EIROPAS KOMISIJA Briselē, 24.9.2020 COM(2020) 595 final 2020/0266(COD) Priekšlikums EIROPAS PARLAMENTA UN PADOMES REGULA par finanšu sektora digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014 un (ES) Nr. 909/2014 (Dokuments attiecas uz EEZ) {SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}



PASKAIDROJUMA RAKSTS 1.PRIEKŠLIKUMA KONTEKSTS ·Priekšlikuma pamatojums un mērķi Šis priekšlikums ir daļa no digitālo finanšu dokumentu paketes — pasākumu kopuma, kas vēl vairāk nodrošinās un atbalstīs digitālo finanšu inovācijas un konkurētspējas potenciālu, vienlaikus mazinot no tā izrietošos riskus. Tas atbilst Komisijas prioritātēm — pielāgot Eiropu digitālajam laikmetam un veidot nākotnei gatavu ekonomiku, kas darbojas cilvēku labā. Digitālo finanšu dokumentu pakete ietver jaunu ES finanšu nozares digitālā finansējuma stratēģiju, kuras mērķis ir nodrošināt, ka ES izmanto digitālo revolūciju un virza to inovatīvu Eiropas tirgus dalībnieku vadībā, darot pieejamus digitālo finanšu ieguvumus patērētājiem un uzņēmumiem. Līdztekus šim priekšlikumam paketē ir iekļauts arī priekšlikums regulai par kriptoaktīvu tirgiem, priekšlikums regulai par sadalītās virsgrāmatas tehnoloģijas (SVT) tirgus infrastruktūras izmēģinājuma režīmu un priekšlikums direktīvai, ar ko precizē vai groza atsevišķus savstarpēji saistītus ES finanšu pakalpojumu noteikumus. Finanšu nozares digitalizācija un darbības noturība ir vienas monētas divas puses. Digitālās jeb informācijas un komunikācijas tehnoloģijas (IKT) rada kā iespējas, tā riskus. Tie ir labi jāizprot un jāpārvalda, īpaši spriedzes apstākļos. Tādēļ politikas veidotāji un uzraugi arvien biežāk ir veltījuši uzmanību riskiem, kas izriet no paļaušanās uz IKT. Tie jo īpaši ir centušies stiprināt uzņēmumu noturību, nosakot standartus un koordinējot regulatīvo vai uzraudzības darbu. Šis darbs ir veikts gan starptautiskā, gan Eiropas līmenī, kā arī gan starpnozaru, gan vairāku atsevišķu nozaru līmenī, tai skaitā finanšu pakalpojumu nozarē. Tomēr IKT riski vēl arvien rada riskus ES finanšu sistēmas darbības noturībai, veiktspējai un stabilitātei. Pēc 2008. gada finanšu krīzes veiktā reforma galvenokārt stiprināja ES finanšu nozares finansiālo noturību, pievēršoties IKT riskiem tikai netieši dažās jomās kā daļai no plašākas darbības risku novēršanas pasākumiem. Lai gan ar ES finanšu pakalpojumu tiesību aktu izmaiņām, kas tika veiktas pēc krīzes, tika ieviests vienots noteikumu kopums, ko piemēroja lielai daļai ar finanšu pakalpojumiem saistīto risku, ar to netika pilnībā risināta digitālās darbības noturība. Šajā sakarā veiktajiem pasākumiem piemita vairākas īpašības, kas ierobežoja to efektivitāti. Piemēram, tie bieži bija izstrādāti kā minimālas saskaņošanas direktīvas vai uz principiem balstītas regulas, kas atstāja ievērojamas iespējas vienotajā tirgū piemērot atšķirīgas pieejas. Turklāt saistībā ar operacionālā riska segumu IKT riskiem ir tikusi veltīta tikai ierobežota vai nepilnīga uzmanība. Visbeidzot, šie pasākumi nozaru finanšu pakalpojumu tiesību aktos atšķiras. Tādēļ iejaukšanās Savienības līmenī pilnā mērā nesasniedza to, kas Eiropas finanšu vienībām bija vajadzīgs, lai pārvaldītu darbības riskus tā, lai izturētu IKT incidentus, reaģētu uz tiem un novērstu to radītās sekas. Tā arī nenodrošināja finanšu uzraudzības iestādēm vispiemērotākos rīkus, ar kuriem izpildīt to pilnvaras novērst no šo IKT risku īstenošanās izrietošo finanšu nestabilitāti. Detalizētu un visaptverošu digitālās darbības noturības noteikumu neesība ES līmenī ir radījusi valstu regulatīvo iniciatīvu (piem., attiecībā uz digitālās darbības noturības testēšanu) un uzraudzības pieeju (piem., risinot atkarību no trešām personām, kas sniedz IKT pakalpojumus) izplatīšanos. Ņemot vērā IKT risku pārrobežu būtību, rīcībai dalībvalstu līmenī tomēr ir tikai ierobežota ietekme. Turklāt nekoordinētās valstu iniciatīvas ir radījušas pārklāšanos, nesakritības, prasību dublēšanos, augstas administratīvās un atbilstības nodrošināšanas izmaksas, jo sevišķi pārrobežu finanšu vienībām, vai arī to dēļ IKT riski nav atklāti un tādējādi arī nav novērsti. Šī situācija sadrumstalo vienoto tirgu, nelabvēlīgi ietekmē ES finanšu nozares stabilitāti un integritāti, kā arī apdraud patērētāju un ieguldītāju aizsardzību. Tādēļ ir nepieciešams ieviest detalizētu un visaptverošu ES finanšu vienību digitālās darbības noturības sistēmu. Šī sistēma padziļinās vienotā noteikumu kopuma digitālo risku pārvaldības dimensiju. Tā jo īpaši uzlabos un racionalizēs to, kā finanšu vienības veic IKT riska pārvaldību, iedibinās IKT sistēmu padziļinātu testēšanu, palielinās uzraugu informētību par kiberriskiem un ar IKT saistītiem incidentiem, ar ko saskaras finanšu vienības, kā arī ieviesīs finanšu uzraudzības iestāžu pilnvaras pārraudzīt riskus, ko rada finanšu vienību atkarība no trešām personām, kas sniedz IKT pakalpojumus. Ar priekšlikumu tiks izveidots konsekvents mehānisms ziņošanai par incidentiem, kas palīdzēs mazināt administratīvo slogu finanšu vienībām, kā arī stiprināta uzraudzības efektivitāte. ·Saskanība ar pašreizējiem noteikumiem konkrētajā politikas jomā Šis priekšlikums ir daļa no plašāka darba, kas tiek veikts Eiropas un starptautiskajā līmenī, lai stiprinātu finanšu pakalpojumu kiberdrošību un novērstu plašākus darbības riskus. Tas ir arī kā atbilde uz Eiropas uzraudzības iestāžu (EUI) 2019. gada kopīgajiem tehniskajiem ieteikumiem, kuros izteikts aicinājums īstenot saskaņotu pieeju IKT riskam finanšu nozarē un ieteikts Komisijai proporcionāli stiprināt finanšu pakalpojumu nozares digitālās darbības noturību ar Savienības specifisku nozares iniciatīvu. EUI ieteikums bija atbilde uz Komisijas 2018. gada Finanšu tehnoloģijas rīcības plānu. ·Saskanība ar citām Savienības politikas jomām Kā savās politikas pamatnostādnēs un paziņojumā par Eiropas digitālās nākotnes veidošanu ir norādījusi Komisijas priekšsēdētāja Urzula fon der Leiena, Eiropai ir svarīgi izmantot visas digitālā laikmeta priekšrocības un stiprināt tās rūpniecību un inovācijas spējas drošuma un ētiskuma robežās. Eiropas Datu stratēģijā ir paredzēti četri pīlāri — datu aizsardzība, pamattiesības, drošums un kiberdrošība — kā būtiski priekšnoteikumi sabiedrībai, kam datu izmantošana sniedz iespējas. Pēdējā laikā Eiropas Parlaments strādā pie ziņojuma par digitālajām finansēm, kurā cita starpā izteikts aicinājums izveidot vienotu pieeju finanšu sektora kibernoturībai. Tiesiskais regulējums, kas stiprina ES finanšu vienību digitālās darbības noturību, atbilst šiem politikas mērķiem. Priekšlikumā atbalstīta arī rīcībpolitika, kas ir vērsta uz atgūšanos no koronavīrusa, jo tas nodrošinātu, ka lielāka paļaušanās uz digitālajām finansēm iet roku rokā ar darbības noturību. Iniciatīva saglabātu ieguvumus, kas saistīti ar kiberdrošības horizontālo sistēmu (piemēram, Tīklu un informācijas sistēmu drošības direktīva jeb TID direktīva), paturot finanšu nozari tās darbības jomā. Finanšu nozare būtu cieši saistīta ar TID sadarbības struktūru, un finanšu uzraudzības iestādes spētu apmainīties ar attiecīgu informāciju esošajā TID ekosistēmā. Iniciatīva atbilstu Eiropas kritiskās infrastruktūras (EKI) direktīvai, kas pašlaik tiek pārskatīta, lai uzlabotu kritisko infrastruktūru aizsardzību un noturību pret apdraudējumiem, kas nav saistīti ar kiberuzbrukumiem. Visbeidzot, šis priekšlikums pilnībā atbilst Drošības savienības stratēģijai, kurā izteikts aicinājums izstrādāt iniciatīvu par digitālās darbības noturību finanšu nozarē, ņemot vērā tās augsto atkarību no IKT pakalpojumiem un augsto neaizsargātību pret kiberuzbrukumiem. 2.JURIDISKAIS PAMATS, SUBSIDIARITĀTE UN PROPORCIONALITĀTE ·Juridiskais pamats Šis regulas priekšlikums ir balstīts uz LESD 114. pantu. Ar to tiek novērsti šķēršļi, kā arī uzlabota finanšu pakalpojumu iekšējā tirgus izveide un darbība, saskaņojot noteikumus, kas piemērojami IKT riska pārvaldībai, ziņošanai, testēšanai un ar trešo personu saistītajam IKT riskam. Pašreizējās likumdošanas un uzraudzības, kā arī valsts un ES līmeņu atšķirības šajā jomā ir šķēršļi finanšu pakalpojumu vienotajam tirgum, jo finanšu vienības, kas veic pārrobežu darbības, saskaras ar atšķirīgām regulatīvām prasībām vai gaidām uzraudzības jomā, kas nepārklājas un var kavēt tām izmantot brīvību veikt uzņēmējdarbību un sniegt pakalpojumus. Atšķirīgi noteikumi arī kropļo konkurenci starp viena veida finanšu vienībām dažādās dalībvalstīs. Turklāt jomās, kurās saskaņošana nav notikusi vai ir daļēja vai ierobežota, tādu atšķirīgu valsts noteikumu vai pieeju izstrādei, kas vai nu jau ir spēkā, vai atrodas pieņemšanas un īstenošanas procesā valsts līmenī, var būt atturoša ietekme uz finanšu pakalpojumu vienotā tirgus brīvībām. Tas tā jo īpaši ir attiecībā uz digitālās darbības testēšanas satvariem un kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārraudzību.

Tā kā priekšlikums ietekmē vairākas Eiropas Parlamenta un Padomes direktīvas, kas ir pieņemtas saskaņā ar LESD 53. panta 1. punktu, vienlaikus tiek pieņemts priekšlikums direktīvai, lai atspoguļotu šajās direktīvās izdarāmos grozījumus. ·Subsidiaritāte Augstā finanšu pakalpojumu savstarpējās savienojamības pakāpe, nozīmīga finanšu vienību pārrobežu darbība un plaša finanšu nozares kopējā atkarība no trešām personām, kas sniedz IKT pakalpojumus, prasa nodrošināt spēcīgu digitālās darbības noturību, kas ES finanšu tirgu stabilitātes saglabāšanai ir kopīgu interešu jautājums. Atšķirības, kas rodas no nevienmērīgiem vai daļējiem režīmiem, pārklāšanās vai vairākām prasībām, ko piemēro vienām un tām pašām finanšu vienībām, kuras darbojas pāri robežām vai kurām ir vairākas atļaujas visā vienotajā tirgū, var efektīvi risināt tikai Savienības līmenī. Ar šo priekšlikumu tiek saskaņots digitālās darbības komponents dziļi integrētā un savstarpēji savienotā nozarē, kas jau šobrīd vairumā citu būtisko jomu izmanto vienotu noteikumu kopumu un uzraudzību. Tādos jautājumos kā ziņošana par incidentiem, kas saistīti ar IKT, vienīgi Savienības līmenī saskaņoti noteikumi varētu mazināt administratīvo slogu un finanšu izmaksas, ko rada ziņošana dažādām Savienības un valstu iestādēm par vienu un to pašu ar IKT saistīto incidentu. ES rīcība ir nepieciešama arī, lai sekmētu pārrobežu iestāžu padziļinātas digitālās darbības noturības testēšanas rezultātu savstarpēju atzīšanu, kas, nepastāvot Savienības noteikumiem, dažādās dalībvalstīs tiek vai varētu tikt pakļauta atšķirīgam regulējumam. Tikai rīcība Savienības līmenī var novērst dalībvalstu ieviestās atšķirības testēšanas pieejā. ES līmeņa rīcība ir nepieciešama arī, lai risinātu to, ka trūkst pienācīgu pārraudzības pilnvaru, lai uzraudzītu ar trešām personām, kas sniedz IKT pakalpojumus, saistītos riskus, ieskaitot ES finanšu nozares koncentrācijas un kaitīgas ietekmes riskus. ·Proporcionalitāte Ar ierosinātajiem noteikumiem paredz tikai to, kas nepieciešams, lai sasniegtu priekšlikuma mērķus. Tie aptver tikai aspektus, kurus dalībvalstis nevar sasniegt saviem spēkiem un kuru administratīvais slogs un izmaksas ir samērīgas ar sasniedzamajiem konkrētajiem un vispārīgajiem mērķiem. Samērīgumu nosaka pēc darbības jomas un intensitātes, izmantojot kvalitatīvus un kvantitatīvus novērtēšanas kritērijus. To mērķis ir nodrošināt, ka, lai gan jaunie noteikumi aptver visas finanšu vienības, tie vienlaikus ir pieskaņoti riskiem un vajadzībām, kas izriet no vienību lieluma un darījumdarbības profila sevišķajām īpašībām. Proporcionalitāte ir ietverta arī noteikumos par IKT riska pārvaldību, digitālās darbības noturības testēšanu, ziņošanu par būtiskiem ar IKT saistītiem incidentiem un kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārraudzību. ·Juridiskā instrumenta izvēle Pasākumiem, kas nepieciešami, lai regulētu IKT riska pārvaldību, ar IKT saistītu incidentu paziņošanu, testēšanu un kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārraudzību, ir jābūt ietvertiem regulā, lai nodrošinātu, ka detalizētās prasības ir efektīvi un tieši piemērojamas vienveidīgi, neskarot proporcionalitāti un šajā regulā paredzētos īpašos noteikumus. Konsekventa digitālo operacionālo risku novēršana palīdz uzlabot uzticēšanos finanšu sistēmai un uztur tās stabilitāti. Tā kā regulas izmantošana palīdz mazināt regulatīvo sarežģītību, sekmē uzraudzības konverģenci un palielina juridisko noteiktību, šī regula arī sekmē finanšu vienību atbilstības nodrošināšanas izmaksu ierobežošanu, īpaši finanšu vienībām, kas darbojas pārrobežu vidē, tādējādi palīdzot novērst konkurences izkropļojumus. Ar regulu tiek arī novērstas tiesību aktu nesakritības un nevienāda valstu regulatīvā vai uzraudzības pieeja attiecībā uz IKT risku, tādējādi novēršot šķēršļus izveidot finanšu pakalpojumu vienoto tirgu, jo īpaši šķēršļus pārrobežu finanšu vienību brīvībai veikt uzņēmējdarbību un sniegt pakalpojumus. Visbeidzot, vienotais noteikumu kopums galvenokārt ir izstrādāts, izmantojot regulas, un tā aktualizēšanai ar digitālās darbības noturības komponentu jāizvēlas tāds pats juridiskais instruments. 3.EX POST IZVĒRTĒJUMU, APSPRIEŠANOS AR IEINTERESĒTAJĀM PERSONĀM UN IETEKMES NOVĒRTĒJUMU REZULTĀTI ·Ex post izvērtējumi / spēkā esošo tiesību aktu atbilstības pārbaudes Neviens Savienības finanšu pakalpojumu tiesību akts līdz šim nav bijis orientēts uz darbības noturību un nav visaptveroši risinājis digitalizācijas radītos riskus — pat tie tiesību akti, kuru noteikumi vispārīgāk regulē operacionālā riska dimensiju ar IKT risku kā apakškomponentu. Līdz šim Savienības iejaukšanās ir palīdzējusi risināt pēc 2008. gada finanšu krīzes pastāvošās vajadzības un problēmas: kredītiestādēm nebija pietiekama kapitāla, finanšu tirgi nebija pietiekami integrēti, un līdzšinējā saskaņošana bija bijusi minimāla. Tolaik IKT risks netika uzskatīts par prioritāru, tādēļ dažādu finanšu apakšnozaru tiesiskais regulējums ir attīstījies nesaskaņoti. Tomēr ar Savienības rīcību ir sasniegts mērķis — nodrošināt finanšu stabilitāti un izveidot saskaņotu prudenciālo un tirgus rīcības noteikumu vienotu kopumu, kas tiek piemērots visas ES finanšu vienībām. Tā kā faktori, kas iepriekš noteica Savienības likumdevēja iejaukšanos, nenodrošināja īpašus vai visaptverošus noteikumus, kas paredzēti, lai īpaši pievērstos digitālo tehnoloģiju izplatītajai lietošanai un no tās izrietošajiem riskiem finanšu nozarei, tieša izvērtējuma veikšana, šķiet, ir apgrūtināta. Katrā šīs regulas pīlārā ir atspoguļots netiešs izvērtējums un no tā izrietošie tiesību aktu grozījumi. ·Apspriešanās ar ieinteresētajām personām Komisija visā šā priekšlikuma izstrādes gaitā ir apspriedusies ar ieinteresētajām personām, konkrēti: i) Komisija īstenoja īpašu publisku sabiedrisko apspriešanu (no 2019. gada 19. decembra līdz 2020. gada 19. martam); ii) Komisija apspriedās ar sabiedrību, veicot sākotnējo ietekmes novērtējumu (no 2019. gada 19. decembra līdz 2020. gada 16. janvārim); iii) Komisijas dienesti divos gadījumos konsultējās ar dalībvalstu ekspertiem ekspertu grupā banku, maksājumu un apdrošināšanas jomā (EGBPI) (2020. gada 18. maijs un 2020. gada 16. jūlijs); iv)Komisijas dienesti digitālās darbības noturībai veltīja īpašu tīmekļsemināru (2020. gada 19. maijs), kas ir daļa no digitālajām finansēm veltītajiem informatīvajiem pasākumiem “Digital Finance Outreach 2020”.

Sabiedriskās apspriešanas mērķis bija informēt Komisiju par potenciālā ES starpnozaru digitālās darbības noturības regulējuma izveidi finanšu pakalpojumu jomā. Atbildes liecināja par plašu atbalstu tam, lai tiktu ieviesta īpaša sistēma ar pasākumiem, kas vērsti uz četrām apspriešanā iekļautajām jomām, vienlaikus uzsverot vajadzību nodrošināt proporcionalitāti un rūpīgi skatīt un izskaidrot mijiedarbību ar TID direktīvas horizontālajiem noteikumiem. Komisija uz sākotnējo ietekmes novērtējumu saņēma divas atbildes, kurās respondenti pievērsās konkrētiem aspektiem, kas saistīti ar viņu darbības jomu. Dalībvalstis 2020. gada 18. maijā organizētajā EGPBI sanāksmē pauda lielu atbalstu finanšu nozares digitālās darbības noturības stiprināšanai, izmantojot pasākumus, kas paredzēti atbilstīgi četriem Komisijas norādītajiem elementiem. Dalībvalstis arī uzsvēra nepieciešamību skaidri formulēt jaunos noteikumus kopā ar noteikumiem par operacionālo risku (ES tiesību aktos par finanšu pakalpojumiem) un horizontālajiem noteikumiem par kiberdrošību (TID direktīva). Otrās sanāksmes laikā dažas dalībvalstis uzsvēra nepieciešamību nodrošināt proporcionalitāti un ņemt vērā mazo uzņēmumu vai lielāku grupu meitasuzņēmumu īpašo situāciju, kā arī vajadzību pēc stingrām pilnvarām pārraudzībā iesaistītajām VKI. Priekšlikuma pamatā ir arī atgriezeniskā saite, kas iegūta sanāksmēs ar ieinteresētajām personām un ES iestādēm un institūcijām. Ieinteresētās personas, tostarp trešās personas, kas sniedz IKT pakalpojumus, kopumā to ir atbalstījušas. Saņemtās atgriezeniskās saites analīze liecina par aicinājumu saglabāt proporcionalitāti, noteikumu izstrādē ievērojot uz principiem un risku balstītu pieeju. No iestāžu puses vislielāko ieguldījumu sniedza Eiropas Sistēmisko risku kolēģija (ESRK), EUI, Eiropas Savienības Kiberdrošības aģentūra (ENISA) un Eiropas Centrālā banka (ECB), kā arī dalībvalstu kompetentās iestādes. ·Ekspertu atzinumu pieprasīšana un izmantošana Sagatavojot šo priekšlikumu, Komisija izmantoja no atzītiem avotiem iegūtus kvalitatīvus un kvantitatīvus pierādījumus, tostarp abus EUI kopīgos tehniskos ieteikumus. Tos papildināja konfidenciāli un publiski pieejami ziņojumi no uzraudzības iestādēm, starptautiskām standartizācijas iestādēm un vadošajiem pētniecības institūtiem, kā arī kvantitatīvs un kvalitatīvs ieguldījumu no identificētām visas pasaules finanšu nozares ieinteresētajām personām. ·Ietekmes novērtējums Šim priekšlikumam ir pievienots ietekmes novērtējums, kas 2020. gada 29. aprīlī tika iesniegts Regulējuma kontroles padomei (RKP), bet 2020. gada 29. maijā tika apstiprināts. RKP ieteica veikt uzlabojumus dažās jomās ar mērķi: i) sniegt vairāk informācijas par to, kā tiktu nodrošināta proporcionalitāte; ii) labāk uzsvērt, cik lielā mērā vēlamais risinājums atšķiras no EUI kopīgajiem tehniskajiem ieteikumiem un kādēļ šis risinājums ir optimālākais; un iii) papildus uzsvērt, kā priekšlikums mijiedarbojas ar spēkā esošajiem ES tiesību aktiem, tostarp ar noteikumiem, kas pašlaik tiek pārskatīti. Ietekmes novērtējums tika pielāgots, lai risinātu šos jautājumus, ņemot vērā arī RKP sīkākas piezīmes. Komisija apsvēra vairākus politikas risinājumus digitālās darbības noturības regulējuma izveidei: ·“nedarīt neko” — darbības noturības noteikumi arī turpmāk tiktu noteikti ar pašreizējo nesaskanīgo ES finanšu pakalpojumu noteikumu kopumu, daļēji ar TID direktīvu, kā arī esošajiem vai nākotnes valstu noteikumiem; ·1. risinājums — stiprināt kapitāla rezerves: lai palielinātu finanšu vienību spēju absorbēt zaudējumus, kas varētu rasties digitālās darbības noturības neesības dēļ, tiktu ieviestas papildu kapitāla rezerves; ·2. risinājums — ieviest finanšu pakalpojumu digitālās darbības noturības aktu: nodrošināt visaptverošu regulējumu ES līmenī ar konsekventiem noteikumiem, lai risinātu visu regulēto finanšu vienību digitālās darbības noturības vajadzības un izveidotu to trešo personu pārraudzības sistēmu, kas sniedz kritiski svarīgus IKT pakalpojumus; ·3. risinājums — finanšu pakalpojumu digitālās darbības noturības akts apvienojumā ar to trešo personu centralizētu uzraudzību, kas sniedz kritiski svarīgus IKT pakalpojumus: papildus digitālās darbības noturības aktam (2. risinājums) tiktu izveidota jauna iestāde, lai uzraudzītu, kā trešās personas sniedz IKT pakalpojumus. Tika izraudzīts otrais risinājums, jo ar to efektīvi, lietderīgi un saskanīgi ar citiem Savienības politikas pasākumiem tiek sasniegta lielākā daļa iecerēto mērķu. Šo risinājumu izvēlējušās arī lielākā daļa ieinteresēto personu. Izvēlētais risinājums radītu kā vienreizējas, tā regulāras izmaksas. Vienreizējās izmaksas galvenokārt veido ieguldījumi IT sistēmās, tādēļ tās ir grūti izteikt kvantitatīvi, jo uzņēmumu sarežģītās IT vides un jo īpaši to mantotās IT sistēmas pēc to stāvokļa atšķiras. Tomēr jebkurā gadījumā lieliem uzņēmumiem šīs izmaksas, visticamāk, būs ierobežotas, jo tie jau ir veikuši nozīmīgus ieguldījumus IKT. Paredzams, ka arī mazākiem uzņēmumiem radīsies ierobežotas izmaksas, jo tiem tiks piemēroti samērīgi pasākumi, ņemot vērā to zemāko risku. Izvēlētā risinājuma ekonomiskā, sociālā un vidiskā ietekme uz finanšu pakalpojumu nozarē strādājošiem MVU būtu pozitīva. Ar priekšlikumu tiks panākts, ka MVU ir skaidri zināms, kuri noteikumi uz tiem attiecas, tādējādi samazinot atbilstības nodrošināšanas izmaksas. Izvēlētais politikas risinājums galveno sociālo ietekmi atstātu uz patērētājiem un ieguldītājiem. Augstāks ES finanšu sistēmas digitālās darbības noturības līmenis samazinātu incidentu skaitu un vidējās izmaksas. Sabiedrība kopumā iegūtu no lielākas uzticēšanās finanšu pakalpojumu nozarei. Visbeidzot, runājot par vidisko ietekmi, izvēlētais politikas risinājums mudinātu labāk izmantot jaunākās paaudzes IKT infrastruktūru un pakalpojumus, kas, domājams, kļūs ilgtspējīgāki no vides viedokļa. ·Normatīvā atbilstība un vienkāršošana Ja tiktu atceltas prasības paziņot ar IKT saistītus incidentus, kas savstarpēji pārklājas, tiktu samazināts administratīvais slogs un ar to saistītās izmaksas. Turklāt saskaņotas digitālās darbības noturības pārbaudes ar savstarpēju atzīšanu visā vienotajā tirgū samazinās izmaksas, jo īpaši pārrobežu uzņēmumiem, kuri citādi varētu saskarties ar vairākkārtējiem testiem visās dalībvalstīs. ·Pamattiesības

ES ir apņēmusies nodrošināt augstus standartus pamattiesību aizsardzības jomā. Visas brīvprātīgas informācijas apmaiņas vienošanās starp finanšu vienībām, ko veicina šī regula, tiktu veiktas uzticamā vidē, pilnībā ievērojot Savienības datu aizsardzības noteikumus, jo īpaši Eiropas Parlamenta un Padomes Regulu (ES) 2016/679, sevišķi gadījumos, kad personas datu apstrāde ir nepieciešama personas datu pārziņa leģitīmo interešu ievērošanai. 4. IETEKME UZ BUDŽETU Runājot par ietekmi uz budžetu, jāatzīst, ka, tā kā pašreizējā regula paredz plašāku EUI lomu, izmantojot pilnvaras, kas tām piešķirtas, lai pienācīgi pārraudzītu kritiski svarīgas trešās personas, kas IKT pakalpojumus, priekšlikums ietvertu plašāku resursu izmantošanu, jo īpaši, lai izpildītu pārraudzības uzdevumus (piemēram, pārbaudes uz vietas un tiešsaistē, revīzijas) un izmantotu personālu, kam ir īpašas zināšanas par IKT drošību. Šo izmaksu apjoms un sadalījums būs atkarīgs no EUI jauno pārraudzības pilnvaru apjoma un (precīziem) veicamajiem uzdevumiem. Attiecībā uz jaunu personāla resursu nodrošināšanu EBI, EVTI un EAAPI kopā būs nepieciešami 18 pilnas slodzes darbinieki (PSE) — 6 PSE katrai iestādei — kad sāksies dažādu priekšlikuma noteikumu piemērošana (paredzamais apmērs — 15,71 miljoni EUR par laikposmu no 2022. līdz 2027. gadam). EUI radīsies arī papildu IT izmaksas, komandējuma izdevumi par pārbaudēm uz vietas un tulkošanas izmaksas (aprēķinātas 12 miljonu EUR apmērā par laikposmu no 2022. līdz 2027. gadam), kā arī citi administratīvie izdevumi (aprēķināti 2,48 miljonu EUR apmērā par laika periodu no 2022. līdz 2027. gadam). Tādēļ paredzamā kopējā ietekme uz izmaksām 2022.–2027. gadā ir aptuveni 30,19 miljoni EUR. Jānorāda arī tas, ka, lai gan tiešai pārraudzībai nepieciešamais darbinieku skaits (piemēram, jauni darbinieki un citi izdevumi, kas saistīti ar jaunajiem uzdevumiem) laika gaitā būs atkarīgs no tā, kā mainīsies pārraugāmo kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, skaits un lielums, attiecīgos izdevumus pilnībā finansēs no maksām, kas iekasētas no šiem tirgus dalībniekiem. Tāpēc nav paredzēta ietekme uz ES budžeta apropriācijām (izņemot attiecībā uz papildu personālu), jo šīs izmaksas pilnībā finansēs no maksām. Priekšlikuma finansiālā ietekme un ietekme uz budžetu sīkāk izskaidrota šim priekšlikumam pievienotajā tiesību akta finanšu pārskatā. 5.CITI ELEMENTI ·Īstenošanas plāni un uzraudzīšanas, izvērtēšanas un ziņošanas kārtība Priekšlikums ietver vispārēju plānu, kā uzraudzīt un izvērtēt ietekmi uz konkrētajiem mērķiem, un tas paredz, ka Komisijai vismaz trīs gadus pēc tā stāšanās spēkā ir jāveic pārskatīšana un jāziņo Eiropas Parlamentam un Padomei par galvenajiem konstatējumiem. Pārskatīšana ir veicama atbilstoši Komisijas labāka regulējuma pamatnostādnēm. ·Detalizēts konkrētu priekšlikuma noteikumu skaidrojums Priekšlikums ir strukturēts ap vairākām galvenajām politikas jomām — svarīgiem savstarpēji saistītiem pīlāriem, kuri pēc vienošanās tiek iekļauti Eiropas un starptautiskajos norādījumos un labākajā praksē un kuru mērķis ir uzlabot finanšu nozares kibernoturību un darbības noturību. Regulas darbības joma un obligāto pasākumu proporcionalitātes piemērošana (2. pants) Lai nodrošinātu vienveidīgumu attiecībā uz finanšu nozarē piemērojamajām IKT riska pārvaldības prasībām, regula aptver virkni Savienības līmenī regulētu finanšu vienību, proti, kredītiestādes, maksājumu iestādes, elektroniskās naudas iestādes, ieguldījumu brokeru sabiedrības, kriptoaktīvu pakalpojumu sniedzējus, centrālos vērtspapīru depozitārijus, centrālos darījumu partnerus (CCP), tirdzniecības vietas, darījumu reģistrus, alternatīvo ieguldījumu fondu pārvaldniekus un pārvaldības sabiedrības, datu paziņošanas pakalpojumu sniedzējus, apdrošināšanas un pārapdrošināšanas sabiedrības, apdrošināšanas starpniekus, pārapdrošināšanas starpniekus, apdrošināšanas papildpakalpojuma starpniekus, arodpensiju iestādes, kredītreitingu aģentūras, obligātos revidentus, revīzijas uzņēmumus, kritiski svarīgu etalonu administratorus un kolektīvās finansēšanas pakalpojumu sniedzējus. Šāda darbības joma sekmē visu IKT jomas riska pārvaldības komponentu viendabīgu un saskaņotu piemērošanu, vienlaikus aizsargājot vienlīdzīgus konkurences apstākļus finanšu vienību starpā no IKT riska regulatīvo pienākumu viedokļa. Vienlaikus regulā ir atzīts, ka starp finanšu vienībām pastāv nozīmīgas atšķirības attiecībā uz to lielumu, darījumdarbības profilu vai pakļautību digitālajam riskam. Tā kā lielākām finanšu vienībām ir vairāk resursu, tikai finanšu vienībām, kas neatbilst mikrouzņēmuma statusam, ir pienākums, piemēram, izveidot sarežģītu pārvaldības kārtību, īpašas vadības funkcijas, veikt padziļinātu novērtējumu pēc būtiskām tīklu un informācijas sistēmas infrastruktūras izmaiņām, regulāri veikt mantotu IKT sistēmu riska analīzi, paplašināt darbības nepārtrauktības, reaģēšanas un seku novēršanas plānu testēšanu, lai aptvertu scenārijus, kuros notiek pārslēgšanās starp primāro IKT infrastruktūru un rezerves mehānismiem. Turklāt tikai finanšu vienībām, kas atzītas par nozīmīgām padziļinātas digitālās darbības noturības testēšanas mērķiem, būs pienākums veikt draudu vadītus ielaušanās testus. Neraugoties uz šo plašo tvērumu, tas nav izsmeļošs. Šajā regulā nav ietverti sistēmas operatori, kā definēts Direktīvas 98/26/EK par norēķinu galīgumu maksājumu un vērtspapīru norēķinu sistēmās (NGD) 2. panta p) punktā, kā arī neviens sistēmas dalībnieks, ja vien šis dalībnieks pats nav Savienības līmenī regulēta finanšu vienība un uz to šī regula neattiecas pati par sevi (proti, kredītiestāde, ieguldījumu brokeru sabiedrība, CCP). Turklāt darbības jomā neietilpst arī Savienības emisiju kvotu reģistrs, kas saskaņā ar Direktīvu 2003/87/EK darbojas Eiropas Komisijas aizgādībā. Attiecībā uz šādiem NGD izņēmumiem ņemta vērā nepieciešamība turpmāk pārskatīt juridiskus un politiskus jautājumus, kas skar NGD sistēmas operatorus un dalībniekus, vienlaikus pienācīgi ņemot vērā to, kā spēkā esošās sistēmas ietekmē centrālo banku pārvaldītās maksājumu sistēmas. Tā kā šie jautājumi var būt saistīti ar aspektiem, kas joprojām ir nošķirti no šīs regulas jautājumiem, Komisija turpinās izvērtēt nepieciešamību un ietekmi, ko radītu šīs regulas darbības jomas tālāka paplašināšana, attiecinot to uz vienībām un IKT infrastruktūrām, kas pašlaik nav tās kompetencē. Ar pārvaldību saistītas prasības (4. pants) Šīs regulas mērķis ir labāk saskaņot finanšu vienību darījumdarbības stratēģijas un IKT riska pārvaldības norisi. Šim nolūkam vadības struktūrai būs jāsaglabā nozīmīga un aktīva loma IKT riska pārvaldības sistēmas vadībā un jātiecas uz stingras kiberhigiēnas ievērošanu. Vadības struktūras pilnīga atbildība par finanšu vienības IKT riska pārvaldību būs visaptverošs princips, kas būs sīkāk jāizsaka kā specifisku prasību kopums, piemēram, attiecībā uz skaidru lomu un pienākumu piešķiršanu visām ar IKT saistītajām funkcijām, nepārtrauktu iesaistīšanos IKT riska pārvaldības uzraudzības kontrolē, kā arī pilnu apstiprināšanas un kontroles procesu spektru un atbilstošu IKT ieguldījumu un apmācību iedalīšanu. IKT riska pārvaldības prasības (5.–14. pants)

Atbilstīgi EUI kopīgajiem tehniskajiem ieteikumiem digitālās darbības noturība balstās uz vairāku IKT riska pārvaldības sistēmai noteiktu galveno principu un prasību kopumu. Šīs prasības, kuru izstrādi ir sekmējuši attiecīgi starptautiski, valsts un nozares noteikti standarti, nostādnes un ieteikumi, attiecas uz konkrētām IKT riska pārvaldības funkcijām (identifikāciju, aizsardzību un profilaksi, atklāšanu, reaģēšanu un seku novēršanu, mācīšanos un attīstību, saziņu). Lai neatpaliktu no strauji mainīgās kiberdraudu vides, finanšu vienībām ir pienākums izveidot un uzturēt noturīgas IKT sistēmas un rīkus, kas mazina IKT riska ietekmi, pastāvīgi identificēt visus IKT riska avotus, izveidot aizsardzības un profilakses pasākumus, nekavējoties atklāt anomālas darbības, ieviest īpašu un visaptverošu darbības nepārtrauktības politiku un negadījuma seku novēršanas plānus kā darbības nepārtrauktības politikas neatņemamu daļu. Pēdējie no minētajiem komponentiem ir nepieciešami, lai operatīvi novērstu ar IKT saistīto incidentu, jo īpaši kiberuzbrukumu, sekas, ierobežojot kaitējumu un par prioritāru nosakot drošu darbības atsākšanu. Ar regulu kā tādu netiek noteikti konkrēti standarti — tā balstās uz Eiropas un starptautiski atzītiem tehniskajiem standartiem vai nozares labāko praksi, ciktāl tā pilnībā atbilst uzraudzības norādījumiem par šādu starptautisko standartu izmantošanu un iekļaušanu. Regula aptver arī fiziskās infrastruktūras integritāti, drošumu un noturību, kā arī tādu objektu integritāti, drošumu un noturību, kas atbalsta tehnoloģiju izmantošanu un attiecīgos ar IKT saistītos procesus un cilvēkus, un tā ir daļa no finanšu vienības darbības digitālā pēdas nospieduma. Ar IKT saistīto incidentu paziņošana (15.–20. pants) Ar IKT saistīto incidentu paziņošanas saskaņošanu un racionalizāciju panāk, pirmkārt, ar vispārēju prasību finanšu vienībām izveidot un īstenot pārvaldības procesu ar IKT saistīto incidentu uzraudzībai un reģistrēšanai, kam seko pienākums tos klasificēt atbilstīgi regulā sīkāk izklāstītiem un EUI tālāk izstrādātajiem kritērijiem, pēc kuriem nosaka būtiskuma robežvērtības. Otrkārt, kompetentajām iestādēm ir jāziņo tikai par tiem ar IKT saistītajiem incidentiem, kas ir atzīti par būtiskiem. Ziņošana būtu jāveic, izmantojot vienotu veidni un ievērojot EUI izstrādātu saskaņotu procedūru. Finanšu vienībām būtu jāiesniedz sākotnējie, starpposma un gala ziņojumi, kā arī jāinformē lietotāji un klienti, kuru finanšu intereses ir vai varētu būt skāris incidents. Kompetentajām iestādēm būtu jāsniedz attiecīgas sīkākas ziņas par incidentiem citām institūcijām vai iestādēm: EUI, ECB un saskaņā ar Direktīvu (ES) 2016/1148 izraudzītajiem vienotajiem kontaktpunktiem. Lai uzsāktu dialogu starp finanšu vienībām un kompetentajām iestādēm, kas palīdzētu mazināt ietekmi un noteikt piemērotus korektīvos pasākumus, ziņošana par būtiskiem ar IKT saistītiem incidentiem būtu jāpapildina ar uzrauga atgriezenisko saiti un norādījumiem. Visbeidzot, EUI, ECB un ENISA kopīgā ziņojumā, kurā būtu vērtēta iespējamība izveidot vienotu ES centrmezglu, kuram finanšu vienības ziņotu par būtiskiem ar IKT saistītiem incidentiem, būtu sīkāk jāanalizē iespēja Savienības līmenī centralizēt ar IKT saistītu incidentu paziņošanu. Digitālās darbības noturības testēšana (21.–24. pants) IKT riska pārvaldības sistēmā ietvertās spējas un funkcijas ir periodiski jātestē attiecībā uz gatavību un spēju identificēt vājās vietas, trūkumus un nepilnības, kā arī nekavējoties īstenot korektīvos pasākumus. Šī regula ļauj proporcionāli piemērot digitālās darbības noturības testēšanas prasības atkarībā no finanšu vienības lieluma, darījumdarbības un riska profiliem: lai gan IKT rīku un sistēmu testēšana būtu jāveic visām vienībām, uz draudu vadītiem ielaušanās testiem (DVIT) balstīta padziļināta testēšana būtu obligāti jāveic tikai tām vienībām, ko kompetentās iestādes (balstoties uz šajā regulā noteiktajiem un EUI tālāk izstrādātajiem kritērijiem) ir atzinušas par nozīmīgām un kibergatavām. Ar šo regulu nosaka arī prasības testētājiem un DVIT rezultātu atzīšanai visā Savienībā attiecībā uz finanšu vienībām, kas darbojas vairākās dalībvalstīs. Ar trešo personu saistītais IKT risks (25.–39. pants) Regula ir izstrādāta tā, lai tā nodrošinātu ar trešo personu saistītā IKT riska stabilu uzraudzību. Šis mērķis tiks sasniegts, pirmkārt, ievērojot uz principiem balstītus noteikumus, ko piemēros finanšu vienību veiktajai trešo personu, kas sniedz IKT pakalpojumus, radītā riska uzraudzībai. Otrkārt, ar šo regulu tiek saskaņoti svarīgākie elementi pakalpojumos un attiecībās ar trešām personām, kas sniedz IKT pakalpojumus. Šie elementi aptver minimālos aspektus, kas atzīti par svarīgiem, lai finanšu vienība spētu pilnībā uzraudzīt ar trešo personu saistītu IKT risku visā tiesisko attiecību izveidošanas, izpildes, izbeigšanas, kā arī pēclīguma posmā. Visbūtiskāk ir tas, ka līgumos, ko piemēro attiecībām, būs obligāti jāietver pilnīgs pakalpojumu apraksts, norāde par vietām, kur tiks veikta datu apstrāde, pilnīgs pakalpojumu līmeņa apraksts ar pievienotiem kvantitatīviem un kvalitatīviem darbības mērķiem, attiecīgi noteikumi par piekļūstamību, pieejamību, integritāti, drošību un personas datu aizsardzību, garantijas attiecībā uz piekļuves, atgūšanas un atgriešanās iespējām gadījumos, ja notikusi trešās personas, kas sniedz IKT pakalpojumus, atteice, trešām personām, kas sniedz IKT pakalpojumus, saistoši paziņošanas termiņi un ziņošanas pienākumi, finanšu vienības vai ieceltas trešās personas piekļuves, pārbaudes un revīzijas tiesības, skaidri noteiktas izbeigšanas tiesības un atsevišķas atkāpšanās stratēģijas. Turklāt, tā kā daļa no šiem līguma noteikumiem var tikt standartizēti, ar regulu tiek sekmēta brīvprātīga līguma standartklauzulu izmantošana, kuras Komisija izstrādās attiecībā uz mākoņdatošanas pakalpojumu izmantošanu. Visbeidzot, ar regulu tiek mēģināts sekmēt konverģenci attiecībā uz pieeju, kā uzraudzīt ar trešo personu saistīto IKT risku finanšu nozarē, pakļaujot kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, Savienības uzraudzības sistēmai. EUI, kas ir izraudzīta par katras šādas kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, galveno pārraugu, ar jaunu saskaņotu tiesisko regulējumu iegūst pilnvaras, lai nodrošinātu, ka tehnoloģiju pakalpojumu sniedzēji, kam ir kritiski svarīga loma finanšu nozares darbībā, tiek pienācīgi uzraudzīti visas Eiropas mērogā. Ar šo regulu paredzētā pārraudzības sistēma ir balstīta uz esošo finanšu pakalpojumu nozares institucionālo sistēmu, kurā EUI Apvienotā komiteja nodrošina starpnozaru koordināciju visos ar IKT risku saistītajos jautājumos saskaņā ar uzdevumiem, kas tai uzticēti attiecībā uz kiberdrošību, bet tai atbalstu sniedz attiecīgā apakškomiteja (Pārraudzības forums), kas veic sagatavošanās darbu individuālu lēmumu un kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, adresēto kolektīvo ieteikumu pieņemšanai. Informācijas apmaiņa (40. pants) Lai uzlabotu informētību par IKT risku, mazinātu tā izplatīšanos, atbalstītu finanšu vienību aizsardzības spējas un apdraudējumu atklāšanas paņēmienus, regula ļauj finanšu vienībām izveidot kārtību, kādā tās savstarpēji apmainās ar informāciju par kiberdraudiem un izlūkdatiem.



2020/0266 (COD) Priekšlikums EIROPAS PARLAMENTA UN PADOMES REGULA par finanšu sektora digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014 un (ES) Nr. 909/2014 (Dokuments attiecas uz EEZ) EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME,

ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 114. pantu, ņemot vērā Eiropas Komisijas priekšlikumu, pēc leģislatīvā akta projekta nosūtīšanas dalībvalstu parlamentiem, ņemot vērā Eiropas Centrālās bankas atzinumu, ņemot vērā Eiropas Ekonomikas un sociālo lietu komitejas atzinumu, saskaņā ar parasto likumdošanas procedūru, tā kā: (1)Informācijas un komunikācijas tehnoloģijas (IKT) digitālajā laikmetā atbalsta sarežģītas sistēmas, kas tiek lietotas ikdienas sabiedriskajām darbībām. Tās nodrošina mūsu ekonomikas darbību svarīgās nozarēs, ieskaitot finanšu nozari, un uzlabo vienotā tirgus darbību. Lielāka digitalizācija un savstarpēja savienojamība arī pastiprina IKT riskus, padarot sabiedrību kopumā un jo īpaši finanšu sistēmu neaizsargātāku pret kiberdraudiem vai IKT traucējumiem. Lai gan IKT sistēmu plašais lietojums, augstā digitalizācija un savienojamība mūsdienās ir visu Savienības finanšu vienību veikto darbību pamatiezīmes, to darbības pamatprincipos vēl nav pietiekami dziļi integrēta digitālā noturība. (2)IKT izmantošana pēdējās desmitgadēs ir ieguvusi nozīmīgu lomu finanšu nozarē, un mūsdienās tā ir kļuvusi kritiski svarīga visu finanšu vienību parastajās ikdienas darbībās. Digitalizācija aptver, piemēram, maksājumus, kas arvien vairāk pāriet no skaidras naudas un papīra dokumentu izmantošanas uz digitāliem risinājumiem, kā arī vērtspapīru tīrvērti un norēķinus, elektronisko un algoritmisko tirdzniecību, aizdošanas un finansēšanas darbības, savstarpējo finansēšanu, kredītreitingu, apdrošināšanas saistību uzņemšanos, pretenziju apstrādi un biroja administratīvo darbu. Visa finanšu nozare ir kļuvusi lielākoties digitāla, turklāt digitalizācija ir arī padziļinājusi savstarpējos savienojumus un atkarības finanšu nozares iekšienē, kā arī attiecībās ar trešo personu infrastruktūru un to sniegtajiem pakalpojumiem. (3)Eiropas Sistēmisko risku kolēģija (ESRK) 2020. gada ziņojumā par sistēmisko kiberrisku ir atkārtoti uzsvērusi, kā finanšu vienību, finanšu tirgu un finanšu tirgus infrastruktūras augstā savstarpējā savienojamība, jo īpaši to IKT sistēmu savstarpējā atkarība, varētu radīt sistēmisku neaizsargātību, jo vietēja mēroga kiberincidenti kādā no aptuveni 22 000 Savienības finanšu vienībām varētu ātri izplatīties visā finanšu sistēmā, pāri valstu robežām. Smagi IKT pārkāpumi finanšu nozarē ietekmē ne tikai finanšu vienības atsevišķi. Tie arī atvieglo vietēja mēroga neaizsargātības izplatīšanos finanšu sakaru kanālos un, iespējams, var radīt nelabvēlīgas sekas Savienības finanšu sistēmas stabilitātei, izraisot likviditātes pazemināšanos un liekot zust vispārējai pārliecībai un uzticībai finanšu tirgiem. (4)IKT riski pēdējos gados ir piesaistījuši valstu, Eiropas un starptautiskās politikas veidotāju, regulatoru un standartu noteikšanas struktūru uzmanību, liekot tām mēģināt uzlabot noturību, noteikt standartus, kā arī koordinēt regulējošo vai uzraudzības darbu. Starptautiskajā līmenī Bāzeles Banku uzraudzības komitejas, Maksājumu un tirgus infrastruktūru komitejas, Finanšu stabilitātes padomes, Finanšu stabilitātes institūta, kā arī G7 un G20 valstu grupu mērķis ir sniegt dažādu jurisdikciju kompetentajām iestādēm un tirgus dalībniekiem instrumentus finanšu sistēmu noturības stiprināšanai. (5)Neraugoties uz mērķtiecīgu politiku un likumdošanas iniciatīvām valstu un Eiropas līmenī, IKT riski turpina sagādāt problēmas Savienības finanšu sistēmas darbības noturībai, veiktspējai un stabilitātei. Pēc 2008. gada finanšu krīzes īstenotā reforma galvenokārt stiprināja Savienības finanšu nozares finansiālo noturību un tika veikta ar mērķi aizsargāt Savienības konkurētspēju un stabilitāti no ekonomiskā, prudenciālā un tirgus darbības viedokļa. Lai gan IKT drošība un digitālā noturība ir daļa no operacionālā riska, tām pēckrīzes regulatoru darba programmā ir veltīta mazāka uzmanība, un tās ir attīstītas tikai dažās Savienības finanšu pakalpojumu politikas un regulējošās vides jomās vai dažās dalībvalstīs. (6)Komisijas 2018. gada Finanšu tehnoloģijas rīcības plānā tika uzsvērts, cik svarīgi ir padarīt Savienības finanšu nozari elastīgāku arī no darbības perspektīvas, lai nodrošinātu tās tehnoloģisko drošību un labu darbību, ātru atgūšanos no IKT pārkāpumiem un incidentiem, kas galu galā ļaus efektīvi un netraucēti sniegt finanšu pakalpojumus visā Savienībā, tostarp stresa situācijās, vienlaikus saglabājot patērētāju un tirgus uzticību un paļāvību. (7)Eiropas Banku iestāde (EBI), Eiropas Vērtspapīru un tirgu iestāde (EVTI) un Eiropas Apdrošināšanas un aroda pensiju iestāde (EAAPI) (kopā sauktas par “Eiropas uzraudzības iestādēm” jeb “EUI”) 2019. gada aprīlī kopīgi publicēja divus tehniskos ieteikumus, aicinot īstenot vienveidīgu pieeju IKT riskam finanšu nozarē un iesakot proporcionāli stiprināt finanšu pakalpojumu nozares digitālās darbības noturību ar Savienības specifisku nozares iniciatīvu. (8)Savienības finanšu nozare tiek regulēta ar saskaņotu vienotu noteikumu kopumu, bet to pārvalda Eiropas finanšu uzraudzības sistēma. Neraugoties uz to, noteikumi, kas attiecas uz digitālās darbības noturību un IKT drošību, vēl nav pilnīgi vai konsekventi saskaņoti, lai gan digitālās darbības noturība digitālajā laikmetā ir ļoti svarīga finanšu stabilitātes un tirgus integritātes nodrošināšanai — ne mazāk svarīga, piemēram, par vienotiem prudenciālajiem vai tirgus rīcības standartiem. Tādēļ vienotais noteikumu kopums un uzraudzības sistēma būtu jāattīsta, lai aptvertu arī šo komponentu, paplašinot finanšu stabilitātes un tirgus integritātes uzraudzībai un aizsardzībai norīkoto finanšu uzraudzības iestāžu pilnvaras. (9)Tiesību aktu nesakritības un nevienāda valstu regulatīvā vai uzraudzības pieeja attiecībā uz IKT risku rada šķēršļus izveidot finanšu pakalpojumu vienoto tirgu, apgrūtinot pārrobežu finanšu vienību brīvību veikt uzņēmējdarbību un sniegt pakalpojumus. Tāpat varētu tikt kropļota konkurence starp viena veida finanšu vienībām, kas darbojas dažādās dalībvalstīs. Īpaši jomās, kurās saskaņošana Savienības līmenī ir bijusi ļoti ierobežota, piemēram, digitālās darbības noturības testēšanā, vai tādas nav bijis, piemēram, ar trešo personu saistītā IKT riska uzraudzībā, atšķirības, kas izriet no paredzamās attīstības valstu līmenī, varētu radīt papildu šķēršļus vienotā tirgus darbībai, tādējādi kaitējot tirgus dalībniekiem un finanšu stabilitātei. (10)Daļējais veids, kādā ar IKT risku saistītie noteikumi līdz šim ir risināti Savienības līmenī, liecina par nepilnībām vai pārklāšanos svarīgās jomās, piemēram, ar IKT saistītu incidentu paziņošanu un digitālās darbības noturības testēšanu, un rada pretrunas sakarā ar atšķirīgu valsts noteikumu rašanos vai tādu noteikumu neefektīvu piemērošanu izmaksu ziņā, kuri pārklājas. Tas jo īpaši nelabvēlīgi ietekmē tādu IKT ietilpīgu lietotāju kā finanšu nozari, jo tehnoloģiju riskiem nav robežu un finanšu nozare plaši izvieto pakalpojumus pāri robežām Savienībā un ārpus tās. Individuālām finanšu vienībām, kuras darbojas pāri robežām vai kurām ir vairākas atļaujas (piem., vienai un tai pašai finanšu vienībai var būt banku darbības, ieguldījumu brokeru sabiedrības un maksājumu iestādes atļaujas, kuras izdevušas dažādas kompetentās iestādes vienā vai vairākās dalībvalstīs), ir grūti pašām saskanīgi un izmaksu ziņā efektīvi novērst IKT riskus un mazināt IKT incidentu nelabvēlīgo ietekmi. (11)Tā kā vienotajam noteikumu kopumam nav pievienota visaptveroša IKT vai operacionālā riska sistēma, ir nepieciešams papildus saskaņot galvenās digitālās darbības noturības prasības visām finanšu vienībām. Spējas un kopējā noturība, ko finanšu vienības saskaņā ar galvenajām prasībām attīstītu, lai izturētu darbības pārtrauci, palīdzētu saglabāt Savienības finanšu tirgu stabilitāti un integritāti, tādējādi palīdzot nodrošināt Savienības ieguldītāju un patērētāju augsta līmeņa aizsardzību. Tā kā šīs regulas nolūks ir veicināt vienotā tirgus netraucētu darbību, tās pamatā vajadzētu būt LESD 114. pantam saskaņā ar tā interpretāciju Eiropas Savienības Tiesas pastāvīgajā judikatūrā. (12)Regulas mērķis pirmkārt ir konsolidēt un uzlabot IKT riska prasības, kas līdz šim dažādās regulās un direktīvās ir skatītas atsevišķi. Lai gan šie Savienības tiesību akti aptvēra galvenās finanšu riska kategorijas (piem., kredītrisku, tirgus risku, darījuma partnera kredītrisku un likviditātes risku, tirgus uzvedības risku), ar tiem to pieņemšanas laikā nevarēja visaptveroši risināt visus darbības noturības komponentus. Šajos Savienības tiesību aktos sīkāk izstrādātās operacionālā riska prasības bieži vien deva priekšroku tradicionālajai kvantitatīvajai riska novēršanas pieejai (proti, nosakot kapitāla prasību IKT riska segšanai), nevis paredzēja mērķtiecīgas kvalitatīvas prasības, ar kurām stiprināt spējas, nosakot prasības attiecībā uz aizsardzības, atklāšanas, ierobežošanas, seku novēršanas un izlabošanas spējām pēc incidentiem, kas saistīti ar IKT, vai nosakot ziņošanas un digitālās testēšanas spējas. Ar šīm direktīvām un regulām galvenokārt bija paredzēts aptvert būtiskākos prudenciālās uzraudzības, tirgus integritātes un uzvedības noteikumus.

Ar šo pasākumu, kas konsolidē un atjaunina noteikumus par IKT risku, visi noteikumi, kas attiecas uz digitālo risku finanšu nozarē, pirmo reizi tiktu konsekventi apvienoti vienā tiesību aktā. Tādējādi šai iniciatīvai būtu jānovērš nepilnības vai jāizlabo pretrunas dažos minētajos tiesību aktos, tostarp attiecībā uz tajos izmantoto terminoloģiju, un tai būtu skaidri jāatsaucas uz IKT risku, izmantojot mērķtiecīgus noteikumus par IKT riska pārvaldības iespējām, ziņošanu un testēšanu, kā arī ar trešo personu saistītā riska uzraudzību. (13)Finanšu vienībām, risinot IKT risku, būtu jāievēro tāda pati pieeja un tādi paši uz principiem balstīti noteikumi. Konsekvence veicina uzticēšanos finanšu sistēmai un tās stabilitātes saglabāšanu, jo īpaši IKT sistēmu, platformu un infrastruktūru pārmērīgas izmantošanas laikā, kas rada lielāku digitālo risku. Ievērojot kiberhigiēnas pamatus, būtu arī jāizvairās no augstu izmaksu rašanās tautsaimniecībai, samazinot IKT traucējumu ietekmi un izmaksas. (14)Regulas izmantošana palīdz samazināt regulējuma sarežģītību, sekmē uzraudzības konverģenci, palielina juridisko noteiktību, vienlaikus veicinot atbilstības nodrošināšanas izmaksu ierobežošanu, jo īpaši attiecībā uz finanšu vienībām, kas darbojas pāri robežām, un mazinot konkurences kropļojumus. Tāpēc izvēle pieņemt regulu, lai izveidotu kopēju sistēmu finanšu vienību digitālās darbības noturībai, šķiet vispiemērotākais veids, kā nodrošināt viendabīgu un saskaņotu visu IKT riska pārvaldības komponentu piemērošanu Savienības finanšu nozarēs. (15)Papildus finanšu pakalpojumu tiesību aktiem Eiropas Parlamenta un Padomes Direktīva (ES) 2016/1148 ir pašreizējais vispārējais kiberdrošības regulējums Savienības līmenī. No septiņām kritiski svarīgajām nozarēm minētā direktīva attiecas arī uz trim finanšu vienību veidiem, proti, kredītiestādēm, tirdzniecības vietām un centrālajiem darījumu partneriem. Tomēr, tā kā Direktīva (ES) 2016/1148 paredz mehānismu, kā valsts līmenī identificēt pamatpakalpojumu sniedzējus, praksē tās darbības jomā tiek iekļautas tikai dažas kredītiestādes, tirdzniecības vietas un centrālie darījumu partneri, ko noteikušas dalībvalstis un kam tādējādi tiek prasīts ievērot minētajā direktīvā noteiktās IKT drošības un incidentu paziņošanas prasības. (16)Tā kā šī regula paaugstina digitālās noturības komponentu saskaņošanas līmeni, ieviešot prasības attiecībā uz IKT riska pārvaldību un ar IKT saistītu incidentu paziņošanu, kas ir stingrākas salīdzinājumā ar spēkā esošajos Savienības finanšu pakalpojumu tiesību aktos noteiktajām prasībām, tas nozīmē arī lielāku saskaņošanu salīdzinājumā ar Direktīvas (ES) 2016/1148 prasībām. Tādēļ šī regula attiecībā pret Direktīvu (ES) 2016/1148 ir lex specialis. Ir svarīgi saglabāt stingru saikni starp finanšu nozari un Savienības horizontālo kiberdrošības regulējumu, kas nodrošinātu atbilstību dalībvalstu jau pieņemtajām kiberdrošības stratēģijām un ļautu finanšu uzraudzības iestādēm apzināties kiberincidentus, kas ietekmē citas nozares, uz kurām attiecas Direktīva (ES) 2016/1148. (17)Lai nodrošinātu starpnozaru mācību procesu un efektīvi izmantotu citu nozaru pieredzi, risinot kiberdraudus, Direktīvā (ES) 2016/1148 minētajām finanšu vienībām (piemēram, TID sadarbības grupai un CSIRT) vajadzētu būt daļai no minētās direktīvas “ekosistēmas”. EUI un valstu kompetentajām iestādēm attiecīgi vajadzētu būt iespējai piedalīties stratēģiskās politikas apspriedēs un TID sadarbības grupas tehniskajā darbā, attiecīgi apmainoties ar informāciju, un turpmāk sadarboties ar vienotajiem kontaktpunktiem, kas izraudzīti saskaņā ar Direktīvu (ES) 2016/1148. Kompetentajām iestādēm saskaņā ar šo regulu būtu jākonsultējas un jāsadarbojas ar valsts CSIRT, kas izraudzītas saskaņā ar Direktīvas (ES) 2016/1148 9. pantu. (18)Svarīgi ir arī nodrošināt atbilstību Eiropas kritiskās infrastruktūras (EKI) direktīvai, kas pašlaik tiek pārskatīta, lai uzlabotu kritisko infrastruktūru aizsardzību un izturību pret draudiem, kas nav saistīti ar kiberuzbrukumiem, un tas varētu atstāt iespējamu ietekmi uz finanšu nozari. (19)Mākoņdatošanas pakalpojumu sniedzēji ir viena no digitālo pakalpojumu sniedzēju kategorijām, uz ko attiecas Direktīva (ES) 2016/1148. Uz tiem attiecas ex post uzraudzība, ko veic valsts iestādes, kuras izraudzītas saskaņā ar minēto direktīvu, un kas attiecas tikai uz šajā aktā noteiktajām IKT drošības un incidentu paziņošanas prasībām. Tā kā ar šo regulu izveidotā pārraudzības sistēma attiecas uz visām kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, tostarp mākoņdatošanas pakalpojumu sniedzējiem, ja tie sniedz IKT pakalpojumus finanšu vienībām, būtu jāuzskata, ka tā papildina saskaņā ar Direktīvu (ES) 2016/1148 notiekošo uzraudzību. Turklāt ar šo regulu izveidotajai pārraudzības sistēmai būtu jāattiecas uz mākoņdatošanas pakalpojumu sniedzējiem, jo nav Savienības horizontālās nozarneitrālas sistēmas, ar ko izveidotu digitālo pārraudzības iestādi. (20)Lai turpinātu pilnībā kontrolēt IKT riskus, finanšu vienībām ir jābūt visaptverošām spējām, kas nodrošina spēcīgu un efektīvu IKT riska pārvaldību, līdztekus īpašiem mehānismiem un rīcībpolitikai attiecībā uz ziņošanu par incidentiem, kas saistīti ar IKT, IKT sistēmu testēšanu, kontroli un procesiem, kā arī ar trešo personu saistītā IKT riska pārvaldību. Būtu jāpaaugstina finanšu sistēmas digitālās darbības noturības slieksnis, vienlaikus ļaujot samērīgi piemērot prasības finanšu vienībām, kuras ir mikrouzņēmumi saskaņā ar Komisijas Ieteikumā 2003/361/EK lietoto definīciju. (21)Ar IKT saistīto incidentu paziņošanas robežvērtības un taksonomija valstu līmenī ievērojami atšķiras. Lai gan, izmantojot attiecīgo darbu, ko saskaņā ar Direktīvu (ES) 2016/1148 ir paveikusi Eiropas Savienības Kiberdrošības aģentūra (ENISA) un TID sadarbības grupa finanšu vienībām, var radīt kopēju platformu, pārējām finanšu vienībām joprojām pastāv vai var rasties atšķirīgas pieejas attiecībā uz robežvērtībām un taksonomiju. Tas ietver vairākas prasības, kas finanšu vienībām jāievēro, jo īpaši, darbojoties vairākās Savienības jurisdikcijās un finanšu grupas ietvaros. Turklāt šīs atšķirības var kavēt turpmāku vienotu vai centralizētu Savienības mehānismu izveidi, kuri paātrina ziņošanas procesu un atbalsta ātru un vienmērīgu informācijas apmaiņu starp kompetentajām iestādēm, kas ir būtiski IKT risku novēršanai liela mēroga uzbrukumu gadījumā ar potenciāli sistēmiskām sekām. (22)Lai kompetentās iestādes varētu pildīt savus uzraudzības uzdevumus, iegūstot pilnīgu pārskatu par to, kāda ir ar IKT saistīto incidentu būtība, biežums, nozīme un ietekme, un lai veicinātu informācijas apmaiņu starp attiecīgajām valsts iestādēm, tostarp tiesībaizsardzības iestādēm un noregulējuma iestādēm, ir jāparedz noteikumi, ar ko ar IKT saistīto incidentu paziņošanas kārtību papildina ar prasībām, kuru pašlaik trūkst finanšu apakšnozares tiesību aktos, un novērš visus pašreizējos pārklāšanās un dublēšanās gadījumus, lai mazinātu izmaksas. Tādēļ ir svarīgi saskaņot kārtību, kādā tiek ziņots par incidentiem, kas ir saistīti ar IKT, nosakot, ka visām finanšu vienībām ir jāsniedz ziņojumi tikai to kompetentajām iestādēm. Turklāt EUI būtu jāpilnvaro sīkāk noteikt ar IKT saistīto incidentu paziņošanas elementus, piemēram, taksonomiju, termiņus, datu kopas, veidnes un piemērojamās robežvērtības. (23)Digitālās darbības noturības testēšanas prasības ir izstrādātas dažās finanšu apakšnozarēs vairākās nekoordinētās valstu sistēmās, atšķirīgi risinot vienas un tās pašas problēmas. Šādi pārrobežu finanšu vienībām tiek radīta izmaksu dublēšanās, kā arī tiek apgrūtināta rezultātu savstarpējā atzīšana. Līdz ar to nekoordinēta testēšana var sašķelt vienoto tirgu. (24)Turklāt, ja testēšana nav obligāta, neaizsargātība paliek neatklāta, radot lielākus draudus finanšu vienībai un galu galā visas finanšu nozares stabilitātei un integritātei. Bez Savienības iejaukšanās digitālās darbības noturības testēšana arī turpmāk būtu fragmentāra un dažādas jurisdikcijas savstarpēji neatzītu testēšanas rezultātus. Turklāt, tā kā ir maz ticams, ka citas finanšu apakšnozares pieņemtu šādas shēmas nozīmīgā apmērā, tās zaudētu iespējamos ieguvumus, piemēram, neaizsargātības un risku atklāšanu, aizsardzības spēju un darbības nepārtrauktības testēšanu, kā arī klientu, piegādātāju un darījumu partneru lielāku uzticību. Lai novērstu šādu pārklāšanos, atšķirības un nepilnības, ir nepieciešams paredzēt noteikumus, kuru mērķis ir koordinēt finanšu vienību un kompetento iestāžu veikto testēšanu, tādējādi sekmējot nozīmīgu finanšu vienību padziļinātas testēšanas savstarpēju atzīšanu. (25)Finanšu vienību paļaušanos uz IKT pakalpojumiem daļēji nosaka to nepieciešamība pielāgoties jaunai konkurētspējīgai digitālai globālai ekonomikai, celt darījumdarbības efektivitāti un apmierināt klientu pieprasījumu. Šīs paļaušanās būtība un apmērs pēdējo gadu laikā ir pastāvīgi attīstījušies, sekmējot finanšu starpniecības izmaksu samazināšanos, ļaujot paplašināties darījumdarbībai un panākt finanšu pakalpojumu izvietošanas mērogojamību, vienlaikus piedāvājot plašu IKT rīku klāstu sarežģītu iekšējo procesu pārvaldībai. (26)Šo IKT pakalpojumu plašo izmantošanu apliecina sarežģītas līgumiskas vienošanās, kuru kontekstā finanšu vienībām bieži rodas grūtības vienoties par līguma noteikumiem, kas būtu pielāgoti piesardzības standartiem vai citām regulējošām prasībām, kuras tām jāievēro, vai citādi īstenot īpašas tiesības, piemēram, piekļuves tiesības vai revīzijas tiesības, ja vienošanās tādas paredz. Turklāt daudzos šādos līgumos nav paredzēti pietiekami aizsardzības pasākumi, kas ļautu pilnībā uzraudzīt apakšuzņēmuma procesus, tādējādi liedzot finanšu vienībai spēju novērtēt šos saistītos riskus. Turklāt, tā kā trešās personas, kas ir IKT pakalpojumu sniedzējas, bieži sniedz standartizētus pakalpojumus dažādu veidu klientiem, šādi līgumi ne vienmēr pienācīgi apmierina finanšu nozares dalībnieku individuālās vai īpašās vajadzības. (27)Neraugoties uz atsevišķiem vispārīgiem noteikumiem par ārpakalpojumiem, kas iekļauti Savienības tiesību aktos par finanšu pakalpojumiem, līgumiskās dimensijas uzraudzība Savienības tiesību aktos nav pilnībā nostiprināta. Tā kā nav skaidru un pielāgotu Savienības standartu, kas attiektos uz līgumisku vienošanos, kas ir noslēgta ar trešām personām, kas sniedz IKT pakalpojumus, IKT riska ārējais avots nav visaptveroši aplūkots. Tādēļ ir nepieciešams noteikt konkrētus pamatprincipus, pēc kuriem vadās finanšu vienības, veicot ar trešo personu saistītā IKT riska pārvaldību, papildinot tos ar līgumisko pamattiesību kopumu attiecībā uz vairākiem līgumu izpildes un izbeigšanas elementiem, lai nostiprinātu konkrētus minimālos aizsardzības pasākumus, kuri ir pamatā finanšu vienību spējai efektīvi uzraudzīt visus riskus, kuri rodas IKT trešās personas līmenī. (28)Attiecībā uz IKT risku, kas saistīts ar trešo personu, un atkarību no trešās personas piedāvātajiem IKT pakalpojumiem trūkst viendabības un konverģences. Neraugoties uz atsevišķiem centieniem risināt īpašo ārpakalpojumu jomu, piemēram, 2017. gada ieteikumiem par mākoņpakalpojumu sniedzēju ārpakalpojumu izmantošanu, Savienības tiesību aktos gandrīz nav risināts jautājums par sistēmisko risku, ko varētu izraisīt finanšu nozares pakļautība ierobežotam skaitam kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus. Šo nepietiekamību Savienības līmenī saasina tas, ka nav īpaša pilnvarojuma un rīku, kas ļautu valstu uzraugiem gūt labu izpratni par atkarību no trešām personām, kas sniedz IKT pakalpojumus, un pienācīgi uzraudzīt risku, ko rada koncentrēta atkarība no trešām personām, kas sniedz IKT pakalpojumus.

(29)Ņemot vērā iespējamos sistēmiskos riskus, ko rada biežākas ārpakalpojumu izmantošanas prakse un IKT trešo personu koncentrācija, un paturot prātā to, ka nav pietiekamu valstu mehānismu, kas ļautu finanšu uzraudzības iestādēm kvantitatīvi noteikt, kvalificēt un novērst to IKT risku sekas, kuri rodas kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, ir nepieciešams izveidot atbilstīgu Savienības pārraudzības sistēmu, kas ļautu pastāvīgi uzraudzīt to trešo personu, kas sniedz IKT pakalpojumus, darbības, kuri ir kritiski svarīgi pakalpojumu sniedzēji finanšu vienībām. (30)Tā kā IKT apdraudējumi kļūst sarežģītāki un attīstītāki, labi atklāšanas un profilakses pasākumi lielākoties ir atkarīgi no regulāras apdraudējumu un neaizsargātības izlūkdatu apmaiņas starp finanšu vienībām. Informācijas apmaiņa veicina lielāku informētību par kiberdraudiem, kas savukārt uzlabo finanšu vienību spēju novērst draudu pārtapšanu reālos incidentos un ļauj finanšu vienībām labāk ierobežot ar IKT saistīto incidentu ietekmi un efektīvāk novērst to sekas. Nepastāvot Savienības līmeņa norādījumiem, šādu izlūkdatu apmaiņu, šķiet, ir kavējuši vairāki faktori, jo īpaši nenoteiktība attiecībā uz saderību ar datu aizsardzības, pretmonopola un atbildības noteikumiem. (31)Turklāt noderīga informācija tiek noklusēta tādēļ, ka pastāv šaubas par to, kādu informāciju var koplietot ar citiem tirgus dalībniekiem vai iestādēm, kas nav uzraudzības iestādes (piemēram, ENISA attiecībā uz analītiskajiem ievaddatiem vai Eiropolu — tiesībaizsardzības mērķiem). Informācijas apmaiņas apjoms un kvalitāte joprojām ir ierobežoti un sadrumstaloti, attiecīga apmaiņa pārsvarā tiek veikta vietējā līmenī (saskaņā ar valstu iniciatīvām), un nepastāv konsekventa Savienības mēroga informācijas apmaiņas kārtība, kas būtu pielāgota integrētas finanšu nozares vajadzībām. (32)Tādēļ finanšu vienības būtu jāmudina kolektīvi izmantot to individuālās zināšanas un praktisko pieredzi stratēģiskā, taktiskā un darbības līmenī, lai uzlabotu to spējas pienācīgi novērtēt un uzraudzīt kiberdraudus, aizsargāties pret tiem un reaģēt uz tiem. Līdz ar to ir nepieciešams ļaut Savienības līmenī rasties mehānismiem, kuri paredz brīvprātīgu informācijas apmaiņas kārtību un kuri, veikti uzticamā vidē, palīdzēs finanšu kopienai novērst apdraudējumus un kolektīvi reaģēt uz tiem, ātri ierobežojot IKT risku izplatīšanos un kavējot iespējamu izplatīšanos pa finanšu kanāliem. Šie mehānismi būtu jāīsteno, pilnībā ievērojot piemērojamos Savienības konkurences tiesību noteikumus, kā arī tā, lai tiktu garantēta pilnīga Savienības datu aizsardzības noteikumu, galvenokārt Eiropas Parlamenta un Padomes Regulas (ES) 2016/679, ievērošana, jo īpaši saistībā ar minētās regulas 6. panta 1. punkta f) apakšpunktā minēto personas datu apstrādi, kas ir nepieciešama pārziņa vai trešās personas leģitīmo interešu ievērošanai. (33)Neraugoties uz šajā regulā paredzēto plašo darbības jomu, piemērojot digitālās darbības noturības noteikumus, būtu jāņem vērā nozīmīgas atšķirības attiecībā uz finanšu vienību lielumu, darījumdarbības profilu vai pakļautību digitālajam riskam. Vispārīgs princips paredz, ka finanšu vienībām, novirzot resursus un spējas IKT riska pārvaldības sistēmas īstenošanai, ar IKT saistītās vajadzības ir pienācīgi jālīdzsvaro ar to lielumu un darījumdarbības profilu, savukārt kompetentajām iestādēm ir jāturpina vērtēt un pārskatīt šādas sadales pieeja. (34)Tā kā lielākām finanšu vienībām varētu būt vairāk resursu un tās varētu ātri novirzīt līdzekļus pārvaldības struktūru attīstīšanai un dažādu korporatīvo stratēģiju izveidošanai, sarežģītāka pārvaldības kārtība būtu obligāti jāizveido tikai tām finanšu vienībām, kas nav mikrouzņēmumi šīs regulas izpratnē. Šādām vienībām ir lielākas iespējas izveidot īpašas vadības funkcijas, lai uzraudzītu nolīgumus ar trešām personām, kas sniedz IKT pakalpojumus, vai pārvarētu krīzi, organizētu IKT riska pārvaldību atbilstīgi trīs aizsardzības līniju modelim vai pieņemtu cilvēkresursu dokumentu, kurā visaptveroši būtu izskaidrota piekļuves tiesību rīcībpolitika. Šo pašu apsvērumu dēļ tikai šādas finanšu vienības būtu jāaicina veikt padziļinātus novērtējumus pēc būtiskām tīklu un informācijas sistēmu infrastruktūras un procesu izmaiņām, regulāri veikt mantoto IKT sistēmu riska analīzi vai paplašināt darbības nepārtrauktības, reaģēšanas un seku novēršanas plānu testēšanu, lai aptvertu scenārijus, kuros notiek pārslēgšanās starp primāro IKT infrastruktūru un rezerves mehānismiem. (35)Turklāt, tā kā draudu vadīti ielaušanās testi būtu obligāti jāveic tikai tām finanšu vienībām, kas identificētas kā nozīmīgas padziļinātās digitālās darbības noturības testēšanas mērķiem, ar šādu testu veikšanu saistītie administratīvie procesi un finansiālās izmaksas būtu jāsedz nelielam skaitam finanšu vienību. Visbeidzot, lai mazinātu regulatīvo slogu, tikai tām finanšu vienībām, kas nav mikrouzņēmumi, būtu jālūdz regulāri ziņot kompetentajām iestādēm par visām izmaksām un zaudējumiem, ko radījuši IKT traucējumi, un pēc būtiskiem IKT traucējumiem veiktās pēcincidentu pārskatīšanas rezultātiem. (36)Lai nodrošinātu pilnīgu saskaņotību un kopējo vienveidību starp finanšu vienību darījumdarbības stratēģijām, no vienas puses, un IKT riska pārvaldības veikšanu, no otras puses, vadības struktūrai ir jāsaglabā nozīmīga un aktīva loma IKT riska pārvaldības sistēmas un kopējās digitālās darbības noturības stratēģijas vadībā un pielāgošanā. Vadības struktūras pieejai ir jābūt ne tikai vērstai uz to, kā nodrošināt IKT sistēmu noturību, bet arī jāaptver cilvēki un procesi, izmantojot rīcībpolitikas pasākumu kopumu, kas katrā korporatīvās vadības un personāla līmenī kultivē augstu informētību par kiberriskiem un apņemšanos visos līmeņos ievērot stingru kiberhigiēnu. Vadības struktūras galīgajai atbildībai par finanšu vienības IKT risku pārvaldību ir jābūt šādas visaptverošas pieejas virsprincipam, kas tālāk izpaužas kā vadības struktūras pastāvīga iesaiste IKT riska pārvaldības uzraudzības kontrolē. (37)Turklāt vadības struktūras pilnīga atbildība iet roku rokā ar tāda IKT ieguldījumu līmeņa un kopējā finanšu vienības budžeta nodrošināšanu, lai būtu iespējams sasniegt digitālās darbības noturības pamatscenāriju. (38)Pamatojoties uz attiecīgiem starptautiskiem, nacionāliem un nozares noteiktiem standartiem, pamatnostādnēm, ieteikumiem vai pieejām kiberdraudu pārvaldībai, šī regula veicina funkciju kopumu, kas sekmē IKT riska pārvaldības vispārējo strukturēšanu. Ja galvenās spējas, ko ievieš finanšu vienības, apmierina šajā regulā noteikto funkciju (identifikācijas, aizsardzības un profilakses, atklāšanas, reaģēšanas un seku novēršanas, mācīšanās un attīstības, saziņas) mērķu vajadzības, finanšu vienības arī turpmāk varēs izmantot dažādi formulētus vai citā kategorijā iekļautus IKT riska pārvaldības modeļus. (39)Lai neatpaliktu no strauji mainīgās kiberdraudu vides, finanšu vienībām būtu jāuztur atjauninātas IKT sistēmas, kas ir uzticamas un kam ir pieejama pietiekama jauda, lai ne tikai garantētu darbu veikšanai nepieciešamo datu apstrādi, bet arī nodrošinātu tehnoloģisko noturību, ļaujot finanšu vienībām pienācīgi tikt galā ar nepieciešamo papildu apstrādi, ko var radīt saspringti tirgus apstākļi vai citas nelabvēlīgas situācijas. Lai gan šī regula neparedz konkrētu IKT sistēmu, instrumentu vai tehnoloģiju standartizāciju, tā balstās uz Eiropas un starptautiski atzītu tehnisko standartu (piemēram, ISO) vai nozares labākās prakses piemērotu izmantošanu finanšu vienībās, ciktāl šāda izmantošana pilnībā atbilst īpašiem uzraudzības norādījumiem par starptautisko standartu izmantošanu un iekļaušanu. (40)Ir nepieciešami efektīvi darbības nepārtrauktības un seku novēršanas plāni, lai finanšu vienības varētu nekavējoties un ātri atrisināt ar IKT saistītos incidentus, jo īpaši kiberuzbrukumus, ierobežojot kaitējumu un dodot priekšroku darbību atsākšanai un seku novēršanas darbībām. Tomēr, lai gan rezerves sistēmām apstrāde būtu jāsāk bez nepamatotas kavēšanās, šī uzsākšana nekādi nedrīkstētu apdraudēt tīklu un informācijas sistēmu integritāti un drošību vai datu konfidencialitāti. (41)Lai gan šī regula ļauj finanšu vienībām elastīgi konstatēt mērķus attiecībā uz seku novēršanas termiņiem un līdz ar to noteikt šādus mērķus, pilnībā ņemot vērā attiecīgās funkcijas būtību un kritisko svarīgumu, kā arī jebkādas specifiskās darījumdarbības vajadzības, mērķu noteikšanas procesā būtu nepieciešams izvērtēt arī iespējamo kopējo ietekmi uz tirgus efektivitāti. (42)Kiberuzbrukumu būtiskās sekas tiek pastiprinātas gadījumos, kad tie notiek finanšu nozarē — jomā, kam ir daudz lielāks risks kļūt par mērķi ļaunprātīgiem izplatītājiem, kuri vēlas gūt finansiālu labumu tieši līdzekļu izcelsmes vietā. Lai mazinātu šādus riskus un novērstu, ka IKT sistēmas zaudē integritāti vai kļūst nepieejamas, tiek piekļūts konfidenciāliem datiem vai nodarīts kaitējums fiziskajai IKT infrastruktūrai, būtu ievērojami jāuzlabo finanšu vienību ziņošana par būtiskiem ar IKT saistītiem incidentiem. Ar IKT saistītu incidentu paziņošana attiecībā uz visām finanšu vienībām būtu jāsaskaņo, nosakot tām pienākumu ziņot tikai to kompetentajām iestādēm. Lai gan šī ziņošana attiektos uz visām finanšu vienībām, tai nebūtu vienādi jāskar tās visas, jo attiecīgās būtiskuma robežvērtības un termiņi būtu jāpielāgo tā, lai aptvertu vienīgi būtiskus ar IKT saistītus incidentus. Tieša ziņošana ļautu finanšu uzraudzības iestādēm piekļūt informācijai par incidentiem, kas saistīti ar IKT. Tomēr finanšu uzraudzības iestādēm šī informācija būtu jānodod ar finansēm nesaistītām publiskām iestādēm (TID kompetentajām iestādēm, valsts datu aizsardzības iestādēm un tiesībaizsardzības iestādēm, ja incidents ir bijis krimināla rakstura). Informācijai par incidentiem, kas saistīti ar IKT, būtu jāplūst abpusēji: finanšu uzraudzības iestādēm būtu jāsniedz finanšu vienībai visa nepieciešamā atgriezeniskā saite vai norādījumi, savukārt EUI būtu jādalās ar anonimizētiem datiem par apdraudējumiem un neaizsargātību, kas saistīti ar notikumu, lai palīdzētu veidot kolektīvo aizsardzību plašākā nozīmē. (43)Būtu jāparedz tālākas pārdomas par to, kā varētu centralizēt ar IKT saistīto incidentu paziņošanu, izmantojot vienotu centralizētu ES centrmezglu, kas vai nu tieši saņemtu attiecīgos ziņojumus un automātiski informētu valstu kompetentās iestādes, vai centralizētu valstu kompetento iestāžu pārsūtītos ziņojumus un pildītu koordinācijas funkciju. EUI būtu jānosaka pienākums, apspriežoties ar ECB un ENISA, līdz noteiktam datumam izstrādāt kopīgu ziņojumu, kurā būtu izvērtēta šāda centralizēta ES centrmezgla izveides iespējamība. (44)Lai panāktu stabilu digitālās darbības noturību, kā arī ievērojot starptautiskos standartus (piemēram, G7 draudu vadītas ielaušanās testēšanas pamatelementus), finanšu vienībām būtu regulāri jātestē savu IKT sistēmu un personāla preventīvo, atklāšanas, reaģēšanas un seku novēršanas spēju efektivitāte, lai atklātu un risinātu potenciālo IKT neaizsargātību. Lai reaģētu uz finanšu apakšnozaru starpā un to iekšienē pastāvošajām atšķirībām saistībā ar finanšu vienību sagatavotību kiberdrošības jomā, testēšanā jāietver dažādi rīki un darbības, sākot no pamatprasību novērtēšanas (piemēram, neaizsargātības novērtējumi un skenēšana, atklātā pirmkoda analīze, tīkla drošības novērtējumi, nepilnību analīze, fiziskās drošības pārbaudes, anketas un skenēšanas programmatūras risinājumi, pirmkodu pārskatīšana (ja iespējams), uz scenārijiem balstīti testi, saderības testēšana, veiktspējas testēšana, testēšana “no gala līdz galam”) līdz padziļinātai testēšanai (piem., DVIT tādām finanšu vienībām, kuru IKT sagatavotība ir pietiekama, lai tās varētu veikt šādus testus). Tādēļ nozīmīgām finanšu vienībām (piem., lielām kredītiestādēm, biržām, centrālajiem vērtspapīru depozitārijiem, centrālajiem darījumu partneriem utt.) digitālās darbības noturības testēšanai būtu jābūt prasīgākai. Vienlaikus digitālās darbības noturības testēšanas nozīmei būtu jābūt lielākai arī dažās apakšnozarēs, kam ir svarīga sistēmiska loma (piem., maksājumi, banku darbība, tīrvērte un norēķini), bet mazākai — citās apakšnozarēs (piem., aktīvu pārvaldītāji, kredītreitingu aģentūras utt.). Pārrobežu finanšu vienībām, kas izmanto savu brīvību veikt uzņēmējdarbību vai sniegt pakalpojumus Savienībā, vajadzētu ievērot vienotu padziļinātas testēšanas prasību kopumu (piemēram, DVIT) savā piederības dalībvalstī, un šajā testā būtu jāiekļauj IKT infrastruktūra visās jurisdikcijās, kurās pārrobežu grupa darbojas Savienībā, tādējādi pieļaujot, ka pārrobežu grupām testēšanas izmaksas rodas tikai vienā jurisdikcijā. (45)Lai nodrošinātu ar trešo personu saistītā IKT riska stabilu uzraudzību, ir nepieciešams paredzēt uz principiem balstītu noteikumu kopumu, lai vadītu finanšu vienību veikto tāda riska uzraudzību, kas rodas saistībā ar funkciju nodošanu ārpakalpojumā trešām personām, kas sniedz IKT pakalpojumus, un vispārīgāk — saistībā ar atkarību no trešām personām, kas sniedz IKT pakalpojumus.

(46)Finanšu vienībai nepārtraukti jābūt pilnībā atbildīgai par šajā regulā paredzēto pienākumu izpildi. Samērīga uzraudzība riskam, kurš rodas trešām personām, kas IKT pakalpojumus, būtu jāorganizē, pienācīgi ņemot vērā ar IKT saistītās atkarības mērogu, sarežģītību un nozīmi, to pakalpojumu, procesu vai funkciju kritiskumu vai svarīgumu, uz kuriem attiecas līgumiskas vienošanās, un galu galā attiecīgos gadījumos — pamatojoties uz rūpīgu novērtējumu par iespējamo ietekmi uz finanšu pakalpojumu nepārtrauktību un kvalitāti individuālajā un grupas līmenī. (47)Šādā uzraudzībā būtu jāievēro stratēģiska pieeja ar trešo personu saistītajam IKT riskam, kas tiek formalizēta, finanšu vienības vadības struktūrai pieņemot īpašu stratēģiju, kas balstās visu šādu atkarību no trešām personām, kas sniedz IKT pakalpojumus, pastāvīgā izvērtēšanā. Lai uzlabotu uzraugu informētību par atkarību no trešām personām, kas sniedz IKT pakalpojumus, un papildus atbalstītu ar šo regulu izveidoto pārraudzības sistēmu, finanšu uzraudzības iestādēm būtu regulāri jāsaņem nozīmīga informācija no reģistriem un jāspēj ad hoc kārtībā pieprasīt izrakstus no tiem. (48)Padziļinātai analīzei pirms līguma noslēgšanas vajadzētu būt līgumiskas vienošanās oficiālas noslēgšanas pamatā un jānotiek pirms tās, savukārt līgumu izbeigšana būtu jāizraisa vismaz tādu apstākļu kopumam, kas liecina par trešās personas, kas sniedz IKT pakalpojumus, nepilnībām. (49)Lai risinātu ar trešo personu saistītā IKT koncentrācijas riska sistēmisko ietekmi, būtu jāsekmē līdzsvarots risinājums, izmantojot elastīgu un pakāpenisku pieeju, jo neelastīgas robežvērtības vai stingri ierobežojumi var kavēt darījumdarbības veikšanu un līgumslēgšanas brīvību. Finanšu vienībām būtu rūpīgi jāizvērtē līgumiskas vienošanās, lai noteiktu šāda riska rašanās iespējamību, tostarp veicot padziļinātu analīzi par ārpakalpojumu tālākas deleģēšanas līgumiem, jo īpaši, ja tie noslēgti ar trešā valstī reģistrētām trešām personām, kas sniedz IKT pakalpojumus. Šajā posmā un nolūkā panākt taisnīgu līdzsvaru starp līgumu slēgšanas brīvības saglabāšanu un finanšu stabilitātes garantēšanu nav lietderīgi paredzēt stingras robežvērtības un ierobežojumus pakļautībai ar trešo personu saistītam IKT riskam. EUI, kas izraudzīta veikt pārraudzību attiecībā uz katru kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus (“galvenais pārraugs”), pildot pārraudzības uzdevumus, īpašu uzmanību pievērš tam, lai pilnībā aptvertu savstarpējo atkarību apjomu un atklātu konkrētus gadījumus, kad kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, augsta koncentrācija Savienībā varētu radīt spiedienu uz Savienības finanšu sistēmas stabilitāti un integritāti, un tā vietā būtu jānodrošina dialogs ar kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus, ja šāds risks ir identificēts. (50)Lai varētu izvērtēt un regulāri uzraudzīt trešās personas, kas sniedz IKT pakalpojumus, spēju droši sniegt pakalpojumus finanšu vienībai, nelabvēlīgi neietekmējot tās noturību, ir jāsaskaņo galvenie līgumiskie elementi visā ar trešām personām, kas sniedz IKT pakalpojumus, noslēgto līgumu izpildes laikā. Šie elementi aptver tikai minimālos līgumiskos aspektus, kas tiek uzskatīti par svarīgiem, lai ļautu finanšu vienībai pilnībā uzraudzīt to, kā tiek nodrošināta tās digitālās darbības noturība, kas ir atkarīga no IKT pakalpojuma stabilitātes un drošības. (51)Ar līgumisku vienošanos jo īpaši būtu jānosaka visu funkciju un pakalpojumu pilnīgs apraksts, funkciju sniegšanas un datu apstrādes vieta, kā arī jānorāda pilni pakalpojumu līmeņa apraksti, kam pievienoti kvantitatīvi un kvalitatīvi darbības mērķi atbilstīgi nolīgtajiem pakalpojumu līmeņiem, kas ļauj finanšu vienībai efektīvi veikt uzraudzību. Attiecībā uz finanšu vienības spēju nodrošināt ar trešo personu saistītā riska uzraudzību par būtiskiem elementiem tāpat būtu jāuzskata noteikumi par piekļūstamību, pieejamību, integritāti, drošību un personas datu aizsardzību, kā arī garantijas attiecībā uz piekļuvi, atgūšanu un atgriešanu trešās personas, kas sniedz IKT pakalpojumus, maksātnespējas, noregulējuma vai darījumdarbības izbeigšanas gadījumā. (52)Lai nodrošinātu, ka finanšu vienības turpina pilnībā kontrolēt visu notikumu attīstību, kas varētu ietekmēt to IKT drošību, ir jānosaka trešās personas, kas sniedz IKT pakalpojumus, saistoši paziņošanas termiņi un ziņošanas pienākumi, ja iestājušies notikumi, kas varētu būtiski ietekmēt trešās personas, kas sniedz IKT pakalpojumus, spēju efektīvi veikt kritiski svarīgas vai svarīgas funkcijas, ieskaitot tā sniegtu palīdzību ar IKT saistīta incidenta gadījumā bez papildu maksas vai par iepriekš noteiktu maksu. (53)Finanšu vienības vai tās ieceltas trešās personas piekļuves, pārbaudes un revīzijas tiesības ir svarīgi rīki finanšu vienības veiktās trešās personas, kas sniedz IKT pakalpojumus, darbības rezultātu pastāvīgās uzraudzības procesā, ko papildina tā pilnīga sadarbība pārbaužu laikā. Arī finanšu vienības kompetentajai iestādei būtu jābūt šādām tiesībām ar iepriekšēju paziņojumu pārbaudīt trešās personas, kas sniedz IKT pakalpojumus, un veikt tā revīziju, ievērojot konfidencialitāti. (54)Ar līgumisku vienošanos būtu jāparedz skaidri noteiktas izbeigšanas tiesības un ar tām saistīti minimālie paziņošanas termiņi, kā arī atsevišķas atkāpšanās stratēģijas, kas jo īpaši ļauj noteikt obligātus pārejas periodus, kuros trešās personas, kas sniedz IKT pakalpojumus, turpina nodrošināt attiecīgās funkcijas ar mērķi mazināt traucējumu risku finanšu vienības līmenī vai ļauj tai efektīvi pāriet pie citas trešās personas, kas sniedz IKT pakalpojumus, vai arī izmantot uz vietas nodrošinātus risinājumus atbilstīgi sniegtā pakalpojuma sarežģītībai. (55)Turklāt, brīvprātīgi izmantojot līguma standartklauzulas, kuras Komisija izstrādājusi attiecībā uz mākoņdatošanas pakalpojumu izmantošanu, var nodrošināt papildu drošību finanšu vienībām un to trešām personām, kas sniedz IKT pakalpojumus, uzlabojot juridisko noteiktību attiecībā uz mākoņdatošanas pakalpojumu izmantošanu finanšu nozarē un to pilnībā saskaņojot ar Finanšu pakalpojumu regulas prasībām un gaidām. Šis darbs balstās uz pasākumiem, kas tika paredzēti jau 2018. gada Finanšu tehnoloģijas rīcības plānā, kurā tika izziņots Komisijas nodoms atbalstīt un veicināt līgumu standartklauzulu izstrādi finanšu vienību darbību uzticēšanai ārējiem mākoņdatošanas pakalpojumu sniedzējiem, par pamatu izmantojot starpnozaru mākoņdatošanas pakalpojumu jomas ieinteresēto personu centienus, ko Komisija ar finanšu nozares iesaisti ir veicinājusi. (56)Lai veicinātu konverģenci un efektivitāti attiecībā uz uzraudzības pieejām ar trešo personu saistītajam IKT riskam finanšu nozarē, stiprinātu to finanšu vienību digitālās darbības noturību, kuras darbības funkciju veikšanā paļaujas uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, un tādējādi palīdzētu saglabāt Savienības finanšu sistēmas stabilitāti un finanšu pakalpojumu vienotā tirgus integritāti, kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, būtu jāpiemēro Savienības pārraudzības sistēma. (57)Tā kā tikai pret kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, ir nepieciešama īpaša attieksme, būtu jāievieš izraudzīšanās mehānisms Savienības pārraudzības sistēmas piemērošanai, lai ņemtu vērā, kādā apmērā un veidā finanšu nozare paļaujas uz šādām trešām personām, kas sniedz IKT pakalpojumus, un uz tā pamata būtu jāveido kvantitatīvu un kvalitatīvu kritēriju kopums, kas noteiktu svarīguma parametrus kā pamatu pakļaušanai pārraudzībai. Kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus, kas netiek automātiski izraudzīti, piemērojot minētos kritērijus, vajadzētu būt iespējai brīvprātīgi pievienoties pārraudzības sistēmai, savukārt tās trešās personas, kas sniedz IKT pakalpojumus, uz kurām jau attiecas Eirosistēmas līmenī izveidotie pārraudzības mehānismi, kuru mērķis ir atbalstīt Līguma par Eiropas Savienības darbību 127. panta 2. punktā minētos uzdevumus, attiecīgi būtu jāatbrīvo. (58)Prasība, ka kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, jābūt juridiski nodibinātiem Savienībā, neparedz datu lokalizāciju, jo šī regula neparedz nekādas papildu prasības attiecībā uz datu uzglabāšanas vai apstrādes veikšanu Savienībā. (59)Šim regulējumam nevajadzētu skart dalībvalstu kompetenci veikt savus pārraudzības uzdevumus attiecībā uz trešām personām, kas sniedz IKT pakalpojumus, kuri nav kritiski svarīgi saskaņā ar šo regulu, bet kurus var uzskatīt par svarīgiem valsts līmenī. (60)Lai izmantotu finanšu pakalpojumu jomas pašreizējo daudzslāņaino institucionālo struktūru, EUI Apvienotajai komitejai būtu jāturpina nodrošināt vispārēju starpnozaru koordināciju attiecībā uz visiem ar IKT risku saistītajiem jautājumiem saskaņā ar tās uzdevumiem kiberdrošības jomā, un tā jāatbalsta jaunai apakškomitejai (Pārraudzības forumam), kas veic sagatavošanās darbus gan attiecībā uz atsevišķām kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, adresētiem lēmumiem, gan kolektīviem ieteikumiem, jo īpaši par kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārraudzības programmu salīdzinošo novērtēšanu un IKT koncentrācijas riska jautājumu risināšanas labākās prakses noteikšanu. (61)Lai nodrošinātu, ka trešās personas, kas sniedz IKT pakalpojumus, kam ir kritiski svarīga loma finanšu nozares darbībā, ir samērīgi pārraudzīti Savienības mērogā, viena no EUI būtu jāizraugās par katras kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, galveno pārraugu. (62)Galvenajiem pārraugiem vajadzētu būt vajadzīgajām pilnvarām veikt kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, izmeklēšanu un pārbaudes uz vietas un neklātienē, piekļūt visām attiecīgajām telpām un atrašanās vietām un iegūt pilnīgu un atjauninātu informāciju, lai tie varētu iegūt patiesu priekšstatu par finanšu vienībām un Savienības finanšu sistēmai radīto, ar trešo personu saistīto IKT risku pēc tā veida, apmēra un ietekmes. Galvenās pārraudzības uzticēšana EUI ir priekšnoteikums, lai novērtētu un risinātu IKT riska sistēmisko dimensiju finanšu jomā. Kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, ietekme Savienības mērogā un ar to saistītie iespējamie IKT koncentrācijas riska jautājumi mudina izvēlēties kolektīvu pieeju, kas tiek īstenota Savienības līmenī. Vairākkārtēju revīziju un piekļuves tiesību īstenošana, ko nošķirti veic daudzas kompetentās iestādes, koordinējot centienus maz vai nemaz, neradītu pilnīgu pārskatu par IKT risku, kas saistīts ar trešo personu, vienlaikus radot nevajadzīgu dublēšanos, slogu un sarežģītību kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, kuri saskaras ar šādiem daudziem pieprasījumiem. (63)Turklāt galvenajiem pārraugiem būtu jāspēj sniegt ieteikumus par IKT riska jautājumiem un piemērotiem novēršanas pasākumiem, ieskaitot iebildumus pret konkrētu līgumisku vienošanos, kas ietekmē finanšu vienības vai finanšu sistēmas stabilitāti. Valstu kompetentajām iestādēm kā daļa no finanšu vienību prudenciālās uzraudzības funkcijas būtu pienācīgi jāņem vērā galveno pārraugu sniegto būtisko ieteikumu ievērošana. (64)Pārraudzības sistēma neaizstāj, kā arī nekādā veidā un daļā neaizvieto finanšu vienību veikto tāda riska pārvaldību, ko rada trešo personu, kas sniedz IKT pakalpojumus, izmantošana, tostarp pienākumu pastāvīgi uzraudzīt līgumiskas vienošanās, kas noslēgtas ar kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, un neietekmē finanšu vienību pilnu atbildību par visu no šīs regulas un attiecīgajiem finanšu pakalpojumu tiesību aktiem izrietošo prasību ievērošanu un to izpildi. Lai izvairītos no dublēšanās un pārklāšanās, kompetentajām iestādēm būtu jāatturas individuāli veikt pasākumus, kuru mērķis ir uzraudzīt kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, riskus. Jebkurš šāds pasākums iepriekš būtu jākoordinē un par to jāvienojas saistībā ar pārraudzības sistēmu.

(65)Lai starptautiskā līmenī veicinātu konverģenci attiecībā uz labāko praksi, ko izmanto, pārskatot trešo personu, kas sniedz IKT pakalpojumus, digitālo riska pārvaldību, EUI būtu jāmudina noslēgt sadarbības nolīgumus ar attiecīgajām uzraudzības un regulatīvajām trešo valstu kompetentajām iestādēm, lai veicinātu ar trešo personu saistītā IKT riska novēršanas labākās prakses izstrādi. (66)Lai apkopotu kompetento iestāžu ekspertu tehniskās zināšanas par operacionālā un IKT riska pārvaldību, galvenajiem pārraugiem būtu jāizmanto valstu uzraudzības pieredze un jāizveido īpašas pārbaudes grupas katrai atsevišķai kritiski svarīgai trešai personai, kas sniedz IKT pakalpojumus, apvienojot daudznozaru grupas, lai tās atbalstītu gan pārraudzības pasākumu sagatavošanu, gan faktisko izpildi, tostarp kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārbaudes uz vietas, kā arī pēc tam veicot vajadzīgos turpmākos pasākumus. (67)Kompetentajām iestādēm jābūt visām nepieciešamajām uzraudzības, izmeklēšanas un sankciju pilnvarām, lai nodrošinātu šīs regulas piemērošanu. Administratīvie sodi principā būtu jāpublicē. Tā kā finanšu vienības un trešās personas, kas sniedz IKT pakalpojumus, var būt nodibināti dažādās dalībvalstīs un tos var uzraudzīt dažādas nozares kompetentās iestādes, būtu jānodrošina cieša sadarbība starp attiecīgajām kompetentajām iestādēm, tostarp ar ECB attiecībā uz īpašiem uzdevumiem, ko tai uztic saskaņā ar Padomes Regulu (ES) Nr. 1024/2013, un ar EUI, veicot savstarpēju informācijas apmaiņu un sniedzot palīdzību saistībā ar uzraudzības darbībām. (68)Lai turpinātu kvantitatīvi un kvalitatīvi raksturot kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, izraudzīšanās kritērijus un saskaņotu pārraudzības maksas, Komisijai būtu jādeleģē pilnvaras pieņemt aktus saskaņā ar Līguma par Eiropas Savienības darbību 290. pantu attiecībā uz: tādas sistēmiskas ietekmes tālāku precizēšanu, ko trešās personas, kas sniedz IKT pakalpojumus, darbība varētu radīt finanšu vienībām, kuras tas apkalpo, globālo sistēmiski nozīmīgo iestāžu (G-SNI) vai citu sistēmiski nozīmīgu iestāžu (C-SNI), kas paļaujas uz attiecīgo trešo personu, kas sniedz IKT pakalpojumus, skaitu, aktīvu trešo personu, kas sniedz IKT pakalpojumus, skaitu konkrētā tirgū, izmaksām, kas saistītas ar pāriešanu pie citas trešās personas, kas sniedz IKT pakalpojumus, to dalībvalstu skaitu, kurās darbojas attiecīgā trešā persona, kas sniedz IKT pakalpojumus, un kurās darbojas finanšu vienības, kas izmanto attiecīgo trešo personu, kas sniedz IKT pakalpojumus, kā arī pārraudzības maksu apmēru un to, kādā veidā tās ir jāmaksā. Ir īpaši būtiski, lai Komisija, veicot sagatavošanas darbus, rīkotu atbilstīgas apspriešanās, tostarp ekspertu līmenī, un lai minētās apspriešanās tiktu rīkotas saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu. Jo īpaši, lai deleģēto aktu sagatavošanā nodrošinātu vienādu dalību, Eiropas Parlaments un Padome visus dokumentus saņem vienlaicīgi ar dalībvalstu ekspertiem, un minēto iestāžu ekspertiem ir sistemātiska piekļuve Komisijas ekspertu grupu sanāksmēm, kurās notiek deleģēto aktu sagatavošana. (69)Tā kā šī regula kopā ar Eiropas Parlamenta un Padomes Direktīvu (ES) Nr. 20xx/xx paredz konsolidēt IKT riska pārvaldības noteikumus, kas ir iekļauti vairākās Savienības finanšu pakalpojumu jomas acquis regulās un direktīvās, tostarp Regulā (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014 un (ES) Nr. 909/2014, lai nodrošinātu pilnīgu konsekvenci, šīs regulas būtu jāgroza, lai precizētu, ka šajā regulā ir paredzēti attiecīgie ar IKT risku saistītie noteikumi. Tehniskajiem standartiem būtu jānodrošina šajā regulā noteikto prasību konsekventa saskaņošana. EUI kā struktūras, kam ir ļoti specializētas zināšanas, būtu jāpilnvaro izstrādāt un iesniegt Komisijai ar politikas izvēlēm nesaistītu regulatīvu tehnisko standartu projektus. Būtu jāizstrādā regulatīvie tehniskie standarti tādās jomās kā IKT riska pārvaldība, ziņošana, testēšana un galvenās prasības ar trešo personu saistīta IKT riska stabilai uzraudzībai. (70)Ir īpaši būtiski, lai Komisija, veicot sagatavošanās darbus, rīkotu atbilstīgu apspriešanos, tostarp ekspertu līmenī. Komisijai un EUI būtu jānodrošina, lai visas finanšu vienības varētu piemērot minētos standartus un prasības tā, lai piemērošana būtu samērīga ar minēto vienību darbības veidu, mērogu un sarežģītību. (71)Lai atvieglotu ar IKT saistītu būtisku incidentu ziņojumu salīdzināmību un nodrošinātu pārredzamību attiecībā uz līgumisku vienošanos par tādu IKT pakalpojumu izmantošanu, ko sniedz trešās personas, kas sniedz IKT pakalpojumus, EUI būtu jāpilnvaro izstrādāt īstenošanas tehnisko standartu projektus, ar kuriem izveido standartizētas veidnes, veidlapas un procedūras finanšu vienībām, lai ziņotu par būtiskiem ar IKT saistītiem incidentiem, kā arī standartizētas veidnes informācijas reģistram. Izstrādājot šos standartus, EUI jāņem vērā finanšu vienību lielums un sarežģītība, kā arī to darbības veida būtība un riska līmenis. Komisija būtu jāpilnvaro pieņemt šādus īstenošanas tehniskos standartus, pieņemot īstenošanas aktus saskaņā ar LESD 291. pantu un attiecīgi saskaņā ar Regulas (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010 15. pantu. Tā kā papildu prasības jau ir noteiktas ar deleģētiem un īstenošanas aktiem, kuru pamatā ir attiecīgi Regulās (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014 un (ES) Nr. 909/2014 paredzētie tehniskie normatīvie un īstenošanas tehniskie standarti, ir lietderīgi pilnvarot EUI individuāli vai kopīgi ar Apvienotās komitejas starpniecību iesniegt Komisijai regulatīvos un īstenošanas tehniskos standartus, lai pieņemtu deleģētos un īstenošanas aktus, ar kuriem īsteno un atjaunina esošos IKT riska pārvaldības noteikumus. (72)Šis uzdevums būs saistīts ar spēkā esošo deleģēto un īstenošanas aktu, kas pieņemti dažādās finanšu pakalpojumu tiesību aktu jomās, vēlāku grozīšanu. Būtu jāgroza darbības joma pantiem par operacionālo risku, uz kuru pamata ar minētajiem aktiem ir piešķirtas pilnvaras pieņemt deleģētos un īstenošanas aktus, lai šajā regulā iekļautu visus noteikumus, kas attiecas uz digitālās darbības noturību un kas pašlaik ir minēto regulu sastāvdaļa. (73)Ņemot vērā to, ka šīs regulas mērķi — proti, visām finanšu vienībām piemērojama augsta digitālās darbības noturības līmeņa sasniegšanu — nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, jo ir jāsaskaņo liels daudzums atšķirīgu noteikumu, kas šobrīd pastāv vai nu atsevišķos Savienības aktos, vai dažādu dalībvalstu tiesību sistēmās, bet tā mēroga un iedarbības dēļ minēto mērķi var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā regulā paredz vienīgi tos pasākumus, kas ir vajadzīgi šā mērķa sasniegšanai, IR PIEŅĒMUŠI ŠO REGULU. I NODAĻA Vispārīgi nosacījumi 1. pants Priekšmets 1.Šajā regulā ir noteiktas šādas vienotas prasības attiecībā uz tādu tīklu un informācijas sistēmu drošību, kas atbalsta finanšu vienību darījumdarbības procesus, kuri nepieciešami augsta kopējā digitālās darbības noturības līmeņa sasniegšanai: (a)finanšu vienībām piemērojamās prasības attiecībā uz: –informācijas un komunikācijas tehnoloģiju (IKT) riska pārvaldību; –ziņošanu kompetentajām iestādēm par būtiskiem ar IKT saistītiem incidentiem;

–digitālās darbības noturības testēšanu; –ar kiberdraudiem un neaizsargātību saistītu informācijas un izlūkdatu apmaiņu; –pasākumiem, ar kuriem finanšu vienības stabili pārvalda ar trešām personām saistīto IKT risku; (b)prasības attiecībā uz līgumisku vienošanos, kas noslēgta starp trešām personām, kas sniedz IKT pakalpojumus, un finanšu vienībām; (c)to trešo personu pārraudzības sistēma, kas sniedz kritiski svarīgus IKT pakalpojumus, gadījumiem, kad tās sniedz pakalpojumus finanšu vienībām; (d)kompetento iestāžu sadarbības noteikumi un kompetento iestāžu uzraudzības un izpildes noteikumi attiecībā uz visiem jautājumiem, uz kuriem attiecas šī regula. 2.Attiecībā uz finanšu vienībām, kas noteiktas kā pamatpakalpojumu sniedzēji saskaņā ar valsts noteikumiem, ar kuriem transponē Direktīvas (ES) 2016/1148 5. pantu, šo regulu skata kā uz konkrētu nozari attiecināmu Savienības tiesību aktu minētās direktīvas 1. panta 7. punkta nozīmē. 2. pants Darbības joma attiecībā uz personām 1.Šo regulu piemēro šādām vienībām: (e)kredītiestādēm; (f)maksājumu iestādēm; (g)elektroniskās naudas iestādēm; (h)ieguldījumu brokeru sabiedrībām; (i)kriptoaktīvu pakalpojumu sniedzējiem, kriptoaktīvu emitentiem, aktīviem piesaistītu tokenu emitentiem un nozīmīgu aktīviem piesaistītu tokenu emitentiem; (j)centrālajiem vērtspapīru depozitārijiem; (k)centrālajiem darījumu partneriem; (l)tirdzniecības vietām; (m)darījumu reģistriem; (n)alternatīvo ieguldījumu fondu pārvaldniekiem;

(o)pārvaldības sabiedrībām; (p)datu ziņošanas pakalpojumu sniedzējiem; (q)apdrošināšanas un pārapdrošināšanas sabiedrībām; (r)apdrošināšanas starpniekiem, pārapdrošināšanas starpniekiem un apdrošināšanas papildpakalpojuma starpniekiem; (s)arodpensiju iestādēm; (t)kredītreitingu aģentūrām; (u)obligātajiem revidentiem un revīzijas uzņēmumiem; (v)kritiski svarīgu etalonu administratoriem; (w)kolektīvās finansēšanas pakalpojumu sniedzējiem; (x)vērtspapīrošanas repozitorijiem; (y)trešām personām, kas sniedz IKT pakalpojumus. 2.Šā panta 1. punkta a)–t) apakšpunktā minētās vienības šajā regulā kopā sauc par “finanšu vienībām”. 3. pants Definīcijas Šajā regulā piemēro šādas definīcijas: (1)“digitālās darbības noturība” ir finanšu vienības spēja veidot, nodrošināt un pārskatīt savu darbības integritāti no tehnoloģiskā viedokļa, tieši vai netieši, izmantojot IKT pakalpojumus, ko sniedz trešās personas, nodrošinot visas ar IKT saistītās iespējas, kas vajadzīgas, lai risinātu finanšu vienības izmantoto tīklu un informācijas sistēmu drošību, un kas atbalsta finanšu pakalpojumu nepārtrauktu sniegšanu un to kvalitāti; (2)“tīklu un informācijas sistēma” ir tīklu un informācijas sistēma, kā definēts Direktīvas (ES) 2016/1148 4. panta 1. punktā; (3)“tīklu un informācijas sistēmu drošība” ir tīklu un informācijas sistēmu drošība, kā definēts Direktīvas (ES) 2016/1148 4. panta 2. punktā; (4)“IKT risks” ir jebkāds ar tīklu un informācijas sistēmu izmantošanu saistīts un saprātīgi identificējams apstāklis, tostarp nepareiza darbība, jaudas pārsniegšana, atteice, traucējums, kaitējums, ļaunprātīga izmantošana, zudums vai cita veida ļaunprātīga vai neļaunprātīga darbība, kas īstenošanās gadījumā varētu apdraudēt tīklu un informācijas sistēmu, jebkura tehnoloģiski atkarīga rīka vai procesa, darbības un noritošo procesu vai pakalpojumu sniegšanas drošību, tādējādi apdraudot datu, programmatūras vai cita IKT pakalpojumu un infrastruktūras komponenta integritāti vai pieejamību vai izraisot konfidencialitātes pārkāpumu, fiziskās IKT infrastruktūras bojājumu vai citu kaitīgu ietekmi; (5)“informācijas aktīvs” ir materiāls vai nemateriāls informācijas kopums, ko ir vērts aizsargāt;

(6)“ar IKT saistīts incidents” ir neparedzēts identificēts notikums tīklu un informācijas sistēmās, kas izriet vai neizriet no ļaunprātīgas darbības, apdraud tīklu un informācijas sistēmu vai šādās sistēmās apstrādātās, glabātās vai pārraidītās informācijas drošību vai negatīvi ietekmē finanšu vienības sniegto finanšu pakalpojumu pieejamību, konfidencialitāti, nepārtrauktību vai autentiskumu; (7)“būtisks ar IKT saistīts incidents” ir ar IKT saistīts incidents ar iespējamu lielu nelabvēlīgu ietekmi uz tīklu un informācijas sistēmām, kas atbalsta finanšu vienības kritiski svarīgas funkcijas; (8)“kiberdraudi” ir kiberdraudi, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2019/881 2. panta 8. punktā; (9)“kiberuzbrukums” ir ļaunprātīgs ar IKT saistīts incidents, ar ko tiek mēģināts iznīcināt, pakļaut, mainīt, atspējot, nozagt aktīvu vai iegūt neatļautu piekļuvi aktīvam, vai neatļauti izmantot aktīvu un ko veic jebkurš apdraudējuma dalībnieks; (10)“draudu izlūkdati” ir informācija, kas apkopota, pārveidota, analizēta, interpretēta vai papildināta, lai nodrošinātu vajadzīgo kontekstu lēmumu pieņemšanai un kas sniedz būtisku un pietiekamu izpratni, kā mazināt ar IKT saistīta incidenta vai kiberdraudu ietekmi, tostarp tehnisko informāciju par kiberuzbrukumu, par uzbrukumu atbildīgajām personām, to darbības veidu un motīviem; (11)“padziļināta aizsardzība” ir ar IKT saistīta stratēģija, kas integrē cilvēkus, procesus un tehnoloģijas, lai izveidotu dažādus šķēršļus dažādos vienības slāņos un dimensijās; (12)“neaizsargātība” ir aktīva, sistēmas, procesa vai kontroles trūkums, uzņēmība vai nepilnība, ko var izmantot draudu gadījumā; (13)“draudu vadīta ielaušanās testēšana” ir sistēma, kura imitē tādu apdraudējuma dalībnieku taktiku, paņēmienus un procedūras, kas tiek uztverti kā patiesi kiberdraudi, un kura nodrošina kontrolētu, īpaši izstrādātu, izlūkdatu vadītu (sarkanās komandas) vienības kritiski svarīgas aktīvas izstrādes sistēmas testēšanu; (14)“ar trešo personu saistīts IKT risks” ir IKT risks, kas finanšu vienībai var rasties saistībā ar to, ka tā izmanto trešās personas, kas sniedz IKT pakalpojumus, vai tā tālāku apakšuzņēmēju sniegtus IKT pakalpojumus; (15)“trešā persona, kas sniedz IKT pakalpojumus” ir uzņēmums, kas sniedz digitālos un datu pakalpojumus, ieskaitot mākoņdatošanas pakalpojumu, programmatūras, datu analītikas, datu centru pakalpojumu sniedzējus, bet neskaitot aparatūras komponentu piegādātājus un uzņēmumus, kuriem saskaņā ar Savienības tiesību aktiem piešķirta atļauja un kuri sniedz elektronisko sakaru pakalpojumus, kas definēti Eiropas Parlamenta un Padomes Direktīvas (ES) 2018/1972 2. panta 4. punktā; (16)“IKT pakalpojumi” ir digitālie un datu pakalpojumi, ko ar IKT sistēmu starpniecību sniedz vienam vai vairākiem iekšējiem vai ārējiem lietotājiem, ieskaitot datu sniegšanas, datu ievadīšanas, datu glabāšanas, datu apstrādes un ziņošanas pakalpojumus, datu uzraudzības, kā arī uz datiem balstītas darījumdarbības un lēmumu pieņemšanas atbalsta pakalpojumus; (17)“kritiski svarīga vai svarīga funkcija” ir funkcija, kuras izpildes izbeigšana, trūkumi vai neizpilde būtiski kaitētu finanšu vienības atļaujā paredzēto noteikumu un nosacījumu vai citu piemērojamajos finanšu pakalpojumu tiesību aktos paredzēto saistību turpmākai izpildei, tās finanšu rādītājiem vai tās pakalpojumu un darbību stabilitātei vai nepārtrauktībai; (18)“kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus” ir trešā persona, kas sniedz IKT pakalpojumus, kas izraudzīta saskaņā ar 29. pantu un pakļauts 30.–37. pantā minētajai pārraudzības sistēmai; (19)“trešā valstī reģistrēta trešā persona, kas sniedz IKT pakalpojumus” ir trešā persona, kas sniedz IKT pakalpojumus un kas ir trešā valstī reģistrēta juridiska persona, kura nav izveidojusi uzņēmumu un neatrodas Savienībā un ir noslēgusi līgumisku vienošanos ar finanšu vienību par IKT pakalpojumu sniegšanu; (20)“trešā valstī reģistrēts IKT apakšuzņēmējs” ir IKT apakšuzņēmējs, kas ir trešā valstī reģistrēta juridiska persona, kura nav izveidojusi uzņēmumu un neatrodas Savienībā un ir noslēgusi līgumisku vienošanos vai nu ar trešo personu, kas sniedz IKT pakalpojumus, vai ar trešā valstī reģistrētu trešo personu, kas sniedz IKT pakalpojumus; (21)“IKT koncentrācijas risks” ir pakļautība atsevišķām vai vairākām saistītām trešām personām, kas sniedz kritiski svarīgus IKT pakalpojumus, kas rada zināmu atkarību no šādiem pakalpojumu sniedzējiem, tā ka to nepieejamība, atteice vai cita veida trūkums var apdraudēt finanšu vienības un galu galā visas Savienības finanšu sistēmas spēju nodrošināt kritiski svarīgas funkcijas vai likt ciest cita veida nelabvēlīgas sekas, tostarp lielus zaudējumus; (22)“vadības struktūra” ir vadības struktūra, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2014/65/ES 4. panta 1. punkta 36. apakšpunktā, Direktīvas 2013/36/ES 3. panta 1. punkta 7. apakšpunktā, Direktīvas 2009/65/EK 2. panta 1. punkta s) apakšpunktā, Regulas (ES) Nr. 909/2014 2. panta 1. punkta 45. apakšpunktā, Eiropas Parlamenta un Padomes Regulas (ES) 2016/1011 3. panta 1. punkta 20. apakšpunktā, Regulas (ES) 20xx/xx [KAT] 3. panta 1. punkta u) apakšpunktā, vai līdzvērtīgās personas, kuras faktiski vada vienību vai kuras pilda galvenās funkcijas saskaņā ar attiecīgajiem Savienības vai valsts tiesību aktiem; (23)“kredītiestāde” ir kredītiestāde, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) Nr. 575/2013 4. panta 1. punkta 1. apakšpunktā; (24)“ieguldījumu brokeru sabiedrība” ir ieguldījumu brokeru sabiedrība, kā definēts Direktīvas 2014/65/ES 4. panta 1. punkta 1. apakšpunktā; (25)“maksājumu iestāde” ir maksājumu iestāde, kā definēts Regulas (ES) 2015/2366 1. panta 1. punkta d) apakšpunktā;

(26)“elektroniskās naudas iestāde” ir elektroniskās naudas iestāde, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2009/110/EK 2. panta 1. punktā; (27)“centrālais darījumu partneris” ir centrālais darījumu partneris, kā definēts Regulas (ES) Nr. 648/2012 2. panta 1. punktā; (28)“darījumu reģistrs” ir darījumu reģistrs, kā definēts Regulas (ES) Nr. 648/2012 2. panta 2. punktā; (29)“centrālais vērtspapīru depozitārijs” ir centrālais vērtspapīru depozitārijs, kā definēts Regulas (ES) Nr. 909/2014 2. panta 1. punkta 1. apakšpunktā; (30)“tirdzniecības vieta” ir tirdzniecības vieta, kā definēts Direktīvas 2014/65/ES 4. panta 1. punkta 24. apakšpunktā; (31)“alternatīvo ieguldījumu fondu pārvaldnieks” ir alternatīvo ieguldījumu fondu pārvaldnieks, kā definēts Direktīvas 2011/61/EK 4. panta 1. punkta b) apakšpunktā; (32)“pārvaldības sabiedrība” ir pārvaldības s