EUROPÄISCHE KOMMISSION Brüssel, den 24.9.2020 COM(2020) 595 final 2020/0266(COD) Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES über die Betriebsstabilität digitaler Systeme des Finanzsektors und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014 und (EU) Nr. 909/2014 (Text von Bedeutung für den EWR) {SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}



BEGRÜNDUNG 1.KONTEXT DES VORSCHLAGS ·Gründe und Ziele des Vorschlags Der vorliegende Vorschlag ist Teil des Pakets zur Digitalisierung des Finanzsektors, eines Maßnahmenpakets, das darauf abzielt, das Innovations- und Wettbewerbspotenzial des digitalen Finanzwesens weiter zu erschließen und zu fördern und gleichzeitig mögliche Risiken zu mindern. Er steht im Einklang mit den Prioritäten der Kommission, Europa für das digitale Zeitalter zu rüsten und eine zukunftsfähige Wirtschaft im Dienste der Menschen aufzubauen. Das Paket zur Digitalisierung des Finanzsektors umfasst eine neue Strategie für ein digitales Finanzwesen, mit der sichergestellt werden soll, dass die EU die digitale Revolution als Chance nutzt, mit innovativen europäischen Unternehmen als Vorreiter vorantreibt und so dafür sorgt, dass Verbraucher und Unternehmen in Europa von den Vorteilen eines digitalen Finanzwesens profitieren können. Neben dem vorliegenden Vorschlag umfasst das Paket zudem einen Vorschlag für eine Verordnung über Märkte für Kryptowerte, einen Vorschlag für eine Verordnung über eine Pilotregelung für auf der Distributed-Ledger-Technologie (DLT) basierende Marktinfrastrukturen sowie einen Vorschlag für eine Richtlinie, mit der bestimmte einschlägige EU-Vorschriften für Finanzdienstleistungen klargestellt bzw. geändert werden sollen.Digitalisierung und Betriebsstabilität im Finanzsektor sind zwei Seiten derselben Medaille: Mit Digital- bzw. Informations- und Kommunikationstechnologien (IKT) sind Chancen, aber auch Risiken verbunden. Diese müssen insbesondere in Phasen mit Marktverwerfungen gut verstanden und gesteuert werden. Infolgedessen haben sich Politik und Aufsichtsbehörden verstärkt mit Risiken befasst, die aus der Abhängigkeit von IKT erwachsen. Dabei wurde insbesondere versucht, die Resilienz von Unternehmen durch die Festlegung von Standards und eine koordinierte Regulierung und Beaufsichtigung zu verbessern. Diese Bemühungen erfolgten auf internationaler und europäischer Ebene, sowohl über verschiedene Branchen hinweg als auch für eine Reihe bestimmter Sektoren, darunter Finanzdienstleistungen. Dennoch bleiben IKT-Risiken eine Herausforderung für die Betriebsstabilität, die Leistungsfähigkeit und die Stabilität des Finanzsystems der EU. Mit der nach der Finanzkrise von 2008 durchgeführten Reform wurde in erster Linie die finanzielle Resilienz des Finanzsektors der EU gestärkt, während IKT-Risiken nur indirekt in einigen Bereichen im Rahmen der Maßnahmen zur Minderung operationeller Risiken im weiteren Sinne angegangen wurden. Mit den Änderungen der EU-Finanzdienstleistungsvorschriften nach der Krise wurde zwar ein einheitliches Regelwerk eingeführt, das große Teile der finanziellen Risiken im Zusammenhang mit Finanzdienstleistungen abdeckt, doch wurde die digitale Betriebsstabilität nicht in vollem Umfang berücksichtigt. Die für die digitale Betriebsstabilität ergriffenen Maßnahmen wiesen eine Reihe von Merkmalen auf, die ihre Wirksamkeit einschränkten. So wurden sie häufig als Richtlinien für eine Mindestharmonisierung oder grundsatzbasierte Verordnungen konzipiert, sodass im Binnenmarkt ein erheblicher Spielraum für unterschiedliche Ansätze entstand. Darüber hinaus wurde im Zusammenhang mit der Erfassung operationeller Risiken nur ein begrenzter oder unvollständiger Schwerpunkt auf IKT-Risiken gelegt. Hinzu kommt, dass sich diese Maßnahmen über die sektorspezifischen Rechtsvorschriften für Finanzdienstleistungen hinweg unterscheiden. Folglich war das Tätigwerden auf Unionsebene nicht umfassend auf die Bedingungen abgestimmt, die europäische Finanzunternehmen benötigen, um operationelle Risiken so zu steuern, dass die Folgen IKT-bezogener Vorfälle abgefedert und entsprechende Gegen- und Wiederherstellungsmaßnahmen ergriffen werden. Auch wurden die Finanzaufsichtsbehörden nicht mit dem optimalen Instrumentarium ausgestattet, um ihrem Auftrag zur Verhinderung einer Instabilität des Finanzwesens infolge der Entstehung dieser IKT-bedingten Risiken gerecht zu werden. Dass auf EU-Ebene noch immer keine detaillierten und umfassenden Vorschriften über die digitale Betriebsstabilität bestehen, hat zu einer Vielzahl nationaler Regulierungsinitiativen (z. B. zur Prüfung der digitalen Betriebsstabilität) und Aufsichtskonzepte (z. B. mit Blick auf die Abhängigkeit von IKT-Drittanbietern) geführt. Gleichwohl haben Maßnahmen auf Ebene der Mitgliedstaaten angesichts des grenzüberschreitenden Charakters von IKT-Risiken nur eine begrenzte Wirkung. Darüber hinaus haben die unkoordinierten nationalen Initiativen zu Überschneidungen, Inkohärenzen, Doppelanforderungen, hohen Verwaltungs- und Befolgungskosten – insbesondere für grenzüberschreitend tätige Finanzunternehmen – oder dazu geführt, dass IKT-Risiken nicht erkannt und somit nicht angegangen werden. Durch diesen Umstand wird der Binnenmarkt fragmentiert, die Stabilität und Integrität des EU-Finanzsektors untergraben und der Schutz von Verbrauchern und Anlegern gefährdet. Daher ist es notwendig, einen detaillierten und umfassenden Rahmen für die digitale Betriebsstabilität von EU-Finanzunternehmen zu schaffen. Mit diesem Rahmen wird die Dimension des Managements des digitalen Risikos aus dem einheitlichen Regelwerk vertieft. Insbesondere wird hierdurch das IKT-Risikomanagement von Finanzunternehmen verbessert und gestrafft, während gleichzeitig eine gründliche Prüfung von IKT-Systemen eingeführt und das Bewusstsein von Aufsichtsbehörden für Cyberrisiken und IKT-bezogene Vorfälle, mit denen Finanzunternehmen konfrontiert sind, geschärft und Befugnisse für Finanzaufsichtsbehörden eingerichtet werden, damit diese Risiken überwachen können, die auf die Abhängigkeit von Finanzunternehmen von IKT-Drittanbietern zurückzuführen sind. Mit dem Vorschlag wird ein kohärenter Mechanismus für die Meldung von Vorfällen geschaffen, der dazu beitragen wird, den Verwaltungsaufwand für Finanzunternehmen zu verringern und die Beaufsichtigung wirksamer zu machen. ·Kohärenz mit den bestehenden Vorschriften in diesem Bereich Dieser Vorschlag ist Teil umfassenderer Arbeiten auf europäischer und internationaler Ebene zur Stärkung der Cybersicherheit bei Finanzdienstleistungen und zur Bewältigung allgemeinerer operationeller Risiken. Der Vorschlag knüpft darüber hinaus an das gemeinsame fachliche Gutachten der Europäischen Aufsichtsbehörden (ESA) aus dem Jahr 2019 an, mit dem ein kohärenterer Ansatz zur Bewältigung von IKT-Risiken im Finanzbereich gefordert und der Kommission empfohlen wurde, die digitale Betriebsstabilität der Finanzdienstleistungsbranche durch eine sektorspezifische Initiative der EU in verhältnismäßiger Weise zu stärken. Die Empfehlung der ESA war eine Antwort auf den FinTech-Aktionsplan der Kommission von 2018. ·Kohärenz mit der Politik der Union in anderen Bereichen Wie Kommissionspräsidentin von der Leyen in ihren politischen Leitlinien betont hat und in der Mitteilung „Gestaltung der digitalen Zukunft Europas“ dargelegt, ist es für Europa von entscheidender Bedeutung, alle Chancen des digitalen Zeitalters innerhalb sicherer und ethischer Grenzen zu nutzen und seine Industrie und Innovationskapazität zu stärken. In der europäischen Datenstrategie sind vier Säulen – Datenschutz, Grundrechte, Sicherheit und Cybersicherheit – als wesentliche Voraussetzungen für eine Gesellschaft dargelegt, die durch die Nutzung von Daten Handlungskapazitäten aufbaut. Das Europäische Parlament arbeitet seit Kurzem an einem Bericht über das digitale Finanzwesen, in dem unter anderem ein gemeinsamer Ansatz für die Widerstandsfähigkeit des Finanzsektors gegenüber Cyberangriffen gefordert wird.Ein Rechtsrahmen zur Stärkung der digitalen Betriebsstabilität der EU-Finanzunternehmen steht im Einklang mit diesen politischen Zielen. Mit dem Vorschlag würden darüber hinaus politische Maßnahmen zur Erholung von der Coronakrise unterstützt, zumal mit ihm sichergestellt wäre, dass die verstärkte Abhängigkeit vom digitalen Finanzwesen mit Betriebsstabilität einhergeht. Mit der Initiative blieben die Vorteile des horizontalen Rahmens für Cybersicherheit (z. B. die Richtlinie über die Sicherheit von Netz- und Informationssystemen, NIS-Richtlinie) erhalten, indem der Finanzsektor innerhalb des Geltungsbereichs dieses Rahmens bliebe. Zudem wäre der Finanzsektor weiterhin eng in das NIS-Kooperationsgremium eingebunden, und die Finanzaufsichtsbehörden wären in der Lage, einschlägige Informationen innerhalb des bestehenden NIS-Ökosystems auszutauschen. Auch stünde die Initiative im Einklang mit der Richtlinie über europäische kritische Infrastrukturen („EKI“), die derzeit überarbeitet wird, um den Schutz und die Widerstandsfähigkeit kritischer Infrastrukturen gegen nicht cyber-bedingte Bedrohungen zu verbessern. Schließlich steht der Vorschlag voll im Einklang mit der EU-Strategie für eine Sicherheitsunion, mit der angesichts der hohen Abhängigkeit des Finanzsektors von IKT-Diensten und dessen hoher Anfälligkeit für Cyberangriffe eine Initiative für die digitale Betriebsstabilität des Finanzsektors gefordert wurde. 2.RECHTSGRUNDLAGE, SUBSIDIARITÄT UND VERHÄLTNISMÄẞIGKEIT ·Rechtsgrundlage Der Verordnungsvorschlag stützt sich auf Artikel 114 AEUV. Er beseitigt Hindernisse und verbessert die Errichtung und das Funktionieren des Binnenmarkts für Finanzdienstleistungen, indem die Vorschriften für das IKT-Risikomanagement, die Berichterstattung, Prüfungen und für das Risiko durch IKT-Drittanbieter harmonisiert werden. Die derzeitigen Unterschiede in diesem Bereich auf legislativer und aufsichtsrechtlicher Ebene sowie auf nationaler und EU-Ebene sind Hindernisse für den Binnenmarkt für Finanzdienstleistungen, da grenzüberschreitend tätige Finanzunternehmen bei Nichtüberschneidung mit unterschiedlichen aufsichtsrechtlichen Anforderungen bzw. Erwartungen konfrontiert sind, was ihre Ausübung der Niederlassungs- und Dienstleistungsfreiheit behindern könnte. Des Weiteren verzerren unterschiedliche Vorschriften den Wettbewerb zwischen Finanzunternehmen desselben Typs in verschiedenen Mitgliedstaaten. Überdies kann mit Blick auf die Ausübung der Freiheiten des Binnenmarkts für Finanzdienstleistungen eine abschreckende Wirkung entstehen, wenn in Bereichen, in denen keine, eine teilweise oder begrenzte Harmonisierung besteht, unterschiedliche nationale Vorschriften oder Herangehensweisen entwickelt werden, die entweder bereits in Kraft sind oder gerade auf nationaler Ebene verabschiedet und umgesetzt werden. Das gilt insbesondere, insofern dies Rahmen für operationelle Tests im digitalen Bereich und die Aufsicht über kritische IKT-Drittanbieter betrifft.

Da der Vorschlag Auswirkungen auf mehrere Richtlinien des Europäischen Parlaments und des Rates hat, die auf der Grundlage von Artikel 53 Absatz 1 AEUV angenommen wurden, wird gleichzeitig ein Vorschlag für eine Richtlinie angenommen, um den erforderlichen Änderungen dieser Richtlinien Rechnung zu tragen. ·Subsidiarität Aufgrund der ausgeprägten Vernetzung von Finanzdienstleistungen, der umfassenden grenzüberschreitenden Tätigkeit von Finanzunternehmen und der großen Abhängigkeit des gesamten Finanzsektors von IKT-Drittanbietern liegt eine hohe digitale Betriebsstabilität im gemeinsamen Interesse, damit die Solidität der EU-Finanzmärkte erhalten bleibt. Unterschiede infolge uneinheitlicher oder teilweiser Regelungen, Überschneidungen oder mehrfache Anforderungen, die auf dieselben Finanzunternehmen anwendbar sind, die grenzüberschreitend tätig sind oder über mehrere Zulassungen im gesamten Binnenmarkt verfügen, können nur auf Unionsebene wirksam angegangen werden. Durch den Vorschlag wird die digitale operationelle Komponente eines umfassend integrierten und vernetzten Sektors harmonisiert, der in den meisten anderen wichtigen Bereichen bereits einem einheitlichen Regelwerk und einer einheitlichen Aufsicht unterliegt. In Bereichen wie der Meldung IKT-bezogener Vorfälle ließen sich der Verwaltungsaufwand und die finanziellen Kosten, die mit der Meldung desselben IKT-bezogenen Vorfalls an verschiedene Behörden der Union und der Mitgliedstaaten verbunden sind, nur durch harmonisierte Unionsvorschriften senken. Maßnahmen auf Unionsebene sind auch deswegen erforderlich, um die gegenseitige Anerkennung der Ergebnisse umfassender Tests der digitalen Betriebsstabilität für grenzüberschreitend tätige Unternehmen zu erleichtern, die in Ermangelung von Unionsvorschriften in den einzelnen Mitgliedstaaten unterschiedlichen Rahmen unterliegen oder unterliegen können. Unterschiede bei den Testansätzen, die Mitgliedstaaten eingeführt haben, können nur durch Maßnahmen auf Unionsebene angegangen wurden. Ferner sind EU-weite Maßnahmen erforderlich, um dem Mangel an angemessenen Aufsichtsbefugnissen zur Überwachung der von IKT-Drittanbietern ausgehenden Risiken, darunter auch Konzentrations- und Ansteckungsrisiken für den EU-Finanzsektor, entgegenzuwirken. ·Verhältnismäßigkeit Die vorgeschlagenen Vorschriften gehen nicht über das zur Erreichung der Ziele des Vorschlags erforderliche Maß hinaus. Sie decken nur die Aspekte ab, die die Mitgliedstaaten nicht alleine umsetzen können und deren Verwaltungsaufwand und Kosten in einem angemessenen Verhältnis zu den besonderen und allgemeinen Zielen stehen, die erreicht werden sollen. Die Verhältnismäßigkeit wird im Hinblick auf Umfang und Intensität durch die Verwendung qualitativer und quantitativer Bewertungskriterien gewährleistet. Während die neuen Vorschriften für alle Finanzunternehmen gelten, soll mit diesen Kriterien sichergestellt werden, dass sie gleichzeitig auf Risiken und Bedürfnisse ihrer besonderen Merkmale in Bezug auf Größe und Unternehmensprofile zugeschnitten sind. Die Verhältnismäßigkeit ist auch in den Vorschriften für das IKT-Risikomanagement, die Prüfung der digitalen Resilienz, die Meldung schwerwiegender IKT-bezogener Vorfälle und die Aufsicht über kritische IKT-Drittanbieter verankert. ·Wahl des Instruments Die Maßnahmen, die für die Regelung des IKT-Risikomanagements, die Meldung IKT-bezogener Vorfälle, die Prüfung und Beaufsichtigung kritischer IKT-Drittanbieter erforderlich sind, müssen in einer Verordnung festgeschrieben werden, damit sichergestellt ist, dass die detaillierten Anforderungen unbeschadet der Verhältnismäßigkeit und der in dieser Verordnung vorgesehenen besonderen Vorschriften wirksam und unmittelbar einheitlich anwendbar sind. Die Kohärenz bei der Bewältigung digitaler operationeller Risiken trägt dazu bei, das Vertrauen in das Finanzsystem zu stärken und dessen Stabilität zu wahren. Da die Nutzung einer Verordnung hilft, die aufsichtsrechtliche Komplexität zu verringern, die aufsichtliche Konvergenz fördert und die Rechtssicherheit erhöht, trägt diese Verordnung auch dazu bei, die Befolgungskosten von Finanzunternehmen zu begrenzen (insbesondere sofern diese grenzüberschreitend tätig sind), was im Gegenzug zur Beseitigung von Wettbewerbsverzerrungen beitrüge. Des Weiteren werden mit dieser Verordnung legislative Unterschiede und ungleiche nationale Regulierungs- oder Aufsichtskonzepte für IKT-Risiken und somit Hindernisse für den Binnenmarkt für Finanzdienstleistungen beseitigt, insbesondere mit Blick auf die reibungslose Ausübung der Niederlassungsfreiheit und die Erbringung von Dienstleistungen für grenzüberschreitend tätige Finanzinstitute. Schließlich wurde das einheitliche Regelwerk größtenteils über Verordnungen entwickelt, und seine Aktualisierung mit der Komponente „digitale Betriebsstabilität“ sollte über das gleiche Rechtsinstrument erfolgen. 3.ERGEBNISSE DER EX-POST-BEWERTUNG, DER KONSULTATION DER INTERESSENTRÄGER UND DER FOLGENABSCHÄTZUNG ·Ex-post-Bewertung/Eignungsprüfungen bestehender Rechtsvorschriften Auf dem Gebiet der Finanzdienstleistungen gibt es bislang keine Rechtsvorschriften der Union, in denen die Betriebsstabilität und die umfassende Behandlung digitalisierungsbezogener Risiken im Mittelpunkt steht; das ist auch dann der Fall, wenn das operationelle Risiko in den Rechtsvorschriften allgemeiner mit dem Unterkapitel IKT-Risiken behandelt wird. Die Maßnahmen der Union haben bislang dazu beigetragen, Bedürfnisse und Probleme anzugehen, die im Nachgang zur Finanzkrise 2008 aufgetreten sind: So waren Kreditinstitute nicht ausreichend kapitalisiert, Finanzmärkte nicht ausreichend integriert, während die Harmonisierung bis dahin auf einem minimalen Stand gehalten wurde. IKT-Risiken wurden damals nicht als Priorität betrachtet, sodass sich die Rechtsrahmen für die verschiedenen Teilsektoren des Finanzsektors in unkoordinierter Weise weiterentwickelten. Dennoch wurde mit den Maßnahmen der Union das Ziel erreicht, die Finanzstabilität zu gewährleisten und ein einheitliches Paket harmonisierter Aufsichts- und Marktverhaltensregeln festzulegen, die auf Finanzunternehmen in der gesamten EU anwendbar sind. Da es mit den Faktoren, mit denen die legislativen Maßnahmen der Union in der Vergangenheit vorangetrieben wurden, nicht möglich war, spezifische oder umfassende Vorschriften zu erlassen, um die weitverbreitete Nutzung digitaler Technologien und die damit verbundenen Risiken im Finanzbereich anzugehen, erscheint die Durchführung einer expliziten Evaluierung schwierig. In jeder Säule dieser Verordnung spiegeln sich eine implizite Bewertung und entsprechende Gesetzesänderungen wider. ·Konsultation der Interessenträger Die Kommission hat während des gesamten Prozesses für die Ausarbeitung dieses Vorschlags Interessenträger konsultiert, darunter insbesondere: i) Die Kommission führte eine spezielle öffentliche Konsultation zu diesem Thema durch (19. Dezember 2019 - 19. März 2020); ii) Die Kommission konsultierte die Öffentlichkeit im Rahmen einer Folgenabschätzung in der Anfangsphase (19. Dezember 2019 - 16. Januar 2020); iii) Die Kommissionsdienststellen konsultierten die Sachverständigen der Mitgliedstaaten in der Sachverständigengruppe für Bankwesen, Zahlungsverkehr und Versicherungswesen (EGBPI) zweimal (am 18. Mai 2020 und am 16. Juli 2020); iv)Die Dienststellen der Kommission führten im Rahmen der Veranstaltungsreihe „Digital Finance Outreach 2020“ (19. Mai 2020) ein spezielles Webinar zur digitalen Betriebsstabilität durch.

Ziel der öffentlichen Konsultation war es, die Kommission über die Entwicklung eines potenziellen sektorübergreifenden EU-Rahmens für die digitale Betriebsstabilität im Bereich der Finanzdienstleistungen zu unterrichten. Den Antworten war eine breite Unterstützung für die Einführung eines speziellen Rahmens mit Maßnahmen, die sich auf die vier Bereiche konzentrieren, die Gegenstand der Konsultation sind, zu entnehmen; außerdem wurde betont, dass die Verhältnismäßigkeit gewahrt und die Wechselwirkung mit den horizontalen Vorschriften der NIS-Richtlinie sorgfältig angegangen und erläutert werden muss. Die Kommission erhielt zwei Antworten auf die Folgenabschätzung in der Anfangsphase, in deren Rahmen sich die Befragten mit spezifischen Aspekten ihres Tätigkeitsbereichs befassten. Die Mitgliedstaaten bekundeten auf der EGBPI-Sitzung vom 18. Mai 2020, die Stärkung der digitalen Betriebsstabilität des Finanzsektors durch die Maßnahmen, die über die von der Kommission skizzierten vier Elemente erfolgen sollen, umfassend zu unterstützen. Ferner betonten die Mitgliedstaaten, dass die neuen Vorschriften unmissverständlich mit den Vorschriften über operationelle Risiken (im Rahmen der EU-Rechtsvorschriften über Finanzdienstleistungen) und mit den horizontalen Vorschriften über Cybersicherheit (NIS-Richtlinie) verknüpft werden müssen. Auf der zweiten Sitzung hoben einige Mitgliedstaaten die Notwendigkeit hervor, die Verhältnismäßigkeit zu gewährleisten und die besonderen Umstände von kleinen Unternehmen oder Tochtergesellschaften größerer Konzerne zu berücksichtigen und den an der Aufsicht beteiligten zuständigen nationalen Behörden ein umfassendes Mandat zu übertragen. Darüber hinaus sind Rückmeldungen von Sitzungen mit Interessenträgern und EU-Behörden und -Institutionen in diesen Vorschlag eingeflossen und in diesem berücksichtigt. Die Interessenträger, darunter auch IKT-Drittanbieter, haben insgesamt Unterstützung geleistet. Eine Analyse der eingegangenen Rückmeldungen zeigt, dass bei der Ausarbeitung der Vorschriften die Verhältnismäßigkeit gewahrt und ein grundsatz- und risikobasierter Ansatz verfolgt werden muss. Auf institutioneller Seite stammten die wichtigsten Beiträge vom Europäischen Ausschuss für Systemrisiken (ESRB), den ESA, der Agentur der Europäischen Union für Cybersicherheit (ENISA) und der Europäischen Zentralbank (EZB) sowie den zuständigen Behörden der Mitgliedstaaten. ·Einholung und Nutzung von Expertenwissen Bei der Ausarbeitung des Vorschlags stützte sich die Kommission auf qualitative und quantitative Nachweise aus anerkannten Quellen, einschließlich der beiden gemeinsamen fachlichen Gutachten der ESA. Ergänzt wurde dies durch vertrauliche Beiträge und öffentlich zugängliche Berichte von Aufsichtsbehörden, internationalen Normungsgremien und führenden Forschungsinstituten sowie durch quantitative und qualitative Beiträge ausgewählter Interessenträger des globalen Finanzsektors. ·Folgenabschätzung Diesem Vorschlag liegt eine Folgenabschätzung bei, die dem Ausschuss für Regulierungskontrolle (RSB) am 29. April 2020 vorgelegt und von diesem am 29. Mai 2020 genehmigt wurde. Der RSB empfahl Verbesserungen in einigen Bereichen, um: i) weitere Informationen darüber bereitzustellen, wie die Verhältnismäßigkeit gewährleistet würde; ii) deutlicher herauszustellen, inwieweit sich die bevorzugte Option vom gemeinsamen fachlichen Gutachten der ESA unterscheidet, und warum diese Option optimal ist; und iii) weiter deutlich zu machen, welche Wechselwirkung zwischen dem Vorschlag und den bestehenden EU-Rechtsvorschriften, einschließlich derzeit überarbeiteter Vorschriften, gegeben ist. Die Folgenabschätzung wurde angepasst, um diesen Punkten Rechnung zu tragen und auf die ausführlicheren Bemerkungen des Ausschusses für Regulierungskontrolle einzugehen. Die Kommission hat eine Reihe politischer Optionen für die Entwicklung eines Rahmens für die digitale Betriebsstabilität geprüft: ·„Untätig bleiben“: Die Vorschriften über Betriebsstabilität würden weiterhin durch die aktuellen, voneinander abweichenden EU-Finanzdienstleistungsvorschriften, zum Teil durch die NIS-Richtlinie, sowie durch bestehende oder künftige nationale Regelungen festgelegt; ·Option 1: Stärkung der Kapitalpuffer: Es würden zusätzliche Kapitalpuffer eingeführt, um die Fähigkeit von Finanzunternehmen zu erhöhen, Verluste zu absorbieren, die aufgrund mangelnder digitaler Betriebsstabilität entstehen könnten; ·Option 2: Einführung eines Rechtsakts über die digitale Betriebsstabilität in Bezug auf Finanzdienstleistungen: Schaffung eines umfassenden Rahmens auf EU-Ebene mit kohärenten Vorschriften, die den Anforderungen an die digitale Betriebsstabilität aller regulierten Finanzunternehmen Rechnung tragen, und Schaffung eines Aufsichtsrahmens für kritische IKT-Drittanbieter; ·Option 3: ein Rechtsakt über die digitale Betriebsstabilität in Bezug auf Finanzdienstleistungen in Verbindung mit einer zentralisierten Aufsicht über kritische IKT-Drittanbieter; neben einem Rechtsakt über digitale Betriebsstabilität (Option 2) würde eine neue Behörde eingerichtet, die die Erbringung von Diensten durch IKT-Drittanbieter überwacht. Die zweite Option wurde deswegen gewählt, weil damit die meisten der angestrebten Ziele auf eine wirksame, effiziente und mit anderen Politikbereichen der Union abgestimmte Weise erreicht werden. Auch die meisten Interessenträger ziehen diese Option vor. Die gewählte Option würde sowohl einmalige als auch wiederkehrende Kosten mit sich bringen. Die einmaligen Kosten sind hauptsächlich auf Investitionen in IT-Systeme zurückzuführen und lassen sich aufgrund der unterschiedlichen Beschaffenheit komplexer IT-Landschaften von Unternehmen und insbesondere ihrer IT-Altsysteme nur schwer quantifizieren. Dennoch dürften sich diese Kosten für große Unternehmen angesichts der beträchtlichen IKT-Investitionen, die diese bereits getätigt haben, im Rahmen halten. Auch für kleinere Unternehmen dürften die Kosten begrenzt sein, da angesichts ihres geringeren Risikos verhältnismäßige Maßnahmen zur Anwendung kämen. Die gewählte Option würde sich in wirtschaftlicher, sozialer und ökologischer Hinsicht positiv auf KMU auswirken, die in der Finanzdienstleistungsbranche tätig sind. Mit dem Vorschlag werden KMU Klarheit darüber erhalten, welche Vorschriften anwendbar sind, wodurch die Befolgungskosten sinken. Die wesentlichen sozialen Auswirkungen der gewählten Option würden Verbraucher und Anleger betreffen. Eine höhere digitale Betriebsstabilität des Finanzsystems der EU würde die Anzahl und die Durchschnittskosten von Vorfällen senken. Außerdem käme das zunehmende Vertrauen in die Finanzdienstleistungsbranche der Gesellschaft insgesamt zugute. Mit Blick auf die ökologischen Auswirkungen würde die gewählte Option die verstärkte Nutzung der neuesten Generation von IKT-Infrastrukturen und -Diensten fördern, die ökologisch nachhaltiger werden dürften. ·Effizienz der Rechtsetzung und Vereinfachung Die Beseitigung sich überschneidender Anforderungen für die Meldung IKT-bezogener Vorfälle würde den Verwaltungsaufwand verringern und damit verbundene Kosten senken. Darüber hinaus werden harmonisierte Tests der digitalen Betriebsstabilität mit gegenseitiger Anerkennung im gesamten Binnenmarkt dafür sorgen, dass die Kosten insbesondere für grenzüberschreitend tätige Unternehmen, die andernfalls mehreren Tests in den Mitgliedstaaten unterzogen werden könnten, sinken. ·Grundrechte

Die EU hat sich der Gewährleistung hoher Standards für den Schutz der Grundrechte verschrieben. Alle freiwilligen Vereinbarungen über den Informationsaustausch zwischen Finanzunternehmen, die mit dieser Verordnung gefördert werden, würden unter uneingeschränkter Einhaltung der Datenschutzvorschriften der Union, vor allem der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, in vertrauenswürdigen Umgebungen geschlossen, insbesondere wenn die Verarbeitung personenbezogener Daten für die Zwecke eines berechtigten Interesses erforderlich ist, das der für die Verarbeitung Verantwortliche verfolgt. 4. AUSWIRKUNGEN AUF DEN HAUSHALT Da die derzeitige Verordnung den ESA durch die ihnen übertragenen Befugnisse zur angemessenen Beaufsichtigung kritischer IKT-Drittanbieter eine größere Rolle zuerkennt, würde der Vorschlag – was die Auswirkungen auf den Haushalt betrifft – den Einsatz zusätzlicher Ressourcen, insbesondere zur Erfüllung des Überwachungsauftrags (z. B. Vor-Ort- und Online-Kontrollen und -Prüfungen), und den Einsatz von Fachpersonal im Bereich der IKT-Sicherheit mit sich bringen. Der Umfang und die Aufteilung dieser Kosten hängen vom Ausmaß der neuen Aufsichtsbefugnisse und den (genauen) Aufgaben der ESA ab. Was die Bereitstellung neuer Personalressourcen angeht, werden die EBA, die ESMA und die EIOPA insgesamt 18 Vollzeitbeschäftigte (VZÄ) – 6 VZÄ pro Behörde – benötigen, wenn die verschiedenen Bestimmungen des Vorschlags in Kraft treten (schätzungsweise 15,71 Mio. EUR für den Zeitraum 2022-2027). Überdies entstehen den ESA zusätzliche IT-Kosten, Kosten für Kontrollen vor Ort und Übersetzungen (schätzungsweise 12 Mio. EUR für den Zeitraum 2022-2027) sowie sonstige Verwaltungsausgaben (schätzungsweise 2,48 Mio. EUR für den Zeitraum 2022-2027). Daher belaufen sich die geschätzten Gesamtkosten für den Zeitraum 2022-2027 auf rund 30,19 Mio. EUR. Zudem ist darauf hinzuweisen, dass die für die direkte Aufsicht erforderliche Mitarbeiterzahl (z. B. neue Mitarbeiter und sonstige Ausgaben im Zusammenhang mit den neuen Aufgaben) im Laufe der Zeit davon abhängen wird, wie sich Zahl und Größe der zu überwachenden kritischen IKT-Drittanbieter entwickeln, die entsprechenden Ausgaben jedoch vollständig mit Gebühren dieser Marktteilnehmer finanziert werden. Daher sind keine Auswirkungen auf die Haushaltsmittel der EU (mit Ausnahme des zusätzlichen Personals) zu erwarten, da diese Kosten vollständig durch Gebühren finanziert werden. Die finanziellen und budgetären Auswirkungen des Vorschlags werden im beigefügten Finanzbogen ausführlich erläutert. 5.WEITERE ANGABEN ·Durchführungspläne sowie Überwachungs-, Bewertungs- und Berichterstattungsmodalitäten Der Vorschlag enthält einen allgemeinen Plan für die Überwachung und Bewertung der Auswirkungen auf die spezifischen Ziele, wonach die Kommission mindestens drei Jahre nach Inkrafttreten eine Überprüfung vornehmen und dem Europäischen Parlament und dem Rat über die wichtigsten Ergebnisse Bericht erstatten muss. Die Überprüfung ist im Einklang mit den Leitlinien der Kommission für eine bessere Rechtsetzung durchzuführen. ·Ausführliche Erläuterung einzelner Bestimmungen des Vorschlags Der Vorschlag ist auf mehrere wichtige Politikbereiche ausgerichtet, bei denen es sich um wichtige miteinander verknüpfte Säulen handelt, die einvernehmlich in europäischen und internationalen Leitlinien und bewährten Verfahren zur Stärkung der Widerstandsfähigkeit gegenüber Cyberangriffen und der digitalen Betriebsstabilität des Finanzsektors enthalten sind. Anwendungsbereich der Verordnung und verhältnismäßige Anwendung erforderlicher Maßnahmen (Artikel 2) Um bei den im Finanzsektor für das IKT-Risikomanagement anwendbaren Anforderungen eine Kohärenz zu gewährleisten, werden mit der Verordnung eine Reihe von auf Unionsebene regulierten Finanzunternehmen abgedeckt, namentlich Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Zentralverwahrer, zentrale Gegenparteien, Handelsplätze, Transaktionsregister, Verwalter alternativer Investmentfonds und Verwaltungsgesellschaften, Datenbereitstellungsdienste, Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, Einrichtungen der betrieblichen Altersversorgung (EbAV), Ratingagenturen, Abschlussprüfer und Prüfungsgesellschaften, Administratoren kritischer Referenzwerte und Crowdfunding-Dienstleister. Eine solche Abdeckung erleichtert die einheitliche und kohärente Anwendung aller Komponenten des Risikomanagements in IKT-bezogenen Bereichen und sorgt gleichzeitig für gleiche Wettbewerbsbedingungen für Finanzunternehmen in Bezug auf ihre Regelungsverpflichtungen betreffend IKT-Risiken. Gleichzeitig wird in der Verordnung anerkannt, dass zwischen Finanzunternehmen in Bezug auf Größe, Unternehmensprofile oder das Ausmaß digitaler Risiken erhebliche Unterschiede bestehen. Da größere Finanzunternehmen über mehr Ressourcen verfügen, müssen nur Finanzunternehmen, die nicht als Kleinstunternehmen gelten, beispielsweise komplexe Governance-Regelungen und spezielle Verwaltungsfunktionen einführen und nach größeren Veränderungen an Netz- und Informationssysteminfrastrukturen eingehende Bewertungen sowie regelmäßige Risikoanalysen bei IKT-Altsystemen durchführen und die Prüfung von Plänen für Betriebskontinuität, Gegenmaßnahmen und Wiederherstellung ausweiten, um Szenarien für die Umstellung von ihrer primären IKT-Infrastruktur auf redundante Einrichtungen zu konzipieren. Darüber hinaus werden nur Finanzunternehmen, die für die Zwecke einer erweiterten Prüfung der digitalen Resilienz als bedeutend eingestuft wurden, bedrohungsorientierte Penetrationstests durchführen müssen. Trotz dieser umfassenden Abdeckung ist dies nicht erschöpfend. Insbesondere werden mit dieser Verordnung weder Systembetreiber im Sinne von Artikel 2 Buchstabe p der Richtlinie 98/26/EG über die Wirksamkeit von Abrechnungen in Zahlungs- sowie Wertpapierliefer- und -abrechnungssystemen noch Systemteilnehmer erfasst, sofern diese Teilnehmer nicht selbst ein Finanzunternehmen sind, das auf Unionsebene reguliert ist und als solches eigenständig unter diese Verordnung fallen würde (d. h. Kreditinstitut, Wertpapierfirma, zentrale Gegenpartei (CCP)). Darüber hinaus fällt auch das Unionsregister für Emissionszertifikate, das gemäß der Richtlinie 2003/87/EG unter Federführung der Europäischen Kommission betrieben wird, nicht in den Anwendungsbereich. Mit solchen Ausschlüssen durch die Richtlinie wird der Notwendigkeit einer weiteren Prüfung rechtlicher und politischer Fragen Rechnung getragen, die die Betreiber und Teilnehmer von Zahlungs- sowie Wertpapierliefer- und -abrechnungssystemen betreffen, wobei die Auswirkungen der derzeit geltenden Rahmenregelungen für Zahlungssysteme, die von Zentralbanken betrieben werden, gebührend berücksichtigt werden. Da diese Fragen Aspekte einschließen können, die sich von den unter diese Verordnung fallenden Sachverhalten unterscheiden, wird die Kommission die Notwendigkeit und die Auswirkungen einer weiteren Ausweitung des Anwendungsbereichs dieser Verordnung auf Einrichtungen und IKT-Infrastrukturen, die derzeit nicht in ihren Anwendungsbereich fallen, weiter prüfen. Anforderungen an die Governance (Artikel 4) Mit dieser Verordnung sollen die Geschäftsstrategien von Finanzunternehmen und das IKT-Risikomanagement besser aufeinander abgestimmt werden. Zu diesem Zweck wird das Leitungsorgan eine entscheidende und aktive Rolle bei der Steuerung des Rahmens für das IKT-Risikomanagement übernehmen und für die Einhaltung einer strikten Cyberhygiene sorgen müssen. Die volle Verantwortung des Leitungsorgans für die Steuerung des IKT-Risikos des Finanzunternehmens wird einen übergeordneten Grundsatz umfassen, der in eine Reihe spezifischer Anforderungen aufzuspalten ist, darunter die Zuweisung klarer Rollen und Zuständigkeiten für alle IKT-bezogenen Funktionen, ein kontinuierliches Engagement bei der Kontrolle der Überwachung des IKT-Risikomanagements sowie der gesamten Bandbreite der Genehmigungs- und Kontrollverfahren und der angemessenen Zuweisung von IKT-Investitionen und -Schulungen. Anforderungen an das IKT-Risikomanagement (Artikel 5 bis 14)

Die digitale Betriebsstabilität beruht auf einer Reihe zentraler Grundsätze und Anforderungen für den IKT-Risikomanagementrahmen im Einklang mit dem gemeinsamen fachlichen Gutachten der ESA. Diese Anforderungen, die sich an einschlägigen internationalen, nationalen und branchenspezifischen Normen, Leitlinien und Empfehlungen orientieren, betreffen spezifische Funktionen des IKT-Risikomanagements (Identifizierung, Schutz und Prävention, Erkennung, Gegenmaßnahmen und Wiederherstellung, Lernen sowie Weiterentwicklung und Kommunikation). Um mit einer sich rasch ändernden Bedrohungslage Schritt zu halten, müssen Finanzunternehmen stabile IKT-Systeme und -Instrumente einrichten und aufrechterhalten, die die Auswirkungen von IKT-Risiken minimieren, kontinuierlich alle Ursachen von IKT-Risiken ermitteln, Schutz- und Präventionsmaßnahmen ergreifen, anormale Aktivitäten umgehend aufdecken, dedizierte und umfassende Strategien für die Fortführung des Geschäftsbetriebs sowie Notfall- und Wiederherstellungspläne als integralen Bestandteil der operativen Strategie für die Fortführung des Geschäftsbetriebs einrichten. Letztere sind für eine zügige Wiederherstellung nach IKT-bezogenen Vorfällen, insbesondere Cyberangriffen, erforderlich, indem Schäden begrenzt werden und die sichere Fortführung des Geschäftsbetriebs Vorrang erhält. Mit der Verordnung selbst wird keine spezifische Standardisierung vorgeschrieben; vielmehr wird auf europäischen und international anerkannten technischen Normen oder bewährten Branchenverfahren aufgebaut, insofern sie den aufsichtsrechtlichen Anweisungen für die Verwendung und Übernahme solcher internationaler Normen in vollem Umfang entsprechen. Diese Verordnung erstreckt sich ebenfalls auf die Integrität, Sicherheit und Robustheit physischer Infrastrukturen und Einrichtungen, die die Nutzung von Technologien und einschlägigen IKT-bezogenen Prozessen und Personen als Teil des digitalen Fußabdrucks der Geschäftstätigkeit eines Finanzunternehmens unterstützen. Meldung IKT-bezogener Vorfälle (Artikel 15 bis 20) Die Harmonisierung und Straffung der Meldung IKT-bezogener Vorfälle wird erreicht, indem Finanzunternehmen zunächst generell verpflichtet werden, einen Managementprozess zur Überwachung und Protokollierung IKT-bezogener Vorfälle einzurichten und umzusetzen; im Anschluss sind diese Vorfälle auf Grundlage der in der Verordnung dargelegten und von den ESA im Rahmen von Mandaten weiterentwickelten Kriterien zu klassifizieren, um Wesentlichkeitsschwellen festzulegen. Zweitens müssen den zuständigen Behörden nur IKT-bezogene Vorfälle gemeldet werden, die als schwerwiegend gelten. Die Meldung sollte über eine gemeinsame Vorlage und nach einem von den ESA entwickelten harmonisierten Verfahren erfolgen. Finanzunternehmen sollten Erst-, Zwischen- und Abschlussberichte vorlegen und ihre Nutzer und Kunden informieren, sofern der Vorfall Auswirkungen auf ihre finanziellen Interessen hat oder haben könnte. Die zuständigen Behörden sollten anderen Institutionen oder Behörden, d. h. den ESA, der EZB und den in der Richtlinie (EU) 2016/1148 benannten zentralen Anlaufstellen, sachdienliche Einzelheiten zu den Vorfällen mitteilen. Um einen Dialog zwischen den Finanzunternehmen und den zuständigen Behörden einzuleiten, der dazu beitragen würde, die Auswirkungen möglichst gering zu halten und geeignete Abhilfemaßnahmen zu ermitteln, sollte die Meldung schwerwiegender IKT-bezogener Vorfälle durch Rückmeldungen und Leitlinien der Aufsichtsbehörden ergänzt werden. Schließlich sollte die Möglichkeit, IKT-bezogene Vorfälle zentralisiert auf Unionsebene zu melden, in einem gemeinsamen Bericht der ESA, der EZB und der ENISA weiter untersucht werden, indem bewertet wird, ob die Einrichtung einer einheitlichen EU-Plattform für die Meldung schwerwiegender IKT-bezogener Vorfälle durch Finanzunternehmen machbar ist. Prüfung der digitalen Betriebsstabilität (Artikel 21 bis 24) Die im Rahmen für das IKT-Risikomanagement enthaltenen Kapazitäten und Funktionen müssen regelmäßig auf die Abwehrbereitschaft und die Ermittlung von Schwachstellen, Mängeln oder Lücken sowie auf die umgehende Umsetzung von Korrekturmaßnahmen hin geprüft werden. Diese Verordnung ermöglicht eine verhältnismäßige Anwendung der Anforderungen an die Prüfung der digitalen Betriebsstabilität in Abhängigkeit von Größe sowie Geschäfts- und Risikoprofilen von Finanzunternehmen: Zwar sollten alle Unternehmen IKT-Instrumente und -Systeme testen, doch sollten nur diejenigen, die von den zuständigen Behörden (auf der Grundlage der in dieser Verordnung festgelegten und von den ESA weiterentwickelten Kriterien) als bedeutend und cyberreif eingestuft wurden, verpflichtet sein, erweiterte Tests auf der Grundlage bedrohungsorientierter Penetrationstests (TLPT) durchzuführen. Diese Verordnung enthält auch Anforderungen an Prüfer und die unionsweite Anerkennung von TLPT-Ergebnissen für Finanzunternehmen, die in mehreren Mitgliedstaaten operieren. Risiko durch IKT-Drittanbieter (Artikel 25 bis 39) Mit der Verordnung soll eine solide Überwachung des Risikos durch IKT-Drittanbieter sichergestellt werden. Dieses Ziel wird zunächst durch die Einhaltung grundsatzbasierter Regeln erreicht, die für die Überwachung des Risikos durch IKT-Drittanbieter durch Finanzunternehmen gelten. Zweitens werden mit dieser Verordnung wesentliche Bestandteile des Dienstes und die Beziehungen zu IKT-Drittanbietern harmonisiert. Diese Bestandteile decken Mindestaspekte ab, die für eine vollständige Überwachung des Risikos durch IKT-Drittanbieter durch das Finanzunternehmen während des Abschlusses, der Erfüllung, der Beendigung und der Nachvertragsphase ihrer Beziehung von entscheidender Bedeutung sind. Die Verträge, mit denen diese Beziehung geregelt wird, müssen insbesondere eine vollständige Beschreibung der Dienste, Angaben zu den Orten, an denen Daten verarbeitet werden sollen, vollständige Leistungsbeschreibungen mit quantitativen und qualitativen Leistungszielen, einschlägige Bestimmungen über Zugänglichkeit, Verfügbarkeit, Integrität, Sicherheit und Schutz personenbezogener Daten sowie Garantien für den Zugang, die Wiederherstellung und die Rückgabe bei Ausfall von IKT-Drittanbietern, Kündigungsfristen und Berichtspflichten der IKT-Drittanbieter, Zugangsrechte, Kontroll- und Prüfstrategien des Finanzunternehmens oder eines beauftragten Dritten sowie unmissverständliche Kündigungsrechte und spezielle Ausstiegsstrategien enthalten. Da sich einige dieser Vertragsbestandteile standardisieren lassen, fördert die Verordnung zudem die freiwillige Verwendung von Standardvertragsklauseln, die von der Kommission für die Nutzung von Cloud-Computing-Diensten entwickelt werden sollen. Schließlich zielt die Verordnung darauf ab, die Konvergenz der Aufsichtskonzepte für das Risiko durch IKT-Drittanbieter im Finanzsektor zu fördern, indem kritische IKT-Drittanbieter einem Aufsichtsrahmen der Union unterworfen werden. Durch einen neuen harmonisierten Rechtsrahmen erhält die ESA, die als federführende Aufsichtsinstanz für jeden dieser kritischen IKT-Drittanbieter benannt wurde, Befugnisse, um sicherzustellen, dass Technologiedienstleister, die entscheidend zum Funktionieren des Finanzsektors beitragen, auf gesamteuropäischer Ebene angemessen überwacht werden. Der in dieser Verordnung vorgesehene Aufsichtsrahmen fußt auf der bestehenden institutionellen Architektur im Finanzdienstleistungsbereich, wobei der Gemeinsame Ausschuss der ESA im Einklang mit seinen Aufgaben im Bereich der Cybersicherheit die sektorübergreifende Koordinierung in Bezug auf alle Aspekte des IKT-Risikos sicherstellt und dabei vom zuständigen Unterausschuss (Aufsichtsforum) unterstützt wird, der vorbereitende Arbeiten für Einzelentscheidungen und gemeinsame Empfehlungen für kritische IKT-Drittanbieter durchführt. Informationsaustausch (Artikel 40) Um das Bewusstsein für IKT-Risiken zu schärfen, ihre Ausbreitung zu minimieren, die Abwehrkapazitäten von Finanzunternehmen und die Techniken zur Erkennung von Bedrohungen zu unterstützen, ermöglicht die Verordnung Finanzunternehmen, untereinander Vereinbarungen für den Austausch von Informationen und Erkenntnissen über Cyberbedrohungen zu treffen.



2020/0266 (COD) Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES über die Betriebsstabilität digitaler Systeme des Finanzsektors und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014 und (EU) Nr. 909/2014 (Text von Bedeutung für den EWR) DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 114, auf Vorschlag der Kommission, nach Übermittlung des Entwurfs eines Gesetzgebungsaktes an die nationalen Parlamente, nach Stellungnahme der Europäischen Zentralbank, nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses, gemäß dem ordentlichen Gesetzgebungsverfahren, in Erwägung nachstehender Gründe: (1)Informations- und Kommunikationstechnologien (IKT) unterstützen im digitalen Zeitalter komplexe Systeme, die für alltägliche gesellschaftliche Aktivitäten eingesetzt werden. Sie sorgen dafür, dass Schlüsselsektoren unserer Volkswirtschaften, einschließlich des Finanzwesens, am Laufen gehalten werden, und verbessern das Funktionieren des Binnenmarkts. Die zunehmende Digitalisierung und Vernetzung verstärken auch die IKT-Risiken, die die Gesellschaft insgesamt – und insbesondere das Finanzsystem – anfälliger für Cyberbedrohungen oder IKT-Störungen machen. Während die allgegenwärtige Nutzung von IKT-Systemen und die hohe Digitalisierung und Konnektivität heute grundlegende Merkmale aller Tätigkeiten von Finanzunternehmen der Union sind, ist die digitale Resilienz noch nicht ausreichend in ihren operativen Rahmen verankert. (2)Die Nutzung von IKT hat in den letzten Jahrzehnten einen zentralen Stellenwert im Finanzwesen erlangt und trägt heute entscheidend zur Ausführung typischer alltäglicher Aufgaben aller Finanzunternehmen bei. Auf Digitalisierung beruhen beispielsweise Zahlungen, die von bargeld- und papiergestützten Methoden zunehmend auf die Nutzung digitaler Lösungen verlagert wurden, sowie Wertpapierclearing und -abrechnungssysteme, elektronischer und algorithmischer Handel, Darlehens- und Finanzierungsgeschäfte, Peer-to-Peer-Finanzierung, Bonitätseinstufung, Versicherungsübernahme, Schadenmanagement und Back-Office-Transaktionen. Das Finanzwesen ist nicht nur sektorweit weitgehend digital geworden, sondern die Digitalisierung hat auch die Verflechtungen und Abhängigkeiten innerhalb des Finanzsektors sowie von Infrastrukturen Dritter und Drittanbietern verstärkt. (3)Der Europäische Ausschuss für Systemrisiken (ESRB) hat in einem Bericht aus dem Jahr 2020 über systemische Cyberrisiken bekräftigt, wie das bestehende hohe Maß an Verflechtungen zwischen Finanzunternehmen, Finanzmärkten und Finanzmarktinfrastrukturen und insbesondere die Interdependenzen ihrer IKT-Systeme eine Systemanfälligkeit herbeiführen könnten, da lokalisierte Cybervorfälle in einem der rund 22 000 Finanzunternehmen der Union über geografische Grenzen hinweg rasch auf das gesamte Finanzsystem übergreifen könnten. Schwerwiegende IKT-Verstöße im Finanzsektor betreffen nicht nur Finanzunternehmen, die isoliert betrachtet werden. Ebenso können sich hierdurch ermittelte Schwachstellen über die Übertragungskanäle des Finanzsystems verbreiten und die Stabilität des Finanzsystems der Union beeinträchtigen, was zu Liquiditätsengpässen und allgemein zu einem schwindenden Vertrauen in die Finanzmärkte führt. (4)Nationale, europäische und internationale politische Entscheidungsträger, Regulierungsbehörden und Normungsgremien haben sich in den letzten Jahren mit IKT-Risiken befasst, um die Widerstandsfähigkeit zu stärken, Standards festzulegen und die Regulierungs- und Aufsichtsarbeit zu koordinieren. Auf internationaler Ebene sind der Basler Ausschuss für Bankenaufsicht, der Ausschuss für Zahlungsverkehr und Marktinfrastrukturen, der Rat für Finanzstabilität, das Institut für Finanzstabilität sowie die Gruppe der G7- und G20-Staaten bestrebt, den zuständigen Behörden und Marktteilnehmern in verschiedenen Rechtsordnungen Instrumente an die Hand zu geben, um die Widerstandsfähigkeit ihrer Finanzsysteme zu stärken. (5)IKT-Risiken bleiben trotz gezielter politischer und legislativer Initiativen auf nationaler und europäischer Ebene eine Herausforderung für die Betriebsstabilität, Leistungsfähigkeit und Stabilität des Finanzsystems der Union. Mit der Reform nach der Finanzkrise von 2008 wurde in erster Linie die finanzielle Widerstandsfähigkeit des Finanzsektors der Union gestärkt und darauf abgezielt, die Wettbewerbsfähigkeit und Stabilität der Union aus wirtschaftlicher, aufsichtsrechtlicher und marktpolitischer Sicht zu bewahren. Obwohl IKT-Sicherheit und digitale Resilienz Bestandteil des operationellen Risikos sind, besitzen sie in der Regulierungsagenda in der Zeit nach der Krise weniger Gewicht und wurden nur in einigen Bereichen der Unionspolitik für Finanzdienstleistungen und Regulierung oder nur in wenigen Mitgliedstaaten weiterentwickelt. (6)Im FinTech-Aktionsplan der Kommission aus dem Jahr 2018 wurde hervorgehoben, wie überaus wichtig es ist, den Finanzsektor der Union auch aus operativer Sicht stabiler zu machen, um seine technologische Sicherheit und sein reibungsloses Funktionieren sowie seine rasche Wiederherstellung nach IKT-Verstößen und -Vorfällen zu gewährleisten, damit Finanzdienstleistungen in der gesamten Union – auch in Stresssituationen – wirksam und reibungslos erbracht werden können und gleichzeitig das Vertrauen der Verbraucher und der Märkte gewahrt wird. (7)Im April 2019 gaben die Europäische Bankenaufsichtsbehörde (EBA), die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) und die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) (gemeinsam als „Europäische Aufsichtsbehörden“ oder „ESA“ bezeichnet) gemeinsam zwei fachliche Gutachten heraus, in denen ein kohärenter Ansatz für das IKT-Risiko im Finanzbereich gefordert und empfohlen wurde, die digitale Betriebsstabilität der Finanzdienstleistungsbranche durch eine sektorspezifische Initiative der Union auf verhältnismäßige Weise zu stärken. (8)Der Finanzsektor der Union wird durch ein harmonisiertes einheitliches Regelwerk reguliert und unterliegt einem europäischen Finanzaufsichtssystem. Dennoch wurden Bestimmungen über die digitale Betriebsstabilität und IKT-Sicherheit noch nicht vollständig oder konsequent harmonisiert, obwohl die digitale Betriebsstabilität für die Gewährleistung von Finanzstabilität und Marktintegrität im digitalen Zeitalter von entscheidender Bedeutung und nicht weniger wichtig ist als beispielsweise gemeinsame Aufsichts- oder Marktverhaltensstandards. Daher sollten das einheitliche Regelwerk und das Aufsichtssystem so weiterentwickelt werden, dass sie auch diese Komponente abdecken, indem die Mandate von Finanzaufsichtsbehörden, die mit der Überwachung und dem Schutz der Finanzstabilität und der Marktintegrität betraut sind, erweitert werden. (9)Rechtliche Unterschiede und ungleiche nationale Regulierungs- oder Aufsichtskonzepte in Bezug auf IKT-Risiken schaffen Hindernisse für den Binnenmarkt für Finanzdienstleistungen und erschweren grenzüberschreitend tätigen Finanzunternehmen die reibungslose Ausübung der Niederlassungsfreiheit und die Erbringung von Dienstleistungen. Ebenso kann der Wettbewerb zwischen denselben Arten von Finanzunternehmen, die in verschiedenen Mitgliedstaaten tätig sind, verzerrt sein. Insbesondere in Bereichen, in denen die Harmonisierung auf Unionsebene bislang sehr begrenzt – wie bei der Prüfung der digitalen Betriebsstabilität – oder gar nicht vorhanden ist, wie bei der Überwachung des Risikos durch IKT-Drittanbieter, könnten Unterschiede, die sich aus den auf nationaler Ebene geplanten Entwicklungen ergeben, weitere Hindernisse für das Funktionieren des Binnenmarkts schaffen, die sich nachteilig auf die Marktteilnehmer und die Finanzstabilität auswirken. (10)Die unvollständige Art und Weise, in der einschlägige Bestimmungen über IKT-Risiken bisher auf Unionsebene angegangen wurden, fördert Lücken oder Überschneidungen in wichtigen Bereichen, wie der Meldung IKT-bezogener Vorfälle und der Prüfung der digitalen Betriebsstabilität, zu Tage und führt zu Unstimmigkeiten aufgrund sich abzeichnender unterschiedlicher nationaler Vorschriften oder einer kostenineffizienten Anwendung sich überschneidender Vorschriften. Dies ist besonders schädlich für intensive IKT-Nutzer wie den Finanzsektor, da technologische Risiken keine Grenzen haben und der Finanzsektor seine Dienste auf breiter grenzüberschreitender Basis inner- und außerhalb der Union erbringt. Einzelne Finanzunternehmen, die grenzüberschreitend tätig sind oder über mehrere Zulassungen verfügen (z. B. kann ein Finanzunternehmen eine Lizenz für eine Bank, eine Wertpapierfirma und ein Zahlungsinstitut besitzen, die jeweils von einer anderen zuständigen Behörde in einem oder mehreren Mitgliedstaaten ausgestellt wurde), stehen bei der alleinigen und kohärenten und kostenwirksamen Bewältigung von IKT-Risiken und der Abmilderung nachteiliger Auswirkungen von IKT-Vorfällen vor operativen Herausforderungen. (11)Da das Einheitliche Regelwerk nicht mit einem umfassenden Rahmen für IKT oder operationelle Risiken einhergeht, ist eine weitere Harmonisierung der wichtigsten Anforderungen an die digitale Betriebsstabilität für alle Finanzunternehmen erforderlich. Die Kapazitäten und die allgemeine Resilienz, die Finanzunternehmen auf der Grundlage solcher Kernanforderungen entwickeln würden, um operativen Ausfällen standzuhalten, würden dabei helfen, die Stabilität und Integrität der Finanzmärkte der Union zu erhalten und auf diese Weise dazu beitragen, ein hohes Schutzniveau für Anleger und Verbraucher in der Union sicherzustellen. Da diese Verordnung zum reibungslosen Funktionieren des Binnenmarkts beitragen soll, sollte sie sich auf die Bestimmungen von Artikel 114 AEUV in der Auslegung der ständigen Rechtsprechung des Gerichtshofs der Europäischen Union stützen. (12)Mit dieser Verordnung sollen vorrangig die Anforderungen mit Blick auf IKT-Risiken konsolidiert und verbessert werden, die bisher in den einzelnen Verordnungen und Richtlinien gesondert behandelt wurden. Diese Rechtsakte der Union deckten zwar die wichtigsten Kategorien finanzieller Risiken ab (z. B. Kreditrisiko, Marktrisiko, Gegenparteiausfallrisiko, Liquiditätsrisiko und Marktrisiko), waren aber bei ihrer Annahme nicht umfassend auf alle Komponenten operativer Resilienz ausgerichtet. Bei der Weiterentwicklung der Anforderungen an das operationelle Risiko in den Rechtsakten der Union wurde häufig ein traditioneller quantitativer Ansatz zur Bewältigung von Risiken (d. h. die Festlegung einer Kapitalvorgabe zur Absicherung gegen IKT-Risiken) bevorzugt, anstatt gezielte qualitative Anforderungen zur Stärkung der Kapazitäten durch Vorgaben, die auf den Schutz, die Erkennung, Eindämmung, Wiederherstellung und die Sanierungskapazitäten bei IKT-bezogenen Vorfällen abzielen, oder durch die Festlegung von Kapazitäten für Meldungen und Prüfungen digitaler Technologie einzubetten. Mit diesen Richtlinien und Verordnungen sollten in erster Linie wesentliche Vorschriften über die Aufsicht, die Integrität oder das Verhalten des Marktes abgedeckt werden.

Durch diese Maßnahme, mit der die Vorschriften über IKT-Risiken konsolidiert und aktualisiert werden, würden alle Bestimmungen, die sich mit dem digitalen Risiko im Finanzsektor befassen, erstmals in einheitlicher Weise in einem einzigen Rechtsakt zusammengefasst. Somit sollte diese Initiative Lücken schließen oder Unstimmigkeiten in einigen dieser Rechtsakte beheben (auch in Bezug auf die darin verwendete Terminologie) und durch gezielte Vorschriften über die Kapazitäten für IKT-Risikomanagement, die Meldung und Tests sowie die Überwachung von Risiken durch Drittanbieter ausdrücklich auf IKT-Risiken Bezug nehmen. (13)Finanzunternehmen sollten bei der Bewältigung von IKT-Risiken denselben Ansatz und dieselben grundsatzbasierten Regeln befolgen. Kohärenz trägt dazu bei, das Vertrauen in das Finanzsystem zu stärken und dessen Stabilität zu erhalten, insbesondere in Zeiten der übermäßigen Nutzung von IKT-Systemen, -Plattformen und -Infrastrukturen, die erhöhte Risiken im digitalen Bereich mit sich bringt. Ebenso sollte durch Einhaltung einer grundlegenden Cyberhygiene verhindert werden, dass der Wirtschaft durch die Minimierung der Auswirkungen und Kosten von IKT-Störfällen hohe Kosten entstehen. (14)Die Anwendung einer Verordnung hilft, die Komplexität der Regulierung zu verringern, fördert die aufsichtliche Konvergenz, erhöht die Rechtssicherheit und trägt gleichzeitig dazu bei, die Befolgungskosten, insbesondere für grenzüberschreitend tätige Finanzunternehmen, zu begrenzen und Wettbewerbsverzerrungen zu verringern. Daher erscheint die Wahl einer Verordnung zur Schaffung eines gemeinsamen Rahmens für die digitale Betriebsstabilität von Finanzunternehmen am besten geeignet, eine einheitliche und kohärente Anwendung aller Komponenten des IKT-Risikomanagements in den Finanzsektoren der Union zu gewährleisten. (15)Neben den Rechtsvorschriften über Finanzdienstleistungen stellt die Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates den aktuellen allgemeinen Rahmen für die Cybersicherheit auf Unionsebene dar. Unter den sieben kritischen Sektoren gilt diese Richtlinie auch für drei Arten von Finanzunternehmen, namentlich für Kreditinstitute, Handelsplätze und zentrale Gegenparteien. Da in der Richtlinie (EU) 2016/1148 jedoch ein Mechanismus zur Identifizierung der Betreiber wesentlicher Dienste auf nationaler Ebene vorgesehen ist, werden in der Praxis nur bestimmte Kreditinstitute, Handelsplätze und zentrale Gegenparteien, die von den Mitgliedstaaten ermittelt wurden, in den Anwendungsbereich der Richtlinie aufgenommen und somit verpflichtet, die darin festgelegten Anforderungen an die IKT-Sicherheit und die Meldung von Vorfällen zu erfüllen. (16)Da mit dieser Verordnung das Ausmaß der Harmonisierung in Bezug auf Komponenten der digitalen Resilienz erhöht wird, indem Anforderungen an das IKT-Risikomanagement und die Meldung von IKT-Vorfällen eingeführt werden, die strenger sind als diejenigen in den aktuellen Rechtsvorschriften der Union für Finanzdienstleistungen, stellt dies auch im Vergleich zu den Anforderungen der Richtlinie (EU) 2016/1148 eine stärkere Harmonisierung dar. Folglich verkörpert diese Verordnung eine Lex specialis zur Richtlinie (EU) 2016/1148. Es ist von entscheidender Bedeutung, dass eine enge Beziehung zwischen dem Finanzsektor und dem horizontalen Rahmen der Union für Cybersicherheit aufrechterhalten wird, zumal dies die Kohärenz mit den bereits von den Mitgliedstaaten angenommenen Strategien für Cybersicherheit gewährleisten und Finanzaufsichtsbehörden ermöglichen würde, auf Cybervorfälle aufmerksam gemacht zu werden, die andere unter die Richtlinie (EU) 2016/1148 fallende Sektoren betreffen. (17)Um einen sektorübergreifenden Lernprozess zu ermöglichen und Erfahrungen anderer Sektoren beim Umgang mit Cyberbedrohungen wirksam zu nutzen, sollten Finanzunternehmen im Sinne der Richtlinie (EU) 2016/1148 Teil des „Ökosystems“ dieser Richtlinie bleiben (z. B. Kooperationsgruppe für Netz- und Informationssicherheit (NIS) und Reaktionsteam für Computersicherheitsverletzungen (CSIRT)). Die ESA und zuständige nationale Behörden sollten in der Lage sein, sich an den strategischen politischen Diskussionen und der technischen Arbeit der NIS-Kooperationsgruppe zu beteiligen, Informationen austauschen und mit den in der Richtlinie (EU) 2016/1148 benannten zentralen Anlaufstellen weiter zusammenarbeiten. Die nach dieser Verordnung zuständigen Behörden sollten auch die gemäß Artikel 9 der Richtlinie (EU) 2016/1148 benannten nationalen CSIRT konsultieren und mit ihnen zusammenarbeiten. (18)Außerdem ist es wichtig, für Kohärenz mit der Richtlinie über europäische kritische Infrastrukturen („EKI“) zu sorgen, die derzeit überarbeitet wird, um den Schutz und die Widerstandsfähigkeit kritischer Infrastrukturen gegenüber nicht cyberbedingten Bedrohungen mit möglichen Auswirkungen auf den Finanzsektor zu verbessern. (19)Anbieter von Cloud-Computing-Diensten sind eine Kategorie von Anbietern digitaler Dienste, die unter die Richtlinie (EU) 2016/1148 fallen. Als solche unterliegen sie einer nachträglichen Überwachung durch die gemäß dieser Richtlinie benannten nationalen Behörden, die sich auf die in diesem Rechtsakt festgelegten Anforderungen an die IKT-Sicherheit und die Meldung von Vorfällen beschränkt. Da der mit dieser Verordnung geschaffene Aufsichtsrahmen für alle kritischen IKT-Drittanbieter, einschließlich Anbietern von Cloud-Computing-Diensten, gilt, wenn diese Finanzunternehmen IKT-Dienste erbringen, sollte er als Ergänzung zu der Aufsicht gemäß der Richtlinie (EU) 2016/1148 betrachtet werden. Darüber hinaus sollte der mit dieser Verordnung geschaffene Aufsichtsrahmen für Anbieter von Cloud-Computing-Diensten gelten, wenn es keinen horizontalen sektorunabhängigen Rahmen der Union gibt, mit dem eine Behörde für die digitale Aufsicht eingerichtet wird. (20)Um die vollständige Kontrolle über IKT-Risiken zu behalten, müssen Finanzunternehmen über umfassende Kapazitäten verfügen, die ein leistungsfähiges und wirksames IKT-Risikomanagement ermöglichen – neben spezifischen Mechanismen und Strategien für die Meldung IKT-bezogener Vorfälle, die Erprobung von IKT-Systemen, -Kontrollen und -Prozessen sowie für die Steuerung des Risikos durch IKT-Drittanbieter. Die Schwelle der digitalen Betriebsstabilität für das Finanzsystem sollte angehoben werden, wobei gleichzeitig eine verhältnismäßige Anwendung der Anforderungen an Finanzunternehmen, bei denen es sich um Kleinstunternehmen im Sinne der Empfehlung 2003/361/EG der Kommission handelt, möglich sein sollte. (21)Die Schwellenwerte und Taxonomien für die Meldung IKT-bezogener Vorfälle unterscheiden sich auf nationaler Ebene erheblich. Wenngleich sich durch einschlägige Arbeiten der Agentur der Europäischen Union für Cybersicherheit (ENISA) und der NIS-Kooperationsgruppe für die Finanzunternehmen gemäß der Richtlinie (EU) 2016/1148 eine gemeinsame Grundlage schaffen lässt, bestehen noch immer unterschiedliche Ansätze in Bezug auf Schwellenwerte und Taxonomien bzw. können sich für die übrigen Finanzunternehmen ergeben. Dies beinhaltet eine Vielzahl von Anforderungen, die Finanzunternehmen einhalten müssen, insbesondere wenn sie in mehreren Rechtsordnungen der Union tätig sind und Teil eines Finanzkonzerns sind. Darüber hinaus können diese Unterschiede die Einrichtung weiterer einheitlicher oder zentralisierter Mechanismen der Union behindern, die das Meldeverfahren beschleunigen und einen raschen und reibungslosen Informationsaustausch zwischen den zuständigen Behörden unterstützen, was für die Bewältigung von IKT-Risiken bei Großangriffen mit potenziell systemischen Folgen von entscheidender Bedeutung ist. (22)Um den zuständigen Behörden die Erfüllung ihrer Aufsichtsaufgaben zu ermöglichen, indem sie einen vollständigen Überblick über Art, Häufigkeit, Ausmaß und Auswirkungen IKT-bezogener Vorfälle erhalten, und um den Informationsaustausch zwischen einschlägigen Behörden, einschließlich Strafverfolgungs- und Abwicklungsbehörden, zu verbessern, müssen Vorschriften festgelegt werden, damit die Regelung für die Meldung IKT-bezogener Vorfälle um die Anforderungen ergänzt wird, die derzeit in den Rechtsvorschriften des Teilsektors Finanzen fehlen, und etwaige Überschneidungen und Doppelarbeit mit Blick auf eine Senkung der Kosten beseitigt werden. Daher ist es von wesentlicher Bedeutung, die Regelung für die Meldung IKT-bezogener Vorfälle zu harmonisieren, indem alle Finanzunternehmen verpflichtet werden, nur ihren zuständigen Behörden Bericht zu erstatten. Darüber hinaus sollten die ESA ermächtigt werden, Aspekte für die Meldung IKT-bezogener Vorfälle wie Taxonomie, Zeitrahmen, Datensätze, Vorlagen und anwendbare Schwellenwerte näher zu spezifizieren. (23)In einigen Teilsektoren des Finanzsektors haben sich Anforderungen für die Prüfung der digitalen Betriebsstabilität innerhalb mehrerer und unkoordinierter nationaler Rahmen entwickelt, in denen dieselben Sachverhalte unterschiedlich behandelt werden. Dies führt zu doppelten Kosten für grenzüberschreitend tätige Finanzunternehmen und erschwert die gegenseitige Anerkennung von Ergebnissen. Folglich können unkoordinierte Tests den Binnenmarkt segmentieren. (24)Darüber hinaus bleiben Schwachstellen, wann immer Tests nicht vorgeschrieben sind, unentdeckt, wodurch das Finanzunternehmen und letztlich die Stabilität und Integrität des Finanzsektors einem höheren Risiko unterlägen. Ohne ein Tätigwerden der Union wäre die Prüfung der digitalen Betriebsstabilität weiterhin lückenhaft, und es gäbe keine gegenseitige Anerkennung der Testergebnisse in verschiedenen Rechtsordnungen. Da es unwahrscheinlich ist, dass solche Systeme in anderen Teilsektoren des Finanzsektors in bedeutendem Umfang eingeführt würden, gingen auch die potenziellen Vorteile verloren, wie die Aufdeckung von Schwachstellen und Risiken, Tests von Verteidigungsfähigkeiten und Geschäftskontinuität sowie ein höheres Vertrauen von Kunden, Lieferanten und Geschäftspartnern. Um solche Überschneidungen, Divergenzen und Lücken zu beseitigen, müssen Vorschriften festgelegt werden, die auf koordinierte Tests durch Finanzunternehmen und zuständige Behörden abzielen, damit die gegenseitige Anerkennung erweiterter Tests für wichtige Finanzunternehmen erleichtert wird. (25)Die Nutzung von IKT-Diensten durch Finanzunternehmen ist zum Teil darauf zurückzuführen, dass sie sich an eine sich entwickelnde wettbewerbsorientierte digitale Weltwirtschaft anpassen, ihre geschäftliche Effizienz steigern und die Verbrauchernachfrage befriedigen müssen. Die Art und das Ausmaß dieser Nutzung haben sich in den letzten Jahren ständig verändert, was zu Kostensenkungen bei der Finanzintermediation geführt hat, die Expansion von Unternehmen und die Skalierbarkeit bei der Erbringung von Finanztätigkeiten ermöglicht und gleichzeitig ein breites Spektrum an IKT-Instrumenten für die Verwaltung komplexer interner Prozesse zur Verfügung hervorgebracht hat. (26)Die umfangreiche Nutzung von IKT-Diensten zeigt sich an komplexen vertraglichen Vereinbarungen, wobei Finanzunternehmen häufig Schwierigkeiten haben, Vertragsbedingungen auszuhandeln, die auf die Aufsichtsstandards oder sonstige aufsichtsrechtliche Anforderungen, denen sie unterliegen, zugeschnitten sind; Gleiches gilt für die Durchsetzung bestimmter Rechte, wie Zugangs- oder Prüfungsrechte, wenn diese in den Vereinbarungen verankert sind. Darüber hinaus fehlen in vielen dieser Verträge ausreichende Garantien, die eine vollständige Überwachung von Verfahren für die Unterauftragsvergabe ermöglichen, wodurch das Finanzunternehmen diese damit verbundenen Risiken nicht bewerten kann. Da IKT-Drittanbieter häufig standardisierte Dienstleistungen für verschiedene Arten von Kunden anbieten, wird den individuellen oder spezifischen Bedürfnissen der Akteure der Finanzbranche in solchen Verträgen unter Umständen nicht immer angemessen Rechnung getragen. (27)Trotz einiger allgemeiner Vorschriften über die Auslagerung von Tätigkeiten in einigen Rechtsakten der Union im Bereich der Finanzdienstleistungen ist die Überwachung der vertraglichen Dimension nicht vollständig in den Rechtsvorschriften der Union verankert. Weil eindeutige und angepasste Unionsstandards, die auf die vertraglichen Vereinbarungen mit IKT-Drittanbietern anwendbar sind, fehlen, werden externe Quellen für IKT-Risiken nicht umfassend behandelt. Daher müssen bestimmte Leitprinzipien festgelegt werden, die Finanzunternehmen als Richtschnur für die Steuerung des Risikos durch IKT-Drittanbieter dienen und mit einer Reihe grundlegender vertraglicher Rechte einhergehen, die sich auf mehrere Aspekte bei der Erfüllung und Beendigung von Verträgen beziehen, damit bestimmte Mindestgarantien verankert werden, die Finanzunternehmen bei der wirksamen Überwachung aller Risiken auf Ebene von IKT-Drittanbietern unterstützen. (28)Die Homogenität und Konvergenz in Bezug auf die Risiken durch IKT-Drittanbieter und die Abhängigkeit von IKT-Drittanbietern ist mangelhaft. Obwohl einige Anstrengungen unternommen wurden, um den spezifischen Bereich der Auslagerung anzugehen, wie die Empfehlungen aus dem Jahr 2017 zur Auslagerung der Anbieter von Cloud-Diensten, wird das Problem systemischer Risiken, das entstehen könnte, weil der Finanzsektor einer begrenzten Anzahl kritischer IKT-Drittanbieter ausgesetzt ist, in den Rechtsvorschriften der Union kaum behandelt. Dieser Mangel auf Unionsebene wird noch dadurch verschärft, dass keine spezifischen Mandate und Instrumente bestehen, die es nationalen Aufsichtsbehörden ermöglichen, Abhängigkeiten von IKT-Drittanbietern ordnungsgemäß zu erfassen und Risiken, die sich aus der Konzentration solcher Abhängigkeiten von IKT-Drittanbietern ergeben, angemessen zu überwachen.

(29)Unter Berücksichtigung der potenziellen Systemrisiken, die mit der verstärkten Auslagerung und der Konzentration der Abhängigkeiten von IKT-Drittanbietern verbunden sind, und in Anbetracht unzureichender nationaler Regelungen, die es Finanzaufsichtsbehörden ermöglichen, die Folgen der bei kritischen IKT-Drittanbietern auftretenden IKT-Risiken zu quantifizieren, zu qualifizieren und zu beheben, muss ein geeigneter Aufsichtsrahmen der Union geschaffen werden, der eine kontinuierliche Überwachung der Tätigkeiten von IKT-Drittanbietern, die für Finanzunternehmen systemrelevant sind, ermöglicht. (30)Da IKT-Bedrohungen komplexer und technisch ausgereifter werden, hängen gute Erkennungs- und Präventionsmaßnahmen in hohem Maße von einem regelmäßigen Informationsaustausch zwischen Finanzunternehmen über Bedrohungen und Anfälligkeiten ab. Ein Informationsaustausch trägt dazu bei, das Bewusstsein für Cyberbedrohungen zu schärfen, wodurch Finanzunternehmen Bedrohungen bekämpfen können, bevor sie in reale Vorfälle münden, und in der Lage sind, die Auswirkungen IKT-bezogener Vorfälle besser einzudämmen und effizienter zu reagieren. In Ermangelung von Leitlinien auf Unionsebene scheinen mehrere Faktoren einen solchen Wissensaustausch verhindert zu haben, darunter insbesondere die Unsicherheit hinsichtlich der Vereinbarkeit mit den Datenschutz-, Kartell- und Haftungsvorschriften. (31)Darüber hinaus führen Unsicherheiten bezüglich der Art von Informationen, die mit anderen Marktteilnehmern oder mit Nicht-Aufsichtsbehörden (z. B. ENISA für analytische Eingaben oder Europol für Strafverfolgungszwecke) ausgetauscht werden können, dazu, dass nützliche Informationen vorenthalten werden. Umfang und Qualität des Informationsaustauschs sind nach wie vor begrenzt und fragmentiert, wobei der einschlägige Austausch hauptsächlich auf lokaler Ebene (über nationale Initiativen) erfolgt und keine einheitlichen unionsweiten Regelungen für den Informationsaustausch bestehen, die auf die Bedürfnisse eines integrierten Finanzsektors zugeschnitten sind. (32)Daher sollten Finanzunternehmen ermutigt werden, ihre individuellen Kenntnisse und praktischen Erfahrungen auf strategischer, taktischer und operativer Ebene gemeinsam zu nutzen, damit sich ihre Fähigkeit verbessert, Cyberbedrohungen angemessen zu bewerten, zu überwachen, abzuwehren und auf sie zu reagieren. Dementsprechend muss auf Unionsebene die Einrichtung von Regelungen für freiwillige Vereinbarungen über den Informationsaustausch ermöglicht werden, die – bei der Umsetzung in vertrauenswürdigen Umgebungen – der Finanzwelt dabei helfen würden, Bedrohungen vorzubeugen und gemeinsam darauf zu reagieren, indem die Ausbreitung von IKT-Risiken rasch eingedämmt und potenzielle Ansteckungseffekte über alle Finanzkanäle hinweg verhindert werden. Diese Regelungen sollten unter uneingeschränkter Einhaltung des anwendbaren Wettbewerbsrechts der Union sowie in einer Weise eingerichtet werden, die die uneingeschränkte Einhaltung der Datenschutzvorschriften der Union und hauptsächlich der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates gewährleistet – insbesondere im Zusammenhang mit der Verarbeitung personenbezogener Daten, die zur Wahrung der berechtigten Interessen des für die Verarbeitung Verantwortlichen oder eines Dritten gemäß Artikel 6 Absatz 1 Buchstabe f der Verordnung erforderlich ist. (33)Ungeachtet des in dieser Verordnung vorgesehenen breiten Geltungsbereichs sollten bei der Anwendung der Vorschriften für die digitale Betriebsstabilität wesentliche Unterschiede zwischen Finanzunternehmen in Bezug auf Größe, Unternehmensprofile oder digitale Risiken berücksichtigt werden. Finanzunternehmen sollten bei der Zuordnung von Ressourcen und Kapazitäten zur Umsetzung des Rahmens für das IKT-Risikomanagement ihren IKT-Bedarf sorgfältig auf ihre Größe und ihr Profil abstimmen, während die zuständigen Behörden den Ansatz einer solchen Verteilung weiterhin bewerten und überprüfen sollten. (34)Da größere Finanzunternehmen unter Umständen über umfangreichere Ressourcen verfügen und rasch Mittel für die Einrichtung von Governance-Strukturen und die Einführung verschiedener Unternehmensstrategien bereitstellen könnten, sollten nur Finanzunternehmen, die keine Kleinstunternehmen im Sinne dieser Verordnung sind, verpflichtet werden, komplexere Governance-Regelungen zu treffen. Solche Unternehmen sind besser gerüstet, um insbesondere spezielle Verwaltungsfunktionen für die Überwachung von Vereinbarungen mit IKT-Drittanbietern oder für den Umgang mit dem Krisenmanagement einzurichten, ihr IKT-Risikomanagement nach dem Modell der drei Verteidigungslinien zu strukturieren oder ein HR-Dokument zu verabschieden, in dem Richtlinien für die Zugangsrechte umfassend erläutert werden. Ebenso sollten nur solche Finanzunternehmen aufgefordert werden, nach größeren Veränderungen der Netz- und Informationssysteminfrastrukturen und -prozesse eingehende Bewertungen durchzuführen, regelmäßig Risikoanalysen von IKT-Altsystemen vorzunehmen oder die Prüfung der Pläne für die Fortführung des Geschäftsbetriebs, Reaktion und Wiederherstellung auszuweiten, um Szenarien für die Umstellung von primärer IKT-Infrastruktur auf redundante Systeme zu erfassen. (35)Da darüber hinaus nur die Finanzunternehmen, die für die Zwecke der erweiterten Prüfung der digitalen Resilienz als bedeutend eingestuft wurden, zu bedrohungsorientierten Penetrationstests verpflichtet werden sollten, sollten die Verwaltungsverfahren und finanziellen Kosten, die mit der Durchführung solcher Tests verbunden sind, einem kleinen Prozentsatz der Finanzunternehmen übertragen werden. Schließlich sollten zur Verringerung der Regulierungslast nur Finanzunternehmen, die keine Kleinstunternehmen sind, aufgefordert werden, den zuständigen Behörden regelmäßig alle Kosten und Verluste, die durch IKT-Unterbrechungen verursacht werden, sowie die Ergebnisse von Prüfungen nach erheblichen IKT-Störungen zu melden. (36)Um die vollständige Abstimmung und allgemeine Kohärenz zwischen den Geschäftsstrategien der Finanzunternehmen einerseits und der Durchführung des IKT-Risikomanagements andererseits zu gewährleisten, sollte das Leitungsorgan verpflichtet sein, bei der Steuerung und Anpassung des IKT-Risikomanagementrahmens und der Gesamtstrategie für die digitale Resilienz eine zentrale und aktive Rolle zu bewahren. Der vom Leitungsorgan heranzuziehende Ansatz sollte sich nicht nur auf die Mittel zur Gewährleistung der Resilienz der IKT-Systeme konzentrieren, sondern auch Menschen und Prozesse durch eine Reihe von Strategien einbeziehen, die auf jeder Unternehmensebene und bei allen Mitarbeitern ein starkes Bewusstsein für Cyberrisiken und die Verpflichtung zur Einhaltung einer strengen Cyberhygiene auf allen Ebenen hervorrufen. Die letztliche Verantwortung des Leitungsorgans für die Steuerung der IKT-Risiken eines Finanzunternehmens sollte in einem übergeordneten Prinzip dieses umfassenden Ansatzes bestehen, das sich weiter im kontinuierlichen Engagement des Leitungsorgans bei der Kontrolle der Überwachung des IKT-Risikomanagements niederschlägt. (37)Darüber hinaus geht die uneingeschränkte Rechenschaftspflicht des Leitungsorgans mit der Sicherstellung eines bestimmten Umfangs von IKT-Investitionen und eines Gesamthaushalts einher, damit das Finanzunternehmen in der Lage ist, die Mindestanforderungen an die digitale Betriebsstabilität umzusetzen. (38)Aufbauend auf einschlägigen internationalen, nationalen und branchenspezifischen Standards, Leitlinien, Empfehlungen oder Konzepten für die Steuerung von Cyberrisiken werden mit dieser Verordnung eine Reihe von Funktionen gefördert, die die allgemeine Strukturierung des IKT-Risikomanagements erleichtern. Solange die wichtigsten von Finanzunternehmen eingerichteten Kapazitäten auf die Ziele abgestimmt sind, die in den Funktionen (Ermittlung, Schutz und Prävention, Erkennung, Reaktion und Wiederherstellung, Lernen sowie Weiterentwicklung und Kommunikation) in dieser Verordnung vorgesehen sind, steht es Finanzunternehmen frei, IKT-Risikomanagementmodelle zu verwenden, die anders gegliedert oder kategorisiert sind. (39)Um mit einer sich rasch ändernden Bedrohungslage Schritt zu halten, sollten Finanzunternehmen auf dem neuesten Stand befindliche IKT-Systeme unterhalten, die zuverlässig sind und über ausreichende Kapazitäten verfügen, um nicht nur die Verarbeitung der Daten, wie sie für die Erbringung ihrer Dienste erforderlich ist, sondern auch die technologische Resilienz zu gewährleisten, damit Finanzunternehmen in angemessener Weise auf zusätzliche Verarbeitungserfordernisse reagieren können, die durch angespannte Marktbedingungen oder andere ungünstige Umstände entstehen können. Obwohl in dieser Verordnung keine Standardisierung spezifischer IKT-Systeme, -Instrumente oder -Technologien vorgesehen ist, stützt sie sich auf die angemessene Anwendung europäischer und international anerkannter technischer Normen (z. B. ISO) oder bewährter Branchenverfahren durch die Finanzunternehmen, insofern diese Anwendung den spezifischen Aufsichtsanweisungen für die Verwendung und Übernahme internationaler Normen in vollem Umfang entspricht. (40)Effiziente Pläne für die Geschäftskontinuität und die Wiederherstellung sind erforderlich, damit Finanzunternehmen IKT-bezogenen Vorfällen, insbesondere Cyberangriffen, prompt und zügig entgegenwirken können, indem Schäden begrenzt werden und die Wiederaufnahme von Tätigkeiten und Maßnahmen für die Wiederherstellung Vorrang erhalten. Obwohl Systeme für die Datensicherung unverzüglich mit der Verarbeitung beginnen sollten, darf die Integrität und Sicherheit der Netz- und Informationssysteme oder die Vertraulichkeit von Daten durch einen solchen unverzüglichen Beginn in keiner Weise gefährdet werden. (41)Mit dieser Verordnung wird Finanzunternehmen zwar ermöglicht, die zeitlichen Vorgaben bis zur Wiederherstellung flexibel und so festzulegen, dass Art und der Kritikalität der jeweiligen Funktion und etwaige spezifische geschäftliche Erfordernisse in vollem Umfang berücksichtigt werden, doch sollte bei der Festlegung dieser Vorgaben auch eine Bewertung der potenziellen Gesamtauswirkungen auf die Markteffizienz vorgeschrieben sein. (42)Die weitreichenden Folgen von Cyberangriffen werden verstärkt, wenn sie sich im Finanzsektor und damit in einem Bereich ereignen, in dem die Gefahr viel größer ist, dass böswillige Verbreiter direkt an der Quelle finanzielle Gewinne erzielen. Um solche Risiken zu mindern und zu verhindern, dass IKT-Systeme ihre Integrität einbüßen oder nicht verfügbar werden und vertrauliche Daten eingesehen oder physische IKT-Infrastrukturen beschädigt werden, sollte die Meldung schwerwiegender IKT-bezogener Vorfälle durch Finanzunternehmen erheblich verbessert werden. Die Meldung IKT-bezogener Vorfälle sollte für alle Finanzunternehmen harmonisiert werden, indem sie verpflichtet werden, nur ihren zuständigen Behörden Bericht zu erstatten. Obwohl alle Finanzunternehmen dieser Meldepflicht unterlägen, sollten nicht alle in gleicher Weise betroffen sein, da einschlägige Wesentlichkeitsschwellen und Zeitrahmen so austariert werden sollten, dass nur schwerwiegende IKT-bezogene Vorfälle erfasst werden. Eine direkte Meldung würde Finanzaufsichtsbehörden den Zugang zu Informationen über IKT-bezogene Vorfälle ermöglichen. Dennoch sollten Finanzaufsichtsbehörden diese Informationen an Nicht-Finanzbehörden (für Netzwerk- und Informationssicherheit zuständige Behörden, nationale Datenschutzbehörden und Strafverfolgungsbehörden bei Vorfällen strafrechtlicher Art) weiterleiten. Die Informationen über IKT-bezogene Vorfälle sollten wechselseitig gelenkt werden: Die Finanzaufsichtsbehörden sollten dem Finanzunternehmen alle erforderlichen Rückmeldungen oder Orientierungshilfen geben, während die ESA anonymisierte Daten über Bedrohungen und Schwachstellen im Zusammenhang mit einem Ereignis austauschen sollten, um eine umfassende kollektive Verteidigung zu unterstützen. (43)Weitere Überlegungen über die mögliche Zentralisierung von Berichten über IKT-bezogene Vorfälle sollten in Betracht gezogen werden, indem eine einheitliche zentrale EU-Plattform entweder direkt die entsprechenden Meldungen entgegennimmt und die zuständigen nationalen Behörden automatisch benachrichtigt oder lediglich die von den zuständigen nationalen Behörden übermittelten Meldungen zentralisiert und eine Koordinierungsfunktion wahrnimmt. Die ESA sollten verpflichtet sein, in Absprache mit der EZB und der ENISA bis zu einem bestimmten Tag einen gemeinsamen Bericht über die Machbarkeit der Einrichtung einer solchen zentralen EU-Plattform auszuarbeiten. (44)Um eine robuste digitale Betriebsstabilität zu erreichen und internationale Standards zu übernehmen (z. B. die „G7 Fundamental Elements for Threat-Led Penetration Testing“ (Grundzüge bedrohungsorientierter Penetrationstests der G7-Staaten)), sollten Finanzunternehmen ihre IKT-Systeme und -Mitarbeiter regelmäßig auf die Effizienz ihrer Fähigkeiten für Prävention, Erkennung, Reaktion und Wiederherstellung hin überprüfen, um potenzielle IKT-Schwachstellen aufzudecken und zu beseitigen. Um den Unterschieden Rechnung zu tragen, die zwischen und in Finanzteilsektoren bei der Abwehrbereitschaft von Finanzunternehmen im Bereich der Cybersicherheit bestehen, sollten die Tests eine breite Palette von Instrumenten und Maßnahmen umfassen, die von der Bewertung grundlegender Anforderungen (z. B. Bewertungen und Überprüfungen der Anfälligkeit, Analysen von Open-Source-Software, Bewertungen der Netzsicherheit, Lückenanalysen, Analysen der physischen Sicherheit, Fragebögen und Scansoftwarelösungen, Quellcodeprüfungen soweit durchführbar, szenariobasierte Tests, Kompatibilitätstests, Leistungstests oder End-to-End-Tests) bis hin zu erweiterten Prüfungen (z. B. TLPT für Finanzunternehmen, die aus IKT-Perspektive ausgereift genug sind) reichen. Folglich sollte die Prüfung der digitalen Betriebsstabilität für große Finanzunternehmen (wie große Kreditinstitute, Börsen, Zentralverwahrer, zentrale Gegenparteien usw.) ausgedehnter sein. Gleichzeitig sollte die Prüfung der digitalen Betriebsstabilität für einige Teilsektoren, die eine zentrale und systemrelevante Rolle spielen (z. B. Zahlungen, Banken, Clearing und Abrechnung), mehr Relevanz und für andere Teilsektoren (z. B. Vermögensverwalter, Ratingagenturen usw.) weniger Relevanz besitzen. Grenzübergreifend tätige Finanzunternehmen, die ihre Niederlassungs- oder Dienstleistungsfreiheit in der Union ausüben, sollten in ihrem Herkunftsmitgliedstaat eine einheitliche Reihe von Anforderungen für erweiterte Prüfungen (z. B. TLPT) erfüllen, und diese Tests sollten sich auf die IKT-Infrastrukturen in allen Rechtsordnungen erstrecken, in denen die grenzüberschreitende Gruppe innerhalb der Union tätig ist, sodass grenzüberschreitend tätigen Gruppen nur in einer Rechtsordnung Testkosten entstehen. (45)Um eine solide Überwachung des Risikos durch IKT-Drittanbieter zu gewährleisten, sind eine Reihe grundsatzbasierter Regeln festzulegen, um Finanzunternehmen bei der Überwachung der Risiken anzuleiten, die im Zusammenhang mit an IKT-Drittanbieter ausgelagerten Funktionen und ganz allgemein im Zusammenhang mit Abhängigkeiten von IKT-Drittanbietern entstehen.

(46)Ein Finanzunternehmen sollte jederzeit die volle Verantwortung für die Einhaltung der Verpflichtungen aus dieser Verordnung tragen. Es sollte eine verhältnismäßige Überwachung der Risiken, die auf Ebene des IKT-Drittanbieters entstehen, organisiert werden, indem Umfang, Komplexität und Bedeutung IKT-bezogener Abhängigkeiten, die Kritikalität oder Bedeutung der Dienste, Prozesse oder Funktionen, die den vertraglichen Vereinbarungen unterliegen, letztlich je nach Sachlage anhand einer sorgfältigen Bewertung potenzieller Auswirkungen auf die Kontinuität und Qualität von Finanzdienstleistungen auf Einzel- und Gruppenebene gebührend berücksichtigt werden. (47)Die Durchführung einer solchen Überwachung sollte nach einem strategischen Ansatz für das Risiko durch IKT-Drittanbieter erfolgen, der durch die Annahme einer eigenen Strategie durch das Leitungsorgan des Finanzunternehmens formalisiert wird, und zwar auf Grundlage einer kontinuierlichen Überprüfung aller Abhängigkeiten von IKT-Drittanbietern. Um die Aufsichtsbehörden für Abhängigkeiten von IKT-Drittanbietern zu sensibilisieren und den durch diese Verordnung geschaffenen Aufsichtsrahmen weiter zu unterstützen, sollten Finanzaufsichtsbehörden regelmäßig wesentliche Informationen aus den Registern erhalten und auf Ad-hoc-Basis Auszüge anfordern können. (48)Dem förmlichen Abschluss vertraglicher Vereinbarungen sollte eine gründliche Analyse vor Vertragsabschluss zugrunde liegen und diesem vorausgehen, während die Kündigung von Verträgen zumindest durch eine Reihe von Umständen ausgelöst werden sollte, die Unzulänglichkeiten bei dem IKT-Drittanbieter erkennen lassen. (49)Um den systemischen Auswirkungen des Konzentrationsrisikos von IKT-Drittanbietern entgegenzuwirken, sollte eine ausgewogene Lösung durch einen flexiblen und schrittweisen Ansatz gefördert werden, da starre Obergrenzen oder strenge Beschränkungen die Geschäftstätigkeit und die Vertragsfreiheit behindern können. Finanzunternehmen sollten vertragliche Vereinbarungen gründlich prüfen, um die Wahrscheinlichkeit eines solchen Risikos zu ermitteln, unter anderem durch fundierte Analysen von Vereinbarungen über weiteres Outsourcing, insbesondere wenn diese mit IKT-Drittanbietern geschlossen werden, die in einem Drittland niedergelassen sind. Zum gegenwärtigen Zeitpunkt wird es im Hinblick auf ein ausgewogenes Verhältnis zwischen dem Sachzwang, die Vertragsfreiheit zu wahren und Finanzstabilität zu gewährleisten, nicht als angemessen erachtet, strenge Obergrenzen und Beschränkungen für Geschäftsbeziehungen zu IKT-Drittanbietern vorzusehen. Die mit der Aufsicht über jeden kritischen IKT-Drittanbieter beauftragte ESA (im Folgenden „federführende Aufsichtsinstanz“) sollte bei der Wahrnehmung ihrer Aufsichtsaufgaben besonders darauf achten, das Ausmaß wechselseitiger Abhängigkeiten voll zu erfassen und spezifische Fälle zu ermitteln, in deren Rahmen eine hohe Konzentration kritischer IKT-Drittanbieter in der Union die Stabilität und Integrität des Finanzsystems der Union belasten dürfte, und einen Dialog mit kritischen IKT-Drittanbietern einrichten, bei denen dieses Risiko festgestellt wird. (50)Um die Fähigkeit des IKT-Drittanbieters, sichere Dienstleistungen für das Finanzunternehmen ohne nachteilige Auswirkungen auf dessen Resilienz zu erbringen, regelmäßig überwachen und überprüfen zu können, sollten wesentliche Vertragsbestandteile während der gesamten Ausführung von Verträgen mit IKT-Drittanbietern harmonisiert werden. Diese Elemente decken nur vertragliche Mindestaspekte ab, die für eine umfassende Überwachung durch das Finanzunternehmen unter dem Gesichtspunkt, seine digitale Resilienz auf Basis der Stabilität und Sicherheit des IKT-Dienstes zu gewährleisten, von entscheidender Bedeutung sind. (51)Um eine wirksame Überwachung durch das Finanzunternehmen zu ermöglichen, sollte in den vertraglichen Vereinbarungen insbesondere eine Spezifikation vollständiger Beschreibungen von Funktionen und Dienstleistungen sowie von Orten vorgesehen sein, an denen solche Funktionen bereitgestellt und Daten verarbeitet werden; ebenso müssen vollständige Leistungsbeschreibungen mit quantitativen und qualitativen Leistungszielen innerhalb vereinbarter Serviceniveaus enthalten sein. In gleicher Weise sollten Bestimmungen über Zugänglichkeit, Verfügbarkeit, Integrität, Sicherheit und Schutz personenbezogener Daten sowie Garantien für den Zugang, die Wiederherstellung und die Rückgabe bei Insolvenz, Abwicklung oder Einstellung der Geschäftstätigkeit des IKT-Drittanbieters ebenfalls als wesentliche Aspekte für die Fähigkeit eines Finanzunternehmens betrachtet werden, das durch Drittanbieter bedingte Risiko zu überwachen. (52)Damit Finanzunternehmen die volle Kontrolle über alle Entwicklungen behalten, die ihre IKT-Sicherheit beeinträchtigen könnten, sollten bei Entwicklungen, die sich wesentlich auf die Fähigkeit des IKT-Drittanbieters auswirken könnten, kritische oder wichtige Funktionen wirksam wahrzunehmen, darunter auch die Unterstützung durch diesen Anbieter bei IKT-bezogenen Vorfällen ohne zusätzliche Kosten oder zu vorab festgelegten Kosten, Kündigungsfristen und Meldepflichten des IKT-Drittanbieters festgelegt werden. (53)Zugangs-, Inspektions- und Prüfrechte des Finanzunternehmens oder eines beauftragten Dritten sind wesentliche Instrumente für die laufende Überwachung der Leistung des IKT-Drittanbieters durch die Finanzunternehmen, die mit der uneingeschränkten Zusammenarbeit des Drittanbieters bei den Prüfungen einhergeht. In gleicher Weise sollte die zuständige Behörde des Finanzunternehmens auf der Grundlage von Mitteilungen über die Rechte verfügen, den IKT-Drittanbieter unter Wahrung der Vertraulichkeit zu inspizieren und zu prüfen. (54)Vertragliche Vereinbarungen sollten klare Kündigungsrechte und entsprechende Mindestfristen sowie spezielle Ausstiegsstrategien vorsehen, die insbesondere verbindliche Übergangszeiträume ermöglichen, in denen die IKT-Drittanbieter weiterhin die einschlägigen Funktionen bereitstellen sollten, um das Risiko von Störungen auf Ebene des Finanzunternehmens zu verringern oder es Letzterem zu ermöglichen, effektiv zu anderen IKT-Drittanbietern zu wechseln oder alternativ auf die Nutzung von Lösungen vor Ort zurückzugreifen, die der Komplexität des bereitgestellten Dienstes entsprechen. (55)Darüber hinaus kann die freiwillige Verwendung von Standardvertragsklauseln, die von der Kommission für Cloud-Computing-Dienste entwickelt wurden, Finanzunternehmen und ihren IKT-Drittanbietern eine zusätzliche Rückversicherung bieten, indem sie die Rechtssicherheit bei der Nutzung von Cloud-Computing-Diensten durch den Finanzsektor in voller Übereinstimmung mit den Anforderungen und Erwartungen in der Verordnung über Finanzdienstleistungen erhöht. Diese Arbeiten bauen auf Maßnahmen auf, die bereits im FinTech-Aktionsplan von 2018 vorgesehen waren, in dem die Absicht der Kommission angekündigt wurde, die Entwicklung von Standardvertragsklauseln für die Auslagerung von Cloud-Computing-Dienstleistungen durch Finanzunternehmen zu fördern und zu erleichtern, wobei auf den sektorübergreifenden Anstrengungen der Cloud-Interessenträger aufgebaut wird, die die Kommission unter Beteiligung des Finanzsektors unterstützt hat. (56)Um die Konvergenz und Effizienz von Aufsichtskonzepten für das Risiko durch IKT-Drittanbieter für den Finanzsektor zu fördern, die digitale Betriebsstabilität von Finanzunternehmen zu stärken, die für die Bereitstellung operativer Funktionen auf kritische IKT-Drittanbieter angewiesen sind, und damit dazu beizutragen, die Stabilität des Finanzsystems der Union und die Integrität des Binnenmarkts für Finanzdienstleistungen zu bewahren, sollten kritische IKT-Drittanbieter einem Aufsichtsrahmen der Union unterliegen. (57)Da nur kritische IKT-Drittanbieter eine besondere Behandlung rechtfertigen, sollte für die Zwecke der Anwendung des Aufsichtsrahmens der Union ein Benennungsverfahren eingeführt werden, um dem Ausmaß und der Art der Abhängigkeit des Finanzsektors von solchen IKT-Drittanbietern Rechnung zu tragen, was sich in einer Reihe quantitativer und qualitativer Kriterien niederschlägt, mit denen die Kritikalitätsparameter als Grundlage für die Einbeziehung in die Aufsicht festgelegt würden. Kritische IKT-Drittanbieter, die aufgrund der Anwendung der oben genannten Kriterien nicht automatisch benannt werden, sollten die Möglichkeit haben, sich freiwillig für den Aufsichtsrahmen zu entscheiden, während IKT-Drittanbieter, die bereits Aufsichtsrahmen unterliegen, die auf Ebene des Eurosystems zur Unterstützung der in Artikel 127 Absatz 2 des Vertrags über die Arbeitsweise der Europäischen Union genannten Aufgaben festgelegt wurden, ausgenommen werden sollten. (58)Das Erfordernis der Registrierung von Drittanbietern, die als kritisch eingestuft wurden, in der Union ist keiner Lokalisierung der Daten gleichzusetzen, da diese Verordnung keine weiteren Anforderungen für die Speicherung oder Verarbeitung von Daten in der Union enthält. (59)Dieser Rahmen sollte nicht die Zuständigkeit der Mitgliedstaaten berühren, eigene Überwachungen in Bezug auf IKT-Drittanbieter durchzuführen, die im Rahmen dieser Verordnung nicht kritisch sind, aber auf nationaler Ebene als wichtig angesehen werden könnten. (60)Um die aktuelle mehrschichtige institutionelle Architektur im Bereich der Finanzdienstleistungen zu nutzen, sollte der Gemeinsame Ausschuss der ESA im Einklang mit seinen Aufgaben im Bereich Cybersicherheit weiterhin die sektorübergreifende Gesamtkoordinierung für alle Fragen im Zusammenhang mit IKT-Risiken gewährleisten und dabei durch einen neuen Unterausschuss (Aufsichtsforum) unterstützt werden, der sowohl Einzelentscheidungen, die sich an kritische IKT-Drittanbieter richten, als auch gemeinsame Empfehlungen, insbesondere zum Benchmarking der Überwachungsprogramme kritischer IKT-Drittanbieter und zur Ermittlung bewährter Verfahren zur Bewältigung von Problemen im Zusammenhang mit IKT-Konzentrationsrisiken, ausarbeitet. (61)Um sicherzustellen, dass IKT-Drittanbieter, die entscheidend zum Funktionieren des Finanzsektors beitragen, auf Unionsebene angemessen beaufsichtigt werden, sollte eine der ESA als federführende Aufsichtsinstanz für jeden kritischen IKT-Drittanbieter benannt werden. (62)Federführende Aufsichtsinstanzen sollten über die erforderlichen Befugnisse verfügen, um bei kritischen IKT-Drittanbietern Untersuchungen, Prüfungen am Standort und außerhalb des Standorts durchzuführen, Zugang zu allen einschlägigen Räumlichkeiten und Standorten und vollständige und aktuelle Informationen zu erhalten, damit sie Art, Ausmaß und Auswirkungen des Risikos durch IKT-Drittanbieter, das für die Finanzunternehmen und letztlich für das Finanzsystem der Union besteht, wahrheitsgetreu erfassen können. Die Übertragung der federführenden Aufsicht auf die ESA ist eine Voraussetzung dafür, die systemische Dimension des IKT-Risikos im Finanzwesen zu erfassen und zu berücksichtigen. Der unionsweite Fußabdruck kritischer IKT-Drittanbieter und die damit verbundenen potenziellen Probleme durch das IKT-Konzentrationsrisiko erfordern einen kollektiven Ansatz auf Unionsebene. Die Wahrnehmung mehrfacher Prüfungs- und Zugangsrechte, die von zahlreichen zuständigen Behörden separat mit geringer oder keiner Koordinierung erfolgte, würde keinen vollständigen Überblick über das Risiko durch IKT-Drittanbieter verschaffen und gleichzeitig unnötige Redundanzen, Belastungen und Komplexitäten auf Ebene kritischer IKT-Drittanbieter mit sich bringen, die mit solch zahlreichen Anfragen konfrontiert sind. (63)Darüber hinaus sollten federführende Aufsichtsinstanzen in der Lage sein, Empfehlungen zu IKT-Risiken und geeigneten Abhilfemaßnahmen abzugeben, einschließlich der Ablehnung bestimmter vertraglicher Vereinbarungen, die letztlich die Stabilität des Finanzunternehmens oder des Finanzsystems beeinträchtigen. Die zuständigen nationalen Behörden sollten im Rahmen ihrer Aufgabe im Zusammenhang mit der Beaufsichtigung von Finanzunternehmen gebührend berücksichtigen, ob die von den federführenden Aufsichtsinstanzen ausgesprochenen wesentlichen Empfehlungen eingehalten werden. (64)Der Aufsichtsrahmen ersetzt nicht die Steuerung des Risikos, das die Nutzung von IKT-Drittanbietern mit sich bringt, durch Finanzunternehmen und tritt weder in irgendeiner Form noch für irgendeinen Aspekt an deren Stelle; dies schließt auch die Verpflichtung zur laufenden Überwachung der mit kritischen IKT-Drittanbietern geschlossenen vertraglichen Vereinbarungen ein und lässt die volle Verantwortung der Finanzunternehmen für die Einhaltung und Erfüllung aller Anforderungen dieser Verordnung und der einschlägigen Rechtsvorschriften über Finanzdienstleistungen unberührt. Um Doppelarbeit und Überschneidungen zu vermeiden, sollten die zuständigen Behörden davon absehen, im Alleingang Maßnahmen zur Überwachung der Risiken durch kritische IKT-Drittanbieter zu ergreifen. Etwaige Maßnahmen sollten zuvor im Rahmen des Aufsichtsrahmens koordiniert und vereinbart werden.

(65)Um auf internationaler Ebene die Konvergenz in Bezug auf bewährte Verfahren zu fördern, die für die Überprüfung der Steuerung digital bedingter Risiken durch IKT-Drittanbieter zu nutzen sind, sollten die ESA aufgefordert werden, Kooperationsvereinbarungen mit den zuständigen Aufsichtsbehörden und Regulierungsbehörden in Drittländern zu schließen, um die Entwicklung bewährter Verfahren zur Bewältigung des Risikos durch IKT-Drittanbieter zu erleichtern. (66)Um das technische Fachwissen zuständiger Behörden im Bereich der Steuerung von operationellen und IKT-Risiken zu nutzen, sollten federführende Aufsichtsinstanzen auf nationale Aufsichtserfahrung zurückgreifen und für jeden einzelnen kritischen IKT-Drittanbieter spezielle Untersuchungsteams einrichten und multidisziplinäre Teams zusammenlegen, um sowohl die Vorbereitung als auch die tatsächliche Wahrnehmung von Aufsichtstätigkeiten zu unterstützen, einschließlich Vor-Ort-Prüfungen kritischer IKT-Drittanbieter sowie der erforderlichen Folgemaßnahmen. (67)Zuständige Behörden sollten über alle erforderlichen Aufsichts-, Untersuchungs- und Sanktionsbefugnisse verfügen, um die Anwendung dieser Verordnung sicherzustellen. Verwaltungssanktionen sollten grundsätzlich veröffentlicht werden. Da Finanzunternehmen und kritische IKT-Drittanbieter in unterschiedlichen Mitgliedstaaten ansässig sein und der Aufsicht unterschiedlicher sektoraler Behörden unterliegen können, ist die enge Zusammenarbeit zwischen den jeweils zuständigen Behörden, einschließlich der EZB, bei der Wahrnehmung der ihr durch die Verordnung (EU) Nr. 1024/2013 des Rates übertragenen besonderen Aufgaben und die Abstimmung mit den ESA durch gegenseitigen Informationsaustausch und die Erbringung von Amtshilfe in Aufsichtsbelangen zu gewährleisten. (68)Um die Benennungskriterien für kritische IKT-Drittanbieter weiter zu quantifizieren und zu präzisieren und Aufsichtsgebühren zu harmonisieren, sollte der Kommission die Befugnis übertragen werden, gemäß Artikel 290 des Vertrags über die Arbeitsweise der Europäischen Union Rechtsakte in Bezug auf Folgendes zu erlassen: die weitere Präzisierung der systemischen Auswirkungen, die ein Ausfall eines Dienstes eines IKT-Drittanbieters auf die von ihm bedienten Finanzunternehmen haben könnte; die Zahl global systemrelevanter Institute (G-SRI) oder anderer systemrelevanter Institute (A-SRI), die auf den jeweiligen IKT-Drittanbieter angewiesen sind; die Zahl der IKT-Drittanbieter, die auf einem bestimmten Markt tätig sind; die Kosten für die Migration zu einem anderen IKT-Drittanbieter; die Zahl der Mitgliedstaaten, in denen der betreffende IKT-Drittanbieter Dienste erbringt und in denen Finanzunternehmen, die den jeweiligen IKT-Drittanbieter nutzen, operieren; den Betrag der Aufsichtsgebühren und die damit verbundene Zahlungsweise. Es ist von besonderer Bedeutung, dass die Kommission im Zuge ihrer Vorbereitungsarbeit angemessene Konsultationen, auch auf der Ebene von Sachverständigen, durchführt, die mit den Grundsätzen in Einklang stehen, die in der Interinstitutionellen Vereinbarung vom 13. April 2016 über bessere Rechtsetzung niedergelegt wurden. Um insbesondere für eine gleichberechtigte Beteiligung an der Vorbereitung delegierter Rechtsakte zu sorgen, erhalten das Europäische Parlament und der Rat alle Dokumente zur gleichen Zeit wie die Sachverständigen der Mitgliedstaaten, während deren Sachverständige systematisch Zugang zu den Sitzungen der Sachverständigengruppen der Kommission besitzen, die mit der Ausarbeitung der delegierten Rechtsakte befasst sind. (69)Da diese Verordnung in Verbindung mit der Richtlinie (EU) 20xx/xx des Europäischen Parlaments und des Rates eine Konsolidierung der Bestimmungen über IKT-Risikomanagement mit sich bringt, die sich über mehrere Verordnungen und Richtlinien des Besitzstands der Union im Bereich der Finanzdienstleistungen erstrecken, einschließlich der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012,