Mivel a javaslat az EUMSZ 53. cikkének (1) bekezdése alapján elfogadott európai parlamenti és tanácsi irányelvek közül többet is érint, egyidejűleg irányelvre irányuló javaslat elfogadására is sor kerül, amely tükrözi az érintett irányelvek szükséges módosításait.

Az IKT-vonatkozású biztonsági események bejelentésére vonatkozó követelmények közötti átfedések megszüntetése mérsékelné az adminisztratív terheket, és csökkentené a járulékos költségeket is. A digitális működési reziliencia harmonizált tesztelése és az egységes piacon belüli kölcsönös elismerése csökkenti a költségeket, különösen a határokon átnyúló tevékenységet végző vállalkozások számára, amelyeknek enélkül több tagállamban is tesztelniük kellene.

A választott alternatívával összefüggésben egyszeri és ismétlődő költségek is felmerülnének. Az előbbiek főként az informatikai rendszerekre irányuló beruházásokból adódnak, ennélfogva az egyes vállalkozások összetett informatikai környezetének, ezen belül különösen hagyományos rendszereik eltérő állapota miatt nehezen számszerűsíthetők. Ezzel együtt a nagyvállalatokat valószínűleg csak mérsékelt költségek terhelik az eddig már végrehajtott jelentős IKT-beruházásaikra tekintettel. A költségek várhatóan alacsonyabbak lesznek a kisebb vállalkozások esetében is, amelyekre mérsékeltebb kockázatukkal arányos intézkedések vonatkoznának.

Ezt a javaslatot a Szabályozói Ellenőrzési Testületnek (RSB) 2020. április 29-én benyújtott és általa 2020. május 29-én jóváhagyott hatásvizsgálat kíséri. Az RSB egyes területeken javításokat ajánlott annak érdekében, hogy a hatásvizsgálat: i. részletesebben mutassa be, hogy milyen módon érvényesülne az arányosság elve; ii. jobban emelje ki az előnyben részesített alternatíva eltéréseit az európai felügyeleti hatóságok két közös szakvéleményéhez képest, valamint azt, hogy miért az adott alternatíva tekinthető optimálisnak; továbbá iii. tegye hangsúlyosabbá a javaslat kölcsönhatását a meglévő uniós jogszabályokkal, beleértve a jelenleg felülvizsgálat alatt álló szabályokat is. A Bizottság a felvetett szempontok, valamint az RSB részletesebb észrevételeinek figyelembevételével módosította a hatásvizsgálatot.

Az SFD hatálya alóli kizárások figyelembe veszik azt, hogy az SFD szerinti rendszerüzemeltetőket és résztvevőket érintő jogi és szakpolitikai kérdések további felülvizsgálata szükséges, ennek során azonban megfelelően mérlegelni kell a központi bankok által üzemeltetett fizetési rendszerek jelenlegi kereteire gyakorolt hatást is. Mivel e kérdések olyan szempontokat is érinthetnek, amelyek nem kapcsolódnak az e rendelettel szabályozott kérdéskörbe, a Bizottság folyamatosan vizsgálja, hogy szükséges-e a rendelet hatályának további, jelenleg azon kívül eső szervezetekre és IKT-infrastruktúrákra történő kiterjesztése, és ha igen, az milyen hatással járna.

Átfogó jellege ellenére a rendelet hatálya nem teljes. Nem terjed ki különösen a fizetési és értékpapír-elszámolási rendszerekben az elszámolások véglegességéről szóló 98/26/EK európai parlamenti és tanácsi irányelv (SFD) 2. cikkének p) pontjában meghatározott rendszerüzemeltetőkre, sem az ilyen rendszerek résztvevőire, kivéve akkor, ha a résztvevő maga is uniós szinten szabályozott pénzügyi szervezet (hitelintézet, befektetési vállalkozás, központi szerződő fél), amely ennélfogva önmagában is e rendelet hatálya alá tartozik. A rendelet hatálya nem terjed ki továbbá az uniós kibocsátásiegység-forgalmi jegyzékre sem, amely a 2003/87/EK irányelvvel összhangban az Európai Bizottság égisze alatt működik.

A javaslat a konkrét célkitűzésekre gyakorolt hatások nyomon követésére és értékelésére vonatkozó általános tervet is magában foglal, amelynek kapcsán a Bizottságnak legalább a hatálybalépést követően három évvel felülvizsgálatot kell végeznie, és annak főbb megállapításairól be kell számolnia az Európai Parlamentnek és a Tanácsnak.

Végül pedig a rendeletnek célja az is, hogy előmozdítsa a pénzügyi ágazat harmadik féltől eredő IKT-kockázatával kapcsolatos felügyeleti megközelítések konvergenciáját azáltal, hogy a harmadik félnek minősülő kulcsfontosságú IKT-szolgáltatókra is kiterjeszti az uniós felvigyázási keret hatályát. Egy új, harmonizált jogszabályi keretben az egyes harmadik félnek minősülő kulcsfontosságú IKT-szolgáltatók vezető felvigyázójaként kijelölt EFH olyan hatásköröket kap, amelyeket gyakorolva biztosíthatja a pénzügyi ágazat működésében kulcsfontosságú szerepet betöltő technológiai szolgáltatók megfelelő, páneurópai léptékű figyelemmel kísérését. Az e rendeletben meghatározott felvigyázási keret a pénzügyi szolgáltatások területén meglévő intézményi struktúrára épít úgy, hogy az EFH-k vegyes bizottsága – a kiberbiztonsággal kapcsolatos feladataival összhangban – biztosítja az ágazatközi koordinációt az IKT-kockázatot érintő valamennyi kérdésben, ennek során pedig a harmadik félnek minősülő kulcsfontosságú IKT-szolgáltatókra vonatkozó egyedi döntéseket és a részükre megfogalmazott kollektív ajánlásokat előkészítő releváns albizottság (felvigyázási fórum) munkájára támaszkodik.

tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 114. cikkére,

tekintettel az Európai Bizottság javaslatára,

a jogalkotási aktus tervezetének a nemzeti parlamenteknek való továbbítását követően,

tekintettel az Európai Központi Bank véleményére,

tekintettel az Európai Gazdasági és Szociális Bizottság véleményére,

rendes jogalkotási eljárás keretében,

mivel:

(1)A digitális korban a mindennapos társadalmi tevékenységek során alkalmazott összetett rendszereket információs és kommunikációs technológiák (IKT) támogatják. E technológiák biztosítják a gazdaság folyamatos működését a kulcsfontosságú ágazatokban, beleértve a pénzügyi szolgáltatásokat is, emellett javítják az egységes piac működését is. Minél nagyobb méreteket ölt a digitalizáció és az összekapcsoltság, annál nagyobbak az IKT-kockázatok is, ami a társadalom egészét, azon belül pedig különösen a pénzügyi rendszert kiszolgáltatottabbá teszi a kiberfenyegetésekkel és az IKT-zavarokkal szemben. Az IKT-rendszerek általános alkalmazása, valamint a nagy fokú digitalizáció és összekapcsoltság napjainkban az uniós pénzügyi szervezetek valamennyi tevékenységének alapvető jellemzői, a digitális reziliencia egyelőre mégsem épült be kellő mértékben e szervezetek működési kereteibe.

(2)Az IKT használata az elmúlt évtizedekben egyre meghatározóbb szerephez jutott a pénzügyi szolgáltatásokban, ma már pedig alapvető fontossággal bír minden pénzügyi szervezet jellemző mindennapos funkcióinak működésében. A digitalizáció kiterjed például a fizetésekre, ahol a készpénz- és papíralapú módszereket mind inkább a digitális megoldások alkalmazása váltja fel, emellett az értékpapírok elszámolására és kiegyenlítésére, az elektronikus és algoritmikus kereskedésre, a hitelnyújtási és finanszírozási műveletekre, a személyközi finanszírozásra, a hitelminősítésekre, a biztosítási kockázatvállalásra, a követeléskezelésre, valamint a háttértevékenységekre. Amellett, hogy a pénzügyi szolgáltatások az ágazat egészében nagyrészt digitálissá váltak, a digitalizáció fokozottabb összekapcsoltságot és kölcsönös függést is eredményezett mind a pénzügyi ágazaton belül, mind pedig a harmadik felektől igénybe vett infrastruktúrák és szolgáltatások terén.

(3)Az Európai Rendszerkockázati Testület (ERKT) a rendszerszintű kiberkockázattal foglalkozó 2020. évi jelentésében megerősítette, hogy a pénzügyi szervezetek, a pénzügyi piacok és a pénzügyi piaci infrastruktúrák nagy fokú összekapcsoltságából, és különösen IKT-rendszereik kölcsönös függéseiből miképpen származhat rendszerszintű sebezhetőség amiatt, hogy a lokalizált kiberbiztonsági események a mintegy 22 000 uniós pénzügyi szervezet bármelyikéről gyorsan, földrajzi határoktól függetlenül átterjedhetnek a teljes pénzügyi rendszerre. Az IKT-biztonság pénzügyi szolgáltatások ágazatában bekövetkező sérülése nemcsak elszigetelt pénzügyi szervezeteket érint. Lehetővé teszi a lokalizált sebezhetőségek pénzügyi transzmissziós csatornákon keresztüli zavartalan terjedését is, emellett káros következményekkel járhat az uniós pénzügyi rendszer stabilitására nézve is, ami likviditáselvonási hullámokat és a pénzügyi piacokkal szembeni általános bizalomvesztést eredményez.

(4)Az elmúlt években az IKT-kockázatok felkeltették a nemzeti, európai és nemzetközi szakpolitikai döntéshozó, szabályozó és standardalkotó szervezetek figyelmét, amelyek a reziliencia erősítésére, standardok alkotására, a szabályozói és felügyeleti munka összehangolására törekszenek. Nemzetközi szinten a Bázeli Bankfelügyeleti Bizottság, a Fizetési és Piaci Infrastruktúra Bizottság, a Pénzügyi Stabilitási Tanács, a Pénzügyi Stabilitási Intézet, valamint a G7- és a G20-csoport célja, hogy a különböző joghatósági területek illetékes hatóságai és piaci szereplői a pénzügyi rendszereik rezilienciáját támogató eszközökhöz jussanak.

(5)A tagállami és európai szintű célzott szakpolitikai és jogalkotási kezdeményezések ellenére az IKT-kockázatok továbbra is kihívást jelentenek az uniós pénzügyi rendszer digitális működési rezilienciája, teljesítménye és stabilitása szempontjából. A 2008. évi pénzügyi válságot követő reform elsősorban az uniós pénzügyi ágazat pénzügyi rezilienciáját erősítette meg, és arra irányult, hogy megóvja az Unió versenyképességét, valamint gazdasági, prudenciális és a piaci magatartás szempontjából vett stabilitását. Bár az IKT-biztonság és a digitális reziliencia a működési kockázat kezelésének része, a válság utáni szabályozási menetrendben kisebb hangsúlyt kapott, és fejlesztésére az uniós pénzügyi piacot érintő szakpolitikai és szabályozási területek közül csak egyeseken, vagy csak néhány tagállamban került sor.

(6)A Bizottság 2018. évi pénzügyi technológiai cselekvési terve rámutatott annak kiemelkedő fontosságára, hogy az uniós pénzügyi ágazatot működési szempontból is reziliensebbé kell tenni annak érdekében, hogy garantált legyen technológiai biztonsága, megfelelő működése, továbbá IKT-biztonsági sérüléseket és eseményeket követő gyors helyreállítása, ami végső soron lehetővé teszi a pénzügyi szolgáltatások gyors és zökkenőmentes nyújtását az Unió egészében stresszkörülmények között is, ugyanakkor hozzájárul a fogyasztói és piaci bizalom megóvásához.

(7)2019 áprilisában az Európai Bankhatóság (EBH), az Európai Értékpapírpiaci Hatóság (ESMA) és az Európai Biztosítás- és Foglalkoztatóinyugdíj-hatóság (EIOPA) (együtt: európai felügyeleti hatóságok vagy EFH-k) két közös szakvéleményt adtak ki, amelyben szorgalmazták a pénzügyi szolgáltatási ágazat IKT-kockázatának koherens megközelítését, továbbá javaslatot tettek az ágazat digitális működési rezilienciájának ágazatspecifikus uniós kezdeményezésen keresztüli arányos megerősítésére.

(8)Az uniós pénzügyi ágazatot harmonizált, egységes szabálykönyv szabályozza a Pénzügyi Felügyeletek Európai Rendszerének irányításával. Mindazonáltal a digitális működési rezilienciára és az IKT-biztonságra vonatkozó rendelkezések egyelőre nem teljesen, vagy nem következetesen harmonizáltak annak ellenére, hogy a digitális korban a digitális működési reziliencia létfontosságú a pénzügyi stabilitáshoz és a piac integritásához, és legalább olyan fontos, mint például a prudenciális vagy a piaci magatartásra vonatkozó általános előírások. Az egységes szabálykönyvet és a felügyeleti rendszert ezért e komponensre is kiterjedően szükséges fejleszteni, a pénzügyi stabilitás és a piaci integritás nyomon követéséért és védelméért felelős pénzügyi felügyeletek szélesebb körű felhatalmazásával.

(9)Az IKT-kockázatokkal kapcsolatos jogalkotási eltérések, valamint a heterogén tagállami szabályozási és felügyeleti megközelítések akadályozzák a pénzügyi szolgáltatások egységes piacát, megnehezítve a határokon átnyúló tevékenységet végző pénzügyi szervezetek számára a letelepedés és a szolgáltatásnyújtás szabadságának zavartalan gyakorlását. Ugyancsak torzulhat a verseny a több tagállamban is tevékenységet folytató, azonos típusú pénzügyi szervezetek között. Különösen azokon a területeken, ahol az uniós harmonizáció csak nagyon korlátozottan (például a digitális működési reziliencia tesztelése tekintetében) vagy egyáltalán nem valósult meg (például a harmadik féltől eredő IKT-kockázat tekintetében), a nemzeti szintű fejlesztési elképzelésekből adódó eltérések további akadályokat képezhetnek az egységes piac működésében, ami a piaci szereplők és a pénzügyi stabilitás szempontjából egyaránt káros.

(10)Az a részlegesség, amellyel az IKT-kockázatra vonatkozó rendelkezések eddigi uniós szintű kezelése történt, lényeges területeken eredményezett hiányosságokat vagy átfedéseket, például az IKT-vonatkozású biztonsági események bejelentése és a digitális működési reziliencia tesztelése terén, emellett következetlenséghez is vezet az egymástól eltérő nemzeti szabályok kialakulása, valamint az egymást átfedő szabályok nem költséghatékony alkalmazása miatt. Ez különösen hátrányosan érinti az olyan IKT-intenzív felhasználókat, mint a pénzügyi ágazat, mivel a technológiai kockázatok nem ismernek határokat, a pénzügyi ágazat pedig az Unión belül és azon kívül egyaránt kiterjedt, határokon átnyúló jelleggel épít ki szolgáltatásokat.

Azok az egyedi pénzügyi szervezetek, amelyek határokon átnyúló tevékenységet végeznek, vagy többféle engedéllyel rendelkeznek (ugyanaz a pénzügyi szervezet bankként, befektetési vállalkozásként és pénzforgalmi intézményként is rendelkezhet engedéllyel, amelyek mindegyikét más illetékes hatóság adja ki egy vagy több tagállamban), működési kihívásokkal szembesülnek az IKT-kockázatok kezelése, valamint az IKT-vonatkozású biztonsági események káros hatásainak önálló, koherens és költséghatékony enyhítése során.

(11)Mivel az egységes szabálykönyvet nem egészítette ki átfogó IKT- vagy működésikockázat-kezelési keret, a pénzügyi szervezetek teljes körére kiterjedő, digitális működési rezilienciára vonatkozó követelmények további harmonizációjára van szükség. Az üzemszünetek elviselése céljából kifejlesztett képességek és általános reziliencia révén a pénzügyi szervezetek elősegítenék az uniós pénzügyi piacok stabilitásának és integritásának megőrzését, ezáltal pedig hozzájárulnának a befektetők és fogyasztók fokozott védelméhez az Unióban. E rendelet célja, hogy hozzájáruljon a belső piac zavartalan működéséhez, következésképpen az Európai Unió működéséről szóló szerződés (EUMSZ) 114. cikkén kell alapulnia, az Európai Unió Bíróságának állandó ítélkezési gyakorlatával összhangban.

(12)E rendelet célja, hogy egyesítse és korszerűsítse azokat az IKT-kockázatokra vonatkozó követelményeket, amelyeket eddig a különböző rendeletek és irányelvek elkülönítetten rögzítettek. Bár ezek az uniós jogi aktusok lefedték a pénzügyi kockázat fő kategóriáit (pl. a hitelkockázatot, a piaci kockázatot, a partnerkockázatot, a likviditási kockázatot és a piaci magatartási kockázatot), elfogadásuk időpontjában nem kezelhették átfogóan a digitális működési reziliencia valamennyi összetevőjét. A működési kockázatra vonatkozó követelményeket ezek az uniós jogi aktusok gyakran a kockázatkezelés hagyományos kvantitatív megközelítését előnyben részesítve (nevezetesen az IKT-kockázatok fedezését célzó tőkekövetelmény előírásával) fejlesztették tovább ahelyett, hogy célzott kvalitatív követelményeket fogalmaztak volna meg, amelyek az IKT-vonatkozású biztonsági eseményekhez kapcsolódó védelmi, észlelési, elszigetelési és helyreállítási képességekre vonatkozó követelmények előírásával, vagy a bejelentési és digitális tesztelési képességek rögzítésével növelnék a szervezetek képességeit. Ezeknek az irányelveknek és rendeleteknek az elsődleges célja a prudenciális felügyeletre, a piaci integritásra és a piaci magatartásra vonatkozó szabályok meghatározása volt.