Elimina obstáculos al mercado interior de servicios financieros y mejora su establecimiento y funcionamiento armonizando las normas aplicables en el ámbito de la gestión del riesgo de TIC, la presentación de informes, las pruebas y el riesgo de terceros relacionado con las TIC. Las disparidades actuales en este ámbito, tanto a nivel legislativo como de supervisión, así como a nivel nacional y de la UE, obstaculizan el mercado único de servicios financieros, ya que las entidades financieras que realizan actividades transfronterizas se enfrentan a requisitos reguladores o expectativas de supervisión diferentes o que se solapan, y que pueden obstaculizar el ejercicio de sus libertades de establecimiento y de prestación de servicios. La existencia de normas diferentes también falsea la competencia entre el mismo tipo de entidades financieras en diferentes Estados miembros. Además, en ámbitos en los que no hay armonización, o esta es parcial o limitada, el desarrollo de normas o enfoques nacionales divergentes, ya en vigor o en proceso de adopción y aplicación a nivel nacional, puede tener un efecto disuasorio para las libertades del mercado único de servicios financieros. Este es el caso, en particular, de los marcos de pruebas operativas digitales y la supervisión de proveedores terceros esenciales de servicios de TIC.

La iniciativa preservaría los beneficios asociados al marco horizontal en materia de ciberseguridad (por ejemplo, la Directiva relativa a la seguridad de las redes y sistemas de información, Directiva SRI), al mantener al sector financiero dentro de su ámbito de aplicación. El sector financiero seguiría estando estrechamente asociado al organismo de cooperación SRI y los supervisores financieros podrían intercambiar información pertinente dentro del actual ecosistema SRI. La iniciativa sería coherente con la Directiva sobre infraestructuras críticas europeas (ICE), que se está revisando actualmente para mejorar la protección y la resiliencia de las infraestructuras críticas frente a las amenazas no cibernéticas. Por último, la presente propuesta está plenamente en consonancia con la Estrategia para una Unión de la Seguridad, que abogaba por una iniciativa sobre la resiliencia operativa digital del sector financiero, dada su gran dependencia de los servicios de TIC y su elevada vulnerabilidad a los ciberataques.

Por consiguiente, es necesario establecer un marco detallado y exhaustivo sobre la resiliencia operativa digital de las entidades financieras de la UE. Este marco profundizará la dimensión de gestión del riesgo digital del código normativo único. En particular, mejorará y racionalizará la gestión de los riesgos de TIC por parte de las entidades financieras, establecerá pruebas exhaustivas de los sistemas de TIC, aumentará la concienciación de los supervisores sobre los riesgos cibernéticos y los incidentes relacionados con las TIC a los que se enfrentan las entidades financieras, y facultará a los supervisores financieros para supervisar los riesgos derivados de la dependencia de proveedores terceros de servicios de TIC por parte de las entidades financieras. La propuesta creará un mecanismo coherente de notificación de incidentes que contribuirá a reducir las cargas administrativas para las entidades financieras y reforzará la eficacia de la supervisión.

La ausencia de normas detalladas y exhaustivas sobre la resiliencia operativa digital a escala de la UE ha dado lugar a la proliferación de iniciativas reguladoras nacionales (por ejemplo, sobre pruebas de resiliencia operativa digital) y enfoques de supervisión (que se centran, por ejemplo, en las dependencias de terceros en relación a las TIC). Sin embargo, la acción a nivel de los Estados miembros solo tiene un efecto limitado dada la naturaleza transfronteriza de los riesgos de TIC. Por otra parte, las iniciativas nacionales descoordinadas han dado lugar a solapamientos, incoherencias, requisitos duplicados, elevados costes administrativos y de cumplimiento —especialmente para las entidades financieras transfronterizas— o riesgos de TIC aún no detectados y, por tanto, no subsanados. Esta situación fragmenta el mercado único, socava la estabilidad e integridad del sector financiero de la UE y pone en peligro la protección de los consumidores y los inversores.

Aunque los cambios posteriores a la crisis en la legislación de la UE en materia de servicios financieros establecieron un código normativo único que contempla gran parte de los riesgos financieros asociados a los servicios financieros, no abordaron plenamente la resiliencia operativa digital. Las medidas adoptadas en relación con esta última tenían una serie de características que limitaban su eficacia. Por ejemplo, a menudo se concibieron como directivas de armonización mínima o reglamentos basados en principios, lo que dejaba un margen considerable para enfoques divergentes en todo el mercado único. Además, solo se ha prestado una atención limitada o incompleta a los riesgos de TIC en el contexto de la cobertura del riesgo operativo. Por último, estas medidas varían en función de la legislación sectorial sobre servicios financieros. Así pues, la intervención a escala de la Unión no se ajustó plenamente a lo que las entidades financieras europeas necesitan para gestionar los riesgos operativos de tal manera que resistan los incidentes relacionados con las TIC, respondan a ellos y se recuperen de su impacto. Tampoco proporcionó a los supervisores financieros las herramientas más adecuadas para cumplir sus mandatos de evitar la inestabilidad financiera derivada de la materialización de esos riesgos de TIC.

No obstante, los riesgos de TIC siguen planteando un reto para la resiliencia operativa, el funcionamiento y la estabilidad del sistema financiero de la UE. La reforma que siguió a la crisis financiera de 2008 reforzó principalmente la resiliencia financiera del sector financiero de la UE, abordando únicamente los riesgos de TIC de forma indirecta en algunos ámbitos, como parte de las medidas para abordar los riesgos operativos de manera más general.

Por lo tanto, los responsables políticos y los supervisores se han centrado cada vez más en los riesgos derivados de la dependencia de las TIC. En particular, han intentado aumentar la resiliencia de las empresas mediante el establecimiento de normas y la coordinación del trabajo de regulación o supervisión. Este trabajo se ha llevado a cabo tanto a escala internacional como europea, y tanto a nivel intersectorial como en una serie de sectores específicos, incluidos los servicios financieros.

La Comisión ha consultado a las partes interesadas a lo largo de todo el proceso de elaboración de la presente propuesta, en particular:

Hasta ahora, ningún texto legislativo de la Unión en materia de servicios financieros se ha centrado en la resiliencia operativa y ninguno ha abordado de forma exhaustiva los riesgos derivados de la digitalización, ni siquiera aquellos cuyas normas abordan de manera más general la dimensión del riesgo operativo con el riesgo de TIC como subcomponente. La intervención de la Unión ha contribuido hasta ahora a abordar las necesidades y los problemas que surgieron tras la crisis financiera de 2008: las entidades de crédito no estaban suficientemente capitalizadas, los mercados financieros no estaban suficientemente integrados y la armonización hasta ese momento se había mantenido en mínimos. Entonces no se consideró prioritario el riesgo de TIC y, como consecuencia de ello, los marcos jurídicos de los distintos subsectores financieros han evolucionado de manera descoordinada. Sin embargo, la acción de la Unión ha logrado sus objetivos de garantizar la estabilidad financiera y de establecer un conjunto único de normas prudenciales y de conducta de mercado armonizadas y aplicables a las entidades financieras en toda la UE. Dado que los factores que impulsaron la intervención legislativa de la Unión en el pasado no permitieron regular, mediante normas específicas o exhaustivas, el uso generalizado de las tecnologías digitales y los consiguientes riesgos en las finanzas, la realización de una evaluación explícita parece difícil. En cada pilar del presente Reglamento se reflejan un ejercicio de evaluación implícito y las consiguientes modificaciones legislativas.

·Evaluaciones ex post / controles de calidad de la legislación existente

3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO

El presente Reglamento también elimina las disparidades legislativas y los enfoques reguladores o de supervisión nacionales desiguales del riesgo de TIC, eliminando así los obstáculos al mercado único de los servicios financieros, en particular para el correcto ejercicio de la libertad de establecimiento y prestación de servicios por las entidades financieras con presencia transfronteriza.

Las normas propuestas no van más allá de lo necesario para alcanzar los objetivos de la propuesta. Solo cubren los aspectos que los Estados miembros no pueden alcanzar por sí solos y en los que la carga administrativa y los costes son proporcionados a los objetivos específicos y generales que deben alcanzarse.

La opción elegida generaría costes tanto puntuales como recurrentes. Los costes puntuales se deben principalmente a las inversiones en sistemas informáticos y, como tales, son difíciles de cuantificar, dado el diferente estado de los complejos entornos informáticos de las empresas y, en particular, de sus sistemas informáticos heredados. Aun así, es probable que estos costes sean limitados para las grandes empresas, habida cuenta de las importantes inversiones en TIC que ya han realizado. También se espera que los costes sean limitados para las empresas más pequeñas, ya que se aplicarían medidas proporcionadas debido a su menor riesgo.

A pesar de que la cobertura es amplia, no es exhaustiva. En particular, el presente Reglamento no incluye a los operadores de los sistemas, tal como se definen en el artículo 2, letra p), de la Directiva 98/26/CE sobre la firmeza de la liquidación en los sistemas de pagos y de liquidación de valores, ni a ningún participante en el sistema, a menos que dicho participante sea una entidad financiera regulada a nivel de la Unión y, como tal, esté cubierta por el presente Reglamento por derecho propio (es decir, entidad de crédito, empresa de servicios de inversión, entidad de contrapartida central). Además, el registro de derechos de emisión de la Unión que funciona, de conformidad con la Directiva 2003/87/CE, bajo los auspicios de la Comisión Europea también está fuera del ámbito de aplicación.

Esta cobertura facilita una aplicación homogénea y coherente de todos los componentes de la gestión de riesgos en ámbitos relacionados con las TIC, salvaguardando al mismo tiempo la igualdad de condiciones entre las entidades financieras con respecto a sus obligaciones reglamentarias en materia de riesgo de TIC. Al mismo tiempo, el Reglamento reconoce que existen diferencias significativas entre las entidades financieras en términos de tamaño, perfiles empresariales o en relación con su exposición al riesgo digital. Dado que las entidades financieras de mayor tamaño disponen de más recursos, solo las entidades financieras que no reúnan las condiciones para ser consideradas microempresas están obligadas, por ejemplo, a establecer sistemas de gobernanza complejos o funciones de gestión específicas, realizar evaluaciones en profundidad tras cambios importantes en las infraestructuras de redes y sistemas de información, realizar periódicamente análisis de riesgos sobre los sistemas de TIC heredados, y ampliar las pruebas a las que se someten los planes de continuidad de la actividad y de respuesta y recuperación para reflejar los escenarios de conmutación entre su infraestructura primaria de TIC y sus instalaciones redundantes. Además, solo se exigirá a las entidades financieras consideradas significativas a efectos de las pruebas avanzadas de resiliencia digital que lleven a cabo pruebas de penetración guiadas por amenazas («TLPT», por sus siglas en inglés).

Cabe señalar también que, si bien los efectivos (por ejemplo, nuevos miembros del personal y otros gastos relacionados con las nuevas tareas) necesarios para la supervisión directa dependerán a lo largo del tiempo de la evolución del número y el tamaño de los proveedores terceros esenciales de servicios de TIC que deban supervisarse, los gastos respectivos se financiarán íntegramente con las tasas cobradas a dichos participantes en el mercado. Por lo tanto, no se prevé ningún impacto en los créditos presupuestarios de la UE (excepto en cuanto al personal adicional), ya que estos costes se financiarán íntegramente mediante tasas.

La magnitud y distribución de estos costes dependerá del alcance de las nuevas facultades de supervisión y de las tareas (precisas) que deban desempeñar las AES. En términos de dotación de nuevos recursos de personal, la ABE, la AEVM y la AESPJ necesitarán un total de 18 puestos equivalentes a jornada completa (EJC) —6 EJC por cada autoridad— cuando entren en vigor las diferentes disposiciones de la propuesta (con un coste estimado en 15,71 millones EUR para el período 2022-2027). Las AES también incurrirán en costes informáticos adicionales, gastos de misión para las inspecciones in situ y costes de traducción (estimados en 12 millones EUR para el período 2022-2027), así como otros gastos administrativos (estimados en 2,48 millones EUR para el período 2022-2027). Por lo tanto, el impacto del coste total estimado es de aproximadamente 30,19 millones EUR para el período 2022-2027.

En cuanto a las implicaciones presupuestarias, dado que el Reglamento actual prevé un papel reforzado de las AES mediante las facultades que les son conferidas para supervisar adecuadamente a proveedores terceros esenciales de TIC, la propuesta implicaría el despliegue de más recursos, en particular para cumplir las misiones de supervisión (como las inspecciones in situ y en línea y los ejercicios de auditoría), y el uso de personal que posea conocimientos técnicos en materia de seguridad de las TIC.

La UE se ha comprometido a garantizar un alto nivel de protección de los derechos fundamentales. Todos los acuerdos voluntarios de intercambio de información entre entidades financieras que promueve el presente Reglamento se llevarían a cabo en entornos de confianza respetando plenamente las normas de protección de datos de la Unión, en particular el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, en particular cuando el tratamiento de datos personales sea necesario para satisfacer un interés legítimo perseguido por el responsable del tratamiento de los datos.

En particular, los contratos que rijan esa relación deberán contener una descripción completa de los servicios, la indicación de los lugares en los que deben procesarse los datos, descripciones completas del nivel de servicio acompañadas de objetivos de rendimiento cuantitativos y cualitativos, disposiciones pertinentes sobre accesibilidad, disponibilidad, integridad, seguridad y protección de los datos personales, y garantías de acceso, recuperación y devolución en caso de fallos de los proveedores terceros de servicios de TIC, plazos de preaviso y obligaciones de información de los proveedores terceros de servicios de TIC, derechos de acceso, inspección y auditoría por parte de la entidad financiera o de un tercero designado, derechos de rescisión claros y estrategias de salida específicas. Además, dado que algunos de estos elementos contractuales pueden normalizarse, el Reglamento promueve el uso voluntario de cláusulas contractuales tipo que la Comisión debe desarrollar para el uso del servicio de computación en nube.

La resiliencia operativa digital se basa en un conjunto de principios y requisitos clave sobre el marco de gestión de riesgos de TIC, en consonancia con el asesoramiento técnico conjunto de las AES. Estos requisitos, inspirados en las normas, directrices y recomendaciones internacionales, nacionales y sectoriales, giran en torno a funciones específicas en la gestión de riesgos de TIC (identificación, protección y prevención, detección, respuesta y recuperación, aprendizaje y evolución, y comunicación). Para poder seguir haciendo frente a la naturaleza cambiante de las ciberamenazas, las entidades financieras deben crear y mantener sistemas y herramientas de TIC resilientes que minimicen el impacto del riesgo de TIC, identificar de forma continua todas las fuentes de riesgo de TIC, establecer medidas de protección y prevención, detectar rápidamente actividades anómalas, poner en marcha políticas específicas y exhaustivas de continuidad de la actividad y planes de recuperación en caso de catástrofe como parte integrante de la política de continuidad de la actividad operativa. Estos últimos componentes son necesarios para una rápida recuperación tras incidentes relacionados con las TIC, en particular ciberataques, limitando los daños y dando prioridad a la reanudación segura de las actividades. El Reglamento no impone por sí mismo una normalización específica, sino que se basa en normas técnicas europeas e internacionalmente reconocidas o en las buenas prácticas del sector, en la medida en que se ajustan plenamente a las instrucciones de supervisión sobre el uso y la incorporación de dichas normas internacionales. El presente Reglamento también cubre la integridad, la seguridad y la resiliencia de las infraestructuras e instalaciones físicas que sustentan el uso de la tecnología y los procesos y personas pertinentes relacionados con las TIC, como parte de la huella digital de las operaciones de una entidad financiera.

(12)El presente Reglamento tiene por objeto, en primer lugar, consolidar y actualizar los requisitos relativos al riesgo de TIC abordados por separado hasta ahora en los diferentes Reglamentos y Directivas. Aunque esos actos jurídicos de la Unión cubrían las principales categorías de riesgo financiero (por ejemplo, riesgo de crédito, riesgo de mercado, riesgo de contraparte y riesgo de liquidez, riesgo de conducta de mercado), no pudieron abordar de manera exhaustiva, en el momento de su adopción, todos los componentes de la resiliencia operativa. Los requisitos en materia de riesgo operativo, cuando se desarrollaron más en estos actos jurídicos de la Unión, a menudo favorecieron un enfoque cuantitativo tradicional para abordar el riesgo (a saber, establecer un requisito de capital para cubrir los riesgos de TIC) en lugar de consagrar requisitos cualitativos específicos para impulsar las capacidades mediante requisitos orientados a las capacidades de protección, detección, contención, recuperación y reparación frente a incidentes relacionados con las TIC o mediante el establecimiento de capacidades de notificación y pruebas digitales. El objetivo principal de dichas Directivas y Reglamentos era recoger normas esenciales sobre supervisión prudencial, conducta o integridad del mercado.

(11)Dado que el código normativo único no ha ido acompañado de un marco global del riesgo operativo o de TIC, es necesaria una mayor armonización de los requisitos clave de resiliencia operativa digital para todas las entidades financieras. Las capacidades y la resiliencia general que las entidades financieras, sobre la base de estos requisitos clave, desarrollarían con vistas a hacer frente a las interrupciones operativas, contribuirían a preservar la estabilidad e integridad de los mercados financieros de la Unión y, de este modo, a garantizar un elevado nivel de protección de los inversores y consumidores de la Unión. Puesto que el objetivo del presente Reglamento es contribuir al buen funcionamiento del mercado único, debe basarse en las disposiciones del artículo 114 del TFUE, interpretado de conformidad con la jurisprudencia reiterada del Tribunal de Justicia de la Unión Europea.

(10)La forma parcial en que las disposiciones relacionadas con el riesgo de TIC se han abordado hasta ahora a escala de la Unión pone de manifiesto lagunas o solapamientos en ámbitos importantes, como la notificación de incidentes relacionados con las TIC y las pruebas de resiliencia operativa digital, y genera incoherencias debido a la aparición de normas nacionales divergentes o a la aplicación ineficaz en costes de normas que se solapan. Esto es especialmente perjudicial para los usuarios intensivos de las TIC, como el sector financiero, ya que los riesgos tecnológicos no tienen fronteras y el sector financiero despliega sus servicios a escala transfronteriza dentro y fuera de la Unión.

(9)Las disparidades legislativas y los enfoques reguladores o de supervisión nacionales desiguales del riesgo de TIC obstaculizan el mercado único de los servicios financieros, impidiendo el correcto ejercicio de la libertad de establecimiento y la prestación de servicios para las entidades financieras con presencia transfronteriza. La competencia entre el mismo tipo de entidades financieras que operan en diferentes Estados miembros también puede verse falseada. En particular, en ámbitos en los que la armonización de la Unión ha sido muy limitada (como las pruebas de resiliencia operativa digital) o inexistente (como el seguimiento del riesgo de terceros relacionado con las TIC), las disparidades derivadas de la evolución prevista a nivel nacional podrían generar nuevos obstáculos al funcionamiento del mercado único en detrimento de los participantes en el mercado y la estabilidad financiera.

(8)El sector financiero de la Unión está regulado por un código normativo único armonizado y cubierto por un sistema europeo de supervisión financiera. No obstante, las disposiciones que abordan la resiliencia operativa digital y la seguridad de las TIC aún no están plena o coherentemente armonizadas, a pesar de que la resiliencia operativa digital es vital para garantizar la estabilidad financiera y la integridad del mercado en la era digital, y no menos importante que, por ejemplo, las normas comunes prudenciales o de conducta de mercado. Por consiguiente, deben desarrollarse el código normativo único y el sistema de supervisión para abarcar también este componente, ampliando los mandatos de los supervisores financieros encargados de supervisar y proteger la estabilidad financiera y la integridad del mercado.

(3)La Junta Europea de Riesgo Sistémico (JERS) ha reafirmado en un informe de 2020 sobre el ciberriesgo sistémico que el elevado nivel actual de interconexión entre entidades financieras, mercados financieros e infraestructuras de los mercados financieros, y en particular las interdependencias de sus sistemas de TIC, puede constituir una vulnerabilidad sistémica, ya que los ciberincidentes localizados podrían propagarse rápidamente desde cualquiera de las aproximadamente 22 000 entidades financieras de la Unión a todo el sistema financiero, sin que los límites geográficos supongan un obstáculo. Los fallos de TIC graves en las finanzas no afectan únicamente a las entidades financieras de forma aislada. También allanan el camino para la propagación de vulnerabilidades localizadas a través de los canales de transmisión financieros y pueden provocar consecuencias adversas para la estabilidad del sistema financiero de la Unión, generando un pánico de liquidez y una pérdida general de confianza en los mercados financieros.

(2)El uso de las TIC ha adquirido en las últimas décadas un papel fundamental en las finanzas, asumiendo hoy una importancia crítica en el desarrollo de las funciones cotidianas típicas de todas las entidades financieras. La digitalización abarca, por ejemplo, los pagos, que han pasado cada vez más de la utilización de efectivo y métodos basados en papel al uso de soluciones digitales, así como la compensación y liquidación de valores, la negociación electrónica y algorítmica, las operaciones de préstamo y financiación, la financiación entre particulares, la calificación crediticia, la suscripción de seguros, la gestión de siniestros y las operaciones administrativas. No solo se ha digitalizado en gran medida todo el sector financiero, sino que la digitalización también ha profundizado las interconexiones y dependencias, tanto dentro de este, como con proveedores terceros de infraestructuras y servicios.

(1)En la era digital, las tecnologías de la información y la comunicación (TIC) sustentan sistemas complejos utilizados en actividades cotidianas de la sociedad. Mantienen el funcionamiento de sectores clave de nuestras economías, incluidas las finanzas, y mejoran el funcionamiento del mercado único. El aumento de la digitalización y la interconexión también amplifica los riesgos de las TIC, haciendo que la sociedad en su conjunto —y el sistema financiero en particular— sea más vulnerable a las ciberamenazas o a las perturbaciones de las TIC. Si bien el uso ubicuo de los sistemas de TIC y la alta digitalización y conectividad son hoy en día características fundamentales de todas las actividades de las entidades financieras de la Unión, la resiliencia digital aún no está suficientemente integrada en sus marcos operativos.

Visto el Tratado de Funcionamiento de la Unión Europea y, en particular, su artículo 114,

(27)Aunque hay algunas normas generales sobre externalización en algunos actos legislativos de la Unión en materia de servicios financieros, el seguimiento de la dimensión contractual no está plenamente establecido en la legislación de la Unión. A falta de normas claras y específicas de la Unión aplicables a los acuerdos contractuales celebrados con los proveedores terceros de servicios de TIC, no se aborda de manera exhaustiva la fuente externa de riesgo de TIC. Por consiguiente, es necesario establecer determinados principios clave para orientar la gestión por parte de las entidades financieras del riesgo de terceros relacionado con las TIC, junto con un conjunto de derechos contractuales básicos en relación con varios elementos de la ejecución y rescisión de contratos, con vistas a consagrar determinadas salvaguardias mínimas que sustenten la capacidad de las entidades financieras de supervisar eficazmente todos los riesgos que se deriven de terceros proveedores de TIC.

(26)Este amplio uso de los servicios de TIC se pone de manifiesto en acuerdos contractuales complejos, en los que las entidades financieras a menudo encuentran dificultades a la hora de negociar condiciones contractuales adaptadas a las normas prudenciales u otros requisitos reglamentarios a los que están sujetas, o a la hora de hacer valer derechos específicos, como los derechos de acceso o auditoría, cuando estos últimos están consagrados en los acuerdos. Además, muchos de estos contratos no ofrecen suficientes salvaguardias que permitan un control completo de los procesos de subcontratación, privando así a la entidad financiera de su capacidad para evaluar estos riesgos asociados. Además, dado que los proveedores terceros de servicios de TIC a menudo prestan servicios normalizados a distintos tipos de clientes, tales contratos pueden no siempre satisfacer adecuadamente las necesidades individuales o específicas de los agentes del sector financiero.

(24)Además, cuando no se requieren pruebas, no se detectan las vulnerabilidades, lo que supone un mayor riesgo para la entidad financiera y, en última instancia, para la estabilidad y la integridad del sector financiero. Sin la intervención de la Unión, las pruebas de resiliencia operativa digital seguirían siendo desiguales y no habría un reconocimiento mutuo de los resultados de las pruebas en diferentes países. Asimismo, dado que es poco probable que otros subsectores financieros adopten tales sistemas a una escala significativa, desaprovecharían las ventajas potenciales, como revelar vulnerabilidades y riesgos, poner a prueba las capacidades de defensa y la continuidad de las actividades, y aumentar la confianza de los clientes, los proveedores y los socios comerciales. Para poner remedio a tales solapamientos, divergencias y lagunas, es necesario establecer normas destinadas a que las entidades financieras y las autoridades competentes realicen pruebas coordinadas, facilitando así el reconocimiento mutuo de pruebas avanzadas para las entidades financieras significativas.

(23)Los requisitos de las pruebas de resiliencia operativa digital se han desarrollado en algunos subsectores financieros dentro de varios marcos nacionales no coordinados que abordan los mismos problemas de manera diferente. Esto da lugar a la duplicación de costes para las entidades financieras transfronterizas y dificulta el reconocimiento mutuo de los resultados. Por lo tanto, las pruebas no coordinadas pueden segmentar el mercado único.

(19)Los proveedores de servicios de computación en nube son una categoría de proveedores de servicios digitales cubiertos por la Directiva (UE) 2016/1148. Como tales, están sujetos a una supervisión ex post llevada a cabo por las autoridades nacionales designadas con arreglo a dicha Directiva, que se limita a los requisitos de seguridad de TIC y notificación de incidentes establecidos en dicho acto. Dado que el marco de supervisión establecido por el presente Reglamento se aplica a todos los proveedores terceros esenciales de servicios de TIC, incluidos los proveedores de servicios de computación en nube, cuando presten servicios de TIC a entidades financieras, debe considerarse complementario de la supervisión que se está llevando a cabo en virtud de la Directiva (UE) 2016/1148. Además, el marco de supervisión establecido por el presente Reglamento debe abarcar a los proveedores de servicios de computación en nube en ausencia de un marco horizontal de la Unión aplicable a todos los sectores que establezca una autoridad de supervisión digital.

(18)También es importante asegurar la coherencia con la Directiva sobre infraestructuras críticas europeas (ICE), que se está revisando actualmente para mejorar la protección y la resiliencia de las infraestructuras críticas frente a las amenazas no cibernéticas, lo cual puede tener repercusiones en el sector financiero.

(29)Teniendo en cuenta los posibles riesgos sistémicos derivados del aumento de las prácticas de externalización y de la concentración de terceros en el sector de las TIC, y asimismo la insuficiencia de los mecanismos nacionales que permiten a los supervisores financieros cuantificar, calificar y corregir las consecuencias de los riesgos de TIC que se producen en proveedores terceros esenciales de servicios de TIC, es necesario establecer un marco de supervisión de la Unión adecuado que permita un seguimiento continuo de las actividades de los proveedores terceros de servicios de TIC que sean proveedores esenciales para las entidades financieras.

(30)Dado que las amenazas relacionadas con las TIC son cada vez más complejas y sofisticadas, las buenas medidas de detección y prevención dependen sustancialmente del intercambio periódico de información sobre amenazas y vulnerabilidades entre las entidades financieras. El intercambio de información contribuye a una mayor concienciación sobre las ciberamenazas, lo que, a su vez, mejora la capacidad de las entidades financieras para evitar que las amenazas se materialicen en incidentes reales y permite a las entidades financieras contener mejor los efectos de los incidentes relacionados con las TIC y recuperarse de manera más eficiente. A falta de orientaciones a escala de la Unión, varios factores parecen haber impedido este intercambio de información, en particular la incertidumbre sobre la compatibilidad con las normas de protección de datos, de defensa de la competencia y de responsabilidad.

(31)Además, las dudas sobre el tipo de información que puede compartirse con otros participantes en el mercado o con autoridades no supervisoras (como la ENISA, para información analítica, o Europol, con fines policiales) hacen que no se comparta información útil. El alcance y la calidad del intercambio de información sigue siendo limitado y fragmentado, ya que los intercambios pertinentes se realizan principalmente a nivel local (a través de iniciativas nacionales) y no existen mecanismos coherentes de intercambio de información a escala de la Unión adaptados a las necesidades de un sector financiero integrado.

(32)Por consiguiente, debe alentarse a las entidades financieras a aprovechar colectivamente sus conocimientos individuales y su experiencia práctica a nivel estratégico, táctico y operativo, con el fin de mejorar sus capacidades para evaluar y supervisar las ciberamenazas, defenderse de ellas y responder a las mismas, todo ello de forma adecuada. Por lo tanto, es necesario permitir la aparición a escala de la Unión de mecanismos de intercambio voluntario de información que, cuando se apliquen en entornos de confianza, ayuden a la comunidad financiera a prevenir y responder colectivamente a las amenazas, limitando rápidamente la propagación de los riesgos de TIC e impidiendo el posible contagio a través de los canales financieros. Estos mecanismos deben utilizarse respetando plenamente las normas de competencia de la Unión aplicables, así como de manera que se garantice el pleno respeto de las normas de la Unión en materia de protección de datos, principalmente el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, en particular en el contexto del tratamiento de datos personales necesario para la satisfacción de los intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, tal como se contempla en el artículo 6, apartado 1, letra f), de dicho Reglamento.

(33)Sin perjuicio de la amplia cobertura prevista en el presente Reglamento, la aplicación de las normas de resiliencia operativa digital debe tener en cuenta las diferencias significativas entre entidades financieras en términos de tamaño, perfiles empresariales o exposición al riesgo digital. Como principio general, al destinar recursos y capacidades a la aplicación del marco de gestión de riesgos de TIC, las entidades financieras deben equilibrar debidamente sus necesidades relacionadas con las TIC con su tamaño y perfil empresarial, mientras que las autoridades competentes deben seguir evaluando y revisando el enfoque de dicha distribución.

(34)Dado que las entidades financieras de mayor tamaño pueden disponer de recursos más amplios y podrían movilizar rápidamente fondos para desarrollar estructuras de gobernanza y establecer diversas estrategias empresariales, solo las entidades financieras que no sean microempresas en el sentido del presente Reglamento deben estar obligadas a establecer mecanismos de gobernanza más complejos. Estas entidades están mejor equipadas, en particular, para establecer funciones de gestión específicas encaminadas a supervisar los acuerdos con proveedores terceros de servicios de TIC o a abordar la gestión de crisis, para organizar su gestión de riesgos de TIC con arreglo a las tres líneas del modelo de defensa, o para adoptar un documento de recursos humanos que explique exhaustivamente las políticas de derechos de acceso.

Del mismo modo, solo estas entidades financieras deben estar obligadas a llevar a cabo evaluaciones exhaustivas tras cambios importantes en los procesos y las infraestructuras de la red y los sistemas de información, a realizar periódicamente análisis de riesgos sobre los sistemas de TIC heredados, o a ampliar las pruebas efectuadas sobre los planes de continuidad de la actividad y de respuesta y recuperación para reflejar los escenarios de conmutación entre la infraestructura primaria de TIC y las instalaciones redundantes.

(35)Además, dado que solo las entidades financieras consideradas significativas a efectos de las pruebas avanzadas de resiliencia digital deben estar obligadas a llevar a cabo pruebas de penetración guiadas por amenazas, los procesos administrativos y los costes financieros derivados de la realización de dichas pruebas recaerían, en principio, en un pequeño porcentaje de entidades financieras. Por último, con el fin de aligerar la carga normativa, debe pedirse únicamente a las entidades financieras que no sean microempresas que informen periódicamente a las autoridades competentes de todos los costes y pérdidas causados por las perturbaciones de las TIC y de los resultados de las revisiones posteriores a los incidentes después de perturbaciones significativas de las TIC.

(36)Para garantizar la plena armonización y la coherencia general entre las estrategias empresariales de las entidades financieras, por una parte, y la gestión de riesgos de TIC, por otra, debe exigirse al órgano de dirección que desempeñe un papel central y activo en la dirección y adaptación del marco de gestión de riesgos de TIC y la estrategia global de resiliencia digital. El enfoque que adopte el órgano de dirección no solo debe centrarse en los medios para garantizar la resiliencia de los sistemas de TIC, sino que también debe abarcar a las personas y los procesos a través de un conjunto de políticas que promuevan, en cada nivel corporativo y para todo el personal, una fuerte concienciación sobre los riesgos cibernéticos y el compromiso de respetar una estricta ciberhigiene a todos los niveles.

La responsabilidad última del órgano de dirección en la gestión de los riesgos de TIC de una entidad financiera debe ser un principio fundamental de ese enfoque global, que se traducirá además en la implicación continua del órgano de dirección en el control del seguimiento de la gestión del riesgo de TIC.

(37)Además, la obligación del órgano de dirección de rendir plenamente cuentas va acompañada de la de garantizar un nivel de inversiones en TIC y un presupuesto global para que la entidad financiera pueda alcanzar su nivel de referencia en cuanto a la resiliencia operativa digital.

(38)Inspirándose en las pertinentes normas, directrices, recomendaciones o enfoques internacionales, nacionales y sectoriales en relación con la gestión del riesgo cibernético, el presente Reglamento promueve una serie de funciones que facilitan la estructuración general de la gestión del riesgo de TIC. Mientras las principales capacidades establecidas por las entidades financieras respondan a las necesidades de los objetivos previstos por las funciones (identificación, protección y prevención, detección, respuesta y recuperación, aprendizaje y evolución y comunicación) establecidas en el presente Reglamento, las entidades financieras seguirán teniendo libertad para utilizar modelos de gestión de riesgos de TIC que se enmarquen o categoricen de manera diferente.

(39)Para poder seguir haciendo frente a la naturaleza cambiante de las ciberamenazas, las entidades financieras deben mantener sistemas de TIC actualizados que sean fiables y estén dotados de la capacidad suficiente no solo para garantizar el tratamiento de datos necesario para la prestación de sus servicios, sino también para asegurar la resiliencia tecnológica que permita a las entidades financieras satisfacer adecuadamente las necesidades de tratamiento adicionales que un tensionamiento del mercado u otras situaciones adversas puedan generar. Aunque el presente Reglamento no implica ninguna normalización de sistemas, herramientas o tecnologías de TIC específicos, se basa en el uso adecuado por parte de las entidades financieras de las normas técnicas europeas e internacionalmente reconocidas (por ejemplo, ISO) o de las buenas prácticas del sector, en la medida en que dicho uso se ajuste plenamente a las instrucciones específicas de supervisión sobre el uso y la incorporación de normas internacionales.

(40)Se requieren planes eficientes de continuidad y recuperación de las actividades para que las entidades financieras puedan resolver pronta y rápidamente los incidentes relacionados con las TIC, en particular los ciberataques, limitando los daños y dando prioridad a la reanudación de las actividades y a las acciones de recuperación. No obstante, si bien los sistemas de copia de seguridad deben comenzar el tratamiento sin demoras indebidas, dicho inicio no debe en modo alguno poner en peligro la integridad y la seguridad de las redes y los sistemas de información ni la confidencialidad de los datos.

(41)Si bien el presente Reglamento permite a las entidades financieras determinar los objetivos de tiempo de recuperación de manera flexible y, por tanto, fijar tales objetivos teniendo plenamente en cuenta la naturaleza y el carácter esencial de la función pertinente y las necesidades comerciales específicas, al determinar dichos objetivos también debe exigirse una evaluación del posible impacto global en la eficiencia del mercado.

(42)Las consecuencias importantes de los ciberataques se amplifican cuando se producen en el sector financiero, un ámbito que corre mucho más riesgo de ser blanco de propagadores malintencionados que persiguen obtener beneficios financieros directamente en la fuente. Para mitigar tales riesgos y evitar que los sistemas de TIC pierdan integridad o dejen de estar disponibles, y que se vulneren datos confidenciales o que las infraestructuras físicas de TIC sufran daños, debe mejorarse significativamente la notificación de incidentes graves relacionados con las TIC por parte de las entidades financieras.

La notificación de incidentes relacionados con las TIC debe armonizarse para todas las entidades financieras exigiéndoles que informen únicamente a sus autoridades competentes. Aunque todas las entidades financieras estarían sujetas a esta notificación, no todas ellas deberían verse afectadas de la misma manera, ya que los umbrales de importancia relativa y los plazos pertinentes deben calibrarse para reflejar únicamente los incidentes graves relacionados con las TIC. La notificación directa permitiría a los supervisores financieros acceder a información sobre incidentes relacionados con las TIC. No obstante, los supervisores financieros deben transmitir esta información a las autoridades públicas no financieras (autoridades competentes en materia de SRI, autoridades nacionales de protección de datos y autoridades policiales o judiciales en caso de incidentes de carácter delictivo). La información sobre incidentes relacionados con las TIC debe canalizarse mutuamente: los supervisores financieros deben proporcionar a la entidad financiera todas las observaciones u orientaciones necesarias, mientras que las AES deben compartir datos anonimizados sobre amenazas y vulnerabilidades relacionadas con un determinado suceso para contribuir a una defensa colectiva más amplia.

(43)Debe preverse una mayor reflexión sobre la posible centralización de los informes de incidentes relacionados con las TIC a través de un único centro neurálgico de la UE que, bien reciba directamente los informes pertinentes y los notifique automáticamente a las autoridades nacionales competentes, bien centralice simplemente los informes transmitidos por las autoridades nacionales competentes y desempeñe una función de coordinación. Debe exigirse a las AES que, consultando con el BCE y la ENISA y antes de una fecha determinada, elaboren un informe conjunto en el que se estudie la viabilidad de crear dicho centro neurálgico de la UE.

(44)Con el fin de lograr una sólida resiliencia operativa digital, y en consonancia con las normas internacionales (por ejemplo, los Elementos Fundamentales del G7 para las pruebas de penetración guiadas por amenazas), las entidades financieras deben probar periódicamente su personal y sus sistemas de TIC con respecto a la efectividad de sus capacidades de prevención, detección, respuesta y recuperación, a fin de descubrir y abordar posibles vulnerabilidades de TIC. Para responder a las diferencias entre los subsectores financieros y dentro de ellos en relación con la preparación de las entidades financieras en materia de ciberseguridad, las pruebas deben incluir una amplia variedad de herramientas y acciones, que van desde una evaluación de los requisitos básicos (por ejemplo, evaluaciones y exploraciones de vulnerabilidad, análisis del código abierto, evaluaciones de la seguridad de la red, análisis de carencias, revisiones de seguridad física, cuestionarios y soluciones de software de exploración, revisiones del código fuente cuando sea posible, pruebas basadas en escenarios, pruebas de compatibilidad, pruebas de rendimiento o pruebas de extremo a extremo) hasta pruebas más avanzadas (por ejemplo, pruebas de penetración guiadas por amenazas en el caso de las entidades financieras suficientemente maduras desde la perspectiva de las TIC para realizar estas pruebas). Las pruebas de resiliencia operativa digital deberían, por tanto, ser más exigentes para las entidades financieras significativas (como grandes entidades de crédito, bolsas de valores, depositarios centrales de valores, entidades de contrapartida central, etc.). Al mismo tiempo, las pruebas de resiliencia operativa digital también deberían ser más relevantes para algunos subsectores que desempeñan un papel sistémico fundamental (por ejemplo, pagos, banca, compensación y liquidación) y menos relevantes para otros subsectores (por ejemplo, gestores de activos, agencias de calificación crediticia, etc.). Las entidades financieras transfronterizas que ejerzan su libertad de establecimiento o prestación de servicios en la Unión deben cumplir un único conjunto de requisitos de pruebas avanzadas (por ejemplo, pruebas de penetración guiadas por amenazas) en su Estado miembro de origen, y dicha prueba debe incluir las infraestructuras de TIC en todos los países o territorios en los que el grupo transfronterizo opere dentro de la Unión, permitiendo así que los grupos transfronterizos solo incurran en costes de pruebas en un país.

(45)Para garantizar un seguimiento sólido del riesgo de terceros relacionado con las TIC, es necesario establecer un conjunto de normas basadas en principios para orientar el seguimiento por parte de las entidades financieras de los riesgos que surgen en el contexto de las funciones externalizadas a proveedores terceros de servicios de TIC y, de manera más general, en el contexto de las dependencias de terceros relacionadas con las TIC.