sekä direktiivin 98/79/EY ja komission päätöksen 2010/227/EU kumoamisesta (EUVL L 117, 5.5.2017, s. 176).

---

LIITE III

VASTAAVUUSTAULUKKO

| Direktiivi (EU) 2016/1148 | Tämä direktiivi |
| --- | --- |
| 1 artiklan 1 kohta | 1 artiklan 1 kohta |
| 1 artiklan 2 kohta | 1 artiklan 2 kohta |
| 1 artiklan 3 kohta | – |
| 1 artiklan 4 kohta | 2 artiklan 12 kohta |
| 1 artiklan 5 kohta | 2 artiklan 13 kohta |
| 1 artiklan 6 kohta | 2 artiklan 6 ja 11 kohta |
| 1 artiklan 7 kohta | 4 artikla |
| 2 artikla | 2 artiklan 14 kohta |
| 3 artikla | 5 artikla |
| 4 artikla | 6 artikla |
| 5 artikla | – |
| 6 artikla | – |
| 7 artiklan 1 kohta | 7 artiklan 1 ja 2 kohta |
| 7 artiklan 2 kohta | 7 artiklan 4 kohta |
| 7 artiklan 3 kohta | 7 artiklan 3 kohta |
| 8 artiklan 1–5 kohta | 8 artiklan 1–5 kohta |
| 8 artiklan 6 kohta | 13 artiklan 4 kohta |
| 8 artiklan 7 kohta | 8 artiklan 6 kohta |
| 9 artiklan 1, 2 ja 3 kohta | 10 artiklan 1, 2 ja 3 kohta |
| 9 artiklan 4 kohta | 10 artiklan 9 kohta |
| 9 artiklan 5 kohta | 10 artiklan 10 kohta |
| 10 artiklan 1 ja 2 kohta ja 3 kohdan ensimmäinen alakohta | 13 artiklan 1, 2 ja 3 kohta |
| 10 artiklan 3 kohdan toinen alakohta | 23 artiklan 9 kohta |
| 11 artiklan 1 kohta | 14 artiklan 1 ja 2 kohta |
| 11 artiklan 2 kohta | 14 artiklan 3 kohta |
| 11 artiklan 3 kohta | 14 artiklan 4 kohdan ensimmäisen alakohdan a–q alakohta ja s alakohta ja 7 kohta |
| 11 artiklan 4 kohta | 14 artiklan 4 kohdan ensimmäisen alakohdan r alakohta ja toinen alakohta |
| 11 artiklan 5 kohta | 14 artiklan 8 kohta |
| 12 artiklan 1–5 kohta | 15 artiklan 1–5 kohta |
| 13 artikla | 17 artikla |
| 14 artiklan 1 ja 2 kohta | 21 artiklan 1–4 kohta |
| 14 artiklan 3 kohta | 23 artiklan 1 kohta |
| 14 artiklan 4 kohta | 23 artiklan 3 kohta |
| 14 artiklan 5 kohta | 23 artiklan 5, 6 ja 8 kohta |
| 14 artiklan 6 kohta | 23 artiklan 7 kohta |
| 14 artiklan 7 kohta | 23 artiklan 11 kohta |
| 15 artiklan 1 kohta | 31 artiklan 1 kohta |
| 15 artiklan 2 kohdan ensimmäisen alakohdan a alakohta | 32 artiklan 2 kohdan e alakohta |
| 15 artiklan 2 kohdan ensimmäisen alakohdan b alakohta | 32 artiklan 2 kohdan g alakohta |
| 15 artiklan 2 kohdan toinen alakohta | 32 artiklan 3 kohta |
| 15 artiklan 3 kohta | 32 artiklan 4 kohdan b alakohta |
| 15 artiklan 4 kohta | 31 artiklan 3 kohta |
| 16 artiklan 1 ja 2 kohta | 21 artiklan 1–4 kohta |
| 16 artiklan 3 kohta | 23 artiklan 1 kohta |
| 16 artiklan 4 kohta | 23 artiklan 3 kohta |
| 16 artiklan 5 kohta | – |
| 16 artiklan 6 kohta | 23 artiklan 6 kohta |
| 16 artiklan 7 kohta | 23 artiklan 7 kohta |
| 16 artiklan 8 ja 9 kohta | 21 artiklan 5 kohta ja 23 artiklan 11 kohta |
| 16 artiklan 10 kohta | – |
| 16 artiklan 11 kohta | 2 artiklan 1, 2 ja 3 kohta |
| 17 artiklan 1 kohta | 33 artiklan 1 kohta |
| 17 artiklan 2 kohdan a alakohta | 32 artiklan 2 kohdan e alakohta |
| 17 artiklan 2 kohdan b alakohta | 32 artiklan 4 kohdan b alakohta |
| 17 artiklan 3 kohta | 37 artiklan 1 kohdan a ja b alakohta |
| 18 artiklan 1 kohta | 26 artiklan 1 kohdan b alakohta ja 2 kohta |
| 18 artiklan 2 kohta | 26 artiklan 3 kohta |
| 18 artiklan 3 kohta | 26 artiklan 4 kohta |
| 19 artikla | 25 artikla |
| 20 artikla | 30 artikla |
| 21 artikla | 36 artikla |
| 22 artikla | 39 artikla |
| 23 artikla | 40 artikla |
| 24 artikla | – |
| 25 artikla | 41 artikla |
| 26 artikla | 45 artikla |
| 27 artikla | 46 artikla |
| Liitteessä I oleva 1 alakohta | 11 artiklan 1 kohta |
| Liitteessä I olevan 2 alakohdan a alakohdan i–iv alakohta | 11 artiklan 2 kohdan a–d alakohta |
| Liitteessä I olevan 2 alakohdan a alakohdan v alakohta | 11 artiklan 2 kohdan f alakohta |
| Liitteessä I olevan 2 alakohdan b alakohta | 11 artiklan 4 kohta |
| Liitteessä I olevan 2 alakohdan c alakohdan i ja ii alakohta | 11 artiklan 5 kohdan a alakohta |
| Liite II | Liite I |
| Liitteessä III olevat 1 ja 2 alakohta | Liitteessä II oleva 6 alakohta |
| Liitteessä III oleva 3 alakohta | Liitteessä I oleva 8 alakohta |

Direktiivi (EU) 2016/1148

Tämä direktiivi

1 artiklan 1 kohta

1 artiklan 1 kohta

1 artiklan 2 kohta

1 artiklan 2 kohta

1 artiklan 3 kohta

–

1 artiklan 4 kohta

2 artiklan 12 kohta

1 artiklan 5 kohta

2 artiklan 13 kohta

1 artiklan 6 kohta

2 artiklan 6 ja 11 kohta

1 artiklan 7 kohta

4 artikla

2 artikla

2 artiklan 14 kohta

3 artikla

5 artikla

4 artikla

6 artikla

5 artikla

–

6 artikla

–

7 artiklan 1 kohta

7 artiklan 1 ja 2 kohta

7 artiklan 2 kohta

7 artiklan 4 kohta

7 artiklan 3 kohta

7 artiklan 3 kohta

8 artiklan 1–5 kohta

8 artiklan 1–5 kohta

8 artiklan 6 kohta

13 artiklan 4 kohta

8 artiklan 7 kohta

8 artiklan 6 kohta

9 artiklan 1, 2 ja 3 kohta

10 artiklan 1, 2 ja 3 kohta

9 artiklan 4 kohta

10 artiklan 9 kohta

9 artiklan 5 kohta

10 artiklan 10 kohta

10 artiklan 1 ja 2 kohta ja 3 kohdan ensimmäinen alakohta

13 artiklan 1, 2 ja 3 kohta

10 artiklan 3 kohdan toinen alakohta

23 artiklan 9 kohta

11 artiklan 1 kohta

14 artiklan 1 ja 2 kohta

11 artiklan 2 kohta

14 artiklan 3 kohta

11 artiklan 3 kohta

14 artiklan 4 kohdan ensimmäisen alakohdan a–q alakohta ja s alakohta ja 7 kohta

11 artiklan 4 kohta

14 artiklan 4 kohdan ensimmäisen alakohdan r alakohta ja toinen alakohta

11 artiklan 5 kohta

14 artiklan 8 kohta

12 artiklan 1–5 kohta

15 artiklan 1–5 kohta

13 artikla

17 artikla

14 artiklan 1 ja 2 kohta

21 artiklan 1–4 kohta

14 artiklan 3 kohta

23 artiklan 1 kohta

14 artiklan 4 kohta

23 artiklan 3 kohta

14 artiklan 5 kohta

23 artiklan 5, 6 ja 8 kohta

14 artiklan 6 kohta

23 artiklan 7 kohta

14 artiklan 7 kohta

23 artiklan 11 kohta

15 artiklan 1 kohta

31 artiklan 1 kohta

15 artiklan 2 kohdan ensimmäisen alakohdan a alakohta

32 artiklan 2 kohdan e alakohta

15 artiklan 2 kohdan ensimmäisen alakohdan b alakohta

32 artiklan 2 kohdan g alakohta

15 artiklan 2 kohdan toinen alakohta

32 artiklan 3 kohta

15 artiklan 3 kohta

32 artiklan 4 kohdan b alakohta

15 artiklan 4 kohta

31 artiklan 3 kohta

16 artiklan 1 ja 2 kohta

21 artiklan 1–4 kohta

16 artiklan 3 kohta

23 artiklan 1 kohta

16 artiklan 4 kohta

23 artiklan 3 kohta

16 artiklan 5 kohta

–

16 artiklan 6 kohta

23 artiklan 6 kohta

16 artiklan 7 kohta

23 artiklan 7 kohta

16 artiklan 8 ja 9 kohta

21 artiklan 5 kohta ja 23 artiklan 11 kohta

16 artiklan 10 kohta

–

16 artiklan 11 kohta

2 artiklan 1, 2 ja 3 kohta

17 artiklan 1 kohta

33 artiklan 1 kohta

17 artiklan 2 kohdan a alakohta

32 artiklan 2 kohdan e alakohta

17 artiklan 2 kohdan b alakohta

32 artiklan 4 kohdan b alakohta

17 artiklan 3 kohta

37 artiklan 1 kohdan a ja b alakohta

18 artiklan 1 kohta

26 artiklan 1 kohdan b alakohta ja 2 kohta

18 artiklan 2 kohta

26 artiklan 3 kohta

18 artiklan 3 kohta

26 artiklan 4 kohta

19 artikla

25 artikla

20 artikla

30 artikla

21 artikla

36 artikla

22 artikla

39 artikla

23 artikla

40 artikla

24 artikla

–

25 artikla

41 artikla

26 artikla

45 artikla

27 artikla

46 artikla

Liitteessä I oleva 1 alakohta

11 artiklan 1 kohta

Liitteessä I olevan 2 alakohdan a alakohdan i–iv alakohta

11 artiklan 2 kohdan a–d alakohta

Liitteessä I olevan 2 alakohdan a alakohdan v alakohta

11 artiklan 2 kohdan f alakohta

Liitteessä I olevan 2 alakohdan b alakohta

11 artiklan 4 kohta

Liitteessä I olevan 2 alakohdan c alakohdan i ja ii alakohta

11 artiklan 5 kohdan a alakohta

Liite II

Liite I

Liitteessä III olevat 1 ja 2 alakohta

Liitteessä II oleva 6 alakohta

Liitteessä III oleva 3 alakohta

Liitteessä I oleva 8 alakohta

---

| 27.12.2022 | FI | Euroopan unionin virallinen lehti | L 333/153 |
| --- | --- | --- | --- |

27.12.2022

FI

Euroopan unionin virallinen lehti

L 333/153

---

EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVI (EU) 2022/2556,

annettu 14 päivänä joulukuuta 2022,

direktiivien 2009/65/EY, 2009/138/EY, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 ja (EU) 2016/2341 muuttamisesta finanssialan digitaalisen häiriönsietokyvyn osalta

(ETA:n kannalta merkityksellinen teksti)

EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka

ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 53 artiklan 1 kohdan ja 114 artiklan,

ottavat huomioon Euroopan komission ehdotuksen,

sen jälkeen kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille,

ottavat huomioon Euroopan keskuspankin lausunnon (1),

ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon (2),

noudattavat tavallista lainsäätämisjärjestystä (3),

sekä katsovat seuraavaa:

| (1) | Unionin on tarpeen puuttua riittävästi ja kattavasti kaikkiin finanssialan yhteisöihin kohdistuviin digitaalisiin riskeihin, jotka johtuvat tieto- ja viestintätekniikan, jäljempänä ’TVT’, lisääntyneestä käytöstä rahoituspalvelujen tarjonnassa ja kulutuksessa, ja edistää näin digitaalisen rahoituksen mahdollisuuksien toteutumista lisäämällä innovointia ja edistämällä kilpailua turvallisessa digitaalisessa ympäristössä. |
| --- | --- |

(1)

Unionin on tarpeen puuttua riittävästi ja kattavasti kaikkiin finanssialan yhteisöihin kohdistuviin digitaalisiin riskeihin, jotka johtuvat tieto- ja viestintätekniikan, jäljempänä ’TVT’, lisääntyneestä käytöstä rahoituspalvelujen tarjonnassa ja kulutuksessa, ja edistää näin digitaalisen rahoituksen mahdollisuuksien toteutumista lisäämällä innovointia ja edistämällä kilpailua turvallisessa digitaalisessa ympäristössä.

| (2) | Finanssialan yhteisöt ovat erittäin riippuvaisia digitaaliteknologian käytöstä päivittäisessä liiketoiminnassaan. Siksi on äärimmäisen tärkeää varmistaa niiden digitaalisten toimintojen häiriönsietokyky TVT-riskiä vastaan. Tästä tarpeesta on tullut entistäkin polttavampi, koska läpimurtoteknologioiden – erityisesti sellaisten teknologioiden, jotka mahdollistavat digitaalisen arvon tai oikeuksien kirjausten sähköisen siirtämisen ja tallentamisen käyttäen hajautettua tilikirjaa tai vastaavaa teknologiaa (kryptovarat) – markkinat ja kyseisiin varoihin liittyvien palvelujen markkinat ovat kasvaneet. |
| --- | --- |

(2)

Finanssialan yhteisöt ovat erittäin riippuvaisia digitaaliteknologian käytöstä päivittäisessä liiketoiminnassaan. Siksi on äärimmäisen tärkeää varmistaa niiden digitaalisten toimintojen häiriönsietokyky TVT-riskiä vastaan. Tästä tarpeesta on tullut entistäkin polttavampi, koska läpimurtoteknologioiden – erityisesti sellaisten teknologioiden, jotka mahdollistavat digitaalisen arvon tai oikeuksien kirjausten sähköisen siirtämisen ja tallentamisen käyttäen hajautettua tilikirjaa tai vastaavaa teknologiaa (kryptovarat) – markkinat ja kyseisiin varoihin liittyvien palvelujen markkinat ovat kasvaneet.

| (3) | Unionin tasolla finanssialan TVT-riskin hallintaan liittyvistä vaatimuksista säädetään tällä hetkellä Euroopan parlamentin ja neuvoston direktiiveissä 2009/65/EY (4), 2009/138/EY (5), 2011/61/EU (6), 2013/36/EU (7), 2014/59/EU (8), 2014/65/EU (9), (EU) 2015/2366 (10) ja (EU) 2016/2341 (11).
  Kyseiset vaatimukset ovat vaihtelevia ja paikoin puutteellisia. Joissakin tapauksissa TVT-riskiä on käsitelty vain epäsuorasti osana operatiivista riskiä, ja toisissa sitä ei ole käsitelty lainkaan. Kyseiset ongelmat korjataan antamalla Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554 (12). Kyseiset direktiivit olisi näin ollen muutettava johdonmukaisuuden varmistamiseksi kyseisen asetuksen kanssa. Tässä direktiivissä säädetään muutoksista, jotka ovat tarpeen oikeudellisen selkeyden ja johdonmukaisuuden lisäämiseksi siltä osin, miten kyseisten direktiivien mukaisesti toimiluvan saaneisiin ja valvottuihin finanssialan yhteisöihin sovelletaan erilaisia digitaalista häiriönsietokykyä koskevia vaatimuksia, jotka ovat tarpeen niiden toiminnan harjoittamiseksi ja palvelujen tarjoamiseksi, ja taataan näin sisämarkkinoiden moitteeton toiminta. On tarpeen varmistaa kyseisten vaatimusten asianmukaisuus suhteessa markkinoiden kehitykseen, samalla kun kannustetaan noudattamaan suhteellisuusperiaatetta erityisesti finanssialan yhteisöjen kokoon ja niihin kohdistuviin erityisiin järjestelmiin nähden sääntöjen noudattamisesta aiheutuvien kustannusten vähentämiseksi. |
| --- | --- |

(3)

Unionin tasolla finanssialan TVT-riskin hallintaan liittyvistä vaatimuksista säädetään tällä hetkellä Euroopan parlamentin ja neuvoston direktiiveissä 2009/65/EY (4), 2009/138/EY (5), 2011/61/EU (6), 2013/36/EU (7), 2014/59/EU (8), 2014/65/EU (9), (EU) 2015/2366 (10) ja (EU) 2016/2341 (11).

Kyseiset vaatimukset ovat vaihtelevia ja paikoin puutteellisia. Joissakin tapauksissa TVT-riskiä on käsitelty vain epäsuorasti osana operatiivista riskiä, ja toisissa sitä ei ole käsitelty lainkaan. Kyseiset ongelmat korjataan antamalla Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554 (12). Kyseiset direktiivit olisi näin ollen muutettava johdonmukaisuuden varmistamiseksi kyseisen asetuksen kanssa. Tässä direktiivissä säädetään muutoksista, jotka ovat tarpeen oikeudellisen selkeyden ja johdonmukaisuuden lisäämiseksi siltä osin, miten kyseisten direktiivien mukaisesti toimiluvan saaneisiin ja valvottuihin finanssialan yhteisöihin sovelletaan erilaisia digitaalista häiriönsietokykyä koskevia vaatimuksia, jotka ovat tarpeen niiden toiminnan harjoittamiseksi ja palvelujen tarjoamiseksi, ja taataan näin sisämarkkinoiden moitteeton toiminta. On tarpeen varmistaa kyseisten vaatimusten asianmukaisuus suhteessa markkinoiden kehitykseen, samalla kun kannustetaan noudattamaan suhteellisuusperiaatetta erityisesti finanssialan yhteisöjen kokoon ja niihin kohdistuviin erityisiin järjestelmiin nähden sääntöjen noudattamisesta aiheutuvien kustannusten vähentämiseksi.

| (4) | Pankkipalvelujen alalla direktiivissä 2013/36/EU vahvistetaan nykyisin ainoastaan yleiset sisäistä hallintoa koskevat säännöt ja operatiivista riskiä koskevat säännökset, joihin sisältyy varautumissuunnitelmia ja liiketoiminnan jatkuvuussuunnitelmia koskevia vaatimuksia, joita käytetään epäsuorasti TVT-riskin käsittelemisen perustana. Kuitenkin TVT-riskin käsittelemiseksi nimenomaisella ja selkeällä tavalla varautumissuunnitelmia ja liiketoiminnan jatkuvuussuunnitelmia koskevia vaatimuksia olisi muutettava siten, että niihin sisällytetään myös TVT-riskiä koskevat liiketoiminnan jatkuvuus-, reagointi- ja palautumissuunnitelmat asetuksessa (EU) 2022/2554 vahvistettujen vaatimusten mukaisesti. Lisäksi TVT-riski sisältyy osana operatiivista riskiä vain epäsuorasti vakavaraisuuden arviointiprosessiin, jonka toimivaltaiset viranomaiset toteuttavat, ja sen arviointia koskevat kriteerit on tällä hetkellä määritetty Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 1093/2010 (13) perustetun Euroopan valvontaviranomaisen (Euroopan pankkiviranomainen) laatimissa ohjeissa valvonta- ja arviointiprosessin (SREP) yhteydessä tehtävästä ICT-riskien arvioinnista. Jotta taataan oikeudellinen selkeys ja varmistetaan, että pankkivalvojat tosiasiallisesti havaitsevat TVT-riskin ja valvovat sitä sekä seuraavat, miten finanssialan yhteisöt hallinnoivat sitä digitaalista häiriönsietokykyä koskevan uuden kehyksen mukaisesti, vakavaraisuuden arviointiprosessin soveltamisalaa olisi myös muutettava siten, että se viittaa nimenomaisesti asetuksessa (EU) 2022/2554 vahvistettuihin vaatimuksiin ja kattaa erityisesti merkittäviä TVT:hen liittyviä poikkeamia koskevissa raporteissa yksilöidyt riskit sekä finanssialan yhteisöjen kyseisen asetuksen mukaisesti suorittamissa digitaalista häiriönsietokykyä koskevissa testeissä ilmenneet riskit. |
| --- | --- |

(4)

Pankkipalvelujen alalla direktiivissä 2013/36/EU vahvistetaan nykyisin ainoastaan yleiset sisäistä hallintoa koskevat säännöt ja operatiivista riskiä koskevat säännökset, joihin sisältyy varautumissuunnitelmia ja liiketoiminnan jatkuvuussuunnitelmia koskevia vaatimuksia, joita käytetään epäsuorasti TVT-riskin käsittelemisen perustana. Kuitenkin TVT-riskin käsittelemiseksi nimenomaisella ja selkeällä tavalla varautumissuunnitelmia ja liiketoiminnan jatkuvuussuunnitelmia koskevia vaatimuksia olisi muutettava siten, että niihin sisällytetään myös TVT-riskiä koskevat liiketoiminnan jatkuvuus-, reagointi- ja palautumissuunnitelmat asetuksessa (EU) 2022/2554 vahvistettujen vaatimusten mukaisesti. Lisäksi TVT-riski sisältyy osana operatiivista riskiä vain epäsuorasti vakavaraisuuden arviointiprosessiin, jonka toimivaltaiset viranomaiset toteuttavat, ja sen arviointia koskevat kriteerit on tällä hetkellä määritetty Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 1093/2010 (13) perustetun Euroopan valvontaviranomaisen (Euroopan pankkiviranomainen) laatimissa ohjeissa valvonta- ja arviointiprosessin (SREP) yhteydessä tehtävästä ICT-riskien arvioinnista. Jotta taataan oikeudellinen selkeys ja varmistetaan, että pankkivalvojat tosiasiallisesti havaitsevat TVT-riskin ja valvovat sitä sekä seuraavat, miten finanssialan yhteisöt hallinnoivat sitä digitaalista häiriönsietokykyä koskevan uuden kehyksen mukaisesti, vakavaraisuuden arviointiprosessin soveltamisalaa olisi myös muutettava siten, että se viittaa nimenomaisesti asetuksessa (EU) 2022/2554 vahvistettuihin vaatimuksiin ja kattaa erityisesti merkittäviä TVT:hen liittyviä poikkeamia koskevissa raporteissa yksilöidyt riskit sekä finanssialan yhteisöjen kyseisen asetuksen mukaisesti suorittamissa digitaalista häiriönsietokykyä koskevissa testeissä ilmenneet riskit.

| (5) | Digitaalinen häiriönsietokyky on olennaista, jotta voidaan säilyttää finanssialan yhteisön kriisinratkaisun yhteydessä sen kriittiset toiminnot ja ydinliiketoiminta-alueet ja siten välttää reaalitalouden ja rahoitusjärjestelmän häiriöt. Merkittävät operatiiviset poikkeamat voivat heikentää finanssialan yhteisön kykyä jatkaa toimintaansa ja vaarantaa kriisinratkaisutavoitteiden saavuttamisen. Tietyt TVT-palvelujen käyttöä koskevat sopimusjärjestelyt ovat olennaisen tärkeitä toiminnan jatkuvuuden varmistamiseksi ja kriisinratkaisun yhteydessä tarvittavien tietojen toimittamiseksi. Jotta varmistetaan yhdenmukaisuus häiriönsietokykyä koskevan unionin kehyksen tavoitteiden kanssa, direktiiviä 2014/59/EU olisi muutettava vastaavasti sen varmistamiseksi, että häiriönsietokykyä koskevat tiedot otetaan huomioon kriisinratkaisun suunnittelussa ja finanssialan yhteisöjen purkamismahdollisuuksien arvioinnissa. |
| --- | --- |

(5)

Digitaalinen häiriönsietokyky on olennaista, jotta voidaan säilyttää finanssialan yhteisön kriisinratkaisun yhteydessä sen kriittiset toiminnot ja ydinliiketoiminta-alueet ja siten välttää reaalitalouden ja rahoitusjärjestelmän häiriöt. Merkittävät operatiiviset poikkeamat voivat heikentää finanssialan yhteisön kykyä jatkaa toimintaansa ja vaarantaa kriisinratkaisutavoitteiden saavuttamisen. Tietyt TVT-palvelujen käyttöä koskevat sopimusjärjestelyt ovat olennaisen tärkeitä toiminnan jatkuvuuden varmistamiseksi ja kriisinratkaisun yhteydessä tarvittavien tietojen toimittamiseksi. Jotta varmistetaan yhdenmukaisuus häiriönsietokykyä koskevan unionin kehyksen tavoitteiden kanssa, direktiiviä 2014/59/EU olisi muutettava vastaavasti sen varmistamiseksi, että häiriönsietokykyä koskevat tiedot otetaan huomioon kriisinratkaisun suunnittelussa ja finanssialan yhteisöjen purkamismahdollisuuksien arvioinnissa.

| (6) | Direktiivissä 2014/65/EU vahvistetaan tiukemmat TVT-riskiä koskevat säännöt sijoituspalveluyrityksille ja kauppapaikoille, jotka osallistuvat algoritmiseen kaupankäyntiin. Raportointipalveluihin ja kauppatietorekistereihin sovelletaan vähemmän yksityiskohtaisia vaatimuksia. Lisäksi direktiivissä 2014/65/EU viitataan vain rajoitetusti tietojenkäsittelyjärjestelmien valvonta- ja suojajärjestelyihin sekä asianmukaisten järjestelmien, resurssien ja menettelyjen käyttöön yrityspalvelujen jatkuvuuden ja säännönmukaisuuden varmistamiseksi. Lisäksi direktiivi olisi saatettava asetusta (EU) 2022/2554 vastaavaksi sijoituspalvelujen tarjoamisen ja sijoitustoiminnan harjoittamisen jatkuvuuden ja säännönmukaisuuden, häiriönsietokyvyn, kaupankäyntijärjestelmien kapasiteetin ja liiketoiminnan jatkuvuutta koskevien järjestelyjen ja riskinhallinnan tehokkuuden osalta. |
| --- | --- |

(6)

Direktiivissä 2014/65/EU vahvistetaan tiukemmat TVT-riskiä koskevat säännöt sijoituspalveluyrityksille ja kauppapaikoille, jotka osallistuvat algoritmiseen kaupankäyntiin. Raportointipalveluihin ja kauppatietorekistereihin sovelletaan vähemmän yksityiskohtaisia vaatimuksia. Lisäksi direktiivissä 2014/65/EU viitataan vain rajoitetusti tietojenkäsittelyjärjestelmien valvonta- ja suojajärjestelyihin sekä asianmukaisten järjestelmien, resurssien ja menettelyjen käyttöön yrityspalvelujen jatkuvuuden ja säännönmukaisuuden varmistamiseksi. Lisäksi direktiivi olisi saatettava asetusta (EU) 2022/2554 vastaavaksi sijoituspalvelujen tarjoamisen ja sijoitustoiminnan harjoittamisen jatkuvuuden ja säännönmukaisuuden, häiriönsietokyvyn, kaupankäyntijärjestelmien kapasiteetin ja liiketoiminnan jatkuvuutta koskevien järjestelyjen ja riskinhallinnan tehokkuuden osalta.

| (7) | Direktiivissä (EU) 2015/2366 vahvistetaan erityiset tieto- ja viestintäteknisiä turvavalvonta- ja hallintatoimenpiteitä koskevat säännöt maksupalvelujen tarjoamista koskevan toimiluvan saamista varten. Kyseisiä toimilupasääntöjä olisi muutettava, jotta ne vastaisivat asetusta (EU) 2022/2554. Lisäksi, jotta voidaan vähentää hallinnollista taakkaa ja välttää monimutkaisia ja päällekkäisiä raportointivaatimuksia, kyseiseen direktiiviin sisältyviä poikkeamien raportoimista koskevia sääntöjä ei pitäisi enää soveltaa mainitun direktiivin kohteena oleviin maksupalveluntarjoajiin, joihin sovelletaan myös asetusta (EU) 2022/2554, jolloin kyseiset maksupalveluntarjoajat saavat mahdollisuuden hyötyä yhdestä, täysin johdonmukaistetusta poikkeamien raportointijärjestelmästä kaikkien toiminnan harjoittamiseen tai turvallisuuteen vaikuttavien maksuihin liittyvien poikkeamien osalta riippumatta siitä, liittyvätkö tällaiset poikkeamat TVT:hen. |
| --- | --- |

(7)

Direktiivissä (EU) 2015/2366 vahvistetaan erityiset tieto- ja viestintäteknisiä turvavalvonta- ja hallintatoimenpiteitä koskevat säännöt maksupalvelujen tarjoamista koskevan toimiluvan saamista varten. Kyseisiä toimilupasääntöjä olisi muutettava, jotta ne vastaisivat asetusta (EU) 2022/2554. Lisäksi, jotta voidaan vähentää hallinnollista taakkaa ja välttää monimutkaisia ja päällekkäisiä raportointivaatimuksia, kyseiseen direktiiviin sisältyviä poikkeamien raportoimista koskevia sääntöjä ei pitäisi enää soveltaa mainitun direktiivin kohteena oleviin maksupalveluntarjoajiin, joihin sovelletaan myös asetusta (EU) 2022/2554, jolloin kyseiset maksupalveluntarjoajat saavat mahdollisuuden hyötyä yhdestä, täysin johdonmukaistetusta poikkeamien raportointijärjestelmästä kaikkien toiminnan harjoittamiseen tai turvallisuuteen vaikuttavien maksuihin liittyvien poikkeamien osalta riippumatta siitä, liittyvätkö tällaiset poikkeamat TVT:hen.

| (8) | Direktiiveissä 2009/138/EY ja (EU) 2016/2341 TVT-riski otetaan osittain huomioon niiden hallintoa ja riskinhallintaa koskevissa yleisissä säännöksissä, ja tietyt vaatimukset määritetään delegoiduilla säädöksillä, joissa viitataan tai ei viitata nimenomaisesti TVT-riskiin. Vastaavasti direktiivin 2011/61/EU soveltamisalaan kuuluvien vaihtoehtoisten sijoitusrahastojen hoitajiin ja direktiivin 2009/65/EY soveltamisalaan kuuluviin rahastoyhtiöihin sovelletaan vain hyvin yleisluonteisia sääntöjä. Kyseiset direktiivit olisi sen vuoksi saatettava asetuksessa (EU) 2022/2554 vahvistettujen TVT-järjestelmien ja -välineiden hallinnointia koskevia vaatimuksia vastaaviksi. |
| --- | --- |

(8)

Direktiiveissä 2009/138/EY ja (EU) 2016/2341 TVT-riski otetaan osittain huomioon niiden hallintoa ja riskinhallintaa koskevissa yleisissä säännöksissä, ja tietyt vaatimukset määritetään delegoiduilla säädöksillä, joissa viitataan tai ei viitata nimenomaisesti TVT-riskiin. Vastaavasti direktiivin 2011/61/EU soveltamisalaan kuuluvien vaihtoehtoisten sijoitusrahastojen hoitajiin ja direktiivin 2009/65/EY soveltamisalaan kuuluviin rahastoyhtiöihin sovelletaan vain hyvin yleisluonteisia sääntöjä. Kyseiset direktiivit olisi sen vuoksi saatettava asetuksessa (EU) 2022/2554 vahvistettujen TVT-järjestelmien ja -välineiden hallinnointia koskevia vaatimuksia vastaaviksi.

| (9) | Monissa tapauksissa muita TVT-riskivaatimuksia on jo vahvistettu delegoiduissa säädöksissä ja täytäntöönpanosäädöksissä, jotka on hyväksytty toimivaltaisen Euroopan valvontaviranomaisen laatimien teknisten sääntely- ja täytäntöönpanostandardien luonnosten perusteella. Koska asetuksen (EU) 2022/2554 säännökset muodostavat vastedes oikeudellisen kehyksen TVT-riskille finanssialalla, direktiiveissä 2009/65/EY, 2009/138/EY, 2011/61/EU ja 2014/65/EU annettuja tiettyjä valtuutuksia antaa delegoituja säädöksiä ja täytäntöönpanosäädöksiä olisi muutettava poistamalla TVT-riskiä koskevat säännökset kyseisten valtuutuksien soveltamisalasta. |
| --- | --- |

(9)

Monissa tapauksissa muita TVT-riskivaatimuksia on jo vahvistettu delegoiduissa säädöksissä ja täytäntöönpanosäädöksissä, jotka on hyväksytty toimivaltaisen Euroopan valvontaviranomaisen laatimien teknisten sääntely- ja täytäntöönpanostandardien luonnosten perusteella. Koska asetuksen (EU) 2022/2554 säännökset muodostavat vastedes oikeudellisen kehyksen TVT-riskille finanssialalla, direktiiveissä 2009/65/EY, 2009/138/EY, 2011/61/EU ja 2014/65/EU annettuja tiettyjä valtuutuksia antaa delegoituja säädöksiä ja täytäntöönpanosäädöksiä olisi muutettava poistamalla TVT-riskiä koskevat säännökset kyseisten valtuutuksien soveltamisalasta.

| (10) | Jotta voidaan varmistaa finanssialan digitaalisen häiriönsietokyvyn uuden kehyksen johdonmukainen täytäntöönpano, jäsenvaltioiden olisi sovellettava niitä kansallisia säännöksiä, joilla tämä direktiivi saatetaan osaksi kansallista lainsäädäntöä asetuksen (EU) 2022/2554 soveltamispäivästä alkaen. |
| --- | --- |

(10)

Jotta voidaan varmistaa finanssialan digitaalisen häiriönsietokyvyn uuden kehyksen johdonmukainen täytäntöönpano, jäsenvaltioiden olisi sovellettava niitä kansallisia säännöksiä, joilla tämä direktiivi saatetaan osaksi kansallista lainsäädäntöä asetuksen (EU) 2022/2554 soveltamispäivästä alkaen.

| (11) | Direktiivit 2009/65/EY, 2009/138/EY, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 ja (EU) 2016/2341 on annettu Euroopan unionin toiminnasta tehdyn sopimuksen 53 artiklan 1 kohdan tai 114 artiklan tai molempien nojalla. Tämän direktiivin muutokset on sisällytetty yhteen säädökseen, koska muutosten kohde ja tavoitteet liittyvät toisiinsa. Sen vuoksi tämä direktiivi olisi hyväksyttävä sekä Euroopan unionin toiminnasta tehdyn sopimuksen 53 artiklan 1 kohdan että 114 artiklan nojalla. |
| --- | --- |

(11)

Direktiivit 2009/65/EY, 2009/138/EY, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 ja (EU) 2016/2341 on annettu Euroopan unionin toiminnasta tehdyn sopimuksen 53 artiklan 1 kohdan tai 114 artiklan tai molempien nojalla. Tämän direktiivin muutokset on sisällytetty yhteen säädökseen, koska muutosten kohde ja tavoitteet liittyvät toisiinsa. Sen vuoksi tämä direktiivi olisi hyväksyttävä sekä Euroopan unionin toiminnasta tehdyn sopimuksen 53 artiklan 1 kohdan että 114 artiklan nojalla.

| (12) | Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitteita, koska ne edellyttävät direktiiveihin jo sisältyvien vaatimusten yhdenmukaistamista, vaan ne voidaan toiminnan laajuuden ja vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä direktiivissä ei ylitetä sitä, mikä on tarpeen kyseisten tavoitteiden saavuttamiseksi. |
| --- | --- |

(12)

Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitteita, koska ne edellyttävät direktiiveihin jo sisältyvien vaatimusten yhdenmukaistamista, vaan ne voidaan toiminnan laajuuden ja vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä direktiivissä ei ylitetä sitä, mikä on tarpeen kyseisten tavoitteiden saavuttamiseksi.

| (13) | Jäsenvaltiot ovat selittävistä asiakirjoista 28 päivänä syyskuuta 2011 annetun jäsenvaltioiden ja komission yhteisen poliittisen lausuman (14) mukaisesti sitoutuneet perustelluissa tapauksissa liittämään ilmoitukseen toimenpiteistä, jotka koskevat direktiivin saattamista osaksi kansallista lainsäädäntöä, yhden tai useamman asiakirjan, joista käy ilmi direktiivin osien ja kansallisen lainsäädännön osaksi saattamiseen tarkoitettujen välineiden vastaavien osien suhde. Tämän direktiivin osalta lainsäätäjä pitää tällaisten asiakirjojen toimittamista perusteltuna, |
| --- | --- |

(13)

Jäsenvaltiot ovat selittävistä asiakirjoista 28 päivänä syyskuuta 2011 annetun jäsenvaltioiden ja komission yhteisen poliittisen lausuman (14) mukaisesti sitoutuneet perustelluissa tapauksissa liittämään ilmoitukseen toimenpiteistä, jotka koskevat direktiivin saattamista osaksi kansallista lainsäädäntöä, yhden tai useamman asiakirjan, joista käy ilmi direktiivin osien ja kansallisen lainsäädännön osaksi saattamiseen tarkoitettujen välineiden vastaavien osien suhde. Tämän direktiivin osalta lainsäätäjä pitää tällaisten asiakirjojen toimittamista perusteltuna,

OVAT HYVÄKSYNEET TÄMÄN DIREKTIIVIN:

1 artikla

Direktiivin 2009/65/EY muuttaminen

Muutetaan direktiivin 2009/65/EY 12 artikla seuraavasti:

| 1) | korvataan 1 kohdan toisen alakohdan a alakohta seuraavasti:






  ”a) | on järkevä hallinto- ja tilinpitokäytäntö, sähköistä tietojenkäsittelyä varten tarkoitetut valvonta- ja turvajärjestelyt, mukaan lukien koskien verkko- ja tietojärjestelmiä, jotka on perustettu ja joita hallinnoidaan Euroopan parlamentin ja neuvoston asetusta (EU) 2022/2554 (*1) noudattaen, sekä riittävät sisäiset tarkastusjärjestelmät, mukaan lukien erityisesti työntekijöiden henkilökohtaisia liiketoimia koskevat säännöt tai rahoitusvälineisiin omaan lukuun sijoittamiseksi tehtyjen sijoitusten omistusta tai hoitoa koskevat säännöt, joiden avulla voidaan vähintään varmistaa, että jokaisesta liiketoimesta, jossa yhteissijoitusyritys on ollut osallisena, voidaan jälkikäteen todentaa sen alkuperä, osapuolet, luonne sekä toteuttamisajankohta ja -paikka ja että rahastoyhtiön hoitamien yhteissijoitusyritysten varat sijoitetaan rahaston sääntöjen tai perustamisasiakirjojen sekä voimassa olevan lainsäädännön mukaisesti; |
| --- | --- | --- |

1)

korvataan 1 kohdan toisen alakohdan a alakohta seuraavasti:

”a)

on järkevä hallinto- ja tilinpitokäytäntö, sähköistä tietojenkäsittelyä varten tarkoitetut valvonta- ja turvajärjestelyt, mukaan lukien koskien verkko- ja tietojärjestelmiä, jotka on perustettu ja joita hallinnoidaan Euroopan parlamentin ja neuvoston asetusta (EU) 2022/2554 (*1) noudattaen, sekä riittävät sisäiset tarkastusjärjestelmät, mukaan lukien erityisesti työntekijöiden henkilökohtaisia liiketoimia koskevat säännöt tai rahoitusvälineisiin omaan lukuun sijoittamiseksi tehtyjen sijoitusten omistusta tai hoitoa koskevat säännöt, joiden avulla voidaan vähintään varmistaa, että jokaisesta liiketoimesta, jossa yhteissijoitusyritys on ollut osallisena, voidaan jälkikäteen todentaa sen alkuperä, osapuolet, luonne sekä toteuttamisajankohta ja -paikka ja että rahastoyhtiön hoitamien yhteissijoitusyritysten varat sijoitetaan rahaston sääntöjen tai perustamisasiakirjojen sekä voimassa olevan lainsäädännön mukaisesti;

*1

(*1)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;"

*1

| 2) | korvataan 3 kohta seuraavasti:

  ”3.   Rajoittamatta 116 artiklan soveltamista komissio hyväksyy delegoiduilla säädöksillä 112 a artiklan mukaisesti toimenpiteitä, joilla täsmennetään






  a) | muita 1 kohdan toisen alakohdan a alakohdassa tarkoitettuja käytäntöjä ja järjestelyjä kuin verkko- ja tietojärjestelmiä koskevia menettelyjä ja järjestelyjä; |
| --- | --- | --- |

2)

korvataan 3 kohta seuraavasti:

”3.   Rajoittamatta 116 artiklan soveltamista komissio hyväksyy delegoiduilla säädöksillä 112 a artiklan mukaisesti toimenpiteitä, joilla täsmennetään

a)

muita 1 kohdan toisen alakohdan a alakohdassa tarkoitettuja käytäntöjä ja järjestelyjä kuin verkko- ja tietojärjestelmiä koskevia menettelyjä ja järjestelyjä;

| b) | 1 kohdan toisen alakohdan b alakohdassa tarkoitettuja eturistiriitojen rajoittamiseen liittyviä rakenteita ja organisaatiovaatimuksia.” |
| --- | --- |

b)

1 kohdan toisen alakohdan b alakohdassa tarkoitettuja eturistiriitojen rajoittamiseen liittyviä rakenteita ja organisaatiovaatimuksia.”

2 artikla

Direktiivin 2009/138/EY muuttaminen

Muutetaan direktiivi 2009/138/EY seuraavasti:

| 1) | korvataan 41 artiklan 4 kohta seuraavasti:

  ”4.   Vakuutus- ja jälleenvakuutusyritysten on toteutettava kohtuullisia toimenpiteitä toimintansa jatkuvuuden ja säännöllisyyden varmistamiseksi, mukaan lukien varautumissuunnitelmien laatiminen. Tätä varten yrityksen on käytettävä tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, voimavaroja ja menettelyjä, sekä erityisesti perustettava ja hallinnoitava verkko- ja tietojärjestelmiä Euroopan parlamentin ja neuvoston asetusta (EU) 2022/2554 (*2) noudattaen.


  (*2)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;" |
| --- | --- |

1)

korvataan 41 artiklan 4 kohta seuraavasti:

”4.   Vakuutus- ja jälleenvakuutusyritysten on toteutettava kohtuullisia toimenpiteitä toimintansa jatkuvuuden ja säännöllisyyden varmistamiseksi, mukaan lukien varautumissuunnitelmien laatiminen. Tätä varten yrityksen on käytettävä tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, voimavaroja ja menettelyjä, sekä erityisesti perustettava ja hallinnoitava verkko- ja tietojärjestelmiä Euroopan parlamentin ja neuvoston asetusta (EU) 2022/2554 (*2) noudattaen.

(*2)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;"

*2

| 2) | korvataan 50 artiklan 1 kohdan a ja b alakohta seuraavasti:






  ”a) | 41 ja 44 artiklassa tarkoitettujen järjestelmien osat, erityisesti 44 artiklan 2 kohdassa luetellut alat, sekä 46 ja 47 artiklassa tarkoitettujen järjestelmien osat, lukuun ottamatta tieto- ja viestintätekniikan riskinhallintaan liittyviä osia; |
| --- | --- | --- |

2)

korvataan 50 artiklan 1 kohdan a ja b alakohta seuraavasti:

”a)

41 ja 44 artiklassa tarkoitettujen järjestelmien osat, erityisesti 44 artiklan 2 kohdassa luetellut alat, sekä 46 ja 47 artiklassa tarkoitettujen järjestelmien osat, lukuun ottamatta tieto- ja viestintätekniikan riskinhallintaan liittyviä osia;

| b) | 44, 46, 47 ja 48 artiklassa tarkoitetut toiminnot, lukuun ottamatta tieto- ja viestintätekniikan riskinhallintaan liittyviä toimintoja.” |
| --- | --- |

b)

44, 46, 47 ja 48 artiklassa tarkoitetut toiminnot, lukuun ottamatta tieto- ja viestintätekniikan riskinhallintaan liittyviä toimintoja.”

3 artikla

Muutokset direktiiviin 2011/61/EU

Korvataan direktiivin 2011/61/EU 18 artikla seuraavasti:

”18 artikla

Yleiset periaatteet

1.   Jäsenvaltioiden on edellytettävä, että vaihtoehtoisten sijoitusrahastojen hoitaja hyödyntää kaiken aikaa riittäviä ja tarkoituksenmukaisia henkilöresursseja ja teknisiä resursseja, jotka tarvitaan vaihtoehtoisten sijoitusrahastojen asianmukaiseen hoitamiseen.

Vaihtoehtoisten sijoitusrahastojen hoitajan kotijäsenvaltion toimivaltaisten viranomaisten on erityisesti myös hoitajan hoitaman vaihtoehtoisen sijoitusrahaston luonteen huomioon ottaen edellytettävä, että hoitajalla on moitteettomat hallinto- ja tilinpitomenettelyt, sähköisen tietojenkäsittelyn valvonta- ja suojajärjestelyt, myös Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*3) mukaisesti perustettujen ja hallinnoitujen verkko- ja tietojärjestelmien osalta, sekä riittävät sisäiset valvontajärjestelmät, mukaan luettuina erityisesti sen työntekijöiden henkilökohtaisia liiketoimia koskevat säännöt tai sen omaan lukuun sijoittamiseksi tehtyjen sijoitusten omistusta tai hoitoa koskevat säännöt, joiden avulla voidaan vähintään varmistaa, että jokaisesta liiketoimesta, jossa vaihtoehtoisia sijoitusrahastoja on ollut osallisena, voidaan jälkikäteen todentaa sen alkuperä, osapuolet, luonne sekä toteuttamisaika ja -paikka ja että hoitajan hoitamien rahastojen varat sijoitetaan vaihtoehtoisen sijoitusrahaston sääntöjen tai perustamisasiakirjojen ja voimassa olevan lainsäädännön mukaisesti.

2.   Komissio hyväksyy 56 artiklan mukaisesti ja 57 ja 58 artiklan ehtoja noudattaen delegoiduilla säädöksillä toimenpiteitä, joilla täsmennetään tämän artiklan 1 kohdassa tarkoitetut menettelyt ja järjestelyt, lukuun ottamatta verkko- ja tietojärjestelmiä koskevia menettelyjä ja järjestelyjä.

4 artikla

Muutokset direktiiviin 2013/36/EU

Muutetaan direktiivi 2013/36/EU seuraavasti:

| 1) | korvataan 65 artiklan 3 kohdan a alakohdan vi alakohta seuraavasti:






  ”vi) | kolmannet osapuolet, joille i–iv alakohdassa tarkoitetut yhteisöt ovat ulkoistaneet toimintoja tai tehtäviä, mukaan lukien Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*4) V luvussa tarkoitetut TVT-palveluntarjoajana olevat kolmannet osapuolet; |
| --- | --- | --- |

1)

korvataan 65 artiklan 3 kohdan a alakohdan vi alakohta seuraavasti:

”vi)

kolmannet osapuolet, joille i–iv alakohdassa tarkoitetut yhteisöt ovat ulkoistaneet toimintoja tai tehtäviä, mukaan lukien Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*4) V luvussa tarkoitetut TVT-palveluntarjoajana olevat kolmannet osapuolet;

*4

(*4)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;"

*4

| 2) | korvataan 74 artiklan 1 kohdan ensimmäinen alakohta seuraavasti:

  ”Laitoksilla on oltava toimivat hallinnointi- ja ohjausjärjestelmät, jotka muodostuvat selkeästä organisaatiorakenteesta, jossa vastuualueet on määritelty yksityiskohtaisesti, läpinäkyvästi ja johdonmukaisesti, tehokkaista prosesseista sellaisten riskien tunnistamiseksi, hallitsemiseksi ja seuraamiseksi, joita niihin kohdistuu tai saattaa kohdistua, ja niistä raportoimiseksi, riittävistä sisäisen valvonnan menetelmistä, mukaan luettuina luotettavat hallinto- ja laskentamenetelmät, asetuksen (EU) 2022/2554 mukaisesti perustetut ja hallinnoidut verkko- ja tietojärjestelmät, sekä palkitsemisjärjestelmistä ja -käytännöistä, jotka ovat yhdenmukaisia hyvän ja tehokkaan riskienhallinnan kanssa ja edistävät sitä.”; |
| --- | --- |

2)

korvataan 74 artiklan 1 kohdan ensimmäinen alakohta seuraavasti:

”Laitoksilla on oltava toimivat hallinnointi- ja ohjausjärjestelmät, jotka muodostuvat selkeästä organisaatiorakenteesta, jossa vastuualueet on määritelty yksityiskohtaisesti, läpinäkyvästi ja johdonmukaisesti, tehokkaista prosesseista sellaisten riskien tunnistamiseksi, hallitsemiseksi ja seuraamiseksi, joita niihin kohdistuu tai saattaa kohdistua, ja niistä raportoimiseksi, riittävistä sisäisen valvonnan menetelmistä, mukaan luettuina luotettavat hallinto- ja laskentamenetelmät, asetuksen (EU) 2022/2554 mukaisesti perustetut ja hallinnoidut verkko- ja tietojärjestelmät, sekä palkitsemisjärjestelmistä ja -käytännöistä, jotka ovat yhdenmukaisia hyvän ja tehokkaan riskienhallinnan kanssa ja edistävät sitä.”;

| 3) | korvataan 85 artiklan 2 kohta seuraavasti:

  ”2.   Toimivaltaisten viranomaisten on huolehdittava siitä, että laitoksilla on riittävät varautumissuunnitelmat ja liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja suunnitelmat, mukaan lukien tieto- ja viestintätekniikan liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja suunnitelmat ja tieto- ja viestintätekniikan reagointi- ja palautumissuunnitelmat, jotka koskevat tietojen välittämiseen käytettävää teknologiaa, ja että kyseiset suunnitelmat laaditaan ja niitä hallinnoidaan ja testataan asetuksen (EU) 2022/2554 11 artiklan mukaisesti, jotta laitokset voivat jatkaa toimintaansa vakavassa häiriötilanteessa ja rajoittaa tällaisesta häiriötilanteesta aiheutuvia tappioita.”; |
| --- | --- |

3)

korvataan 85 artiklan 2 kohta seuraavasti:

”2.   Toimivaltaisten viranomaisten on huolehdittava siitä, että laitoksilla on riittävät varautumissuunnitelmat ja liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja suunnitelmat, mukaan lukien tieto- ja viestintätekniikan liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja suunnitelmat ja tieto- ja viestintätekniikan reagointi- ja palautumissuunnitelmat, jotka koskevat tietojen välittämiseen käytettävää teknologiaa, ja että kyseiset suunnitelmat laaditaan ja niitä hallinnoidaan ja testataan asetuksen (EU) 2022/2554 11 artiklan mukaisesti, jotta laitokset voivat jatkaa toimintaansa vakavassa häiriötilanteessa ja rajoittaa tällaisesta häiriötilanteesta aiheutuvia tappioita.”;

| 4) | lisätään 97 artiklan 1 kohtaan alakohta seuraavasti:






  ”d) | asetuksen (EU) 2022/2554 IV luvun mukaisen digitaalisen häiriönsietokyvyn testauksen paljastamat riskit.” |
| --- | --- | --- |

4)

lisätään 97 artiklan 1 kohtaan alakohta seuraavasti:

”d)

asetuksen (EU) 2022/2554 IV luvun mukaisen digitaalisen häiriönsietokyvyn testauksen paljastamat riskit.”

5 artikla

Muutokset direktiiviin 2014/59/EU

Muutetaan direktiivi 2014/59/EU seuraavasti:

| 1) | muutetaan 10 artikla seuraavasti:






  a) | korvataan 7 kohdan c alakohta seuraavasti:






  ”c) | sen osoittaminen, miten kriittiset toiminnot ja ydinliiketoiminta-alueet voidaan tarvittavissa määrin erotella oikeudellisesti ja taloudellisesti muista toiminnoista niiden jatkuvuuden sekä digitaalisen häiriönsietokyvyn varmistamiseksi laitoksen kaaduttua;” |
| --- | --- | --- | --- |

1)

muutetaan 10 artikla seuraavasti:

a)

korvataan 7 kohdan c alakohta seuraavasti:

”c)

sen osoittaminen, miten kriittiset toiminnot ja ydinliiketoiminta-alueet voidaan tarvittavissa määrin erotella oikeudellisesti ja taloudellisesti muista toiminnoista niiden jatkuvuuden sekä digitaalisen häiriönsietokyvyn varmistamiseksi laitoksen kaaduttua;”

| b) | korvataan 7 kohdan q alakohta seuraavasti:






  ”q) | kuvaus toiminnoista ja järjestelmistä, jotka ovat olennaisia laitoksen operatiivisten prosessien jatkuvan toiminnan ylläpitämiseksi, Euroopan parlamentin ja neuvoston asetuksessa (EU) 2022/2554 (*5) tarkoitetut verkko- ja tietojärjestelmät mukaan luettuina; |
| --- | --- | --- |

b)

korvataan 7 kohdan q alakohta seuraavasti:

”q)

kuvaus toiminnoista ja järjestelmistä, jotka ovat olennaisia laitoksen operatiivisten prosessien jatkuvan toiminnan ylläpitämiseksi, Euroopan parlamentin ja neuvoston asetuksessa (EU) 2022/2554 (*5) tarkoitetut verkko- ja tietojärjestelmät mukaan luettuina;

*5

(*5)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;"

*5

| c) | lisätään 9 kohtaan alakohta seuraavasti:

  ”EPV tarkastelee asetuksen (EU) N:o 1093/2010 10 artiklan mukaisesti teknisiä sääntelystandardeja uudelleen ja päivittää niitä tarvittaessa muun muassa asetuksen (EU) 2022/2554 II luvun säännösten huomioon ottamiseksi.”; |
| --- | --- |

c)

lisätään 9 kohtaan alakohta seuraavasti:

”EPV tarkastelee asetuksen (EU) N:o 1093/2010 10 artiklan mukaisesti teknisiä sääntelystandardeja uudelleen ja päivittää niitä tarvittaessa muun muassa asetuksen (EU) 2022/2554 II luvun säännösten huomioon ottamiseksi.”;

| 2) | muutetaan liite seuraavasti:






  a) | korvataan A jakson 16 kohta seuraavasti:






  ”16) | järjestelyt ja toimenpiteet, joita tarvitaan laitoksen operatiivisten prosessien jatkuvan toiminnan ylläpitämiseksi, asetuksen (EU) 2022/2554 mukaisesti perustetut ja hallinnoidut verkko- ja tietojärjestelmät mukaan luettuina;” |
| --- | --- | --- | --- |

2)

muutetaan liite seuraavasti:

a)

korvataan A jakson 16 kohta seuraavasti:

”16)

järjestelyt ja toimenpiteet, joita tarvitaan laitoksen operatiivisten prosessien jatkuvan toiminnan ylläpitämiseksi, asetuksen (EU) 2022/2554 mukaisesti perustetut ja hallinnoidut verkko- ja tietojärjestelmät mukaan luettuina;”

| b) | muutetaan B jakso seuraavasti:






  i) | korvataan 14 kohta seuraavasti:






  ”14) | tunnistetiedot 13 kohdassa lueteltujen järjestelmien omistajista, näitä koskevista palvelutasosopimuksista ja mahdollisista ohjelmistoista ja järjestelmistä tai käyttöoikeuksista, mukaan lukien kartoitus suhteessa niiden oikeussubjekteihin, kriittisiin toimintoihin ja ydinliiketoiminta-alueisiin, sekä tunnistetiedot asetuksen (EU) 2022/2554 3 artiklan 23 alakohdassa määritellyistä kriittisistä TVT-palveluntarjoajana olevista kolmansista osapuolista;” |
| --- | --- | --- | --- |

b)

muutetaan B jakso seuraavasti:

i)

korvataan 14 kohta seuraavasti:

”14)

tunnistetiedot 13 kohdassa lueteltujen järjestelmien omistajista, näitä koskevista palvelutasosopimuksista ja mahdollisista ohjelmistoista ja järjestelmistä tai käyttöoikeuksista, mukaan lukien kartoitus suhteessa niiden oikeussubjekteihin, kriittisiin toimintoihin ja ydinliiketoiminta-alueisiin, sekä tunnistetiedot asetuksen (EU) 2022/2554 3 artiklan 23 alakohdassa määritellyistä kriittisistä TVT-palveluntarjoajana olevista kolmansista osapuolista;”

| ii) | lisätään kohta seuraavasti:






  ”14 a) | asetuksen (EU) 2022/2554 mukaisen digitaalisen häiriönsietokyvyn testauksen tulokset;” |
| --- | --- | --- |

ii)

lisätään kohta seuraavasti:

”14 a)

asetuksen (EU) 2022/2554 mukaisen digitaalisen häiriönsietokyvyn testauksen tulokset;”

| c) | muutetaan C jakso seuraavasti:






  i) | korvataan 4 kohta seuraavasti:






  ”4) | missä määrin laitoksen voimassa pitämät palvelusopimukset, tieto- ja viestintätekniikan palvelujen käyttöä koskevat sopimusjärjestelyt mukaan luettuina, ovat vankkoja ja täysin täytäntöönpanokelpoisia, jos laitos asetetaan kriisinratkaisuun;” |
| --- | --- | --- | --- |

c)

muutetaan C jakso seuraavasti:

i)

korvataan 4 kohta seuraavasti:

”4)

missä määrin laitoksen voimassa pitämät palvelusopimukset, tieto- ja viestintätekniikan palvelujen käyttöä koskevat sopimusjärjestelyt mukaan luettuina, ovat vankkoja ja täysin täytäntöönpanokelpoisia, jos laitos asetetaan kriisinratkaisuun;”

| ii) | lisätään kohta seuraavasti:






  ”4 a) | sellaisten verkko- ja tietojärjestelmien digitaalinen häiriönsietokyky, joilla tuetaan laitoksen kriittisiä toimintoja ja ydinliiketoiminta-alueita, ottaen huomioon laajavaikutteisia tieto- ja viestintätekniikkaan liittyviä poikkeamia koskevat raportit sekä asetuksen (EU) 2022/2554 mukaisen digitaalisen häiriönsietokyvyn testauksen tulokset;”. |
| --- | --- | --- |

ii)

lisätään kohta seuraavasti:

”4 a)

sellaisten verkko- ja tietojärjestelmien digitaalinen häiriönsietokyky, joilla tuetaan laitoksen kriittisiä toimintoja ja ydinliiketoiminta-alueita, ottaen huomioon laajavaikutteisia tieto- ja viestintätekniikkaan liittyviä poikkeamia koskevat raportit sekä asetuksen (EU) 2022/2554 mukaisen digitaalisen häiriönsietokyvyn testauksen tulokset;”.

6 artikla

Muutokset direktiiviin 2014/65/EU

Muutetaan direktiivi 2014/65/EU seuraavasti:

| 1) | muutetaan 16 artikla seuraavasti:






  a) | korvataan 4 kohta seuraavasti:

  ”4.   Sijoituspalveluyrityksen on toteutettava kohtuulliset toimenpiteet sijoituspalvelujen tarjoamisen ja sijoitustoiminnan harjoittamisen jatkuvuuden ja säännönmukaisuuden turvaamiseksi. Tätä varten sijoituspalveluyrityksen on käytettävä tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, mukaan lukien Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*6) 7 artiklan mukaisesti perustettuja ja hallinnoituja tieto- ja viestintäteknisiä, jäljempänä ’TVT’, järjestelmiä, sekä asianmukaisia ja oikeasuhteisia resursseja ja menettelyjä.


  (*6)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;" |
| --- | --- | --- |

1)

muutetaan 16 artikla seuraavasti:

a)

korvataan 4 kohta seuraavasti:

”4.   Sijoituspalveluyrityksen on toteutettava kohtuulliset toimenpiteet sijoituspalvelujen tarjoamisen ja sijoitustoiminnan harjoittamisen jatkuvuuden ja säännönmukaisuuden turvaamiseksi. Tätä varten sijoituspalveluyrityksen on käytettävä tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, mukaan lukien Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*6) 7 artiklan mukaisesti perustettuja ja hallinnoituja tieto- ja viestintäteknisiä, jäljempänä ’TVT’, järjestelmiä, sekä asianmukaisia ja oikeasuhteisia resursseja ja menettelyjä.

(*6)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;"

*6

| b) | korvataan 5 kohdan toinen ja kolmas alakohta seuraavasti:

  ”Sijoituspalveluyrityksellä on oltava moitteettomat hallinto- ja kirjanpitomenettelyt, omat sisäiset valvontamekanismit ja tehokkaat riskinarviointimenettelyt.
  Sijoituspalveluyrityksellä on oltava käytössään vakaat turvajärjestelmät, joilla varmistetaan asetuksessa (EU) 2022/2554 säädettyjen vaatimusten mukainen tiedonsiirtovälineiden suojaus ja todentaminen, minimoidaan tiedon turmeltumisen ja luvattoman käytön riski ja estetään tietojen vuotaminen, millä turvataan tiedon luottamuksellisuus kaiken aikaa, sanotun kuitenkaan rajoittamatta toimivaltaisten viranomaisten mahdollisuutta vaatia viestien käyttöoikeutta tämän direktiivin ja asetuksen (EU) N:o 600/2014 mukaisesti.”; |
| --- | --- |

b)

korvataan 5 kohdan toinen ja kolmas alakohta seuraavasti:

”Sijoituspalveluyrityksellä on oltava moitteettomat hallinto- ja kirjanpitomenettelyt, omat sisäiset valvontamekanismit ja tehokkaat riskinarviointimenettelyt.

Sijoituspalveluyrityksellä on oltava käytössään vakaat turvajärjestelmät, joilla varmistetaan asetuksessa (EU) 2022/2554 säädettyjen vaatimusten mukainen tiedonsiirtovälineiden suojaus ja todentaminen, minimoidaan tiedon turmeltumisen ja luvattoman käytön riski ja estetään tietojen vuotaminen, millä turvataan tiedon luottamuksellisuus kaiken aikaa, sanotun kuitenkaan rajoittamatta toimivaltaisten viranomaisten mahdollisuutta vaatia viestien käyttöoikeutta tämän direktiivin ja asetuksen (EU) N:o 600/2014 mukaisesti.”;

| 2) | muutetaan 17 artikla seuraavasti:






  a) | korvataan 1 kohta seuraavasti:

  ”1.   Algoritmista kaupankäyntiä harjoittavalla sijoituspalveluyrityksellä on oltava käytössään sen harjoittamaan liiketoimintaan soveltuvat tehokkaat järjestelmät ja riskinhallintamenetelmät, joiden avulla voidaan varmistaa sen kaupankäyntijärjestelmien häiriönsietokyky ja riittävä kapasiteetti asetuksen (EU) 2022/2554 II luvussa vahvistettujen vaatimusten mukaisesti sekä asianmukaiset kaupankäynnin raja-arvot ja limiitit sekä estää virheellisten toimeksiantojen lähettäminen tai järjestelmien muu toiminta, joka voi aiheuttaa tai lisätä markkinoiden tavanomaisesta poikkeavaa toimintaa.
  Tällaisella yrityksellä on myös oltava käytössään tehokkaat järjestelmät ja riskinhallintamenetelmät sen varmistamiseksi, että kaupankäyntijärjestelmiä ei voida käyttää asetuksen (EU) N:o 596/2014 vastaisiin tarkoituksiin tai sen kauppapaikan sääntöjen vastaisesti, johon sillä on yhteys.
  Sijoituspalveluyrityksellä on oltava käytössään tehokkaat liiketoiminnan jatkuvuutta koskevat järjestelyt, mukaan lukien asetuksen (EU) 2022/2554 11 artiklaa noudattaen laaditut TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja suunnitelmat ja TVT-reagointi- ja palautumissuunnitelmat, joiden avulla voidaan korjata sen kaupankäyntijärjestelmissä esiintyvät häiriöt, ja sen on varmistettava, että sen järjestelmät ovat kaikilta osin testattuja ja niitä valvotaan asianmukaisesti, jotta ne täyttävät tässä kohdassa säädetyt vaatimukset ja asetuksen (EU) 2022/2554 II ja IV luvussa säädetyt erityisvaatimukset.”; |
| --- | --- | --- |

2)

muutetaan 17 artikla seuraavasti:

a)

korvataan 1 kohta seuraavasti:

”1.   Algoritmista kaupankäyntiä harjoittavalla sijoituspalveluyrityksellä on oltava käytössään sen harjoittamaan liiketoimintaan soveltuvat tehokkaat järjestelmät ja riskinhallintamenetelmät, joiden avulla voidaan varmistaa sen kaupankäyntijärjestelmien häiriönsietokyky ja riittävä kapasiteetti asetuksen (EU) 2022/2554 II luvussa vahvistettujen vaatimusten mukaisesti sekä asianmukaiset kaupankäynnin raja-arvot ja limiitit sekä estää virheellisten toimeksiantojen lähettäminen tai järjestelmien muu toiminta, joka voi aiheuttaa tai lisätä markkinoiden tavanomaisesta poikkeavaa toimintaa.

Tällaisella yrityksellä on myös oltava käytössään tehokkaat järjestelmät ja riskinhallintamenetelmät sen varmistamiseksi, että kaupankäyntijärjestelmiä ei voida käyttää asetuksen (EU) N:o 596/2014 vastaisiin tarkoituksiin tai sen kauppapaikan sääntöjen vastaisesti, johon sillä on yhteys.

Sijoituspalveluyrityksellä on oltava käytössään tehokkaat liiketoiminnan jatkuvuutta koskevat järjestelyt, mukaan lukien asetuksen (EU) 2022/2554 11 artiklaa noudattaen laaditut TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja suunnitelmat ja TVT-reagointi- ja palautumissuunnitelmat, joiden avulla voidaan korjata sen kaupankäyntijärjestelmissä esiintyvät häiriöt, ja sen on varmistettava, että sen järjestelmät ovat kaikilta osin testattuja ja niitä valvotaan asianmukaisesti, jotta ne täyttävät tässä kohdassa säädetyt vaatimukset ja asetuksen (EU) 2022/2554 II ja IV luvussa säädetyt erityisvaatimukset.”;

| b) | korvataan 7 kohdan a alakohta seuraavasti:






  ”a) | edellä 1–6 kohdassa vahvistetut toiminnan järjestämistä koskevat yksityiskohtaiset vaatimukset, jotka eivät liity tieto- ja viestintätekniikan riskinhallintaan ja joita sovelletaan erilaisia sijoituspalveluja, sijoitustoimintaa, oheispalveluja tai niiden yhdistelmiä tarjoaviin sijoituspalveluyrityksiin, jolloin 5 kohdassa vahvistettujen toiminnan järjestämistä koskevien vaatimusten osalta on määritettävä suoraa markkinoillepääsyä ja tuettua pääsyä koskevat erityisvaatimukset siten, että voidaan varmistaa, että tuettuun pääsyyn sovellettavat valvontamenetelmät vastaavat vähintään suoraan markkinoillepääsyyn sovellettavia valvontamenetelmiä;” |
| --- | --- | --- |

b)

korvataan 7 kohdan a alakohta seuraavasti:

”a)

edellä 1–6 kohdassa vahvistetut toiminnan järjestämistä koskevat yksityiskohtaiset vaatimukset, jotka eivät liity tieto- ja viestintätekniikan riskinhallintaan ja joita sovelletaan erilaisia sijoituspalveluja, sijoitustoimintaa, oheispalveluja tai niiden yhdistelmiä tarjoaviin sijoituspalveluyrityksiin, jolloin 5 kohdassa vahvistettujen toiminnan järjestämistä koskevien vaatimusten osalta on määritettävä suoraa markkinoillepääsyä ja tuettua pääsyä koskevat erityisvaatimukset siten, että voidaan varmistaa, että tuettuun pääsyyn sovellettavat valvontamenetelmät vastaavat vähintään suoraan markkinoillepääsyyn sovellettavia valvontamenetelmiä;”

| 3) | muutetaan 47 artiklan 1 kohta seuraavasti:






  a) | korvataan b alakohta seuraavasti:






  ”b) | riittävät valmiudet hallita siihen kohdistuvia riskejä, myös hallita TVT-riskiä asetuksen (EU) 2022/2554 II luvun mukaisesti, panna täytäntöön asianmukaiset järjestelyt ja järjestelmät kaikkien sen ylläpitoon kohdistuvien merkittävien riskien havaitsemiseksi ja toteuttaa tehokkaita toimenpiteitä tällaisten riskien lieventämiseksi;” |
| --- | --- | --- | --- |

3)

muutetaan 47 artiklan 1 kohta seuraavasti:

a)

korvataan b alakohta seuraavasti:

”b)

riittävät valmiudet hallita siihen kohdistuvia riskejä, myös hallita TVT-riskiä asetuksen (EU) 2022/2554 II luvun mukaisesti, panna täytäntöön asianmukaiset järjestelyt ja järjestelmät kaikkien sen ylläpitoon kohdistuvien merkittävien riskien havaitsemiseksi ja toteuttaa tehokkaita toimenpiteitä tällaisten riskien lieventämiseksi;”

| b) | kumotaan c alakohta; |
| --- | --- |

b)

kumotaan c alakohta;

| 4) | muutetaan 48 artikla seuraavasti:






  a) | korvataan 1 kohta seuraavasti:

  ”1.   Jäsenvaltioiden on edellytettävä, että säännelty markkina kehittää toiminnallisen häiriönsietokyvyn ja ylläpitää toiminnallista häiriönsietokykyään asetuksen (EU) 2022/2554 II luvussa vahvistettuja vaatimuksia noudattaen, jotta se voi varmistaa kaupankäyntijärjestelmiensä häiriönsietokyvyn, riittävän kapasiteetin toimeksiantojen ja viestien ruuhkahuippujen käsittelyyn ja asianmukaisen kaupankäynnin markkinoiden vakavissa stressiolosuhteissa sekä sen, että kaupankäyntijärjestelmät ovat täysin testattuja kyseisten edellytysten täyttymisen varmistamiseksi ja että käytössä on tehokkaat liiketoiminnan jatkuvuutta koskevat järjestelyt, asetuksen (EU) 2022/2554 11 artiklan mukaisesti laaditut TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja suunnitelmat ja TVT-reagointi- ja palautumissuunnitelmat mukaan luettuina, joiden avulla voidaan varmistaa säännellyn markkinan palvelujen jatkuvuus sen kaupankäyntijärjestelmissä esiintyvien häiriöiden varalta.”; |
| --- | --- | --- |

4)

muutetaan 48 artikla seuraavasti:

a)

korvataan 1 kohta seuraavasti:

”1.   Jäsenvaltioiden on edellytettävä, että säännelty markkina kehittää toiminnallisen häiriönsietokyvyn ja ylläpitää toiminnallista häiriönsietokykyään asetuksen (EU) 2022/2554 II luvussa vahvistettuja vaatimuksia noudattaen, jotta se voi varmistaa kaupankäyntijärjestelmiensä häiriönsietokyvyn, riittävän kapasiteetin toimeksiantojen ja viestien ruuhkahuippujen käsittelyyn ja asianmukaisen kaupankäynnin markkinoiden vakavissa stressiolosuhteissa sekä sen, että kaupankäyntijärjestelmät ovat täysin testattuja kyseisten edellytysten täyttymisen varmistamiseksi ja että käytössä on tehokkaat liiketoiminnan jatkuvuutta koskevat järjestelyt, asetuksen (EU) 2022/2554 11 artiklan mukaisesti laaditut TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja suunnitelmat ja TVT-reagointi- ja palautumissuunnitelmat mukaan luettuina, joiden avulla voidaan varmistaa säännellyn markkinan palvelujen jatkuvuus sen kaupankäyntijärjestelmissä esiintyvien häiriöiden varalta.”;

| b) | korvataan 6 kohta seuraavasti:

  ”6.   Jäsenvaltioiden on edellytettävä, että säännellyllä markkinalla on käytössään tehokkaat järjestelmät, menettelyt ja järjestelyt, mukaan lukien edellytys, että jäsenet tai osapuolet huolehtivat algoritmien asianmukaisesta testauksesta, ja ympäristöjen tarjoaminen tällaisen testauksen helpottamiseksi asetuksen (EU) 2022/2554 II ja IV luvussa vahvistettuja vaatimuksia noudattaen, sen varmistamiseksi, että algoritmiset kaupankäyntijärjestelmät eivät voi aikaansaada tai lisätä tavanomaisesta poikkeavaa kaupankäyntiä markkinalla, ja tällaisista algoritmisista kaupankäyntijärjestelmistä aiheutuvan tavanomaisesta poikkeavan kaupankäynnin hallinnoimiseksi, mukaan lukien järjestelmät, joilla rajoitetaan toteuttamattomien toimeksiantojen suhteellista osuutta liiketoimista, jotka jäsen tai osapuoli voi kirjata järjestelmään, voidakseen hidastaa toimeksiantojen virtaa, jos järjestelmän kapasiteetti uhkaa ylittyä, ja voidakseen rajoittaa ja valvoa markkinalla sallittavaa pienintä mahdollista hinnanmuutosväliä.”; |
| --- | --- |

b)

korvataan 6 kohta seuraavasti:

”6.   Jäsenvaltioiden on edellytettävä, että säännellyllä markkinalla on käytössään tehokkaat järjestelmät, menettelyt ja järjestelyt, mukaan lukien edellytys, että jäsenet tai osapuolet huolehtivat algoritmien asianmukaisesta testauksesta, ja ympäristöjen tarjoaminen tällaisen testauksen helpottamiseksi asetuksen (EU) 2022/2554 II ja IV luvussa vahvistettuja vaatimuksia noudattaen, sen varmistamiseksi, että algoritmiset kaupankäyntijärjestelmät eivät voi aikaansaada tai lisätä tavanomaisesta poikkeavaa kaupankäyntiä markkinalla, ja tällaisista algoritmisista kaupankäyntijärjestelmistä aiheutuvan tavanomaisesta poikkeavan kaupankäynnin hallinnoimiseksi, mukaan lukien järjestelmät, joilla rajoitetaan toteuttamattomien toimeksiantojen suhteellista osuutta liiketoimista, jotka jäsen tai osapuoli voi kirjata järjestelmään, voidakseen hidastaa toimeksiantojen virtaa, jos järjestelmän kapasiteetti uhkaa ylittyä, ja voidakseen rajoittaa ja valvoa markkinalla sallittavaa pienintä mahdollista hinnanmuutosväliä.”;

| c) | muutetaan 12 kohta seuraavasti:






  i) | korvataan a alakohta seuraavasti:






  ”a) | vaatimukset, joilla varmistetaan säänneltyjen markkinoiden kaupankäyntijärjestelmien häiriönsietokyky ja riittävä kapasiteetti, lukuun ottamatta digitaalista häiriönsietokykyä koskevia vaatimuksia;” |
| --- | --- | --- | --- |

c)

muutetaan 12 kohta seuraavasti:

i)

korvataan a alakohta seuraavasti:

”a)

vaatimukset, joilla varmistetaan säänneltyjen markkinoiden kaupankäyntijärjestelmien häiriönsietokyky ja riittävä kapasiteetti, lukuun ottamatta digitaalista häiriönsietokykyä koskevia vaatimuksia;”

| ii) | korvataan g alakohta seuraavasti:






  ”g) | vaatimukset, joilla varmistetaan algoritmien asianmukainen testaus, lukuun ottamatta digitaalisen häiriönsietokyvyn testausta, sen varmistamiseksi, että algoritmiset kaupankäyntijärjestelmät, mukaan lukien huippunopeat algoritmiset kaupankäyntijärjestelmät, eivät voi aikaansaada tai lisätä tavanomaisesta poikkeavaa kaupankäyntiä markkinalla.” |
| --- | --- | --- |

ii)

korvataan g alakohta seuraavasti:

”g)

vaatimukset, joilla varmistetaan algoritmien asianmukainen testaus, lukuun ottamatta digitaalisen häiriönsietokyvyn testausta, sen varmistamiseksi, että algoritmiset kaupankäyntijärjestelmät, mukaan lukien huippunopeat algoritmiset kaupankäyntijärjestelmät, eivät voi aikaansaada tai lisätä tavanomaisesta poikkeavaa kaupankäyntiä markkinalla.”

7 artikla

Direktiivin (EU) 2015/2366 muuttaminen

Muutetaan direktiivi (EU) 2015/2366 seuraavasti:

| 1) | korvataan 3 artiklan j alakohta seuraavasti:






  ”j) | maksupalveluiden tarjoamista tukevat palvelut, joista tekniset palveluntarjoajat huolehtivat saamatta siirrettäviä varoja missään vaiheessa haltuunsa, kuten tietojen käsittely ja tallentaminen, luottamusta ja yksityisyyttä suojaavat palvelut, tietojen ja henkilöllisyyden varmentaminen, tieto- ja viestintätekniikan ja viestintäverkkojen tarjoaminen, maksupalveluissa käytettävien päätteiden ja laitteiden tarjoaminen ja ylläpitäminen, lukuun ottamatta maksutoimeksianto- ja tilitietopalveluita;” |
| --- | --- | --- |

1)

korvataan 3 artiklan j alakohta seuraavasti:

”j)

maksupalveluiden tarjoamista tukevat palvelut, joista tekniset palveluntarjoajat huolehtivat saamatta siirrettäviä varoja missään vaiheessa haltuunsa, kuten tietojen käsittely ja tallentaminen, luottamusta ja yksityisyyttä suojaavat palvelut, tietojen ja henkilöllisyyden varmentaminen, tieto- ja viestintätekniikan ja viestintäverkkojen tarjoaminen, maksupalveluissa käytettävien päätteiden ja laitteiden tarjoaminen ja ylläpitäminen, lukuun ottamatta maksutoimeksianto- ja tilitietopalveluita;”

| 2) | muutetaan 5 artiklan 1 kohta seuraavasti:






  a) | muutetaan ensimmäinen alakohta seuraavasti:






  i) | korvataan e alakohta seuraavasti:






  ”e) | kuvaus hakijan hallinnointi- ja ohjausjärjestelmistä sekä sisäisistä valvontamekanismeista, mukaan lukien hallinnolliset, riskinhallinta- ja kirjanpitomenettelyt sekä Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*7) mukaiset tieto- ja viestintätekniikan palvelujen käyttöä koskevat järjestelyt, jotka osoittavat, että kyseiset hallinnointi- ja ohjausjärjestelmät sekä sisäiset valvontamekanismit ovat oikeasuhteiset, asianmukaiset, moitteettomat ja riittävät; |
| --- | --- | --- | --- | --- |

2)

muutetaan 5 artiklan 1 kohta seuraavasti:

a)

muutetaan ensimmäinen alakohta seuraavasti:

i)

korvataan e alakohta seuraavasti:

”e)

kuvaus hakijan hallinnointi- ja ohjausjärjestelmistä sekä sisäisistä valvontamekanismeista, mukaan lukien hallinnolliset, riskinhallinta- ja kirjanpitomenettelyt sekä Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*7) mukaiset tieto- ja viestintätekniikan palvelujen käyttöä koskevat järjestelyt, jotka osoittavat, että kyseiset hallinnointi- ja ohjausjärjestelmät sekä sisäiset valvontamekanismit ovat oikeasuhteiset, asianmukaiset, moitteettomat ja riittävät;

*7

(*7)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1).”;"

*7

| ii) | korvataan f alakohta seuraavasti:






  ”f) | kuvaus menettelystä, joka on käytössä turvapoikkeamien ja turvallisuuteen liittyvien asiakasvalitusten valvontaa, käsittelyä ja seurantaa varten, mukaan lukien poikkeamien raportointijärjestelmä, jossa otetaan huomioon asetuksen (EU) 2022/2554 III luvussa säädetyt maksulaitoksen tietojenantovelvoitteet;” |
| --- | --- | --- |

ii)

korvataan f alakohta seuraavasti:

”f)

kuvaus menettelystä, joka on käytössä turvapoikkeamien ja turvallisuuteen liittyvien asiakasvalitusten valvontaa, käsittelyä ja seurantaa varten, mukaan lukien poikkeamien raportointijärjestelmä, jossa otetaan huomioon asetuksen (EU) 2022/2554 III luvussa säädetyt maksulaitoksen tietojenantovelvoitteet;”

| iii) | korvataan h alakohta seuraavasti:






  ”h) | kuvaus liiketoiminnan jatkuvuutta koskevista järjestelyistä, joihin sisältyy keskeisten toimintojen selkeä yksilöinti, tehokkaat tieto- ja viestintätekniikan liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja suunnitelmat ja tieto- ja viestintätekniikan reagointi- ja palautumissuunnitelmat ja menettely, jota käytetään tällaisten suunnitelmien asianmukaisuuden ja tehokkuuden säännöllisessä testaamisessa ja tarkistamisessa asetuksen (EU) 2022/2554 mukaisesti;” |
| --- | --- | --- |

iii)

korvataan h alakohta seuraavasti:

”h)

kuvaus liiketoiminnan jatkuvuutta koskevista järjestelyistä, joihin sisältyy keskeisten toimintojen selkeä yksilöinti, tehokkaat tieto- ja viestintätekniikan liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja suunnitelmat ja tieto- ja viestintätekniikan reagointi- ja palautumissuunnitelmat ja menettely, jota käytetään tällaisten suunnitelmien asianmukaisuuden ja tehokkuuden säännöllisessä testaamisessa ja tarkistamisessa asetuksen (EU) 2022/2554 mukaisesti;”

| b) | korvataan kolmas alakohta seuraavasti:

  ”Ensimmäisen alakohdan j alakohdassa tarkoitetuissa turvavalvonta- ja hallintatoimenpiteissä on ilmoitettava, kuinka niillä varmistetaan asetuksen (EU) 2022/2554 II luvun mukaisesti digitaalisen häiriönsietokyvyn korkea taso erityisesti teknisen turvallisuuden ja tietosuojan osalta, mukaan lukien niiden ohjelmistojen ja tieto- ja viestintätekniikan järjestelmien osalta, joita hakija tai yritykset, joille hakija ulkoistaa kaikki operaationsa tai osan niistä, käyttävät. Kyseisten toimenpiteiden on sisällettävä myös tämän direktiivin 95 artiklan 1 kohdassa säädetyt turvatoimet. Kyseisissä toimenpiteissä on otettava huomioon tämän direktiivin 95 artiklan 3 kohdassa tarkoitetut pankkiviranomaisen antamat turvatoimia koskevat ohjeet, kun ne on otettu käyttöön.”; |
| --- | --- |

b)

korvataan kolmas alakohta seuraavasti:

”Ensimmäisen alakohdan j alakohdassa tarkoitetuissa turvavalvonta- ja hallintatoimenpiteissä on ilmoitettava, kuinka niillä varmistetaan asetuksen (EU) 2022/2554 II luvun mukaisesti digitaalisen häiriönsietokyvyn korkea taso erityisesti teknisen turvallisuuden ja tietosuojan osalta, mukaan lukien niiden ohjelmistojen ja tieto- ja viestintätekniikan järjestelmien osalta, joita hakija tai yritykset, joille hakija ulkoistaa kaikki operaationsa tai osan niistä, käyttävät. Kyseisten toimenpiteiden on sisällettävä myös tämän direktiivin 95 artiklan 1 kohdassa säädetyt turvatoimet. Kyseisissä toimenpiteissä on otettava huomioon tämän direktiivin 95 artiklan 3 kohdassa tarkoitetut pankkiviranomaisen antamat turvatoimia koskevat ohjeet, kun ne on otettu käyttöön.”;

| 3) | korvataan 19 artiklan 6 kohdan toinen alakohta seuraavasti:

  ”Tärkeiden operatiivisten toimintojen, kuten tieto- ja viestintätekniikan järjestelmien, ulkoistamista ei saa toteuttaa tavalla, joka heikentää tuntuvasti maksulaitoksen sisäisen valvonnan laatua ja toimivaltaisten viranomaisten mahdollisuuksia valvoa ja todentaa, että maksulaitos täyttää kaikki tässä direktiivissä säädetyt velvoitteet.”; |
| --- | --- |

3)

korvataan 19 artiklan 6 kohdan toinen alakohta seuraavasti:

”Tärkeiden operatiivisten toimintojen, kuten tieto- ja viestintätekniikan järjestelmien, ulkoistamista ei saa toteuttaa tavalla, joka heikentää tuntuvasti maksulaitoksen sisäisen valvonnan laatua ja toimivaltaisten viranomaisten mahdollisuuksia valvoa ja todentaa, että maksulaitos täyttää kaikki tässä direktiivissä säädetyt velvoitteet.”;

| 4) | lisätään 95 artiklan 1 kohtaan alakohta seuraavasti:

  ”Ensimmäinen alakohta ei rajoita asetuksen (EU) 2022/2554 II luvun soveltamista






  a) | tämän direktiivin 1 artiklan 1 kohdan a, b ja d alakohdassa tarkoitettuihin maksupalveluntarjoajiin; |
| --- | --- | --- |

4)

lisätään 95 artiklan 1 kohtaan alakohta seuraavasti:

”Ensimmäinen alakohta ei rajoita asetuksen (EU) 2022/2554 II luvun soveltamista

a)

tämän direktiivin 1 artiklan 1 kohdan a, b ja d alakohdassa tarkoitettuihin maksupalveluntarjoajiin;

| b) | tämän direktiivin 33 artiklan 1 kohdassa tarkoitettuihin tilitietopalvelun tarjoajiin; |
| --- | --- |

b)

tämän direktiivin 33 artiklan 1 kohdassa tarkoitettuihin tilitietopalvelun tarjoajiin;

| c) | tämän direktiivin 32 artiklan 1 kohdan nojalla vapautettuihin maksulaitoksiin; eikä |
| --- | --- |

c)

tämän direktiivin 32 artiklan 1 kohdan nojalla vapautettuihin maksulaitoksiin; eikä

| d) | sähköisen rahan liikkeeseenlaskijalaitoksiin, joihin sovelletaan direktiivin 2009/110/EY 9 artiklan 1 kohdassa tarkoitettua poikkeusta.”; |
| --- | --- |

d)

sähköisen rahan liikkeeseenlaskijalaitoksiin, joihin sovelletaan direktiivin 2009/110/EY 9 artiklan 1 kohdassa tarkoitettua poikkeusta.”;

| 5) | lisätään 96 artiklaan kohta seuraavasti:

  ”7.   Jäsenvaltioiden on varmistettava, että tämän artiklan 1–5 kohtaa ei sovelleta






  a) | tämän direktiivin 1 artiklan 1 kohdan a, b ja d alakohdassa tarkoitettuihin maksupalveluntarjoajiin; |
| --- | --- | --- |

5)

lisätään 96 artiklaan kohta seuraavasti:

”7.   Jäsenvaltioiden on varmistettava, että tämän artiklan 1–5 kohtaa ei sovelleta

a)

tämän direktiivin 1 artiklan 1 kohdan a, b ja d alakohdassa tarkoitettuihin maksupalveluntarjoajiin;

| b) | tämän direktiivin 33 artiklan 1 kohdassa tarkoitettuihin tilitietopalvelun tarjoajiin; |
| --- | --- |

b)

tämän direktiivin 33 artiklan 1 kohdassa tarkoitettuihin tilitietopalvelun tarjoajiin;

| c) | tämän direktiivin 32 artiklan 1 kohdan nojalla vapautettuihin maksulaitoksiin; eikä |
| --- | --- |

c)

tämän direktiivin 32 artiklan 1 kohdan nojalla vapautettuihin maksulaitoksiin; eikä

| d) | sähköisen rahan liikkeeseenlaskijalaitoksiin, joihin sovelletaan direktiivin 2009/110/EY 9 artiklan 1 kohdassa tarkoitettua poikkeusta.”; |
| --- | --- |

d)

sähköisen rahan liikkeeseenlaskijalaitoksiin, joihin sovelletaan direktiivin 2009/110/EY 9 artiklan 1 kohdassa tarkoitettua poikkeusta.”;

| 6) | korvataan 98 artiklan 5 kohta seuraavasti:

  ”5.   Pankkiviranomainen tarkastelee asetuksen (EU) N:o 1093/2010 10 artiklan mukaisesti teknisiä sääntelystandardeja uudelleen säännöllisesti ja päivittää niitä tarvittaessa muun muassa innovoinnin ja teknologian kehityksen sekä asetuksen (EU) 2022/2554 II luvun säännösten huomioon ottamiseksi.” |
| --- | --- |

6)

korvataan 98 artiklan 5 kohta seuraavasti:

”5.   Pankkiviranomainen tarkastelee asetuksen (EU) N:o 1093/2010 10 artiklan mukaisesti teknisiä sääntelystandardeja uudelleen säännöllisesti ja päivittää niitä tarvittaessa muun muassa innovoinnin ja teknologian kehityksen sekä asetuksen (EU) 2022/2554 II luvun säännösten huomioon ottamiseksi.”

8 artikla

Direktiivin (EU) 2016/2341 muuttaminen

Korvataan direktiivin (EU) 2016/2341 21 artiklan 5 kohta seuraavasti:

” 5.   Jäsenvaltioiden on varmistettava, että lisäeläkelaitokset toteutettavat kohtuullisia toimenpiteitä toimintansa jatkuvuuden ja säännöllisyyden varmistamiseksi, mukaan lukien varautumissuunnitelmien laatiminen. Tätä varten ammatillisia lisäeläkelaitosten on käytettävä tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, voimavaroja ja menettelyjä, sekä erityisesti perustettava ja hallinnoitava verkko- ja tietojärjestelmiä soveltuvin osin Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (*8) mukaisesti.

9 artikla

Saattaminen osaksi kansallista lainsäädäntöä

1.   Jäsenvaltioiden on annettava ja julkaistava tämän direktiivin noudattamisen edellyttämät säännökset viimeistään 17 päivänä tammikuuta 2025. Niiden on viipymättä ilmoitettava tästä komissiolle.

Jäsenvaltioiden on sovellettava kyseisiä säännöksiä 17 päivästä tammikuuta 2025.

Kyseisissä jäsenvaltioiden antamissa säännöksissä on viitattava tähän direktiiviin tai niihin on liitettävä tällainen viittaus, kun ne julkaistaan virallisesti. Jäsenvaltioiden on säädettävä siitä, miten viittaukset tehdään.

2.   Jäsenvaltioiden on toimitettava tässä direktiivissä säännellyistä kysymyksistä antamansa keskeiset kansalliset säännökset kirjallisina komissiolle.

10 artikla

Voimaantulo

Tämä direktiivi tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Euroopan unionin virallisessa lehdessä

11 artikla

Osoitus

Tämä direktiivi on osoitettu kaikille jäsenvaltioille.

Tehty Strasbourgissa 14 päivänä joulukuuta 2022.

Euroopan parlamentin puolesta

Puhemies

R. METSOLA

Neuvoston puolesta

Puheenjohtaja

M. BEK

---

(1)  
  EUVL C 343, 26.8.2021, s. 1.

1

(2)  
  EUVL C 155, 30.4.2021, s. 38.

2

(3)  Euroopan parlamentin kanta, vahvistettu 10. marraskuuta 2022 (ei vielä julkaistu virallisessa lehdessä), ja neuvoston päätös, tehty 28. marraskuuta 2022.

3

(4)  Euroopan parlamentin ja neuvoston direktiivi 2009/65/EY, annettu 13 päivänä heinäkuuta 2009, siirtokelpoisiin arvopapereihin kohdistuvaa yhteistä sijoitustoimintaa harjoittavia yrityksiä (yhteissijoitusyritykset) koskevien lakien, asetusten ja hallinnollisten määräysten yhteensovittamisesta (EUVL L 302, 17.11.2009, s. 32).

4

(5)  Euroopan parlamentin ja neuvoston direktiivi 2009/138/EY, annettu 25 päivänä marraskuuta 2009, vakuutus- ja jälleenvakuutustoiminnan aloittamisesta ja harjoittamisesta (Solvenssi II) (EUVL L 335, 17.12.2009, s. 1).

5

(6)  Euroopan parlamentin ja neuvoston direktiivi 2011/61/EU, annettu 8 päivänä kesäkuuta 2011, vaihtoehtoisten sijoitusrahastojen hoitajista ja direktiivin 2003/41/EY ja 2009/65/EY sekä asetusten (EY) N:o 1060/2009 ja (EU) N:o 1095/2010 muuttamisesta (EUVL L 174, 1.7.2011, s. 1).

6

(7)  Euroopan parlamentin ja neuvoston direktiivi 2013/36/EU, annettu 26 päivänä kesäkuuta 2013, oikeudesta harjoittaa luottolaitostoimintaa ja luottolaitosten vakavaraisuusvalvonnasta, direktiivin 2002/87/EY muuttamisesta sekä direktiivien 2006/48/EY ja 2006/49/EY kumoamisesta (EUVL L 176, 27.6.2013, s. 338).

7

(8)  Euroopan parlamentin ja neuvoston direktiivi 2014/59/EU, annettu 15 päivänä toukokuuta 2014, luottolaitosten ja sijoituspalveluyritysten elvytys- ja kriisinratkaisukehyksestä sekä neuvoston direktiivin 82/891/ETY, Euroopan parlamentin ja neuvoston direktiivien 2001/24/EY, 2002/47/EY, 2004/25/EY, 2005/56/EY, 2007/36/EY, 2011/35/EU, 2012/30/EU ja 2013/36/EU ja asetusten (EU) N:o 1093/2010 ja (EU) N:o 648/2012 muuttamisesta (EUVL L 173, 12.6.2014, s. 190).

8

(9)  Euroopan parlamentin ja neuvoston direktiivi 2014/65/EU, annettu 15 päivänä toukokuuta 2014, rahoitusvälineiden markkinoista sekä direktiivin 2002/92/EY ja direktiivin 2011/61/EU muuttamisesta (EUVL L 173, 12.6.2014, s. 349).

9

(10)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2015/2366, annettu 25 päivänä marraskuuta 2015, maksupalveluista sisämarkkinoilla, direktiivien 2002/65/EY, 2009/110/EY ja 2013/36/EU ja asetuksen (EU) N:o 1093/2010 muuttamisesta sekä direktiivin 2007/64/EY kumoamisesta (EUVL L 337, 23.12.2015, s. 35).

10

(11)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/2341, annettu 14 päivänä joulukuuta 2016, ammatillisia lisäeläkkeitä tarjoavien laitosten toiminnasta ja valvonnasta (EUVL L 354, 23.12.2016, s. 37).

11

(12)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (ks. tämän virallisen lehden s. 1).

12

(13)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 1093/2010, annettu 24 päivänä marraskuuta 2010, Euroopan valvontaviranomaisen (Euroopan pankkiviranomainen) perustamisesta sekä päätöksen N:o 716/2009/EY muuttamisesta ja komission päätöksen 2009/78/EY kumoamisesta (EUVL L 331, 15.12.2010, s. 12).

13

(14)  
  EUVL C 369, 17.12.2011, s. 14.

14

---

| 27.12.2022 | FI | Euroopan unionin virallinen lehti | L 333/164 |
| --- | --- | --- | --- |

27.12.2022

FI

Euroopan unionin virallinen lehti

L 333/164

---

EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVI (EU) 2022/2557,

annettu 14 päivänä joulukuuta 2022,

kriittisten toimijoiden häiriönsietokyvystä ja direktiivin 2008/114/EY kumoamisesta

(ETA:n kannalta merkityksellinen teksti)

EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka

ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 114 artiklan,

ottavat huomioon Euroopan komission ehdotuksen,

sen jälkeen kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille,

ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon (1),

ottavat huomioon alueiden komitean lausunnon (2),

noudattavat tavallista lainsäätämisjärjestystä (3),

sekä katsovat seuraavaa:

| (1) | Kriittisillä toimijoilla on keskeisten palvelujen tarjoajina korvaamaton rooli yhteiskunnalle välttämättömien toimintojen tai sisämarkkinoilla tapahtuvan taloudellisen toiminnan ylläpitämisen kannalta unionin taloudessa, jossa keskinäiset riippuvuussuhteet lisääntyvät jatkuvasti. Siksi on olennaista luoda unionin kehys, jonka tavoitteena on sekä parantaa kriittisten toimijoiden häiriönsietokykyä sisämarkkinoilla vahvistamalla niille yhdenmukaiset vähimmäissäännöt että auttaa niitä johdonmukaisten ja erityisten tuki- ja valvontatoimenpiteiden avulla. |
| --- | --- |

(1)

Kriittisillä toimijoilla on keskeisten palvelujen tarjoajina korvaamaton rooli yhteiskunnalle välttämättömien toimintojen tai sisämarkkinoilla tapahtuvan taloudellisen toiminnan ylläpitämisen kannalta unionin taloudessa, jossa keskinäiset riippuvuussuhteet lisääntyvät jatkuvasti. Siksi on olennaista luoda unionin kehys, jonka tavoitteena on sekä parantaa kriittisten toimijoiden häiriönsietokykyä sisämarkkinoilla vahvistamalla niille yhdenmukaiset vähimmäissäännöt että auttaa niitä johdonmukaisten ja erityisten tuki- ja valvontatoimenpiteiden avulla.

| (2) | Neuvoston direktiivissä 2008/114/EY (4) säädetään menettelystä sellaisen Euroopan elintärkeiden infrastruktuurien nimeämiseksi energian ja liikenteen toimialoilla, joiden vahingoittumisella tai tuhoutumisella olisi merkittävä rajat ylittävä vaikutus vähintään kahteen jäsenvaltioon. Direktiivin pääpaino on yksinomaan tällaisten infrastruktuurien suojaamisessa. Vuonna 2019 tehdyssä direktiivin 2008/114/EY arvioinnissa todettiin, etteivät yksittäisten infrastruktuurihyödykkeiden suojaamiseen liittyvät menetelmät riitä ehkäisemään kaikenlaisia häiriöitä, koska kriittisiä infrastruktuureita hyödyntävät toiminnot ovat enenevässä määrin rajat ylittäviä ja toisistaan riippuvaisia. Siksi painopiste on tarpeen siirtää sen varmistamiseen, että riskit otetaan paremmin huomioon, kriittisten toimijoiden rooli ja tehtävät sisämarkkinoiden toiminnan kannalta keskeisten palvelujen tarjoajina määritellään paremmin ja ovat johdonmukaisia ja että hyväksytään unionin sääntöjä, joilla parannetaan kriittisten toimijoiden häiriönsietokykyä. Kriittisten toimijoiden olisi pystyttävä vahvistamaan kykyään ehkäistä, torjua ja lieventää sellaisia poikkeamia, suojautua sellaisilta poikkeamilta, vaimentaa sellaisten poikkeamien vaikutuksia, reagoida ja sopeutua sellaisiin poikkeamiin sekä palautua sellaisista poikkeamista, jotka saattavat aiheuttaa häiriöitä keskeisten palvelujen tarjoamisessa. |
| --- | --- |

(2)

Neuvoston direktiivissä 2008/114/EY (4) säädetään menettelystä sellaisen Euroopan elintärkeiden infrastruktuurien nimeämiseksi energian ja liikenteen toimialoilla, joiden vahingoittumisella tai tuhoutumisella olisi merkittävä rajat ylittävä vaikutus vähintään kahteen jäsenvaltioon. Direktiivin pääpaino on yksinomaan tällaisten infrastruktuurien suojaamisessa. Vuonna 2019 tehdyssä direktiivin 2008/114/EY arvioinnissa todettiin, etteivät yksittäisten infrastruktuurihyödykkeiden suojaamiseen liittyvät menetelmät riitä ehkäisemään kaikenlaisia häiriöitä, koska kriittisiä infrastruktuureita hyödyntävät toiminnot ovat enenevässä määrin rajat ylittäviä ja toisistaan riippuvaisia. Siksi painopiste on tarpeen siirtää sen varmistamiseen, että riskit otetaan paremmin huomioon, kriittisten toimijoiden rooli ja tehtävät sisämarkkinoiden toiminnan kannalta keskeisten palvelujen tarjoajina määritellään paremmin ja ovat johdonmukaisia ja että hyväksytään unionin sääntöjä, joilla parannetaan kriittisten toimijoiden häiriönsietokykyä. Kriittisten toimijoiden olisi pystyttävä vahvistamaan kykyään ehkäistä, torjua ja lieventää sellaisia poikkeamia, suojautua sellaisilta poikkeamilta, vaimentaa sellaisten poikkeamien vaikutuksia, reagoida ja sopeutua sellaisiin poikkeamiin sekä palautua sellaisista poikkeamista, jotka saattavat aiheuttaa häiriöitä keskeisten palvelujen tarjoamisessa.

| (3) | Vaikka sekä unionissa että kansallisesti on käytössä monia toimenpiteitä, kuten Euroopan elintärkeiden infrastruktuureiden suojaamisohjelma, joiden tavoitteena on tukea kriittisten infrastruktuurien suojaamista unionissa, tällaisia infrastruktuureja ylläpitäviä toimijoita olisi autettava varustautumaan paremmin, jotta ne voisivat käsitellä sellaisia toimintoihinsa kohdistuvia riskejä, jotka toteutuessaan voisivat aiheuttaa häiriötä keskeisten palvelujen tarjonnassa. Tällaisia yhteisöjä olisi myös autettava enemmän varustautumaan paremmin dynaamiseen uhkaympäristöön, mukaan lukien kasvavat hybridi- ja terroriuhat, sekä infrastruktuurien ja toimialojen lisääntyvät keskinäiset riippuvuudet. Myös fyysiset riskit ovat kasvaneet luonnonkatastrofien ja ilmastonmuutoksen vuoksi. Ilmastonmuutos lisää äärimmäisten sääilmiöiden esiintymistiheyttä ja voimakkuutta ja aiheuttaa ilmasto-olosuhteiden keskiarvoihin pitkällä aikavälillä muutoksia, jotka saattavat heikentää tiettyjen infrastruktuurityyppien kapasiteettia ja tehokkuutta sekä lyhentää niiden käyttöikää, ellei ilmastonmuutokseen sopeutumista vahvistavia toimenpiteitä ole otettu käyttöön. Lisäksi kriittisten toimijoiden tunnistaminen sisämarkkinoilla on hajanaista, koska merkityksellisiä toimialoja ja toimijaluokkia ei ole nimetty kriittisiksi yhdenmukaisesti eri jäsenvaltioissa. Tässä direktiivissä olisi sen vuoksi pyrittävä kattavasti yhdenmukaistamaan sen soveltamisalaan kuuluvat toimialat ja toimijaluokat. |
| --- | --- |

(3)

Vaikka sekä unionissa että kansallisesti on käytössä monia toimenpiteitä, kuten Euroopan elintärkeiden infrastruktuureiden suojaamisohjelma, joiden tavoitteena on tukea kriittisten infrastruktuurien suojaamista unionissa, tällaisia infrastruktuureja ylläpitäviä toimijoita olisi autettava varustautumaan paremmin, jotta ne voisivat käsitellä sellaisia toimintoihinsa kohdistuvia riskejä, jotka toteutuessaan voisivat aiheuttaa häiriötä keskeisten palvelujen tarjonnassa. Tällaisia yhteisöjä olisi myös autettava enemmän varustautumaan paremmin dynaamiseen uhkaympäristöön, mukaan lukien kasvavat hybridi- ja terroriuhat, sekä infrastruktuurien ja toimialojen lisääntyvät keskinäiset riippuvuudet. Myös fyysiset riskit ovat kasvaneet luonnonkatastrofien ja ilmastonmuutoksen vuoksi. Ilmastonmuutos lisää äärimmäisten sääilmiöiden esiintymistiheyttä ja voimakkuutta ja aiheuttaa ilmasto-olosuhteiden keskiarvoihin pitkällä aikavälillä muutoksia, jotka saattavat heikentää tiettyjen infrastruktuurityyppien kapasiteettia ja tehokkuutta sekä lyhentää niiden käyttöikää, ellei ilmastonmuutokseen sopeutumista vahvistavia toimenpiteitä ole otettu käyttöön. Lisäksi kriittisten toimijoiden tunnistaminen sisämarkkinoilla on hajanaista, koska merkityksellisiä toimialoja ja toimijaluokkia ei ole nimetty kriittisiksi yhdenmukaisesti eri jäsenvaltioissa. Tässä direktiivissä olisi sen vuoksi pyrittävä kattavasti yhdenmukaistamaan sen soveltamisalaan kuuluvat toimialat ja toimijaluokat.

| (4) | Tiettyjä talouden aloja, kuten energia- ja liikennealaa, säännellään jo alakohtaisilla unionin säädöksillä, joihin sisältyy vain tiettyihin kyseisten toimialojen toimijoiden häiriönsietokyvyn osa-alueisiin liittyviä säännöksiä. Jotta sisämarkkinoiden moitteettoman toiminnan kannalta kriittisten toimijoiden häiriönsietokykyyn voitaisiin vaikuttaa kattavasti, tällä direktiivillä luodaan yhtenäinen kehys kriittisten toimijoiden häiriönsietokyvyn vahvistamiseksi kaikkia uhkatekijöitä vastaan, olivat ne sitten luonnon tai ihmisen aiheuttamia, onnettomuuksia tai tahallaan aiheutettuja. |
| --- | --- |

(4)

Tiettyjä talouden aloja, kuten energia- ja liikennealaa, säännellään jo alakohtaisilla unionin säädöksillä, joihin sisältyy vain tiettyihin kyseisten toimialojen toimijoiden häiriönsietokyvyn osa-alueisiin liittyviä säännöksiä. Jotta sisämarkkinoiden moitteettoman toiminnan kannalta kriittisten toimijoiden häiriönsietokykyyn voitaisiin vaikuttaa kattavasti, tällä direktiivillä luodaan yhtenäinen kehys kriittisten toimijoiden häiriönsietokyvyn vahvistamiseksi kaikkia uhkatekijöitä vastaan, olivat ne sitten luonnon tai ihmisen aiheuttamia, onnettomuuksia tai tahallaan aiheutettuja.

| (5) | Infrastruktuurien ja toimialojen keskinäisen riippuvuuden vahvistuminen on seurausta enenevässä määrin rajat ylittävästä toisistaan riippuvaisten palvelujen tarjonnan verkostosta, joka hyödyntää keskeisiä infrastruktuureita koko unionissa energian, liikenteen, pankkitoiminnan, juomaveden, jäteveden, elintarvikkeiden tuotannon, jalostuksen ja jakelun, terveydenhuollon, avaruuden, rahoitusmarkkinoiden infrastruktuurin ja digitaalisen infrastruktuurin aloilla sekä eräiltä osin julkishallinnon alalla. Avaruusala kuuluu tämän direktiivin soveltamisalaan tiettyjen sellaisten palvelujen osalta, jotka riippuvat joko jäsenvaltioiden tai yksityisten tahojen omistamista, hallinnoimista ja operoimista maainfrastruktuureista; näin ollen unionin tai jonkin muun tahon unionin puolesta osana unionin avaruusohjelmaa omistamista, hallinnoimista tai operoimista infrastruktuureista ei kuulu tämän direktiivin soveltamisalaan.
  Energiatoimialan ja erityisesti sähkön tuotanto- ja jakelumenetelmien (sähköntoimitukset) osalta sähköntuotanto voi, silloin kun se katsotaan tarpeelliseksi, käsittää osia, jotka liittyvät ydinvoimaloiden sähkönjakeluun mutta ei niitä, jotka kuuluvat yleissopimusten ja unionin oikeuden, mukaan lukien asiaankuuluvat ydinvoimaa koskevat unionin säädökset, soveltamisalaan. Elintarvikealan kriittisten toimijoiden määrittämisprosessissa olisi otettava asianmukaisesti huomioon sisämarkkinoiden luonne kyseisellä alalla sekä elintarvikelainsäädännön ja elintarvikkeiden turvallisuuden yleisiin periaatteisiin ja vaatimuksiin liittyvät kattavat unionin säännöt. Jotta voidaan varmistaa oikeasuhteinen toimintatapa ja ottaa asianmukaisesti huomioon kyseisten toimijoiden rooli ja merkitys kansallisella tasolla, kriittiset toimijat olisi sen vuoksi yksilöitävä ainoastaan sellaisista, joko voittoa tavoittelevista tai tavoittelemattomista taikka julkisista tai yksityisistä elintarvikealan yrityksistä, jotka harjoittavat yksinomaan logistiikka- ja tukkukauppatoimintaa sekä laajamittaista teollista tuotantoa ja jalostusta ja joilla on huomattava markkinaosuus kansallisella tasolla. Tällainen keskinäinen riippuvuus merkitsee, että myös alun perin yhteen toimijaan tai yhdelle toimialalle rajoittuneella keskeisten palvelujen häiriöllä voi olla laajoja kerrannaisvaikutuksia, minkä seurauksena mahdolliset kielteiset vaikutukset palvelujen toimittamiseen sisämarkkinoilla voivat olla kauaskantoisia ja pitkäaikaisia. Covid-19-pandemian kaltaiset merkittävät kriisit ovat osoittaneet, miten haavoittuvaisia enenevässä määrin toisistaan riippuvaiset yhteiskuntamme ovat epätodennäköisten mutta vaikutuksiltaan suurten riskien toteutuessa. |
| --- | --- |

(5)

Infrastruktuurien ja toimialojen keskinäisen riippuvuuden vahvistuminen on seurausta enenevässä määrin rajat ylittävästä toisistaan riippuvaisten palvelujen tarjonnan verkostosta, joka hyödyntää keskeisiä infrastruktuureita koko unionissa energian, liikenteen, pankkitoiminnan, juomaveden, jäteveden, elintarvikkeiden tuotannon, jalostuksen ja jakelun, terveydenhuollon, avaruuden, rahoitusmarkkinoiden infrastruktuurin ja digitaalisen infrastruktuurin aloilla sekä eräiltä osin julkishallinnon alalla. Avaruusala kuuluu tämän direktiivin soveltamisalaan tiettyjen sellaisten palvelujen osalta, jotka riippuvat joko jäsenvaltioiden tai yksityisten tahojen omistamista, hallinnoimista ja operoimista maainfrastruktuureista; näin ollen unionin tai jonkin muun tahon unionin puolesta osana unionin avaruusohjelmaa omistamista, hallinnoimista tai operoimista infrastruktuureista ei kuulu tämän direktiivin soveltamisalaan.

Energiatoimialan ja erityisesti sähkön tuotanto- ja jakelumenetelmien (sähköntoimitukset) osalta sähköntuotanto voi, silloin kun se katsotaan tarpeelliseksi, käsittää osia, jotka liittyvät ydinvoimaloiden sähkönjakeluun mutta ei niitä, jotka kuuluvat yleissopimusten ja unionin oikeuden, mukaan lukien asiaankuuluvat ydinvoimaa koskevat unionin säädökset, soveltamisalaan. Elintarvikealan kriittisten toimijoiden määrittämisprosessissa olisi otettava asianmukaisesti huomioon sisämarkkinoiden luonne kyseisellä alalla sekä elintarvikelainsäädännön ja elintarvikkeiden turvallisuuden yleisiin periaatteisiin ja vaatimuksiin liittyvät kattavat unionin säännöt. Jotta voidaan varmistaa oikeasuhteinen toimintatapa ja ottaa asianmukaisesti huomioon kyseisten toimijoiden rooli ja merkitys kansallisella tasolla, kriittiset toimijat olisi sen vuoksi yksilöitävä ainoastaan sellaisista, joko voittoa tavoittelevista tai tavoittelemattomista taikka julkisista tai yksityisistä elintarvikealan yrityksistä, jotka harjoittavat yksinomaan logistiikka- ja tukkukauppatoimintaa sekä laajamittaista teollista tuotantoa ja jalostusta ja joilla on huomattava markkinaosuus kansallisella tasolla. Tällainen keskinäinen riippuvuus merkitsee, että myös alun perin yhteen toimijaan tai yhdelle toimialalle rajoittuneella keskeisten palvelujen häiriöllä voi olla laajoja kerrannaisvaikutuksia, minkä seurauksena mahdolliset kielteiset vaikutukset palvelujen toimittamiseen sisämarkkinoilla voivat olla kauaskantoisia ja pitkäaikaisia. Covid-19-pandemian kaltaiset merkittävät kriisit ovat osoittaneet, miten haavoittuvaisia enenevässä määrin toisistaan riippuvaiset yhteiskuntamme ovat epätodennäköisten mutta vaikutuksiltaan suurten riskien toteutuessa.

| (6) | Keskeisten palvelujen tarjoamiseen osallistuviin toimijoihin kohdistuu enenevässä määrin erilaisia, kansallisessa lainsäädännössä asetettuja vaatimuksia. Kyseisille toimijoille asetetut turvallisuusvaatimukset eivät ole kaikissa jäsenvaltioissa yhtä tiukkoja, minkä johdosta häiriönsietokyvyn taso vaihtelee, ja tämä saattaa myös vaikuttaa kielteisesti välttämättömien yhteiskunnan toimintojen tai taloudellisen toiminnan ylläpitämiseen koko unionin alueella ja luoda sisämarkkinoiden moitteetonta toimintaa haittaavia esteitä. Sijoittajat ja yritykset voivat tukeutua ja luottaa sellaisiin kriittisiin toimijoihin, joiden häiriönsietokyky on vahva. Luotettavuus ja luottamus ovatkin hyvin toimivien sisämarkkinoiden kulmakiviä. Samantyyppisiä toimijoita pidetään joissakin jäsenvaltioissa kriittisinä mutta toisissa ei, ja lisäksi kriittisiksi määriteltyjä toimijoita koskevat erilaiset vaatimukset eri jäsenvaltioissa. Seurauksena on ylimääräinen ja tarpeeton hallinnollinen rasitus yrityksille, joilla on rajat ylittävää toimintaa, ja erityisesti yrityksille, jotka toimivat niissä jäsenvaltioissa, joissa sovelletaan muita tiukempia vaatimuksia. Unionin tason kehys tasoittaisi näin myös kriittisten toimijoiden toimintaedellytyksiä koko unionissa. |
| --- | --- |

(6)

Keskeisten palvelujen tarjoamiseen osallistuviin toimijoihin kohdistuu enenevässä määrin erilaisia, kansallisessa lainsäädännössä asetettuja vaatimuksia. Kyseisille toimijoille asetetut turvallisuusvaatimukset eivät ole kaikissa jäsenvaltioissa yhtä tiukkoja, minkä johdosta häiriönsietokyvyn taso vaihtelee, ja tämä saattaa myös vaikuttaa kielteisesti välttämättömien yhteiskunnan toimintojen tai taloudellisen toiminnan ylläpitämiseen koko unionin alueella ja luoda sisämarkkinoiden moitteetonta toimintaa haittaavia esteitä. Sijoittajat ja yritykset voivat tukeutua ja luottaa sellaisiin kriittisiin toimijoihin, joiden häiriönsietokyky on vahva. Luotettavuus ja luottamus ovatkin hyvin toimivien sisämarkkinoiden kulmakiviä. Samantyyppisiä toimijoita pidetään joissakin jäsenvaltioissa kriittisinä mutta toisissa ei, ja lisäksi kriittisiksi määriteltyjä toimijoita koskevat erilaiset vaatimukset eri jäsenvaltioissa. Seurauksena on ylimääräinen ja tarpeeton hallinnollinen rasitus yrityksille, joilla on rajat ylittävää toimintaa, ja erityisesti yrityksille, jotka toimivat niissä jäsenvaltioissa, joissa sovelletaan muita tiukempia vaatimuksia. Unionin tason kehys tasoittaisi näin myös kriittisten toimijoiden toimintaedellytyksiä koko unionissa.

| (7) | On tarpeen määrittää yhdenmukaiset vähimmäissäännöt, joilla voidaan turvata keskeisten palvelujen tarjonta sisämarkkinoilla, vahvistaa kriittisten toimijoiden häiriönsietokykyä ja parantaa toimivaltaisten viranomaisten rajat ylittävää yhteistyötä. Kyseisten sääntöjen suunnittelussa ja täytäntöönpanossa on tärkeää ottaa huomioon tulevaisuuden vaatimukset ja se, että ne ovat tarvittavan joustavia. On myös ratkaisevan tärkeää parantaa kriittisten toimijoiden valmiuksia tarjota keskeisiä palveluja erilaisten riskien varalta. |
| --- | --- |

(7)

On tarpeen määrittää yhdenmukaiset vähimmäissäännöt, joilla voidaan turvata keskeisten palvelujen tarjonta sisämarkkinoilla, vahvistaa kriittisten toimijoiden häiriönsietokykyä ja parantaa toimivaltaisten viranomaisten rajat ylittävää yhteistyötä. Kyseisten sääntöjen suunnittelussa ja täytäntöönpanossa on tärkeää ottaa huomioon tulevaisuuden vaatimukset ja se, että ne ovat tarvittavan joustavia. On myös ratkaisevan tärkeää parantaa kriittisten toimijoiden valmiuksia tarjota keskeisiä palveluja erilaisten riskien varalta.

| (8) | Korkeatasoisen häiriönsietokyvyn saavuttamiseksi jäsenvaltioiden olisi määritettävä kriittiset toimijat, joihin kohdistetaan erityisiä vaatimuksia ja valvontaa, ja joille tarjotaan erityistä tukea ja ohjeistusta kaikkien merkittävien riskien varalta. |
| --- | --- |

(8)

Korkeatasoisen häiriönsietokyvyn saavuttamiseksi jäsenvaltioiden olisi määritettävä kriittiset toimijat, joihin kohdistetaan erityisiä vaatimuksia ja valvontaa, ja joille tarjotaan erityistä tukea ja ohjeistusta kaikkien merkittävien riskien varalta.

| (9) | Kun otetaan huomioon kyberturvallisuuden merkitys kriittisten toimijoiden häiriönsietokyvylle, johdonmukaisuuden vuoksi tämän direktiivin ja Euroopan parlamentin ja neuvoston direktiivin (EU) 2022/2555 (5) välillä olisi mahdollisuuksien mukaan varmistettava johdonmukainen lähestymistapa. Kyberriskien erityispiirteiden ja suuremman esiintyvyyden takia direktiivissä (EU) 2022/2555 säädetään kattavista vaatimuksista laajalle joukolle toimijoita näiden kyberturvallisuuden varmistamiseksi. Koska kyberturvallisuuteen puututaan riittävästi direktiivissä (EU) 2022/2555, kyseisessä direktiivissä säännellyt kysymykset olisi jätettävä tämän direktiivin soveltamisalan ulkopuolelle, sanotun kuitenkaan rajoittamatta digitaalisen infrastruktuurin toimialan toimijoiden erityistä järjestelmää. |
| --- | --- |

(9)

Kun otetaan huomioon kyberturvallisuuden merkitys kriittisten toimijoiden häiriönsietokyvylle, johdonmukaisuuden vuoksi tämän direktiivin ja Euroopan parlamentin ja neuvoston direktiivin (EU) 2022/2555 (5) välillä olisi mahdollisuuksien mukaan varmistettava johdonmukainen lähestymistapa. Kyberriskien erityispiirteiden ja suuremman esiintyvyyden takia direktiivissä (EU) 2022/2555 säädetään kattavista vaatimuksista laajalle joukolle toimijoita näiden kyberturvallisuuden varmistamiseksi. Koska kyberturvallisuuteen puututaan riittävästi direktiivissä (EU) 2022/2555, kyseisessä direktiivissä säännellyt kysymykset olisi jätettävä tämän direktiivin soveltamisalan ulkopuolelle, sanotun kuitenkaan rajoittamatta digitaalisen infrastruktuurin toimialan toimijoiden erityistä järjestelmää.

| (10) | Jos alakohtaisissa unionin säädöksissä edellytetään, että kriittiset toimijat ryhtyvät toimenpiteisiin häiriönsietokykynsä vahvistamiseksi ja jos jäsenvaltiot ovat todenneet kyseisten vaatimusten olevan vaikutukseltaan vähintään vastaavia kuin tässä direktiivissä säädetyt velvoitteet, tämän direktiivin kyseisiä säännöksiä ei olisi sovellettava, jotta voidaan välttää päällekkäisyydet ja tarpeeton rasitus. Tällaisessa tilanteessa olisi sovellettava näiden muiden unionin säädösten asiaankuuluvia säännöksiä. Mikäli tämän direktiivin asiaankuuluvia säännöksiä ei sovelleta, tässä direktiivissä säädettyjä valvonta- ja täytäntöönpanosäännöksiä ei olisi sovellettava. |
| --- | --- |

(10)

Jos alakohtaisissa unionin säädöksissä edellytetään, että kriittiset toimijat ryhtyvät toimenpiteisiin häiriönsietokykynsä vahvistamiseksi ja jos jäsenvaltiot ovat todenneet kyseisten vaatimusten olevan vaikutukseltaan vähintään vastaavia kuin tässä direktiivissä säädetyt velvoitteet, tämän direktiivin kyseisiä säännöksiä ei olisi sovellettava, jotta voidaan välttää päällekkäisyydet ja tarpeeton rasitus. Tällaisessa tilanteessa olisi sovellettava näiden muiden unionin säädösten asiaankuuluvia säännöksiä. Mikäli tämän direktiivin asiaankuuluvia säännöksiä ei sovelleta, tässä direktiivissä säädettyjä valvonta- ja täytäntöönpanosäännöksiä ei olisi sovellettava.

| (11) | Tämä direktiivi ei vaikuta jäsenvaltioiden ja niiden viranomaisten hallinnollista riippumattomuutta koskevaan toimivaltaan, niiden velvollisuuteen turvata kansallinen turvallisuus ja puolustus eikä niiden valtuuksiin turvata muut keskeiset valtion tehtävät erityisesti yleisen turvallisuuden, alueellisen koskemattomuuden ja sisäisen turvallisuuden suojaamista koskevat tehtävät. Tätä direktiiviä ei olisi sovellettava julkishallinnon toimijoihin, jotka harjoittavat toimintaansa pääasiassa kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan alalla, mukaan lukien rikosten tutkinta, selvittäminen ja syytteeseenpano. Julkishallinnon toimijoiden, joiden toiminta näillä aloilla on vähäistä, olisi kuitenkin edelleen kuuluttava tämän direktiivin soveltamisalaan. Tätä direktiiviä sovellettaessa sääntelyvaltaa käyttävien toimijoiden ei katsota harjoittavan toimintaa lainvalvonnan alalla, joten niitä ei ole suljettu tällä perusteella tämän direktiivin soveltamisalan ulkopuolelle. Julkishallinnon toimijat, jotka on kansainvälisen sopimuksen mukaisesti perustettu yhdessä kolmannen maan kanssa, eivät kuulu tämän direktiivin soveltamisalaan. Tätä direktiiviä ei sovelleta jäsenvaltioiden diplomaatti- ja konsuliedustustoihin kolmansissa maissa.
  Tietyt kriittiset toimijat harjoittavat toimintaa kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan, mukaan lukien rikosten tutkiminen, paljastaminen ja rikosoikeudellisten seuraamusten täytäntöönpano, aloilla tai tarjoavat palveluja yksinomaan sellaisille julkishallinnon toimijoille, jotka harjoittavat toimintaa pääasiassa kyseisillä aloilla. Kun otetaan huomioon jäsenvaltioiden velvollisuus turvata kansallinen turvallisuus ja puolustus, niiden olisi voitava päättää, että kriittisille toimijoille tässä direktiivissä säädettyjä velvoitteita ei sovelleta kokonaisuudessaan tai osittain, jos kyseisten kriittisten toimijoiden tarjoamat palvelut tai niiden harjoittama toiminta liittyvät pääasiassa kansalliseen turvallisuuteen, yleiseen turvallisuuteen, puolustukseen tai lainvalvontaan, mukaan lukien rikosten tutkiminen, paljastaminen ja rikosoikeudellisten seuraamusten täytäntöönpano. Kriittisten toimijoiden, joiden palvelut tai toiminta kyseisillä aloilla on vähäistä, olisi edelleen kuuluttava tämän direktiivin soveltamisalaan. Mitään jäsenvaltiota ei saisi vaatia antamaan tietoja, joiden ilmaiseminen olisi vastoin sen keskeisiä kansalliseen turvallisuuteen liittyviä etuja. Merkityksellisiä ovat turvallisuusluokiteltujen tietojen suojaamista koskevat unionin tai kansalliset säännöt ja salassapitosopimukset. |
| --- | --- |

(11)

Tämä direktiivi ei vaikuta jäsenvaltioiden ja niiden viranomaisten hallinnollista riippumattomuutta koskevaan toimivaltaan, niiden velvollisuuteen turvata kansallinen turvallisuus ja puolustus eikä niiden valtuuksiin turvata muut keskeiset valtion tehtävät erityisesti yleisen turvallisuuden, alueellisen koskemattomuuden ja sisäisen turvallisuuden suojaamista koskevat tehtävät. Tätä direktiiviä ei olisi sovellettava julkishallinnon toimijoihin, jotka harjoittavat toimintaansa pääasiassa kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan alalla, mukaan lukien rikosten tutkinta, selvittäminen ja syytteeseenpano. Julkishallinnon toimijoiden, joiden toiminta näillä aloilla on vähäistä, olisi kuitenkin edelleen kuuluttava tämän direktiivin soveltamisalaan. Tätä direktiiviä sovellettaessa sääntelyvaltaa käyttävien toimijoiden ei katsota harjoittavan toimintaa lainvalvonnan alalla, joten niitä ei ole suljettu tällä perusteella tämän direktiivin soveltamisalan ulkopuolelle. Julkishallinnon toimijat, jotka on kansainvälisen sopimuksen mukaisesti perustettu yhdessä kolmannen maan kanssa, eivät kuulu tämän direktiivin soveltamisalaan. Tätä direktiiviä ei sovelleta jäsenvaltioiden diplomaatti- ja konsuliedustustoihin kolmansissa maissa.

Tietyt kriittiset toimijat harjoittavat toimintaa kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan, mukaan lukien rikosten tutkiminen, paljastaminen ja rikosoikeudellisten seuraamusten täytäntöönpano, aloilla tai tarjoavat palveluja yksinomaan sellaisille julkishallinnon toimijoille, jotka harjoittavat toimintaa pääasiassa kyseisillä aloilla. Kun otetaan huomioon jäsenvaltioiden velvollisuus turvata kansallinen turvallisuus ja puolustus, niiden olisi voitava päättää, että kriittisille toimijoille tässä direktiivissä säädettyjä velvoitteita ei sovelleta kokonaisuudessaan tai osittain, jos kyseisten kriittisten toimijoiden tarjoamat palvelut tai niiden harjoittama toiminta liittyvät pääasiassa kansalliseen turvallisuuteen, yleiseen turvallisuuteen, puolustukseen tai lainvalvontaan, mukaan lukien rikosten tutkiminen, paljastaminen ja rikosoikeudellisten seuraamusten täytäntöönpano. Kriittisten toimijoiden, joiden palvelut tai toiminta kyseisillä aloilla on vähäistä, olisi edelleen kuuluttava tämän direktiivin soveltamisalaan. Mitään jäsenvaltiota ei saisi vaatia antamaan tietoja, joiden ilmaiseminen olisi vastoin sen keskeisiä kansalliseen turvallisuuteen liittyviä etuja. Merkityksellisiä ovat turvallisuusluokiteltujen tietojen suojaamista koskevat unionin tai kansalliset säännöt ja salassapitosopimukset.

| (12) | Jotta ei vaarannettaisi kansallista turvallisuutta eikä kriittisten toimijoiden turvallisuutta ja kaupallisia etuja, arkaluonteisiin tietoihin pääsyssä sekä niiden vaihdossa ja käsittelyssä olisi noudatettava huolellisuutta ja kiinnitettävä erityistä huomiota asianomaisten sidosryhmien käyttämiin välityskanaviin ja säilytysvalmiuksiin. |
| --- | --- |

(12)

Jotta ei vaarannettaisi kansallista turvallisuutta eikä kriittisten toimijoiden turvallisuutta ja kaupallisia etuja, arkaluonteisiin tietoihin pääsyssä sekä niiden vaihdossa ja käsittelyssä olisi noudatettava huolellisuutta ja kiinnitettävä erityistä huomiota asianomaisten sidosryhmien käyttämiin välityskanaviin ja säilytysvalmiuksiin.

| (13) | Jotta kriittisten toimijoiden häiriönsietokyky voitaisiin turvata kattavasti, kullakin jäsenvaltiolla olisi oltava käytössään strategia kriittisten toimijoiden häiriönsietokyvyn parantamiseksi, jäljempänä ’strategia’. Strategiassa olisi määriteltävä strategiset tavoitteet ja toteutettavat poliittiset toimet. Johdonmukaisuuden ja tehokkuuden vuoksi strategia olisi laadittava niin, että siihen sisällytetään saumattomasti olemassa olevat politiikat ja että se perustuu mahdollisuuksien mukaan asiaankuuluviin jo laadittuihin kansallisiin ja alakohtaisiin strategioihin. Johdonmukaisen lähestymistavan saavuttamiseksi jäsenvaltioiden olisi varmistettava, että niiden strategiat sisältävät kehyksen tämän direktiivin mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten välisen koordinoinnin tehostamiselle kyberturvallisuusriskejä, kyberuhkia ja kyberturvallisuuspoikkeamia sekä muita kuin kyberturvallisuusriskejä, kyberuhkia ja kyberturvallisuuspoikkeamia koskevan tietojenvaihdon ja valvontatehtävien hoitamisen yhteydessä. Näitä strategioitaan laatiessaan jäsenvaltioiden olisi otettava asianmukaisesti huomioon kriittisiin toimijoihin kohdistuvien uhkien hybridiluonne. |
| --- | --- |

(13)

Jotta kriittisten toimijoiden häiriönsietokyky voitaisiin turvata kattavasti, kullakin jäsenvaltiolla olisi oltava käytössään strategia kriittisten toimijoiden häiriönsietokyvyn parantamiseksi, jäljempänä ’strategia’. Strategiassa olisi määriteltävä strategiset tavoitteet ja toteutettavat poliittiset toimet. Johdonmukaisuuden ja tehokkuuden vuoksi strategia olisi laadittava niin, että siihen sisällytetään saumattomasti olemassa olevat politiikat ja että se perustuu mahdollisuuksien mukaan asiaankuuluviin jo laadittuihin kansallisiin ja alakohtaisiin strategioihin. Johdonmukaisen lähestymistavan saavuttamiseksi jäsenvaltioiden olisi varmistettava, että niiden strategiat sisältävät kehyksen tämän direktiivin mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten välisen koordinoinnin tehostamiselle kyberturvallisuusriskejä, kyberuhkia ja kyberturvallisuuspoikkeamia sekä muita kuin kyberturvallisuusriskejä, kyberuhkia ja kyberturvallisuuspoikkeamia koskevan tietojenvaihdon ja valvontatehtävien hoitamisen yhteydessä. Näitä strategioitaan laatiessaan jäsenvaltioiden olisi otettava asianmukaisesti huomioon kriittisiin toimijoihin kohdistuvien uhkien hybridiluonne.

| (14) | Jäsenvaltioiden olisi toimitettava strategiansa ja niiden merkittävät päivitykset komissiolle, erityisesti jotta tämä voisi arvioida tämän direktiivin asianmukaista soveltamista siltä osin kuin on kyse kriittisten toimijoiden häiriönsietokykyä koskevista toimintapoliittisista lähestymistavoista kansallisella tasolla. Strategiat voitaisiin tarvittaessa toimittaa turvallisuusluokiteltuina tietoina. Komission olisi laadittava jäsenvaltioiden toimittamista strategioista yhteenvetokertomus, jonka perusteella kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä voi määritellä parhaita käytäntöjä ja yhteistä etua koskevia kysymyksiä. Yhteenvetokertomukseen sisällytettävien yhdistettyjen tietojen arkaluonteisuuden vuoksi ja riippumatta siitä, ovatko ne turvallisuusluokiteltuja vai eivät, komission olisi yhteenvetokertomusta hallinnoidessaan otettava riittävällä tavalla huomioon kriittisten toimijoiden, jäsenvaltioiden ja unionin turvallisuus. Yhteenvetokertomus ja strategiat olisi suojattava laittomilta tai vihamielisiltä toimilta, ja niiden olisi oltava ainoastaan valtuutettujen henkilöiden saatavilla tämän direktiivin tavoitteiden saavuttamiseksi. Toimitettavien strategioiden ja niiden merkittävien päivitysten olisi myös autettava komissiota ymmärtämään kriittisten toimijoiden häiriönsietokykyä koskevien lähestymistapojen kehitystä, ja niitä olisi hyödynnettävä tämän direktiivin, jota komissio tarkastelee määräajoin uudelleen, vaikutusten ja lisäarvon seurannassa. |
| --- | --- |

(14)

Jäsenvaltioiden olisi toimitettava strategiansa ja niiden merkittävät päivitykset komissiolle, erityisesti jotta tämä voisi arvioida tämän direktiivin asianmukaista soveltamista siltä osin kuin on kyse kriittisten toimijoiden häiriönsietokykyä koskevista toimintapoliittisista lähestymistavoista kansallisella tasolla. Strategiat voitaisiin tarvittaessa toimittaa turvallisuusluokiteltuina tietoina. Komission olisi laadittava jäsenvaltioiden toimittamista strategioista yhteenvetokertomus, jonka perusteella kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä voi määritellä parhaita käytäntöjä ja yhteistä etua koskevia kysymyksiä. Yhteenvetokertomukseen sisällytettävien yhdistettyjen tietojen arkaluonteisuuden vuoksi ja riippumatta siitä, ovatko ne turvallisuusluokiteltuja vai eivät, komission olisi yhteenvetokertomusta hallinnoidessaan otettava riittävällä tavalla huomioon kriittisten toimijoiden, jäsenvaltioiden ja unionin turvallisuus. Yhteenvetokertomus ja strategiat olisi suojattava laittomilta tai vihamielisiltä toimilta, ja niiden olisi oltava ainoastaan valtuutettujen henkilöiden saatavilla tämän direktiivin tavoitteiden saavuttamiseksi. Toimitettavien strategioiden ja niiden merkittävien päivitysten olisi myös autettava komissiota ymmärtämään kriittisten toimijoiden häiriönsietokykyä koskevien lähestymistapojen kehitystä, ja niitä olisi hyödynnettävä tämän direktiivin, jota komissio tarkastelee määräajoin uudelleen, vaikutusten ja lisäarvon seurannassa.

| (15) | Jäsenvaltioiden toimien kriittisten toimijoiden määrittämiseksi ja niiden häiriönsietokyvyn turvaamisen tukemiseksi olisi perustuttava riskiperusteiseen lähestymistapaan, jossa toimet kohdennetaan niille toimijoille, joiden merkitys välttämättömille yhteiskunnan toiminnoille tai taloudelliselle toiminnalle on suurin. Kohdennetun lähestymistavan varmistamiseksi jokaisen jäsenvaltion olisi arvioitava yhdenmukaistetun kehyksen puitteissa merkitykselliset luonnon ja ihmisen aiheuttamat riskit, mukaan lukien useita toimialoja koskevat ja rajat ylittävät riskit, jotka saattavat uhata keskeisten palvelujen tarjoamista. Tällaisia riskejä ovat esimerkiksi onnettomuudet, luonnonkatastrofit, kansanterveysuhat, kuten pandemiat ja hybridiuhat tai muut vihamieliset uhat, mukaan lukien terrorismirikokset, rikollisten soluttautuminen ja sabotaasi, jäljempänä ’jäsenvaltioiden riskinarviointi’. Jäsenvaltioiden riskinarviointien yhteydessä jäsenvaltioiden olisi otettava huomioon muut yleiset tai alakohtaiset riskinarvioinnit, jotka on tehty unionin muiden säädösten nojalla, sekä se, missä määrin toimialat ovat riippuvaisia toisistaan myös muissa jäsenvaltioissa ja kolmansissa maissa. Jäsenvaltioiden riskinarviointien tuloksia olisi hyödynnettävä kriittisten toimijoiden määrittämisessä ja käytettävä kyseisten toimijoiden apuna niille asetettujen häiriönsietokykyä koskevien vaatimusten täyttämisessä. Tätä direktiiviä sovelletaan ainoastaan jäsenvaltioihin ja unionissa toimiviin kriittisiin toimijoihin. Toimivaltaisten viranomaisten erityisesti riskinarviointien avulla sekä komission erityisesti erilaisten tuki- ja yhteistyömuotojen avulla tuottamaa asiantuntemusta ja tietämystä voitaisiin kuitenkin tarvittaessa ja sovellettavien oikeudellisten välineiden mukaisesti käyttää erityisesti unionin välittömässä läheisyydessä sijaitsevien kolmansien maiden hyväksi hyödyntämällä häiriönsietokyvyn alalla jo olemassa olevaa yhteistyötä. |
| --- | --- |

(15)

Jäsenvaltioiden toimien kriittisten toimijoiden määrittämiseksi ja niiden häiriönsietokyvyn turvaamisen tukemiseksi olisi perustuttava riskiperusteiseen lähestymistapaan, jossa toimet kohdennetaan niille toimijoille, joiden merkitys välttämättömille yhteiskunnan toiminnoille tai taloudelliselle toiminnalle on suurin. Kohdennetun lähestymistavan varmistamiseksi jokaisen jäsenvaltion olisi arvioitava yhdenmukaistetun kehyksen puitteissa merkitykselliset luonnon ja ihmisen aiheuttamat riskit, mukaan lukien useita toimialoja koskevat ja rajat ylittävät riskit, jotka saattavat uhata keskeisten palvelujen tarjoamista. Tällaisia riskejä ovat esimerkiksi onnettomuudet, luonnonkatastrofit, kansanterveysuhat, kuten pandemiat ja hybridiuhat tai muut vihamieliset uhat, mukaan lukien terrorismirikokset, rikollisten soluttautuminen ja sabotaasi, jäljempänä ’jäsenvaltioiden riskinarviointi’. Jäsenvaltioiden riskinarviointien yhteydessä jäsenvaltioiden olisi otettava huomioon muut yleiset tai alakohtaiset riskinarvioinnit, jotka on tehty unionin muiden säädösten nojalla, sekä se, missä määrin toimialat ovat riippuvaisia toisistaan myös muissa jäsenvaltioissa ja kolmansissa maissa. Jäsenvaltioiden riskinarviointien tuloksia olisi hyödynnettävä kriittisten toimijoiden määrittämisessä ja käytettävä kyseisten toimijoiden apuna niille asetettujen häiriönsietokykyä koskevien vaatimusten täyttämisessä. Tätä direktiiviä sovelletaan ainoastaan jäsenvaltioihin ja unionissa toimiviin kriittisiin toimijoihin. Toimivaltaisten viranomaisten erityisesti riskinarviointien avulla sekä komission erityisesti erilaisten tuki- ja yhteistyömuotojen avulla tuottamaa asiantuntemusta ja tietämystä voitaisiin kuitenkin tarvittaessa ja sovellettavien oikeudellisten välineiden mukaisesti käyttää erityisesti unionin välittömässä läheisyydessä sijaitsevien kolmansien maiden hyväksi hyödyntämällä häiriönsietokyvyn alalla jo olemassa olevaa yhteistyötä.

| (16) | Jotta voidaan varmistaa, että tässä direktiivissä säädetyt häiriönsietokykyä koskevat vaatimukset koskevat kaikkia asiaankuuluvia toimijoita, ja vähentää eroavaisuuksia tässä asiassa, on tärkeää vahvistaa yhdenmukaiset säännöt, joiden perusteella kriittiset toimijat voidaan määrittää yhdenmukaisesti koko unionin alueella mutta jotka antavat samalla jäsenvaltioiden ottaa asianmukaisesti huomioon näiden toimijoiden aseman ja merkityksen kansallisella tasolla. Soveltaessaan tässä direktiivissä säädettyjä perusteita kunkin jäsenvaltion olisi määritettävä toimijat, jotka tarjoavat yhtä tai useampaa keskeistä palvelua ja jotka toimivat ja joilla on kriittistä infrastruktuuria sen alueella. Toimijan olisi katsottava toimivan sen jäsenvaltion alueella, jossa se harjoittaa kyseisen yhden tai useamman keskeisen palvelun kannalta välttämätöntä toimintaa ja jossa sijaitsee kyseisen toimijan kriittinen infrastruktuuri, jota käytetään kyseisen palvelun tai kyseisten palvelujen tarjoamiseen. Jos yksikään toimija ei täytä näitä kriteerejä jäsenvaltiossa, kyseisellä jäsenvaltiolla ei olisi velvoitetta määrittää kriittistä toimijaa vastaavalla toimialalla tai alasektorilla. Vaikuttavuuden, tehokkuuden, johdonmukaisuuden ja oikeusvarmuuden vuoksi olisi vahvistettava asianmukaiset säännöt ilmoittaville toimijoille siitä, että ne on määritetty kriittisiksi toimijoiksi. |
| --- | --- |

(16)

Jotta voidaan varmistaa, että tässä direktiivissä säädetyt häiriönsietokykyä koskevat vaatimukset koskevat kaikkia asiaankuuluvia toimijoita, ja vähentää eroavaisuuksia tässä asiassa, on tärkeää vahvistaa yhdenmukaiset säännöt, joiden perusteella kriittiset toimijat voidaan määrittää yhdenmukaisesti koko unionin alueella mutta jotka antavat samalla jäsenvaltioiden ottaa asianmukaisesti huomioon näiden toimijoiden aseman ja merkityksen kansallisella tasolla. Soveltaessaan tässä direktiivissä säädettyjä perusteita kunkin jäsenvaltion olisi määritettävä toimijat, jotka tarjoavat yhtä tai useampaa keskeistä palvelua ja jotka toimivat ja joilla on kriittistä infrastruktuuria sen alueella. Toimijan olisi katsottava toimivan sen jäsenvaltion alueella, jossa se harjoittaa kyseisen yhden tai useamman keskeisen palvelun kannalta välttämätöntä toimintaa ja jossa sijaitsee kyseisen toimijan kriittinen infrastruktuuri, jota käytetään kyseisen palvelun tai kyseisten palvelujen tarjoamiseen. Jos yksikään toimija ei täytä näitä kriteerejä jäsenvaltiossa, kyseisellä jäsenvaltiolla ei olisi velvoitetta määrittää kriittistä toimijaa vastaavalla toimialalla tai alasektorilla. Vaikuttavuuden, tehokkuuden, johdonmukaisuuden ja oikeusvarmuuden vuoksi olisi vahvistettava asianmukaiset säännöt ilmoittaville toimijoille siitä, että ne on määritetty kriittisiksi toimijoiksi.

| (17) | Jäsenvaltioiden olisi toimitettava komissiolle tämän direktiivin tavoitteet täyttävällä tavalla luettelo keskeisistä palveluista, kullakin liitteessä mainitulla toimialalla ja alasektorilla määritettyjen kriittisten toimijoiden lukumäärä ja kunkin toimijan tarjoama keskeinen palvelu tai palvelut sekä mahdollisesti sovelletut kynnysarvot. Kynnysarvot olisi voitava esittää sellaisenaan tai yhdistellyssä muodossa, jolloin voidaan esittää keskiarvoja, jotka on muodostettu maantieteellisten alueiden, vuoden, toimialojen, alasektorien tai jonkin muun perusteen pohjalta, ja tietoihin voidaan sisällyttää käytettyjen indikaattorien ääriarvot. |
| --- | --- |

(17)

Jäsenvaltioiden olisi toimitettava komissiolle tämän direktiivin tavoitteet täyttävällä tavalla luettelo keskeisistä palveluista, kullakin liitteessä mainitulla toimialalla ja alasektorilla määritettyjen kriittisten toimijoiden lukumäärä ja kunkin toimijan tarjoama keskeinen palvelu tai palvelut sekä mahdollisesti sovelletut kynnysarvot. Kynnysarvot olisi voitava esittää sellaisenaan tai yhdistellyssä muodossa, jolloin voidaan esittää keskiarvoja, jotka on muodostettu maantieteellisten alueiden, vuoden, toimialojen, alasektorien tai jonkin muun perusteen pohjalta, ja tietoihin voidaan sisällyttää käytettyjen indikaattorien ääriarvot.

| (18) | Poikkeamien aiheuttaman haitallisen vaikutuksen merkityksen määrittämiseksi olisi laadittava perusteet. Kyseisten perusteiden olisi perustuttava Euroopan parlamentin ja neuvoston direktiivissä (EU) 2016/1148 (6) säädettyihin perusteisiin, jotta voidaan hyödyntää jäsenvaltioiden toimia kyseisessä direktiivissä määriteltyjen keskeisten toimijoiden määrittämiseksi ja näistä saatua kokemusta. Covid-19-pandemian kaltaiset merkittävät kriisit ovat osoittaneet, miten tärkeää on varmistaa toimitusketjun turvallisuus ja miten häiriöllä voi olla kielteisiä taloudellisia ja yhteiskunnallisia vaikutuksia monilla aloilla yli rajojen. Sen vuoksi jäsenvaltioiden olisi otettava mahdollisuuksien mukaan huomioon myös vaikutukset toimitusketjuun määrittäessään, missä määrin muut toimialat ja alasektorit ovat riippuvaisia kriittisen toimijan tarjoamasta keskeisestä palvelusta. |
| --- | --- |

(18)

Poikkeamien aiheuttaman haitallisen vaikutuksen merkityksen määrittämiseksi olisi laadittava perusteet. Kyseisten perusteiden olisi perustuttava Euroopan parlamentin ja neuvoston direktiivissä (EU) 2016/1148 (6) säädettyihin perusteisiin, jotta voidaan hyödyntää jäsenvaltioiden toimia kyseisessä direktiivissä määriteltyjen keskeisten toimijoiden määrittämiseksi ja näistä saatua kokemusta. Covid-19-pandemian kaltaiset merkittävät kriisit ovat osoittaneet, miten tärkeää on varmistaa toimitusketjun turvallisuus ja miten häiriöllä voi olla kielteisiä taloudellisia ja yhteiskunnallisia vaikutuksia monilla aloilla yli rajojen. Sen vuoksi jäsenvaltioiden olisi otettava mahdollisuuksien mukaan huomioon myös vaikutukset toimitusketjuun määrittäessään, missä määrin muut toimialat ja alasektorit ovat riippuvaisia kriittisen toimijan tarjoamasta keskeisestä palvelusta.

| (19) | Sovellettavan unionin ja kansallisen lainsäädännön mukaisesti, mukaan lukien Euroopan parlamentin ja neuvoston asetus (EU) 2019/452 (7), jolla perustetaan unioniin tulevien ulkomaisten suorien sijoitusten seurantaan tarkoitetut puitteet, on syytä ottaa huomioon kriittisten infrastruktuurien ulkomaisesta omistuksesta unionissa aiheutuva mahdollinen uhka, sillä palvelut, talous ja unionin kansalaisten vapaa liikkuvuus ja turvallisuus ovat riippuvaisia siitä, että kriittinen infrastruktuuri toimii asianmukaisesti. |
| --- | --- |

(19)

Sovellettavan unionin ja kansallisen lainsäädännön mukaisesti, mukaan lukien Euroopan parlamentin ja neuvoston asetus (EU) 2019/452 (7), jolla perustetaan unioniin tulevien ulkomaisten suorien sijoitusten seurantaan tarkoitetut puitteet, on syytä ottaa huomioon kriittisten infrastruktuurien ulkomaisesta omistuksesta unionissa aiheutuva mahdollinen uhka, sillä palvelut, talous ja unionin kansalaisten vapaa liikkuvuus ja turvallisuus ovat riippuvaisia siitä, että kriittinen infrastruktuuri toimii asianmukaisesti.

| (20) | Direktiivissä (EU) 2022/2555 edellytetään, että digitaalisen infrastruktuurin alaan kuuluvat toimijat, jotka voitaisiin tämän direktiivin mukaisesti määrittää kriittisiksi toimijoiksi, toteuttavat asianmukaiset ja oikeasuhtaiset tekniset, operatiiviset ja organisatoriset toimenpiteet verkko- ja tietojärjestelmien turvallisuuteen kohdistuvien riskien hallitsemiseksi sekä merkittävistä poikkeamista ja kyberuhkista ilmoittamiseksi. Koska verkko- ja tietojärjestelmien turvallisuuteen kohdistuvat uhat voivat johtua monenlaisista syistä, direktiivissä (EU) 2022/2555 sovelletaan kaikki vaaratekijät huomioon ottavaa toimintatapaa, joka käsittää verkko- ja tietojärjestelmien ja niiden fyysisten osatekijöiden ja ympäristöjen häiriönsietokyvyn.
  Kun otetaan huomioon, että direktiivissä (EU) 2022/2555 tältä osin säädetyt vaatimukset ovat vaikutukseltaan vähintään vastaavia kuin tässä direktiivissä säädetyt velvoitteet, tämän direktiivin 11 artiklassa sekä III, IV ja VI luvussa säädettyjä velvoitteita ei olisi sovellettava digitaalisen infrastruktuurin alaan kuuluviin toimijoihin, jotta voidaan välttää päällekkäisyydet ja tarpeeton hallinnollinen rasitus. Kun kuitenkin otetaan huomioon digitaalisen infrastruktuurin alaan kuuluvan toimialan toimijoiden tarjoamien palvelujen merkitys kaikkiin muihin toimialoihin kuuluville kriittisille toimijoille, jäsenvaltioiden olisi kuitenkin määritettävä tässä direktiivissä säädettyjen perusteiden mukaan ja tämän direktiivin mukaista menettelyä noudattaen digitaalisen infrastruktuurin alaan kuuluvan toimialan toimijat kriittisiksi toimijoiksi. Tämän direktiivin II luvussa säädettyjä jäsenvaltioiden riskinarviointia ja tukitoimenpiteitä koskevia strategioita olisi näin ollen sovellettava. Jäsenvaltioiden olisi voitava hyväksyä tai pitää voimassa kansallisen lainsäädännön säännöksiä saavuttaakseen korkeamman häiriönsietokyvyn tason kyseisten kriittisten toimijoiden osalta edellyttäen, että kyseiset säännökset ovat sovellettavan unionin oikeuden mukaisia. |
| --- | --- |

(20)

Direktiivissä (EU) 2022/2555 edellytetään, että digitaalisen infrastruktuurin alaan kuuluvat toimijat, jotka voitaisiin tämän direktiivin mukaisesti määrittää kriittisiksi toimijoiksi, toteuttavat asianmukaiset ja oikeasuhtaiset tekniset, operatiiviset ja organisatoriset toimenpiteet verkko- ja tietojärjestelmien turvallisuuteen kohdistuvien riskien hallitsemiseksi sekä merkittävistä poikkeamista ja kyberuhkista ilmoittamiseksi. Koska verkko- ja tietojärjestelmien turvallisuuteen kohdistuvat uhat voivat johtua monenlaisista syistä, direktiivissä (EU) 2022/2555 sovelletaan kaikki vaaratekijät huomioon ottavaa toimintatapaa, joka käsittää verkko- ja tietojärjestelmien ja niiden fyysisten osatekijöiden ja ympäristöjen häiriönsietokyvyn.

Kun otetaan huomioon, että direktiivissä (EU) 2022/2555 tältä osin säädetyt vaatimukset ovat vaikutukseltaan vähintään vastaavia kuin tässä direktiivissä säädetyt velvoitteet, tämän direktiivin 11 artiklassa sekä III, IV ja VI luvussa säädettyjä velvoitteita ei olisi sovellettava digitaalisen infrastruktuurin alaan kuuluviin toimijoihin, jotta voidaan välttää päällekkäisyydet ja tarpeeton hallinnollinen rasitus. Kun kuitenkin otetaan huomioon digitaalisen infrastruktuurin alaan kuuluvan toimialan toimijoiden tarjoamien palvelujen merkitys kaikkiin muihin toimialoihin kuuluville kriittisille toimijoille, jäsenvaltioiden olisi kuitenkin määritettävä tässä direktiivissä säädettyjen perusteiden mukaan ja tämän direktiivin mukaista menettelyä noudattaen digitaalisen infrastruktuurin alaan kuuluvan toimialan toimijat kriittisiksi toimijoiksi. Tämän direktiivin II luvussa säädettyjä jäsenvaltioiden riskinarviointia ja tukitoimenpiteitä koskevia strategioita olisi näin ollen sovellettava. Jäsenvaltioiden olisi voitava hyväksyä tai pitää voimassa kansallisen lainsäädännön säännöksiä saavuttaakseen korkeamman häiriönsietokyvyn tason kyseisten kriittisten toimijoiden osalta edellyttäen, että kyseiset säännökset ovat sovellettavan unionin oikeuden mukaisia.

| (21) | Finanssipalveluja koskevassa unionin lainsäädännössä on säädetty kattavasti finanssialan toimijoiden velvoitteista hallita kaikkia mahdollisia riskejä, mukaan lukien operatiiviset riskit ja liiketoiminnan jatkuvuuden turvaaminen. Kyseiseen lainsäädäntöön kuuluvat Euroopan parlamentin ja neuvoston asetukset (EU) N:o 648/2012 (8), (EU) N:o 575/2013 (9) ja (EU) N:o 600/2014 (10) sekä direktiivit 2013/36/EU (11) ja 2014/65/EU (12). Kyseistä oikeudellista kehystä täydennetään Euroopan parlamentin ja neuvoston asetuksella (EU) 2022/2554 (13), jossa velvoitetaan finanssiyhteisöt hallitsemaan tieto- ja viestintätekniikan riskejä, jäljempänä ’TVT-riskit’, mukaan lukien fyysisen TVT-infrastruktuurin suojaamista koskevat riskit. Koska kyseisten toimijoiden häiriönsietokyky on siten katettu laajasti, tämän direktiivin 11 artiklaa sekä III, IV ja VI lukua ei olisi sovellettava kyseisiin toimijoihin, jotta voidaan välttää päällekkäisyydet ja tarpeeton hallinnollinen rasitus.
  Kun otetaan huomioon finanssitoimialan toimijoiden tarjoamien palvelujen merkitys kaikkiin muihin toimialoihin kuuluville kriittisille toimijoille, jäsenvaltioiden olisi kuitenkin määritettävä tässä direktiivissä säädettyjen perusteiden mukaan ja tämän direktiivin mukaista menettelyä noudattaen finanssitoimialan toimijat kriittisiksi toimijoiksi. Tämän direktiivin II luvussa säädettyjä strategioita, jäsenvaltioiden riskinarviointia ja tukitoimenpiteitä olisi näin ollen sovellettava. Jäsenvaltioiden olisi voitava hyväksyä tai pitää voimassa kansallisen lainsäädännön säännöksiä saavuttaakseen korkeamman häiriönsietokyvyn tason kyseisten kriittisten toimijoiden osalta edellyttäen, että kyseiset säännökset ovat sovellettavan unionin oikeuden mukaisia. |
| --- | --- |

(21)

Finanssipalveluja koskevassa unionin lainsäädännössä on säädetty kattavasti finanssialan toimijoiden velvoitteista hallita kaikkia mahdollisia riskejä, mukaan lukien operatiiviset riskit ja liiketoiminnan jatkuvuuden turvaaminen. Kyseiseen lainsäädäntöön kuuluvat Euroopan parlamentin ja neuvoston asetukset (EU) N:o 648/2012 (8), (EU) N:o 575/2013 (9) ja (EU) N:o 600/2014 (10) sekä direktiivit 2013/36/EU (11) ja 2014/65/EU (12). Kyseistä oikeudellista kehystä täydennetään Euroopan parlamentin ja neuvoston asetuksella (EU) 2022/2554 (13), jossa velvoitetaan finanssiyhteisöt hallitsemaan tieto- ja viestintätekniikan riskejä, jäljempänä ’TVT-riskit’, mukaan lukien fyysisen TVT-infrastruktuurin suojaamista koskevat riskit. Koska kyseisten toimijoiden häiriönsietokyky on siten katettu laajasti, tämän direktiivin 11 artiklaa sekä III, IV ja VI lukua ei olisi sovellettava kyseisiin toimijoihin, jotta voidaan välttää päällekkäisyydet ja tarpeeton hallinnollinen rasitus.

Kun otetaan huomioon finanssitoimialan toimijoiden tarjoamien palvelujen merkitys kaikkiin muihin toimialoihin kuuluville kriittisille toimijoille, jäsenvaltioiden olisi kuitenkin määritettävä tässä direktiivissä säädettyjen perusteiden mukaan ja tämän direktiivin mukaista menettelyä noudattaen finanssitoimialan toimijat kriittisiksi toimijoiksi. Tämän direktiivin II luvussa säädettyjä strategioita, jäsenvaltioiden riskinarviointia ja tukitoimenpiteitä olisi näin ollen sovellettava. Jäsenvaltioiden olisi voitava hyväksyä tai pitää voimassa kansallisen lainsäädännön säännöksiä saavuttaakseen korkeamman häiriönsietokyvyn tason kyseisten kriittisten toimijoiden osalta edellyttäen, että kyseiset säännökset ovat sovellettavan unionin oikeuden mukaisia.

| (22) | Jäsenvaltioiden olisi nimettävä tai perustettava viranomaisia, jotka ovat toimivaltaisia valvomaan tämän direktiivin sääntöjen soveltamista ja tarvittaessa niiden täytäntöönpanoa ja varmistettava, että kyseisillä viranomaisilla on riittävä toimivalta ja resurssit. Koska kansallisissa hallintorakenteissa on eroja ja jotta taataan olemassa olevien toimialakohtaisten järjestelyjen tai unionin valvonta- ja sääntelyelinten säilyttäminen ja vältetään päällekkäisyyksiä, jäsenvaltioiden olisi voitava nimetä tai perustaa useampi kuin yksi kansallinen toimivaltainen viranomainen. Jos jäsenvaltiot nimeävät tai perustavat useamman kuin yhden toimivaltaisen viranomaisen, niiden olisi tällöin määriteltävä selkeästi kunkin asianomaisen viranomaisen tehtävät ja varmistettava, että näiden välinen yhteistyö on sujuvaa ja toimivaa. Kaikkien toimivaltaisten viranomaisten olisi yleisemminkin tehtävä yhteistyötä muiden merkityksellisten viranomaisten kanssa niin unionin kuin kansallisella tasolla. |
| --- | --- |

(22)

Jäsenvaltioiden olisi nimettävä tai perustettava viranomaisia, jotka ovat toimivaltaisia valvomaan tämän direktiivin sääntöjen soveltamista ja tarvittaessa niiden täytäntöönpanoa ja varmistettava, että kyseisillä viranomaisilla on riittävä toimivalta ja resurssit. Koska kansallisissa hallintorakenteissa on eroja ja jotta taataan olemassa olevien toimialakohtaisten järjestelyjen tai unionin valvonta- ja sääntelyelinten säilyttäminen ja vältetään päällekkäisyyksiä, jäsenvaltioiden olisi voitava nimetä tai perustaa useampi kuin yksi kansallinen toimivaltainen viranomainen. Jos jäsenvaltiot nimeävät tai perustavat useamman kuin yhden toimivaltaisen viranomaisen, niiden olisi tällöin määriteltävä selkeästi kunkin asianomaisen viranomaisen tehtävät ja varmistettava, että näiden välinen yhteistyö on sujuvaa ja toimivaa. Kaikkien toimivaltaisten viranomaisten olisi yleisemminkin tehtävä yhteistyötä muiden merkityksellisten viranomaisten kanssa niin unionin kuin kansallisella tasolla.

| (23) | Rajat ylittävän yhteistyön ja viestinnän helpottamiseksi ja jotta tämä direktiivi voitaisiin panna tehokkaasti täytäntöön, jokaisen jäsenvaltion olisi nimettävä tarvittaessa jonkin toimivaltaisen viranomaisen yhteyteen yksi keskitetty yhteyspiste, joka vastaa kriittisten toimijoiden häiriönsietokykyyn ja rajatylittävään yhteistyöhön liittyvien kysymysten koordinoinnista unionin tasolla, jäljempänä ’keskitetty yhteyspiste’, sanotun kuitenkaan rajoittamatta unionin toimialakohtaisten säädösten vaatimusten soveltamista. Kunkin keskitetyn yhteyspisteen olisi pidettävä yhteyttä oman jäsenvaltionsa toimivaltaisiin viranomaisiin, muiden jäsenvaltioiden keskitettyihin yhteyspisteisiin ja kriittisten toimijoiden häiriönsietokykyä käsittelevään ryhmään ja tarvittaessa koordinoitava näiden kanssa käytävää viestintää. |
| --- | --- |

(23)

Rajat ylittävän yhteistyön ja viestinnän helpottamiseksi ja jotta tämä direktiivi voitaisiin panna tehokkaasti täytäntöön, jokaisen jäsenvaltion olisi nimettävä tarvittaessa jonkin toimivaltaisen viranomaisen yhteyteen yksi keskitetty yhteyspiste, joka vastaa kriittisten toimijoiden häiriönsietokykyyn ja rajatylittävään yhteistyöhön liittyvien kysymysten koordinoinnista unionin tasolla, jäljempänä ’keskitetty yhteyspiste’, sanotun kuitenkaan rajoittamatta unionin toimialakohtaisten säädösten vaatimusten soveltamista. Kunkin keskitetyn yhteyspisteen olisi pidettävä yhteyttä oman jäsenvaltionsa toimivaltaisiin viranomaisiin, muiden jäsenvaltioiden keskitettyihin yhteyspisteisiin ja kriittisten toimijoiden häiriönsietokykyä käsittelevään ryhmään ja tarvittaessa koordinoitava näiden kanssa käytävää viestintää.

| (24) | Tämän direktiivin mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten olisi tehtävä yhteistyötä ja vaihdettava tietoja kyberturvallisuusriskeistä, kyberuhkista ja kyberturvallisuuspoikkeamista sekä muista kuin kyberturvallisuusriskeistä, kyberuhkista ja kyberturvallisuuspoikkeamista, jotka vaikuttavat kriittisiin toimijoihin, sekä tämän direktiivin mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten toteuttamista olennaisista toimenpiteistä. Jäsenvaltioiden on tärkeää varmistaa, että tässä direktiivissä ja direktiivissä (EU) 2022/2555 säädetyt vaatimukset pannaan täytäntöön toisiaan täydentävästi ja että kriittisiin toimijoihin ei kohdistu enempää hallinnollista rasitusta kuin on tarpeen tämän direktiivin ja direktiivin (EU) 2022/2555 tavoitteiden saavuttamiseksi. |
| --- | --- |

(24)

Tämän direktiivin mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten olisi tehtävä yhteistyötä ja vaihdettava tietoja kyberturvallisuusriskeistä, kyberuhkista ja kyberturvallisuuspoikkeamista sekä muista kuin kyberturvallisuusriskeistä, kyberuhkista ja kyberturvallisuuspoikkeamista, jotka vaikuttavat kriittisiin toimijoihin, sekä tämän direktiivin mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten toteuttamista olennaisista toimenpiteistä. Jäsenvaltioiden on tärkeää varmistaa, että tässä direktiivissä ja direktiivissä (EU) 2022/2555 säädetyt vaatimukset pannaan täytäntöön toisiaan täydentävästi ja että kriittisiin toimijoihin ei kohdistu enempää hallinnollista rasitusta kuin on tarpeen tämän direktiivin ja direktiivin (EU) 2022/2555 tavoitteiden saavuttamiseksi.

| (25) | Jäsenvaltioiden olisi tuettava kriittisiä toimijoita, myös pieniksi tai keskisuuriksi yrityksiksi lukeutuvia, niiden häiriönsietokyvyn vahvistamisessa jäsenvaltioille tässä direktiivissä säädettyjen velvoitteiden mukaisesti, sanotun kuitenkaan rajoittamatta kriittisten toimijoiden omaa oikeudellista vastuuta varmistaa velvoitteiden noudattaminen, ja estettävä tästä aiheutuva liiallinen hallinnollinen rasitus. Jäsenvaltiot voisivat erityisesti laatia ohjemateriaaleja ja menetelmiä, tukea kriittisten toimijoiden häiriönsietokykytestien järjestämistä sekä tarjota kriittisille toimijoille neuvontaa ja koulutusta. Jäsenvaltiot voisivat myöntää rahoitusta tarvittaessa ja silloin kun se on perusteltua yleisen edun mukaisten tavoitteiden kannalta, ja niiden olisi edistettävä kriittisten toimijoiden välistä vapaaehtoista tietojen ja hyvien käytäntöjen vaihtoa, sanotun kuitenkaan rajoittamatta Euroopan unionin toiminnasta tehdyssä sopimuksessa (SEUT) vahvistettujen kilpailusääntöjen soveltamista. |
| --- | --- |

(25)

Jäsenvaltioiden olisi tuettava kriittisiä toimijoita, myös pieniksi tai keskisuuriksi yrityksiksi lukeutuvia, niiden häiriönsietokyvyn vahvistamisessa jäsenvaltioille tässä direktiivissä säädettyjen velvoitteiden mukaisesti, sanotun kuitenkaan rajoittamatta kriittisten toimijoiden omaa oikeudellista vastuuta varmistaa velvoitteiden noudattaminen, ja estettävä tästä aiheutuva liiallinen hallinnollinen rasitus. Jäsenvaltiot voisivat erityisesti laatia ohjemateriaaleja ja menetelmiä, tukea kriittisten toimijoiden häiriönsietokykytestien järjestämistä sekä tarjota kriittisille toimijoille neuvontaa ja koulutusta. Jäsenvaltiot voisivat myöntää rahoitusta tarvittaessa ja silloin kun se on perusteltua yleisen edun mukaisten tavoitteiden kannalta, ja niiden olisi edistettävä kriittisten toimijoiden välistä vapaaehtoista tietojen ja hyvien käytäntöjen vaihtoa, sanotun kuitenkaan rajoittamatta Euroopan unionin toiminnasta tehdyssä sopimuksessa (SEUT) vahvistettujen kilpailusääntöjen soveltamista.

| (26) | Jäsenvaltioiden määrittämien kriittisten toimijoiden häiriönsietokyvyn parantamiseksi ja niihin kohdistuvan hallinnollisen rasituksen vähentämiseksi toimivaltaisten viranomaisten olisi aina tarvittaessa kuultava toisiaan varmistaakseen, että tätä direktiiviä sovelletaan johdonmukaisesti. Kuulemisia olisi toteutettava minkä tahansa asiaan liittyvän toimivaltaisen viranomaisen pyynnöstä, ja niissä olisi keskityttävä sen varmistamiseen, että sellaisia toisiinsa kytkeytyviä kriittisiä toimijoita käsitellään yhtenäisesti, jotka käyttävät kahteen tai useampaan jäsenvaltioon fyysisesti yhteydessä olevaa kriittistä infrastruktuuria, jotka kuuluvat samaan konserniin tai yritysrakenteeseen tai jotka on määritetty kriittisiksi toimijoiksi yhdessä jäsenvaltiossa ja tarjoavat keskeisiä palveluja toiselle jäsenvaltiolle tai toisessa jäsenvaltiossa. |
| --- | --- |

(26)

Jäsenvaltioiden määrittämien kriittisten toimijoiden häiriönsietokyvyn parantamiseksi ja niihin kohdistuvan hallinnollisen rasituksen vähentämiseksi toimivaltaisten viranomaisten olisi aina tarvittaessa kuultava toisiaan varmistaakseen, että tätä direktiiviä sovelletaan johdonmukaisesti. Kuulemisia olisi toteutettava minkä tahansa asiaan liittyvän toimivaltaisen viranomaisen pyynnöstä, ja niissä olisi keskityttävä sen varmistamiseen, että sellaisia toisiinsa kytkeytyviä kriittisiä toimijoita käsitellään yhtenäisesti, jotka käyttävät kahteen tai useampaan jäsenvaltioon fyysisesti yhteydessä olevaa kriittistä infrastruktuuria, jotka kuuluvat samaan konserniin tai yritysrakenteeseen tai jotka on määritetty kriittisiksi toimijoiksi yhdessä jäsenvaltiossa ja tarjoavat keskeisiä palveluja toiselle jäsenvaltiolle tai toisessa jäsenvaltiossa.

| (27) | Jos unionin oikeuden tai kansallisen lainsäädännön säännöksissä edellytetään kriittisten toimijoiden arvioivan tämän direktiivin kannalta merkityksellisiä riskejä ja toteuttavan toimenpiteitä toimijoiden oman häiriönsietokyvyn varmistamiseksi, tällaiset vaatimukset olisi laadittava asianmukaisesti sen valvomista varten, noudattavatko kriittiset toimijat tätä direktiiviä. |
| --- | --- |

(27)

Jos unionin oikeuden tai kansallisen lainsäädännön säännöksissä edellytetään kriittisten toimijoiden arvioivan tämän direktiivin kannalta merkityksellisiä riskejä ja toteuttavan toimenpiteitä toimijoiden oman häiriönsietokyvyn varmistamiseksi, tällaiset vaatimukset olisi laadittava asianmukaisesti sen valvomista varten, noudattavatko kriittiset toimijat tätä direktiiviä.

| (28) | Kriittisten toimijoiden olisi ymmärrettävä kokonaisvaltaisesti niihin kohdistuvat merkitykselliset riskit, ja ne olisi velvoitettava analysoimaan kyseiset riskit. Tätä varten niiden olisi suoritettava riskinarviointeja erityisolosuhteidensa ja kyseisten riskien kehittymisen sitä edellyttäessä ja joka tapauksessa neljän vuoden välein, jotta voidaan arvioida kaikki merkitykselliset riskit, jotka voisivat häiritä niiden keskeisten palvelujen tarjoamista, jäljempänä ’kriittisten toimijoiden riskinarviointi’. Jos kriittiset toimijat ovat tehneet riskinarviointeja tai laatineet asiakirjoja sellaisten muiden säädösten velvoitteiden mukaisesti, jotka ovat merkityksellisiä kriittisen toimijan riskinarvioinnin kannalta, niiden olisi voitava käyttää kyseisiä arviointeja ja asiakirjoja tässä direktiivissä säädettyjen kriittisten toimijoiden riskinarviointeja koskevien vaatimusten täyttämiseksi. Toimivaltaisen viranomaisen olisi voitava vastaavasti todeta, että jokin kriittisen toimijan olemassa oleva riskinarviointi, jossa otetaan huomioon merkitykselliset riskit ja riippuvuuden merkitys, on kokonaan tai osittain tässä direktiivissä säädettyjen velvoitteiden mukainen. |
| --- | --- |

(28)

Kriittisten toimijoiden olisi ymmärrettävä kokonaisvaltaisesti niihin kohdistuvat merkitykselliset riskit, ja ne olisi velvoitettava analysoimaan kyseiset riskit. Tätä varten niiden olisi suoritettava riskinarviointeja erityisolosuhteidensa ja kyseisten riskien kehittymisen sitä edellyttäessä ja joka tapauksessa neljän vuoden välein, jotta voidaan arvioida kaikki merkitykselliset riskit, jotka voisivat häiritä niiden keskeisten palvelujen tarjoamista, jäljempänä ’kriittisten toimijoiden riskinarviointi’. Jos kriittiset toimijat ovat tehneet riskinarviointeja tai laatineet asiakirjoja sellaisten muiden säädösten velvoitteiden mukaisesti, jotka ovat merkityksellisiä kriittisen toimijan riskinarvioinnin kannalta, niiden olisi voitava käyttää kyseisiä arviointeja ja asiakirjoja tässä direktiivissä säädettyjen kriittisten toimijoiden riskinarviointeja koskevien vaatimusten täyttämiseksi. Toimivaltaisen viranomaisen olisi voitava vastaavasti todeta, että jokin kriittisen toimijan olemassa oleva riskinarviointi, jossa otetaan huomioon merkitykselliset riskit ja riippuvuuden merkitys, on kokonaan tai osittain tässä direktiivissä säädettyjen velvoitteiden mukainen.

| (29) | Kriittisten toimijoiden olisi toteuttava niihin kohdistuvien riskien suhteen asianmukaiset ja oikeasuhteiset tekniset, turvallisuutta koskevat ja organisatoriset toimenpiteet voidakseen ehkäistä, torjua ja lieventää poikkeamia, suojautua niiltä, vaimentaa niiden vaikutuksia, reagoida ja sopeutua niihin sekä palautua niistä. Kriittisten toimijoiden olisi toteutettava kyseiset toimenpiteet tämän direktiivin mukaisesti, mutta tällaisten toimenpiteiden yksityiskohtien ja laajuuden olisi vastattava asianmukaisesti ja oikeasuhteisesti eri kriittisten toimijoiden riskinarvioinnissaan määrittämiä riskejä ja kriittisten toimijan omia erityispiirteitä. Komission olisi edistettävä unionin laajuista johdonmukaista toimintatapaa hyväksymällä kriittisten toimijoiden häiriönsietokykyä käsittelevää ryhmää kuultuaan ei-sitovia suuntaviivoja, joilla tarkennetaan kyseisiä teknisiä, turvallisuutta koskevia ja organisatorisia toimenpiteitä. Jäsenvaltioiden olisi varmistettava, että kukin kriittinen toimija nimeää yhteyshenkilön tai vastaavan yhteyspisteeksi toimivaltaisille viranomaisille. |
| --- | --- |

(29)

Kriittisten toimijoiden olisi toteuttava niihin kohdistuvien riskien suhteen asianmukaiset ja oikeasuhteiset tekniset, turvallisuutta koskevat ja organisatoriset toimenpiteet voidakseen ehkäistä, torjua ja lieventää poikkeamia, suojautua niiltä, vaimentaa niiden vaikutuksia, reagoida ja sopeutua niihin sekä palautua niistä. Kriittisten toimijoiden olisi toteutettava kyseiset toimenpiteet tämän direktiivin mukaisesti, mutta tällaisten toimenpiteiden yksityiskohtien ja laajuuden olisi vastattava asianmukaisesti ja oikeasuhteisesti eri kriittisten toimijoiden riskinarvioinnissaan määrittämiä riskejä ja kriittisten toimijan omia erityispiirteitä. Komission olisi edistettävä unionin laajuista johdonmukaista toimintatapaa hyväksymällä kriittisten toimijoiden häiriönsietokykyä käsittelevää ryhmää kuultuaan ei-sitovia suuntaviivoja, joilla tarkennetaan kyseisiä teknisiä, turvallisuutta koskevia ja organisatorisia toimenpiteitä. Jäsenvaltioiden olisi varmistettava, että kukin kriittinen toimija nimeää yhteyshenkilön tai vastaavan yhteyspisteeksi toimivaltaisille viranomaisille.

| (30) | Vaikuttavuuden ja vastuuvelvollisuuden vuoksi kriittisten toimijoiden olisi kuvattava toteuttamansa toimenpiteet häiriönsietokykyä koskevassa suunnitelmassa tai sitä vastaavassa asiakirjassa tai asiakirjoissa vaikuttavuuden ja vastuuvelvollisuuden tavoitteiden saavuttamisen kannalta riittävän yksityiskohtaisesti ja määritetyt riskit huomioiden, sekä sovellettava suunnitelmaa käytännössä. Jos kriittinen toimija on jo toteuttanut teknisiä, turvallisuuteen liittyviä ja organisatorisia toimenpiteitä ja laatineet asiakirjoja sellaisten muiden säädösten nojalla, jotka ovat merkityksellisiä tämän direktiivin mukaisten häiriönsietokykyä turvaavien toimenpiteiden kannalta, sen olisi päällekkäisyyksien välttämiseksi voitava käyttää kyseisiä toimenpiteitä ja asiakirjoja tämän direktiivin mukaisten häiriönsietokykyä turvaavien toimenpiteiden täyttämiseksi. Päällekkäisyyksien välttämisesti toimivaltaisen viranomaisen olisi voitava vastaavasti todeta, että kriittisen toimijan olemassa olevat häiriönsietokykyä turvaavat toimenpiteet, joissa käsitellään sen teknisiä, turvallisuus- ja organisatorisia velvoitteita, ovat kokonaan tai osittain tämän direktiivin vaatimusten mukaisia. |
| --- | --- |

(30)

Vaikuttavuuden ja vastuuvelvollisuuden vuoksi kriittisten toimijoiden olisi kuvattava toteuttamansa toimenpiteet häiriönsietokykyä koskevassa suunnitelmassa tai sitä vastaavassa asiakirjassa tai asiakirjoissa vaikuttavuuden ja vastuuvelvollisuuden tavoitteiden saavuttamisen kannalta riittävän yksityiskohtaisesti ja määritetyt riskit huomioiden, sekä sovellettava suunnitelmaa käytännössä. Jos kriittinen toimija on jo toteuttanut teknisiä, turvallisuuteen liittyviä ja organisatorisia toimenpiteitä ja laatineet asiakirjoja sellaisten muiden säädösten nojalla, jotka ovat merkityksellisiä tämän direktiivin mukaisten häiriönsietokykyä turvaavien toimenpiteiden kannalta, sen olisi päällekkäisyyksien välttämiseksi voitava käyttää kyseisiä toimenpiteitä ja asiakirjoja tämän direktiivin mukaisten häiriönsietokykyä turvaavien toimenpiteiden täyttämiseksi. Päällekkäisyyksien välttämisesti toimivaltaisen viranomaisen olisi voitava vastaavasti todeta, että kriittisen toimijan olemassa olevat häiriönsietokykyä turvaavat toimenpiteet, joissa käsitellään sen teknisiä, turvallisuus- ja organisatorisia velvoitteita, ovat kokonaan tai osittain tämän direktiivin vaatimusten mukaisia.

| (31) | Euroopan parlamentin ja neuvoston asetuksissa (EY) N:o 725/2004 (14) ja (EY) N:o 300/2008 (15) sekä Euroopan parlamentin ja neuvoston direktiivissä 2005/65/EY (16) vahvistetaan ilmailun ja merikuljetusten toimialojen toimijoihin sovellettavat vaatimukset ehkäistä laittomien tekojen aiheuttamat välikohtaukset ja torjua ja hillitä tällaisten välikohtausten aiheuttamia seurauksia. Vaikka tämän direktiivin nojalla edellytetyt toimenpiteet ovat riskien ja toteutettavien toimenpiteiden suhteen laaja-alaisempia, näiden toimialojen kriittisten toimijoiden häiriönsietokykyä koskevan suunnitelman tai vastaavien asiakirjojen olisi vastattava näiden unionin muiden säädösten mukaisesti toteutettuja toimenpiteitä. Kriittisten toimijoiden olisi myös otettava huomioon Euroopan parlamentin ja neuvoston direktiivi 2008/96/EY (17), jolla otetaan käyttöön verkon laajuinen tieturvallisuusarviointi onnettomuusriskien kartoittamiseksi ja kohdennettu tieturvallisuustarkastus, jonka tarkoituksena on tunnistaa vaaralliset olosuhteet, puutteet ja ongelmat, jotka lisäävät onnettomuuksien ja vammautumisen riskiä, olemassa oleville tielle tai tieosuuksille maastossa tehtävien tarkastusten perusteella. Kriittisten toimijoiden suojelun ja häiriönsietokyvyn takaaminen on erittäin tärkeää rautatiealalle, ja kun häiriönsietokykyä parantavia toimenpiteitä toteutetaan tämän direktiivin nojalla, kriittisiä toimijoita kannustetaan ottamaan huomioon toimialakohtaisissa toimintalinjoissa, kuten komission päätöksellä 2018/C 232/03 (18) perustetussa EU:n rautateiden henkilöliikenteen turvallisuusfoorumissa, laaditut ei-sitovat suuntaviivat ja hyviä käytäntöjä koskevat asiakirjat. |
| --- | --- |

(31)

Euroopan parlamentin ja neuvoston asetuksissa (EY) N:o 725/2004 (14) ja (EY) N:o 300/2008 (15) sekä Euroopan parlamentin ja neuvoston direktiivissä 2005/65/EY (16) vahvistetaan ilmailun ja merikuljetusten toimialojen toimijoihin sovellettavat vaatimukset ehkäistä laittomien tekojen aiheuttamat välikohtaukset ja torjua ja hillitä tällaisten välikohtausten aiheuttamia seurauksia. Vaikka tämän direktiivin nojalla edellytetyt toimenpiteet ovat riskien ja toteutettavien toimenpiteiden suhteen laaja-alaisempia, näiden toimialojen kriittisten toimijoiden häiriönsietokykyä koskevan suunnitelman tai vastaavien asiakirjojen olisi vastattava näiden unionin muiden säädösten mukaisesti toteutettuja toimenpiteitä. Kriittisten toimijoiden olisi myös otettava huomioon Euroopan parlamentin ja neuvoston direktiivi 2008/96/EY (17), jolla otetaan käyttöön verkon laajuinen tieturvallisuusarviointi onnettomuusriskien kartoittamiseksi ja kohdennettu tieturvallisuustarkastus, jonka tarkoituksena on tunnistaa vaaralliset olosuhteet, puutteet ja ongelmat, jotka lisäävät onnettomuuksien ja vammautumisen riskiä, olemassa oleville tielle tai tieosuuksille maastossa tehtävien tarkastusten perusteella. Kriittisten toimijoiden suojelun ja häiriönsietokyvyn takaaminen on erittäin tärkeää rautatiealalle, ja kun häiriönsietokykyä parantavia toimenpiteitä toteutetaan tämän direktiivin nojalla, kriittisiä toimijoita kannustetaan ottamaan huomioon toimialakohtaisissa toimintalinjoissa, kuten komission päätöksellä 2018/C 232/03 (18) perustetussa EU:n rautateiden henkilöliikenteen turvallisuusfoorumissa, laaditut ei-sitovat suuntaviivat ja hyviä käytäntöjä koskevat asiakirjat.

| (32) | Riski siitä, että kriittisten toimijoiden työntekijät tai niiden alihankkijat esimerkiksi käyttävät käyttöoikeuksiaan kriittisen toimijan organisaatiossa väärin aiheuttaakseen haittaa tai vahinkoa, on yhä suurempi ongelma. Jäsenvaltioiden olisi sen vuoksi täsmennettävä edellytykset, joiden mukaisesti kriittiset toimijat voivat asianmukaisesti perustelluissa tapauksissa ja ottaen huomioon jäsenvaltioiden riskinarvioinnit esittää tiettyihin henkilöstönsä ryhmiin kuuluvien henkilöiden taustan tarkistusta koskevia pyyntöjä. Olisi varmistettava, että asiaankuuluvat viranomaiset arvioivat nämä pyynnöt kohtuullisen ajan kuluessa ja että ne käsitellään kansallisen lainsäädännön ja kansallisten menettelyjen sekä asianmukaisen ja soveltuvan unionin oikeuden, mukaan lukien henkilötietojen suojaa koskevan lainsäädännön, mukaisesti. Jotta taustan tarkistuksen kohteena olevan henkilön henkilöllisyys voidaan vahvistaa, jäsenvaltioiden on aiheellista vaatia sovellettavan lainsäädännön mukaisesti henkilötodistusta, kuten passia, kansallista henkilökorttia tai digitaalisia tunnistusmuotoja.
  Tällaiseen taustan tarkistukseen olisi kuuluttava asianomaisen henkilön rikosrekisteritietojen tarkistaminen. Jäsenvaltioiden olisi käytettävä eurooppalaista rikosrekisteritietojärjestelmää neuvoston puitepäätöksessä 2009/315/YOS (19) ja tarvittaessa ja soveltuvin osin Euroopan parlamentin ja neuvoston asetuksessa (EU) 2019/816 (20) määritettyjen menettelyjen mukaisesti, jotta ne voivat saada tietoja muiden jäsenvaltioiden pitämistä rikosrekistereistä. Jäsenvaltiot voisivat myös tarvittaessa ja soveltuvin osin hyödyntää Euroopan parlamentin ja neuvoston asetuksella (EU) 2018/1862 (21) perustettua toisen sukupolven Schengenin tietojärjestelmää (SIS II), tiedustelutietoja sekä muita saatavilla olevia objektiivisia tietoja, jotka voivat olla tarpeen määritettäessä, onko asianomainen henkilö sopiva työskentelemään tehtävässä, jonka osalta kriittinen toimija on pyytänyt taustan tarkistusta. |
| --- | --- |

(32)

Riski siitä, että kriittisten toimijoiden työntekijät tai niiden alihankkijat esimerkiksi käyttävät käyttöoikeuksiaan kriittisen toimijan organisaatiossa väärin aiheuttaakseen haittaa tai vahinkoa, on yhä suurempi ongelma. Jäsenvaltioiden olisi sen vuoksi täsmennettävä edellytykset, joiden mukaisesti kriittiset toimijat voivat asianmukaisesti perustelluissa tapauksissa ja ottaen huomioon jäsenvaltioiden riskinarvioinnit esittää tiettyihin henkilöstönsä ryhmiin kuuluvien henkilöiden taustan tarkistusta koskevia pyyntöjä. Olisi varmistettava, että asiaankuuluvat viranomaiset arvioivat nämä pyynnöt kohtuullisen ajan kuluessa ja että ne käsitellään kansallisen lainsäädännön ja kansallisten menettelyjen sekä asianmukaisen ja soveltuvan unionin oikeuden, mukaan lukien henkilötietojen suojaa koskevan lainsäädännön, mukaisesti. Jotta taustan tarkistuksen kohteena olevan henkilön henkilöllisyys voidaan vahvistaa, jäsenvaltioiden on aiheellista vaatia sovellettavan lainsäädännön mukaisesti henkilötodistusta, kuten passia, kansallista henkilökorttia tai digitaalisia tunnistusmuotoja.

Tällaiseen taustan tarkistukseen olisi kuuluttava asianomaisen henkilön rikosrekisteritietojen tarkistaminen. Jäsenvaltioiden olisi käytettävä eurooppalaista rikosrekisteritietojärjestelmää neuvoston puitepäätöksessä 2009/315/YOS (19) ja tarvittaessa ja soveltuvin osin Euroopan parlamentin ja neuvoston asetuksessa (EU) 2019/816 (20) määritettyjen menettelyjen mukaisesti, jotta ne voivat saada tietoja muiden jäsenvaltioiden pitämistä rikosrekistereistä. Jäsenvaltiot voisivat myös tarvittaessa ja soveltuvin osin hyödyntää Euroopan parlamentin ja neuvoston asetuksella (EU) 2018/1862 (21) perustettua toisen sukupolven Schengenin tietojärjestelmää (SIS II), tiedustelutietoja sekä muita saatavilla olevia objektiivisia tietoja, jotka voivat olla tarpeen määritettäessä, onko asianomainen henkilö sopiva työskentelemään tehtävässä, jonka osalta kriittinen toimija on pyytänyt taustan tarkistusta.

| (33) | Olisi perustettava mekanismi tiettyjen poikkeamien ilmoittamista varten, jotta toimivaltaiset viranomaiset voivat reagoida niihin nopeasti ja asianmukaisesti ja jotta voidaan saada kattava yleiskuva kriittisiin toimijoihin kohdistuvien poikkeamien vaikutuksista, luonteesta, syistä ja mahdollisista seurauksista. Kriittisten toimijoiden olisi ilman aiheetonta viivytystä ilmoitettava toimivaltaisille viranomaisille poikkeamista, jotka merkittävästi häiritsevät tai voisivat merkittävästi häiritä keskeisten palvelujen tarjoamista. Kriittisten toimijoiden olisi lähetettävä ensimmäinen ilmoitus viimeistään 24 tunnin kuluttua poikkeaman havaitsemisesta, paitsi jos se on käytännössä mahdotonta. Ensimmäisen ilmoituksen olisi sisällettävä ainoastaan ne tiedot, jotka ovat ehdottoman välttämättömiä, jotta toimivaltainen viranomainen saa tiedon poikkeamasta ja kyseinen kriittinen toimija voi tarvittaessa pyytää apua. Ilmoituksessa olisi mahdollisuuksien mukaan ilmoitettava poikkeaman oletettu syy. Jäsenvaltioiden olisi varmistettava, että vaatimus tämän ensimmäisen ilmoituksen toimittamisesta ei vie kriittisen toimijan resursseja pois poikkeamien käsittelyyn liittyvistä toimista, jotka olisi asetettava etusijalle. Ensimmäistä ilmoitusta olisi tarvittaessa seurattava yksityiskohtainen raportti viimeistään kuukauden kuluttua poikkeamasta. Yksityiskohtaisen raportin olisi täydennettävä ensimmäistä ilmoitusta ja annettava kattavampi yleiskuva poikkeamasta. |
| --- | --- |

(33)

Olisi perustettava mekanismi tiettyjen poikkeamien ilmoittamista varten, jotta toimivaltaiset viranomaiset voivat reagoida niihin nopeasti ja asianmukaisesti ja jotta voidaan saada kattava yleiskuva kriittisiin toimijoihin kohdistuvien poikkeamien vaikutuksista, luonteesta, syistä ja mahdollisista seurauksista. Kriittisten toimijoiden olisi ilman aiheetonta viivytystä ilmoitettava toimivaltaisille viranomaisille poikkeamista, jotka merkittävästi häiritsevät tai voisivat merkittävästi häiritä keskeisten palvelujen tarjoamista. Kriittisten toimijoiden olisi lähetettävä ensimmäinen ilmoitus viimeistään 24 tunnin kuluttua poikkeaman havaitsemisesta, paitsi jos se on käytännössä mahdotonta. Ensimmäisen ilmoituksen olisi sisällettävä ainoastaan ne tiedot, jotka ovat ehdottoman välttämättömiä, jotta toimivaltainen viranomainen saa tiedon poikkeamasta ja kyseinen kriittinen toimija voi tarvittaessa pyytää apua. Ilmoituksessa olisi mahdollisuuksien mukaan ilmoitettava poikkeaman oletettu syy. Jäsenvaltioiden olisi varmistettava, että vaatimus tämän ensimmäisen ilmoituksen toimittamisesta ei vie kriittisen toimijan resursseja pois poikkeamien käsittelyyn liittyvistä toimista, jotka olisi asetettava etusijalle. Ensimmäistä ilmoitusta olisi tarvittaessa seurattava yksityiskohtainen raportti viimeistään kuukauden kuluttua poikkeamasta. Yksityiskohtaisen raportin olisi täydennettävä ensimmäistä ilmoitusta ja annettava kattavampi yleiskuva poikkeamasta.

| (34) | Standardoinnin olisi jatkossakin oltava pääasiassa markkinalähtöistä. Joissakin tilanteissa saattaa kuitenkin vielä olla asianmukaista edellyttää erityisten standardien noudattamista. Jäsenvaltioiden olisi myös tarpeen mukaan edistettävä sellaisten eurooppalaisten ja kansainvälisten standardien ja teknisten eritelmien käyttöä, jotka ovat olennaisia kriittisiin toimijoihin sovellettavien turvallisuutta ja häiriönsietokykyä parantavien toimenpiteiden kannalta. |
| --- | --- |

(34)

Standardoinnin olisi jatkossakin oltava pääasiassa markkinalähtöistä. Joissakin tilanteissa saattaa kuitenkin vielä olla asianmukaista edellyttää erityisten standardien noudattamista. Jäsenvaltioiden olisi myös tarpeen mukaan edistettävä sellaisten eurooppalaisten ja kansainvälisten standardien ja teknisten eritelmien käyttöä, jotka ovat olennaisia kriittisiin toimijoihin sovellettavien turvallisuutta ja häiriönsietokykyä parantavien toimenpiteiden kannalta.

| (35) | Yleisesti ottaen kriittiset toimijat toimivat alati tiivistyvässä palveluntarjonnan ja infrastruktuurin verkostossa ja tarjoavat usein keskeisiä palveluja useammassa kuin yhdessä jäsenvaltiossa. Joidenkin kriittisten toimijoiden merkitys unionille ja sen sisämarkkinoille on kuitenkin erityisen suuri, koska ne tarjoavat keskeisiä palveluja vähintään kuudelle jäsenvaltiolle tai vähintään kuudessa jäsenvaltiossa, ja siksi ne voisivat hyötyä erityisestä tuesta unionin tasolla. Sen vuoksi olisi vahvistettava säännöt, jotka koskevat Euroopan kannalta erityisen merkittäville kriittisille toimijoille toteutettavia neuvontaoperaatioita. Kyseiset säännöt eivät kuitenkaan rajoita tässä direktiivissä esitettyjä valvonta- ja täytäntöönpanosäännöksiä. |
| --- | --- |

(35)

Yleisesti ottaen kriittiset toimijat toimivat alati tiivistyvässä palveluntarjonnan ja infrastruktuurin verkostossa ja tarjoavat usein keskeisiä palveluja useammassa kuin yhdessä jäsenvaltiossa. Joidenkin kriittisten toimijoiden merkitys unionille ja sen sisämarkkinoille on kuitenkin erityisen suuri, koska ne tarjoavat keskeisiä palveluja vähintään kuudelle jäsenvaltiolle tai vähintään kuudessa jäsenvaltiossa, ja siksi ne voisivat hyötyä erityisestä tuesta unionin tasolla. Sen vuoksi olisi vahvistettava säännöt, jotka koskevat Euroopan kannalta erityisen merkittäville kriittisille toimijoille toteutettavia neuvontaoperaatioita. Kyseiset säännöt eivät kuitenkaan rajoita tässä direktiivissä esitettyjä valvonta- ja täytäntöönpanosäännöksiä.

| (36) | Jos tarvitaan lisätietoja, jotta voidaan neuvoa kriittiselle toimijalle, miten tämä voi noudattaa tämän direktiivin mukaisia velvoitteitaan, tai arvioida, miten hyvin Euroopan kannalta erityisen merkittävä kriittinen toimija noudattaa kyseisiä velvoitteita, kriittisen toimijan Euroopan kannalta erityisen merkittäväksi kriittiseksi toimijaksi määritelleen jäsenvaltion olisi annettava komissiolle tietyt tämän direktiivin mukaiset tiedot komission tai yhden tai useamman jäsenvaltion perustellusta pyynnöstä, joille tai joissa keskeistä palvelua tarjotaan. Komission olisi kriittisen toimijan Euroopan kannalta erityisen merkitykselliseksi kriittiseksi toimijaksi määritelleen jäsenvaltion kanssa yhteisymmärryksessä voitava järjestää neuvontaoperaatio kyseisen toimijan toteuttamien toimenpiteiden arvioimiseksi. Jotta voidaan varmistaa tällaisten neuvontaoperaatioiden asianmukainen toteuttaminen, olisi vahvistettava täydentävät säännöt erityisesti neuvontaoperaatioiden järjestämisestä ja toteutettavista seurantatoimista ja asianomaisia Euroopan kannalta erityisen merkittäviä kriittisiä toimijoita koskevista velvoitteista. Neuvontaoperaatioiden toteutuksessa olisi noudatettava kyseisen jäsenvaltion yksityiskohtaisia oikeusnormeja, jotka koskevat esimerkiksi ehtoja pääsyoikeuden saamiseksi kyseessä oleviin tiloihin tai asiakirjoihin, sekä oikeussuojakeinoja, sanotun kuitenkaan rajoittamatta sen jäsenvaltion, jossa neuvontaoperaatio toteutetaan, ja asianomaisen kriittisen toimijan velvollisuutta noudattaa tässä direktiivissä säädettyjä säännöksiä. Tällaisten neuvontaoperaatioiden edellyttämää erityisasiantuntemusta voidaan tarvittaessa pyytää Euroopan parlamentin ja neuvoston päätöksellä N:o 1313/2013/EU (22) perustetun hätäavun koordinointikeskuksen kautta. |
| --- | --- |

(36)

Jos tarvitaan lisätietoja, jotta voidaan neuvoa kriittiselle toimijalle, miten tämä voi noudattaa tämän direktiivin mukaisia velvoitteitaan, tai arvioida, miten hyvin Euroopan kannalta erityisen merkittävä kriittinen toimija noudattaa kyseisiä velvoitteita, kriittisen toimijan Euroopan kannalta erityisen merkittäväksi kriittiseksi toimijaksi määritelleen jäsenvaltion olisi annettava komissiolle tietyt tämän direktiivin mukaiset tiedot komission tai yhden tai useamman jäsenvaltion perustellusta pyynnöstä, joille tai joissa keskeistä palvelua tarjotaan. Komission olisi kriittisen toimijan Euroopan kannalta erityisen merkitykselliseksi kriittiseksi toimijaksi määritelleen jäsenvaltion kanssa yhteisymmärryksessä voitava järjestää neuvontaoperaatio kyseisen toimijan toteuttamien toimenpiteiden arvioimiseksi. Jotta voidaan varmistaa tällaisten neuvontaoperaatioiden asianmukainen toteuttaminen, olisi vahvistettava täydentävät säännöt erityisesti neuvontaoperaatioiden järjestämisestä ja toteutettavista seurantatoimista ja asianomaisia Euroopan kannalta erityisen merkittäviä kriittisiä toimijoita koskevista velvoitteista. Neuvontaoperaatioiden toteutuksessa olisi noudatettava kyseisen jäsenvaltion yksityiskohtaisia oikeusnormeja, jotka koskevat esimerkiksi ehtoja pääsyoikeuden saamiseksi kyseessä oleviin tiloihin tai asiakirjoihin, sekä oikeussuojakeinoja, sanotun kuitenkaan rajoittamatta sen jäsenvaltion, jossa neuvontaoperaatio toteutetaan, ja asianomaisen kriittisen toimijan velvollisuutta noudattaa tässä direktiivissä säädettyjä säännöksiä. Tällaisten neuvontaoperaatioiden edellyttämää erityisasiantuntemusta voidaan tarvittaessa pyytää Euroopan parlamentin ja neuvoston päätöksellä N:o 1313/2013/EU (22) perustetun hätäavun koordinointikeskuksen kautta.

| (37) | Komission tukemiseksi sekä jäsenvaltioiden välisen yhteistyön ja tähän direktiiviin liittyviä seikkoja koskevan tietojenvaihdon, myös parhaiden käytäntöjen jakamisen, helpottamiseksi olisi perustettava kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä komission asiantuntijaryhmänä. Jäsenvaltioiden olisi pyrittävä varmistamaan toimivaltaisten viranomaistensa nimettyjen edustajien tuloksellinen ja tehokas yhteistyö kriittisten toimijoiden häiriönsietokykyä käsittelevässä ryhmässä, myös nimeämällä edustajia, joilla on turvallisuusselvitys, silloin kun se on tarpeen. Kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän olisi aloitettava tehtävässään niin pian kuin mahdollista voidakseen tarjota lisäkeinoja asianmukaisen yhteistyön toteuttamiseksi saatettaessa tämä direktiivi osaksi kansallista lainsäädäntöä asetetun määräajan kuluessa. Kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän olisi toimittava vuorovaikutuksessa muiden asiaankuuluvien alakohtaisten asiantuntijatyöryhmien kanssa. |
| --- | --- |

(37)

Komission tukemiseksi sekä jäsenvaltioiden välisen yhteistyön ja tähän direktiiviin liittyviä seikkoja koskevan tietojenvaihdon, myös parhaiden käytäntöjen jakamisen, helpottamiseksi olisi perustettava kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä komission asiantuntijaryhmänä. Jäsenvaltioiden olisi pyrittävä varmistamaan toimivaltaisten viranomaistensa nimettyjen edustajien tuloksellinen ja tehokas yhteistyö kriittisten toimijoiden häiriönsietokykyä käsittelevässä ryhmässä, myös nimeämällä edustajia, joilla on turvallisuusselvitys, silloin kun se on tarpeen. Kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän olisi aloitettava tehtävässään niin pian kuin mahdollista voidakseen tarjota lisäkeinoja asianmukaisen yhteistyön toteuttamiseksi saatettaessa tämä direktiivi osaksi kansallista lainsäädäntöä asetetun määräajan kuluessa. Kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän olisi toimittava vuorovaikutuksessa muiden asiaankuuluvien alakohtaisten asiantuntijatyöryhmien kanssa.

| (38) | Kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän olisi tehtävä yhteistyötä direktiivillä (EU) 2022/2555 perustetun yhteistyöryhmän kanssa, jotta voidaan tukea kriittisten toimijoiden kyberuhkien sekä muiden kuin kyberuhkien sietokykyä koskevaa kattavaa kehystä. Kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän ja direktiivillä (EU) 2022/2555 perustetun yhteistyöryhmän olisi käytävä säännöllistä vuoropuhelua tämän direktiivin mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten välisen yhteistyön edistämiseksi ja tietojenvaihdon helpottamiseksi erityisesti molempien ryhmien kannalta merkityksellisistä aiheista. |
| --- | --- |

(38)

Kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän olisi tehtävä yhteistyötä direktiivillä (EU) 2022/2555 perustetun yhteistyöryhmän kanssa, jotta voidaan tukea kriittisten toimijoiden kyberuhkien sekä muiden kuin kyberuhkien sietokykyä koskevaa kattavaa kehystä. Kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän ja direktiivillä (EU) 2022/2555 perustetun yhteistyöryhmän olisi käytävä säännöllistä vuoropuhelua tämän direktiivin mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten välisen yhteistyön edistämiseksi ja tietojenvaihdon helpottamiseksi erityisesti molempien ryhmien kannalta merkityksellisistä aiheista.

| (39) | Tämän direktiivin tavoitteiden saavuttamiseksi ja rajoittamatta jäsenvaltioiden ja kriittisten toimijoiden oikeudellista vastuuta varmistaa siinä säädettyjen velvoitteidensa noudattaminen komission olisi tuettava toimivaltaisia viranomaisia ja kriittisiä toimijoita tavoitteena velvoitteidensa noudattamista helpottavat tukitoimet, jos se pitää sitä tarpeellisena. Tukiessaan jäsenvaltioita ja kriittisiä toimijoita tämän direktiivin mukaisten velvoitteiden täytäntöönpanossa komission olisi käytettävä olemassa olevia, esimerkiksi päätöksellä N:o 1313/2013/EU perustetun unionin pelastuspalvelumekanismin ja kriittisen infrastruktuurin turvaamista käsittelevän eurooppalaisen osaamisverkoston rakenteita ja välineitä. Lisäksi sen olisi ilmoitettava jäsenvaltioille unionin tasolla esimerkiksi Euroopan parlamentin ja neuvoston asetuksella (EU) 2021/1149 (23) perustetun sisäisen turvallisuuden rahaston, Euroopan parlamentin ja neuvoston asetuksella (EU) 2021/695 (24) perustetun Horisontti Eurooppa -ohjelman tai muiden kriittisten toimijoiden häiriönsietokyvyn kannalta merkityksellisten välineiden puitteissa saatavilla olevista resursseista. |
| --- | --- |

(39)

Tämän direktiivin tavoitteiden saavuttamiseksi ja rajoittamatta jäsenvaltioiden ja kriittisten toimijoiden oikeudellista vastuuta varmistaa siinä säädettyjen velvoitteidensa noudattaminen komission olisi tuettava toimivaltaisia viranomaisia ja kriittisiä toimijoita tavoitteena velvoitteidensa noudattamista helpottavat tukitoimet, jos se pitää sitä tarpeellisena. Tukiessaan jäsenvaltioita ja kriittisiä toimijoita tämän direktiivin mukaisten velvoitteiden täytäntöönpanossa komission olisi käytettävä olemassa olevia, esimerkiksi päätöksellä N:o 1313/2013/EU perustetun unionin pelastuspalvelumekanismin ja kriittisen infrastruktuurin turvaamista käsittelevän eurooppalaisen osaamisverkoston rakenteita ja välineitä. Lisäksi sen olisi ilmoitettava jäsenvaltioille unionin tasolla esimerkiksi Euroopan parlamentin ja neuvoston asetuksella (EU) 2021/1149 (23) perustetun sisäisen turvallisuuden rahaston, Euroopan parlamentin ja neuvoston asetuksella (EU) 2021/695 (24) perustetun Horisontti Eurooppa -ohjelman tai muiden kriittisten toimijoiden häiriönsietokyvyn kannalta merkityksellisten välineiden puitteissa saatavilla olevista resursseista.

| (40) | Jäsenvaltioiden olisi varmistettava, että niiden toimivaltaisilla viranomaisilla on tämän direktiivin asianmukaista soveltamista ja täytäntöönpanoa varten tietyt toimivaltuudet suhteessa kriittisiin toimijoihin, jotka tämän direktiivin mukaisesti kuuluvat niiden lainkäyttövaltaan. Näiden toimivaltuuksien olisi sisällettävä erityisesti oikeus suorittaa tutkimuksia ja toteuttaa auditointeja, oikeus valvoa ja tehdä tarkastuksia, oikeus vaatia kriittisiä toimijoita toimittamaan tiedot ja todisteet toteuttamistaan toimenpiteistä velvoitteidensa täyttämiseksi ja tarvittaessa oikeus antaa määräys havaittujen rikkomisten korjaamiseksi. Antaessaan tällaisia määräyksiä jäsenvaltio ei saisi edellyttää sellaisia toimenpiteitä, jotka ylittävät asianomaisen kriittisen toimijan säännösten noudattamisen varmistamiseksi tarpeellisen ja oikeasuhtaisen tason, rikkomisen vakavuus ja asianomaisen kriittisen toimijan taloudelliset valmiudet erityisesti huomioon ottaen. Toimivaltuuksiin olisi liityttävä kansallisessa lainsäädännössä määritettävät asianmukaiset ja tehokkaat suojatoimet Euroopan unionin perusoikeuskirjan mukaisesti. Arvioidessaan, onko kriittinen toimija noudattanut tämän direktiivin mukaisia velvoitteitaan, tämän direktiivin mukaisten toimivaltaisten viranomaisten olisi voitava pyytää direktiivin (EU) 2022/2555 mukaisia toimivaltaisia viranomaisia käyttämään valvonta- ja täytäntöönpanovaltuuksiaan kyseisen direktiivin mukaisesti toimijaan, joka on tämän direktiivin nojalla määritetty kriittiseksi toimijaksi. Tämän direktiivin nojalla toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 nojalla toimivaltaisten viranomaisten olisi tehtävä asiassa yhteistyötä ja vaihdettava tietoja. |
| --- | --- |

(40)

Jäsenvaltioiden olisi varmistettava, että niiden toimivaltaisilla viranomaisilla on tämän direktiivin asianmukaista soveltamista ja täytäntöönpanoa varten tietyt toimivaltuudet suhteessa kriittisiin toimijoihin, jotka tämän direktiivin mukaisesti kuuluvat niiden lainkäyttövaltaan. Näiden toimivaltuuksien olisi sisällettävä erityisesti oikeus suorittaa tutkimuksia ja toteuttaa auditointeja, oikeus valvoa ja tehdä tarkastuksia, oikeus vaatia kriittisiä toimijoita toimittamaan tiedot ja todisteet toteuttamistaan toimenpiteistä velvoitteidensa täyttämiseksi ja tarvittaessa oikeus antaa määräys havaittujen rikkomisten korjaamiseksi. Antaessaan tällaisia määräyksiä jäsenvaltio ei saisi edellyttää sellaisia toimenpiteitä, jotka ylittävät asianomaisen kriittisen toimijan säännösten noudattamisen varmistamiseksi tarpeellisen ja oikeasuhtaisen tason, rikkomisen vakavuus ja asianomaisen kriittisen toimijan taloudelliset valmiudet erityisesti huomioon ottaen. Toimivaltuuksiin olisi liityttävä kansallisessa lainsäädännössä määritettävät asianmukaiset ja tehokkaat suojatoimet Euroopan unionin perusoikeuskirjan mukaisesti. Arvioidessaan, onko kriittinen toimija noudattanut tämän direktiivin mukaisia velvoitteitaan, tämän direktiivin mukaisten toimivaltaisten viranomaisten olisi voitava pyytää direktiivin (EU) 2022/2555 mukaisia toimivaltaisia viranomaisia käyttämään valvonta- ja täytäntöönpanovaltuuksiaan kyseisen direktiivin mukaisesti toimijaan, joka on tämän direktiivin nojalla määritetty kriittiseksi toimijaksi. Tämän direktiivin nojalla toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 nojalla toimivaltaisten viranomaisten olisi tehtävä asiassa yhteistyötä ja vaihdettava tietoja.

| (41) | Jotta tätä direktiiviä voidaan soveltaa tehokkaasti ja johdonmukaisesti, komissiolle olisi siirrettävä valta hyväksyä SEUT 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, joilla täydennetään tätä direktiiviä laatimalla luettelo keskeisistä palveluista. Toimivaltaisten viranomaisten olisi käytettävä kyseistä luetteloa jäsenvaltioiden riskinarviointien tekemiseen ja kriittisten toimijoiden määrittämiseen. Tässä direktiivissä säädetään vähimmäistason yhdenmukaistamisesta, joten kyseinen luettelo ei ole tyhjentävä, ja jäsenvaltiot voisivat täydentää sitä kansallisen tason keskeisillä lisäpalveluilla, jotta keskeisten palvelujen tarjonnassa voidaan ottaa huomioon kansalliset erityispiirteet. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa (25) vahvistettujen periaatteiden mukaisesti. Jotta voitaisiin erityisesti varmistaa tasavertainen osallistuminen delegoitujen säädösten valmisteluun, Euroopan parlamentille ja neuvostolle toimitetaan kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, ja Euroopan parlamentin ja neuvoston asiantuntijoilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, joissa valmistellaan delegoituja säädöksiä. |
| --- | --- |

(41)

Jotta tätä direktiiviä voidaan soveltaa tehokkaasti ja johdonmukaisesti, komissiolle olisi siirrettävä valta hyväksyä SEUT 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, joilla täydennetään tätä direktiiviä laatimalla luettelo keskeisistä palveluista. Toimivaltaisten viranomaisten olisi käytettävä kyseistä luetteloa jäsenvaltioiden riskinarviointien tekemiseen ja kriittisten toimijoiden määrittämiseen. Tässä direktiivissä säädetään vähimmäistason yhdenmukaistamisesta, joten kyseinen luettelo ei ole tyhjentävä, ja jäsenvaltiot voisivat täydentää sitä kansallisen tason keskeisillä lisäpalveluilla, jotta keskeisten palvelujen tarjonnassa voidaan ottaa huomioon kansalliset erityispiirteet. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa (25) vahvistettujen periaatteiden mukaisesti. Jotta voitaisiin erityisesti varmistaa tasavertainen osallistuminen delegoitujen säädösten valmisteluun, Euroopan parlamentille ja neuvostolle toimitetaan kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, ja Euroopan parlamentin ja neuvoston asiantuntijoilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, joissa valmistellaan delegoituja säädöksiä.

| (42) | Jotta voidaan varmistaa tämän direktiivin yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (26) mukaisesti. |
| --- | --- |

(42)

Jotta voidaan varmistaa tämän direktiivin yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (26) mukaisesti.

| (43) | Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitteita eli turvata välttämättömien yhteiskunnan toimintojen tai taloudellisen toiminnan kannalta keskeisten palvelujen tarjoamista sisämarkkinoilla ja parantaa näitä palveluja tarjoavien kriittisten toimijoiden häiriönsietokykyä, vaan ne voidaan toiminnan vaikutuksen vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa 5 artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä direktiivissä ei ylitetä sitä, mikä on tarpeen näiden tavoitteiden saavuttamiseksi. |
| --- | --- |

(43)

Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitteita eli turvata välttämättömien yhteiskunnan toimintojen tai taloudellisen toiminnan kannalta keskeisten palvelujen tarjoamista sisämarkkinoilla ja parantaa näitä palveluja tarjoavien kriittisten toimijoiden häiriönsietokykyä, vaan ne voidaan toiminnan vaikutuksen vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa 5 artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä direktiivissä ei ylitetä sitä, mikä on tarpeen näiden tavoitteiden saavuttamiseksi.

| (44) | Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (27) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausunnon 11 päivänä elokuuta 2021. |
| --- | --- |

(44)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (27) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausunnon 11 päivänä elokuuta 2021.

| (45) | Direktiivi 2008/114/EY olisi sen vuoksi kumottava, |
| --- | --- |

(45)

Direktiivi 2008/114/EY olisi sen vuoksi kumottava,

OVAT HYVÄKSYNEET TÄMÄN DIREKTIIVIN:

I LUKU

YLEISET SÄÄNNÖKSET

1 artikla

Kohde ja soveltamisala

1.   Tällä direktiivillä

| a) | säädetään jäsenvaltioiden velvoitteista toteuttaa erityisiä toimenpiteitä, joilla varmistetaan SEUT 114 artiklan soveltamisalaan kuuluvien välttämättömien yhteiskunnan toimintojen tai taloudellisen toiminnan ylläpitämisen kannalta keskeisten palvelujen häiriötön tarjonta sisämarkkinoilla, ja erityisesti määrittää kriittiset toimijat sekä antaa niille tukea niiden velvoitteiden täyttämiseksi; |
| --- | --- |

a)

säädetään jäsenvaltioiden velvoitteista toteuttaa erityisiä toimenpiteitä, joilla varmistetaan SEUT 114 artiklan soveltamisalaan kuuluvien välttämättömien yhteiskunnan toimintojen tai taloudellisen toiminnan ylläpitämisen kannalta keskeisten palvelujen häiriötön tarjonta sisämarkkinoilla, ja erityisesti määrittää kriittiset toimijat sekä antaa niille tukea niiden velvoitteiden täyttämiseksi;

| b) | säädetään kriittisten toimijoiden velvoitteista, joiden tarkoituksena on parantaa niiden häiriönsietokykyä ja kykyä tarjota a alakohdassa tarkoitettuja palveluja sisämarkkinoilla; |
| --- | --- |

b)

säädetään kriittisten toimijoiden velvoitteista, joiden tarkoituksena on parantaa niiden häiriönsietokykyä ja kykyä tarjota a alakohdassa tarkoitettuja palveluja sisämarkkinoilla;

| c) | vahvistetaan säännöt, jotka koskevat






  i) | kriittisten toimijoiden valvontaa, |
| --- | --- | --- |

c)

vahvistetaan säännöt, jotka koskevat

i)

kriittisten toimijoiden valvontaa,

| ii) | täytäntöönpanon valvontaa; |
| --- | --- |

ii)

täytäntöönpanon valvontaa;

| iii) | Euroopan kannalta erityisen merkittävien kriittisten toimijoiden määrittämistä ja näille toteutettavia neuvontaoperaatioita, jotta arvioidaan toimenpiteitä, joita kyseiset toimijat ovat toteuttaneet täyttääkseen III luvun mukaiset velvoitteensa; |
| --- | --- |

iii)

Euroopan kannalta erityisen merkittävien kriittisten toimijoiden määrittämistä ja näille toteutettavia neuvontaoperaatioita, jotta arvioidaan toimenpiteitä, joita kyseiset toimijat ovat toteuttaneet täyttääkseen III luvun mukaiset velvoitteensa;

| d) | vahvistetaan yhteiset yhteistyö- ja raportointimenettelyt tämän direktiivin soveltamiseksi; |
| --- | --- |

d)

vahvistetaan yhteiset yhteistyö- ja raportointimenettelyt tämän direktiivin soveltamiseksi;

| e) | säädetään toimenpiteistä kriittisten toimijoiden korkeatasoisen häiriönsietokyvyn saavuttamiseksi, jotta keskeisten palvelujen tarjonta unionissa voidaan turvata ja parantaa sisämarkkinoiden toimintaa. |
| --- | --- |

e)

säädetään toimenpiteistä kriittisten toimijoiden korkeatasoisen häiriönsietokyvyn saavuttamiseksi, jotta keskeisten palvelujen tarjonta unionissa voidaan turvata ja parantaa sisämarkkinoiden toimintaa.

2.   Tätä direktiiviä ei sovelleta direktiivin (EU) 2022/2555 soveltamisalaan kuuluviin asioihin, sanotun kuitenkaan rajoittamatta tämän direktiivin 8 artiklan soveltamista. Kriittisten toimijoiden fyysisen turvallisuuden ja kyberturvallisuuden välisen yhteyden vuoksi jäsenvaltioiden on varmistettava, että tämä direktiivi ja direktiivi (EU) 2022/2555 pannaan täytäntöön yhteensovitetulla tavalla.

3.   Jos alakohtaisissa unionin säädöksissä edellytetään kriittisten toimijoiden toteuttavan toimenpiteitä häiriönsietokykynsä parantamiseksi ja jos jäsenvaltiot toteavat kyseiset vaatimukset vähintään tässä direktiivissä säädettyjä velvoitteita vastaaviksi, tämän direktiivin asiaa koskevia säännöksiä, myöskään VI luvussa olevia valvontaa ja täytäntöönpanon valvontaa koskevia säännöksiä, ei sovelleta.

4.   Tietoja, jotka katsotaan luottamuksellisiksi unionin tai kansallisten sääntöjen, kuten liikesalaisuuksia koskevien sääntöjen mukaisesti, saa vaihtaa komission ja muiden asianomaisten viranomaisten kanssa tämän direktiivin mukaisesti vain silloin, kun tällainen vaihtaminen on välttämätöntä tämän direktiivin soveltamiseksi, sanotun kuitenkaan rajoittamatta SEUT 346 artiklan soveltamista. Tietoja saa vaihtaa ainoastaan silloin, kun tiedot ovat merkityksellisiä ja oikeasuhteisia tällaisen vaihdon tarkoituksen kannalta. Tiedonvaihdossa on säilytettävä kyseisten tietojen luottamuksellisuus sekä kriittisten toimijoiden turvallisuusedut ja kaupalliset edut ottaen samalla huomioon jäsenvaltioiden turvallisuus.

5.   Tällä direktiivillä ei rajoiteta jäsenvaltioiden velvollisuutta turvata kansallinen turvallisuus ja puolustus eikä niiden valtuuksia suojata muita keskeisiä valtiolle kuuluvia tehtäviä, mukaan lukien valtion alueellisen koskemattomuuden turvaaminen ja yleisen järjestyksen ylläpitäminen.

6.   Tätä direktiiviä ei sovelleta julkishallinnon elimiin, jotka toimivat kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan alalla, mukaan lukien rikosten tutkinta, selvittäminen ja syytteeseenpano.

7.   Jäsenvaltiot voivat päättää, että 11 artiklan ja III, IV ja VI luvun säännöksiä ei sovelleta lainkaan tai kaikilta osin sellaisiin tiettyihin kriittisiin toimijoihin, jotka toimivat kansallisen turvallisuuden, yleisen turvallisuuden, puolustuksen tai lainvalvonnan alalla, muun muassa rikosten tutkintaan, selvittämiseen ja syytteeseenpanoon liittyvissä toimissa, tai jotka tarjoavat palveluja yksinomaan tämän artiklan 6 kohdassa tarkoitetuille julkishallinnon elimille.

8.   Tässä direktiivissä säädettyihin velvoitteisiin ei kuulu sellaisten tietojen toimittaminen, joiden ilmaiseminen olisi vastoin jäsenvaltion keskeisiä kansalliseen turvallisuuteen, yleiseen turvallisuuteen tai puolustukseen liittyviä etuja.

9.   Tämä direktiivi ei vaikuta henkilötietojen suojaa koskevan unionin lainsäädännön eikä etenkään Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (28) ja Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (29) soveltamiseen.

2 artikla

Määritelmät

Tässä direktiivissä tarkoitetaan:

| 1) | ’kriittisellä toimijalla’ julkista tai yksityistä yhteisöä, jonka jäsenvaltio on 6 artiklan mukaisesti määrittänyt kuuluvan johonkin liitteessä olevan taulukon kolmannessa sarakkeessa esitetyistä luokista; |
| --- | --- |

1)

’kriittisellä toimijalla’ julkista tai yksityistä yhteisöä, jonka jäsenvaltio on 6 artiklan mukaisesti määrittänyt kuuluvan johonkin liitteessä olevan taulukon kolmannessa sarakkeessa esitetyistä luokista;

| 2) | ’häiriönsietokyvyllä’ kriittisen toimijan kykyä ehkäistä, torjua ja lieventää poikkeamia, suojautua niiltä, vaimentaa niiden vaikutuksia, reagoida ja sopeutua niihin sekä palautua niistä; |
| --- | --- |

2)

’häiriönsietokyvyllä’ kriittisen toimijan kykyä ehkäistä, torjua ja lieventää poikkeamia, suojautua niiltä, vaimentaa niiden vaikutuksia, reagoida ja sopeutua niihin sekä palautua niistä;

| 3) | ’poikkeamalla’ tapahtumaa, joka voi merkittävästi häiritä tai joka häiritsee keskeisen palvelun tarjoamista, myös silloin, kun se vaikuttaa kansallisiin järjestelmiin, joilla ylläpidetään oikeusvaltiota; |
| --- | --- |

3)

’poikkeamalla’ tapahtumaa, joka voi merkittävästi häiritä tai joka häiritsee keskeisen palvelun tarjoamista, myös silloin, kun se vaikuttaa kansallisiin järjestelmiin, joilla ylläpidetään oikeusvaltiota;

| 4) | ’kriittisellä infrastruktuurilla’ hyödykettä, tilaa, laitteistoa, verkostoa tai järjestelmää tai osaa hyödykkeestä, tilasta, laitteistosta, verkostosta tai järjestelmästä, joka on välttämätön keskeisen palvelun tarjoamiseksi; |
| --- | --- |

4)

’kriittisellä infrastruktuurilla’ hyödykettä, tilaa, laitteistoa, verkostoa tai järjestelmää tai osaa hyödykkeestä, tilasta, laitteistosta, verkostosta tai järjestelmästä, joka on välttämätön keskeisen palvelun tarjoamiseksi;

| 5) | ’keskeisellä palvelulla’ palvelua, joka on olennainen välttämättömien yhteiskunnan toimintojen, taloudellisen toiminnan, kansanterveyden, yleisen turvallisuuden tai ympäristön ylläpitämiseksi; |
| --- | --- |

5)

’keskeisellä palvelulla’ palvelua, joka on olennainen välttämättömien yhteiskunnan toimintojen, taloudellisen toiminnan, kansanterveyden, yleisen turvallisuuden tai ympäristön ylläpitämiseksi;

| 6) | ’riskillä’ poikkeaman aiheuttaman menetyksen tai häiriön mahdollisuutta, joka ilmaistaan tällaisen menetyksen tai häiriön suuruuden ja kyseisen poikkeaman toteutumisen todennäköisyyden yhdistelmänä; |
| --- | --- |

6)

’riskillä’ poikkeaman aiheuttaman menetyksen tai häiriön mahdollisuutta, joka ilmaistaan tällaisen menetyksen tai häiriön suuruuden ja kyseisen poikkeaman toteutumisen todennäköisyyden yhdistelmänä;

| 7) | ’riskinarvioinnilla ’ kokonaisprosessia, jonka avulla määritetään riskin luonne ja laajuus tunnistamalla ja analysoimalla sellaiset mahdolliset asiaankuuluvat uhat, heikkoudet ja vaarat, jotka voivat johtaa poikkeamaan, ja arvioidaan mahdollinen kyseisen poikkeaman aiheuttama keskeisen palvelun tarjonnan menetys tai häiriytyminen. |
| --- | --- |

7)

’riskinarvioinnilla ’ kokonaisprosessia, jonka avulla määritetään riskin luonne ja laajuus tunnistamalla ja analysoimalla sellaiset mahdolliset asiaankuuluvat uhat, heikkoudet ja vaarat, jotka voivat johtaa poikkeamaan, ja arvioidaan mahdollinen kyseisen poikkeaman aiheuttama keskeisen palvelun tarjonnan menetys tai häiriytyminen.

| 8) | ’standardilla’ Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1025/2012 (30) 2 artiklan 1 alakohdassa määriteltyä standardia; |
| --- | --- |

8)

’standardilla’ Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1025/2012 (30) 2 artiklan 1 alakohdassa määriteltyä standardia;

30

| 9) | ’teknisellä eritelmällä’ asetuksen (EU) N:o 1025/2012 2 artiklan 4 alakohdassa määriteltyä teknistä eritelmää; |
| --- | --- |

9)

’teknisellä eritelmällä’ asetuksen (EU) N:o 1025/2012 2 artiklan 4 alakohdassa määriteltyä teknistä eritelmää;

| 10) | ’julkishallinnon toimijalla’ jäsenvaltiossa kansallisen lainsäädännön mukaisesti sellaiseksi tunnustettua toimijaa, lukuun ottamatta oikeuslaitosta, parlamentteja tai keskuspankkeja, ja joka täyttää seuraavat kriteerit:






  a) | se on perustettu tyydyttämään yleisen edun mukaisia tarpeita, eikä sillä ole teollista tai kaupallista luonnetta; |
| --- | --- | --- |

10)

’julkishallinnon toimijalla’ jäsenvaltiossa kansallisen lainsäädännön mukaisesti sellaiseksi tunnustettua toimijaa, lukuun ottamatta oikeuslaitosta, parlamentteja tai keskuspankkeja, ja joka täyttää seuraavat kriteerit:

a)

se on perustettu tyydyttämään yleisen edun mukaisia tarpeita, eikä sillä ole teollista tai kaupallista luonnetta;

| b) | se on oikeushenkilö tai sillä on lain nojalla oikeus toimia toisen sellaisen toimijan puolesta, joka on oikeushenkilö; |
| --- | --- |

b)

se on oikeushenkilö tai sillä on lain nojalla oikeus toimia toisen sellaisen toimijan puolesta, joka on oikeushenkilö;

| c) | sen rahoituksesta suurin osa on peräisin valtion viranomaisilta tai muilta keskustason julkisoikeudellisilta laitoksilta, sen johto on näiden viranomaisten tai laitosten valvonnan alainen, tai valtion viranomaiset tai muut keskustason julkisoikeudelliset laitokset nimittävät yli puolet sen hallinto-, johto- tai valvontaelimen jäsenistä; |
| --- | --- |

c)

sen rahoituksesta suurin osa on peräisin valtion viranomaisilta tai muilta keskustason julkisoikeudellisilta laitoksilta, sen johto on näiden viranomaisten tai laitosten valvonnan alainen, tai valtion viranomaiset tai muut keskustason julkisoikeudelliset laitokset nimittävät yli puolet sen hallinto-, johto- tai valvontaelimen jäsenistä;

| d) | sillä on valtuudet osoittaa luonnollisille henkilöille tai oikeushenkilöille hallinnollisia tai sääntelyyn liittyviä päätöksiä, jotka vaikuttavat näiden oikeuksiin liittyen henkilöiden, tavaroiden, palvelujen tai pääoman liikkuvuuteen rajojen yli. |
| --- | --- |

d)

sillä on valtuudet osoittaa luonnollisille henkilöille tai oikeushenkilöille hallinnollisia tai sääntelyyn liittyviä päätöksiä, jotka vaikuttavat näiden oikeuksiin liittyen henkilöiden, tavaroiden, palvelujen tai pääoman liikkuvuuteen rajojen yli.

3 artikla

Vähimmäistason yhdenmukaistaminen

Tämä direktiivi ei estä jäsenvaltioita hyväksymästä tai pitämästä voimassa kansallisen lainsäädännön säännöksiä, joiden tarkoituksena on saavuttaa korkeatasoisempi kriittisten toimijoiden häiriönsietokyky edellyttäen, että tällaiset säännökset ovat yhdenmukaisia unionin oikeuden mukaisten jäsenvaltioiden velvollisuuksien kanssa.

II LUKU

KRIITTISTEN TOIMIJOIDEN HÄIRIÖNSIETOKYKYÄ KOSKEVAT KANSALLISET KEHYKSET

4 artikla

Kriittisten toimijoiden häiriönsietokykyä koskeva strategia

1.   Kuulemisen jälkeen, joka on mahdollisuuksien mukaan avoin asianomaisille sidosryhmille, kunkin jäsenvaltion on hyväksyttävä viimeistään 17 päivänä tammikuuta 2026 strategia kriittisten toimijoiden häiriönsietokyvyn parantamiseksi, jäljempänä ’strategia’. Strategiassa on esitettävä strategiset tavoitteet ja poliittiset toimenpiteet, jotka perustuvat asiaankuuluviin olemassa oleviin kansallisiin ja alakohtaisiin strategioihin, suunnitelmiin tai samanlaisiin asiakirjoihin, kriittisten toimijoiden hyvän häiriönsietokyvyn saavuttamiseksi ja ylläpitämiseksi, ja sen on katettava vähintään liitteessä esitetyt toimialat.

2.   Jokaisen strategian on sisällettävä vähintään seuraavat seikat:

| a) | strategiset tavoitteet ja painopisteet kriittisten toimijoiden yleisen häiriönsietokyvyn parantamiseksi ottaen huomioon rajat ylittävät ja eri toimialojen riippuvuudet ja keskinäiset riippuvuussuhteet; |
| --- | --- |

a)

strategiset tavoitteet ja painopisteet kriittisten toimijoiden yleisen häiriönsietokyvyn parantamiseksi ottaen huomioon rajat ylittävät ja eri toimialojen riippuvuudet ja keskinäiset riippuvuussuhteet;

| b) | ohjauskehys strategisten tavoitteiden ja painopisteiden saavuttamiseksi, mukaan lukien kuvaus eri viranomaisten, kriittisten toimijoiden ja muiden strategian täytäntöönpanoon osallistuvien tahojen tehtävistä ja vastuista; |
| --- | --- |

b)

ohjauskehys strategisten tavoitteiden ja painopisteiden saavuttamiseksi, mukaan lukien kuvaus eri viranomaisten, kriittisten toimijoiden ja muiden strategian täytäntöönpanoon osallistuvien tahojen tehtävistä ja vastuista;

| c) | kuvaus kriittisten toimijoiden yleisen häiriönsietokyvyn parantamiseen tarvittavista toimenpiteistä, mukaan lukien kuvaus 5 artiklassa tarkoitetusta riskinarvioinnista; |
| --- | --- |

c)

kuvaus kriittisten toimijoiden yleisen häiriönsietokyvyn parantamiseen tarvittavista toimenpiteistä, mukaan lukien kuvaus 5 artiklassa tarkoitetusta riskinarvioinnista;

| d) | kuvaus prosessista, jolla kriittiset toimijat määritetään; |
| --- | --- |

d)

kuvaus prosessista, jolla kriittiset toimijat määritetään;

| e) | kuvaus kriittisiä toimijoita tukevasta prosessista tämän luvun mukaisesti, mukaan lukien toimenpiteet, joilla tehostetaan julkisen sektorin ja yksityisen sektorin sekä julkisten ja yksityisten toimijoiden välistä yhteistyötä; |
| --- | --- |

e)

kuvaus kriittisiä toimijoita tukevasta prosessista tämän luvun mukaisesti, mukaan lukien toimenpiteet, joilla tehostetaan julkisen sektorin ja yksityisen sektorin sekä julkisten ja yksityisten toimijoiden välistä yhteistyötä;

| f) | luettelo tärkeimmistä strategian täytäntöönpanoon osallistuvista viranomaisista ja sidosryhmistä, jotka eivät ole kriittisiä toimijoita; |
| --- | --- |

f)

luettelo tärkeimmistä strategian täytäntöönpanoon osallistuvista viranomaisista ja sidosryhmistä, jotka eivät ole kriittisiä toimijoita;

| g) | toimintapuitteet tämän direktiivin mukaisten toimivaltaisten viranomaisten, jäljempänä ’toimivaltaiset viranomaiset’, ja direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten väliselle koordinoinnille kyberturvallisuusriskejä, kyberuhkia ja kyberturvallisuuspoikkeamia sekä muita kuin kyberturvallisuusriskejä, kyberuhkia ja kyberturvallisuuspoikkeamia koskevaa tiedonvaihtoa ja valvontatehtävien suorittamista varten; |
| --- | --- |

g)

toimintapuitteet tämän direktiivin mukaisten toimivaltaisten viranomaisten, jäljempänä ’toimivaltaiset viranomaiset’, ja direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten väliselle koordinoinnille kyberturvallisuusriskejä, kyberuhkia ja kyberturvallisuuspoikkeamia sekä muita kuin kyberturvallisuusriskejä, kyberuhkia ja kyberturvallisuuspoikkeamia koskevaa tiedonvaihtoa ja valvontatehtävien suorittamista varten;

| h) | kuvaus jo käytössä olevista toimenpiteistä, joiden tarkoituksena on helpottaa komission suosituksen 2003/361/EY (31) liitteessä tarkoitettujen, kyseisen jäsenvaltion kriittisiksi toimijoiksi määrittämien pienten ja keskisuurten yritysten tämän direktiivin III luvun mukaisten velvoitteiden täytäntöönpanoa. |
| --- | --- |

h)

kuvaus jo käytössä olevista toimenpiteistä, joiden tarkoituksena on helpottaa komission suosituksen 2003/361/EY (31) liitteessä tarkoitettujen, kyseisen jäsenvaltion kriittisiksi toimijoiksi määrittämien pienten ja keskisuurten yritysten tämän direktiivin III luvun mukaisten velvoitteiden täytäntöönpanoa.

Asianomaisille sidosryhmille mahdollisuuksien mukaan avoimen kuulemisen jälkeen jäsenvaltioiden strategiat on päivitettävä vähintään neljän vuoden välein.

3.   Jäsenvaltioiden on toimitettava kansalliset strategiansa ja niiden merkittävät päivitykset komissiolle kolmen kuukauden kuluessa niiden hyväksymisestä.

5 artikla

Jäsenvaltioiden suorittama riskinarviointi

1.   Siirretään komissiolle valta antaa viimeistään 17 päivänä marraskuuta 2023 23 artiklan mukaisesti delegoitu säädös, jolla täydennetään tätä direktiiviä vahvistamalla ei-tyhjentävä luettelo keskeisistä palveluista liitteessä tarkoitetuilla toimialoilla ja alasektoreilla. Kyseistä keskeisten palvelujen luetteloa käyttävät toimivaltaiset viranomaiset, joiden on tehtävä riskiarviointi, jäljempänä ’jäsenvaltion riskinarviointi’, viimeistään 17 päivänä tammikuuta 2026 ja sen jälkeen tarvittaessa ja vähintään neljän vuoden välein. Toimivaltaisten viranomaisten on käytettävä jäsenvaltion riskinarviointeja kriittisten toimijoiden määrittämiseksi 6 artiklan mukaisesti ja näiden kriittisten toimijoiden avustamiseksi 13 artiklassa tarkoitettujen toimenpiteiden toteuttamisessa.

Jäsenvaltion riskinarvioinneissa on käsiteltävä merkityksellisiä luonnonriskejä ja ihmisen aiheuttamia riskejä, mukaan lukien useita toimialoja koskevat tai rajat ylittävät riskit, onnettomuudet, luonnonkatastrofit, kansanterveyteen kohdistuvat uhat sekä hybridiuhat tai muut vihamieliset uhat, mukaan lukien Euroopan parlamentin ja neuvoston direktiivissä (EU) 2017/541 tarkoitetut terrorismirikokset (32).

2.   Tehdessään jäsenvaltion riskinarviointeja jäsenvaltioiden on otettava huomioon vähintään seuraavat:

| a) | päätöksen N:o 1313/2013/EU 6 artiklan 1 kohdan mukaisesti tehtävä yleinen riskinarviointi; |
| --- | --- |

a)

päätöksen N:o 1313/2013/EU 6 artiklan 1 kohdan mukaisesti tehtävä yleinen riskinarviointi;

| b) | muut merkitykselliset riskinarvioinnit, jotka tehdään asiaankuuluvien alakohtaisten unionin säädösten, mukaan lukien Euroopan parlamentin ja neuvoston asetukset (EU) 2017/1938 (33) ja (EU) 2019/941 (34) sekä Euroopan parlamentin ja neuvoston direktiivit 2007/60/EY (35) ja 2012/18/EU (36), vaatimusten mukaisesti; |
| --- | --- |

b)

muut merkitykselliset riskinarvioinnit, jotka tehdään asiaankuuluvien alakohtaisten unionin säädösten, mukaan lukien Euroopan parlamentin ja neuvoston asetukset (EU) 2017/1938 (33) ja (EU) 2019/941 (34) sekä Euroopan parlamentin ja neuvoston direktiivit 2007/60/EY (35) ja 2012/18/EU (36), vaatimusten mukaisesti;

| c) | asiaankuuluvat riskit, jotka johtuvat siitä, missä määrin liitteessä tarkoitetut toimialat ovat riippuvaisia toisistaan, mukaan lukien se, missä määrin riippuvuudet johtuvat muissa jäsenvaltioissa ja kolmansissa maissa toimivista toimijoista, ja yhdellä toimialalla tapahtuvan merkittävän häiriön mahdolliset vaikutukset muihin toimialoihin, mukaan lukien kaikki kansalaisiin ja sisämarkkinoihin kohdistuvat riskit; |
| --- | --- |

c)

asiaankuuluvat riskit, jotka johtuvat siitä, missä määrin liitteessä tarkoitetut toimialat ovat riippuvaisia toisistaan, mukaan lukien se, missä määrin riippuvuudet johtuvat muissa jäsenvaltioissa ja kolmansissa maissa toimivista toimijoista, ja yhdellä toimialalla tapahtuvan merkittävän häiriön mahdolliset vaikutukset muihin toimialoihin, mukaan lukien kaikki kansalaisiin ja sisämarkkinoihin kohdistuvat riskit;

| d) | 15 artiklan mukaisesti ilmoitettuja poikkeamia koskevat tiedot. |
| --- | --- |

d)

15 artiklan mukaisesti ilmoitettuja poikkeamia koskevat tiedot.

Ensimmäisen alakohdan c alakohtaa sovellettaessa jäsenvaltioiden on tarvittaessa tehtävä yhteistyötä muiden jäsenvaltioiden toimivaltaisten viranomaisten ja kolmansien maiden toimivaltaisten viranomaisten kanssa.

3.   Jäsenvaltioiden on asetettava jäsenvaltion riskinarviointien olennaiset seikat 6 artiklan mukaisesti määrittämiensä kriittisten toimijoiden saataville, olennaisissa tapauksissa keskitettyjen yhteyspisteidensä kautta. Jäsenvaltioiden on varmistettava, että kriittisille toimijoille toimitetuilla tiedoilla avustetaan niitä 12 artiklassa tarkoitetun riskinarviointien tekemisessä ja niiden häiriönsietokyvyn varmistamiseen tarkoitettujen toimenpiteiden toteuttamisessa 13 artiklan mukaisesti.

4.   Kolmen kuukauden kuluessa jäsenvaltion riskinarvioinnin suorittamisesta jäsenvaltion on toimitettava komissiolle olennaiset tiedot kyseisen jäsenvaltion määritetyistä riskityypeistä ja jäsenvaltion riskinarviointien tuloksista kullakin liitteessä tarkoitetulla toimialalla ja alasektorilla.

5.   Komissio laatii yhteistyössä jäsenvaltioiden kanssa vapaaehtoisen yhteisen raportointimallin 4 kohdan noudattamiseksi.

6 artikla

Kriittisten toimijoiden määrittäminen

1.   Kunkin jäsenvaltioiden on määritettävä viimeistään 17 päivänä heinäkuuta 2026 kriittiset toimijat liitteessä tarkoitetuilla toimialoilla ja alasektoreilla.

2.   Määrittäessään 1 kohdassa tarkoitetut kriittiset toimijat jäsenvaltion on otettava huomioon sen jäsenvaltion riskinarvioinnin tulokset ja strategia ja sovellettava kaikkia seuraavia perusteita:

| a) | toimija tarjoaa yhtä tai useampaa keskeistä palvelua; |
| --- | --- |

a)

toimija tarjoaa yhtä tai useampaa keskeistä palvelua;

| b) | toimija toimii ja sen kriittinen infrastruktuuri sijaitsee kyseisen jäsenvaltion alueella; ja |
| --- | --- |

b)

toimija toimii ja sen kriittinen infrastruktuuri sijaitsee kyseisen jäsenvaltion alueella; ja

| c) | poikkeamalla olisi 7 artiklan 1 kohdassa määriteltyjä merkittäviä haitallisia vaikutuksia toimijan yhden tai useamman kyseisen keskeisen palvelun tarjoamiseen tai muiden keskeisten palvelujen tarjoamiseen liitteessä tarkoitetuilla kyseisestä palvelusta riippuvaisilla toimialoilla. |
| --- | --- |

c)

poikkeamalla olisi 7 artiklan 1 kohdassa määriteltyjä merkittäviä haitallisia vaikutuksia toimijan yhden tai useamman kyseisen keskeisen palvelun tarjoamiseen tai muiden keskeisten palvelujen tarjoamiseen liitteessä tarkoitetuilla kyseisestä palvelusta riippuvaisilla toimialoilla.

3.   Kunkin jäsenvaltion on laadittava 2 kohdan mukainen luettelo määritetyistä kriittisistä toimijoista ja varmistettava, että niille ilmoitetaan, että ne on määritetty kriittisiksi toimijoiksi, yhden kuukauden kuluessa määrittämisestä. Jäsenvaltioiden on ilmoitettava kyseisille kriittisille toimijoille niiden III ja IV luvun mukaiset velvoitteet ja päivämäärä, josta lukien niihin sovelletaan näitä säännöksiä, sanotun kuitenkaan rajoittamatta 8 artiklan soveltamista. Jäsenvaltioiden on ilmoitettava liitteessä olevan taulukon 3, 4 ja 8 kohdassa esitetyillä aloilla toimiville kriittisille toimijoille, että niillä ei ole III ja IV luvun mukaisia velvoitteita, ellei kansallisissa toimenpiteissä toisin määrää.

Asianomaisiin kriittisiin toimijoihin sovelletaan III lukua 10 kuukauden kuluttua tämän kohdan ensimmäisessä alakohdassa tarkoitetusta ilmoituspäivästä lukien.

4.   Jäsenvaltioiden on varmistettava, että niiden tämän direktiivin mukaiset toimivaltaiset viranomaiset ilmoittavat direktiivin (EU) 2022/2555 mukaisille toimivaltaisille viranomaisille jäsenvaltioiden tämän artiklan mukaisesti määrittämät kriittiset toimijat yhden kuukauden kuluessa niiden määrittämisestä. Ilmoituksessa täsmennetään tarvittaessa, että asianomaiset kriittiset toimijat ovat tämän direktiivin liitteessä olevan taulukon 3, 4 ja 8 kohdassa tarkoitetuilla aloilla toimivia toimijoita eikä niillä ole tämän direktiivin III ja IV luvun mukaisia velvoitteita.

5.   Jäsenvaltioiden on tarvittaessa ja joka tapauksessa vähintään neljän vuoden välein tarkistettava ja tarvittaessa päivitettävä 3 kohdassa tarkoitettu luettelo kriittisistä toimijoista. Kun kyseiset päivitykset johtavat uusien kriittisten toimijoiden määrittämiseen, sovelletaan 3 ja 4 kohtaa kyseisiin uusiin kriittisiin toimijoihin. Lisäksi jäsenvaltioiden on varmistettava, että toimijoille, joita ei tällaisen päivityksen perusteella enää määritetä kriittisiksi toimijoiksi, ilmoitetaan oikea-aikaisesti asiasta ja siitä, ettei niihin enää sovelleta III luvun mukaisia velvoitteita kyseisen ilmoituksen vastaanottamispäivästä lukien.

6.   Komissio laatii yhteistyössä jäsenvaltioiden kanssa suosituksia ja ei-sitovia ohjeita jäsenvaltioiden tueksi kriittisten toimijoiden määrittämisessä.

7 artikla

Merkittävä haitallinen vaikutus

1.   Määrittäessään 6 artiklan 2 kohdan c alakohdassa tarkoitetun haitallisen vaikutuksen merkitystä jäsenvaltioiden on otettava huomioon seuraavat perusteet:

| a) | asianomaisen toimijan tarjoamasta keskeisestä palvelusta riippuvaisten käyttäjien lukumäärä; |
| --- | --- |

a)

asianomaisen toimijan tarjoamasta keskeisestä palvelusta riippuvaisten käyttäjien lukumäärä;

| b) | missä määrin muut liitteessä tarkoitetut toimialat ja alasektorit ovat riippuvaisia kyseisestä keskeisestä palvelusta; |
| --- | --- |

b)

missä määrin muut liitteessä tarkoitetut toimialat ja alasektorit ovat riippuvaisia kyseisestä keskeisestä palvelusta;

| c) | vaikutukset, joita poikkeamilla voisi vakavuutensa ja kestonsa perusteella olla talouden ja yhteiskunnan toimintoihin, ympäristöön, yleiseen järjestykseen ja turvallisuuteen tai väestön terveyteen; |
| --- | --- |

c)

vaikutukset, joita poikkeamilla voisi vakavuutensa ja kestonsa perusteella olla talouden ja yhteiskunnan toimintoihin, ympäristöön, yleiseen järjestykseen ja turvallisuuteen tai väestön terveyteen;

| d) | toimijan markkinaosuus kyseisen keskeisen palvelun tai asianomaisten keskeisten palvelujen markkinoilla; |
| --- | --- |

d)

toimijan markkinaosuus kyseisen keskeisen palvelun tai asianomaisten keskeisten palvelujen markkinoilla;

| e) | maantieteellinen alue, johon poikkeama voisi vaikuttaa, mukaan lukien rajat ylittävät vaikutukset, ottaen huomioon haavoittuvuus, joka on yhteydessä saarialueiden, kaukaisten alueiden tai vuoristoalueiden kaltaisten tietyntyyppisten maantieteellisten alueiden eristyneisyyden asteeseen; |
| --- | --- |

e)

maantieteellinen alue, johon poikkeama voisi vaikuttaa, mukaan lukien rajat ylittävät vaikutukset, ottaen huomioon haavoittuvuus, joka on yhteydessä saarialueiden, kaukaisten alueiden tai vuoristoalueiden kaltaisten tietyntyyppisten maantieteellisten alueiden eristyneisyyden asteeseen;

| f) | toimijan merkitys keskeisen palvelun riittävän tason ylläpitämisessä ottaen huomioon kyseisen keskeisen palvelun tarjoamista koskevien vaihtoehtoisten keinojen saatavuus. |
| --- | --- |

f)

toimijan merkitys keskeisen palvelun riittävän tason ylläpitämisessä ottaen huomioon kyseisen keskeisen palvelun tarjoamista koskevien vaihtoehtoisten keinojen saatavuus.

2.   Kunkin jäsenvaltion on toimitettava komissiolle 6 artiklan 1 kohdan mukaisesti kriittisten toimijoiden määrittämisen jälkeen viipymättä seuraavat tiedot:

| a) | luettelo keskeisistä palveluista kyseisessä jäsenvaltiossa, jos siellä on muita keskeisiä palveluja kuin 5 artiklan 1 kohdassa tarkoitettuja keskeisiä palveluja; |
| --- | --- |

a)

luettelo keskeisistä palveluista kyseisessä jäsenvaltiossa, jos siellä on muita keskeisiä palveluja kuin 5 artiklan 1 kohdassa tarkoitettuja keskeisiä palveluja;

| b) | kullakin liitteessä esitetyllä toimialalla ja alasektorilla ja kutakin keskeistä palvelua varten määritettyjen kriittisten toimijoiden lukumäärä; |
| --- | --- |

b)

kullakin liitteessä esitetyllä toimialalla ja alasektorilla ja kutakin keskeistä palvelua varten määritettyjen kriittisten toimijoiden lukumäärä;

| c) | mahdolliset yhden tai useamman 1 kohdassa esitetyn perusteen täsmentämiseen sovellettavat kynnysarvot. |
| --- | --- |

c)

mahdolliset yhden tai useamman 1 kohdassa esitetyn perusteen täsmentämiseen sovellettavat kynnysarvot.

Ensimmäisen alakohdan c alakohdassa tarkoitetut kynnysarvot voidaan esittää sellaisenaan tai koosteena.

Jäsenvaltioiden on sen jälkeen toimitettava ensimmäisessä alakohdassa tarkoitetut tiedot tarvittaessa ja vähintään neljän vuoden välein.

3.   Komissio antaa 19 artiklassa tarkoitettua kriittisten toimijoiden häiriönsietokykyä käsittelevää ryhmää kuultuaan ei-sitovia suuntaviivoja tämän artiklan 1 kohdassa tarkoitettujen perusteiden soveltamisen helpottamiseksi, ottaen huomioon tämän artiklan 2 kohdassa tarkoitetut tiedot.

8 artikla

Pankkitoiminnan, finanssimarkkinoiden infrastruktuurin ja digitaalisen infrastruktuurin aloilla toimivat kriittiset toimijat

Jäsenvaltioiden on varmistettava, että 11 artiklaa ja III, IV ja VI lukua ei sovelleta kriittisiin toimijoihin, jotka ne ovat määrittäneet liitteessä olevan taulukon 3, 4 ja 8 kohdassa esitetyillä toimialoilla. Jäsenvaltiot voivat hyväksyä tai pitää voimassa kansallisen lainsäädännön säännöksiä saavuttaakseen korkeamman häiriönsietokyvyn tason kyseisten kriittisten toimijoiden osalta edellyttäen, että kyseiset säännökset ovat sovellettavan unionin oikeuden mukaisia.

9 artikla

Toimivaltaiset viranomaiset ja keskitetty yhteyspiste

1.   Kunkin jäsenvaltion on nimettävä tai perustettava yksi tai useampi toimivaltainen viranomainen, joka vastaa tämän direktiivin säännösten asianmukaisesta soveltamisesta ja tarvittaessa täytäntöönpanosta kansallisella tasolla.

Tämän direktiivin liitteessä olevan taulukon 3 ja 4 kohdassa esitettyjen toimialojen kriittisten toimijoiden osalta toimivaltaisia viranomaisia ovat periaatteessa asetuksen (EU) 2022/2554 46 artiklassa tarkoitetut toimivaltaiset viranomaiset. Tämän direktiivin liitteessä olevan taulukon 8 kohdassa esitettyjen toimialan kriittisten toimijoiden osalta toimivaltaiset viranomaiset ovat periaatteessa direktiivin (EU) 2022/2555 mukaisia toimivaltaisia viranomaisia. Jäsenvaltiot voivat nimetä tämän direktiivin liitteessä olevan taulukon 3, 4 ja 8 kohdassa esitetyille toimialoille muun toimivaltaisen viranomaisen voimassa olevien kansallisten kehysten mukaisesti.

Nimetessään tai perustaessaan useamman kuin yhden toimivaltaisen viranomaisen jäsenvaltioiden on esitettävä selvästi kunkin kyseisen viranomaisen tehtävät ja varmistettava, että ne tekevät tehokasta yhteistyötä tämän direktiivin mukaisten tehtäviensä hoitamisessa, mukaan lukien 2 kohdassa tarkoitetun keskitetyn yhteyspisteen nimeäminen ja toiminta.

2.   Kunkin jäsenvaltion on nimettävä tai perustettava yksi keskitetty yhteyspiste, jotta rajat ylittävä yhteistyö muiden jäsenvaltioiden keskitettyjen yhteyspisteiden kanssa sekä 19 artiklassa tarkoitetun kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän kanssa voidaan varmistaa, jäljempänä ’keskitetty yhteyspiste’. Tarvittaessa jäsenvaltion on nimettävä sen keskitetty yhteyspiste toimivaltaisen viranomaisen yhteyteen. Tarvittaessa jäsenvaltio voi myös säätää, että sen keskitetty yhteyspiste hoitaa yhteydenpidon komission kanssa ja varmistaa yhteistyön kolmansien maiden kanssa.

3.   Keskitettyjen yhteyspisteiden on toimitettava viimeistään 17 päivänä heinäkuuta 2028 ja sen jälkeen kahden vuoden välein komissiolle ja 19 artiklassa tarkoitetulle kriittisten toimijoiden häiriönsietokykyä käsittelevälle ryhmälle yhteenvetokertomus saamistaan ilmoituksista, mukaan lukien ilmoitusten lukumäärä, ilmoitettujen poikkeamien luonne ja 15 artiklan 3 kohdan mukaisesti toteutetut toimet.

Komissio laatii yhteistyössä kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän kanssa yhteisen raportointimallin. Toimivaltaiset viranomaiset voivat vapaaehtoisesti käyttää kyseistä yhteistä raportointimallia ensimmäisessä alakohdassa tarkoitettujen yhteenvetokertomusten toimittamiseen.

4.   Kunkin jäsenvaltion on varmistettava, että sen toimivaltaisella viranomaisella ja keskitetyllä yhteyspisteellä on valtuudet ja riittävät taloudelliset, henkilöstö- ja tekniset voimavarat, jotta ne voivat suorittaa niille osoitetut tehtävät tuloksekkaasti ja tehokkaasti.

5.   Kunkin jäsenvaltion on varmistettava, että sen toimivaltainen viranomainen kuulee tarvittaessa ja unionin ja kansallisen lainsäädännön mukaisesti muita asianomaisia kansallisia viranomaisia, mukaan lukien pelastuspalvelusta, lainvalvonnasta ja henkilötietojen suojasta vastaavia viranomaisia, sekä kriittisiä toimijoita ja asianomaisia osapuolia ja tekee yhteistyötä niiden kanssa.

6.   Kunkin jäsenvaltion on varmistettava, että sen tämän direktiivin mukaisesti toimivaltainen viranomainen tekee yhteistyötä ja vaihtaa tietoja toimivaltaisten viranomaisten kanssa direktiivin (EU) 2022/2555 mukaisesti asioissa, jotka koskevat kriittisiin toimijoihin vaikuttavia kyberturvallisuusriskejä, kyberturvallisuusuhkia ja kyberturvallisuuspoikkeamia sekä muita kuin kyberturvallisuusriskejä, kyberuhkia ja kyberturvallisuuspoikkeamia, mukaan lukien sen toimivaltaisen viranomaisen sekä direktiivin (EU) 2022/2555 mukaisteni toimivaltaisten viranomaisten toteuttamat olennaiset toimenpiteet.

7.   Kunkin jäsenvaltion on kolmen kuukauden kuluessa toimivaltaisen viranomaisen ja keskitetyn yhteyspisteen nimeämisestä tai perustamisesta ilmoitettava komissiolle heidän henkilöllisyytensä ja tämän direktiivin mukaiset tehtävät ja vastuut, yhteystiedot sekä näiden tietojen mahdolliset myöhemmät muutokset. Jäsenvaltioiden on ilmoitettava komissiolle, jos ne päättävät nimetä muun viranomaisen kuin 1 kohdan toisessa alakohdassa tarkoitettujen toimivaltaisten viranomaisten toimivaltaisiksi viranomaisiksi liitteessä olevan taulukon 3, 4 ja 8 kohdassa esitetyille toimialoille kriittisten toimijoiden osalta. Kunkin jäsenvaltion on julkistettava toimivaltaisen viranomaisen ja keskitetyn yhteyspisteen henkilöllisyys.

8.   Komissio asettaa keskitettyjen yhteyspisteiden luettelon julkisesti saataville.

10 artikla

Jäsenvaltioiden tuki kriittisille toimijoille

1.   Jäsenvaltioiden on tuettava kriittisiä toimijoita niiden häiriönsietokyvyn parantamiseksi. Kyseiseen tukeen voi kuulua ohjemateriaalin ja menetelmien laatiminen, tuki kriittisten toimijoiden häiriönsietokykyä testaavien harjoitusten järjestämisessä ja niiden henkilöstön neuvonta ja koulutus. Sanotun kuitenkaan rajoittamatta sovellettavia valtiontukisääntöjä, jäsenvaltiot voivat myöntää kriittisille toimijoille rahoitusta silloin, kun se on tarpeen ja perusteltavissa yleisen edun mukaisten tavoitteiden kannalta.

2.   Kunkin jäsenvaltion on varmistettava, että sen toimivaltaiset viranomaiset tekevät yhteistyötä ja vaihtavat tietoja ja hyviä käytäntöjä liitteessä esitettyjen toimialojen kriittisten toimijoiden kanssa.

3.   Jäsenvaltioiden on helpotettava kriittisten toimijoiden välistä vapaaehtoista tiedonvaihtoa tämän direktiivin soveltamisalaan kuuluvissa asioissa, erityisesti turvallisuusluokiteltuja ja arkaluonteisia tietoja, kilpailua ja henkilötietojen suojaa koskevan unionin ja kansallisen lainsäädännön mukaisesti.

11 artikla

Jäsenvaltioiden välinen yhteistyö

1.   Jäsenvaltioiden on tarvittaessa kuultava toisiaan kriittisistä toimijoista varmistaakseen tämän direktiivin johdonmukaisen soveltamisen. Tällaisia kuulemisia on käytävä erityisesti sellaisten kriittisten toimijoiden osalta, jotka

| a) | käyttävät kriittistä infrastruktuuria, jolla on fyysinen yhteys kahden tai useamman jäsenvaltion välillä; |
| --- | --- |

a)

käyttävät kriittistä infrastruktuuria, jolla on fyysinen yhteys kahden tai useamman jäsenvaltion välillä;

| b) | ovat osa yhtiörakenteita, jotka liittyvät tai ovat yhteydessä muiden jäsenvaltioiden kriittisiin toimijoihin; |
| --- | --- |

b)

ovat osa yhtiörakenteita, jotka liittyvät tai ovat yhteydessä muiden jäsenvaltioiden kriittisiin toimijoihin;

| c) | on määritetty kriittisiksi toimijoiksi yhdessä jäsenvaltiossa ja jotka tarjoavat keskeisiä palveluja toisiin jäsenvaltioihin tai toisissa jäsenvaltioissa. |
| --- | --- |

c)

on määritetty kriittisiksi toimijoiksi yhdessä jäsenvaltiossa ja jotka tarjoavat keskeisiä palveluja toisiin jäsenvaltioihin tai toisissa jäsenvaltioissa.

2.   Edellä 1 kohdassa tarkoitetuilla kuulemisilla on pyrittävä parantamaan kriittisten toimijoiden häiriönsietokykyä ja mahdollisuuksien mukaan vähentämään niiden hallinnollista rasitusta.

III LUKU

KRIITTISTEN TOIMIJOIDEN HÄIRIÖNSIETOKYKY

12 artikla

Kriittisten toimijoiden suorittama riskinarviointi

1.   Sen estämättä, mitä 6 artiklan 3 kohdan toisessa alakohdassa säädetään määräajan osalta, jäsenvaltioiden on varmistettava, että kriittiset toimijat suorittavat riskinarvioinnin yhdeksän kuukauden kuluessa 6 artiklan 3 kohdassa tarkoitetun ilmoituksen vastaanottamisesta, tarvittaessa myöhemmin ja vähintään neljän vuoden välein jäsenvaltioiden riskinarvioinnin ja muiden asiaan liittyvien tiedonlähteiden perusteella, jotta voidaan arvioida kaikki merkitykselliset riskit, jotka voivat estää niitä tarjoamasta asianomaisia olennaisia palveluja, jäljempänä ’kriittisen toimijan riskinarviointi’.

2.   Kriittisten toimijoiden riskinarvioinneissa on otettava huomioon kaikki merkitykselliset luonnon ja ihmisen aiheuttamat riskit, jotka voivat johtaa poikkeamaan, mukaan lukien toimialojen tai rajatylittävät riskit, onnettomuudet, luonnonkatastrofit, kansanterveydelliset hätätilanteet ja hybridiuhat ja muut vihamieliset uhat, mukaan lukien direktiivissä (EU) 2017/541 säädetyt terrorismirikokset. Kriittisen toimijan riskinarvioinnissa on otettava huomioon se, missä määrin muut liitteessä tarkoitettujen toimialojen toimijat ovat riippuvaisia kriittisen toimijan tarjoamasta keskeisestä palvelusta, mukaan lukien tapauksen mukaan myös naapurijäsenvaltioissa ja kolmansissa maissa.

Jos kriittinen toimija on tehnyt muita riskinarviointeja tai laatinut asiakirjoja sellaisten muiden säädösten velvoitteiden mukaisesti, jotka ovat merkityksellisiä kriittisen toimijan riskinarvioinnissa, se voi käyttää kyseisiä arviointeja ja asiakirjoja täyttääkseen tässä artiklassa säädetyt vaatimukset. Suorittaessaan valvontatehtäviään toimivaltainen viranomainen voi todeta, että kriittisen toimijan suorittama voimassa oleva riskinarviointi, jossa käsitellään tämän kohdan ensimmäisessä alakohdassa tarkoitettuja riskejä ja riippuvuuksien laajuutta, on kokonaan tai osittain tämän artiklan mukaisten velvoitteiden mukainen.

13 artikla

Kriittisten toimijoiden toimenpiteet häiriönsietokyvyn varmistamiseksi

1.   Jäsenvaltioiden on varmistettava, että kriittiset toimijat toteuttavat häiriönsietokykynsä varmistamiseksi asianmukaisia ja oikeasuhteisia teknisiä, turvallisuuteen liittyviä ja organisatorisia toimenpiteitä, jotka perustuvat jäsenvaltioiden toimittamiin asiaankuuluviin tietoihin ja ovat riskinarvioinnin ja kriittisten toimijoiden riskinarviointien tulosten mukaisia, mukaan lukien toimenpiteet, jotka ovat tarpeen,

| a) | poikkeamien syntymisen estämiseksi, ottaen asianmukaisesti huomioon katastrofiriskien vähentämiseen ja ilmastonmuutokseen sopeutumiseen liittyvät toimenpiteet; |
| --- | --- |

a)

poikkeamien syntymisen estämiseksi, ottaen asianmukaisesti huomioon katastrofiriskien vähentämiseen ja ilmastonmuutokseen sopeutumiseen liittyvät toimenpiteet;

| b) | niiden tilojen ja kriittisen infrastruktuurin riittävän fyysisen suojauksen varmistamiseksi ottaen asianmukaisesti huomioon sellaiset toimenpiteet kuin aidan asentaminen, esteiden pystyttäminen, kehävalvontavälineet ja -käytännöt sekä ilmaisulaitteet ja kulunvalvonta; |
| --- | --- |

b)

niiden tilojen ja kriittisen infrastruktuurin riittävän fyysisen suojauksen varmistamiseksi ottaen asianmukaisesti huomioon sellaiset toimenpiteet kuin aidan asentaminen, esteiden pystyttäminen, kehävalvontavälineet ja -käytännöt sekä ilmaisulaitteet ja kulunvalvonta;

| c) | poikkeamien seurauksiin vastaamiseksi ja niiden torjumiseksi ja lieventämiseksi ottaen asianmukaisesti huomioon riskien- ja kriisinhallintamenettelyjen ja -käytäntöjen ja hälytyskäytäntöjen toteuttaminen; |
| --- | --- |

c)

poikkeamien seurauksiin vastaamiseksi ja niiden torjumiseksi ja lieventämiseksi ottaen asianmukaisesti huomioon riskien- ja kriisinhallintamenettelyjen ja -käytäntöjen ja hälytyskäytäntöjen toteuttaminen;

| d) | poikkeamista palautumiseksi, ottaen asianmukaisesti huomioon liiketoiminnan jatkuvuuteen liittyvät toimenpiteet ja vaihtoehtoisten toimitusketjujen kartoittaminen, jotta keskeisen palvelun tarjoamista voidaan jatkaa; |
| --- | --- |

d)

poikkeamista palautumiseksi, ottaen asianmukaisesti huomioon liiketoiminnan jatkuvuuteen liittyvät toimenpiteet ja vaihtoehtoisten toimitusketjujen kartoittaminen, jotta keskeisen palvelun tarjoamista voidaan jatkaa;

| e) | asianmukaisen henkilöstöturvallisuuden hallinnan varmistamiseksi, ottaen asianmukaisesti huomioon sellaiset toimenpiteet kuin kriittisiä tehtäviä hoitavien henkilöstöryhmien määrittäminen, pääsyoikeuksien vahvistaminen tiloihin, kriittiseen infrastruktuuriin ja arkaluonteisiin tietoihin pääsemiseksi, taustatarkastuksia koskevien menettelyjen käyttöönottaminen 14 artiklan mukaisesti ja sellaisten henkilöryhmien määrittäminen, joilta tällaisia taustatarkastuksia vaaditaan, sekä asianmukaisten koulutusvaatimusten ja pätevyyksien vahvistaminen; |
| --- | --- |

e)

asianmukaisen henkilöstöturvallisuuden hallinnan varmistamiseksi, ottaen asianmukaisesti huomioon sellaiset toimenpiteet kuin kriittisiä tehtäviä hoitavien henkilöstöryhmien määrittäminen, pääsyoikeuksien vahvistaminen tiloihin, kriittiseen infrastruktuuriin ja arkaluonteisiin tietoihin pääsemiseksi, taustatarkastuksia koskevien menettelyjen käyttöönottaminen 14 artiklan mukaisesti ja sellaisten henkilöryhmien määrittäminen, joilta tällaisia taustatarkastuksia vaaditaan, sekä asianmukaisten koulutusvaatimusten ja pätevyyksien vahvistaminen;

| f) | a–e alakohdassa tarkoitetuista toimenpiteistä tiedottamiseksi asianomaiselle henkilöstölle ottaen asianmukaisesti huomioon koulutus, tiedotusmateriaalit ja harjoitukset. |
| --- | --- |

f)

a–e alakohdassa tarkoitetuista toimenpiteistä tiedottamiseksi asianomaiselle henkilöstölle ottaen asianmukaisesti huomioon koulutus, tiedotusmateriaalit ja harjoitukset.

Ensimmäisen alakohdan e alakohtaa sovellettaessa jäsenvaltioiden on varmistettava, että kriittiset toimijat ottavat huomioon ulkopuolisten palveluntarjoajien henkilöstön määritellessään kriittisiä tehtäviä hoitavia henkilöstöryhmiä.

2.   Jäsenvaltioiden on varmistettava, että kriittiset toimijat ovat laatineet ja ottaneet käyttöön häiriönsietokykyä koskevan suunnitelman tai vastaavan asiakirjan tai asiakirjat, joissa kuvataan 1 kohdassa tarkoitetut toimenpiteet. Jos kriittiset toimijat ovat laatineet asiakirjoja tai toteuttaneet muissa säädöksissä säädettyjen velvoitteiden mukaisia toimenpiteitä ja ne ovat merkityksellisiä tämän artiklan 1 kohdassa tarkoitettujen toimenpiteiden kannalta, ne voivat soveltaa kyseisiä asiakirjoja ja täyttääkseen tämän artiklan vaatimukset. Suorittaessaan valvontatehtäviään toimivaltainen viranomainen voi todeta, että kriittisen toimijan voimassa olevat häiriönsietokykyä tehostavat toimenpiteet, joissa käsitellään tämän artiklan 1 kohdassa tarkoitettuja teknisiä, turvallisuuteen liittyviä ja organisatorisia toimenpiteitä asianmukaisella ja kohtuullisella tavalla, ovat joko osittain tai kokonaan tämän artiklan mukaisten velvoitteiden mukaiset.

3.   Jäsenvaltioiden on varmistettava, että kukin kriittinen toimija nimeää yhteyshenkilön tai vastaavan yhteyspisteeksi toimivaltaisille viranomaisille.

4.   Komissio järjestää kriittisen toimijan määrittäneen jäsenvaltion pyynnöstä ja asianomaisen kriittisen toimijan suostumuksella neuvontaoperaatioita, jotka toteutetaan 18 artiklan 6, 8 ja 9 kohdassa säädettyjen järjestelyjen mukaisesti ja joiden tarkoituksena on neuvoa asianomaista kriittistä toimijaa sen III luvun mukaisten velvoitteiden täyttämisessä. Neuvontaoperaation on raportoitava havainnoistaan komissiolle sekä kyseiselle jäsenvaltiolle ja asianomaiselle kriittiselle toimijalle.

5.   Komissio hyväksyy 19 artiklassa tarkoitettua kriittisten toimijoiden häiriönsietokykyä käsittelevää ryhmää kuultuaan ei-sitovia suuntaviivoja, joissa täsmennetään tekniset, turvallisuuteen liittyvät ja organisatoriset toimenpiteet, joita voidaan toteuttaa tämän artiklan 1 kohdan nojalla.

6.   Komissio hyväksyy täytäntöönpanosäädökset, joissa säädetään tarvittavista tämän artiklan 1 kohdassa tarkoitettujen toimenpiteiden soveltamiseen liittyvistä teknisistä ja menetelmiä koskevista eritelmistä. Nämä täytäntöönpanosäädökset hyväksytään 24 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

14 artikla

Taustatarkistukset

1.   Jäsenvaltioiden on täsmennettävä edellytykset, joiden mukaisesti kriittiset toimijat voivat asianmukaisesti perustelluissa tapauksissa ja ottaen huomioon jäsenvaltion riskinarvioinnin esittää taustan tarkistusta koskevia pyyntöjä henkilöistä,

| a) | joilla on kriittisen toimijan sisällä tai sitä hyödyttävä arkaluonteinen rooli, erityisesti kriittisen toimijan häiriönsietokyvyn kannalta; |
| --- | --- |

a)

joilla on kriittisen toimijan sisällä tai sitä hyödyttävä arkaluonteinen rooli, erityisesti kriittisen toimijan häiriönsietokyvyn kannalta;

| b) | joilla on valtuudet päästä suoraan tai etäyhteydellä sen tiloihin, tietoihin tai valvontajärjestelmiin, myös kriittisen toimijan turvallisuuden yhteydessä; |
| --- | --- |

b)

joilla on valtuudet päästä suoraan tai etäyhteydellä sen tiloihin, tietoihin tai valvontajärjestelmiin, myös kriittisen toimijan turvallisuuden yhteydessä;

| c) | joita harkitaan otettavaksi a tai b alakohdassa esitettyjen kriteerien mukaisiin tehtäviin. |
| --- | --- |

c)

joita harkitaan otettavaksi a tai b alakohdassa esitettyjen kriteerien mukaisiin tehtäviin.

2.   Tämän artiklan 1 kohdassa tarkoitetut pyynnöt on arvioitava kohtuullisessa ajassa ja käsiteltävä kansallisen lainsäädännön ja menettelyjen sekä asiaankuuluvan ja sovellettavan unionin oikeuden, muun muassa Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 ja Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680, mukaisesti (37). Taustatarkistusten on oltava oikeasuhteisia ja rajattuja siihen, mikä on välttämätöntä. Ne on toteutettava ainoastaan asianomaiseen kriittiseen toimijaan kohdistuvan mahdollisen turvallisuusriskin arvioimiseksi.

3.   Edellä 1 kohdassa tarkoitetulla taustan tarkistuksella on vähintään

| a) | vahvistettava taustatarkistuksen kohteena olevan henkilön henkilöllisyys; |
| --- | --- |

a)

vahvistettava taustatarkistuksen kohteena olevan henkilön henkilöllisyys;

| b) | tarkistettava kyseisen henkilön rikosrekisteritiedot tiettyjen tehtävien kannalta merkittävien rikosten osalta; |
| --- | --- |

b)

tarkistettava kyseisen henkilön rikosrekisteritiedot tiettyjen tehtävien kannalta merkittävien rikosten osalta;

Taustatarkastuksia tehdessään jäsenvaltioiden on käytettävä eurooppalaista rikosrekisteritietojärjestelmää puitepäätöksessä 2009/315/YOS ja tarvittaessa ja soveltuvin osin asetuksessa (EU) 2019/816 määritettyjen menettelyjen mukaisesti saadakseen muiden jäsenvaltioiden rikosrekistereistä tietoja. Puitepäätöksen 2009/315/YOS 3 artiklan 1 kohdassa ja asetuksen (EU) 2019/816 3 artiklan 5 alakohdassa tarkoitettujen keskusviranomaisten on vastattava tällaisia tietoja koskeviin pyyntöihin kymmenen työpäivän kuluessa pyynnön vastaanottamispäivästä puitepäätöksen 2009/315/YOS 8 artiklan 1 kohdan mukaisesti.

15 artikla

Poikkeamista ilmoittaminen

1.   Jäsenvaltioiden on varmistettava, että kriittiset toimijat ilmoittavat ilman aiheetonta viivytystä toimivaltaiselle viranomaiselle poikkeamista, jotka häiritsevät tai voivat häiritä keskeisten palvelujen tarjoamista. Jäsenvaltioiden on varmistettava, ellei tämä ole operatiivisesti mahdotonta, että kriittiset toimijat antavat ensimmäisen ilmoituksen viimeistään 24 tunnin kuluessa siitä, kun poikkeama on tullut niiden tietoon, ja yksityiskohtainen raportti on tarvittaessa toimitettava viimeistään kuukauden kuluttua tästä. Häiriön merkittävyyden määrittämiseksi on otettava huomioon erityisesti seuraavat parametrit:

| a) | niiden käyttäjien lukumäärä ja osuus, joihin häiriö vaikuttaa; |
| --- | --- |

a)

niiden käyttäjien lukumäärä ja osuus, joihin häiriö vaikuttaa;

| b) | häiriön kesto; |
| --- | --- |

b)

häiriön kesto;

| c) | maantieteellinen alue, johon häiriö vaikuttaa, sekä se, onko alue maantieteellisesti eristynyt. |
| --- | --- |

c)

maantieteellinen alue, johon häiriö vaikuttaa, sekä se, onko alue maantieteellisesti eristynyt.

Jos poikkeamalla on tai voi olla merkittävä vaikutus keskeisten palvelujen tarjonnan jatkuvuuteen vähintään kuudelle tai useammalle jäsenvaltiolle tai vähintään kuudessa tai useammassa jäsenvaltiossa, asianomaisten jäsenvaltioiden, joihin poikkeama vaikuttaa, toimivaltaisten viranomaisten on ilmoitettava kyseisestä poikkeamasta komissiolle.

2.   Edellä 1 kohdan ensimmäisessä alakohdassa tarkoitettuihin ilmoituksiin on sisällytettävä tarvittavat saatavilla olevat tiedot, joiden perusteella toimivaltainen viranomainen voi saada käsityksen poikkeaman luonteesta, aiheuttajasta ja mahdollisista seurauksista mukaan lukien kaikki saatavilla oleva tieto, joka on tarpeen poikkeaman mahdollisten rajatylittävien vaikutusten määrittämiseksi. Tällainen ilmoitus ei lisää kriittisten toimijoiden vastuuta.

3.   Asianomaisen toimivaltaisen viranomaisen on kriittisen toimijan 1 kohdassa tarkoitetussa ilmoituksessa annettujen tietojen perusteella ilmoitettava keskitetyn yhteyspisteen kautta muiden asiaan liittyvien jäsenvaltioiden keskitettyyn yhteyspisteeseen, onko poikkeamalla tai voisiko sillä olla merkittävä vaikutus kriittisiin toimijoihin ja keskeisten palvelujen tarjonnan jatkuvuuteen yhdelle tai useammalle muulle jäsenvaltiolle tai yhdessä tai useammassa muussa jäsenvaltiossa.

Kun keskitetty yhteyspiste lähettää tai vastaanottaa tietoja ensimmäisen alakohdan mukaisesti, sen on unionin oikeuden tai kansallisen lainsäädännön mukaisesti käsiteltävä kyseisiä tietoja niiden luottamuksellisuuden huomioon ottavalla sekä asianomaisen kriittisen toimijan turvallisuusetuja ja kaupallisia etuja suojaavalla tavalla.

4.   Asianomaisen toimivaltaisen viranomaisen on mahdollisimman pian 1 kohdan mukaisen ilmoituksen saatuaan annettava asianomaiselle kriittiselle toimijalle asiaankuuluvat tiedot jatkotoimista, mukaan lukien tiedot, jotka voivat tukea kyseisen kriittisen toimijan tehokasta reagointia kyseessä olevaan poikkeamaan. Jäsenvaltioiden on ilmoitettava asiasta yleisölle, jos ne katsovat sen olevan yleisen edun mukaista.

16 artikla

Standardit

Tämän direktiivin johdonmukaisen täytäntöönpanon edistämiseksi jäsenvaltioiden on silloin, kun siitä on hyötyä, kannustettava käyttämään kriittisiin toimijoihin sovellettaviin toimenpiteisiin turvallisuuden ja häiriönsietokyvyn kannalta olennaisia eurooppalaisia ja kansainvälisiä standardeja ja teknisiä eritelmiä siten, että ne eivät kuitenkaan määrää käyttämään jotain tiettyä teknologiaa tai suosi jotain tiettyä teknologiaa muiden kustannuksella.

T

IV LUKU

EUROOPAN KANNALTA ERITYISEN MERKITTÄVÄT KRIITTISET TOIMIJAT

17 artikla

Euroopan kannalta erityisen merkittävien kriittisten toimijoiden määrittäminen

1.   Toimijaa pidetään Euroopan kannalta erityisen merkittävänä kriittisenä toimijana, jos se

| a) | on määritetty kriittiseksi toimijaksi 6 artiklan 1 kohdan nojalla, |
| --- | --- |

a)

on määritetty kriittiseksi toimijaksi 6 artiklan 1 kohdan nojalla,

| b) | se tarjoaa samoja tai samanlaisia keskeisiä palveluja vähintään kuudelle jäsenvaltiolle tai vähintään kuudessa jäsenvaltiossa ja |
| --- | --- |

b)

se tarjoaa samoja tai samanlaisia keskeisiä palveluja vähintään kuudelle jäsenvaltiolle tai vähintään kuudessa jäsenvaltiossa ja

| c) | sille on ilmoitettu asiasta tämän artiklan 3 kohdan mukaisesti. |
| --- | --- |

c)

sille on ilmoitettu asiasta tämän artiklan 3 kohdan mukaisesti.

2.   Jäsenvaltioiden on varmistettava, että kriittinen toimija antaa 6 artiklan 3 kohdassa tarkoitetun ilmoituksen jälkeen toimivaltaiselle viranomaiselleen tietoja, kun se tarjoaa keskeisiä palveluja vähintään kuudelle jäsenvaltiolle tai vähintään kuudessa jäsenvaltiossa. Tällaisessa tapauksessa jäsenvaltioiden on varmistettava, että kriittinen toimija ilmoittaa toimivaltaiselle viranomaiselle, mitä keskeisiä palveluja tarjotaan ja mille jäsenvaltioille tai missä jäsenvaltioissa sekä niistä jäsenvaltioista, joille tai joissa se tarjoaa tällaisia keskeisiä palveluja. Jäsenvaltioiden on ilmoitettava komissiolle ilman aiheetonta viivytystä tällaisten kriittisten toimijoiden tunnistetiedot ja niiden tämän kohdan nojalla toimittamat tiedot.

Komissio kuulee ensimmäisessä alakohdassa tarkoitetun kriittisen toimijan määrittäneen jäsenvaltion toimivaltaisia viranomaisia, muiden asianomaisten jäsenvaltioiden toimivaltaisia viranomaisia sekä asianomaista kriittistä toimijaa. Kyseisten kuulemisten aikana kunkin jäsenvaltion on ilmoitettava komissiolle, jos se katsoo, että kriittisen toimijan kyseiselle jäsenvaltiolle tarjoamat palvelut ovat keskeisiä palveluja.

3.   Jos komissio toteaa tämän artiklan 2 kohdassa tarkoitettujen kuulemisten perusteella, että asianomainen kriittinen toimija tarjoaa keskeisiä palveluja vähintään kuudelle jäsenvaltiolle tai vähintään kuudessa jäsenvaltiossa, komissio ilmoittaa kyseiselle kriittiselle toimijalle sen toimivaltaisen viranomaisen kautta, että sitä pidetään Euroopan kannalta erityisen merkittävänä kriittisenä toimijana sekä antaa kriittiselle toimijalle tiedoksi sen tämän luvun mukaiset velvoitteet ja päivämäärän, josta lukien siihen sovelletaan näitä velvoitteita. Kun komissio on ilmoittanut toimivaltaiselle viranomaiselle päätöksestään pitää kriittistä toimijaa Euroopan kannalta erityisen merkittävänä kriittisenä toimijana, toimivaltaisen viranomaisen on ilman aiheetonta viivytystä toimitettava ilmoitus kyseiselle kriittiselle toimijalle.

4.   Tätä lukua sovelletaan asianomaiseen Euroopan kannalta erityisen merkittävään kriittiseen toimijaan tämän artiklan 3 kohdassa tarkoitetun ilmoituksen vastaanottopäivästä lukien.

18 artikla

Neuvontaoperaatiot

1.   Sen jäsenvaltion pyynnöstä, joka on 6 artiklan 1 kohdan mukaisesti määrittänyt kriittisen toimijan Euroopan kannalta erityisen merkittäväksi kriittiseksi toimijaksi, komissio järjestää neuvontaoperaation niiden toimenpiteiden arvioimiseksi, jotka kyseinen kriittinen toimija on ottanut käyttöön täyttääkseen III luvun mukaiset velvoitteensa.

2.   Komissio järjestää omasta aloitteestaan tai yhden tai useamman sellaisen jäsenvaltion pyynnöstä, jolle tai jossa keskeistä palvelua tarjotaan, 1 kohdassa tarkoitetun neuvontaoperaation edellyttäen, että jäsenvaltio, joka on 6 artiklan 1 kohdan mukaisesti määrittänyt kriittiseksi toimijaksi Euroopan kannalta erityisen merkittävän kriittisen toimijan, siihen suostuu.

3.   Komission tai yhden tai useamman jäsenvaltion, jolle tai jossa keskeistä palvelua tarjotaan, perustellusta pyynnöstä jäsenvaltion, joka on 6 artiklan 1 kohdan mukaisesti määrittänyt Euroopan kannalta erityisen merkittävän kriittisen toimijan kriittiseksi toimijaksi, on toimitettava komissiolle seuraavaa:

| a) | kriittisen toimijan riskinarvioinnin olennaiset osat, |
| --- | --- |

a)

kriittisen toimijan riskinarvioinnin olennaiset osat,

| b) | luettelo 13 artiklan mukaisesti toteutetuista olennaisista toimenpiteistä, |
| --- | --- |

b)

luettelo 13 artiklan mukaisesti toteutetuista olennaisista toimenpiteistä,

| c) | valvonta- tai täytäntöönpanotoimet, mukaan lukien vaatimustenmukaisuuden arvioinnit tai annetut määräykset, jotka sen toimivaltainen viranomainen on toteuttanut 21 ja 22 artiklan mukaisesti kyseisen kriittisen toimijan osalta. |
| --- | --- |

c)

valvonta- tai täytäntöönpanotoimet, mukaan lukien vaatimustenmukaisuuden arvioinnit tai annetut määräykset, jotka sen toimivaltainen viranomainen on toteuttanut 21 ja 22 artiklan mukaisesti kyseisen kriittisen toimijan osalta.

4.   Neuvontaoperaation on raportoitava havainnoistaan komissiolle, jäsenvaltiolle, joka on 6 artiklan 1 kohdan mukaisesti määrittänyt Euroopan kannalta erityisen merkittävän kriittisen toimijan kriittiseksi toimijaksi, jäsenvaltioille, joille tai joissa keskeistä palvelua tarjotaan sekä asianomaiselle kriittiselle toimijalle kolmen kuukauden kuluessa neuvontaoperaation päättymisestä.

Jäsenvaltiot, joille tai joissa keskeistä palvelua tarjotaan, analysoivat ensimmäisessä alakohdassa tarkoitetun raportin ja neuvovat tarvittaessa komissiota sen suhteen, noudattaako kyseinen Euroopan kannalta erityisen merkittävä kriittinen toimija III luvun mukaisia velvoitteitaan ja, tapauksen mukaan, mitä toimenpiteitä voitaisiin toteuttaa kyseisen kriittisen toimijan häiriönsietokyvyn parantamiseksi.

Komissio esittää tämän kappaleen toisessa alakohdassa tarkoitettujen neuvojen perusteella lausuntonsa jäsenvaltiolle, joka on 6 artiklan 1 kohdan mukaisesti määrittänyt Euroopan kannalta erityisen merkittävän kriittisen toimijan kriittiseksi toimijaksi, jäsenvaltioille, joille tai joissa keskeistä palvelua tarjotaan ja kyseiselle kriittiselle toimijalle siitä, noudattaako kriittinen toimija III luvun mukaisia velvoitteitaan ja, tapauksen mukaan, mitä toimenpiteitä voitaisiin toteuttaa kyseisen kriittisen toimijan häiriönsietokyvyn parantamiseksi.

Jäsenvaltion, joka on 6 artiklan 1 kohdan mukaisesti määrittänyt Euroopan kannalta erityisen merkittävän kriittisen toimijan kriittiseksi toimijaksi, on varmistettava, että sen toimivaltainen viranomainen ja asianomainen kriittinen toimija ottavat tämän kohdan kolmannessa alakohdassa tarkoitetun lausunnon asianmukaisesti huomioon sekä toimittavat komissiolle ja jäsenvaltioille, joille tai joissa keskeistä palvelua tarjotaan, tiedot toimenpiteistä, joita se on toteuttanut kyseisessä lausunnossa tarkoitetulla tavalla.

5.   Kukin neuvontaoperaatio koostuu jäsenvaltion, jossa Euroopan kannalta erityisen merkittävä kriittinen toimija sijaitsee, ja jäsenvaltioiden, joille tai joissa keskeistä palvelua tarjotaan, asiantuntijoista sekä komission edustajista. Nämä jäsenvaltiot voivat esittää ehdokkaita neuvontaoperaation jäseniksi. Kuultuaan jäsenvaltiota, joka on 6 artiklan 1 kohdan mukaisesti määrittänyt kriittiseksi toimijaksi Euroopan kannalta erityisen merkittävän kriittisen toimijan, komissio valitsee ja nimittää kunkin neuvontaoperaation jäsenet heidän ammattipätevyytensä perusteella sekä varmistaa mahdollisuuksien mukaan maantieteellisesti tasapainoisen edustuksen kaikista kyseisistä jäsenvaltioista. Neuvontaoperaation jäsenillä on tarvittaessa oltava voimassa oleva ja asianmukainen turvallisuusselvitys. Komissio vastaa neuvontaoperaatioon osallistumiseen liittyvistä kustannuksista.

Komissio järjestää kunkin neuvontaoperaation ohjelman asianomaisen neuvontaoperaation jäseniä kuullen sekä yhteisymmärryksessä sen jäsenvaltion kanssa, joka on 6 artiklan 1 kohdan mukaisesti määrittänyt Euroopan kannalta erityisen merkittävän kriittisen toimijan kriittiseksi toimijaksi.

6.   Komissio antaa täytäntöönpanosäädöksen, jossa vahvistetaan säännöt menettelytapajärjestelyistä, jotka koskevat pyyntöjä järjestää neuvontaoperaatioita, tällaisten pyyntöjen käsittelyä, neuvontaoperaatioiden suorittamista ja niistä raportointia sekä tämän artiklan 4 kohdan kolmannessa alakohdassa tarkoitetusta komission lausunnosta annettavan tiedonannon ja toteutettavien toimenpiteiden käsittelyä ottaen asianmukaisesti huomioon kyseisten tietojen luottamuksellisuuden ja kaupallisen arkaluonteisuuden. Kyseinen täytäntöönpanosäädös hyväksytään 24 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

7.   Jäsenvaltioiden on varmistettava, että kyseiset Euroopan kannalta erityisen merkittävät kriittiset toimijat antavat neuvontaoperaatioille pääsyn keskeisten palvelujensa tarjoamiseen liittyviin tietoihin, järjestelmiin ja tiloihin, jotka ovat tarpeen asianomaisen neuvontaoperaation suorittamiseksi.

8.   Neuvontaoperaatiot on toteutettava sen jäsenvaltion sovellettavan kansallisen lainsäädännön mukaisesti, jossa ne suoritetaan, ottaen huomioon kyseisen jäsenvaltion vastuu kansallisesta turvallisuudesta ja sen turvallisuusetujen suojaamisesta.

9.   Järjestäessään neuvontaoperaatioita komissio ottaa tarvittaessa huomioon asetusten (EY) N:o 725/2004 ja (EY) N:o 300/2008 nojalla tekemiään tarkastuksia koskevat kertomukset ja direktiivin 2005/65/EY nojalla suorittamaansa seurantaa koskevat kertomukset asianomaisen kriittisen toimijan osalta.

10.   Komissio ilmoittaa neuvontaoperaatioiden järjestämisestä 19 artiklassa tarkoitetulle kriittisten toimijoiden häiriönsietokykyä käsittelevälle ryhmälle. Jäsenvaltio, jossa neuvontaoperaatio suoritettiin, ja komissio tiedottavat kriittisten toimijoiden häiriönsietokykyä käsittelevälle ryhmälle myös neuvontaoperaation tärkeimmistä havainnoista ja saaduista kokemuksista vastavuoroisen oppimisen edistämiseksi.

V LUKU

YHTEISTYÖ JA RAPORTOINTI

19 artikla

Kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä

1.   Perustetaan kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä. Kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän tehtävänä on tukea komissiota ja helpottaa jäsenvaltioiden välistä yhteistyötä ja tiedonvaihtoa tätä direktiiviä koskevissa asioissa.

2.   Kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä koostuu jäsenvaltioiden ja komission edustajista, joilla on tarvittaessa oltava voimassa oleva turvallisuusselvitys. Kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä voi kutsua asiaankuuluvia sidosryhmiä osallistumaan työskentelyynsä, jos se on olennaista sen tehtävien suorittamisen kannalta. Komissio voi Euroopan parlamentin pyynnöstä kutsua Euroopan parlamentin asiantuntijoita osallistumaan kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän kokouksiin.

Kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän puheenjohtajana toimii komission edustaja.

3.   Kriittisten toimijoiden häiriönsietokykyä käsittelevällä ryhmällä on seuraavat tehtävät:

| a) | komission tukeminen sen avustaessa jäsenvaltioita parantamaan valmiuksiaan edistää osaltaan kriittisten toimijoiden häiriönsietokyvyn turvaamista tämän direktiivin mukaisesti; |
| --- | --- |

a)

komission tukeminen sen avustaessa jäsenvaltioita parantamaan valmiuksiaan edistää osaltaan kriittisten toimijoiden häiriönsietokyvyn turvaamista tämän direktiivin mukaisesti;

| b) | strategioiden analysointi niihin liittyvien parhaiden käytäntöjen määrittämiseksi; |
| --- | --- |

b)

strategioiden analysointi niihin liittyvien parhaiden käytäntöjen määrittämiseksi;

| c) | sellaisten parhaiden käytäntöjen vaihtamisen helpottaminen, jotka liittyvät jäsenvaltioiden 6 artiklan 1 kohdan mukaisesti suorittamaan kriittisten toimijoiden määrittämiseen, myös rajat ylittävien ja monialaisten riippuvuussuhteiden sekä riskien ja poikkeamien osalta; |
| --- | --- |

c)

sellaisten parhaiden käytäntöjen vaihtamisen helpottaminen, jotka liittyvät jäsenvaltioiden 6 artiklan 1 kohdan mukaisesti suorittamaan kriittisten toimijoiden määrittämiseen, myös rajat ylittävien ja monialaisten riippuvuussuhteiden sekä riskien ja poikkeamien osalta;

| d) | tähän direktiiviin liittyvien kysymysten edistäminen tapauksen mukaan asiakirjoissa, jotka käsittelevät häiriönsietokykyä unionin tasolla; |
| --- | --- |

d)

tähän direktiiviin liittyvien kysymysten edistäminen tapauksen mukaan asiakirjoissa, jotka käsittelevät häiriönsietokykyä unionin tasolla;

| e) | osallistuminen 7 artiklan 3 kohdassa ja 13 artiklan 5 kohdassa tarkoitettujen suuntaviivojen ja pyynnöstä tämän direktiiviin mukaisesti annettuja delegoitujen säädösten tai täytäntöönpanosäädösten valmisteluun; |
| --- | --- |

e)

osallistuminen 7 artiklan 3 kohdassa ja 13 artiklan 5 kohdassa tarkoitettujen suuntaviivojen ja pyynnöstä tämän direktiiviin mukaisesti annettuja delegoitujen säädösten tai täytäntöönpanosäädösten valmisteluun;

| f) | edellä 9 artiklan 3 kohdassa tarkoitettujen yhteenvetokertomusten analysointi 15 artiklan 3 kohdan mukaisesti toteutettuja toimia koskevien parhaiden käytäntöjen jakamisen edistämiseksi; |
| --- | --- |

f)

edellä 9 artiklan 3 kohdassa tarkoitettujen yhteenvetokertomusten analysointi 15 artiklan 3 kohdan mukaisesti toteutettuja toimia koskevien parhaiden käytäntöjen jakamisen edistämiseksi;

| g) | parhaiden käytäntöjen vaihtaminen 15 artiklassa tarkoitetun poikkeamien ilmoittamisen osalta; |
| --- | --- |

g)

parhaiden käytäntöjen vaihtaminen 15 artiklassa tarkoitetun poikkeamien ilmoittamisen osalta;

| h) | neuvontaoperaatioiden yhteenvetokertomuksista ja saaduista kokemuksista keskusteleminen 18 artiklan 10 kohdan mukaisesti; |
| --- | --- |

h)

neuvontaoperaatioiden yhteenvetokertomuksista ja saaduista kokemuksista keskusteleminen 18 artiklan 10 kohdan mukaisesti;

| i) | tietojen ja parhaiden käytäntöjen vaihtaminen kriittisten toimijoiden häiriönsietokykyä koskevan innovoinnin, tutkimuksen ja kehityksen osalta tämän direktiivin mukaisesti; |
| --- | --- |

i)

tietojen ja parhaiden käytäntöjen vaihtaminen kriittisten toimijoiden häiriönsietokykyä koskevan innovoinnin, tutkimuksen ja kehityksen osalta tämän direktiivin mukaisesti;

| j) | tarvittaessa tietojen vaihtaminen kriittisten toimijoiden häiriönsietokykyä koskevista kysymyksistä asiaankuuluvien unionin toimielinten, elinten ja laitosten kanssa. |
| --- | --- |

j)

tarvittaessa tietojen vaihtaminen kriittisten toimijoiden häiriönsietokykyä koskevista kysymyksistä asiaankuuluvien unionin toimielinten, elinten ja laitosten kanssa.

4.   Kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä laatii viimeistään 17 päivänä tammikuuta 2025 ja sen jälkeen kahden vuoden välein työohjelman toteutettavista toimista, joilla pannaan täytäntöön sen tavoitteet ja tehtävät. Kyseisen työohjelman on oltava tämän direktiivin vaatimusten ja tavoitteiden mukainen.

5.   Kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä kokoontuu säännöllisesti ja joka tapauksessa vähintään kerran vuodessa direktiivin (EU) 2022/2555 mukaisesti perustetun yhteistyöryhmän kanssa yhteistyön ja tiedonvaihdon edistämiseksi ja helpottamiseksi.

6.   Komissio voi hyväksyä täytäntöönpanosäädöksiä, joissa vahvistetaan kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän toimintaa varten tarvittavat menettelytapajärjestelyt 1 artiklan 4 kohdan mukaisesti. Nämä täytäntöönpanosäädökset hyväksytään 24 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

7.   Komissio toimittaa kriittisten toimijoiden häiriönsietokykyä käsittelevälle ryhmälle yhteenvetokertomuksen jäsenvaltioiden 4 artiklan 3 kohdan ja 5 artiklan 4 kohdan mukaisesti antamista tiedoista viimeistään 17 päivänä tammikuuta 2027, ja sen jälkeen tarvittaessa ja vähintään neljän vuoden välein.

20 artikla

Komission tuki toimivaltaisille viranomaisille ja kriittisille toimijoille

1.   Komissio tukee tarvittaessa jäsenvaltioita ja kriittisiä toimijoita niiden tämän direktiivin mukaisten velvoitteiden täyttämisessä. Komissio laatii unionin tason yleiskatsauksen keskeisten palvelujen tarjoamiseen kohdistuvista rajat ylittävistä ja monialaisista riskeistä, järjestää 13 artiklan 4 kohdassa ja 18 artiklassa tarkoitettuja neuvontaoperaatioita ja helpottaa jäsenvaltioiden ja asiantuntijoiden keskinäistä tiedonvaihtoa kaikkialla unionissa.

2.   Komissio täydentää 10 artiklassa tarkoitettuja jäsenvaltioiden toimia kehittämällä parhaita käytäntöjä, ohjeaineistoa ja menetelmiä sekä rajat ylittäviä koulutustoimia ja harjoituksia kriittisten toimijoiden häiriönsietokyvyn testaamiseksi.

3.   Komissio ilmoittaa jäsenvaltioille unionin tason rahoitusvaroista, jotka ovat jäsenvaltioiden käytettävissä kriittisten toimijoiden häiriönsietokyvyn parantamiseksi.

VI LUKU

VALVONTA JA TÄYTÄNTÖÖNPANON VALVONTA

21 artikla

Valvonta ja täytäntöönpano

1.   Jotta voidaan arvioida, noudattavatko jäsenvaltioiden 6 artiklan 1 kohdan nojalla kriittisiksi toimijoiksi määrittämät toimijat tämän direktiivin mukaisia velvoitteita, jäsenvaltioiden on varmistettava, että toimivaltaisilla viranomaisilla on valtuudet ja keinot

| a) | tehdä tarkastuksia paikan päällä kriittisessä infrastruktuurissa ja toimitiloissa, joita kriittinen toimija käyttää keskeisten palvelujensa tarjoamiseen, sekä suorittaa kriittisten toimijoiden toimenpiteiden valvontaa toimitilojen ulkopuolella 13 artiklan mukaisesti; |
| --- | --- |

a)

tehdä tarkastuksia paikan päällä kriittisessä infrastruktuurissa ja toimitiloissa, joita kriittinen toimija käyttää keskeisten palvelujensa tarjoamiseen, sekä suorittaa kriittisten toimijoiden toimenpiteiden valvontaa toimitilojen ulkopuolella 13 artiklan mukaisesti;

| b) | tehdä tai määrätä kyseisiä kriittisiä toimijoita koskevia tarkastuksia. |
| --- | --- |

b)

tehdä tai määrätä kyseisiä kriittisiä toimijoita koskevia tarkastuksia.

2.   Jäsenvaltioiden on varmistettava, että toimivaltaisilla viranomaisilla on valtuudet ja keinot pyytää, jos se on tarpeen niiden tämän direktiivin mukaisten tehtävien suorittamiseksi, että direktiivin (EU) 2022/2555 mukaiset toimijat, jotka jäsenvaltiot ovat määrittäneet kriittisiksi toimijoiksi, toimittavat kyseisten viranomaisten asettamassa kohtuullisessa määräajassa:

| a) | tarvittavat tiedot sen arvioimiseksi, täyttävätkö toimenpiteet, jotka kyseiset toimijat ovat toteuttaneet häiriönsietokykynsä varmistamiseksi, 13 artiklassa esitetyt vaatimukset; |
| --- | --- |

a)

tarvittavat tiedot sen arvioimiseksi, täyttävätkö toimenpiteet, jotka kyseiset toimijat ovat toteuttaneet häiriönsietokykynsä varmistamiseksi, 13 artiklassa esitetyt vaatimukset;

| b) | näyttöä kyseisten toimenpiteiden tehokkaasta täytäntöönpanosta, mukaan lukien tulokset tarkastuksesta, jonka kyseisen toimijan valitsema riippumaton ja pätevä tarkastaja on suorittanut toimijan kustannuksella. |
| --- | --- |

b)

näyttöä kyseisten toimenpiteiden tehokkaasta täytäntöönpanosta, mukaan lukien tulokset tarkastuksesta, jonka kyseisen toimijan valitsema riippumaton ja pätevä tarkastaja on suorittanut toimijan kustannuksella.

Toimivaltaisten viranomaisten on näitä tietoja vaatiessaan ilmoitettava vaatimuksen tarkoitus ja täsmennettävä, mitä tietoja vaaditaan.

3.   Toimivaltaiset viranomaiset voivat tämän artiklan 1 kohdassa tarkoitettujen valvontatoimien tai tämän artiklan 2 kohdassa tarkoitettujen tietojen arvioinnin perusteella määrätä asianomaiset kriittiset toimijat toteuttamaan tarvittavat ja oikeasuhteiset toimenpiteet tämän direktiivin todetun rikkomisen korjaamiseksi kyseisten viranomaisten asettamassa kohtuullisessa määräajassa sekä antamaan kyseisille viranomaisille tietoa toteutetuista toimenpiteistä, sanotun kuitenkaan rajoittamatta mahdollisuutta määrätä seuraamuksia 22 artiklan mukaisesti. Annetuissa määräyksissä on otettava huomioon erityisesti rikkomisen vakavuus.

4.   Jäsenvaltioiden on varmistettava, että 1, 2 ja 3 kohdassa säädettyjä valtuuksia voidaan käyttää vain asianmukaisia suojatoimia noudattaen. Näillä suojatoimilla on taattava erityisesti, että tällaisia valtuuksia käytetään puolueettomalla, avoimella ja oikeasuhteisella tavalla ja että asiaan liittyvien kriittisten toimijoiden oikeudet ja oikeutetut edut, kuten yritys- ja liikesalaisuuksien suojeleminen, turvataan asianmukaisesti, mukaan lukien niiden oikeus tulla kuulluksi, oikeus puolustautua ja oikeus tehokkaisiin oikeussuojakeinoihin riippumattomassa tuomioistuimessa.

5.   Jäsenvaltioiden on varmistettava, että kun tämän direktiivin mukaisesti toimivaltainen viranomainen arvioi tämän artiklan mukaisesti, noudattaako kriittinen toimija vaatimuksia, kyseinen toimivaltainen viranomainen ilmoittaa asiasta direktiivin (EU) 2022/2555 mukaisesti nimetyille asianomaisen jäsenvaltion toimivaltaisille viranomaisille. Tätä tarkoitusta varten jäsenvaltioiden on varmistettava, että tämän direktiivin mukaisesti toimivaltaiset viranomaiset voivat pyytää direktiivin (EU) 2022/2555 mukaisia toimivaltaisia viranomaisia käyttämään valvonta- ja täytäntöönpanovaltuuksiaan kyseisen direktiivin mukaiseen toimijaan, joka on tämän direktiivin nojalla määritelty kriittiseksi toimijaksi. Tätä varten jäsenvaltioiden on varmistettava, että tämän direktiivin mukaisesti toimivaltaiset viranomaiset tekevät yhteistyötä ja vaihtavat tietoja direktiivin (EU) 2022/2555 mukaisesti toimivaltaisten viranomaisten kanssa.

22 artikla

Seuraamukset

Jäsenvaltioiden on säädettävä tämän direktiivin nojalla annettujen kansallisten säännösten rikkomiseen sovellettavista seuraamuksista ja toteutettava kaikki tarvittavat toimenpiteet niiden täytäntöönpanon varmistamiseksi. Seuraamusten on oltava tehokkaita, oikeasuhteisia ja varoittavia. Jäsenvaltioiden on ilmoitettava nämä säännökset ja toimenpiteet komissiolle viimeistään 17 päivänä lokakuuta 2024, ja jäsenvaltioiden on ilmoitettava komissiolle kaikki niitä koskevat myöhemmät muutokset viipymättä.

VII LUKU

DELEGOIDUT SÄÄDÖKSET JA TÄYTÄNTÖÖNPANOSÄÄDÖKSET

23 artikla

Siirretyn säädösvallan käyttäminen

1.   Komissiolle siirrettyä valtaa antaa delegoituja säädöksiä koskevat tässä artiklassa säädetyt edellytykset.

2.   Siirretään komissiolle 16 päivästä tammikuuta 2023 viiden vuoden ajaksi 5 artiklan 1 kohdassa tarkoitettu valta antaa delegoituja säädöksiä.

3.   Euroopan parlamentti tai neuvosto voi milloin tahansa peruuttaa 5 artiklan 1 kohdassa tarkoitetun säädösvallan siirron. Peruuttamispäätöksellä lopetetaan tuossa päätöksessä mainittu säädösvallan siirto. Peruuttaminen tulee voimaan sitä päivää seuraavana päivänä, jona sitä koskeva päätös julkaistaan Euroopan unionin virallisessa lehdessä, tai jonakin myöhempänä, kyseisessä päätöksessä mainittuna päivänä. Peruuttamispäätös ei vaikuta jo voimassa olevien delegoitujen säädösten pätevyyteen.

4.   Ennen kuin komissio hyväksyy delegoidun säädöksen, se kuulee kunkin jäsenvaltion nimeämiä asiantuntijoita paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa vahvistettujen periaatteiden mukaisesti.

5.   Heti kun komissio on antanut delegoidun säädöksen, komissio antaa sen tiedoksi yhtäaikaisesti Euroopan parlamentille ja neuvostolle.

6.   Edellä olevan 5 artiklan 1 kohdan nojalla annettu delegoitu säädös tulee voimaan ainoastaan, jos Euroopan parlamentti tai neuvosto ei ole kahden kuukauden kuluessa siitä, kun asianomainen säädös on annettu tiedoksi Euroopan parlamentille ja neuvostolle, ilmaissut vastustavansa sitä tai jos sekä Euroopan parlamentti että neuvosto ovat ennen mainitun määräajan päättymistä ilmoittaneet komissiolle, että ne eivät vastusta säädöstä. Euroopan parlamentin tai neuvoston aloitteesta tätä määräaikaa jatketaan kahdella kuukaudella.

24 artikla

Komiteamenettely

1.   Komissiota avustaa komitea. Tämä komitea on asetuksessa (EU) N:o 182/2011 tarkoitettu komitea.

2.   Kun viitataan tähän kohtaan, sovelletaan asetuksen (EU) N:o 182/2011 5 artiklaa.

VIII LUKU

LOPPUSÄÄNNÖKSET

25 artikla

Kertomukset ja uudelleentarkastelu

Komissio antaa viimeistään 17 päivänä heinäkuuta 2027 Euroopan parlamentille ja neuvostolle kertomuksen, jossa arvioidaan, missä määrin kukin jäsenvaltio on toteuttanut tarvittavat toimenpiteet tämän direktiivin noudattamiseksi.

Komissio tarkastelee määräajoin uudelleen tämän direktiivin toimivuutta ja laatii kertomuksen Euroopan parlamentille ja neuvostolle. Kyseisessä kertomuksessa arvioidaan erityisesti tämän direktiivin tuomaa lisäarvoa ja sen vaikutusta kriittisten toimijoiden häiriönsietokyvyn varmistamiseen sekä sitä, olisiko direktiivin liitettä muutettava. Komission antaa ensimmäisen kertomuksen viimeistään 17 päivänä kesäkuuta 2029. Tämän artiklan mukaista raportointia varten komissio ottaa huomioon kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän asiaa koskevat asiakirjat.

26 artikla

Saattaminen osaksi kansallista lainsäädäntöä

1.   Jäsenvaltioiden on annettava ja julkaistava tämän direktiivin noudattamisen edellyttämät säännökset viimeistään 17 päivänä lokakuuta 2024. Niiden on viipymättä ilmoitettava tästä komissiolle.

Niiden on sovellettava näitä toimenpiteitä 18 päivästä lokakuuta 2024.

2.   Edellä 1 kohdassa tarkoitetuissa jäsenvaltioiden antamissa säännöksissä on viitattava tähän direktiiviin tai niihin on liitettävä tällainen viittaus, kun ne julkaistaan virallisesti. Jäsenvaltioiden on säädettävä siitä, miten viittaukset tehdään.

27 artikla

Direktiivin 2008/114/EY kumoaminen

Kumotaan direktiivi 2008/114/EY 18 päivästä lokakuuta 2024.

Viittauksia kumottuun direktiiviin pidetään viittauksina tähän direktiiviin.

28 artikla

Voimaantulo

Tämä direktiivi tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

T

Euroopan unionin virallisessa lehdessä

29 artikla

Osoitus

Tämä direktiivi on osoitettu kaikille jäsenvaltioille.

T

Tehty Strasbourgissa 14 päivänä joulukuuta 2022.

Euroopan parlamentin puolesta

Puhemies

R. METSOLA

Neuvoston puolesta

Puheenjohtaja

M. BEK

---

(1)  
  EUVL C 286, 16.7.2021, s. 170.

1

(2)  
  EUVL C 440, 29.10.2021, s. 99.

2

(3)  Euroopan parlamentin kanta, vahvistettu 22. marraskuuta 2022 (ei vielä julkaistu virallisessa lehdessä), ja neuvoston päätös, tehty 8. joulukuuta 2022.

3

(4)  Neuvoston direktiivi 2008/114/EY, annettu 8 päivänä joulukuuta 2008, Euroopan elintärkeän infrastruktuurin määrittämisestä ja nimeämisestä sekä arvioinnista, joka koskee tarvetta parantaa sen suojaamista (EUVL L 345, 23.12.2008, s. 75).

4

(5)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555, annettu 14 päivänä joulukuuta 2022, toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi koko unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 (tarkistettu verkko- ja tietoturvadirektiivi) kumoamisesta (ks. tämän virallisen lehden s. 80).

5

(6)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148, annettu 6 päivänä heinäkuuta 2016, toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa (EUVL L 194, 19.7.2016, s. 1).

6

(7)  Euroopan parlamentin ja neuvoston asetus (EU) 2019/452, annettu 19 päivänä maaliskuuta 2019, unioniin tulevien ulkomaisten suorien sijoitusten seurantaan tarkoitettujen puitteiden perustamisesta (EUVL L 79 I, 21.3.2019, s. 1).

7

(8)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 648/2012, annettu 4 päivänä heinäkuuta 2012, OTC-johdannaisista, keskusvastapuolista ja kauppatietorekistereistä (EUVL L 201, 27.7.2012, s. 1).

8

(9)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 575/2013, annettu 26 päivänä kesäkuuta 2013, luottolaitosten vakavaraisuusvaatimuksista ja asetuksen (EU) N:o 648/2012 muuttamisesta (EUVL L 176, 27.6.2013, s. 1).

9

(10)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 600/2014, annettu 15 päivänä toukokuuta 2014, rahoitusvälineiden markkinoista sekä asetuksen (EU) N:o 648/2012 muuttamisesta (EUVL L 173, 12.6.2014, s. 84).

10

(11)  Euroopan parlamentin ja neuvoston direktiivi 2013/36/EU, annettu 26 päivänä kesäkuuta 2013, oikeudesta harjoittaa luottolaitostoimintaa ja luottolaitosten ja sijoituspalveluyritysten vakavaraisuusvalvonnasta, direktiivin 2002/87/EY muuttamisesta sekä direktiivien 2006/48/EY ja 2006/49/EY kumoamisesta (EUVL L 176, 27.6.2013, s. 338).

11

(12)  Euroopan parlamentin ja neuvoston direktiivi 2014/65/EU, annettu 15 päivänä toukokuuta 2014, rahoitusvälineiden markkinoista sekä direktiivin 2002/92/EY ja direktiivin 2011/61/EU muuttamisesta (EUVL L 173, 12.6.2014, s. 349).

12

(13)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (ks. tämän virallisen lehden s. 1).

13

(14)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 725/2004, annettu 31 päivänä maaliskuuta 2004, alusten ja satamarakenteiden turvatoimien parantamisesta (EUVL L 129, 29.4.2004, s. 6).

14

(15)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 300/2008, annettu 11 päivänä maaliskuuta 2008, yhteisistä siviili-ilmailun turvaamista koskevista säännöistä ja asetuksen (EY) N:o 2320/2002 kumoamisesta (EUVL L 97, 9.4.2008, s. 72).

15

(16)  Euroopan parlamentin ja neuvoston direktiivi 2005/65/EY, annettu 26 päivänä lokakuuta 2005, satamien turvallisuuden parantamisesta (EUVL L 310, 25.11.2005, s. 28).

16

(17)  Euroopan parlamentin ja neuvoston direktiivi 2008/96/EY, annettu 19 päivänä marraskuuta 2008, tieinfrastruktuurin turvallisuuden hallinnasta (EUVL L 319, 29.11.2008, s. 59).

17

(18)  Komission päätös, annettu 29 päivänä kesäkuuta 2018, EU:n rautateiden henkilöliikenteen turvallisuusfoorumin perustamisesta, 2018/C 232/03 (EUVL C 232, 3.7.2018, s. 10).

18

(19)  Neuvoston puitepäätös 2009/315/YOS, tehty 26 päivänä helmikuuta 2009, jäsenvaltioiden välisen rikosrekisteritietojen vaihdon järjestämisestä ja sisällöstä (EUVL L 93, 7.4.2009, s. 23).

19

(20)  Euroopan parlamentin ja neuvoston asetus (EU) 2019/816, annettu 17 päivänä huhtikuuta 2019, niiden jäsenvaltioiden tunnistamista koskevan keskitetyn järjestelmän perustamisesta, joilla on kolmansien maiden kansalaisten ja kansalaisuudettomien henkilöiden tuomioita koskevia tietoja (ECRIS-TCN), eurooppalaisen rikosrekisteritietojärjestelmän täydentämiseksi ja asetuksen (EU) 2018/1726 muuttamisesta (EUVL L 135, 22.5.2019, s. 1).

20

(21)  Euroopan parlamentin ja neuvoston asetus (EU) 2018/1862, annettu 28 päivänä marraskuuta 2018, Schengenin tietojärjestelmän (SIS) perustamisesta, toiminnasta ja käytöstä poliisiyhteistyössä ja rikosasioissa tehtävässä oikeudellisessa yhteistyössä, neuvoston päätöksen 2007/533/YOS muuttamisesta ja kumoamisesta sekä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1986/2006 ja komission päätöksen 2010/261/EU kumoamisesta (EUVL L 312, 7.12.2018, s. 56).

21

(22)  Euroopan parlamentin ja neuvoston päätös N:o 1313/2013/EU, annettu 17 päivänä joulukuuta 2013, unionin pelastuspalvelumekanismista (EUVL L 347, 20.12.2013, s. 924).

22

(23)  Euroopan parlamentin ja neuvoston asetus (EU) 2021/1149, annettu 7 päivänä heinäkuuta 2021, sisäisen turvallisuuden rahaston perustamisesta (EUVL L 251, 15.7.2021, s. 94).

23

(24)  Euroopan parlamentin ja neuvoston asetus (EU) 2021/695, annettu 28 päivänä huhtikuuta 2021, tutkimuksen ja innovoinnin puiteohjelman ”Horisontti Eurooppa” perustamisesta, sen osallistumista ja tulosten levittämistä koskevien sääntöjen vahvistamisesta sekä asetusten (EU) N:o 1290/2013 ja (EU) N:o 1291/2013 kumoamisesta (EUVL L 170, 12.5.2021, s. 1).

24

(25)  
  EUVL L 123, 12.5.2016, s. 1.

25

(26)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 182/2011, annettu 16 päivänä helmikuuta 2011, yleisistä säännöistä ja periaatteista, joiden mukaisesti jäsenvaltiot valvovat komission täytäntöönpanovallan käyttöä (EUVL L 55, 28.2.2011, s. 13).

26

(27)  Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EUVL L 295, 21.11.2018, s. 39).

27

(28)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

28

(29)  Euroopan parlamentin ja neuvoston direktiivi 2002/58/EY, annettu 12 päivänä heinäkuuta 2002, henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (EYVL L 201, 31.7.2002, s. 37).

29

(30)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 1025/2012, annettu 25 päivänä lokakuuta 2012, eurooppalaisesta standardoinnista, neuvoston direktiivien 89/686/ETY ja 93/15/ETY sekä Euroopan parlamentin ja neuvoston direktiivien 94/9/EY, 94/25/EY, 95/16/EY, 97/23/EY, 98/34/EY, 2004/22/EY, 2007/23/EY, 2009/23/EY ja 2009/105/EY muuttamisesta ja neuvoston päätöksen 87/95/ETY ja Euroopan parlamentin ja neuvoston päätöksen N:o 1673/2006/EY kumoamisesta (EUVL L 316, 14.11.2012, s. 12).

30

(31)  Komission suositus 2003/361/EY, annettu 6 päivänä toukokuuta 2003, mikroyritysten sekä pienten ja keskisuurten yritysten määritelmästä (EUVL L 124, 20.5.2003, s. 36).

31

(32)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2017/541, annettu 15 päivänä maaliskuuta 2017, terrorismin torjumisesta sekä neuvoston puitepäätöksen 2002/475/YOS korvaamisesta sekä neuvoston päätöksen 2005/671/YOS muuttamisesta (EUVL L 88, 31.3.2017, s. 6).

32

(33)  Euroopan parlamentin ja neuvoston asetus (EU) 2017/1938, annettu 25 päivänä lokakuuta 2017, toimista kaasun toimitusvarmuuden turvaamiseksi ja asetuksen (EU) N:o 994/2010 kumoamisesta (EUVL L 280, 28.10.2017, s. 1).

33

(34)  Euroopan parlamentin ja neuvoston asetus (EU) 2019/941, annettu 5 päivänä kesäkuuta 2019, riskeihin varautumisesta sähköalalla ja direktiivin 2005/89/EY kumoamisesta (EUVL L 158, 14.6.2019, s. 1).

34

(35)  Euroopan parlamentin ja neuvoston direktiivi 2007/60/EY, annettu 23 päivänä lokakuuta 2007, tulvariskien arvioinnista ja hallinnasta (EUVL L 288, 6.11.2007, s. 27).

35

(36)  Euroopan parlamentin ja neuvoston direktiivi 2012/18/EU, annettu 4 päivänä heinäkuuta 2012, vaarallisista aineista aiheutuvien suuronnettomuusvaarojen torjunnasta sekä neuvoston direktiivin 96/82/EY muuttamisesta ja myöhemmästä kumoamisesta (EUVL L 197, 24.7.2012, s. 1).

36

(37)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).

37

---

LIITE

TOIMIALAT, ALASEKTORIT JA TOIMIJALUOKAT

| Toimialat | Alasektorit | Toimijaluokat |
| --- | --- | --- |
| 1. | Energia |

Toimialat

Alasektorit

Toimijaluokat

1.

Energia

| a) | Sähkö |
| --- | --- |

a)

Sähkö

| — | Euroopan parlamentin ja neuvoston direktiivin (EU) 2019/944 (1) 2 artiklan 57 alakohdassa määritellyt sähköalan yritykset, jotka harjoittavat kyseisen direktiivin 2 artiklan 12 alakohdassa määriteltyä ’toimittamista’ |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin (EU) 2019/944 (1) 2 artiklan 57 alakohdassa määritellyt sähköalan yritykset, jotka harjoittavat kyseisen direktiivin 2 artiklan 12 alakohdassa määriteltyä ’toimittamista’

| — | Direktiivin (EU) 2019/944 2 artiklan 29 alakohdassa määritellyt jakeluverkonhaltijat |
| --- | --- |

—

Direktiivin (EU) 2019/944 2 artiklan 29 alakohdassa määritellyt jakeluverkonhaltijat

| — | Direktiivin (EU) 2019/944 2 artiklan 35 alakohdassa määritellyt siirtoverkonhaltijat |
| --- | --- |

—

Direktiivin (EU) 2019/944 2 artiklan 35 alakohdassa määritellyt siirtoverkonhaltijat

| — | Direktiivin (EU) 2019/944 2 artiklan 38 alakohdassa määritellyt tuottajat |
| --- | --- |

—

Direktiivin (EU) 2019/944 2 artiklan 38 alakohdassa määritellyt tuottajat

| — | Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/943 (2) 2 artiklan 8 alakohdassa tarkoitetut määritellyt sähkömarkkinaoperaattorit |
| --- | --- |

—

Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/943 (2) 2 artiklan 8 alakohdassa tarkoitetut määritellyt sähkömarkkinaoperaattorit

| — | Asetuksen (EU) 2019/943 2 artiklan 25 alakohdassa määritellyt markkinaosapuolet, jotka tarjoavat direktiivin (EU) 2019/944 2 artiklan 18, 20 ja 59 alakohdassa tarkoitettuja aggregointi-, kulutusjousto- ja energian varastointipalveluja |
| --- | --- |

—

Asetuksen (EU) 2019/943 2 artiklan 25 alakohdassa määritellyt markkinaosapuolet, jotka tarjoavat direktiivin (EU) 2019/944 2 artiklan 18, 20 ja 59 alakohdassa tarkoitettuja aggregointi-, kulutusjousto- ja energian varastointipalveluja

| b) | Kaukolämmitys ja -jäähdytys |
| --- | --- |

b)

Kaukolämmitys ja -jäähdytys

| — | Euroopan parlamentin ja neuvoston direktiivin (EU) 2018/2001 (3) 2 artiklan 19 alakohdassa määritellyt kaukolämmitys- tai kaukojäähdytysjärjestelmien haltijat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin (EU) 2018/2001 (3) 2 artiklan 19 alakohdassa määritellyt kaukolämmitys- tai kaukojäähdytysjärjestelmien haltijat

| c) | Öljy |
| --- | --- |

c)

Öljy

| — | Öljynsiirtoputkistojen haltijat |
| --- | --- |

—

Öljynsiirtoputkistojen haltijat

| — | Öljyn tuotanto-, jalostus- ja käsittelylaitteistojen haltijat sekä öljyn varastointia ja siirtoa hoitavat operaattorit |
| --- | --- |

—

Öljyn tuotanto-, jalostus- ja käsittelylaitteistojen haltijat sekä öljyn varastointia ja siirtoa hoitavat operaattorit

| — | Neuvoston direktiivin 2009/119/EY (4) 2 artiklan f alakohdassa määritellyt keskusvarastointiyksiköt |
| --- | --- |

—

Neuvoston direktiivin 2009/119/EY (4) 2 artiklan f alakohdassa määritellyt keskusvarastointiyksiköt

| d) | Kaasu |
| --- | --- |

d)

Kaasu

| — | Euroopan parlamentin ja neuvoston direktiivin 2009/73/EY (5) 2 artiklan 8 alakohdassa määritellyt maakaasun toimittajat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2009/73/EY (5) 2 artiklan 8 alakohdassa määritellyt maakaasun toimittajat

| — | Direktiivin 2009/73/EY 2 artiklan 6 alakohdassa määritellyt jakeluverkonhaltijat |
| --- | --- |

—

Direktiivin 2009/73/EY 2 artiklan 6 alakohdassa määritellyt jakeluverkonhaltijat

| — | Direktiivin 2009/73/EY 2 artiklan 4 alakohdassa määritellyt siirtoverkonhaltijat |
| --- | --- |

—

Direktiivin 2009/73/EY 2 artiklan 4 alakohdassa määritellyt siirtoverkonhaltijat

| — | Direktiivin 2009/73/EY 2 artiklan 10 alakohdassa määritellyt varastointilaitteiston haltijat |
| --- | --- |

—

Direktiivin 2009/73/EY 2 artiklan 10 alakohdassa määritellyt varastointilaitteiston haltijat

| — | Direktiivin 2009/73/EY 2 artiklan 12 alakohdassa määritellyt nesteytetyn maakaasun käsittelylaitteiston haltijat |
| --- | --- |

—

Direktiivin 2009/73/EY 2 artiklan 12 alakohdassa määritellyt nesteytetyn maakaasun käsittelylaitteiston haltijat

| — | Direktiivin 2009/73/EY 2 artiklan 1 alakohdassa määritellyt maakaasualan yritykset |
| --- | --- |

—

Direktiivin 2009/73/EY 2 artiklan 1 alakohdassa määritellyt maakaasualan yritykset

| — | Maakaasun jalostus- ja käsittelylaitteistojen haltijat |
| --- | --- |

—

Maakaasun jalostus- ja käsittelylaitteistojen haltijat

| e) | Vety |
| --- | --- |

e)

Vety

| — | Vedyn tuotantoa, varastointia ja siirtoa harjoittavat toimijat |
| --- | --- |

—

Vedyn tuotantoa, varastointia ja siirtoa harjoittavat toimijat

| 2. | Liikenne |
| --- | --- |

2.

Liikenne

| a) | Ilmaliikenne |
| --- | --- |

a)

Ilmaliikenne

| — | Asetuksen (EY) N:o 300/2008 4 artiklan 3 alakohdassa määritellyt lentoliikenteen harjoittajat, joita käytetään kaupallisiin tarkoituksiin |
| --- | --- |

—

Asetuksen (EY) N:o 300/2008 4 artiklan 3 alakohdassa määritellyt lentoliikenteen harjoittajat, joita käytetään kaupallisiin tarkoituksiin

| — | Euroopan parlamentin ja neuvoston direktiivin 2009/12/EY (6) 2 artiklan 2 alakohdassa määritellyt lentoaseman pitäjät, mainitun direktiivin 2 artiklan 1 alakohdassa määritellyt lentoasemat, mukaan lukien Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1315/2013 (7) liitteessä II olevassa 2 jaksossa luetellut ydinverkon lentoasemat, sekä lentoasemilla sijaitsevia lisärakennelmia ja -laitteita hoitavat toimijat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2009/12/EY (6) 2 artiklan 2 alakohdassa määritellyt lentoaseman pitäjät, mainitun direktiivin 2 artiklan 1 alakohdassa määritellyt lentoasemat, mukaan lukien Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1315/2013 (7) liitteessä II olevassa 2 jaksossa luetellut ydinverkon lentoasemat, sekä lentoasemilla sijaitsevia lisärakennelmia ja -laitteita hoitavat toimijat

| — | Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 549/2004 (8) 2 artiklan 1 alakohdassa määriteltyjä lennonjohtopalveluja tarjoavat liikenteenhallinnan ylläpitäjät |
| --- | --- |

—

Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 549/2004 (8) 2 artiklan 1 alakohdassa määriteltyjä lennonjohtopalveluja tarjoavat liikenteenhallinnan ylläpitäjät

| b) | Raideliikenne |
| --- | --- |

b)

Raideliikenne

| — | Euroopan parlamentin ja neuvoston direktiivin 2012/34/EU (9) 3 artiklan 2 alakohdassa määritellyt rataverkon haltijat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2012/34/EU (9) 3 artiklan 2 alakohdassa määritellyt rataverkon haltijat

| — | Direktiivin 2012/34/EU 3 artiklan 1 alakohdassa määritellyt rautatieyritykset ja kyseisen direktiivin 3 artiklan 12 alakohdassa tarkoitetut palvelupaikan ylläpitäjät |
| --- | --- |

—

Direktiivin 2012/34/EU 3 artiklan 1 alakohdassa määritellyt rautatieyritykset ja kyseisen direktiivin 3 artiklan 12 alakohdassa tarkoitetut palvelupaikan ylläpitäjät

| c) | Vesiliikenne |
| --- | --- |

c)

Vesiliikenne

| — | Asetuksen (EY) N:o 725/2004 liitteessä I merenkulun osalta määritellyt sisävesillä, merillä ja rannikoilla matkustaja- ja rahtiliikennettä hoitavat yhtiöt, lukuun ottamatta tällaisten yhtiöiden liikennöimiä yksittäisiä aluksia |
| --- | --- |

—

Asetuksen (EY) N:o 725/2004 liitteessä I merenkulun osalta määritellyt sisävesillä, merillä ja rannikoilla matkustaja- ja rahtiliikennettä hoitavat yhtiöt, lukuun ottamatta tällaisten yhtiöiden liikennöimiä yksittäisiä aluksia

| — | Direktiivin 2005/65/EY 3 artiklan 1 alakohdassa määriteltyjen satamien hallintoelimet, mukaan lukien niiden asetuksen (EY) N:o 725/2004 2 artiklan 11 alakohdassa määritellyt satamarakenteet, sekä toimijat, jotka käyttävät rakenteita ja varusteita satamien alueella. |
| --- | --- |

—

Direktiivin 2005/65/EY 3 artiklan 1 alakohdassa määriteltyjen satamien hallintoelimet, mukaan lukien niiden asetuksen (EY) N:o 725/2004 2 artiklan 11 alakohdassa määritellyt satamarakenteet, sekä toimijat, jotka käyttävät rakenteita ja varusteita satamien alueella.

| — | Euroopan parlamentin ja neuvoston direktiivin 2002/59/EY (10) 3 artiklan o alakohdassa määriteltyjen alusliikennepalvelujen tarjoajat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2002/59/EY (10) 3 artiklan o alakohdassa määriteltyjen alusliikennepalvelujen tarjoajat

| d) | Tieliikenne |
| --- | --- |

d)

Tieliikenne

| — | Komission delegoidun asetuksen (EU) 2015/962 (11) 2 artiklan 12 alakohdassa määritellyt tieviranomaiset, jotka vastaavat liikenteenhallinnasta, lukuun ottamatta julkisia toimijoita, joille älykkäiden liikennejärjestelmien ylläpito tai niiden liikenteenhallinta ei ole keskeinen osa niiden yleistä toimintaa |
| --- | --- |

—

Komission delegoidun asetuksen (EU) 2015/962 (11) 2 artiklan 12 alakohdassa määritellyt tieviranomaiset, jotka vastaavat liikenteenhallinnasta, lukuun ottamatta julkisia toimijoita, joille älykkäiden liikennejärjestelmien ylläpito tai niiden liikenteenhallinta ei ole keskeinen osa niiden yleistä toimintaa

| — | Euroopan parlamentin ja neuvoston direktiivin 2010/40/EU (12) 4 artiklan 1 alakohdassa määriteltyjen älykkäiden liikennejärjestelmien ylläpitäjät |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2010/40/EU (12) 4 artiklan 1 alakohdassa määriteltyjen älykkäiden liikennejärjestelmien ylläpitäjät

| e) | Julkinen liikenne |
| --- | --- |

e)

Julkinen liikenne

| — | Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1370/2007 (13) 2 artiklan d alakohdassa määritellyt julkisen liikenteen harjoittajat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1370/2007 (13) 2 artiklan d alakohdassa määritellyt julkisen liikenteen harjoittajat

| 3. | Pankkiala |
| --- | --- |

3.

Pankkiala

| — | Asetuksen (EU) N:o 575/2013 4 artiklan 1 alakohdassa määritellyt luottolaitokset |
| --- | --- |

—

Asetuksen (EU) N:o 575/2013 4 artiklan 1 alakohdassa määritellyt luottolaitokset

| 4. | Rahoitusmarkkinoiden infrastruktuuri |
| --- | --- |

4.

Rahoitusmarkkinoiden infrastruktuuri

| — | Direktiivin 2014/65/EU 4 artiklan 24 alakohdassa määriteltyjen kauppapaikkojen ylläpitäjät |
| --- | --- |

—

Direktiivin 2014/65/EU 4 artiklan 24 alakohdassa määriteltyjen kauppapaikkojen ylläpitäjät

| — | Asetuksen (EU) N:o 648/2012 2 artiklan 1 alakohdassa määritellyt keskusvastapuolet |
| --- | --- |

—

Asetuksen (EU) N:o 648/2012 2 artiklan 1 alakohdassa määritellyt keskusvastapuolet

| 5. | Terveys |
| --- | --- |

5.

Terveys

| — | Euroopan parlamentin ja neuvoston direktiivin 2011/24/EU (14) 3 artiklan g alakohdassa määritellyt terveydenhuollon tarjoajat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2011/24/EU (14) 3 artiklan g alakohdassa määritellyt terveydenhuollon tarjoajat

| — | Europan parlamentin ja neuvoston asetuksen (EU) 2022/2371 (15) 15 artiklassa määritellyt EU:n vertailulaboratoriot |
| --- | --- |

—

Europan parlamentin ja neuvoston asetuksen (EU) 2022/2371 (15) 15 artiklassa määritellyt EU:n vertailulaboratoriot

| — | Euroopan parlamentin ja neuvoston direktiivin 2001/83/EY (16) 1 artiklan 2 alakohdassa tarkoitettujen lääkkeiden tutkimusta ja kehitystä harjoittavat toimijat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin 2001/83/EY (16) 1 artiklan 2 alakohdassa tarkoitettujen lääkkeiden tutkimusta ja kehitystä harjoittavat toimijat

| — | NACE Rev. 2 -luokituksen C jakson kaksinumerotasossa 21 tarkoitettujen farmaseuttisten perustuotteiden ja farmaseuttisten valmisteiden valmistajat |
| --- | --- |

—

NACE Rev. 2 -luokituksen C jakson kaksinumerotasossa 21 tarkoitettujen farmaseuttisten perustuotteiden ja farmaseuttisten valmisteiden valmistajat

| — | Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/123 (17) 22 artiklassa tarkoitettujen kansanterveysuhan aikana kriittisiksi katsottujen lääkinnällisten laitteiden (’kansanterveysuhan aikana kriittisten lääkinnällisten laitteiden luettelo’) valmistajat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/123 (17) 22 artiklassa tarkoitettujen kansanterveysuhan aikana kriittisiksi katsottujen lääkinnällisten laitteiden (’kansanterveysuhan aikana kriittisten lääkinnällisten laitteiden luettelo’) valmistajat

| — | Direktiivin 2001/83/EY 79 artiklassa tarkoitetun tukkukaupan harjoittamista koskevan luvan haltijat |
| --- | --- |

—

Direktiivin 2001/83/EY 79 artiklassa tarkoitetun tukkukaupan harjoittamista koskevan luvan haltijat

| 6. | Juomavesi |
| --- | --- |

6.

Juomavesi

| — | Euroopan parlamentin ja neuvoston direktiivin (EU) 2020/2184 (18) 2 artiklan 1 alakohdan a alakohdassa määritellyn ihmisten käyttöön tarkoitetun veden toimittajat ja jakelijat, lukuun ottamatta jakelijoita, joille ihmisten käyttöön tarkoitetun veden jakelu ei ole keskeinen osa niiden yleistä toimintaa, joka muodostuu muiden hyödykkeiden ja tavaroiden jakelusta |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin (EU) 2020/2184 (18) 2 artiklan 1 alakohdan a alakohdassa määritellyn ihmisten käyttöön tarkoitetun veden toimittajat ja jakelijat, lukuun ottamatta jakelijoita, joille ihmisten käyttöön tarkoitetun veden jakelu ei ole keskeinen osa niiden yleistä toimintaa, joka muodostuu muiden hyödykkeiden ja tavaroiden jakelusta

| 7. | Jätevesi |
| --- | --- |

7.

Jätevesi

| — | Neuvoston direktiivin 91/271/ETY (19) 2 artiklan 1, 2 ja 3 alakohdassa määriteltyjä yhdyskuntajätevettä, talousjätevettä tai teollisuusjätevettä keräävät, poistavat tai käsittelevät toimijat, lukuun ottamatta yrityksiä, joille yhdyskuntajäteveden, talousjäteveden tai teollisuusjäteveden kerääminen, poistaminen tai käsittely ei ole keskeinen osa niiden yleistä toimintaa |
| --- | --- |

—

Neuvoston direktiivin 91/271/ETY (19) 2 artiklan 1, 2 ja 3 alakohdassa määriteltyjä yhdyskuntajätevettä, talousjätevettä tai teollisuusjätevettä keräävät, poistavat tai käsittelevät toimijat, lukuun ottamatta yrityksiä, joille yhdyskuntajäteveden, talousjäteveden tai teollisuusjäteveden kerääminen, poistaminen tai käsittely ei ole keskeinen osa niiden yleistä toimintaa

| 8. | Digitaalinen infrastruktuuri |
| --- | --- |

8.

Digitaalinen infrastruktuuri

| — | Direktiivin (EU) 2022/2555 6 artiklan 18 alakohdassa määritellyt internetin yhdysliikennepisteiden ylläpitäjät |
| --- | --- |

—

Direktiivin (EU) 2022/2555 6 artiklan 18 alakohdassa määritellyt internetin yhdysliikennepisteiden ylläpitäjät

| — | Direktiivin (EU) 2022/2555 6 artiklan 20 alakohdassa määritellyt DNS-palveluntarjoajat, lukuun ottamatta juurinimipalvelinten ylläpitäjiä |
| --- | --- |

—

Direktiivin (EU) 2022/2555 6 artiklan 20 alakohdassa määritellyt DNS-palveluntarjoajat, lukuun ottamatta juurinimipalvelinten ylläpitäjiä

| — | Direktiivin (EU) 2022/2555 6 artiklan 21 alakohdassa määritellyt aluetunnusrekisterit |
| --- | --- |

—

Direktiivin (EU) 2022/2555 6 artiklan 21 alakohdassa määritellyt aluetunnusrekisterit

| — | Direktiivin (EU) 2022/2555 6 artiklan 30 alakohdassa määritellyt pilvipalvelujen tarjoajat |
| --- | --- |

—

Direktiivin (EU) 2022/2555 6 artiklan 30 alakohdassa määritellyt pilvipalvelujen tarjoajat

| — | Direktiivin (EU) 2022/2555 6 artiklan 31 alakohdassa määritellyt datakeskuspalvelujen tarjoajat |
| --- | --- |

—

Direktiivin (EU) 2022/2555 6 artiklan 31 alakohdassa määritellyt datakeskuspalvelujen tarjoajat

| — | Direktiivin (EU) 2022/2555 6 artiklan 32 alakohdassa määritellyt sisällönjakeluverkkojen tarjoajat |
| --- | --- |

—

Direktiivin (EU) 2022/2555 6 artiklan 32 alakohdassa määritellyt sisällönjakeluverkkojen tarjoajat

| — | Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 910/2014 (20) 3 artiklan 19 alakohdassa määritellyt luottamuspalvelujen tarjoajat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 910/2014 (20) 3 artiklan 19 alakohdassa määritellyt luottamuspalvelujen tarjoajat

| — | Euroopan parlamentin ja neuvoston direktiivin (EU) 2018/1972 (21) 2 artiklan 8 alakohdassa määriteltyjen yleisten sähköisten viestintäverkkojen tarjoajat |
| --- | --- |

—

Euroopan parlamentin ja neuvoston direktiivin (EU) 2018/1972 (21) 2 artiklan 8 alakohdassa määriteltyjen yleisten sähköisten viestintäverkkojen tarjoajat

| — | Direktiivin (EU) 2018/1972 2 artiklan 4 alakohdassa määriteltyjen sähköisten viestintäpalvelujen tarjoajat siltä osin kuin niiden palvelut ovat yleisesti saatavilla |
| --- | --- |

—

Direktiivin (EU) 2018/1972 2 artiklan 4 alakohdassa määriteltyjen sähköisten viestintäpalvelujen tarjoajat siltä osin kuin niiden palvelut ovat yleisesti saatavilla

| 9. | Julkishallinto |
| --- | --- |

9.

Julkishallinto

| — | Valtionhallintojen julkishallinnon toimijat sellaisina kuin jäsenvaltio on ne määritellyt kansallisen lainsäädännön mukaisesti |
| --- | --- |

—

Valtionhallintojen julkishallinnon toimijat sellaisina kuin jäsenvaltio on ne määritellyt kansallisen lainsäädännön mukaisesti

| 10. | Avaruus |
| --- | --- |

10.

Avaruus

| — | Jäsenvaltioiden tai yksityisten tahojen omistamien, hallinnoimien ja operoimien maassa sijaitsevien infrastruktuurien ylläpitäjät, jotka tukevat avaruuspohjaisten palvelujen tarjoamista, lukuun ottamatta direktiivin (EU) 2018/1972 2 artiklan 8 alakohdassa määriteltyjen yleisten sähköisten viestintäverkkojen tarjoajia |
| --- | --- |

—

Jäsenvaltioiden tai yksityisten tahojen omistamien, hallinnoimien ja operoimien maassa sijaitsevien infrastruktuurien ylläpitäjät, jotka tukevat avaruuspohjaisten palvelujen tarjoamista, lukuun ottamatta direktiivin (EU) 2018/1972 2 artiklan 8 alakohdassa määriteltyjen yleisten sähköisten viestintäverkkojen tarjoajia

| 11. | Elintarvikkeiden tuotanto, jalostus ja jakelu |
| --- | --- |

11.

Elintarvikkeiden tuotanto, jalostus ja jakelu

| — | Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 178/2002 (22) 3 artiklan 2 alakohdassa määritellyt elintarvikeyritykset, jotka toimivat yksinomaan logistiikan ja tukkukaupan sekä laajamittaisen teollisen tuotannon ja jalostuksen alalla |
| --- | --- |

—

Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 178/2002 (22) 3 artiklan 2 alakohdassa määritellyt elintarvikeyritykset, jotka toimivat yksinomaan logistiikan ja tukkukaupan sekä laajamittaisen teollisen tuotannon ja jalostuksen alalla

---

(1)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2019/944, annettu 5 päivänä kesäkuuta 2019, sähkön sisämarkkinoita koskevista yhteisistä säännöistä ja direktiivin 2012/27/EU muuttamisesta (EUVL L 158, 14.6.2019, s. 125).

(2)  Euroopan parlamentin ja neuvoston asetus (EU) 2019/943, annettu 5 päivänä kesäkuuta 2019, sähkön sisämarkkinoista (EUVL L 158, 14.6.2019, s. 54).

(3)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2018/2001, annettu 11 päivänä joulukuuta 2018, uusiutuvista lähteistä peräisin olevan energian käytön edistämisestä (EUVL L 328, 21.12.2018, s. 82).

(4)  Neuvoston direktiivi 2009/119/EY, annettu 14 päivänä syyskuuta 2009, jäsenvaltioiden velvollisuudesta ylläpitää raakaöljy- ja/tai öljytuotevarastojen vähimmäistasoa (EUVL L 265, 9.10.2009, s. 9).

(5)  Euroopan parlamentin ja neuvoston direktiivi 2009/73/EY, annettu 13 päivänä heinäkuuta 2009, maakaasun sisämarkkinoita koskevista yhteisistä säännöistä ja direktiivin 2003/55/EY kumoamisesta (EUVL L 211, 14.8.2009, s. 94).

(6)  Euroopan parlamentin ja neuvoston direktiivi 2009/12/EY, annettu 11 päivänä maaliskuuta 2009, lentoasemamaksuista (EUVL L 70, 14.3.2009, s. 11).

(7)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 1315/2013, annettu 11 päivänä joulukuuta 2013, unionin suuntaviivoista Euroopan laajuisen liikenneverkon kehittämiseksi ja päätöksen N:o 661/2010/EU kumoamisesta (EUVL L 348, 20.12.2013, s. 1).

(8)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 549/2004, annettu 10 päivänä maaliskuuta 2004, yhtenäisen eurooppalaisen ilmatilan toteuttamisen puitteista (puiteasetus) (EUVL L 96, 31.3.2004, s. 1).

(9)  Euroopan parlamentin ja neuvoston direktiivi 2012/34/EU, annettu 21 päivänä marraskuuta 2012, yhtenäisestä eurooppalaisesta rautatiealueesta (EUVL L 343, 14.12.2012, s. 32).

(10)  Euroopan parlamentin ja neuvoston direktiivi 2002/59/EY, annettu 27 päivänä kesäkuuta 2002, alusliikennettä koskevan yhteisön seuranta- ja tietojärjestelmän perustamisesta sekä neuvoston direktiivin 93/75/ETY kumoamisesta (EYVL L 208, 5.8.2002, s. 10).

(11)  Komission delegoitu asetus (EU) 2015/962, annettu 18 päivänä joulukuuta 2014, Euroopan parlamentin ja neuvoston direktiivin 2010/40/EU täydentämisestä EU:n laajuisten tosiaikaisten liikennetietopalvelujen tarjoamisen osalta (EUVL L 157, 23.6.2015, s. 21).

(12)  Euroopan parlamentin ja neuvoston direktiivi 2010/40/EU, annettu 7 päivänä heinäkuuta 2010, tieliikenteen älykkäiden liikennejärjestelmien käyttöönoton sekä tieliikenteen ja muiden liikennemuotojen rajapintojen puitteista (EUVL L 207, 6.8.2010, s. 1).

(13)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 1370/2007, annettu 23 päivänä lokakuuta 2007, rautateiden ja maanteiden julkisista henkilöliikennepalveluista sekä neuvoston asetusten (ETY) N:o 1191/69 ja (ETY) N:o 1107/70 kumoamisesta (EUVL L 315, 3.12.2007, s. 1).

(14)  Euroopan parlamentin ja neuvoston direktiivi 2011/24/EU, annettu 9 päivänä maaliskuuta 2011, potilaiden oikeuksien soveltamisesta rajatylittävässä terveydenhuollossa (EUVL L 88, 4.4.2011, s. 45).

(15)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2371, annettu 23 päivänä marraskuuta 2022, rajatylittävistä vakavista terveysuhkista ja päätöksen N:o 1082/2013/EU kumoamisesta (EUVL L 314, 6.12.2022, s. 26).

(16)  Euroopan parlamentin ja neuvoston direktiivi 2001/83/EY, annettu 6 päivänä marraskuuta 2001, ihmisille tarkoitettuja lääkkeitä koskevista yhteisön säännöistä (EYVL L 311, 28.11.2001, s. 67).

(17)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/123, annettu 25 päivänä tammikuuta 2022, Euroopan lääkeviraston roolin vahvistamisesta kriisivalmiudessa ja -hallinnassa lääkkeiden ja lääkinnällisten laitteiden osalta (EUVL L 20, 31.1.2022, s. 1).

(18)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2020/2184, annettu 16 päivänä joulukuuta 2020, ihmisten käyttöön tarkoitetun veden laadusta (EUVL L 435, 23.12.2020, s. 1).

(19)  Neuvoston direktiivi 91/271/ETY, annettu 21 päivänä toukokuuta 1991, yhdyskuntajätevesien käsittelystä (EYVL L 135, 30.5.1991, s. 40).

(20)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 910/2014, annettu 23 päivänä heinäkuuta 2014, sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta (EUVL L 257, 28.8.2014, s. 73).

(21)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2018/1972, annettu 11 päivänä joulukuuta 2018, eurooppalaisesta sähköisen viestinnän säännöstöstä (EUVL L 321, 17.12.2018, s. 36).

(22)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 178/2002, annettu 28 päivänä tammikuuta 2002, elintarvikelainsäädäntöä koskevista yleisistä periaatteista ja vaatimuksista, Euroopan elintarviketurvallisuusviranomaisen perustamisesta sekä elintarvikkeiden turvallisuuteen liittyvistä menettelyistä (EYVL L 31, 1.2.2002, s. 1).

---