ET Euroopa Liidu Teataja C 352/4

EUROOPA KESKPANGA ARVAMUS,

25. juuli 2014,

seoses ettepanekuga, mis käsitleb Euroopa Parlamendi ja nõukogu direktiivi meetmete kohta, millega tagada võrgu- ja infoturbe ühtlaselt kõrge tase kogu Euroopa Liidus

(CON/2014/58)

2014/C 352/04

Sissejuhatus ja õiguslik alus

7. veebruaril 2013 avaldas Euroopa Komisjon ettepaneku, mis käsitleb direktiivi meetmete kohta, millega tagada võrgu- ja infoturbe ühtlaselt kõrge tase kogu Euroopa Liidus (1) (edaspidi „ettepandud direktiiv”).

Euroopa Keskpank (EKP) on otsustanud esitada ettepandud direktiivi kohta arvamuse omal initsiatiivil, kuna seadusandja ei ole EKPga ametlikult konsulteerinud. EKP arvamuse andmise pädevus põhineb Euroopa Liidu toimimise lepingu artikli 127 lõikel 4 ja artikli 282 lõikel 5, kuna ettepandud direktiivi sätted mõjutavad Euroopa Keskpankade Süsteemi (EKPS) ülesannet edendada maksesüsteemide tõrgeteta toimimist, millele osutab lepingu artikli 127 lõige 2. Lisaks sätestab Euroopa Keskpankade Süsteemi ja Euroopa Keskpanga põhikirja (edaspidi „EKPSi põhikiri”) artikkel 22, et EKP ja riikide keskpangad (RKPd) võivad anda vahendeid ja EKP võib kehtestada eeskirju efektiivsete ja usaldatavate arveldus- ja maksesüsteemide tagamiseks liidu piires ja teiste riikidega. EKP nõukogu on käesoleva arvamuse vastu võtnud kooskõlas Euroopa Keskpanga kodukorra artikli 17.5 esimese lausega.

1. Ettepandud direktiivi eesmärk

1.1. Ettepandud direktiivi eesmärk on tagada võrgu- ja infoturbe ühtlaselt kõrge tase, parandades interneti ning ühiskonna ja majanduse toimimist toetavate võrkude ja infosüsteemide turvalisust. Käesolev ettepanek on Euroopa küberjulgeoleku strateegia peamine meede (2).

1.2. Võrgul ja infosüsteemidel on oluline roll kaupade, teenuste ja inimeste piiriülese liikumise hõlbustamisel. Sellisest riikidevahelisest mõõtmest tulenevalt võib ühes liikmesriigis tekkinud katkestus mõjutada ka teisi liikmesriike ja liitu tervikuna. Sagedaste intsidentide oht ning piisava kaitse tagamise suutmatus vähendavad avalikkuse silmis võrgu- ja infoturbe usaldusväärsust. Seetõttu on võrgu- ja infoturbe vastupidavus ja stabiilsus siseturu sujuvaks toimimiseks hädavajalikud.

1.3. Ettepandud direktiiv lähtub varasematest algatustest antud valdkonnas (3). Antud kontekstis kinnitab ettepandud direktiiv võrgu- ja infoturbealaste eeskirjade ühtlustamise ning liikmesriikidevahelise tulemusliku koostöömehhanismi loomise vajalikkust.

1.4. Ettepandud direktiiv sätestab liidu õigusraamistiku liikmesriikide võrgu- ja infoturbealase suutlikkuse tagamiseks, liiduülese koostöö mehhanismid ning spetsiifilistes elutähtsates sektorites tegutsevatele haldusasutustele ja erasektori ettevõtetele kehtestatavad nõuded. See peaks tagama riikide tasandil piisava valmisoleku ning aitama kaasa vastastikuse usalduse tekkimisele, mis on liidu tasandi tõhusa koostöö eeltingimus. Võrgustiku kaudu toimuva liidu tasandi koostöö mehhanismide loomine võimaldab piiriüleseid võrgu ja info turvalisusega seotud riske ühtselt ja koordineeritult vältida või neile reageerida.

1.5. Peamised sätted hõlmavad järgmist: a) kõikide liikmesriikide kohustus tagada riikliku suutlikkuse miinimumtase ning asutada selleks võrgu- ja infoturbe valdkonna pädevad asutused, luua infoturbeintsidentidega tegelevad meeskonnad (Computer Emergency Response Team ehk CERT) ning võtta vastu riiklikud võrgu- ja infoturbe strateegiad ja riiklikud võrgu- ja infoturbe koostöökavad; b) liikmesriikidevaheline kohustuslik teabevahetus võrgustiku raames ning üleeuroopalise võrgu- ja infoturbe koostöökava väljatöötamine ja koordineeritud varajane hoiatamine küberturbe intsidentidest; c) kohustus tagada Euroopa Parlamendi ja nõukogu direktiivist 2002/21/EÜ (4) lähtudes, et riskihalduskultuur areneb ning avalik ja erasektor jagavad omavahel teavet. Spetsiifilistes elutähtsates sektorites tegutsevatele ettevõtjatele ja haldusasutustele pannakse kohustus hinnata nende ees olevaid riske ning võtta võrgu- ja infoturbe tagamiseks asjakohaseid ja proportsionaalseid meetmeid. Samuti pannakse neile kohustus teatada pädevatele asutustele kõikidest intsidentidest, mis kahjustavad oluliselt nende võrke ja infosüsteeme ning mõjutavad elutähtsate teenuste ja kaupade pakkumise pidevust.

2. Üldised märkused

2.1. EKP toetab ettepandud direktiivi eesmärki tagada võrgu- ja infoturbe ühtlaselt kõrge tase liidus ning saavutada antud valdkonnas ärisektorite ja liikmesriikide ülene ühtne lähenemisviis. Oluline on tagada, et siseturul tegutsemine oleks turvaline ning et kõikidel liikmesriikidel oleks tagatud küberturbe intsidendiks valmisoleku miinimumtase.

2.2. EKP on siiski seisukohal, et ettepandud direktiiv ei tohiks piirata kehtivat eurosüsteemi makse- ja arveldussüsteemi järelevaatamise korda (5), mis hõlmab muu hulgas ka võrgu- ja infoturbe alaseid asjakohaseid meetmeid. Tuleks märkida, et EKP-l on eriline huvi makse- ja arveldussüsteemide (6) kõrge turvalisuse vastu seoses eesmärgiga edendada maksesüsteemide tõrgeteta toimimist ning säilitada euro usaldusväärsus ja tagada liidu majanduse toimimine.

2.3. Lisaks on makse- ja arveldussüsteemide ja makseteenuste pakkuja turvakorraldus ning intsidentidest teavitamine üks usaldatavusjärelevalve teostajate ja keskpankade peamisi pädevusi. Seetõttu peaks järelevaatamisnõuete väljatöötamine nimetatud valdkonnas jääma asjaomaste asutuste pädevusse ning makse- ja arveldussüsteeme ja makseteenuste pakkujaid ei tohiks mõjutada muude riigisiseste asutuste kehtestatavad potentsiaalselt vastuolulised nõuded. Pealegi on euroala riskihaldus – sealhulgas makse- ja arveldussüsteemide ja muu turuinfrastruktuuri turvanõuded – eurosüsteemi pädevuses, mis koosneb EKPst ja euro kasutusele võtnud liikmesriikide RKPdest. Nimetatud järelevaatamisülesannete täitmise kaudu püüab eurosüsteem tagada makse- ja arveldussüsteemide tõrgeteta toimimise, muu hulgas kohaste järelevaatamisstandardite ja miinimumnõuete kohaldamise abil. Ettepandud direktiiv peaks võtma arvesse kehtivat järelevaatamisraamistikku ning tagama õigusliku järjepidevuse kogu liidus.

3. Erimärkused

3.1. Ettepandud direktiivi põhjendus 5 ja artikkel 1 sätestavad, et asjaomaseid kohustusi, koostöömehhanisme ja turvanõudeid kohaldatakse kõikide haldusasutuste ja operaatorite suhtes. Põhjenduse 5 ja artikli 1 praegune sõnastus ei võta arvesse aluslepingus sätestatud eurosüsteemi volitusi makse- ja arveldussüsteemide järelevaatamise teostamisel. Eurosüsteemi valdkondlike kohustuste korrektseks arvesse võtmiseks tuleks ettepandud direktiivi muuta.

3.2. Makse- ja väärtpaberiarveldussüsteemide järelevaatamise kord keskpankades ja muudes pädevates asutustes on sätestatud erinevates liidu direktiivides ja määrustes, muu hulgas järgmistes õigusaktides: a) Euroopa Parlamendi ja nõukogu direktiiv 98/26/EÜ (edaspidi „arvelduse lõplikkuse direktiiv”) (7), mis võimaldab liikmesriikide pädevatel asutustel kehtestada nende jurisdiktsiooni all olevatele makse- ja arveldussüsteemidele järelevalvenõudeid (8); b) Euroopa Parlamendi ja nõukogu määrus (EL) nr 648/2012 (9) (edaspidi „Euroopa turu infrastruktuuri määrus”), mis tunnustab Euroopa Väärtpaberiturujärelevalve (ESMA), Euroopa Pangandusjärelevalve (EBA) ja EKPSi rolli seoses regulatiivsete standardite kehtestamise ja kesksete vastaspoolte järelevalvega, ja c) ettepanek, mis käsitleb määrust Euroopa Liidus väärtpaberiarvelduse parandamise ja väärtpaberite keskdepositooriumide (CSDd) kohta, ning millega muudetakse direktiivi 98/26/EÜ (10) (edaspidi „CSD määrus”), mille kohaselt tuleb pädevatele asutustele anda järelevalve- ja uurimisvolitused, eelkõige määruse artikkel 45, mis kehtestab usaldatavusnõuded CSDdele ning sisaldab olulisi sätteid operatsiooniriski vähendamise kohta.

3.3. Lisaks tuleks märkida, et 3. juunil 2013 võttis EKP nõukogu vastu finantsturu infrastruktuuri põhimõtted, mille Rahvusvaheliste Arvelduste Panga makse- ja arveldussüsteemide komitee (CPSS) ja Rahvusvahelise Väärtpaberijärelevalve Organisatsiooni (IOSCO) tehniline komitee (11) töötasid välja 2012. aasta aprillis kõikide finantsturu infrastruktuuride järelevaatamiseks eurosüsteemis. Sellele järgnes avalik konsultatsioon seoses ettepanekuga määruse kohta, mis käsitleb süsteemselt oluliste maksesüsteemide järelevaatamisnõudeid (edaspidi „SIPS määrus”) (12). SIPS määrus teeb CPSS-IOSCO põhimõtted õiguslikult siduvaks ning hõlmab nii süsteemselt olulisi suurmaksete arveldussüsteeme kui jaemaksesüsteeme, sõltumata sellest, kas neid käitab eurosüsteemi RKP või eraettevõte.

3.4. Kehtiv maksesüsteemide ja makseteenuste pakkujate järelevaatamise kord (13) sisaldab juba praegu nii eurosüsteemi-sisese kui -välise varajase hoiatamise (14) ja koordineeritud reageerimise (15) korda võimalike küberjulgeoleku ohtude tõrjumiseks. Asjaomane kord on võrdväärne ettepandud direktiivi artiklites 10 ja 11 sätestatuga.

3.5. EKPS on kehtestanud standardid maksesüsteemide aruandlus- ja riskihalduskohustuste kohta. Lisaks viib EKP regulaarselt läbi väärtpaberiarveldussüsteemide hindamisi, et otsustada, kas need on kõlblikud eurosüsteemi krediiditehingutes kasutamiseks. Seetõttu peab EKP oluliseks, et ettepandud direktiivi nõuded elutähtsatele turu infrastruktuuridele ja nende operaatoritele (16) ei piiraks SIPS määruses, eurosüsteemi järelevaatamise poliitika raamistikus või muudes liidu määrustes, eelkõige Euroopa turu infrastruktuuri määruses ja CSD määruses, kehtestatud standardeid. Samuti ei tohiks ettepandud direktiiv mõjutada EBA või ESMA ja teiste usaldatavusjärelevalve teostajate ülesandeid (17).

3.6. Olenemata ülaltoodud märkustest on eurosüsteemi ja võrgu- ja infoturbe komitee vaheline teabevahetus, mis on sätestatud ettepandud direktiivi artiklis 19, EKP hinnangul igati põhjendatud. Vajaliku teabevahetuse tõhustamiseks peaks EKP, EBA ja ESMA esindajatel olema võimalus osaleda võrgu- ja infoturbe komitee koosolekutel selliste päevakorrapunktide osas, mis võivad olla olulised EKP, EBA või ESMA volituste teostamisel.

Frankfurt Maini ääres, 25. juuli 2014 EKP president Mario DRAGHI

(1) COM(2013) 48 final.

(2) Vt ühisteatis Euroopa Parlamendile, nõukogule, Euroopa Majandus- ja Sotsiaalkomiteele ning Regioonide Komiteele, „Euroopa Liidu küberjulgeoleku strateegia: avatud, ohutu ja turvaline küberruum”, JOIN(2013) 1 final.

(3) Need hõlmavad järgmisi teatisi: „Võrgu- ja infoturve: Euroopa lähenemisviisi ettepanek” KOM(2001) 298 lõplik; „Turvalise infoühiskonna strateegia – dialoog, partnerlus ja aktiivne osalemine” KOM(2006) 251 lõplik; „Elutähtsa sideinfrastruktuuri kaitse – Euroopa kaitsmine laiaulatuslike küberrünnakute ja häirete eest: valmisoleku, turvalisuse ja vastupidavuse suurendamine” KOM(2009) 149 lõplik; „Euroopa digitaalarengu tegevuskava” KOM(2010) 245 lõplik ja „Elutähtsate infoinfrastruktuuride kaitse – saavutused ja edasised sammud: üleilmse küberjulgeoleku suunas” KOM(2011) 163 lõplik.

(4) Euroopa Parlamendi ja nõukogu direktiiv 2002/21/EÜ, 7. märts 2002, elektrooniliste sidevõrkude ja -teenuste ühise reguleeriva raamistiku kohta (EÜT L 108, 24.4.2002, lk 33).

(5) Mõnedes EKPSi liikmesriikides toimub järelevaatamisülesannete täitmine riigisiseste õigusaktide alusel, mis täiendavad ning vahel ka dubleerivad eurosüsteemi pädevust.

(6) Käesolevas arvamuses kasutatud mõiste „arveldus” (settlement) hõlmab ka lõpparveldust (clearing).

(7) Euroopa Parlamendi ja nõukogu direktiiv 98/26/EÜ, 19. mai 1998, arvelduse lõplikkuse kohta makse- ja väärtpaberiarveldussüsteemides (EÜT L 166, 11.6.1998, lk 45).

(8) Vt arvelduse lõplikkuse direktiivi artikli 10 lõike 1 kolmas lõik.

(9) Euroopa Parlamendi ja nõukogu määrus (EL) nr 648/2012, 4. juuli 2012, börsiväliste tuletisinstrumentide, kesksete vastaspoolte ja kauplemisteabehoidlate kohta (ELT L 201, 27.7.2012, lk 1).

(10) KOM(2012) 73 lõplik.

(11) Avaldatud Rahvusvaheliste Arvelduste Panga veebilehel https://www.bis.org/publ/cpss94.pdf

(12) Avaldatud EKP veebilehel http://www.ecb.europa.eu

(13) Vt EKP pressiteade „Memorandum of Understanding (MoU) on high-level principles of co-operation between the banking supervisors and central banks of the European Union in crisis management situations” (2003), avaldatud EKP veebilehel www.ecb.europa.eu

(14) Vt soovitus 3 intsidentide järelevalve ja intsidentidest teavitamise kohta dokumendis „Recommendations for the security of internet payments-final version after public consultation”, jaemaksete turvalisust käsitlev Euroopa foorum (SecuRe Pay), jaanuar 2013, avaldatud EKP veebilehel www.ecb.europa.eu

(15) Eurosüsteemi keskpangad on kooskõlas CPSSi 2005. aasta järelevaatamise raportis välja toodud ühtsete rahvusvahelise järelevaatamise põhimõtetega edukalt osalenud mitmes koostööleppes, näiteks SWIFTi (Society for Worldwide Interbank Financial Telecommunications) ja CLSi (Continuous Linked Settlement) järelevaatamiskorra raames.

(16) Näiteks ettepandud direktiivi artikli 14 lõigetes 3 ja 4 sätestatud nõue, mille kohaselt peavad operaatorid järgima tehnilisi ja korralduslikke meetmeid, ja artikli 15 lõikes 3 sätestatud volitus anda operaatoritele siduvaid juhiseid.

(17) Vt EKP arvamuse CON/2014/9 (seoses ettepanekuga, mis käsitleb Euroopa Parlamendi ja nõukogu direktiivi makseteenuste kohta siseturul ning direktiivide 2002/65/EÜ, 2013/36/EL ja 2009/110/EÜ muutmise ning direktiivi 2007/64/EÜ kehtetuks tunnistamise kohta) (ELT C 224, 15.7.2014, lk 1) punkt 2.12. Kõik EKP arvamused on avaldatud EKP veebilehel www.ecb.europa.eu