C 155/38

Eiropas Ekonomikas un sociālo lietu komitejas atzinums par tematu:

“Priekšlikums Eiropas Parlamenta un Padomes Regulai par finanšu sektora digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014 un (ES) Nr. 909/2014”

(COM(2020) 595 final – 2020/0266 (COD))

“Priekšlikums Eiropas Parlamenta un Padomes direktīvai, ar ko groza Direktīvas 2006/43/EK, 2009/65/EK, 2009/138/EK, 2011/61/ES, 2013/36/ES, 2014/65/ES, (ES) 2015/2366 un (ES) 2016/2341”

(COM(2020) 596 final – 2020/0268 (COD))

(2021/C 155/06)

Ziņotājs: Antonio GARCÍA DEL RIEGO

Apspriešanās Eiropas Parlaments, 17.12.2020. Eiropas Savienības Padome, 22.12.2020. Juridiskais pamats LESD 53. panta 1. punkts, 114. panta 1. punkts un 304. pants Atbildīgā specializētā nodaļa Ekonomikas un monetārās savienības, ekonomiskās un sociālās kohēzijas specializētā nodaļa Pieņemts specializētās nodaļas sanāksmē 12.2.2021. Datums, kad pieņemts plenārsesijā 24.2.2021. Plenārsesija Nr. 558 Balsojuma rezultāts (par / pret / atturas) 243/1/4

1. Secinājumi un ieteikumi

1.1. EESK atzinīgi vērtē Eiropas Komisijas priekšlikumu par digitālās darbības noturību, kura mērķis ir nodrošināt juridisku skaidrību attiecībā uz IKT riska noteikumiem, mazināt regulējuma sarežģītību, izveidot vienotu standartu kopumu, lai mazinātu IKT riskus, un veicināt saskaņotu uzraudzības pieeju, vienlaikus nodrošinot juridisko noteiktību un vajadzīgās garantijas arī finanšu uzņēmumiem un IKT pakalpojumu sniedzējiem. Digitālās darbības noturība ne tikai palielina nozares noturību pret IKT riskiem, bet tā ir arī vairāku ieinteresēto personu, tostarp klientu, ieguldītāju un darbinieku, interesēs un palīdz īstenot ilgtspējīgu attīstību.

1.2. EESK iesaka uzlabot digitālās darbības noturības efektivitāti ar šādiem pasākumiem.

1.2.1. Digitālās darbības noturības priekšlikuma darbības jomā iekļaut jebkuru kritiski svarīgu finanšu pakalpojumu sniedzēju, kas izstrādā finanšu darbības, un izslēgt no tās IKT pakalpojumu izmantošanu funkcijām, kas nav kritiski svarīgas.

1.2.2. Nodrošināt digitālās darbības noturības definīcijas un darbības jomas saskaņotību ar prasībām, kas noteiktas Eiropas uzraudzības iestāžu (EUI) spēkā esošajās pamatnostādnēs.

1.2.3. Attiecībā uz IKT pārvaldību dot priekšroku satvaram, kas vērsts uz principos un riska faktoros balstītu pieeju, kura veicinātu tādu kontroļu īstenošanu, kas ir nākotnes prasībām atbilstošas, elastīgas un samērīgas ar riskiem.

1.2.4. Attiecībā uz incidentiem, kas saistīti ar IKT, veikt pilnīgu saskaņošanu ar Finanšu stabilitātes padomes kiberincidentu reaģēšanas un atkopšanas rīkkopu ( FSB's Cyber Incident Response and Recovery toolkit ).

1.2.5. Attiecībā uz digitālās darbības noturības testēšanu uzsvērt ne tikai finanšu iestādes lielumu, bet arī pakalpojuma sarežģītību un kritiski svarīgo raksturu, vairoties no obligātiem ārpakalpojumiem, ko sniedz ierobežots ārēju testētāju skaits, un testēšanas rezultātu savstarpēju atzīšanu.

1.2.6. Prasības attiecībā uz ārpakalpojumu izmantošanu konsolidēt vienotā noteikumu kopumā, lai nodrošinātu juridisko noteiktību visiem tirgus dalībniekiem un droši ievērotu uzraudzības prasības.

1.2.7. Pilnībā izpildīt galveno pārraugu ieteikumus un ieviest skaidru uzdevumu un pienākumu kopumu dažādām iestādēm, kas iesaistītas kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus ( critical third-party service providers – CTPP ) pārraudzībā.

1.2.8. Nodrošināt piekļuvi par kritiski svarīgiem uzskatītiem ārpakalpojumiem, ko veic trešās valstīs reģistrētas trešās personas, kas sniedz IKT pakalpojumus ( third party providers – TPP ), lai neierobežotu uzņēmumu līgumslēgšanas brīvību un spēju piekļūt augstas pievienotās vērtības pakalpojumu sniedzēju pakalpojumiem.

1.2.9. Sodu režīmā ietvert samērīgumu, lai novērstu stimulu trūkumu, kas IKT pakalpojumu sniedzējiem traucē sniegt pakalpojumus ES finanšu vienībām, un atteikties no pašreizējās atsauces uz apgrozījumu pasaulē.

1.2.10. Nodrošināt skaidrību attiecībā uz uzņēmumu spēju apmainīties ar informāciju par kiberdraudiem, nodrošinot, ka šādi mehānismi tiek ieviesti brīvprātīgi, un lai priekšlikumā par digitālās darbības noturību tiktu iekļauts skaidrs noteikums, kas ļauj apmainīties ar persondatiem.

1.2.11. Paaugstināt mazajiem un vidējiem uzņēmumiem, kas definēti atbilstoši Komisijas Ieteikuma 2003/361/EK ( 1 ) I pielikuma 2. panta 2. punktam – uzņēmums, kurā nodarbinātas mazāk nekā 50 personas un kura gada apgrozījums un/vai gada bilances kopsumma nepārsniedz 10 miljonus EUR – priekšlikumā noteiktās robežvērtības un samazināt to prasību skaitu, kas ir jāpiemēro mazajiem un vidējiem uzņēmumiem, nodrošinot samērīgumu ar uzņēmuma digitālā riska profilu saistībā ar iespējamo ietekmi, varētu apsvērt kā iespēju.

1.3. EESK atbalsta pilnvaru piešķiršanu galvenajiem pārraugiem, lai tie varētu veikt CTPP revīzijas un pārbaudes procedūras, jo galvenie pārraugi tādējādi gūtu labāku izpratni par riskiem, ko varētu radīt CTPP , un tas varētu palīdzēt racionalizēt banku ārpakalpojumu procedūras.

2. Pamatojums

2.1. Eiropas patērētāji un uzņēmumi arvien vairāk izmanto digitālos finanšu pakalpojumus, un vienlaikus tirgus dalībnieki izmanto aizvien vairāk novatorisku risinājumu, kas balstīti jaunās tehnoloģijās. Digitālā pārveide ir būtiska Eiropas atveseļošanai un ilgtspējīgas un noturīgas Eiropas ekonomikas izveidei.

2.2. Saskaņā ar Eiropas Komisijas prioritātēm sagatavot Eiropu digitālajam laikmetam un veidot tādu nākotnes prasībām atbilstošu ekonomiku, kas darbotos cilvēku labā, Komisija ir nākusi klajā ar digitālās finanšu darbības paketi . Tajā ir izklāstīti pasākumi, kuru mērķis ir vairāk atraisīt un atbalstīt digitālā finansējuma potenciālu inovācijas un konkurences jomā, vienlaikus mazinot ar to saistītos riskus.

2.3. Papildus priekšlikumam par digitālās darbības noturību digitālās finanšu darbības pakete ietver jaunu stratēģiju par digitālo finansējumu ES finanšu sektoram ( 2 ) un priekšlikumu regulai par kriptoaktīvu tirgiem kopā ar priekšlikumu regulai par izmēģinājuma režīmu attiecībā uz tirgus infrastruktūrām, kuru pamatā ir sadalītās virsgrāmatas tehnoloģija ( 3 )

2.4. Digitālās darbības noturība ir uzņēmumu spēja nodrošināt, ka tie var izturēt visu veidu traucējumus un draudus, kas saistīti ar informācijas un komunikācijas tehnoloģijām (IKT). Finanšu sektora aizvien pieaugošā atkarība no programmatūras un digitālajiem procesiem nozīmē, ka ar IKT saistīti riski ir finanšu jomas neatņemama sastāvdaļa. Finanšu uzņēmumi ir kļuvuši par mērķiem kiberuzbrukumiem, kuru dēļ patērētājiem un uzņēmumiem rodas nopietni finansiāli zaudējumi un kaitējums reputācijai. Šie riski ir labi jāizprot un jāpārvalda, it īpaši spriedzes laikā.

2.5. Lai gan reformas, kas sekoja 2008. gada finanšu krīzei, nostiprināja ES finanšu sektora noturību, IKT riski tika risināti tikai netieši. Visaptveroša Eiropas līmeņa tiesiskā regulējuma trūkums attiecībā uz digitālās darbības noturību noveda pie paļāvības uz valstu regulatīvajām iniciatīvām. Tomēr tām ir ierobežota pārrobežu efektivitāte, un tās ir izraisījušas vienotā tirgus sadrumstalotību, kas apdraud ES finanšu sektora stabilitāti un integritāti. Ņemot to vērā, Komisija ierosina izveidot visaptverošu satvaru ES finanšu vienību digitālās darbības noturības nodrošināšanai.

2.6. Tiesību akta priekšlikuma par digitālās darbības noturību ( 4 ) mērķis ir uzlabot un racionalizēt finanšu vienību veikto IKT riska pārvaldību, ieviest IKT sistēmu rūpīgu noturības testēšanu, sekmēt informācijas apmaiņu, palielināt uzraugu informētību par kiberriskiem un ar IKT saistītiem incidentiem, ar ko saskaras finanšu vienības, kā arī piešķirt finanšu uzraudzības iestādēm pilnvaras pārraudzīt riskus, ko rada finanšu vienību atkarība no trešām personām, kuras sniedz IKT pakalpojumus. Priekšlikuma mērķis ir arī izveidot konsekventu mehānismu ziņošanai par incidentiem, kas varētu palīdzēt mazināt administratīvo slogu finanšu vienībām un stiprināt uzraudzības efektivitāti.

2.7. Komisija ir iesniegusi arī priekšlikumu direktīvai ( 5 ) , jo ir jānosaka pagaidu atbrīvojums attiecībā uz daudzpusējām tirdzniecības sistēmām un jāgroza vai jāprecizē daži noteikumi spēkā esošajās ES finanšu pakalpojumu direktīvās, lai sasniegtu priekšlikuma par digitālās darbības noturību mērķus.

2.8. IKT nozare ir viena no lielākajām pasaules industrijām, un tiek lēsts, ka tās tirgus vērtība 2019. gadā bija vairāk nekā pieci triljoni USD, bet līdz 2022. gadam tā pārsniegs sešus triljonus USD. Nepārtrauktā izaugsme ir atgādinājums par tehnoloģiju aizvien pieaugošo izplatību un nozīmi mūsdienu sabiedrībā. Saskaņā ar leģislatīvā priekšlikuma ietekmes novērtējumu finanšu sektors ir pasaulē lielākais IKT lietotājs, kas veido aptuveni 20 % no visiem IKT izdevumiem .

2.9. Covid-19 pandēmija ir veicinājusi digitālo finanšu pakalpojumu pieaugumu, savukārt finanšu iestāžu filiāļu tīkli joprojām netiek pietiekami izmantoti. Tas veicinās ieguldījumus digitālos pašapkalpošanās instrumentos, atvērto finanšu ( open finance ) lietotnēs un pakalpojumos ar pievienoto vērtību. Kopumā pašreizējā situācija finanšu iestādēm liks vairāk ieguldīt IT infrastruktūrā, par prioritāti noteikt kritiski svarīgu darba slodžu migrēšanu un atjaunināt esošās lietotnes. Eiropas finanšu sektorā jau notiek ievērojama digitālā pārveide, un tā spēja konkurēt globālā mērogā lielā mērā būs atkarīga no Eiropas iestāžu spējas izmantot savā labā vismodernākās tehnoloģijas.

3. Vispārīgas piezīmes

3.1. EESK atzinīgi vērtē Eiropas Komisijas pieņemto priekšlikumu par digitālās darbības noturību , kurš apmierina daudzas finanšu sektora prasības un kura mērķis ir radīt juridisku skaidrību attiecībā uz IKT riska noteikumiem, mazināt regulējuma sarežģītību un administratīvo slogu, kas rodas finanšu iestādēm visā ES piemēroto atšķirīgo noteikumu dēļ. Digitālās darbības noturība ne tikai palielina sektora noturību pret IKT riskiem, bet ir arī vairāku ieinteresēto personu, tostarp klientu, ieguldītāju un darbinieku, interesēs un palīdz īstenot ilgtspējīgu attīstību.

3.2. EESK uzskata, ka digitālās darbības noturība ir svarīgs solis virzībā uz vienota standartu kopuma izveidi IKT risku mazināšanai un saskaņotas uzraudzības pieejas veicināšanai, tomēr būtu jārīkojas piesardzīgi, lai neradītu papildu šķēršļus, kas varētu liegt ES finanšu iestādēm piedalīties globālajā inovatīvajā procesā.

3.3. EESK uzskata, ka ES pārvaldes iestāžu galvenais mērķis ir panākt samērīgu un riskā balstītu regulējumu, kas nodrošinātu uzraudzības iestādēm instrumentus savu uzdevumu risināšanai, vienlaikus nodrošinot juridisko noteiktību un vajadzīgos aizsardzības pasākumus finanšu uzņēmumiem un IKT pakalpojumu sniedzējiem.

4. Īpašas piezīmes

4.1. Darbības joma un regulējuma pārklāšanās problēmas

4.1.1. Papildu attiecīgu finanšu tirgu dalībnieku iekļaušana

EESK atzīst un atzinīgi vērtē to, ka ierosinātie tiesību akti attiecas uz plašu finanšu tirgu dalībnieku loku un ka tie nodrošinās tajos ietverto prasību konsekventu piemērošanu visā ES finanšu sektorā, tomēr tā iesaka ES politikas veidotājiem iekļaut arī tādus finanšu dalībniekus, kas netiek uzskatīti par ietilpstošiem ierosināto tiesību aktu darbības jomā, piemēram, hipotekāro kredītu un patēriņa kredītpakalpojumu sniedzējus, – atbilstīgā apmērā atkarībā no riska, ko tie var radīt sistēmai. Visiem finanšu pakalpojumu sniedzējiem, kas izstrādā vienas un tās pašas darbības un uzņemas vienādus riskus, būtu jāpiemēro vienādi noteikumi un uzraudzība, lai nodrošinātu vienādu minimālo digitālās noturības satvaru, kas aizsargā patērētājus un finanšu stabilitāti.

4.1.2. Konsekvence starptautiskā un ES līmenī, kā arī ar spēkā esošajiem noteikumiem

Ir būtiski nodrošināt skaidrību uzņēmumiem, jo īpaši tiem, kas darbojas pāri robežām, nodrošinot, ka definīcijas un termini ir konsekventi, un nepieļaujot dublēšanos, pārklāšanos un dažādas interpretācijas par to, kā atšķirīgās jurisdikcijās izpildīt līdzīgas normatīvās prasības. EESK iesaka ES politikas veidotājiem grozīt darbības noturības definīciju, lai to pielīdzinātu Bāzeles Banku uzraudzības komitejas (Basel Committee on Banking Supervision – BCBS) definīcijai (6), un nodrošināt, ka tā ir vadošais regulējums, ko piemēro ES finanšu iestādēm, lai novērstu risku radīt pretrunas ar citiem regulējumiem. Turklāt daudzi priekšlikumā par digitālās darbības noturību noteiktie principi un prasības jau ir definētas esošajās pamatnostādnēs par ārpakalpojumiem (7). Arī IKT riski un drošības riska pārvaldības prasības jau ir noteiktas EBI pamatnostādnēs. Ļoti svarīgi būs nodrošināt digitālās darbības noturības definīcijas un darbības jomas saskaņotību ar prasībām, kas izklāstītas spēkā jau esošajās pamatnostādnēs, lai panāktu ES normatīvo prasību saskaņošanu.

4.1.3. Tāpat EESK iesaka Eiropas Komisijai nodrošināt, lai pārskatāmajā Tīklu un informācijas drošības (TID) direktīvā un priekšlikumā par digitālās darbības noturību būtu vienādas definīcijas un prasības attiecībā uz finanšu vienību drošības incidentu ziņošanas politiku.

4.2. IKT riska pārvaldība

Daži regulējuma elementi ir pārāk koncentrēti uz atbilstību noteikumiem, nevis uz to, kā uzņēmumi var parādīt rezultātus, izmantojot principos un riska faktoros balstītu pieeju. Tā kā tie ir pārāk preskriptīvi un detalizēti, pastāv risks, ka laika gaitā, attīstoties kiberriskam un IKT riska ainavai, tie var novecot. EESK iesaka izmantot vairāk principos un riska faktoros balstītu pieeju, kura veicina tādu kontroļu īstenošanu, kas ir nākotnes prasībām atbilstošas, elastīgas, proporcionālas un samērīgas ar riskiem.

4.3. Ar IKT saistīti incidenti

EESK iesaka nodrošināt, ka nesen publicētā Finanšu stabilitātes padomes (FSP) kiberincidentu reaģēšanas un atkopšanas (Cyber Incident Response and Recovery – CIRR) rīkkopa (8), kas nodrošina paraugpraksi ziņošanai par incidentiem, un priekšlikumā par digitālās darbības noturību paredzētā ar IKT saistīto incidentu pārvaldība, klasifikācija un ziņošana par tiem ir pilnībā saskaņotas. Ir vērojama pārklāšanās, kas rada regulatīvu nenoteiktību un uzņēmumiem palielina regulatīvo slogu.

4.4. Digitālās darbības noturības testēšana

4.4.1. Lai arī EESK atzinīgi vērtē Eiropas mēroga draudu vadītas ielaušanās testu (DVIT) režīma ieviešanu visā ES, jo tas palielinās efektivitāti un mazinās sadrumstalotību, EESK iesaka iestādēm pievērst uzmanību ne tikai finanšu iestādes lielumam un darbības tvērumam, bet arī pakalpojuma sarežģītībai un kritiskumam, ņemot vērā proporcionalitātes principu, kur tas nepieciešams, lai novērstu atšķirību starp visu finanšu iestāžu pamattestēšanu un nozīmīgu finanšu iestāžu padziļinātu testēšanu, un nodrošināt, ka klienti no mazākām finanšu vienībām ir vienlīdz aizsargāti un visu finanšu vienību starpā tiek nodrošināti vienlīdzīgi konkurences apstākļi.

4.4.2. EESK iesaka testēšanas uzticēšanu ārējiem testētājiem nenoteikt par obligātu, jo ārēju testētāju skaits ir ierobežots. Uzņēmumiem var būt savas iekšējās testēšanas komandas, kas pārzina uzņēmumu vidi un spēj ātri pārorientēties uz padziļinātiem un mērķtiecīgākiem testiem.

4.4.3. Trešo personu, kas sniedz IKT pakalpojumus, iekļaušana DVIT režīmā būtu jāpārskata. Tas, ka trešās personas, kas sniedz IKT pakalpojumus, drīkst apkalpot virkni klientu, varētu novest pie ievērojamas testēšanas dublēšanās, kas savukārt varētu radīt būtiskus riskus attiecīgajai trešai personai, kura sniedz IKT pakalpojumus, un tās apkalpotajiem klientiem.

4.4.4. Turklāt EESK iesaka skaidri norādīt uz testēšanas rezultātu savstarpēju atzīšanu, jo tā ļauj mazināt risku un palīdz nodrošināt raitu vienotā tirgus darbību, kā arī izvairīties no izmaksu pieauguma finanšu vienībām, kas darbojas pāri robežām.

4.5. Ar kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, (CTPP) saistītā riska un pārraudzības sistēmas pārvaldība

4.5.1. Nodrošināt atbilstību pašreizējām ārpakalpojumu sniegšanas pamatnostādnēm

EESK atzinīgi vērtē to, ka ar priekšlikumu par digitālās darbības noturību uz visiem finanšu tirgus dalībniekiem visā Eiropā tiek attiecināts vienots tiesiskais regulējums ar trešām personām, kas sniedz IKT pakalpojumus, saistītu risku stabilai pārvaldībai. Tomēr būs svarīgi nodrošināt pilnīgu saskaņotību starp šo kopējo pamatu, kas izklāstīts vispārīgajos principos (25., 26. un 27. pants), un pašreizējiem noteikumiem, piemēram, Eiropas uzraudzības iestāžu (EUI) pamatnostādnēm par ārpakalpojumu sniegšanu (t. i., atrisināt piemērošanas jomā pastāvošo dihotomiju starp “ārpakalpojumiem” un “trešo personu pakalpojumiem” (9)). Turklāt EESK uzskata, ka ES iestādēm šī ir lieliska iespēja prasības par ārpakalpojumu izmantošanu konsolidēt vienotā regulā, kura būtu pietiekami detalizēta, lai ļautu izvairīties no interpretācijas atšķirībām, un kura varētu ieviest juridisku noteiktību visiem tirgus dalībniekiem un ļautu uzticami izpildīt uzraudzības prasības.

4.5.2. Prasības, kas attiecas uz ārpakalpojumu sniedzējiem uzticētām kritiski svarīgām vai nozīmīgām darbībām

Lai saglabātu uz risku orientētu fokusu, regulā konkrētāk jānorāda, kā, piemērojot 25. panta 2. punktu, tiks piemērots proporcionalitātes princips, precizējot prasības, kas būtu attiecināmas uz ārpakalpojumu sniedzējiem uzticētām kritiski svarīgām vai nozīmīgām darbībām, un prasības, kas būtu piemērojamas pārējām darbībām (10). EESK iesaka noteikt, ka IKT pakalpojumu izmantošana nekritiskām funkcijām neietilpst priekšlikuma par digitālās darbības noturību darbības jomā.

4.5.3. Tiešas pārraudzības sistēma attiecībā uz kritiski svarīgām trešām personām (CTPP), kas sniedz IKT pakalpojumus

EESK atzinīgi vērtē tiešas pārraudzības sistēmas ieviešanu, kas arī bez ES horizontālas, visas nozares aptverošas, sistēmas ļaus finanšu iestādēm pastāvīgi uzraudzīt CTPP darbību. Ierosinātajā regulā ES iestādēm būtu jāatzīst, ka, pateicoties to darbības nemitīgai uzraudzībai, finanšu iestāžu pakļautība riskam mazinās, ja šajā uzraudzībā nonāk kāds no kritiski svarīgiem IKT pakalpojumu sniedzējiem. Tāpēc šai jaunajai pārraudzības sistēmai būtu jāpalīdz arī racionalizēt banku ārpakalpojumu procedūras, atvieglojot daļu no sloga, ar ko pašlaik saskaras finanšu vienības, piemēram, saistībā ar tādām revīzijas un pārbaudes procedūrām, kas jāveic attiecībā uz TPP, kurus uzskata par kritiski svarīgiem.

4.5.4. EESK atbalsta galveno pārraugu pilnvarošanu veikt CTPP revīzijas un pārbaudes procedūras, jo galvenie pārraugi tādējādi gūtu labāku izpratni CTPP iespējami radītiem riskiem, no pirmavota iegūstot zināšanas par to procesiem un apstākļiem, nevis paļaujoties uz pašreizējiem uzraudzīto finanšu iestāžu ziņojumiem un valstu kompetento iestāžu veiktajām pārbaudēm. Lai arī finanšu vienību riska mazināšanas politikas un juridiskie pienākumi būtu jāsaglabā, tomēr, ja galvenais pārraugs jau ir veicis pārbaudes un revīzijas, finanšu iestādēm būtu jāgūst labums no šā papildu drošības līmeņa un minētais tām nebūtu jāveic vēlreiz.

4.5.5. Galvenais pārraugs un valsts kompetentās iestādes

Kad pārraudzības process ir pabeigts, atbilstīgi galvenā pārrauga ieteikumiem rīkojas valstu kompetentās iestādes, kurām var būt pašām sava pieeja, kā īstenot galvenā pārrauga secinājumus attiecībā uz izraudzītajiem CTPP. EESK iesaka nodrošināt pilnīgu skaidrību par dažādo iestāžu uzdevumiem un pienākumiem, lai nepieļautu situāciju, kad atkarībā no attiecīgās kompetentās iestādes dažāda interpretācija katru CTPP klientu ietekmē atšķirīgi. Tādējādi tiktu mazināts sadrumstalotības risks. Ņemot vērā 37. panta pašreizējo neskaidrību par to saistošo raksturu, šie ieteikumi būtu arī jāpadara pilnīgi izpildāmi.

4.5.6. CTPP izmantošanas apturēšana

Ar priekšlikumu par digitālās darbības noturību valstu finanšu regulatoriem ir dotas pilnvaras pieprasīt klientiem uz laiku apturēt vai pārtraukt IKT pakalpojumu sniedzēja izmantošanu, kamēr nav novērsti ieteikumos norādītie riski. Prasība nekavējoties pārtraukt sadarbību ar CTPP noteikti ietekmētu pašreizējo vai turpmāko uzņēmējdarbības un komerciālo lēmumu pieņemšanu (piemēram, atturētu no ieguldījumiem Eiropas Savienībā) un, iespējams, ietekmētu finanšu stabilitāti. Pirms šāda lēmuma pieņemšanas kompetentajām iestādēm līdztekus citiem faktoriem būtu rūpīgi jāanalizē potenciālā negatīvā ietekme, ko pakalpojuma izbeigšana varētu radīt finanšu vienībām, kuras izmanto konkrēto CTPP (11), jānosaka skaidri kritēriji šādai prasībai un jāapsver iespējamie tiesiskās aizsardzības līdzekļi.

4.5.7. Ja šāda situācija tomēr iestājas, EESK iesaka noteikt, ka finanšu vienības ir jāinformē savlaicīgi un tām būtu jādod nomaiņai pietiekami daudz laika.

4.6. Eiropas finanšu uzņēmumu globālās konkurētspējas saglabāšana

4.6.1. Jaunajam regulējumam ir jāsaglabā Eiropas finanšu uzņēmumu spēja piekļūt vismaz tām pašām tehnoloģijām, kādas ir pieejamas to globālajiem konkurentiem. ES finanšu uzņēmumi konkurē globālā mērogā, un gaidāmais ES tiesiskais regulējums nedrīkstētu radīt šiem ES uzņēmumiem neizdevīgus apstākļus, ierobežojot to piekļuvi vismodernākajām tehnoloģijām, kamēr šādu tehnoloģiju nodrošinātāji atbilst ES standartiem attiecībā uz noturību un drošību.

4.6.2. Trešās valstīs reģistrēti TPP

Regulai nebūtu jāierobežo iespēja izmantot ārpakalpojumus, kas tiek uzskatīti par kritiski svarīgiem trešās valstīs reģistrētiem TPP. Šis ierobežojums noteikti ierobežotu atsevišķu vienību līgumslēgšanas brīvību un Eiropas finanšu iestāžu spēju piekļūt pakalpojumiem, ko sniedz pakalpojumu sniedzēji ar augstu pievienoto vērtību, kuru skaits Eiropā, visticamāk, nebūs pietiekams. Tas ir vēl svarīgāk tāpēc, ka ierosinātā pārraudzības sistēma attiecas tikai uz finanšu sektoru, radot nevienlīdzīgus konkurences apstākļus citiem dalībniekiem, uz kuriem šī regula neattiecas, un rezultātā varētu palielināties koncentrācijas risks, no kura ar priekšlikumu par digitālās darbības noturību iecerēts izvairīties.

4.6.3. Soda sankcijas, pamatojoties uz apgrozījumu pasaulē

Priekšlikumā par digitālās darbības noturību ir paredzētas soda sankcijas attiecībā pret IKT pakalpojumu sniedzēju globālo apgrozījumu, ja tie neievēro ES finanšu uzraudzības iestāžu prasības. Šo sodu nesamērīga piemērošana varētu atturēt globālus IKT pakalpojumu sniedzējus no ES finanšu uzņēmumu apkalpošanas, bet tas varētu de facto ierobežot ES finanšu uzņēmumu pakalpojumu sniedzēju izvēli. Turklāt tas atturētu trešās personas, kas sniedz IKT pakalpojumus, bet nav kritiski svarīgas (nav CTPP), no pievienošanās pārraudzības režīmam, jo tās baidītos no sodīšanas ar nesamērīgiem naudas sodiem un tādējādi mazinātu konkurenci augšupējā tirgū. EESK iesaka sodu režīmā ieviest samērīguma līmeni, kas ir svarīgi, lai neradītu stimulu trūkumu IKT pakalpojumu sniedzējiem, kuri vēlas sniegt pakalpojumus ES finanšu vienībām.

4.7. Informācijas apmaiņas kārtība

4.7.1. Savlaicīga informācijas apmaiņa ir svarīga, lai efektīvi noteiktu uzbrukumu vektorus un izolētu un novērstu iespējamus draudus, tāpēc EESK atzinīgi vērtē noteikumu par brīvprātīgas informācijas apmaiņas veicināšanu starp finanšu iestādēm par kiberdraudiem.

4.7.2. EESK arī iesaka ES iestādēm kā vienu no šā priekšlikuma nosacījumiem paredzēt skaidru pamatu persondatu (piemēram, IP adrešu) apmaiņai, jo tas mazinātu nenoteiktību un palielinātu finanšu vienību spēju uzlabot savas aizsardzības spējas, labāk apzināt draudus un mazināt kaitīgas ietekmes izplatīšanās risku to starpā. Datu konfidenciālā/sensitīvā rakstura dēļ ir vajadzīga lielāka skaidrība.

Briselē, 2021. gada 24. februārī Eiropas Ekonomikas un sociālo lietu komitejas priekšsēdētāja Christa SCHWENG

(1) OV L 124, 20.5.2003., 36. lpp.

(2) Sk. EESK atzinumu ECO/534 “ES digitālā finansējuma stratēģija” (sk. šā Oficiālā Vēstneša 27. lpp.).

(3) Sk. EESK atzinumu ECO/534 “Kriptoaktīvi un sadalītās virsgrāmatas tehnoloģija” (sk. šā Oficiālā Vēstneša 31. lpp.).

(4) COM(2020) 595 final.

(5) COM(2020) 596 final.

(6) Bāzeles Banku uzraudzības komiteja, Darbības noturības principi,2020. gada 6. novembris.

(7) Piemēram, EBI un Eiropas Apdrošināšanas un aroda pensiju iestādes (EAAPI) izstrādātajās, kā arī Eiropas Vērtspapīru un tirgu iestādes (EVTI) pamatnostādņu projektā, par kuru notika apspriešanās.

(8) Finanšu stabilitātes padome, Final Report on Effective Practices for Cyber Incident Response and Recovery (Galīgais ziņojums par efektīvu praksi, reaģējot uz kiberincidentiem un tos atkopjot), 2020. gada 19. oktobris.

(9) Runājot par trešo personu, kas sniedz IKT pakalpojumus, riska stabilas pārvaldības pamatprincipiem, priekšlikumā par digitālās darbības noturību ir atsauce tikai uz “IKT TPP pakalpojumiem” (V nodaļa), bet EBI pamatnostādņu par ārpakalpojumu izmantošanu tvērums ir balstīts uz ārpakalpojumu definīciju, kas nozīmē, ka darbību veic atkārtoti vai pastāvīgi (26. punkts). EBI pamatnostādnēs ir arī noteikts to izņēmumu saraksts, kurus neuzskata par ārpakalpojumiem (28. punkts).

(10) Arī šajā gadījumā “kritiski svarīgu vai nozīmīgu funkciju” definīciju būs svarīgi saskaņot gan priekšlikumā par digitālās darbības noturību, gan EBI pamatnostādnēs par ārpakalpojumu izmantošanu. EBI pamatnostādnēs konkrēti ir definēti faktori, kas finanšu iestādēm būtu jāņem vērā, vērtējot, vai ārpakalpojumu izmantošana attiecas uz funkciju, kas ir kritiski svarīga vai nozīmīga (29., 30. un 31. pants).

(11) Viens no kritērijiem, ko izmantot, lai atzītu IKT pakalpojumu sniedzēju par kritiski svarīgu, būtu TPP aizvietojamības pakāpe, ņemot vērā reālu alternatīvu trūkumu vai grūtības daļēji vai pilnībā migrēt pakalpojumus (28. panta 2. punkts). Tādā gadījumā finanšu iestādēm būtu sarežģīti pārvest pakalpojumu citam pakalpojumu sniedzējam. Turklāt prasība riskam pakļautām finanšu iestādēm pāriet pie cita pakalpojumu sniedzēja galu galā veicinātu koncentrācijas palielināšanu Eiropas tirgū, kas būtu tieši pretrunā šīs regulas iecerei.