EUROOPAN KOMISSIO Bryssel 24.9.2020 COM(2020) 595 final 2020/0266(COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) No 909/2014 muuttamisesta (ETA:n kannalta merkityksellinen teksti) {SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}



PERUSTELUT 1.EHDOTUKSEN TAUSTA ·Ehdotuksen perustelut ja tavoitteet Tämä ehdotus on osa digitaalisen rahoituksen toimenpidepakettia, jolla pyritään edistämään ja tukemaan mahdollisuuksia, joita digitaalinen rahoitus tarjoaa innovoinnin ja kilpailun näkökulmasta, ja samalla lieventämään tällaisesta rahoituksesta aiheutuvia riskejä. Komission painopisteiden mukaisesti tavoitteena on kehittää Euroopan digitaalista valmiutta ja rakentaa tulevaisuuden haasteisiin valmista taloutta, joka toimii ihmisten hyväksi. Digitaalista rahoitusta koskevaan pakettiin sisältyy EU:n finanssialan uusi digitaalisen rahoituksen strategia, jonka tavoitteena on varmistaa, että EU on mukana digitaalisessa muutoksessa, edistää sitä eurooppalaisten innovatiivisten yritysten johdolla ja tuo näin digitaalisen rahoituksen hyödyt kuluttajien ja yritysten saataville. Tämän ehdotuksen lisäksi pakettiin sisältyy myös ehdotus asetukseksi kryptovarojen markkinoista, ehdotus asetukseksi hajautetun tilikirjan teknologiaan (DLT) perustuvien markkinainfrastruktuurien pilottijärjestelmästä ja ehdotus direktiiviksi tiettyjen rahoituspalveluja koskevien EU:n sääntöjen selkeyttämiseksi tai muuttamiseksi. Finanssialalla digitalisaatio ja digitaalinen häiriönsietokyky ovat saman kolikon kaksi puolta. Digitalisaatio tai tieto- ja viestintätekniikka, jäljempänä ’TVT’, luo mahdollisuuksia mutta aiheuttaa myös riskejä. Riskit on tiedostettava ja niitä on hallittava hyvin, etenkin stressikausien aikana. Päättäjät ja valvojat ovat sen vuoksi keskittyneet entistä enemmän TVT:n käytöstä aiheutuviin riskeihin. He ovat erityisesti pyrkineet parantamaan yritysten häiriönsietokykyä laatimalla standardeja ja koordinoimalla sääntely- ja valvontatoimia. Tätä työtä on tehty kansainvälisellä ja Euroopan tasolla sekä eri teollisuudenaloilla ja useilla erityisaloilla, kuten finanssipalvelujen alalla. TVT-riskit ovat kuitenkin edelleen haaste EU:n finanssijärjestelmän häiriönsietokyvylle, toiminnalle ja vakaudelle. Vuoden 2008 finanssikriisiä seuranneella uudistuksella vahvistettiin ensisijaisesti EU:n finanssialan finanssipoliittista häiriönsietokykyä. TVT-riskeihin puututtiin vain välillisesti tietyillä osa-alueilla osana toimenpiteitä, joilla pyrittiin puuttumaan laajemmin operatiivisiin riskeihin. Vaikka EU:n finanssipalvelulainsäädäntöön kriisin jälkeen tehdyillä muutoksilla otettiin käyttöön yhteinen sääntökirja, joka kattoi suuria finanssipalveluihin liittyvien riskien kokonaisuuksia, niissä ei puututtu täysin digitaaliseen häiriönsietokykyyn. Digitaalisen häiriönsietokyvyn osalta toteutettuihin toimenpiteisiin liittyi useita piirteitä, jotka vähensivät niiden tehokkuutta. Ne oli usein esimerkiksi muotoiltu vähimmäistason yhdenmukaistamiseen tähtääviksi direktiiveiksi tai periaatteisiin perustuviksi asetuksiksi, jotka jättivät huomattavasti tilaa eriäville lähestymistavoille sisämarkkinoiden alueella. Lisäksi operatiivisten riskien kattamisen yhteydessä TVT-riskeihin on keskitytty vain rajallisesti tai ainoastaan tietyiltä osin. Nämä toimenpiteet vaihtelevat myös alakohtaisessa finanssipalvelulainsäädännössä. Näin ollen unionin tason toimet eivät täysin vastanneet sitä, mitä eurooppalaiset finanssiyhteisöt olisivat tarvinneet operatiivisten riskien hallitsemiseksi tavalla, joka kestää TVT-poikkeamien vaikutuksia, reagoi niihin ja palautuu niistä. Ne eivät myöskään tarjonneet finanssivalvojille asianmukaisimpia välineitä, joiden avulla ne olisivat voineet hoitaa tehtäväänsä ehkäistä TVT-riskien toteutumisesta johtuvaa epävakautta. Digitaalista häiriönsietokykyä koskevien yksityiskohtaisten ja kattavien sääntöjen puuttuminen EU:n tasolla on johtanut kansallisten sääntelyaloitteiden (esim. digitaalisen häiriönsietokyvyn testaamisen osalta) sekä valvontamenetelmien (joilla puututaan esim. riippuvuuteen TVT-palveluntarjoajina olevista kolmansista osapuolista) määrän lisääntymiseen. Jäsenvaltioiden tasolla toteutettavilla toimilla on kuitenkin vain rajallinen vaikutus TVT-riskien rajatylittävään luonteeseen. Lisäksi koordinoimattomat kansalliset aloitteet ovat johtaneet päällekkäisyyksiin, epäjohdonmukaisuuksiin, päällekkäisiin vaatimuksiin, korkeisiin hallinnollisiin ja sääntöjen noudattamisesta aiheutuviin kustannuksiin – erityisesti rajatylittävien finanssiyhteisöjen osalta – tai TVT-riskeihin, jotka ovat jäänet havaitsematta, eikä niihin näin ollen ole puututtu. Tämä tilanne pirstaloi sisämarkkinoita, heikentää EU:n finanssialan vakautta ja eheyttä ja vaarantaa kuluttajien ja sijoittajien suojelun. Siksi on tarpeen ottaa käyttöön yksityiskohtainen ja kattava kehys EU:n finanssiyhteisöjen digitaalista häiriönsietokykyä varten. Tällä kehyksellä syvennetään yhteisen sääntökirjan digitaalisen riskinhallinnan ulottuvuutta. Sen avulla voidaan vahvistaa ja virtaviivaistaa finanssiyhteisöjen TVT-riskinhallinnan toteuttamista, ottaa käyttöön TVT-järjestelmien perusteellinen testaus, lisätä valvojien tietoa finanssiyhteisöjen kohtaamista kyberriskeistä ja TVT:hen liittyvistä poikkeamista sekä antaa finanssivalvojille valtuuksia valvoa riskejä, jotka johtuvat siitä, että finanssiyhteisöt ovat riippuvaisia TVT-palveluntarjoajina olevista kolmansista osapuolista. Ehdotuksella luodaan johdonmukainen poikkeamia koskeva raportointijärjestelmä, joka auttaa vähentämään finanssiyhteisöjen hallinnollista rasitusta ja lisäämään valvonnan tehokkuutta. ·Yhdenmukaisuus muiden alaa koskevien politiikkojen säännösten kanssa Tämä ehdotus on osa Euroopan ja kansainvälisellä tasolla meneillään olevaa laajempaa työtä, jonka tavoitteena on vahvistaa finanssipalvelujen kyberturvallisuutta ja puuttua laajempiin operatiivisiin riskeihin. Se on myös vastaus Euroopan valvontaviranomaisten vuonna 2019 antamaan yhteiseen tekniseen lausuntoon, jossa vaadittiin johdonmukaisempaa lähestymistapaa TVT-riskin torjumiseen finanssialalla ja suositettiin, että komissio vahvistaisi oikeasuhteisella tavalla finanssipalvelualan digitaalista häiriönsietokykyä alakohtaisella EU:n aloitteella. Euroopan valvontaviranomaisten lausunto oli vastaus komission vuoden 2018 FinTech-toimintasuunnitelmaan. ·Yhdenmukaisuus unionin muiden politiikkojen kanssa Kuten puheenjohtaja Ursula von der Leyenin poliittisissa suuntaviivoissa ja tiedonannossa ”Euroopan digitaalista tulevaisuutta rakentamassa” todetaan, on ratkaisevan tärkeää, että Eurooppa hyödyntää kaikki digiajan edut ja vahvistaa teollista ja innovointikapasiteettiaan turvallisten ja eettisten rajojen puitteissa. Euroopan datastrategiassa esitetään neljä pilaria – tietosuoja, perusoikeudet, turvallisuus ja kyberturvallisuus – datavetoisen yhteiskunnan olennaisina edellytyksinä. Euroopan parlamentti on hiljattain alkanut laatia digitaalista rahoitusta koskevaa mietintöä, jossa muun muassa vaaditaan finanssialan kyberuhkien häiriönsietokykyä koskevaa yhteistä lähestymistapaa. EU:n finanssiyhteisöjen digitaalista häiriönsietokykyä vahvistava lainsäädäntökehys on yhdenmukainen näiden poliittisten tavoitteiden kanssa. Ehdotuksella tuettaisiin myös koronaviruksesta toipumiseen tähtääviä toimia, koska sillä varmistettaisiin, että digitaalinen häiriönsietokyky paranee samaa tahtia kuin riippuvuus digitaalisesta rahoituksesta kasvaa. Aloitteella säilytettäisiin kyberturvallisuutta koskevaan horisontaaliseen kehykseen (esim. verkko- ja tietoturvadirektiivi) liittyvät edut pitämällä finanssiala sen soveltamisalan piirissä. Finanssiala olisi edelleen tiiviisti kytköksissä verkko- ja tietoturva-alan yhteistyöelimeen ja finanssivalvojilla olisi mahdollisuus vaihtaa asiaankuuluvia tietoja nykyisessä verkko- ja tietoturva-alan ekosysteemissä. Aloite olisi Euroopan elintärkeästä infrastruktuurista annetun direktiivin mukainen. Sitä tarkistetaan parhaillaan, jotta voidaan lisätä kriittisten infrastruktuurien suojelua ja sietokykyä muita kuin kyberuhkia vastaan. Tämä ehdotus noudattaa kaikilta osin turvallisuusunionistrategiaa, jossa kehotettiin tekemään aloite finanssialan digitaalisesta häiriönsietokyvystä, kun otetaan huomioon alan suuri riippuvuus TVT-palveluista ja sen suuri alttius kyberhyökkäyksille. 2.OIKEUSPERUSTA, TOISSIJAISUUSPERIAATE JA SUHTEELLISUUSPERIAATE ·Oikeusperusta Tämä asetusehdotus perustuu SEUT-sopimuksen 114 artiklaan. Sillä poistetaan finanssipalvelujen sisämarkkinoiden esteitä, parannetaan niiden toteuttamista ja toimintaa yhdenmukaistamalla sääntöjä, joita sovelletaan TVT-riskinhallintaan, -raportointiin ja -testaukseen sekä kolmansiin osapuoliin liittyvään TVT-riskiin. Nykyiset erot tällä osa-alueella – sekä lainsäädännön että valvonnan tasolla samoin kuin kansallisella ja EU:n tasolla – muodostavat esteen finanssipalvelujen sisämarkkinoille, sillä finanssiyhteisöillä, jotka osallistuvat rajatylittävään toimintaan, on vastassaan erilaisia, usein myös päällekkäisiä, lakisääteisiä vaatimuksia tai valvontaan liittyviä odotuksia, jotka voivat estää niitä käyttämästä niille kuuluvaa sijoittautumisvapautta ja palvelujen tarjoamisen vapautta. Erilaiset säännöt vääristävät myös samantyyppisten finanssiyhteisöjen kilpailua eri jäsenvaltioissa. Lisäksi osa-alueilla, joilla yhdenmukaistaminen on puutteellista, osittaista tai rajoitettua, toisistaan poikkeavien kansallisten sääntöjen tai lähestymistapojen laatiminen, olipa kyse sitten jo voimassa olevista tai kansallisella tasolla hyväksymis- ja täytäntöönpanoprosessissa olevista, voi toimia esteenä finanssipalvelujen sisämarkkinavapauksille. Nimenomaan tästä on kyse digitaalisen häiriönsietokyvyn testauskehyksissä ja kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten valvonnassa.

Koska ehdotuksella on vaikutuksia useisiin SEUT-sopimuksen 53 artiklan 1 kohdan nojalla hyväksyttyihin Euroopan parlamentin ja neuvoston direktiiveihin, samaan aikaan on hyväksytty myös direktiiviehdotus, jossa otetaan huomioon kyseisiin direktiiveihin tarvittavat muutokset. ·Toissijaisuusperiaate Finanssipalvelualan tiiviit keskinäiset kytkökset, finanssiyhteisöjen merkittävä rajatylittävä toiminta ja koko finanssialan pitkälle menevä riippuvuus TVT-palveluntarjoajina olevista kolmansista osapuolista edellyttää vahvan digitaalisen häiriönsietokyvyn aktivoimista yhteisenä etuna, jossa tavoitteena on ylläpitää EU:n finanssimarkkinoiden vakautta. Eroihin, jotka johtuvat epätasaisista tai osittaisista järjestelmistä, päällekkäisyyksistä tai moninkertaisista vaatimuksista, joita sovelletaan samoihin finanssiyhteisöihin, jotka toimivat rajatylittävästi tai joilla on useita toimilupia kaikkialla sisämarkkinoilla, voidaan puuttua tehokkaasti ainoastaan unionin tasolla. Tällä ehdotuksella yhdenmukaistetaan digitaalista osatekijää pitkälle yhdentyneellä ja tiiviisti yhteen kytkeytyneellä alalla, joka jo nyt hyötyy siitä, että useimpiin muihin sen keskeisiin osa-alueisiin sovelletaan yhtenäisiä sääntöjä ja valvontaa. TVT:hen liittyvien poikkeamien raportoinnin kaltaisissa kysymyksissä ainoastaan unionin yhdenmukaistetuilla säännöillä voidaan vähentää hallinnollista rasitusta ja taloudellisia kustannuksia, jotka liittyvät samojen TVT:hen liittyvien poikkeamien raportointiin eri unionin tason ja kansallisille viranomaisille. EU:n toimia tarvitaan myös helpottamaan digitaalisen häiriönsietokyvyn kehittyneen testauksen tulosten vastavuoroista tunnustamista sellaisten rajojen yli toimivien yhteisöjen osalta, joihin sovelletaan tai voidaan soveltaa unionin sääntöjen puuttuessa erilaisia toimintapuitteita eri jäsenvaltioissa. Ainoastaan unionin tason toimilla voidaan puuttua jäsenvaltioiden käyttöönottamien testausmenetelmien eroihin. EU:n laajuiset toimet ovat tarpeen myös, jotta voidaan korjata asianmukaisten valvontavaltuuksien puute ja valvoa riskejä, jotka johtuvat TVT-palveluntarjoajana olevista kolmansista osapuolista, kuten EU:n finanssialaan kohdistuvia keskittymä- ja leviämisriskejä. ·Suhteellisuusperiaate Ehdotetuissa säännöissä ei ylitetä sitä, mikä on tarpeen ehdotuksen tavoitteiden saavuttamiseksi. Ne kattavat ainoastaan ne näkökohdat, joita jäsenvaltiot eivät voi saavuttaa yksin ja joissa hallinnollinen rasitus ja kustannukset ovat oikeassa suhteessa asetettuihin erityisiin ja yleisiin tavoitteisiin, jotka on tarkoitus saavuttaa. Suhteellisuus on suunniteltu laajuuden ja intensiteetin osalta käyttämällä määrällisiä ja laadullisia arviointiperusteita. Niillä pyritään varmistamaan, että samalla kun säännöt kattavat kaikki finanssiyhteisöt, ne on samalla räätälöity näiden kokoon ja liiketoimintaprofiileihin liittyvien riskien ja erityistarpeiden mukaan. Suhteellisuus sisältyy myös TVT-riskinhallintaa, digitaalista häiriönsietokyvyn testausta, laajavaikutteisten TVT:hen liittyvien poikkeamien raportointia ja kriittisten TVT-palveluntarjoajina olevien kolmansien osapuolten valvontaa koskeviin sääntöihin. ·Toimintatavan valinta Toimenpiteet, joita tarvitaan TVT-riskinhallinnan, TVT:hen liittyviä poikkeamia koskevan raportoinnin sekä testauksen ja kriittisten TVT-palveluntarjoajina olevien kolmansien osapuolten valvonnan sääntelemiseen, on sisällytettävä asetukseen, jotta voidaan varmistaa, että yksityiskohtaisia vaatimuksia sovelletaan tehokkaasti ja suoraan yhdenmukaisella tavalla, sanotun kuitenkaan rajoittamatta tässä asetuksessa säädettyä suhteellisuutta ja erityissääntöjä. Johdonmukaisuus digitaaliseen häiriönsietokykyyn liittyvien riskien torjunnassa kasvattaa finanssijärjestelmään liittyvää luottamusta ja säilyttää järjestelmän vakauden. Koska asetuksen käyttö auttaa vähentämään sääntelyn monimutkaisuutta, edistää valvontakäytäntöjen lähentymistä ja lisää oikeusvarmuutta, tämä asetus myös auttaa rajoittamaan finanssiyhteisöjen säännösten noudattamisesta aiheutuvia kustannuksia, erityisesti rajatylittävien finanssiyhteisöjen osalta, mikä puolestaan auttaa poistamaan kilpailun vääristymiä. Tällä asetuksella poistetaan myös lainsäädännölliset erot ja epätasaiset kansalliset TVT-riskin sääntelyä- tai valvontaa koskevat lähestymistavat ja näin ollen esteitä rahoituspalvelujen sisämarkkinoilta, erityisesti sijoittautumisvapauden sujuvalta harjoittamiselta sekä palvelujen tarjoamiselta rajatylittävää toimintaa harjoittavilta finanssiyhteisöiltä. Yhteistä sääntökirjaa on laadittu enimmäkseen asetuksilla, ja sen päivittämiseen digitaalisen häiriönsietokyvyn osatekijällä olisi valittava sama oikeudellinen keino. 3.JÄLKIARVIOINTIEN, SIDOSRYHMIEN KUULEMISTEN JA VAIKUTUSTENARVIOINTIEN TULOKSET ·Jälkiarvioinnit/toimivuustarkastukset Missään unionin finanssipalvelulainsäädännössä ei ole tähän mennessä keskitytty digitaaliseen häiriönsietokykyyn eikä yhdessäkään ole puututtu kattavasti digitalisaatiosta aiheutuviin riskeihin, ei edes niissä, joiden säännöissä käsitellään yleisemmin operatiivista riskiulottuvuutta, jossa TVT-riskit ovat osatekijänä. Unionin tähänastiset toimet ovat auttaneet vastaamaan tarpeisiin ja ongelmiin, jotka olivat ajankohtaisia vuoden 2008 finanssikriisin jälkimainingeissa: luottolaitokset eivät olleet riittävän pääomitettuja, finanssimarkkinat eivät olleet riittävän yhdentyneet, ja yhdenmukaistaminen oli siihen asti pidetty mahdollisimman vähäisenä. TVT-riskiä ei pidetty tuolloin ensisijaisena huolenaiheena, minkä seurauksena finanssialan eri alasektoreiden oikeudelliset puitteet ovat kehittyneet koordinoimattomasti. Unionin toimilla on kuitenkin saavutettu tavoitteet, jotka koskevat rahoitusvakauden varmistamista, ja käyttöön on otettu yhtenäiset vakavaraisuus- ja markkinakäytännesäännöt, joita sovelletaan finanssiyhteisöihin kaikkialla EU:ssa. Koska unionin lainsäädäntötoimien taustalla olevat tekijät eivät aiemmin mahdollistaneet erityisiä tai kattavia sääntöjä, joilla oltaisiin voitu puuttua digitaaliteknologian laajamittaiseen käyttöön ja siitä johtuviin riskeihin rahoituksen alalla, erillisen arvioinnin tekeminen vaikuttaa haasteelliselta. Implisiittinen arviointi ja sitä seuraavat lainsäädäntömuutokset otetaan huomioon tämän asetuksen kussakin pilarissa. ·Sidosryhmien kuuleminen Komissio on kuullut sidosryhmiä tämän ehdotuksen valmistelun kaikissa vaiheissa: i) komissio toteutti asiaa koskevan avoimen julkisen kuulemisen (19. joulukuuta 2019 – 19. maaliskuuta 2020); ii) komissio kuuli yleisöä alustavasta vaikutustenarvioinnista (19. joulukuuta 2019 – 16. tammikuuta 2020); iii) komission yksiköt kuulivat jäsenvaltioiden asiantuntijoita pankki-, maksu- ja vakuutusasioita käsittelevässä asiantuntijaryhmässä (EGBPI) kahdesti (18. toukokuuta 2020 ja 16. heinäkuuta 2020); iv)komission yksiköt järjestivät digitaalista häiriönsietokykyä koskevan verkkoseminaarin osana digitaalista rahoitusta käsittelevän tiedotuskampanjan vuoden 2020 tapahtumasarjaa (19. toukokuuta 2020).

Julkisen kuulemisen tarkoituksena oli tiedottaa komissiolle mahdollisesta EU:n monialaisen digitaalisen häiriönsietokyvyn kehyksen kehittämisestä finanssipalvelujen alalla. Vastauksissa laajaa kannatusta sai sellaisen nimenomaan tätä tarkoitusta luodun kehyksen käyttöönotto, jossa keskityttäisiin niiden neljän alan toimiin, joista kuulemisessa oli kyse. Tämän lisäksi vastauksissa korostettiin tarvetta varmistaa suhteellisuus ja käsitellä ja selittää huolellisesti vuorovaikutusta verkko- ja tietoturvadirektiivin horisontaalisten sääntöjen kanssa. Komissio sai alustavasta vaikutustenarvioinnista kaksi vastausta, joissa vastaajat käsittelivät tiettyjä toimialaansa liittyviä näkökohtia. Jäsenvaltiot antoivat pankki-, maksu- ja vakuutusasioita käsittelevän asiantuntijaryhmän kokouksessa 18. toukokuuta 2020 vahvan tukensa finanssialan digitaalisen häiriönsietokyvyn vahvistamiselle komission hahmottelemien neljän osatekijän kautta. Jäsenvaltiot korostivat myös, että uudet säännöt on nivellettävä selkeästi operatiivista riskiä koskeviin sääntöihin (EU:n finanssipalvelulainsäädännön puitteissa) sekä kyberturvallisuutta koskeviin horisontaalisiin sääntöihin (verkko- ja tietoturvadirektiivi). Toisessa kokouksessa jotkin jäsenvaltiot korostivat tarvetta varmistaa suhteellisuus ja käsitellä pienten yritysten tai suurempien konsernien tytäryhtiöiden erityistilannetta sekä sitä, että valvontaan osallistuvilla kansallisilla toimivaltaisilla viranomaisilla on oltava vahvat valtuudet. Ehdotus perustuu sidosryhmien sekä EU:n viranomaisten ja toimielinten kanssa pidetyistä kokouksista saatuun palautteeseen, joka myös otetaan ehdotuksessa huomioon. Sidosryhmien, myös TVT-palveluntarjoajina olevien kolmansien osapuolten, asenne on ollut yleisesti ottaen kannustava. Saadusta palautteesta tehdyssä analyysistä käy ilmi, että sääntöjen suunnittelussa on tarpeen säilyttää suhteellisuus ja noudattaa periaatetta ja riskiperusteista lähestymistapaa. Institutionaalisella puolella eniten palautetta saatiin Euroopan järjestelmäriskikomitealta (EJRK), Euroopan valvontaviranomaisilta, Euroopan unionin kyberturvallisuusvirastolta (ENISA), Euroopan keskuspankilta (EKP) sekä jäsenvaltioiden toimivaltaisilta viranomaisilta. ·Asiantuntijatiedon keruu ja käyttö Ehdotusta valmistellessaan komissio tukeutui tunnustetuista lähteistä kerättyyn laadulliseen ja määrälliseen näyttöön, mukaan lukien Euroopan valvontaviranomaisten antamat kaksi yhteistä teknistä lausuntoa. Lisäksi komissio on hyödyntänyt luottamuksellista palautetta, valvontaviranomaisten, kansainvälisten standardointielinten ja johtavien tutkimuslaitosten laatimia julkisesti saatavilla olevia raportteja sekä määrällistä ja laadullista tietoa, jota on saatu tietyiltä globaalin finanssialan sidosryhmiltä. ·Vaikutustenarviointi Tähän ehdotukseen liittyy vaikutustenarviointi, joka toimitettiin sääntelyntarkastelulautakunnan käsiteltäväksi 29. huhtikuuta 2020 ja hyväksyttiin kyseisessä lautakunnassa 29. toukokuuta 2020. Sääntelyntarkastelulautakunta suositti joillakin osa-alueilla parannuksia, joiden tavoitteena on i) antaa lisätietoja siitä, miten oikeasuhteisuus varmistetaan; ii) korostaa paremmin sitä, missä määrin parhaaksi arvioitu vaihtoehto eroaa Euroopan valvontaviranomaisten yhteisistä teknisistä lausunnoista ja miksi tämä vaihtoehto on optimaalisin; ja iii) tähdentää edelleen ehdotuksen vuorovaikutusta voimassa olevan EU:n lainsäädännön, myös parhaillaan tarkistettavana olevien sääntöjen, kanssa. Vaikutustenarviointia mukautettiin näiden seikkojen huomioon ottamiseksi, ja myös sääntelytarkastelulautakunnan yksityiskohtaisemmat kommentit otettiin lukuun. Komissio harkitsi useita toimintavaihtoehtoja digitaalista häiriönsietokykyä koskevan kehyksen luomiseksi: ·Ei lisätoimia: häiriönsietokykyä koskevat säännöt vahvistettaisiin edelleen voimassa olevilla, toisistaan poikkeavien EU:n finanssipalvelusäännösten, osin verkko- ja tietoturvadirektiivin ja nykyisten tai tulevien kansallisten järjestelmien kautta; ·Vaihtoehto 1: pääomapuskureiden vahvistaminen: ylimääräisiä pääomapuskureita otettaisiin käyttöön, jotta voitaisiin parantaa finanssiyhteisöjen kykyä kattaa tappioita, joita voisi aiheutua digitaalisen häiriönsietokyvyn puutteesta; ·Vaihtoehto 2: finanssipalvelujen digitaalista häiriönsietokykyä koskevan lain käyttöönotto: sellaisen kokonaisvaltaisen EU:n tason kehyksen ja sääntöjen aktivoiminen, joilla vastataan kaikkien säänneltyjen finanssiyhteisöjen digitaalista häiriönsietokykyä koskeviin tarpeisiin, ja valvontakehyksen perustaminen kriittisiä TVT-palveluntarjoajina olevia kolmansia osapuolia varten; ·Vaihtoehto 3: finanssipalvelujen digitaalista häiriönsietokykyä koskeva laki yhdistettynä kriittisten TVT-palveluntarjoajina olevien kolmansien osapuolten keskitettyyn valvontaan: digitaalista häiriönsietokykyä koskevan lain lisäksi (vaihtoehto 2) perustetaan uusi viranomainen, jonka tehtävänä on valvoa ulkopuolisten TVT-palveluntarjoajien palvelujen tarjontaa. Toinen vaihtoehto valittiin, sillä sen avulla saavutetaan suurin osa asetetuista tavoitteista tavalla, joka on muiden unionin politiikkatoimien näkökulmasta tehokas, vaikuttava ja johdonmukainen. Myös suurin osa sidosryhmistä pitää tätä vaihtoehtoa parempana. Valitusta vaihtoehdosta koitunee sekä kertaluonteisia että toistuvia kustannuksia. Kertaluonteiset kustannukset johtuvat pääasiassa investoinneista IT-järjestelmiin, ja niitä on sinällään vaikea arvioida määrällisesti, kun otetaan huomioon yritysten monimutkaisten IT-ympäristöjen ja erityisesti niiden vanhojen IT-järjestelmien kuntoerot. Tästä huolimatta kustannukset ovat kuitenkin todennäköisesti rajalliset suurille yrityksille, kun otetaan huomioon niiden jo tekemät merkittävät TVT-investoinnit. Kustannusten odotetaan olevan vähäiset myös pienemmille yrityksille, koska niihin sovellettaisiin oikeasuhteisia toimenpiteitä ottaen huomioon niihin kohdistuva pienempi riski. Valitulla vaihtoehdolla olisi myönteisiä taloudellisia, sosiaalisia ja ympäristöön liittyviä vaikutuksia finanssipalvelualalla toimiviin pk-yrityksiin. Ehdotus tuo pk-yrityksille selvyyttä siitä, mitä sääntöjä sovelletaan, ja vähentää näin sääntöjen noudattamisesta aiheutuvia kustannuksia. Valitun toimintavaihtoehdon tärkeimmät sosiaaliset vaikutukset kohdistuisivat kuluttajiin ja sijoittajiin. EU:n finanssijärjestelmän parempi digitaalinen häiriönsietokyky vähentäisi poikkeamien määrää ja niistä aiheutuvia keskimääräisiä kustannuksia. Koko yhteiskunta hyötyisi lisääntyneestä luottamuksesta finanssipalvelualaan. Ympäristövaikutusten osalta valittu toimintavaihtoehto kannustaisi käyttämään entistä enemmän uusinta TVT-infrastruktuuria ja -palveluja, joiden odotetaan muuttuvan ympäristön kannalta kestävämmiksi. ·Sääntelyn toimivuus ja yksinkertaistaminen Päällekkäisten TVT:hen liittyvien poikkeamien raportointia koskevien vaatimusten poistaminen vähentäisi hallinnollista rasitetta ja siihen liittyviä kustannuksia. Lisäksi yhdenmukaistettu digitaalista häiriönsietokykyä koskeva testaus ja vastavuoroinen tunnustaminen kaikkialla sisämarkkinoilla vähentää kustannuksia, erityisesti rajatylittävästi toimivilta yrityksiltä, joiden olisi muuten läpäistävä lukuisia testejä eri jäsenvaltioissa. ·Perusoikeudet

EU on sitoutunut varmistamaan perusoikeuksien korkeatasoisen suojelun. Kaikki finanssiyhteisöjen väliset vapaaehtoiset tiedonjakojärjestelyt, joita tällä asetuksella edistetään, tapahtuvat luotetuissa toimintaympäristöissä noudattaen kaikilta osin unionin tietosuojasääntöjä, erityisesti Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679, etenkin silloin, kun henkilötietojen käsittely on tarpeen rekisterinpitäjän oikeutetun intressin toteuttamiseksi. 4. TALOUSARVIOVAIKUTUKSET Talousarviovaikutusten osalta voidaan todeta, että koska tässä asetuksessa säädetään Euroopan valvontaviranomaisten roolin vahvistamisesta antamalla niille valtuudet valvoa asianmukaisesti kriittisiä TVT-palveluntarjoajina olevia kolmansia osapuolia, ehdotus merkitsisi resurssien lisäämistä erityisesti valvontatehtävien (kuten paikalla ja verkossa tehtävien auditointien) suorittamista varten ja sellaisen henkilöstön käyttöä, jolla on TVT-turvallisuutta koskevaa erityisasiantuntemusta. Näiden kustannusten suuruus ja jakautuminen riippuu uusien valvontavaltuuksien laajuudesta ja Euroopan valvontaviranomaisten (tarkoista) tehtävistä. Uusien henkilöstövoimavarojen hankinnan osalta, Euroopan pankkiviranomainen (EPV), Euroopan arvopaperimarkkinaviranomainen (ESMA) ja Euroopan vakuutus- ja lisäeläkeviranomainen (EIOPA) tarvitsevat 18 uutta kokoaikaista työntekijää – kuusi kutakin viranomaista kohden – kun ehdotuksen eri säännöksiä aletaan soveltaa (noin 15,71 miljoonaa euroa vuosina 2022–2027). Euroopan valvontaviranomaisille koituu myös ylimääräisiä tietotekniikkakustannuksia, paikalla tehtävistä tarkastuksista aiheutuvia virkamatkakuluja ja käännöskuluja (noin 12 miljoonaa euroa vuosina 2022–2027) sekä muita hallintomenoja (noin 2,48 miljoonaa euroa vuosina 2022–2027). Näin ollen arvioitu kokonaiskustannusvaikutus on noin 30,19 miljoonaa euroa kaudella 2022–2027. On myös syytä todeta, että vaikka suoran valvonnan edellyttämä henkilöstömäärä (esim. uudet henkilöstön jäsenet ja muut uusiin tehtäviin liittyvät kustannukset) riippuu ajan mittaan valvonnan kohteena olevien kriittisten TVT-palveluntarjoajina olevien kolmansien osapuolten määrästä ja koosta, menot rahoitetaan kokonaisuudessaan kyseisiltä markkinatoimijoilta kerättävillä maksuilla. Näin ollen ehdotuksella ei ole vaikutusta EU:n talousarviomäärärahoihin (lisähenkilöstöä lukuun ottamatta), koska kustannukset katetaan kokonaisuudessaan maksuilla. Ehdotuksen rahoitus- ja talousarviovaikutukset esitetään yksityiskohtaisesti tähän ehdotukseen liitetyssä rahoitusselvityksessä. 5.LISÄTIEDOT ·Toteuttamissuunnitelmat, seuranta, arviointi ja raportointijärjestelyt Ehdotukseen sisältyy erityistavoitteisiin kohdistuvien vaikutusten seurantaa ja arviointia koskeva yleissuunnitelma, jossa edellytetään, että komissio tarkastelee niitä uudelleen vähintään kolmen vuoden kuluttua voimaantulosta ja ilmoittaa tuloksista Euroopan parlamentille ja neuvostolle. Uudelleentarkastelu on määrä toteuttaa komission paremman sääntelyn suuntaviivojen mukaisesti. ·Ehdotukseen sisältyvien säännösten yksityiskohtaiset selitykset Ehdotus rakentuu useasta keskeisestä politiikan alasta, jotka ovat keskeisiä toisiinsa liittyviä pilareita ja jotka on sisällytetty yhteisesti eurooppalaisiin ja kansainvälisiin ohjeisiin ja parhaisiin käytäntöihin, joiden tavoitteena on tehostaa finanssisalan kyberuhkien sietokykyä ja digitaalista häiriönsietokykyä. Asetuksen soveltamisala ja vaadittujen toimenpiteiden oikeasuhteinen soveltaminen (2 artikla) Jotta voidaan varmistaa finanssialaan sovellettavien TVT-riskinhallintavaatimusten johdonmukaisuus, asetus kattaa useita unionin tasolla säänneltyjä finanssiyhteisöjä, erityisesti luottolaitoksia, maksulaitoksia, sähköisen rahan liikkeeseenlaskijalaitoksia, investointiyrityksiä, kryptovarapalvelujen tarjoajia, arvopaperikeskuksia, keskusvastapuolia, kauppapaikkoja, kauppatietorekistereitä, vaihtoehtoisten sijoitusrahastojen ja rahastoyhtiöiden hoitajia, arvopaperimarkkinaviranomaisia, vakuutus- ja jälleenvakuutusyrityksiä, vakuutusedustajia, jälleenvakuutusedustajia ja sivutoimisia vakuutusedustajia, ammatillisia lisäeläkkeitä tarjoavia laitoksia, luottoluokituslaitoksia, tilintarkastajia ja tilintarkastusyhteisöjä, kriittisten vertailuarvojen hallinnoijia ja joukkorahoituspalvelun tarjoajia. Tällainen kattavuus helpottaa kaikkien riskinhallinnan osatekijöiden yhdenmukaista ja johdonmukaista soveltamista TVT:hen liittyviin osa-alueisiin ja samalla varmistaa finanssiyhteisöjen tasapuoliset toimintaedellytykset suhteessa niiden TVT-riskiin liittyviin sääntelyvelvoitteisiin. Samalla asetuksessa otetaan huomioon, että finanssiyhteisöjen välillä on merkittäviä eroja, jotka liittyvät niiden kokoon, liiketoimintaprofiiliin ja siihen, kuinka alttiita ne ovat digitaalisille riskeille. Koska suuremmilla finanssiyhteisöillä on enemmän resursseja, ainoastaan muilta kuin mikroyrityksiksi luokiteltavilta finanssiyhteisöltä vaaditaan esimerkiksi, että ne ottavan käyttöön monimutkaisia hallintojärjestelyjä ja kohdennettuja hallintatoimintoja, tekevät perusteellisia arviointeja verkko- ja tietojärjestelmäinfrastruktuuriin tehtävien merkittävien muutosten jälkeen, toteuttavat säännöllisesti vanhoja TVT-järjestelmiä koskevia riskianalyysejä sekä laajentavat liiketoiminnan jatkuvuuden ja reagointi- ja palautumissuunnitelmien testausta voidakseen kattaa skenaariot, jotka koskevat vaihtoa ensisijaisen TVT-infrastruktuurin ja -varakapasiteetin välillä. Lisäksi ainoastaan digitaalisen häiriönsietokyvyn kehittyneen testauksen kannalta merkittäviksi määritettyjen finanssialan yhteisöjen edellytetään suorittavan uhkaperusteisia tunkeutumistestejä. Laajasta kattavuudestaan huolimatta asetus ei ole tyhjentävä. Se ei kata etenkään järjestelmän ylläpitäjiä, sellaisena kuin ne ovat määriteltyinä selvityksen lopullisuudesta maksujärjestelmissä ja arvopaperien selvitysjärjestelmissä annetun direktiivin 98/26/EY 2 artiklan p alakohdassa, eikä järjestelmään osallistujia, paitsi jos osallistuja on itse unionin tasolla säännelty finanssiyhteisö (kuten luottolaitos, sijoituspalveluyritys tai keskuksena toimiva vastapuoli) mistä syystä se kuuluisi itsessään tämän asetuksen piiriin. Lisäksi päästöoikeusrekisteri, jota käytetään direktiivin 2003/87/EY mukaisesti Euroopan komission alaisuudessa ei myöskään kuulu asetuksen soveltamisalaan. Tällaisissa maksu- ja selvitysjärjestelmiä koskevan direktiivin soveltamisalan ulkopuolelle jättämisissä otetaan huomioon, että maksu- ja selvitysjärjestelmiä koskevan direktiivin ylläpitäjiä ja osallistujia koskevat oikeudelliset ja poliittiset kysymykset edellyttävät lisätarkastelua samalla kun otetaan asianmukaisesti huomioon niiden kehysten vaikutukset, joita nykyisellään sovelletaan keskuspankkien hoitamiin maksujärjestelmiin. Koska näihin kysymyksiin voi liittyä näkökohtia, jotka eroavat tämän asetuksen kattamista kysymyksistä, komissio arvioi edelleen, onko tarpeen laajentaa tämän asetuksen soveltamisalaa yhteisöihin ja TVT-infrastruktuuriin, jotka eivät nykyisellään kuulu sen toimivaltaan. Hallinnointiin liittyvät vaatimukset (4 artikla) Tämän asetuksen tarkoituksena on sovittaa paremmin yhteen finanssiyhteisöjen liiketoimintastrategiat ja TVT-riskinhallinta. Tämän vuoksi hallintoelimen on säilytettävä keskeinen ja aktiivinen rooli TVT-riskinhallintajärjestelmän ohjaamisessa ja noudatettava tiukkaa kyberhygieniaa. Hallintoelimen täysi vastuu finanssiyhteisön TVT-riskinhallinnassa on yleinen periaate, joka on siirrettävä käytäntöön erityisvaatimusten muodossa. Näitä ovat muun muassa selkeiden roolien ja vastuiden osoittaminen kaikille TVT-toiminnoille, jatkuva sitoutuminen TVT-riskinhallinnan valvontaan ja moninaisiin hyväksyntä- ja valvontaprosesseihin sekä TVT-investointien ja -koulutuksen asianmukainen kohdentaminen. TVT-riskinhallintavaatimukset (5–14 artikla)

Digitaalinen häiriönsietokyky perustuu tiettyihin TVT-riskinhallintajärjestelmän keskeisiin periaatteisiin ja vaatimuksiin Euroopan valvontaviranomaisten yhteisen teknisen lausunnon mukaisesti. Nämä vaatimukset, jotka perustuvat asiaa koskeviin kansainvälisiin, kansallisiin ja toimialan vahvistamiin standardeihin, ohjeisiin ja suosituksiin, käsittelevät TVT-riskinhallinnan erityistoimintoja (tunnistamista, suojelua ja ennaltaehkäisyä, havaitsemista, reagointia ja toipumista, oppimista ja kehittymistä sekä viestintää). Jotta voidaan pysyä nopeasti muuttuvan kyberuhkaympäristön kehityksen tahdissa, finanssiyhteisöiltä edellytetään, että ne ottavat käyttöön ja ylläpitävät häiriönsietokykyisiä TVT-järjestelmiä ja -välineitä, joilla minimoidaan TVT-riskin vaikutusta. Lisäksi edellytetään, että ne tunnistavat jatkuvasti kaikki TVT-riskin lähteet, ottavat käyttöön suojelu- ja ennaltaehkäisytoimenpiteitä, havaitsevat poikkeavan toiminnan pikaisesti, ottavat käyttöön kohdennettuja ja kattavia liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita sekä katastrofi- ja palautumissuunnitelmia olennaisena osana liiketoiminnan jatkuvuutta koskevaa operatiivista toimintatapaa. Viimeksi mainittuja osatekijöitä tarvitaan, jotta TVT:hen liittyvistä poikkeamista, erityisesti kyberhyökkäyksistä, voidaan toipua nopeasti rajoittamalla vahinkoja ja asettamalla etusijalle toiminnan turvallisen jatkamisen. Asetus itsessään ei edellytetä erityistä standardointia, vaan se perustuu pikemminkin eurooppalaisiin ja kansainvälisesti tunnustettuihin teknisiin standardeihin tai toimialan parhaisiin käytäntöihin, siltä osin kuin ne noudattavat kaikilta osin tällaisten kansainvälisten standardien käyttöä ja sisällyttämistä koskevia valvontaohjeita. Tämä asetus kattaa myös sellaisten fyysisten infrastruktuurien ja välineiden eheyden, turvallisuuden ja häiriönsietokyvyn, joilla tuetaan teknologian käyttöä sekä asiaankuuluvia TVT-prosesseja ja niihin osallistuvia henkilöitä osana finanssiyhteisön toimintojen digitaalista jalanjälkeä. TVT:hen liittyvien poikkeamien raportointi (15–20 artikla) TVT:hen liittyviä poikkeamia koskevan raportoinnin yhdenmukaistaminen ja virtaviivaistaminen saavutetaan ensinnäkin siten, että asetetaan finanssiyhteisöille yleinen vaatimus ottaa käyttöön ja panna täytäntöön hallinnointiprosessi, jonka avulla ne voivat seurata TVT:hen liittyviä poikkeamia ja kirjata ne lokiin. Tämän jälkeen niiden on luokiteltava ne asetuksessa esitettyjen ja Euroopan valvontaviranomaisten edelleen kehittämien kriteerien perusteella olennaisuusrajojen määrittämiseksi. Toiseksi ainoastaan laajavaikutteisiksi katsotut TVT:hen liittyvät poikkeamat on ilmoitettava toimivaltaisille viranomaisille. Ilmoitetut tiedot olisi käsiteltävä yhteistä mallia käyttämällä ja noudattaen Euroopan valvontaviranomaisten kehittämää yhdenmukaista menettelyä. Finanssialan yhteisöjen olisi toimitettava alustavat raportit sekä väli- ja loppuraportit ja ilmoitettava käyttäjilleen ja asiakkailleen, vaikuttaako tai voiko poikkeama vaikuttaa heidän taloudellisiin etuihinsa. Toimivaltaisten viranomaisten olisi annettava olennaiset tiedot poikkeamista muille laitoksille tai viranomaisille: Euroopan valvontaviranomaisille, EKP:lle ja direktiivin (EU) 2016/1148 nojalla nimetyille keskitetyille yhteyspisteille. Jotta voitaisiin käynnistää finanssiyhteisöjen ja toimivaltaisten viranomaisten välillä vuoropuhelu, joka auttaisi minimoimaan vaikutuksia ja määrittämään tarkoituksenmukaiset korjaustoimet, laajavaikutteisten TVT:hen liittyvien poikkeamien raportointia olisi täydennettävä valvontaa koskevalla palautteella ja ohjeistuksella. Lisäksi Euroopan valvontaviranomaisten, EKP:n ja ENISAn yhteisessä raportissa olisi tutkittava edelleen mahdollisuutta keskittää TVT:hen liittyviä poikkeamia koskeva raportointi unionin tasolla ja arvioida siinä yhteydessä mahdollisuutta perustaa yksi EU:n keskus, jonka kautta finanssiyhteisöt voisivat ilmoittaa laajavaikutteisista TVT:hen liittyvistä poikkeamista. Digitaalisen häiriönsietokyvyn testaus (21–24 artikla) TVT-riskinhallintajärjestelmään sisältyviä valmiuksia ja toimintoja on testattava määräajoin, jotta voidaan varautua ja tunnistaa heikkouksia, puutteita tai aukkoja, myös korjaavien toimenpiteiden ripeän toteuttamisen osalta. Tässä asetuksessa sallitaan digitaalisen häiriönsietokyvyn testausvaatimusten oikeasuhteinen soveltaminen finanssiyhteisöjen koon, liiketoiminnan ja riskiprofiilien mukaan: vaikka kaikkien yhteisöjen olisi testattava TVT-välineitä ja -järjestelmiä, ainoastaan niiltä yhteisöiltä, jotka toimivaltaiset viranomaiset ovat määrittäneet (tämän asetuksen ja Euroopan valvontaviranomaisten edelleen kehittämien kriteerien perusteella) merkittäviksi ja kyberturvallisuutensa kannalta kypsiksi, olisi edellytettävä, että ne tekevät uhkaperusteisiin tunkeutumistesteihin perustuvaa kehittynyttä testausta. Tässä asetuksessa esitetään myös vaatimuksia, jotka koskevat testaajia ja uhkaperusteisen tunkeutumistestauksen tulosten tunnustamista kaikkialla unionissa useissa jäsenvaltioissa toimivien finanssiyhteisöjen osalta. Kolmansiin osapuoliin liittyvä TVT-riski (25–39 artikla) Asetuksen tarkoituksena on varmistaa kolmansiin osapuoliin liittyvä TVT-riskin asianmukainen seuranta. Tämä tavoite saavutetaan ensinnäkin noudattamalla finanssiyhteisöihin sovellettavia periaatteisiin perustuvia sääntöjä, joiden mukaan niiden on seurattava riskejä, joita aiheutuu TVT-palveluntarjoajana olevien kolmansien osapuolten toiminnasta. Toiseksi tällä asetuksella yhdenmukaistetaan keskeisiä seikkoja, jotka liittyvät TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamiin palveluihin ja näiden kanssa solmittuihin sopimussuhteisiin. Näihin seikkoihin sisältyy miniminäkökohtia, joita pidetään välttämättöminä, jotta finanssiyhteisö voi seurata kattavasti kolmansiin osapuoliin liittyvää TVT-riskiä sopimussuhteen koko elinkaaren ajan: solmimis-, toteutumis-, päättymis- ja sen jälkeisiä vaiheita. Tätä suhdetta sääteleviltä sopimuksilta edellytetään etenkin, että niihin on sisällytetty kattava kuvaus palveluista, ilmoitus siitä, missä tietoja on määrä käsitellä, palvelutason täydet kuvaukset ja niihin liittyvät määrälliset ja laadulliset suorituskykytavoitteet, asianmukaiset säännökset henkilötietojen saatavuudesta, käytettävyydestä, eheydestä ja turvallisuudesta sekä takeet tietoihin pääsystä, niiden pelastamisesta ja palauttamisesta TVT-palveluntarjoajana olevien kolmansien osapuolten aiheuttamassa häiriötilanteessa, TVT-palveluntarjoajana olevia kolmansia osapuolia koskevista ilmoitusajoista ja raportointivelvollisuuksista, finanssiyhteisön tai nimetyn kolmannen osapuolen pääsy-, tarkastus- ja auditointioikeuksista, irtisanomisoikeuksista ja erityisistä irtautumisstrategioista. Koska jotkin näistä sopimusta koskevista osatekijöistä voidaan standardoida, asetuksessa edistetään sellaisten mallisopimuslausekkeiden vapaaehtoista käyttöä, joita komission on määrä laatia pilvipalvelujen käyttöä varten. Asetuksella pyritään lähentämään lähestymistapoja, joita sovelletaan finanssialalla kolmansiin osapuoliin liittyvään TVT-riskiin saattamalla kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet unionin valvontakehyksen piiriin. Uuden yhdenmukaistetun lainsäädäntökehyksen ansiosta kulloisenkin tällaisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen päävalvojaksi nimetylle Euroopan valvontaviranomaiselle annetaan valtuudet varmistaa, että teknologiapalvelujen tarjoajia, jotka hoitavat finanssialan toiminnan kannalta kriittistä tehtävää, valvotaan riittävällä tavalla yleiseurooppalaisessa mittakaavassa. Tämän asetuksen mukainen valvontakehys perustuu nykyiseen finanssipalvelualan institutionaaliseen rakenteeseen, jossa Euroopan valvontaviranomaisten yhteiskomitea varmistaa kaikissa TVT-riskiin liittyvissä kysymyksissä alojen välisen koordinoinnin kyberturvallisuutta koskevien tehtäviensä mukaisesti. Tässä tehtävässä sitä avustaa asiaankuuluva alakomitea (valvontafoorumi), joka valmistelee yksittäisiä päätöksiä ja yhteisiä suosituksia kriittisille ulkopuolisille TVT-palveluntarjoajille. Tietojenvaihto (40 artikla) TVT-riskiä koskevan tietoisuuden lisäämiseksi, niiden leviämisen minimoimiseksi sekä finanssiyhteisöjen puolustusvalmiuksien ja uhkien paljastamistekniikoiden tukemiseksi asetus antaa finanssiyhteisöille mahdollisuuden ottaa käyttöön järjestelyjä, joiden avulla ne voivat vaihtaa keskenään kyberuhkia koskevia tietoja ja tiedustelutietoja.



2020/0266 (COD) Ehdotus: EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) N:o 909/2014 muuttamisesta (ETA:n kannalta merkityksellinen teksti) EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka

ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 114 artiklan, ottavat huomioon Euroopan komission ehdotuksen, sen jälkeen, kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille, ottavat huomioon Euroopan keskuspankin lausunnon, ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon, noudattavat tavallista lainsäätämisjärjestystä, sekä katsovat seuraavaa: sekä katsovat seuraavaa: (1)Digiaikana tieto- ja viestintätekniikalla, jäljempänä ’TVT’, tuetaan monimutkaisia järjestelmiä, joita käytetään jokapäiväisissä yhteiskunnallisissa toiminnoissa. Se pitää talouden toiminnassa keskeisillä aloilla, kuten finanssialalla, ja tehostaa sisämarkkinoiden toimintaa. Lisääntyvä digitalisaatio ja yhteenliitettävyys laajentavat myös TVT-riskien mahdollisuutta, mikä tekee koko yhteiskunnasta – ja erityisesti finanssijärjestelmästä – alttiimman kyberuhkille tai TVT-häiriöille. Vaikka TVT-järjestelmien yleinen käyttö sekä pitkälle menevä digitalisointi ja yhteenliitettävyys ovat nykypäivänä unionin finanssiyhteisöjen kaiken toiminnan keskeisiä piirteitä, digitaalista häiriönsietokykyä ei ole vielä riittävällä tavalla sisällytetty osaksi niiden toimintapuitteita. (2)TVT:n käyttö on viime vuosikymmeninä noussut keskeiseen asemaan finanssialalla, ja sen merkitys kaikkien finanssiyhteisöjen tavanomaisissa arkipäivän toiminnoissa on kriittinen. Digitalisointi kattaa esimerkiksi maksut, jotka ovat siirtyneet yhä enemmän käteis- ja paperipohjaisista menetelmistä digitaalisten ratkaisujen käyttöön, sekä arvopaperien määrityksen ja toimituksen, sähköisen ja algoritmisen kaupankäynnin, lainaus- ja rahoitustoiminnot, vertaisrahoituksen, luottokelpoisuusluokituksen, vakuutustoiminnan, saatavien hoidon ja back-office-toiminnot. Koko finanssiala on pitkälti digitalisoitunut, mutta digitalisointi on myös syventänyt finanssialan sisäisiä yhteyksiä ja keskinäistä riippuvuutta myös kolmansista infrastruktuurin ja palvelujen tarjoajista. (3)Euroopan järjestelmäriskikomitea (EJRK) on vahvistanut vuonna 2020 antamassaan järjestelmään liittyvää kyberriskiä käsittelevässä raportissaan, kuinka nykyiset finanssiyhteisöjen, -markkinoiden ja -markkinainfrastruktuurin tiiviit keskinäiset kytkökset ja etenkin niiden TVT-järjestelmien keskinäiset riippuvuussuhteet voivat olla järjestelmän kannalta haavoittuvia, sillä paikalliset kyberhäiriötilanteet voivat nopeasti levitä mistä tahansa unionin noin 22 000 finanssiyhteisöstä koko finanssijärjestelmään maantieteellisten rajojen estämättä. Vakavat finanssialan TVT-rikkomukset eivät vaikuta pelkästään finanssiyhteisöihin. Ne luovat maaperää myös paikallisten haavoittuvuuksien leviämiselle rahoituksen välityskanaviin ja voivat heikentää unionin finanssijärjestelmän vakautta, aiheuttaa likviditeettipakoja ja rapauttaa yleisesti luottamusta rahoitusmarkkinoihin. (4)Viime vuosina kansalliset, eurooppalaiset ja kansainvälisen tason poliittiset päättäjät, sääntelyviranomaiset ja standardointielimet ovat kiinnittäneet huomiota TVT-riskeihin pyrkimyksessään tehostaa häiriönsietokykyä, asettaa standardeja ja koordinoida sääntely- ja valvontatoimia. Kansainvälisellä tasolla Baselin pankkivalvontakomitea, maksujärjestelmä- ja markkinainfrastruktuurikomitea, rahoitusjärjestelmän vakautta valvova instituutti sekä G7- ja G20-maiden ryhmät pyrkivät tarjoamaan toimivaltaisille viranomaisille ja markkinatoimijoille eri lainkäyttöalueilla välineitä, joiden avulla ne voivat vahvistaa finanssijärjestelmiensä häiriönsietokykyä. (5)Kansallisista ja eurooppalaisista kohdennetuista politiikka- ja lainsäädäntöaloitteista huolimatta, TVT-riskit muodostavat edelleen haasteen unionin finanssijärjestelmän häiriönsietokyvylle, toiminnalle ja vakaudelle. Vuoden 2008 finanssikriisiä seuranneella uudistuksella vahvistettiin ensisijaisesti unionin finanssialan finanssipoliittista häiriönsietokykyä. Näin pyrittiin turvaamaan unionin kilpailukyky ja vakaus talouden, toiminnan vakauden ja markkinakäyttäytymisen näkökulmasta. Vaikka TVT-turvallisuus ja digitaalinen häiriönsietokyky ovat osa operatiivista riskiä, ne ovat jääneet vähemmälle huomiolle kriisin jälkeisessä sääntelyohjelmassa, ja niitä on kehitetty vain joillakin unionin finanssipalvelupolitiikan ja sääntely-ympäristön osa-alueilla tai vain muutamassa jäsenvaltiossa. (6)Komission vuonna 2018 julkaisemassa FinTech-toimintasuunnitelmassa korostettiin, että on ensiarvoisen tärkeää parantaa unionin finanssialan häiriönsietokykyä myös operatiivisesta näkökulmasta, jotta voidaan varmistaa sen teknologinen turvallisuus ja toimivuus ja sen nopea toipuminen TVT-rikkomusten ja -poikkeamien jälkeen, mikä viime kädessä mahdollistaa finanssipalvelujen tehokkuuden ja niiden sujuvan tarjoamisen koko unionissa, myös stressitilanteissa, siten, että samalla säilytetään kuluttajien ja markkinoiden usko ja luottamus. (7)Euroopan pankkiviranomainen (EPV), Euroopan arvopaperimarkkinaviranomainen (EAMV) ja Euroopan vakuutus- ja lisäeläkeviranomainen (EIOPA) (joita kutsutaan yhteisesti nimellä ”Euroopan valvontaviranomaiset”) julkaisivat yhdessä huhtikuussa 2019 kaksi teknistä lausuntoa, joissa vaadittiin johdonmukaista lähestymistapaa TVT-riskiin ja suositettiin finanssipalvelualan digitaalisen häiriönsietokyvyn vahvistamista oikeasuhteisella tavalla unionin alakohtaisen aloitteen avulla. (8)Unionin finanssialaa säännellään yhdenmukaistetulla sääntökirjalla ja hallinnoidaan Euroopan finanssivalvontajärjestelmällä. Tästä huolimatta digitaalista häiriösietokykyä ja TVT-turvallisuutta koskevia säännöksiä ei ole vielä täysin tai johdonmukaisesti yhdenmukaistettu siitä huolimatta, että digitaalinen häiriönsietokyky on ratkaisevan tärkeä rahoitusvakauden ja markkinoiden eheyden varmistamiseksi digiaikana, minkä lisäksi se on aivan yhtä merkityksellinen kuin esimerkiksi toiminnan vakautta koskevat tai markkinakäyttäytymistä koskevat standardit. Sääntökirjaa ja valvontajärjestelmää olisi sen vuoksi kehitettävä, jotta myös tämä osatekijä saataisiin katettua, laajentamalla niiden finanssivalvojien toimivaltuuksia, joiden tehtävänä on seurata ja suojella rahoitusvakautta ja markkinoiden eheyttä. (9)Lainsäädännölliset erot ja epätasaiset kansalliset TVT-riskin sääntelyä tai valvontaa koskevat lähestymistavat muodostavat esteitä finanssipalvelujen sisämarkkinoille ja hankaloittavat sijoittautumisvapauden sujuvaa harjoittamista sekä palvelujen tarjoamista rajatylittävää toimintaa harjoittaville finanssiyhteisöille. Eri jäsenvaltioissa toimivien samantyyppisten finanssiyhteisöjen välinen kilpailu voi myös vääristyä. Erityisesti niillä osa-alueilla, joilla unionin tason yhdenmukaistaminen on ollut hyvin rajallista, kuten digitaalisen häiriönsietokyvyn testauksessa, tai olematonta, kuten kolmansiin osapuoliin liittyvässä TVT-riskin seurannassa, kansallisella tasolla suunnitellusta kehityksestä johtuvat erot voivat muodostaa lisäesteitä sisämarkkinoiden toiminnalle markkinatoimijoiden ja rahoitusvakauden kustannuksella. (10)Osittaisessa tavassa, jolla TVT-riskiin liittyviä säännöksiä on tähän mennessä käsitelty unionin tasolla, on puutteita tai päällekkäisyyksiä tärkeillä osa-alueilla, kuten TVT:hen liittyvien poikkeamien raportoinnissa ja digitaalisen häiriönsietokyvyn testauksessa, ja se luo epäjohdonmukaisuuksia, jotka johtuvat uusista toisistaan poikkeavista kansallisista säännöistä tai päällekkäisten sääntöjen kustannustehottomasta soveltamisesta. Tämä on erityisen haitallista TVT-intensiivisille käyttäjille, kuten finanssialalle, koska teknologiariskeillä ei ole rajoja ja finanssiala käyttää sen palveluja laajalti rajojen yli unionissa ja sen ulkopuolella. Yksittäiset finanssiyhteisöt, jotka toimivat rajojen yli tai joilla on useita toimilupia (esim. yhdellä finanssiyhteisöllä voi olla pankki-, sijoituspalveluyritys- ja maksulaitostoimilupa, joista jokainen on eri valvojan myöntämä yhdessä tai useammassa jäsenvaltiossa), joutuvat vastaamaan operatiivisiin haasteisiin niiden torjuessa yksin TVT-riskejä ja hillitessä TVT-poikkeamia kielteisiä vaikutuksia johdonmukaisella ja kustannustehokkaalla tavalla. (11)Koska yhteiseen sääntökirjaan ei ole liitetty kattavaa TVT- tai operatiivista riskin kehystä, keskeisiä digitaalista häiriönsietokykyä koskevia vaatimuksia on yhdenmukaistettava edelleen kaikkien finanssiyhteisöjen osalta. Valmiudet ja yleinen häiriönsietokyky, joita finanssiyhteisöt kehittäisivät tällaisten keskeisten vaatimusten pohjalta, operatiivisista käyttökeskeytyksistä selvitäkseen, auttaisivat säilyttämään unionin finanssimarkkinoiden vakauden ja eheyden. Niiden avulla myös edistettäisiin sijoittajien ja kuluttajien suojan korkean tason varmistamista unionissa. Koska tämän asetuksen tarkoituksena on edistää sisämarkkinoiden moitteetonta toimintaa, sen olisi perustuttava Euroopan unionin toiminnasta tehdyn sopimuksen 114 artiklaan, sellaisena kuin sitä tulkitaan Euroopan unionin tuomioistuimen vakiintuneessa oikeuskäytännössä. (12)Tällä asetuksella pyritään ensinnäkin vakiinnuttamaan TVT-riskivaatimukset, joita on tähän mennessä käsitelty erikseen eri asetuksissa ja direktiiveissä, ja parantamaan niitä. Vaikka kyseiset unionin säädökset kattoivat rahoitusriskin pääluokat (esim. luotto-, markkina-, vastapuoliluotto- ja likviditeetti- sekä markkinakäyttäytymisriski), niissä ei kyetty kokonaisvaltaisesti puuttumaan, hyväksymisajankohtana, kaikkiin toiminnallisen häiriönsietokyvyn osatekijöihin. Operatiivista riskiä koskevissa vaatimuksissa, kun niitä on kehitetty edelleen edellä mainituissa unionin säädöksissä, suosittiin usein perinteistä kvantitatiivista lähestymistapaa riskeihin puuttumiseksi (eli pääomavaatimuksen asettamista TVT-riskien kattamiseksi) sen sijaan, että niihin olisi sisällytetty kohdennettuja laadullisia vaatimuksia valmiuksien parantamiseksi vaatimuksilla, joiden tavoitteena olisi ollut kehittää suojelu-, havaitsemis-, käyttöönotto-, toipumis- ja korjausvalmiuksia TVT:hen liittyvien poikkeamien torjumiseksi, tai ottamalla käyttöön raportointi- ja digitaalisia testausvalmiuksia. Kyseisten direktiivien ja asetusten ensisijainen tarkoitus oli kattaa toiminnan vakauden valvontaa, markkinoiden eheyttä tai toimintaa koskevat keskeiset säännöt.

Tällä toimenpiteellä, jolla vahvistetaan TVT-riskiä koskevia sääntöjä ja päivitetään niitä, kaikki finanssialan digitaalista riskiä koskevat säännökset koottaisiin ensimmäistä kertaa johdonmukaisella tavalla yhteen säädökseen. Tällä aloitteella olisi näin ollen korjattava joidenkin näiden säädösten puutteet tai epäjohdonmukaisuudet, myös niissä käytetyn terminologian osalta, ja siinä olisi nimenomaisesti viitattava TVT-riskiin kohdennetuilla säännöillä, jotka koskevat TVT-riskinhallintavalmiuksia, -raportointia, -testausta sekä ulkopuolisiin TVT-palveluntarjoajiin liittyvien riskien seurantaa. (13)Finanssiyhteisöjen olisi noudatettava samaa lähestymistapaa ja samoja periaatteisiin perustuvia sääntöjä, kun ne käsittelevät TVT-riskiä. Johdonmukaisuus lisää osaltaan luottamusta finanssijärjestelmään ja auttaa sen vakauden säilyttämisessä erityisesti sellaisina aikoina, jolloin TVT-järjestelmiä, -alustoja ja -infrastruktuuria käytetään liikaa, mihin liittyy suurempi digitaalisen riskin vaara. Peruskyberhygieniaa noudattamalla pitäisi myös voida välttää taloudelle aiheutuvia raskaita kustannuksia, kun TVT-häiriöiden vaikutukset ja kustannukset minimoidaan. (14)Asetuksen käyttö auttaa vähentämään sääntelyn monimutkaisuutta, edistää valvontakäytäntöjen lähentymistä, lisää oikeusvarmuutta ja samalla auttaa rajoittamaan säännösten noudattamisesta aiheutuvia kustannuksia, erityisesti niiden finanssiyhteisöjen osalta, jotka toimivat rajojen yli, sekä vähentämään kilpailun vääristymisiä. Asetuksen valinta finanssiyhteisöjen digitaalista häiriönsietokykyä koskevan yhteisen kehyksen käyttöönottamiseksi vaikuttaa näin ollen asianmukaisimmalta tavalta taata, että unionin finanssialan sektorit soveltavat kaikkia TVT-riskinhallinnan osatekijöitä yhteisesti ja johdonmukaisesti. (15)Finanssipalvelulainsäädännön ohella Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148 on unionin tasolla nykyään voimassa oleva kyberturvallisuuskehys. Seitsemän kriittisen alan joukossa kyseistä direktiiviä sovelletaan myös kolmeen finanssiyhteisön tyyppiin: luottolaitoksiin, kauppapaikkoihin ja keskusvastapuoliin. Koska direktiivissä (EU) 2016/1148 kuitenkin otetaan käyttöön kansallisella tasolla keskeisten palvelujen tarjoajien määrittämismekanismi, ainoastaan tietyt jäsenvaltioiden määrittämät luottolaitokset, kauppapaikat ja keskusvastapuolet kuuluvat käytännössä sen soveltamisalaan ja näin ollen niiden on noudatettava direktiivissä säädettyjä TVT-turvallisuutta ja -poikkeamien ilmoittamista koskevia vaatimuksia. (16)Koska tällä asetuksella lisätään digitaalisen häiriönsietokyvyn osatekijöiden yhdenmukaistamisen tasoa ottamalla käyttöön TVT-riskinhallintaa ja TVT:hen liittyvien poikkeamien raportointia koskevia vaatimuksia, jotka ovat tiukempia kuin voimassa olevassa unionin finanssipalvelulainsäädännössä säädetyt vaatimukset, tuloksena on vielä pidemmälle viety yhdenmukaistaminen myös verrattuna direktiivissä (EU) 2016/1148 säädettyihin vaatimuksiin. Näin ollen tämä asetus on erityissäädös (lex specialis) suhteessa direktiiviin (EU) 2016/1148. On tärkeää säilyttää vahva yhteys finanssialan ja unionin horisontaalisen kyberturvallisuuskehyksen välillä, sillä näin voidaan varmistaa johdonmukaisuus jäsenvaltioiden jo hyväksymien kyberturvallisuusstrategioiden kanssa, ja näin myös voidaan saattaa finanssivalvojien tietoon kyberhäiriötilanteet, jotka vaikuttavat direktiivin (EU) 2016/1148 piiriin kuuluviin aloihin. (17)Jotta monialainen oppimisprosessi olisi mahdollinen ja voitaisiin hyödyntää muilla aloilla saatua kokemusta kyberuhkien käsittelystä, direktiivissä (EU) 2016/1148 tarkoitettujen finanssiyhteisöjen olisi pysyttävä osana kyseisen direktiivin ”ekosysteemiä” (esim. verkko- ja tietoturva-alan yhteistyöryhmä ja tietoturvaloukkauksiin reagoivat ja niitä tutkivat yksiköt, CSIRT-toimijat). Euroopan valvontaviranomaisten ja kansallisten toimivaltaisten viranomaisten olisi voitava osallistua strategisiin toimintapoliittisiin keskusteluihin sekä verkko- ja tietoturva-alan yhteistyöryhmän tekniseen työhön ja tietojenvaihtoon ja tehdä edelleen yhteistyötä direktiivin (EU) 2016/1148 mukaan nimettyjen keskitettyjen yhteyspisteiden kanssa. Tämän asetuksen mukaisten toimivaltaisten viranomaisten olisi myös kuultava direktiivin (EU) 2016/1148 9 artiklan mukaisesti nimettyjä kansallisia CSIRT-toimijoita ja tehtävä heidän kanssaan yhteistyötä. (18)On tärkeää myös varmistaa yhdenmukaisuus Euroopan elintärkeästä infrastruktuurista annetun direktiivin kanssa. Direktiiviä tarkistetaan parhaillaan, jotta voidaan lisätä kriittisten infrastruktuurien suojelua ja niiden sietokykyä muita kuin kyberuhkia vastaan. (19)Pilvipalvelun tarjoajat ovat yksi direktiivin (EU) 2016/1148 piiriin kuuluvista digitaalisen palvelun tarjoajien ryhmistä. Näin ollen niihin sovelletaan kyseisen direktiivin mukaisesti nimettyjen kansallisten valvontaviranomaisten suorittamaa jälkikäteisvalvontaa, joka rajoittuu kyseisessä säädöksessä vahvistettuihin TVT-turvallisuutta ja -poikkeamien ilmoittamista koskeviin vaatimuksiin. Koska tällä asetuksella perustettua valvontakehystä sovelletaan kaikkiin kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin, myös pilvipalvelun tarjoajiin, niiden tarjotessa TVT-palveluita finanssiyhteisöille, sen olisi katsottava täydentävän direktiivin (EU) 2016/1148 nojalla suoritettavaa valvontaa. Lisäksi tällä asetuksella perustettavan valvontakehyksen olisi katettava pilvipalvelujen tarjoajat, koska unionin horisontaalinen, aloista riippumattoman kehys, jolla perustetaan digitaalinen valvontaviranomainen, puuttuu. (20)TVT-riskien täyden hallinnan säilyttämiseksi finanssiyhteisöillä on oltava käytössään kattavat valmiudet, jotka mahdollistavat vahvan ja tehokkaan TVT-riskinhallinnan, ja niiden ohella erityismekanismeja ja -toimintaperiaatteita, jotka koskevat TVT:hen liittyvien poikkeamien raportointia, TVT-järjestelmien testausta, valvontaa ja prosesseja sekä kolmansiin osapuoliin liittyvän TVT-riskin hallintaa. Finanssijärjestelmän digitaalisen häiriönsietokyvyn tasoa olisi nostettava samalla kun mahdollistetaan vaatimusten oikeasuhteinen soveltaminen sellaisille finanssiyhteisöille, jotka ovat komission suosituksessa 2003/361/EY määriteltyjä mikroyrityksiä. (21)TVT:hen liittyvien poikkeamien raportointikynnyksissä ja luokituksissa on kansallisella tasolla huomattavia eroja. Vaikka yhteinen pohja voidaan saavuttaa EU:n kyberturvallisuusviraston (ENISA) ja verkko- ja tietoturva-alan yhteistyöryhmän tekemän työn avulla direktiivin (EU) 2016/1148 piiriin kuuluvien finanssiyhteisöjen osalta, kynnysarvoja ja luokituksia koskevia erilaisia lähestymistapoja on edelleen tai voi ilmetä jatkossa jäljelle jäävien finanssiyhteisöjen osalta. Tähän liittyy useita vaatimuksia, joita finanssiyhteisöjen on noudatettava erityisesti silloin, kun ne toimivat useilla unionin lainkäyttöalueilla ja ovat osa finanssiryhmittymää. Lisäksi nämä erot voivat haitata sellaisten yhdenmukaisten tai keskitettyjen unionin lisämekanismien luomista, joilla nopeutetaan raportointiprosessia ja tuetaan nopeaa ja sujuvaa toimivaltaisten viranomaisten välistä tietojenvaihtoa, joka on erittäin tärkeää TVT-riskien torjumiseksi mahdollisissa suuren mittakaavan hyökkäyksissä, joilla voi olla järjestelmätason vaikutuksia. (22)Jotta toimivaltaiset viranomaiset voivat täyttää valvontatehtävänsä hankkimalla kattavan yleiskuvan TVT:hen liittyvien poikkeamien luonteesta, yleisyydestä, merkityksestä ja vaikutuksista ja jotta voidaan tehostaa tietojenvaihtoa asiaankuuluvien viranomaisten, myös lainvalvonta- ja kriisinratkaisuviranomaisten, välillä, on säädettävä sääntöjä, joilla voidaan täydentää TVT:hen liittyvien poikkeamien raportointijärjestelmää vaatimuksilla, jotka nykyisellään puuttuvat alasektoria koskevasta lainsäädännöstä, ja poistaa mahdolliset päällekkäisyydet kustannusten vähentämiseksi. Näin ollen on olennaista yhdenmukaistaa TVT:hen liittyvien poikkeamien raportointijärjestelmää vaatimalla, että kaikki finanssiyhteisöt raportoivat yksinomaan toimivaltaisille viranomaisilleen. Lisäksi Euroopan valvontaviranomaisille olisi annettava mahdollisuus täsmentää TVT:hen liittyvien poikkeamien raportointiin liittyviä seikkoja, kuten luokitusta, aikatauluja, datajoukkoja, malleja ja sovellettavia kynnysarvoja. (23)Digitaalisen häiriönsietokyvyn testausvaatimukset ovat kehittyneet joillakin finanssialan alasektoreilla useissa koordinoimattomissa kansallisissa puitteissa, joissa samoja ongelmia on ratkaistu eri tavalla. Tämä johtaa rajatylittävästi toimivien finanssiyhteisöjen kustannusten kaksinkertaistumiseen ja tekee tulosten vastavuoroisesta tunnustamisesta hankalaa. Koordinoimaton testaus voi näin ollen segmentoida sisämarkkinoita. (24)Lisäksi silloin, kun testausta ei vaadita, haavoittuvuudet jäävät havaitsematta, mikä lisää finanssiyhteisöön ja viime kädessä finanssialan vakauteen kohdistuvaa riskiä. Ilman unionin toimia digitaalisen häiriönsietokyvyn testaus olisi edelleen hajanaista eikä testituloksia tunnustettaisi vastavuoroisesti eri lainkäyttöalueilla. Lisäksi koska on epätodennäköistä, että muut finanssialan alasektorit ottaisivat tällaiset järjestelmät käyttöön mielekkäässä määrin, ne jäisivät vaille mahdollisia hyötyjä, joita ovat muun muassa haavoittuvuuksien ja riskien paljastuminen, puolustusvoimavarat ja liiketoiminnan jatkuvuuden testaus sekä asiakkaiden, toimittajien ja liikekumppaneiden luottamuksen lisääntyminen. Tällaisten päällekkäisyyksien, eroavuuksien ja aukkojen poistamiseksi on tarpeen vahvistaa säännöt, joilla pyritään koordinoituun testaukseen finanssiyhteisöjen ja toimivaltaisten viranomaisten keskuudessa ja siten helpottamaan merkittävien finanssiyhteisöjen kehittyneen testauksen vastavuoroista tunnustamista. (25)Finanssiyhteisöjen riippuvuus TVT-palveluista johtuu osittain niiden tarpeesta mukautua kehittyvään kilpailukykyiseen digitaaliseen maailmantalouteen, edistää liiketoimintansa tehokkuutta ja vastata kuluttajien kysyntään. Riippuvuuden luonne ja laajuus ovat muuttuneet jatkuvasti viime vuosina, mikä on johtanut rahoituksen välityksen kustannusten alenemiseen, mahdollistanut liiketoiminnan laajentamisen ja skaalattavuuden rahoitustoiminnan käyttöönotossa ja tarjonnut samalla monenlaisia TVT-välineitä monimutkaisten sisäisten prosessien hallintaan. (26)Tästä TVT-palvelujen laajasta käytöstä ovat osoituksena monimutkaiset sopimusjärjestelyt, joiden vuoksi finanssiyhteisöillä on usein vaikeuksia neuvotella sopimusehdoista, jotka on räätälöity vakavaraisuusnormien tai muiden niihin sovellettavien sääntelyvaatimusten mukaisiksi, tai muutoin panna täytäntöön erityisiä oikeuksia, kuten pääsy- tai auditointioikeuksia, kun ne on kirjattu sopimuksiin. Monet tällaiset sopimukset eivät myöskään tarjoa riittäviä takeita, jotka mahdollistaisivat alihankintaprosessien täysimittaisen seurannan, mikä poistaa finanssiyhteisöiltä mahdollisuuden arvioida niihin liittyviä riskejä. Lisäksi koska TVT-palveluntarjoajana olevat kolmannet osapuolet tarjoavat usein standardoituja palveluja erityyppisille asiakkaille, näissä sopimuksissa ei aina oteta asianmukaisesti huomioon finanssialan toimijoiden yksilöllisiä tai erityisiä tarpeita. (27)Vaikka tietyissä finanssipalveluja koskevissa unionin säädöksissä on joitakin ulkoistamista koskevia yleisiä sääntöjä, sopimusulottuvuuden seurantaa ei ole täysin ankkuroitu unionin lainsäädäntöön. TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyihin sopimusjärjestelyihin sovellettavien selkeiden ja räätälöityjen unionin standardien puuttuessa, puuttuminen TVT-riskin ulkoiseen lähteeseen on vajavaista. Siksi on välttämätöntä vahvistaa tietyt keskeiset periaatteet, jotka ohjaavat finanssiyhteisöjen kolmansiin osapuoliin liittyvän TVT-riskin hallintaa, ja yhdistää periaatteisiin tietyt keskeiset sopimusperusteiset oikeudet, jotka liittyvät useisiin sopimusten täyttämisen ja päättämisen osatekijöihin, jotta voidaan vahvistaa tietyt vähimmäistakeet, joiden pohjalta finanssiyhteisöt voivat seurata tehokkaasti kaikkia kolmansien osapuolten TVT-toiminnan tasolla ilmeneviä riskejä. (28)Kolmansiin osapuoliin liittyvä TVT-riski ja -riippuvuudet eivät ole yhdenmukaisia. Vaikka ulkoistamiseen on yritetty puuttua joillakin toimilla, kuten vuonna 2017 annetuilla suosituksilla ulkoistamisesta pilvipalvelujen tarjoajille, unionin lainsäädännössä ei juurikaan puututa kysymykseen järjestelmäriskistä, joka voi aiheutua finanssialalle sen hyödyntämien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten vähäisestä määrästä. Tähän unionin tason puutteeseen liittyy se, että käytössä ei ole erityisiä toimeksiantoja ja välineitä, joiden avulla kansalliset valvontaviranomaiset voisivat saada selkeän kuvan riippuvuudesta, joka liittyy TVT-palveluntarjoajana oleviin kolmansiin osapuoliin, ja seurata asianmukaisesti riskejä, joita aiheutuu tällaisten riippuvuussuhteiden keskittymisestä.

(29)Kun otetaan huomioon mahdolliset järjestelmäriskit, jotka liittyvät ulkoistamiskäytäntöjen yleistymiseen sekä kolmansiin osapuoliin liittyvien TVT-riippuvuuksien keskittymiseen, ja kansallisten mekanismien riittämättömyys eli se, että finanssivalvojilla ei ole mahdollisuutta määrittää kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten toiminnasta aiheutuvien TVT-riskien seurauksien määrää ja laatua ja korjata niitä, on välttämätöntä ottaa käyttöön asianmukainen unionin valvontakehys, joka mahdollistaa sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten toiminnan seurannan, jotka ovat finanssiyhteisöjen kannalta kriittisiä. (30)Koska TVT-uhat muuttuvat kaiken aikaa monimutkaisemmiksi ja kehittyneemmiksi, finanssiyhteisöjen välisen uhkiin ja haavoittuvuuteen liittyvän tiedustelutiedon säännöllinen vaihto on edellytyksenä sille, että havaitsemis- ja ennaltaehkäisytoimissa onnistutaan. Tietojenvaihdolla edistetään kyberuhkia koskevan tiedon karttumista, mikä puolestaan parantaa finanssiyhteisöjen valmiuksia estää uhkia kehittymästä todellisiksi häiriötilanteiksi ja mahdollistaa sen, että finanssiyhteisöt voivat hillitä paremmin TVT:hen liittyvien poikkeamien vaikutuksia ja palautua niistä tehokkaammin. Unionin tason ohjeistuksen puuttuessa, näyttää siltä, että useat seikat ovat olleet estämässä tällaista tiedustelutietojen vaihtoa, erityisesti epävarmuus tietosuoja-, kilpailu- ja vastuusääntöjen yhteensopivuudesta. (31)Lisäksi epävarmuus siitä, minkätyyppisiä tietoja voidaan jakaa muille markkinatoimijoille tai muille kuin valvontaviranomaisille (kuten ENISAlle, analyysejä varten, tai Europolille lainvalvontatarkoituksia) on johtanut siihen, että hyödyllisiä tietoja ei ole toimitettu eteenpäin. Tietojenvaihto on edelleen suppeaa ja hajanaista. Olennaista vaihtoa tehdään lähinnä paikallisesti (kansallisten aloitteiden kautta), eikä käytössä ole yhtenäisiä unioninlaajuisia tiedonvaihtojärjestelyjä, jotka olisi räätälöity yhdentyneen finanssialan tarpeisiin. (32)Tästä syystä finanssiyhteisöjä olisi kannustettava hyödyntämään yhdessä erikseen hankittua tietämystä ja käytännön kokemusta strategisella, taktisella ja operatiivisella tasolla, jotta voidaan parantaa niiden valmiuksia arvioida ja seurata kyberuhkia sekä puolustautua niiltä ja reagoida niihin riittävällä tavalla. Siksi on tarpeen mahdollistaa sellaisten vapaaehtoisten unionin tason tiedonvaihtojärjestelmien luominen, jotka luotettavissa toimintaympäristöissä toteutettuina, auttaisivat finanssiyhteisöä ehkäisemään uhkia ja reagoimaan yhteisesti niihin rajoittamalla nopeasti TVT-riskien leviämistä, myös laajemmalle rahoituskanaviin. Tällaiset järjestelmät olisi toteutettava noudattaen täysin sovellettavaa unionin kilpailulainsäädäntöä ja tavalla, jolla taataan myös unionin tietosuojasääntöjen, erityisesti Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679, noudattaminen kaikilta osin, etenkin henkilötietojen käsittelyn yhteydessä, kun käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, kyseisen asetuksen 6 artiklan 1 kohdan f alakohdan mukaisesti. (33)Tässä asetuksessa kaavaillusta laajasta kattavuudesta huolimatta digitaalista häiriönsietokykyä koskevien sääntöjen soveltamisessa olisi otettava huomioon, että finanssiyhteisöjen välillä on merkittäviä eroja, jotka liittyvät niiden kokoon, liiketoimintaprofiiliin ja siihen, kuinka alttiita ne ovat digitaaliselle riskille. Yleisenä periaatteena, kun resursseja ja valmiuksia ohjataan TVT-riskinhallintajärjestelmään, finanssiyhteisöjen olisi arvioitava TVT:hen liittyvät tarpeensa kokonsa ja liiketoimintaprofiilinsa mukaan ja samalla toimivaltaisten viranomaisten olisi edelleen arvioitava ja tarkistettava tällaiseen jakamiseen liittyvää lähestymistapaa. (34)Kun otetaan huomioon, että suuremmilla finanssiyhteisöillä voi olla käytettävissään laajempia resursseja ja ne voivat nopeasti ottaa käyttöön varoja hallintorakenteiden kehittämiseen ja erilaisten yritysstrategioiden käyttöönottamiseen, ainoastaan sellaisilta finanssiyhteisöiltä, jotka eivät ole tässä asetuksessa tarkoitettuja mikroyrityksiä, olisi vaadittava monimutkaisempien hallintojärjestelyjen käyttöönottoa. Tallaisilla yhteisöillä on paremmat edellytykset erityisesti ottaa käyttöön kohdennettuja hallinnointitoimintoja TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa sovittujen järjestelyjen valvomista varten tai kriisinhallinnan hoitamiseksi, järjestää TVT-riskinhallintansa kolmen puolustuslinjan mallin mukaisesti tai hyväksyä henkilöresursseja koskeva asiakirja, jossa selitetään kattavasti pääsyoikeuksia koskevat toimintaperiaatteet. Vastaavasti ainoastaan tällaisia finanssiyhteisöjä olisi kehotettava tekemään perusteellisia arviointeja verkko- ja tietojärjestelmäinfrastruktuuriin ja -prosesseihin tehtävien merkittävien muutosten jälkeen, tekemään säännöllisesti vanhoja TVT-järjestelmiä koskevia riskianalyysejä tai laajentamaan liiketoimintajatkuvuuden sekä reagointi- ja palautumissuunnitelmien testausta, jotta voidaan kattaa skenaariot, jotka koskevat vaihtoa ensisijaisen TVT-infrastruktuurin ja -varakapasiteetin välillä. (35)Lisäksi koska ainoastaan digitaalisen häiriönsietokyvyn kehittyneen testauksen kannalta merkittäviksi määritetyiltä finanssiyhteisöiltä olisi vaadittava uhkaperusteisia tunkeutumistestejä, näiden testien suorittamiseen liittyvät hallinnolliset prosessit ja kustannukset olisi siirrettävä finanssiyhteisöjen pienelle prosenttiosuudelle. Sääntelytaakan keventämiseksi ainoastaan muita kuin mikroyrityksiä olevia finanssiyhteisöjä olisi pyydettävä ilmoittamaan toimivaltaisille yrityksille kaikki TVT-häiriöistä aiheutuneet kustannukset ja tappiot sekä merkittävien TVT-häiriöiden jälkitarkastelujen tulokset. (36)Jotta voidaan varmistaa finanssiyhteisöjen liiketoimintastrategioiden yhdenmukaisuus kaikilta osin ja yleinen johdonmukaisuus sekä TVT-riskinhallinnan toteuttaminen, hallintoelimeltä olisi edellytettävä, että se säilyttää keskeisen ja aktiivisen roolin TVT-riskinhallintajärjestelmän ja digitaalisen häiriönsietokyvyn yleisen strategian ohjaamisessa ja mukauttamisessa. Hallintoelimen lähestymistavassa ei pitäisi keskittyä ainoastaan TVT-järjestelmien häiriönsietokyvyn varmistamiskeinoihin vaan niiden olisi katettava myös ihmiset ja prosessit sellaisten toimintaperiaatteiden kautta, joilla edistetään kaikilla yrityksen tasoilla ja koko henkilöstön osalta, vahvaa tiedostamista kyberriskeistä ja sitoutumista tiukkaan kyberhygieniaan kaikilla tasoilla. Hallintoelimen lopullisena vastuuna finanssiyhteisön TVT-riskien hallinnassa olisi oltava tämän kokonaisvaltaisen lähestymistavan yleisperiaate, joka näkyisi hallintoelimen jatkuvana sitoutumisena TVT-riskinhallinnan valvontaan. (37)Lisäksi ylimmän hallintoelimen täysi vastuuvelvollisuus on sidoksissa finanssiyhteisön TVT-investointien tietyn tason ja yleisen kokonaisbudjetin varmistamiseen, jotta finanssiyhteisö voi saavuttaa digitaalisen häiriönsietokykynsä perustason. (38)Kyberriskien hallintaa koskeviin kansainvälisiin, kansallisiin ja toimialan asettamiin velvoitteisiin, suuntaviivoihin, suosituksiin tai lähestymistapoihin perustuen, tällä asetuksella edistetään toimintoja, joilla helpotetaan TVT-riskinhallinnan kokonaisrakennetta. Niin kauan kuin finanssiyhteisöjen käyttöönottamilla keskeisillä valmiuksilla vastataan tarpeisiin, jotka liittyvät tämän asetuksen mukaisille toiminnoille (tunnistus, suojelu ja ennaltaehkäisy, havaitseminen, reagointi ja toipuminen, oppiminen ja kehitys sekä viestintä) asetettuihin tavoitteisiin, finanssiyhteisöt saavat vapaasti käyttää TVT-riskinhallintamalleja, jotka on määritelty tai luokiteltu eri tavoin. (39)Jotta voidaan pysyä nopeasti muuttuvan kyberuhkaympäristön kehityksen tahdissa, finanssiyhteisöjen olisi ylläpidettävä ajantasaisia TVT-järjestelmiä, jotka ovat luotettavia ja joilla on riittävä kyky paitsi taata niiden palvelujen suorittamiseen tarvittavien tietojen käsittely myös varmistaa, että ne ovat teknisesti kestäviä selviytyäkseen asianmukaisesti tavallista suuremman tietomäärän käsittelystä, silloin kun se on tarpeen stressikausien markkinaolosuhteissa tai muissa vaikeissa tilanteissa. Koska tähän asetukseen ei sisälly tiettyjen TVT-järjestelmien, -työkalujen tai -teknologian standardointia, se perustuu siihen, että finanssiyhteisöt käyttävät sopivia eurooppalaisia ja kansainvälisesti tunnustettuja teknisiä standardeja (esim. ISO-standardeja) tai toimialan parhaita käytäntöjä siltä osin kuin tällainen käyttö on täysin kansainvälisten standardien käyttöä ja sisällyttämistä koskevien kansainvälisten valvontaohjeiden mukaista. (40)Tehokkaita liiketoiminnan jatkuvuus- ja palautumissuunnitelmia tarvitaan, jotta finanssiyhteisöt voivat nopeasti ratkaista TVT:hen liittyvät poikkeamat, erityisesti kyberhyökkäykset, rajoittamalla vahinkoja ja antamalla etusijan toiminnan jatkamiselle ja palautustoimille. Vaikka varmuuskopiointijärjestelmien olisi aloitettava käsittely ilman aiheetonta viivytystä, tällaisen aloittamisen ei pitäisi millään tavalla vaarantaa verkko- ja tietojärjestelmien turvallisuutta tai eheyttä taikka datan luottamuksellisuutta. (41)Vaikka tässä asetuksessa sallitaan se, että finanssiyhteisöt määrittävät toipumisaikaa koskevat tavoitteet joustavasti ja voivat näin ollen asettaa tällaiset tavoitteet ottamalla täysin huomioon asianomaisen toiminnan luonteen ja kriittisyyden sekä liiketoiminnan mahdolliset erityistarpeet, olisi tällaisia tavoitteita määritettäessä vaadittava myös arviota mahdollisesta kokonaisvaikutuksesta markkinoiden tehokkuuteen. (42)Kyberhyökkäysten merkittävät seuraukset voimistuvat, kun ne kohdistuvat finanssialaan: finanssiala on suuremmassa vaarassa joutua sellaisten tahallisten kyberhyökkäysten levittäjien kohteeksi, jotka tavoittelevat taloudellista hyötyä suoraan lähteestä. Tällaisten riskien hillitsemiseksi ja sen estämiseksi, että TVT-järjestelmät menettävät eheytensä tai poistuvat käytöstä ja luotettavat tiedot joutuvat loukkausten kohteeksi tai fyysinen TVT-infrastruktuuri kärsii vahinkoa, finanssiyhteisöjen laajavaikutteisia TVT:hen liittyvien poikkeamien raportointia olisi parannettava huomattavasti. TVT:hen liittyvien poikkeamien raportointi olisi yhdenmukaistettava kaikkien finanssiyhteisöjen osalta vaatimalla niitä raportoimaan ainoastaan toimivaltaisille viranomaisilleen. Vaikka tällaista raportointivelvoitetta sovellettaisiin kaikkiin finanssiyhteisöihin, sen ei pitäisi vaikuttaa kaikkiin niihin samalla tavalla, sillä keskeiset olennaisuusrajat ja aikataulut olisi mitoitettava siten, että ne kattaisivat ainoastaan laajavaikutteiset TVT:hen liittyvät poikkeamat. Suora raportointi antaisi finanssivalvojille pääsyn TVT:hen liittyviä poikkeamia koskeviin tietoihin. Finanssivalvojien olisi kuitenkin välitettävä nämä tiedot muille kuin finanssialan viranomaisille (verkko- ja tietoturva-alan viranomaisille, kansallisille tietosuojaviranomaisille sekä lainvalvontaviranomaisille rikosoikeudellisten häiriötilanteiden osalta). TVT:n liittyviä poikkeamia koskevia tietoja olisi ohjattava eteenpäin vastavuoroisesti: finanssivalvojien olisi annettava kaikki tarvittavat huomiot ja ohjeet finanssiyhteisölle ja samalla Euroopan valvontaviranomaisten olisi jaettava nimettömiksi tehtyjä tietoja tapahtumaan liittyvistä uhkista ja haavoittuvuuksista laajemman kollektiivisen puolustuksen edistämiseksi. (43)Olisi pohdittava tarkemmin TVT:hen liittyviä poikkeamia koskevien raporttien mahdollista keskittämistä yhden EU:n keskuksen avulla, joka joko vastaanottaisi asiaankuuluvat raportit suoraan ja ilmoittaisi niistä automaattisesti kansallisille toimivaltaisille tai pelkästään keskittäisi kansallisten toimivaltaisten viranomaisten välittämät raportit ja suorittaisi koordinointitehtävää. Euroopan valvontaviranomaisia olisi pyydettävä laatimaan EKP:tä ja ENISAa kuullen tiettyyn päivämäärään mennessä yhteinen kertomus, jossa tarkasteltaisiin tällaisen EU:n keskuksen käyttöönoton toteutettavuutta. (44)Vankan digitaalisen häiriönsietokyvyn saavuttamiseksi, kansainvälisiä standardeja noudattaen (esim. G7-työryhmän uhkaperusteisen tunkeutumistestauksen peruselementit) finanssiyhteisöjen olisi säännöllisesti testattava TVT-järjestelmiään ja -henkilöstöään ennaltaehkäisy-, havaitsemis-, reagointi- ja toipumisvalmiuksien tehokkuuden osalta, jotta mahdolliset TVT-haavoittuvuudet voitaisiin paljastaa ja niihin voitaisiin reagoida. Jotta voidaan puuttua finanssialan alasektoreiden keskinäisiin ja sisäisiin eroihin finanssiyhteisöjen kyberturvallisuutta koskevan varautumisen osalta, testaukseen olisi sisällytettävä monia erilaisia välineitä ja toimia, jotka ulottuvat perusvaatimusten arvioinnista (esim. haavoittuvuusarvioinnit ja -luotaukset, avoimen lähdekoodin analyysit, verkkoturvallisuusarvioinnit, puuteanalyysit, fyysisen turvallisuuden tarkistukset, kyselyt, luotaukseen liittyvät ohjelmistoratkaisut, lähdekooditarkistukset, mahdollisuuksien mukaan, skenaarioihin perustuvat testit, vastaavuustestaus, suorituskykytestaus tai päästä päähän -testaus) kehittyneempään testaukseen (esim. uhkaperusteinen tunkeutumistestaus niiden finanssiyhteisöjen osalta, jotka ovat TVT-näkökulmasta riittävän kypsiä tällaisten testien tekemiseen). Digitaalisen häiriönsietokyvyn testauksen olisi näin ollen oltava vaativampaa merkittävien finanssiyhteisöjen (kuten suurten luottolaitosten, arvopaperipörssien, arvopaperikeskusten, keskusvastapuolten jne.) osalta. Samalla digitaalisen häiriönsietokyvyn testauksen olisi myös oltava olennaisempaa tietyillä järjestelmän kannalta keskeisillä alasektoreilla (esim. maksut, pankkikysymykset, selvitykset ja toimitukset) ja vähemmän olennaista muilla alasektoreilla (esim. varainhoitajat, luottoluokituslaitokset jne.). Sijoittautumisvapauttaan tai palvelujen tarjoamisen vapauttaan unionissa harjoittavien rajatylittävien finanssiyhteisöjen olisi noudatettava yhtenäisiä kehittyneeseen testaukseen (esim. uhkaperusteinen tunkeutumistestaus) liittyviä vaatimuksia kotijäsenvaltiossaan, ja kyseiseen testiin olisi sisällytettävä TVT-infrastruktuurit kaikilla lainkäyttöalueilla, joilla rajatylittävä konserni toimii unionissa, mikä mahdollistaisi sen, että rajatylittäville konserneille aiheutuisi testauskustannuksia vain yhdellä lainkäyttöalueella. (45)Kolmansiin osapuoliin liittyvän TVT-riskin asianmukaisen seurannan varmistamiseksi on vahvistettava periaatteisiin perustuvat säännöt ohjaamaan finanssiyhteisöjä sellaisten riskien seurannassa, joita aiheutuu TVT-palveluntarjoajana oleville kolmansille osapuolille ulkoistettujen toimintojen yhteydessä ja yleisemmin, kun kyse on TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvästä riippuvuudesta.

(46)Finanssiyhteisön olisi kaikissa tilanteissa oltava täysin vastuussa tämän asetuksen velvoitteiden noudattamisesta. TVT-palveluntarjoajana olevien kolmansien osapuolten tasolla olisi järjestettävä oikeasuhteinen riskin esiintymiseen liittyvä seuranta ottamalla asianmukaisesti huomioon TVT-riippuvuuksien laajuus, monitahoisuus ja merkitys sekä sopimusjärjestelyjen kohteena olevien palvelujen ja prosessien tai toimintojen kriittisyys tai merkitys ja perustamalla ne huolelliseen arviointiin siitä, millaisia mahdollisia vaikutuksia niillä voi olla finanssipalvelujen jatkuvuuteen ja laatuun yksittäisellä ja tarpeen mukaan ryhmätasolla. (47)Tällaisen seurannan toteuttamisessa olisi noudatettava strategista lähestymistapaa, jossa otetaan huomioon kolmansiin osapuoliin liittyvä TVT-riski. Finanssiyhteisön hallintoelimen olisi virallistettava lähestymistapa kohdennetulla strategialla, joka perustuu kaikkien tällaisten TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riippuvuuksien jatkuvaan tarkasteluun. Jotta voidaan lisätä tietämystä TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riippuvuuksien valvonnasta ja tukea edelleen tällä asetuksella käyttöön otettua valvontakehystä, finanssivalvojien olisi saatava säännöllisesti tietoja rekistereistä ja voitava pyytää niistä otteita tapauskohtaisesti. (48)Sopimusjärjestelyjen olisi perustuttava perusteelliseen etukäteen tehtävään analyysiin ja sopimusten päättämisen olisi perustuttava vähintään useampiin tilanteisiin, joissa ilmenee TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyviä puutteita. (49)Jotta voidaan puuttua keskittymäriskiin, joka liittyy TVT-palveluntarjoajana oleviin kolmansiin osapuoliin, olisi edistettävä tasapainoista ratkaisua joustavan ja vaiheittaisen lähestymistavan avulla, sillä joustamattomat ylärajat tai tiukat rajoitukset voivat haitata liiketoiminnan harjoittamista ja sopimusvapautta. Finanssiyhteisöjen olisi arvioitava perusteellisesti sopimusjärjestelyjä, jotta voitaisiin tunnistaa tällaisen riskin aiheutumisen todennäköisyys, muun muassa analysoimalla perusteellisesti alihankintajärjestelyjä etenkin silloin, kun järjestelyjä tehdään kolmanteen maahan sijoittautuneiden TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa. Tässä vaiheessa ja oikean tasapainon löytämiseksi sopimusvapauden säilyttämisen ja rahoitusvakauden takaamisen välillä ei pidetä tarkoituksenmukaisena asettaa tiukkoja ylärajoja ja rajoja TVT-palveluntarjoajana olevien kolmansien osapuolten käytölle. Kunkin kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen valvontaa varten nimetyn Euroopan valvontaviranomaisen, jäljempänä ’päävalvojan’, olisi valvontatehtäviä suorittaessaan paneuduttava tehtävään erityisellä huolella voidakseen saada kattavan kuvan riippuvuussuhteiden laajuudesta ja löytää erityisiä tapauksia, joissa kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten keskittymä on suurta unionissa ja todennäköisesti asettaa paineita unionin finanssijärjestelmän vakaudelle ja eheydelle, ja käydä vuoropuhelua kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa, kun tällainen riski havaitaan. (50)Jotta voidaan arvioida ja seurata säännöllisesti TVT-palveluntarjoajana olevan kolmannen osapuolen kykyä tarjota palveluja turvallisesti finanssiyhteisölle ilman, että siitä aiheutuu kielteisiä vaikutuksia yhteisön häiriönsietokyvylle, kaikkien TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtävien sopimusten täyttämiseen olisi sisällytettävä keskeisiä sopimukseen liittyviä osatekijöitä, joita olisi sovellettava sopimuksen voimassaolon alusta loppuun. Nämä osatekijät kattavat ainoastaan sopimukseen liittyviä vähimmäisnäkökohdat, joita pidetään ratkaisevan tärkeinä sen kannalta, että finanssiyhteisö voi seurata tilannetta kaikilta osin ja varmistaa TVT-palvelujen vakaudesta ja turvallisuudesta riippuvan digitaalisen häiriönsietokykynsä. (51)Sopimusjärjestelyissä olisi erityisesti eriteltävä toimintojen ja palvelujen kattavat kuvaukset, missä tällaisia toimintoja tarjotaan ja missä dataa käsitellään, sekä annettava palvelutason täydet kuvaukset ja niihin liittyvät määrälliset ja laadulliset suorituskykytavoitteet sovittujen palvelutasojen puitteissa, jotta finanssiyhteisö voi seurata tilannetta tehokkaasti. Samaan tapaan henkilötietojen saatavuutta, käytettävyyttä, eheyttä, turvallisuutta ja suojaa koskevia säännöksiä sekä takauksia tietoihin pääsystä, niiden pelastamisesta ja palauttamisesta siinä tapauksessa, että TVT-palveluntarjoajana oleva kolmas osapuoli on maksukyvytön tai kriisinratkaisun kohteena tai lopettaa liiketoiminnan, olisi pidettävä olennaisina osatekijöinä finanssiyhteisön kyvylle varmistaa kolmansiin osapuoliin liittyvän riskin seuranta. (52)Jotta voidaan varmistaa, että finanssiyhteisöt pysyvät edelleen hallitsemaan kaikkia tilanteita, jotka saattavat heikentää niiden TVT-turvallisuutta, TVT-palveluntarjoajana olevien kolmansien osapuolten ilmoitusajat ja raportointivelvoitteet olisi määritettävä siinä tapauksessa, että tilanne vaikuttaa olennaisesti TVT-palveluntarjoajana olevan kolmannen osapuolen kykyyn suorittaa tehokkaasti kriittisiä tai tärkeitä toimintoja, mukaan lukien viimeksi mainitun tarjoama apu mahdollisessa TVT:hen liittyvässä poikkeamassa ilman lisäkustannuksia tai ennalta määritetyin kustannuksin. (53)Finanssiyhteisön tai nimetyn kolmannen osapuolen pääsy-, tarkastus- ja auditointioikeudet ovat ratkaisevan tärkeitä välineitä käynnissä olevassa seurannassa, jota finanssiyhteisöt kohdistavat TVT-palveluntarjoajana olevan kolmannen osapuolen toimintaan, samoin kuin viimeksi mainitun täysi yhteistyö tarkastusten aikana. Myös finanssiyhteisön toimivaltaisella viranomaisella olisi oltava samat oikeudet tehdä TVT-palveluntarjoajana olevaan kolmanteen osapuoleen kohdistuvia tarkastuksia ja auditointeja, joista on ilmoitettu ennalta, salassapitovelvollisuutta noudattaen. (54)Sopimusjärjestelyissä olisi määrättävä selkeistä irtisanomisoikeuksista ja niihin liittyvistä vähimmäisilmoituksista sekä erityisistä irtautumisstrategioista, jotka mahdollistavat erityisesti pakolliset siirtymäkaudet, joiden aikana TVT-palveluntarjoajana olevien kolmansien osapuolten olisi huolehdittava edelleen asiaankuuluvien toimintojen tarjoamisesta, jotta voidaan vähentää häiriöiden riskiä finanssiyhteisön tasolla tai antaa viimeksi mainituille mahdollisuus vaihtaa tehokkaasti toisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin tai vaihtoehtoisesti turvautua paikallisiin ratkaisuihin, jotka vastaavat tarjotun palvelun monitahoisuutta. (55)Lisäksi komission pilvipalveluja varten laatimien mallisopimuslausekkeiden vapaaehtoinen käyttö voi antaa lisävarmuutta finanssiyhteisöille ja niiden TVT-palveluntarjoajana oleville kolmansille osapuolille lisäämällä finanssialan käyttämiin pilvipalveluihin liittyvän oikeusvarmuuden tasoa noudattaen kaikilta osin rahoituspalveluasetuksen vaatimuksia ja odotuksia. Tämä työ perustuu toimenpiteisiin, joita suunniteltiin jo vuoden 2018 FinTech-toimintasuunnitelmassa, jossa ilmoitettiin komission aikomuksesta edistää ja helpottaa sellaisten mallisopimuslausekkeiden laatimista, joita finanssiyhteisöt voivat käyttää pilvipalveluja koskevissa ulkoistuksissa, hyödyntäen monialaisia pilvipalvelujen sidosryhmien toimia, joita komissio on helpottanut rahoitusalan avustuksella. (56)Jotta voidaan edistää niiden lähestymistapojen lähentymistä ja tehokkuutta, joita sovelletaan kolmansiin osapuoliin liittyvään TVT-riskiin finanssialalla, vahvistaa niiden finanssiyhteisöjen digitaalista häiriönsietokykyä, jotka ovat operatiivisten toimintojen suorittamisen osalta riippuvaisia kriittisistä TVT-palveluntarjoajana olevista kolmansista osapuolista ja näin edistää unionin finanssijärjestelmän vakauden sekä finanssipalvelujen sisämarkkinoiden eheyden säilyttämistä, kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin olisi sovellettava unionin valvontakehystä. (57)Koska ainoastaan kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet edellyttävät erityiskohtelua, olisi otettava käyttöön nimeämismekanismi unionin valvontakehyksen soveltamista varten, jotta voidaan ottaa huomioon finanssialan riippuvuus tällaisista TVT-palveluntarjoajana olevista kolmansista osapuolista, mikä käytännössä merkitsisi määrällisiä ja laadullisia kriteerejä, joissa kriittisyysparametrit olisivat perustana valvonnan piiriin sisällyttämiselle. Kriittisillä TVT-palveluntarjoajana olevilla kolmansilla osapuolilla, joita ei ole automaattisesti nimetty edellä mainittujen kriteerien perusteella, olisi oltava mahdollisuus osallistua vapaaehtoisesti valvontakehykseen ja samalla ne TVT-palveluntarjoajana olevat kolmannet osapuolet, jotka ovat jo eurojärjestelmän tasolla perustettujen valvontamekanismien piirissä Euroopan unionin toiminnasta tehdyn sopimuksen 127 artiklan 2 kohdassa tarkoitettujen tehtävien tukemiseksi, olisi vapautettava tästä. (58)Vaatimus kriittisiksi määritettyjen TVT-palveluntarjoajana olevien kolmansien osapuolten sisällyttämisestä unioniin ei ulotu datan säilyttämiseen, sillä tähän asetukseen ei sisälly unionissa toteutettavia datan tallentamista tai toimittamista koskevia lisävaatimuksia. (59)Tämä kehys ei saisi rajoittaa jäsenvaltioiden toimivaltaa toteuttaa omia valvontaoperaatioita sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolen osalta, jotka eivät ole kriittisiä tämän asetuksen nojalla mutta jotka voitaisiin katsoa tärkeiksi kansallisella tasolla. (60)Jotta finanssipalvelualan nykyistä monitasoista rakennetta voitaisiin parantaa, Euroopan valvontaviranomaisten yhteiskomitean olisi edelleen varmistettava yleinen monialainen koordinointi TVT-riskiin liittyvissä asioissa kyberturvallisuuteen liittyvien tehtäviensä mukaisesti käyttäen apunaan uutta alakomiteaa (valvontafoorumi), jonka tehtävänä on valmistella yksittäisiä päätöksiä ja yhteisiä suosituksia, jotka koskevat erityisesti kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten valvontaohjelmien vertailua sekä TVT-keskittymäriskiin liittyvien ongelmien ratkaisemiseen käytettyjen parhaiden käytäntöjen määrittämistä. (61)Jotta voidaan varmistaa, että finanssialan toiminnan kannalta kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia voidaan valvoa samassa suhteessa unionin tasolla, Euroopan valvontaviranimaisten keskuudesta olisi nimettävä kutakin kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta varten yksi päävalvoja. (62)Päävalvojilla olisi oltava tarvittavat valtuudet tehdä tutkimuksia kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten toimitiloissa ja niiden ulkopuolella, päästä kaikkiin asiaankuuluviin tiloihin ja paikkoihin ja saada kattavat ja ajantasaiset tiedot, jotta ne voisivat saada todellisen käsityksen finanssiyhteisöön ja viime kädessä unionin finanssijärjestelmään kohdistuvan kolmanteen osapuoleen liittyvän TVT-riskin tyypistä, ulottuvuudesta ja vaikutuksista. Toimivaltuuksien antaminen Euroopan valvontaviranomaisille on ennakkoedellytys sille, että finanssialaan kohdistuvasta riskistä voidaan saada kokonaisvaltainen käsitys ja puuttua sen järjestelmää koskevaan ulottuvuuteen. TVT-palveluntarjoajana olevien kolmansien osapuolten asema unionissa ja siihen liittyvät mahdolliset TVT-keskittymäriskiä koskevat ongelmat edellyttävät unionin tasolla sovellettavaa yhteistä lähestymistapaa. Kolmansiin osapuoliin liittyvästä TVT-riskistä ei saada kattavaa yleiskuvaa, jos lukuisat toimivaltaiset viranomaiset tekevät auditointeja, pääsyoikeudet ovat useilla ja toimintaa koordinoidaan vain vähän tai ei ollenkaan. Samalla näin moneen vaatimukseen vastaaminen luo kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tasolla tarpeetonta päällekkäisyyttä, rasitetta ja monimutkaisuutta. (63)Lisäksi päävalvojien olisi voitava antaa suosituksia TVT-riskiin liittyvistä kysymyksistä ja sopivista korjaustoimenpiteistä ja vastustaa tiettyjä sopimusjärjestelyjä, jotka viime kädessä vaikuttavat finanssiyhteisön tai -järjestelmän vakauteen. Kansallisten toimivaltaisten viranomaisten olisi otettava päävalvojien antamien sisältöä koskevien suositusten noudattaminen asianmukaisesti huomioon osana niiden tehtävää valvoa finanssiyhteisöjen toiminnan vakautta. (64)Valvontakehys ei saa millään tavoin tai miltään osin korvata sitä, että finanssiyhteisöjen on hallittava riskiä, joka liittyy TVT-palveluntarjoajana oleviin kolmansien osapuolten käyttöön, mukaan lukien velvoite seurata jatkuvasti kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyjä sopimusjärjestelyjä. Se ei saa myöskään vaikuttaa siihen, että finanssiyhteisöillä on täysi vastuu noudattaa kaikkia tämän asetuksen ja asiaankuuluvan finanssipalvelulainsäädännön mukaisia vaatimuksia. Päällekkäisyyksien välttämiseksi toimivaltaisten viranomaisten olisi pidättäydyttävä toteuttamasta erikseen toimenpiteitä, joiden tavoitteena on kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riskien seuranta. Kaikki tällaiset toimenpiteet olisi ensin koordinoitava ja niistä olisi sovittava valvontakehyksen puitteissa.

(65)Jotta voidaan edistää TVT-palveluntarjoajana olevien kolmansien osapuolten digitaalisen riskinhallinnan uudelleentarkastelussa käytettävien parhaiden käytänteiden lähentymistä kansainvälisellä tasolla, Euroopan valvontaviranomaisia olisi kannustettava tekemään yhteistyöjärjestelyjä asiaankuuluvien kolmansien maiden toimivaltaisten valvonta- ja sääntelyviranomaisten kanssa, jotta voidaan helpottaa kolmansiin osapuoliin liittyvän TVT-riskin torjumiseen tarvittavia parhaita käytänteitä. (66)Toimivaltaisten viranomaisten TVT-riskinhallinnan asiantuntijoiden teknisen asiantuntemuksen hyödyntämiseksi mahdollisimman tehokkaasti päävalvojien olisi hyödynnettävä kansallista valvontakokemusta ja perustettava erikoistuneita tutkintaryhmiä kutakin yksittäistä kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta varten ja yhdistettävä monialaisia ryhmiä, jotka tukevat valvontatoimien valmistelua ja varsinaista toteuttamista, mukaan lukien paikalla tehtävät kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin kohdistuvat tarkastukset, ja huolehtivat tarvittaessa niihin liittyvistä jatkotoimista. (67)Toimivaltaisilla viranomaisilla olisi oltava kaikki tarvittavat valvonta-, tutkinta- ja seuraamusvaltuudet tämän asetuksen soveltamisen varmistamiseksi. Hallinnolliset seuraamukset olisi lähtökohtaisesti julkistettava. Koska finanssiyhteisöt ja TVT-palveluntarjoajana olevat kolmannet osapuolet voivat olla sijoittautuneet eri jäsenvaltioihin ja niitä valvovat toimivaltaiset viranomaiset voivat olla eri sektoreilta, tiivis yhteistyö asianomaisten toimivaltaisten viranomaisten välillä neuvoston asetuksessa (EU) N:o 1024/2013 annettujen erityistehtävien osalta, ja Euroopan valvontaviranomaisia kuullen, olisi varmistettava keskinäisellä tietojenvaihdolla ja avun antamisella valvontatehtävien yhteydessä. (68)Jotta voitaisiin edelleen määrittää nimeämiskriteerien määrä ja laatu TVT-palveluntarjoajana olevia kolmansia osapuolia varten, komissiolle olisi siirrettävä valta hyväksyä Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, joilla täsmennetään edelleen järjestelmävaikutuksia, joita voisi aiheutua finanssiyhteisöille, jos niitä palveleva TVT-palveluntarjoajana oleva kolmas osapuoli epäonnistuisi palvelujensa tarjoamisessa, niiden maailmanlaajuisten järjestelmän kannalta merkittävien laitosten (G-SII) tai muiden järjestelmän kannalta merkittävien laitosten (O-SIIs) määrät, jotka ovat riippuvaisia TVT-palveluntarjoajana olevasta kolmannesta osapuolesta, tietyillä markkinoilla toimivien TVT-palveluntarjoajana olevien kolmansien osapuolten määrä, siirtymisestä toiseen TVT-palveluntarjoajana olevaan kolmanteen osapuoleen aiheutuvat kustannukset, niiden jäsenvaltioiden määrä, joissa asianomainen TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa palveluita, ja missä finanssiyhteisöissä asianomainen TVT-palveluntarjoajana oleva kolmas osapuoli toimii, sekä valvontamaksujen määrä ja missä muodossa ne on maksettava. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa vahvistettujen periaatteiden mukaisesti. Delegoitujen säädösten valmistelussa Euroopan parlamentille ja neuvostolle toimitetaan yhdenvertaisen osallistumisen varmistamiseksi kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, joilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, jotka koskevat delegoitujen säädösten valmistelua. (69)Tämä asetus sekä Euroopan parlamentin ja neuvoston direktiivi (EU) 20xx/xx edellyttävät TVT-riskinhallintaa koskevien säännösten konsolidointia. Näitä säännöksiä sisältyy lukuisiin finanssipalveluja koskevan unionin säännöstön asetuksiin ja direktiiveihin, muun muassa asetuksiin (EY) N:o 1060/2009, (EU) N:o 648/2012 (EU) N:o 600/2014 ja (EU) N:o 909/2014. Jotta voidaan varmistaa yhdenmukaisuus kaikilta osin, kyseisiä asetuksia olisi muutettava sen selventämiseksi, että asiaankuuluvat TVT-riskiin liittyvät säännökset vahvistetaan tässä asetuksessa. Teknisillä standardeilla olisi varmistettava tässä asetuksessa säädettyjen vaatimusten johdonmukainen yhdenmukaistaminen. Koska Euroopan valvontaviranomaiset ovat elimiä, joilla on pitkälle menevää erityisasiantuntemusta, niille olisi annettava tehtäväksi laatia ja toimittaa komissiolle luonnoksia teknisiksi sääntelystandardeiksi, joihin ei liity toimintapoliittisia valintoja. Teknisiä sääntelystandardeja olisi laadittava TVT-riskinhallinnan, -raportoinnin, -testauksen ja keskeisten vaatimusten osa-alueilla kolmansiin osapuoliin liittyvän TVT-riskin asianmukaista seurantaa varten. (70)On erityisen tärkeää, että komissio toteuttaa asiaa valmistellessaan asianmukaiset kuulemiset, myös asiantuntijatasolla. Komission ja Euroopan valvontaviranomaisten olisi varmistettava, että kaikki finanssiyhteisöt voivat soveltaa näitä standardeja ja vaatimuksia oikeassa suhteessa yhteisöjen toiminnan luonteeseen, laajuuteen ja monitahoisuuteen nähden. (71)Jotta voidaan helpottaa laajavaikutteisiin TVT:hen liittyvien poikkeamien raportointia ja varmistaa TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä koskevien sopimusjärjestelyjen avoimuus, Euroopan valvontaviranomaisille olisi annettava tehtäväksi laatia luonnoksia teknisiksi täytäntöönpanostandardeiksi, joissa vahvistetaan finanssiyhteisöjä varten vakiomuotoiset mallit, lomakkeet ja menettelyt, joilla ne voivat ilmoittaa laajavaikutteisista TVT:hen liittyvistä poikkeamista, sekä vakiomuotoiset mallit tietorekisteriä varten. Laatiessaan näitä standardeja Euroopan valvontaviranomaisten olisi otettava huomioon finanssiyhteisöjen koko ja monitahoisuus sekä niiden toiminnan luonne ja siihen liittyvän riskin taso. Komissiolle olisi siirrettävä valta hyväksyä nämä tekniset täytäntöönpanostandardit Euroopan unionin toiminnasta tehdyn sopimuksen 291 artiklan mukaisilla täytäntöönpanosäädöksillä ja asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 15 artiklan mukaisesti. Koska lisävaatimuksia on jo täsmennetty asetuksiin (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) N:o 909/2014 sisältyviin teknisiin sääntely- ja täytäntöönpanostandardeihin perustuvilla delegoiduilla säädöksillä ja täytäntöönpanosäädöksillä, on asianmukaista antaa Euroopan valvontaviranomaisten tehtäväksi, joko yksittäin tai yhteiskomitean välityksellä, toimittaa komissiolle teknisiä sääntely- ja täytäntöönpanostandardeja sellaisten delegoitujen ja täytäntöönpanosäädösten hyväksymiseksi, joilla siirretään voimassa olevia TVT-riskinhallintasääntöjä ja päivitetään niitä. (72)Tämä edellyttää, että finanssipalvelulainsäädännön eri osa-alueilla hyväksyttyjä voimassa olevia delegoituja ja täytäntöönpanosäädöksiä on muutettava tulevaisuudessa. Operatiivista riskiä koskevia artikloja, joiden nojalla näissä säädöksissä on annettu valtuudet antaa delegoituja ja täytäntöönpanosäädöksiä, olisi muutettava, jotta tähän asetukseen voitaisiin siirtää kaikki digitaalista häiriösietokykyä koskevat säännökset, jotka nykyisellään ovat osa kyseisiä asetuksia. (73)Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän asetuksen tavoitteitta eli saavuttaa kaikkiin finanssiyhteisöihin sovellettavan digitaalisen häiriönsietokyvyn korkeaa tasoa, koska se edellyttäisi joko joihinkin unionin säädöksiin tai eri jäsenvaltioiden oikeusjärjestyksiin nykyisellään sisältyvien lukuisten erilaisten sääntöjen yhdenmukaistamista. Se voidaan toiminnan laajuuden ja vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Kyseisessä artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen näiden tavoitteiden saavuttamiseksi. OVAT HYVÄKSYNEET TÄMÄN ASETUKSEN: I luku Yleiset säännökset 1 artikla Kohde 1.Tällä aset