C 155/38

Az Európai Gazdasági és Szociális Bizottság véleménye – Javaslat európai parlamenti és tanácsi rendeletre a pénzügyi szektor digitális működési rezilienciájáról, valamint az 1060/2009/EK, a 648/2012/EU, a 600/2014/EU és a 909/2014/EU rendelet módosításáról

(COM(2020) 595 final – 2020/0266 (COD))

Javaslat európai parlamenti és tanácsi irányelvre a 2006/43/EK, a 2009/65/EK, a 2009/138/EK, a 2011/61/EU, a 2013/36/EU, a 2014/65/EU, az (EU) 2015/2366 és az (EU) 2016/2341 irányelv módosításáról

(COM(2020) 596 final – 2020/0268 (COD))

(2021/C 155/06)

Előadó: Antonio GARCÍA DEL RIEGO

Felkérés: Európai Parlament, 2020.12.17. az Európai Unió Tanácsa, 2020.12.22. Jogalap: az EUMSZ 53. cikkének (1) bekezdése, 114. cikkének (1) bekezdése és 304. cikke Illetékes szekció: „Gazdasági és monetáris unió, gazdasági és társadalmi kohézió” Elfogadás a szekcióülésen: 2021.2.12. Elfogadás a plenáris ülésen: 2021.2.24. Plenáris ülés száma: 558. A szavazás eredménye: (mellette/ellene/tartózkodott) 243/1/4

1. Következtetések és ajánlások

1.1. Az EGSZB üdvözli a digitális működési rezilienciáról szóló rendeletre (DORA) irányuló európai bizottsági javaslatot, mivel annak célja az IKT-kockázatokra vonatkozó rendelkezésekkel kapcsolatos jogbiztonság megteremtése, a szabályozás összetettségének csökkentése, valamint az IKT-kockázatok mérséklését és a harmonizált felügyeleti megközelítést támogató közös standardok megalkotása, egyúttal a jogbiztonság megteremtése és a szükséges biztosítékok nyújtása a pénzügyi vállalkozások és az IKT-szolgáltatók számára. A DORA nemcsak az ágazat IKT-kockázatokkal szembeni rezilienciáját erősíti, hanem számos érdekelt fél, köztük az ügyfelek, a befektetők és a munkavállalók érdekeit is szolgálja, emellett hozzájárul a fenntartható fejlődés megvalósításához.

1.2. Az EGSZB az alábbi lépések mentén ajánlja javítani a DORA eredményességét:

1.2.1. A DORA hatályának kiterjesztése valamennyi olyan alapvető pénzügyi szolgáltatást nyújtó szervezetre, amely pénzügyi tevékenységet fejleszt, az IKT-szolgáltatások nem kulcsfontosságú funkciókkal összefüggő igénybevételének kizárásával.

1.2.2. Az európai felügyeleti hatóságok (EFH-k) által kiadott, meglévő iránymutatásokban foglalt követelmények és a DORA közötti összhang biztosítása a fogalommeghatározások és a hatály tekintetében.

1.2.3. Az IKT-kezelés kapcsán olyan elv- és kockázatalapú megközelítésre összpontosító keret alkalmazása, amely elősegíti az időtálló, rugalmas és a kockázatokkal arányos ellenőrzések végrehajtását.

1.2.4. IKT-vonatkozású biztonsági események tekintetében teljes összhang biztosítása a Pénzügyi Stabilitási Tanács (FSB) kiberbiztonsági eseményekkel kapcsolatos elhárítási és helyreállítási eszköztárával.

1.2.5. A digitális működési reziliencia tesztelése tekintetében a pénzügyi intézmény nagyságrendje mellett a szolgáltatás összetettségének és kritikus mivoltának hangsúlyozása, a tesztelési feladatok korlátozott számú külső tesztelőhöz való kötelező kiszervezésének elkerülése, a teszteredmények kölcsönös elismerése.

1.2.6. A jogbiztonság minden piaci szereplőre kiterjedő érvényesítése, valamint a felügyeleti elvárások megbízható teljesítése érdekében a kiszervezésre vonatkozó követelmények egységes szerkezetbe foglalása egységes szabálykönyv formájában.

1.2.7. A vezető felvigyázók ajánlásainak maradéktalan érvényre juttatása, egyértelmű feladat- és felelősségi körök meghatározása a harmadik félnek minősülő kulcsfontosságú szolgáltatók felvigyázásában részt vevő különböző hatóságok számára.

1.2.8. A harmadik országban letelepedett, harmadik félnek minősülő szolgáltatók szempontjából kulcsfontosságúnak minősülő kiszervezett szolgáltatásokhoz való hozzáférés biztosítása annak érdekében, hogy se a vállalkozások szerződési szabadsága, se a magas hozzáadott értékű szolgáltók szolgáltatásaihoz való hozzáférésük ne legyen korlátozott.

1.2.9. Az arányosság beemelése a szankciórendszerbe az IKT-szolgáltatókat az uniós pénzügyi szervezetek kiszolgálásától visszatartó körülmények elkerülése érdekében, a világpiaci forgalomra való jelenlegi hivatkozás elhagyása.

1.2.10. A vállalkozások kiberfenyegetésekkel kapcsolatos információk megosztására való képességének egyértelművé tétele annak biztosításával, hogy az erre vonatkozó megállapodások önkéntes alapon jöjjenek létre, a DORA-rendeletre irányuló javaslat pedig tartalmazzon külön rendelkezést, amely lehetővé teszi a személyes adatok cseréjét.

1.2.11. Mérlegelhetni lehetne a javaslatban a 2003/361/EK bizottsági ajánlás ( 1 ) mellékletének 2.2. cikkében meghatározottak szerinti mikro- és kisvállalkozásokra – azaz azokra a vállalkozásokra, amelyek 50-nél kevesebb főt foglalkoztatnak, és éves forgalmuk és/vagy éves mérlegfőösszegük nem haladja meg a 10 millió eurót – vonatkozó mentességi küszöbérték növelését, valamint vállalkozás digitális kockázati profiljával arányosan a kkv-szervezetekre alkalmazandó követelmények számának csökkentését.

1.3. Az EGSZB támogatja, hogy a vezető felvigyázók felhatalmazzák a harmadik félnek minősülő kulcsfontosságú szolgáltatókra vonatkozó ellenőrzési és vizsgálati eljárások végrehajtására, mivel ezáltal a vezető felvigyázók jobban megismerhetik a harmadik félnek minősülő kulcsfontosságú szolgáltatók miatt esetlegesen felmerülő kockázatokat, ami elősegítheti a bankok kiszervezési eljárásainak észszerűsítését.

2. Háttér-információk

2.1. Az európai fogyasztók és vállalkozások egyre nagyobb mértékben támaszkodnak a digitális pénzügyi szolgáltatásokra, ami együtt jár azzal, hogy a piaci szereplők egyre nagyobb számban vezetnek be új technológián alapuló, innovatív megoldásokat. A digitális transzformáció kulcsfontosságú az európai helyreállítás, valamint egy fenntartható és reziliens európai gazdaság létrehozása szempontjából.

2.2. Az Európai Bizottság digitális pénzügyi csomagot terjesztett elő arra irányuló prioritásaival összhangban, hogy egyfelől felkészítse Európát a digitális kor kihívásaira, másfelől kiépítse a jövő kihívásaira felkészült, az emberek javát szolgáló gazdaságot. A csomag olyan intézkedéseket vázol fel, amelyek célja, hogy az innováció és a verseny tekintetében még inkább lehetővé tegyék és támogassák a digitális pénzügyi szolgáltatásokban rejlő lehetőségek kiaknázását, ugyanakkor mérsékeljék az ezekből eredő kockázatokat.

2.3. A digitális működési rezilienciáról szóló rendeletre irányuló javaslat mellett az uniós pénzügyi ágazatra vonatkozó új digitális pénzügyi szolgáltatási stratégia ( 2 ) , valamint a kriptoeszközök piacairól szóló rendeletre irányuló javaslat és a megosztott főkönyvi technológián (DLT) alapuló piaci infrastruktúrák kísérleti rendszeréről szóló rendeletre irányuló javaslat ( 3 ) is a digitális pénzügyi csomag részét képezi.

2.4. A digitális működési reziliencia a vállalkozások azon képessége, hogy ellenálljanak az információs és kommunikációs technológiákhoz (IKT) kapcsolódó mindenféle zavarnak és fenyegetésnek. A pénzügyi ágazat szoftverektől és digitális folyamatoktól való egyre növekvő függősége miatt az IKT-kockázatok a pénzügyi szolgáltatások velejárói. A pénzügyi vállalkozások kibertámadások célpontjaivá váltak, amelyek súlyos pénzügyi és reputációs károkat okoznak a fogyasztóknak és a vállalkozásoknak. Ezeket a kockázatokat megfelelően kell ismerni és kezelni, különösen stresszhelyzetekben.

2.5. A 2008. évi pénzügyi válságot követő reform megerősítette az uniós pénzügyi ágazat pénzügyi rezilienciáját, ugyanakkor az IKT-kockázatokkal csak közvetve foglalkozott. A digitális működési rezilienciára vonatkozó, európai szintű, átfogó szabályozási keret hiányában nemzeti szabályozási kezdeményezésekre kellett támaszkodni. Ez azonban korlátozta a hatékonyságot a határokon átnyúló kapcsolatokban, és az egységes piac széttagoltságához vezetett, ami veszélyezteti az uniós pénzügyi ágazat stabilitását és integritását. Mindezek figyelembevételével az Európai Bizottság az uniós pénzügyi szervezetek digitális működési rezilienciájára vonatkozó átfogó keret létrehozását javasolja.

2.6. A digitális működési rezilienciáról szóló rendeletre (DORA) irányuló jogalkotási javaslat ( 4 ) célja, hogy bővítse és észszerűsítse a pénzügyi szervezetek által végzett IKT-kockázatkezelést, kialakítsa az IKT-rendszerek rezilienciájának alapos tesztelését, támogassa az információmegosztást, növelje a felügyeletek tudatosságát a pénzügyi szervezeteket érintő kiberkockázatokkal és IKT-vonatkozású biztonsági eseményekkel kapcsolatban, emellett új felvigyázási hatásköröket vezessen be a pénzügyi felügyeletek számára a pénzügyi szervezetek harmadik félnek minősülő IKT-szolgáltatóktól való függéséből eredő kockázatok tekintetében. A javaslat célja továbbá, hogy a biztonsági események bejelentésére szolgáló egységes mechanizmust hozzon létre, amely hozzájárulhat a pénzügyi szervezetek adminisztratív terheinek mérsékléséhez, valamint az eredményesebb felügyelethez.

2.7. Az Európai Bizottság ezenkívül irányelvjavaslatot ( 5 ) is előterjesztett, mert átmeneti mentességet szükséges biztosítani a multilaterális kereskedési rendszerek számára, emellett annak érdekében, hogy a digitális működési rezilienciáról szóló rendeletre irányuló javaslat célkitűzései teljesüljenek, a pénzügyi szolgáltatásokról szóló meglévő uniós irányelvek bizonyos rendelkezéseit is módosítani vagy pontosítani kell.

2.8. A világ legnagyobb ágazatai közé tartozó IKT-piac értéke a becslések szerint 2019-ben 5 billió USD volt, 2020-re pedig meghaladja a 6 billió USD-t. A folyamatos növekedés emlékeztet arra, hogy a technológia egyre elterjedtebb és egyre fontosabb napjaink társadalmában. A jogalkotási javaslat hatásvizsgálata alapján a pénzügyi szolgáltatási ágazat a világ legnagyobb IKT-felhasználója, amely a teljes IKT-kiadások mintegy 20 %-át teszi ki.

2.9. A Covid19 előmozdította a digitális pénzügyi szolgáltatások elterjedését , mivel a pénzügyi intézmények fiókhálózatai továbbra sem működnek teljes kihasználtsággal. Ez ösztönözni fogja a digitális önkiszolgáló eszközökre, a nyílt pénzügyi alkalmazásokra, valamint az értéknövelt szolgáltatásokra irányuló beruházásokat. Összességében a jelenlegi helyzet arra kényszeríti majd a pénzügyi intézményeket, hogy fokozzák beruházásaikat az IT-infrastruktúrák terén, kezeljék prioritásként a kulcsfontosságú munkamennyiségek migrációját, és frissítsék a meglévő alkalmazásokat. Az európai pénzügyi ágazatban jelenleg is nagyszabású digitális transzformáció zajlik, az ágazat globális versenyképessége pedig nagyrészt azon múlik majd, hogy az európai intézmények képesek-e kihasználni a legfejlettebb technológiákat.

3. Általános megjegyzések

3.1. Az EGSZB üdvözli a digitális működési rezilienciáról szóló rendeletre (DORA) irányuló európai bizottsági javaslatot , amely a pénzügyi ágazat által megfogalmazottak közül számos igénnyel foglalkozik, továbbá célja az IKT-kockázatokra vonatkozó rendelkezésekkel kapcsolatos jogbiztonság megteremtése, a szabályozás összetettségének csökkentése, valamint az Unióban a pénzügyi szervezetekre alkalmazandó sokféle szabályból eredő adminisztratív teher enyhítése. A DORA nemcsak az ágazat IKT-kockázatokkal szembeni rezilienciáját erősíti, hanem számos érdekelt fél, köztük az ügyfelek, a befektetők és a munkavállalók érdekeit is szolgálja, emellett hozzájárul a fenntartható fejlődés megvalósításához.

3.2. Az EGSZB véleménye szerint a DORA fontos lépés az IKT-kockázatok mérséklését és a harmonizált felügyeleti megközelítést támogató közös standardok megalkotása felé, ugyanakkor ügyelni kell arra, hogy a szabályozás ne támasszon olyan új akadályokat, amelyek visszatartják az uniós pénzügyi intézményeket a globális innovációs folyamatban való részvételtől.

3.3. Az EGSZB általános célnak tekinti, hogy az uniós hatóságok olyan arányos és kockázatalapú rendszer megvalósítására törekedjenek, amely biztosítja a felügyeletek számára a saját szempontjaik érvényesítésére alkalmas eszközöket, és egyúttal gondoskodik a jogbiztonságról, valamint a szükséges biztosítékok meglétéről a pénzügyi vállalkozások és az IKT-szolgáltatók számára.

4. Részletes megjegyzések

4.1. Hatály és egymást átfedő szabályozási kérdések

4.1.1. A szabályozás hatályának kiterjesztése további releváns pénzügyi piaci szereplőkre

Az EGSZB elismeri és üdvözli, hogy a javasolt jogszabály a pénzügyi piaci szereplők széles körét célozza meg, ami biztosítja majd a benne foglalt követelmények egységes alkalmazását az uniós pénzügyi ágazat egészében, ugyanakkor azt ajánljuk, hogy az uniós szakpolitikai döntéshozók terjesszék ki a szabályozást olyan pénzügyi piaci szereplőkre is, amelyeket jelenleg nem sorolnak a javasolt jogszabály hatálya alá – például a lakáscélú jelzáloghitelt és a fogyasztói hitelt nyújtó szolgáltatókra –, annak függvényében, hogy mekkora potenciális kockázatot jelentenek a rendszerre. Minden olyan pénzügyi szolgáltatást nyújtó szervezetnek, amely azonos tevékenységeket fejleszt ki és azonos kockázatokat vállal, azonos szabályok és felügyelet hatálya alá kell tartoznia annak érdekében, hogy a fogyasztók és a pénzügyi stabilitás védelmét a digitális rezilienciára vonatkozó egységes minimális keret biztosítsa.

4.1.2. Összhang nemzetközi és uniós szinten, valamint a meglévő szabályozási eszközökkel

Döntő fontosságú, hogy a szabályok egyértelműek legyenek a vállalkozások, különösen a határokon átnyúló tevékenységet végzők számára, ennek érdekében egységes fogalomrendszert és -meghatározásokat kell biztosítani, kerülve a párhuzamosságokat, átfedéseket és eltérő értelmezéseket azzal kapcsolatban, hogy a hasonló szabályozói elvárások milyen módon teljesíthetők a különböző joghatósági területeken. Az EGSZB azt ajánlja, hogy az uniós politikai döntéshozók módosítsák a működési reziliencia meghatározását, hogy az összhangban legyen a Bázeli Bankfelügyeleti Bizottság (BCBS) fogalommeghatározásával (6), és biztosítsa, hogy ez legyen az uniós pénzügyi intézményekre alkalmazandó irányadó rendszer a más szabályozásokkal való ellentmondások kockázatának elkerülése érdekében. Ezenkívül a DORA számos olyan alapelvet és követelményt rögzít, amelyek meghatározása már szerepel a kiszervezésre vonatkozó meglévő iránymutatásokban (7). Az IKT-kockázatok és a biztonsági kockázatok kezelésére vonatkozó követelmények meghatározása szintén megtalálható az EBH iránymutatásaiban. Az uniós szabályozási követelmények harmonizációjához döntő fontosságú, hogy a fogalommeghatározások és hatály tekintetében összhangot biztosítsanak a meglévő iránymutatásokban foglalt követelmények és a DORA között.

4.1.3. Az EGSZB egyúttal azt javasolja, hogy az Európai Bizottság gondoskodjon arról, hogy a hálózati és információs rendszerek biztonságáról szóló (kiberbiztonsági) irányelvben, valamint a DORA-rendeletre irányuló javaslatban azonos fogalommeghatározások és követelmények szerepeljenek azon politikát illetően, amely alapján a pénzügyi szervezetek bejelentik a biztonsági eseményeket.

4.2. IKT-kockázatkezelés

A keret egyes elemei túlzottan a megfelelésre összpontosítanak ahelyett, hogy a vállalkozások hogyan mutathatnak fel eredményeket egy elv- és kockázatalapú megközelítés keretében. Mivel ezek az elemek túlságosan normatív jellegűek és részletesek, fennáll a kockázata, hogy azok a kiber- és IKT-kockázati környezet alakulásával idővel elavulnak. Az EGSZB olyan, nagyobb mértékben elv- és kockázatalapú megközelítést ajánl, amely elősegíti az időtálló, rugalmas, arányos és a kockázatokkal összemérhető ellenőrzések végrehajtását.

4.3. IKT-vonatkozású biztonsági események

Az EGSZB a Pénzügyi Stabilitási Tanács (FSB) kiberbiztonsági eseményekkel kapcsolatos elhárítási és helyreállítási eszköztárával (8) való teljes összhang megteremtését ajánlja, amely bemutatja a biztonsági események bejelentésével, valamint az IKT-vonatkozású biztonsági események DORA-javaslatban előírt kezelésével, osztályozásával és bejelentésével kapcsolatos bevált módszereket. Vannak átfedések, amelyek szabályozási bizonytalanságot eredményeznek, és növelik a vállalkozások szabályozásból eredő terheit.

4.4. A digitális működési reziliencia tesztelése

4.4.1. Az EGSZB üdvözli a fenyegetettségi szempontú behatolási tesztelés páneurópai rendszerét, mivel az javítani fogja a hatékonyságot és csökkenteni fogja a széttagoltságot, ugyanakkor ajánlja, hogy a hatóságok a pénzügyi intézmény mérete, illetve nagyságrendje mellett helyezzenek hangsúlyt a szolgáltatás összetettségére és kritikus mivoltára is: vegyék figyelembe az arányosság elvét, adott esetben ne különböztessék meg a minden pénzügyi intézményre vonatkozó alapvető tesztelést és a jelentős pénzügyi intézményekre vonatkozó, fejlettebb módszerekkel végzett tesztelést, továbbá a kisebb pénzügyi szervezetek ügyfeleinek azonos szintű védelmet, illetve a minden pénzügyi szervezet számára egyenlő versenyfeltételeket biztosítsanak.

4.4.2. Az EGSZB a külső tesztelők korlátozott számára tekintettel azt javasolja, hogy a tesztelés külső tesztelőkhöz történő kiszervezése ne legyen kötelező. Sőt, a vállalkozások rendelkezhessenek saját belső tesztelőcsoportokkal, amelyek ismerik a vállalkozás környezetét, és képesek gyorsan áttérni a fejlettebb módszerekkel végzett, célzottabb tesztekre.

4.4.3. Felül kell vizsgálni a fenyegetettségi szempontú behatolási tesztelés hatályának a harmadik félnek minősülő IKT-szolgáltatókra való kiterjesztését. Az, hogy a harmadik félnek minősülő IKT-szolgáltatók több ügyfelet is kiszolgálhatnak, jelentős tesztelési párhuzamosságokat eredményezhet, ami viszont a harmadik félnek minősülő IKT-szolgáltatók és az általuk kiszolgált ügyfelek számára egyaránt jelentős kockázatokkal járhat.

4.4.4. Ezenkívül az EGSZB ajánlja, hogy a szabályok említsék meg külön a teszteredmények kölcsönös elismerését , tekintettel annak a kockázat csökkentésében, az egységes piac problémamentes működésének biztosításában, valamint abban játszott szerepére, hogy a határokon átnyúló tevékenységet végzők elkerülhessék a költségnövekedést.

4.5. A harmadik féltől eredő IKT-kockázat kezelése és a harmadik félnek minősülő kulcsfontosságú szolgáltatókra vonatkozó felvigyázási keret

4.5.1. A kiszervezésre vonatkozó meglévő iránymutatásokkal való összhang biztosítása

Az EGSZB üdvözli, hogy a DORA közös szabályozási keretet hoz létre a harmadik féltől eredő IKT-kockázat megfelelő kezelésére, amely minden európai pénzügyi piaci szereplőre kiterjed. Döntő fontosságú azonban, hogy biztosítsák az összhangot az alapelvek (25., 26. és 27. cikk) által meghatározott közös alap és a meglévő szabályok, például az európai felügyeleti hatóságok (EFH-k) kiszervezésre vonatkozó iránymutatásai között (azaz a „kiszervezés” és a „harmadik fél által nyújtott szolgáltatás” alkalmazási körében meglévő kettősség feloldásával (9)). Úgy véljük továbbá, hogy ez az uniós hatóságok számára is nagyszerű lehetőség arra, hogy egyetlen rendelet formájában, az értelmezésbeli különbségek kiküszöböléséhez szükséges részletezettséggel egységes szerkezetbe foglalják a kiszervezésre vonatkozó követelményeket, ami minden piaci szereplő számára jogbiztonságot teremthet, és biztosíthatja a felügyeleti elvárások megbízható teljesítését.

4.5.2. A kulcsfontosságú vagy lényeges kiszervezett tevékenységekre vonatkozó követelmények

A DORA 25. cikke (2) bekezdésének alkalmazásában a kockázatorientáltság megőrzése érdekében a rendeletnek konkrétabban kell fogalmaznia az arányosság elvének alkalmazási módját illetően: pontosan meg kell határoznia a kulcsfontosságú vagy lényeges kiszervezett tevékenységekre, valamint a többi tevékenységre vonatkozó követelményeket (10). Az EGSZB azt javasolja, hogy a DORA hatálya ne terjedjen ki az IKT-szolgáltatások nem kulcsfontosságú funkciókkal összefüggő igénybevételére.

4.5.3. A harmadik félnek minősülő kulcsfontosságú szolgáltatókra vonatkozó közvetlen felvigyázási keret

Az EGSZB üdvözli egy olyan közvetlen felvigyázási keret bevezetését, amelynek révén – uniós szintű horizontális, ágazatfüggetlen keret hiányában – a pénzügyi felügyeletek folyamatosan nyomon követhetik a harmadik félnek minősülő kulcsfontosságú szolgáltatók tevékenységét. A javasolt rendeletben az uniós hatóságoknak el kell ismerniük, hogy egy kulcsfontosságú IKT-szolgáltató felügyelet alá vonásakor a pénzügyi intézmények kockázati kitettsége a szolgáltató tevékenységének folyamatos figyelemmel kísérése miatt csökken. Az új felvigyázási keret ezért a pénzügyi szervezetekre jelenleg nehezedő terhek egy részének megszüntetésével elősegítheti a bankok kiszervezési eljárásainak észszerűsítését, például a kulcsfontosságúnak tekintett, harmadik félnek minősülő szolgáltatókra vonatkozó ellenőrzési és vizsgálati eljárások végrehajtásával összefüggésben.

4.5.4. Az EGSZB támogatja, hogy a vezető felvigyázókat felhatalmazzák a harmadik félnek minősülő kulcsfontosságú szolgáltatókra vonatkozó ellenőrzési és vizsgálati eljárások végrehajtására, mivel a vezető felvigyázók így jobban megismerhetik a harmadik félnek minősülő kulcsfontosságú szolgáltatók miatt esetlegesen felmerülő kockázatokat azáltal, hogy közvetlen ismeretekhez jutnak e szolgáltatók folyamatairól és helyszíneiről ahelyett, hogy a felügyelt pénzügyi intézmények mindenkori adatszolgáltatására és az illetékes nemzeti hatóságok által folytatott vizsgálatokra támaszkodnának. Bár a pénzügyi szervezetek kockázatcsökkentési politikáját fenn kell tartani, és a jogi kötelezettség továbbra is őket terheli, amennyiben a vizsgálatot és ellenőrzéseket a vezető felvigyázó már elvégezte, a pénzügyi intézményeknek profitálniuk kellene ebből a további biztonsági szintből, és nem kellene újra elvégezniük azokat.

4.5.5. A vezető felvigyázó és az illetékes nemzeti hatóságok

A felvigyázási folyamat lezárását követően a vezető felvigyázó ajánlásai nyomán intézkednek az illetékes nemzeti hatóságok, amelyek saját megközelítéssel rendelkezhetnek arra vonatkozóan, hogy a vezető felvigyázó ténymegállapításait hogyan kell végrehajtani a meghatározott harmadik félnek minősülő kulcsfontosságú szolgáltatók esetében. Az EGSZB ajánlja, hogy teljes egyértelműséget biztosítsanak a különböző hatóságok feladat- és felelősségi köreit illetően az olyan helyzet elkerülése – és ezzel a széttagozódási kockázat csökkentése – érdekében, ahol az értelmezésbeli különbségek a harmadik félnek minősülő kulcsfontosságú szolgáltatók mindegyik ügyfelét az illetékes hatóságuktól függően eltérően érintik. Gondoskodni kell továbbá arról, hogy ezeket az ajánlások maradéktalanul végrehajthatók legyenek, szem előtt tartva, hogy a 37. cikk jelenleg nem fogalmaz egyértelműen azok kötelező erejét illetően.

4.5.6. Harmadik félnek minősülő kulcsfontosságú szolgáltató felfüggesztése

A DORA felhatalmazza a nemzeti pénzügyi szabályozó hatóságokat, hogy előírják az ügyfeleknek valamely IKT-szolgáltató igénybevételének átmeneti felfüggesztését addig, amíg az ajánlásokban meghatározott kockázatok kezelése nem történik meg. A valamely harmadik félnek minősülő kulcsfontosságú IKT-szolgáltatóval való együttműködés azonnali megszüntetésére vonatkozó követelmények mindenképpen befolyásolnák a meglévő vagy jövőbeli üzleti döntéshozatalt (pl. visszatarthatják az Unióban végrehajtott beruházásokat), és esetlegesen kihatnának a pénzügyi stabilitásra is. E döntés meghozatala előtt az illetékes hatóságoknak egyéb tényezők mellett körültekintően mérlegelniük kell, hogy a szolgáltatás megszüntetése milyen kedvezőtlen hatással járhat az adott harmadik félnek minősülő kulcsfontosságú szolgáltatót igénybe vevő pénzügyi szervezetekre nézve (11), egyértelmű kritériumokat kellene meghatározniuk egy ilyen követelmény tekintetében, és lehetséges korrekciós intézkedéseket kellene fontolóra venniük.

4.5.7. Ajánljuk továbbá, hogy ha végül ez a helyzet alakulna ki, a pénzügyi szervezetek kellő időben kapjanak előzetes tájékoztatást, hogy elegendő idejük legyen a kilépésre.

4.6. Az európai pénzügyi vállalkozások versenyképességének megőrzése

4.6.1. Az új keretnek biztosítani kell, hogy az európai pénzügyi vállalkozások továbbra is hozzáférhessenek legalább ugyanazokhoz a technológiákhoz, mint a globális versenytársaik. Az uniós pénzügyi vállalkozások globális versenyben vesznek részt, a készülő uniós szabályozási keret pedig nem hozhatja hátrányba ezeket az uniós vállalkozásokat azáltal, hogy korlátozza hozzáférésüket a legfejlettebb technológiákhoz, amennyiben az ilyen szolgáltatásokat nyújtók a reziliencia és a biztonság tekintetében megfelelnek az uniós normáknak.

4.6.2. Harmadik országban letelepedett, harmadik félnek minősülő szolgáltatók

A rendelet nem korlátozhatja a kulcsfontosságúnak minősülő szolgáltatások harmadik országban letelepedett, harmadik félnek minősülő szolgáltatókhoz való kiszervezésének lehetőségét. Az ilyen megkötés határozottan korlátozná az egyes vállalkozások szerződési szabadságát, valamint az európai pénzügyi intézmények képességét arra, hogy hozzáférjenek az olyan, magas hozzáadott értékű szolgáltatók szolgáltatásaihoz, amelyek minden bizonnyal nem találhatók meg kellő számban Európában. Ez annál is inkább lényeges, mert a javasolt felvigyázási keret a pénzügyi ágazatra korlátozódik, ami egyenlőtlen versenyfeltételeket teremthet a rendelet hatálya alá nem tartozó egyéb szereplők számára, és végső soron növelheti a koncentráció kockázatát, amelynek elkerülésére a DORA törekszik.

4.6.3. A világpiaci forgalmon alapuló büntető szankciók

A DORA a világpiaci forgalmuk alapján megállapított büntető szankciókat ír elő azokkal az IKT-szolgáltatókkal szemben, amelyek nem teljesítik az uniós pénzügyi felügyeletek megkereséseit. E szankciók aránytalan alkalmazása visszatarthatja a globális IKT-szolgáltatókat attól, hogy uniós pénzügyi vállalkozásokat szolgáljanak ki, ami ténylegesen korlátozhatja az uniós pénzügyi vállalkozások számára választható szolgáltatók körét. Ezenkívül az aránytalan pénzügyi szankciók lehetősége visszatartaná a harmadik félnek minősülő, nem kulcsfontosságú szolgáltatókat a felvigyázási rendszer választásától, ez pedig csökkentené a versenyt a beszerzési piacon. Az EGSZB bizonyos fokú arányosság beemelését javasolja a szankciórendszerbe, ami alapvető fontosságú az IKT-szolgáltatókat az uniós pénzügyi szervezetek kiszolgálásától visszatartó körülmények elkerüléséhez.

4.7. Az információmegosztásra vonatkozó megállapodás

4.7.1. Mivel az időben történő információcsere elengedhetetlen a támadási vektorok hatékony azonosításához, valamint a lehetséges fenyegetések elszigeteléséhez és megelőzéséhez, az EGSZB üdvözli a kiberfenyegetésekkel kapcsolatos információk pénzügyi intézmények közötti, önkéntes alapon történő megosztására vonatkozó megállapodások elősegítéséről szóló rendelkezést.

4.7.2. Ajánljuk továbbá, hogy az uniós hatóságok e rendelet feltételei között biztosítsanak egyértelmű jogalapot a személyes adatok (pl. IP-címek) cseréjére, mivel ez csökkentené a bizonytalanságot, emellett növelné a pénzügyi szervezetek kapacitását arra, hogy megerősítsék védelmi képességeiket, eredményesebben azonosítsák a fenyegetéseket, és mérsékeljék az egymás közötti fertőzés kockázatát. További pontosításra van szükség az adatok bizalmas, illetve érzékeny jellege miatt.

Kelt Brüsszelben, 2021. február 24-én. az Európai Gazdasági és Szociális Bizottság elnöke Christa SCHWENG

(1) HL L 124., 2003.5.20., 36. o.

(2) Lásd az EGSZB véleményét a következő tárgyban: Digitális pénzügyi szolgáltatási stratégia (ECO/534) (lásd e Hivatalos Lap 27. oldalát).

(3) Lásd az EGSZB véleményét a következő tárgyban: A kriptoeszközök és az elosztott főkönyvi technológia (ECO/535) (lásd e Hivatalos Lap 31. oldalát).

(4) COM(2020) 595 final.

(5) COM(2020) 596 final.

(6) Bázeli Bankfelügyeleti Bizottság: Principles for operational resilience (A működési reziliencia alapelvei) (2020. november 6.).

(7) Például az EBH és az EIOPA által kidolgozott iránymutatások, valamint az ESMA konzultációs szakaszban tartó iránymutatás-tervezetei.

(8) Pénzügyi Stabilitási Tanács: Final Report on Effective Practices for Cyber Incident Response and Recovery (Végleges jelentés a kiberbiztonsági eseményekkel kapcsolatban bevált elhárítási és helyreállítási módszerekről) (2020. október 19.).

(9) A DORA a harmadik féltől eredő IKT-kockázat megfelelő kezelésének alapelvei kapcsán (V. fejezet) mindössze „harmadik félnek minősülő IKT-szolgáltatók által nyújtott szolgáltatásokat” említ, míg az EBH kiszervezési megállapodásokra vonatkozó iránymutatásának alkalmazási köre a kiszervezés fogalommeghatározásán alapul, amely arra utal, hogy a tevékenységet ismétlődő vagy folyamatos jelleggel végzik (26. bekezdés). Az EBH kiszervezési megállapodásokra vonatkozó iránymutatása emellett felsorolja azokat a kivételeket is, amelyek nem tekinthetők kiszervezésnek (28. bekezdés).

(10) Ebben az esetben is döntő fontosságú, hogy a „kulcsfontosságú vagy lényeges funkciók” fogalmának DORA, valamint az EBH kiszervezésre vonatkozó iránymutatásai szerinti meghatározásai összhangban álljanak egymással. Ezzel összefüggésben az EBH iránymutatásai meghatározzák azokat a tényezőket, amelyeket a pénzügyi intézményeknek figyelembe kell venniük annak értékelésekor, hogy egy kiszervezési megállapodás kulcsfontosságú vagy lényeges funkcióhoz kapcsolódik-e (29., 30. és 31. cikk).

(11) A kulcsfontosságú IKT-szolgáltatók kijelölésére vonatkozó kritériumok egyike a harmadik félnek minősülő kulcsfontosságú szolgáltató helyettesíthetőségének mértéke lenne, figyelembe véve a valós alternatívák hiányát, vagy a szolgáltatások részleges vagy teljes áttelepítésével járó nehézségeket (28. cikk (2) bekezdés). Ebben az esetben a pénzügyi intézmények nehezen válthatnának szolgáltatót. Emellett annak előírása, hogy a kockázatnak kitett pénzügyi intézmények másik szolgáltatót vegyenek igénybe, végső soron hozzájárulna az európai piac fokozott koncentrációjához, ami kifejezetten ellentétes lenne e rendelet szándékával.