C 155/38

Становище на Европейския икономически и социален комитет относно: „Предложение за регламент на Европейския парламент и на Съвета относно оперативната устойчивост на цифровите технологии във финансовия сектор и за изменение на регламенти (ЕО) № 1060/2009, (ЕС) № 648/2012, (ЕС) № 600/2014 и (ЕС) № 909/2014“

[COM(2020) 595 final – 2020/0266 (COD)]

„Предложение за директива на Европейския парламент и на Съвета за изменение на директиви 2006/43/ЕО, 2009/65/ЕО, 2009/138/ЕС, 2011/61/ЕС, 2013/36/ЕС, 2014/65/ЕС, (ЕС) 2015/2366 и (ЕС) 2016/2341“

[COM(2020) 596 final – 2020/0268 (COD)]

(2021/C 155/06)

Докладчик: Antonio GARCÍA DEL RIEGO

Консултация Европейски парламент, 17.12.2020 г. Съвет на Европейския съюз, 22.12.2020 г. Правно основание Член 53, параграф 1, член 114, параграф 1 и член 304 от ДФЕС Компетентна секция „Икономически и паричен съюз, икономическо и социално сближаване“ Приемане от секцията 12.2.2021 г. Приемане на пленарна сесия 24.2.2021 г. Пленарна сесия № 558 Резултат от гласуването („за“/„против“/„въздържал се“) 243/1/4

1. Заключения и препоръки

1.1. ЕИСК приветства предложението на Европейската комисия за регламент относно оперативната устойчивост на цифровите технологии (DORA), тъй като той има за цел да внесе правна яснота относно разпоредбите за риска във връзка с ИКТ, да намали нормативната сложност, да установи общ набор от стандарти за ограничаване на рисковете във връзка с ИКТ, и да улесни хармонизиран подход на надзор, като същевременно осигури правна сигурност и необходимите гаранции за финансовите дружества и доставчиците на ИКТ. С DORA не само се подобрява устойчивостта на сектора спрямо рисковете във връзка с ИКТ, но регламентът е в интерес и на редица заинтересовани страни, включително клиентите, инвеститорите и служителите, и допринася за постигането на устойчиво развитие.

1.2. ЕИСК препоръчва да се повиши ефективността на DORA чрез следните стъпки:

1.2.1. В обхвата на DORA да се включи всеки доставчик на възлови финансови услуги, който развива финансови дейности, и да се изключи използването на услуги в областта на ИКТ за функции, които не са възлови.

1.2.2. Да се осигури съгласуваност в определението и обхвата между DORA и изискванията, посочени в съществуващите насоки, издадени от ЕНО.

1.2.3. Що се отнася до управлението на ИКТ, да се отдава предпочитание на рамка, съсредоточена върху принципен и основан на риска подход, който улеснява осъществяването на проверки, които са ориентирани към бъдещето, гъвкави и пропорционални на рисковете.

1.2.4. По отношение на инцидентите с ИКТ пълно привеждане в съответствие с инструментариума на Съвета за финансова стабилност (СФС) за реагиране и възстановяване при киберинциденти.

1.2.5. По отношение на тестването на оперативната устойчивост на цифровите технологии да се подчертава не само мащабът на финансовата институция, но и сложността и основният характер на услугата; да се избягва задължителното възлагане на дейности, извършвани от ограничен брой външни лица, провеждащи тестове, и взаимно признаване на резултатите от тестовете.

1.2.6. Изискванията за възлагане на дейности на външни изпълнители да бъдат консолидирани в единна нормативна уредба, за да се осигури правна сигурност за всички участници на пазара и надеждно да се отговори на очакванията, свързани с надзора.

1.2.7. Да се прилагат изцяло препоръките на водещите надзорници и ясен набор от роли и отговорности за различните органи, участващи в надзора на ВДТС.

1.2.8. Да се осигурява достъп до услуги, възложени на външни изпълнители, които се считат за възлови за ДТС, установени в трети държави, така че да се избягва ограничаването на свободата на договаряне на дружествата и на капацитета за достъп до услугите на доставчици с висока добавена стойност.

1.2.9. Да се включи принципът на пропорционалност в режима на санкциониране, за да се избягват демотивиращите фактори за доставчиците на ИКТ да обслужват финансови субекти от ЕС и да се откажем от настоящото позоваване на световния оборот.

1.2.10. Да се осигури яснота относно способността на дружествата да споделят информация за киберзаплахи, като се гарантира, че подобни договорености се въвеждат на доброволна основа и че в предложението за DORA е включена изрична разпоредба, позволяваща обмен на лична информация.

1.2.11. Да се повишат праговете за освобождаване в предложението за микро- и малките предприятия, както те са дефинирани в Приложение I, член 2, параграф 2 от Препоръка 2003/361/ЕО на Комисията ( 1 ) : предприятия, в които работят по-малко от 50 души и чийто годишен оборот и/или общ годишен счетоводен баланс не надвишава 10 млн. евро, и би могло да се помисли за намаляване на броя на изискванията, приложими за МСП, пропорционално на цифровия рисков профил на субекта.

1.3. ЕИСК подкрепя предоставянето на правомощия на водещите надзорници да изпълняват процедури по одит и инспекции върху възлови доставчици трети страни (ВДТС), тъй като водещите надзорници ще придобият по-добро разбиране за рисковете, които ВДТС могат да създават и това би могло да спомогне за рационализиране на процедурите на банките за възлагане на дейности на външни изпълнители.

2. Контекст

2.1. Европейските потребители и предприятия все повече разчитат на цифровите финансови услуги, което върви ръка за ръка с внедряването от страна на участниците на пазара на все по-новаторски решения, основани на новите технологии. Цифровата трансформация има ключово значение за възстановяването на Европа и за създаването на устойчива и издръжлива на сътресения европейска икономика.

2.2. В съответствие с приоритетите на Европейската комисия за подготовката на Европа за цифровата ера и за изграждане на подготвена за бъдещето икономика, която да работи за хората, Комисията предложи пакет за цифровите финансови услуги . В този пакет се очертават мерки за допълнително улесняване и подкрепа на потенциала на цифровите финансови услуги по отношение на иновациите и конкуренцията, като същевременно се намаляват произтичащите от това рискове.

2.3. Освен предложението относно оперативната устойчивост на цифровите технологии в пакета за цифровите финансови услуги е включена и нова стратегия за цифровизиране на финансовите услуги във финансовия сектор на ЕС ( 2 ) и предложение за регламент относно пазарите на криптоактиви, както и предложение за регламент относно пилотна уредба на пазарните инфраструктури, основани на технологията на децентрализирания регистър (ТДР) ( 3 )

2.4. Оперативната устойчивост на цифровите технологии е способността на дружествата да гарантират, че могат да устояват на всички видове сътресения и заплахи, свързани с информационните и комуникационните технологии (ИКТ). Все по-голямата зависимост на финансовия сектор от софтуер и цифрови процеси означава, че рисковете във връзка с ИКТ са присъщи на финансите. Финансовите дружества се превърнаха в мишени на кибератаки, които водят до сериозни финансови загуби и щети за репутацията на потребителите и дружествата. Тези рискове трябва да бъдат разбирани и управлявани добре, особено в периоди на сътресения.

2.5. Въпреки че реформите, които последваха след финансовата криза от 2008 г., укрепиха устойчивостта на финансовия сектор на ЕС, на рисковете във връзка с ИКТ беше обърнато само косвено внимание. Липсата на цялостна нормативна уредба на европейско равнище относно оперативната устойчивост на цифровите технологии наложи да се разчита на национални регулаторни инициативи. Това обаче има ограничена трансгранична ефективност и доведе до разпокъсаност на единния пазар, която подкопава стабилността и интегритета на финансовия сектор в ЕС. На този фон Комисията предлага да се създаде цялостна уредба относно оперативната устойчивост на цифровите технологии за финансовите субекти в ЕС.

2.6. Законодателното предложение относно оперативната устойчивост на цифровите технологии (DORA) ( 4 ) има за цел да подобри и да рационализира осъществяваното от финансовите предприятия управление на рисковете във връзка с ИКТ, да наложи цялостно тестване на устойчивостта на системите на ИКТ, да насърчи обмена на информация и да повиши осведомеността на надзорните органи относно кибернетичните рискове и инцидентите с ИКТ, пред които са изправени финансовите субекти, както и да въведе правомощия за органите за финансов надзор за наблюдаване на рисковете, произтичащи от зависимостта на финансовите субекти от трети страни — доставчици на услуги в областта на ИКТ. Предложението има за цел и да създаде стабилен механизъм за уведомяване за инцидентите, който би могъл да спомогне за намаляване на административното бреме за финансовите субекти и за засилване на ефективността на надзора.

2.7. Комисията представи също така предложение за директива ( 5 ) , защото е необходимо да се установи временно освобождаване за многостранните системи за търговия и да се изменят или пояснят определени разпоредби в действащите директиви на ЕС в областта на финансовите услуги, за да се постигнат целите на предложението за оперативната устойчивост на цифровите технологии.

2.8. Нареждайки се сред най-големите отрасли в света, пазарът на ИКТ се оценява на над пет трилиона щатски долара през 2019 г. и над шест трилиона до 2022 г. Постоянният растеж служи като напомняне за все по-нарастващото разпространение и значение на технологиите в съвременното общество. Финансовата сфера е най-големият потребител на ИКТ в света с около 20 % от общите разходи за ИКТ , според оценката на въздействието на законодателното предложение.

2.9. Пандемията от COVID-19 даде тласък на разпространението на цифровите финансови услуги поради намалялото използване на мрежите от клонове на финансовите институции. Това ще насърчи инвестициите в цифрови инструменти за самообслужване, финансови приложения с отворен код и услуги с добавена стойност. Като цяло настоящата ситуация ще принуди финансовите институции да инвестират повече в ИТ инфраструктура, да отдават приоритет на мигрирането на критична работна натовареност и да актуализират съществуващите приложения. Европейският финансов сектор вече е в процес на мащабна цифрова трансформация и неговата способност да се конкурира в световен мащаб до голяма степен ще зависи от способността на европейските институции да се възползват от най-авангардните технологии.

3. Общи бележки

3.1. ЕИСК приветства публикуваното от Европейската комисия предложение за регламент относно оперативната устойчивост на цифровите технологии (DORA) , в което се обръща внимание на много от исканията, отправени от финансовия сектор, и което има за цел да внесе правна яснота по отношение на разпоредбите за рисковете във връзка с ИКТ, да намали сложността на нормативната уредба и административната тежест в резултат на разнородните правила, които се прилагат към финансовите субекти в целия ЕС. С DORA не само се подобрява устойчивостта на сектора спрямо рисковете във връзка с ИКТ, но то е и в интерес и на редица заинтересовани страни, включително клиентите инвеститорите и служителите, и допринася за постигането на устойчиво развитие.

3.2. ЕИСК разглежда DORA като важна стъпка към установяването на общ набор от стандарти за ограничаване на рисковете във връзка с ИКТ и за улесняване на хармонизиран подход на надзор, но следва да се подхожда с предпазливост, за да се избегне създаването на пречки, които биха могли да попречат на финансовите институции на ЕС да участват в глобалния иновативен процес.

3.3. ЕИСК счита за основна цел органите на ЕС да се стремят към постигане на пропорционален и основан на риска режим, който предоставя на надзорните органи инструменти за преодоляване на техните опасения, като същевременно се осигурява правна сигурност и необходимите гаранции за финансовите дружества и доставчиците на ИКТ.

4. Конкретни бележки

4.1. Обхват и проблеми с регулаторното припокриване

4.1.1. Включване на допълнителни значими участници на финансовия пазар

Въпреки че ЕИСК признава и приветства широкия кръг участници на финансовия пазар, към които е насочено предложеното законодателство, който ще гарантира последователното прилагане на неговите изисквания в целия финансов сектор на ЕС, той препоръчва създателите на политики в ЕС да включат финансовите участници, които не се считат за част от приложното поле на предложеното законодателство, като например доставчиците на ипотечни кредити и доставчиците на потребителски кредити, до подходящо равнище, определяно от риска, на който те могат да изложат системата. Всеки доставчик на финансови услуги, който развива същата дейност и поема същите рискове, би трябвало да бъде обхванат от същите правила и от същия надзор, за да се гарантира еднаква минимална уредба за устойчивост на цифровите технологии, която защитава потребителите и финансовата стабилност.

4.1.2. Съгласуваност на международно равнище и на равнището на ЕС, както и с действащите разпоредби

От решаващо значение е да се осигури яснота за дружествата, особено за осъществяващите трансгранична дейност, като се гарантира, че определенията и термините са съгласувани и се избягва дублирането, припокриването и различното тълкуване на това как да се изпълнят еднакви регулаторни очаквания в различни юрисдикции. ЕИСК препоръчва създателите на политики на ЕС да изменят определението за оперативна устойчивост, за да бъде то в съответствие с определението на Базелския комитет по банков надзор (БКБН) (6), и да гарантират, че това е водещият режим, приложим за финансовите институции на ЕС, за да се избегне рискът от противоречия с други. Освен това много от принципите и изискванията, предвидени в DORA, вече са определени в действащите насоки относно възлагането на дейности на външни изпълнители (7). Изискванията за управлението на рисковете във връзка с ИКТ и сигурността също вече са определени в насоките на ЕБО. От решаващо значение ще бъде да се осигури съгласуваност в определението и обхвата между DORA и изискванията, определени в съществуващите насоки, за да се постигне хармонизиране на регулаторните изисквания в ЕС.

4.1.3. Също така ЕИСК препоръчва ЕК да гарантира, че в текущото преразглеждане на Директивата за сигурност на мрежите и информационните системи (МИС) и в предложението за DORA се използват едни и същи определения и изисквания относно политиката за докладване на инциденти за финансовите субекти.

4.2. Управление на рисковете във връзка с ИКТ

Някои елементи на рамката са съсредоточени прекомерно върху съответствието, а не върху това как дружествата могат да покажат резултати в рамките на подход, основан на принципите и на риска. Тъй като са прекалено императивни и подробни, те рискуват с времето да остареят морално с развитието на киберпространството и на ландшафта на рисковете във връзка с ИКТ. ЕИСК препоръчва подход, основан в по-голяма степен на принципите и на риска, който улеснява осъществяването на проверки и е ориентиран с бъдещето, гъвкав, пропорционален и съизмерим с рисковете.

4.3. Инциденти с ИКТ

ЕИСК препоръчва пълно привеждане в съответствие с неотдавна публикувания от Съвета за финансова стабилност (СФС) инструментариум за реагиране и възстановяване при киберинциденти (8), в който са посочени най-добрите практики за докладване на инциденти, и предложеното управление, класификация и докладване на инциденти с ИКТ, предвидени в DORA. Налице са припокривания, които създават регулаторна несигурност и увеличават регулаторната тежест за дружествата.

4.4. Тестване на оперативната устойчивост на цифровите технологии

4.4.1. Въпреки че ЕИСК приветства общоевропейския режим на тестване на проникването (ТП) в целия ЕС, тъй като той ще повиши ефикасността и ще намали фрагментацията, ЕИСК препоръчва органите да се съсредоточат не само върху размера или мащаба на финансовата институция, но и върху сложността и възловия характер на услугата, като се взема предвид принципът на пропорционалност, където е целесъобразно, премахвайки разграничението между основно тестване за всички финансови институции и по-подробно тестване за значимите финансови институции, като гарантират, че клиентите на по-малките финансови субекти са защитени в същата степен и че са създадени еднакви условия на конкуренция за всички финансови субекти.

4.4.2. ЕИСК препоръчва възлагането на тестването на външни лица да не бъде задължително, тъй като външните лица, провеждащи тестове, са ограничен брой. В действителност дружествата могат да имат свои собствени екипи за тестване, които са запознати със средата на дружествата и са в състояние бързо да се пренасочат към по-подробни и целенасочени тестове.

4.4.3. Би трябвало да се преразгледа включването на възлови доставчици на ИКТ услуги трети страни в обхвата на ТП. Фактът, че доставчици на ИКТ трети страни могат да обслужват няколко клиенти, би могъл да доведе до значително дублиране на тестовете, което от своя страна би могло да създаде съответни рискове за доставчика на ИКТ третата страна и обслужваните от него клиенти.

4.4.4. Освен това ЕИСК препоръчва изрично да се спомене взаимното признаване на резултатите от тестовете предвид тяхната роля за намаляване на риска и гарантиране на гладкото функциониране на единния пазар, както и за избягване на увеличаването на разходите за финансовите субекти, които осъществяват трансгранична дейност.

4.5. Управление на риска при ИКТ, пораждан от трета страна, и надзорна рамка за възлови доставчици трети страни (ВДТС)

4.5.1. Осигуряване на съгласуваност с наличните насоки относно възлагането на дейности на външни изпълнители

ЕИСК приветства факта, че с DORA се установява обща регулаторна рамка за доброто управление на риска при ИКТ, пораждан от трета страна, за всички участници на финансовия пазар в цяла Европа. Въпреки това ще бъде изключително важно да се гарантира пълно съответствие между тази обща основа, предвидена в основните принципи (членове 25, 26 и 27), и действащите правила, като например насоките на европейските надзорни органи (ЕНО) относно възлагането на дейности на външни изпълнители (т.е. преодоляване на съществуващата дихотомия в обхвата между „възлагането на дейности на външни изпълнители“ и „услуга, предоставяна от трета страна“ (9)). Освен това Комитетът смята, че това е добра възможност за органите на ЕС да консолидират изискванията относно възлагането на дейности на външни изпълнители в един регламент — достатъчно подробно, за да се избегнат различия в тълкуването — което би могло да създаде правна сигурност за всички участници на пазара и да отговори надеждно на очакванията на надзорните органи.

4.5.2. Изисквания, приложими за възлови или важни дейности, възложени на външни изпълнители

При прилагане на собствения си член 25, параграф 2, за да се запази ориентиран към риска акцент, регламентът трябва да бъде по-конкретен за това как ще се прилага принципът на пропорционалност, като се уточнят изискванията, които ще се прилагат към възлови или важни дейности, възложени на външни изпълнители, и изискванията, които ще се прилагат към останалите дейности (10). ЕИСК препоръчва използването на ИКТ услуги за функции, които не са възлови, да не попада в обхвата на DORA.

4.5.3. Рамка за пряк надзор за възлови доставчици трети страни (ВДТС)

ЕИСК приветства въвеждането на рамка за пряк надзор, която ще позволи непрекъснато наблюдение на дейностите на ВДТС от страна на финансовите органи при липсата на хоризонтална независима от секторите рамка на ЕС. В предложения регламент органите на ЕС би трябвало да признаят, че когато възлов доставчик на ИКТ попада под този надзор, рисковата експозиция на финансовите институции намалява поради непрекъснатото наблюдение на тяхната дейност. Следователно тази нова надзорна рамка би трябвало да спомогне и за съгласуване на процедурите на банките за възлагане на дейности на външни изпълнители, като облекчи отчасти тежестта, поемана понастоящем от финансовите субекти, например във връзка с извършването на процедури по одит и инспекции по отношение на ДТС, които се считат за възлови.

4.5.4. ЕИСК подкрепя предоставянето на правомощия на водещите надзорници да изпълняват процедури по одит и инспекции върху ВДТС, тъй като те ще придобият по-добро разбиране за рисковете, които ВДТС могат да създават, познавайки отблизо процесите и помещенията им, вместо да се разчита на настоящото докладване от страна на финансовите институции, обект на надзор и проверките, предприемани от националните компетентни органи. Въпреки че политиките на финансовите субекти за смекчаване на риска би трябвало да бъдат запазени и правното задължение да остане за тях, ако водещият надзорник вече е извършил инспекция и одити, финансовите институции би трябвало да се възползват от това допълнително равнище на сигурност и да не се задължават да ги извършват отново.

4.5.5. Водещият надзорник и националните компетентни органи

След приключване на надзорния процес националните компетентни органи ще предприемат последващи действия по препоръките на водещия надзорник. Те могат да следват собствен подход за това как да прилагат заключенията на водещия надзорник за посочените ВДТС. ЕИСК препоръчва да се осигури пълна яснота относно ролите и отговорностите на различните органи, за да се избегне ситуация, при която различията в тълкуванията засягат всеки от клиентите на ВДТС по различен начин в зависимост от техния компетентен орган, и по този начин да се намали рискът от фрагментация. Тези препоръки следва също така да станат напълно приложими, като се има предвид настоящата неяснота на член 37 по отношение на техния обвързващ характер.

4.5.6. Суспендиране на ВДТС

В DORA на националните финансови регулаторни органи се предоставя правомощието да изискват от клиентите временно да спрат или да преустановяват използването на доставчик на ИКТ услуги, докато не бъдат отстранени рисковете, установени в препоръките. Изискванията за незабавно прекратяване на работата с даден ВДТС определено биха оказали въздействие върху вземането на решения за съществуваща или бъдеща стопанска и търговска управленска дейност (например възпиране на инвестиции в ЕС), както и потенциално въздействие върху финансовата стабилност. Преди да вземат това решение, компетентните органи следва внимателно да разгледат, наред с другите фактори, потенциалното отрицателно въздействие на прекратяването на услугата за финансовите субекти, които използват този конкретен ВДТС (11), да определят ясни критерии за подобно изискване и да обмислят потенциални корективни мерки.

4.5.7. Освен това, ако в крайна сметка ситуацията е такава, Комитетът препоръчва финансовите субекти да бъдат информирани предварително и да им се дава достатъчно време за напускане.

4.6. Запазване на световната конкурентоспособност на европейските финансови дружества

4.6.1. Необходимо е новата рамка да запази възможността на европейските финансови дружества за достъп поне до същите технологии като техните конкуренти в световен план. Финансовите дружества в ЕС се конкурират в световен мащаб и предстоящата регулаторна рамка на ЕС не би трябвало да поставя тези европейски предприятия в неравностойно положение като ограничава достъпа им до най-авангардните технологии, стига доставчиците на тези технологии да отговарят на стандартите на ЕС за устойчивост и сигурност.

4.6.2. ДТС, установени в трети държави

Регламентът не следва да ограничава възможността за възлагане на услуги на установени в трети държави ДТС, които се считат за възлови. Това ограничение определено ще намали свободата на договаряне на отделните субекти и капацитета на европейските финансови институции за достъп до услугите на доставчици с висока добавена стойност, каквито най-вероятно няма да има достатъчно в Европа. Това е от още по-целесъобразно, тъй като предложената надзорна рамка е ограничена до финансовия сектор, създавайки неравнопоставеност за други субекти, които не са предмет на настоящия регламент, и би могла да доведе до увеличаване на риска от концентрация, който DORA се стреми да избегне.

4.6.3. Наказателни санкции въз основа на световния оборот

В DORA са включени наказателни санкции във връзка с оборота в световен мащаб за доставчиците на ИКТ услуги, ако не изпълняват исканията на финансовите надзорни органи в ЕС. Непропорционалното прилагане на тези санкции би могло да възпре световните доставчици на ИКТ услуги да обслужват финансови дружества от ЕС, което реално би могло да ограничи избора им на доставчици . В допълнение това би възпряло доставчиците трети страни, които не са възлови, да се включат в режима на надзор предвид опасенията от санкциониране с непропорционални глоби и по този начин ще се намали конкуренцията на пазара нагоре по веригата. ЕИСК препоръчва да се въведе ниво на пропорционалност в режима на санкциите, което е от основно значение за избягване на демотивиращи фактори за доставчиците на ИКТ услуги, които биха искали да предоставят услуги на финансови субекти от ЕС.

4.7. Относно споразумение за обмен на информация

4.7.1. Тъй като навременният обмен на информация е от жизненоважно значение за ефективното идентифициране на векторите на атака и за изолирането и предотвратяването на потенциални заплахи, ЕИСК приветства разпоредбата за улесняване на установяването на доброволна основа на споразумения за обмен на информация между финансовите институции за кибернетичните заплахи.

4.7.2. Комитетът препоръчва също така органите на ЕС да предвидят сред условията на това предложение изрично основание, за да се даде възможност за обмен на лична информация (като например IP адреси), тъй като това ще намали несигурността и ще увеличи капацитета на финансовите субекти за подобряване на възможностите им за защита, за по-добро идентифициране на заплахите и за намаляване на риска от разпространение между тях. Необходима е допълнителна яснота поради поверителния/чувствителния характер на данните.

Брюксел, 24 февруари 2021 г. Председател на Европейския икономически и социален комитет Christa SCHWENG

(1) ОВ L 124, 20.5.2003 г., стр. 36.

(2) Вж. становището на ЕИСК ECO/534 — Стратегия за цифровизиране на финансовите услуги в ЕС (вж. страница 27 от настоящия брой на Официален вестник).

(3) Вж. становището на ЕИСК ECO/535 — Криптовалутите и технологията на разпределения регистър (вж. страница 31 от настоящия брой на Официален вестник).

(4) COM(2020) 595 final.

(5) COM(2020) 596 final.

(6) Базелски комитет по банков надзор, Principles for operational resilience (Принципи за оперативна устойчивост),6 ноември 2020 г.

(7) Като например изготвените от ЕБО, ЕОЗППО, както и проекта на насоки на ЕОЦКП, които бяха в процес на обсъждане.

(8) Съвет за финансова стабилност, Final Report on Effective Practices for Cyber Incident Response and Recovery (Окончателен доклад относно ефективни практики за реагиране и възстановяване при киберинциденти), 19 октомври 2020 г.

(9) В DORA „услуги в областта на ИКТ, предоставяни от доставчици трети страни“ се споменават само по отношение на основните принципи за доброто управление на риска при ИКТ, пораждан от трета страна (глава V), докато обхватът на насоките на ЕБО относно възлагането на дейности на външни изпълнители се основава на определението за възлагане на дейности на външни изпълнители, което предполага, че дейността се осъществява на повтаряща се или на текуща основа (параграф 26). В насоките на ЕБО се определя и списък с изключения, които не се считат за възлагане на дейности на външни изпълнители (параграф 28).

(10) И тук ще бъде изключително важно също да се съгласува определението за „възлови или важни функции“ в DORA и в насоките на ЕБО относно възлагането на външни изпълнители. По-конкретно в насоките на ЕБО се определят факторите, които финансовите институции следва да вземат предвид, когато оценяват дали дадена договореност за възлагане на дейности на външни изпълнители е свързана с функция, която е възлова или важна (членове 29, 30 и 31).

(11) Един от критериите за определяне на даден доставчик на ИКТ като възлов ще бъде степента, в която ДТС може да бъде заменен, като се вземе предвид липсата на реални алтернативи или затрудненията за частично или цялостно прехвърляне на услугите (член 28, параграф 2). Ако случаят е такъв, за финансовите институции ще бъде трудно да прехвърлят услугата към друг доставчик. Освен това изискването изложените финансови институции да се пренасочват към друг доставчик на услуги в крайна сметка ще допринесе за по-голяма концентрация на европейския пазар, което би било в противоречие със самото намерение на настоящия регламент.