Det Europæiske Økonomiske og Sociale Udvalgs udtalelse om forslag til Europa-Parlamentets og Rådets forordning om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014 og (EU) nr. 909/2014

(COM(2020) 595 final — 2020/0266 (COD))

forslag til Europa-Parlamentets og Rådets direktiv om ændring af direktiv 2006/43/EF, 2009/65/EF, 2009/138/EF, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 og (EU) 2016/2341

(COM(2020) 596 final — 2020/0268 (COD))

(2021/C 155/06)

Ordfører: Antonio GARCÍA DEL RIEGO

Anmodning om udtalelse Europa-Parlamentet, 17.12.2020 Rådet for den Europæiske Union, 22.12.2020 Retsgrundlag EUF-traktatens artikel 53, stk. 1, artikel 114, stk. 1, og artikel 304 Kompetence Sektionen for Den Økonomiske og Monetære Union og Økonomisk og Social Samhørighed Vedtaget i sektionen 12.2.2021 Vedtaget på plenarforsamlingen 24.2.2021 Plenarforsamling nr. 558 Resultat af afstemningen (for/imod/hverken for eller imod) 243/1/4

1. Konklusioner og anbefalinger

1.1. EØSU glæder sig over Kommissionens forslag om digital operationel modstandsdygtighed (DORA), da det har til formål at skabe juridisk klarhed om bestemmelserne om IKT-risici, mindske reguleringsmæssig kompleksitet, indføre et fælles sæt af standarder til at begrænse IKT-risici og fremme en fælles tilsynsmetode, samtidig med at der skabes retssikkerhed og den nødvendige beskyttelse af finansielle virksomheder og IKT-udbydere. DORA styrker ikke alene sektorens modstandsdygtighed over for IKT-risici, men er også interessant for en række interessenter, herunder kunder, investorer og arbejdstagere, og bidrager til gennemførelsen af bæredygtig udvikling.

1.2. EØSU anbefaler at gøre DORA mere effektiv ved at:

1.2.1. Omfatte alle udbydere af kritiske finansielle tjenesteydelser, som udvikler finansielle aktiviteter, i DORA's anvendelsesområde og udelukke IKT-ydelser, der bruges til ikkekritiske funktioner.

1.2.2. Sikre sammenhæng imellem DORA's definitioner og anvendelsesområde og de krav, der er indeholdt i eksisterende retningslinjer udstedt af de europæiske tilsynsmyndigheder.

1.2.3. Fremme en lovramme for IKT-styring med fokus på en princip- og risikobaseret tilgang, som letter gennemførelsen af fremtidssikrede og fleksible kontroller, der står i et rimeligt forhold til risiciene.

1.2.4. Sikre fuld tilpasning til FSB's »Cyber Incident Response and Recovery toolkit«, for så vidt angår IKT-relaterede hændelser.

1.2.5. Fremhæve ikke alene den finansielle institutions størrelse, men også hvor kompleks og kritisk tjenesten er, undgå obligatorisk outsourcing til det begrænsede antal eksterne testere og gensidigt anerkende testresultater, hvad angår afprøvning af digital operationel modstandsdygtighed.

1.2.6. Samle de krav, der gælder for outsourcing, i et fælles regelsæt, der skaber retssikkerhed for alle markedsdeltagere, og pålideligt imødekommer de tilsynsmæssige forventninger.

1.2.7. Håndhæve ledende tilsynsførendes henstillinger fuldt ud og klart definere roller og ansvarsområder for de forskellige myndigheder, der er involveret i tilsynet med kritiske tredjepartsudbydere.

1.2.8. Sikre adgang til outsourcede tjenester, der betragtes som kritiske for tredjepartsudbydere i tredjelande, for at undgå at begrænse virksomhedernes kontraktfrihed og mulighed for at få adgang til tjenesteydelser fra udbydere med høj merværdi.

1.2.9. Indarbejde proportionalitet i bødesystemet for at undgå at afskrække IKT-udbyderne fra at betjene europæiske finansielle enheder og gå væk fra den nuværende henvisning til omsætning på verdensplan.

1.2.10. Tydeliggøre virksomhedernes muligheder for at udveksle information om cybertrusler ved at sikre, at sådanne aftaler indgås på frivillig basis, og at der indføres en eksplicit bestemmelse i DORA-forslaget om tilladelse til udveksling af personoplysninger.

1.2.11. Hæve forslagets tærskel for fritagelse for mikrovirksomheder og små virksomheder som defineret i artikel 2, stk. 2, i bilag I til Kommissionens henstilling 2003/361/EF ( 1 ) : virksomheder som beskæftiger under 50 personer, og som har en årlig omsætning eller en samlet årlig balance på ikke over 10 mio. EUR. Derudover kunne man overveje at mindske antallet af krav gældende for SMV-enheder i forhold til enhedens digitale risikoprofil.

1.3. EØSU bakker op om at styrke de ledende tilsynsførendes funktion, så de kan udføre revisioner og inspektioner af kritiske tredjepartsudbydere, da det vil give dem en bedre forståelse af de risici, som kritiske tredjepartsudbydere kan udgøre, og dette kan være med til at forenkle bankernes outsourcingprocedurer.

2. Baggrund

2.1. De europæiske forbrugere og virksomheder er i stigende grad afhængige af digitale finansielle ydelser, samtidig med at markedsdeltagerne udbreder mere og mere innovative løsninger baseret på nye teknologier. Den digitale omstilling er afgørende for den europæiske genopretning og for skabelsen af en bæredygtig og modstandsdygtig europæisk økonomi.

2.2. Kommissionen fremlægger — i overensstemmelse med prioriteterne om at gøre Europa klar til den digitale tidsalder og opbygge en fremtidssikret økonomi, der tjener alle — en pakke om digital finans . Pakken skitserer foranstaltninger, der med hensyn til innovation og konkurrenceevne skal udvide og understøtte potentialet i digital finans og samtidig begrænse de dermed forbundne risici.

2.3. Ud over forslaget om digital operationel modstandsdygtighed indeholder pakken om digital finans en ny strategi for digital finans for EU's finansielle sektor ( 2 ) og et forslag til forordning om markeder for kryptoaktiver sammen med et forslag til forordning om en pilotordning for markedsinfrastrukturer baseret på distributed ledger-teknologi (DLT) ( 3 )

2.4. Digital operationel modstandsdygtighed er virksomhedernes evne til at sikre, at de kan modstå alle former for forstyrrelser og trusler relateret til informations- og kommunikationsteknologi (IKT). Den finansielle sektors stadig større afhængighed af software og digitale processer betyder, at IKT-risici er et grundvilkår i finanssektoren. Finansielle virksomheder er blevet mål for cyberangreb, hvilket påfører forbrugerne og virksomhederne alvorlige økonomiske og omdømmemæssige skader. Det er nødvendigt at kunne forstå og håndtere disse risici godt, især i pressede situationer.

2.5. Reformerne fra tiden efter finanskrisen i 2008 styrkede modstandsdygtigheden i EU's finansielle sektor, men IKT-risiciene blev kun behandlet indirekte. Manglen på en detaljeret lovramme på EU-plan for digital operationel modstandsdygtighed førte til, at man måtte forlade sig på nationale lovgivningsinitiativer. Dette har imidlertid begrænset effektiviteten i forbindelse med grænseoverskridende aktiviteter og har ført til en fragmentering af det indre marked, hvilket underminerer stabiliteten og integriteten af EU's finansielle sektor. Kommissionen foreslår derfor at udarbejde en omfattende ramme for digital operationel modstandsdygtighed for europæiske finansielle enheder.

2.6. Lovgivningsforslaget om digital operationel modstandsdygtighed (DORA) ( 4 ) har til formål at styrke og strømline finansielle enheders styring af IKT-risici, indføre en grundig afprøvning af IKT-systemers modstandsdygtighed, fremme informationsdeling og øge tilsynsmyndighedernes kendskab til cyberrisici og de IKT-relaterede hændelser, som finansielle enheder udsættes for samt tillægge de finansielle tilsynsmyndigheder beføjelser til at føre tilsyn med risici, som skyldes finansielle enheders afhængighed af tredjepartsudbydere af IKT-tjenester. Forslaget har desuden til formål at skabe en sammenhængende mekanisme til indberetning af hændelser, der kan bidrage til at mindske de finansielle enheders administrative byrde og øge tilsynets effektivitet.

2.7. Kommissionen har også fremlagt et forslag til direktiv ( 5 ) , fordi det er nødvendigt at indføre en midlertidig undtagelse for multilaterale handelsfaciliteter og ændre eller præcisere visse bestemmelser i de eksisterende EU-direktiver om finansielle tjenesteydelser for at opfylde målsætningerne i forslaget om digital operationel modstandsdygtighed.

2.8. IKT-markedet rangerer blandt de største industrier i verden med en anslået værdi på over 5 000 bio. USD i 2019 og over 6 000 bio. inden 2022. Den fortsatte vækst er en påmindelse om teknologiens stadigt stigende udbredelse og betydning i dagens samfund. Finanssektoren er den største IKT-bruger i verden og tegner sig for 20 % af de samlede IKT-udgifter ifølge lovgivningsforslagets konsekvensanalyse.

2.9. Covid-19 har sat skub i udbredelsen af digitale finansielle tjenester , mens de finansielle institutioners filialnetværk fortsat er underudnyttet. Dette stimulerer investeringer i digitale selvbetjeningsværktøjer, åbne finansieringsapplikationer og merværditjenester. Overordnet set vil den aktuelle situation tvinge de finansielle institutioner til at investere mere i IT-infrastruktur, prioritere migrationen af kritiske arbejdsopgaver og opdatere eksisterende apps. EU's finansielle sektor er allerede i gang med en betydelig digital omstilling, og sektorens globale konkurrenceevne kommer i høj grad til at afhænge af de europæiske institutioners evne til at udnytte de mest avancerede teknologier.

3. Generelle bemærkninger

3.1. EØSU bifalder Kommissionens forslag om digital og operationel modstandsdygtighed (DORA) , som tager fat på mange af de behov, den finansielle sektor har gjort opmærksom på, og forslaget har sigte på at skabe juridisk klarhed om bestemmelserne om IKT-risici, mindske reguleringsmæssig kompleksitet og sænke de administrative byrder, som skyldes de forskellige regler i EU for finansielle enheder. DORA øger ikke alene sektorens modstandsdygtighed over for IKT-risici, men er også interessant for en række interessenter, herunder kunder, investorer og arbejdstagere og bidrager til gennemførelsen af bæredygtig udvikling.

3.2. EØSU ser DORA som et vigtigt skridt mod at fastsætte et fælles sæt af standarder til begrænsning af IKT-risici og fremme en fælles tilsynsmæssig tilgang, men mener, at man bør være varsom for ikke at skabe barrierer, der kan forhindre europæiske finansielle institutioner i at deltage i den globale innovationsproces.

3.3. EØSU ser det som et af EU-myndighedernes overordnede mål at søge et forholdsmæssigt og risikobaseret system, der giver tilsynsmyndighederne redskaber til at handle på deres bekymringer, samtidig med at de finansielle virksomheder og IKT-udbyderne får den retssikkerhed og beskyttelse, de har brug for.

4. Særlige bemærkninger

4.1. Anvendelsesområde og overlappende lovgivning

4.1.1. Inkludering af yderligere relevante finansielle markedsdeltagere

EØSU anerkender og bifalder forslagets brede målgruppe af finansielle markedsdeltagere, hvilket vil sikre en konsekvent anvendelse af kravene på tværs af EU's finansielle sektor, men anbefaler, at EU's politiske beslutningstagere inkluderer finansielle aktører, der ikke menes at høre under dette lovforslags anvendelsesområde — f.eks. udbydere af realkredit og forbrugerlån — i en passende grad, afhængigt af hvilken risiko de udgør for systemet. Udbydere af finansielle tjenester, der udvikler samme aktiviteter og løber samme risici, bør omfattes af de samme regler og samme tilsyn, så forbrugerne og den finansielle stabilitet beskyttes gennem de samme minimumsrammer for digital modstandsdygtighed.

4.1.2. Overensstemmelse mellem lovgivning på internationalt plan og på EU-plan og med eksisterende forordninger

For virksomheder, og især dem, der beskæftiger sig med grænseoverskridende aktiviteter, er det afgørende, at der skabes klarhed ved at sikre ensartede definitioner og betingelser, og at man undgår dobbeltarbejde, overlapning og forskellige fortolkninger af, hvordan ens lovgivningsmæssige krav opfyldes i forskellige jurisdiktioner. EØSU anbefaler, at EU's politiske beslutningstagere tilpasser definitionen af operationel modstandsdygtighed til definitionen (6) fra Baselkomitéen for Banktilsyn (BCBS) og sikrer, at denne ordning er den retningsgivende for europæiske finansielle institutioner for at undgå risikoen for uoverensstemmelser med andre ordninger. Desuden er mange af de principper og krav, der er fastsat i DORA, allerede defineret i de eksisterende retningslinjer for outsourcing (7). IKT-risici og krav til styring af sikkerhedsrisici er også allerede defineret i EBA's retningslinjer. For at opnå fælles lovgivningsmæssige krav i EU bliver det afgørende at sikre sammenhæng mellem DORA's definitioner og anvendelsesområde og de krav, der er fastsat i eksisterende retningslinjer.

4.1.3. EØSU anbefaler desuden, at Kommissionen sørger for, at den igangværende revision af direktivet om sikkerhed for net- og informationssystemer (NIS-direktivet) og DORA-forslaget har de samme definitioner og krav til finansielle enheder om indberetning af sikkerhedshændelser.

4.2. IKT-risikostyring

Visse elementer i rammen er alt for fokuseret på regelefterlevelse frem for på, hvordan virksomheder kan vise resultater i en princip- og risikobaseret tilgang. Da de er for præskriptive og detaljerede, risikerer de at forældes over tid i takt med, at cyber- og IKT-risikolandskabet udvikler sig. EØSU anbefaler en mere princip- og risikobaseret tilgang, som letter gennemførelsen af fremtidssikrede og fleksible kontroller, der står i et rimeligt forhold til risiciene.

4.3. IKT-relaterede hændelser

EØSU anbefaler fuld tilpasning mellem det nyligt offentliggjorte »Cyber Incident Response and Recovery toolkit« (8) udformet af Rådet for Finansiel Stabilitet (FSB), som formidler bedste praksis for hændelsesrapportering, og den foreslåede styring, klassificering og indberetning af IKT-relaterede hændelser i DORA. Der er overlapninger, der skaber reguleringsmæssig usikkerhed og øger virksomhedernes administrative byrder.

4.4. Test af digital operationel modstandsdygtighed

4.4.1. EØSU bifalder den paneuropæiske ordning for trusselsbaserede penetrationstest, fordi den vil øge effektiviteten og mindske fragmenteringen, men anbefaler, at myndighederne ikke kun fokuserer på en finansiel institutions størrelse eller omfang, men også på tjenestens kompleksitet og på, hvor kritisk den er under hensyntagen til proportionalitetsprincippet. Derudover bør man om nødvendigt fjerne sondringen mellem basistest for alle finansielle institutioner og mere avancerede test for vigtige finansielle institutioner, sikre, at kunder fra mindre finansielle enheder er lige så godt beskyttet, og at der skabes lige vilkår for alle finansielle enheder.

4.4.2. EØSU anbefaler, at outsourcing af test til eksterne testere ikke gøres obligatorisk, da der kun er et begrænset antal eksterne testere. Virksomhederne kan faktisk have deres egne testhold, som er fortrolige med virksomhedernes miljøer og hurtigt kan stille om til mere avancerede og målrettede test.

4.4.3. Inkluderingen af tredjeparts IKT-tjenesteudbydere i den trusselsbaserede penetrationstest bør undersøges. Tredjepartsudbydere af IKT-tjenester kan betjene en række kunder, hvilket kan føre til betydeligt dobbelt testarbejde, hvilket igen kan medføre betydelige risici for tredjepartsudbydere af IKT-tjenester og de kunder, de betjener.

4.4.4. EØSU efterlyser desuden en eksplicit henvisning til gensidig anerkendelse af testresultater, da det er med til at begrænse risiciene, sikre et velfungerende indre marked og undgå omkostningsstigninger for finansielle enheder, som har aktiviteter på tværs af grænserne.

4.5. Styring af IKT-tredjepartsrisici og tilsynsrammen for kritiske tredjepartsudbydere

4.5.1. Sikring af sammenhæng med de eksisterende retningslinjer om outsourcing

EØSU glæder sig over, at DORA fastlægger en fælles lovramme for forsvarlig styring af IKT-tredjepartsrisici for alle deltagere på det finansielle marked i hele EU. Det bliver dog afgørende at sikre, at dette fælles grundlag, som er fastlagt i hovedprincipperne (artikel 25, 26 og 27), er fuldt ud tilpasset de eksisterende regler såsom de europæiske tilsynsmyndigheders (ESA'er) retningslinjer om outsourcing (dvs. at den nuværende uoverensstemmelse i anvendelsesområdet mellem »outsourcing« og »tredjepartstjeneste« skal løses (9)). Endvidere finder udvalget, at dette er en fremragende anledning for EU's myndigheder til at samle de krav, der gælder for outsourcing, i en enkelt forordning —med en tilstrækkelig detaljeringsgrad til at undgå fortolkningsforskelle — hvilket kan skabe retssikkerhed for alle markedsdeltagere og pålideligt imødekomme de tilsynsmæssige forventninger.

4.5.2. Krav til kritiske eller vigtige outsourcede aktiviteter

Når det gælder anvendelsen af artikel 25, stk. 2, bør forordningen for at fastholde fokus på risikostyring være mere specifik i forhold til anvendelsen af proportionalitetsprincippet og de krav, der skal gælde for outsourcing af kritiske eller vigtige aktiviteter, og de krav, der skal gælde for andre aktiviteter (10). EØSU anbefaler, at IKT-tjenester, der bruges til ikkekritiske funktioner, ikke omfattes af DORA's anvendelsesområde.

4.5.3. Ramme for direkte tilsyn med kritiske tredjepartsudbydere

I mangel af en horisontal sektorneutral EU-ramme bifalder EØSU indførelsen af en ramme for direkte tilsyn, der giver mulighed for, at finansielle myndigheder kan føre løbende tilsyn med kritiske tredjepartsudbyderes aktiviteter. EU-myndighederne bør i forslaget til forordning anerkende, at finansielle institutioners risikoeksponering mindskes, når en kritisk tredjepartsudbyder af IKT-tjenester kommer under dette tilsyn som følge af den løbende overvågning af den pågældende udbyders aktiviteter. Derfor bør denne nye tilsynsramme også bidrage til at strømline bankernes outsourcingprocedurer ved at lette nogle af de byrder, som finansielle enheder i øjeblikket står over for i forbindelse med kontrol og inspektion af de tredjepartsudbydere, der vurderes som kritiske.

4.5.4. EØSU bakker op om at give de ledende tilsynsførende beføjelser til at udføre revision og inspektion af kritiske tredjepartsudbydere, da det vil give de ledende tilsynsførende en bedre forståelse af de risici, som kritiske tredjepartsudbydere kan udgøre. De vil nemlig få førstehåndskendskab til disse udbyderes processer og faciliteter og således ikke som nu være afhængige af de indberetninger, som de finansielle institutioner, der føres tilsyn med, selv foretager, eller de inspektioner, som de nationale kompetente myndigheder udfører. Selv om de finansielle enheders risikobegrænsende foranstaltninger bør opretholdes, og de retlige forpligtelser forbliver hos dem, bør de finansielle institutioner, når den ledende tilsynsførende allerede udfører inspektioner og kontroller, kunne henvise til dette ekstra sikkerhedsniveau, således at inspektioner og kontroller ikke skal gentages.

4.5.5. Ledende tilsynsførende og nationale kompetente myndigheder

Når tilsynsprocessen er gennemført, følger de nationale kompetente myndigheder op på den ledende tilsynsførendes henstillinger. De nationale kompetente myndigheder kan have deres egen tilgang til anvendelse af den ledende tilsynsførendes konklusioner for bestemte kritiske tredjepartsudbydere. EØSU anbefaler, at de forskellige myndigheders rolle og ansvarsområde klarlægges fuldstændigt for at undgå en situation, hvor forskellige fortolkninger påvirker de enkelte tredjepartsudbyderes kunder forskelligt, afhængigt af hvilken myndighed der er ansvarlig. Dette vil begrænse risikoen for fragmentering. De ledende tilsynsførendes henstillinger bør desuden kunne håndhæves fuldt ud i betragtning af den nuværende tvetydighed i artikel 37, for så vidt angår deres bindende karakter.

4.5.6. Suspendering af en kritisk tredjepartsudbyder

DORA giver nationale finansielle tilsynsmyndigheder beføjelser til at kræve af kunder, at de midlertidigt suspenderer eller ophører med at benytte en IKT-udbyder, indtil der er skredet ind over for de risici, som er udpeget i henstillingerne. Krav om omgående afbrydelse af arbejdet med en tredjepartsudbyder vil afgjort påvirke eksisterende eller fremtidig beslutningstagning i erhvervslivet (f.eks. ved at virke afskrækkende på investeringer i EU) og kan potentielt ramme den finansielle stabilitet. Før en sådan beslutning træffes, bør de kompetente myndigheder blandt andet nøje overveje den potentielle negative virkning af at opsige tjenesten for de finansielle enheder, der bruger den pågældende tredjepartsudbyder (11), fastsætte tydelige kriterier for et sådant krav og overveje mulige afhjælpende foranstaltninger.

4.5.7. EØSU anbefaler endvidere, at finansielle enheder — hvis dette ender med at ske — i god tid forinden oplyses herom og gives tilstrækkelig tid til at afslutte samarbejdet.

4.6. Sikring af europæiske finansielle virksomheders globale konkurrenceevne

4.6.1. Den nye lovramme skal beskytte europæiske finansielle virksomheders mulighed for at få adgang til mindst de samme teknologier, som deres globale konkurrenter har adgang til. Europæiske finansielle virksomheder konkurrerer på verdensplan, og den kommende EU-lovgivningsramme bør ikke stille de europæiske virksomheder ringere ved at begrænse deres adgang til de mest avancerede teknologier — så længe udbyderne af teknologierne overholder EU's standarder for modstandsdygtighed og sikkerhed.

4.6.2. Tredjepartsudbydere i tredjelande

Forordningen bør ikke begrænse muligheden for outsourcing af tjenester, der betragtes som kritiske, til tredjepartsudbydere i tredjelande. En sådan begrænsning ville afgjort begrænse den enkelte enheds kontraktfrihed og de europæiske finansielle institutioners mulighed for at få adgang til tjenester fra udbydere med høj merværdi, som der sandsynligvis ikke findes tilstrækkeligt mange af i Europa. Dette er endnu mere relevant, fordi den foreslåede tilsynsramme er begrænset til den finansielle sektor, hvilket skaber ulige vilkår for andre aktører, der ikke er omfattet af denne forordning, og den kan således ende med at øge risikoen for koncentration, hvilket DORA søger at undgå.

4.6.3. Tvangsbøder baseret på omsætning på verdensplan

DORA indeholder bestemmelser om tvangsbøder med henvisning til IKT-udbydernes omsætning på verdensplan, hvis disse ikke opfylder kravene fra EU's finansielle tilsynsmyndigheder. En uforholdsmæssig anvendelse af disse tvangsbøder kan afskrække globale IKT-udbydere fra at betjene finansielle virksomheder i EU, hvilket konkret kan begrænseudvalget af udbydere for finansielle virksomheder i EU. Desuden vil risikoen for at blive pålagt sanktioner med uforholdsmæssige bøder kunne afskrække ikkekritiske tredjepartsudbydere fra at vælge at gå ind i tilsynsordningen, hvilket vil begrænse konkurrencen på markedet i foregående omsætningsled. EØSU bakker op om indførelsen af en grad af proportionalitet i sanktionsordningen, hvilket vil være afgørende for at undgå at afskrække IKT-udbydere, som vil udbyde tjenester til europæiske finansielle enheder.

4.7. Ordninger for informationsudveksling

4.7.1. Da rettidig informationsudveksling er afgørende for effektivt at kunne identificere angrebsvektorer og isolere og forebygge potentielle trusler, bifalder EØSU bestemmelsen om at lette etableringen af ordninger for informationsudveksling om cybertrusler mellem finansielle institutioner på frivillig basis.

4.7.2. EØSU anbefaler også, at EU-myndighederne fastsætter et eksplicit grundlag for udvekslingen af personoplysninger (som f.eks. IP-adresser) i vilkårene for forslaget, eftersom dette vil mindske usikkerheden og styrke de finansielle enheders forsvarskapacitet ved at gøre det lettere at identificere trusler og mindske risikoen for afsmitning enhederne i mellem. Der er brug for yderligere klarhed på grund af dataenes fortrolige/følsomme karakter.

Bruxelles, den 24. februar 2021. Christa SCHWENG Formand for Det Europæiske Økonomiske og Sociale Udvalg

(1) EUT L 124 af 20.5.2003, s. 36.

(2) Se EØSU's udtalelse ECO/534 — Strategi for digital finans for EU (se side 27 i denne EUT).

(3) Se EØSU's udtalelse ECO/535 — Kryptoaktiver og distributed ledger-teknologi (se side 31 i denne EUT).

(4) COM(2020) 595 final.

(5) COM(2020) 596 final.

(6) Baselkomitéen for Banktilsyn, Principles for operational resilience,6. november 2020.

(7) Som principperne fra EBA og EIOPA og udkastet til ESMA's retningslinjer, som har været til høring.

(8) Rådet for Finansiel Stabilitet, Final Report on Effective Practices for Cyber Incident Response and Recovery, 19. oktober 2020.

(9) DORA henviser kun til »tredjepartsudbydere af IKT-tjenester« i forbindelse med hovedprincipperne for forsvarlig styring af IKT-tredjepartsrisici (kapitel V), mens anvendelsesområdet for EBA's retningslinjer om ordninger for outsourcing er baseret på definitionen af outsourcing, hvilket indebærer, at aktiviteten udføres på tilbagevendende eller løbende basis (afsnit 26). EBA's retningslinjer indeholder også en liste med undtagelser, der ikke betragtes som outsourcing (afsnit 28).

(10) Her bliver det igen afgørende at tilpasse definitionen af »kritiske eller vigtige funktioner« i både DORA og EBA's retningslinjer for outsourcing. Navnlig definerer EBA's retningslinjer de faktorer, som finansielle institutioner bør overveje i forbindelse med vurderingen af, hvorvidt en ordning om outsourcing vedrører en kritisk eller vigtig funktion (artikel 29, 30, og 31).

(11) Et af kriterierne for at udpege en IKT-udbyder som kritisk er, i hvilket omfang tredjepartsudbyderen kan erstattes — under hensyntagen til manglen på reelle alternativer eller vanskeligheder med helt eller delvist at migrere tjenesterne (artikel 28, stk. 2). Hvis disse kriterier er opfyldt, vil det være vanskeligt for finansielle institutioner at overføre tjenesten til en anden udbyder. Desuden vil kravet om, at eksponerede finansielle institutioner skal flytte til en anden tjenesteudbyder i sidste ende bidrage til at øge koncentrationen på det europæiske marked, hvilket helt konkret vil være i strid med forordningens formål.