EUROPOS KOMISIJA Briuselis, 2020 09 24 COM(2020) 595 final 2020/0266(COD) Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS dėl skaitmeninės veiklos atsparumo finansų sektoriuje, kuriuo iš dalies keičiami reglamentai (EB) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014 ir (ES) Nr. 909/2014 (Tekstas svarbus EEE) {SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}



AIŠKINAMASIS MEMORANDUMAS 1.PASIŪLYMO APLINKYBĖS ·Pasiūlymo pagrindimas ir tikslai Šis pasiūlymas įtrauktas į skaitmeninių finansų dokumentų rinkinį, sudarytą iš priemonių, kuriomis siekiama toliau sudaryti sąlygas plėtoti ir remti skaitmeninių finansų potencialą, skatinti inovacijas ir konkurenciją, kartu mažinant dėl to kylančią riziką. Tai atitinka Komisijos prioritetus užtikrinti, kad Europa prisitaikytų prie skaitmeninio amžiaus, ir kurti perspektyvią žmonėms tarnaujančią ekonomiką. Skaitmeninių finansų dokumentų rinkinys apima naują ES finansų sektoriui skirtą skaitmeninių finansų strategiją, kuria siekiama užtikrinti, kad ES dalyvautų skaitmeninėje revoliucijoje ir, pasitelkusi pirmaujančias inovatyvias Europos įmones, jai vadovautų, taip vartotojams ir įmonėms sudarydama sąlygas naudotis skaitmeninių finansų privalumais. Be šio pasiūlymo, rinkinys taip pat apima pasiūlymą dėl kriptoturto rinkų reglamento, pasiūlymą dėl reglamento dėl paskirstytojo registro technologijos (PRT) rinkos infrastruktūrai skirtos bandomosios tvarkos ir pasiūlymą dėl direktyvos, kuria būtų paaiškintos arba iš dalies pakeistos tam tikros susijusios ES finansinių paslaugų taisyklės. Finansų sektoriuje skaitmeninimas ir veiklos atsparumas yra dvi tos pačios monetos pusės. Dėl skaitmeninių technologijų, arba informacinių ir ryšių technologijų (IRT), atsiranda ne tik galimybių, bet ir rizika. Jas reikia gerai suprasti ir valdyti, ypač susidarius nepalankiausioms sąlygoms. Todėl politikos formuotojai ir priežiūros institucijos vis daugiau dėmesio skiria rizikai, kylančiai dėl priklausomybės nuo IRT. Jie visų pirma bandė padidinti įmonių atsparumą nustatydami standartus ir koordinuodami reguliavimo ar priežiūros darbą. Šis darbas buvo atliekamas tiek tarptautiniu, tiek europiniu lygmeniu, taip pat tiek visuose sektoriuose, tiek keliuose konkrečiuose sektoriuose, įskaitant finansinių paslaugų sektorių. Vis dėlto IRT rizika ir toliau kelia grėsmę ES finansų sistemos veiklos atsparumui, efektyvumui ir stabilumui. Po 2008 m. finansų krizės vykdyta reforma visų pirma buvo didinamas ES finansų sektoriaus finansinis atsparumas, o taikant priemones, skirtas platesnio masto operacinės rizikos mažinimui, IRT rizika netiesiogiai sumažinta tik kai kuriose srityse.. Nors ES finansinių paslaugų teisės aktų pakeitimais, padarytais po krizės, buvo sukurtas bendras taisyklių sąvadas, reglamentuojantis didelę su finansinėmis paslaugomis susijusios finansinės rizikos dalį, jais nebuvo išsamiai sprendžiami skaitmeninės veiklos atsparumo klausimai. Priemonėms, kurių buvo imtasi pastarųjų atžvilgiu, buvo būdingos savybės, ribojančios jų veiksmingumą. Pavyzdžiui, jos dažnai buvo rengiamos minimalaus derinimo direktyvų arba principais grindžiamų reglamentų forma, paliekant daug erdvės skirtingiems požiūriams visoje bendrojoje rinkoje. Be to, reglamentuojant operacinę riziką IRT rizikai buvo skirta gan mažai arba nepakankamai dėmesio. Galiausiai šios priemonės finansinių paslaugų sektoriniuose teisės aktuose yra nevienodos. Taigi Sąjungos lygmens intervencija nevisiškai atitiko tai, ko Europos finansų sektoriaus subjektams reikėjo operacinei rizikai valdyti taip, kad nenukentėtų nuo IRT incidentų poveikio, į jį reaguotų ir atkurtų dėl jo sutrikdytą veiklą. Ji taip pat nesuteikė finansų priežiūros institucijoms pakankamų priemonių jų įgaliojimams vykdyti, kad būtų užkirstas kelias finansiniam nestabilumui, atsirandančiam pasireiškus tokiai IRT rizikai. Kadangi ES lygmeniu nėra detalių ir išsamių skaitmeninės veiklos atsparumo taisyklių, daugėja nacionalinių reguliavimo iniciatyvų (pvz., susijusių su skaitmeninės veiklos atsparumo testavimu) ir priežiūros metodų (pvz., kuriais sprendžiamas priklausomybės nuo IRT paslaugas teikiančių trečiųjų šalių klausimas). Tačiau dėl tarpvalstybinio IRT rizikos pobūdžio valstybių narių lygmens veiksmai turi tik nedidelį poveikį. Be to, dėl nesuderintų nacionalinių iniciatyvų atsirado dubliavimosi, neatitikimų, pasikartojančių reikalavimų, didelių administracinių ir reikalavimų laikymosi išlaidų, visų pirma tenkančių tarpvalstybiniams finansų sektoriaus subjektams, arba IRT rizika neaptinkama, taigi ir nemažinama. Ši padėtis skaido bendrąją rinką, kenkia ES finansų sektoriaus stabilumui bei vientisumui ir kelia pavojų vartotojų ir investuotojų apsaugai. Todėl būtina nustatyti detalią ir išsamią ES finansų sektoriaus subjektų skaitmeninės veiklos atsparumo sistemą. Ši sistema sustiprins bendro taisyklių sąvado skaitmeninės rizikos valdymo aspektą. Visų pirma, ja bus sustiprintas ir racionalizuotas finansų sektoriaus subjektų atliekamas IRT rizikos valdymas, nustatytas išsamus IRT sistemų testavimas, padidintas priežiūros institucijų informuotumas apie kibernetinę riziką ir su IRT susijusius incidentus, su kuriais susiduria finansų sektoriaus subjektai, be to, finansų priežiūros institucijoms bus suteikti įgaliojimai prižiūrėti riziką, kylančią dėl finansų sektoriaus subjektų priklausomybės nuo IRT paslaugas teikiančių trečiųjų šalių. Pasiūlymu bus sukurtas nuoseklus pranešimo apie įvykius mechanizmas, padėsiantis palengvinti finansų sektoriaus subjektų administracinę naštą ir sustiprinsiantis priežiūros veiksmingumą. ·Suderinamumas su toje pačioje politikos srityje galiojančiomis nuostatomis Šis pasiūlymas yra dalis platesnio darbo, vykdomo Europos ir tarptautiniu lygmeniu, siekiant sustiprinti finansinių paslaugų kibernetinį saugumą ir sumažinti platesnę operacinę riziką. Pasiūlymu taip pat reaguojama į 2019 m. Bendrą Europos priežiūros institucijų (EPI) techninę rekomendaciją, kurioje raginta laikytis nuoseklesnio požiūrio į IRT rizikos mažinimą finansų srityje ir rekomenduojama Komisijai proporcingai stiprinti finansinių paslaugų sektoriaus skaitmeninės veiklos atsparumą įgyvendinant ES konkrečiam sektoriui skirtą iniciatyvą. EPI rekomendaciją parengė reaguodamos į Komisijos 2018 m. „FinTech“ srities veiksmų planą. ·Suderinamumas su kitomis Sąjungos politikos sritimis Komisijos Pirmininkės U. von der Leyen politinėse gairėse ir Komisijos komunikate „Europos skaitmeninės ateities formavimas“ pažymima, kad Europai labai svarbu pasinaudoti visais skaitmeninio amžiaus privalumais ir sustiprinti savo pramonės bei inovacijų pajėgumą neperžengiant saugumo ir etikos ribų. Europos duomenų strategijoje nustatytos keturi ramsčiai – duomenų apsauga, pagrindinės teisės, sauga ir kibernetinis saugumas – būtinos sąlygos duomenų teikiamomis galimybėmis besinaudojančiai visuomenei. Visai neseniai Europos Parlamentas pradėjo rengti ataskaitą dėl skaitmeninių finansų, kurioje, be kita ko, ragina laikytis bendro požiūrio į finansų sektoriaus kibernetinį atsparumą. Teisinė sistema, kuria stiprinamas ES finansų sektoriaus subjektų skaitmeninės veiklos atsparumas, atitinka šiuos politikos tikslus. Pasiūlymu taip pat būtų remiama politika, kuria siekiama atsigauti po koronaviruso pandemijos, nes juo būtų užtikrinta, kad priklausomybė nuo skaitmeninių finansų augtų kartu su veiklos atsparumu. Įgyvendinant šią iniciatyvą nebūtų prarasti su horizontaliąja kibernetinio saugumo sistema (pvz., Direktyva dėl tinklų ir informacinių sistemų saugumo, TIS direktyva) susiję privalumai, nes finansų sektorius ir toliau patektų į jos taikymo sritį. Finansų sektorius ir toliau būtų glaudžiai susijęs su TIS bendradarbiavimo įstaiga, o finansų priežiūros institucijos galėtų keistis atitinkama informacija esamoje TIS ekosistemoje. Ši iniciatyva atitiktų Europos ypatingos svarbos infrastruktūros objektų direktyvą, kuri šiuo metu peržiūrima siekiant padidinti ypatingos svarbos infrastruktūros objektų apsaugą ir atsparumą su kibernetine veikla nesusijusioms grėsmėms. Galiausiai šis pasiūlymas visiškai atitinka saugumo sąjungos strategiją, kurioje buvo raginama imtis iniciatyvos dėl finansų sektoriaus skaitmeninės veiklos atsparumo, atsižvelgiant į didelę jo priklausomybę nuo IRT paslaugų ir didelį pažeidžiamumą kibernetinių išpuolių atžvilgiu. 2.TEISINIS PAGRINDAS, SUBSIDIARUMO IR PROPORCINGUMO PRINCIPAI ·Teisinis pagrindas Šis pasiūlymas dėl reglamento grindžiamas SESV 114 straipsniu. Juo pašalinamos finansinių paslaugų vidaus rinkos kūrimo ir veikimo kliūtys, o patys kūrimo ir veikimo procesai tobulinami suderinant IRT rizikos valdymo, pranešimų teikimo, testavimo ir trečiosios šalies keliamos IRT rizikos srityse taikomas taisykles. Egzistuojantys skirtumai šioje srityje tiek teisės aktų, tiek priežiūros lygmenimis, taip pat nacionaliniu ir ES lygmenimis trukdo veikti bendrajai finansinių paslaugų rinkai, nes tarpvalstybinę veiklą vykdantys finansų sektoriaus subjektai susiduria su skirtingais ar iš dalies sutampančiais reguliavimo reikalavimais ar priežiūros lūkesčiais, galinčiais jiems trukdyti naudotis įsisteigimo laisve ir paslaugų teikimo laisve. Skirtingomis taisyklėmis taip pat iškraipoma tos pačios rūšies finansų sektoriaus subjektų konkurencija skirtingose valstybėse narėse. Be to, tose srityse, kuriose reikalavimai nesuderinti, suderinti iš dalies ar nepakankamai, skirtingos nacionalinės taisyklės ar metodai, kurie jau galioja arba yra priimami ir įgyvendinami nacionaliniu lygmeniu, gali turėti atgrasomąjį poveikį finansinių paslaugų bendrosios rinkos laisvėms. Tai ypač pasakytina apie skaitmeninės veiklos testavimo sistemas ir ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių priežiūrą.

Kadangi pasiūlymas turi poveikį kelioms Europos Parlamento ir Tarybos direktyvoms, priimtoms remiantis SESV 53 straipsnio 1 dalimi, tuo pat metu priimamas ir pasiūlymas dėl direktyvos, siekiant atspindėti būtinus tų direktyvų pakeitimus. ·Subsidiarumo principas Dėl stiprių finansinių paslaugų tarpusavio sąsajų, reikšmingos tarpvalstybinės finansų sektoriaus subjektų veiklos ir didelės viso finansų sektoriaus priklausomybės nuo IRT paslaugas teikiančių trečiųjų šalių visų bendras interesas siekiant neprarasti ES finansų rinkų patikimumo– sudaryti sąlygas dideliam skaitmeninės veiklos atsparumui. Skirtumai, atsirandantys dėl nevienodos ar dalinės tvarkos, iš dalies sutampančių ar perteklinių reikalavimų, taikomų tiems patiems finansų sektoriaus subjektams, kurie vykdo tarpvalstybinę veiklą arba turi kelis veiklos leidimus bendrojoje rinkoje, gali būti veiksmingai šalinami tik Sąjungos lygmeniu. Šiuo pasiūlymu suderinamas itin integruoto ir tarpusavyje susijusio sektoriaus, kuriam jau taikomas bendras taisyklių rinkinys ir priežiūra daugelyje kitų pagrindinių sričių, skaitmeninės veiklos komponentas. Kalbant apie tokius klausimus, kaip pranešimas apie su IRT susijusius incidentus, tik suderintomis Sąjungos taisyklėmis būtų galima sumažinti administracinę naštą ir finansines išlaidas, susijusias su pranešimu apie tą patį su IRT susijusį incidentą skirtingoms Sąjungos ir nacionalinėms institucijoms. ES veiksmai taip pat reikalingi siekiant sudaryti palankesnes sąlygas tarpvalstybinę veiklą vykdančių subjektų, kuriems nesant Sąjungos taisyklių skirtingose valstybėse narėse taikomos arba gali būti taikomos skirtingos sistemos, pažangaus skaitmeninės veiklos atsparumo testavimo rezultatų tarpusavio pripažinimui. Tik Sąjungos lygmens veiksmais galima suvienodinti valstybių narių nustatytus testavimo metodus. ES masto veiksmai taip pat reikalingi siekiant suteikti tinkamus priežiūros įgaliojimus, kad būtų galima stebėti riziką, kylančią dėl IRT paslaugas teikiančių trečiųjų šalių, įskaitant ES finansų sektoriaus koncentracijos ir neigiamo poveikio plitimo riziką. ·Proporcingumo principas Siūlomomis taisyklėmis neviršijama to, kas būtina pasiūlyme nurodytiems tikslams pasiekti. Jos taikomos tik aspektams, kurių valstybės narės negali įgyvendinti pačios, ir atvejus, kai administracinė našta ir išlaidos yra proporcingos konkretiems ir bendriesiems tikslams, kurių siekiama. Proporcingumas nustatomas pagal taikymo sritį ir intensyvumą, taikant kokybinius ir kiekybinius vertinimo kriterijus. Jais siekiama užtikrinti, kad naujosios taisyklės, kad ir taikomos visiems finansų sektoriaus subjektams, būtų kartu pritaikytos šių subjektų rizikai ir specifikai pagal jų dydį ir veiklos pobūdį. Proporcingumas taip pat įtrauktas į IRT rizikos valdymo, skaitmeninio atsparumo testavimo, pranešimo apie didelius su IRT susijusius incidentus tvarkos ir ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių priežiūros taisykles. ·Priemonės pasirinkimas Priemonės, kurių reikia IRT rizikai valdyti, apie su susijusius IRT incidentus pranešti, ypatingos svarbos IRT paslaugas teikiančioms trečiosioms šalims testuoti ir prižiūrėti, turi būti įtrauktos į reglamentą, siekiant užtikrinti, kad išsamūs reikalavimai būtų veiksmingai ir tiesiogiai taikomi vienodai, nedarant poveikio proporcingumui ir šiame reglamente numatytoms konkrečioms taisyklėms. Nuoseklumas mažinant skaitmeninės veiklos riziką padeda stiprinti pasitikėjimą finansų sistema ir išlaikyti jos stabilumą. Kadangi priimant reglamentą padedama mažinti reglamentavimo sudėtingumą, skatinama priežiūros konvergencija ir didinamas teisinis tikrumas, šiuo reglamentu taip pat prisidedama prie finansų sektoriaus subjektų, visų pirma vykdančių tarpvalstybinę veiklą, reikalavimų laikymosi išlaidų mažinimo, o tai savo ruožtu padėtų šalinti konkurencijos iškraipymą. Šiuo reglamentu taip pat panaikinami teisės aktų skirtumai ir nevienodi nacionaliniai reguliavimo ar priežiūros metodai, susiję su IRT rizika, ir taip pašalinamos bendrosios finansinių paslaugų rinkos veikimo kliūtys, visų pirma trukdančios finansų sektoriaus subjektams, kurie vykdo tarpvalstybinę veiklą, sklandžiai naudotis įsisteigimo ir paslaugų teikimo laisve. Galiausiai bendras taisyklių sąvadas daugiausia buvo rengiamas priimant reglamentus, tad jo atnaujinimas įtraukiant skaitmeninės veiklos atsparumo komponentą turėtų būti atliekamas pasitelkiant tokią pačią teisinę priemonę. 3.EX POST VERTINIMO, KONSULTACIJŲ SU SUINTERESUOTOSIOMIS ŠALIMIS IR POVEIKIO VERTINIMO REZULTATAI ·Galiojančių teisės aktų ex post vertinimas / tinkamumo patikrinimas Iki šiol nė viename Sąjungos finansinių paslaugų teisės akte pagrindinis dėmesys nebuvo skiriamas veiklos atsparumui ir nė viename iš jų, net ir tuose, kurių taisyklėmis apskritai reguliuojamas operacinės rizikos aspektas, kurio viena iš sudedamųjų dalių yra IRT rizika, nebuvo visapusiškai nagrinėjama dėl skaitmeninimo kylanti rizika. Sąjungos intervencija iki šiol padėjo tenkinti poreikius ir spręsti problemas, kilusias po 2008 m. finansų krizės: kredito įstaigos nebuvo pakankamai kapitalizuotos, finansų rinkos nebuvo pakankamai integruotos, o suderinimas iki tol buvo minimalus. Tada IRT rizika nebuvo laikoma prioritetu, todėl įvairių finansinių pasektorių teisinės sistemos plėtotos nekoordinuotai. Vis dėlto Sąjungos veiksmais pasiekti užsibrėžti tikslai užtikrinti finansinį stabilumą ir parengti bendrą suderintų prudencinių ir elgesio rinkoje taisyklių, taikomų finansų sektoriaus subjektams visoje ES, rinkinį. Kadangi Sąjungos intervenciją priimant teisės aktus lemiantys veiksniai praeityje nesudarė sąlygų specialioms ar visapusiškoms taisyklėms, skirtoms plačiai paplitusio skaitmeninių technologijų naudojimo ir su tuo susijusios finansų sektoriaus rizikos problemai spręsti, regis, būtų sudėtinga atlikti aiškų vertinimą. Numanomas vertinimas ir su juo susiję teisės aktų pakeitimai atspindėti kiekviename šio reglamento ramstyje. ·Konsultacijos su suinteresuotosiomis šalimis Rengdama šį pasiūlymą Komisija konsultavosi su suinteresuotosiomis šalimis, visų pirma: i) Komisija surengė specialias atviras viešas konsultacijas (2019 m. gruodžio 19 d.–2020 m. kovo 19 d.); ii) Komisija konsultavosi su visuomene atlikdama įžanginį poveikio vertinimą (2019 m. gruodžio 19 d.–2020 m. sausio 16 d.); iii) Komisijos tarnybos du kartus konsultavosi su valstybių narių ekspertais, dirbančiais Bankininkystės, mokėjimų ir draudimo ekspertų grupėje (2020 m. gegužės 18 d. ir 2020 m. liepos 16 d.); iv)Komisijos tarnybos surengė specialų internetinį seminarą skaitmeninės veiklos atsparumo klausimais, kuris buvo vienas iš 2020 m. vykusių informacinių skaitmeninių finansų renginių (2020 m. gegužės 19 d.).

Per viešas konsultacijas Komisija siekė gauti informacijos, aktualios plėtojant galimą ES tarpsektorinės skaitmeninės veiklos atsparumo sistemą finansinių paslaugų srityje. Iš atsakymų matyti platus pritarimas naujos specialios sistemos, pagal kurią būtų imtasi veiksmų keturiose srityse, dėl kurių vyko konsultacijos, nustatymui, bet kartu pabrėžiamas poreikis užtikrinti proporcingumą ir atidžiai spręsti sąveikos su TIS direktyvos horizontaliosiomis taisyklėmis problemą ir šią sąveiką paaiškinti. Komisija gavo du atsakymus dėl įžanginio poveikio vertinimo, kuriuose respondentai aptarė konkrečius aspektus, susijusius su jų veiklos sritimi. 2020 m. gegužės 18 d. surengtame Komisijos bankininkystės, mokėjimų ir draudimo ekspertų grupės posėdyje valstybės narės išreiškė didelę paramą finansų sektoriaus skaitmeninės veiklos atsparumo stiprinimui imantis veiksmų, numatytų kartu su keturiais Komisijos pristatytais elementais. Valstybės narės taip pat pabrėžė būtinybę aiškiai suderinti naujas taisykles su operacinės rizikos taisyklėmis (ES finansinių paslaugų teisės aktuose) ir horizontaliosiomis kibernetinio saugumo taisyklėmis (TIS direktyva). Antrame posėdyje kai kurios valstybės narės pabrėžė būtinybę užtikrinti proporcingumą ir atsižvelgti į ypatingą mažųjų įmonių ar didesnių grupių patronuojamųjų įmonių padėtį, taip pat būtinybę suteikti tvirtus įgaliojimus už priežiūrą atsakingoms nacionalinėms kompetentingoms institucijoms. Į pasiūlymą taip pat įtraukta grįžtamoji informacija, gauta per susitikimus su suinteresuotosiomis šalimis ir ES institucijomis bei įstaigomis. Suinteresuotosios šalys, įskaitant IRT paslaugas teikiančias trečiąsias šalis, apskritai pritarė pasiūlymui. Iš gautos grįžtamosios informacijos analizės matyti, kad raginama rengiant taisykles išsaugoti proporcingumą ir laikytis principais ir rizika grindžiamo požiūrio. Daugiausia informacijos pateikė tokios institucijos, kaip Europos sisteminės rizikos valdyba (ESRV), EPI, Europos Sąjungos kibernetinio saugumo agentūra (ENISA) ir Europos Centrinis Bankas (ECB), taip pat valstybių narių kompetentingos institucijos. ·Tiriamųjų duomenų rinkimas ir naudojimas Rengdama šį pasiūlymą Komisija rėmėsi iš pripažintų šaltinių, įskaitant dvi bendras EPI technines rekomendacijas, surinktais kokybiniais ir kiekybiniais įrodymais. Juos papildė konfidencialūs duomenys ir viešai skelbiamos priežiūros institucijų, tarptautinių standartus nustatančių įstaigų ir pirmaujančių mokslinių tyrimų institutų ataskaitos, taip pat nustatytų suinteresuotųjų šalių iš viso pasaulio finansų sektoriaus pateikti kiekybiniai ir kokybiniai duomenys. ·Poveikio vertinimas Prie šio pasiūlymo pridedamas poveikio vertinimas, kuris Reglamentavimo patikros valdybai buvo pateiktas 2020 m. balandžio 29 d. ir jos patvirtintas 2020 m. gegužės 29 d. Reglamentavimo patikros valdyba rekomendavo pasiūlymą tam tikrose srityse patobulinti siekiant: i) pateikti daugiau informacijos apie tai, kaip būtų užtikrintas proporcingumas; ii) geriau pabrėžti, kokiu mastu tinkamiausia galimybė skiriasi nuo bendros EPI techninės rekomendacijos ir kodėl ši galimybė yra optimali, ir iii) papildomai pabrėžti pasiūlymo ir galiojančių ES teisės aktų, įskaitant šiuo metu peržiūrimas taisykles, sąveiką. Poveikio vertinimas buvo pakoreguotas siekiant atsižvelgti į šiuos aspektus, taip pat išsamesnes Reglamentavimo patikros valdybos pastabas. Rengdama skaitmeninės veiklos atsparumo sistemą, Komisija nagrinėjo keletą galimų politikos priemonių: ·„nieko nekeisti“: veiklos atsparumo taisyklės ir toliau būtų nustatomos pagal dabartines skirtingas ES finansinių paslaugų nuostatas, iš dalies TIS direktyvą ir galiojančias ar būsimas nacionalines taisykles; ·1 galimybė: kapitalo rezervų stiprinimas – būtų nustatyti papildomi kapitalo rezervai siekiant padidinti finansų sektoriaus subjektų gebėjimą padengti nuostolius, galinčius atsirasti dėl nepakankamo skaitmeninės veiklos atsparumo; ·2 galimybė: finansinių paslaugų skaitmeninės veiklos atsparumo akto priėmimas – sudaryti sąlygas ES lygmeniu sukurti išsamią sistemą, kurioje būtų nustatytos nuoseklios taisyklės, atitinkančios visų reguliuojamų finansų sektoriaus subjektų skaitmeninės veiklos atsparumo poreikius, ir nustatyti ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių priežiūros sistemą; ·3 galimybė: finansinių paslaugų skaitmeninės veiklos atsparumo aktas kartu su centralizuota ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių priežiūra – be skaitmeninės veiklos atsparumo akto (2 galimybė), būtų įsteigta nauja institucija, kuri prižiūrėtų, kaip IRT paslaugas teikiančios trečiosios šalys teikia paslaugas. Buvo pasirinkta antra galimybė, nes ja veiksmingai, produktyviai ir derinant veiksmus su kitomis Sąjungos politikos sritimis pasiekiama dauguma numatytų tikslų. Dauguma suinteresuotųjų šalių šiai galimybei taip pat teikia pirmenybę. Dėl pasirinktos galimybės atsirastų ir vienkartinių, ir pasikartojančių išlaidų. Vienkartines išlaidas daugiausia lemia investicijos į IT sistemas, todėl jas sunku kiekybiškai įvertinti atsižvelgiant į nevienodą įmonių sudėtingą IT aplinką, ypač senąsias IT sistemas. Nepaisant to, didelių įmonių atveju šios išlaidos gali būti nedidelės, nes jos jau yra daug investavusios į IRT. Tikimasi, kad mažesnių įmonių išlaidos taip pat nebus didelės, nes būtų taikomos proporcingos priemonės atsižvelgiant į mažesnę jų riziką. Pasirinkta galimybė turėtų teigiamą poveikį finansinių paslaugų sektoriuje veikiančioms MVĮ ekonominiu, socialiniu ir poveikio aplinkai požiūriu. Pasiūlymu bus paaiškinta MVĮ, kokios taisyklės taikomos, o tai sumažins reikalavimų laikymosi išlaidas. Pagrindinį pasirinktos politikos galimybės socialinį poveikį pajustų vartotojai ir investuotojai. Didesnis ES finansų sistemos skaitmeninės veiklos atsparumas sumažintų incidentų skaičių ir vidutines kiekvieno incidento išlaidas. Visai visuomenei būtų naudingas didesnis pasitikėjimas finansinių paslaugų sektoriumi. Galiausiai, kalbant apie poveikį aplinkai, pasirinkta politikos galimybė paskatintų aktyviau naudoti naujausios kartos IRT infrastruktūras ir paslaugas, kurios turėtų tapti tvaresnėmis aplinkos apsaugos požiūriu. ·Reglamentavimo tinkamumas ir supaprastinimas Panaikinus iš dalies sutampančius pranešimo apie su IRT susijusius incidentus tvarkos reikalavimus sumažėtų administracinė našta ir susijusios išlaidos. Be to, suderintas skaitmeninės veiklos atsparumo testavimas, abipusiai pripažįstamas visoje bendrojoje rinkoje, sumažins išlaidas, ypač tenkančias tarpvalstybinėms įmonėms, kurioms kitu atveju galėtų tekti atlikti testavimą keliose valstybėse narėse. ·Pagrindinės teisės

ES yra įsipareigojusi užtikrinti, kad būtų laikomasi pagrindinių teisių apsaugos aukštų standartų. Visi finansų sektoriaus subjektų savanoriško dalijimosi informacija schemos, kuriomis naudotis skatinama šiuo reglamentu, būtų įgyvendinamos patikimoje aplinkoje visapusiškai laikantis Sąjungos duomenų apsaugos taisyklių, visų pirma Europos Parlamento ir Tarybos reglamento (ES) 2016/679, ypač tais atvejais, kai siekiant teisėto duomenų valdytojo intereso būtina tvarkyti asmens duomenis. 4. POVEIKIS BIUDŽETUI Kalbant apie poveikį biudžetui, kadangi dabartiniame reglamente numatoma stiprinti EPI vaidmenį suteikiant joms įgaliojimus tinkamai prižiūrėti ypatingos svarbos IRT paslaugas teikiančias trečiąsias šalis, pasiūlyme būtų numatyta skirti daugiau išteklių, visų pirma priežiūros užduotims vykdyti (pavyzdžiui, patikrinimams vietoje ir elektroniniu būdu, taip pat auditui), ir pasitelkti specialių IRT saugumo žinių turinčius darbuotojus. Šių išlaidų mastas ir paskirstymas priklausys nuo naujų priežiūros įgaliojimų masto ir (tikslių) užduočių, kurias turės atlikti EPI. Kalbant apie naujus personalo išteklius, įsigaliojus skirtingoms pasiūlymo nuostatoms EBI, ESMA ir EIOPA iš viso reikės 18 visą darbo dieną dirbančių darbuotojų (etato ekvivalentų) – po 6 etato ekvivalentus kiekvienai institucijai (skaičiuojama, kad 2022–2027 m. šios išlaidos sudarys 15,71 mln. EUR). Be to, EPI patirs papildomų IT išlaidų, patikrinimų vietoje komandiruočių ir vertimo raštu išlaidų (skaičiuojama, kad 2022–2027 m. jos sudarys 12 mln. EUR), taip pat kitų administracinių išlaidų (skaičiuojama, kad 2022–2027 m. jos sudarys 2,48 mln. EUR). Todėl skaičiuojama, kad 2022–2027 m. bendros išlaidos sudarys maždaug 30,19 mln. EUR. Taip pat reikėtų pažymėti, kad nors darbuotojų skaičius (pvz., nauji darbuotojai ir kitos išlaidos, susijusios su naujomis užduotimis), būtinas tiesioginei priežiūrai, ilgainiui priklausys nuo ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių, kurių priežiūra bus vykdoma, skaičiaus ir dydžio pokyčių, atitinkamos išlaidos bus visiškai finansuojamos iš tų rinkos dalyvių mokamų mokesčių. Todėl poveikis ES biudžeto asignavimams nenumatomas (išskyrus papildomus darbuotojus), nes šios išlaidos bus visiškai finansuojamos iš mokesčių. Šio pasiūlymo finansinis poveikis ir poveikis biudžetui išsamiai paaiškintas prie šio pasiūlymo pridedamoje finansinėje teisės akto pasiūlymo pažymoje. 5.KITI ELEMENTAI ·Įgyvendinimo planai ir stebėsena, vertinimas ir ataskaitų teikimo tvarka Į pasiūlymą įtrauktas bendras poveikio konkretiems tikslams stebėsenos ir vertinimo planas, pagal kurį Komisija praėjus ne daugiau kaip trejiems metams nuo įsigaliojimo datos turi atlikti peržiūrą ir pateikti pagrindinių išvadų ataskaitą Europos Parlamentui ir Tarybai. Peržiūra turi būti atliekama vadovaujantis Komisijos geresnio reglamentavimo gairėmis. ·Išsamus konkrečių pasiūlymo nuostatų paaiškinimas Pasiūlymo struktūra atitinka kelias pagrindines politikos sritis, t. y. pagrindinius tarpusavyje susijusius ramsčius, bendru sutarimu įtrauktus į Europos ir tarptautines rekomendacijas ir geriausią praktiką, kuriomis siekiama didinti finansų sektoriaus kibernetinį ir veiklos atsparumą. Reglamento taikymo sritis ir proporcingas reikalingų priemonių taikymas (2 straipsnis) Siekiant užtikrinti, kad finansų sektoriui taikomi IRT rizikos valdymo reikalavimai būtų nuoseklūs, reglamentas taikomas įvairiems Sąjungos lygmeniu reguliuojamiems finansų sektoriaus subjektams, t. y. kredito įstaigoms, mokėjimo įstaigoms, elektroninių pinigų įstaigoms, investicinėms įmonėms, kriptoturto paslaugų teikėjams, centriniams vertybinių popierių depozitoriumams, pagrindinėms sandorio šalims, prekybos vietoms, sandorių duomenų saugykloms, alternatyvaus investavimo fondų valdytojams ir valdymo įmonėms, duomenų teikimo paslaugų teikėjams, draudimo ir perdraudimo įmonėms, draudimo tarpininkams, perdraudimo tarpininkams ir papildomos draudimo veiklos tarpininkams, profesinių pensijų įstaigoms, kredito reitingų agentūroms, teisės aktų nustatytą auditą atliekantiems auditoriams ir audito įmonėms, ypatingos svarbos lyginamųjų indeksų administratoriams ir sutelktinio finansavimo paslaugų teikėjams. Tokia taikymo sritis padeda vienodai ir nuosekliai taikyti visus rizikos valdymo komponentus su IRT susijusiose srityse, kartu užtikrinant vienodas sąlygas finansų sektoriaus subjektams vykdyti savo reguliavimo pareigas, susijusias su IRT rizika. Be to, reglamente pripažįstama, kad finansų sektoriaus subjektai gerokai skiriasi savo dydžiu, veiklos pobūdžiu arba jiems gresiančia skaitmenine rizika. Kadangi didesni finansų sektoriaus subjektai turi daugiau išteklių, tik finansų sektoriaus subjektai, nelaikomi labai mažomis įmonėmis, yra įpareigoti, pavyzdžiui, nustatyti sudėtingą valdymo tvarką, specialias valdymo funkcijas, atlikti išsamų vertinimą po tinklų ir informacinės sistemos infrastruktūros svarbių pakeitimų, reguliariai atlikti senųjų IRT sistemų rizikos analizę, išplėsti veiklos tęstinumo ir reagavimo bei veiklos atkūrimo planų testavimą, kad būtų galima nustatyti jų pirminės IRT infrastruktūros pakeitimo atsarginiais įrenginiais scenarijus. Be to, tik finansų sektoriaus subjektai, kurie laikomi reikšmingais atliekant pažangų skaitmeninio atsparumo testavimą, bus įpareigoti atlikti grėsmėmis grindžiamą skverbimosi (TLPT) testavimą. Nepaisant šios plačios taikymo srities, ji nėra išsami. Visų pirma, šis reglamentas netaikomas sistemos operatoriams, kaip apibrėžta Direktyvos 98/26/EB dėl atsiskaitymų baigtinumo mokėjimų ir vertybinių popierių atsiskaitymų sistemose 2 straipsnio p punkte, taip pat sistemos dalyviams, nebent toks dalyvis pats yra Sąjungos lygmeniu reguliuojamas finansų sektoriaus subjektas, todėl šis reglamentas jam būtų teisėtai taikomas (t. y. kredito įstaiga, investicinė įmonė, pagrindinė sandorio šalis). Be to, į taikymo sritį nepatenka ir Sąjungos apyvartinių taršos leidimų registras, kuris prižiūrint Europos Komisijai tvarkomas pagal Direktyvą 2003/87/EB. Taikant tokias Atsiskaitymų baigtinumo direktyvos išimtis atsižvelgiama į poreikį papildomai peržiūrėti teisinius ir politinius klausimus, susijusius su Atsiskaitymų baigtinumo direktyvos sistemos operatoriais ir dalyviais, kartu tinkamai atsižvelgiant į šiuo metu centrinių bankų valdomoms mokėjimo sistemoms taikomų sistemų poveikį. Kadangi šie klausimai gali būti susiję su aspektais, kurie yra nesusiję su klausimais, kuriems taikomas šis reglamentas, Komisija toliau vertins, ar į šio reglamento taikymo sritį būtina įtraukti ir subjektus bei IRT infrastruktūras, kurie šiuo metu į ją neįtraukti, ir kokį poveikį tai turėtų. Su valdymu susiję reikalavimai (4 straipsnis) Šiuo reglamentu siekiama geriau suderinti finansų sektoriaus subjektų verslo strategijas ir IRT rizikos valdymo vykdymą. Tuo tikslu valdymo organas turės atlikti ypatingos svarbos aktyvų vaidmenį taikant IRT rizikos valdymo sistemą ir laikytis griežtos kibernetinės higienos. Visiška valdymo organo atsakomybė valdant finansų sektoriaus subjekto IRT riziką taps bendruoju principu, kurio pagrindu bus parengti konkretūs reikalavimai, pavyzdžiui, taikomi aiškių pareigų ir atsakomybės už visas su IRT susijusias funkcijas priskyrimui, nuolatiniam dalyvavimui kontroliuojant IRT rizikos valdymo stebėseną, visuose įvairiausiuose patvirtinimo bei kontrolės procesuose ir tinkamai paskirstant IRT investicijas ir mokymo poreikius. IRT rizikos valdymo reikalavimai (5–14 straipsniai)

Pagal bendrą EPI techninę rekomendaciją skaitmeninės veiklos atsparumas grindžiamas pagrindiniais IRT rizikos valdymo sistemos principais ir reikalavimais. Šie reikalavimai, grindžiami atitinkamais tarptautiniais, nacionaliniais ir sektoriaus standartais, gairėmis ir rekomendacijomis, yra orientuoti į konkrečias IRT rizikos valdymo funkcijas (identifikavimą, apsaugą ir prevenciją, aptikimą, reagavimą ir atkūrimą, mokymąsi, tobulinimąsi bei komunikaciją). Kad neatsiliktų nuo sparčiai kintančios kibernetinių grėsmių aplinkos, finansų sektoriaus subjektai yra įpareigoti diegti ir prižiūrėti atsparias IRT sistemas ir priemones, kuriomis būtų mažinamas IRT rizikos poveikis, nuolat identifikuoti visus IRT rizikos šaltinius, diegti apsaugos ir prevencijos priemones, skubiai aptikti neįprastą veiklą, įgyvendinti specialią ir visapusišką veiklos tęstinumo politiką ir veiklos atkūrimo po ekstremaliųjų įvykių planus, kurie yra neatsiejama einamosios veiklos tęstinumo politikos dalis. Pastarieji komponentai reikalingi skubiam veiklos atkūrimui po su IRT susijusių incidentų, visų pirma kibernetinių išpuolių, ribojant žalą ir teikiant pirmenybę saugiam veiklos atnaujinimui. Pačiu reglamentu specialus standartizavimas nenustatomas, tačiau reglamentas grindžiamas Europos ir tarptautiniu mastu pripažintais techniniais standartais arba geriausia sektoriaus praktika, kai jie visiškai atitinka priežiūros nurodymus dėl tokių tarptautinių standartų taikymo ir įtraukimo. Šis reglamentas taip pat taikomas fizinės infrastruktūros ir įrangos, palaikančių technologijų naudojimą, atitinkamus IRT srities procesus ir darbuotojus, iš dalies atsakingus už finansų sektoriaus subjekto veiklos skaitmeninį pėdsaką, vientisumui, saugai ir atsparumui. Pranešimai apie su IRT susijusius incidentus (15–20 straipsniai) Pranešimo apie su IRT susijusius incidentus tvarkos suderinimas ir racionalizavimas pasiekiamas, pirma, nustatant bendrą reikalavimą finansų sektoriaus subjektams nustatyti ir įgyvendinti valdymo procesą, skirtą su IRT susijusiems incidentams stebėti ir registruoti, kartu nustatant pareigą juos klasifikuoti remiantis reglamente nustatytais kriterijais, kuriuos toliau plėtoja EPI nustatydamos reikšmingumo ribas. Antra, kompetentingoms institucijoms turi būti pranešta tik apie su IRT susijusius incidentus, kurie laikomi dideliais. Pranešimai turėtų būti teikiami naudojant bendrą šabloną ir laikantis EPI parengtos suderintos procedūros. Finansų sektoriaus subjektai turėtų teikti pradinius, tarpinius ir galutinius pranešimus ir informuoti savo naudotojus ir klientus, kai incidentas daro arba gali daryti poveikį jų finansiniams interesams. Kompetentingos institucijos turėtų pateikti aktualią informaciją apie incidentus kitoms įstaigoms ar institucijoms: EPI, ECB ir pagal Direktyvą (ES) 2016/1148 paskirtiems bendriesiems informaciniams centrams. Siekiant užmegzti finansų sektoriaus subjektų ir kompetentingų institucijų dialogą, padėsiantį sumažinti poveikį ir identifikuoti tinkamas taisomąsias priemones, pranešimas apie didelius su IRT susijusius incidentus turėtų būti papildytas priežiūros grįžtamąją informaciją ir rekomendacijomis. Galiausiai EPI, ECB ir ENISA bendroje ataskaitoje turėtų būti toliau nagrinėjama galimybė Sąjungos lygmeniu centralizuoti pranešimų apie su IRT susijusius incidentus teikimą ir įvertintos galimybės įsteigti vieną bendrą ES centrą, kuriam finansų sektoriaus subjektai teiktų pranešimus apie didelius su IRT susijusius incidentus. Skaitmeninės veiklos atsparumo testavimas (21–24 straipsniai) IRT rizikos valdymo sistemą sudarantys pajėgumai ir funkcijos turi būti periodiškai testuojami siekiant patikrinti jų parengtį ir identifikuoti silpnąsias vietas, trūkumus ar spragas, taip pat greitai įgyvendinti taisomąsias priemones. Šiuo reglamentu sudaromos sąlygos proporcingai taikyti skaitmeninės veiklos atsparumo testavimo reikalavimus atsižvelgiant į finansų sektoriaus subjektų dydį, veiklos ir rizikos pobūdį: nors testuoti IRT priemones ir sistemas turėtų visi subjektai, pažangų TLPT testavimą reikėtų įpareigoti atlikti tik tuos subjektus, kuriuos kompetentingos institucijos (remdamosi šiame reglamente nustatytais ir EPI toliau išplėtotais kriterijais) yra priskyrusios svarbiems ir kibernetiniu atžvilgiu brandiems subjektams. Šiame reglamente taip pat nustatomi reikalavimai, taikomi testuotojams ir keliose valstybėse narėse veiklą vykdančių finansų sektoriaus subjektų TLPT testavimo rezultatų pripažinimui visoje Sąjungoje. Trečiosios šalies keliama IRT rizika (25–39 straipsniai) Reglamentu siekiama užtikrinti patikimą trečiosios šalies keliamos IRT rizikos stebėseną. Šis tikslas bus pasiektas pirmiausia laikantis principinių taisyklių, taikomų finansų sektoriaus subjektų vykdomai rizikos, kylančios dėl IRT paslaugas teikiančių trečiųjų šalių, stebėsenai. Antra, šiuo reglamentu suderinami pagrindiniai paslaugų ir santykių su IRT paslaugas teikiančiomis trečiosiomis šalimis elementai. Šie elementai apima būtiniausius aspektus, kurie laikomi ypatingai svarbiais, kad finansų sektoriaus subjektas galėtų vykdyti visapusišką trečiosios šalies keliamos IRT rizikos stebėseną visą sutarties sudarymo, vykdymo ir nutraukimo laikotarpį bei po jos nutraukimo. Visų pirma, sutartyse, kuriomis reglamentuojami tokie santykiai, turės būti išsamiai aprašytos paslaugos, nurodytos vietos, kuriose turi būti tvarkomi duomenys, pateikiamas išsamus paslaugų lygio aprašymas kartu su kiekybiniais ir kokybiniais tiksliniais veiklos rezultatų rodikliais, nurodomos atitinkamos nuostatos dėl asmens duomenų pasiekiamumo, prieinamumo, vientisumo, saugumo ir apsaugos, taip pat prieigos, veiklos atkūrimo ir grąžinimo garantijos IRT paslaugas teikiančioms trečiosioms šalims žlugus, IRT paslaugas teikiančių trečiųjų šalių įspėjimo terminai ir pareigos pranešti, finansų sektoriaus subjekto arba paskirtos trečiosios šalies prieigos, patikrinimo ir audito teisės, aiškios sutarties nutraukimo teisės ir specialios pasitraukimo strategijos. Be to, kadangi kai kuriuos iš šių sutartinių elementų galima standartizuoti, reglamentu skatinama savanoriškai naudoti standartines sutarčių sąlygas, kurias Komisija turi parengti debesijos paslaugai. Galiausiai reglamentu siekiama skatinti priežiūros metodų, taikomų trečiosios šalies keliamai IRT rizikai finansų sektoriuje, konvergenciją, ypatingos svarbos IRT paslaugas teikiančioms trečiosioms šalims nustatant Sąjungos priežiūros sistemą. Taikant naują suderintą teisinę sistemą, EPI, paskirtai kiekvienos tokios ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies atsakingąja priežiūros institucija, suteikiami įgaliojimai užtikrinti, kad technologijų paslaugų teikėjai, kurie yra ypatingai svarbūs finansų sektoriaus veikimui, būtų tinkamai stebimi visos Europos mastu. Šiame reglamente numatyta priežiūros sistema yra grindžiama esama finansinių paslaugų srities institucine struktūra, kurioje EPI jungtinis komitetas užtikrina tarpsektorinį visų IRT rizikos klausimų koordinavimą pagal savo kibernetinio saugumo užduotis, padedamas atitinkamo pakomitečio (Priežiūros forumo), atliekančio parengiamąjį darbą, susijusį su atskirais sprendimais ir bendromis rekomendacijomis, skirtomis ypatingos svarbos IRT paslaugas teikiančioms trečiosioms šalims. Dalijimasis informacija (40 straipsnis) Siekiant didinti informuotumą apie IRT riziką, mažinti jos plitimą, remti finansų sektoriaus subjektų gynybos pajėgumus ir grėsmių aptikimo metodus, reglamentu finansų sektoriaus subjektams leidžiama sudaryti susitarimus dėl keitimosi informacija ir žvalgybos informacija apie kibernetines grėsmes.



2020/0266 (COD) Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS dėl skaitmeninės veiklos atsparumo finansų sektoriuje, kuriuo iš dalies keičiami reglamentai (EB) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014 ir (ES) Nr. 909/2014 (Tekstas svarbus EEE) EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA,

atsižvelgdami į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 114 straipsnį, atsižvelgdami į Europos Komisijos pasiūlymą, teisėkūros procedūra priimamo akto projektą perdavus nacionaliniams parlamentams, atsižvelgdami į Europos Centrinio Banko nuomonę, atsižvelgdami į Europos ekonomikos ir socialinių reikalų komiteto nuomonę, laikydamiesi įprastos teisėkūros procedūros, kadangi: (1)skaitmeniniame amžiuje informacinėmis ir ryšių technologijomis (IRT) palaikomos sudėtingos sistemos, naudojamos kasdienei visuomeninei veiklai. Jos padeda mūsų ekonomikai pagrindiniuose sektoriuose, įskaitant finansų sektorių, ir stiprina bendrosios rinkos veikimą. Didesnis skaitmeninimas ir tarpusavio sąsajos taip pat didina IRT riziką, todėl visa visuomenė, o ypač finansų sistema, tampa labiau pažeidžiama kibernetinių grėsmių ar IRT sutrikimų atžvilgiu. Nors plačiai paplitęs IRT sistemų naudojimas ir didelis skaitmeninimas bei junglumas dabar yra pagrindiniai visos Sąjungos finansų sektoriaus subjektų veiklos bruožai, skaitmeninis atsparumas dar nėra pakankamai integruotas į jų veiklos sistemas; (2)per pastaruosius dešimtmečius IRT naudojimas įgijo esminį vaidmenį finansų srityje ir šiandien yra ypatingai aktualus visų finansų sektoriaus subjektų įprastų kasdienių funkcijų vykdymui. Skaitmeninimas apima, pavyzdžiui, mokėjimus, kuriuos atliekant vis dažniau atsisakoma grynųjų pinigų ir popierinių metodų, kuriuos keičia naudojami skaitmeniniai sprendimai, taip pat vertybinių popierių tarpuskaitą ir atsiskaitymą, elektroninę ir algoritminę prekybą, skolinimo ir finansavimo operacijas, tarpusavio finansavimą, kredito reitingus, draudimo veiklą, žalų administravimą ir netiesioginio aptarnavimo operacijas. Finansų sektorius ne tik tapo iš esmės skaitmeninis, bet skaitmeninimas padidino tarpusavio sąsajas ir priklausomybę pačiame finansų sektoriuje ir sąsajas su trečiųjų šalių infrastruktūra ir paslaugų teikėjais bei priklausomybę nuo jų; (3)2020 m. ataskaitoje dėl sisteminės kibernetinės rizikos Europos sisteminės rizikos valdyba (ESRV) dar kartą patvirtino, kad dabartinės stiprios finansų sektoriaus subjektų, finansų rinkų ir finansų rinkos infrastruktūrų tarpusavio sąsajos, ypač jų IRT sistemų tarpusavio priklausomybė, galėtų virsti sisteminiu pažeidžiamumu, nes vienoje vietoje kilę kibernetiniai incidentai, nevaržomi jokių geografinių ribų, galėtų greitai išplisti iš bet kurio iš maždaug 22 000 Sąjungos finansų sektoriaus subjektų į visą finansų sistemą. Sunkūs IRT pažeidimai finansų srityje daro poveikį ne tik finansų sektoriaus subjektams. Jie taip pat sudaro sąlygas vienoje vietoje atsiradusiems pažeidžiamumams plisti finansiniais perdavimo kanalais ir gali turėti neigiamų padarinių Sąjungos finansų sistemos stabilumui, nes mažina likvidumą ir apskritai pasikliovimą ir pasitikėjimą finansų rinkomis; (4)pastaraisiais metais IRT rizika sulaukė nacionalinių, Europos ir tarptautinių politikos formuotojų, reguliavimo institucijų ir standartus nustatančių įstaigų, siekiančių stiprinti atsparumą, nustatyti standartus ir koordinuoti reguliavimo ar priežiūros darbą, dėmesio. Tarptautiniu lygmeniu Bazelio bankų priežiūros komitetas, Mokėjimo ir rinkos infrastruktūrų komitetas, Finansinio stabilumo taryba, Finansinio stabilumo institutas, taip pat G 7 ir G 20 valstybių grupės siekia įvairių jurisdikcijų kompetentingoms institucijoms ir rinkos operatoriams suteikti priemonių jų finansų sistemų atsparumui stiprinti; (5)nepaisant nacionalinių ir Europos tikslinių politikos ir teisėkūros iniciatyvų, IRT rizika ir toliau kelia sunkumų Sąjungos finansų sistemos veiklos atsparumui, efektyvumui ir stabilumui. Po 2008 m. finansų krizės vykdyta reforma visų pirma buvo didinamas Sąjungos finansų sektoriaus finansinis atsparumas ir siekta apsaugoti Sąjungos konkurencingumą ir stabilumą ekonominiu, prudenciniu ir elgesio rinkoje požiūriu. Nors IRT saugumas ir skaitmeninis atsparumas yra operacinės rizikos dalis, jiems teko mažiau dėmesio po krizės įgyvendinamoje reguliavimo darbotvarkėje ir jie buvo plėtojami tik kai kuriose Sąjungos finansinių paslaugų politikos ir reglamentavimo aplinkos srityse arba tik keliose valstybėse narėse; (6)Komisijos 2018 m. „Fintech“ srities veiksmų plane buvo pabrėžta, kad itin svarbu, jog Sąjungos finansų sektorius taptų atsparesnis ir veiklos požiūriu, kad būtų užtikrinta jo technologinė sauga ir geras veikimas, greitas veiklos atkūrimas po IRT pažeidimų ir incidentų, taip galiausiai sudarant sąlygas veiksmingai ir sklandžiai teikti finansines paslaugas visoje Sąjungoje, be kita ko, esant nepalankioms sąlygoms, kartu išsaugant vartotojų ir rinkos pasitikėjimą ir kliovimąsi; (7)2019 m. balandžio mėn. Europos bankininkystės institucija (EBI), Europos vertybinių popierių ir rinkų institucija (ESMA) ir Europos draudimo ir profesinių pensijų institucija (EIOPA) (toliau kartu – Europos priežiūros institucijos, EPI) kartu paskelbė dvi technines rekomendacijas, ragindamos laikytis nuoseklaus požiūrio į IRT riziką finansų srityje ir rekomenduodamos proporcingai didinti finansinių paslaugų sektoriaus skaitmeninės veiklos atsparumą įgyvendinant Sąjungos konkrečiam sektoriui skirtą iniciatyvą; (8)Sąjungos finansų sektorių reglamentuoja suderintas bendras taisyklių sąvadas ir reguliuoja Europos finansų priežiūros institucijų sistema. Vis dėlto su skaitmeninės veiklos atsparumu ir IRT saugumu susijusios nuostatos dar nėra visiškai arba nuosekliai suderintos, nors skaitmeninės veiklos atsparumas yra gyvybiškai svarbus siekiant užtikrinti finansinį stabilumą ir rinkos vientisumą skaitmeniniame amžiuje ir ne mažiau svarbus nei, pavyzdžiui, bendrieji prudenciniai ar elgesio rinkoje standartai. Todėl bendras taisyklių sąvadas ir priežiūros sistema turėtų būti plėtojami, kad apimtų ir šį komponentą, išplečiant finansų priežiūros institucijų, kurioms pavesta stebėti ir saugoti finansinį stabilumą ir rinkos vientisumą, įgaliojimus; (9)dėl teisės aktų skirtumų ir nevienodų nacionalinių reguliavimo ar priežiūros metodų, susijusių su IRT rizika, atsiranda bendrosios finansinių paslaugų rinkos kliūčių, dėl kurių tarpvalstybinę veiklą vykdantiems finansų sektoriaus subjektams trukdoma sklandžiai naudotis įsisteigimo laisve ir paslaugų teikimo laisve. Lygiai taip pat gali būti iškraipoma tos pačios rūšies finansų sektoriaus subjektų, veikiančių skirtingose valstybėse narėse, konkurencija. Visų pirma tose srityse, kuriose Sąjungos vykdomo suderinimo mastas buvo labai nedidelis, pavyzdžiui, skaitmeninės veiklos atsparumo testavimo srityje, arba jo visai nebuvo, pavyzdžiui, trečiosios šalies keliamos IRT rizikos stebėsenos srityje, dėl numatomų pokyčių nacionaliniu lygmeniu atsirandantys skirtumai galėtų sudaryti papildomų kliūčių bendrosios rinkos veikimui, o tai pakenktų rinkos dalyviams ir finansiniam stabilumui; (10)su IRT rizika susijusios nuostatos Sąjungos lygmeniu tvarkytos nenuosekliai, todėl svarbiose srityse, pavyzdžiui, pranešimo apie su IRT susijusius incidentus ir skaitmeninės veiklos atsparumo testavimo srityse, stebimos spragos arba dalinis nuostatų sutapimas, o dėl priimamų skirtingų nacionalinių taisyklių arba ekonomiškai neefektyvaus iš dalies sutampančių taisyklių taikymo atsiranda nenuoseklumas. Tai ypač kenkia tokiam intensyviam IRT naudotojui kaip finansų sektorius, nes technologijų rizika neturi sienų, o finansų sektoriaus paslaugos teikiamos plačiai tarpvalstybiniu mastu Sąjungoje ir už jos ribų. Atskiri finansų sektoriaus subjektai, veikiantys tarpvalstybiniu mastu arba turintys kelis veiklos leidimus (pvz., vienas finansų sektoriaus subjektas gali turėti bankininkystės, investicinės įmonės ir mokėjimo įstaigos licenciją, kurių kiekviena yra išduota vienos ar kelių valstybių narių skirtingų kompetentingų institucijų), susiduria su veiklos sunkumais savarankiškai ir nuosekliai bei ekonomiškai efektyviai mažindami IRT riziką ir švelnindami IRT incidentų neigiamą poveikį; (11)kadangi bendras taisyklių sąvadas nebuvo papildytas išsamia IRT arba operacinės rizikos sistema, būtina toliau derinti pagrindinius skaitmeninės veiklos atsparumo reikalavimus, taikomus visiems finansų sektoriaus subjektams. Pajėgumai ir bendras atsparumas, kuriuos finansų sektoriaus subjektai įgytų laikydamiesi tokių pagrindinių reikalavimų, kad nenukentėtų veiklos sutrikdymo atvejais, padėtų išsaugoti Sąjungos finansų rinkų stabilumą bei vientisumą ir užtikrinti aukštą investuotojų ir vartotojų apsaugos lygį Sąjungoje. Kadangi šiuo reglamentu siekiama prisidėti prie sklandaus bendrosios rinkos veikimo, jis turėtų būti grindžiamas SESV 114 straipsnio nuostatomis, atsižvelgiant į jų aiškinimą pagal nusistovėjusią Europos Sąjungos Teisingumo Teismo praktiką; (12)šiuo reglamentu pirmiausia siekiama konsoliduoti ir atnaujinti IRT rizikos reikalavimus, kurie iki šiol buvo atskirai aptariami skirtinguose reglamentuose ir direktyvose. Nors tie Sąjungos teisės aktai apėmė pagrindines finansinės rizikos kategorijas (pvz., kredito riziką, rinkos riziką, sandorio šalies kredito riziką ir likvidumo riziką, elgesio rinkoje riziką), juos priimant nebuvo galima išsamiai atsižvelgti į visus veiklos atsparumo komponentus. Toliau plėtojant operacinės rizikos reikalavimus šiuose Sąjungos teisės aktuose dažnai pirmenybė teikta tradiciniam kiekybiniam rizikos mažinimo metodui (t. y. nustatant kapitalo reikalavimus IRT rizikai padengti), o ne siekiui įtvirtinti tikslinius kokybinius reikalavimus, kuriais didinami pajėgumai, pavyzdžiui, reikalavimus, kuriais užtikrinami apsaugos nuo su IRT susijusių incidentų, jų aptikimo, izoliavimo, veiklos atkūrimo ir taisymo pajėgumai, arba nustatyti pranešimų teikimo ir skaitmeninio testavimo pajėgumus. Tos direktyvos ir reglamentai visų pirma buvo skirti esminėms prudencinės priežiūros, rinkos vientisumo ar elgesio taisyklėms.

Šiame dokumente, kuriame konsoliduojamos ir atnaujinamos IRT rizikos taisyklės, visos nuostatos, susijusios su skaitmenine rizika finansų sektoriuje, būtų pirmą kartą visos nuosekliai išdėstytos viename teisėkūros procedūra priimame akte. Taigi šia iniciatyva turėtų būti užpildytos kai kurių tokių teisės aktų spragos arba pašalintas jų nenuoseklumas, įskaitant juose vartojamą terminiją, ir turėtų būti aiškiai įvardyta IRT rizika, numatant tikslines IRT rizikos valdymo pajėgumų, pranešimų teikimo ir testavimo bei trečiųjų šalių keliamos rizikos stebėsenos taisykles; (13)finansų sektoriaus subjektai, mažindami IRT riziką, turėtų laikytis to paties požiūrio ir tų pačių principinių taisyklių. Nuoseklumas padeda didinti pasitikėjimą finansų sistema ir išsaugoti jos stabilumą, ypač esant pertekliniam IRT sistemų, platformų ir infrastruktūrų naudojimui, dėl kurio kyla didesnė skaitmeninė rizika. Laikantis pagrindinės kibernetinės higienos taip pat turėtų būti išvengta didelių ekonomikos išlaidų, nes IRT sutrikimų poveikis ir išlaidos sumažėtų iki minimumo; (14)priimant reglamentą padedama mažinti reglamentavimo sudėtingumą, skatinama priežiūros konvergencija ir didinamas teisinis tikrumas, kartu prisidedant ir prie reikalavimų laikymosi išlaidų, visų pirma patiriamų finansų sektoriaus subjektų, kurie vykdo tarpvalstybinę veiklą, apribojimo ir konkurencijos iškraipymo mažinimo. Todėl reglamentas dėl bendros finansų sektoriaus subjektų skaitmeninės veiklos atsparumo sistemos sukūrimo yra tinkamiausias būdas užtikrinti vienodą ir nuoseklų visų IRT rizikos valdymo komponentų taikymą Sąjungos finansų sektoriuose; (15)be finansinių paslaugų teisės aktų, Europos Parlamento ir Tarybos direktyva (ES) 2016/1148 dabar yra bendra Sąjungos lygmens kibernetinio saugumo sistema. Septyniuose ypatingos svarbos sektoriuose ta direktyva taip pat taikoma trijų rūšių finansų sektoriaus subjektams, t. y. kredito įstaigoms, prekybos vietoms ir pagrindinėms sandorio šalims. Tačiau, kadangi Direktyvoje (ES) 2016/1148 nustatytas esminių paslaugų operatorių identifikavimo nacionaliniu lygmeniu mechanizmas, faktiškai tik tam tikros valstybių narių nustatytos kredito įstaigos, prekybos vietos ir pagrindinės sandorio šalys patenka į jos taikymo sritį ir dėl to turi laikytis joje nustatytų IRT saugumo ir pranešimo apie incidentus reikalavimų; (16)kadangi šiuo reglamentu didinamas skaitmeninio atsparumo komponentų suderinimas nustatant reikalavimus, taikomus IRT rizikos valdymui ir pranešimui apie su IRT susijusius incidentus, kurie yra griežtesni nei nustatytieji galiojančiuose Sąjungos finansinių paslaugų teisės aktuose, juo taip pat didinamas suderinimas, palyginti su Direktyvoje (ES) 2016/1148 nustatytais reikalavimais. Todėl šis reglamentas yra lex specialis Direktyvos (ES) 2016/1148 atžvilgiu. Labai svarbu išlaikyti tvirtą finansų sektoriaus ir Sąjungos horizontaliosios kibernetinio saugumo sistemos sąryšį, nes taip būtų užtikrintas suderinamumas su valstybių narių jau priimtomis kibernetinio saugumo strategijomis, o finansų priežiūros institucijos galėtų būti informuotos apie kibernetinius incidentus, darančius poveikį kitiems sektoriams, kuriems taikoma Direktyva (ES) 2016/1148; (17)siekiant sudaryti sąlygas tarpsektorinio mokymosi procesui ir veiksmingai pasinaudoti kitų sektorių patirtimi kovojant su kibernetinėmis grėsmėmis, Direktyvoje (ES) 2016/1148 nurodyti finansų sektoriaus subjektai turėtų likti tos direktyvos „ekosistemos“ (pvz., TIS bendradarbiavimo grupės ir reagavimo į kompiuterių saugumo incidentus tarnybos (CSIRT)) dalimi. EPI ir nacionalinėms kompetentingoms institucijoms turėtų būti suteikta galimybė atitinkamai dalyvauti strateginėse politikos diskusijose ir TIS bendradarbiavimo grupės techniniame darbe, keistis informacija ir toliau bendradarbiauti su bendraisiais informaciniais centrais, paskirtais pagal Direktyvą (ES) 2016/1148. Pagal šį reglamentą kompetentingos institucijos taip pat turėtų konsultuotis ir bendradarbiauti su nacionalinėmis CSIRT, paskirtomis pagal Direktyvos (ES) 2016/1148 9 straipsnį; (18)taip pat svarbu užtikrinti suderinamumą su Europos ypatingos svarbos infrastruktūros objektų direktyva, kuri šiuo metu peržiūrima siekiant padidinti ypatingos svarbos infrastruktūros objektų apsaugą ir atsparumą su kibernetine veikla nesusijusioms grėsmėms, o tai gali turėti įtakos finansų sektoriui; (19)debesijos paslaugų teikėjai yra viena iš skaitmeninių paslaugų teikėjų kategorijų, kuriai taikoma Direktyva (ES) 2016/1148. Jiems taikoma ex post priežiūra, kurią vykdo pagal tą direktyvą paskirtos nacionalinės institucijos ir kuri apima tik tame akte nustatytų IRT saugumo ir pranešimo apie incidentus reikalavimų laikymąsi. Kadangi šiuo reglamentu nustatoma priežiūros sistema taikoma visoms ypatingos svarbos IRT paslaugas teikiančioms trečiosioms šalims, įskaitant debesijos paslaugų teikėjus, kai jie teikia IRT paslaugas finansų sektoriaus subjektams, ši sistema laikytina papildančia pagal Direktyvą (ES) 2016/1148 vykdomą priežiūrą. Be to, šiuo reglamentu nustatoma priežiūros sistema turėtų būti taikoma debesijos paslaugų teikėjams, kai nėra Sąjungos horizontaliosios visiems sektoriams taikomos sistemos, pagal kurią būtų įkurta skaitmeninės priežiūros institucija; (20)siekdami ir toliau visiškai kontroliuoti IRT riziką, finansų sektoriaus subjektai turi turėti visapusiškų pajėgumų, kurie jiems leistų vykdyti griežtą ir veiksmingą IRT rizikos valdymą, taip pat specialius pranešimo apie su IRT susijusius incidentus, IRT sistemų testavimo, kontrolės priemonių ir procesų, taip pat trečiosios šalies keliamos IRT rizikos valdymo mechanizmus ir politiką. Reikėtų didinti finansų sistemos skaitmeninės veiklos atsparumo kartelę, kartu sudarant sąlygas proporcingai taikyti reikalavimus finansų sektoriaus subjektams, kurie yra labai mažos įmonės, kaip apibrėžta Komisijos rekomendacijoje 2003/361/EB; (21)nacionalinio lygmens pranešimo apie su IRT susijusius incidentus ribos ir taksonomijos gerokai skiriasi. Nors bendrus principus galima nustatyti Europos Sąjungos kibernetinio saugumo agentūrai (ENISA) ir TIS bendradarbiavimo grupei atliekant atitinkamą darbą finansų sektoriaus subjektų, kuriems taikoma Direktyva (ES) 2016/1148, atžvilgiu, likusiems finansų sektoriaus subjektams vis dar taikomi arba gali atsirasti skirtingi ribų ir taksonomijų metodai. Vadinasi, finansų sektoriaus subjektams gali būti taikoma daugybė reikalavimų, ypač tais atvejais, kai jie vykdo veiklą keliose Sąjungos jurisdikcijose ir yra finansų grupės dalis. Be to, šie skirtumai gali trukdyti kurti papildomus vienodus arba centralizuotus Sąjungos mechanizmus, kuriais būtų paspartintas pranešimų teikimo procesas ir padedama kompetentingoms institucijoms greitai ir sklandžiai keistis informacija, nes tai yra itin svarbu mažinant IRT riziką didelio masto išpuolių, galinčių turėti sisteminių padarinių, atveju; (22)siekiant, kad kompetentingos institucijos galėtų vykdyti savo priežiūros funkcijas, galėdamos susidaryti visapusišką su IRT susijusių incidentų pobūdžio, dažnumo, svarbos ir poveikio vaizdą, ir tobulinti atitinkamų valdžios institucijų, įskaitant teisėsaugos institucijas ir pertvarkymo institucijas, keitimąsi informacija, būtina nustatyti taisykles, kuriomis pranešimo apie su IRT susijusius incidentus tvarka būtų papildyta reikalavimais, kurių šiuo metu trūksta finansų pasektorių teisės aktuose, ir pašalinti visus dabar iš dalies sutampančius ir pasikartojančius reikalavimus, kad būtų sumažintos išlaidos. Todėl labai svarbu suderinti pranešimo apie su IRT susijusius incidentus tvarką reikalaujant, kad visi finansų sektoriaus subjektai pranešimus teiktų tik savo kompetentingoms institucijoms. Be to, EPI turėtų būti suteikti įgaliojimai patikslinti pranešimo apie su IRT susijusius incidentus elementus, pavyzdžiui, taksonomiją, terminus, duomenų rinkinius, šablonus ir taikomas ribas; (23)kai kuriuose finansų pasektoriuose buvo parengti skaitmeninės veiklos atsparumo testavimo reikalavimai, įtraukti į kelias nekoordinuojamas nacionalines sistemas, tas pačias problemas sprendžiant skirtingai. Dėl to tarpvalstybiniai finansų sektoriaus subjektai patiria dvigubų išlaidų, o abipusis rezultatų pripažinimas yra sudėtingas. Todėl dėl nekoordinuojamo testavimo gali būti skaidoma bendroji rinka; (24)be to, tais atvejais, kai testavimas neprivalomas, pažeidžiamumai neaptinkami, todėl kyla didesnė rizika finansų sektoriaus subjektui ir galiausiai finansų sektoriaus stabilumui ir vientisumui. Be Sąjungos intervencijos skaitmeninės veiklos atsparumo testavimas toliau būtų fragmentiškas, o abipusis testavimo rezultatų pripažinimas skirtingose jurisdikcijose nevyktų. Be to, kadangi mažai tikėtina, kad kiti finansų pasektoriai galėtų priimti tokias schemas reikšmingu mastu, jie nepasinaudotų galimais privalumais, pavyzdžiui, nenustatytų pažeidžiamumų ir rizikos, netestuotų apsaugos pajėgumų ir veiklos tęstinumo ir neįgytų didesnio klientų, tiekėjų ir verslo partnerių pasitikėjimo. Siekiant pašalinti tokį reikalavimų dalinį sutapimą, skirtumus ir spragas, būtina nustatyti taisykles, kuriomis būtų siekiama, kad finansų sektoriaus subjektai ir kompetentingos institucijos koordinuotų testavimą, taip sudarant palankesnes sąlygas reikšmingų finansų sektoriaus subjektų pažangaus testavimo rezultatų tarpusavio pripažinimui; (25)finansų sektoriaus subjektų priklausomybę nuo IRT paslaugų iš dalies lemia jų poreikis prisitaikyti prie besiformuojančios konkurencingos skaitmeninės pasaulinės ekonomikos, didinti savo veiklos efektyvumą ir tenkinti vartotojų paklausą. Pastaraisiais metais tokios priklausomybės pobūdis ir mastas nuolat kinta, todėl mažėja finansinio tarpininkavimo sąnaudos, sudaromos sąlygos verslo plėtrai ir finansinės veiklos įgyvendinimo didinimui, kartu siūlant įvairias IRT priemones sudėtingiems vidaus procesams valdyti; (26)tokį intensyvų IRT paslaugų naudojimą liudija sudėtingi sutartimi įforminti susitarimai, kurių laikydamiesi finansų sektoriaus subjektai dažnai susiduria su sunkumais derybose dėl sutarties sąlygų, pritaikytų pagal prudencinius standartus ar kitus reguliavimo reikalavimus, kurie jiems taikomi, arba kitaip siekdami pasinaudoti konkrečiomis teisėmis, pavyzdžiui, prieigos arba audito teisėmis, kai pastarosios yra įtvirtintos susitarimuose. Daugelyje tokių sutarčių taip pat nenumatoma pakankamų apsaugos priemonių, leidžiančių vykdyti visapusišką subrangos procesų stebėseną, todėl finansų sektoriaus subjektas praranda galimybę įvertinti šią susijusią riziką. Be to, kadangi IRT paslaugas teikiančios trečiosios šalys dažnai teikia standartines paslaugas skirtingų rūšių klientams, tokios sutartys ne visada gali būti tinkamai pritaikytos prie individualių ar konkrečių finansų sektoriaus dalyvių poreikių; (27)nepaisant kai kurių bendrų veiklos rangai taikomų taisyklių, nustatytų kai kuriuose Sąjungos finansinių paslaugų teisės aktuose, sutarties aspekto stebėsena nėra visiškai įtvirtinta Sąjungos teisės aktuose. Nesant aiškių ir specialiai sukurtų Sąjungos standartų, kurie būtų taikomi sutartimi įformintiems susitarimams, sudarytiems su IRT paslaugas teikiančiomis trečiosiomis šalimis, nėra visapusiškai sprendžiama išorėje kylančios IRT rizikos problema. Todėl būtina nustatyti tam tikrus pagrindinius principus, kuriais finansų sektoriaus subjektai vadovautųsi valdydami trečiosios šalies keliamą IRT riziką, kartu su pagrindinėmis sutartinėmis teisėmis, susijusiomis su keliais sutarčių vykdymo ir nutraukimo elementais, siekiant įtvirtinti tam tikras minimalias apsaugos priemones, užtikrinančias finansų sektoriaus subjektų gebėjimą veiksmingai stebėti visą riziką, kylančią IRT paslaugas teikiančių trečiųjų šalių lygmeniu; (28)Trečiosios šalies keliamos IRT rizikos ir priklausomybės nuo IRT paslaugas teikiančių trečiųjų šalių atžvilgiu trūksta suderinimo ir konvergencijos. Nepaisant tam tikrų pastangų konkrečioje veiklos rangos srityje, pavyzdžiui, 2017 m. rekomendacijų dėl veiklos perdavimo debesijos paslaugų teikėjams, sisteminės rizikos, kuri gali kilti dėl to, kad finansų sektorių aptarnauja ribotas ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių skaičius, klausimas Sąjungos teisės aktuose beveik nesprendžiamas. Šį trūkumą Sąjungos lygmeniu dar labiau apsunkina tai, kad nėra konkrečių įgaliojimų ir priemonių, leidžiančių nacionalinėms priežiūros institucijoms gerai suprasti priklausomybę nuo IRT paslaugas teikiančių trečiųjų šalių ir tinkamai stebėti riziką, kylančią dėl tokios priklausomybės nuo IRT paslaugas teikiančių trečiųjų šalių koncentracijos;

(29)atsižvelgiant į galimą sisteminę riziką, kylančią dėl populiarėjančios veiklos rangos ir IRT paslaugas teikiančių trečiųjų šalių koncentracijos, ir atkreipus dėmesį į tai, kad nepakanka nacionalinių mechanizmų, kurie leistų finansų priežiūros institucijoms kiekybiškai ir kokybiškai įvertinti bei ištaisyti IRT rizikos, su kuria susiduria ypatingos svarbos IRT paslaugas teikiančios trečiosios šalys, padarinius, būtina sukurti tinkamą Sąjungos priežiūros sistemą, sudarančią sąlygas nuolat stebėti IRT paslaugas teikiančių trečiųjų šalių, kurios yra ypatingai svarbūs finansų sektoriaus subjektų paslaugų teikėjai, veiklą; (30)kadangi IRT grėsmės tampa vis painesnės ir sudėtingesnės, geros aptikimo ir prevencijos priemonės labai priklauso nuo reguliaraus finansų sektoriaus subjektų keitimosi žvalgybos informacija apie grėsmes ir pažeidžiamumą. Dalijantis informacija padedama didinti informuotumą apie kibernetines grėsmes, o tai savo ruožtu stiprina finansų sektoriaus subjektų gebėjimą neleisti grėsmėms virsti realiais incidentais ir sudaro sąlygas finansų sektoriaus subjektams geriau suvaldyti su IRT susijusių incidentų poveikį ir veiksmingiau atkurti veiklą. Nesant rekomendacijų Sąjungos lygmeniu, regis, keli veiksniai trukdo dalytis žvalgybos informacija, visų pirma neaiškumas dėl atitikties duomenų apsaugos, antimonopolinėms ir atsakomybės taisyklėms; (31)be to, dėl dvejonių, kuria informacija galima dalytis su kitais rinkos dalyviais arba ne priežiūros institucijomis (pavyzdžiui, analitiniais duomenimis su ENISA arba teisėsaugos tikslais su Europolu), neteikiama naudinga informacija. Dalijimosi informacija mastas ir kokybė tebėra riboti, fragmentiški, o atitinkama informacija daugiausia keičiamasi vietos lygmeniu (vykdant nacionalines iniciatyvas) netaikant nuoseklių Sąjungos masto dalijimosi informacija schemų, pritaikytų integruoto finansų sektoriaus poreikiams; (32)todėl finansų sektoriaus subjektai turėtų būti skatinami kolektyviai naudotis savo individualiomis žiniomis ir praktine patirtimi strateginiu, taktiniu ir veiklos lygmenimis, kad sustiprintų savo gebėjimus tinkamai įvertinti, stebėti, reaguoti į kibernetines grėsmes ir apsisaugoti nuo jų. Taigi būtina sudaryti sąlygas, kad Sąjungos lygmeniu būtų rengiamos savanoriško dalijimosi informacija schemos, kurias taikant patikimoje aplinkoje būtų padedama finansų bendruomenei užkirsti kelią grėsmėms ir kolektyviai į jas reaguoti, greitai suvaržant IRT rizikos plitimą ir neleidžiant neigiamam poveikiui plisti finansiniais kanalais. Tokie mechanizmai turėtų būti įgyvendinami visiškai laikantis galiojančių Sąjungos konkurencijos teisės taisyklių ir tokiu būdu, kad būtų visiškai laikomasi Sąjungos duomenų apsaugos taisyklių, iš esmės Europos Parlamento ir Tarybos reglamento (ES) 2016/679, visų pirma tvarkant asmens duomenis duomenų valdytojo arba trečiosios šalies teisėto intereso pagrindu, kaip nurodyta to reglamento 6 straipsnio 1 dalies f punkte; (33)nepaisant šiame reglamente numatytos plačios taikymo srities, skaitmeninės veiklos atsparumo taisyklės turėtų būti taikomos atsižvelgiant į didelius finansų sektoriaus subjektų dydžio, veiklos pobūdžio ar skaitmeninės rizikos skirtumus. Paprastai finansų sektoriaus subjektai, skirdami išteklius ir pajėgumus IRT rizikos valdymo sistemai įgyvendinti, turėtų tinkamai nustatyti su IRT susijusius poreikius atsižvelgdami į savo dydį ir veiklos pobūdį, o kompetentingos institucijos turėtų toliau vertinti ir peržiūrėti tokio paskirstymo metodą; (34)kadangi didesni finansų sektoriaus subjektai gali turėti daugiau išteklių ir galėtų greitai panaudoti lėšas valdymo struktūroms kurti ir įvairioms įmonių strategijoms rengti, turėtų būti reikalaujama, kad sudėtingesnes valdymo priemones diegtų tik tie finansų sektoriaus subjektai, kurie pagal šį reglamentą nėra labai mažos įmonės. Tokie subjektai yra geriau pasirengę nustatyti specialias valdymo funkcijas, skirtas susitarimams su IRT paslaugas teikiančiomis trečiosiomis šalimis prižiūrėti arba krizių valdymo klausimams spręsti, organizuoti IRT rizikos valdymą pagal trijų gynybos linijų modelį arba priimti žmogiškųjų išteklių dokumentą, kuriame būtų visapusiškai paaiškinta prieigos teisių politika. Be to, tik tokie finansų sektoriaus subjektai turėtų būti raginami atlikti išsamų vertinimą po svarbių tinklų ir informacinių sistemų infrastruktūrų bei procesų pakeitimų, reguliariai atlikti senųjų IRT sistemų rizikos analizę arba išplėsti veiklos tęstinumo ir reagavimo bei veiklos atkūrimo planų testavimą, kad galėtų nustatyti pirminės IRT infrastruktūros pakeitimo atsarginiais įrenginiais scenarijus; (35)be to, kadangi turėtų būti reikalaujama, kad grėsmėmis grindžiamą skverbimosi testavimą atliktų tik tie finansų sektoriaus subjektai, kurie laikomi reikšmingais atliekant pažangų skaitmeninio atsparumo testavimą, tokiam testavimui atlikti reikalingi administraciniai procesai ir finansinės išlaidos turėtų tekti nedidelei finansų sektoriaus subjektų daliai. Galiausiai, siekiant sumažinti reglamentavimo naštą, tik finansų sektoriaus subjektų, kurie nėra labai mažos įmonės, turėtų būti prašoma reguliariai pranešti kompetentingoms institucijoms apie visas išlaidas ir nuostolius, patirtus dėl IRT sutrikimų, ir po didelių IRT sutrikimų atliekamų patikrinimų rezultatus; (36)siekiant užtikrinti visišką finansų sektoriaus subjektų veiklos strategijų ir atliekamo IRT rizikos valdymo suderinimą ir bendrą nuoseklumą, turėtų būti reikalaujama, kad valdymo organui tektų pagrindinis ir aktyvus vaidmuo valdant ir pritaikant IRT rizikos valdymo sistemą ir bendrą skaitmeninio atsparumo strategiją. Požiūris, kurio turi laikytis valdymo organas, turėtų būti orientuotas ne tik į priemones, kuriomis užtikrinamas IRT sistemų atsparumas, bet apimti ir žmones bei procesus taikant politiką, kuria kiekviename įmonės lygmenyje būtų skatinamas geras visų darbuotojų informuotumas apie kibernetinę riziką ir puoselėjamas įsipareigojimas visais lygmenimis laikytis griežtos kibernetinės higienos. Bendrasis tokio visapusiško požiūrio principas turėtų būti visiška valdymo organo atsakomybė valdant finansų sektoriaus subjekto IRT riziką, be to, pagal šį principą valdymo organas turėtų įsipareigoti nuolat kontroliuoti IRT rizikos valdymo stebėseną; (37)be to, visa valdymo organo atskaitomybė neatsiejama nuo pareigos užtikrinti tokį finansų sektoriaus subjekto investicijų į IRT ir bendro IRT biudžeto mastą, kuris leistų pasiekti pradinį skaitmeninės veiklos atsparumo lygį; (38)šiuo reglamentu, paremtu atitinkamais kibernetinės rizikos valdymo tarptautiniais, nacionaliniais ir sektoriaus standartais, gairėmis, rekomendacijomis ar metodais, skatinama naudoti funkcijų, padėsiančių sukurti bendrą IRT rizikos valdymo struktūrą, rinkinį. Jei pagrindiniai pajėgumai, kuriuos įdiegia finansų sektoriaus subjektai, atitinka šiame reglamente nustatytų funkcijų (identifikavimo, apsaugos ir prevencijos, aptikimo, reagavimo ir veiklos atkūrimo, mokymosi ir tobulėjimo bei komunikacijos) paskirties poreikius, finansų sektoriaus subjektai gali naudoti kitokios struktūros ar kategorijos IRT rizikos valdymo modelius; (39)kad neatsiliktų nuo kintančios kibernetinių grėsmių aplinkos, finansų sektoriaus subjektai turėtų turėti atnaujinamas IRT sistemas, kurios yra patikimos ir pakankamai pajėgios ne tik užtikrinti duomenų tvarkymą, kiek tai būtina jų paslaugoms teikti, bet ir užtikrinti technologinį atsparumą, kad finansų sektoriaus subjektai galėtų tinkamai tenkinti papildomus tvarkymo poreikius, kurių gali atsirasti nepalankiausiomis rinkos sąlygomis arba kitomis nepalankiomis aplinkybėmis. Nors šiuo reglamentu nėra standartizuojamos konkrečios IRT sistemos, priemonės ar technologijos, jis grindžiamas tinkamu finansų sektoriaus subjektų Europos ir tarptautiniu mastu pripažintų techninių standartų (pvz., ISO) arba geriausios sektoriaus praktikos taikymu, jei toks taikymas visiškai atitinka konkrečius priežiūros nurodymus dėl tarptautinių standartų naudojimo ir įtraukimo; (40)siekiant, kad finansų sektoriaus subjektai galėtų operatyviai ir greitai reaguoti į su IRT susijusius incidentus, ypač kibernetinius išpuolius, ribodami žalą ir teikdami pirmenybę veiklos atnaujinimui ir veiklos atkūrimo veiksmams, reikalingi veiksmingi veiklos tęstinumo ir veiklos atkūrimo planai. Tačiau, nors atsarginėse sistemose duomenys turėtų būti pradedami tvarkyti nepagrįstai nedelsiant, tokia pradžia neturėtų kelti jokio pavojaus tinklų ir informacinių sistemų vientisumui ir saugumui arba duomenų konfidencialumui; (41)nors šiuo reglamentu finansų sektoriaus subjektams leidžiama lanksčiai nustatyti veiklos atkūrimo laiko tikslus ir tokiu būdu tokius tikslus nustatyti visapusiškai atsižvelgiant į atitinkamos funkcijos pobūdį ir ypatingą svarbą bei konkrečius verslo poreikius, nustatant tokius tikslus taip pat turėtų būti reikalaujama atlikti galimo bendro poveikio rinkos veiksmingumui vertinimą; (42)didelis kibernetinių išpuolių poveikis sustiprėja finansų sektoriuje – srityje, kuriai būdinga gerokai didesnė rizika, kad ja bandys pasinaudoti piktavališki subjektai, siekiantys gauti finansinės naudos tiesiogiai iš šaltinio. Siekiant sumažinti tokią riziką ir neleisti, kad IRT sistemos prarastų vientisumą arba taptų neprieinamos ir būtų pažeistas konfidencialių duomenų saugumas arba padaryta žala fizinei IRT infrastruktūrai, reikėtų gerokai patobulinti finansų sektoriaus subjektų pranešimo apie didelius su IRT susijusius incidentus tvarką. Visiems finansų sektoriaus subjektams turėtų būti taikoma suderinta pranešimo apie su IRT susijusius incidentus tvarka, pagal kurią jie būtų įpareigoti teikti pranešimus tik savo kompetentingoms institucijoms. Nors šis reikalavimas pranešti būtų taikomas visiems finansų sektoriaus subjektams, ne visiems jiems turėtų būti daromas vienodas poveikis, nes atitinkamos reikšmingumo ribos ir terminai turėtų būti nustatomi taip, kad būtų fiksuojami tik dideli su IRT susiję incidentai. Tiesioginis pranešimų teikimas suteiktų galimybę finansų priežiūros institucijoms susipažinti su informacija apie su IRT susijusius incidentus. Vis dėlto finansų priežiūros institucijos turėtų šią informaciją perduoti ne finansų valdžios institucijoms (TIS kompetentingoms institucijoms, nacionalinėms duomenų apsaugos institucijoms ir teisėsaugos institucijoms, kai incidentai yra nusikalstamo pobūdžio). Su IRT susijusi informacija apie incidentus turėtų būti perduodama abipusiai: finansų priežiūros institucijos turėtų pateikti visą būtiną grįžtamąją informaciją arba rekomendacijas finansų sektoriaus subjektui, o EPI turėtų dalytis su įvykiu susijusiais anoniminiais duomenimis apie grėsmes ir pažeidžiamumus, siekdamos prisidėti prie platesnio masto kolektyvinės gynybos; (43)reikėtų papildomai apsvarstyti galimybę centralizuoti pranešimų apie su IRT susijusius incidentus teikimą vienam pagrindiniam ES centrui, kuris arba gautų atitinkamus pranešimus tiesiogiai ir automatiškai informuotų nacionalines kompetentingas institucijas, arba tiesiog atliktų nacionalinių kompetentingų institucijų perduodamų pranešimų centralizavimo ir koordinavimo vaidmenį. Turėtų būti reikalaujama, kad EPI, konsultuodamosi su ECB ir ENISA, iki tam tikros datos parengtų bendrą ataskaitą, kurioje išnagrinėtų galimybę įsteigti tokį pagrindinį ES centrą; (44)siekiant užtikrinti patikimą skaitmeninės veiklos atsparumą ir laikantis tarptautinių standartų (pvz., G 7 pagrindinių grėsmėmis grindžiamo skverbimosi testavimo elementų), finansų sektoriaus subjektai turėtų reguliariai testuoti savo IRT sistemų ir darbuotojų prevencinių, aptikimo, reagavimo ir veiklos atkūrimo pajėgumų veiksmingumą, kad atskleistų ir pašalintų galimus IRT pažeidžiamumus. Siekiant suvienodinti skirtingą finansų sektoriaus subjektų kibernetinio saugumo parengtį pačiuose finansų pasektoriuose ir tarp jų, testavimas turėtų apimti įvairias priemones ir veiksmus, pradedant pagrindinių reikalavimų vertinimu (pvz., pažeidžiamumo vertinimu ir skenavimu, atvirojo kodo analize, tinklo saugumo vertinimu, spragų analize, fizinio saugumo patikrinimais, klausimynais ir skenavimo programinės įrangos sprendimais, pirminio kodo patikrinimais, kai įmanoma; scenarijais grindžiamais testais, suderinamumo testavimu, veiklos efektyvumo testavimu ar ištisinio srauto (angl. end-to-end) testavimu) ir baigiant pažangesniu testavimu (pvz., TLPT testavimu, kurį turėtų atlikti pakankamos IRT brandos finansų sektoriaus subjektai). Taigi reikšmingiems finansų sektoriaus subjektams (pavyzdžiui, didelėms kredito įstaigoms, vertybinių popierių biržoms, centriniams vertybinių popierių depozitoriumams, pagrindinėms sandorio šalims ir pan.) turėtų būti taikomi griežtesni skaitmeninės veiklos atsparumo testavimo reikalavimai. Kartu skaitmeninės veiklos atsparumo testavimas taip pat turėtų būti aktualesnis kai kuriems pasektoriams, kurie atlieka esminį sisteminį vaidmenį (pvz., mokėjimų, bankininkystės, tarpuskaitos ir atsiskaitymo), ir mažiau aktualus kitiems pasektoriams (pvz., turto valdytojams, kredito reitingų agentūroms ir pan.). Tarpvalstybiniai finansų sektoriaus subjektai, kurie naudojasi įsisteigimo laisve arba paslaugų teikimo laisve Sąjungoje, turėtų laikytis vieno pažangaus testavimo reikalavimų rinkinio (pvz., TLPT testavimo) savo buveinės valstybėje narėje ir toks testavimas turėtų apimti IRT infrastruktūras visose jurisdikcijose, kuriose tarpvalstybinė grupė vykdo veiklą Sąjungoje, taip sudarant sąlygas tarpvalstybinėms grupėms patirti testavimo išlaidas tik vienoje jurisdikcijoje; (45)siekiant užtikrinti patikimą trečiosios šalies keliamos IRT rizikos stebėseną, būtina nustatyti rinkinį principinių taisyklių, pagal kurias finansų sektoriaus subjektai galėtų stebėti riziką, kylančią dėl funkcijų, kurių vykdymas perduotas IRT paslaugas teikiančioms trečiosioms šalims, ir apskritai dėl priklausomybės nuo IRT paslaugas teikiančių trečiųjų šalių;

(46)finansų sektoriaus subjektas visada turėtų būti visiškai atsakingas už šiame reglamente nustatytų pareigų vykdymą. Proporcinga rizikos, kylančios IRT paslaugas teikiančios trečiosios šalies lygmeniu, stebėsena turėtų būti organizuojama tinkamai atsižvelgiant į su IRT susijusios priklausomybės mastą, sudėtingumą ir svarbą, paslaugų, procesų ar funkcijų, kurioms taikomi sutartimi įforminti susitarimai, ypatingą svarbą ar svarbą ir galiausiai atidžiai įvertinus galimą poveikį finansinių paslaugų tęstinumui ir kokybei atitinkamai individualiu ir grupės lygmeniu; (47)vykdant tokią stebėseną turėtų būti laikomasi strateginio požiūrio į trečiosios šalies keliamą IRT riziką, įforminto finansų sektoriaus subjekto valdymo organui priėmus specialią strategiją, grindžiamą nuolatine atrankine visos tokios priklausomybės nuo IRT paslaugas teikiančių trečiųjų šalių patikra. Siekiant didinti priežiūros institucijų informuotumą apie priklausomybę nuo IRT paslaugas teikiančių trečiųjų šalių ir dar labiau prisidėti prie šiuo reglamentu nustatytos priežiūros sistemos, finansų priežiūros institucijos turėtų reguliariai gauti esminę informaciją iš registrų ir galėti prašyti jų išrašų ad hoc pagrindu; (48)sutartimi įforminti susitarimai turėtų būti oficialiai sudaromi tik atlikus išsamią ikisutartinę analizę, o sutarčių nutraukimą turėtų lemti bent kelios aplinkybės, iš kurių būtų matyti IRT paslaugas teikiančios trečiosios šalies trūkumai; (49)siekiant spręsti IRT paslaugas teikiančių trečiųjų šalių koncentracijos rizikos sisteminio poveikio problemą, reikėtų skatinti subalansuotą sprendimą, laikantis lankstaus ir laipsniško požiūrio, nes griežtos viršutinės ribos arba griežti apribojimai galėtų trukdyti verslo etikai ir laisvei sudaryti sutartis. Finansų sektoriaus subjektai turėtų nuodugniai įvertinti sutartimi įformintus susitarimus, kad nustatytų tokios rizikos atsiradimo tikimybę, be kita ko atlikdami išsamią susitarimų dėl veiklos subrangos analizę, visų pirma, kai jie sudaromi su trečiojoje valstybėje įsisteigusiomis IRT paslaugas teikiančiomis trečiosiomis šalimis. Šiame etape ir siekiant užtikrinti tinkamą pusiausvyrą tarp būtinybės išsaugoti laisvę sudaryti sutartis ir užtikrinti finansinį stabilumą, manoma, kad nustatyti griežtas IRT paslaugas teikiančių trečiųjų šalių rizikos pozicijų viršutines ribas ir apribojimus yra netikslinga. EPI, paskirta vykdyti kiekvienos ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies priežiūrą (toliau – atsakingoji priežiūros institucija), vykdydama priežiūros užduotis turėtų skirti ypatingą dėmesį tam, kad visapusiškai perprastų tarpusavio priklausomybės mastą ir nustatytų konkrečius atvejus, kai didelė ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių koncentracija Sąjungoje gali keli grėsmę Sąjungos finansų sistemos stabilumui ir vientisumui, ir turėtų numatyti dialogą su ypatingos svarbos IRT paslaugas teikiančiomis trečiosiomis šalimis, kai tokia rizika identifikuojama; (50)siekiant, kad būtų galima reguliariai vertinti ir stebėti IRT paslaugas teikiančios trečiosios šalies gebėjimą saugiai teikti paslaugas finansų sektoriaus subjektui nedarant neigiamo poveikio pastarojo atsparumui, turėtų būti suderinti pagrindiniai sutarčių su IRT paslaugas teikiančiomis trečiosiomis šalimis įgyvendinimo elementai. Tie elementai apima tik minimalius sutartinius aspektus, kurie laikomi ypač svarbiais sudarant sąlygas finansų sektoriaus subjektui vykdyti visapusišką stebėseną, siekiant užtikrinti jo skaitmeninį atsparumą, kurį lemia IRT paslaugos stabilumas ir saugumas; (51)sutartimi įformintuose susitarimuose visų pirma turėtų būti nurodyti išsamūs funkcijų ir paslaugų, vietų, kuriose vykdomos tokios funkcijos ir kuriuose tvarkomi duomenys, aprašymai, taip pat nurodomi išsamūs paslaugų lygio aprašymai kartu su kiekybiniais ir kokybiniais sutarto paslaugų lygio tiksliniais veiklos rezultatų rodikliais, kad finansų sektoriaus subjektas galėtų vykdyti veiksmingą stebėseną. Be to, esminiais finansų sektoriaus subjekto gebėjimo užtikrinti trečiosios šalies rizikos stebėseną elementais taip pat turėtų būti laikomos nuostatos dėl asmens duomenų pasiekiamumo, prieinamumo, vientisumo, saugumo ir apsaugos, taip pat prieigos, veiklos atkūrimo ir grąžinimo garantijos IRT paslaugas teikiančios trečiosios šalies nemokumo, pertvarkymo ar veiklos nutraukimo atveju; (52)siekiant užtikrinti, kad finansų sektoriaus subjektai ir toliau visiškai kontroliuotų visus pokyčius, kurie gali pakenkti jų IRT saugumui, turėtų būti nustatyti IRT paslaugas teikiančios trečiosios šalies įspėjimo terminai ir pareigos pranešti, taikomi įvykus pokyčiams, kurie gali turėti reikšmingos įtakos IRT paslaugas teikiančios trečiosios šalies gebėjimui veiksmingai atlikti ypatingos svarbos ar svarbias funkcijas, įskaitant pastarosios pareigą be papildomo mokesčio arba už iš anksto nustatyto dydžio mokestį teikti pagalbą įvykus su IRT susijusiam incidentui; (53)finansų sektoriaus subjekto arba paskirtos trečiosios šalies prieigos, patikrinimo ir audito teisės yra ypač svarbios finansų sektoriaus subjektų nuolatinės IRT paslaugas teikiančios trečiosios šalies veiklos efektyvumo stebėsenos priemonės, kurios derinamos su visapusišku pastarosios bendradarbiavimu atliekant patikrinimus. Taip pat ir finansų sektoriaus subjekto kompetentinga institucija turėtų turėti teisę, pateikusi įspėjimą ir laikydamasi konfidencialumo principo, patikrinti ir audituoti IRT paslaugas teikiančią trečiąją šalį; (54)sutartimi įformintuose susitarimuose turėtų būti numatytos aiškios sutarties nutraukimo teisės ir susiję minimalūs įspėjimo terminai, taip pat specialios pasitraukimo strategijos, pagal kurias visų pirma būtų galima nustatyti privalomus pereinamuosius laikotarpius, per kuriuos IRT paslaugas teikiančios trečiosios šalys turėtų toliau vykdyti atitinkamas funkcijas, kad sumažintų sutrikimų riziką finansų sektoriaus subjekto lygmeniu ar leistų pastarajam veiksmingai pakeisti IRT paslaugas teikiančias trečiąsias šalis arba pasinaudoti vietoje taikomais sprendimais, atitinkančiais teikiamos paslaugos sudėtingumą; (55)be to, savanoriškas Komisijos parengtų standartinių sutarčių sąlygų naudojimas debesijos paslaugoms gali suteikti daugiau pasitikėjimo finansų sektoriaus subjektams ir jiems IRT paslaugas teikiančioms trečiosioms šalims, nes būtų suteikta daugiau teisinio tikrumo dėl finansų sektoriuje naudojamų debesijos paslaugų, visiškai jas suderinant su finansinių paslaugų teisės aktais nustatytais reikalavimais ir lūkesčiais. Šis darbas grindžiamas priemonėmis, jau numatytomis 2018 m. „Fintech“ srities veiksmų plane, kuriuo Komisija paskelbė apie ketinimą skatinti ir palengvinti standartinių sutarčių sąlygų dėl finansų sektoriaus subjektų debesijos paslaugų veiklos rangos parengimą, remiantis tarpsektorinių debesijos paslaugų suinteresuotųjų šalių indėliu, kurį Komisija užtikrino bendradarbiaudama su finansų sektoriumi; (56)siekiant skatinti priežiūros metodų, taikomų trečiosios šalies keliamai IRT rizikai finansų sektoriuje, konvergenciją ir veiksmingumą, stiprinti finansų sektoriaus subjektų, kurie veiklos funkcijoms atlikti pasitelkia ypatingos svarbos IRT paslaugas teikiančias trečiąsias šalis, skaitmeninės veiklos atsparumą ir taip prisidėti prie Sąjungos finansų sistemos stabilumo ir bendrosios finansinių paslaugų rinkos vientisumo išsaugojimo, ypatingos svarbos IRT paslaugas teikiančioms trečiosioms šalims turėtų būti taikoma Sąjungos priežiūros sistema; (57)specialioji tvarka turi būti taikoma tik ypatingos svarbos paslaugas teikiančioms trečiosioms šalims, todėl siekiant atsižvelgti į finansų sektoriaus priklausomybės nuo tokių IRT paslaugas teikiančių trečiųjų šalių aspektą ir pobūdį, reikėtų nustatyti Sąjungos priežiūros sistemos taikymui skirtą paskyrimo mechanizmą, t. y. kiekybinius ir kokybinius kriterijus, pagal kuriuos būtų nustatomi ypatingos svarbos parametrai, kuriais remiantis tokia trečioji šalis įtraukiama į priežiūros sistemą. Ypatingos svarbos IRT paslaugas teikiančios trečiosios šalys, kurios nėra automatiškai paskiriamos taikant pirmiau minėtus kriterijus, turėtų turėti galimybę savanoriškai dalyvauti priežiūros sistemoje, o toms IRT paslaugas teikiančioms trečiosioms šalims, kurioms jau taikomos Eurosistemos lygmeniu nustatytos priežiūros mechanizmų sistemos, kuriomis siekiama padėti vykdyti Sutarties dėl Europos Sąjungos veikimo 127 straipsnio 2 dalyje nurodytas užduotis, turėtų būti taikoma išimtis; (58)reikalavimas, kad IRT paslaugas teikiančios trečiosios šalys, pripažintos ypatingai svarbiomis, būtų įsisteigusios Sąjungoje, nėra duomenų vietos reikalavimas, nes šiuo reglamentu nenumatoma jokių papildomų reikalavimų dėl duomenų saugojimo ar tvarkymo Sąjungoje; (59)šia sistema neturėtų būti daromas poveikis valstybių narių kompetencijai vykdyti nacionalinę IRT paslaugas teikiančių trečiųjų šalių, kurios nėra ypatingos svarbos paslaugų teikėjai pagal šį reglamentą, tačiau galėtų būti laikomos svarbiomis nacionaliniu lygmeniu, priežiūrą; (60)siekiant pasinaudoti dabartine daugiasluoksne institucine struktūra finansinių paslaugų srityje, EPI jungtinis komitetas pagal savo užduotis kibernetinio saugumo srityje turėtų toliau užtikrinti bendrą tarpsektorinį koordinavimą visais su IRT rizika susijusiais klausimais, padedamas naujo pakomitečio (Priežiūros forumo), atliksiančio parengiamąjį darbą, susijusį tiek su atskirais sprendimais, skirtais ypatingos svarbos IRT paslaugas teikiančioms trečiosioms šalims, tiek su kolektyvinėms rekomendacijoms, visų pirma dėl ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių priežiūros programų lyginamosios analizės, ir nustatysiančio geriausią praktiką sprendžiant IRT koncentracijos rizikos klausimus; (61)siekiant užtikrinti, kad IRT paslaugas teikiančios trečiosios šalys, atliekančios ypatingos svarbos vaidmenį finansų sektoriuje, būtų atitinkamai prižiūrimos Sąjungos mastu, viena iš EPI turėtų būti paskirta kiekvienos iš ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių atsakingąja priežiūros institucija; (62)atsakingosioms priežiūros institucijoms turėtų būti suteikti reikiami įgaliojimai atlikti ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių tyrimus, patikrinimus vietoje ir ne vietoje, patekti į visas atitinkamas patalpas ir vietas bei gauti išsamią ir atnaujintą informaciją, kad galėtų realiai įvertinti finansų sektoriaus subjektams ir galiausiai Sąjungos finansų sistemai gresiančios trečiosios šalies keliamos IRT rizikos rūšį, aspektą ir poveikį. Pagrindinės priežiūros pavedimas EPI yra būtina sąlyga norint suprasti ir mažinti sisteminę IRT riziką finansų sektoriuje. Dėl ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių poveikio Sąjungoje ir su juo susijusių galimų IRT koncentracijos rizikos problemų reikia laikytis kolektyvinio Sąjungos lygmens požiūrio. Jeigu daug kompetentingų institucijų atliktų daug atskirų auditų ir naudotųsi prieigos teisėmis, menkai koordinuodamos arba visai nekoordinuodamos savo darbo, nebūtų galima susidaryti išsamaus trečiosios šalies keliamos IRT rizikos vaizdo, o ypatingos svarbos IRT paslaugas teikiančioms trečiosioms šalims, kurios gautų daug tokių prašymų, tektų bereikalingas darbas, našta ir painiava; (63)be to, atsakingosios priežiūros institucijos turėtų turėti galimybę teikti rekomendacijas IRT rizikos ir tinkamų taisomųjų priemonių klausimais ir, be kita ko, išreikšti prieštaravimą tam tikriems sutartimi įformintiems susitarimams, kurie galiausiai daro poveikį finansų sektoriaus subjekto arba finansų sistemos stabilumui. Nacionalinės kompetentingos institucijos, vykdydamos savo funkcijas, susijusias su finansų sektoriaus subjektų prudencine priežiūra, turėtų tinkamai atsižvelgti į atsakingųjų priežiūros institucijų nustatytų tokių esminių rekomendacijų laikymąsi; (64)priežiūros sistema jokiu būdu ar jokia dalimi nepakeičiamas finansų sektoriaus subjektų vykdomas rizikos, kylančios naudojantis trečiųjų šalių teikiamomis IRT paslaugomis, valdymas, įskaitant pareigą nuolat stebėti sutartimi įformintus susitarimus, sudarytus su ypatingos svarbos IRT paslaugas teikiančiomis trečiosiomis šalimis, ir nedaromas poveikis visai finansų sektoriaus subjektų atsakomybei laikytis visų šio reglamento ir atitinkamų finansinių paslaugų teisės aktų reikalavimų ir juos vykdyti. Siekiant išvengti pasikartojančio ir iš dalies sutampančio darbo, kompetentingos institucijos neturėtų savarankiškai taikyti jokių priemonių, skirtų ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių rizikai stebėti. Visas tokias priemones reikėtų iš anksto koordinuoti ir suderinti pagal priežiūros sistemą;

(65)siekiant tarptautiniu lygmeniu skatinti geriausios praktikos, taikytinos tikrinant IRT paslaugas teikiančių trečiųjų šalių skaitmeninės rizikos valdymą, konvergenciją, EPI turėtų būti skatinamos sudaryti bendradarbiavimo susitarimus su atitinkamomis trečiųjų valstybių priežiūros ir reguliavimo kompetentingomis institucijomis, kad būtų sudarytos palankesnės sąlygos plėtoti geriausią praktiką, skirtą trečiosios šalies keliamai IRT rizikai mažinti; (66)siekdami pasinaudoti kompetentingų institucijų ekspertų techninėmis žiniomis operacinės ir IRT rizikos valdymo srityje, atsakingosios priežiūros institucijos turėtų remtis nacionaline priežiūros patirtimi ir sukurti specialias kiekvienai ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai skirtas tyrimo grupes, jose suburdami įvairių sričių specialistus, kurie padėtų rengti ir faktiškai vykdyti priežiūros veiklą, įskaitant ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių patikrinimus vietoje, ir imtųsi reikiamų tolesnių veiksmų; (67)kompetentingos institucijos turėtų turėti visus būtinus priežiūros, tyrimo ir sankcijų taikymo įgaliojimus, kad užtikrintų šio reglamento taikymą. Iš esmės administracinės nuobaudos turėtų būti skelbiamos. Kadangi finansų sektoriaus subjektai ir IRT paslaugas teikiančios trečiosios šalys gali būti įsisteigę skirtingose valstybėse narėse ir prižiūrimi skirtingų sektorių kompetentingų institucijų, reikėtų užtikrinti glaudų atitinkamų kompetentingų institucijų, įskaitant ECB (kai tai susiję su Tarybos reglamentu (ES) Nr. 1024/2013 jam pavestais specialiais uždaviniais), bendradarbiavimą ir konsultavimąsi su EPI, tarpusavyje keičiantis informacija ir teikiant pagalbą, susijusią su priežiūros veikla; (68)siekiant toliau kiekybiškai ir kokybiškai įvertinti ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių paskyrimo kriterijus ir suderinti priežiūros mokesčius, Komisijai turėtų būti suteikti įgaliojimai šiais klausimais priimti aktus pagal Sutarties dėl Europos Sąjungos veikimo 290 straipsnį: patikslinant sisteminį poveikį, kurį IRT paslaugas teikiančios trečiosios šalies žlugimas galėtų turėti finansų sektoriaus subjektams, kuriems ji teikia paslaugas, pasaulinės sisteminės svarbos įstaigų (G-SII) ar kitų sisteminės svarbos įstaigų (O-SII), kurios priklauso nuo atitinkamos IRT paslaugas teikiančios trečiosios šalies, skaičių, konkrečioje rinkoje veiklą vykdančių IRT paslaugas teikiančių trečiųjų šalių skaičių, IRT paslaugas teikiančios trečiosios šalies pakeitimo išlaidas, valstybių narių, kuriose atitinkama IRT paslaugas teikianti trečioji šalis teikia paslaugas ir kuriose veiklą vykdo finansų sektoriaus subjektai, besinaudojantys atitinkamos IRT paslaugas teikiančios trečiosios šalies paslaugomis, skaičių, taip pat priežiūros mokesčių sumą ir jų mokėjimo būdą. Ypač svarbu, kad atlikdama parengiamąjį darbą Komisija tinkamai konsultuotųsi, taip pat ir su ekspertais, ir kad tos konsultacijos vyktų vadovaujantis 2016 m. balandžio 13 d. Tarpinstituciniame susitarime dėl geresnės teisėkūros nustatytais principais. Visų pirma, siekiant užtikrinti vienodas galimybes dalyvauti atliekant su deleguotaisiais aktais susijusį parengiamąjį darbą, Europos Parlamentas ir Taryba visus dokumentus turėtų gauti tuo pačiu metu kaip ir valstybių narių ekspertai, o jų ekspertams turėtų būti sistemingai suteikiama galimybė dalyvauti Komisijos ekspertų grupių, kurios atlieka su deleguotaisiais aktais susijusį parengiamąjį darbą, posėdžiuose; (69)kadangi šiame reglamente ir Europos Parlamento ir Tarybos direktyvoje (ES) 20xx/xx konsoliduojamos IRT rizikos valdymo nuostatos, nustatytos įvairiuose Sąjungos finansinių paslaugų acquis reglamentuose ir direktyvose, įskaitant reglamentus (EB) Nr. 1060/2009, (ES) Nr. 648/2012 (ES), Nr. 600/2014 ir (ES) Nr. 909/2014, siekiant užtikrinti visišką nuoseklumą, tie reglamentai turėtų būti iš dalies pakeisti paaiškinant, kad atitinkamos su IRT rizika susijusios nuostatos yra išdėstytos šiame reglamente. Techniniais standartais turėtų būti užtikrintas nuoseklus šiame reglamente nustatytų reikalavimų suderinimas. EPI, kaip itin specializuotos praktinės patirties turinčios įstaigos, turėtų būti įgaliotos parengti ir Komisijai pateikti techninių reguliavimo standartų, kurie nėra susiję su sprendimais dėl politikos, projektus. Techniniai reguliavimo standartai turėtų būti rengiami IRT rizikos valdymo, pranešimo, testavimo ir pagrindinių trečiosios šalies keliamos IRT rizikos patikimos stebėsenos reikalavimų srityse; (70)ypač svarbu, kad atlikdama parengiamąjį darbą Komisija tinkamai konsultuotųsi, taip pat ir su ekspertais. Komisija ir EPI turėtų užtikrinti, kad tuos standartus ir reikalavimus visi finansų sektoriaus subjektai galėtų taikyti tokiu būdu, kuris būtų proporcingas tų subjektų ir jų veiklos pobūdžiui, mastui ir sudėtingumui; (71)siekiant gerinti pranešimų apie didelius su IRT susijusius incidentus palyginamumą ir užtikrinti sutartimi įformintų susitarimų dėl IRT paslaugas teikiančių trečiųjų šalių teikiamų paslaugų naudojimo skaidrumą, EPI turėtų būti įgaliotos parengti techninių įgyvendinimo standartų, kuriais nustatomi standartiniai šablonai, formos ir procedūros, skirti naudoti finansų sektoriaus subjektams pranešant apie didelį su IRT susijusį incidentą, taip pat standartiniai informacijos registro šablonai, projektus. Rengdamos šiuos standartus, EPI turėtų atsižvelgti į finansų sektoriaus subjektų dydį ir sudėtingumą, taip pat jų veiklos pobūdį ir rizikos dydį. Komisijai turėtų būti suteikti įgaliojimai priimti tuos techninius įgyvendinimo standartus įgyvendinimo aktais pagal SESV 291 straipsnį atitinkamų reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 15 straipsnyje nustatyta tvarka. Kadangi papildomi reikalavimai jau yra nustatyti deleguotaisiais ir įgyvendinimo aktais, pagrįstais atitinkamuose reglamentuose (EB) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014 ir (ES) Nr. 909/2014 nustatytais techniniais reguliavimo ir įgyvendinimo standartais, tikslinga įpareigoti EPI atskirai arba kartu per jungtinį komitetą pateikti Komisijai techninius reguliavimo ir įgyvendinimo standartus, kad būtų priimti deleguotieji ir įgyvendinimo aktai, į kuriuos perkeliamos ir kuriuose atnaujinamos dabartinės IRT rizikos valdymo taisyklės; (72)dėl to reikės vėliau iš dalies pakeisti įvairiose finansinių paslaugų teisės aktų srityse priimtus deleguotuosius ir įgyvendinimo aktus. Operacinės rizikos straipsnių, kuriais tuose aktuose numatyti įgaliojimai priimti deleguotuosius ir įgyvendinimo aktus, taikymo sritis turėtų būti iš dalies pakeista siekiant į šį reglamentą perkelti visas šiandien tuose reglamentuose pateiktas nuostatas, taikomas skaitmeninės veiklos atsparumui; (73)kadangi šio reglamento tikslų, t. y. užtikrinti visų finansų sektoriaus subjektų aukšto lygio skaitmeninės veiklos atsparumą, valstybės narės negali deramai pasiekti, nes tam reikia suderinti daug skirtingų taisyklių, kurios šiuo metu egzistuoja kai kuriuose Sąjungos teisės aktuose arba įvairių valstybių narių teisinėse sistemose, o tų tikslų dėl jų masto ir poveikio būtų geriau siekti Sąjungos lygmeniu, laikydamasi Europos Sąjungos sutarties 5 straipsnyje nustatyto subsidiarumo principo Sąjunga gali patvirtinti priemones. Pagal tame straipsnyje nustatytą proporcingumo principą šiuo reglamentu neviršijama to, kas būtina nurodytam tikslui pasiekti, PRIĖMĖ ŠĮ REGLAMENTĄ: I SKYRIUS Bendrosios nuostatos 1 straipsnis Dalykas 1.Šiuo reglamentu nustatomi toliau nurodyti vienodi reikalavimai, taikomi finansų sektoriaus subjektų verslo procesus palaikančių tinklų ir informacinių sistemų saugumui, reikalingam aukštam bendram skaitmeninės veiklos atsparumo lygiui pasiekti: (a)finansų sektoriaus subjektams taikomi reikalavimai, susiję su: –informacinių ir ryšių technologijų (IRT) rizikos valdymu; –pranešimu kompetentingoms institucijoms apie didelius su IRT susijusius incidentus;

–skaitmeninės veiklos atsparumo testavimu; –keitimusi informacija ir žvalgybos informacija apie kibernetines grėsmes ir pažeidžiamumus; –priemonėmis, skirtomis finansų sektoriaus subjektams tinkamai valdyti trečiosios šalies keliamą IRT riziką; (b)reikalavimai, susiję su IRT paslaugas teikiančių trečiųjų šalių ir finansų sektoriaus subjektų sutartimi įformintais susitarimais; (c)ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių priežiūros sistema, taikoma, kai pastarieji teikia paslaugas finansų sektoriaus subjektams; (d)kompetentingų institucijų bendradarbiavimo taisyklės ir kompetentingų institucijų vykdomos priežiūros ir vykdymo užtikrinimo taisyklės, susijusios su visais klausimais, kuriems taikomas šis reglamentas. 2.Finansų sektoriaus subjektų, kurie pagal nacionalines taisykles, kuriomis į nacionalinę teisę perkeliamas Direktyvos (ES) 2016/1148 5 straipsnis, laikomi esminių paslaugų operatoriais, atžvilgiu šis reglamentas laikomas konkrečiam sektoriui taikomu Sąjungos teisės aktu pagal tos direktyvos 1 straipsnio 7 dalį. 2 straipsnis Subjektinė taikymo sritis 1.Šis reglamentas taikomas šiems subjektams: (a)kredito įstaigoms, (b)mokėjimo įstaigoms, (c)elektroninių pinigų įstaigoms, (d)investicinėms įmonėms, (e)kriptoturto paslaugų teikėjams, kriptoturto emitentams, su turtu susietų žetonų emitentams ir reikšmingų su turtu susietų žetonų emitentams, (f)centriniams vertybinių popierių depozitoriumams, (g)pagrindinėms sandorio šalims, (h)prekybos vietoms, (i)sandorių duomenų saugykloms, (j)alternatyvaus investavimo fondų valdytojams,

(k)valdymo įmonėms, (l)duomenų teikimo paslaugų teikėjams, (m)draudimo ir perdraudimo įmonėms, (n)draudimo tarpininkams, perdraudimo tarpininkams ir papildomos draudimo veiklos tarpininkams, (o)profesinių pensijų įstaigoms, (p)kredito reitingų agentūroms, (q)teisės aktų nustatytą auditą atliekantiems auditoriams ir audito įmonėms, (r)ypatingos svarbos lyginamųjų indeksų administratoriams, (s)sutelktinio finansavimo paslaugų teikėjams, (t)pakeitimo vertybiniais popieriais duomenų saugykloms, (u)IRT paslaugas teikiančioms trečiosioms šalims. 2.Šiame reglamente a–t punktuose nurodyti subjektai kartu vadinami „finansų sektoriaus subjektais“. 3 straipsnis Apibrėžtys Šiame reglamente vartojamų terminų apibrėžtys: (1)skaitmeninės veiklos atsparumas – finansų sektoriaus subjekto gebėjimas technologiniu požiūriu sukurti, užtikrinti ir peržiūrėti savo veiklos vientisumą, tiesiogiai ar netiesiogiai, naudojantis IRT paslaugas teikiančių trečiųjų šalių paslaugomis, užtikrinant visus su IRT susijusius pajėgumus, reikalingus tinklų ir informacinių sistemų, kuriomis finansų sektoriaus subjektas naudojasi ir kuriomis užtikrinamas nuolatinis finansinių paslaugų teikimas ir jų kokybė, saugumui užtikrinti; (2)tinklų ir informacinė sistema – tinklų ir informacinė sistema, kaip apibrėžta Direktyvos (ES) 2016/1148 4 straipsnio 1 punkte; (3)tinklų ir informacinių sistemų saugumas – tinklų ir informacinių sistemų saugumas, kaip apibrėžta Direktyvos (ES) 2016/1148 4 straipsnio 2 punkte; (4)IRT rizika – bet kokia pagrįstai atpažįstama aplinkybė, susijusi su tinklų ir informacinių sistemų naudojimu, įskaitant triktį, perkrovą, gedimą, sutrikimą, sugadinimą, netinkamą naudojimą, praradimą ar kitokios rūšies piktavališką ar nepiktavališką įvykį, kuriai susiklosčius gali būti pakenkta tinklų ir informacinių sistemų, bet kokios nuo technologijų priklausančios priemonės ar proceso, operacijos ir proceso eigos arba paslaugų teikimo saugumui, taip sukeliant pavojų duomenų, programinės įrangos ar bet kurio kito IRT paslaugų ir infrastruktūros komponento vientisumui ar prieinamumui arba pažeidžiant konfidencialumą, sukeliant žalą fizinei IRT infrastruktūrai ar kitą neigiamą poveikį; (5)informacinis turtas – materialios arba nematerialios informacijos, kurią verta apsaugoti, rinkinys;

(6)su IRT susijęs incidentas – nenumatytas nustatytas įvykis tinklų ir informacinėse sistemose dėl kenkėjiškos arba kitos veiklos, dėl kurio kyla pavojus tinklų ir informacinių sistemų ir jose tvarkomos, saugomos arba perduodamos informacijos saugumui arba daromas neigiamas poveikis finansų sektoriaus subjekto teikiamų finansinių paslaugų prieinamumui, konfidencialumui, tęstinumui ar autentiškumui; (7)didelis su IRT susijęs incidentas – su IRT susijęs incidentas, galintis turėti didelį neigiamą poveikį tinklų ir informacinėms sistemoms, naudojamoms finansų sektoriaus subjekto ypatingos svarbos funkcijoms palaikyti; (8)kibernetinė grėsmė – kibernetinė grėsmė, kaip apibrėžta Europos Parlamento ir Tarybos reglamento (ES) 2019/881 2 straipsnio 8 punkte; (9)kibernetinis išpuolis – su IRT susijęs piktavališkas incidentas, kai priešiškas subjektas bando sunaikinti, atskleisti,