EUROPA-KOMMISSIONEN Bruxelles, den 24.9.2020 COM(2020) 595 final 2020/0266(COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014 og (EU) nr. 909/2014 (EØS-relevant tekst) {SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}



BEGRUNDELSE 1.BAGGRUND FOR FORSLAGET ·Begrundelse for og målene med forslaget Dette forslag er en del af pakken om digital finans, som er en pakke af foranstaltninger, som yderligere skal frigive og understøtte det potentiale, der ligger i digital finans med hensyn til innovation og konkurrence, samtidig med at de risici, der følger heraf, reduceres. Det er i overensstemmelse med Kommissionens prioriteter om at gøre Europa klar til den digitale tidsalder og opbygge en fremtidssikret økonomi, der tjener alle. Pakken om digital finans indeholder en ny strategi for digital finans for EU's finansielle sektor, som har til formål at sikre, at EU tager den digitale revolution til sig og fremmer den med innovative europæiske virksomheder i front, idet forbrugere og virksomheder får adgang til fordelene ved digital finans. Ud over dette forslag indeholder pakken også et forslag til forordning om markeder for kryptoaktiver, et forslag til forordning om en pilotordning for markedsinfrastrukturer baseret på distributed ledger-teknologi (DLT) og et forslag til direktiv, der skal præcisere eller ændre visse relaterede EU-regler om finansielle tjenesteydelser.Digitalisering og operationel modstandsdygtighed i den finansielle sektor er to sider af samme sag. Digitale teknologier eller informations- og kommunikationsteknologier (IKT) giver anledning til såvel muligheder som risici. Der skal være god forståelse for og styring af dem, navnlig i perioder med stresspåvirkning. Politiske beslutningstagere og tilsynsmyndigheder retter derfor i stigende grad fokus mod risici, som skyldes afhængighed af IKT. De har navnlig forsøgt at øge virksomheders modstandsdygtighed ved at fastsætte standarder og ved at koordinere det regulerings- eller tilsynsmæssige arbejde. Dette arbejde er blevet udført på både internationalt og europæisk plan samt både på tværs af industrisektorer og for en række specifikke sektorer, herunder sektoren for finansielle tjenesteydelser. IKT-risici udgør ikke desto mindre fortsat en udfordring for den operationelle modstandsdygtighed, kapaciteten og stabiliteten i EU's finansielle system. Den reform, der fulgte efter den finansielle krise i 2008, øgede primært den finansielle modstandsdygtighed i EU's finansielle sektor, idet den kun indirekte imødegik IKT-risici på visse områder som led i foranstaltningerne til at afhjælpe operationelle risici mere bredt. Mens der med ændringerne af EU-lovgivningen om finansielle tjenesteydelser efter krisen blev indført et fælles regelsæt, som regulerer store dele af de finansielle risici, der er forbundet med finansielle tjenesteydelser, tog disse ikke fuldt ud højde for digital operationel modstandsdygtighed. De foranstaltninger, der er truffet med hensyn til sidstnævnte, var karakteriseret ved en række egenskaber, der begrænsede deres effektivitet. For eksempel blev de ofte udarbejdet som minimumsharmoniseringsdirektiver eller principbaserede forordninger, som giver betydelig fleksibilitet til divergerende tilgange i hele det indre marked. Derudover har der kun været begrænset eller ufuldstændigt fokus på IKT-risici i forbindelse med dækningen af operationelle risici. Endelig varierer disse foranstaltninger på tværs af den sektorspecifikke lovgivning om finansielle tjenesteydelser. Med andre ord svarede tiltagene på EU-plan ikke fuldt ud til det, som europæiske finansielle enheder havde brug for med henblik på styring af operationelle risici på en måde, der sikrer modstandsdygtighed, en indsats over for og genopretning efter virkningerne af IKT-hændelser. De gav heller ikke finansielle tilsynsmyndigheder de bedst egnede værktøjer til at opfylde deres mandater til at forebygge finansiel instabilitet, som skyldes, at sådanne IKT-risici reelt opstår. Manglen på detaljerede og udførlige regler om digital operationel modstandsdygtighed på EU-plan har ført til udbredelse af nationale reguleringsinitiativer (f.eks. afprøvning af digital operationel modstandsdygtighed) og tilsynsmetoder (f.eks. håndtering af afhængighed af tredjepartsudbydere af IKT). Tiltag på nationalt plan har imidlertid kun begrænset indvirkning på grund af IKT-risicis grænseoverskridende karakter. De ukoordinerede nationale initiativer har desuden resulteret i overlapninger, manglende konsekvens, duplikering af krav, høje administrations- og overholdelsesomkostninger — navnlig for grænseoverskridende finansielle enheder — eller i, at IKT-risici ikke detekteres og dermed ikke imødegås. Denne situation medfører fragmentering på det indre marked, underminerer stabiliteten og integriteten i EU's finansielle sektor og sætter forbruger- og investorbeskyttelsen på spil. Det er derfor nødvendigt at indføre en detaljeret og udførlig ramme for digital operationel modstandsdygtighed for EU's finansielle enheder. Denne ramme vil uddybe den dimension, der vedrører digital risikostyring i det fælles regelsæt. Den vil navnlig styrke og strømline finansielle enheders udførelse af IKT-risikostyring, indføre en grundig afprøvning af IKT-systemer, øge tilsynsmyndigheders kendskab til cyberrisici og de IKT-relaterede hændelser, som finansielle enheder udsættes for, samt tillægge finansielle tilsynsmyndigheder beføjelser til at føre tilsyn med risici, som skyldes finansielle enheders afhængighed af tredjepartsudbydere af IKT-tjenester. Forslaget vil skabe en konsekvent mekanisme til indberetning af hændelser, som vil bidrage til at mindske den administrative byrde for finansielle enheder og øge den tilsynsmæssige effektivitet. ·Sammenhæng med de gældende regler på samme område. Dette forslag indgår som led i et bredere igangværende arbejde på europæisk og internationalt plan for at styrke cybersikkerheden i forbindelse med finansielle tjenesteydelser og imødegå bredere operationelle risici. Det kommer også som reaktion på den fælles tekniske rådgivning fra 2019 fra de europæiske tilsynsmyndigheder (ESA'er), hvori der opfordres til en mere konsekvent tilgang til imødegåelse af IKT-risici inden for finans og det anbefales, at Kommissionen på en forholdsmæssigt afpasset måde styrker den digitale operationelle modstandsdygtighed i sektoren for finansielle tjenesteydelser gennem et sektorspecifikt EU-initiativ. ESA'ernes rådgivning var en reaktion på Kommissionen fintechhandlingsplan fra 2018. ·Sammenhæng med Unionens politik på andre områder Som Kommissionens formand, Ursula von der Leyen, erklærede i sine politiske retningslinjer og som beskrevet i meddelelsen "Europas digitale fremtid i støbeskeen" er det afgørende for Europa at høste alle fordelene ved den digitale tidsalder og styrke sin industri- og innovationskapacitet inden for sikre og etiske grænser. I den europæiske strategi for data fastsættes der fire søjler — databeskyttelse, grundlæggende rettigheder, sikkerhed og cybersikkerhed — som væsentlige forudsætninger for et samfund, der styrkes ved brugen af data. I den seneste tid har Europa-Parlamentet været beskæftiget med en betænkning om digital finans, som bl.a. opfordrer til en fælles tilgang til cyberrobusthed i den finansielle sektor.En lovramme, der øger den digitale operationelle modstandsdygtighed i EU's finansielle enheder, er i overensstemmelse med disse politikmål. Forslaget vil også understøtte politikker, der sigter mod genopretning efter covid-19, da dette vil sikre, at øget afhængighed af digital finans går hånd i hånd med operationel modstandsdygtighed. Initiativet vil bevare de fordele, der er forbundet med det horisontale ramme om cybersikkerhed (f.eks. direktivet om cybersikkerhed, NIS-direktivet), ved fortsat at lade den finansielle sektor indgå i dens anvendelsesområde. Den finansielle sektor vil fortsat være tæt forbundet med NIS-samarbejdsorganet, og finansielle tilsynsmyndigheder vil få mulighed for at udveksle relevante oplysninger inden for det eksisterende NIS-økosystem. Initiativet vil være i overensstemmelse med direktivet om europæisk kritisk infrastruktur, som i øjeblikket revideres for at styrke beskyttelsen af og modstandsdygtigheden i kritiske infrastrukturer mod ikke-cyberrelaterede trusler. Endelig er dette forslag i fuld overensstemmelse med strategien for EU's sikkerhedsunion, som opfordrer til et initiativ om digital operationel modstandsdygtighed i den finansielle sektor, da den i høj grad er afhængig af IKT-tjenester og sårbar over for cyberangreb. 2.RETSGRUNDLAG, NÆRHEDSPRINCIPPET OG PROPORTIONALITETSPRINCIPPET ·Retsgrundlag Forslaget til forordning bygger på artikel 114 i TEUF. Den fjerner hindringer for og forbedrer etableringen af det indre marked for finansielle tjenesteydelser og dets funktionsmåde ved at harmonisere de regler, der gælder på området for IKT-risikostyring, indberetning, afprøvning og IKT-tredjepartsrisici. Nuværende forskelle på dette område, både på lovgivnings- og reguleringsmæssigt plan samt på nationalt plan og EU-plan, udgør hindringer på det indre marked for finansielle tjenesteydelser, fordi finansielle enheder, der indgår i grænseoverskridende aktiviteter, står over for forskellige, hvis ikke ligefrem overlappende, reguleringsmæssige krav eller tilsynsmæssige forventninger, som potentielt kan hindre dem i at udøve deres frie etableringsret og ret til fri udveksling af tjenesteydelser. Forskellige regler forvrider ligeledes konkurrencen mellem den samme type finansielle enheder i forskellige medlemsstater. På områder, hvor ikke findes harmonisering, delvist eller i begrænset omfang, kan udviklingen af divergerende nationale regler eller tilgange, som enten allerede er trådt i kraft eller er ved at blive vedtaget og gennemført på nationalt plan, udgøre hindringer for udøvelsen af frihedsrettighederne på det indre marked for finansielle tjenesteydelser. Dette er navnlig tilfældet for rammerne for afprøvning af digital operationel modstandsdygtighed og tilsynet med kritiske tredjepartsudøvere af IKT-tjenester.

Da forslaget har virkninger for flere af Europa-Parlamentets og Rådets direktiver, som er vedtaget på grundlag af artikel 53, stk. 1, i TEUF, vedtages der på samme tid et forslag til direktiv for at afspejle de nødvendige ændringer af nævnte direktiver. ·Nærhedsprincippet Den høje grad af indbyrdes forbundethed på tværs af finansielle tjenesteydelser, finansielle enheders betydelige grænseoverskridende aktiviteter og den udbredte afhængighed af tredjepartsudbydere af IKT-tjenester i den finansielle sektor som helhed nødvendiggør aktivering af en stor digital operationel modstandsdygtighed som et spørgsmål af fælles interesse for at bevare sunde finansielle EU-markeder. Forskelle, som skyldes uensartede eller delvise ordninger, overlapninger eller flere krav, der gælder for de samme finansielle enheder, som har aktiviteter på tværs af grænserne eller er indehavere af adskillige tilladelser i hele det indre marked, kan udelukkende tackles effektivt på EU-plan. Dette forslag harmoniserer den digitale operationelle komponent i en dybt integreret sektor med indbyrdes forbundethed, som allerede nyder godt af et fælles regelsæt og tilsyn på det fleste andre centrale områder. For spørgsmål såsom indberetning af IKT-relaterede hændelser kan kun harmoniserede EU-regler mindske den administrative byrde og de finansielle omkostninger, der er forbundet med indberetning af den IKT-relaterede hændelse til forskellige EU-myndigheder og nationale myndigheder. Der er også brug for EU-tiltag, som kan lette den gensidige anerkendelse af resultaterne af avanceret afprøvning af digital operationel modstandsdygtighed for enheder, der har aktiviteter på tværs af grænserne, og som i mangel af EU-regler er eller kan blive omfattet af forskellige rammer i forskellige medlemsstater. Kun tiltag på EU-plan kan afhjælpe forskellene i de afprøvningsmetoder, som medlemsstaterne har indført. Tiltag på EU-plan er også nødvendige for at afhjælpe manglen på passende tilsynsbeføjelser med henblik på overvågning af risici, der skyldes tredjepartsudbydere af IKT-tjenester, herunder koncentrationsrisici og afsmitningsrisici i EU's finansielle sektor. ·Proportionalitetsprincippet De foreslåede bestemmelser går ikke videre, end hvad der er nødvendigt for at nå forslagets mål. Det omfatter kun aspekter, som medlemsstaterne ikke kan varetage på egen hånd, og hvor den administrative byrde og omkostningerne står i rimeligt forhold til de specifikke og generelle mål, der skal nås. Med hensyn til anvendelsesområde og intensitet er proportionalitetsprincippet udformet gennem anvendelse af kvalitative og kvantitative vurderingskriterier. Disse kriterier har til formål at sikre, at de nye regler, samtidig med at de dækker alle finansielle enheder, også er skræddersyet til risici og behov i forhold til enhedernes specifikke karakteristika for så vidt angår deres størrelse og virksomhedsprofiler. Proportionalitetsprincippet indgår også i reglerne om IKT-risikostyring, afprøvning af digital modstandsdygtighed, indberetning af større IKT-relaterede hændelser og tilsyn med kritiske tredjepartsudbydere af IKT-tjenester. ·Valg af retsakt De foranstaltninger, som er nødvendige for at regulere IKT-risikostyring, indberetning af IKT-relaterede hændelser, afprøvning af og tilsyn med kritiske tredjepartsudbydere af IKT-tjenester, skal være indeholdt i en og samme forordning for at sikre, at de detaljerede krav kan anvendes effektivt og direkte på en ensartet måde, uden at det berører proportionalitetsprincippet og de specifikke regler, der fastsættes i denne forordning. Sammenhæng i måden, hvorpå digitale operationelle risici håndteres, bidrager til at øge tilliden til det finansielle system og bevarer dets stabilitet. Da anvendelsen af en forordning bidrager til at mindske reguleringsmæssig kompleksitet, fremme tilsynsmæssig konvergens og øge retssikkerheden, bidrager denne forordning også til at begrænse finansielle enheders overholdelsesomkostninger, navnlig for dem, der har aktiviteter på tværs af grænserne, hvilket igen kan bidrage til at fjerne konkurrenceforvridninger. Ved denne forordning ryddes også lovgivningsmæssige forskelle og uensartede nationale regulerings- eller tilsynsmæssige tilgange til IKT-risici af vejen, og dermed fjernes hindringer for det indre marked for finansielle tjenesteydelser, navnlig for en problemfri udøvelse af den frie etableringsret og af retten til fri udveksling af tjenesteydelser for finansielle enheder med grænseoverskridende tilstedeværelse. Endelig er det fælles regelsæt primært blevet udarbejdet ved hjælp af forordninger, og ajourføring heraf med komponenten vedrørende digital operationel modstandsdygtighed bør ske efter samme valg af retligt instrument. 3.RESULTATER AF EFTERFØLGENDE EVALUERINGER, HØRINGER AF INTERESSEREDE PARTER OG KONSEKVENSANALYSER ·Efterfølgende evalueringer/kvalitetskontrol af gældende lovgivning Hidtil har ingen EU-lovgivning om finansielle tjenesteydelser sat fokus på operationel modstandsdygtighed, og ingen har på fyldestgørende vis imødegået risici, som skyldes digitalisering, ikke engang de regler, som mere overordnet vedrører den operationelle risikodimension med IKT-risici som delkomponent. Hidtidige EU-tiltag har bidraget til at imødekomme behov og afhjælpe problemer, der opstod i kølvandet på den finansielle krise i 2008: Kreditinstitutterne havde ikke et tilstrækkeligt kapitalgrundlag, de finansielle markeder var ikke tilstrækkeligt integrerede, og harmoniseringen var indtil da blevet holdt på et minimum. IKT-risici blev ikke betragtet som en prioritet på daværende tidspunkt, og som følge heraf har lovrammerne for de forskellige finansielle delsektorer udviklet sig på en ukoordineret måde. Unionen har gennem sine tiltag alligevel nået sine mål om at sikre finansiel stabilitet og om fastlægge et fælles set harmoniserede tilsynsregler og regler for markedsadfærd, som finder anvendelse på finansielle enheder i hele EU. Det synes udfordrende at foretage en eksplicit evaluering, da de faktorer, der førhen gav anledning til lovgivningsmæssige tiltag på EU-plan, ikke muliggjorde specifikke eller udførlige regler for at håndtere den udbredte anvendelse af digitale teknologier og deraf følgende risici inden for finans. En implicit evaluering og deraf følgende lovgivningsmæssige ændringer er afspejlet i hver af denne forordnings søjler. ·Høringer af interesserede parter Kommissionen har hørt interesserede parter under hele processen med udarbejdelsen af dette forslag, navnlig i) gennemførte Kommissionen en særlig åben offentlig høring (19. december 2019 – 19. marts 2020) ii) hørte Kommissionen offentligheden om en indledende konsekvensanalyse (19. december 2019 – 16. januar 2020) iii) hørte Kommissionens tjenestegrene eksperter fra medlemsstaterne i Ekspertgruppen om Bankvirksomhed, Betalinger og Forsikring (EGBPI) to gange (den 18. maj 2020 og den 16. juli 2020) iv)afholdt Kommissionens tjenestegrene et særligt webinar om digital operationel modstandsdygtighed, som indgik i rækken af arrangementer vedrørende Digital Finance Outreach 2020 (den 19. maj 2020).

Formålet med den offentlige høring var at orientere Kommissionen om udarbejdelsen af en potentiel EU-ramme for digital operationel modstandsdygtighed i forbindelse med finansielle tjenesteydelser. Besvarelserne viste, at der var bred tilslutning til at indføre en særlig ramme med tiltag med fokus på de fire områder, der indgik i høringen, samtidig med at det understreges, at det er nødvendigt at sikre proportionalitet og omhyggeligt at tage højde for og redegøre for samspillet med de horisontale regler i NIS-direktivet. Kommissionen modtog to besvarelser vedrørende den indledende konsekvensanalyse, hvor respondenterne behandlede specifikke aspekter forbundet med deres respektive aktivitetsområder. På mødet i EGBPI, der fandt sted den 18. maj 2020, udtrykte medlemsstaterne bred tilslutning til en styrkelse af digital operationel modstandsdygtighed i den finansielle sektor gennem de påtænkte tiltag, der lægger sig op ad de fire elementer, som Kommissionen har beskrevet. Medlemsstaterne understregede også behovet for klar samordning af de nye regler med reglerne om operationelle risici (i EU-lovgivningen om finansielle tjenesteydelser) og med de horisontale regler om cybersikkerhed (i henhold til NIS-direktivet). På det andet møde understregede nogle medlemsstater behovet for at sikre proportionalitet og tage hensyn til den særlige situation for små virksomheder og datterselskaber i større koncerner samt behovet for at sikre et stærkt mandat for nationale kompetente myndigheder, der er involveret i tilsyn. Forslaget bygger også på og integrerer feedback fra møder med interessenter og EU-myndigheder og ‑institutioner. Interessenter, herunder tredjepartsudbydere af IKT-tjenester, har generelt givet opbakning hertil. En analyse af den modtagne feedback viser et ønske om at bevare proportionaliteten og at følge en princip- og risikobaseret tilgang i forbindelse med udformningen af regler. På institutionelt plan kom de primære input fra Det Europæiske Udvalg for Systemiske Risici (ESRB), ESA'erne, Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) og Den Europæiske Centralbank (ECB) samt fra medlemsstaternes kompetente myndigheder. ·Indhentning og brug af ekspertbistand Ved udarbejdelsen af dette forslag har Kommissionen taget udgangspunkt i kvalitativ og kvantitativ evidens fra anerkendte kilder, herunder de to sæt fælles teknisk bistand fra ESA'erne. Dette er blevet suppleret med fortrolige input og offentligt tilgængelige rapporter fra tilsynsmyndigheder, internationale standardiseringsorganer og førende forskningsinstitutter samt kvantitative og kvalitative input fra identificerede interessenter i hele den globale finansielle sektor. ·Konsekvensanalyse Dette forslag ledsages af en konsekvensanalyse, som blev indgivet til Udvalget for Forskriftskontrol den 29. april 2020 og godkendt den 29. maj 2020. Udvalget anbefalede forbedringer på nogle områder med henblik på i) at give flere oplysninger om, hvordan der vil blive sikret proportionalitet, ii) bedre at fremhæve, i hvilket omfang den foretrukne løsning er forskellig fra ESA'ernes fælles tekniske rådgivning, og hvorfor den pågældende løsning er den mest optimale, og iii) yderligere at fremhæve, hvordan forslaget indgår i samspil med eksisterende EU-lovgivning, herunder med regler, der er ved at blive revideret. Konsekvensanalysen blev tilpasset for at behandle disse punkter samt for at tage hensyn til de mere detaljerede bemærkninger fra Udvalget for Forskriftskontrol. Kommissionen overvejede følgende række politikløsninger med henblik på at udvikle en ramme for digital operationel modstandsdygtighed: ·"Der træffes ingen foranstaltninger": Der vil fortsat blive fastsat regler om operationel modstandsdygtighed i henhold til det nuværende, divergerende sæt EU-bestemmelser om finansielle tjenesteydelser, delvist under NIS-direktivet, og i henhold til eksisterende eller fremtidige nationale ordninger. ·Løsning 1: Styrkelse af kapitalbuffere: Der vil blive indført supplerende kapitalbuffere for at øge finansielle enheders evne til at dække tab, der kan opstå som følge af mangel på digital operationel modstandsdygtighed. ·Løsning 2: Indførelse af en retsakt om digital operationel modstandsdygtighed i forbindelse med finansielle tjenesteydelser: Muliggørelse af en udførlig ramme på EU-plan med sammenhængende regler, som imødekommer alle regulerede finansielle enheders behov for digital operationel modstandsdygtighed, og som fastlægger en tilsynsramme for kritiske tredjepartsudbydere af IKT-tjenester. ·Løsning 3: En retsakt om digital operationel modstandsdygtighed i forbindelse med finansielle tjenesteydelser kombineret med et centraliseret tilsyn med kritiske tredjepartsudbydere af IKT-tjenester: Foruden en retsakt om digital operationel modstandsdygtighed (løsning 2), vi der blive oprettet en ny myndighed, der skal føre tilsyn med leveringen af tjenester fra tredjepartsudbydere af IKT-tjenester. Den anden løsning blev valgt, fordi den opfylder flest af de tilsigtede mål på en måde, der er effektiv, virkningsfuld og sammenhængende med andre EU-politikker. De fleste interessenter foretrækker også denne løsning. Den valgte løsning vil give anledning til både engangsomkostninger og tilbagevendende omkostninger. Engangsomkostningerne skyldes primært investeringer i IT-systemer og er som sådan vanskelige at kvantificere, da virksomheders komplekse landskaber, og navnlig deres nedarvede IT-systemer, er i forskellig stand. Alligevel vil disse omkostninger sandsynligvis være begrænsede for større virksomheder, da de allerede har foretaget betydelige investeringer i IKT. Omkostningerne forventes også at være begrænsede for mindre virksomheder, da forholdsmæssigt afpassede foranstaltninger vil finde anvendelse på grund af deres lavere risiko. Den valgte løsning vil have positive virkninger for SMV'er, der har aktiviteter i sektoren for finansielle tjenesteydelser, for så vidt angår den økonomiske, sociale og miljømæssige indvirkning. Forslaget vil skabe klarhed for SMV'er om de regler, som finder anvendelse, hvilket vil mindske overholdelsesomkostninger. Den primære sociale indvirkning af den valgte politikløsning vil komme til udtryk blandt forbrugere og investorer. Højere niveauer af digital operationel modstandsdygtighed i EU's finansielle system vil mindske antallet af og de gennemsnitlige omkostninger forbundet med hændelser. Samfundet som helhed vil drage fordel af den øgede tillid til sektoren for finansielle tjenesteydelser. Med hensyn til miljømæssig indvirkning vil den valgte politikløsning endelig tilskynde til øget anvendelse af den nyeste generation af IKT-infrastrukturer og ‑tjenester, som rent miljømæssigt forventes at blive mere bæredygtige. ·Målrettet regulering og forenkling Afskaffelse af overlappende krav vedrørende indberetning af IKT-relaterede hændelser vil reducere den administrative byrde og mindske de dermed forbundne omkostninger. Derudover vil harmoniseret afprøvning af digital operationel modstandsdygtighed med gensidig anerkendelse i hele det indre marked mindske omkostningerne, navnlig for grænseoverskridende virksomheder, der ellers kunne blive underlagt flere test i flere medlemsstater. ·Grundlæggende rettigheder

EU har forpligtet sig at sikre til et højt niveau af beskyttelse af de grundlæggende rettigheder. Alle frivillige ordninger for informationsudveksling mellem finansielle enheder, som fremmes i nærværende forordning, vil blive gennemført i et pålideligt miljø under fuld overholdelse af EU's databeskyttelsesregler, navnlig Europa-Parlamentets og Rådets forordning (EU) 2016/679, og navnlig når det er nødvendigt at behandle personoplysninger med henblik på en legitim interesse, som forfølges af den dataansvarlige. 4. VIRKNINGER FOR BUDGETTET Da ESA'erne i den nuværende forordning tildeles en vigtigere rolle i form af beføjelser, som de tillægges med henblik på at føre tilstrækkeligt tilsyn med kritiske tredjepartsudbydere af IKT-tjenester, vil forslaget med hensyn til virkninger for budgettet medføre tildeling af øgede ressourcer, navnlig for at fuldføre tilsynsmissioner (f.eks. inspektioner på stedet og online samt revisioner) og anvendelse af personale, der besidder specifik IKT-sikkerhedsekspertise. Omfanget og fordelingen af disse omkostninger vil afhænge af omfanget af de nye tilsynsbeføjelser og de (præcise) opgaver, som ESA'erne skal varetage. Med hensyn til at stille nye personaleressourcer til rådighed vil EBS, ESMA og EIOPA i alt have brug for 18 fuldtidsansatte (FTÆ) — 6 FTÆ'er for hver myndighed — når forslagets forskellige bestemmelser tages i anvendelse (anslået til 15,71 mio. EUR for perioden 2022-2027). ESA'erne vil også pådrage sig yderligere IT-omkostninger, missionsudgifter til inspektioner på stedet og udgifter til oversættelse (anslået til 12 mio. EUR for perioden 2022-2027) samt andre administrationsudgifter (anslået til 2,48 mio. EUR for perioden 2022-2027). Derfor ligger de samlede anslåede omkostningsmæssige virkninger på omkring 30,19 mio. EUR for perioden 2022-2027. Det bør ligeledes bemærkes, at mens det nødvendige antal ansatte (f.eks. nye medarbejdere og andre udgifter forbundet med de nye opgaver) med henblik på direkte tilsyn over tid vil afhænge af udviklingen i det antal kritiske tredjepartsudbydere af IKT-tjenester, der skal føres tilsyn med, og disses størrelse, vil de respektive udgifter blive fuldt ud finansieret af gebyrer, der opkræves hos de pågældende markedsdeltagere. Derfor forventes der ingen virkninger for EU's budgetbevillinger (med undtagelse af de yderligere medarbejdere), da disse omkostninger vil blive fuldt ud finansieret af gebyrer. Der gøres nærmere rede for dette forslags finansielle og budgetmæssige virkninger i finansieringsoversigten til forslaget. 5.ANDRE FORHOLD ·Planer for gennemførelsen og foranstaltninger til overvågning, evaluering og rapportering Forslaget indeholder en generel plan for overvågning og evaluering af indvirkningen på de specifikke mål, som kræver, at Kommissionen foretager en revision tidligst tre år efter forordningens ikrafttræden og aflægger rapport til Europa-Parlamentet og Rådet om sine vigtigste konklusioner. Denne revision skal foretages i overensstemmelse med Kommissionens retningslinjer for bedre regulering. ·Nærmere redegørelse for de enkelte bestemmelser i forslaget Forslaget er opbygget omkring adskillige vigtige politikområder, som er centrale indbyrdes forbundne søjler, der ved fælles enighed er indarbejdet i europæiske og internationale vejledninger samt europæisk og international bedste praksis med det formål at styrke cyberrobustheden og den operationelle modstandsdygtighed i den finansielle sektor. Forordningens anvendelsesområde og forholdsmæssigt afpasset anvendelse af de påkrævede foranstaltninger (artikel 2) For at sikre sammenhæng med hensyn til de krav til IKT-risikostyring, som finder anvendelse på den finansielle sektor, dækker forordningen en række finansielle enheder, som er reguleret på EU-plan, navnlig kreditinstitutter, betalingsinstitutter, e-pengeinstitutter, investeringsselskaber, udbydere af kryptoaktivtjenester, centrale værdipapircentraler, centrale modparter, markedspladser, transaktionsregistre, forvaltere af alternative investeringsfonde og administrationsselskaber, udbydere af dataindberetningstjenester, forsikrings- og genforsikringsselskaber, forsikringsformidlere, genforsikringsformidlere, accessoriske forsikringsformidlere, arbejdsmarkedsrelaterede pensionskasser, kreditvurderingsbureauer, revisorer og revisionsfirmaer, administratorer af kritiske benchmarks og udbydere af crowdfundingtjenester. En sådan dækning fremmer en homogen og sammenhængende anvendelse af alle de komponenter, der indgår i risikostyring på IKT-relaterede områder, samtidig med at den bevarer de lige vilkår blandt finansielle enheder med hensyn til deres lovgivningsmæssige forpligtelser vedrørende IKT-risici. På samme tid anerkendes det i forordningen, at der findes betydelige forskelle mellem finansielle enheder for så vidt angår størrelse, forretningsprofiler eller deres eksponering for digitale risici. Da større finansielle enheder har flere ressourcer, er det kun finansielle enheder, som ikke betragtes som mikrovirksomheder, der f.eks. skal indføre komplekse ledelsesordninger, særlige ledelsesfunktioner, foretage tilbundsgående vurderinger efter større ændringer af infrastrukturer for net- og informationssystemer, regelmæssigt foretage risikoanalyser af nedarvede IKT-systemer, udvide afprøvningen af driftsstabiliteten samt indsats- og genopretningsplaner for at tegne et billede af overgangsscenarier mellem deres primære IKT-infrastruktur og redundante faciliteter. Desuden er det kun finansielle enheder, der er identificeret som betydelige med henblik på afprøvning af avanceret digital modstandsdygtighed, der vil skulle udføre trusselsbaserede penetrationstest. Til trods for at denne dækning er bred, er den ikke udtømmende. Navnlig tages der i denne forordning hverken højde for systemoperatører, jf. definitionen i artikel 2, litra p), i direktiv 98/26/EF om endelig afregning i betalingssystemer og værdipapirafviklingssystemer (finalitydirektivet), eller systemdeltagere, medmindre en sådan deltager selv er en finansiel enhed, der er reguleret på EU-plan, og dermed som sådan vil være dækket af denne forordning som selvstændig enhed (f.eks. kreditinstitut, investeringsselskab, CCP). Derudover falder EU's register for emissionskvoter, som drives i overensstemmelse med direktiv 2003/87/EF i Europa-Kommissionens regi, også uden for anvendelsesområdet. Ved sådanne udelukkelser fra finalitydirektivet tages der højde for behovet for en yderligere vurdering af retlige og politiske anliggender, der vedrører systemoperatører og -deltagere i henhold til finalitydirektivet, samtidig med at der tages behørigt hensyn til indvirkningen af de rammer, der på nuværende tidspunkt finder anvendelse på betalingssystemer, der drives af centralbanker. Da disse anliggender kan indebære aspekter, som fortsat er forskellige fra de spørgsmål, der er omfattet af denne forordning, vil Kommissionen fortsat vurdere nødvendigheden og indvirkningen af en yderligere udvidelse af denne forordnings anvendelsesområde til at omfatte IKT-infrastrukturer, som på nuværende tidspunkt ligger uden for dets anvendelsesområde. Ledelsesrelaterede krav (artikel 4) Denne forordning er udformet med henblik på en bedre tilpasning af finansielle enheders forretningsstrategier og gennemførelse af IKT-risikostyring. Til dette formål skal ledelsesorganet fortsat spille en afgørende, aktiv rolle i styringen af rammen for IKT-risikostyring og tilstræbe respekt for en streng cyberhygiejne. Ledelsesorganets fulde ansvar for styring af finansielle enheders IKT-risici vil være et overordnet princip, der skal udmøntes yderligere i en række specifikke krav såsom tildelingen af klare roller og ansvarsområder for alle IKT-relaterede funktioner, et fortsat engagement i kontrol med overvågningen af IKT-risikostyringen samt i hele spektret af godkendelses- og kontrolprocesser og en hensigtsmæssig tildeling af IKT-investeringer og ‑kurser. Krav til IKT-risikostyring (artikel 5-14)

Digital operationel modstandsdygtighed bygger på et sæt centrale principper og krav vedrørende rammen for IKT-risikostyring i overensstemmelse med den fælles tekniske bistand fra ESA'erne. Disse krav, der tager udgangspunkt i relevante standarder, retningslinjer og henstillinger, der er fastlagt på internationalt og nationalt plan samt på sektorplan, drejer sig om specifikke funktioner inden for IKT-risikostyring (identifikation, beskyttelse og forebyggelse, detektion, indsats og genopretning, læring og udvikling samt kommunikation). For at holde trit med et cybertrusselsbillede i hastig udvikling pålægges det finansielle enheder at oprette og vedligeholde modstandsdygtige IKT-systemer og -værktøjer, der mindsker virkningerne af IKT-risici, løbende at identificere alle kilder til IKT-risici, at træffe beskyttelses- og forebyggelsesforanstaltninger, øjeblikkeligt at detektere anomale aktiviteter, at indføre målrettede og udførlige driftsstabilitetspolitikker samt katastrofe- og genopretningsplaner som en integreret del af politikken for operationel driftsstabilitet. Sidstnævnte komponenter er nødvendige med henblik på en hurtig genopretning efter IKT-relaterede hændelser, navnlig cyberangreb, ved at begrænse skaden og prioritere en sikker genoptagelse af aktiviteter. Forordningen selv indfører ikke en specifik standardisering, men bygger snarere på europæiske og internationalt anerkendte tekniske standarder eller bedste praksis i sektoren, for så vidt som de er i fuld overensstemmelse med tilsynsmæssige instrukser vedrørende brug og inkorporering af sådanne internationale standarder. Denne forordning dækker også integritet, sikkerhed og modstandsdygtighed i fysiske infrastrukturer og faciliteter, som understøtter brugen af teknologi og de relevante IKT-relaterede processer og relevante personer, som led i de digitale fodaftryk, som en finansiel enheds transaktioner efterlader. Indberetning af IKT-relaterede hændelser (artikel 15-20) Harmonisering og strømlining af indberetningen af IKT-relaterede hændelser opnås for det første gennem et krav til finansielle enheder om at fastlægge og gennemføre en styringsproces, der skal overvåge og registrere IKT-relaterede hændelser, efterfulgt af en forpligtelse til at klassificere dem på grundlag af kriterier, der er beskrevet nærmere i denne forordning, og som videreudvikles af ESA'erne gennem mandater for nærmere at angive væsentlighedstærskler. For det andet er det kun de IKT-relaterede hændelser, der betragtes som større, som skal indberettes til de kompetente myndigheder. Indberetningen bør behandles ved anvendelse af en fælles model og efter en harmoniseret procedure, således som den er udviklet af ESA'erne. Finansielle enheder bør indgive indledende, foreløbige og endelige rapporter og oplyse deres brugere og kunder om, hvor hændelser har eller kan få indflydelse på deres finansielle interesser. De kompetente myndigheder bør give relevante detaljer om hændelserne til andre institutioner eller myndigheder: til ESA'erne, til ECB og til de centrale kontaktpunkter, der er udpeget i henhold til direktiv (EU) 2016/1148. For at starte en dialog mellem finansielle enheder og kompetente myndigheder, der kan bidrage til at mindske virkningerne og identificere passende løsninger, bør indberetningen af større IKT-relaterede hændelser suppleres af tilsynsmæssig feedback og vejledning. Endelig bør muligheden for centralisering på EU-plan af indberetningen af IKT-relaterede hændelser undersøges yderligere i en fælles rapport fra ESA'erne, ECB og ENISA, hvori det vurderes, om det er muligt at oprette et fælles EU-knudepunkt for finansielle enheders indberetning af større IKT-relaterede hændelser. Afprøvning af digital operationel modstandsdygtighed (artikel 21-24) De kapaciteter og funktioner, der indgår rammen for IKT-risikostyring, skal regelmæssigt afprøves for beredskab i forhold til og identifikation af svagheder, mangler eller huller samt øjeblikkelig gennemførelse af korrigerende foranstaltninger. Denne forordning muliggør en forholdsmæssigt afpasset anvendelse af krav til afprøvning af digital operationel modstandsdygtighed, afhængigt af finansielle enheders størrelse, forretnings- og risikoprofiler: Mens alle enheder bør foretage en afprøvning af IKT-værktøjer og -systemer, er det kun de enheder, der af kompetente myndigheder (baseret på kriterierne i denne forordning og videreudviklet af ESA'erne) er udpeget som væsentlige og cybermodne, som bør pålægges at foretage avanceret afprøvning baseret på trusselsbaserede penetrationstest (TLPT'er). Denne forordning fastsætter også krav til testere og anerkendelse af resultater af TLPT'er i hele Unionen for finansielle enheder, der har aktiviteter i flere medlemsstater. IKT-tredjepartsrisici (artikel 25-39) For det første er denne forordning udformet med henblik på at sikre en forsvarlig overvågning af IKT-tredjepartsrisici. Dette mål vil blive opfyldt gennem respekt for principbaserede regler, som finder anvendelse på finansielle enheders overvågning af risici, der opstår i forbindelse med tredjepartsudbydere af IKT-tjenester. For det andet harmoniserer denne forordning centrale elementer vedrørende tjenester, der leveres af tredjepartsudbydere af IKT-tjenester, og forholdet til disse. Disse elementer omfatter et minimum af aspekter, der betragtes som afgørende for at sætte den finansielle enhed i stand til at foretage en fuldstændig overvågning af IKT-tredjepartsrisici i løbet af indgåelses-, udførelses- og udløbsfasen i deres kontraktlige forhold og efter kontraktens udløb. Navnlig skal de kontrakter, der regulerer det pågældende forhold, indeholde en fuldstændig beskrivelse af tjenester, angivelse af steder, hvor data skal behandles, fuldstændige beskrivelser af serviceniveauet ledsaget af kvantitative og kvalitative præstationsmål, relevante bestemmelser om adgang til, tilgængelighed, integritet og beskyttelse af personoplysninger samt sikkerhed i forbindelse med disse oplysninger, garantier for adgang, genopretning og tilbagesendelse i tilfælde af fejl forårsaget af tredjepartsudbydere af IKT-tjenester, opsigelsesvarsler og indberetningsforpligtelser for tredjepartsudbydere af IKT-tjenester, adgangsrettigheder, inspektion og revision foretaget af den finansielle enhed eller en udnævnt tredjepart, klare opsigelsesrettigheder og målrettede exitstrategier. Da nogle af disse kontraktlige elementer kan standardiseres, fremmer forordningen desuden en frivillig brug af standardkontraktbestemmelser, som skal udarbejdes med henblik på Kommissionens anvendelse af cloud computing-tjenester. Endelig udgør forordningen et forsøg på at fremme konvergens i forbindelse med tilsynstilgange til IKT-tredjepartsrisici i den finansielle sektor ved at lade kritiske tredjepartsudbydere af IKT-tjenester omfatte af en EU-tilsynsramme. Gennem en ny harmoniseret lovramme tillægges den ESA, der er udnævnt som ledende tilsynsførende for hver af disse kritiske tredjepartsudbydere af IKT-tjenester, beføjelser til at sikre, at udbydere af digitale tjenester, der opfylder en vigtig rolle for at sikre en velfungerende finansiel sektor, overvåges i tilstrækkelig grad på paneuropæisk plan. Den tilsynsramme, der påtænkes i denne forordning, bygger på den eksisterende institutionelle arkitektur på området for finansielle tjenesteydelser, hvorved Det Fælles Udvalg af ESA'er sikrer koordinering på tværs af sektorer af alle anliggender, der vedrører IKT-risici, i overensstemmelse med dets opgaver vedrørerende cybersikkerhed og med støtte fra det relevante underudvalg (tilsynsforum), der udfører det forberedende arbejde med henblik på individuelle afgørelser og kollektive henstillinger til kritiske tredjepartsudbydere af IKT-tjenester. Informationsudveksling (artikel 40) For skabe bevidsthed om IKT-risici, minimere deres udbredelse, understøtte finansielle enheders forsvarskapaciteter og teknikker til detektion af trusler, giver denne forordning finansielle enheder mulighed for at indgå ordninger for indbyrdes udveksling af oplysninger og efterretninger om cybertrusler.



2020/0266 (COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014 og (EU) nr. 909/2014 (EØS-relevant tekst) EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114, under henvisning til forslag fra Europa-Kommissionen, efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, under henvisning til udtalelse fra Den Europæiske Centralbank, under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg, efter den almindelige lovgivningsprocedure, og ud fra følgende betragtninger: (1)I den digitale tidsalder understøtter informations- og kommunikationsteknologi (IKT) komplekse systemer, der anvendes i forbindelse med hverdagens samfundsmæssige aktiviteter. Den sørger for, at vores økonomier fungerer i centrale sektorer, herunder finanssektoren, og at det indre marked fungerer bedre. Øget digitalisering og indbyrdes forbundethed forstærker også IKT-risici, der gør samfundet som helhed — og især det finansielle system — mere sårbart over for cybertrusler eller IKT-forstyrrelser. Allestedsnærværende brug af IKT-systemer og en høj grad af digitalisering og konnektivitet er i dag vigtige kendetegn ved alle aktiviteter i EU's finansielle enheder, men samtidig er digital modstandsdygtighed endnu ikke i tilstrækkeligt omfang indbygget i deres operationelle rammer. (2)Brugen af IKT har i de seneste årti indtaget en central rolle inden for finans og har i dag kritisk relevans for driften af daglige funktioner i alle finansielle enheder. Digitalisering omfatter f.eks. betalinger, som i stigende grad er gået fra kontanter og papirbaserede metoder til brugen af digitale løsninger, samt clearing og afvikling af værdipapirer, elektronisk og algoritmisk handel, låntagning og finansiering, peer-to-peer-finansiering, kreditvurdering, tegning af forsikringer, skadesbehandling og back office-funktioner. Finans er ikke kun blevet overvejende digital i hele sektoren, men digitalisering har også uddybet den indbyrdes forbundethed og afhængighed inden for den finansielle sektor og af tredjeparters infrastruktur og tredjepartsudbydere af tjenester. (3)Det Europæiske Udvalg for Systemiske Risici (ESRB) bekræftede på ny i en rapport fra 2020 om systemiske cyberrisici, hvordan det eksisterende høje niveau af indbyrdes forbundethed blandt finansielle enheder, finansielle markeder og finansielle markedsinfrastrukturer, og navnlig deres IKT-systemers indbyrdes forbundethed, potentielt kan udgøre en systemisk sårbarhed, da lokaliserede cyberhændelser hurtigt kan sprede sig fra én af de ca. 22 000 finansielle enheder i EU til hele det finansielle system, uhindret af geografiske grænser. Alvorlige IKT-relaterede overtrædelser i den finansielle sektor har ikke kun virkninger for finansielle enheder isoleret set. De baner også vejen for udbredelsen af lokaliserede sårbarheder på tværs af de finansielle transmissionskanaler og udløser potentielt negative konsekvenser for stabiliteten i EU's finansielle system, idet de skaber likviditetsudstrømning og et generelt tab af tillid og tiltroen til finansielle markeder. (4)I de seneste år har nationale, europæiske og internationale politiske beslutningstagere, lovgivere og standardiseringsorganer sat fokus på IKT-risici i et forsøg på at øge modstandsdygtigheden, fastsætte standarder og koordinere det lovgivnings- og tilsynsmæssige arbejde. På internationalt plan sigter Baselkomitéen for Banktilsyn, Udvalget om Betalings- og Markedsinfrastrukturer, Rådet for Finansiel Stabilitet, Financial Stability Institute samt G7- og G20-landene mod at udstyre kompetente myndigheder og markedsoperatører på tværs af forskellige jurisdiktioner med værktøjer, der skal styrke deres finansielle systemers modstandsdygtighed. (5)Til trods for målrettede politiske og lovgivningsmæssige initiativer på nationalt plan og EU-plan udgør IKT-risici fortsat en udfordring for den operationelle modstandsdygtighed, kapacitet og stabilitet i EU's finansielle system. Den reform, der fulgte efter den finansielle krise i 2008 styrkede primært den finansielle modstandsdygtighed i EU's finansielle sektor og sigtede mod at bevare EU's konkurrenceevne og stabilitet set fra et økonomisk, tilsyns- og markedsadfærdsmæssigt perspektiv. Selv om IKT-sikkerhed og digital modstandsdygtighed udgør dele af den operationelle risiko, har der været mindre fokus herpå i den lovgivningsmæssige dagsorden efter krisen, og de er kun blevet udviklet på nogle områder inden for EU's politik for finansielle tjenesteydelser og lovgivningsmæssige rammer eller kun i nogle få medlemsstater. (6)I Kommissionens fintechhandlingsplan fra 2018 fremhævedes den afgørende betydning af at gøre EU's finansielle sektor mere modstandsdygtig, også set fra et operationelt perspektiv, for at sikre dens teknologiske sikkerhed, og sikre, at den er velfungerende, at den hurtigt kan genoprettes efter IKT-relaterede overtrædelser og hændelser, som i sidste ende gør det muligt at udbyde finansielle tjenesteydelser på en effektiv og uproblematisk måde i hele EU, herunder i situationer med stresspåvirkning, samtidig med at forbrugernes og markedets tiltro og tillid bevares. (7)I april 2019 udsendte Den Europæiske Banktilsynsmyndighed (EBA), Den Europæiske Værdipapir- og Markedstilsynsmyndighed (ESMA) og Den Europæiske Tilsynsmyndighed for Forsikrings- og Arbejdsmarkedspensionsordninger (EIOPA) (som samlet betegnes "europæiske tilsynsmyndigheder" eller "ESA'er") i fællesskab to sæt teknisk rådgivning, hvori de opfordrede til en sammenhængende tilgang til IKT-risici inden for finans og henstillede til på en forholdsmæssigt afpasset måde at styrke den digitale operationelle modstandsdygtighed i sektoren for finansielle tjenesteydelser gennem et sektorspecifikt EU-initiativ. (8)EU's finansielle sektor er omfattet af et harmoniseret fælles regelsæt og er reguleret i henhold til et europæisk finanstilsynssystem. Ikke desto mindre er håndteringen af digital operationel modstandsdygtighed og IKT-sikkerhed endnu ikke harmoniseret på fyldestgørende eller konsekvent vis, og det til trods for, at digital operationel modstandsdygtighed er yderst vigtig for at sikre finansiel stabilitet og markedsintegritet i den digitale tidsalder og ikke er mindre vigtig end f.eks. fælles standarder for tilsyn og markedsadfærd. Det fælles regelsæt og tilsynssystemet bør derfor udvikles med henblik på også at omfatte denne komponent, idet mandatet for de finansielle tilsynsmyndigheder, som har til opgave at overvåge og beskytte den finansielle stabilitet og markedsintegriteten, udvides. (9)Lovgivningsmæssige forskelle og uensartede nationale regulerings- eller tilsynsmæssige tilgange til IKT-risici udløser hindringer for det indre marked for finansielle tjenesteydelser, som igen hæmmer en problemfri udøvelse af den frie etableringsret og af retten til fri udveksling af tjenesteydelser. Konkurrencen mellem samme type af finansielle enheder, som har aktiviteter i forskellige medlemsstater, risikerer ligeledes at blive fordrejet. Navnlig på de områder, hvor EU-harmonisering har været meget begrænset eller ikke-eksisterende — såsom henholdsvis afprøvning af digital operationel modstandsdygtighed og overvågning af IKT-tredjepartsrisici — kan forskelle, der skyldes en påtænkt udvikling på nationalt plan, udløse yderligere hindringer for et velfungerende indre marked til skade for markedsdeltagere og den finansielle stabilitet. (10)Den delvise måde, hvorpå bestemmelser vedrørende IKT-risici hidtil er blevet håndteret på EU-plan, medfører huller eller overlapninger på vigtige områder, f.eks. indberetning af IKT-relaterede hændelser og afprøvning af digital operationel modstandsdygtighed, og skaber uoverensstemmelser, som udspringer af nye divergerende nationale regler eller omkostningsineffektiv anvendelse af overlappende regler. Dette er særligt skadeligt for en IKT-intensiv bruger som den finansielle sektor, da teknologiske risici er grænseoverskridende og den finansielle sektor udruller sine tjenesteydelser på et bredt grænseoverskridende grundlag inden for og uden for EU. Individuelle finansielle enheder, som har aktiviteter på et grænseoverskridende grundlag, eller som er indehavere af flere tilladelser (f.eks. kan én finansiel enhed have tilladelser til henholdsvis at udøve bankvirksomhed, udøve virksomhed som investeringsselskab og betalingsinstitut, som hver især er meddelt af en forskellig kompetent myndighed i en eller flere medlemsstater), står over for operationelle udfordringer i forbindelse med at imødegå IKT-risici og afbøde negative virkninger af IKT-hændelser på egen hånd og på en sammenhængende omkostningseffektiv måde. (11)Da det fælles regelsæt ikke ledsages af en udførlig IKT-ramme eller ramme for operationelle risici, er der behov for yderligere harmonisering af centrale krav til digital operationel modstandsdygtighed for alle finansielle enheder. De kapaciteter og den overordnede modstandsdygtighed, som finansielle enheder med udgangspunkt i sådanne centrale krav skal udvikle for at modstå operationelle driftstop, vil bidrage til at bevare stabiliteten og integriteten på EU's finansielle markeder og dermed bidrage til at sikre et højt beskyttelsesniveau for investorer og forbrugere i EU. Da denne forordning har til formål at bidrage til et velfungerende indre marked, bør den bygge på bestemmelserne i artikel 114 i TEUF som fortolket i overensstemmelse med EU-Domstolens faste praksis. (12)Denne forordning har for det første til formål at konsolidere og ajourføre de krav til IKT-risici, som hidtil er blevet behandlet separat i de forskellige forordninger og direktiver. EU's retsakter omfattede rigtigt nok hovedkategorierne af finansielle risici (f.eks. kreditrisiko, markedsrisiko, modpartskreditrisiko og likviditetsrisiko, risiko forbundet med markedsadfærd), men på tidspunktet for deres vedtagelse kunne de ikke tackle alle de komponenter, der indgår i operationel modstandsdygtighed, på fyldestgørende vis. Kravene til operationelle risici, når de behandles yderligere i disse EU-retsakter, begunstiger ofte en traditionel kvantitativ tilgang til risikohåndtering (navnlig ved at fastsætte et kapitalkrav til at dække IKT-risici), frem for at fastsætte målrettede kvalitative krav, der skal fremme kapaciteter ved hjælp af krav med sigte på beskyttelses-, detektions-, inddæmnings-, genopretnings- og reparationskapaciteter som værn mod IKT-risici, eller ved hjælp af indførelse af indberetningskapaciteter og digitale afprøvningskapaciteter. Hensigten med disse direktiver og forordninger var primært at dække væsentlige regler om tilsyn, markedsintegritet eller ‑adfærd.

Med udformningen af denne forordning, som konsoliderer og ajourfører regler om IKT-risici, vil alle bestemmelser om digitale risici i den finansielle sektor for første gang blive samlet på en konsekvent måde i én enkelt lovgivningsmæssig retsakt. Dette initiativ bør således udfylde hullerne eller afhjælpe uoverensstemmelserne i nogle af de nævnte retsakter, herunder med hensyn til den heri anvendte terminologi, og bør eksplicit henvise til IKT-risici gennem målrettede regler om kapaciteter til IKT-risikostyring, indberetning og afprøvning samt overvågning af tredjepartsrisici. (13)Finansielle enheder bør følge den samme tilgang og de samme principbaserede regler, når de imødegår IKT-risici. Konsekvens bidrager til at øge tilliden til det finansielle system og bevare dets stabilitet, navnlig i tider med overforbrug af IKT-systemer, platforme og infrastrukturer, hvilket medfører øgede digitale risici. Respekten for en grundlæggende cyberhygiejne skal også hindre, at økonomien påføres store omkostninger ved at minimere virkningerne af og omkostningerne i forbindelse med IKT-forstyrrelser, (14)Anvendelsen af en forordning hjælper til at mindske reguleringsmæssig kompleksitet, fremme tilsynsmæssig konvergens og øge retssikkerheden, samtidig med at den bidrager til at begrænse overholdelsesomkostninger, navnlig for finansielle enheder, der har aktiviteter på tværs af grænserne, og til at mindske konkurrenceforvridninger. Valget af en forordning i forbindelse med udarbejdelsen af en fælles ramme for digital operationel modstandsdygtighed i finansielle enheder synes derfor at være den mest hensigtsmæssige metode til at sikre en homogen og sammenhængende anvendelse af alle de komponenter, der indgår i IKT-risikostyring i EU's finansielle sektorer. (15)Foruden lovgivningen om finansielle tjenesteydelser, udgør Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 den nuværende overordnede ramme for cybersikkerhed på EU-plan. Blandt de syv kritiske sektorer, finder nævnte direktiv også finder anvendelse på tre typer af finansielle enheder, nemlig kreditinstitutter, markedspladser og centrale modparter. Idet direktiv (EU) 2016/1148 fastsætter en mekanisme til identifikation på nationalt plan af operatører af væsentlige tjenester, er det i imidlertid kun visse kreditinstitutter, markedspladser og centrale modparter, der er udpeget af medlemsstater, som i praksis medtages under dette anvendelsesområde, og som dermed skal overholde de heri fastsatte krav til IKT-risici og indberetning af hændelser. (16)Da denne forordning højner niveauet af harmonisering af de komponenter, der indgår i digital modstandsdygtighed, ved at indføre krav til IKT-risikostyring og indberetning af IKT-relaterede hændelser, som er strengere end de krav, der er fastlagt i den nuværende EU-lovgivning om finansielle tjenesteydelser, udgør dette ligeledes en øget harmonisering i sammenligning med de krav, der er fastlagt i direktiv (EU) 2016/1148. Derfor udgør denne forordning en særlig lovregel i forhold til direktiv (EU) 2016/1148. Det er yderst vigtigt at bevare en tæt forbindelse mellem den finansielle sektor og EU's horisontale ramme for cybersikkerhed, da dette vil sikre sammenhæng med de strategier om cybersikkerhed, som medlemsstaterne allerede har vedtaget, og give de finansielle tilsynsmyndigheder mulighed for at få kendskab til cyberhændelser, der har virkninger for de øvrige sektorer, som er omfattet af direktiv (EU) 2016/1148. (17)For at muliggøre en grænseoverskridende læringsproces og effektivt at udnytte andre sektorers erfaringer med håndtering af cybertrusler bør finansielle enheder som omhandlet i direktiv (EU) 2016/1148 fortsat indgå i det nævnte direktivs "økosystem" (f.eks. NIS-samarbejdsgruppen og CSIRT'er). Både ESA'er og nationale kompetente myndigheder bør have mulighed for at deltage i henholdsvis de strategiske politiske drøftelser og det tekniske arbejde i NIS-samarbejdsgruppen, udveksle oplysninger og samarbejde yderligere med de centrale kontaktpunkter, der er udpeget i henhold til direktiv (EU) 2016/1148. De kompetente myndigheder i henhold til denne forordning bør også rådføre sig med og samarbejde med de nationale CSIRT'er, der er udpeget i overensstemmelse med artikel 9 i direktiv (EU) 2016/1148. (18)Dette er også vigtigt for at sikre overensstemmelse med direktivet om europæisk kritisk infrastruktur, som i øjeblikket revideres for at styrke beskyttelsen af og modstandsdygtigheden i kritiske infrastrukturer mod ikke-cyberrelaterede trusler, med mulige konsekvenser for den finansielle sektor. (19)Udbydere af cloud computing-tjenester er en kategori af udbydere af digitale tjenester, som er omfattet af direktiv (EU) 2016/1148. Som sådan er de underlagt efterfølgende tilsyn, som udføres af de nationale myndigheder udpeget i henhold til nævnte direktiv, og som er begrænset til de krav til IKT-sikkerhed og indberetning af hændelser, der er fastlagt i nævnte retsakt. Da den tilsynsramme, der fastlægges ved denne forordning, finder anvendelse på alle kritiske tredjepartsudbydere af IKT-tjenester, herunder udbydere af cloud computing-tjenester, når de udbyder IKT-tjenester til finansielle enheder, bør den betragtes som et supplement til det tilsyn, der finder sted i henhold til direktiv (EU) 2016/1148. Derudover bør den tilsynsramme, der fastlægges ved denne forordning, omfatte udbydere af cloud computing-tjenester, idet der ikke findes en horisontal sektorneutral EU-ramme, der opretter en digital tilsynsmyndighed. (20)For at bevare den fulde kontrol med IKT-risici skal finansielle enheder have indført omfangsrige kapaciteter, der muliggør en forsvarlig og effektiv IKT-risikostyring, sammen med specifikke mekanismer og politikker med henblik på indberetning af IKT-relaterede hændelser, afprøvning af IKT-systemer, ‑kontroller og ‑processer samt på håndtering af IKT-tredjepartsrisici. Standarden for digital operationel modstandsdygtighed i det finansielle system bør højnes, samtidig med at der skabes mulighed for en forholdsmæssigt afpasset anvendelse af krav til finansielle enheder, som er mikrovirksomheder som defineret i Kommissionens henstilling 2003/361/EF. (21)Tærskler og klassificeringssystemer vedrørende indberetning af IKT-relaterede hændelser varierer væsentligt på nationalt plan. Mens der sandsynligvis kan opnås enighed gennem det relevante arbejde, der udføres af Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) og NIS-samarbejdsgruppen, med hensyn til de finansielle enheder, der er omfattet af direktiv (EU) 2016/1148, findes der stadig eller kan der opstå divergerende tilgange til tærskler og klassificeringssystemer for de resterende finansielle enheder. Dette medfører, at finansielle enheder skal rette sig efter flere krav, navnlig når de operer på tværs af flere EU-jurisdiktioner, og når de er del af en finansiel koncern. Disse forskelle kan hindre indførelsen af yderligere ensartede eller centraliserede EU-mekanismer, der fremskynder indberetningsprocessen og understøtter en hurtig og problemfri informationsudveksling mellem kompetente myndigheder, hvilket er yderst vigtigt for imødegåelsen af IKT-risici i tilfælde af storstilede angreb med potentielle systemiske konsekvenser til følge. (22)For at sætte kompetente myndigheder i stand til opfylde deres tilsynsmæssige roller ved at opnå et fuldstændigt overblik over IKT-relaterede hændelsers karakter, frekvens, betydning og virkninger og for at styrke informationsudvekslingen mellem relevante offentlige myndigheder, herunder retshåndhævende myndigheder og afviklingsmyndigheder, er det nødvendigt at fastlægge regler for, at fuldføre ordningen for indberetning af IKT-hændelser med de krav, der på nuværende tidspunkt mangler i lovgivning om finansielle delsektorer, og fjerne eksisterende overlapninger og duplikationer for at mindske omkostningerne. Det er derfor vigtigt at harmonisere ordningen for indberetning af IKT-hændelser ved at pålægge alle finansielle enheder at indberette udelukkende til deres kompetente myndigheder. ESA'erne bør desuden tillægges beføjelse til yderligere at præcisere elementer vedrørende indberetning af IKT-hændelser, f.eks. klassificeringssystemer, tidsrammer, datasæt, modeller og gældende tærskler. (23)Krav til afprøvning af digital operationel modstandsdygtighed er blevet udviklet i nogle finansielle delsektorer inden for adskillige og ukoordinerede nationale rammer, som på forskellig vis omhandler de samme spørgsmål. Dette fører til duplikation af omkostninger for grænseoverskridende finansielle enheder og vanskeliggør den gensidige anerkendelse af resultater. Ukoordineret afprøvning kan derfor segmentere det indre marked. (24)Når afprøvning ikke er påkrævet, vil sårbarheder fortsat ikke blive detekteret, hvilket desuden udsætter de finansielle enheder og i sidste ende stabiliteten og integriteten i den finansielle sektor for en højere risiko. Uden en indsats på EU-plan vil afprøvning af digital operationel modstandsdygtighed fortsat være uensartet, og der vil ikke være nogen gensidig anerkendelse af testresultater på tværs af de forskellige jurisdiktioner. Da det er usandsynligt, at andre finansielle delsektorer vil indgå sådanne ordninger i et meningsfuldt omfang, vil de desuden gå glip af de potentielle fordele, f.eks. detektion af sårbarheder og risici, kapaciteter til forsvarsafprøvning og driftsstabilitet, og større tiltro blandt kunder, leverandører og forretningspartnere. For at afhjælpe sådanne overlapninger, forskelle og huller er det nødvendigt at fastlægge regler, der har til formål at koordinere den afprøvning, som finansielle enheder og kompetente myndigheder foretager, og dermed lette den gensidige anerkendelse af avanceret afprøvning for signifikante finansielle enheder. (25)Finansielle enheders afhængighed af IKT-tjenester skyldes delvist deres behov for at tilpasse sig en ny konkurrencepræget digital og global økonomi og for at fremme deres forretningseffektivitet og imødekomme forbrugerefterspørgslen. Karakteren og omfanget af en sådan afhængighed har gennemgået en løbende udvikling i de senere år og har medført mindre finansiel formidling, muliggjort ekspansion og skalerbarhed af virksomheder i forbindelse med udrulningen af finansielle aktiviteter, samtidig med at der udbydes en bred vifte af IKT-værktøjer til styring af komplekse interne processer. (26)Denne vidtgående anvendelse af IKT-tjenester dokumenteres ved komplekse kontraktlige ordninger, i forbindelse med hvilke finansielle enheder ofte støder på vanskeligheder med at forhandle kontraktvilkår, der er tilpasset til den tilsynsmæssige standard eller andre reguleringsmæssige krav, som de er omfattet af, eller på anden måde med at håndhæve specifikke rettigheder, f.eks. adgangs- eller revisionsrettigheder, når sidstnævnte er fastsat i aftalerne. Mange af sådanne kontrakter indeholder desuden ikke tilstrækkelige garantier, som muliggør en fuldgyldig overvågning af underentrepriseforhold, og berøver dermed den finansielle enhed for dens mulighed for at vurdere disse dertil knyttede risici. Dertil kommer, at sådanne kontrakter ikke altid i tilstrækkeligt omfang tager højde for individuelle eller specifikke behov blandt aktører i den finansielle sektor, da tredjepartsudbydere af IKT-tjenester ofte udbyder standardiserede tjenester til forskellige kundetyper. (27)På trods af visse generelle regler om outsourcing i nogle EU-retsakterne om finansielle tjenesteydelser er overvågningen af den kontraktlige dimension ikke fuldt ud forankret i EU-lovgivningen. I mangel af klare og skræddersyede EU-standarder, som finder anvendelse på de kontraktlige ordninger, der indgås med tredjepartsudbydere af IKT-tjenester, er der ikke på fyldestgørende vis taget højde for den eksterne kilde til IKT-risici. Derfor er det nødvendigt at fastsætte visse nøgleprincipper, der skal fungere som rettesnor for finansielle enheders styring af IKT-tredjepartsrisici, og som ledsages af et sæt centrale kontraktlige rettigheder i forhold til flere elementer af kontraktopfyldelse og ‑opsigelse med henblik på at fastsætte visse minimumsgarantier, der understøtter finansielle enheders evne til effektivt at overvåge alle de risici, der opstår hos IKT-tredjeparter. (28)Der er en mangel på homogenitet og konvergens i forbindelse med IKT-tredjepartsrisici og afhængighed af IKT-tredjeparter. På trods af visse bestræbelser på at tackle det specifikke område outsourcing med udgangspunkt i henstillingerne fra 2017 om outsourcing til udbydere af cloud computing-tjenester, tages der i EU-lovgivningen knap nok højde for den problematik, der er forbundet med systemiske risici, som kan udløses af den finansielle sektors eksponering for et begrænset antal kritiske tredjepartsudbydere af IKT-tjenester. Denne mangel på EU-plan forværres af manglen på specifikke mandater og værktøjer, som giver nationale tilsynsmyndigheder mulighed for at opnå en god forståelse for afhængigheden af IKT-tredjeparter og foretage en tilstrækkelig overvågning af risici, der opstår som følge af koncentrationer af en sådan afhængighed af IKT-tredjeparter.

(29)Idet der tages hensyn til de potentielle systemiske risici, som den øgede anvendelse af outsourcing og koncentration af IKT-tredjepartsafhængighed medfører, og idet der hersker bevidsthed om utilstrækkeligheden af nationale mekanismer, som sætter finansielle tilsynsmyndigheder i stand til at kvantificere, kvalificere og afhjælpe de konsekvenser af IKT-risici, der opstår hos kritiske tredjepartsudbydere af IKT-tjenester, er det nødvendigt at fastlægge en passende EU-tilsynsramme , som gør det muligt at foretage løbende overvågning af aktiviteter hos tredjepartsudbydere af IKT-tjenester, som er kritiske udbydere til finansielle enheder. (30)I takt med at IKT-trusler bliver mere komplekse og sofistikerede, afhænger gode detektions- og forebyggelsesforanstaltninger i høj grad af regelmæssig udveksling af trussels- og sårbarhedsefterretninger blandt finansielle enheder. Informationsudveksling bidrager til øget bevidsthed om cybertrusler, hvilket igen styrker finansielle enheders evne til at forhindre trusler i at blive til faktiske hændelser og sætter finansielle enheder i stand til bedre at inddæmme virkningerne af IKT-relaterede hændelser og foretage en mere effektiv genopretning. Da der ikke findes nogen retningslinjer på EU-plan, synes flere faktorer at have hæmmet en sådan udveksling af efterretninger, navnlig usikkerhed omkring foreneligheden med databeskyttelsesregler, antitrustregler og regler om ansvar. (31)Dertil kommer, at tvivl med hensyn til den type oplysninger, som kan udveksles med en anden markedsdeltager eller med ikke-tilsynsmyndigheder (f.eks. ENISA, som analytisk input, eller Europol, med henblik på retshåndhævelse), medfører, at nyttige oplysninger tilbageholdes. Omfanget og kvaliteten af informationsudveksling er fortsat begrænset og fragmenteret, da de relevante udvekslinger primært finder sted lokalt (gennem nationale initiativer), og der findes ingen konsekvente ordninger for informationsudveksling på EU-plan, som er skræddersyet til behovene i en integreret finansiel sektor. (32)Finansielle enheder bør derfor tilskyndes til i fællesskab at øge deres individuelle viden og praktiske erfaring på strategisk, taktisk og operationelt plan med henblik på at styrke deres kapaciteter til i tilstrækkeligt omfang at vurdere, overvåge, sikre forsvar mod og en indsats over for cybertrusler. Det er således nødvendigt at muliggøre indførelsen på EU-plan af mekanismer med henblik på frivillige ordninger for informationsudveksling, som, når de gennemføres i pålidelige miljøer, vil hjælpe finansverdenen til at forebygge og i fællesskab sikre en indsats over for trusler ved hurtigt at begrænse spredningen af IKT-risici og hindre potentiel afsmitning på tværs af de finansielle kanaler. Disse mekanismer bør gennemføres i fuld overensstemmelse med de gældende regler i EU's konkurrenceret samt på en måde, der garanterer fuld overholdelse af EU's databeskyttelsesregler, navnlig Europa-Parlamentets og Rådets forordning (EU) 2016/679, og navnlig i forbindelse med behandling af personoplysninger, som er nødvendig med henblik på den legitime interesse, som forfølges af den dataansvarlige eller af tredjemand, jf. nævnte forordnings artikel 6, stk. 1, litra f). (33)Til trods for den brede dækning, der påtænkes i denne forordning, bør der ved anvendelse af reglerne om digital operationel modstandsdygtighed tages hensyn til væsentlige forskelle mellem finansielle enheder med hensyn til størrelse, forretningsprofiler eller eksponering for digitale risici. Som et overordnet princip bør de finansielle enheder, når de afsætter ressourcer og kapaciteter til gennemførelsen af rammen for IKT-risikostyring, nøje afveje deres IKT-relaterede behov i forhold til deres størrelse og forretningsprofil, mens de kompetente myndigheder fortsat bør vurdere og se nærmere på tilgangen til en sådan afvejning. (34)Da større finansielle enheder kan have adgang til flere ressourcer og hurtigt kan afsætte midler til at udvikle ledelsesstrukturer og indføre forskellige virksomhedsstrategier, er det kun finansielle enheder, der ikke er mikrovirksomheder som defineret i denne forordning, som skal pålægges at indføre mere komplekse ledelsesordninger. Sådanne enheder er bedre rustet til at indføre særlige ledelsesfunktioner med henblik på tilsynsordninger med tredjepartsudbydere af IKT-risici eller til at varetage krisestyring, til at tilrettelægge deres egen IKT-risikostyring efter modellen med tre forsvarslinjer eller til at vedtage et HR-dokument med en udførlig redegørelse for politikker vedrørende adgangsrettigheder. På samme måde er det kun sådanne finansielle enheder, der bør opfordres til at foretage tilbundsgående vurderinger efter større ændringer af infrastrukturer og processer for net- og informationssystemer, regelmæssigt at foretage risikoanalyser af nedarvede IKT-systemer eller udvide afprøvningen af driftsstabiliteten samt indsats- og genopretningsplaner for at tegne et billede af overgangsscenarier mellem den primære IKT-infrastruktur og redundante faciliteter. (35)Da kun de finansielle enheder, der er udpeget som væsentlige med henblik på avanceret afprøvning af digital modstandsdygtighed, bør pålægges at foretage trusselsbaserede penetrationstest, bør de administrative processer og finansielle omkostninger, som gennemførelsen af sådanne test indebærer, desuden overdrages til en lille procentdel af finansielle enheder. Med det formål at lette den reguleringsmæssige byrde er det endelig kun finansielle enheder, som ikke er mikroenheder, der bør anmodes om regelmæssigt at aflægge rapport til de kompetente myndigheder om alle omkostninger og tab, der forårsages af IKT-forstyrrelser, og resultaterne af gennemgange efter hændelser med væsentlige IKT-forstyrrelser. (36)For at sikre fuld tilpasning af og overordnet konsekvens mellem finansielle enheders virksomhedsstrategier på den ene side og gennemførelse af IKT-risikostyring på den anden side bør ledelsesorganet pålægges fortsat at indtage en central og aktiv rolle i styringen og tilpasningen af rammen for IKT-risikostyring og den samlede strategi for digital modstandsdygtighed. Den tilgang, som ledelsesorganet skal anlægge, bør ikke kun fokusere på midlerne til at sikre modstandsdygtighed i IKT-systemer, men bør også omfatte mennesker og processer gennem en række politikker, som på hvert virksomhedsniveau og for alt personale fremmer stor bevidsthed om cybersikkerhed og et tilsagn om at respektere en streng cyberhygiejne på alle niveauer. Ledelsesorganets endelig ansvar for styringen af en finansiel enheds IKT-risici bør være det overordnede princip i denne omfangsrige tilgang, der skal udmøntes yderligere i ledelsesorganets fortsatte indsats for at føre kontrol med overvågningen af IKT-risikostyring. (37)Desuden går fuld ansvarliggørelse af ledelsesorganet hånd i hånd med sikring af et vist niveau af IKT-investeringer og et samlet budget for den pågældende finansielle enhed, således at den kan opnå en grundlæggende digital operationel modstandsdygtighed. (38)Med inspiration fra relevante standarder, retningslinjer, henstillinger eller tilgange, der er fastlagt på internationalt og nationalt plan samt på sektorplan, vedrørende styring af cyberrisici fremmer denne forordning et sæt funktioner, der gør det lettere foretage en overordnet strukturering af IKT-risikostyring. Så længe de hovedkapaciteter, som finansielle enheder indfører, opfylder de behov, der er knyttet til de planlagte mål for de funktioner (identifikation, beskyttelse og forebyggelse, detektion, indsats og genopretning, læring og udvikling og kommunikation), som er omhandlet i denne forordning, står det finansielle enheder frit for at anvende modeller for IKT-risikostyring, som er udformet eller kategoriseret på en anden måde. (39)For at holde trit med et cybertrusselsbillede i udvikling bør finansielle enheder opretholde opdaterede IKT-systemer, der er pålidelige og udstyret med tilstrækkelig kapacitet til ikke kun at garantere databehandling, alt efter hvad der er nødvendigt for gennemførelsen af deres tjenester, men også for at sikre teknologisk modstandsdygtighed, der gør det muligt for finansielle enheder i tilstrækkelig grad at tackle yderligere behandlingsrelaterede behov, som stressede markedsforhold eller andre vanskelige situationer kan give anledning til. Denne forordning indebærer ikke nogen standardisering af specifikke IKT-systemer, ‑værktøjer eller ‑teknologier, men beror på finansielle enheders passende anvendelse af europæiske og internationalt anerkendte tekniske standarder (f.eks. ISO) eller bedste praksis i sektoren, for så vidt som en sådan anvendelse er i fuld overensstemmelse med specifikke tilsynsmæssige instrukser vedrørende brug og inkorporering af sådanne internationale standarder. (40)Effektive planer for driftsstabilitet og genopretningsplaner er påkrævet, således at finansielle enheder omgående og hurtigt kan finde en løsning på IKT-relaterede hændelser, navnlig cyberangreb, ved at begrænse skaden og prioritere genoptagelsen af aktiviteter og genopretningstiltag. Mens backup-systemer uden unødigt ophold bør påbegynde behandlingen, bør en sådan påbegyndelse dog på ingen måde bringe net- og informationssystemers integritet og sikkerhed eller datafortroligheden i fare. (41)Mens denne forordning giver finansielle enheder mulighed for at fastsætte mål for genopretningstiden på en fleksibel måde og dermed fastsætte sådanne mål under fuld hensyntagen til den relevante funktions karakter og kritiske betydning og eventuelle specifikke forretningsmæssige behov, bør der også kræves en vurdering af den potentielle samlede indvirkning på markedseffektiviteten, når sådanne mål fastsættes. (42)De væsentlige konsekvenser af cyberangreb forstærkes, når de finder sted i den finansielle sektor, som er et område, der er i langt større fare for at blive mål for ondsindede formidlere, som forsøger at opnå finansielle gevinster direkte fra kilden. For at afbøde sådanne risici og for at forhindre, at IKT-systemer mister deres integritet eller bliver utilgængelige, at der sker overtrædelser af datafortroligheden, eller at fysiske IKT-infrastrukturer skades, bør finansielle enheders indberetning af større IKT-relaterede hændelser forbedres væsentligt. Indberetningen af IKT-relaterede hændelser bør harmoniseres for alle finansielle enheder ved at pålægge dem udelukkende at foretage indberetning til deres kompetente myndigheder. Mens alle finansielle enheder vil være omfattet af denne indberetning, bør de ikke alle berøres heraf på samme måde, da relevante væsentlighedstærskler og tidsrammer bør kalibreres til kun at tage højde for større IKT-relaterede hændelser. Direkte indberetning vil give finansielle tilsynsmyndigheder adgang til oplysninger om IKT-relaterede hændelser. Ikke desto mindre bør finansielle tilsynsmyndigheder videreformidle disse oplysninger til ikke-finansielle offentlige myndigheder (kompetente NIS-myndigheder, nationale databeskyttelsesmyndigheder og retshåndhævende myndigheder ved hændelser af kriminel karakter). Oplysningerne om den IKT-relaterede hændelser bør sendes begge veje: De finansielle tilsynsmyndigheder bør give al nødvendig feedback eller vejledning til den finansielle enhed, mens ESA'erne bør dele anonymiserede data om trusler og sårbarheder forbundet med en hændelse for at bidrage til det bredere kollektive forsvar. (43)Yderligere overvejelser vedrørende en mulig centralisering af indberetninger af IKT-relaterede hændelser bør påtænkes ved hjælp af et fælles centralt EU-knudepunkt, som enten direkte modtager de relevante indberetninger og automatisk underretter nationale kompetente myndigheder, eller som blot centraliserer indberetninger, som de nationale kompetente myndigheder har indgivet, og varetager en koordinatorrolle. Det bør pålægges ESA'erne i samråd med ECB og ENISA inden en nærmere fastsat dato at udarbejde en fælles rapport, hvori det undersøges, om det er praktisk muligt at oprette et sådant centralt EU-knudepunkt. (44)For at opnå en forsvarlig digital operationel modstandsdygtighed og skabe overensstemmelse med international standarder (f.eks. G7 Fundamental Elements for Threat-Led Penetration Testing) bør finansielle enheder regelmæssigt afprøve deres IKT-systemer og teste deres IKT-medarbejdere med hensyn til effektiviteten af deres forebyggelses-, detektions-, indsats- og genopretningskapaciteter for at afsløre og afhjælpe potentielle IKT-sårbarheder. For at sætte ind over for forskelle på tværs af og inden for de finansielle delsektorer, som vedrører de finansielle enheders cybersikkerhedsberedskab, bør afprøvning omfatte en bred vifte af værktøjer og tiltag, der spænder lige fra en vurdering af grundlæggende krav (f.eks. sårbarhedsvurderinger og ‑scanninger, analyser af open source software, vurderinger af netsikkerhed, analyser af huller, fysiske sikkerhedsgennemgange, spørgeskemaer og løsninger til scanningssoftware, gennemgange af kildekoder, når det er praktisk muligt, scenariebaserede test, kompatibilitettest, præstationstest eller end-to-end-test) til mere avanceret afprøvning (f.eks. TLPT for de finansielle enheder, der set fra et IKT-perspektiv er modne nok til at kunne foretage sådanne test). Afprøvning af digital operationel modstandsdygtighed bør således være mere krævende for væsentlige finansielle enheder (f.eks. store kreditinstitutter, børser, centrale værdipapircentraler, centrale modparter osv.). Samtidig er afprøvning af digital operationel modstandsdygtighed også mere relevant for visse delsektorer, som varetager en systemisk rolle (f.eks. betalinger, bankvirksomhed, clearing og afvikling), og mindre relevant for andre delsektorer (f.eks. kapitalforvaltere, kreditvurderingsbureauer osv.). Grænseoverskridende finansielle enheder, der udøver deres frie etableringsret og ret til fri udveksling af tjenesteydelser i EU, bør opfylde et fælles sæt avancerede afprøvningskrav (f.eks. TLPT) i deres hjemland, og en sådan test bør inkludere IKT-infrastrukturerne i alle jurisdiktioner, hvor den grænseoverskridende koncern opererer inden for EU, og dermed give grænseoverskridende koncerner mulighed for kun at pådrage sig omkostninger i én jurisdiktion. (45)For at sikre en forsvarlig overvågning af IKT-tredjepartsrisici er det nødvendigt at fastlægge en række principbaserede regler, der skal fungere som rettesnor for finansielle enheders overvågning af risici i forbindelse med funktioner, der outsources til tredjepartsudbydere af IKT-tjenester, og mere generelt i forbindelse med afhængighed af IKT-tredjeparter.

(46)En finansiel enhed bør til enhver tid fortsat være ansvarlig for opfyldelsen af forpligtelser i henhold til denne forordning. En forholdsmæssigt afpasset overvågning af risici, som opstår hos tredjepartsudbyderen af IKT-tjenester, bør tilrettelægges under behørig hensyntagen til omfanget, kompleksiteten og betydningen af den IKT-relaterede afhængighed eller tjenesternes kritiske karakter eller betydning, processer eller funktioner, der er omfattet af de kontraktlige ordninger, og i sidste ende på grundlag af en omhyggelig vurdering af en eventuel potentiel indvirkning på kvaliteten af finansielle tjenesteydelser og deres stabilitet på individuelt plan og koncernplan, alt efter hvad der er relevant. (47)Fuldførelsen af en sådan overvågning bør følge en strategisk tilgang til IKT-tredjepartsrisici, der formaliseres ved, at den finansielle enheds ledelsesorgan vedtager en målrettet strategi, som tager udgangspunkt i en løbende screening af enhver sådan afhængighed af IKT-tredjeparter. For at øge den tilsynsmæssige bevidsthed om afhængighed af IKT-tredjeparter og med henblik på yderligere at understøtte den tilsynsramme, der oprettes ved denne forordning, bør finansielle tilsynsmyndigheder regelmæssigt modtage væsentlige oplysninger fra registrene og bør have mulighed for anmode om uddrag herfra på ad hoc-basis. (48)En grundig analyse forud for kontraktindgåelsen skal understøtte og gå forud for den formelle indgåelse af kontraktlige ordninger, samtidig med at kontraktopsigelse som minimum bør være foranlediget af en række omstændigheder, der påviser mangler hos tredjepartsudbyderen af IKT-tjenester. (49)For at tackle de systemiske virkninger af den koncentrationsrisiko, der er forbundet med IKT-tredjeparter, bør der tilstræbes en afbalanceret løsning ved hjælp af en fleksibel og gradvis tilgang, da strenge lofter eller begrænsninger kan være en hindring for virksomhedsadfærd og kontraktfrihed. Finansielle enheder bør foretage en grundig vurdering af de kontraktlige ordninger for at identificere sandsynligheden for, at sådanne risici opstår, herunder ved hjælp af tilbundsgående analyser af ordninger for videreoutsourcing, navnlig når de er indgået med tredjepartsudbydere af IKT-tjenester med hjemsted i et tredjeland. På nuværende tidspunkt og med henblik på at finde en rimelig balance mellem nødvendigheden af at bevare kontraktfriheden og af at sikre den finansielle stabilitet anses det ikke for hensigtsmæssigt at fastsætte strenge lofter og begrænsninger for eksponeringen for IKT-tredjeparter. Den ESA, der er udpeget til at føre tilsyn med hver enkelt kritisk tredjepartsudbyder af IKT-tjenester ("ledende tilsynsførende"), bør i forbindelse med varetagelsen af tilsynsopgaver være særligt opmærksom på at opnå fuld forståelse for omfanget af den indbyrdes afhængighed og identificere særlige tilfælde, hvor en høj koncentrationsgrad af kritiske tredjepartsudbydere af IKT-tjenester i EU sandsynligvis vil lægge pres på stabiliteten og integriteten i EU's finansielle system, og bør fremme en dialog med kritiske tredjepartsudbydere af IKT-tjenester, hvor en sådan risiko er identificeret. (50)For regelmæssigt at kunne vurdere og overvåge evnen hos tredjepartsudbydere af IKT-tjenester til sikkert at levere tjenester til den finansielle enhed, uden at dette har negative virkninger for dennes modstandsdygtighed, bør der foretages en harmonisering af centrale kontraktlige elementer under hele opfyldelsen af kontrakter med tredjepartsudbydere af IKT-tjenester. Disse elementer dækker kun et minimalt antal kontraktlige aspekter, som anses for afgørende for, at den finansielle enhed kan foretage fuld overvågning med henblik på at sikre sin digitale modstandsdygtighed, som beror på IKT-tjenestens stabilitet og sikkerhed. (51)Kontraktlige ordninger bør navnlig indeholde en specifikation bestående af komplette beskrivelser af funktioner og tjenester, af steder, hvor sådanne funktioner udføres, og hvor der behandles data, samt fuldstændige beskrivelser af serviceniveauet ledsaget af kvantitative og kvalitative præstationsmål inden for aftalte serviceniveauer, således at den finansielle enhed kan foretage en effektiv overvågning. I samme ånd bør bestemmelser om adgang, tilgængelighed, integritet, sikkerhed og beskyttelse af personoplysninger samt garantier for adgang, genopretning og tilbagesendelse i tilfælde af insolvens eller afvikling, eller i tilfælde af at tredjepartsudbyderen af IKT-tjenester afbryder sine forretningsaktiviteter, også betragtes som væsentlige elementer i en finansiel enheds evne til at sikre overvågning af risici forbundet med tredjeparter. (52)For at sikre, at finansielle enheder fortsat har fuld kontrol over alle udviklingstendenser, som risikerer at forringe deres IKT-sikkerhed, bør der fastsættes opsigelsesfrister og indberetningsforpligtelser for tredjepartsudbyderen af IKT-tjenester i tilfælde af udviklingstendenser, som har en potentiel væsentlig indvirkning på evnen hos tredjepartsudbyderen af IKT-tjenester til effektivt at varetage kritiske eller vigtige funktioner, herunder levering af bistand fra sidstnævnte i tilfælde af en IKT-relateret hændelse uden yderligere omkostninger eller til en forud fastsat pris. (53)Adgangsrettigheder samt retten til inspektion og revision, som udøves af den finansielle enhed eller en udpeget tredjepart, er afgørende instrumenter i de finansielle enheders løbende overvågning af de resultater, som tredjepartsudbyderen af IKT-tjenester opnår, kombineret med sidstnævntes fulde samarbejde i forbindelse med inspektioner. I samme ånd bør den finansielle enheds kompetente myndighed på grundlag af underretninger have adgang til at udøve den pågældende ret til at inspicere og foretage revision af tredjepartsudbyderen af IKT-tjenester, idet den er bundet af tavshedspligt. (54)Kontraktlige ordninger bør indeholde klare opsigelsesrettigheder og dertil knyttede minimumsfrister samt særlige exitstrategier, navnlig obligatoriske overgangsperioder, i løbet af hvilke tredjepartsudbyderne af IKT-tjenester fortsat bør levere de relevante funktioner med henblik på at mindske risikoen for forstyrrelser i den finansielle enhed eller give sidstnævnte mulighed for effektivt at skifte til andre tredjepartsudbydere af IKT-tjenester, eller alternativt at gøre brug af løsninger på stedet, der svarer overens med den leverede tjenestes kompleksitet. (55)Desuden kan den frivillige anvendelse af de standardkontraktbestemmelser, der er udviklet af Kommissionen for cloud computing-tjenester, give de finansielle enheder og deres tredjepartsudbydere af IKT-tjenester yderligere sikkerhed ved at øge retssikkerhedsniveauet i forbindelse med den finansielle sektors anvendelse af cloud computing-tjenester, idet den fuldt ud tilpasses til de krav og forventninger, der er fastsat i forordningen om finansielle tjenesteydelser. Dette arbejde bygger på de foranstaltninger, der allerede var påtænkt i fintechhandlingsplanen fra 2018, hvori Kommissionen meddelte, at den har til hensigt at tilskynde til og fremme udarbejdelsen af standardkontraktbestemmelser for finansielle enheders anvendelse af cloud computing-tjenester, idet den trækker på indsatsen blandt tværsektorielle interessenter på området for cloud computing-tjenester, som Kommissionen har fremmet gennem inddragelse af den finansielle sektor. (56)Med henblik på at fremme konvergens og effektivitet i forbindelse med metoder til tilsyn med IKT-tredjepartsrisici for den finansielle sektor, styrke den digitale operationelle modstandsdygtighed i finansielle enheder, der er afhængige af, at kritiske tredjepartsudbydere af IKT-tjenester varetager operationelle funktioner, og dermed bidrage til at bevare stabiliteten i EU's finansielle system og integriteten i det indre marked for finansielle tjenester, bør kritiske tredjepartsudbydere af IKT-tjenester være omfattet af en EU-tilsynsramme. (57)Da det kun er kritiske tredjepartsudbydere, der berettiger til en særlig behandling, bør der indføres en udpegningsmekanisme med henblik på anvendelse af EU-tilsynsrammen for at tage hensyn til omfanget og karakteren af den finansielle sektors afhængighed af sådanne tredjepartsudbydere af IKT-tjenester, hvilket udmøntes i et sæt kvantitative og kvalitative kriterier, hvorved der fastsættes parametre for kritisk karakter som grundlag for medtagelse i tilsynet. Kritiske tredjepartsudbydere af IKT-tjenester, som ikke automatisk udpeges i medfør af ovennævnte kriterier, bør have mulighed for frivilligt at deltage i tilsynsrammen, mens de tredjepartsudbydere af IKT-tjenester, der allerede er omfattet af tilsynsrammer, som er fastlagt på nationalt plan med henblik på at understøtte de opgaver, der er omhandlet i artikel 127, stk. 2, i traktaten om Den Europæiske Unions funktionsmåde, derfor bør fritages. (58)Kravet om retlig integration i EU af tredjepartsudbydere af IKT-tjenester, der er udpeget som kritiske, udgør ikke datalokalisering, da denne forordning ikke indfører yderligere krav om, at datalagring eller -behandling skal finde sted i EU. (59)Denne ramme bør ikke berøre medlemsstaternes beføjelser til at gennemføre deres egne tilsynsmissioner i forhold til tredjepartsudbydere af IKT-tjenester, som ikke er kritiske i henhold til denne forordning, men som kan anses for at være vigtige på nationalt plan. (60)For at løfte den nuværende institutionelle arkitektur, der består af flere lag, på området for finansielle tjenesteydelser bør Det Fælles Udvalg af ESA'er fortsat sikre den overordnede koordinering på tværs af sektorer af alle forhold, der vedrører IKT-risici, i overensstemmelse med dets opgaver vedrørende cybersikkerhed med støtte fra et nyt underudvalg ("tilsynsforummet"), der udfører det forberedende arbejde med henblik på både individuelle afgørelser rettet mod kritiske tredjepartsudbydere af IKT-tjenester og kollektive henstillinger, navnlig om benchmarking af tilsynsprogrammerne for kritiske tredjepartsudbydere af IKT-tjenester, og fastlæggelse af bedste praksis for håndtering af spørgsmål vedrørende IKT-koncentrationsrisici. (61)For at sikre et tilsvarende tilsyn på EU-plan med tredjepartsudbydere af IKT-tjenester, der varetager en kritisk rolle i den finansielle sektors funktionsmåde, bør en af ESA'erne udpeges som ledende tilsynsførende med hver af de kritiske tredjepartsudbydere af IKT-tjenester. (62)Ledende tilsynsførende bør have de nødvendige beføjelser til at foretage undersøgelser, inspektioner på stedet og eksterne inspektioner hos kritiske tredjepartsudbydere af IKT-tjenester, opnå adgang til alle relevante lokaler og steder og indhente fuldstændige og ajourførte oplysninger, der sætter dem i stand til at opnå en reel indsigt i typen, omfanget og virkningerne af de IKT-tredjepartsrisici, der berører de finansielle enheder og i sidste ende EU's finansielle system. Overdragelse af hovedsvaret for tilsynet til ESA'erne udgør en forudsætning for at forstå og sætte ind over for den systemiske dimension af IKT-risici inden for finans. Det fodaftryk, som kritiske tredjepartsudbydere af IKT-tjenester efterlader i EU, og de dertil knyttede potentielle problematikker vedrørende IKT-koncentrationsrisici kræver, at der anlægges en kollektiv tilgang, som anvendes på EU-plan. Udførelsen af flere revisioner og udøvelsen af adgangsrettigheder, der gennemføres separat af en lang række kompetente myndigheder med begrænset eller ingen koordinering, vil ikke føre til et fuldstændigt tilsyn med IKT-tredjepartsrisici, samtidig med at der skabes unødvendig redundans, en unødvendig byrde og kompleksitet for kritiske tredjepartsudbydere af IKT-tjenester, der skal besvare de mange anmodninger. (63)Desuden bør de ledende tilsynsførende kunne fremsætte henstillinger vedrørende IKT-risici og passende afhjælpende foranstaltninger, herunder gøre indsigelse mod visse kontraktlige ordninger, som i sidste ende påvirker stabiliteten i den finansielle enhed eller det finansielle system. De nationale kompetente myndigheder bør tage behørigt hensyn til efterlevelsen af sådanne væsentlige henstillinger, som er fastlagt af de ledende tilsynsførende som led i deres opgaver vedrørende tilsyn med finansielle enheder. (64)Tilsynsrammen må hverken erstatte eller på nogen måde udskifte de finansielle enheders styring af den risiko, der er forbundet med brugen af tredjepartsudbydere af IKT-tjenester, herunder forpligtelsen til løbende at overvåge de af deres kontraktlige ordninger, der indgås med kritiske tredjepartsudbydere af IKT-tjenester, og må ikke berøre de finansielle enheders fulde ansvar for at overholde og opfylde alle krav i denne forordning og den relevante lovgivning om finansielle tjenesteydelser. For at undgå duplikationer og overlapninger bør de kompetente myndigheder afholde sig fra individuelt at træffe foranstaltninger, der har til formål at overvåge risici forbundet med den kritiske tredjepartsudbyder af IKT-tjenester. Sådanne foranstaltninger bør på forhånd koordineres og vedtages som led i tilsynsrammen.

(65)For at fremme konvergens på internationalt plan vedrørende den bedste praksis, der skal anvendes ved gennemgangen af den digitale risikostyring, der foretages af tredjepartsudbydere af IKT-tjenester, bør ESA'erne opfordres til at indgå samarbejdsordninger med de relevante kompetente tilsyns- og reguleringsmyndigheder i tredjelande for at lette udviklingen af bedste praksis vedrørende IKT-tredjepartsrisiko. (66)Med henblik på at udnytte den tekniske ekspertise hos de kompetente myndigheders eksperter i operationel risikostyring og IKT-risikostyring bør ledende tilsynsførende trække på nationale tilsynserfaringer og oprette særlige undersøgelsesteams for hver enkelt kritisk tredjepartsudbyder af IKT-tjenester, som består af tværfaglige teams, der både støtter forberedelsen og den faktiske udførelse af tilsynsaktiviteter, herunder inspektioner på stedet hos kritiske tredjepartsudbydere af IKT-tjenester, samt den nødvendige opfølgning heraf. (67)De kompetente myndigheder bør tillægges alle de nødvendige tilsyns-, undersøgelses- og sanktionsbeføjelser, således at de kan sikre anvendelsen af denne forordning. Administrative sanktioner bør i princippet offentliggøres. Da finansielle enheder og tredjepartsudbydere af IKT-tjenester kan have hjemsted i forskellige medlemsstater og være underlagt forskellige sektorspecifikke kompetente myndigheders tilsyn, bør der sikres tæt samarbejde mellem de relevante kompetente myndigheder, herunder ECB for så vidt angår specifikke opgaver, som den tillægges ved Rådets forordning (EU) nr. 1024/2013, og høring af ESA'erne gennem gensidig informationsudveksling og levering af bistand i forbindelse med tilsynsaktiviteter. (68)For yderligere at kvantificere og kvalificere udpegelseskriterierne for kritiske tredjepartsudbydere af IKT-tjenester og harmonisere tilsynsgebyrerne bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i traktaten om Den Europæiske Unions funktionsmåde for så vidt angår: yderligere præcisering af de systemiske virkninger, som en fejlbehæftet IKT-tredjepartstjeneste kan få for de finansielle enheder, den leverer tjenester til; antallet af globale systemisk vigtige institutter (G-SII'er) eller andre systemisk vigtige institutter (O-SII'er), som er afhængige af den pågældende tredjepartsudbyder af IKT-tjenester; antallet af tredjepartsudbydere af IKT-tjenester, der er aktive på et specifikt marked; omkostningerne forbundet med at migrere til en anden tredjepartsudbyder af IKT-tjenester; antallet af medlemsstater, hvor den pågældende tredjepartsudbyder af IKT-tjenester leverer tjenester, og hvor finansielle enheder, der benytter sig af den pågældende tredjepartsudbyder af IKT-tjenester, har aktiviteter; samt omfanget af tilsynsgebyrerne og den måde, hvorpå de skal betales. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning. Navnlig for at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet alle dokumenter på samme tid, da medlemsstaternes eksperter og deres eksperter systematisk har adgang til møder i de af Kommissionens ekspertgrupper, som beskæftiger sig med udarbejdelsen af delegerede retsakter. (69)Eftersom denne forordning sammen med Europa-Parlamentets og Rådets direktiv (EU) 20xx/xx indebærer en konsolidering af bestemmelserne om IKT-risikostyring, der spænder over forskellige forordninger og direktiver i gældende EU-ret vedrørende finansielle tjenesteydelser, herunder forordning (EF) nr. 1060/2009, (EU) nr. 648/2012 (EU) nr. 600/2014 og (EU) nr. 909/2014, for at sikre fuld sammenhæng bør disse forordninger ændres for at præcisere, at de relevante IKT-risikorelaterede bestemmelser er fastsat i nærværende forordning. Tekniske standarder bør sikre en konsekvent harmonisering af kravene i denne forordning. Da ESA'erne sidder inde med højt specialiseret faglig kompetence, bør de have mandat til at udarbejde udkast til reguleringsmæssige tekniske standarder, som ikke indebærer politikbeslutninger, med henblik på forelæggelse for Kommissionen. Der bør udarbejdes reguleringsmæssige tekniske standarder på områderne IKT-risikostyring, indberetning, afprøvning og centrale krav med henblik på en forsvarlig overvågning af IKT-tredjepartsrisici. (70)Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau. Kommissionen og ESA'erne bør sikre, at disse standarder og krav kan anvendes af alle finansielle enheder på en måde, der står i rimeligt forhold til karakteren, omfanget og kompleksiteten af disse enheder og deres aktiviteter. (71)For at gøre det lettere at sammenligne indberetninger af større IKT-relaterede hændelser og sikre gennemsigtighed med hensyn til kontraktlige ordninger for brugen af IKT-tjenester, der leveres af tredjepartsudbydere af IKT-tjenester, bør ESA'erne have mandat til at udarbejde udkast til gennemførelsesmæssige tekniske standarder, hvorved der fastlægges standardiserede modeller, formularer og procedurer, således at finansielle enheder kan indberette IKT-relaterede hændelser, samt standardiserede modeller for registeret over oplysninger. Når ESA'erne udarbejder disse standarder, bør de tage hensyn til de finansielle enheders størrelse og kompleksitet samt karakteren af og risikoniveauet for deres aktiviteter. Kommissionen bør tillægges beføjelse til at vedtage sådanne gennemførelsesmæssige tekniske standarder ved hjælp af gennemførelsesretsakter i henhold til artikel 291 i TEUF og i overensstemmelse med artikel 15 i henholdsvis forordning (EU) nr. 1093/2010, (EU) nr. 1094/2010 og (EU) nr. 1095/2010. Da der allerede er fastsat yderligere krav ved delegerede retsakter og gennemførelsesretsakter baseret på de reguleringsmæssige og gennemførelsesmæssige tekniske standarder i henholdsvis forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014 og (EU) nr. 909/2014, bør ESA'erne bemyndiges til enten individuelt eller i fællesskab via det fælles udvalg at forelægge reguleringsmæssige og gennemførelsesmæssige tekniske standarder for Kommissionen med henblik på vedtagelse af delegerede retsakter og gennemførelsesretsakter om overførsel og ajourføring af eksisterende regler for IKT-risikostyring. (72)Denne vedtagelse vil medføre en efterfølgende ændring af de eksisterende delegerede retsakter og gennemførelsesretsakter, der er vedtaget på forskellige områder af lovgivningen om finansielle tjenesteydelser. Artiklerne om anvendelsesområdet for operationelle risici, i henhold til hvilke beføjelser i disse retsakter har givet mandat til vedtagelsen af delegerede retsakter og gennemførelsesretsakter, bør ændres med henblik på at overføre alle bestemmelser om digital operationel modstandsdygtighed, som i dag indgår i nævnte forordninger, til nærværende forordning. (73)Da målene for denne forordning, navnlig om at opnå et højt niveau af digital operationel modstandsdygtighed, som omfatter alle finansielle enheder, ikke i tilstrækkelig grad kan opfyldes af medlemsstaterne, fordi de kræver harmonisering af en lang række forskellige regler, der på nuværende tidspunkt findes enten i visse EU-retsakter eller i de forskellige medlemsstaters retssystemer, men som på grund af dens omfang og virkninger bedre kan opnås på EU-plan, kan EU vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå dette mål — VEDTAGET DENNE FORORDNING: KAPITEL I Almindelige bestemmelser Artikel 1 Genstand 1.Denne forordning fastsætter følgende ensartede krav til sikkerhe