Dictamen del Comité Económico y Social Europeo sobre:

Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014 y (UE) n.o 909/2014

[COM(2020) 595 final – 2020/0266 (COD)]

Propuesta de Directiva del Parlamento Europeo y del Consejo por la que se modifican las Directivas 2006/43/CE, 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 y (UE) 2016/2341

[COM(2020) 596 final – 2020/0268 (COD)]

(2021/C 155/06)

Ponente: Antonio GARCÍA DEL RIEGO

Consulta Parlamento Europeo, 17.12.2020 Consejo de la Unión Europea, 22.12.2020 Fundamento jurídico Artículos 53, apartado 1, 114, apartado 1, y 304 del TFUE Sección competente Unión Económica y Monetaria y Cohesión Económica y Social Aprobado en sección 12.2.2021 Aprobado en el pleno 24.02.2021 Pleno n.o 558 Resultado de la votación (a favor/en contra/abstenciones) 243/1/4

1. Conclusiones y recomendaciones

1.1 El Comité Económico y Social Europeo (CESE) acoge favorablemente la propuesta de la Comisión Europea sobre la resiliencia operativa digital, ya que tiene por objeto aportar claridad jurídica sobre las disposiciones relativas a los riesgos relacionados con las tecnologías de la información y de las comunicaciones (TIC), reducir la complejidad normativa, establecer un conjunto de normas comunes encaminadas a mitigar los riesgos relacionados con las TIC y facilitar un planteamiento de supervisión armonizado, que al mismo tiempo proporcione la seguridad jurídica y las salvaguardias necesarias para las empresas financieras y los proveedores de TIC. La propuesta sobre la resiliencia operativa digital no solo aumenta la resiliencia del sector a los riesgos relacionados con las TIC, sino que también reviste interés para varias partes interesadas, entre ellas los clientes, los inversores y los empleados, además de contribuir a la consecución del desarrollo sostenible.

1.2 El CESE recomienda mejorar la eficacia de la resiliencia operativa digital siguiendo las etapas descritas a continuación.

1.2.1 Incluir en el ámbito de la resiliencia operativa digital a todos los proveedores de servicios financieros críticos que desarrollen actividades financieras, y excluir el recurso a los servicios de TIC para las funciones no esenciales.

1.2.2 Garantizar la coherencia en cuanto a su definición y alcance entre la resiliencia operativa digital y los requisitos establecidos en las Directrices en vigor emitidas por las Autoridades Europeas de Supervisión (AES).

1.2.3 En lo que respecta a la gestión de las TIC, privilegiar un marco centrado en un principio y un enfoque basado en los riesgos que faciliten la realización de controles con visión de futuro, flexibles y proporcionados a los riesgos.

1.2.4 En cuanto a los incidentes relacionados con las TIC, plena armonización con el conjunto de herramientas de respuesta y recuperación en caso de ciberincidentes facilitado por el Consejo de Estabilidad Financiera.

1.2.5 Respecto de las pruebas de resiliencia operativa digital, destacar no solo el tamaño de la entidad financiera, sino también la complejidad y el carácter crítico del servicio; evitar la subcontratación obligatoria que recaiga en un número limitado de evaluadores externos, y asegurar el reconocimiento mutuo de los resultados de las pruebas.

1.2.6 Consolidar los requisitos en materia de externalización en un único acto legislativo para aportar seguridad jurídica a todos los agentes del mercado y cumplir de manera fiable las expectativas de la supervisión.

1.2.7 Poner plenamente en práctica las recomendaciones de los supervisores principales y un conjunto claro de funciones y responsabilidades para las diferentes autoridades que participan en la supervisión de los proveedores terceros esenciales.

1.2.8 Garantizar a los proveedores terceros establecidos en terceros países el acceso a servicios subcontratados que se consideren esenciales, para evitar restringir la libertad contractual de las empresas y su capacidad de acceder a los servicios de los proveedores de alto valor añadido.

1.2.9 Introducir la proporcionalidad en el régimen de sanciones, para evitar desincentivar a los proveedores de TIC a la hora de prestar servicios a las entidades financieras de la UE y abandonar la referencia actual al volumen de negocios mundial.

1.2.10 Aportar claridad en cuanto a la capacidad de las empresas para compartir información sobre las ciberamenazas, velando por que ello se haga con carácter voluntario y que en la propuesta sobre la resiliencia operativa digital se incluya una disposición explícita que permita el intercambio de datos personales.

1.2.11 Podría considerarse la posibilidad de aumentar los umbrales de exención de la propuesta para las microempresas y las pequeñas empresas, tal como se definen en el apartado 2 del artículo 2 del anexo I de la Recomendación 2003/361/CE de la Comisión ( 1 ) : empresas que empleen a menos de 50 personas y cuyo volumen de negocios o balance anual no exceda de 10 millones de euros, y reducir el número de requisitos aplicables a las pymes de manera proporcional al perfil de riesgo digital de cada entidad.

1.3 El CESE apoya la capacitación de los supervisores principales para que lleven a cabo las auditorías e inspecciones relativas a proveedores terceros esenciales, ya que ello permitiría a los supervisores principales comprender mejor los riesgos que pueden plantear los proveedores terceros esenciales y podría ayudar a racionalizar los procedimientos de subcontratación de los bancos.

2. Contexto

2.1 Los consumidores y las empresas europeos dependen cada vez más de los servicios financieros digitales, una tendencia que va acompañada de un recurso creciente a soluciones innovadoras basadas en nuevas tecnologías por los agentes del mercado. La transformación digital es fundamental para la recuperación europea y para la creación de una economía europea sostenible y resiliente.

2.2 En consonancia con sus prioridades de hacer que Europa se adapte a la era digital y de construir una economía adecuada para el futuro, al servicio de los ciudadanos, la Comisión Europea ha presentado un paquete de finanzas digitales . El paquete expone a grandes rasgos medidas para explotar en mayor grado y apoyar el potencial de las finanzas digitales en materia de innovación y competencia, reduciendo al mismo tiempo los riesgos asociados.

2.3 Además de la propuesta sobre la resiliencia operativa digital, el paquete de finanzas digitales incluye una nueva estrategia en este ámbito para el sector financiero de la Unión Europea (UE) ( 2 ) y una propuesta de Reglamento sobre los mercados de criptoactivos, junto con una propuesta de Reglamento sobre un régimen piloto de las infraestructuras del mercado basadas en la tecnología de registro descentralizado ( 3 )

2.4 La resiliencia operativa digital es la capacidad de las empresas de garantizar que pueden soportar todo tipo de perturbaciones y amenazas relacionadas con las tecnologías de la información y de las comunicaciones (TIC). La dependencia cada vez mayor que presenta el sector financiero respecto de los programas informáticos y los procesos digitales hace que los riesgos relacionados con las TIC sean inherentes a las finanzas. Las empresas financieras se han convertido en blanco de ciberataques, que causan graves daños financieros y de reputación a los consumidores y las empresas. Es preciso comprender y gestionar correctamente estos riesgos, sobre todo en tiempos de tensión.

2.5 Si bien las reformas que siguieron a la crisis financiera de 2008 aumentaron la resiliencia del sector financiero de la UE, los riesgos relacionados con las TIC solo se abordaron de manera indirecta. La falta de un marco regulador amplio de alcance europeo sobre la resiliencia operativa digital hizo que se dependiera de las iniciativas reguladoras nacionales. Ello limitó la eficacia transfronteriza y dio lugar a una fragmentación del mercado interior, socavando así la estabilidad e integridad del sector financiero de la UE. En este contexto, la Comisión propone crear un marco global sobre la resiliencia operativa digital para las entidades financieras de la UE.

2.6 propuesta legislativa sobre la resiliencia operativa digital La ( 4 ) tiene por objeto mejorar y racionalizar la gestión de los riesgos en materia de TIC por las entidades financieras, establecer pruebas exhaustivas de resiliencia de los sistemas de TIC, fomentar el intercambio de información y sensibilizar a los supervisores sobre los riesgos de ciberseguridad y los incidentes relacionados con las TIC que afrontan las entidades financieras, así como otorgar a los supervisores financieros la facultad de supervisar los riesgos derivados de la dependencia de las entidades financieras con respecto a proveedores terceros de servicios de TIC. La propuesta también tiene por objeto crear un mecanismo coherente de notificación de incidentes que permita reducir la carga administrativa de las entidades financieras y mejorar la eficacia de la supervisión.

2.7 La Comisión también presentó una propuesta de Directiva ( 5 ) , dada la necesidad de establecer una exención temporal para los sistemas multilaterales de negociación y modificar o aclarar algunas disposiciones de las Directivas vigentes sobre los servicios financieros de la UE para lograr los objetivos de la propuesta sobre la resiliencia operativa digital.

2.8 Se estima que el mercado de las TIC, que se sitúa entre los sectores más grandes del mundo, tendrá un valor de más de 5 billones USD en 2019 y más de 6 billones USD en 2022. El constante crecimiento sirve para recordar la creciente prevalencia e importancia de la tecnología en la sociedad actual. De acuerdo con la evaluación de impacto de la propuesta legislativa, el sector financiero es el mayor usuario de TIC en el mundo, y supone en torno al 20 % del gasto total en TIC .

2.9 La COVID-19 ha impulsado la proliferación de los servicios financieros digitales , ya que las redes de filiales de las entidades financieras siguen estando infrautilizadas. Esta situación estimulará las inversiones en herramientas digitales de autoservicio, aplicaciones de finanzas abiertas y servicios de valor añadido. En general, la situación actual obligará a las entidades financieras a invertir más en infraestructura informática, a dar prioridad a la migración de cargas de trabajo esenciales y a actualizar las aplicaciones existentes. El sector financiero europeo está experimentando ya una importante transformación digital, y su capacidad para competir a escala mundial dependerá en gran medida de la habilidad que tengan las instituciones europeas para aprovechar las tecnologías más avanzadas.

3. Observaciones generales

3.1 El CESE acoge favorablemente la propuesta de la Comisión Europea sobre la resiliencia operativa digital , que aborda muchas de las reclamaciones formuladas por el sector financiero y tiene por objeto aportar claridad jurídica sobre las disposiciones relativas a los riesgos relacionados con las TIC, reducir la complejidad normativa y disminuir la carga administrativa generada por la diversidad de normas aplicables a las entidades financieras en toda la UE. La propuesta sobre la resiliencia operativa digital no solo aumenta la resiliencia del sector a los riesgos relacionados con las TIC, sino que también reviste interés para varias partes interesadas, entre ellas los clientes, los inversores y los empleados, y contribuye a la consecución del objetivo de desarrollo sostenible.

3.2 El CESE considera que la propuesta sobre la resiliencia operativa digital es un paso importante hacia el establecimiento de un conjunto de normas comunes encaminadas a mitigar los riesgos relacionados con las TIC y facilitar un planteamiento de supervisión armonizado, pero hay que velar por no añadir obstáculos que puedan impedir que las entidades financieras de la UE participen en el proceso de innovación mundial.

3.3 El CESE considera que uno de los objetivos generales de las autoridades de la UE es tratar de lograr un régimen proporcionado y basado en el riesgo que brinde a los supervisores herramientas que permitan responder a sus preocupaciones, y que al mismo tiempo proporcione la seguridad jurídica y las salvaguardias necesarias para las empresas financieras y los proveedores de TIC.

4. Observaciones específicas

4.1 Ámbito de aplicación y disposiciones normativas que se solapan

4.1.1 Inclusión de otros agentes pertinentes en los mercados financieros

Si bien el CESE reconoce y acoge favorablemente el amplio ámbito de aplicación de la legislación propuesta que abarca a numerosos agentes de los mercados financieros, lo cual garantizará que los requisitos en ella recogidos se apliquen de manera coherente en todo el sector financiero de la UE, recomendamos que los responsables políticos de la Unión incorporen a agentes financieros que no se consideran incluidos en el ámbito de aplicación de esta legislación propuesta, como, por ejemplo, los proveedores de créditos hipotecarios y los proveedores de créditos al consumo, en un grado adecuado determinado por el riesgo que puedan suponer para el sistema. Todos los proveedores de servicios financieros que realicen las mismas actividades y tomen los mismos riesgos deben estar sujetos a idénticas normas y supervisión, a fin de garantizar el mismo marco mínimo en materia de resiliencia digital que proteja a los consumidores y garantice la estabilidad financiera.

4.1.2 Coherencia a nivel internacional y de la UE, así como con las reglamentaciones vigentes

Es fundamental proporcionar claridad a las empresas, en particular a las que operan en distintos países, garantizando que las definiciones y los términos sean coherentes y evitando las duplicaciones, los solapamientos y las interpretaciones divergentes en lo que respecta al modo de cumplir expectativas reglamentarias similares en diferentes jurisdicciones. El CESE recomienda que los responsables políticos de la UE modifiquen la definición de «resiliencia operativa» para que sea coherente con la definición establecida por el Comité de Supervisión Bancaria de Basilea (CSBB) (6) y garanticen que sea el principal régimen aplicable a las entidades financieras de la UE para evitar el riesgo de contradicción con otros regímenes. Además, muchos de los principios y requisitos establecidos en la propuesta sobre la resiliencia operativa digital ya se han definido en las directrices existentes en materia de externalización (7). Los requisitos de gestión de los riesgos relacionados con las TIC y de los riesgos de seguridad también están ya definidos en las Directrices de la Autoridad Bancaria Europea. Será esencial garantizar la coherencia en la definición y el alcance entre la resiliencia operativa digital y los requisitos establecidos en las directrices en vigor a fin de lograr la armonización de las disposiciones reglamentarias de la UE.

4.1.3 Asimismo, el CESE recomienda que la Comisión Europea vele por que la revisión en curso de la Directiva sobre la seguridad de las redes y sistemas de información y la propuesta sobre la resiliencia operativa digital compartan idénticos requisitos y definiciones relativos a la política de notificación de ciberincidentes para las entidades financieras.

4.2 Gestión de los riesgos relacionados con las TIC

Algunos elementos del marco se centran excesivamente en el cumplimiento, y no en el modo en que las empresas pueden demostrar el logro de resultados mediante un planteamiento basado en los principios y los riesgos. Como son demasiado prescriptivos y detallados, corren el riesgo de quedar obsoletos con el tiempo a medida que evoluciona el panorama de los riesgos de ciberseguridad y los riesgos relacionados con las TIC. El CESE recomienda un planteamiento que esté más basado en los principios y los riesgos y que facilite la realización de controles que puedan adaptarse de cara al futuro y sean flexibles, proporcionados y acordes con los riesgos.

4.3 Incidentes relacionados con las TIC

El CESE recomienda la plena armonización entre el conjunto de herramientas de respuesta y recuperación en caso de ciberincidentes (8) publicado recientemente por el Consejo de Estabilidad Financiera, que recoge las mejores prácticas en materia de notificación de incidentes, así como las sugerencias sobre la gestión, la clasificación y la notificación de incidentes relacionados con las TIC que figuran en la propuesta sobre la resiliencia operativa digital. Hay solapamientos que generan incertidumbre jurídica y aumentan la carga normativa de las empresas.

4.4 Prueba de resiliencia operativa digital

4.4.1 Aunque el CESE acoge favorablemente el régimen paneuropeo de pruebas de penetración guiadas por amenazas (TLPT, por sus siglas en inglés) en toda la UE, ya que aumentará la eficiencia y reducirá la fragmentación, recomienda que las autoridades no solo se centren en el tamaño o la escala de la institución financiera, sino también en la complejidad y criticidad del servicio, de acuerdo con el principio de proporcionalidad, cuando proceda, para eliminar la distinción entre las pruebas básicas para todas las entidades financieras y las pruebas más avanzadas para las entidades financieras de mayor envergadura, y velando por que los clientes de las entidades financieras más pequeñas estén protegidos por igual y por que se establezcan condiciones de competencia equitativas entre todas las entidades financieras.

4.4.2 El CESE recomienda que no sea obligatorio externalizar la realización de pruebas a evaluadores externos, ya que su número es limitado. De hecho, para realizar pruebas las empresas pueden disponer de equipos internos, que están familiarizados con el entorno de las empresas y son capaces de pasar rápidamente a pruebas más avanzadas y específicas.

4.4.3 Debería contemplarse la inclusión de terceros proveedores de servicios de TIC en el ámbito de aplicación del régimen paneuropeo de pruebas de penetración guiadas por amenazas. El hecho de que los proveedores terceros de TIC puedan prestar servicios a varios clientes podría dar lugar a una importante duplicación de las pruebas, lo que a su vez podría suscitar los correspondientes riesgos para el proveedor tercero de TIC y los clientes a los que presta servicios.

4.4.4 Además, el CESE recomienda introducir una referencia explícita al reconocimiento mutuo de los resultados de las pruebas , habida cuenta de su papel para reducir el riesgo y garantizar el buen funcionamiento del mercado interior, así como para evitar aumentos de costes en el caso de las entidades financieras que operan en distintos países.

4.5 Gestión de riesgos derivados de los proveedores terceros de TIC y marco de supervisión de proveedores terceros esenciales

4.5.1 Garantizar la coherencia con las directrices existentes en materia de externalización

El CESE acoge favorablemente que la propuesta sobre la resiliencia operativa digital establezca un marco regulador común relativo a la sana gestión de los riesgos derivados de los proveedores terceros de TIC para todos los agentes de los mercados financieros de Europa. Sin embargo, será fundamental garantizar que estos puntos de coincidencia establecidos en los principios fundamentales (artículos 25, 26 y 27) estén plenamente armonizados con las normas vigentes, entre ellas, por ejemplo, las Directrices de las Autoridades Europeas de Supervisión (AES) sobre externalización [es decir, habrá que resolver la dicotomía existente en el ámbito de aplicación entre la «externalización» y el «servicio de terceros» (9)]. Además, consideramos que se trata de una gran oportunidad para que las autoridades de la UE consoliden los requisitos en materia de externalización en un único Reglamento —con un nivel de detalle suficiente para evitar diferencias de interpretación— que pueda aportar seguridad jurídica a todos los agentes del mercado y cumplir de manera fiable las expectativas de la supervisión.

4.5.2 Requisitos aplicables a las actividades esenciales o importantes externalizadas

Con arreglo a su propio artículo 25, apartado 2, a fin de mantener un enfoque orientado al riesgo, el Reglamento debe ser más preciso en cuanto a la forma en que se aplicará el principio de proporcionalidad, indicando los requisitos a los que deberían atenerse las actividades esenciales o importantes externalizadas y los que deberían cumplir el resto (10). El CESE recomienda que el uso de servicios de TIC para funciones no esenciales quede fuera del ámbito de aplicación de la normativa sobre resiliencia operativa digital.

4.5.3 Marco de supervisión directa de proveedores terceros esenciales

El CESE acoge favorablemente el establecimiento de un marco de supervisión directa que permitirá a las autoridades financieras realizar un seguimiento continuo de las actividades llevadas a cabo por los proveedores terceros esenciales, a falta de un marco horizontal transectorial de la UE. En el Reglamento propuesto, las autoridades de la UE deben reconocer que, cuando un proveedor de TIC esencial se somete a esta supervisión, la exposición de las entidades financieras al riesgo disminuye debido al seguimiento continuo de sus actividades. Por tanto, este nuevo marco de supervisión también debe contribuir a racionalizar los procedimientos de externalización de los bancos aliviando parte de la carga que soportan actualmente las entidades financieras, por ejemplo, en lo que respecta a la ejecución de los procedimientos de auditoría e inspección relativos a los proveedores terceros que se consideran esenciales.

4.5.4 El CESE es partidario de facultar a los supervisores principales para que ejecuten los procedimientos de auditoría e inspección en relación con los proveedores terceros esenciales, ya que los supervisores principales comprenderían mejor los riesgos que pueden plantear los proveedores terceros esenciales si conocieran de primera mano sus procesos y premisas, en lugar de depender de los informes actuales que proporcionan las entidades financieras supervisadas y de las inspecciones que realizan las autoridades nacionales competentes. Aunque las políticas de mitigación de riesgos aplicadas por las entidades financieras deben mantenerse, y la obligación legal sigue recayendo en ellas, si la inspección y las auditorías ya son ejecutadas por el supervisor principal, las entidades financieras deberían beneficiarse de este grado reforzado de seguridad y no verse obligadas a volver a realizarlas.

4.5.5 Supervisor principal y autoridades nacionales competentes

Una vez concluido el proceso de supervisión, las autoridades nacionales competentes harán un seguimiento de las recomendaciones formuladas por el supervisor principal, y podrán tener su propio enfoque sobre el modo de lograr que los proveedores terceros esenciales designados lleven a la práctica las conclusiones del supervisor principal. El CESE recomienda que se aporte total claridad sobre las funciones y responsabilidades de las distintas autoridades, a fin de evitar que la disparidad de interpretaciones afecte a los distintos clientes de los proveedores terceros esenciales de manera diferente según su autoridad competente y, por tanto, reducir así el riesgo de fragmentación. Estas recomendaciones también deberían tener plena fuerza ejecutiva, dada la ambigüedad que presenta actualmente el artículo 37 en cuanto a su carácter vinculante.

4.5.6 Suspensión de un proveedor tercero esencial

La propuesta sobre la resiliencia operativa digital otorga a los reguladores financieros nacionales la facultad de exigir a los clientes que suspendan temporalmente o dejen de recurrir a un proveedor de TIC hasta que se hayan abordado los riesgos señalados en las recomendaciones. Los requisitos relativos al cese inmediato de la colaboración con un proveedor tercero esencial afectarían sin lugar a dudas a la toma de decisiones comerciales y empresariales actuales o futuras (por ejemplo, desincentivar las inversiones en la UE) y podrían repercutir en la estabilidad financiera. Antes de tomar esta decisión, las autoridades competentes deben estudiar cuidadosamente, entre otros factores, los posibles efectos negativos del cese del servicio para las entidades financieras que colaboran con ese proveedor tercero esencial en concreto (11), establecer criterios claros para tal requisito y contemplar posibles soluciones.

4.5.7 Además, recomendamos que, si en última instancia se llegara a esta situación, se informe a las entidades financieras con suficiente antelación y se les dé tiempo suficiente para poner término a su colaboración.

4.6 Preservación de la competitividad mundial de las empresas financieras europeas

4.6.1 El nuevo marco debe preservar la capacidad de las empresas financieras europeas para acceder, como mínimo, a las mismas tecnologías que sus competidores mundiales. Las empresas financieras de la UE están compitiendo a escala mundial, y el futuro marco regulador de la UE no debe poner a esas empresas en desventaja limitando su acceso a las tecnologías más avanzadas, siempre y cuando los proveedores de estas tecnologías cumplan las normas de la UE en materia de resiliencia y seguridad.

4.6.2 Proveedores terceros establecidos en terceros países

El Reglamento no debe limitar la posibilidad de externalizar los servicios que se consideren esenciales a proveedores terceros establecidos en terceros países. Esta limitación restringiría, sin duda, la capacidad de las entidades financieras europeas para acceder a servicios de proveedores de alto valor añadido, que muy probablemente no se encontrarán en Europa en número suficiente. Esta exigencia resulta aún más pertinente si se tiene en cuenta que el marco de supervisión propuesto se limita al sector financiero, lo que crea condiciones de competencia desiguales para otros agentes no sujetos a este Reglamento y podría acabar aumentando el riesgo de concentración, algo que la propuesta sobre la resiliencia operativa digital trata de evitar.

4.6.3 Sanciones de carácter punitivo basadas en el volumen de negocios mundial

La propuesta sobre la resiliencia operativa digital incluye sanciones de carácter punitivo referentes al volumen de negocios mundial para los proveedores de TIC si no cumplen con las exigencias de los supervisores financieros de la UE. Una imposición desproporcionada de esas sanciones podría disuadir a los proveedores mundiales de TIC de prestar servicios a las empresas financieras de la UE, lo que, de hecho, podría limitar el número de posibles proveedores para las empresas financieras de la UE. Además, disuadiría a los proveedores terceros no esenciales de acogerse voluntariamente al régimen de supervisión, ante el temor de ser penalizados con multas desproporcionadas y, por tanto, reduciría la competencia en el mercado ascendente. El CESE aboga por que se establezca cierto grado de proporcionalidad en el régimen de sanciones, lo cual es fundamental para evitar desincentivar a los proveedores de TIC que aspiran a prestar servicios a las entidades financieras de la UE.

4.7 Sobre el acuerdo de intercambio de información

4.7.1 Dado que el intercambio oportuno de información es esencial para detectar de manera eficiente los vectores de ataque, así como para aislar y prevenir posibles amenazas, el CESE acoge favorablemente la disposición que tiene por objeto facilitar la conclusión de acuerdos de intercambio de información sobre ciberamenazas entre entidades financieras.

4.7.2 También recomendamos prever, entre los requisitos de esta propuesta, que las autoridades de la UE proporcionen una base explícita para permitir el intercambio de datos personales (como las direcciones IP), ya que de esa forma se reduciría la inseguridad y se potenciaría la capacidad de las entidades financieras para mejorar sus capacidades de defensa, detectar mejor las amenazas y reducir el riesgo de contagio entre ellas. Se necesita mayor claridad al respecto, debido al carácter confidencial o sensible de los datos.

Bruselas, 24 de febrero de 2021. La Presidenta del Comité Económico y Social Europeo Christa SCHWENG

(1) DO L 124 de 20.5.2003, p. 36.

(2) Véase el Dictamen del CESE ECO/534 — Estrategia de Finanzas Digitales para la UE (véase la página 27 del presente Diario Oficial).

(3) Véase el Dictamen del CESE ECO/535 — Criptoactivos y tecnología de registro descentralizado (véase la página 31 del presente Diario Oficial).

(4) COM(2020) 595 final.

(5) COM(2020) 596 final.

(6) Comité de Supervisión Bancaria de Basilea, Principles for operational resilience (Principios relativos a la resiliencia operativa), 6 de noviembre de 2020.

(7) Por ejemplo, las emitidas por la Autoridad Bancaria Europea, la Autoridad Europea de Seguros y Pensiones de Jubilación y el proyecto de Directrices de la Autoridad Europea de Valores y Mercados, entonces en proceso de consulta.

(8) Consejo de Estabilidad Financiera, Final Report on Effective Practices for Cyber Incident Response and Recovery (Informe final sobre prácticas eficaces de respuesta y recuperación en caso de ciberincidentes), 19 de octubre de 2020.

(9) La propuesta sobre la resiliencia operativa digital se refiere únicamente a los «servicios prestados por proveedores terceros de TIC» en lo que respecta a los principios fundamentales para la sana gestión de los riesgos derivados de los proveedores terceros de TIC (capítulo V), mientras que el alcance de las Directrices de la Autoridad Bancaria Europea sobre acuerdos de externalización se basa en la definición de externalización que implica que la actividad se realiza de manera recurrente o continua (apartado 26). Las Directrices de la Autoridad Bancaria Europea también establecen una lista de excepciones que no se consideran externalización (apartado 28).

(10) También a este respecto será fundamental armonizar la definición de «funciones esenciales o importantes» tanto en la propuesta sobre la resiliencia operativa digital como en las Directrices de la Autoridad Bancaria Europea sobre externalización. En particular, en las Directrices de la Autoridad Bancaria Europea se definen los factores que las entidades financieras deben tener en cuenta al evaluar si un acuerdo de externalización se refiere a una función que es esencial o importante (artículos 29, 30 y 31).

(11) Uno de los criterios para calificar a un proveedor de TIC como esencial sería su grado de sustituibilidad, teniendo en cuenta la falta de alternativas reales o las dificultades para migrar de forma parcial o total los servicios (artículo 28, apartado 2). Si se diera este caso, a las entidades financieras les resultaría difícil transferir el servicio a otro proveedor. Además, exigir a las entidades financieras expuestas que cambien de proveedor de servicios favorecería en última instancia una mayor concentración en el mercado europeo, lo que iría específicamente en contra del propósito de este Reglamento.