COMISIÓN EUROPEA Bruselas, 3.6.2021 COM(2020) 595 final/2 2020/0266(COD) CORRIGENDUM

This document corrects document COM(2020) 595 final of 24.9.2020.

Concerns the Spanish language version.

Numbering of paragraphs from Article 15 onwards has been corrected.

The text shall read as follows: Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014 y (UE) n.º 909/2014 (Texto pertinente a efectos del EEE) {SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}



EXPOSICIÓN DE MOTIVOS 1.CONTEXTO DE LA PROPUESTA ·Razones y objetivos de la propuesta La presente propuesta forma parte del paquete de finanzas digitales, un paquete de medidas para seguir propiciando y apoyando el potencial de las finanzas digitales en términos de innovación y competencia, mitigando al mismo tiempo los riesgos que se derivan de ella. Está en consonancia con las prioridades de la Comisión de hacer que Europa esté adaptada a la era digital y construir una economía preparada para el futuro y al servicio de las personas. El paquete de finanzas digitales incluye una nueva Estrategia sobre finanzas digitales para el sector financiero de la UE con el objetivo de garantizar que la Unión adopte la revolución digital y la impulse con empresas europeas innovadoras en la vanguardia, poniendo los beneficios de las finanzas digitales a disposición de los consumidores y las empresas. Además de esta propuesta, el paquete incluye también una propuesta de Reglamento relativo a los mercados de criptoactivos, una propuesta de Reglamento sobre un régimen piloto de las infraestructuras del mercado basadas en la tecnología de registro descentralizado (TRD) y una propuesta de Directiva para aclarar o modificar determinadas normas conexas de la UE en materia de servicios financieros. La digitalización y la resiliencia operativa en el sector financiero son dos caras de la misma moneda. Las tecnologías digitales o de la información y la comunicación (TIC) presentan tanto oportunidades como riesgos, que deben ser bien comprendidos y gestionados, especialmente en momentos de tensión. Por lo tanto, los responsables políticos y los supervisores se han centrado cada vez más en los riesgos derivados de la dependencia de las TIC. En particular, han intentado aumentar la resiliencia de las empresas mediante el establecimiento de normas y la coordinación del trabajo de regulación o supervisión. Este trabajo se ha llevado a cabo tanto a escala internacional como europea, y tanto a nivel intersectorial como en una serie de sectores específicos, incluidos los servicios financieros. No obstante, los riesgos de TIC siguen planteando un reto para la resiliencia operativa, el funcionamiento y la estabilidad del sistema financiero de la UE. La reforma que siguió a la crisis financiera de 2008 reforzó principalmente la resiliencia financiera del sector financiero de la UE, abordando únicamente los riesgos de TIC de forma indirecta en algunos ámbitos, como parte de las medidas para abordar los riesgos operativos de manera más general. Aunque los cambios posteriores a la crisis en la legislación de la UE en materia de servicios financieros establecieron un código normativo único que contempla gran parte de los riesgos financieros asociados a los servicios financieros, no abordaron plenamente la resiliencia operativa digital. Las medidas adoptadas en relación con esta última tenían una serie de características que limitaban su eficacia. Por ejemplo, a menudo se concibieron como directivas de armonización mínima o reglamentos basados en principios, lo que dejaba un margen considerable para enfoques divergentes en todo el mercado único. Además, solo se ha prestado una atención limitada o incompleta a los riesgos de TIC en el contexto de la cobertura del riesgo operativo. Por último, estas medidas varían en función de la legislación sectorial sobre servicios financieros. Así pues, la intervención a escala de la Unión no se ajustó plenamente a lo que las entidades financieras europeas necesitan para gestionar los riesgos operativos de tal manera que resistan los incidentes relacionados con las TIC, respondan a ellos y se recuperen de su impacto. Tampoco proporcionó a los supervisores financieros las herramientas más adecuadas para cumplir sus mandatos de evitar la inestabilidad financiera derivada de la materialización de esos riesgos de TIC. La ausencia de normas detalladas y exhaustivas sobre la resiliencia operativa digital a escala de la UE ha dado lugar a la proliferación de iniciativas reguladoras nacionales (por ejemplo, sobre pruebas de resiliencia operativa digital) y enfoques de supervisión (que se centran, por ejemplo, en las dependencias de terceros en relación a las TIC). Sin embargo, la acción a nivel de los Estados miembros solo tiene un efecto limitado dada la naturaleza transfronteriza de los riesgos de TIC. Por otra parte, las iniciativas nacionales descoordinadas han dado lugar a solapamientos, incoherencias, requisitos duplicados, elevados costes administrativos y de cumplimiento —especialmente para las entidades financieras transfronterizas— o riesgos de TIC aún no detectados y, por tanto, no subsanados. Esta situación fragmenta el mercado único, socava la estabilidad e integridad del sector financiero de la UE y pone en peligro la protección de los consumidores y los inversores. Por consiguiente, es necesario establecer un marco detallado y exhaustivo sobre la resiliencia operativa digital de las entidades financieras de la UE. Este marco profundizará la dimensión de gestión del riesgo digital del código normativo único. En particular, mejorará y racionalizará la gestión de los riesgos de TIC por parte de las entidades financieras, establecerá pruebas exhaustivas de los sistemas de TIC, aumentará la concienciación de los supervisores sobre los riesgos cibernéticos y los incidentes relacionados con las TIC a los que se enfrentan las entidades financieras, y facultará a los supervisores financieros para supervisar los riesgos derivados de la dependencia de proveedores terceros de servicios de TIC por parte de las entidades financieras. La propuesta creará un mecanismo coherente de notificación de incidentes que contribuirá a reducir las cargas administrativas para las entidades financieras y reforzará la eficacia de la supervisión. ·Coherencia con las disposiciones existentes en la misma política sectorial La presente propuesta forma parte de una labor más amplia en curso a escala europea e internacional para reforzar la ciberseguridad de los servicios financieros y abordar riesgos operativos más amplios. También responde al dictamen técnico conjunto de las Autoridades Europeas de Supervisión (AES) de 2019, que abogaba por un enfoque más coherente a la hora de abordar el riesgo de TIC en las finanzas y recomendaba a la Comisión que reforzara, de manera proporcionada, la resiliencia operativa digital del sector de los servicios financieros a través de una iniciativa sectorial de la UE. El dictamen de las AES era una respuesta al Plan de Acción en materia de Tecnología Financiera de la Comisión de 2018. ·Coherencia con otras políticas de la Unión Tal como declaró la presidenta Von der Leyen en sus Orientaciones políticas, y como se expone en la Comunicación «Configurar el futuro digital de Europa», es fundamental que Europa aproveche todos los beneficios de la era digital y refuerce su industria y su capacidad de innovación, dentro de unos límites seguros y éticos. La Estrategia Europea de Datos establece cuatro pilares (protección de datos, derechos fundamentales, seguridad y ciberseguridad) como requisitos previos esenciales para una sociedad empoderada por el uso de datos. Más recientemente, el Parlamento Europeo ha venido trabajando en un informe sobre las finanzas digitales, que, entre otras cosas, pide un enfoque común sobre la ciberresiliencia del sector financiero. Un marco legislativo que refuerce la resiliencia operativa digital de las entidades financieras de la UE es coherente con estos objetivos. La propuesta también apoyaría las políticas de recuperación tras el coronavirus, ya que garantizaría que la mayor dependencia de las finanzas digitales vaya acompañada de la resiliencia operativa. La iniciativa preservaría los beneficios asociados al marco horizontal en materia de ciberseguridad (por ejemplo, la Directiva relativa a la seguridad de las redes y sistemas de información, Directiva SRI), al mantener al sector financiero dentro de su ámbito de aplicación. El sector financiero seguiría estando estrechamente asociado al organismo de cooperación SRI y los supervisores financieros podrían intercambiar información pertinente dentro del actual ecosistema SRI. La iniciativa sería coherente con la Directiva sobre infraestructuras críticas europeas (ICE), que se está revisando actualmente para mejorar la protección y la resiliencia de las infraestructuras críticas frente a las amenazas no cibernéticas. Por último, la presente propuesta está plenamente en consonancia con la Estrategia para una Unión de la Seguridad, que abogaba por una iniciativa sobre la resiliencia operativa digital del sector financiero, dada su gran dependencia de los servicios de TIC y su elevada vulnerabilidad a los ciberataques. 2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD ·Base jurídica La presente propuesta de Reglamento se basa en el artículo 114 del TFUE. Elimina obstáculos al mercado interior de servicios financieros y mejora su establecimiento y funcionamiento armonizando las normas aplicables en el ámbito de la gestión del riesgo de TIC, la presentación de informes, las pruebas y el riesgo de terceros relacionado con las TIC. Las disparidades actuales en este ámbito, tanto a nivel legislativo como de supervisión, así como a nivel nacional y de la UE, obstaculizan el mercado único de servicios financieros, ya que las entidades financieras que realizan actividades transfronterizas se enfrentan a requisitos reguladores o expectativas de supervisión diferentes o que se solapan, y que pueden obstaculizar el ejercicio de sus libertades de establecimiento y de prestación de servicios. La existencia de normas diferentes también falsea la competencia entre el mismo tipo de entidades financieras en diferentes Estados miembros. Además, en ámbitos en los que no hay armonización, o esta es parcial o limitada, el desarrollo de normas o enfoques nacionales divergentes, ya en vigor o en proceso de adopción y aplicación a nivel nacional, puede tener un efecto disuasorio para las libertades del mercado único de servicios financieros. Este es el caso, en particular, de los marcos de pruebas operativas digitales y la supervisión de proveedores terceros esenciales de servicios de TIC.

Dado que la propuesta incide en varias Directivas del Parlamento Europeo y del Consejo adoptadas sobre la base del artículo 53, apartado 1, del TFUE, al mismo tiempo se adopta una propuesta de Directiva para reflejar las modificaciones necesarias de dichas Directivas. ·Subsidiariedad Un alto grado de interconexión entre los servicios financieros, una importante actividad transfronteriza de las entidades financieras y una amplia dependencia del sector financiero en su conjunto de proveedores terceros de servicios de TIC requieren que se propicie una sólida resiliencia operativa digital como cuestión de interés común para mantener la solidez de los mercados financieros de la UE. Las disparidades resultantes de regímenes desiguales o parciales, solapamientos o requisitos múltiples aplicables a las mismas entidades financieras que operan a escala transfronteriza o que poseen varias autorizaciones en el mercado único solo pueden abordarse eficazmente a escala de la Unión. La presente propuesta armoniza el componente operativo digital de un sector profundamente integrado e interconectado que ya se beneficia de un conjunto único de normas y está sujeto a supervisión en la mayoría de los demás ámbitos clave. En cuestiones como la notificación de incidentes relacionados con las TIC, solo las normas armonizadas de la Unión podrían reducir el nivel de cargas administrativas y los costes financieros asociados a la notificación de un mismo incidente relacionado con las TIC a diferentes autoridades nacionales y de la Unión. La acción de la UE también es necesaria para facilitar el reconocimiento mutuo de los resultados de las pruebas avanzadas de resiliencia operativa digital para las entidades que operan a escala transfronteriza, que, en ausencia de normas de la Unión, están o pueden estar sujetas a marcos diferentes en los distintos Estados miembros. Solo una acción a nivel de la Unión puede solventar las diferencias en los enfoques de pruebas introducidas por los Estados miembros. También es necesaria una actuación a escala de la UE para abordar la falta de facultades de supervisión adecuadas para controlar los riesgos derivados de los proveedores terceros de servicios de TIC, incluidos los riesgos de concentración y de contagio para el sector financiero de la UE. ·Proporcionalidad Las normas propuestas no van más allá de lo necesario para alcanzar los objetivos de la propuesta. Solo cubren los aspectos que los Estados miembros no pueden alcanzar por sí solos y en los que la carga administrativa y los costes son proporcionados a los objetivos específicos y generales que deben alcanzarse. La proporcionalidad está concebida en términos de alcance e intensidad mediante el uso de criterios de evaluación cualitativos y cuantitativos. Su objetivo es garantizar que, aunque las nuevas normas cubran a todas las entidades financieras, estén al mismo tiempo adaptadas a los riesgos y necesidades de sus características específicas en términos de tamaño y perfiles empresariales. La proporcionalidad también está integrada en las normas sobre gestión del riesgo de TIC, las pruebas de resiliencia digital, la notificación de incidentes graves relacionados con las TIC y la supervisión de proveedores terceros esenciales de servicios de TIC. ·Elección del instrumento Las medidas necesarias para regular la gestión del riesgo de TIC, la notificación de incidentes relacionados con las TIC, las pruebas y la supervisión de los proveedores terceros esenciales de servicios de TIC deben incluirse en un reglamento a fin de garantizar que los requisitos detallados sean efectiva y directamente aplicables de manera uniforme, sin perjuicio de la proporcionalidad y las normas específicas previstas en el presente Reglamento. La coherencia a la hora de abordar los riesgos operativos digitales contribuye a aumentar la confianza en el sistema financiero y preserva su estabilidad. Dado que el uso de un reglamento ayuda a reducir la complejidad normativa, fomenta la convergencia en materia de supervisión y aumenta la seguridad jurídica, el presente Reglamento también contribuye a limitar los costes de cumplimiento de las entidades financieras, especialmente de las que operan a escala transfronteriza, lo que, a su vez, contribuiría a eliminar los falseamientos de la competencia. El presente Reglamento también elimina las disparidades legislativas y los enfoques reguladores o de supervisión nacionales desiguales del riesgo de TIC, eliminando así los obstáculos al mercado único de los servicios financieros, en particular para el correcto ejercicio de la libertad de establecimiento y prestación de servicios por las entidades financieras con presencia transfronteriza. Por último, el código normativo único se ha desarrollado principalmente a través de reglamentos, por lo que debe elegirse el mismo instrumento jurídico con vistas a su actualización con el componente de resiliencia operativa digital. 3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO ·Evaluaciones ex post / controles de calidad de la legislación existente Hasta ahora, ningún texto legislativo de la Unión en materia de servicios financieros se ha centrado en la resiliencia operativa y ninguno ha abordado de forma exhaustiva los riesgos derivados de la digitalización, ni siquiera aquellos cuyas normas abordan de manera más general la dimensión del riesgo operativo con el riesgo de TIC como subcomponente. La intervención de la Unión ha contribuido hasta ahora a abordar las necesidades y los problemas que surgieron tras la crisis financiera de 2008: las entidades de crédito no estaban suficientemente capitalizadas, los mercados financieros no estaban suficientemente integrados y la armonización hasta ese momento se había mantenido en mínimos. Entonces no se consideró prioritario el riesgo de TIC y, como consecuencia de ello, los marcos jurídicos de los distintos subsectores financieros han evolucionado de manera descoordinada. Sin embargo, la acción de la Unión ha logrado sus objetivos de garantizar la estabilidad financiera y de establecer un conjunto único de normas prudenciales y de conducta de mercado armonizadas y aplicables a las entidades financieras en toda la UE. Dado que los factores que impulsaron la intervención legislativa de la Unión en el pasado no permitieron regular, mediante normas específicas o exhaustivas, el uso generalizado de las tecnologías digitales y los consiguientes riesgos en las finanzas, la realización de una evaluación explícita parece difícil. En cada pilar del presente Reglamento se reflejan un ejercicio de evaluación implícito y las consiguientes modificaciones legislativas. ·Consultas con las partes interesadas La Comisión ha consultado a las partes interesadas a lo largo de todo el proceso de elaboración de la presente propuesta, en particular: i) La Comisión llevó a cabo una consulta pública abierta específica (del 19 de diciembre de 2019 al 19 de marzo de 2020); ii) La Comisión consultó al público mediante una evaluación de impacto inicial (del 19 de diciembre de 2019 al 16 de enero de 2020); iii) Los servicios de la Comisión consultaron a expertos de los Estados miembros en el Grupo de Expertos en Banca, Pagos y Seguros en dos ocasiones (18 de mayo de 2020 y 16 de julio de 2020); iv)Los servicios de la Comisión celebraron, el 19 de mayo de 2020, un seminario web específico sobre la resiliencia operativa digital, como parte de la serie de actos de divulgación de las finanzas digitales de 2020.

El objetivo de la consulta pública era informar a la Comisión sobre el desarrollo de un posible marco de resiliencia operativa digital intersectorial de la UE en el ámbito de los servicios financieros. Las respuestas mostraron un amplio apoyo a la introducción de un marco específico con acciones centradas en los cuatro ámbitos objeto de la consulta, subrayando al mismo tiempo la necesidad de garantizar la proporcionalidad y de tener en cuenta y explicar cuidadosamente la interacción con las normas horizontales de la Directiva SRI. La Comisión recibió dos respuestas sobre la evaluación de impacto inicial, en las que los encuestados abordaban aspectos específicos relacionados con su ámbito de actividad. Los Estados miembros expresaron en la reunión del Grupo de Expertos en Banca, Pagos y Seguros celebrada el 18 de mayo de 2020 un gran apoyo al refuerzo de la resiliencia operativa digital del sector financiero a través de las acciones previstas en torno a los cuatro elementos señalados por la Comisión. Los Estados miembros también destacaron la necesidad de articular claramente las nuevas normas con las relativas al riesgo operativo (dentro de la legislación de la UE en materia de servicios financieros) y con las normas horizontales sobre ciberseguridad (Directiva SRI). Durante la segunda reunión, algunos Estados miembros destacaron la necesidad de garantizar la proporcionalidad y de considerar la situación específica de las pequeñas empresas o de las filiales de grupos más grandes, así como la necesidad de contar con un mandato sólido para las autoridades nacionales competentes que participan en la supervisión. La propuesta también se basa en la información obtenida en las reuniones celebradas con las partes interesadas y las autoridades e instituciones de la UE e integra esta información. Las partes interesadas, incluidos los proveedores terceros de servicios de TIC, en general han mostrado su apoyo. Un análisis de los comentarios recibidos muestra que los interesados abogan por preservar la proporcionalidad y seguir un enfoque basado en principios y riesgos en el diseño de las normas. Desde el punto de vista institucional, las principales aportaciones procedieron de la Junta Europea de Riesgo Sistémico (JERS), las AES, la Agencia de la Unión Europea para la Ciberseguridad (ENISA) y el Banco Central Europeo (BCE), así como de las autoridades competentes de los Estados miembros. ·Obtención y uso de asesoramiento especializado Al preparar la presente propuesta, la Comisión se basó en datos cualitativos y cuantitativos obtenidos de fuentes reconocidas, incluidos los dos dictámenes técnicos conjuntos de las AES. Esto se ha complementado con aportaciones confidenciales e informes a disposición del público de las autoridades de supervisión, los organismos internacionales de normalización y los principales institutos de investigación, así como con aportaciones cuantitativas y cualitativas de partes interesadas de todo el sector financiero mundial. ·Evaluación de impacto La presente propuesta va acompañada de una evaluación de impacto, que se presentó al Comité de Control Reglamentario el 29 de abril de 2020 y se aprobó el 29 de mayo de 2020. El Comité de Control Reglamentario recomendó mejoras en algunos ámbitos con vistas a: i) proporcionar más información sobre cómo se garantizaría la proporcionalidad; ii) destacar mejor en qué medida la opción preferida difiere del asesoramiento técnico conjunto de las AES y por qué esa opción es la óptima; y iii) destacar más cómo interactúa la propuesta con la legislación vigente de la UE, incluidas las normas que se están revisando actualmente. La evaluación de impacto se ajustó para abordar estos puntos, atendiendo también a las observaciones más detalladas del Comité de Control Reglamentario. La Comisión estudió una serie de opciones de actuación para desarrollar un marco de resiliencia operativa digital: ·«No hacer nada»: las normas sobre resiliencia operativa seguirían estando establecidas por el actual conjunto divergente de disposiciones en materia de servicios financieros de la UE, en parte por la Directiva SRI, y por los regímenes nacionales actuales o futuros. ·Opción 1: reforzar los colchones de capital: se introducirían colchones de capital adicionales para aumentar la capacidad de las entidades financieras de absorber las pérdidas que podrían derivarse de la falta de resiliencia operativa digital. ·Opción 2: adoptar un texto legislativo sobre resiliencia operativa digital en el ámbito de los servicios financieros, que prevea un marco exhaustivo a escala de la UE con normas coherentes que aborden las necesidades de resiliencia operativa digital de todas las entidades financieras reguladas y establezca un marco de supervisión para proveedores terceros esenciales de servicios de TIC. ·Opción 3: un texto legislativo sobre resiliencia operativa digital en el ámbito de los servicios financieros combinado con una supervisión centralizada de los proveedores terceros esenciales de servicios de TIC: además de un texto legislativo sobre resiliencia operativa digital (opción 2), se establecería una nueva autoridad para supervisar la prestación de servicios por proveedores terceros de servicios de TIC. Se eligió la segunda opción, ya que logra la mayoría de los objetivos previstos de manera eficaz, eficiente y coherente con otras políticas de la Unión. La mayoría de las partes interesadas también prefieren esta opción. La opción elegida generaría costes tanto puntuales como recurrentes. Los costes puntuales se deben principalmente a las inversiones en sistemas informáticos y, como tales, son difíciles de cuantificar, dado el diferente estado de los complejos entornos informáticos de las empresas y, en particular, de sus sistemas informáticos heredados. Aun así, es probable que estos costes sean limitados para las grandes empresas, habida cuenta de las importantes inversiones en TIC que ya han realizado. También se espera que los costes sean limitados para las empresas más pequeñas, ya que se aplicarían medidas proporcionadas debido a su menor riesgo. La opción elegida tendría efectos positivos para las pymes que operan en el sector de los servicios financieros en términos de impacto económico, social y medioambiental. La propuesta aportará claridad a las pymes sobre qué normas se aplican, lo que reducirá los costes de cumplimiento. La opción elegida repercutiría a nivel social principalmente en los consumidores y los inversores. Unos niveles más elevados de resiliencia operativa digital del sistema financiero de la UE reducirían el número y los costes medios de los incidentes. La sociedad en su conjunto se beneficiaría del aumento de la confianza en el sector de los servicios financieros. Por último, en términos de impacto medioambiental, la opción elegida fomentaría un mayor uso de la última generación de infraestructuras y servicios de TIC, que se espera sean más sostenibles desde el punto de vista medioambiental. ·Adecuación regulatoria y simplificación La supresión del solapamiento de los requisitos de notificación de incidentes relacionados con las TIC reduciría las cargas administrativas y los costes asociados. Además, las pruebas de resiliencia operativa digital armonizadas, con reconocimiento mutuo en todo el mercado único, reducirán los costes, especialmente para las empresas transfronterizas que, de otro modo, podrían tener que realizar múltiples pruebas en distintos Estados miembros. ·Derechos fundamentales

La UE se ha comprometido a garantizar un alto nivel de protección de los derechos fundamentales. Todos los acuerdos voluntarios de intercambio de información entre entidades financieras que promueve el presente Reglamento se llevarían a cabo en entornos de confianza respetando plenamente las normas de protección de datos de la Unión, en particular el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, en particular cuando el tratamiento de datos personales sea necesario para satisfacer un interés legítimo perseguido por el responsable del tratamiento de los datos. 4. REPERCUSIONES PRESUPUESTARIAS En cuanto a las implicaciones presupuestarias, dado que el Reglamento actual prevé un papel reforzado de las AES mediante las facultades que les son conferidas para supervisar adecuadamente a proveedores terceros esenciales de TIC, la propuesta implicaría el despliegue de más recursos, en particular para cumplir las misiones de supervisión (como las inspecciones in situ y en línea y los ejercicios de auditoría), y el uso de personal que posea conocimientos técnicos en materia de seguridad de las TIC. La magnitud y distribución de estos costes dependerá del alcance de las nuevas facultades de supervisión y de las tareas (precisas) que deban desempeñar las AES. En términos de dotación de nuevos recursos de personal, la ABE, la AEVM y la AESPJ necesitarán un total de 18 puestos equivalentes a jornada completa (EJC) —6 EJC por cada autoridad— cuando entren en vigor las diferentes disposiciones de la propuesta (con un coste estimado en 15,71 millones EUR para el período 2022-2027). Las AES también incurrirán en costes informáticos adicionales, gastos de misión para las inspecciones in situ y costes de traducción (estimados en 12 millones EUR para el período 2022-2027), así como otros gastos administrativos (estimados en 2,48 millones EUR para el período 2022-2027). Por lo tanto, el impacto del coste total estimado es de aproximadamente 30,19 millones EUR para el período 2022-2027. Cabe señalar también que, si bien los efectivos (por ejemplo, nuevos miembros del personal y otros gastos relacionados con las nuevas tareas) necesarios para la supervisión directa dependerán a lo largo del tiempo de la evolución del número y el tamaño de los proveedores terceros esenciales de servicios de TIC que deban supervisarse, los gastos respectivos se financiarán íntegramente con las tasas cobradas a dichos participantes en el mercado. Por lo tanto, no se prevé ningún impacto en los créditos presupuestarios de la UE (excepto en cuanto al personal adicional), ya que estos costes se financiarán íntegramente mediante tasas. La incidencia presupuestaria y financiera de la presente propuesta se explica en detalle en la ficha financiera legislativa adjunta. 5.OTROS ELEMENTOS ·Planes de ejecución y modalidades de seguimiento, evaluación e información La propuesta incluye un plan general de seguimiento y evaluación del impacto en los objetivos específicos, que requiere que la Comisión lleve a cabo una revisión al menos tres años después de la entrada en vigor e informe al Parlamento Europeo y al Consejo de sus principales conclusiones. La revisión debe llevarse a cabo de forma acorde con las Directrices de la Comisión para la mejora de la legislación. ·Explicación detallada de las disposiciones específicas de la propuesta La propuesta está estructurada en torno a varios ámbitos de actuación principales que son pilares clave interrelacionados incluidos de forma consensuada en las orientaciones y buenas prácticas europeas e internacionales destinadas a mejorar la resiliencia cibernética y operativa del sector financiero. Ámbito de aplicación del Reglamento y proporcionalidad en la aplicación de las medidas exigidas (artículo 2) Para garantizar la coherencia de los requisitos de gestión del riesgo de TIC aplicables al sector financiero, el Reglamento abarca una serie de entidades financieras reguladas a escala de la Unión, a saber, entidades de crédito, entidades de pago, entidades de dinero electrónico, empresas de servicios de inversión, proveedores de servicios de criptoactivos, depositarios centrales de valores, entidades de contrapartida central, centros de negociación, registros de operaciones, gestores de fondos de inversión alternativos y sociedades de gestión, proveedores de servicios de suministro de datos, empresas de seguros y reaseguros, intermediarios de seguros, intermediarios de reaseguros e intermediarios de seguros complementarios, fondos de pensiones de empleo, agencias de calificación crediticia, auditores legales y sociedades de auditoría, administradores de índices de referencia cruciales y proveedores de servicios de financiación participativa. Esta cobertura facilita una aplicación homogénea y coherente de todos los componentes de la gestión de riesgos en ámbitos relacionados con las TIC, salvaguardando al mismo tiempo la igualdad de condiciones entre las entidades financieras con respecto a sus obligaciones reglamentarias en materia de riesgo de TIC. Al mismo tiempo, el Reglamento reconoce que existen diferencias significativas entre las entidades financieras en términos de tamaño, perfiles empresariales o en relación con su exposición al riesgo digital. Dado que las entidades financieras de mayor tamaño disponen de más recursos, solo las entidades financieras que no reúnan las condiciones para ser consideradas microempresas están obligadas, por ejemplo, a establecer sistemas de gobernanza complejos o funciones de gestión específicas, realizar evaluaciones en profundidad tras cambios importantes en las infraestructuras de redes y sistemas de información, realizar periódicamente análisis de riesgos sobre los sistemas de TIC heredados, y ampliar las pruebas a las que se someten los planes de continuidad de la actividad y de respuesta y recuperación para reflejar los escenarios de conmutación entre su infraestructura primaria de TIC y sus instalaciones redundantes. Además, solo se exigirá a las entidades financieras consideradas significativas a efectos de las pruebas avanzadas de resiliencia digital que lleven a cabo pruebas de penetración guiadas por amenazas («TLPT», por sus siglas en inglés). A pesar de que la cobertura es amplia, no es exhaustiva. En particular, el presente Reglamento no incluye a los operadores de los sistemas, tal como se definen en el artículo 2, letra p), de la Directiva 98/26/CE sobre la firmeza de la liquidación en los sistemas de pagos y de liquidación de valores, ni a ningún participante en el sistema, a menos que dicho participante sea una entidad financiera regulada a nivel de la Unión y, como tal, esté cubierta por el presente Reglamento por derecho propio (es decir, entidad de crédito, empresa de servicios de inversión, entidad de contrapartida central). Además, el registro de derechos de emisión de la Unión que funciona, de conformidad con la Directiva 2003/87/CE, bajo los auspicios de la Comisión Europea también está fuera del ámbito de aplicación. Estas exclusiones de la Directiva sobre la firmeza de la liquidación tienen en cuenta la necesidad de examinar más detenidamente las cuestiones jurídicas y estratégicas que afectan a los participantes y a los operadores de sistemas contemplados en dicha Directiva, al tiempo que se tiene debidamente en cuenta el impacto de los marcos que se aplican actualmente a los sistemas de pago gestionados por los bancos centrales. Dado que estas cuestiones pueden implicar aspectos que siguen siendo distintos de los cubiertos por el presente Reglamento, la Comisión seguirá evaluando la necesidad y el impacto de una nueva ampliación del ámbito de aplicación del presente Reglamento a entidades e infraestructuras de TIC que actualmente están fuera de él. Requisitos relacionados con la gobernanza (artículo 4) El presente Reglamento tiene por objeto armonizar más las estrategias empresariales de las entidades financieras y la gestión del riesgo de TIC. A tal efecto, el órgano de dirección estará obligado a mantener un papel crucial y activo en la dirección del marco de gestión de riesgos de TIC y procurará respetar una ciberhigiene estricta. La plena responsabilidad del órgano de dirección en la gestión del riesgo de TIC de la entidad financiera será un principio general que se traducirá en un conjunto de requisitos específicos, como la asignación de cometidos y responsabilidades claros para todas las funciones relacionadas con las TIC, una implicación continua en el control del seguimiento de la gestión del riesgo de TIC, así como en toda la gama de procesos de aprobación y control y una asignación adecuada de inversiones y formación en TIC. Requisitos de gestión del riesgo de TIC (artículos 5 a 14)

La resiliencia operativa digital se basa en un conjunto de principios y requisitos clave sobre el marco de gestión de riesgos de TIC, en consonancia con el asesoramiento técnico conjunto de las AES. Estos requisitos, inspirados en las normas, directrices y recomendaciones internacionales, nacionales y sectoriales, giran en torno a funciones específicas en la gestión de riesgos de TIC (identificación, protección y prevención, detección, respuesta y recuperación, aprendizaje y evolución, y comunicación). Para poder seguir haciendo frente a la naturaleza cambiante de las ciberamenazas, las entidades financieras deben crear y mantener sistemas y herramientas de TIC resilientes que minimicen el impacto del riesgo de TIC, identificar de forma continua todas las fuentes de riesgo de TIC, establecer medidas de protección y prevención, detectar rápidamente actividades anómalas, poner en marcha políticas específicas y exhaustivas de continuidad de la actividad y planes de recuperación en caso de catástrofe como parte integrante de la política de continuidad de la actividad operativa. Estos últimos componentes son necesarios para una rápida recuperación tras incidentes relacionados con las TIC, en particular ciberataques, limitando los daños y dando prioridad a la reanudación segura de las actividades. El Reglamento no impone por sí mismo una normalización específica, sino que se basa en normas técnicas europeas e internacionalmente reconocidas o en las buenas prácticas del sector, en la medida en que se ajustan plenamente a las instrucciones de supervisión sobre el uso y la incorporación de dichas normas internacionales. El presente Reglamento también cubre la integridad, la seguridad y la resiliencia de las infraestructuras e instalaciones físicas que sustentan el uso de la tecnología y los procesos y personas pertinentes relacionados con las TIC, como parte de la huella digital de las operaciones de una entidad financiera. Notificación de incidentes relacionados con las TIC (artículos 15 a 20) La armonización y racionalización de la notificación de incidentes relacionados con las TIC se logra mediante, en primer lugar, el requisito general de que las entidades financieras establezcan y apliquen un proceso de gestión para controlar y registrar los incidentes relacionados con las TIC, seguido de la obligación de clasificarlos sobre la base de criterios detallados en el Reglamento y desarrollados en mayor medida por las AES a través de la especificación de umbrales de importancia relativa. En segundo lugar, solo deben notificarse a las autoridades competentes los incidentes relacionados con las TIC que se consideren graves. Los informes deben procesarse utilizando una plantilla común y siguiendo un procedimiento armonizado, ambos desarrollados por las AES. Las entidades financieras deben presentar informes iniciales, intermedios y finales e informar a sus usuarios y clientes cuando el incidente tenga o pueda tener un impacto en sus intereses financieros. Las autoridades competentes deben proporcionar detalles pertinentes de los incidentes a otras instancias o autoridades: a las AES, al BCE y a las ventanillas únicas designadas en virtud de la Directiva (UE) 2016/1148. Para entablar un diálogo entre las entidades financieras y las autoridades competentes que contribuya a minimizar el impacto y a identificar soluciones adecuadas, la notificación de incidentes graves relacionados con las TIC debe complementarse con información de retorno y orientaciones de los supervisores. Por último, la posibilidad de centralizar a escala de la Unión la notificación de incidentes relacionados con las TIC debe seguir estudiándose en un informe conjunto de las AES, el BCE y la ENISA en el que se evalúe la viabilidad de crear un único centro de la UE para la notificación de incidentes graves relacionados con las TIC por parte de las entidades financieras. Pruebas de resiliencia operativa digital (artículos 21 a 24) Las capacidades y funciones incluidas en el marco de gestión de riesgos de TIC deben someterse a pruebas periódicas para comprobar su estado de preparación y asegurarse de la detección de carencias, deficiencias o lagunas, así como de la rápida aplicación de medidas correctoras. El presente Reglamento permite una aplicación proporcionada de los requisitos de pruebas de resiliencia operativa digital en función del tamaño y el perfil empresarial y de riesgo de las entidades financieras: aunque todas las entidades deben poner a prueba las herramientas y sistemas de TIC, solo aquellas que las autoridades competentes consideren significativas y maduras en términos cibernéticos (sobre la base de los criterios del presente Reglamento desarrollados en mayor medida por las AES) deben llevar a cabo pruebas avanzadas basadas en TLPT. El presente Reglamento también establece requisitos para los testadores y el reconocimiento de los resultados de las TLPT en toda la Unión para las entidades financieras que operan en varios Estados miembros. Riesgo de terceros relacionado con las TIC (artículos 25 a 39) El Reglamento está concebido para garantizar un seguimiento sólido del riesgo de terceros relacionado con las TIC. Este objetivo se alcanzará, en primer lugar, mediante el respeto de normas basadas en principios aplicables al seguimiento por parte de las entidades financieras de los riesgos derivados de proveedores terceros de TIC. En segundo lugar, el presente Reglamento armoniza los elementos clave del servicio y la relación con proveedores terceros de TIC. Estos elementos abarcan aspectos mínimos que se consideran cruciales para permitir un seguimiento completo por parte de la entidad financiera del riesgo de terceros relacionado con las TIC a lo largo de todas las fases de su relación: celebración, ejecución y rescisión del contrato y etapa poscontractual. En particular, los contratos que rijan esa relación deberán contener una descripción completa de los servicios, la indicación de los lugares en los que deben procesarse los datos, descripciones completas del nivel de servicio acompañadas de objetivos de rendimiento cuantitativos y cualitativos, disposiciones pertinentes sobre accesibilidad, disponibilidad, integridad, seguridad y protección de los datos personales, y garantías de acceso, recuperación y devolución en caso de fallos de los proveedores terceros de servicios de TIC, plazos de preaviso y obligaciones de información de los proveedores terceros de servicios de TIC, derechos de acceso, inspección y auditoría por parte de la entidad financiera o de un tercero designado, derechos de rescisión claros y estrategias de salida específicas. Además, dado que algunos de estos elementos contractuales pueden normalizarse, el Reglamento promueve el uso voluntario de cláusulas contractuales tipo que la Comisión debe desarrollar para el uso del servicio de computación en nube. Por último, el Reglamento pretende promover la convergencia de los enfoques de supervisión del riesgo de terceros relacionado con las TIC en el sector financiero sometiendo a los proveedores terceros esenciales de servicios de TIC a un marco de supervisión de la Unión. A través de un nuevo marco legislativo armonizado, la AES designada como supervisor principal de cada proveedor tercero esencial de servicios de TIC queda facultada para garantizar que los proveedores de servicios tecnológicos que desempeñen un papel esencial en el funcionamiento del sector financiero sean objeto de un seguimiento adecuado a escala paneuropea. El marco de supervisión previsto en el presente Reglamento se basa en la arquitectura institucional existente en el ámbito de los servicios financieros, en virtud de la cual el Comité Mixto de las AES garantiza la coordinación intersectorial en cuanto a todos los asuntos relativos al riesgo de TIC, de conformidad con sus funciones en materia de ciberseguridad, con el apoyo del subcomité pertinente (Foro de Supervisión), que lleva a cabo los trabajos preparatorios de las decisiones individuales y las recomendaciones colectivas a los proveedores terceros esenciales de servicios de TIC. Intercambio de información (artículo 40) Para sensibilizar sobre el riesgo de TIC, minimizar su propagación y apoyar las capacidades defensivas de las entidades financieras y las técnicas de detección de amenazas, el Reglamento permite a las entidades financieras establecer acuerdos para intercambiar información e inteligencia sobre ciberamenazas.



2020/0266 (COD) Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014 y (UE) n.º 909/2014 (Texto pertinente a efectos del EEE) EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea y, en particular, su artículo 114, Vista la propuesta de la Comisión Europea, Previa transmisión del proyecto de acto legislativo a los parlamentos nacionales, Visto el dictamen del Banco Central Europeo, Visto el dictamen del Comité Económico y Social Europeo, De conformidad con el procedimiento legislativo ordinario, Considerando lo siguiente: (1)En la era digital, las tecnologías de la información y la comunicación (TIC) sustentan sistemas complejos utilizados en actividades cotidianas de la sociedad. Mantienen el funcionamiento de sectores clave de nuestras economías, incluidas las finanzas, y mejoran el funcionamiento del mercado único. El aumento de la digitalización y la interconexión también amplifica los riesgos de las TIC, haciendo que la sociedad en su conjunto —y el sistema financiero en particular— sea más vulnerable a las ciberamenazas o a las perturbaciones de las TIC. Si bien el uso ubicuo de los sistemas de TIC y la alta digitalización y conectividad son hoy en día características fundamentales de todas las actividades de las entidades financieras de la Unión, la resiliencia digital aún no está suficientemente integrada en sus marcos operativos. (2)El uso de las TIC ha adquirido en las últimas décadas un papel fundamental en las finanzas, asumiendo hoy una importancia crítica en el desarrollo de las funciones cotidianas típicas de todas las entidades financieras. La digitalización abarca, por ejemplo, los pagos, que han pasado cada vez más de la utilización de efectivo y métodos basados en papel al uso de soluciones digitales, así como la compensación y liquidación de valores, la negociación electrónica y algorítmica, las operaciones de préstamo y financiación, la financiación entre particulares, la calificación crediticia, la suscripción de seguros, la gestión de siniestros y las operaciones administrativas. No solo se ha digitalizado en gran medida todo el sector financiero, sino que la digitalización también ha profundizado las interconexiones y dependencias, tanto dentro de este, como con proveedores terceros de infraestructuras y servicios. (3)La Junta Europea de Riesgo Sistémico (JERS) ha reafirmado en un informe de 2020 sobre el ciberriesgo sistémico que el elevado nivel actual de interconexión entre entidades financieras, mercados financieros e infraestructuras de los mercados financieros, y en particular las interdependencias de sus sistemas de TIC, puede constituir una vulnerabilidad sistémica, ya que los ciberincidentes localizados podrían propagarse rápidamente desde cualquiera de las aproximadamente 22 000 entidades financieras de la Unión a todo el sistema financiero, sin que los límites geográficos supongan un obstáculo. Los fallos de TIC graves en las finanzas no afectan únicamente a las entidades financieras de forma aislada. También allanan el camino para la propagación de vulnerabilidades localizadas a través de los canales de transmisión financieros y pueden provocar consecuencias adversas para la estabilidad del sistema financiero de la Unión, generando un pánico de liquidez y una pérdida general de confianza en los mercados financieros. (4)En los últimos años, los riesgos de TIC han atraído la atención de los responsables políticos, reguladores y organismos de normalización nacionales, europeos e internacionales en un intento de aumentar la resiliencia, establecer normas y coordinar el trabajo de regulación o supervisión. A nivel internacional, el Comité de Supervisión Bancaria de Basilea, el Comité de Pagos e Infraestructuras del Mercado, el Consejo de Estabilidad Financiera, el Instituto de Estabilidad Financiera y los grupos de países del G-7 y el G-20 tienen por objeto proporcionar herramientas que refuercen la resiliencia de sus sistemas financieros a las autoridades competentes y a los operadores del mercado de diferentes países o territorios. (5)A pesar de las iniciativas estratégicas y legislativas específicas nacionales y europeas, los riesgos de TIC siguen planteando un reto para la resiliencia operativa, el funcionamiento y la estabilidad del sistema financiero de la Unión. La reforma que siguió a la crisis financiera de 2008 reforzó principalmente la resiliencia financiera del sector financiero de la Unión y tenía por objeto salvaguardar la competitividad y la estabilidad de la Unión desde las perspectivas económica, prudencial y de conducta de mercado. Aunque la resiliencia digital y la seguridad de las TIC forman parte del riesgo operativo, el programa regulador posterior a la crisis se ha centrado menos en estas y solo se han desarrollado en algunos ámbitos de la política de servicios financieros y del panorama regulador de la Unión, o solo en unos pocos Estados miembros. (6)El Plan de Acción en materia de Tecnología Financiera de 2018 de la Comisión puso de relieve la importancia capital de hacer que el sector financiero de la Unión sea más resiliente también desde una perspectiva operativa para garantizar su seguridad tecnológica y su buen funcionamiento, así como su rápida recuperación de los incidentes y los fallos de los sistemas de TIC, permitiendo en última instancia que los servicios financieros se presten de manera eficaz y fluida en toda la Unión, incluso en situaciones de tensión, preservando al mismo tiempo la confianza de los consumidores y del mercado. (7)En abril de 2019, la Autoridad Bancaria Europea (ABE), la Autoridad Europea de Valores y Mercados (AEVM) y la Autoridad Europea de Seguros y Pensiones de Jubilación (AESPJ) (denominadas conjuntamente «Autoridades Europeas de Supervisión» o «AES») emitieron conjuntamente dos dictámenes técnicos pidiendo un enfoque coherente del riesgo de TIC en las finanzas y recomendando reforzar, de manera proporcionada, la resiliencia operativa digital del sector de los servicios financieros a través de una iniciativa sectorial de la Unión. (8)El sector financiero de la Unión está regulado por un código normativo único armonizado y cubierto por un sistema europeo de supervisión financiera. No obstante, las disposiciones que abordan la resiliencia operativa digital y la seguridad de las TIC aún no están plena o coherentemente armonizadas, a pesar de que la resiliencia operativa digital es vital para garantizar la estabilidad financiera y la integridad del mercado en la era digital, y no menos importante que, por ejemplo, las normas comunes prudenciales o de conducta de mercado. Por consiguiente, deben desarrollarse el código normativo único y el sistema de supervisión para abarcar también este componente, ampliando los mandatos de los supervisores financieros encargados de supervisar y proteger la estabilidad financiera y la integridad del mercado. (9)Las disparidades legislativas y los enfoques reguladores o de supervisión nacionales desiguales del riesgo de TIC obstaculizan el mercado único de los servicios financieros, impidiendo el correcto ejercicio de la libertad de establecimiento y la prestación de servicios para las entidades financieras con presencia transfronteriza. La competencia entre el mismo tipo de entidades financieras que operan en diferentes Estados miembros también puede verse falseada. En particular, en ámbitos en los que la armonización de la Unión ha sido muy limitada (como las pruebas de resiliencia operativa digital) o inexistente (como el seguimiento del riesgo de terceros relacionado con las TIC), las disparidades derivadas de la evolución prevista a nivel nacional podrían generar nuevos obstáculos al funcionamiento del mercado único en detrimento de los participantes en el mercado y la estabilidad financiera. (10)La forma parcial en que las disposiciones relacionadas con el riesgo de TIC se han abordado hasta ahora a escala de la Unión pone de manifiesto lagunas o solapamientos en ámbitos importantes, como la notificación de incidentes relacionados con las TIC y las pruebas de resiliencia operativa digital, y genera incoherencias debido a la aparición de normas nacionales divergentes o a la aplicación ineficaz en costes de normas que se solapan. Esto es especialmente perjudicial para los usuarios intensivos de las TIC, como el sector financiero, ya que los riesgos tecnológicos no tienen fronteras y el sector financiero despliega sus servicios a escala transfronteriza dentro y fuera de la Unión. Las entidades financieras individuales que operan a escala transfronteriza o que poseen varias autorizaciones (por ejemplo, una entidad financiera puede tener sendas licencias de entidad bancaria, empresa de servicios de inversión y entidad de pago, cada una de ellas expedida por una autoridad competente diferente en uno o varios Estados miembros) se enfrentan a retos operativos a la hora de abordar los riesgos de TIC y mitigar los efectos adversos de los incidentes de TIC por sí mismas y de manera coherente y eficaz en términos de costes. (11)Dado que el código normativo único no ha ido acompañado de un marco global del riesgo operativo o de TIC, es necesaria una mayor armonización de los requisitos clave de resiliencia operativa digital para todas las entidades financieras. Las capacidades y la resiliencia general que las entidades financieras, sobre la base de estos requisitos clave, desarrollarían con vistas a hacer frente a las interrupciones operativas, contribuirían a preservar la estabilidad e integridad de los mercados financieros de la Unión y, de este modo, a garantizar un elevado nivel de protección de los inversores y consumidores de la Unión. Puesto que el objetivo del presente Reglamento es contribuir al buen funcionamiento del mercado único, debe basarse en las disposiciones del artículo 114 del TFUE, interpretado de conformidad con la jurisprudencia reiterada del Tribunal de Justicia de la Unión Europea. (12)El presente Reglamento tiene por objeto, en primer lugar, consolidar y actualizar los requisitos relativos al riesgo de TIC abordados por separado hasta ahora en los diferentes Reglamentos y Directivas. Aunque esos actos jurídicos de la Unión cubrían las principales categorías de riesgo financiero (por ejemplo, riesgo de crédito, riesgo de mercado, riesgo de contraparte y riesgo de liquidez, riesgo de conducta de mercado), no pudieron abordar de manera exhaustiva, en el momento de su adopción, todos los componentes de la resiliencia operativa. Los requisitos en materia de riesgo operativo, cuando se desarrollaron más en estos actos jurídicos de la Unión, a menudo favorecieron un enfoque cuantitativo tradicional para abordar el riesgo (a saber, establecer un requisito de capital para cubrir los riesgos de TIC) en lugar de consagrar requisitos cualitativos específicos para impulsar las capacidades mediante requisitos orientados a las capacidades de protección, detección, contención, recuperación y reparación frente a incidentes relacionados con las TIC o mediante el establecimiento de capacidades de notificación y pruebas digitales. El objetivo principal de dichas Directivas y Reglamentos era recoger normas esenciales sobre supervisión prudencial, conducta o integridad del mercado.

Mediante este ejercicio, que consolida y actualiza las normas sobre el riesgo de TIC, todas las disposiciones que abordan el riesgo digital en las finanzas se reunirían por primera vez de manera coherente en un único acto legislativo. Así pues, esta iniciativa debe colmar las lagunas o subsanar incoherencias en algunos de esos actos jurídicos, también en relación con la terminología utilizada en ellos, y debe hacer referencia explícita al riesgo de TIC a través de normas específicas sobre las capacidades de gestión del riesgo de TIC, la presentación de informes, las pruebas y el seguimiento de los riesgos de terceros. (13)Las entidades financieras deben seguir el mismo enfoque y las mismas normas basadas en principios a la hora de abordar el riesgo de TIC. La coherencia contribuye a aumentar la confianza en el sistema financiero y a preservar su estabilidad, especialmente en tiempos de uso excesivo de los sistemas, plataformas e infraestructuras de TIC, lo que conlleva un mayor riesgo digital. El respeto de una ciberhigiene básica también debería evitar imponer costes elevados a la economía minimizando el impacto y los costes de las perturbaciones de las TIC. (14)Utilizar un reglamento contribuye a reducir la complejidad normativa, fomenta la convergencia en materia de supervisión, aumenta la seguridad jurídica, al mismo tiempo que contribuye a limitar los costes de cumplimiento, especialmente para las entidades financieras que operan a escala transfronteriza, y a reducir los falseamientos de la competencia. La elección de un reglamento para el establecimiento de un marco común para la resiliencia operativa digital de las entidades financieras parece, por tanto, la manera más adecuada de garantizar una aplicación homogénea y coherente de todos los componentes de la gestión del riesgo de TIC por parte de los sectores financieros de la Unión. (15)Además de la legislación sobre servicios financieros, la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo es el marco general actual de ciberseguridad a escala de la Unión. Entre los siete sectores críticos, dicha Directiva se aplica también a tres tipos de entidades financieras, a saber, las entidades de crédito, los centros de negociación y las entidades de contrapartida central. Sin embargo, dado que la Directiva (UE) 2016/1148 establece un mecanismo de identificación a nivel nacional de los operadores de servicios esenciales, solo determinadas entidades de crédito, centros de negociación y entidades de contrapartida central determinadas por los Estados miembros entran en su ámbito de aplicación y, por tanto, deben cumplir los requisitos de seguridad de TIC y notificación de incidentes establecidos en la misma. (16)Dado que el presente Reglamento eleva el nivel de armonización de los componentes de resiliencia digital mediante la introducción de requisitos más estrictos en materia de gestión de riesgos de TIC y notificación de incidentes relacionados con las TIC con respecto a los establecidos en la legislación vigente de la Unión en materia de servicios financieros, ello constituye una mayor armonización también en comparación con los requisitos establecidos en la Directiva (UE) 2016/1148. Por consiguiente, el presente Reglamento constituye una lex specialis con respecto a la Directiva (UE) 2016/1148. Es fundamental mantener una estrecha relación entre el sector financiero y el marco horizontal de ciberseguridad de la Unión, garantizando la coherencia con las estrategias de ciberseguridad ya adoptadas por los Estados miembros y permitiendo que los supervisores financieros tengan conocimiento de los ciberincidentes que afecten a otros sectores cubiertos por la Directiva (UE) 2016/1148. (17)Para permitir un proceso de aprendizaje intersectorial y aprovechar eficazmente las experiencias de otros sectores a la hora de hacer frente a las ciberamenazas, las entidades financieras a que se refiere la Directiva (UE) 2016/1148 deben seguir formando parte del «ecosistema» de dicha Directiva (por ejemplo, el Grupo de Cooperación SRI y los CSIRT). Las AES y las autoridades nacionales competentes deben poder participar en los debates estratégicos y en los trabajos técnicos, respectivamente, del Grupo de Cooperación SRI intercambiar información y seguir cooperando con los puntos de contacto únicos designados en virtud de la Directiva (UE) 2016/1148. Las autoridades competentes en virtud del presente Reglamento también deben consultar y cooperar con los CSIRT nacionales designados de conformidad con el artículo 9 de la Directiva (UE) 2016/1148. (18)También es importante asegurar la coherencia con la Directiva sobre infraestructuras críticas europeas (ICE), que se está revisando actualmente para mejorar la protección y la resiliencia de las infraestructuras críticas frente a las amenazas no cibernéticas, lo cual puede tener repercusiones en el sector financiero. (19)Los proveedores de servicios de computación en nube son una categoría de proveedores de servicios digitales cubiertos por la Directiva (UE) 2016/1148. Como tales, están sujetos a una supervisión ex post llevada a cabo por las autoridades nacionales designadas con arreglo a dicha Directiva, que se limita a los requisitos de seguridad de TIC y notificación de incidentes establecidos en dicho acto. Dado que el marco de supervisión establecido por el presente Reglamento se aplica a todos los proveedores terceros esenciales de servicios de TIC, incluidos los proveedores de servicios de computación en nube, cuando presten servicios de TIC a entidades financieras, debe considerarse complementario de la supervisión que se está llevando a cabo en virtud de la Directiva (UE) 2016/1148. Además, el marco de supervisión establecido por el presente Reglamento debe abarcar a los proveedores de servicios de computación en nube en ausencia de un marco horizontal de la Unión aplicable a todos los sectores que establezca una autoridad de supervisión digital. (20)Para mantener el pleno control de los riesgos de TIC, las entidades financieras necesitan disponer de capacidades globales que permitan una gestión de riesgos de TIC sólida y eficaz, junto con mecanismos y políticas específicos para la notificación de incidentes relacionados con las TIC, pruebas de sistemas, controles y procesos de TIC, así como para gestionar el riesgo de terceros relacionado con las TIC. Debe elevarse el umbral de resiliencia operativa digital para el sistema financiero, permitiendo al mismo tiempo una aplicación proporcionada de los requisitos para las entidades financieras que son microempresas, tal como se definen en la Recomendación 2003/361/CE de la Comisión. (21)Los umbrales de notificación y las taxonomías de incidentes relacionados con las TIC varían considerablemente a nivel nacional. Si bien es cierto que se puede alcanzar una base común mediante la labor pertinente emprendida por la Agencia de la Unión Europea para la Ciberseguridad (ENISA) y el Grupo de Cooperación en materia de SRI para las entidades financieras contempladas en la Directiva (UE) 2016/1148, todavía existen o pueden surgir enfoques divergentes sobre umbrales y taxonomías para el resto de entidades financieras. Esto implica múltiples requisitos a los que deben atenerse las entidades financieras, especialmente cuando operan en varios países de la Unión y cuando forman parte de un grupo financiero. Además, estas divergencias pueden obstaculizar la creación de nuevos mecanismos uniformes o centralizados de la Unión que aceleren el proceso de notificación y apoyen un intercambio rápido y fluido de información entre las autoridades competentes, lo cual es crucial para hacer frente a los riesgos de TIC en caso de ataques a gran escala con posibles consecuencias sistémicas. (22)Para que las autoridades competentes puedan desempeñar sus funciones de supervisión obteniendo una visión completa de la naturaleza, frecuencia, importancia e impacto de los incidentes relacionados con las TIC y a fin de mejorar el intercambio de información entre las autoridades públicas pertinentes, incluidas las autoridades policiales y judiciales y las autoridades de resolución, es necesario establecer normas para completar el régimen de notificación de incidentes relacionados con las TIC con los requisitos que actualmente faltan en la legislación de los subsectores financieros y eliminar los solapamientos y duplicaciones existentes para reducir los costes. Por lo tanto, es esencial armonizar el régimen de notificación de incidentes relacionados con las TIC, exigiendo a todas las entidades financieras que informen únicamente a sus autoridades competentes. Además, las AES deben estar facultadas para especificar en mayor medida los elementos de la notificación de incidentes relacionados con las TIC, como la taxonomía, los plazos, los conjuntos de datos, las plantillas y los umbrales aplicables. (23)Los requisitos de las pruebas de resiliencia operativa digital se han desarrollado en algunos subsectores financieros dentro de varios marcos nacionales no coordinados que abordan los mismos problemas de manera diferente. Esto da lugar a la duplicación de costes para las entidades financieras transfronterizas y dificulta el reconocimiento mutuo de los resultados. Por lo tanto, las pruebas no coordinadas pueden segmentar el mercado único. (24)Además, cuando no se requieren pruebas, no se detectan las vulnerabilidades, lo que supone un mayor riesgo para la entidad financiera y, en última instancia, para la estabilidad y la integridad del sector financiero. Sin la intervención de la Unión, las pruebas de resiliencia operativa digital seguirían siendo desiguales y no habría un reconocimiento mutuo de los resultados de las pruebas en diferentes países. Asimismo, dado que es poco probable que otros subsectores financieros adopten tales sistemas a una escala significativa, desaprovecharían las ventajas potenciales, como revelar vulnerabilidades y riesgos, poner a prueba las capacidades de defensa y la continuidad de las actividades, y aumentar la confianza de los clientes, los proveedores y los socios comerciales. Para poner remedio a tales solapamientos, divergencias y lagunas, es necesario establecer normas destinadas a que las entidades financieras y las autoridades competentes realicen pruebas coordinadas, facilitando así el reconocimiento mutuo de pruebas avanzadas para las entidades financieras significativas. (25)La dependencia de los servicios de TIC por parte de las entidades financieras se debe en parte a su necesidad de adaptarse a una economía mundial digital competitiva emergente, de aumentar su eficiencia empresarial y de satisfacer la demanda de los consumidores. La naturaleza y el alcance de dicha dependencia han evolucionado continuamente en los últimos años, impulsando la reducción de costes en la intermediación financiera, permitiendo la expansión empresarial y la escalabilidad en el despliegue de actividades financieras, y ofreciendo al mismo tiempo una amplia gama de herramientas TIC para gestionar procesos internos complejos. (26)Este amplio uso de los servicios de TIC se pone de manifiesto en acuerdos contractuales complejos, en los que las entidades financieras a menudo encuentran dificultades a la hora de negociar condiciones contractuales adaptadas a las normas prudenciales u otros requisitos reglamentarios a los que están sujetas, o a la hora de hacer valer derechos específicos, como los derechos de acceso o auditoría, cuando estos últimos están consagrados en los acuerdos. Además, muchos de estos contratos no ofrecen suficientes salvaguardias que permitan un control completo de los procesos de subcontratación, privando así a la entidad financiera de su capacidad para evaluar estos riesgos asociados. Además, dado que los proveedores terceros de servicios de TIC a menudo prestan servicios normalizados a distintos tipos de clientes, tales contratos pueden no siempre satisfacer adecuadamente las necesidades individuales o específicas de los agentes del sector financiero. (27)Aunque hay algunas normas generales sobre externalización en algunos actos legislativos de la Unión en materia de servicios financieros, el seguimiento de la dimensión contractual no está plenamente establecido en la legislación de la Unión. A falta de normas claras y específicas de la Unión aplicables a los acuerdos contractuales celebrados con los proveedores terceros de servicios de TIC, no se aborda de manera exhaustiva la fuente externa de riesgo de TIC. Por consiguiente, es necesario establecer determinados principios clave para orientar la gestión por parte de las entidades financieras del riesgo de terceros relacionado con las TIC, junto con un conjunto de derechos contractuales básicos en relación con varios elementos de la ejecución y rescisión de contratos, con vistas a consagrar determinadas salvaguardias mínimas que sustenten la capacidad de las entidades financieras de supervisar eficazmente todos los riesgos que se deriven de terceros proveedores de TIC. (28)Hay una carencia de homogeneidad y convergencia en cuanto al riesgo de terceros relacionado con las TIC y a las dependencias de terceros en el sector de las TIC. A pesar de algunos esfuerzos para abordar el ámbito específico de la externalización, como las recomendaciones de 2017 sobre la externalización a proveedores de servicios en la nube, la cuestión del riesgo sistémico que puede desencadenar la exposición del sector financiero a un número limitado de proveedores terceros esenciales de servicios de TIC apenas se aborda en la legislación de la Unión. Esta carencia a nivel de la Unión se ve agravada por la ausencia de mandatos e instrumentos específicos que permitan a los supervisores nacionales adquirir una buena comprensión de las dependencias de terceros en el ámbito de las TIC y hacer un seguimiento adecuado de los riesgos derivados de la concentración de dichas dependencias de terceros en el ámbito de las TIC.

(29)Teniendo en cuenta los posibles riesgos sistémicos derivados del aumento de las prácticas de externalización y de la concentración de terceros en el sector de las TIC, y asimismo la insuficiencia de los mecanismos nacionales que permiten a los supervisores financieros cuantificar, calificar y corregir las consecuencias de los riesgos de TIC que se producen en proveedores terceros esenciales de servicios de TIC, es necesario establecer un marco de supervisión de la Unión adecuado que permita un seguimiento continuo de las actividades de los proveedores terceros de servicios de TIC que sean proveedores esenciales para las entidades financieras. (30)Dado que las amenazas relacionadas con las TIC son cada vez más complejas y sofisticadas, las buenas medidas de detección y prevención dependen sustancialmente del intercambio periódico de información sobre amenazas y vulnerabilidades entre las entidades financieras. El intercambio de información contribuye a una mayor concienciación sobre las ciberamenazas, lo que, a su vez, mejora la capacidad de las entidades financieras para evitar que las amenazas se materialicen en incidentes reales y permite a las entidades financieras contener mejor los efectos de los incidentes relacionados con las TIC y recuperarse de manera más eficiente. A falta de orientaciones a escala de la Unión, varios factores parecen haber impedido este intercambio de información, en particular la incertidumbre sobre la compatibilidad con las normas de protección de datos, de defensa de la competencia y de responsabilidad. (31)Además, las dudas sobre el tipo de información que puede compartirse con otros participantes en el mercado o con autoridades no supervisoras (como la ENISA, para información analítica, o Europol, con fines policiales) hacen que no se comparta información útil. El alcance y la calidad del intercambio de información sigue siendo limitado y fragmentado, ya que los intercambios pertinentes se realizan principalmente a nivel local (a través de iniciativas nacionales) y no existen mecanismos coherentes de intercambio de información a escala de la Unión adaptados a las necesidades de un sector financiero integrado. (32)Por consiguiente, debe alentarse a las entidades financieras a aprovechar colectivamente sus conocimientos individuales y su experiencia práctica a nivel estratégico, táctico y operativo, con el fin de mejorar sus capacidades para evaluar y supervisar las ciberamenazas, defenderse de ellas y responder a las mismas, todo ello de forma adecuada. Por lo tanto, es necesario permitir la aparición a escala de la Unión de mecanismos de intercambio voluntario de información que, cuando se apliquen en entornos de confianza, ayuden a la comunidad financiera a prevenir y responder colectivamente a las amenazas, limitando rápidamente la propagación de los riesgos de TIC e impidiendo el posible contagio a través de los canales financieros. Estos mecanismos deben utilizarse respetando plenamente las normas de competencia de la Unión aplicables, así como de manera que se garantice el pleno respeto de las normas de la Unión en materia de protección de datos, principalmente el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, en particular en el contexto del tratamiento de datos personales necesario para la satisfacción de los intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, tal como se contempla en el artículo 6, apartado 1, letra f), de dicho Reglamento. (33)Sin perjuicio de la amplia cobertura prevista en el presente Reglamento, la aplicación de las normas de resiliencia operativa digital debe tener en cuenta las diferencias significativas entre entidades financieras en términos de tamaño, perfiles empresariales o exposición al riesgo digital. Como principio general, al destinar recursos y capacidades a la aplicación del marco de gestión de riesgos de TIC, las entidades financieras deben equilibrar debidamente sus necesidades relacionadas con las TIC con su tamaño y perfil empresarial, mientras que las autoridades competentes deben seguir evaluando y revisando el enfoque de dicha distribución. (34)Dado que las entidades financieras de mayor tamaño pueden disponer de recursos más amplios y podrían movilizar rápidamente fondos para desarrollar estructuras de gobernanza y establecer diversas estrategias empresariales, solo las entidades financieras que no sean microempresas en el sentido del presente Reglamento deben estar obligadas a establecer mecanismos de gobernanza más complejos. Estas entidades están mejor equipadas, en particular, para establecer funciones de gestión específicas encaminadas a supervisar los acuerdos con proveedores terceros de servicios de TIC o a abordar la gestión de crisis, para organizar su gestión de riesgos de TIC con arreglo a las tres líneas del modelo de defensa, o para adoptar un documento de recursos humanos que explique exhaustivamente las políticas de derechos de acceso. Del mismo modo, solo estas entidades financieras deben estar obligadas a llevar a cabo evaluaciones exhaustivas tras cambios importantes en los procesos y las infraestructuras de la red y los sistemas de información, a realizar periódicamente análisis de riesgos sobre los sistemas de TIC heredados, o a ampliar las pruebas efectuadas sobre los planes de continuidad de la actividad y de respuesta y recuperación para reflejar los escenarios de conmutación entre la infraestructura primaria de TIC y las instalaciones redundantes. (35)Además, dado que solo las entidades financieras consideradas significativas a efectos de las pruebas avanzadas de resiliencia digital deben estar obligadas a llevar a cabo pruebas de penetración guiadas por amenazas, los procesos administrativos y los costes financieros derivados de la realización de dichas pruebas recaerían, en principio, en un pequeño porcentaje de entidades financieras. Por último, con el fin de aligerar la carga normativa, debe pedirse únicamente a las entidades financieras que no sean microempresas que informen periódicamente a las autoridades competentes de todos los costes y pérdidas causados por las perturbaciones de las TIC y de los resultados de las revisiones posteriores a los incidentes después de perturbaciones significativas de las TIC. (36)Para garantizar la plena armonización y la coherencia general entre las estrategias empresariales de las entidades financieras, por una parte, y la gestión de riesgos de TIC, por otra, debe exigirse al órgano de dirección que desempeñe un papel central y activo en la dirección y adaptación del marco de gestión de riesgos de TIC y la estrategia global de resiliencia digital. El enfoque que adopte el órgano de dirección no solo debe centrarse en los medios para garantizar la resiliencia de los sistemas de TIC, sino que también debe abarcar a las personas y los procesos a través de un conjunto de políticas que promuevan, en cada nivel corporativo y para todo el personal, una fuerte concienciación sobre los riesgos cibernéticos y el compromiso de respetar una estricta ciberhigiene a todos los niveles. La responsabilidad última del órgano de dirección en la gestión de los riesgos de TIC de una entidad financiera debe ser un principio fundamental de ese enfoque global, que se traducirá además en la implicación continua del órgano de dirección en el control del seguimiento de la gestión del riesgo de TIC. (37)Además, la obligación del órgano de dirección de rendir plenamente cuentas va acompañada de la de garantizar un nivel de inversiones en TIC y un presupuesto global para que la entidad financiera pueda alcanzar su nivel de referencia en cuanto a la resiliencia operativa digital. (38)Inspirándose en las pertinentes normas, directrices, recomendaciones o enfoques internacionales, nacionales y sectoriales en relación con la gestión del riesgo cibernético, el presente Reglamento promueve una serie de funciones que facilitan la estructuración general de la gestión del riesgo de TIC. Mientras las principales capacidades establecidas por las entidades financieras respondan a las necesidades de los objetivos previstos por las funciones (identificación, protección y prevención, detección, respuesta y recuperación, aprendizaje y evolución y comunicación) establecidas en el presente Reglamento, las entidades financieras seguirán teniendo libertad para utilizar modelos de gestión de riesgos de TIC que se enmarquen o categoricen de manera diferente. (39)Para poder seguir haciendo frente a la naturaleza cambiante de las ciberamenazas, las entidades financieras deben mantener sistemas de TIC actualizados que sean fiables y estén dotados de la capacidad suficiente no solo para garantizar el tratamiento de datos necesario para la prestación de sus servicios, sino también para asegurar la resiliencia tecnológica que permita a las entidades financieras satisfacer adecuadamente las necesidades de tratamiento adicionales que un tensionamiento del mercado u otras situaciones adversas puedan generar. Aunque el presente Reglamento no implica ninguna normalización de sistemas, herramientas o tecnologías de TIC específicos, se basa en el uso adecuado por parte de las entidades financieras de las normas técnicas europeas e internacionalmente reconocidas (por ejemplo, ISO) o de las buenas prácticas del sector, en la medida en que dicho uso se ajuste plenamente a las instrucciones específicas de supervisión sobre el uso y la incorporación de normas internacionales. (40)Se requieren planes eficientes de continuidad y recuperación de las actividades para que las entidades financieras puedan resolver pronta y rápidamente los incidentes relacionados con las TIC, en particular los ciberataques, limitando los daños y dando prioridad a la reanudación de las actividades y a las acciones de recuperación. No obstante, si bien los sistemas de copia de seguridad deben comenzar el tratamiento sin demoras indebidas, dicho inicio no debe en modo alguno poner en peligro la integridad y la seguridad de las redes y los sistemas de información ni la confidencialidad de los datos. (41)Si bien el presente Reglamento permite a las entidades financieras determinar los objetivos de tiempo de recuperación de manera flexible y, por tanto, fijar tales objetivos teniendo plenamente en cuenta la naturaleza y el carácter esencial de la función pertinente y las necesidades comerciales específicas, al determinar dichos objetivos también debe exigirse una evaluación del posible impacto global en la eficiencia del mercado. (42)Las consecuencias importantes de los ciberataques se amplifican cuando se producen en el sector financiero, un ámbito que corre mucho más riesgo de ser blanco de propagadores malintencionados que persiguen obtener beneficios financieros directamente en la fuente. Para mitigar tales riesgos y evitar que los sistemas de TIC pierdan integridad o dejen de estar disponibles, y que se vulneren datos confidenciales o que las infraestructuras físicas de TIC sufran daños, debe mejorarse significativamente la notificación de incidentes graves relacionados con las TIC por parte de las entidades financieras. La notificación de incidentes relacionados con las TIC debe armonizarse para todas las entidades financieras exigiéndoles que informen únicamente a sus autoridades competentes. Aunque todas las entidades financieras estarían sujetas a esta notificación, no todas ellas deberían verse afectadas de la misma manera, ya que los umbrales de importancia relativa y los plazos pertinentes deben calibrarse para reflejar únicamente los incidentes graves relacionados con las TIC. La notificación directa permitiría a los supervisores financieros acceder a información sobre incidentes relacionados con las TIC. No obstante, los supervisores financieros deben transmitir esta información a las autoridades públicas no financieras (autoridades competentes en materia de SRI, autoridades nacionales de protección de datos y autoridades policiales o judiciales en caso de incidentes de carácter delictivo). La información sobre incidentes relacionados con las TIC debe canalizarse mutuamente: los supervisores financieros deben proporcionar a la entidad financiera todas las observaciones u orientaciones necesarias, mientras que las AES deben compartir datos anonimizados sobre amenazas y vulnerabilidades relacionadas con un determinado suceso para contribuir a una defensa colectiva más amplia. (43)Debe preverse una mayor reflexión sobre la posible centralización de los informes de incidentes relacionados con las TIC a través de un único centro neurálgico de la UE que, bien reciba directamente los informes pertinentes y los notifique automáticamente a las autoridades nacionales competentes, bien centralice simplemente los informes transmitidos por las autoridades nacionales competentes y desempeñe una función de coordinación. Debe exigirse a las AES que, consultando con el BCE y la ENISA y antes de una fecha determinada, elaboren un informe conjunto en el que se estudie la viabilidad de crear dicho centro neurálgico de la UE. (44)Con el fin de lograr una sólida resiliencia operativa digital, y en consonancia con las normas internacionales (por ejemplo, los Elementos Fundamentales del G7 para las pruebas de penetración guiadas por amenazas), las entidades financieras deben probar periódicamente su personal y sus sistemas de TIC con respecto a la efectividad de sus capacidades de prevención, detección, respuesta y recuperación, a fin de descubrir y abordar posibles vulnerabilidades de TIC. Para responder a las diferencias entre los subsectores financieros y dentro de ellos en relación con la preparación de las entidades financieras en materia de ciberseguridad, las pruebas deben incluir una amplia variedad de herramientas y acciones, que van desde una evaluación de los requisitos básicos (por ejemplo, evaluaciones y exploraciones de vulnerabilidad, análisis del código abierto, evaluaciones de la seguridad de la red, análisis de carencias, revisiones de seguridad física, cuestionarios y soluciones de software de exploración, revisiones del código fuente cuando sea posible, pruebas basadas en escenarios, pruebas de compatibilidad, pruebas de rendimiento o pruebas de extremo a extremo) hasta pruebas más avanzadas (por ejemplo, pruebas de penetración guiadas por amenazas en el caso de las entidades financieras suficientemente maduras desde la perspectiva de las TIC para realizar estas pruebas). Las pruebas de resiliencia operativa digital deberían, por tanto, ser más exigentes para las entidades financieras significativas (como grandes entidades de crédito, bolsas de valores, depositarios centrales de valores, entidades de contrapartida central, etc.). Al mismo tiempo, las pruebas de resiliencia operativa digital también deberían ser más relevantes para algunos subsectores que desempeñan un papel sistémico fundamental (por ejemplo, pagos, banca, compensación y liquidación) y menos relevantes para otros subsectores (por ejemplo, gestores de activos, agencias de calificación crediticia, etc.). Las entidades financieras transfronterizas que ejerzan su libertad de establecimiento o prestación de servicios en la Unión deben cumplir un único conjunto de requisitos de pruebas avanzadas (por ejemplo, pruebas de penetración guiadas por amenazas) en su Estado miembro de origen, y dicha prueba debe incluir las infraestructuras de TIC en todos los países o territorios en los que el grupo transfronterizo opere dentro de la Unión, permitiendo así que los grupos transfronterizos solo incurran en costes de pruebas en un país. (45)Para garantizar un seguimiento sólido del riesgo de terceros relacionado con las TIC, es necesario establecer un conjunto de normas basadas en principios para orientar el seguimiento por parte de las entidades financieras de los riesgos que surgen en el contexto de las funciones externalizadas a proveedores terceros de servicios de TIC y, de manera más general, en el contexto de las dependencias de terceros relacionadas con las TIC.

(46)Una entidad financiera debe seguir siendo en todo momento plenamente responsable del cumplimiento de las obligaciones derivadas del presente Reglamento. Debe organizarse un seguimiento proporcionado de los riesgos que surjan a nivel del proveedor tercero de servicios de TIC teniendo debidamente en cuenta la escala, complejidad e importancia de las dependencias relacionadas con las TIC, el carácter esencial o la importancia de los servicios, procesos o funciones sujetos a los acuerdos contractuales y, en última instancia, sobre la base de una evaluación cuidadosa de cualquier posible impacto en la continuidad y calidad de los servicios financieros a nivel individual y de grupo, según proceda. (47)La realización de dicho seguimiento debe seguir un enfoque estratégico para el riesgo de terceros relacionado con las TIC formalizado mediante la adopción por parte del órgano de dirección de la entidad financiera de una estrategia específica, basada en un examen continuo de todas esas dependencias de terceros relacionadas con las TIC. Para aumentar la sensibilización en de los supervisores sobre las dependencias de terceros en el sector de las TIC, y con vistas a apoyar en mayor medida el marco de supervisión establecido por el presente Reglamento, los supervisores financieros deben recibir periódicamente información esencial de los registros y deben poder solicitar extractos de la misma sobre una base ad hoc. (48)Un análisis exhaustivo previo a la contratación debe sustentar y preceder a la celebración formal de acuerdos contractuales, mientras que la rescisión de los contratos debe estar motivada, como mínimo, por una serie de circunstancias que pongan de manifiesto deficiencias en el proveedor tercero de servicios de TIC. (49)Para abordar el impacto sistémico del riesgo de concentración de terceros en el ámbito de las TIC, debe promoverse una solución equilibrada mediante un enfoque flexible y gradual, ya que unos techos rígidos o unas limitaciones estrictas pueden obstaculizar la conducta empresarial y la libertad contractual. Las entidades financieras deben evaluar exhaustivamente los acuerdos contractuales para determinar la probabilidad de que aparezca dicho riesgo, incluso mediante análisis en profundidad de los acuerdos de subexternalización, en particular cuando se celebren con proveedores terceros de servicios de TIC establecidos en un tercer país. En esta fase, y con el fin de lograr un equilibrio justo entre el imperativo de preservar la libertad contractual y el de garantizar la estabilidad financiera, no se considera apropiado establecer techos y límites estrictos a las exposiciones frente a terceros en el ámbito de las TIC. En el ejercicio de las tareas de supervisión, la AES designada para llevar a cabo la supervisión de cada proveedor tercero esencial de TIC («el supervisor principal») debe prestar especial atención a comprender plenamente la magnitud de las interdependencias y descubrir los casos específicos en los que un alto grado de concentración de proveedores terceros esenciales de servicios de TIC en la Unión pueda poner bajo presión la estabilidad e integridad del sistema financiero de la Unión, y debe, en su lugar, facilitar un diálogo con los proveedores terceros esenciales de servicios de TIC cuando se detecte ese riesgo. (50)Para poder evaluar y controlar periódicamente la capacidad del proveedor tercero de servicios de TIC para prestar servicios de forma segura a la entidad financiera sin que ello afecte negativamente a la capacidad de resiliencia de esta, debe existir una armonización de los elementos contractuales clave a lo largo de la ejecución de los contratos con proveedores terceros de TIC. Estos elementos solo cubren aspectos contractuales mínimos que se consideran cruciales para permitir un seguimiento completo por parte de la entidad financiera con vistas a garantizar su resiliencia digital, que depende de la estabilidad y la seguridad del servicio de TIC. (51)Los acuerdos contractuales deben prever, en particular, descripciones completas de las funciones y servicios, de los lugares en los que se prestan tales funciones y en los que se procesan los datos, así como descripciones completas del nivel de servicio, acompañadas de objetivos de rendimiento cuantitativos y cualitativos dentro de los niveles de servicio acordados, a fin de permitir un seguimiento eficaz por parte de la entidad financiera. En la misma línea, las disposiciones sobre accesibilidad, disponibilidad, integridad, seguridad y protección de los datos personales, así como las garantías de acceso, recuperación y devolución en caso de insolvencia, resolución o interrupción de las operaciones comerciales del proveedor tercero de servicios de TIC también deben considerarse elementos esenciales para la capacidad de una entidad financiera de garantizar el control del riesgo de terceros. (52)Para garantizar que las entidades financieras mantengan el pleno control de todos los cambios que puedan afectar a su seguridad de TIC, deben establecerse plazos de notificación y obligaciones de información del proveedor tercero de servicios de TIC en caso de cambios que puedan tener un impacto importante en la capacidad del proveedor tercero de servicios de TIC para desempeñar eficazmente funciones esenciales o importantes, incluida la prestación de asistencia por parte de este último en caso de incidente relacionado con las TIC sin coste adicional o a un coste determinado de antemano. (53)Los derechos de acceso, inspección y auditoría por parte de la entidad financiera o de un tercero designado son instrumentos cruciales en el seguimiento permanente por parte de las entidades financieras del rendimiento del proveedor tercero de servicios de TIC, junto con la plena cooperación de este último durante las inspecciones. En la misma línea, la autoridad competente de la entidad financiera debe tener el derecho de inspeccionar y auditar, previa notificación, al proveedor tercero de servicios de TIC, sin perjuicio de la confidencialidad. (54)Los acuerdos contractuales deben prever derechos de rescisión claros y los correspondientes preavisos mínimos, así como estrategias específicas de salida que permitan, en particular, períodos transitorios obligatorios durante los cuales los proveedores terceros de servicios de TIC deben seguir desempeñando las funciones pertinentes con vistas a reducir el riesgo de perturbaciones a nivel de la entidad financiera, o permitir a esta última recurrir efectivamente a otros proveedores terceros de servicios de TIC, o alternativamente a soluciones internas, en consonancia con la complejidad del servicio prestado. (55)Además, el uso voluntario de las cláusulas contractuales tipo desarrolladas por la Comisión para los servicios de computación en la nube puede ofrecer mayor confianza a las entidades financieras y a sus proveedores terceros de TIC, al aumentar el nivel de seguridad jurídica sobre el uso de los servicios de computación en la nube por parte del sector financiero, respetando plenamente los requisitos y expectativas establecidos en la normativa sobre servicios financieros. Ese trabajo se basa en las medidas ya previstas en el Plan de Acción en materia de Tecnología Financiera de 2018, que anunciaba la intención de la Comisión de fomentar y facilitar el desarrollo de cláusulas contractuales tipo para la externalización de servicios de computación en la nube por parte de las entidades financieras, basándose en los esfuerzos intersectoriales de las partes interesadas del ámbito de los servicios de computación en la nube, que la Comisión ha facilitado con la ayuda de la participación del sector financiero. (56)Los proveedores terceros esenciales de servicios de TIC deben estar sujetos a un marco de supervisión de la Unión, con vistas a promover la convergencia y la eficiencia en relación con los enfoques de supervisión del riesgo de terceros relacionado con las TIC en el sector financiero, reforzar la resiliencia operativa digital de las entidades financieras que dependen de proveedores terceros esenciales de servicios de TIC para el desempeño de funciones operativas, y contribuir así a preservar la estabilidad del sistema financiero de la Unión y la integridad del mercado único de servicios financieros. (57)Dado que solo los proveedores terceros esenciales de servicios requieren un trato especial, debe establecerse un mecanismo de designación a efectos de la aplicación del marco de supervisión de la Unión para tener en cuenta la dimensión y la naturaleza de la dependencia del sector financiero de dichos proveedores terceros de servicios de TIC, consistente en un conjunto de criterios cuantitativos y cualitativos que establecerían los parámetros para determinar el carácter esencial a efectos de la inclusión en la supervisión. Los proveedores terceros esenciales de servicios de TIC que no sean designados automáticamente en virtud de la aplicación de los criterios mencionados anteriormente deben tener la posibilidad de participar voluntariamente en el marco de supervisión, mientras que los proveedores terceros de TIC que ya estén sujetos a los mecanismos de vigilancia establecidos a nivel del Eurosistema con el fin de apoyar las funciones a que se refiere el artículo 127, apartado 2, del Tratado de Funcionamiento de la Unión Europea deben quedar exentos. (58)El requisito de la constitución legal en la Unión de los proveedores terceros de servicios de TIC que hayan sido designados como esenciales no equivale a un requisito de localización de datos, ya que el presente Reglamento no contiene ninguna otra exigencia de que el almacenamiento o tratamiento de datos deba llevarse a cabo en la Unión. (59)Este marco debe entenderse sin perjuicio de la competencia de los Estados miembros para llevar a cabo sus propias misiones de supervisión con respecto a los proveedores terceros de servicios de TIC que no sean esenciales en virtud del presente Reglamento, pero que podrían considerarse importantes a nivel nacional. (60)Para aprovechar la actual arquitectura institucional de múltiples niveles en el ámbito de los servicios financieros, el Comité Mixto de las AES debe seguir garantizando la coordinación intersectorial general en relación con todos los asuntos relacionados con el riesgo de TIC, de conformidad con sus funciones en materia de ciberseguridad, con el apoyo de un nuevo Subcomité (el Foro de Supervisión) que lleve a cabo trabajos preparatorios tanto para decisiones individuales dirigidas a proveedores terceros esenciales de servicios de TIC como para recomendaciones colectivas, en particular sobre la evaluación comparativa de los programas de supervisión de proveedores terceros esenciales de servicios de TIC, y que determine las buenas prácticas para abordar las cuestiones relativas al riesgo de concentración de TIC. (61)A fin de garantizar que los proveedores terceros de servicios de TIC que desempeñen un papel esencial en el funcionamiento del sector financiero sean objeto de una supervisión proporcionada a escala de la Unión, debe designarse a una de las AES como supervisor principal para cada proveedor tercero esencial de servicios de TIC. (62)Los supervisores principales deben gozar de las competencias necesarias para llevar a cabo investigaciones e inspecciones in situ y a distancia de proveedores terceros esenciales de servicios de TIC, acceder a todos los locales y lugares pertinentes y obtener información completa y actualizada que les permita contar con una visión real del tipo, dimensión e impacto del riesgo de terceros relacionado con las TIC a que se enfrentan las entidades financieras y, en última instancia, el sistema financiero de la Unión. Encomendar a las AES la supervisión principal es un requisito previo para captar y abordar la dimensión sistémica del riesgo de TIC en las finanzas. El lugar que ocupan en la Unión los proveedores terceros esenciales de servicios de TIC y los consiguientes problemas potenciales del riesgo de concentración de TIC exigen adoptar un enfoque colectivo aplicado a nivel de la Unión. El ejercicio de múltiples derechos de auditoría y acceso, llevado a cabo por numerosas autoridades competentes por separado y con una coordinación escasa o nula, no daría lugar a una visión general completa del riesgo de terceros relacionado con las TIC, al tiempo que crearía redundancias, cargas y complejidad innecesarias para los proveedores terceros esenciales de TIC sobre los que recaigan tales solicitudes. (63)Además, los supervisores principales deben poder presentar recomendaciones sobre cuestiones relacionadas con el riesgo de TIC y soluciones adecuadas, oponiéndose asimismo a determinados acuerdos contractuales que afecten en última instancia a la estabilidad de la entidad financiera o del sistema financiero. El cumplimiento de dichas recomendaciones sustantivas establecidas por los supervisores principales debe ser tenido debidamente en cuenta por las autoridades nacionales competentes en el marco de su función de supervisión prudencial de las entidades financieras. (64)El marco de supervisión no sustituirá, ni en modo alguno ni en ninguna parte, a la gestión por las entidades financieras del riesgo que entraña el recurso a proveedores terceros de servicios de TIC, incluida la obligación de hacer un seguimiento permanente de sus acuerdos contractuales celebrados con proveedores terceros esenciales de servicios de TIC, y no afectará a la plena responsabilidad de las entidades financieras en el cumplimiento y la observancia de todos los requisitos del presente Reglamento y de la legislación pertinente en materia de servicios financieros. Para evitar duplicaciones y solapamientos, las autoridades competentes deben abstenerse de adoptar individualmente cualquier medida destinada a supervisar los riesgos de los proveedores terceros esenciales de servicios de TIC. Estas medidas deben coordinarse y acordarse previamente en el contexto del marco de supervisión.

(65)A fin de promover la convergencia a nivel internacional sobre las buenas prácticas que deben utilizarse en la revisión de la gestión de riesgos digitales por parte de proveedores terceros de servicios de TIC, debe alentarse a las AES a que celebren acuerdos de cooperación con las autoridades competentes pertinentes de terceros países en materia de supervisión y regulación, a fin de facilitar el desarrollo de buenas prácticas que aborden el riesgo de terceros relacionado con las TIC. (66)Para aprovechar la pericia técnica de los expertos de las autoridades competentes en gestión de riesgos operativos y de TIC, los supervisores principales deben basarse en la experiencia nacional en materia de supervisión y crear equipos de examen específicos para cada proveedor tercero esencial de servicios de TIC, agrupando equipos multidisciplinares para apoyar tanto la preparación como la ejecución real de las actividades de supervisión, incluidas las inspecciones in situ de proveedores terceros esenciales de servicios de TIC, así como el seguimiento necesario de las mismas. (67)Las autoridades competentes deben disponer de todas las facultades de supervisión, investigación y sanción necesarias para garantizar la aplicación del presente Reglamento. En principio, las sanciones administrativas deben hacerse públicas. Dado que las entidades financieras y los proveedores terceros de servicios de TIC pueden estar establecidos en diferentes Estados miembros y estar bajo la supervisión de diferentes autoridade