COMMISSION EUROPÉENNE Bruxelles, le 24.9.2020 COM(2020) 595 final 2020/0266(COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) nº 1060/2009, (UE) nº 648/2012, (UE) nº 600/2014 et (UE) nº 909/2014 (Texte présentant de l'intérêt pour l'EEE) {SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}



EXPOSÉ DES MOTIFS 1.CONTEXTE DE LA PROPOSITION ·Motivation et objectifs de la proposition La présente proposition fait partie du train de mesures sur la finance numérique, lequel vise à libérer et à renforcer encore davantage le potentiel que la finance numérique peut offrir sur le plan de l’innovation et de la compétitivité, tout en limitant les risques qui en découlent. Elle est conforme aux priorités de la Commission consistant à adapter l’Europe à l’ère du numérique et à bâtir une économie parée pour l’avenir et au service des citoyens. Le train de mesures sur la finance numérique prévoit une nouvelle stratégie en matière de finance numérique pour le secteur financier de l’UE afin que celle-ci embrasse la révolution numérique et en devienne le fer de lance avec l’aide de sociétés européennes innovantes, de manière à faire profiter les entreprises et les consommateurs des avantages de la finance numérique. Outre la présente proposition, le train de mesures comprend également une proposition de règlement sur les marchés de crypto-actifs, une proposition de règlement sur un régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués (DLT) et une proposition de directive visant à clarifier ou à modifier certaines dispositions connexes de l’Union sur les services financiers. La numérisation et la résilience opérationnelle du secteur financier sont les deux faces d’une même médaille. Le numérique, ou les technologies de l’information et de la communication (TIC), sont sources à la fois d’opportunités et de risques. Ceux-ci doivent être bien compris et gérés, surtout en période de tensions. Les décideurs politiques et les autorités de surveillance ont dès lors prêté une attention croissante aux risques découlant de la dépendance aux TIC. Ils ont notamment tenté de renforcer la résilience des entreprises en définissant des normes et en coordonnant les travaux de réglementation ou de surveillance. Ces travaux ont été menés au niveau tant international qu’européen, et aussi bien de manière intersectorielle que pour un certain nombre de secteurs spécifiques, dont les services financiers. Les risques informatiques continuent néanmoins de menacer la résilience opérationnelle, les performances et la stabilité du système financier de l’UE. La réforme qui a suivi la crise financière de 2008 a principalement renforcé la résilience financière du secteur financier de l’UE, ne s’attaquant qu’indirectement aux risques informatiques dans certains domaines, dans le cadre des mesures visant à remédier plus largement aux risques opérationnels. Si les modifications apportées après la crise à la législation de l’UE sur les services financiers ont mis en place un corpus réglementaire unique régissant une grande partie des risques financiers liés aux services financiers, elles n’ont pas traité pleinement la question de la résilience opérationnelle numérique. Les mesures prises à cet égard présentaient un certain nombre de caractéristiques qui en limitaient l’efficacité. Par exemple, elles ont souvent pris la forme de directives d’harmonisation minimale ou de règlements fondés sur des principes, laissant ainsi une place importante à l’adoption d’approches divergentes au sein du marché unique. En outre, les risques informatiques n’ont fait l’objet que d’une attention limitée ou incomplète dans le cadre de la couverture des risques opérationnels. Enfin, ces mesures varient d’une législation sectorielle sur les services financiers à l’autre. Ainsi, l’intervention au niveau de l’Union n’a pas pleinement répondu aux besoins qu’ont les entités financières européennes de gérer les risques opérationnels d’une manière qui leur permette de résister aux conséquences des incidents informatiques, d’y répondre et de s’en remettre. Elle n’a pas non plus fourni aux autorités de surveillance financière les outils les plus appropriés pour s’acquitter de leur mandat consistant à prévenir l’instabilité financière découlant de la matérialisation de ces risques informatiques. L’absence de règles détaillées et exhaustives sur la résilience opérationnelle numérique au niveau de l’UE a favorisé la prolifération d’initiatives réglementaires (par exemple, sur les tests en matière de résilience opérationnelle numérique) et de pratiques de surveillance (par exemple, en ce qui concerne la dépendance à l’égard de tiers prestataires de services informatiques) au niveau national. L’action au niveau des États membres n’a cependant qu’un effet limité étant donné la nature transfrontière des risques informatiques. En outre, le manque de coordination entre les initiatives nationales a donné lieu à des chevauchements, des incohérences, des exigences redondantes, des coûts administratifs et de mise en conformité élevés – en particulier pour les entités financières transfrontières – ou a laissé des risques informatiques non détectés et, partant, non traités. Cette situation fragmente le marché unique, compromet la stabilité et l’intégrité du secteur financier de l’UE et porte atteinte à la protection des consommateurs et des investisseurs. Il est par conséquent nécessaire de mettre en place un cadre détaillé et exhaustif sur la résilience opérationnelle numérique pour les entités financières de l’UE. Ce cadre renforcera la dimension numérique de la gestion des risques dans le corpus réglementaire unique. En particulier, il améliorera et rationalisera la gestion des risques informatiques par les entités financières, instaurera une procédure de test approfondi des systèmes informatiques, sensibilisera davantage les autorités de surveillance aux cyberrisques et aux incidents liés à l’informatique auxquels sont confrontées les entités financières, et conférera aux autorités de surveillance financière des pouvoirs leur permettant de superviser les risques découlant de la dépendance des entités financières à l’égard de tiers prestataires de services informatiques. La proposition prévoit d’établir un mécanisme cohérent de notification des incidents, qui contribuera à réduire les charges administratives des entités financières et à renforcer l’efficacité de la surveillance. ·Cohérence avec les dispositions en vigueur dans le domaine d’action La présente proposition s’inscrit dans le cadre des travaux plus vastes actuellement menés aux niveaux européen et international pour renforcer la cybersécurité dans les services financiers et s’attaquer aux risques opérationnels au sens large. Elle donne également suite à l’avis technique conjoint des autorités européennes de surveillance (AES) de 2019, qui préconisait une approche plus cohérente pour traiter le risque informatique dans le secteur financier et recommandait à la Commission de renforcer, de manière proportionnée, la résilience opérationnelle numérique du secteur des services financiers par une initiative sectorielle au niveau de l’UE. L’avis des AES était une réponse au plan d’action pour les technologies financières présenté en 2018 par la Commission. ·Cohérence avec les autres politiques de l’Union Ainsi que l’a déclaré la présidente von der Leyen dans ses orientations politiques, et comme cela est expliqué dans la communication intitulée «Façonner l’avenir numérique de l’Europe», il est essentiel que l’Europe tire parti de tous les avantages de l’ère numérique et renforce son industrie et sa capacité d’innovation, au sein d’un cadre garant de la sécurité et de l’éthique. La stratégie européenne pour les données définit quatre piliers – la protection des données, les droits fondamentaux, la sûreté et la cybersécurité – comme des conditions préalables essentielles pour une société à laquelle les données confèrent les moyens dont elle a besoin. Plus récemment, le Parlement européen s’est attelé à l’élaboration d’un rapport sur la finance numérique, qui plaide notamment en faveur d’une stratégie commune en matière de cyber-résilience du secteur financier. Un cadre législatif renforçant la résilience opérationnelle numérique des entités financières de l’Union est conforme à ces objectifs stratégiques. La proposition viendrait également appuyer les politiques en faveur de la reprise à la suite du coronavirus, car elle garantirait que la dépendance accrue à l’égard du financement numérique va de pair avec la résilience opérationnelle. L’initiative préserverait les avantages liés au cadre horizontal sur la cybersécurité (par exemple, la directive sur la sécurité des réseaux et des systèmes d’information, ou directive SRI) en maintenant le secteur financier dans son champ d’application. Le secteur financier demeurerait étroitement associé au groupe de coopération SRI, et les autorités de surveillance financière seraient en mesure d’échanger des informations utiles au sein de l’écosystème SRI existant. L’initiative serait cohérente avec la directive sur les infrastructures critiques européennes (ICE), qui fait actuellement l’objet d’un réexamen afin de renforcer la protection et la résilience des infrastructures critiques contre les menaces non liées à la cybercriminalité. Enfin, cette proposition s’inscrit dans le droit fil de la stratégie pour l’union de la sécurité qui préconisait une initiative sur la résilience opérationnelle numérique pour le secteur financier, compte tenu de sa forte dépendance aux services informatiques et de sa grande vulnérabilité aux cyberattaques. 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ ·Base juridique La présente proposition de règlement est fondée sur l’article 114 du traité sur le fonctionnement de l’Union européenne (TFUE). Elle supprime des obstacles à l’établissement et au fonctionnement du marché intérieur des services financiers et y apporte des améliorations en harmonisant les règles applicables en matière de gestion des risques informatiques, de notification, de tests et de risques liés aux tiers prestataires de services informatiques. Les disparités actuelles dans ce domaine, tant sur le plan législatif et en matière de surveillance qu’au niveau national et européen, font obstacle au marché unique des services financiers, car les entités financières qui exercent des activités transfrontières sont confrontées à des exigences réglementaires ou à des attentes en matière de surveillance différentes, voire redondantes, susceptibles d’entraver l’exercice de leurs libertés d’établissement et de prestation de services. L’existence de règles différentes fausse également la concurrence entre le même type d’entités financières dans les différents États membres. De plus, dans les domaines où l’harmonisation est absente, partielle ou limitée, l’élaboration de règles ou d’approches nationales divergentes, soit déjà en vigueur, soit en cours d’adoption et de mise en œuvre au niveau national, peut avoir un effet dissuasif sur l’exercice des libertés conférées par le marché unique concernant les services financiers. Cela vaut en particulier pour les cadres relatifs aux tests opérationnels numériques et la supervision des tiers prestataires critiques de services informatiques.

Étant donné que la proposition a une incidence sur plusieurs directives du Parlement européen et du Conseil adoptées sur la base de l’article 53, paragraphe 1, du TFUE, une proposition de directive, intégrant les modifications à apporter à ces directives, est également adoptée en parallèle. ·Subsidiarité Le degré élevé d’interconnexion des services financiers, l’importante activité transfrontière des entités financières et la forte dépendance du secteur financier dans son ensemble à l’égard des tiers prestataires de services informatiques justifient de garantir une résilience numérique opérationnelle solide, dans l’intérêt commun, afin de préserver la solidité des marchés financiers de l’Union européenne. Les disparités qui résultent de régimes inégaux ou partiels, de chevauchements ou d’exigences multiples applicables aux mêmes entités financières opérant dans un contexte transfrontière ou détenant plusieurs agréments au sein du marché unique ne peuvent être traitées efficacement qu’au niveau de l’Union. Cette proposition harmonise la composante opérationnelle numérique d’un secteur profondément intégré et interconnecté qui bénéficie déjà d’un ensemble unique de règles et fait déjà l’objet d’une surveillance dans la plupart des autres domaines clés. Pour des questions telles que la notification des incidents liés à l’informatique, seules des règles harmonisées au niveau de l’Union pourraient réduire le niveau des charges administratives et des coûts financiers associés à la notification d’un même incident lié à l’informatique à différentes autorités nationales et de l’Union. Une action au niveau de l’Union européenne est aussi nécessaire pour faciliter la reconnaissance mutuelle des résultats des tests de résilience opérationnelle numérique avancés pour les entités exerçant des activités transfrontières, qui, en l’absence de règles de l’Union, sont ou sont susceptibles d’être soumises à des cadres différents dans les différents États membres. Seule une action au niveau de l’Union peut mettre fin aux divergences entre les approches adoptées par les États membres en matière de tests. Une action à l’échelle de l’Union est également nécessaire pour remédier à l’absence de pouvoirs adéquats de supervision des risques découlant des tiers prestataires de services informatiques, notamment les risques de concentration et de contagion pour le secteur financier de l’Union. ·Proportionnalité Les dispositions proposées n’excèdent pas ce qui est nécessaire pour atteindre les objectifs de la proposition. Elles couvrent uniquement les aspects que les États membres ne peuvent pas réaliser par eux-mêmes et pour lesquels la charge administrative et les coûts sont proportionnés aux objectifs spécifiques et généraux à atteindre. La proportionnalité est assurée en termes de portée et d’intensité par le recours à des critères d’évaluation qualitatifs et quantitatifs. Ceux-ci visent à garantir que les nouvelles règles, bien qu’étant applicables à l’ensemble des entités financières, sont dans le même temps adaptées aux risques et aux besoins inhérents à leurs caractéristiques propres en matière de taille et de profil d’activité. La proportionnalité est également intégrée dans les dispositions relatives à la gestion des risques informatiques, aux tests de résilience numérique, à la notification des incidents majeurs liés à l’informatique et à la supervision des tiers prestataires critiques de services informatiques. ·Choix de l’instrument Les mesures devant régir la gestion des risques informatiques, la notification des incidents liés à l’informatique, les tests et la supervision des tiers prestataires critiques de services informatiques doivent être intégrées dans un règlement afin de garantir que les exigences détaillées sont effectivement et directement applicables de manière uniforme, sans préjudice de la proportionnalité et des dispositions spécifiques prévues par le présent règlement. La cohérence dans la gestion des risques opérationnels numériques contribue à renforcer la confiance dans le système financier et préserve sa stabilité. Étant donné que le recours à un règlement contribue à réduire la complexité réglementaire, favorise la convergence en matière de surveillance et accroît la sécurité juridique, le présent règlement contribue également à limiter les coûts de mise en conformité pour les entités financières, en particulier pour celles qui exercent des activités transfrontières, ce qui devrait en retour contribuer à supprimer les distorsions de concurrence. En outre, le présent règlement élimine les disparités législatives et les approches nationales inégales en matière de réglementation ou de surveillance des risques informatiques et supprime ainsi des obstacles au marché unique des services financiers, notamment ceux qui entravent le plein exercice de la liberté d’établissement et de prestation de services pour les entités financières ayant une assise transfrontière. Enfin, le corpus réglementaire unique a été principalement élaboré au moyen de règlements, et son actualisation par l’ajout de la composante relative à la résilience opérationnelle numérique devrait se faire selon le même choix d’instrument juridique. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D’IMPACT ·Évaluations ex post/bilans de qualité de la législation existante Jusqu’à présent, aucune législation de l’Union sur les services financiers ne s’est concentrée sur la résilience opérationnelle, et aucune n’a traité de manière exhaustive les risques découlant de la numérisation, pas même celles dont les règles traitent plus généralement du risque opérationnel avec le risque informatique comme sous-composante. Jusqu’à présent, l’intervention de l’Union a contribué à répondre aux besoins et aux problèmes qui sont apparus au lendemain de la crise financière de 2008: les établissements de crédit n’étaient pas suffisamment capitalisés, les marchés financiers n’étaient pas suffisamment intégrés, et l’harmonisation était jusqu’alors demeurée minimale. Le risque informatique n’était pas considéré comme une priorité à l’époque et, par conséquent, les cadres juridiques applicables aux différents sous-secteurs financiers ont évolué de manière non coordonnée. Néanmoins, l’action de l’Union a atteint ses objectifs, à savoir garantir la stabilité financière et instaurer un ensemble unique de règles prudentielles et de conduite, harmonisées et applicables aux entités financières dans toute l’Union européenne. Étant donné que les facteurs qui ont motivé l’intervention législative de l’Union dans le passé n’ont pas donné lieu à des dispositions spécifiques ou globales permettant de répondre à l’utilisation généralisée des technologies numériques et aux risques financiers qui en découlent, la réalisation d’une évaluation explicite semble difficile. Chaque pilier du présent règlement repose sur un exercice d’évaluation implicite et sur les modifications législatives correspondantes. ·Consultation des parties intéressées La Commission a consulté les parties intéressées tout au long du processus d’élaboration de la présente proposition, en particulier: i) la Commission a procédé à une consultation publique ouverte spécifique (du 19 décembre 2019 au 19 mars 2020); ii) la Commission a consulté le public dans le cadre d’une analyse d’impact initiale (du 19 décembre 2019 au 16 janvier 2020); iii) les services de la Commission ont consulté les experts des États membres au sein du groupe d’experts sur la banque, les paiements et l’assurance, à deux reprises (18 mai 2020 et 16 juillet 2020); iv)les services de la Commission ont organisé un webinaire consacré à la résilience opérationnelle numérique, dans le cadre de la campagne d’information 2020 sur la finance numérique (19 mai 2020).

L’objectif de la consultation publique était d’éclairer la Commission sur l’élaboration d’un éventuel cadre de résilience opérationnelle numérique transsectoriel de l’Union européenne dans le domaine des services financiers. Les réponses recueillies ont fait apparaître un large soutien en faveur de la mise en place d’un cadre spécifique prévoyant des mesures ciblant les quatre domaines soumis à la consultation, tout en soulignant la nécessité de garantir la proportionnalité et d’aborder et d’expliquer avec soin l’interaction avec les règles horizontales de la directive SRI. La Commission a reçu deux réponses sur l’analyse d’impact initiale, dans lesquelles les répondants traitaient d’aspects spécifiques liés à leur domaine d’activité. Lors de la réunion du groupe d’experts sur la banque, les paiements et l’assurance organisée le 18 mai 2020, les États membres se sont déclarés très favorables au renforcement de la résilience opérationnelle numérique du secteur financier par les mesures envisagées au titre des quatre éléments définis par la Commission. Les États membres ont également insisté sur la nécessité de garantir une articulation claire des nouvelles règles avec celles relatives au risque opérationnel (dans le cadre de la législation européenne sur les services financiers) et avec les règles horizontales sur la cybersécurité (directive SRI). Au cours de la deuxième réunion, certains États membres ont rappelé la nécessité de garantir la proportionnalité et de tenir compte de la situation particulière des petites entreprises ou des filiales de groupes de plus grande taille, ainsi que la nécessité de conférer un mandat solide aux autorités nationales compétentes associées à la supervision. La proposition s’appuie également sur les retours d’information recueillis lors de réunions avec les parties intéressées et les autorités et institutions de l’Union européenne, et en tient compte. Les parties intéressées, y compris les tiers prestataires de services informatiques, se sont montrées globalement favorables. Les retours d’information reçus font apparaître la nécessité de préserver la proportionnalité et de suivre une approche fondée sur les principes et les risques dans la conception des règles. Sur le plan institutionnel, les principales contributions ont été apportées par le comité européen du risque systémique (CERS), les AES, l’Agence de l’Union européenne pour la cybersécurité (ENISA) et la Banque centrale européenne (BCE), ainsi que par les autorités compétentes des États membres. ·Obtention et utilisation d’expertise Pour élaborer cette proposition, la Commission s’est appuyée sur des données probantes qualitatives et quantitatives recueillies à partir de sources reconnues, notamment les deux avis techniques conjoints des AES. Ce travail a été complété par des contributions confidentielles et des rapports accessibles au public émanant d’autorités de surveillance, d’organismes internationaux de normalisation et d’instituts de recherche de premier plan, ainsi que par des contributions quantitatives et qualitatives de parties intéressées spécifiques au sein du secteur financier mondial. ·Analyse d’impact La présente proposition est accompagnée d’une analyse d’impact qui a été soumise au comité d’examen de la réglementation (CER) le 29 avril 2020 et approuvée le 29 mai 2020. Le CER a recommandé d’apporter des améliorations dans certains domaines en vue: i) de fournir davantage d’informations sur la manière dont la proportionnalité serait garantie; ii) de mieux mettre en évidence la mesure dans laquelle l’option privilégiée se distingue de l’avis technique conjoint des AES, et pourquoi cette option constitue la solution optimale; et iii) de préciser davantage la manière dont la proposition interagit avec la législation de l’Union européenne en vigueur, y compris avec les dispositions en cours de révision. L’analyse d’impact a été adaptée selon ces observations, en tenant compte également des observations plus détaillées formulées par le CER. La Commission a envisagé un certain nombre d’options stratégiques pour élaborer un cadre de résilience opérationnelle numérique: ·«ne rien changer»: les règles relatives à la résilience opérationnelle continueraient à reposer sur l’ensemble des dispositions divergentes actuelles de l’Union en matière de services financiers, en partie sur la directive SRI, et sur les régimes nationaux existants ou futurs; ·option 1: le renforcement des coussins de fonds propres: la constitution de coussins de fonds propres supplémentaires, serait imposée, afin d’accroître la capacité des entités financières à absorber les pertes qui pourraient survenir en raison d’un manque de résilience opérationnelle numérique; ·option 2: l’adoption d’un acte législatif sur la résilience opérationnelle numérique des services financiers: cette option consisterait à favoriser la mise en place, au niveau de l’Union, d’un cadre global prévoyant des règles cohérentes qui répondent aux besoins de résilience opérationnelle numérique de toutes les entités financières réglementées et à établir un cadre de supervision pour les tiers prestataires critiques de services informatiques; ·option 3: un acte législatif sur la résilience opérationnelle numérique des services financiers, combiné à une surveillance centralisée des tiers prestataires critiques de services informatiques: outre un acte législatif sur la résilience opérationnelle numérique (option 2), une nouvelle autorité serait créée pour surveiller la prestation de services des tiers prestataires de services informatiques. La deuxième option a été retenue, car elle permet d’atteindre la plupart des objectifs visés d’une manière efficace, efficiente et cohérente avec les autres politiques de l’Union. La plupart des parties intéressées privilégient également cette option. L’option retenue entraînerait des coûts de nature tant ponctuelle que récurrente. Les coûts ponctuels sont principalement dus aux investissements requis dans les systèmes informatiques et sont donc difficiles à quantifier étant donné l’état variable des paysages informatiques complexes des entreprises et en particulier de leurs systèmes informatiques patrimoniaux. Quand bien même, ces coûts devraient être limités pour les grandes entreprises, compte tenu des investissements informatiques considérables qu’elles ont déjà réalisés. Les coûts devraient également être limités pour les petites entreprises, car des mesures proportionnées s’appliqueraient du fait du risque plus faible qu’elles présentent. L’option retenue aurait des effets positifs sur les PME opérant dans le secteur des services financiers du point de vue des incidences économiques, sociales et environnementales. La proposition apportera aux PME de la clarté sur les règles applicables, ce qui réduira les coûts de mise en conformité. Les principales répercussions sociales de l’option retenue concerneraient les consommateurs et les investisseurs. Des niveaux plus élevés de résilience opérationnelle numérique au sein du système financier de l’Union réduiraient le nombre et le coût moyen des incidents. La société dans son ensemble tirerait profit de la confiance accrue dans le secteur des services financiers. Enfin, s’agissant des incidences sur l’environnement, l’option stratégique choisie encouragerait une utilisation accrue de la dernière génération d’infrastructures et de services informatiques, qui devraient gagner en durabilité sur le plan environnemental. ·Réglementation affûtée et simplification La suppression des exigences redondantes en matière de notification des incidents liés à l’informatique permettrait de réduire les charges administratives et les coûts liés. En outre, l’harmonisation des tests de résilience opérationnelle numériques avec reconnaissance mutuelle dans l’ensemble du marché unique permettra fera baisser les coûts, notamment pour les entreprises transfrontières qui, autrement, risqueraient d’être soumises à l’obligation de procéder à de multiples tests dans les différents États membres. ·Droits fondamentaux

L’Union européenne a la volonté de respecter des normes élevées de protection des droits fondamentaux. L’ensemble des dispositifs volontaires de partage d’informations entre entités financières promu par le présent règlement s’inscrirait dans des environnements de confiance, dans le plein respect des dispositions de l’Union en matière de protection des données, notamment du règlement (UE) nº 2016/679 du Parlement européen et du Conseil, en particulier lorsque le traitement de données à caractère personnel est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement. 4. INCIDENCE BUDGÉTAIRE En ce qui concerne les incidences budgétaires, étant donné que le présent règlement renforce le rôle des AES en leur conférant le pouvoir de superviser dûment les tiers prestataires critiques de services informatiques, il suppose le déploiement de ressources supplémentaires, notamment pour les missions de supervision (telles que les inspections sur place et en ligne et les exercices d’audit), et le recours à du personnel doté d’une expertise spécifique en matière de sécurité informatique. L’ampleur et la répartition de ces coûts dépendront de l’étendue des nouveaux pouvoirs de supervision et des tâches (précises) qui seront confiés aux AES. S’agissant de la mise à disposition de nouvelles ressources en personnel, l’ABE, l’AEMF et l’AEAPP auront besoin au total de 18 employés à temps plein (ETP) – six ETP pour chaque autorité – lorsque les différentes dispositions de la proposition entreront en application (pour un coût estimé à 15,71 millions d’EUR pour la période 2022-2027). Les AES supporteront également des coûts informatiques supplémentaires, des frais de mission liés aux inspections sur place et des frais de traduction (estimés à 12 millions d’EUR pour la période 2022-2027), ainsi que d’autres dépenses administratives (estimées à 2,48 millions d’EUR pour la période 2022-2027). Par conséquent, les coûts totaux sont estimés à environ 30,19 millions d’EUR pour la période 2022-2027. Il convient également de noter que, si les effectifs (par exemple, les nouveaux membres du personnel et les autres dépenses liées aux nouvelles tâches) nécessaires à la supervision directe dépendront de l’évolution, au fil du temps, du nombre et de la taille des tiers prestataires critiques de services informatiques à superviser, les dépenses respectives seront entièrement financées par les redevances perçues auprès de ces acteurs du marché. Par conséquent, aucune incidence sur les crédits budgétaires de l’Union n’est prévue (sauf pour le personnel supplémentaire), car ces coûts seront entièrement financés par les redevances. Les incidences budgétaires et financières de la présente proposition sont expliquées en détail dans la fiche financière législative jointe à celle-ci. 5.AUTRES ÉLÉMENTS ·Plans de mise en œuvre et modalités de suivi, d’évaluation et d’information La proposition prévoit un plan général de suivi et d’évaluation des incidences sur les objectifs spécifiques. La Commission sera ainsi tenue de procéder à un réexamen au minimum trois ans après l’entrée en vigueur et de rendre compte de ses principales conclusions au Parlement européen et au Conseil. Le réexamen doit être réalisé conformément aux lignes directrices de la Commission pour une meilleure réglementation. ·Explication détaillée des différentes dispositions de la proposition La proposition s’articule autour de plusieurs grands axes d’action, qui sont des piliers essentiels interdépendants inclus de manière consensuelle dans les orientations et les bonnes pratiques européennes et internationales destinées à renforcer la cyberrésilience et la résilience opérationnelle du secteur financier. Champ d’application du règlement et proportionnalité dans l’application des mesures requises (article 2) Afin de garantir la cohérence des exigences en matière de gestion des risques informatiques applicables au secteur financier, le règlement couvre tout un éventail d’entités financières réglementées au niveau de l’Union, à savoir les établissements de crédit, les établissements de paiement, les établissements de monnaie électronique, les entreprises d’investissement, les prestataires de services sur crypto-actifs, les dépositaires centraux de titres, les contreparties centrales, les plates-formes de négociation, les référentiels centraux, les gestionnaires de fonds d’investissement alternatifs et les sociétés de gestion, les prestataires de services de communication de données, les entreprises d’assurance et de réassurance, les intermédiaires d’assurance, les intermédiaires de réassurance et les intermédiaires d’assurance à titre accessoire, les institutions de retraite professionnelle (IRP), les agences de notation de crédit, les contrôleurs légaux des comptes et les cabinets d’audit, les administrateurs d’indices de référence d’importance critique et les prestataires de services de financement participatif. Une telle couverture favorise une application homogène et cohérente de l’ensemble des composantes de la gestion des risques dans les domaines liés à l’informatique, tout en garantissant des conditions de concurrence équitables entre les entités financières en ce qui concerne leurs obligations réglementaires en matière de risque informatique. Dans le même temps, le règlement tient compte du fait qu’il existe des différences importantes entre les entités financières du point de vue de leur taille, de leur profil d’activité ou de leur exposition au risque numérique. Étant donné que les grandes entités financières disposent de plus de ressources, seules les entités financières qui ne sont pas considérées comme des microentreprises devront, par exemple, mettre en place des dispositifs de gouvernance complexes et des fonctions de gestion dédiées, effectuer des évaluations approfondies après l’apport de changements majeurs aux infrastructures de réseau et de système d’information, soumettre régulièrement leurs systèmes informatiques patrimoniaux à des analyses de risque, ainsi qu’étendre les tests de continuité des activités et des plans de réponse et de rétablissement pour y intégrer des scénarios de basculement de leur infrastructure informatique principale aux installations redondantes. En outre, seules les entités financières reconnues comme étant d’importance significative aux fins des tests de résilience numérique avancés seront tenues de procéder à des tests de pénétration fondés sur la menace. Bien que cette couverture soit large, elle n’est pas exhaustive. Le présent règlement ne couvre notamment pas les opérateurs de système au sens de l’article 2, point p), de la directive 98/26/CE concernant le caractère définitif du règlement dans les systèmes de paiement et de règlement des opérations sur titres (DCDR), ni aucun participant aux systèmes, à moins que ce participant ne soit lui-même une entité financière réglementée au niveau de l’Union et qu’en tant que tel, il soit couvert par le présent règlement à part entière (c’est-à-dire un établissement de crédit, une entreprise d’investissement, une contrepartie centrale). En outre, le registre de l’Union relatif aux quotas d’émission qui est géré, conformément à la directive 2003/87/CE, sous l’égide de la Commission européenne ne relève pas non plus du règlement. Ces exclusions de la DCDR tiennent compte de la nécessité de procéder à un nouveau réexamen des questions juridiques et des politiques afférentes aux opérateurs de système et aux participants aux systèmes relevant de la DCDR, tout en prenant dûment en considération les incidences des cadres qui s’appliquent actuellement aux systèmes de paiement exploités par les banques centrales. Dans la mesure où ces sujets peuvent englober des aspects qui restent distincts des questions couvertes par le présent règlement, la Commission continuera à évaluer la nécessité et les incidences d’une extension éventuelle du champ d’application du présent règlement aux entités et aux infrastructures informatiques qui ne relèvent actuellement pas de ses dispositions. Exigences en matière de gouvernance (article 4) Le présent règlement vise à mieux aligner les stratégies d’entreprise des entités financières, ainsi que leur conduite de la gestion des risques informatiques. À cet effet, l’organe de direction sera tenu de conserver un rôle actif déterminant dans le pilotage du cadre de gestion des risques informatiques et veillera au respect d’une hygiène informatique rigoureuse. La pleine responsabilité de l’organe de direction dans la gestion des risques informatiques de l’entité financière constituera un principe général qui devra se décliner en une série d’exigences spécifiques, telles que l’attribution de rôles et de responsabilités clairs pour toutes les fonctions liées à l’informatique, un engagement continu dans le contrôle du suivi de la gestion des risques informatiques, ainsi que dans l’ensemble des processus d’approbation et de contrôle, et une répartition appropriée des investissements et des formations dans le domaine informatique. Exigences en matière de gestion des risques informatiques (articles 5 à 14)

La résilience opérationnelle numérique est ancrée dans un ensemble de principes et d’exigences clés applicables au cadre de gestion des risques informatiques, conformément à l’avis technique conjoint des AES. Ces exigences, inspirées des normes, des lignes directrices et des recommandations internationales, nationales et sectorielles pertinentes, s’articulent autour de fonctions spécifiques de la gestion des risques informatiques (identification, protection et prévention, détection, réponse et rétablissement, apprentissage et évolution, et communication). Afin de rester en phase avec l’évolution rapide du paysage des cybermenaces, les entités financières sont tenues de mettre en place et de maintenir des systèmes et des outils informatiques résilients qui réduisent au minimum l’incidence des risques informatiques, d’identifier en permanence toutes les sources de risques informatiques, d’adopter des mesures de protection et de prévention, de détecter rapidement les activités anormales, d’instaurer des politiques de continuité des activités et des plans de rétablissement après sinistre spécifiques et complets faisant partie intégrante de la stratégie de continuité des activités opérationnelles. Ces dernières composantes sont nécessaires pour assurer une récupération rapide à la suite d’incidents liés à l’informatique, en particulier des cyberattaques, en limitant les dommages et en donnant la priorité à une reprise sûre des activités. Le règlement n’impose pas lui-même une normalisation spécifique, mais se fonde plutôt sur les bonnes pratiques du secteur ou les normes techniques reconnues à l’échelle européenne et internationale, dans la mesure où elles sont pleinement conformes aux instructions de surveillance relatives à l’utilisation et à l’incorporation de ces normes internationales. Le présent règlement couvre également l’intégrité, la sûreté et la résilience des infrastructures et installations physiques sur lesquelles s’appuient l’utilisation des technologies ainsi que les processus et les personnes concernés par l’informatique, dans le cadre de l’empreinte numérique des activités d’une entité financière. Notification des incidents liés à l’informatique (articles 15 à 20) La notification des incidents liés à l’informatique est d’abord harmonisée et rationalisée par l’obligation générale faite aux entités financières d’établir et de mettre en œuvre un processus de gestion permettant de suivre et d’enregistrer les incidents liés à l’informatique, puis par l’obligation de les classer sur la base de critères détaillés dans le règlement et précisés plus avant par les AES par la définition de seuils d’importance significative. Deuxièmement, seuls les incidents liés à l’informatique qui sont jugés majeurs doivent être notifiés aux autorités compétentes. La notification devrait se faire selon un modèle commun et une procédure harmonisée mis au point par les AES. Les entités financières devraient soumettre une notification initiale, un rapport intermédiaire et un rapport final et informer leurs utilisateurs et clients lorsque l’incident a ou est susceptible d’avoir une incidence sur leurs intérêts financiers. Les autorités compétentes devraient fournir les informations pertinentes sur les incidents à d’autres institutions ou autorités: aux AES, à la BCE et aux points de contact uniques désignés en vertu de la directive (UE) 2016/1148. Afin de susciter un dialogue entre les entités financières et les autorités compétentes qui contribuerait à réduire au minimum les incidences et à définir des solutions appropriées, la notification des incidents majeurs liés à l’informatique devrait être complétée par un retour d’information et des orientations de la part des autorités de surveillance. Enfin, la possibilité de centraliser au niveau de l’Union les notifications d’incidents liés à l’informatique devrait être examinée plus avant dans un rapport conjoint des AES, de la BCE et de l’ENISA évaluant dans quelle mesure il serait possible de créer un pôle unique de l’UE pour la notification des incidents majeurs liés à l’informatique par les entités financières. Test de résilience opérationnelle numérique (articles 21 à 24) Les capacités et les fonctions intégrées dans le cadre de gestion des risques informatiques doivent être testées à intervalles réguliers afin de vérifier l’état de préparation aux risques et d’identifier les éventuelles faiblesses, défaillances ou lacunes, ainsi que de prendre rapidement des mesures correctives. Le présent règlement prévoit une application proportionnée des exigences en matière de tests de résilience opérationnelle numérique en fonction de la taille, de l’activité et du profil de risque des entités financières: si toutes les entités devraient tester leurs outils et systèmes informatiques, seules celles que les autorités compétentes considèrent (sur la base des critères énoncés dans le présent règlement et précisés par les AES) comme étant d’importance significative et cyber-matures devraient être tenues de procéder à des tests avancés sur la base de tests de pénétration fondés sur la menace. Le présent règlement énonce également les exigences applicables aux testeurs et à la reconnaissance des résultats des tests de pénétration fondés sur la menace dans l’ensemble de l’Union pour les entités financières exerçant leur activité dans plusieurs États membres. Risque lié aux tiers prestataires de services informatiques (articles 25 à 39) Le règlement est conçu de manière à garantir un suivi rigoureux du risque lié aux tiers prestataires de services informatiques. La réalisation de cet objectif passera en premier lieu par le respect de règles de principe pour le suivi, par les entités financières, des risques découlant des tiers prestataires de services informatiques. En deuxième lieu, le présent règlement harmonise les éléments fondamentaux du service fourni par les tiers prestataires de services informatiques et de la relation nouée avec eux. Ces éléments couvrent les aspects minimaux jugés indispensables pour permettre un suivi complet, par l’entité financière, du risque associé aux tiers prestataires de services informatiques tout au long des différentes étapes de leur relation, à savoir la conclusion du contrat, son exécution, sa résiliation et la phase post-contractuelle. Plus particulièrement, les contrats qui régissent cette relation devront comporter les éléments suivants: une description complète des services, l’indication des lieux où les données doivent être traitées, une description complète des niveaux de service accompagnée d’objectifs de performance quantitatifs et qualitatifs, des dispositions pertinentes sur l’accessibilité, la disponibilité, l’intégrité, la sécurité et la protection des données à caractère personnel, des garanties d’accès, de récupération et de restitution en cas de défaillance des tiers prestataires de services informatiques, les délais de préavis et les obligations d’information incombant aux tiers prestataires de services informatiques, les droits d’accès, d’inspection et d’audit par l’entité financière ou un tiers désigné, des droits de résiliation clairs et des stratégies de sortie spécifiques. En outre, puisque certains de ces éléments contractuels peuvent être normalisés, le règlement encourage l’emploi volontaire de clauses contractuelles types qui doivent être élaborées par la Commission pour l’utilisation de services d’informatique en nuage. Enfin, le règlement vise à promouvoir la convergence des approches prudentielles en matière de risque lié aux tiers prestataires de services informatiques dans le secteur financier, en soumettant les tiers prestataires critiques de services informatiques à un cadre de supervision de l’Union. Grâce à un nouveau cadre législatif harmonisé, l’AES désignée comme superviseur principal pour chacun de ces tiers prestataires critiques de services informatiques se voit conférer des pouvoirs lui permettant de veiller à ce que les prestataires de services technologiques qui jouent un rôle essentiel dans le fonctionnement du secteur financier fassent l’objet d’un suivi adéquat à l’échelle paneuropéenne. Le cadre de supervision prévu par le présent règlement s’appuie sur l’architecture institutionnelle existante dans le domaine des services financiers, en vertu de laquelle le comité mixte des AES assure une coordination intersectorielle pour toutes les questions relatives aux risques informatiques, conformément aux tâches qui lui incombent en matière de cybersécurité, avec le soutien du sous-comité compétent (forum de supervision), chargé d’effectuer les travaux préparatoires aux fins des décisions individuelles et des recommandations collectives destinées aux tiers prestataires critiques de services. Partage d’informations (article 40) Dans le but d’accroître la sensibilisation au risque informatique, de réduire au minimum sa propagation et de renforcer les capacités défensives des entités financières et leurs techniques de détection des menaces, le règlement habilite ces dernières à mettre en place des dispositifs leur permettant d’échanger entre elles des informations et des renseignements sur les cybermenaces.



2020/0266 (COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) nº 1060/2009, (UE) nº 648/2012, (UE) nº 600/2014 et (UE) nº 909/2014 (Texte présentant de l’intérêt pour l’EEE) LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 114, vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis de la Banque centrale européenne, vu l’avis du Comité économique et social européen, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1)À l’ère numérique, les technologies de l’information et de la communication (TIC) sous-tendent les systèmes complexes qui sont utilisés dans les activités quotidiennes de la société. Elles contribuent à la bonne marche de nos économies dans des secteurs clés, tels que la finance, et améliorent le fonctionnement du marché unique. Le degré croissant de numérisation et d’interconnexion accentue également les risques informatiques, ce qui expose davantage la société dans son ensemble – et le système financier en particulier – aux cybermenaces ou aux dysfonctionnements informatiques. Si l’utilisation généralisée de systèmes informatiques ainsi qu’une numérisation et une connectivité poussées sont aujourd’hui des caractéristiques essentielles de toutes les activités des entités financières de l’Union, la résilience numérique n’est pas encore suffisamment intégrée dans leurs cadres opérationnels. (2)Au cours des dernières décennies, l’utilisation des TIC est devenue centrale dans le domaine de la finance, et elle revêt aujourd’hui une importance cruciale dans l’exécution des fonctions quotidiennes typiques de toutes les entités financières. La numérisation couvre, par exemple, les paiements, qui ont évolué progressivement de méthodes reposant sur les espèces et le papier vers l’utilisation de solutions numériques, ainsi que la compensation et le règlement des opérations sur titres, le trading électronique et algorithmique, les opérations de prêt et de financement, le financement entre pairs, la notation de crédit, la souscription d’assurance, la gestion de créances et les opérations de post-marché. L’ensemble du secteur financier a non seulement opéré une transition vers le numérique à grande échelle, mais la numérisation a également renforcé les interconnexions et les relations de dépendance au sein du secteur financier et avec les tiers prestataires d’infrastructures et de services. (3)Dans un rapport de 2020 consacré au cyberrisque systémique, le Comité européen du risque systémique (CERS) a réaffirmé que le niveau élevé d’interconnexion existant entre les entités financières, les marchés financiers et les infrastructures des marchés financiers, et en particulier les interdépendances de leurs systèmes informatiques, était susceptible de constituer une vulnérabilité systémique, dans la mesure où des cyberincidents localisés pourraient rapidement se propager de l’une des quelque 22 000 entités financières de l’Union à l’ensemble du système financier, sans aucune entrave géographique. Les atteintes graves à la sécurité informatique qui se produisent dans le secteur de la finance ne touchent pas seulement les entités financières prises isolément. Elles facilitent également la propagation de vulnérabilités localisées à travers les canaux de transmission financière et peuvent avoir des conséquences préjudiciables pour la stabilité du système financier de l’Union, en provoquant des fuites de liquidités et une érosion générale de la confiance dans les marchés financiers. (4)Ces dernières années, les risques informatiques ont attiré l’attention des décideurs politiques, des régulateurs et des organismes de normalisation nationaux, européens et internationaux, dans un effort visant à renforcer la résilience, à définir des normes et à coordonner le travail de réglementation ou de surveillance. Au niveau international, le Comité de Bâle sur le contrôle bancaire, le Comité sur les paiements et les infrastructures de marché, le Conseil de stabilité financière, l’Institut pour la stabilité financière, ainsi que les groupes de pays du G7 et du G20 s’efforcent de fournir aux autorités compétentes et aux opérateurs de marché des différentes juridictions des outils leur permettant de renforcer la résilience de leurs systèmes financiers. (5)Malgré des initiatives stratégiques et législatives ciblées aux niveaux national et européen, les risques informatiques représentent toujours un défi pour la résilience opérationnelle, la performance et la stabilité du système financier de l’Union. La réforme qui a suivi la crise financière de 2008 a principalement renforcé la résilience financière du secteur financier de l’Union et visait à préserver la compétitivité et la stabilité de l’Union du point de vue économique, prudentiel et des conduites sur le marché. Bien que la sécurité informatique et la résilience numérique fassent partie du risque opérationnel, le programme réglementaire d’après crise leur a accordé moins d’importance, et elles n’ont été développées que dans certains domaines de la politique et du paysage réglementaire des services financiers de l’Union, ou seulement dans quelques États membres. (6)Dans son plan d’action de 2018 pour les technologies financières, la Commission a souligné l’importance primordiale de rendre le secteur financier de l’Union plus résilient, également d’un point de vue opérationnel, afin de garantir sa sûreté technologique et son bon fonctionnement, ainsi que son rétablissement rapide après des atteintes à la sécurité et des incidents informatiques, de façon à ce que les services financiers puissent être fournis de manière efficace et sans accrocs dans toute l’Union, y compris dans des situations de tension, tout en préservant la confiance des consommateurs et des marchés. (7)En avril 2019, l’Autorité bancaire européenne (ABE), l’Autorité européenne des marchés financiers (AEMF) et l’Autorité européenne des assurances et des pensions professionnelles (AEAPP) (appelées conjointement les «autorités européennes de surveillance» ou «AES») ont publié deux avis techniques conjoints préconisant une approche cohérente du risque informatique dans le secteur financier et recommandant de renforcer, de manière proportionnée, la résilience opérationnelle numérique de ce secteur dans le cadre d’une initiative sectorielle de l’Union. (8)Le secteur financier de l’Union est soumis à un corpus réglementaire unique harmonisé, et régi par un système européen de surveillance financière. Néanmoins, les dispositions relatives à la résilience opérationnelle numérique et à la sécurité informatique ne sont pas encore totalement ou systématiquement harmonisées, alors que la résilience opérationnelle numérique est indispensable pour garantir la stabilité financière et l’intégrité du marché à l’ère numérique, et qu’elle n’est pas moins importante que, par exemple, des normes prudentielles ou de conduite communes. Le corpus réglementaire unique et le système de surveillance devraient donc être développés pour couvrir également cette composante, et les mandats des autorités de surveillance financière chargées de surveiller et de protéger la stabilité financière et l’intégrité du marché devraient ainsi être étendus. (9)Les disparités législatives et les approches nationales inégales en matière de réglementation ou de surveillance du risque informatique créent des obstacles au marché unique des services financiers, lesquels entravent le plein exercice de la liberté d’établissement et la prestation de services des entités financières ayant une assise transfrontière. La concurrence entre le même type d’entités financières opérant dans différents États membres est également susceptible d’être faussée. Notamment dans les domaines où l’harmonisation au niveau de l’Union a été très limitée – comme les tests de résilience opérationnelle numérique – ou inexistante – comme le suivi du risque lié aux tiers prestataires de services informatiques – les disparités découlant des développements prévus au niveau national pourraient créer de nouveaux obstacles au fonctionnement du marché unique, au détriment des acteurs du marché et de la stabilité financière. (10)L’approche partielle qui a été suivie jusqu’à présent pour les dispositions relatives aux risques liés à l’informatique adoptées au niveau de l’Union présente des lacunes ou des chevauchements dans des domaines importants, tels que la notification des incidents liés à l’informatique et les tests de résilience opérationnelle numérique, et engendre des incohérences imputables à l’émergence de règles nationales divergentes ou une inefficacité par rapport au coût du fait de règles qui se chevauchent. Cette situation est particulièrement préjudiciable pour un utilisateur à forte intensité informatique comme le secteur financier, car les risques technologiques ne connaissent pas de frontières et le secteur financier déploie ses services sur une large base transfrontière à l’intérieur et à l’extérieur de l’Union. Les entités financières qui exercent des activités transfrontières ou qui détiennent plusieurs agréments (par exemple, une entité financière peut être détentrice d’un agrément bancaire, d’un agrément en tant qu’entreprise d’investissement et d’un agrément en tant qu’établissement de paiement, chacun délivré par une autorité compétente différente dans un ou plusieurs États membres) se heurtent à des difficultés opérationnelles lorsqu’il s’agit de faire face aux risques informatiques et d’atténuer les effets négatifs des incidents informatiques de manière autonome, cohérente et efficace par rapport au coût. (11)Étant donné que le corpus réglementaire unique n’a pas été accompagné d’un cadre exhaustif applicable aux risques informatiques ou opérationnels, il est nécessaire de procéder à une harmonisation plus poussée des exigences clés en matière de résilience opérationnelle numérique pour toutes les entités financières. Les capacités et la résilience globale que les entités financières, sur la base de ces exigences clés, développeraient en vue de faire face aux interruptions de fonctionnement, contribueraient à préserver la stabilité et l’intégrité des marchés financiers de l’Union et donc à assurer un niveau élevé de protection des investisseurs et des consommateurs dans l’Union. Dans la mesure où le présent règlement se veut une contribution au fonctionnement harmonieux du marché unique, il devrait reposer sur les dispositions de l’article 114 du TFUE, interprétées conformément à la jurisprudence constante de la Cour de justice de l’Union européenne. (12)Le présent règlement vise tout d’abord à consolider et à mettre à niveau les exigences en matière de risques informatiques, scindées jusqu’à présent dans les différents règlements et directives. Si ces actes juridiques de l’Union couvraient les principales catégories de risques financiers (par exemple, le risque de crédit, le risque de marché, le risque de crédit de contrepartie et le risque de liquidité, le risque lié à la conduite sur le marché), ils ne pouvaient pas, au moment de leur adoption, couvrir de manière exhaustive toutes les composantes de la résilience opérationnelle. Ces actes juridiques de l’Union, lorsqu’ils ont précisé les exigences en matière de risque opérationnel, ont souvent favorisé une approche quantitative classique de la gestion du risque (à savoir, la définition d’une exigence de fonds propres pour couvrir les risques informatiques) plutôt que de définir des exigences qualitatives ciblées visant à renforcer les capacités de protection, détection, confinement, rétablissement et réparation en cas d’incidents liés à l’informatique ou la mise en place de capacités de notification et de tests numériques. Ces directives et règlements étaient principalement destinés à définir les règles essentielles en matière de surveillance prudentielle, d’intégrité du marché ou de conduite sur le marché.

Grâce au présent exercice, qui consolide et actualise les règles relatives au risque informatique, toutes les dispositions traitant du risque numérique dans le secteur financier seraient pour la première fois réunies de manière cohérente dans un seul et même acte législatif. Cette initiative devrait donc combler les lacunes ou remédier aux incohérences de certains de ces actes juridiques, notamment en ce qui concerne la terminologie qui y est utilisée, et devrait faire explicitement référence aux risques informatiques au travers de règles ciblées sur les capacités de gestion des risques informatiques, la notification et les tests, ainsi que le suivi des risques liés aux tiers. (13)Les entités financières devraient suivre la même approche et les mêmes règles de principe lorsqu’elles abordent le risque informatique. La cohérence contribue à renforcer la confiance dans le système financier et à préserver sa stabilité, en particulier en période de surexploitation des systèmes, plateformes et infrastructures informatiques, qui accroît le risque numérique. Le respect d’une hygiène informatique de base devrait également éviter à l’économie d’avoir à supporter des coûts considérables, en réduisant au minimum les incidences et les coûts des perturbations informatiques. (14)Le recours à un règlement permet de réduire la complexité réglementaire, favorise la convergence en matière de surveillance et accroît la sécurité juridique, tout en contribuant à limiter les coûts de mise en conformité, notamment pour les entités financières exerçant des activités transfrontières, et à réduire les distorsions de concurrence. Le choix d’un règlement pour la mise en place d’un cadre commun en matière de résilience opérationnelle numérique des entités financières apparaît donc comme le moyen le plus approprié de garantir une application homogène et cohérente de toutes les composantes de la gestion du risque informatique par les secteurs financiers de l’Union. (15)Outre la législation sur les services financiers, la directive (UE) 2016/1148 du Parlement européen et du Conseil constitue le cadre général actuellement en vigueur en matière de cybersécurité au niveau de l’Union. Parmi les sept secteurs critiques visés dans la directive, celle-ci s’applique notamment à trois types d’entités financières, à savoir les établissements de crédit, les plates-formes de négociation et les contreparties centrales. Toutefois, comme la directive (UE) 2016/1148 prévoit un mécanisme d’identification au niveau national des opérateurs de services essentiels, seuls certains établissements de crédit, plates-formes de négociation et contreparties centrales identifiés par les États membres relèvent en pratique de ses dispositions et sont donc tenus de se conformer aux exigences en matière de sécurité informatique et de notification des incidents qui y sont définies. (16)Étant donné que le présent règlement rehausse le niveau d’harmonisation des composantes de la résilience numérique, en instaurant, en matière de gestion des risques informatiques et de notification des incidents liés à l’informatique, des exigences plus strictes que celles prévues par la législation actuelle de l’Union sur les services financiers, il s’agit d’une harmonisation plus poussée, y compris par rapport aux exigences énoncées dans la directive (UE) 2016/1148. Par conséquent, le présent règlement constitue la lex specialis de la directive (UE) 2016/1148. Il est indispensable de maintenir un lien étroit entre le secteur financier et le cadre horizontal de l’Union en matière de cybersécurité. Cela garantirait la cohérence avec les stratégies de cybersécurité déjà adoptées par les États membres et permettrait aux autorités de surveillance financière d’être informées des cyberincidents touchant d’autres secteurs couverts par la directive (UE) 2016/1148. (17)Afin de favoriser un processus d’apprentissage intersectoriel et de tirer efficacement parti des expériences d’autres secteurs en matière de lutte contre les cybermenaces, les entités financières visées dans la directive (UE) 2016/1148 devraient continuer à faire partie de l’«écosystème» de cette directive (par exemple, le groupe de coopération SRI et les CSIRT). Les AES et les autorités nationales compétentes devraient pouvoir participer respectivement aux discussions stratégiques et aux travaux techniques du groupe de coopération SRI, et échanger des informations et coopérer davantage avec les points de contact uniques désignés en vertu de la directive (UE) 2016/1148. Les autorités compétentes au titre du présent règlement devraient également consulter les CSIRT nationaux désignés conformément à l’article 9 de la directive (UE) 2016/1148 et coopérer avec ceux-ci. (18)Il est également important de garantir la cohérence avec la directive sur les infrastructures critiques européennes (ICE), qui fait actuellement l’objet d’une révision en vue de renforcer la protection et la résilience des infrastructures critiques contre les menaces non liées à la cybercriminalité, avec d’éventuelles implications pour le secteur financier. (19)Les fournisseurs de services d’informatique en nuage constituent une catégorie de fournisseurs de service numérique couverts par la directive (UE) 2016/1148. En tant que tels, ils sont soumis à une surveillance a posteriori exercée par les autorités nationales désignées conformément à cette directive, qui se limite aux exigences en matière de sécurité informatique et de notification des incidents prévues dans cet acte. Étant donné que le cadre de supervision établi par le présent règlement s’applique à tous les tiers prestataires critiques de services informatiques, y compris les fournisseurs de services d’informatique en nuage, lorsqu’ils fournissent des services informatiques à des entités financières, il devrait être considéré comme complémentaire de la surveillance exercée en vertu de la directive (UE) 2016/1148. En outre, le cadre de supervision établi par le présent règlement devrait couvrir les fournisseurs de services d’informatique en nuage en l’absence d’un cadre horizontal de l’Union non spécifique à un secteur et établissant une autorité de supervision numérique. (20)Pour garder la maîtrise totale des risques informatiques, les entités financières doivent disposer de capacités globales permettant une gestion solide et efficace des risques informatiques, ainsi que de politiques et de mécanismes spécifiques pour la notification des incidents liés à l’informatique, pour le test des systèmes, contrôles et processus informatiques, ainsi que pour la gestion des risques informatiques liés aux tiers prestataires de services informatiques. Le seuil de résilience opérationnelle numérique du système financier devrait être relevé tout en permettant une application proportionnée des exigences aux entités financières qui sont des microentreprises au sens de la recommandation 2003/361/CE de la Commission. (21)Les seuils et les taxinomies de notification des incidents liés à l’informatique varient considérablement au niveau national. Bien que des bases communes puissent être dégagées grâce aux travaux pertinents menés par l’Agence de l’Union européenne pour la cybersécurité (ENISA) et le groupe de coopération SRI pour les entités financières relevant de la directive (UE) 2016/1148, des approches divergentes sur les seuils et les taxinomies existent toujours ou peuvent apparaître pour les autres entités financières. Il en résulte de multiples exigences auxquelles les entités financières doivent se conformer, notamment lorsqu’elles sont actives dans plusieurs pays de l’Union et lorsqu’elles font partie d’un groupe financier. En outre, ces divergences peuvent entraver la création de nouveaux mécanismes uniformes ou centralisés au niveau de l’Union, qui accéléreraient le processus de notification et favoriseraient un échange rapide et sans entrave d’informations entre les autorités compétentes, ce qui est essentiel pour faire face aux risques informatiques en cas d’attaques à grande échelle susceptibles d’avoir des conséquences systémiques. (22)Afin de permettre aux autorités compétentes de remplir leur rôle de surveillance en disposant d’une vue d’ensemble complète de la nature, de la fréquence, de l’importance et des conséquences des incidents liés à l’informatique, et afin d’améliorer l’échange d’informations entre les autorités publiques compétentes, y compris les autorités répressives et les autorités de résolution, il est nécessaire d’établir des règles qui complètent le régime de notification des incidents liés à l’informatique en y ajoutant les exigences qui font actuellement défaut dans la législation financière sous-sectorielle et de supprimer tout chevauchement et double emploi existant afin d’alléger les coûts. Il est donc essentiel d’harmoniser le régime de notification des incidents liés à l’informatique en imposant à toutes les entités financières de ne les notifier qu’à leurs autorités compétentes. En outre, les AES devraient être habilitées à préciser davantage les éléments nécessaires à la notification des incidents liés à l’informatique, tels que la taxinomie, les délais, les ensembles de données, les modèles et les seuils applicables. (23)Les exigences en matière de tests de résilience opérationnelle numérique ont évolué dans certains sous-secteurs financiers au sein de plusieurs cadres nationaux non coordonnés traitant les mêmes questions de manière différente. Cette situation entraîne une multiplication des coûts pour les entités financières transfrontières et complique la reconnaissance mutuelle des résultats. L’absence de coordination des tests est donc susceptible de segmenter le marché unique. (24)En outre, lorsqu’aucun test n’est requis, les vulnérabilités ne sont pas détectées, ce qui expose l’entité financière et, en fin de compte, la stabilité et l’intégrité du secteur financier à un risque plus élevé. Sans une intervention au niveau de l’Union, les tests de résilience opérationnelle numérique demeureraient parcellaires, et il n’y aurait aucune reconnaissance mutuelle des résultats des tests d’un pays à l’autre. En outre, puisqu’il est peu probable que d’autres sous-secteurs financiers adoptent de tels mécanismes à une échelle significative, ils passeraient à côté des avantages qui peuvent en découler, tels que la mise au jour des vulnérabilités et des risques, le test des capacités de défense et de la continuité des activités, et la confiance accrue des clients, des fournisseurs et des partenaires commerciaux. Pour remédier à ces chevauchements, divergences et lacunes, il est nécessaire d’établir des règles visant à coordonner les tests effectués par les entités financières et les autorités compétentes, ce qui facilitera la reconnaissance mutuelle des tests avancés pour les entités financières d’importance significative. (25)La dépendance des entités financières à l’égard des services informatiques s’explique en partie par le fait qu’elles doivent s’adapter à l’émergence d’une économie mondiale numérique compétitive, accroître leur efficacité commerciale et répondre à la demande des consommateurs. La nature et l’ampleur de cette dépendance n’ont cessé d’évoluer ces dernières années, faisant baisser les coûts de l’intermédiation financière et permettant aux entités financières de s’étendre et de déployer leurs activités à plus grande échelle, tout en disposant d’un large éventail d’outils informatiques pour gérer des processus internes complexes. (26)Cette utilisation étendue des services informatiques est attestée par des accords contractuels complexes, dans le cadre desquels les entités financières ont souvent du mal à négocier des conditions contractuelles adaptées aux normes prudentielles ou autres exigences réglementaires auxquelles elles sont soumises, ou encore à faire respecter des droits spécifiques, tels que les droits d’accès ou d’audit, lorsque ces derniers sont inscrits dans les accords. En outre, nombre de ces contrats ne prévoient pas de garanties suffisantes pour permettre un véritable suivi des processus de sous-externalisation, privant ainsi l’entité financière de sa capacité à évaluer les risques associés. De plus, comme les tiers prestataires de services informatiques fournissent souvent des services standardisés à différents types de clients, ces contrats ne répondent pas toujours de manière appropriée aux besoins individuels ou particuliers des acteurs du secteur financier. (27)Malgré l’existence de règles générales sur l’externalisation dans certains actes législatifs de l’Union relatifs aux services financiers, le suivi de la dimension contractuelle n’est pas pleinement consacré dans la législation de l’Union. En l’absence de normes de l’Union claires et adaptées applicables aux accords contractuels conclus avec des tiers prestataires de services informatiques, la source extérieure du risque informatique n’est pas traitée de manière exhaustive. Par conséquent, il est nécessaire de définir certains principes clés pour encadrer la gestion, par les entités financières, du risque lié aux tiers prestataires de services informatiques, en les assortissant d’un ensemble de droits contractuels fondamentaux ayant trait à plusieurs éléments de l’exécution et de la résiliation des contrats, en vue de consacrer certaines garanties minimales renforçant la capacité des entités financières à assurer un suivi efficace de tous les risques qui se posent au niveau des tiers prestataires de services informatiques. (28)Il existe un manque d’homogénéité et de convergence en ce qui concerne les risques liés aux tiers prestataires de services informatiques et la dépendance à l’égard de ceux-ci. Malgré certains efforts pour couvrir le domaine spécifique de l’externalisation, tels que les recommandations de 2017 sur l’externalisation vers des fournisseurs de services en nuage, la question du risque systémique qui peut être déclenché par l’exposition du secteur financier à un nombre limité de tiers prestataires critiques de services informatiques est à peine abordée dans la législation de l’Union. Cette lacune au niveau de l’Union est aggravée par l’absence de mandats et d’outils spécifiques qui permettraient aux autorités de surveillance nationales d’acquérir une solide compréhension des relations de dépendance à l’égard des tiers prestataires de services informatiques et d’assurer un suivi adéquat des risques découlant de la concentration de ces relations de dépendance.

(29)Compte tenu des risques systémiques potentiels induits par les pratiques accrues d’externalisation et par la concentration des dépendances à l’égard des tiers prestataires de services informatiques, et eu égard à l’insuffisance des mécanismes nationaux permettant aux autorités de surveillance financière de quantifier et de qualifier les risques informatiques liés aux tiers prestataires critiques de services informatiques et de remédier à leurs conséquences, il est nécessaire de mettre en place au niveau de l’Union un cadre de supervision approprié permettant d’assurer un suivi continu des activités des tiers prestataires de services informatiques qui sont des prestataires critiques pour les entités financières. (30)Face à la complexité et à la sophistication croissantes des menaces informatiques, l’efficacité des mesures de détection et de prévention dépend dans une large mesure de l’échange régulier de renseignements sur les menaces et les vulnérabilités entre les entités financières. Le partage d’informations contribue à accroître la sensibilisation aux cybermenaces, laquelle renforce à son tour la capacité des entités financières à empêcher les menaces de se concrétiser en incidents réels et leur permet de mieux contenir les effets des incidents liés à l’informatique et de se rétablir plus efficacement. En l’absence d’orientations au niveau de l’Union, plusieurs facteurs semblent avoir entravé ce partage de renseignements, notamment l’incertitude quant à la compatibilité avec les règles en matière de protection des données, de pratiques anticoncurrentielles et de responsabilité. (31)En outre, les incertitudes quant au type d’informations qui peuvent être partagées avec d’autres acteurs du marché ou avec des autorités non chargées de la surveillance (telles que l’ENISA, à des fins d’analyse, ou Europol, à des fins répressives) aboutissent à la rétention d’informations utiles. L’étendue et la qualité du partage d’informations demeurent limitées et fragmentées, puisque les échanges pertinents ont lieu principalement au niveau local (dans le cadre d’initiatives nationales) et qu’il n’existe aucun dispositif cohérent de partage d’informations à l’échelle de l’Union adapté aux besoins d’un secteur financier intégré. (32)Les entités financières devraient dès lors être encouragées à exploiter ensemble les connaissances et l'expérience pratique de chacune d'entre elles aux niveaux stratégique, tactique et opérationnel en vue de renforcer leur capacité à évaluer et surveiller de manière adéquate les cybermenaces, ainsi qu’à s’en prémunir et à y répondre. Il est donc nécessaire de favoriser l’émergence, au niveau de l’Union, de mécanismes volontaires de partage d’informations qui, employés dans des environnements de confiance, permettraient à la communauté financière de prévenir les menaces et d’y répondre collectivement en limitant rapidement la propagation des risques informatiques et en empêchant une éventuelle contagion à travers les canaux financiers. Ces mécanismes devraient être employés en parfaite conformité avec les règles applicables du droit de la concurrence de l’Union ainsi que d’une manière qui garantisse le plein respect des règles de l’Union en matière de protection des données, principalement le règlement (UE) 2016/679 du Parlement européen et du Conseil, en particulier dans le cadre du traitement de données à caractère personnel qui est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, tel que visé à l’article 6, paragraphe 1, point f), dudit règlement. (33)Nonobstant la large couverture prévue par le présent règlement, l’application des règles en matière de résilience opérationnelle numérique devrait tenir compte des différences notables entre les entités financières du point de vue de la taille, des profils d’activité ou de l’exposition au risque numérique. En règle générale, lorsqu’elles allouent des ressources et des capacités à la mise en œuvre du cadre de gestion des risques informatiques, les entités financières devraient assurer un juste équilibre entre leurs besoins liés à l’informatique et leur taille et leur profil d’activité, tandis que les autorités compétentes devraient poursuivre l’évaluation et le réexamen de l’approche suivie pour cette répartition. (34)Étant donné que les grandes entités financières tendent à disposer de ressources plus importantes et à être en mesure de mobiliser rapidement des fonds pour développer des structures de gouvernance et établir diverses stratégies d’entreprise, seules les entités financières qui ne sont pas des microentreprises au sens du présent règlement devraient être tenues de mettre en place des dispositifs de gouvernance plus complexes. Ces entités sont notamment mieux armées pour mettre en place des fonctions de gestion dédiées à la surveillance des accords avec les tiers prestataires de services informatiques ou à la gestion des crises, pour organiser leur gestion des risques informatiques selon le modèle reposant sur trois lignes de défense, ou pour adopter un document relatif aux ressources humaines exposant de manière exhaustive les politiques en matière de droits d’accès. De même, seules ces entités financières devraient être tenues d’effectuer des évaluations approfondies après des changements majeurs dans les infrastructures de réseau et de système d’information et les procédures, de procéder régulièrement à des analyses de risque sur les systèmes informatiques patrimoniaux, ou d’étendre les tests des plans de continuité des activités et des plans de réponse et rétablissement pour tenir compte des scénarios de basculement depuis leur infrastructure informatique principale vers les installations redondantes. (35)En outre, étant donné que seules les entités reconnues comme étant d’importance significative aux fins des tests de résilience numérique avancés devraient être tenues de procéder à des tests de pénétration fondés sur la menace, les processus administratifs et les coûts financiers induits par la réalisation de ces tests devraient être dévolus à un petit pourcentage d’entités financières. Enfin, en vue d’alléger les charges réglementaires, seules les entités financières qui ne sont pas des microentreprises devraient être priées de communiquer régulièrement aux autorités compétentes tous les coûts et pertes causés par des perturbations informatiques, ainsi que les résultats des examens post-incident effectués à la suite de perturbations informatiques importantes. (36)Pour garantir un alignement complet et une cohérence globale entre les stratégies d’entreprise des entités financières, d’une part, et la mise en œuvre de la gestion des risques informatiques, d’autre part, l’organe de direction devrait être tenu de conserver un rôle actif et déterminant dans la conduite et l’adaptation du cadre de gestion des risques informatiques et de la stratégie globale de résilience numérique. L’approche adoptée par l’organe de direction devrait non seulement être axée sur les moyens de garantir la résilience des systèmes informatiques, mais également couvrir les personnes et les processus au travers d’un ensemble de politiques qui suscitent, à chaque niveau de l’entreprise et auprès de l’ensemble du personnel, une prise de conscience aiguë des cyberrisques et un engagement à respecter une hygiène informatique rigoureuse à tous les niveaux. La responsabilité ultime de l’organe de direction dans la gestion des risques informatiques d’une entité financière devrait constituer un principe fondamental de cette approche globale, concrétisé par l’engagement continu de l’organe de direction dans le contrôle du suivi de la gestion des risques informatiques. (37)De plus, l’entière responsabilité de l’organe de direction va de pair avec la mobilisation d’investissements dans les TIC et d’un budget global suffisants pour permettre à l’entité financière d’atteindre son niveau de référence en matière de résilience opérationnelle numérique. (38)S’inspirant des normes, lignes directrices, recommandations ou approches internationales, nationales et sectorielles pertinentes en matière de gestion du cyberrisque, le présent règlement promeut un ensemble de fonctions destinées à faciliter la structuration globale de la gestion des risques informatiques. Tant que les principales capacités mises en place par les entités financières permettent de répondre aux besoins associés aux objectifs poursuivis par les fonctions (identification, protection et prévention, détection, réponse et rétablissement, apprentissage et évolution et communication) définies dans le présent règlement, les entités financières restent libres d’utiliser des modèles de gestion des risques informatiques qui sont formulés ou classés différemment. (39)Afin de rester en phase avec l’évolution des cybermenaces, les entités financières devraient maintenir des systèmes informatiques à jour qui soient fiables et dotés d’une capacité suffisante non seulement pour garantir le traitement des données nécessaire à la prestation de leurs services, mais aussi pour assurer une résilience technologique permettant aux entités financières de faire face de manière adéquate aux besoins de traitement supplémentaires qui pourraient résulter d’épisodes de tensions sur les marchés ou d’autres situations défavorables. Bien que le présent règlement ne requière aucune normalisation de systèmes, d’outils ou de technologies informatiques spécifiques, il repose sur le recours approprié, par les entités financières, aux normes techniques (par exemple, ISO) ou aux bonnes pratiques du secteur reconnues à l’échelle européenne et internationale, dans la mesure où ce recours est pleinement conforme aux instructions spécifiques des autorités de surveillance relatives à l’utilisation et à l’incorporation des normes internationales. (40)Des plans efficaces de continuité des activités et de rétablissement sont nécessaires pour permettre aux entités financières de résoudre immédiatement et rapidement les incidents liés à l’informatique, en particulier les cyberattaques, en limitant les dégâts et en donnant la priorité à la reprise des activités et aux mesures de rétablissement. Toutefois, si les systèmes de sauvegarde doivent entamer le traitement sans retard injustifié, ce démarrage ne doit en aucun cas compromettre l’intégrité et la sécurité des réseaux et des systèmes d’information ni la confidentialité des données. (41)Si le présent règlement laisse aux entités financières une certaine latitude pour définir des objectifs en matière de délai de rétablissement et, partant, pour fixer ces objectifs en tenant pleinement compte de la nature et de la criticité de la fonction concernée et de tout besoin opérationnel spécifique, une évaluation des incidences globales potentielles sur l’efficience du marché devrait également être exigée lors de la détermination de ces objectifs. (42)Les répercussions importantes des cyberattaques sont exacerbées lorsqu’elles se produisent dans le secteur financier, un domaine beaucoup plus à risque d’être la cible de propagateurs malveillants cherchant des gains financiers directement à la source. Pour atténuer ces risques et prévenir toute perte d’intégrité des systèmes informatiques, toute indisponibilité de ceux-ci, toute violation de données confidentielles ou tout dommage à l’infrastructure informatique physique, les entités financières devraient améliorer considérablement la notification des incidents majeurs liés à l’informatique. La notification des incidents liés à l’informatique devrait être harmonisée pour toutes les entités financières en exigeant de celles-ci qu’elles les notifient seulement à leur autorité compétente. Toutes les entités financières seront soumises à cette obligation de notification, mais elles ne devraient pas toutes être concernées de la même manière, puisque les seuils d’importance significative et les délais pertinents devraient être fixés de manière à ne rendre compte que des incidents majeurs liés à l’informatique. La notification directe permettrait aux autorités de surveillance financière d’avoir accès aux informations sur les incidents liés à l’informatique. Néanmoins, les autorités de surveillance financière devraient transmettre ces informations aux autorités publiques non financières (autorités compétentes en matière de sécurité des réseaux et des systèmes d’information, autorités nationales de protection des données et services répressifs pour les incidents de nature criminelle). Les informations sur les incidents liés à l’informatique devraient être communiquées sur une base mutuelle: les autorités de surveillance financière devraient fournir tous les retours d’information ou orientations nécessaires à l’entité financière, tandis que les AES devraient partager des données anonymisées sur les menaces et les vulnérabilités liées à un événement afin de contribuer à la défense collective au sens large. (43)Il conviendrait d’étudier la possibilité de centraliser les rapports sur les incidents liés à l’informatique en créant un pôle central de l’UE unique, qui soit recevrait directement les rapports pertinents et en informerait automatiquement les autorités nationales compétentes, soit se contenterait de centraliser les rapports que lui transmettraient les autorités nationales compétentes et assumerait un rôle de coordination. Les AES devraient être chargées d’élaborer, en consultation avec la BCE et l’ENISA, pour une certaine date, un rapport conjoint évaluant la faisabilité de la création d’un tel pôle central de l’UE. (44)Dans le but de garantir une solide résilience opérationnelle numérique, et conformément aux normes internationales (par exemple, les éléments fondamentaux du G7 concernant les tests de pénétration fondés sur la menace), les entités financières devraient tester régulièrement leurs systèmes informatiques et leur personnel pour évaluer l’efficacité de leurs capacités de prévention, de détection, de réponse et de rétablissement, afin de repérer les vulnérabilités potentielles des TIC et d’y remédier. Afin de tenir compte des différences qui existent entre les sous-secteurs financiers et au sein de ceux-ci en ce qui concerne l’état de préparation des entités financières en matière de cybersécurité, les tests devraient comprendre un large éventail d’outils et d’actions, allant d’une évaluation des exigences de base (par exemple, évaluations et analyses de la vulnérabilité, analyses des sources ouvertes, évaluations de la sécurité des réseaux, analyses des lacunes, examens de la sécurité physique, questionnaires et solutions logicielles d’analyse, examens du code source lorsque cela est possible, tests fondés sur des scénarios, tests de compatibilité, tests de performance ou tests de bout en bout) à des tests plus avancés (par exemple, tests de pénétration fondés sur la menace pour les entités financières suffisamment matures du point de vue des TIC pour être capables d’effectuer de tels tests). Les tests de résilience opérationnelle numérique devraient donc être plus exigeants pour les entités financières d’importance significative (telles que les grands établissements de crédit, les bourses, les dépositaires centraux de titres, les contreparties centrales, etc.) Dans le même temps, les tests de résilience opérationnelle numérique devraient être plus pertinents pour certains sous-secteurs qui jouent un rôle systémique essentiel (par exemple les paiements, les services bancaires, les services de compensation et de règlement), et moins pertinents pour d’autres sous-secteurs (par exemple, les gestionnaires d’actifs, les agences de notation de crédit, etc.) Les entités financières transfrontières qui exercent leur liberté d’établissement ou de prestation de services dans l’Union devraient se conformer à un ensemble unique d’exigences de tests avancés (tests de pénétration fondé sur la menace) dans leur État membre d’origine, et ces tests devraient englober toutes les infrastructures informatiques que ces groupes transfrontières détiennent dans les différentes juridictions dans lesquelles ils opèrent au sein de l’Union, ce qui leur permettrait de ne supporter les coûts associés aux tests que dans une seule juridiction. (45)Afin d’assurer un suivi efficace du risque lié aux tiers prestataires de services informatiques, il convient d’établir un ensemble de règles de principe destinées à guider les entités financières dans le suivi des risques engendrés par l’externalisation de fonctions à des tiers prestataires de services informatiques et, plus généralement, par les relations de dépendance à l’égard de tiers prestataires de services informatiques.

(46)Une entité financière devrait à tout moment demeurer pleinement responsable du respect des obligations qui découlent du présent règlement. Un suivi proportionné des risques survenant au niveau du tiers prestataire de services informatiques devrait être assuré en tenant dûment compte de l’ampleur, de la complexité et de l’importance des relations de dépendance liées à l’informatique, de la criticité ou de l’importance des services, processus ou fonctions faisant l’objet des accords contractuels et, enfin, en procédant à une évaluation minutieuse de toute incidence potentielle sur la continuité et la qualité des services financiers au niveau individuel et au niveau du groupe, selon le cas. (47)La réalisation de ce suivi devrait se fonder sur une approche stratégique du risque lié aux tiers prestataires de services informatiques, laquelle serait formalisée par l’adoption, par l’organe de direction de l’entité financière, d’une stratégie dédiée reposant sur une analyse continue de toutes les relations de dépendance à l’égard des tiers prestataires de services informatiques. Afin que les autorités de surveillance cernent mieux les relations de dépendance à l’égard de tiers prestataires de services informatiques, et en vue de consolider le cadre de supervision établi par le présent règlement, les autorités de surveillance financière devraient recevoir régulièrement des informations essentielles provenant des registres et devraient pouvoir en demander des extraits de manière ponctuelle. (48)Une analyse précontractuelle approfondie devrait étayer et précéder la conclusion formelle des accords contractuels, tandis qu’un ensemble minimal de circonstances révélant des insuffisances chez le tiers prestataire de services informatiques devrait déclencher la résiliation des contrats. (49)Afin de remédier à l’effet systémique du risque de concentration des tiers prestataires de services informatiques, il convient de privilégier une solution équilibrée reposant sur une approche souple et progressive, car des plafonds rigides ou des limitations strictes seraient susceptibles d’entraver la conduite des affaires et la liberté contractuelle. Les entités financières devraient procéder à une évaluation rigoureuse des accords contractuels afin de déterminer la probabilité qu’un tel risque apparaisse, y compris au moyen d’analyses approfondies des accords de sous-externalisation, notamment lorsqu’ils sont conclus avec des tiers prestataires de services informatiques établis dans un pays tiers. À ce stade, et en vue de trouver un juste équilibre entre la nécessité de préserver la liberté contractuelle et celle de garantir la stabilité financière, il n’est pas jugé approprié de définir des plafonds et des limites stricts pour les expositions aux tiers prestataires de services informatiques. Il convient plutôt que l’AES désignée pour assurer la supervision de chaque tiers prestataire critique de services informatiques (le «superviseur principal») veille tout particulièrement, dans l’exercice de ses fonctions de supervision, à saisir pleinement l’ampleur des interdépendances et à détecter les cas spécifiques dans lesquels un degré élevé de concentration de tiers prestataires critiques de services informatiques dans l’Union est susceptible de mettre à mal la stabilité et l’intégrité du système financier de l’Union, et qu’elle prévoie un dialogue avec les tiers prestataires critiques de services informatiques lorsque ce risque est avéré. (50)Afin de pouvoir évaluer et contrôler régulièrement la capacité du tiers prestataire de services informatiques à fournir en toute sécurité des services à l’entité financière sans effets préjudiciables sur la résilience de cette dernière, il convient d’harmoniser des éléments contractuels clés tout au long de l’exécution des contrats avec les tiers prestataires de services informatiques. Ces éléments couvrent uniquement les aspects contractuels minimaux considérés comme fondamentaux pour permettre à l’entité financière d’assurer un suivi complet dans le but de garantir sa résilience numérique, qui dépend de la stabilité et de la sécurité du service informatique. (51)Les accords contractuels devraient notamment comporter une description complète des fonctions et des services, des lieux où ces fonctions sont assurées et où les données sont traitées, ainsi qu’une description complète des niveaux de service, accompagnée d’objectifs de performance quantitatifs et qualitatifs correspondant aux niveaux de service convenus, afin de permettre à l’entité financière de procéder à un suivi efficace. Dans le même ordre d’idées, les dispositions relatives à l’accessibilité, la disponibilité, l’intégrité, la sécurité et la protection des données à caractère personnel, ainsi que les garanties d’accès, de récupération et de restitution en cas d’insolvabilité, de résolution ou d’interruption des activités commerciales du tiers prestataire de services informatiques doivent également être considérées comme des éléments fondamentaux pour permettre à une entité financière d’assurer le suivi du risque lié aux tiers. (52)Afin que les entités financières conservent la pleine maîtrise de toutes les évolutions susceptibles de nuire à leur sécurité informatique, il convient que soient définis les délais de préavis et les obligations de notification incombant au tiers prestataire de services informatiques en cas d’évolutions susceptibles d’avoir une incidence significative sur la capacité de ce dernier à remplir efficacement des fonctions critiques ou importantes, y compris la fourniture, sans frais supplémentaires ou à un coût déterminé ex ante, d’une assistance en cas d’incident lié à l’informatique. (53)Les droits d’accès, d’inspection et d’audit accordés à l’entité financière ou à une tierce partie désignée constituent des outils essentiels pour permettre aux entités financières d’assurer un suivi permanent des performances du tiers prestataire de services informatiques, parallèlement à la coopération totale de ce dernier lors des inspections. Dans le même ordre d’idées, l’autorité compétente de l’entité financière devrait être habilitée, moyennant préavis, à inspecter et à auditer le tiers prestataire de services informatiques, dans le respect de la confidentialité. (54)Les accords contractuels devraient établir des droits de résiliation clairs et des préavis minimaux correspondants, ainsi que des stratégies de sortie spécifiques prévoyant, en particulier, des périodes de transition obligatoires pendant lesquelles les tiers prestataires de services informatiques seraient tenus de continuer à assumer les fonctions concernées en vue de réduire le risque de perturbations au niveau de l’entité financière ou de permettre à celle-ci de changer de tiers prestataire de services informatiques, ou encore de recourir à des solutions sur site, en fonction de la complexité du service fourni. (55)En outre, le recours volontaire aux clauses contractuelles types élaborées par la Commission pour les services d’informatique en nuage pourrait procurer un degré accru de confiance aux entités financières et à leurs tiers prestataires de services informatiques, en améliorant le niveau de sécurité juridique relatif à l’utilisation des services d’informatique en nuage par le secteur financier, dans le respect total des exigences et des attentes définies par la réglementation sur les services financiers. Ce travail s’appuie sur les mesures déjà envisagées dans le plan d’action 2018 pour les technologies financières, dans lequel la Commission a annoncé son intention d’encourager et de faciliter l’élaboration de clauses contractuelles types pour l’externalisation des activités d’informatique en nuage par les entités financières, en s’appuyant sur les efforts des parties prenantes de l’informatique en nuage au niveau transsectoriel, que la Commission a facilités grâce à la participation du secteur financier. (56)Afin de promouvoir la convergence et l’efficacité des approches des autorités de surveillance en matière de risques liés aux tiers prestataires de services informatiques dans le secteur financier, de renforcer la résilience opérationnelle numérique des entités financières qui dépendent de tiers prestataires critiques de services informatiques pour l’exécution de fonctions opérationnelles, et de contribuer ainsi à préserver la stabilité du système financier de l’Union et l’intégrité du marché unique des services financiers, les tiers prestataires critiques de services informatiques devraient être soumis à un cadre de supervision de l’Union. (57)Étant donné que seuls les tiers prestataires critiques de services nécessitent un traitement particulier, un mécanisme de désignation aux fins de l’application du cadre de supervision de l’Union devrait être mis en place pour tenir compte de la dimension et de la nature de la dépendance du secteur financier à l’égard de ces tiers prestataires de services informatiques. Ce mécanisme consisterait en un ensemble de critères quantitatifs et qualitatifs qui définiraient les paramètres de criticité servant de référence aux fins de l’inclusion dans le cadre de supervision. Les tiers prestataires critiques de services informatiques qui ne sont pas automatiquement désignés par suite de l’application des critères susmentionnés devraient avoir la possibilité d’adhérer volontairement au cadre de supervision, tandis que les tiers prestataires de services informatiques qui sont déjà soumis à des cadres de supervision établis au niveau de l’Eurosystème à l’appui des missions énoncées à l’article 127, paragraphe 2, du traité sur le fonctionnement de l’Union européenne devraient par conséquent en être exemptés. (58)L’exigence que les tiers prestataires de services informatiques qui ont été désignés comme critiques soient constitués dans l’Union n’équivaut pas à une localisation des données puisque le présent règlement ne comporte aucune autre exigence concernant le stockage ou le traitement des données à effectuer dans l’Union. (59)Ce cadre devrait être sans préjudice de la compétence des États membres à mener leurs propres missions de supervision des tiers prestataires de services informatiques qui ne sont pas critiques au titre du présent règlement, mais qui pourraient être jugés importants au niveau national. (60)Afin de tirer parti de l’architecture institutionnelle à plusieurs niveaux actuellement en place dans le domaine des services financiers, le comité mixte des AES devrait continuer à assurer la coordination intersectorielle globale pour toutes les questions relatives aux risques informatiques, conformément aux tâches qui lui incombent en matière de cybersécurité, avec le soutien d’un nouveau sous-comité (le forum de supervision) chargé de préparer aussi bien les décisions individuelles à l’adresse des tiers prestataires critiques de services informatiques que les recommandations collectives, en ce qui concerne notamment l’analyse comparative des programmes de supervision des tiers prestataires critiques de services informatiques et l’identification des bonnes pratiq