HU Az Európai Unió Hivatalos Lapja C 352/4

AZ EURÓPAI KÖZPONTI BANK VÉLEMÉNYE

(2014. július 25.)

a hálózat- és információbiztonságnak az egész Unióban egységesen magas szintjére vonatkozó intézkedésekről szóló európai parlamenti és tanácsi irányelv iránti javaslatról

(CON/2014/58)

2014/C 352/04

Bevezetés és jogalap

2013. február 7-én az Európai Bizottság a hálózat- és információbiztonságnak az egész Unióban egységesen magas szintjére vonatkozó intézkedésekről szóló európai parlamenti és tanácsi irányelv iránti javaslatot (1) (a továbbiakban: irányelv iránti javaslat) tett közzé.

Az Európai Központi Bank (EKB) úgy döntött, hogy saját kezdeményezésre véleményt fogad el az irányelv iránti javaslatról, mivel a jogalkotók nem folytattak vele hivatalos konzultációt. Az EKB véleményalkotásra szolgáló hatásköre az Európai Unió működéséről szóló szerződés 127. cikkének (4) bekezdésén és 282. cikkének (5) bekezdésén alapul, mivel az irányelv iránti javaslat olyan rendelkezéseket tartalmaz, amelyek érintik a Központi Bankok Európai Rendszerének (KBER) a Szerződés 127. cikke (2) bekezdése negyedik albekezdésében említett, a fizetési rendszerek zavartalan működésének előmozdítását célzó alapvető feladatát. Emellett a Központi Bankok Európai Rendszere és az Európai Központi Bank Alapokmányának (a továbbiakban: a KBER Alapokmánya) 22. cikke alapján az EKB és a nemzeti központi bankok (NKB-k) megfelelő eszközöket bocsáthatnak rendelkezésre, az EKB pedig rendeleteket alkothat annak érdekében, hogy biztosítsák az Unión belüli és a más államokkal fenntartott elszámolási és fizetési rendszerek hatékony és megbízható működését. Az Európai Központi Bank eljárási szabályzatának 17.5. cikke első mondatával összhangban a Kormányzótanács fogadta el ezt a véleményt.

1. Az irányelv iránti javaslat célja

1.1. Az irányelv iránti javaslat célja az egységesen magas szintű hálózat- és információbiztonság megteremtése azáltal, hogy megerősíti a társadalmaink és gazdaságaink működésének alapját képező internet, magánhálózatok és információs rendszerek biztonságát. Ez a javaslat az európai kiberbiztonsági stratégia (2) legfontosabb cselekvése.

1.2. A hálózati és információs rendszerek alapvető szerepet játszanak az áruk, szolgáltatások és személyek határokon átnyúló szabad mozgásának elősegítésében. Az internet ezen alapvető, nemzeti határokat nem ismerő jellege miatt az egyik tagállamban bekövetkező zavar hatással lehet más tagállamokra, vagy akár az Unió egészére is. Ezenkívül a biztonsági események gyakori bekövetkeztének valószínűsége, és az azok elleni hatékony védelem biztosításának hiánya aláássa a hálózat- és információbiztonságba vetett bizalmat. A hálózat- és információbiztonság ellenálló képessége és stabilitása ezért alapvető fontosságú a belső piac zavartalan működése szempontjából.

1.3. Az irányelv iránti javaslat az e területen tett korábbi kezdeményezésekre épít (3). A fentiekre tekintettel az irányelv iránti javaslat felismeri a hálózat- és információbiztonsági szabályok harmonizálásának és a tagállamok közötti hatékony együttműködési mechanizmusok kialakításának szükségességét.

1.4. Az irányelv iránti javaslat közös uniós jogi keretet hoz létre a tagállamok hálózat- és információbiztonsági képességei, az uniós szintű együttműködés mechanizmusai, valamint a közigazgatásokra és az egyes meghatározott kritikus ágazatokban működő magánszférabeli szervezetekre vonatkozó előírások vonatkozásában. Ez várhatóan megfelelő szintű nemzeti felkészültséget biztosít majd, és elősegíti a kölcsönös bizalom légkörének erősítését, ami előfeltétele a hatékony uniós szintű együttműködésnek. A hálózatban megvalósuló, uniós szintű együttműködés mechanizmusainak felállítása egységes és összehangolt megelőzést és reagálást tesz lehetővé a határokon átnyúló hálózat- és információbiztonsági események és kockázatok felmerülése esetén.

1.5. A főbb rendelkezések a következőkre vonatkoznak: a) annak előírása az összes tagállam számára, hogy a hálózat- és információbiztonság területén illetékes hatóságok létrehozásával, hálózatbiztonsági vészhelyzeteket elhárító csoportok (CERT-ek) felállításával és nemzeti hálózat- és információbiztonsági stratégiák és együttműködési tervek elfogadásával nemzeti szinten biztosítsák a képességek minimális szintjét; b) szükséges információcsere a tagállamok között egy hálózaton keresztül, valamint egy össz-európai hálózat- és információbiztonsági együttműködési terv elfogadása, és összehangolt korai előrejelzések a kiberbiztonsági eseményekre vonatkozóan; c) a 2002/21/EK európai parlamenti és tanácsi irányelv (4) mintáját követve annak biztosítása, hogy kialakuljon egy kockázatkezelési kultúra, és gyakorlattá váljon a magán- és a közszféra közötti információmegosztás. A konkrét kritikus ágazatokban működő vállalatoknak és a közigazgatásoknak fel kell majd mérniük az őket fenyegető kockázatokat, majd megfelelő és arányos intézkedéseket kell alkalmazniuk a hálózat- és információbiztonság garantálása érdekében. Emellett kötelesek lesznek jelentést tenni az illetékes hatóságoknak a hálózataikat és információs rendszereiket komolyan veszélyeztető, valamint a kritikus szolgáltatások folyamatosságát és az áruellátást jelentősen befolyásolni képes biztonsági eseményekről.

2. Általános észrevételek

2.1. Az EKB támogatja az irányelv iránti javaslat célját, amely a hálózat- és információbiztonságnak az egész Unióban egységesen magas szintjének biztosítására, valamint e területen az egyes gazdasági ágazatok és tagállamok közötti következetes megközelítés megvalósítására irányul. Fontos annak biztosítása, hogy a belső piacon biztonságosan lehessen üzletet kötni, és valamennyi tagállam rendelkezzen bizonyos minimális szintű készültséggel a kiberbiztonsági események esetére.

2.2. Az EKB véleménye szerint ugyanakkor az irányelv iránti javaslat nem érintheti a fizetési és elszámolási rendszerek eurorendszer általi felvigyázásának fennálló rendszerét (5), amely többek között a hálózat- és információbiztonság területére vonatkozó megfelelő szabályokat is magában foglal. Megjegyzendő, hogy az EKB számára különös jelentőséggel bír a fizetési és elszámolási (6) rendszerek területén a fokozott biztonság a fizetési rendszerek zavartalan működésének előmozdítása, továbbá az euróba és az uniós gazdaság működésébe vetett bizalom fenntartásának elősegítése érdekében.

2.3. Ezenkívül a fizetési és elszámolási rendszerek és a pénzforgalmi szolgáltatók biztonsági követelményeinek és eseménybejelentéseinek értékelése a prudenciális felügyeletet ellátó hatóságok és központi bankok egyik alapvető hatásköre. Ezért a fent említett területeken a felvigyázási követelmények kidolgozásáért való felelősség továbbra is e hatóságok feladatkörébe kell, hogy tartozzon, és a fizetési és elszámolási rendszerekre és a pénzforgalmi szolgáltatókra nem vonatkozhatnak adott esetben ellentmondó, más nemzeti hatóságok által megállapított követelmények. Továbbmenve, a fizetési és elszámolási rendszerek és az euroövezetbeli egyéb piaci infrastruktúrák tekintetében a kockázatkezelést, a biztonsági követelményeket is beleértve, az – EKB-ból és az eurót bevezetett tagállamok NKB-iből álló – eurorendszer határozza meg. E felvigyázási feladatán keresztül az eurorendszer a fizetési és elszámolási rendszerek zavartalan működését többek között a megfelelő felvigyázási alapelvek és minimumkövetelmények alkalmazása útján kívánja biztosítani. Az irányelv iránti javaslatnak figyelembe kell vennie a fennálló felvigyázási keretet, és biztosítania kell a szabályozás következetességét az Unióban.

3. Különös észrevételek

3.1. Az irányelv iránti javaslat (5) preambulumbekezdése és 1. cikke úgy rendelkezik, hogy a vonatkozó kötelezettségek, az együttműködési mechanizmus és a biztonsági követelmények valamennyi közigazgatásra és piaci szereplőre vonatkoznak. Az (5) preambulumbekezdés és az 1. cikk jelenlegi szövege nem veszi figyelembe az eurorendszer Szerződésben rögzített feladatát, amely a fizetési és elszámolási rendszerek felvigyázására irányul. Az irányelv iránti javaslatot ezért módosítani kell, hogy az megfelelően tükrözze az eurorendszer e területen fennálló feladatait.

3.2. A központi bankok és más illetékes hatóságok számára megállapított, a fizetési és értékpapír-elszámolási rendszerek felvigyázására vonatkozó szabályokat és eljárásokat több uniós irányelv és rendelet tartalmazza, így különösen: a) a 98/26/EK európai parlamenti és tanácsi irányelv (a továbbiakban: az elszámolások véglegességéről szóló irányelv) (7), amely feljogosítja a tagállamok illetékes hatóságait arra, hogy felügyeleti követelményeket állapítsanak meg a joghatóságuk alá tartozó fizetési és elszámolási rendszerekre vonatkozóan (8); b) a 648/2012/EU európai parlamenti és tanácsi rendelet (9) (a továbbiakban: az európai piaci infrastruktúra-rendelet), amely elismeri az Európai Értékpapír-piaci Hatóság (EÉPH), az Európai Bankhatóság (EBH) és a KBER feladatait a szabályozási standardok meghatározása és a központi szerződő felek felügyelete terén; és c) az Európai Unión belüli értékpapír-elszámolás javításáról és a központi értéktárakról, valamint a 98/26/EK irányelv módosításáról szóló rendelet iránti javaslat (10) (a továbbiakban: a központi értéktárakról szóló rendelet), amely előírja, hogy az illetékes hatóságok felügyeleti és vizsgálati jogkörökkel legyenek felruházva, és különösen e rendelet 45. cikke, amely a központi értéktárakra vonatkozó prudenciális követelményeket vezet be, beleértve a működési kockázatok csökkentésére vonatkozó fontos rendelkezéseket.

3.3. Ezen túlmenően megjegyzendő, hogy 2013. június 3-án az EKB Kormányzótanácsa elfogadta a Nemzetközi Fizetések Bankjának (BIS) fizetési és elszámolási rendszerekkel foglalkozó bizottsága (CPSS) és az Értékpapír-felügyeletek Nemzetközi Szervezetének (IOSCO) Technikai Bizottsága által 2012 áprilisában bevezetett, pénzpiaci infrastruktúrákra vonatkozó alapelveket (11) az eurorendszer által a pénzügyi piaci infrastruktúrák valamennyi típusa tekintetében történő felvigyázás vonatkozásában. Ezt a rendszerszempontból jelentős fizetési rendszerekre vonatkozó felvigyázási követelményekről szóló rendelettervezetre (a továbbiakban: SIPS-rendelet) (12) vonatkozó nyilvános konzultáció követte. A SIPS-rendelet jogilag kötelező módon hajtja végre a CPSS-IOSCO alapelveket, és a nagy értékű fizetési rendszerekre és a rendszerszempontból jelentős lakossági fizetési rendszerekre egyaránt kiterjed, akár eurorendszerbeli NKB, akár magánszervezet működteti azokat.

3.4. A fizetési rendszerekre és a pénzforgalmi szolgáltatókra vonatkozó jelenlegi felvigyázási szabályok (13) a lehetséges kiberbiztonsági fenyegetések kezelése érdekében már tartalmaznak az eurorendszeren belüli és azon kívüli korai figyelmeztetésekre (14) és összehangolt válaszokra (15) vonatkozó bizonyos eljárásokat, amelyek megfelelnek az irányelv iránti javaslat 10. és 11. cikkében rögzítetteknek.

3.5. Az EKB a fizetési rendszerek adatszolgáltatási és kockázatkezelési kötelezettségeire vonatkozó követelményeket határozott meg. Az EKB emellett rendszeresen értékeli az értékpapír-elszámolási rendszereket annak érdekében, hogy meghatározza az eurorendszer hitelműveleteihez történő felhasználás céljára való elfogadhatóságukat. Ezért az EKB szükségesnek tartja, hogy az irányelv iránti javaslatban szereplő, a kritikus piaci infrastruktúrákat és üzemeltetőiket (16) érintő követelmények ne sértsék a SIPS-rendeletben, az eurorendszer felülvigyázói tevékenységének politikai keretrendszerében vagy más uniós rendeletekben, így különösen az európai piaci infrastruktúra-rendeletben és a központi értéktárakról szóló jövőbeli rendeletben rögzített követelményeket. Azok továbbá nem akadályozhatják az EBH vagy az EÉPH és más prudenciális felügyeletet ellátó hatóságok feladatait (17).

3.6. A fentiek ellenére az EKB úgy véli, nyomós érvek szólnak amellett, hogy az eurorendszer megossza a releváns információkat az irányelv iránti javaslat 19. cikke alapján felállításra kerülő hálózat- és információbiztonsági bizottsággal. Az adott esetben szükségessé váló hatékony információmegosztás érdekében fel kell kérni az EKB-t, az EBH-t és az EÉPH-t, hogy küldjenek képviselőket a hálózat- és információbiztonsági bizottság üléseire azon napirendi pontok esetében, amelyek a feladatkörük szempontjából jelentőséggel bírhatnak.

Kelt Frankfurt am Mainban, 2014. július 25-én. az EKB elnöke Mario DRAGHI

(1) COM(2013) 48 final.

(2) Lásd az Európai Parlamentnek, a Tanácsnak, az Európai Gazdasági és Szociális Bizottságnak és a Régiók Bizottságának címzett, „Az Európai Unió kiberbiztonsági stratégiája: Nyílt, megbízható és biztonságos kibertér” című közös közleményt, JOIN(2013) 1 final.

(3) Ezek a következő közleményeket foglalják magukban: „Hálózat- és információbiztonság: javaslat egy európai politikai megközelítésre” COM(2001) 298 final; „A biztonságos információs társadalomra irányuló stratégia: »párbeszéd, partnerség, felvértezés és felelősségvállalás«” COM(2006) 251 final; „A kritikus informatikai infrastruktúrák védelme – »Európa védelme a nagyszabású számítógépes támadások és hálózati zavarok ellen: a felkészültség, a védelem és az ellenálló képesség fokozása«” COM(2009) 149 final; „Az európai digitális menetrend” COM(2010) 245 final; és „A kritikus informatikai infrastruktúrák védelme – »Eredmények és következő lépések: a globális kiberbiztonság felé«” COM(2011) 163 final.

(4) Az Európai Parlament és a Tanács 2002. március 7-i 2002/21/EK irányelve az elektronikus hírközlő hálózatok és elektronikus hírközlési szolgáltatások közös keretszabályozásáról (HL L 108., 2002.4.24., 33. o.).

(5) Egyes KBER-tagok a felvigyázási feladataikat nemzeti törvények és rendeletek alapján látják el, amelyek kiegészítik, és bizonyos esetekben megkettőzik az eurorendszer hatáskörét.

(6) E véleményben az „elszámolás” kifejezés magában foglalja a kiegyenlítési funkciót is.

(7) Az Európai Parlament és a Tanács 1998. május 19-i 98/26/EK irányelve a fizetési és értékpapír-elszámolási rendszerekben az elszámolások véglegességéről (HL L 166., 1998.6.11., 45. o.).

(8) Lásd az elszámolások véglegességéről szóló irányelv 10. cikke (1) bekezdésének harmadik albekezdését.

(9) Az Európai Parlament és a Tanács 2012. július 4-i 648/2012/EU rendelete a tőzsdén kívüli származtatott ügyletekről, a központi szerződő felekről és a kereskedési adattárakról (HL L 201., 2012.7.27., 1. o.).

(10) COM(2012) 73 final.

(11) Elérhető a Nemzetközi Fizetések Bankjának honlapján: https://www.bis.org/publ/cpss94.pdf

(12) Elérhető az EKB honlapján: http://www.ecb.europa.eu

(13) Lásd az EKB sajtóközleményét a bankfelügyeletek és a központi bankok közötti, válságkezelési helyzetekben történő együttműködés magas szintű elveiről szóló egyetértési nyilatkozatról (2003), elérhető az EKB honlapján: www.ecb.europa.eu

(14) Lásd a 3. ajánlást: események figyelemmel kísérése és jelentése, a „Recommendations for the security of internet payments - final version after public consultation” (Az internetes fizetések biztonságára vonatkozó ajánlások – nyilvános konzultációt követő végleges változat) című dokumentum, a lakossági fizetések biztonságával foglalkozó európai fórum (European Forum on the Security of Retail Payments, SecuRe Pay), 2013. január, elérhető az EKB honlapján: www.ecb.europa.eu

(15) Az együttműködő nemzetközi felvigyázás elvei alapján – mint arra a 2005-ös CPSS felvigyázási jelentés is hivatkozott – az eurorendszerbeli központi bankok számos esetben sikeresen vettek részt együttműködésben, amint az például a SWIFT (a Nemzetközi Bankközi Pénzügyi Telekommunikációs Társaság) és a folyamatosan kapcsolt kiegyenlítési rendszer (CLS) felvigyázási szabályaival összefüggésben megmutatkozott.

(16) Így például az irányelv iránti javaslat 14. cikkének (3) és (4) bekezdésében szereplő, a piaci szereplőkre vonatkozó azon követelmények, hogy megfelelő műszaki és szervezési intézkedéseket hozzanak, valamint a piaci szereplők kötelező erővel történő utasítására vonatkozó hatáskör a 15. cikk (3) bekezdésében.

(17) Lásd az EKB-nak a belső piaci pénzforgalmi szolgáltatásokról és a 2002/65/EK, a 2013/36/EU és a 2009/110/EK irányelv módosításáról, valamint a 2007/64/EK irányelv hatályon kívül helyezéséről szóló európai parlamenti és tanácsi irányelv iránti javaslatról szóló CON/2014/9 véleménye 2.12. bekezdését (HL C 224., 2014.7.15., 1. o.). Az EKB valamennyi véleménye közzétételre kerül az EKB honlapján: www.ecb.europa.eu