EUROOPA KOMISJON Brüssel,24.9.2020 COM(2020) 595 final 2020/0266(COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014 ja (EL) nr 909/2014 (EMPs kohaldatav tekst) {SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}



SELETUSKIRI 1.ETTEPANEKU TAUST ·Ettepaneku põhjused ja eesmärgid See ettepanek on osa digirahanduse paketist. See on meetmepakett, mille eesmärk on kasutada ja toetada digirahanduse potentsiaali innovatsiooni ja konkurentsi valdkonnas, maandades samal ajal riske See on kooskõlas komisjoni prioriteetidega muuta Euroopa digiajastule vastavaks ja rajada tulevikuks sobiv ja inimeste hüvanguks toimiv majandus. Digirahanduse pakett sisaldab ELi finantssektori uut digirahanduse strateegiat, mille eesmärk on tagada, et EL kasutaks digirevolutsiooni võimalusi ja juhiks seda koos innovatiivsete Euroopa ettevõtjatega, et teha digirahanduse eelised kättesaadavaks tarbijatele ja ettevõtjatele. Lisaks sellele ettepanekule sisaldab pakett ka ettepanekut võtta vastu määrus krüptovaraturgude kohta, ettepanekut võtta vastu määrus hajusraamatu tehnoloogial põhinevate turutaristute katsekorra kohta ja ettepanekut võtta vastu direktiiv teatavate seonduvate ELi finantsteenuste normide selgitamiseks või muutmiseks. Finantssektoris on digiteerimine ja tegevuskerksus ühe mündi kaks poolt. Digi- ehk info- ja kommunikatsioonitehnoloogia (IKT) tekitab nii võimalusi kui ka riske. Neid on vaja hästi mõista ja juhtida, eriti pingelisel ajal. Seepärast on poliitikakujundajad ja järelevalveasutused keskendunud üha enam riskidele, mis tulenevad IKTst sõltumisest. Nad on eelkõige püüdnud suurendada ettevõtjate vastupanuvõimet standardite kehtestamise ning regulatiivse või järelevalvealase töö koordineerimise kaudu. Seda tööd on tehtud nii rahvusvahelisel kui ka Euroopa tasandil, nii tööstusharude lõikes kui ka mitmes konkreetses sektoris, sealhulgas finantsteenuste sektoris. IKT-riskid on aga jätkuvalt probleem ELi finantssüsteemi tegevuskerksuse, suutlikkuse ja stabiilsuse jaoks. 2008. aasta finantskriisile järgnenud reformiga tugevdati peamiselt ELi finantssektori finantsvastupidavust; IKT-riske käsitleti ainult kaudselt ja üksikutes valdkondades, osana meetmetest, millega tegeleti operatsiooniriskidega laiemalt. ELi finantsteenuseid käsitlevates õigusaktides kriisi järel tehtud muudatustega loodi küll ühtne reeglistik, mis reguleerib suurt osa finantsteenustega seotud finantsriskidest, kuid need ei käsitlenud täielikult digitaalset tegevuskerksust. Viimasega seoses võetud meetmeid iseloomustasid mitmed omadused, mis piirasid nende tulemuslikkust. Näiteks olid need sageli kavandatud minimaalse ühtlustamise direktiivide või põhimõtetel põhinevate määrustena ning jätsid ühtsel turul palju ruumi erinevatele lähenemisviisidele. Lisaks on IKT-riske käsitletud operatsiooniriski kontekstis ainult piiratult või mittetäielikult. Peale selle on need meetmed finantsteenuseid käsitlevate valdkondlike õigusaktide lõikes erinevad. Seega ei vastanud sekkumine liidu tasandil täielikult sellele, mida Euroopa finantssektori ettevõtjad vajasid operatsiooniriskide juhtimiseks viisil, mis võimaldaks IKTga seotud intsidentide mõjuga toime tulla, sellele reageerida ja sellest taastuda. Samuti ei andnud see finantsjärelevalveasutustele kõige sobivamaid vahendeid ülesannete täitmiseks, et vältida kõnealuste IKT-riskide realiseerumisest tulenevat finantsilist ebastabiilsust. Asjaolu, et ELi tasandil ei ole üksikasjalikke ja laiahaardelisi norme digitaalse tegevuskerksuse kohta, on toonud kaasa palju erinevaid riiklikke regulatiivseid algatusi (nt digitaalse tegevuskerksuse testimise kohta) ja järelevalvealaseid lähenemisviise (mis käsitlevad näiteks sõltuvust IKT-teenuseid osutavatest kolmandatest isikutest). Liikmesriikide tasandi meetmetel on aga ainult piiratud mõju, kuna IKT-riskid on laadilt piiriülesed. Lisaks on koordineerimata riiklikud algatused põhjustanud kattuvust, ebaühtlust, dubleerivaid nõudeid, suuri haldus- ja nõuete täitmisega seotud kulusid – eelkõige piiriüleste finantssektori ettevõtjate jaoks – või IKT-riskide avastamata ja järelikult käsitlemata jäämist. See olukord killustab ühtset turgu, kahjustab ELi finantssektori stabiilsust ja usaldusväärsust ning seab ohtu investorite ja tarbijate kaitse. Seepärast on vaja luua ELi finantssektori ettevõtjate jaoks üksikasjalik ja laiahaardeline digitaalse tegevuskerksuse raamistik. See raamistik süvendab ühtse reeglistiku digiriski juhtimise mõõdet. Eelkõige tõhustab ja ühtlustab see IKT-riskide juhtimist finantssektori ettevõtjate poolt, kehtestab IKT-süsteemide põhjaliku testimise, suurendab järelevalveasutuste teadlikkust finantssektori ettevõtjate küberriskidest ja IKTga seotud intsidentidest ning annab finantsjärelevalveasutustele õiguse jälgida riske, mis tulenevad finantssektori ettevõtjate sõltuvusest kolmandast isikust IKT-teenuste osutajatest. Ettepanekuga luuakse ühtne intsidentidest teatamise mehhanism, mis aitab vähendada finantssektori ettevõtjate halduskoormust ja suurendada järelevalve tulemuslikkust. ·Kooskõla poliitikavaldkonnas praegu kehtivate õigusnormidega Käesolev ettepanek on osa Euroopa ja rahvusvahelisel tasandil käimasolevast laiemast tööst, mille eesmärk on tugevdada küberturvalisust finantsteenuste valdkonnas ja käsitleda laiemalt operatsiooniriske. See vastab ka Euroopa järelevalveasutuste 2019. aasta ühisele tehnilisele nõuandele, milles kutsuti üles kasutama rahanduse valdkonnas IKT-riskide puhul ühtsemat lähenemisviisi ja soovitati komisjonil proportsionaalselt tugevdada finantsteenuste sektori digitaalset tegevuskerksust ELi sektoripõhise algatuse kaudu. Euroopa järelevalveasutuste nõuanne oli vastus komisjoni 2018. aasta finantstehnoloogia tegevuskavale. ·Kooskõla muude liidu tegevuspõhimõtetega Nagu märkis president von der Leyen oma poliitilistes suunistes ja nagu on mainitud teatises „Euroopa digituleviku kujundamine“, on väga oluline, et Euroopa kasutaks ära kõik digiajastu hüved ning tugevdaks oma tööstust ja innovatsioonisuutlikkust ohututes ja eetilistes piirides. Euroopa andmestrateegias on sätestatud neli sammast – andmekaitse, põhiõigused, turvalisus ja küberjulgeolek –, mis on andmepõhise ühiskonna olulised eeltingimused. Euroopa Parlament tegeleb digirahanduse aruandega, milles nõutakse muu hulgas ühist lähenemist finantssektori küberkerksusele. ELi finantssektori ettevõtjate digitaalset tegevuskerksust suurendav õigusraamistik on nende poliitikaeesmärkidega kooskõlas. Ettepanek toetaks ka poliitikat, mille eesmärk on koroonaviirusest taastumine, kuna see tagaks, et suurem tuginemine digirahandusele käib käsikäes tegevuskerksusega. Algatus säilitaks küberturvalisuse horisontaalse raamistiku (nt võrgu- ja infosüsteemide turvalisuse direktiiv ehk küberturvalisuse direktiiv) eelised. Finantssektor jääks tihedalt seotuks võrgu- ja infosüsteemide turvalisuse koostööorganiga ning finantsjärelevalveasutused saaksid vahetada asjakohast teavet olemasolevas võrgu- ja infosüsteemide ökosüsteemis. See algatus oleks kooskõlas Euroopa elutähtsate infrastruktuuride direktiiviga, mida vaadatakse praegu läbi, et suurendada elutähtsate infrastruktuuride kaitset ja vastupidavust muude kui küberohtude suhtes. Käesolev ettepanek on täielikult kooskõlas julgeolekuliidu strateegiaga, milles nõuti algatust, mis käsitleks finantssektori digitaalset tegevuskerksust, sest see sektor sõltub palju IKT-teenustest ja on küberrünnete suhtes väga haavatav. 2.ÕIGUSLIK ALUS, SUBSIDIAARSUS JA PROPORTSIONAALSUS ·Õiguslik alus Kavandatava määruse õiguslik alus on ELi toimimise lepingu artikkel 114. Sellega kõrvaldatakse finantsteenuste siseturu tõkked ning parandatakse selle väljakujundamist ja toimimist, ühtlustades norme, mida kohaldatakse IKT-riskide juhtimise, teavitamise, testimise ja kolmandast isikust tulenevate IKT-riskide valdkonnas. Selles valdkonnas on praegu nii seadusandlikul kui ka järelevalvetasandil, samuti riiklikul ja ELi tasandil, lahknevusi, mis kujutavad endast finantsteenuste ühtse turu jaoks tõkkeid, sest piiriüleselt tegutsevad finantssektori ettevõtjad puutuvad kokku erinevate või kattuvate regulatiivsete nõuete või järelevalveootustega ning see võib takistada neid asutamisvabadust ja teenuste osutamise vabadust kasutamast. Erinevad normid moonutavad ka eri liikmesriikides tegutsevate sama tüüpi finantssektori ettevõtjate vahelist konkurentsi. Valdkondades, kus ühtlustamist ei ole toimunud või see on osaline või piiratud, võib lahknevate – kas juba jõustunud või riiklikul tasandil vastuvõtmisel ja rakendamisel – riiklike normide või lähenemisviiside arendamine kahjustada finantsteenuste puhul ühtse turu vabadusi. See kehtib eelkõige digitaalsete operatiivsete testimisraamistike ning kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate järelevalve puhul.

Kuna ettepanek mõjutab mitut ELi toimimise lepingu artikli 53 lõike 1 alusel vastu võetud Euroopa Parlamendi ja nõukogu direktiivi, võetakse samal ajal vastu ka direktiivi ettepanek, et kajastada kõnealuste direktiivide vajalikke muudatusi. ·Subsidiaarsus Kuna finantsteenused on üksteisega väga tihedalt seotud, finantssektori ettevõtjad tegutsevad suuresti piiriüleselt ja finantssektor tervikuna sõltub suurel määral kolmandast isikust IKT-teenuste osutajatest, tuleb võimaldada suurt digitaalset tegevuskerksust, mis on üldistes huvides, et hoida ELi finantsturgude usaldusväärsust. Ebaühtlastest või osalistest raamistikest tulenevaid lahknevusi, kattuvusi või seda, et samade piiriüleselt tegutsevate või mitme tegevusloaga finantssektori ettevõtjate suhtes kohaldatakse ühtsel turul erinevaid nõudeid, saab tõhusalt käsitleda ainult liidu tasandil. Käesoleva ettepanekuga ühtlustatakse sügavalt integreeritud ja seotud sektori digitaalset tegevuskomponenti, millel enamikus muudes olulistes valdkondades on juba ühtsed normid ja järelevalve. IKTga seotud intsidentidest teatamise puhul saab halduskoormust ja rahalisi kulusid, mis on seotud erinevate liidu ja riiklikele ametiasutuste teavitamisega samast IKTga seotud intsidentist, vähendada vaid liidu ühtlustatud normidega. ELi meedet on vaja ka selleks, et edendada digitaalse tegevuskerksuse süvatestimise tulemuste vastastikust tunnustamist selliste piiriüleselt tegutsevate ettevõtjate puhul, mille suhtes liidu normide puudumise korral kohaldatakse või võidakse kohaldada eri liikmesriikides erinevaid raamistikke. Ainult liidu tasandi meetmega saab vähendada liikmesriikides kasutusele võetud testimist käsitlevate lähenemisviiside erinevusi. Kogu ELi hõlmavat meedet on vaja ka sellise probleemi lahendamiseks, et puuduvad asjakohased järelevalvevolitused kolmandast isikust IKT-teenuste osutajatest tulenevate riskide jälgimiseks, sealhulgas ELi finantssektori kontsentratsiooni- ja ülekandumisrisk. ·Proportsionaalsus Kavandatavad normid ei lähe ettepaneku eesmärkide saavutamiseks vajalikust kaugemale. Need hõlmavad ainult neid aspekte, mida liikmesriigid üksi ei suuda saavutada ning mille puhul halduskoormus ja -kulud vastavad konkreetsetele ja üldistele eesmärkidele, mida soovitakse saavutada. Proportsionaalsuse puhul on võetud arvesse nii kohaldamisala kui ka mahukust, kasutades kvalitatiivseid ja kvantitatiivseid hindamiskriteeriume. Nende eesmärk on tagada, et kuigi uued normid hõlmavad kõiki finantssektori ettevõtjaid, on nad samal ajal kohandatud vastavalt riskidele ja vajadustele, mis tulenevad nende konkreetsetest, suuruse ja äriprofiiliga seotud eripäradest. Proportsionaalsust hõlmavad ka normid IKT-riskide juhtimise, digitaalse tegevuskerksuse testimise, IKTga seotud olulistest sündmustest teatamise ja kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate järelevalve kohta. ·Vahendi valik Meetmed, mida on vaja selleks, et reguleerida IKT-riskide juhtimist, IKTga seotud intsidentidest teatamist, testimist ja kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate järelevalvet, tuleb sätestada määruses, et üksikasjalikud nõuded oleksid tegelikult ja vahetult ühetaoliselt kohaldatavad, ilma et see piiraks proportsionaalsust ja käesoleva määrusega ette nähtud erinorme. Digitaalsete operatsiooniriskide ühtne käsitlemine aitab suurendada usaldust finantssüsteemi vastu ja säilitada selle stabiilsust. Kuna määruse kasutamine aitab vähendada regulatiivset keerukust, edendab järelevalvealast ühtsust ja suurendab õiguskindlust, aitab käesolev määrus piirata ka finantssektori ettevõtjate, eelkõige piiriüleselt tegutsevate ettevõtjate nõuete täitmisega seotud kulusid, mis omakorda aitab kõrvaldada konkurentsimoonutusi. Tänu sellele määrusele kaovad ka õigusnormide erinevused ja liikmesriikide ebaühtlane regulatiivne või järelevalvealane lähenemine IKT-riskile ning seega kõrvaldatakse finantsteenuste ühtse turu, eelkõige asutamisvabaduse sujuva kasutamise ja piiriüleselt tegutsevate finantssektori ettevõtjate teenuste osutamise takistused. Ühtse reeglistiku väljatöötamisel on enamasti kasutatud määruseid ning sellesse digitaalse tegevuskerksuse komponendi lisamiseks tuleks kasutada sama õiguslikku vahendit. 3.JÄRELHINDAMISE, SIDUSRÜHMADEGA KONSULTEERIMISE JA MÕJU HINDAMISE TULEMUSED ·Praegu kehtivate õigusaktide järelhindamine või toimivuse kontroll Üheski senises liidu õigusaktis, milles käsitletakse finantsteenuseid, ei ole keskendutud tegevuskerksusele ega käsitletud põhjalikult digiteerimisest tulenevaid riske, isegi mitte nendes, milles sisalduvad õigusnormid puudutavad üldisemalt operatsiooniriski mõõdet, mille üks alamkomponent on IKT-risk. Liidu sekkumine on seni aidanud käsitleda vajadusi ja probleeme 2008. aasta finantskriisi järel: krediidiasutused ei olnud piisavalt kapitaliseeritud, finantsturud ei olnud piisavalt integreeritud ja ühtlustamine oli tolle hetkeni olnud minimaalne. IKT-riski ei peetud sel ajal prioriteediks ja finantssektori allsektorite õigusraamistikud on seetõttu arenenud koordineerimata. Liidu tegevus on siiski saavutanud oma eesmärgi tagada finantsstabiilsus ja luua üks kogum ühtlustatud usaldatavusnõudeid ja turukäitumisnorme, mida kohaldatakse kogu ELis finantssektori ettevõtjate suhtes. Kuna tegurid, mis tingisid minevikus liidu õigusliku sekkumise, ei võimaldanud käsitleda spetsiifilistes või laiahaardelistes õigusnormides digitehnoloogia laialdast kasutamist rahanduses ja sellest tulenevaid riske, tundub otsene hindamine keeruline. Kaudset hindamist ja sellest tulenevaid seadusandlikke muudatusi on kajastatud igas käesoleva määruse osas. ·Konsulteerimine sidusrühmadega Komisjon konsulteeris sidusrühmadega kogu käesoleva ettepaneku koostamise protsessi käigus, eelkõige i) korraldas komisjon spetsiaalse avaliku konsultatsiooni (19. detsember 2019 – 19. märts 2020); ii) konsulteeris komisjon üldsusega esialgse mõjuhinnangu raames (19. detsember 2019–16. jaanuar 2020); iii) konsulteerisid komisjoni talitused kahel korral liikmesriikide ekspertidega panganduse, maksete ja kindlustuse eksperdirühma raames (18. mail 2020 ja 16. juulil 2020); iv)korraldasid komisjoni talitused 2020. aasta digitaalse finantsteabe ürituste sarja raames spetsiaalse veebiseminari digitaalse tegevuskerksuse kohta (19. mai 2020).

Avaliku konsultatsiooni eesmärk oli hankida komisjonile teavet ELi võimaliku valdkondadevahelise digitaalse tegevuskerksuse raamistiku väljatöötamiseks finantsteenuste valdkonnas. Vastustest nähtus laialdane toetus spetsiaalse raamistiku kehtestamisele ning meetmetele, mis keskenduvad neljale konsultatsioonis vaadeldud valdkonnale, kuid samal ajal rõhutati vajadust tagada proportsionaalsus ning käsitleda ja selgitada hoolikalt seost küberturvalisuse direktiivi horisontaalsete normidega. Komisjon sai esialgse mõjuhinnangu kohta kaks vastust, milles vastajad käsitlesid oma tegevusega seotud konkreetseid aspekte. Liikmesriigid väljendasid 18. mail 2020 korraldatud panganduse, maksete ja kindlustuse eksperdirühma kohtumisel tugevat toetust finantssektori digitaalse tegevuskerksuse tugevdamisele meetmetega, mis on kavandatud kooskõlas komisjoni kirjeldatud nelja elemendiga. Liikmesriigid rõhutasid ka seda, et uued normid peavad olema selgelt seotud nii operatsiooniriski normidega (ELi finantsteenuseid käsitlevates õigusaktides) kui ka horisontaalsete normidega küberturvalisuse kohta (küberturvalisuse direktiiv). Teisel kohtumisel toonitasid mõned liikmesriigid, et vaja on tagada proportsionaalsus ja võtta arvesse väikeste ettevõtjate või suuremate gruppide tütarettevõtjate konkreetset olukorda ning anda järelevalvesse kaasatud riiklikele pädevatele asutustele tugevad volitused. Ettepanekus tuginetakse ka tagasisidele, mis on saadud sidusrühmade ning ELi asutuste ja institutsioonidega toimunud kohtumistel, ning võetakse seda arvesse. Sidusrühmad, sealhulgas kolmandast isikust IKT-teenuste osutajad, on üldiselt väljendanud toetust. Saadud tagasiside analüüs näitab, et normide kavandamisel nõutakse proportsionaalsuse säilitamist ning põhimõtete- ja riskipõhise lähenemisviisi kasutamist. Institutsioonidest andsid oma panuse peamiselt Euroopa Süsteemsete Riskide Nõukogu (ESRN), Euroopa järelevalveasutused, Euroopa Liidu Küberturvalisuse Amet (ENISA) ja Euroopa Keskpank (EKP), samuti liikmesriikide pädevad asutused. ·Eksperdiarvamuste kogumine ja kasutamine Käesoleva ettepaneku ettevalmistamisel tugines komisjon kvalitatiivsetele ja kvantitatiivsetele tõenditele, mis saadi tunnustatud allikatest, sealhulgas EBA ja ESMA kahest ühisest tehnilisest nõuandest. Neid täiendasid järelevalveasutuste, standardeid kehtestavate rahvusvaheliste asutuste ja juhtivate uurimisinstituutide konfidentsiaalne panus, avalikult kättesaadavad aruanded ning maailma finantssektori sidusrühmade kvantitatiivne ja kvalitatiivne panus. ·Mõju hindamine Ettepanekule on lisatud mõjuhinnang, mis esitati õiguskontrollikomiteele 29. aprillil 2020 ning kiideti heaks 29. mail 2020. Õiguskontrollikomitee soovitas mõnes valdkonnas parandusi, et i) anda rohkem teavet proportsionaalsuse tagamise viisi kohta; ii) näidata paremini seda, mil määral eelistatud variant erineb Euroopa järelevalveasutuste ühisest tehnilisest nõuandest ja miks see variant on optimaalne, ning iii) näidata täiendavalt, kuidas ettepanek on seotud kehtivate ELi õigusaktidega, sealhulgas praegu läbivaadatavate normidega. Mõjuhinnangut kohandati nimetatud punktide käsitlemiseks ja selles käsitleti ka õiguskontrollikomitee üksikasjalikumaid märkusi. Komisjon kaalus digitaalse tegevuskerksuse raamistiku väljatöötamiseks mitut poliitikavarianti. ·„Ei tee midagi“ – tegevuskerksuse norme kehtestataks jätkuvalt olemasolevate, lahknevate sätetega ELi finantsteenuste kohta, osaliselt küberturvalisuse direktiiviga ja kehtivate või tulevaste riiklike kordadega. ·Variant 1 – suuremad kapitalipuhvrid: kehtestataks täiendavad kapitalipuhvrid, et suurendada finantssektori ettevõtjate võimet katta kahjum, mis võib tuleneda digitaalse tegevuskerksuse puudumisest. ·Variant 2 – finantsteenuste digitaalset tegevuskerksust käsitlev õigusakt: ELi tasandil võimaldataks laiahaardelist raamistikku ühtsete normidega, mis käsitlevad kõigi reguleeritud finantssektori ettevõtjate digitaalse tegevuskerksuse vajadusi ja loovad järelevalveraamistiku kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatele. ·Variant 3 – finantsteenuste digitaalset tegevuskerksust käsitlev õigusakt koos tsentraliseeritud järelevalvega kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate üle: lisaks finantsteenuste digitaalset tegevuskerksust käsitleva õigusakti kehtestamisele (variant 2) loodaks uus asutus, mis teeks järelevalvet kolmandast isikust IKT-teenuste osutajate osutatavate teenuste üle. Valiti variant 2, sest sellega saavutatakse enamik kavandatud eesmärkidest viisil, mis on tulemuslik, tõhus ja kooskõlas liidu muu poliitikaga. Ka suurem osa sidusrühmadest eelistab seda varianti. Valitud variandiga kaasneks nii ühekordsete kui ka korduvate kulude kasv. Ühekordsed kulud tulenevad peamiselt IT-süsteemidesse investeerimisest ja neid on seega keeruline kvantifitseerida, kuna ettevõtjate keerukas IT-keskkond ja eelkõige IT pärandsüsteemide seis on erinev. Suurte ettevõtjate puhul on need kulud siiski tõenäoliselt piiratud, kuna nad on juba teinud IKTsse olulisi investeeringuid. Ka väiksemate ettevõtjate kulud on eeldatavasti piiratud, sest nende väiksema riski tõttu kohaldataks proportsionaalseid meetmeid. Valitud variandi majanduslik, sotsiaalne ja keskkonnamõju finantsteenuste sektoris tegutsevatele VKEdele oleks positiivne. Ettepanek annaks VKEdele selgust kohaldatavate normide koha, mis vähendab nõuete täitmisega seotud kulusid. Valitud poliitikavariant avaldaks sotsiaalset mõju peamiselt tarbijatele ja investoritele. Kui ELi finantssüsteemi digitaalne tegevuskerksus oleks suurem, vähendaks see intsidentide arvu ja keskmisi kulusid. Suurem usaldus finantsteenuste sektori vastu oleks kasulik ühiskonnale tervikuna. Mis puudutab keskkonnamõju, siis valitud poliitikavariant edendaks selliste viimase põlvkonna IKT-taristute ja -teenuste suuremat kasutamist, mis peaksid olema keskkonnasäästlikumad. ·Õigusnormide toimivus ja lihtsustamine Kui kaotataks IKTga seotud intsidentidest teatamise kattuvad nõuded, väheneks halduskoormus ja seonduvad kulud. Peale selle vähendab kulusid digitaalse tegevuskerksuse ühtlustatud testimine ja vastastikune tunnustamine ühtsel turul, seda eelkõige piiriüleste ettevõtjate jaoks, kellel võib muidu olla vaja teha liikmesriikides mitmeid teste. ·Põhiõigused

EL on pühendunud põhiõiguste kaitse kõrge taseme tagamisele. Kõik finantssektori ettevõtjate vahelised vabatahtlikud teabejagamise kokkulepped, mida käesoleva määrusega edendatakse, oleksid sellised, et teavet jagataks usaldusväärses keskkonnas, järgides täielikult liidu andmekaitsenorme, täpsemalt Euroopa Parlamendi ja nõukogu määrust (EL) 2016/679, eelkõige olukorras, kus isikuandmete töötlemine on vajalik vastutava töötleja õigustatud huvi korral. 4. MÕJU EELARVELE Mis puudutab mõju eelarvele, siis käesoleva määrusega nähakse ette Euroopa järelevalveasutuste suurem roll, andes neile volitused teha kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate üle piisavat järelevalvet, mistõttu kaasneks ettepanekuga suuremate ressursside eraldamine, eelkõige järelevalvemissioonide (nagu kohapealsed ja internetipõhised kontrollid ja auditid) tegemiseks, ja IKT turvalisuse valdkonnas spetsiifiliste eksperditeadmistega töötajate kasutamine. Kõnealuste kulude maht ja jaotus sõltub uute järelevalvevolituste ulatusest ja Euroopa järelevalveasutuste (täpsetest) ülesannetest. Mis puudutab uusi inimressursse, siis EBA, ESMA ja EIOPA vajavad pärast ettepaneku sätete kohaldamise algust kokku 18 täistööajaga töötajat – iga asutus 6 täistööajaga töötajat (hinnanguliselt 15,71 miljonit eurot aastatel 2022–2027). Euroopa järelevalveasutustele tekivad ka täiendavad IT-kulud, lähetuskulud seoses kohapealsete kontrollidega ja tõlkekulud (hinnanguliselt 12 miljonit eurot aastatel 2022–2027), samuti muud halduskulud (hinnanguliselt 2,48 miljonit eurot aastatel 2022–2027). Kogukulud on aastatel 2022–2027 hinnangute järgi seega ligikaudu 30,19 miljonit eurot. Tuleb märkida, et kuigi otseseks järelevalveks vajalike töötajate arv (nt uued töötajaid ja muud uute ülesannetega seotud kulud) sõltub aja jooksul järelevalvatavate kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate hulga ja suuruse muutumisest, rahastatakse asjaomaseid kulusid täielikult kõnealuste turuosaliste makstavatest tasudest. Järelikult ei ole nähtud ette mõju ELi eelarveassigneeringutele (v.a lisatöötajad), sest kõnealused kulud kaetakse täielikult tasudest saadavate vahenditega. Käesoleva ettepaneku finantsmõju ja mõju eelarvele on üksikasjalikult selgitatud ettepanekule lisatud finantsselgituses. 5.MUU TEAVE ·Rakenduskavad ning järelevalve, hindamise ja aruandluse kord Ettepanek sisaldab üldist kava konkreetsetele eesmärkidele avalduva mõju jälgimiseks ja hindamiseks, mistõttu peab komisjon vähemalt kolm aastat pärast jõustumist vaatama määruse läbi ja esitama Euroopa Parlamendile ja nõukogule oma peamised järeldused. Läbivaatamine peab toimuma kooskõlas komisjoni parema õigusloome suunistega. ·Ettepaneku sätete üksikasjalik selgitus Ettepanekus keskendutakse mitmele peamisele poliitikavaldkonnale, mis kujutavad endast omavahel seotud põhisambaid, mis on konsensuse alusel lisatud Euroopa ja rahvusvahelistesse suunistesse ja parimatesse tavadesse, mille eesmärk on parandada finantssektori küber- ja tegevuskerksust. Määruse kohaldamisala ja vajalike meetmete proportsionaalsus (artikkel 2) Selleks et tagada finantssektori suhtes kohaldatavate IKT-riskide juhtimise nõuete ühtsus, käsitletakse määruses mitmesuguseid liidu tasandil reguleeritud finantssektori ettevõtjaid, täpsemalt krediidiasutusi, makseasutusi, e-raha asutusi, investeerimisühinguid, krüptovarateenuse osutajaid, väärtpaberite keskdepositooriume, keskseid vastaspooli, kauplemiskohti, kauplemisteabehoidlaid, alternatiivsete investeerimisfondide valitsejaid ja fondivalitsejaid, aruandlusteenuste pakkujaid, kindlustus- ja edasikindlustusandjaid, kindlustusvahendajaid, edasikindlustusvahendajaid ja kõrvaltegevusena pakutava kindlustuse vahendajaid, tööandja kogumispensioni asutusi, reitinguagentuure, vannutatud audiitoreid ja audiitorühinguid, kriitilise tähtsusega võrdlusaluste haldureid ja ühisrahastamisteenuse osutajaid. Selline kohaldamisala hõlbustab kõigi riskijuhtimiskomponentide ühetaolist ja sidusat kohaldamist IKTga seotud valdkondades, tagades samal ajal finantssektori ettevõtjatele IKT-riskidega seotud õiguslike kohustuste puhul võrdsed tingimused. Samal ajal tunnistatakse määruses, et finantssektori ettevõtjad on suuruse, äriprofiili või digiriskile avatuse poolest väga erinevad. Kuna suurematel finantssektori ettevõtjatel on rohkem ressursse, on näiteks ainult sellised ettevõtjad, mida ei liigitata mikroettevõtjateks, kohustatud kehtestama keerulise juhtimiskorra, looma spetsiaalsed juhtimisfunktsioonid, tegema pärast olulisi võrgu- ja infosüsteemide taristu muudatusi põhjalikke hindamisi, tegema korrapäraselt riskianalüüse IKT pärandsüsteemide kohta ning laiendama talitluspidevuse ning reageerimis- ja taastekavade testimist, et hõlmata esmase IKT-taristu ja varurajatiste puhul ümberlülitusstsenaariume. Peale selle peavad ainult need finantssektori ettevõtjad, mida käsitatakse digitaalse kerksuse süvatestimisel olulisena, tegema ohuteabel põhinevad läbistustestid. Laiast kohaldamisalast hoolimata ei ole see ammendav. Täpsemalt ei hõlma käesolev määrus direktiivi 98/26/EÜ (arvelduse lõplikkuse kohta makse- ja väärtpaberiarveldussüsteemides) artikli 2 punktis p määratletud süsteemikorraldajaid ega ühtki süsteemis osalejat, välja arvatud juhul, kui osaleja on ise liidu tasandil reguleeritud finantssektori ettevõtja ja seega käesoleva määrusega hõlmatud (st krediidiasutus, investeerimisühing, keskne vastaspool). Kohaldamisalast jääb välja ka liidu saastekvootide register, mille haldamine toimub kooskõlas direktiiviga 2003/87/EÜ komisjoni egiidi all. Sellised väljajätud arvelduse lõplikkuse direktiivi kohaldamisalast võtavad arvesse vajadust vaadata täiendavalt läbi arvelduse lõplikkuse direktiivi kohaseid süsteemikorraldajaid ja süsteemis osalejaid puudutavad õiguslikud ja poliitilised küsimused, arvestades samal ajal nõuetekohaselt praegu keskpankade hallatavate maksesüsteemide suhtes kohaldatavate raamistike mõju. Kuna need küsimused võivad hõlmata aspekte, mis ei ole seotud käesolevas määruses käsitletud probleemidega, jätkab komisjon selle hindamist, kas määruse kohaldamisala on vaja edaspidi laiendada ettevõtjatele ja IKT-taristutele, mis praegu sinna ei kuulu, ning milline oleks selle mõju. Juhtimisega seotud nõuded (artikkel 4) Käesoleva määruse eesmärk on viia finantssektori ettevõtjate äristrateegiad ja IKT-riskide juhtimine rohkem kooskõlla. Selleks peab juhtorgan mängima otsustavat ja aktiivset rolli IKT-riskide juhtimise raamistiku suunamisel ja edendama ranget küberhügieeni. Üldpõhimõte on see, et finantssektori ettevõtja IKT-riskide juhtimise eest vastutab täielikult juhtorgan, ja seda tuleb kajastada konkreetsetes nõuetes, nagu kõigi IKTga seotud funktsioonide puhul selgete rollide ja vastutusvaldkondade määramine, pidev osalemine IKT-riskide juhtimise järelevalve kontrollis ning kõigis heakskiitmis- ja kontrolliprotsessides ning IKT valdkonna investeeringute ja koolituste asjakohane jaotamine. IKT-riskide juhtimise nõuded (artiklid 5–14)

Digitaalne tegevuskerksus põhineb kooskõlas Euroopa järelevalveasutuste tehnilise nõuandega hulgal olulistel põhimõtetel ja nõuetel, mis käsitlevad IKT-riskide juhtimise raamistikku. Kõnelused nõuded, mis lähtuvad asjakohastest rahvusvahelistest, riiklikest ja sektori kehtestatud standarditest, suunistest ja soovitustest, keskenduvad IKT-riskide juhtimise spetsiifilistele funktsioonidele (kindlaksmääramine, kaitsmine ja ennetamine, avastamine, reageerimine ja taastamine, õppimine ja arenemine ning kommunikatsioon). Selleks et kiiresti muutuva küberohtude maastikuga sammu pidada, peavad finantssektori ettevõtjad looma ja säilitama kerksed IKT-süsteemid ja -vahendid, mis minimeerivad IKT-riskide mõju, tegema jooksvalt kindlaks kõik IKT-riski allikad, kehtestama kaitse- ja ennetusmeetmed, avastama kiiresti anomaalse tegevuse, kehtestama spetsiifilise ja laiahaardelise talitluspidevuse poliitika ning katastroofi- ja taastamiskavad, mis on operatiivse talitluspidevuse poliitika lahutamatuks osaks. Viimasena nimetatud komponente on vaja selleks, et pärast IKTga seotud intsidente, eelkõige küberründeid, kiiresti taastuda, piirates kahju ja prioriseerides tegevuse ohutut jätkamist. Käesolev määrus ei näe ette konkreetset standardimist, vaid pigem lähtub Euroopa ja rahvusvaheliselt tunnustatud tehnilistest standarditest või sektori parimatest tavadest, kui need on täielikult kooskõlas järelevalvejuhistega selliste rahvusvaheliste standardite kasutamise ja inkorporeerimise kohta. Käesolevas määruses käsitletakse seoses finantssektori ettevõtja tegevuse digijäljega ka selliste füüsiliste taristute ja rajatiste terviklikkust, ohutust ja vastupidavust, mis toetavad tehnoloogia kasutamist ning asjaomaseid IKTga seotud protsesse ja inimesi. IKTga seotud intsidentidest teatamine (artiklid 15–20) IKTga seotud intsidentidest teatamise ühtlustamine ja lihtsustamine saavutatakse esiteks tänu finantssektori ettevõtjatele kehtestatavale üldisele nõudele luua ja rakendada juhtimisprotsess IKTga seotud intsidentide jälgimiseks ja logimiseks ning seejärel liigitada nad kriteeriumide põhjal, mis on kindlaks määratud määruses ja mida Euroopa järelevalveasutused on edasi arendanud olulisuse lävede kindlaksmääramise volituste raames. Teiseks tuleb pädevatele asutustele teatada ainult IKTga seotud intsidentidest, mida peetakse oluliseks. Teatamisel tuleks kasutada ühtset vormi ja menetlust, mille on välja töötanud Euroopa järelevalveasutused. Finantssektori ettevõtjad peaksid esitama esialgse, vahe- ja lõpparuande ning teavitama kasutajaid ja kliente, kui intsident mõjutab või võib mõjutada nende finantshuve. Pädevad asutused peaksid edastama intsidentide asjakohased üksikasjad teistele institutsioonidele või asutusele: Euroopa järelevalveasutustele, EKP-le ja direktiivi (EL) 2016/1148 alusel määratud ühtsetele kontaktpunktidele. Selleks et algatada finantssektori ettevõtjate ja pädevate asutuste vaheline dialoog, mis aitaks mõju minimeerida ja teha kindlaks sobivad parandusmeetmed, tuleks IKTga seotud olulistest intsidentidest teatamist täiendada järelevalvealase tagasiside ja suunistega. Lisaks tuleks liidu tasandil IKTga seotud intsidentidest teatamise tsentraliseerimise võimalust põhjalikumalt uurida Euroopa järelevalveasutuste, EKP ja ENISA ühisaruandes, milles hinnatakse seda, kas finantssektori ettevõtjate poolse IKTga seotud olulistest intsidentidest teatamise puhul oleks võimalik luua üks ELi keskus. Digitaalse tegevuskerksuse testimine (artiklid 21–24) IKT-riskide juhtimise raamistikus sisalduvaid võimeid ja funktsioone tuleks perioodiliselt testida, et teha kindlaks valmisolek ning avastada nõrkused, puudujäägid või lüngad ning rakendada kiiresti parandusmeetmed. Käesoleva määrusega on lubatud kohaldada digitaalse tegevuskerksuse testimise nõudeid proportsionaalselt, lähtudes finantssektori ettevõtjate suurusest ning äri- ja riskiprofiilist: kõik ettevõtjad peaksid testima IKT-vahendeid ja -süsteeme, kuid ainult need, mida pädevad asutused (lähtudes kriteeriumidest, mis on sätestatud käesolevas määruses ja mida Euroopa järelevalveasutused on edasi arendanud) käsitavad oluliste ja küberküpsetena, peaksid olema kohustatud tegema ohuteabel põhinevatel läbistustestidel põhinevat süvatestimist. Lisaks on käesolevas määruses sätestatud nõuded testijatele ja ohuteabel põhinevate läbistustestide tulemuste tunnustamine kogu liidus, kui finantssektori ettevõtjad tegutsevad mitmes liikmeriigis. Kolmandast isikust tulenev IKT-risk (artiklid 25–39) Määruse eesmärk on tagada kolmandast isikust tuleneva IKT-riski usaldusväärne jälgimine. Seda eesmärki aitab esiteks saavutada see, kui järgitakse põhimõtetel põhinevaid norme, mida kohaldatakse, kui finantssektori ettevõtjad jälgivad kolmandast isikust IKT-teenuste osutajatest tulenevat riski. Teiseks ühtlustatakse selle määrusega teenuse ja kolmandast isikust IKT-teenuste osutajatega olemasoleva suhte peamisi elemente. Need elemendid hõlmavad minimaalseid aspekte, mida peetakse äärmiselt oluliseks, et finantssektori ettevõtja saaks täielikult jälgida kolmandast isikust tulenevat IKT-riski lepingu sõlmimise, täitmise ja lõpetamise ning lepingujärgses etapis. Eelkõige peavad suhet reguleerivad lepingud sisaldama teenuste täielikku kirjeldust, andmete töötlemise kohti, täielikke teenustaseme kirjeldusi, millele on lisatud kvantitatiivsed ja kvalitatiivsed tulemuseesmärgid, sätteid isikuandmetele ligipääsu, nende kättesaadavuse, tervikluse, turvalisuse ja kaitse kohta, garantiisid juurdepääsu, taastamise ja tagastamise kohta kolmandast isikust IKT-teenuste osutajate maksejõuetuse korral, kolmandast isikust IKT-teenuste osutajate etteteatamistähtaegu ja aruandekohustusi, finantssektori ettevõtja või määratud kolmanda isiku pääsu-, kontrolli- ja auditeerimisõigusi, selgeid lõpetamisõigusi ja spetsiaalseid väljumisstrateegiaid. Kuna mõningaid nendest lepingulistest elementidest on võimalik standardida, edendatakse määrusega selliste lepingu tüüptingimuste vabatahtlikku kasutamist, mille komisjon töötas välja pilvandmetöötlusteenuse kasutamise jaoks. Lisaks soovitakse määrusega edendada finantssektoris kolmandast isikust tulenevat IKT-riski käsitlevate järelevalvealaste lähenemisviiside ühtlustamist, kohaldades kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate suhtes liidu järelevalveraamistikku. Uue ühtlustatud õigusraamistiku kaudu saab Euroopa järelevalveasutus, mis on määratud iga kõnealuse kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja juhtivaks järelevalveasutuseks, õiguse tagada, et selliste tehnoloogiateenuse osutajate üle, mis mängivad finantssektori toimimises kriitilist rolli, tehakse üleeuroopaliselt piisavat järelevalvet. Käesoleva määruse kohane järelevalveraamistik toetub finantsteenuste valdkonnas olemasolevale institutsioonilisele ülesehitusele, mis tähendab, et Euroopa järelevalveasutuste ühiskomitee tagab valdkondadevahelise koordineerimise kõigis IKT-riskiga seotud küsimustes kooskõlas oma küberturvalisust puudutavate ülesannetega ja teda toetab asjaomane allkomitee (järelevalvefoorum), mis valmistab ette kriitilise tähtsusega kolmandatest isikutest teenuseosutajatele suunatud individuaalseid otsuseid ja ühissoovitusi. Teabe jagamine (artikkel 40) Selleks et suurendada teadlikkust IKT-riskist, minimeerida selle levikut ning toetada finantssektori ettevõtjate kaitsevõimet ja ohtude avastamise meetodeid, võimaldab määrus finantssektori ettevõtjatel sõlmida kokkuleppeid küberohte puudutava teabe ja küberohuteadmuse omavaheliseks jagamiseks.



2020/0266 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014 ja (EL) nr 909/2014 (EMPs kohaldatav tekst) EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU,

võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artiklit 114, võttes arvesse Euroopa Komisjoni ettepanekut, olles edastanud seadusandliku akti eelnõu riikide parlamentidele, võttes arvesse Euroopa Keskpanga arvamust, võttes arvesse Euroopa Majandus- ja Sotsiaalkomitee arvamust, toimides seadusandliku tavamenetluse kohaselt ning arvestades järgmist: (1)Info- ja kommunikatsioonitehnoloogia (IKT) toetab digiajastul keerukaid süsteeme, mida kasutatakse igapäevases ühiskondlikus tegevuses. See tagab majanduse toimimise sellistes olulistes sektorites nagu rahandus ja parandab ühtse turu toimimist. Suurem digiteerimine ja omavaheline seotus võimendavad ka IKT-riske, mis muudab ühiskonna tervikuna ja eelkõige finantssüsteemi küberohtude või IKT-katkestuste suhtes haavatavamaks. IKT-süsteemide lai kasutus ning ulatuslik digiteerimine ja ühendatus on tänapäeval liidu finantssektori ettevõtjate kõigi tegevusvaldkondade põhijooned, kuid nende tegevusraamistikud ei hõlma veel piisavalt digitaalset kerksust. (2)Viimastel aastakümnetel on IKT kasutamine omandanud rahanduses otsustava tähtsusega rolli ning on tänapäeval kõigi finantssektori ettevõtjate tüüpiliste igapäevaste funktsioonide toimimise jaoks kriitilise tähtsusega. Digiteerimine hõlmab näiteks makseid (mille puhul kasutatakse sularaha ja paberipõhiste meetodite asemel üha rohkem digilahendusi), väärtpaberite kliirimist ja arveldamist, elektroonilist ja algoritmkauplemist, laenuandmis- ja rahastamistehinguid, vastastikust rahastamist, krediidireitinguid, kindlustuslepingute sõlmimist, kahjukäsitlust ja back office’i tegevust. Kogu finantssektor on muutunud valdavalt digitaalseks, kuid digiteerimine on süvendanud ka seoseid ja sõltuvust nii finantssektori sees kui ka finantssektori ja kolmandate isikute taristu ja kolmandast isikust teenuseosutajate vahel. (3)Euroopa Süsteemsete Riskide Nõukogu (ESRN) on kinnitanud süsteemset küberriski käsitlevas 2020. aasta aruandes, kuidas finantssektori ettevõtjate, finantsturgude ja finantsturutaristu suur omavaheline seotus ning eelkõige nende IKT-süsteemide omavaheline sõltuvus võivad kujutada endast süsteemset haavatavust, sest lokaalsed küberintsidendid võivad kanduda kiiresti liidu ühest ligikaudu 22 000 finantssektori ettevõtjast üle kogu finantssüsteemile, olenemata geograafilistest piiridest. Rahanduses toimuvad tõsised IKTga seotud rikkumised ei mõjuta ainult üksikuid finantssektori ettevõtjaid. Nad soodustavad ka lokaalsete haavatavuste levimist finantsülekannete kanalite kaudu ja võivad avaldada negatiivset mõju liidu finantssüsteemi stabiilsusele, põhjustades likviidsuse väljavoolu ning üldiselt vähendades kindlustunnet ja usaldust finantsturgude vastu. (4)IKT-riskidele on viimastel aastatel pööranud tähelepanu riiklikud, Euroopa ja rahvusvahelised poliitikakujundajad, reguleerivad asutused ja standardeid kehtestavad asutused eesmärgiga püüda suurendada vastupidavust, kehtestada standardeid ja koordineerida regulatiivset või järelevalvetööd. Rahvusvahelisel tasandil püüavad Baseli pangajärelevalve komitee, makse- ja arveldussüsteemide komitee, finantsstabiilsuse nõukogu, finantsstabiilsuse instituut ning G7sse ja G20sse kuuluvate riikide rühmad anda eri jurisdiktsioonide pädevatele asutustele ja turukorraldajatele vahendeid oma finantssüsteemi kerksuse suurendamiseks. (5)Hoolimata sihipärasest riiklikust ja Euroopa poliitikast ja seadusandlikest algatustest on IKT-riskid jätkuvalt probleem liidu finantssüsteemi tegevuskerksuse, suutlikkuse ja stabiilsuse jaoks. 2008. aasta finantskriisile järgnenud reformiga tugevdati peamiselt liidu finantssektori finantsvastupidavust ja sooviti kaitsta liidu konkurentsivõimet ja stabiilsust majanduslikust, usaldatavusnõuete ja turukäitumise seisukohast. Kuigi IKT turvalisus ja digitaalne kerksus on operatsiooniriski osa, on kriisijärgses regulatiivses tegevuskavas nendele vähem keskendutud ning neid on arendatud ainult mõnes liidu finantsteenuste poliitika ja regulatiivse maastiku osas või ainult üksikutes liikmesriikides. (6)Komisjoni 2018. aasta finantstehnoloogia tegevuskavas rõhutati, et väga oluline on muuta liidu finantssektor vastupidavamaks ka tegevuslikust vaatenurgast, et tagada selle tehnoloogiline ohutus ja hea toimimine ning kiire taastumine IKTga seotud rikkumistest ja intsidentidest, võimaldades kokkuvõttes osutada finantsteenuseid tulemuslikult ja sujuvalt kogu liidus ning ka pingelistes olukordades, kaitstes samal ajal tarbijate ja turu usaldust ja kindlustunnet. (7)2019. aprillis esitasid Euroopa Pangandusjärelevalve (EBA), Euroopa Väärtpaberiturujärelevalve (ESMA) ja Euroopa Kindlustus- ja Tööandjapensionide Järelevalve (EIOPA) (koos „Euroopa järelevalveasutused“) ühiselt kaks tehnilist nõuannet, milles kutsuti üles kasutama rahanduse valdkonnas IKT-riski puhul ühtset lähenemisviisi ja soovitati proportsionaalselt tugevdada finantsteenuste sektori digitaalset tegevuskerksust liidu sektoripõhise algatuse kaudu. (8)Liidu finantssektorit reguleerib ühtlustatud ühtne reeglistik ja juhib Euroopa Finantsjärelevalve Süsteem. Sätteid digitaalse tegevuskerksuse ja IKT turvalisuse kohta ei ole aga veel täielikult või järjepidevalt ühtlustatud, kuigi digitaalne tegevuskerksus on digiajastul finantsstabiilsuse ja turu usaldusväärsuse tagamiseks eluliselt tähtis ja mitte vähem oluline kui näiteks usaldatavus- või turukäitumisstandardid. Seepärast peaks ühtse reeglistiku ja järelevalvesüsteemiga hõlmama ka selle komponendi, laiendades selliste finantsjärelevalveasutuste volitusi, mis tegelevad finantsstabiilsuse ja turu usaldusväärsuse jälgimise ja kaitsmisega. (9)Õigusnormide erinevused ja ebaühtlane regulatiivne või järelevalvealane lähenemine IKT-riskile tekitab finantsteenuste ühtsel turul takistusi ning pärsib asutamisvabaduse sujuvat kasutamist ja piiriüleselt tegutsevate finantssektori ettevõtjate teenuste osutamist. Moonutatud võib olla ka eri liikmesriikides tegutsevate sama tüüpi finantssektori ettevõtjate vaheline konkurents. Valdkondades, kus liidu tasandil ühtlustamine on olnud väga piiratud (digitaalse tegevuskerksuse testimine) või kus ühtlustamist ei ole toimunud (kolmandast isikust tuleneva IKT-riski jälgimine), võivad erinevused, mis tulenevad riiklikul tasandil kavandatud arendustest, tekitada uusi ühtse turu toimimist takistavaid tõkkeid ning kahjustada turuosalisi ja finantsstabiilsust. (10)IKT-riski puudutavate sätete osaline käsitlemine liidu tasandil näitab, et olulistes valdkondades, nagu IKTga seotud intsidentidest teatamine ja digitaalne tegevuskerksus, on lüngad või kattuvus ning tekitab lisanduvate lahknevate riiklike normide või kattuvate normide mittekulutõhusa kohaldamise tõttu ebaühtlust. See on eriti kahjulik sellisele IKT-mahukale sektorile nagu rahandus, sest tehnoloogiariskid ei tunne piire ja finantssektor osutab oma teenuseid piiriüleselt, nii liidu sees kui ka väljaspool. Piiriüleselt tegutsevatel või mitme tegevusloaga (ühel finantssektori ettevõtjal võib näiteks olla pangandus-, investeerimisühingu ja makseasutuse litsents, millest igaühe on välja andnud erinev pädev asutus ühes või mitmes liikmesriigis) üksikutel finantssektori ettevõtjatel on operatiivselt keeruline ise järjepidevalt ja kulutõhusalt IKT-riske käsitleda ja IKT-intsidentide negatiivset mõju leevendada. (11)Kuna ühtse reeglistikuga ei ole kaasnenud laiahaardelist IKT- või operatsiooniriskide raamistikku, tuleb kõigi finantssektori ettevõtjate digitaalse tegevuskerksuse põhinõudeid rohkem ühtlustada. Suutlikkus ja üldine kerksus, mida finantssektori ettevõtjad nendele põhinõuetele tuginedes tegevuse katkestustega toimetulekuks arendaksid, aitaksid säilitada liidu finantsturgude stabiilsust ja usaldusväärsust ning seega tagada liidus investorite ja tarbijate kaitse kõrge taseme. Kuna käesoleva määruse eesmärk on edendada ühtse turu sujuvat toimimist, peaks see tuginema ELi toimimise lepingu artikli 114 sätetele, nagu neid tõlgendab Euroopa Liidu Kohus oma väljakujunenud kohtupraktikas. (12)Käesoleva määrusega soovitakse esiteks koondada kokku ja ajakohastada IKT-riskidega seotud nõuded, mida seni on käsitletud eraldi eri määrustes ja direktiivides. Kuigi liidu nendes õigusaktides käsitleti finantsriski peamisi kategooriaid (nt krediidirisk, tururisk, vastaspoole krediidirisk ja likviidsusrisk, turukäitumise risk), ei saanud neis nende vastuvõtmise ajal käsitleda põhjalikult kõiki tegevuskerksuse komponente. Kui kõnealustes liidu õigusaktides käsitleti operatsiooniriski nõudeid põhjalikumalt, keskenduti sageli traditsioonilisele kvantitatiivsele riske käsitlevale lähenemisviisile (kehtestades IKT-riskide hõlmamiseks kapitalinõuded), mitte ei sätestatud sihipäraseid kvalitatiivseid nõudeid, et edendada suutlikkust nõuetega, mis keskenduvad IKTga seotud intsidente puhul kaitsmise, avastamise, piiramise, taastamise ja parandamise suutlikkusele, või teatamise ja digitaalse testimise suutlikkuse loomisega. Nendes direktiivides ja määrustes sooviti peamiselt käsitleda põhinorme usaldatavusnõuete täitmise järelevalve, turu usaldusväärsuse või turukäitumise kohta.

IKT-riski käsitlevate õigusnormide koondamise ja ajakohastamise tulemusel koondatakse kõik sätted rahanduse digiriski kohta esimest korda ühtselt ühte õigusakti. Käesolev algatus peaks seega kõrvaldama mõningate kõnealuste õigusaktide lüngad või ebaühtsuse, muu hulgas neis kasutatud terminoloogia osas, ning selles tuleks osutada sõnaselgelt IKT-riskile, kehtestades sihipärased normid IKT-riskide juhtimise suutlikkuse, aruandlus ja testimise kohta ning kolmandast isikust tuleneva riski jälgimise kohta. (13)Finantssektori ettevõtjad peaksid kasutama IKT-riski käsitlemisel sama lähenemisviisi ja samu põhimõtetel põhinevaid norme. Ühtsus aitab suurendada usaldust finantssüsteemi vastu ja säilitada selle stabiilsust, eelkõige IKT-süsteemide, -platvormide ja -taristu liigkasutamise ajal, millega kaasneb suurem digirisk. Lisaks peaks esmane küberhügieen minimeerima IKT-katkestuste mõju ja kulu ning hoidma seega ära majandusele suurte kulude tekkimise. (14)Määruse kasutamine aitab vähendada regulatiivset keerukust, edendab järelevalvealast ühtsust ja suurendab õiguskindlust, aidates samal ajal piirata nõuete täitmisega seotud kulusid, eelkõige piiriüleselt tegutsevate finantssektori ettevõtjate puhul, ning vähendada konkurentsimoonutusi. Seepärast tundub otsus kehtestada finantssektori ettevõtjate digitaalse tegevuskerksuse ühtne raamistik määrusega olevat kõige asjakohasem viis tagada, et liidu finantssektorid kohaldavad kõiki IKT-riskide juhtimise raamistiku komponente ühetaoliselt ja sidusalt. (15)Praegu hõlmab küberturvalisuse üldine raamistik lisaks finantsteenuseid käsitlevatele õigusnormidele Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/1148. Direktiivi kohaldatakse seitsme kriitilise sektori ja kolme liiki finantssektori ettevõtjate – krediidiasutused, kauplemiskohad ja kesksed vastaspooled – suhtes. Kuna direktiivis (EL) 2016/1148 on sätestatud mehhanism oluliste teenuste operaatorite identifitseerimiseks riiklikul tasandil, hõlmab selle kohaldamisala tegelikkuses ainult teatavaid liikmesriikide kindlaks määratud krediidiasutusi, kauplemiskohti ja keskseid vastaspooli ja ainult nemad on seega kohustatud täitma selles direktiivis sätestatud IKT turvalisuse ja intsidentidest teatamise nõudeid. (16)Kuna käesoleva määrusega tõstetakse digitaalse kerksuse komponentide ühtlustamise taset, kehtestades IKT-riskide juhtimise ja IKTga seotud intsidentidest teatamise suhtes nõuded, mis on kehtivates finantsteenuseid käsitlevates liidu õigusaktides sätestatust rangemad, on tegemist suurema ühtlustamisega ka võrreldes direktiivis (EL) 2016/1148 sätestatud nõuetega. Sellest tulenevalt on käesolev määrus direktiivi (EL) 2016/1148 suhtes lex specialis. On äärmiselt oluline tagada, et finantssektor ja liidu horisontaalne küberturvalisuse raamistik oleksid tugevalt seotud, sest see tagaks kooskõla liikmesriikides juba vastu võetud küberturvalisuse strateegiatega ning võimaldaks teavitada finantsjärelevalveasutusi küberintsidentidest, mis mõjutavad teisi direktiiviga (EL) 2016/1148 hõlmatud sektoreid. (17)Selleks et võimaldada sektoritevahelist õppimisprotsessi ja võtta tulemuslikult arvesse muude sektorite kogemusi küberohtudega tegelemisel, peaksid direktiivis (EL) 2016/1148 osutatud finantssektori ettevõtjad jääma selle direktiivi ökosüsteemi (nt võrgu- ja infoturbe koostöörühm ning küberturbe intsidentide lahendamise üksused). Euroopa järelevalveasutused ja riiklikud pädevad asutused peaksid saama osaleda vastavalt strateegilise poliitika aruteludes ning võrgu- ja infoturbe koostöörühma tehnilises töös, vahetada teavet ja teha täiendavat koostööd direktiivi (EL) 2016/1148 alusel määratud ühtsete kontaktpunktidega. Käesoleva määruse kohaselt peaksid pädevad asutused konsulteerima ja tegema koostööd ka kooskõlas direktiivi (EL) 2016/1148 artikliga 9 määratud riiklike küberturbe intsidentide lahendamise üksustega. (18)Samuti on oluline tagada kooskõla Euroopa elutähtsate infrastruktuuride direktiiviga, mida vaadatakse praegu läbi, et suurendada elutähtsate infrastruktuuride kaitset ja vastupidavust muude kui küberohtude suhtes, ja mis võib mõjutada finantssektorit. (19)Pilvandmetöötlusteenuse pakkujad on üks direktiiviga (EL) 2016/1148 hõlmatud digitaalse teenuse osutajate kategooria. Seetõttu teevad nende üle järelkontrolli kooskõlas nimetatud direktiiviga määratud riiklikud asutused ning järelevalve piirdub selles õigusaktis sätestatud IKT turvalisuse ja intsidentidest teatamise nõuetega. Kuna käesoleva määrusega loodud järelevalveraamistikku kohaldatakse kõigi kriitilise tähtsusega kolmandast isikust IKT-teenuste, sealhulgas pilvandmetöötlusteenuse osutajate suhtes, kui nad osutavad IKT-teenuseid finantssektori ettevõtjatele, tuleks seda pidada direktiivi (EL) 2016/1148 kohase järelevalve täienduseks. Käeoleva määrusega loodud järelevalveraamistik peaks hõlmama pilvandmetöötlusteenuse osutajaid, kui ei ole olemas liidu horisontaalset mittesektoripõhist raamistikku, millega oleks loodud digitaalse järelevalve asutus. (20)Selleks et omada täielikku kontrolli IKT-riskide üle, peab finantssektori ettevõtjatel olema laiahaardeline suutlikkus, mis võimaldab tugevat ja tulemuslikku IKT-riskide juhtimist, koos erimehhanismide ja -poliitikaga IKTga seotud intsidentidest teatamiseks, IKT-süsteemide, -kontrollide ja -protsesside testimiseks ning kolmandast isikust tulenevate IKT-riskide juhtimiseks. Finantssüsteemi digitaalse tegevuskerksuse mõõdupuud tuleks tõsta, võimaldades samal ajal finantssektori ettevõtjatel, mis ei ole komisjoni soovituses 2003/361/EÜ määratletud mikroettevõtjad, kohaldada nõudeid proportsionaalselt. (21)IKTga seotud intsidentidest teatamise läved ja taksonoomia on riiklikul tasandil väga erinevad. Kuigi Euroopa Liidu Küberturvalisuse Ameti (ENISA) ja direktiivi (EL) 2016/1148 kohase finantssektori ettevõtjate võrgu- ja infoturbe koostöörühma tehtava töö kaudu võib jõuda üksmeelele, esineb lävede ja taksonoomia valdkonnas jätkuvalt lahknevaid lähenemisviise või need võivad ülejäänud finantssektori ettevõtjate puhul tekkida. Sellega kaasnevad mitmed nõuded, mida finantssektori ettevõtjad peavad täitma, eelkõige tegutsedes liidus mitmes jurisdisktsioonis ja kuuludes finantsgruppi. Kõnealused lahknevused võivad takistada selliste uute ühetaoliste või tsentraliseeritud liidu mehhanismide loomist, mis kiirendaksid teatamisprotsessi ja toetaksid kiiret ja sujuvat pädevate asutuste vahelist teabevahetust, mis on äärmiselt oluline IKT-riskide käsitlemiseks suurte rünnete korral, millel võivad olla süsteemsed tagajärjed. (22)Selleks et võimaldada pädevatel asutustel täita oma järelevalveülesandeid, saades täieliku ülevaate IKTga seotud intsidentide laadist, sagedusest, olulisusest ja mõjust, ning tõhustada asjaomaste avaliku sektori, sealhulgas õiguskaitse- ja kriisilahendusasutuste vahelist teabevahetust, tuleb sätestada normid, et täiendada IKTga seotud intsidentidest teatamise korda nõuetega, mida finantssektori allsektorit käsitlevad õigusaktid praegu ei sisalda, ning kõrvaldada kulude vähendamiseks kattuvused ja dubleerimine. Seepärast on oluline IKTga seotud intsidentidest teatamise korda ühtlustada, kohustades kõiki finantssektori ettevõtjaid teavitama ainult oma pädevaid asutusi. Lisaks peaks Euroopa järelevalveasutustel olema õigus täpsustada veelgi IKTga seotud intsidentidest teatamise elemente, nagu taksonoomia, tähtajad, andmekogumid, vormid ja kohaldatavad läved. (23)Finantssektori mõnes allsektoris on digitaalse tegevuskerksuse testimise nõudeid välja töötatud mitmes koordineerimata riiklikus raamistikus, milles käsitletakse sama probleemi erineval viisil. See kahekordistab piiriüleste finantssektori ettevõtjate kulusid ja raskendab tulemuste vastastikust tunnustamist. Koordineerimata testimine võib seega ühtset turgu killustada. (24)Kui testimist ei nõuta, jäävad haavatavused avastamata, mis tekitab finantssektori ettevõtjale ja kokkuvõttes ka finantssektori stabiilsusele ja usaldusväärsusele suurema riski. Ilma liidu sekkumiseta jääks digitaalse tegevuskerksuse testimine lünklikuks ja eri jurisdiktsioonid ei tunnustaks vastastikku testide tulemusi. Kuna on ebatõenäoline, et finantssektori muud allsektorid võtaksid selliseid skeeme mõistlikus ulatuses vastu, jääksid nad ilma võimalikust kasust, nagu haavatavuste ja riskide avastamine, kaitsevõime ja talitluspidevuse testimine ning tarbijate, tarnijate ja äripartnerite suurem kindlustunne. Kõnealuste kattuvuste, lahknevuste ja lünkade kõrvaldamiseks tuleb sätestada normid, mille eesmärk on tagada finantssektori ettevõtjate ja pädevate asutuste tehtavad koordineeritud testid ja millega edendataks oluliste finantssektori ettevõtjate puhul süvatestimise vastastikust tunnustamist. (25)Finantssektori ettevõtjate sõltuvus IKT-teenustest tuleneb osaliselt nende vajadusest kohaneda tekkiva konkurentsivõimelise digitaalse maailmamajandusega, et suurendada oma tegevuse tõhusust ja vastata tarbijate nõudlusele. Sellise sõltuvuse laad ja ulatus on viimastel aastatel pidevalt muutunud ning aidanud vähendada kulusid finantsvahenduses ja võimaldanud finantstegevuste puhul äritegevust laiendada ja skaleerida, andes samal ajal mitmesugused IKT-vahendid keerukate siseprotsesside juhtimiseks. (26)IKT-teenuste laialdast kasutust näitavad keerukad lepingupõhised kokkulepped, millest tulenevalt on finantssektori ettevõtjatel sageli raske leppida kokku lepingutingimustes, mis oleksid kohandatud vastavalt usaldatavusstandarditele või muudele regulatiivsetele nõuetele, mida nende suhtes kohaldatakse, või kasutada teatavaid õigusi, nagu pääsu- või auditeerimisõigused, juhul kui viimased on kokkulepetes sätestatud. Paljude selliste lepingutega ei ole nähtud ette piisavaid kaitsemeetmeid, mis lubaksid tegevuse edasiandmise protsesse täies ulatuses jälgida, mistõttu ei saa finantssektori ettevõtja kõnealuseid seonduvaid riske hinnata. Kuna kolmandast isikust IKT-teenuste osutajad osutavad sageli standardteenuseid eri tüüpi klientidele, ei pruugi sellised lepingud alati olla piisavad finantssektoris osalejate individuaalsete või erivajaduste rahuldamiseks. (27)Kuigi liidu mõned finantsteenuseid käsitlevad õigusaktid sisaldavad üldiseid norme tegevuse edasiandmise kohta, ei ole lepingulise aspekti järelevalve liidu õigusaktides täielikult sätestatud. Kuna puuduvad selged ja kohandatud liidu standardid, mida kohaldatakse kolmandast isikust IKT-teenuste osutajatega sõlmitud lepingupõhiste kokkulepete suhtes, on IKT-riski väline allikas põhjalikult käsitlemata. Sellest tulenevalt on vaja kehtestada teatavad olulised põhimõtted, mis suunavad seda, kuidas finantssektori ettevõtjad juhivad kolmandast isikust tulenevat IKT-riski, ning millele lisanduvad peamised lepingulised õigused, mis puudutavad mitut lepingute täitmise ja lõpetamisega seotud elementi, eesmärgiga sätestada teatavad minimaalsed kaitsemeetmed, mis toetavad finantssektori ettevõtjate võimet jälgida tulemuslikult kõiki kolmandast isikust IKT-teenuste osutaja tasandil tekkivaid riske. (28)Mis puudutab kolmandast isikust tulenevat IKT-riski ja sõltuvust kolmandast isikust IKT-teenuste osutajatest, siis puudub nii ühtsus kui ka ühtlustamine. Sellise spetsiifilise valdkonna nagu tegevuse edasiandmine käsitlemisel on tehtud mõningaid jõupingutusi (nt 2017. aasta soovitus pilveteenuse osutajatele tegevuse edasiandmise kohta), kuid probleem, mis on seotud süsteemse riskiga, mille võib tekitada finantssektori seotus piiratud arvu kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatega, on liidu õigusaktides vaevu tähelepanu saanud. Seda lünka liidu tasandil süvendab asjaolu, et ei ole konkreetseid volitusi ja vahendeid, mis võimaldaksid riiklikel järelevalveasutustel saada hästi aru sõltuvusest kolmandast isikust IKT-teenuste osutajatest ja jälgida piisaval määral riske, mis tulenevad selliste kolmandast isikust IKT-teenuste osutajatest sõltuvuste kontsentratsioonist.

(29)Võttes arvesse potentsiaalseid süsteemseid riske, mis kaasnevad tegevuse suurema edasiandmisega ja kolmandast isikust IKT-teenuste osutajate kontsentratsiooniga, ning selliste riiklike mehhanismide ebapiisavust, mis võimaldavad finantsjärelevalveasutustel kvantifitseerida, kvalifitseerida ja leevendada IKT-riskide tagajärgi kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajates, on vaja luua asjakohane liidu järelevalveraamistik, mis võimaldab jälgida pidevalt selliste kolmandast isikust IKT-teenuste osutajate tegevust, mis on finantssektori ettevõtjate jaoks kriitilise tähtsusega. (30)Kuna IKT-ohud on muutumas kompleksemaks ja keerukamaks, sõltuvad head avastamis- ja ennetamismeetmed suurel määral ohte ja haavatavusi puudutava teadmuse korrapärasest jagamisest finantssektori ettevõtjate vahel. Teabe jagamine aitab suurendada teadlikkust küberohtudest, mis omakorda suurendab finantssektori ettevõtjate suutlikkust hoida ära ohtude muutumist tegelikeks intsidentideks ning võimaldab finantssektori ettevõtjatel piirata paremini IKTga seotud intsidentide mõju ja tõhusamini taastuda. Liidu tasandi suuniste puudumise tõttu on sellist teadmuse jagamist pärssinud mitu tegurit, eelkõige ebakindlus seoses kooskõlaga andmekaitse-, monopolidevastaste ja vastutusnormidega. (31)Lisaks on kasuliku teabe jagamist takistanud kahtlused selle kohta, millist liiki teavet saab teiste turuosaliste või muude kui järelevalveasustega (nt ENISAga analüütilise sisendi andmiseks või Europoliga õiguskaitse otstarbel) jagada. Teabe jagamise ulatus ja kvaliteet on endiselt piiratud, killustunud, asjakohane teabevahetus toimub peamiselt lokaalselt (riiklike algatuste kaudu) ja puuduvad kogu liitu hõlmavad ühtsed teabe jagamise kokkulepped, mis oleks kohandatud vastavalt integreeritud finantssektori vajadustele. (32)Seepärast tuleks finantssektori ettevõtjaid julgustada kasutama kollektiivselt oma individuaalseid teadmisi ja praktilisi kogemusi strateegilisel, taktikalisel ja operatiivsel tasandil, et suurendada oma suutlikkust küberohte piisavalt hinnata ja jälgida, end nende eest kaitsta ja neile reageerida. Seega tuleb liidu tasandil võimaldada mehhanismide loomist vabatahtlikult teabe jagamise kokkulepete jaoks, mis usaldusväärses keskkonnas sõlmimise korral aitaksid finantskogukonnal ennetada ohte ja reageerida neile ühiselt, piirates kiiresti IKT-riskide levikut ja takistades võimalikku ülekandumist finantskanalite kaudu. Neid mehhanisme tuleks kasutada täielikus kooskõlas kohaldatavate liidu konkurentsinormidega ning viisil, mis tagab liidu andmekaitsenormide, eelkõige Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 täieliku austamise, eriti olukorras, kus isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, nagu on osutatud nimetatud määruse artikli 6 lõike 1 punktis f. (33)Hoolimata käesoleva määrusega ette nähtud laiast kohaldamisalast, tuleks digitaalse tegevuskerksuse normide kohaldamisel võtta arvesse finantssektori ettevõtjate suuruse, äriprofiili või digiriskile avatuse suuri erinevusi. Üldpõhimõte on see, et finantssektori ettevõtjad peaksid ressursside ja suutlikkuse suunamisel IKT-riskide juhtimise raamistiku rakendamisele võtma oma IKTga seotud vajaduste puhul nõuetekohaselt arvesse oma suurust ja äriprofiili; pädevad asutused peaksid aga jätkama sellise jaotuse hindamist ja läbivaatamist. (34)Kuna suurematel finantssektori ettevõtjatel võib olla rohkem ressursse ning nad võivad kiiresti eraldada vahendeid juhtimisstruktuuride arendamiseks ja luua mitmesuguseid äristrateegiaid, peaksid ainult need finantssektori ettevõtjad, mis ei ole mikroettevõtjad käesoleva määruse tähenduses, olema kohustatud kehtestama keerukama juhtimiskorra. Sellistel ettevõtjatel on paremad vahendid, et luua eelkõige spetsiaalsed juhtimisfunktsioonid kolmandast isikust IKT-teenuste osutajatega sõlmitud järelevalvekokkulepete või kriisiohjamise jaoks, korraldada IKT-riskide juhtimine vastavalt kolme kaitseliiniga mudelile või võtta vastu personalijuhtimise dokument, milles on põhjalikult selgitatud pääsuõiguste põhimõtteid. Samuti peaksid ainult sellised ettevõtjad olema kohustatud tegema pärast olulisi võrgu- ja infosüsteemide taristu ja protsesside muudatusi põhjalikke hindamisi, tegema korrapäraselt riskianalüüse IKT pärandsüsteemide kohta või laiendama talitluspidevuse ning reageerimis- ja taastekavade testimist, et hõlmata esmase IKT-taristu ja varurajatiste puhul ümberlülitusstsenaariume. (35)Kuna ainult neid finantssektori ettevõtjaid, mida käsitatakse digitaalse kerksuse süvatestimisel olulisena, tuleks kohustada tegema ohuteabel põhinevaid läbistusteste, tuleks selliste testide tegemisega kaasnevad haldusprotsessid ja rahalised kulud kanda üle väikesele protsendile finantssektori ettevõtjatele. Regulatiivse koormuse vähendamiseks tuleks ainult sellistelt finantssektori ettevõtjatelt, mis ei ole mikroettevõtjad, nõuda et nad esitaksid korrapäraselt pädevatele asutustele kõik IKT-katkestuste tekitatud kulud ja kahjud ning oluliste IKT-katkestuste järel tehtavate intsidendijärgsete läbivaatamiste tulemused. (36)Selleks et tagada ühest küljest finantssektori ettevõtjate äristrateegiate ja teisest küljest IKT-riskide juhtimise täielik kooskõla ja üldine vastavus, tuleks juhtorganit kohustada täitma otsustavat ja aktiivset rolli IKT-riskide raamistiku suunamises ja kohandamises ning üldises digitaalse kerksuse strateegias. Lisaks sellele, et juhtorgani kasutatav lähenemisviis peaks keskenduma IKT-süsteemide kerksuse tagamise viisidele, peaks see hõlmama inimesi ja protsesse sellise poliitika kaudu, mis edendab ettevõtja igal tasandil kõigi töötajate suurt teadlikkust küberriskidest ja pühendumust tagada kõigil tasanditel range küberhügieen. See, et kokkuvõttes on finantssektori ettevõtja IKT-riskide juhtimise eest vastutav juhtorgan, peaks olema selle laiahaardelise lähenemisviisi üldpõhimõte, mis peaks väljenduma juhtorgani pidevas osalemises IKT-riskide juhtimise järelevalve kontrollis. (37)Juhtorgani täielik vastutus käib käsikäes sellise IKT-investeeringute taseme ja üldeelarve tagamisega, mis võimaldab finantssektori ettevõtjal täita digitaalse tegevuskerksuse miinimumnõudeid. (38)Käesolevas määruses lähtutakse asjakohastest rahvusvahelistest, riiklikest ja sektori kehtestatud standarditest, suunistest ja soovitustest või küberriski juhtimise meetoditest ning edendatakse funktsioone, mis hõlbustavad IKT-riskide juhtimise üldist struktureerimist. Kui finantssektori ettevõtjate loodud põhisuutlikkus vastab käesolevas määruses sätestatud funktsioonidest (kindlaksmääramine, kaitse ja ennetamine, avastamine, reageerimine ja taastamine, õppimine ja arenemine ning teabevahetus) tulenevate eesmärkide vajadustele, võivad finantssektori ettevõtjad kasutada teisiti piiritletud või kategoriseeritud IKT-riskide mudeleid. (39)Selleks et muutuva küberohtude maastikuga sammu pidada, peaks finantssektori ettevõtjatel olema ajakohastatud IKT-süsteemid, mis on usaldusväärsed ja millel on piisav suutlikus mitte ainult andmetöötluse tagamiseks, mida on vaja teenuste osutamiseks, vaid ka tehnoloogilise kerksuse kindlustamiseks, mis võimaldab finantssektori ettevõtjatel tegeleda asjakohaselt täiendavate töötlemisvajadustega, mida võivad tekitada halvenenud turutingimused või muud ebasoodsad olukorrad. Kuigi käesoleva määrusega ei kaasne konkreetsete IKT-süsteemide, -vahendite või -tehnoloogia standardimist, eeldatakse selles, et finantssektori ettevõtjad kasutavad sobival viisil Euroopa ja rahvusvahelisel tasandil tunnustatud tehnilisi standardeid (nt ISO) või sektori parimaid tavasid, kui selline kasutus on täielikult kooskõlas konkreetsete järelevalvejuhistega rahvusvaheliste standardite kasutamise ja inkorporeerimise kohta. (40)Tõhusaid talitluspidevuse ja taastekavasid on vaja selleks, et finantssektori ettevõtjad saaksid kohe ja kiiresti lahendada IKTga seotud intsidendid, eelkõige tulla toime küberrünnetega, piirates kahju ja seades prioriteediks tegevuse jätkamise ja taastemeetmed. Kuigi töötlus varusüsteemides peaks algama põhjendamatu viivituseta, ei tohiks see kuidagi seada ohtu võrgu- ja infosüsteemide terviklikkust ja turvalisust või andmete konfidentsiaalsust. (41)Kuigi määrus lubab finantssektori ettevõtjatel määrata taastumisaja eesmärgid kindlaks paindlikult ja seega asjaomase funktsiooni laadi ja kriitilisust ning konkreetseid ärivajadusi täielikult arvesse võttes, tuleks siiski nõuda, et kõnealuste eesmärkide seadmisel hinnataks võimalikku kogumõju turu tõhususele. (42)Finantssektoris on küberrünnete olulised tagajärjed võimendunud, kuna selles valdkonnas on palju suurem oht, et pahatahtlikud isikud taotlevad rahalist tulu otse allika juures. Selleks et niisuguseid riske maandada ja takistada seda, et IKT-süsteemid kaotavad oma terviklikkuse või ei ole saadaval, toimub konfidentsiaalsete andmetega seotud rikkumine või füüsiline IKT-taristu saab kahjustada, tuleks märkimisväärselt parandada IKTga seotud intsidentidest teatamist finantssektori ettevõtjate poolt. IKTga seotud intsidentidest teatamist tuleks ühtlustada kõigi finantssektori ettevõtjate puhul, kohustades neid teavitama ainult oma pädevaid asutusi. Kuigi teatamise kohustus oleks kõigil finantssektori ettevõtjatel, peaks selle ulatus olema erinev, sest asjakohaseid olulisuse lävesid ja tähtaegu tuleks kohandada eesmärgiga kajastada ainult IKTga seotud olulisi intsidente. Otsene teatamine võimaldaks finantsjärelevalveasutustel pääseda juurde IKTga seotud teabele. Finantsjärelevalveasutused peaksid sellegipoolest edastama selle teabe muu kui finantsvaldkonna avaliku sektori asutustele (võrgu- ja infosüsteemide pädevad asutused, riiklikud andmekaitseasutused ja õiguskaitseasutused kuritegelikku laadi intsidentide puhul). Teavet IKTga seotud intsidentide kohta tuleks edastada vastastikku: finantsjärelevalveasutused peaksid edastama finantssektori ettevõtjale kogu vajaliku tagasiside või suunised ning Euroopa järelevalveasutused peaksid jagama anonüümseks muudetud andmeid sündmusega seotud ohtude ja haavatavuste kohta, et aidata kaasa laiemale ühisele kaitsele. (43)Tuleks kavandada uusi mõttevahetusi, et käsitleda IKTga seotud intsidentidest teatamise võimalikku tsentraliseerimist, kasutades ühte keskset ELi keskust, mis kas saaks otseselt asjakohaseid teateid ja teavitaks automaatselt riiklikke pädevaid asutusi või üksnes tsentraliseeriks riiklike pädevate asutuste edastatud teateid ja mängiks koordinaatori rolli. Euroopa järelevalveasutused peaksid koostama EBA ja ENISAga konsulteerides teatavaks kuupäevaks ühisaruande, milles uuritakse sellise keskse ELi keskuse loomise teostatavust. (44)Selleks et saavutada kindel digitaalne tegevuskerksus ja rahvusvahelistest standarditest (nt G7 põhielemendid ohuteabel põhineva läbistustestimise jaoks) lähtudes peaksid finantssektori ettevõtjad oma IKT-süsteeme ja töötajaid korrapäraselt testima, et teha kindlaks nende tulemuslikkus ennetamisel, avastamisel, reageerimisel ja taastamisel eesmärgiga leida ja käsitleda võimalikke IKTga seotud haavatavusi. Reageerimaks sellele, et finantssektori ettevõtjate küberturvalisuse valmisolek on finantssektori allsektorites ja nende lõikes erinev, peaks testimine hõlmama mitmesuguseid vahendeid ja meetmeid alates põhinõuete hindamisest (nt haavatavuste hindamine ja skaneerimine, avatud lähtekoodiga tarkvara analüüsimine, võrgu turvalisuse hindamine, lünkade analüüsimine, füüsilise turvalisuse läbivaatamine, küsimustikud ja skaneerimistarkvara lahendused, võimalusel lähtekoodi ülevaatamine, stsenaariumipõhine testimine, ühilduvuse testimine, jõudlustestid või läbivtestimine) süvatestimiseni (nt ohuteabel põhinevad läbistustestid finantssektori ettevõtjate jaoks, mis on IKT seisukohast piisavalt küpsed, et selliseid teste teha). Järelikult peaksid digitaalse tegevuskerksuse testid olema oluliste finantssektori ettevõtjate (nagu suured krediidiasutused, börsid, väärtpaberite keskdepositooriumid ja kesksed vastaspooled) puhul raskemad. Samal ajal peaksid digitaalse tegevuskerksuse testid olema olulisemad mõningate allsektorite puhul, millel on peamine süsteemne roll (nt maksed, pangandus, kliiring ja arveldus) ja vähem olulised muude allsektorite puhul (nt varahaldurid, reitinguagentuurid). Piiriülesed finantssektori ettevõtjad, mis kasutavad liidus oma asutamis- või teenuste osutamise vabadust, peaksid oma päritoluliikmesriigis vastama ühele süvatestimise nõuete kogumile (nt ohuteabel põhinevad läbistustestid) ning kõnealune test peaks hõlmama IKT-taristut kõigis jurisdiktsioonides, kus piiriülene grupp liidus tegutseb, võimaldades seega piiriülestel gruppidel kanda testimiskulusid ainult ühes jurisdiktsioonis. (45)Selleks et tagada kolmandast isikust tuleneva IKT-riski usaldusväärne jälgimine, on vaja sätestada põhimõtetel põhinevad normid, et suunata finantssektori ettevõtjates sellise riski jälgimist, mis tekib seoses kolmandast isikust IKT-teenuste osutajatele edasiantud funktsioonidega ja üldisemalt seoses kolmandast isikust IKT-teenuste osutajatest sõltumisega.

(46)Finantssektori ettevõtjal peaks igal ajal olema täielik vastutus käesoleva määruse kohaste kohustuste täitmise eest. Kolmandast isikust IKT-teenuste osutaja tasandil tekkinud riski proportsionaalsel jälgimisel tuleks võtta nõuetekohaselt arvesse IKTga seotud sõltuvuste ulatust, keerukust ja olulisust, teenuste kriitilisust või olulisust, lepingupõhiste kokkulepetega hõlmatud protsesse või funktsioone ja lõpuks hoolika hindamise põhjal võimalikku mõju finantsteenuste jätkumisele ja kvaliteedile ettevõtja ja grupi tasandil, nagu on asjakohane. (47)Sellises järelevalves tuleks kasuta kolmandast isikust tulenevat IKT-riski käsitlevat strateegilist lähenemisviisi, mille formaliseerimiseks on finantssektori ettevõtja juhtorgan võtnud vastu spetsiaalse strateegia, mille alus on kõigi kõnealuste IKT-teenuseid osutavatest kolmandatest isikutest sõltuvuste pidev uurimine. Selleks et suurendada järelevalvealast teadlikkust IKT-teenuseid osutavatest kolmandatest isikutest sõltumisest ja toetada veelgi käesoleva määrusega loodud järelevalveraamistikku, peaksid finantsjärelevalveasutused saama registritelt korrapäraselt olulist teavet ja neil peaks olema võimalik küsida vajaduse korral selle väljavõtteid. (48)Lepingupõhiste kokkulepete ametlikku sõlmimist peaks toetama ja sellele peaks eelnema põhjalik lepingueelne analüüs ning lepingute lõpetamise peaks tingima vähemalt selliste asjaolude kogum, millest nähtuvad kolmandast isikust IKT-teenuste osutaja puudujäägid. (49)Selleks et käsitleda kolmandast isikust IKT-teenuste osutajate kontsentratsiooniriski süsteemset mõju, tuleks edendada tasakaalustatud lahendust läbi paindliku ja järgjärgulise lähenemisviisi, sest jäigad ülempiirid või ranged piirangud võivad pärssida äritegevust ja lepinguvabadust. Finantssektori ettevõtjad peaksid lepingupõhiseid kokkuleppeid põhjalikult hindama, et teha kindlaks kõnealuse riski tekkimise tõenäosus, ning analüüsima muu hulgas põhjalikult edasiantud tegevuste edasiandmise kokkuleppeid, eelkõige juhul, kui need on sõlmitud kolmandas riigis asutatud kolmandast isikust IKT-teenuste osutajatega. Selles etapis ja selleks, et saavutada tasakaal lepinguvabaduse kaitsmise kohustuse ja finantsstabiilsuse tagamise kohustuse vahel, ei peeta sobivaks näha ette kolmandast isikust IKT-teenuste osutajatega seotud rangeid ülempiire ja piiranguid. Euroopa järelevalveasutus, mis on määratud tegema järelevalvet iga kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja üle (juhtiv järelevalveasutus), peaks pöörama järelevalveülesannete täitmisel erilist tähelepanu sellele, et mõista täielikult sõltuvuste ulatust ja avastada konkreetsed olukorrad, kus kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate suur kontsentratsioon liidus tekitab tõenäoliselt survet liidu finantssüsteemi stabiilsusele ja usaldusväärsusele, ning nägema ette dialoogi kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatega, juhul kui selline risk on tuvastatud. (50)Selleks et oleks võimalik korrapäraselt hinnata ja jälgida kolmandast isikust IKT-teenuste osutaja võimet osutada finantssektori ettevõtjale turvaliselt teenuseid, avaldamata negatiivset mõju ettevõtja kerksusele, peaksid peamised lepinguelemendid olema kolmandast isikust IKT-teenuste osutajatega sõlmitud lepingute täitmisel ühtlustatud. Need elemendid hõlmavad ainult vähimaid lepinguaspekte, mida peetakse oluliseks, et võimaldada finantssektori ettevõtjal jälgida IKT-teenuse stabiilsusest ja turvalisusest sõltuvat digitaalset tegevuskerksust. (51)Lepingupõhistes kokkulepetes tuleks esitada eelkõige funktsioonide ja teenuste täielik kirjeldus ning kõnealuste funktsioonide täitmise ja andmete töötlemise kohad ning täielikud teenustaseme kirjeldused, millele on lisatud kvantitatiivsed ja kvalitatiivsed tulemuseesmärgid kokku lepitud teenustasemete piires, et finantssektori ettevõtja saaks teha tulemuslikku järelevalvet. Mis puudutab finantssektori ettevõtja võimet tagada kolmandast isikust tuleneva riski jälgimine, siis selle oluliste elementidena tuleks käsitada ka sätteid isikuandmetele ligipääsetavuse, nende kättesaadavuse, tervikluse, turvalisuse ja kaitse kohta ning garantiisid juurdepääsu, taastamise ja tagastamise kohta kolmandast isikust IKT-teenuste osutaja maksejõuetuse, kriisilahenduse või äritegevuse lõpetamise korral. (52)Selleks et tagada, et finantssektori ettevõtjatel on täielik kontroll kõigi muudatuste üle, mis võivad kahjustada nende IKT turvalisust, tuleks sätestada kolmandast isikust IKT-teenuste osutaja etteteatamistähtajad ja aruandekohustused selliste muudatuste puhuks, mis võivad oluliselt kahjustada kolmandast isikust IKT-teenuste osutaja võimet täita tulemuslikult kriitilise tähtsusega või olulisi funktsioone, sealhulgas IKTga seotud intsidendi korral viimati nimetatu abi lisatasuta või eelnevalt kindlaks määratud tasu eest. (53)Finantssektori ettevõtja jooksvas järelevalves kolmandast isikust IKT-teenuste osutaja tegevuse üle on äärmiselt olulisteks vahenditeks finantssektori ettevõtja või määratud kolmanda isiku pääsu-, kontrolli- ja auditeerimisõigused, samuti kõnealuse teenuseosutaja täielik koostöö kontrollide ajal. Ka finantssektori ettevõtja pädeval asutusel peaksid olema need õigused ehk õigus teadete alusel kontrollida ja auditeerida kolmandast isikust IKT-teenuste osutajat, juhul kui konfidentsiaalsuse nõue on täidetud. (54)Lepingupõhistes kokkulepetes tuleks näha ette selged lõpetamisõigused ja nendega seotud lühimad etteteatamistähtajad, samuti spetsiaalsed väljumisstrateegiad, mis võimaldavad eelkõige kohustuslikke üleminekuperioode, mille jooksul kolmandast isikust IKT-teenuste osutajad peaksid jätkama asjaomaste funktsioonide täitmist, et vähendada katkestuste riski finantssektori ettevõtja tasandil või võimaldada viimasel lülituda tulemuslikult ümber teistele kolmandast isikust IKT-teenuste osutajatele või otsustada kasutada siselahendusi, olenevalt osutatud teenuse keerukusest. (55)Lisaks võib selliste lepingu tüüptingimuste vabatahtlik kasutamine, mille komisjon on töötanud välja pilvandmetöötlusteenuste jaoks, olla finantssektori ettevõtjatele ja nende kolmandast isikust IKT-teenuste osutajatele mugavam, suurendades täielikus kooskõlas finantsteenuseid käsitlevas määruses sätestatud nõuete ja ootustega õiguskindlust finantssektoris pilvandmetöötlusteenuste kasutamise puhul. See töö tugineb meetmetele, mida kavandati juba 2018. aasta finantstehnoloogia tegevuskavas, mis näitas komisjoni kavatsust julgustada ja hõlbustada selliste lepingu tüüptingimuste väljatöötamist, mida finantssektori ettevõtjad saaks kasutada pilvandmetöötlusteenuste edasiandmisel, lähtudes valdkonnaüleste pilvandmetöötlusteenuste sidusrühmade jõupingutustest, mida komisjon on finantssektori osalusel edendanud. (56)Selleks et edendada selliste järelevalvealaste lähenemisviiside ühtlustamist ja tõhusust, mis käsitlevad finantssektorile kolmandatest isikutest tulenevat IKT-riski, tugevdada selliste finantssektori ettevõtjate digitaalset tegevuskerksust, mis sõltuvad operatiivsete funktsioonide puhul kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatest, ning seega aidata säilitada liidu finantssüsteemi stabiilsust ja finantsteenuste ühtse turu usaldusväärsust, tuleks kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate suhtes kohaldada liidu järelevalveraamistikku. (57)Kuna erikäsitlus on õigustatud ainult kriitilise tähtsusega kolmandast isikust teenuseosutajate puhul, tuleks liidu järelevalveraamistiku kohaldamiseks luua nende kindlaksmääramise mehhanism eesmärgiga võtta arvesse finantssektoris kõnealustest kolmandast isikust IKT-teenuste osutajatest sõltumise mõõdet ja laadi, mis tähendab kvantitatiivseid ja kvalitatiivseid kriteeriume, millele tuginedes põhineks järelevalvega hõlmatus kriitilisuse parameetritel. Kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatel, mis ei ole eespool osutatud kriteeriumide põhjal automaatselt järelevalve alla määratud, peaks olema võimalus järelevalveraamistikku vabatahtlikult kohaldada, kuid need kolmandast isikust IKT-teenuste osutajad, mille suhtes juba kohaldatakse eurosüsteemi tasandil kehtestatud järelevalvemehhanismide raamistikke eesmärgiga toetada Euroopa Liidu toimimise lepingu artikli 127 lõikes 2 osutatud ülesandeid, peaksid olema vabastatud. (58)Nõue, et kolmandast isikust IKT-teenuste osutajad, keda loetakse olevat kriitilise tähtsusega, peavad olema liidus asutatud, ei puuduta andmete lokaliseerimist, sest käesoleva määrusega ei kaasne uusi nõudeid, mille kohaselt tuleks andmeid talletada või töödelda liidus. (59)See raamistik ei tohiks piirata liikmesriikide pädevust teha ise järelevalvemissioone, mis puudutavad kolmandast isikust IKT-teenuste osutajaid, mis ei ole käesoleva määruse kohaselt kriitilise tähtsusega, kuid mida võib riiklikul tasandil käsitada olulistena. (60)Selleks et kasutada finantsteenuste valdkonna praegust mitmetasandilist institutsioonilist ülesehitust, peaks Euroopa järelevalveasutuste ühiskomitee jätkuvalt tagama üldise sektoritevahelise koordineerimise kõigis IKT-riskiga seotud küsimustes kooskõlas oma küberturvalisust puudutavate ülesannetega ja teda peaks toetama uus allkomitee (järelevalvefoorum), mis valmistab ette kriitilise tähtsusega kolmandatest isikutest IKT-teenuste osutajatele suunatud individuaalseid otsuseid ja ühissoovitusi – eelkõige kriitilise tähtsusega kolmandatest isikutest IKT-teenuste osutajate järelevalvekavade võrdlemise kohta – ning teeb kindlaks IKT kontsentratsiooniriskiga seotud probleemide lahendamise parimad tavad. (61)Selleks et selliste kolmandast isikust IKT-teenuste osutajate üle, mis mängivad finantssektori toimimises kriitilist rolli, tehtaks liidu mastaabis samaulatuslikku järelevalvet, tuleks iga kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja puhul määrata üks Euroopa järelevalveasutus juhtivaks järelevalveasutuseks. (62)Juhtivatel järelevalveasutustel peaksid olema vajalikud volitused, et teha uurimisi, kohapealseid ja kaugkontrolle kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajates, pääseda juurde kõigile asjaomastele ruumidele ja kohtadele ning saada täielikku ja ajakohastatud teavet, mis võimaldaks saada tegeliku ülevaate sellise finantssektori ettevõtjaid ja kokkuvõttes liidu finantssüsteemi ohustava IKT-riski liigist, mõõtmest ja mõjust, mis tuleneb kolmandast isikust. Euroopa järelevalveasutustele järelevalves juhtiva rolli andmine on eeltingimus, et saada aru IKT-riski süsteemsest mõõtmest rahanduses ja seda käsitleda. Liidu jalajälg seoses kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatega ja sellega seotud võimalikud IKT kontsentratsiooniriski probleemid eeldavad ühist lähenemisviisi liidu tasandil. Mitme auditi tegemine ja pääsuõiguste kasutamine eraldi paljude pädevate asutuste poolt ja vähese koordineerimisega või koordineerimiseta ei annaks kolmandast isikust tulenevast IKT-riskist täielikku ülevaadet, vaid looks tarbetut liiasust, koormust ja keerukust kolmandast isikust IKT-teenuste osutajatele, kellel tuleb tegeleda rohkete taotlustega. (63)Peale selle peaksid juhtivad järelevalveasutused saama esitada IKT-riski küsimuses soovitusi ja sobivaid parandusmeetmeid, samuti vastuväiteid teatavatele lepingupõhistele kokkulepetele, mis kokkuvõttes mõjutavad finantssektori ettevõtja või finantssüsteemi stabiilsust. Juhtivate järelevalveasutuste esitatud oluliste soovituste järgimist peaksid riiklikud pädevad asutused võtma nõuetekohaselt arvesse, kui nad täidavad oma funktsiooni, mis on seotud finantssektori ettevõtjate usaldatavusnõuete täitmise järelevalvega. (64)Järelevalveraamistik ei asenda mingil viisil või mingis osas finantssektori ettevõtjates kolmandast isikust IKT-teenuste osutajate kasutamisest tulenava riski juhtimist, sealhulgas kohustus jälgida jooksvalt nende lepingupõhiseid kokkuleppeid kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatega, ega mõjuta finantssektori ettevõtjate täielikku vastutust kõigi käesoleva määruse ja finantsteenuseid käsitlevate õigusaktide kohaste nõuete rahuldamise ja täitmise eest. Selleks et vältida dubleerimist ja kattuvust, peaksid pädevad asutused hoiduma üksi selliste meetmete võtmisest, mille eesmärk on jälgida kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate riske. Kõik sellised meetmed tuleks enne järelevalveraamistikus kooskõlastada ja kokku leppida.

(65)Selleks et edendada rahvusvahelisel tasandil selliste parimate tavade ühtlustamist, mida järgitakse kolmandast isikust IKT-teenuste osutajate digiriski juhtimise läbivaatamisel, tuleks Euroopa järelevalveasutusi julgustada sõlmima koostöökokkuleppeid kolmandate riikide asjaomaste pädevate järelevalve- ja reguleerivate asutustega, et hõlbustada kolmandast isikust tulenevat IKT-riski käsitlevate parimate tavade väljatöötamist. (66)Selleks et kasutada ära pädevate asutuste ekspertide tehnilisi teadmisi operatsiooni- ja IKT-riskide juhtimise alal, peaksid juhtivad järelevalveasutused toetuma riikide järelevalvekogemusele ja looma spetsiaalsed uurimisrühmad iga üksiku kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja jaoks, moodustades multidistsiplinaarsed meeskonnad, et toetada järelevalvetegevuse, sealhulgas kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate kohapealsete kontrollide ja vajalike järelmeetmete ettevalmistamist ja tegelikku elluviimist. (67)Pädevatel asutustel peaksid olema kõik käesoleva määruse kohaldamise tagamiseks vajalikud järelevalve-, uurimis- ja karistuste määramise volitused. Halduskaristused tuleks üldiselt avaldada. Kuna finantssektori ettevõtjad ja kolmandast isikust IKT-teenuste osutajad võivad olla asutatud eri liikmesriikides ja nende üle võivad järelevalvet teha eri valdkondade pädevad asutused, tuleks vastastikuse teabevahetuse ja järelevalvetegevuses abistamise kaudu tagada tihe koostöö asjakohaste pädevate asutuste vahel, sealhulgas EKPga seoses talle nõukogu määrusega (EL) nr 1024/2013 antud eriülesannetega, ning konsulteerimine Euroopa järelevalveasutustega. (68)Selleks et täiendavalt kvantifitseerida ja kvalifitseerida kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate määramise kriteeriume ja ühtlustada järelevalvetasusid, tuleks komisjonile anda õigus võtta kooskõlas Euroopa Liidu toimimise lepingu artikliga 290 vastu õigusakte, milles täpsustatakse veelgi süsteemset mõju, mida kolmandast isikust IKT-teenuste osutaja maksejõuetus võib avaldada teenindatavatele finantssektori ettevõtjatele, selliste globaalsete süsteemselt oluliste ettevõtjate või muude süsteemselt oluliste ettevõtjate arvu, mis sõltuvad asjaomasest kolmandast isikust IKT-teenuste osutajast, teataval turul tegutsevate kolmandast isikust IKT-teenuste osutajate arvu, teisele kolmandast isikust IKT-teenuste osutajale ülemineku kulusid, nende liikmesriikide arvu, kus asjaomane kolmandast isikust IKT-teenuste osutaja osutab teenuseid ja tegutsevad asjaomast kolmandast isikust IKT-teenuste osutajat kasutavad finantssektori ettevõtjad ning järelevalvetasude summat ja nende tasumise viisi. On eriti oluline, et komisjon korraldaks oma ettevalmistava töö käigus asjakohaseid konsultatsioone, muu hulgas ekspertide tasandil, ja et need konsultatsioonid korraldataks kooskõlas 13. aprilli 2016. aasta institutsioonidevahelises parema õigusloome kokkuleppes sätestatud põhimõtetega. Selleks et tagada võrdne osalemine delegeeritud õigusaktide ettevalmistamises, saavad Euroopa Parlament ja nõukogu kõik dokumendid liikmesriikide ekspertidega samal ajal ning nende ekspertidel on süstemaatiline juurdepääs komisjoni eksperdirühmade kohtumistele, kus valmistatakse ette delegeeritud õigusakte. (69)Kuna käesoleva määruse ja Euroopa Parlamendi ja nõukogu direktiiviga (EL) 20xx/xx kaasneb täieliku kooskõla tagamiseks selliste IKT-riskide juhtimist käsitlevate sätete konsolideerimine, mis sisalduvad mitmes liidu finantsteenuste õigustiku määruses ja direktiivis, sealhulgas määrustes (EÜ) nr 1060/2009, (EL) nr 648/2012 (EL) nr 600/2014 ja (EL) nr 909/2014, tuleks osutatud määruseid muuta, et selgitada, et asjakohased IKT-riskiga seotud sätted sisalduvad käesolevas määruses. Tehnilised standardid peaksid tagama käesolevas määruses sätestatud nõuete järjekindla ühtlustamise. Kuna Euroopa järelevalveasutustel on põhjalikud eriteadmised, tuleks teha neile ülesandeks töötada komisjonile esitamiseks välja regulatiivsete tehniliste standardite eelnõud, mille puhul ei ole vaja teha poliitilisi otsuseid. Regulatiivsed tehnilised standardid tuleks töötada välja IKT-riskide juhtimise, aruandluse, testimise ja kolmandast isikust tuleneva IKT-riski usaldusväärse jälgimise põhinõuete valdkonnas. (70)On eriti oluline, et komisjon korraldaks oma ettevalmistava töö käigus asjakohaseid konsultatsioone, muu hulgas ekspertide tasandil. Komisjon ja Euroopa järelevalveasutused peaksid tagama, et kõik finantssektori ettevõtjad saavad kõnealuseid standardeid ja nõudeid kohaldada viisil, mis on proportsionaalne nende ja nende tegevuse laadi, ulatuse ja keerukusega. (71)Selleks et parandada IKTga seotud oluliste intsidentide teadete võrreldavust ja tagada läbipaistvus seoses lepingupõhiste kokkulepetega, mis käsitlevad kolmandast isikust IKT-teenuste osutajate osutatavate IKT-teenuste kasutamist, tuleks Euroopa järelevalveasutustele anda volitused koostada rakenduslike tehniliste standardite eelnõud, millega kehtestatakse finantssektori ettevõtjatele mõeldud standardmallid, -vormid ja -menetlused IKTga seotud olulisest intsidendist teatamiseks ning standardmallid teaberegistrile. Nende standardite väljatöötamisel peaksid Euroopa järelevalveasutused võtma arvesse finantssektori ettevõtjate suurust ja keerukust ning nende tegevuse laadi ja sellega seotud riski taset. Komisjonil peaks olema õigus võtta need rakenduslikud tehnilised standardid vastu ELi toimimise lepingu artikli 291 kohaste rakendusaktidega ja kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artikliga 15. Kuna määrustes (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014 ja (EL) nr 909/2014 sisalduvatel tehnilistel regulatiivsetel ja rakenduslikel tehnilistel standarditel põhinevate delegeeritud õigusaktide ja rakendusaktidega on juba täpsustatud täiendavaid nõudeid, on asjakohane anda Euroopa järelevalveasutustele kas eraldi või ühiskomitee kaudu kõigile korraga volitused esitada komisjonile regulatiivsed ja rakenduslikud tehnilised standardid selliste delegeeritud õigusaktide ja rakendusaktide vastuvõtmiseks, millega võetakse üle ja ajakohastatakse kehtivaid IKT-riskide juhtimise norme. (72)Sellega kaasneb erinevates finantsteenuste valdkondades vastu võetud kehtivate delegeeritud õigusaktide ja rakendusaktide hilisem muutmine. Selliste operatsiooniriski käsitlevate artiklite kohaldamisala, millega anti kõnealustes õigusaktides volitus võtta vastu delegeeritud õigusakte ja rakendusakte, tuleks muuta, et kanda käesolevasse määrusesse üle kõik sellised sätted digitaalse tegevuskerksuse kohta, mis praegu sisalduvad kõnealustes määrustes. (73)Kuna käesoleva määruse eesmärke, eelkõige kõigi finantssektori ettevõtjate kõrge digitaalse tegevuskerksuse tase, ei suuda liikmesriigid piisavalt saavutada, sest need eeldavad paljude selliste lahknevate õigusnormide ühtlustamist, mis sisalduvad praegu kas mõnes liidu õigusaktis või eri liikmesriikide õigussüsteemis, küll aga saab neid ulatuse ja mõju tõttu paremini saavutada liidu tasandil, võib liit võtta meetmeid kooskõlas Euroopa Liidu lepingu artiklis 5 sätestatud subsidiaarsuse põhimõttega. Kõnealuses artiklis sätestatud proportsionaalsuse põhimõtte kohaselt ei lähe käesolev määrus nimetatud eesmärgi saavutamiseks vajalikust kaugemale, ON VASTU VÕTNUD KÄESOLEVA MÄÄRUSE: I PEATÜKK Üldsätted Artikkel 1 Reguleerimisese 1.Käesolevas määruses sätestatakse järgmised ühetaolised nõuded, mis käsitlevad finantssektori ettevõtjate äriprotsesse toetavate võrgu- ja infosüsteemide turvalisust ja mida on vaja digitaalse tegevuskerksuse ühtlaselt kõrge taseme saavutamiseks: (a)finantssektori ettevõtjate suhtes kohaldatavad nõuded, mis puudutavad –info- ja kommunikatsioonitehnoloogia (IKT) riskide juhtimist; –pädevate asutuste teavitamist IKTga seotud olulistest intsidentidest;

–digitaalse tegevuskerksuse testimist; –küberohte ja haavatavusi puudutava teabe ja teadmuse jagamist; –meetmeid kolmandast isikust tulenevate IKT-riskide usaldusväärseks juhtimiseks finantssektori ettevõtjate poolt; (b)kolmandast isikust IKT-teenuste osutajate ja finantssektori ettevõtjate vahel sõlmitud lepingupõhiseid kokkuleppeid käsitlevaid nõudeid; (c)järelevalveraamistikku selliste kriitilise tähtsusega IKT-teenuste osutajate jaoks, kes osutavad teenuseid finantssektori ettevõtjatele; (d)norme, mis käsitlevad pädevate asutuste koostööd ning pädevate asutuste poolset järelevalvet ja nõuete täitmise tagamist kõigis käesoleva määrusega hõlmatud küsimustes. 2.Mis puudutab finantssektori ettevõtjaid, mida käsitatakse oluliste teenuste operaatoritena vastavalt riigisisestele õigusnormidele, millega on üle võetud direktiivi (EL) 2016/1148 artikkel 5, siis käesolevat määrust käsitatakse nimetatud direktiivi artikli 1 lõike 7 kohaldamisel sektoripõhise liidu õigusaktina. Artikkel 2 Isikuline kohaldamisala 1.Käesolevat määrust kohaldatakse järgmiste üksuste suhtes: (a)krediidiasutused, (b)makseasutused, (c)e-raha asutused, (d)investeerimisühingud, (e)krüptovarateenuse osutajad, krüptovara emitendid, varapõhiste tokenite emitendid ja oluliste varapõhiste tokenite emitendid, (f)väärtpaberite keskdepositooriumid, (g)kesksed vastaspooled, (h)kauplemiskohad, (i)kauplemisteabehoidlad, (j)alternatiivsete investeerimisfondide valitsejad,

(k)fondivalitsejad, (l)aruandlusteenuste pakkujad, (m)kindlustus- ja edasikindlustusandjad, (n)kindlustusvahendajad, edasikindlustusvahendajad ja kõrvaltegevusena pakutava kindlustuse vahendajad, (o)tööandja kogumispensioni asutused, (p)reitinguagentuurid, (q)vannutatud audiitorid ja audiitorühingud, (r)kriitilise tähtsusega võrdlusaluste haldurid, (s)ühisrahastamisteenuse osutajad, (t)väärtpaberistamise registrid, (u)kolmandast isikust IKT-teenuste osutajad. 2.Käeoleva määruse kohaldamisel nimetatakse punktides a–t osutatud üksusi koos finantssektori ettevõtjateks. Artikkel 3 Mõisted Käesolevas määruses kasutatakse järgmisi mõisteid: (1)„digitaalne tegevuskerksus“ – finantssektori ettevõtja võime luua, tagada ja vaadata läbi oma tegevuse terviklikkust tehnoloogilisest vaatenurgast, tagades kas otseselt või kaudselt kolmandast isikust IKT-teenuste osutajate teenuste kasutamise kaudu kogu IKTga seotud suutlikkuse, mida on vaja selliste võrgu- ja infosüsteemide turvalisuse käsitlemiseks, mida finantssektori ettevõtja kasutab ning mis toetavad finantsteenuste jätkuvat osutamist ja nende kvaliteeti; (2)„võrgu- ja infosüsteem“ – direktiivi (EL) 2016/1148 artikli 4 punktis 1 määratletud võrgu- ja infosüsteem; (3)„võrgu- ja infosüsteemide turvalisus“ – direktiivi (EL) 2016/1148 artikli 4 punktis 2 määratletud võrgu- ja infosüsteemide turvalisus; (4)„IKT-risk“ – mõistlikult tuvastatav asjaolu võrgu- ja infosüsteemide kasutamisel (sealhulgas häire, suutvuse puudus, tõrge, katkestus, kahjustus, väärkasutus, kadu või muud liiki pahatahtlik või mittepahatahtlik sündmus), mis realiseerumise korral võib seada ohtu võrgu- ja infosüsteemide, tehnoloogiast sõltuva vahendi või protsessi, operatsiooni ja protsessi toimimise või teenuste osutamise turvalisuse, seades seeläbi ohtu andmete, tarkvara või mõne muu IKT-teenuste ja -taristu komponendi tervikluse või kättesaadavuse või rikkudes konfidentsiaalsust või tekitades kahju füüsilisele IKT-taristule või muu negatiivse tagajärje; (5)„teabevara“ – materiaalne või mittemateriaalne teabekogu, mida tasub kaitsta;

(6)„IKTga seotud intsident“ – ettenägematu tuvastatud ilming võrgu- ja infosüsteemides, mis tuleneb pahatahtlikust tegevusest või mitte ning seab ohtu võrgu- ja infosüsteemide või nende süsteemide töödeldava, talletatava või edastatava teabe turvalisuse või avaldab negatiivset mõju finantssektori ettevõtja osutatavate finantsteenuste kättesaadavusele, konfidentsiaalsusele, jätkuvusele või autentsusele; (7)„IKTga seotud oluline intsident“ – IKTga seotud intsident, millel võib olla suur negatiivne mõju võrgu- ja infosüsteemidele, mis toetavad finantssektori ettevõtja kriitilise tähtsusega funktsioone; (8)„küberoht“ – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 8 määratletud küberoht; (9)„küberrünne“ – IKTga seotud pahatahtlik intsident, mis kujutab endast ohusubjekti katset hävitada, paljastada, muuta, desaktiveerida või varastada vara, saada varale loata juurdepääs või kasutada vara ilma loata; (10)„ohuteadmus“ – teave, mida on agregeeritud, teisendatud, analüüsitud, tõlgendatud või rikastatud, et anda otsuste tegemiseks vajalik kontekst, ning mis tagab asjakohase ja piisava arusaamise IKTga seotud intsidendi või küberohu mõju leevendamiseks, sealhulgas küberründe tehnilised üksikasjad, ründe toimepanijad ning nende töömeetodid ja ajendid; (11)„süvakaitse“ – IKTga seotud strateegia, mis integreerib inimesi, protsesse ja tehnoloogiat, et luua ettevõtjas mitmel tasandil ja mitmes mõõtmes eri tõkkeid; (12)„haavatavus“ – vara, süsteemi, protsessi või kontrolli nõrkus, tundlikkus või viga, mida oht võib ära kasutada; (13)„ohuteabel põhinev läbistustestimine“ – tingimused, mis matkivad taktikat, tehnikat ja menetlusi, mida kasutavad tegelikud ohusubjektid, keda tajutakse tegeliku küberohu tekitajatena, ning mis võimaldavad teha ettevõtja kriitilise tähtsusega töötavate tarbesüsteemide kontrollitud, kohandatud, teadmuspõhise (punane tiim) testi; (14)„kolmandast isikust tulenev IKT-risk“ – IKT-risk, mis võib finantssektori ettevõtjat ohustada, kui ta kasutab kolmandast isikust IKT-teenuste osutajate või nende alltöövõtjate IKT-teenuseid; (15)„kolmandast isikust IKT-teenuste osutaja“ – ettevõtja, mis osutab digi- ja andmeteenuseid, sealhulgas pilvandmetöötlus-, tarkvara-, andmeanalüüsi- ja andmekeskuse teenuste osutajad, kuid välja arvatud riistvarakomponentide pakkujad ja liidu õiguse alusel tegevusloa saanud ettevõtjad, mis osutavad Euroopa Parlamendi ja nõukogu direktiivi (EL) 2018/1972 artikli 2 punktis 4 määratletud elektroonilise side teenuseid; (16)„IKT-teenused“ – digi- ja andmeteenused, mida osutatakse IKT-süsteemide kaudu ühele või mitmele sise- või väliskasutajale, sealhulgas andmete edastamise, sisestamise, talletamise ja töötlemise teenused, aruandlusteenused, andmete seire ning äri- ja otsustustoeteenused; (17)„kriitilise tähtsusega või oluline funktsioon“ – funktsioon, mille häiritud, vigane või ebaõnnestunud täitmine kahjustaks oluliselt finantssektori ettevõtja tegevusloast tulenevate tingimuste ja kohustuste või tema muude, kohaldatavate finantsteenuseid käsitlevate õigusaktide kohaste kohustuste jätkuvat täitmist või tema finantstulemusi või teenuste ja tegevuse usaldusväärsust või jätkuvust; (18)„kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja“ – kolmandast isikust IKT-teenuste osutaja, kes on määratud vastavalt artiklile 29 ja kelle suhtes kohaldatakse artiklites 30–37 osutatud järelevalveraamistikku; (19)„kolmandas riigis asutatud kolmandast isikust IKT-teenuste osutaja“ – kolmandast isikust IKT-teenuste osutaja, kes on kolmandas riigis asutatud juriidiline isik, kes ei ole alustanud äritegevust / ei tegutse liidus ning on sõlminud finantssektori ettevõtjaga IKT-teenuste osutamiseks lepingupõhise kokkuleppe; (20)„kolmandas riigis asutatud IKT alltöövõtja“ – IKT alltöövõtja, kes on kolmandas riigis asutatud juriidiline isik, kes ei ole alustanud äritegevust / ei tegutse liidus ning on sõlminud lepingupõhise kokkuleppe kas kolmandast isikust IKT-teenuste osutajaga või kolmandas riigis asutatud kolmandast isikust IKT-teenuste osutajaga; (21)„IKT kontsentratsioonirisk“ – suhe ühe või mitme seotud kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajaga, mis tekitab nendest teenuseosutajatest teatava sõltuvuse, nii et juhul, kui kõnealused teenuseosutajad ei ole kättesaadavad, muutuvad maksejõuetuks või omavad muid puudusi, võib sattuda ohtu finantssektori ettevõtja ja kokkuvõttes liidu finantssüsteemi kui terviku suutlikkus täita kriitilise tähtsusega funktsioone või tulla toime muud liiki negatiivse mõju, sealhulgas suure kahjuga; (22)„juhtorgan“ – direktiivi 2014/65/EL artikli 4 lõike 1 punktis 36, direktiivi 2013/36/EL artikli 3 lõike 1 punktis 7, direktiivi 2009/65/EÜ artikli 2 lõike 1 punktis s, määruse (EL) nr 909/2014 artikli 2 lõike 1 punktis 45, Euroopa Parlamendi ja nõukogu määruse (EL) 2016/1011 artikli 3 lõike 1 punktis 20, Euroopa Parlamendi ja nõukogu määruse (EL) 20xx/xx artikli 3 lõike 1 punktis u määratletud juhtorgan või vastavad isikud, kes tegelikult juhivad üksust või täidavad põhifunktsioone kooskõlas liidu või liikmesriikide asjakohaste õigusaktidega; (23)„krediidiasutus“ – Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013 artikli 4 lõike 1 punktis 1 määratletud krediidiasutus; (24)„investeerimisühing“ – direktiivi 2014/65/EL artikli 4 lõike 1 punktis 1 määratletud investeerimisühing; (25)„makseasutus“ – direktiivi (EL) 2015/2366 artikli 1 lõike 1 punktis d määratletud makseasutus;

(26)„e-raha asutus“ – Euroopa Parlamendi ja nõukogu direktiivi 2009/110/EÜ artikli 2 punktis 1 punktis d määratletud e-raha asutus; (27)„keskne vastaspool“ – määruse (EL) nr 648/2012 artikli 2 lõikes 1 määratletud keskne vastaspool; (28)„kauplemisteabehoidla“ – määruse (EL) nr 648/2012 artikli 2 punktis 2 määratletud kauplemisteabe