Co se týče provozní odolnosti, evropská strategie pro data uvádí jako základní předpoklady pro společnost posílenou využíváním dat čtyři pilíře – ochranu údajů, základní práva, bezpečnost a kybernetickou bezpečnost. Legislativní rámec posilující digitální provozní odolnost finančních subjektů Unie je s těmito politickými cíli v souladu. Návrh by také podpořil politiky zaměřené na oživení po koronaviru, neboť by zajistil, že zvýšená závislost na digitálních financích půjde ruku v ruce s provozní odolností. Oba návrhy také reagují na výzvy fóra na vysoké úrovni o unii kapitálových trhů ke stanovení jasných pravidel pro používání kryptoaktiv (doporučení 7) a zavedení nových pravidel pro kybernetickou odolnost (doporučení 10).

–články 2 až 4, 6 a 8 mění směrnici 2009/65/ES o koordinaci právních a správních předpisů týkajících se subjektů kolektivního investování do převoditelných cenných papírů (SKIPCP), směrnici 2009/138/ES o přístupu k pojišťovací a zajišťovací činnosti a jejím výkonu (Solventnost II), směrnici 2011/61/EU o správcích alternativních investičních fondů, směrnici 2014/56/EU o povinném auditu ročních a konsolidovaných účetních závěrek a směrnici (EU) 2016/2341 o činnostech institucí zaměstnaneckého penzijního pojištění (IZPP) a dohledu nad nimi s cílem doplnit do každé z uvedených směrnic zvláštní odkazy na nařízení (EU) 2021/xx [DORA] s ohledem na řízení systémů a nástrojů IKT těchto finančních subjektů, které by mělo být realizováno v souladu s ustanoveními uvedeného nařízení,

s ohledem na stanovisko Evropské centrální banky,

s ohledem na stanovisko Evropského hospodářského a sociálního výboru,

v souladu s řádným legislativním postupem,

vzhledem k těmto důvodům:

(1)Unie potřebuje vhodným a uceleným způsobem reagovat na digitální rizika hrozící všem finančním subjektům v důsledku zvyšujícího se využívání informačních a komunikačních technologií (IKT) při poskytování a využívání finančních služeb.

(2)Provozovatelé ve finančním sektoru jsou při své každodenní činnosti silně závislí na využívání digitálních technologií a zajistit provozní odolnost jejich digitálních operací vůči rizikům v oblasti IKT je proto nanejvýš důležité. Tato potřeba je nyní ještě naléhavější v důsledku růstu trhu průlomových technologií, zejména technologií umožňujících elektronický převod a uchovávání digitálního vyjádření hodnot nebo práv za použití sdíleného registru nebo podobné technologie („kryptoaktiva“) a technologií pro služby spojené s těmito aktivy.

(3)Na úrovni Unie jsou požadavky týkající se rizik v oblasti IKT pro finanční sektor v současné době uvedeny ve směrnicích Evropského parlamentu a Rady2006/43/ES, 2009/66/ES, 2009/138/ES, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 a (EU) 2016/2341, přičemž se navzájem liší a jsou místy neúplné. V některých případech jsou rizika v oblasti IKT řešena pouze implicitně v rámci operačních rizik, zatímco v jiných případech nejsou řešena vůbec. To by mělo být napraveno uvedením uvedených aktů do souladu s nařízením Evropského parlamentu a Rady (EU) xx/20xx [DORA]. Tato směrnice předkládá soubor změn, které se jeví jako nezbytné k zajištění právní srozumitelnosti a soudržnosti, pokud jde o uplatňování různých požadavků digitální provozní odolnosti, které jsou nezbytné pro výkon činnosti finančních subjektů podléhajících povolení a dohledu v souladu s uvedenými směrnicemi, ze strany těchto subjektů, a zaručuje tak hladké fungování vnitřního trhu.

(4)V oblasti bankovních služeb směrnice 2013/36/EU o přístupu k činnosti úvěrových institucí a o obezřetnostním dohledu nad úvěrovými institucemi a investičními podniky v současné době obsahuje pouze obecná pravidla vnitřní správy a řízení a ustanovení o operačním riziku obsahující požadavky na pohotovostní plány a plány zachování provozu, které implicitně slouží jako základ pro řízení rizik v oblasti IKT. Nicméně aby bylo zajištěno, že budou výslovně řešena rizika v oblasti IKT, měly by být v souladu s požadavky stanovenými v nařízení (EU) 2021/xx [DORA] požadavky na pohotovostní plány a plány zachování provozu pozměněny tak, aby zahrnovaly i plány zachování provozu a obnovy provozu po havárii v souvislosti s riziky v oblasti IKT.

(5)Směrnice 2014/65/EU o trzích finančních nástrojů stanoví přísnější pravidla v oblasti IKT pro investiční podniky a obchodní systémy, pouze pokud vykonávají algoritmické obchodování. Na služby hlášení údajů a registry obchodních údajů se vztahují méně specifikované požadavky. Obsahuje také pouze omezené zmínky o kontrolních a ochranných opatřeních pro systémy zpracování dat a o používání vhodných systémů, zdrojů a postupů za účelem zajištění nepřerušeného a řádného poskytování obchodních služeb. Uvedená směrnice by měla být uvedena do souladu s nařízením (EU) 2021/xx [DORA], pokud jde o nepřerušené a řádné poskytování investičních služeb a výkon investičních činností, provozní odolnost, kapacitu obchodních systémů a účinnost mechanismů zachování provozu a řízení rizik.

(6)Definice „finančního nástroje“ ve směrnici 2014/65/EU v současné době explicitně nezahrnuje finanční nástroje vydané za použití třídy technologií, které podporují sdílené zaznamenávání šifrovaných údajů (technologie sdíleného registru). S cílem zajistit, aby se s těmito finančními nástroji mohlo obchodovat na trhu na základě stávajícího právního rámce, by měla být definice ve směrnici 2014/65/EU upravena tak, aby je zahrnovala.

(7)S cílem zejména umožnit vývoj kryptoaktiv, která by byla způsobilá jako finanční nástroje, při současném zachování vysoké úrovně finanční stability, integrity trhu, transparentnosti a ochrany investorů, by bylo přínosné vytvořit dočasný režim pro tržní infrastruktury vedené na technologii sdíleného registru. Tento dočasný právní rámec by měl příslušným orgánům umožnit dočasně povolit tržním infrastrukturám vedeným na technologii sdíleného registru provozovat činnost na základě alternativního souboru požadavků, pokud jde o přístup k těmto infrastrukturám, v porovnání s požadavky jinak platnými podle právních předpisů Unie týkajících se finančních služeb, které by jim mohly bránit ve vývoji řešení pro obchodování a vypořádání obchodů s kryptoaktivy způsobilými jako finanční nástroje. Tento právní rámec by měl být dočasný s cílem umožnit evropským orgánům dohledu a příslušným vnitrostátním orgánům získat zkušenosti, pokud jde o příležitosti a specifická rizika, které obchodování s kryptoaktivy v těchto infrastrukturách přináší. Tato směrnice tudíž doprovází nařízení [o pilotním režimu pro tržní infrastruktury vedené na technologii sdíleného registru] a podporuje tento nový regulační rámec Unie pro tržní infrastruktury vedené na technologii sdíleného registru tím, že umožňuje specifickou výjimku z určitých ustanovení právních předpisů Unie týkajících se finančních služeb, která se vztahují na činnosti a služby související s finančními nástroji, jak jsou vymezeny v čl. 4 odst. 1 bodě 15 směrnice 2014/65/EU, a která by jinak neposkytovala plnou flexibilitu potřebnou při zavádění řešení u obchodních a poobchodních fází obchodů zahrnujících kryptoaktiva.

(8)Mnohostranný obchodní systém vedený na technologii sdíleného registru by měl být mnohostranným systémem, který je provozován investičním podnikem nebo organizátorem trhu na základě povolení podle směrnice 2014/65/EU, jenž obdržel zvláštní povolení podle nařízení Evropského parlamentu a Rady (EU) xx/20xx [návrh nařízení o pilotním režimu pro tržní infrastruktury vedené na technologii sdíleného registru]. Pro mnohostranné obchodní systémy vedené na technologii sdíleného registru by měly platit všechny požadavky platné pro mnohostranné obchodní systémy na základě uvedené směrnice, ledaže by mu příslušný vnitrostátní orgán udělil výjimku v souladu s touto směrnicí. Potenciální regulační překážkou pro vytvoření mnohostranného obchodního systému pro převoditelné cenné papíry vydané s použitím technologie sdíleného registru by mohla být povinnost zprostředkování stanovená ve směrnici 2014/65/EU. Tradiční mnohostranný obchodní systém může jako členy nebo účastníky přijmout pouze investiční podniky, úvěrové instituce a jiné osoby, které mají dostatečné schopnosti a způsobilost a které disponují vhodnou organizační strukturou a zdroji. Mnohostrannému obchodnímu systému vedenému na technologii sdíleného registru by mělo být povoleno požádat o výjimku z této povinnosti tak, aby mohl poskytnout neprofesionálním investorům snadný přístup k obchodnímu systému, za předpokladu, že jsou zavedena odpovídající ochranná opatření z hlediska ochrany investorů.

(9)Směrnice (EU) 2015/2366 o platebních službách stanoví pro účely povolování poskytování platebních služeb zvláštní pravidla týkající se bezpečnostních kontrol IKT a prvků určených k minimalizaci rizik. Uvedená pravidla povolování by měla být změněna za účelem uvedení do souladu s nařízením (EU) 2021/xx [DORA]. Dále by pravidla pro oznamování incidentů v uvedené směrnici neměla platit pro oznamování incidentů souvisejících s IKT, která nařízení (EU) 2021/xx [DORA] plně harmonizuje.

(10)Směrnice 2009/138/ES o přístupu k pojišťovací a zajišťovací činnosti a jejím výkonu a směrnice (EU) 2016/2341 o činnostech institucí zaměstnaneckého penzijního pojištění a dohledu nad nimi částečně pokrývají rizika v oblasti IKT v rámci svých obecných ustanovení o správě a o řízení rizik, přičemž určité požadavky je nutné upřesnit prostřednictvím nařízení v přenesené pravomoci, ať již s výslovnými odkazy na rizika v oblasti IKT, či nikoliv. Ještě méně konkrétní ustanovení platí pro statutární auditory a auditorské společnosti, neboť směrnice Evropského parlamentu a Rady 2014/56/EU obsahuje pouze obecná ustanovení o vnitřní organizaci. Obdobně platí pouze velmi obecná pravidla pro správce alternativních investičních fondů a správcovské společnosti na základě směrnic 2011/61/EU a 2009/65/ES. Tyto směrnice by proto měly být uvedeny do souladu s požadavky stanovenými v nařízení (EU) 2021/xx [DORA], pokud jde o řízení systémů a nástrojů IKT.

(11)V mnoha případech byly další požadavky v oblasti IKT již stanoveny v aktech v přenesené pravomoci a v prováděcích aktech, které byly přijaty na základě návrhu regulačních a prováděcích technických norem vypracovaných příslušným evropským orgánem dohledu. Za účelem právní srozumitelnosti ohledně skutečnosti, že právní základ ustanovení týkajících se rizik v oblasti IKT od nynějška vychází výhradně z nařízení (EU) 2021/xx [DORA], by měla být zmocnění v těchto směrnicích změněna s vysvětlením, že na ustanovení ohledně rizik v oblasti IKT se tato zmocnění nevztahují.

(12)Aby bylo zajištěno jednotné a souběžné uplatňování nařízení xx/20xx [DORA] a této směrnice, které společně tvoří nový rámec pro digitální provozní odolnost finančního sektoru, měly by členské státy uplatňovat ustanovení vnitrostátního práva, kterými se tato směrnice provádí, od data použitelnosti uvedeného nařízení.

(13)Směrnice 2006/43/ES, 2009/66/ES, 2009/138/ES, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 a (EU) 2016/2341 byly přijaty na základě čl. 53 odst. 1 a článku 114 Smlouvy o fungování Evropské unie. Změny stanovené v této směrnici by měly být shrnuty v jediném aktu vzhledem k propojenosti předmětu a cílů příslušných změn a tento jediný akt by měl být přijat na základě čl. 53 odst. 1 a článku 114 Smlouvy o fungování Evropské unie.

(14)Jelikož cílů této směrnice nemůže být uspokojivě dosaženo členskými státy, neboť vyžadují harmonizaci prostřednictvím aktualizací a změn požadavků, které jsou již obsaženy ve směrnicích, a z důvodu jejich rozsahu a účinků jich tak může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v témže článku nepřekračuje toto nařízení rámec toho, co je pro dosažení uvedených cílů nezbytné.

(15)Členské státy se v souladu se společným politickým prohlášením členských států a Komise ze dne 28. září 2011 o informativních dokumentech zavázaly, že v odůvodněných případech doplní oznámení o opatřeních přijatých za účelem provedení směrnice ve vnitrostátním právu o jeden či více dokumentů s informacemi o vztahu mezi jednotlivými složkami směrnice a příslušnými částmi vnitrostátních nástrojů přijatých za účelem provedení směrnice ve vnitrostátním právu. V případě této směrnice považuje normotvůrce předložení těchto dokumentů za odůvodněné,

PŘIJALY TUTO SMĚRNICI: