Dosud žádné právní předpisy Unie týkající se finančních služeb se nezaměřují na provozní odolnost a žádný z nich dosud uceleně neřeší rizika plynoucí z digitalizace, a to ani ty, jež se rizikům v oblasti IKT věnují v rámci svých ustanovení obecněji se zabývajících operačními riziky. Intervence Unie dosud pomáhala řešit požadavky a problémy, které nastaly po finanční krizi z roku 2008: úvěrové instituce nedisponovaly dostatečným kapitálem, finanční trhy nebyly dostatečně integrované a harmonizace byla do té doby minimální. Rizika v oblasti IKT nebyla v té době považována za prioritu, a v důsledku toho se právní rámce různých finančních pododvětví vyvíjely nekoordinovaně. Přesto opatření Unie splnila svůj účel zajistit finanční stabilitu a vytvořit jednotný soubor harmonizovaných obezřetnostních pravidel a pravidel chování na trhu platných pro finanční subjekty v celé EU. Jelikož faktory, které vedly k legislativní intervenci Unie v minulosti, neumožňovaly přijetí specifických nebo ucelených pravidel zabývajících se širokým používáním digitálních technologií a z něj plynoucími riziky pro oblast financí, jeví se provedení jasného hodnocení jako problematické. Výsledky předpokládaného hodnocení a následné změny právních předpisů jsou vtěleny do jednotlivých pilířů tohoto nařízení.

Zvolená možnost přinese jednorázové i opakující se náklady. Jednorázové náklady vzniknou zejména v důsledku investic do systémů IT, a jsou proto obtížně vyčíslitelné vzhledem k různému stavu celkových struktur IT podniků, a zejména jejich stávajících systémů IT. Přesto budou pravděpodobně tyto náklady u velkých podniků omezené vzhledem ke značným investicím, které již tyto podniky do IKT vložily. Omezené náklady se očekávají rovněž u menších podniků, neboť se na ně s ohledem na jejich nižší míru rizika budou vztahovat proporcionální opatření.

(24)Dále, nebude-li požadováno testování, zůstanou nezjištěny slabiny, které významně ohrožují finanční subjekt a v konečném důsledku i stabilitu a integritu finančního sektoru. Bez zásahu Unie by bylo testování digitální provozní odolnosti nadále roztříštěné a neexistovalo by vzájemné uznávání výsledků testování v různých jurisdikcích. Protože je rovněž nepravděpodobné, že by další finanční pododvětví přijala tato schémata ve smysluplném rozsahu, promarnily by potenciální výhody, například odhalení zranitelných míst a rizik, prostředky testování bezpečnosti a zachování provozu, a zvýšenou důvěru klientů, dodavatelů a obchodních partnerů. K odstranění těchto přesahů, rozdílů a mezer je nutné stanovit pravidla zaměřená na koordinaci testování finančními subjekty a kompetentními orgány, což usnadní vzájemné uznávání pokročilého testování u významných finančních subjektů.

(29)S přihlédnutím k potenciálním systémovým rizikům souvisejícím se zvýšeným externím poskytováním služeb a koncentrací závislosti na třetích stranách v oblasti IKT a s ohledem na nedostatečné vnitrostátní mechanismy umožňující orgánům finančního dohledu kvantifikovat, kvalifikovat a napravovat důsledky rizik v oblasti IKT, které se objevují u kritických poskytovatelů služeb IKT z řad třetích stran, je nezbytné vytvořit vhodný rámec dohledu Unie, který umožní nepřetržité sledování činností poskytovatelů služeb IKT z řad třetích stran, kteří jsou kritickými dodavateli finančních subjektů.

(30)Jak se hrozby v oblasti IKT stávají složitějšími a sofistikovanějšími, závisí správná detekční a preventivní opatření ve značné míře na pravidelném sdílení operativních informací o hrozbách a zranitelnosti mezi finančními subjekty. Sdílení informací přispívá ke zvýšenému povědomí o kybernetických hrozbách, což zase zlepšuje schopnost finančních subjektů zabránit tomu, aby se z hrozeb staly skutečné incidenty, a umožňuje těmto subjektům lépe omezit dopady incidentů souvisejících s IKT a efektivněji se zotavit. Vzhledem k absenci pokynů na úrovni Unie se zdá, že tomuto sdílení operativních informací brání několik faktorů, zejména nejistota ohledně kompatibility v rámci předpisů pro ochranu osobních údajů, antimonopolních předpisů a předpisů upravujících odpovědnost.

(31)Kromě toho pochybnosti týkající se druhu informací, které je možné sdílet s ostatními účastníky trhu nebo jinými orgány nevykonávajícími dohled (například ENISA u analytických údajů nebo Europol pro účely prosazování práva), způsobují zadržování užitečných informací. Rozsah a kvalita sdílení informací zůstávají omezené, roztříštěné a příslušné výměny informací probíhají zejména na místní úrovni (prostřednictvím vnitrostátních iniciativ) a bez konzistentních celounijních dohod o sdílení informací přizpůsobených požadavkům integrovaného finančního sektoru.

(32)Finanční subjekty by proto měly být vybízeny, aby kolektivně využívaly svých individuálních znalostí a praktických zkušeností na strategické, taktické a provozní úrovni, a zlepšily tak své schopnosti adekvátního posuzování a sledování kybernetických hrozeb, obrany před nimi a reakce na ně. Je tedy nezbytné umožnit, aby na úrovni Unie vznikly mechanismy ujednání o dobrovolném sdílení informací, které při zavedení v důvěryhodných prostředích pomohou finančnímu společenství bránit se a společně reagovat na hrozby rychlým omezením šíření rizik souvisejících s IKT a zabráněním potenciálnímu šíření krize finančními kanály. Tyto mechanismy by měly být prováděny v úplném souladu s platnými právními předpisy Unie pro ochranu hospodářské soutěže a rovněž způsobem zaručujícím úplné dodržování předpisů Unie pro ochranu osobních údajů, zejména nařízení Evropského parlamentu a Rady (EU) 2016/679, zejména v souvislosti se zpracováním osobních údajů nezbytným pro účely oprávněného zájmu správce údajů nebo třetího subjektu, jak je uvedeno v čl. 6 odst. 1 písm. f) uvedeného nařízení.

(33)Bez ohledu na širokou platnost uvedenou v tomto nařízení by mělo používání pravidel pro digitální provozní odolnost zohledňovat výrazné rozdíly ve velikosti, profilech činnosti nebo expozici digitálním rizikům jednotlivých finančních subjektů. Obecným principem při rozdělování zdrojů a prostředků na realizaci rámce řízení rizik souvisejících s IKT by mělo být, že finanční subjekty správně vyváží své požadavky na IKT podle své velikosti a profilu činnosti, zatímco příslušné orgány budou nadále hodnotit a revidovat způsob tohoto rozdělování.

(34)Protože mohou větší finanční subjekty využívat více prostředků a dokážou rychle přidělovat finance na rozvoj řídicích struktur a vytvářet různé podnikové strategie, měly by mít povinnost zřizovat komplexnější systémy správy a řízení pouze ty finanční subjekty, které nejsou ve smyslu tohoto nařízení považovány za mikropodniky. Tyto subjekty jsou lépe vybaveny pro vytváření specializovaných vedoucích funkcí pro dohled nad dohodami s poskytovateli služeb IKT z řad třetích stran nebo pro zvládání krizového řízení, k organizaci svého řízení rizik souvisejících s IKT podle tří linií modelu obrany nebo ke schválení personálního dokumentu komplexně vysvětlujícího zásady přístupových oprávnění.

Proto by mělo být pouze po těchto finančních subjektech požadováno, aby prováděly hloubková posouzení po velkých změnách infrastruktur sítí a informačních systémů a procesů, aby pravidelně analyzovaly rizika stávajících IKT systémů nebo aby rozšiřovaly testování zachování provozu a plánů na reakci a obnovu provozu, které zachytí scénáře přepínání mezi primární infrastrukturou IKT a redundantními zařízeními.

(35)Protože bude navíc požadováno provádění penetračních testů na základě hrozeb pouze u finančních subjektů označených za významné pro účely pokročilého testování digitální odolnosti, měly by se administrativní procesy a finanční náklady související s těmito testy týkat malého procenta finančních subjektů. Konečně s ohledem na snižování regulatorního zatížení by mělo být pravidelné hlášení všech nákladů a ztrát způsobených narušením IKT a hlášení výsledků přezkumů po incidentech závažného narušení IKT požadováno pouze po jiných finančních subjektech, než jsou mikropodniky.

(36)Aby byla zajištěna úplná harmonizace a celková konzistentnost obchodních strategií finančních subjektů na jedné straně a provádění řízení rizik v oblasti IKT na straně druhé, je třeba po vedoucím orgánu požadovat, aby si zachovával klíčovou a aktivní úlohu při řízení a přizpůsobování rámce řízení rizik v oblasti IKT a celkové strategie digitální odolnosti. Přístup vedoucího orgánu by se neměl zaměřovat pouze na prostředky k zajištění odolnosti systémů IKT, ale měl by zahrnovat rovněž osoby a procesy prostřednictvím strategií, které na každé úrovni společnosti a pro všechny pracovníky kultivují silné povědomí o kybernetických rizicích a závazek k dodržování striktní kybernetické hygieny na všech úrovních.

Nejvýznamnějším úkolem vedoucího orgánu při řízení rizik finančního subjektu v oblasti IKT by měl být zastřešující princip tohoto komplexního přístupu dále vyjádřeného prostřednictvím nepřetržitého angažování vedoucího orgánu při kontrole sledování řízení rizik v oblasti IKT.

(37)Dále jde plná odpovědnost vedoucího orgánu ruku v ruce se zabezpečením úrovně investic do IKT a celkového rozpočtu finančního subjektu, aby dokázal dosáhnout své základní linie digitální provozní odolnosti.

(38)Toto nařízení, které je inspirováno příslušnými mezinárodními, vnitrostátními a odvětvovými normami, pokyny, doporučeními nebo přístupy pro řízení kybernetických rizik, podporuje soubor funkcí usnadňujících celkovou strukturalizaci řízení rizik v oblasti IKT. Budou-li hlavní prostředky, kterými disponují finanční subjekty, odpovídat cílům těchto funkcí (identifikace, ochrana a prevence, odhalování, reakce a obnova provozu, poučení a vývoj a komunikace), které jsou uvedeny v tomto nařízení, mohou finanční subjekty nadále používat modely řízení rizik v oblasti IKT s různými rámci nebo kategoriemi.

(39)Aby finanční subjekty udržely krok s rozvíjející se oblastí kybernetických hrozeb, měly by udržovat aktualizované systémy IKT, které budou spolehlivé a budou disponovat dostatečnou kapacitou nejen k zajištění zpracování údajů v rozsahu nezbytném k realizaci jejich služeb, ale rovněž k zajištění technologické odolnosti umožňující finančním subjektům adekvátně se vypořádat s dalšími požadavky na zpracování, které ztěžují podmínky na trhu nebo mohou vytvářet jiné nepříznivé stavy. Přestože toto nařízení neobsahuje žádnou standardizaci konkrétních systémů, nástrojů nebo technologií IKT, vychází z toho, že finanční subjekty budou vhodně využívat evropsky a mezinárodně uznávané technické normy (např. ISO) nebo odvětvové osvědčené postupy, bude-li takové využití zcela v souladu s konkrétními pokyny dohledu pro používání a začlenění mezinárodních norem.

(40)Účinné plány zachování provozu a plány obnovy jsou nutné k tomu, aby mohly finanční subjekty neprodleně a rychle řešit incidenty související s IKT, zejména kybernetické útoky, prostřednictvím omezení škod a upřednostnění obnovy činností a nápravných opatření. Přestože by však záložní systémy měly začít se zpracováním bez zbytečného prodlení, neměl by takový začátek nijak ohrožovat integritu a bezpečnost sítě a informačních systémů ani důvěrnost údajů.

(41)I když toto nařízení umožňuje, aby finanční subjekty pružně stanovily časové cíle obnovy, tedy aby stanovily tyto cíle s úplným zohledněním povahy a významu relevantní funkce a všech konkrétních požadavků podniku, mělo by být při stanovování těchto cílů rovněž požadováno vyhodnocení potenciálního celkového dopadu na tržní efektivitu.

(42)Vážné dopady kybernetických útoků se zesilují, když se objeví ve finančním sektoru, oblasti, kde mnohem více hrozí, že se stane cílem zločinců hledajících finanční zisky přímo u zdroje. Aby se zmírnila tato rizika a zabránilo ztrátě integrity systémů IKT či jejich nedostupnosti a prolomení důvěrných údajů nebo poškození fyzické infrastruktury IKT, je třeba výrazně zlepšit hlášení závažných incidentů souvisejících s IKT finančními subjekty.

Hlášení incidentů souvisejících s IKT by mělo být pro všechny finanční subjekty harmonizováno, a to tak, že budou požádány, aby podávaly hlášení pouze svým příslušným orgánům. Přestože by se povinnost uvedených hlášení měla vztahovat na všechny finanční subjekty, nebude platit pro všechny stejně, neboť příslušné mezní hodnoty významnosti a časové rámce je třeba nastavit tak, aby zachytily pouze závažné incidenty související s IKT. Přímá hlášení by umožnila finančnímu dohledu přístup k informacím o incidentech souvisejících s IKT. Finanční dohled by měl nicméně předávat tyto informace jiným než finančním veřejným orgánům (příslušné orgány NIS, vnitrostátní orgány ochrany osobních údajů a donucovací orgány pro incidenty protiprávní povahy). Informace o incidentech souvisejících s IKT by měly být sdělovány vzájemně: orgány finančního dohledu by měly finančnímu subjektu poskytovat všechny nezbytné zpětné vazby nebo pokyny a evropské orgány dohledu by měly sdílet anonymizované údaje o hrozbách a zranitelných místech týkající se dané události, aby pomohly širší společné obraně.

(43)Je třeba předpokládat další reflexi možné centralizace zpráv o incidentech souvisejících s IKT prostřednictvím jednotného centra EU, které bude buď přímo přijímat taková hlášení a automaticky informovat příslušné vnitrostátní orgány, nebo bude soustřeďovat hlášení zasílaná příslušnými vnitrostátními orgány a plnit úlohu koordinátora. Evropské orgány dohledu by měly být požádány, aby společně s ECB a ENISA vypracovaly do určitého data společnou zprávu zabývající se proveditelností vytvoření tohoto jednotného centra EU.

(44)Aby finanční subjekty dosáhly silné digitální provozní odolnosti a fungovaly v souladu s mezinárodními normami (např. Základní prvky G7 pro penetrační testování na základě hrozeb), měly by pravidelně testovat své systémy a personál IKT na efektivitu jejich prostředků prevence, detekce, reakce a obnovy, aby byla zjištěna a odstraněna potenciální zranitelná místa IKT. V reakci na rozdíly napříč finančními pododvětvími a v jejich rámci, pokud jde o připravenost finančních subjektů v oblasti kybernetické bezpečnosti, by mělo testování zahrnovat širokou škálu nástrojů a opatření od posouzení základních požadavků (např. posouzení a zjišťování zranitelnosti, analýzy otevřených zdrojů, vyhodnocení síťového zabezpečení, analýzy nedostatků, přezkumy fyzické bezpečnosti, dotazníky a antivirová softwarová řešení, v případě proveditelnosti přezkumy zdrojových kódů, testy založené na scénářích, testování kompatibility, testování výkonu nebo testování mezi koncovými body) až po pokročilejší testování (např. penetrační testy na základě hrozeb pro finanční subjekty z perspektivy IKT dostatečně vyspělé na to, aby tyto testy dokázaly provádět). Testování digitální provozní odolnosti by tedy mělo být pro některé významné finanční subjekty náročnější (např. pro velké úvěrové instituce, burzy, centrální depozitáře cenných papírů, ústřední protistrany atd.). Současně by testování digitální provozní odolnosti mělo být vhodnější pro některá pododvětví hrající klíčovou systémovou roli (např. platby, bankovnictví, clearing a vypořádání) a méně vhodné pro jiná pododvětví (např. správci aktiv, ratingové agentury atd.). Přeshraniční finanční subjekty vykonávající své právo usazování nebo poskytování služeb v rámci Unie by měly ve svém domovském členském státě splňovat jednotný soubor požadavků na pokročilé testování (např. penetrační testy na základě hrozeb) a příslušné testování by mělo zahrnovat infrastruktury IKT ve všech jurisdikcích, kde přeshraniční skupina působí v rámci Unie, což přeshraničním skupinám umožní, aby náklady na testování vznikly pouze v jedné jurisdikci.

(45)Za účelem zajištění řádného sledování rizik v oblasti IKT spojených s třetími stranami je nutné stanovit soubor pravidel založených na zásadách jako vodítko pro finanční subjekty sledující rizika, která vznikají v souvislosti s funkcemi externě zajišťovanými poskytovateli služeb IKT z řad třetích stran a obecněji v souvislosti se závislostí na třetích stranách v oblasti IKT.