KOMISJA EUROPEJSKA Bruksela, dnia 24.9.2020 COM(2020) 595 final 2020/0266(COD) Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014 oraz (UE) nr 909/2014 (Tekst mający znaczenie dla EOG) {SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}



UZASADNIENIE 1.KONTEKST WNIOSKU ·Przyczyny i cele wniosku Niniejszy wniosek stanowi część pakietu dotyczącego finansów cyfrowych, czyli pakietu środków umożliwiających i wspierających wykorzystanie potencjału finansów cyfrowych w zakresie innowacyjności i konkurencji przy jednoczesnym ograniczeniu związanego z nimi ryzyka. Jest on zgodny z priorytetami Komisji dotyczącymi zbudowania Europy na miarę ery cyfrowej i utworzenia gospodarki gotowej na przyszłość, która będzie przynosić korzyści obywatelom. Pakiet dotyczący finansów cyfrowych obejmuje nową strategię w zakresie finansów cyfrowych dla unijnego sektora finansowego, której celem jest zapewnienie, aby UE była przygotowana na rewolucję cyfrową i przewodziła jej wraz z innowacyjnymi przedsiębiorstwami europejskimi, zapewniając konsumentom i przedsiębiorstwom dostęp do korzyści wynikających z finansów cyfrowych. Oprócz niniejszego wniosku pakiet zawiera także wniosek dotyczący rozporządzenia w sprawie rynków kryptoaktywów, wniosek dotyczący rozporządzenia w sprawie systemu pilotażowego na potrzeby infrastruktur rynkowych opartych na technologii rozproszonego rejestru (DLT) oraz wniosek dotyczący dyrektywy w sprawie wyjaśnienia lub zmiany niektórych powiązanych unijnych przepisów w zakresie usług finansowych. Cyfryzacja i odporność operacyjna w sektorze finansowym stanowią dwie strony tego samego medalu. Z technologiami cyfrowymi, lub technologiami informacyjno-komunikacyjnymi (ICT), wiążą się zarówno szanse, jak i zagrożenia. Należy je dobrze zrozumieć i odpowiednio nim zarządzać, zwłaszcza w trudnych okresach. W związku z tym decydenci i organy nadzoru zwracają coraz większą uwagę na zagrożenia wynikające z uzależnienia od ICT. Podejmują oni w szczególności próby zwiększenia odporności przedsiębiorstw dzięki ustanowieniu norm i koordynacji prac regulacyjnych lub nadzorczych. Prace te prowadzone są zarówno na szczeblu międzynarodowym, jak i europejskim, a także zarówno przekrojowo w odniesieniu do wszystkich gałęzi gospodarki, jak i w odniesieniu do szeregu konkretnych sektorów, w tym branży usług finansowych. Ryzyko związane z ICT nadal stanowi jednak wyzwanie dla odporności operacyjnej, wydajności i stabilności unijnego systemu finansowego. Reforma, którą przeprowadzono po kryzysie finansowym z 2008 r., doprowadziła przede wszystkim do wzmocnienia odporności finansowej unijnego sektora finansowego, zapobiegając jedynie pośrednio ryzyku związanemu z ICT w niektórych obszarach w ramach środków mających na celu łagodzenie ryzyka operacyjnego w szerszym ujęciu. Chociaż w wyniku zmian unijnych przepisów dotyczących usług finansowych dokonanych po kryzysie przyjęto jednolity zbiór przepisów regulujących znaczne części ryzyka finansowego związanego z usługami finansowymi, nie zapewniono w pełni operacyjnej odporności cyfrowej. Środki wprowadzone w związku z tą odpornością posiadały szereg cech, które ograniczały ich skuteczność. Na przykład często były projektowane jako dyrektywy w sprawie minimalnej harmonizacji lub rozporządzenia oparte na zasadach, co zostawiało znaczne możliwości przyjmowania rozbieżnych podejść w ramach jednolitego rynku. Ponadto zwracano jedynie częściową lub niepełną uwagę na ryzyko związane z ICT w kontekście zakresu ochrony przed ryzykiem operacyjnym. Ponadto w przepisach sektorowych dotyczących usług finansowych przewidziano różne tego typu środki. W związku z tym interwencja na szczeblu Unii nie odpowiadała w pełni potrzebom europejskich podmiotów finansowych w zakresie zarządzania ryzykiem operacyjnym w sposób pozwalający przetrwać skutki incydentów związanych z ICT, zareagować na te skutki i je zwalczyć. Nie zapewniła ona również organom nadzoru finansowego najodpowiedniejszych narzędzi pozwalających wykonywać ich obowiązki polegające na zapobieganiu niestabilności finansowej spowodowanej wystąpieniem tego ryzyka związanego z ICT. Brak szczegółowych i kompleksowych przepisów w zakresie operacyjnej odporności cyfrowej na poziomie UE doprowadził do powstania licznych krajowych inicjatyw regulacyjnych (np. w sprawie badania operacyjnej odporności cyfrowej) i podejść nadzorczych (np. dotyczących zależności od zewnętrznych dostawców usług ICT). Działania na poziomie państwa członkowskiego mają jednak jedynie ograniczony wpływ ze względu na transgraniczny charakter ryzyka związanego z ICT. Ponadto nieskoordynowane inicjatywy krajowe doprowadziły do pokrywania się działań, niespójności, powielających się wymogów, wysokich kosztów administracyjnych i kosztów przestrzegania przepisów – zwłaszcza dla transgranicznych podmiotów finansowych – lub utrzymującego się niewykrywania – a co za tym idzie nieuwzględniania – ryzyka związanego z ICT. Sytuacja ta prowadzi do fragmentacji jednolitego rynku, osłabia stabilność i integralność unijnego sektora finansowego oraz zagraża ochronie konsumentów i inwestorów. W związku z tym konieczne jest wprowadzenie szczegółowych i kompleksowych ram operacyjnej odporności cyfrowej dla unijnych podmiotów finansowych. Ramy te wzmocnią wymiar jednolitego zbioru przepisów dotyczący zarządzania ryzykiem cyfrowym. W szczególności przyczynią się one do wzmocnienia i usprawnienia procesu zarządzania ryzykiem związanym z ICT, wprowadzenia dokładnych testów systemów ICT, zwiększenia świadomości organów nadzoru na temat ryzyka w cyberprzestrzeni oraz incydentów związanych z ICT, w obliczu których stają podmioty finansowe, a także wprowadzenia uprawnień dla organów nadzoru finansowego w zakresie nadzorowania ryzyka wynikającego z zależności podmiotów finansowych od zewnętrznych dostawców usług ICT. We wniosku przewiduje się stworzenie spójnego mechanizmu zgłaszania incydentów, który przyczyni się do zmniejszenia obciążeń administracyjnych ciążących na podmiotach finansowych oraz wzmocni skuteczność nadzoru. ·Spójność z przepisami obowiązującymi w tej dziedzinie polityki Niniejszy wniosek stanowi część szerszych prac prowadzonych na szczeblu europejskim i międzynarodowym, które mają na celu wzmocnienie cyberbezpieczeństwa usług finansowych oraz przeciwdziałanie bardziej ogólnie rozumianemu ryzyku operacyjnemu. Stanowi on również odpowiedź na wspólną poradę techniczną z 2019 r. Europejskich Urzędów Nadzoru, w której wezwano do przyjęcia spójniejszego podejścia do przeciwdziałania ryzyku związanemu z ICT w sektorze finansów oraz zalecono Komisji wzmocnienie, w sposób proporcjonalny, operacyjnej odporności cyfrowej sektora usług finansowych za pośrednictwem unijnej inicjatywy sektorowej. Porada Europejskich Urzędów Nadzoru stanowiła odpowiedź na Plan działania Komisji w zakresie technologii finansowej z 2018 r. ·Spójność z innymi politykami Unii Jak stwierdziła przewodnicząca Ursula von der Leyen w swoich wytycznych politycznych, a także jak określono w komunikacie zatytułowanym „Kształtowanie cyfrowej przyszłości Europy”, Europa musi wykorzystać wszystkie możliwości, jakie daje era cyfrowa, a także wzmocnić swoje zdolności przemysłowe i innowacyjne, w granicach bezpieczeństwa i norm etycznych. W europejskiej strategii w zakresie danych wskazano cztery filary – ochronę danych, prawa podstawowe, bezpieczeństwo i cyberbezpieczeństwo – jako podstawowe warunki wstępne istnienia społeczeństwa posiadającego mocną pozycję dzięki korzystaniu z danych. W ostatnim czasie Parlament Europejski pracuje nad sprawozdaniem w sprawie finansów cyfrowych, w którym wzywa między innymi do przyjęcia wspólnego podejścia do cyberodporności sektora finansowego. Ramy legislacyjne wzmacniające operacyjną odporność cyfrową unijnych podmiotów finansowych są spójne z tymi celami polityki. Wniosek zapewni również wsparcie strategii politycznych mających na celu zwalczenie skutków koronawirusa, ponieważ zapewni, by większa zależność od finansów cyfrowych szła w parze z odpornością operacyjną. W ramach tej inicjatywy utrzymano by korzyści związane z horyzontalnymi ramami w zakresie cyberbezpieczeństwa (np. dyrektywą w sprawie bezpieczeństwa sieci i informacji – dyrektywą dotyczącą cyberbezpieczeństwa) dzięki utrzymaniu objęcia sektora finansowego jej zakresem. Sektor finansowy nadal byłby ściśle związany z organem ds. współpracy w zakresie bezpieczeństwa sieci i informacji, a organy nadzoru finansowego byłyby w stanie wymieniać istotne informacje w ramach istniejącego ekosystemu bezpieczeństwa sieci i informacji. Inicjatywa ta byłaby spójna z dyrektywą w sprawie europejskiej infrastruktury krytycznej, która jest obecnie poddawana przeglądowi w celu zwiększenia poziomu ochrony i odporności infrastruktur krytycznych na zagrożenia niezwiązane z cyberatakami. Ponadto niniejszy wniosek jest całkowicie zgodny ze strategią w zakresie unii bezpieczeństwa, w której wezwano do podjęcia inicjatywy dotyczącej operacyjnej odporności cyfrowej w sektorze finansowym ze względu na jego dużą zależność od usług ICT i jego znaczną podatność na cyberataki. 2.PODSTAWA PRAWNA, POMOCNICZOŚĆ I PROPORCJONALNOŚĆ ·Podstawa prawna Podstawą niniejszego wniosku dotyczącego rozporządzenia jest art. 114 TFUE. Wniosek usuwa przeszkody dla ustanowienia i funkcjonowania rynku wewnętrznego usług finansowych oraz usprawnia ten proces dzięki harmonizacji przepisów obowiązujących w obszarze zarządzania ryzykiem związanym z ICT, udostępniania informacji, testowania i ryzyka ze strony zewnętrznych dostawców usług ICT. Obecne rozbieżności w tym obszarze, zarówno na szczeblu legislacyjnym, jak i nadzorczym, a także na szczeblu krajowym i unijnym, stanowią przeszkody dla jednolitego rynku usług finansowych, ponieważ podmioty finansowe, które prowadzą działalność transgraniczną, mierzą się z różnymi – jeżeli nie dochodzi do ich pokrywania się – wymogami regulacyjnymi lub oczekiwaniami w zakresie nadzoru, co może ograniczyć korzystanie z przysługującej im swobody przedsiębiorczości i swobody świadczenia usług. Różniące się przepisy zakłócają również konkurencję między tego samego rodzaju podmiotami finansowymi w różnych państwach członkowskich. Ponadto w obszarach, w których harmonizacja nie istnieje, jest częściowa lub ograniczona, rozwój rozbieżnych przepisów lub podejść krajowych, czy to już obowiązujących, czy to będących w trakcie przyjmowania i wdrażania na szczeblu krajowym, może stanowić przeszkodę dla korzystania ze swobód jednolitego rynku w przypadku usług finansowych. Ma to zwłaszcza miejsce w przypadku ram operacyjnego testowania cyfrowego oraz nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT.

Biorąc pod uwagę, że wniosek ma wpływ na kilka dyrektyw Parlamentu Europejskiego i Rady przyjętych na podstawie art. 53 ust. 1 TFUE, jednocześnie przyjmuje się również wniosek w sprawie dyrektywy, aby odzwierciedlić niezbędne zmiany w tych dyrektywach. ·Pomocniczość Wysoki stopień wzajemnych powiązań między usługami finansowymi, znacząca działalność transgraniczna podmiotów finansowych oraz silne uzależnienie całego sektora finansowego od zewnętrznych dostawców usług ICT wymaga zapewnienia silnej operacyjnej odporności cyfrowej będącej przedmiotem wspólnego zainteresowania w celu zachowania solidności unijnych rynków finansowych. Rozbieżności wynikające z nierównych lub częściowych systemów regulacji, pokrywania się wymogów lub wielu wymogów mających zastosowanie do tych samych podmiotów finansowych prowadzących działalność transgraniczną lub posiadających kilka zezwoleń na całym jednolitym rynku można zniwelować skutecznie tylko na szczeblu Unii. Niniejszy wniosek harmonizuje cyfrowy element operacyjny silnie zintegrowanego i wzajemnie powiązanego sektora, który korzysta już z jednego zestawu przepisów i nadzoru w większości innych najważniejszych obszarów. W przypadku kwestii takich jak zgłaszanie incydentów związanych z ICT jedynie unijne zharmonizowane przepisy mogłyby ograniczyć poziom obciążeń administracyjnych i kosztów finansowych związanych ze zgłaszaniem tego samego incydentu związanego z ICT różnym organom unijnym i krajowym. Działania unijne są również konieczne, aby ułatwić wzajemne uznawanie wyników zaawansowanych testów operacyjnej odporności cyfrowej dotyczących podmiotów prowadzących działalność transgraniczną, które w przypadku braku unijnych przepisów podlegają lub mogą podlegać różnym ramom w różnych państwach członkowskich. Jedynie działania na szczeblu unijnym mogą zlikwidować różnice w podejściach do testowania, które wprowadziły państwa członkowskie. Ogólnounijne działania są również konieczne, aby zwalczyć brak odpowiednich uprawnień nadzorczych umożliwiających monitorowanie ryzyka związanego z zewnętrznymi dostawcami usług ICT, w tym ryzyka koncentracji i wystąpienia efektu domina w odniesieniu do unijnego sektora finansowego. ·Proporcjonalność Proponowane przepisy nie wykraczają poza to, co jest konieczne do osiągnięcia celów wniosku. Obejmują one jedynie te aspekty, których państwa członkowskie nie mogą osiągnąć samodzielnie i w których obciążenia i koszty administracyjne są współmierne do celów szczególnych i ogólnych, które mają zostać osiągnięte. Pod względem zakresu i intensywności proporcjonalność opracowano za pomocą kryteriów oceny jakościowej i ilościowej. Mają one na celu zapewnienie, by nowe przepisy obejmujące wszystkie podmioty finansowe były jednocześnie dostosowane do ryzyka i potrzeb wynikających z ich szczególnych właściwości pod względem ich rozmiaru i profilu działalności. Proporcjonalność jest również zakorzeniona w przepisach dotyczących zarządzania ryzykiem związanym z ICT, testowania odporności cyfrowej, zgłaszania poważnych incydentów związanych z ICT oraz nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT. ·Wybór instrumentu Środki niezbędne do uregulowania zarządzania ryzykiem związanym z ICT, zgłaszania incydentów związanych z ICT, testowania oraz nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT należy zawrzeć w rozporządzeniu, tak aby zapewnić, by szczegółowe wymogi były skutecznie i bezpośrednio stosowane w jednolity sposób, bez uszczerbku dla proporcjonalności i nie naruszając przepisów szczegółowych przewidzianych w tym rozporządzeniu. Spójność pod względem przeciwdziałania cyfrowemu ryzyku operacyjnemu przyczynia się do wzmocnienia zaufania do systemu finansowego i chroni jego stabilność. Biorąc pod uwagę, że zastosowanie formy rozporządzenia przyczynia się do ograniczenia złożoności przepisów regulacyjnych, wspiera spójność w zakresie nadzoru i zwiększa pewność prawa, niniejsze rozporządzenie przyczynia się również do zmniejszenia kosztów przestrzegania przepisów przez podmioty finansowe, zwłaszcza w przypadku podmiotów finansowych prowadzących działalność transgraniczną, co z kolei może pomóc usunąć zakłócenia konkurencji. W ramach niniejszego rozporządzenia likwiduje się również rozbieżności legislacyjne i różne krajowe podejścia regulacyjne lub nadzorcze do ryzyka związanego z ICT, a zatem usuwa się przeszkody dla jednolitego rynku usług finansowych, w szczególności dla sprawnego korzystania ze swobody przedsiębiorczości i swobody świadczenia usług w przypadku podmiotów finansowych obecnych na rynku transgranicznym. Ponadto jednolity zbiór przepisów opracowano głównie w formie rozporządzeń, więc aktualizację rozszerzającą go o element dotyczący operacyjnej odporności cyfrowej należy przeprowadzić za pośrednictwem tego samego instrumentu prawnego. 3.WYNIKI OCEN EX POST, KONSULTACJI Z ZAINTERESOWANYMI STRONAMI I OCEN SKUTKÓW ·Oceny ex post/oceny adekwatności obowiązującego prawodawstwa Jak dotąd żadne unijne przepisy w zakresie usług finansowych nie dotyczyły głównie odporności operacyjnej i nie uwzględniały kompleksowo zagrożeń wynikających z cyfryzacji – nawet przepisy odnoszące się w bardziej ogólnym ujęciu do wymiaru ryzyka operacyjnego, którego elementem jest ryzyko związane z ICT. Dotychczasowa interwencja Unii przyczyniła się do zajęcia się potrzebami i problemami, które stanowiły następstwo kryzysu finansowego z 2008 r.: instytucje kredytowe nie posiadały wystarczającego kapitału, rynki finansowe nie były wystarczająco zintegrowane, a do tego momentu harmonizacja miała minimalny wymiar. Ryzyka związanego z ICT nie uznawano wówczas za priorytet i w rezultacie ramy prawne dla poszczególnych podsektorów finansowych uległy zmianie w nieskoordynowany sposób. Osiągnięto jednak cele działań Unii dotyczące zapewnienia stabilności finansowej i ustanowienia jednego zestawu zharmonizowanych wymogów ostrożnościowych i zasad dotyczących zachowań na rynku mających zastosowanie do podmiotów finansowych w całej UE. Biorąc pod uwagę, że czynniki wywołujące w przeszłości unijną interwencję legislacyjną nie zapewniły szczegółowych lub kompleksowych przepisów uwzględniających powszechne stosowanie technologii cyfrowych i wynikających z tego zagrożeń w sektorze finansowym, przeprowadzenie bezpośredniej oceny wydaje się problematyczne. Dorozumianą ocenę i wynikające z niej zmiany legislacyjne odzwierciedlono w każdym z filarów niniejszego rozporządzenia. ·Konsultacje z zainteresowanymi stronami W trakcie procesu przygotowywania niniejszego wniosku Komisja prowadziła konsultacje z zainteresowanymi stronami, w szczególności: (i) Komisja przeprowadziła specjalne otwarte konsultacje publiczne (od 19 grudnia 2019 r. do 19 marca 2020 r.); (ii) Komisja przeprowadziła konsultacje publiczne za pośrednictwem wstępnej oceny skutków (od 19 grudnia 2019 r. do 16 stycznia 2020 r.); (iii) Służby Komisji przeprowadziły dwukrotnie konsultacje z ekspertami państw członkowskich w ramach Grupy Ekspertów ds. Bankowości, Płatności i Ubezpieczeń (w dniach 18 maja 2020 r. i 16 lipca 2020 r.); (iv)Służby Komisji zorganizowały specjalne webinarium na temat operacyjnej odporności cyfrowej podczas serii wydarzeń w ramach kampanii informacyjnej na temat finansów cyfrowych w 2020 r. (w dniu 19 maja 2020 r.).

Celem konsultacji publicznych było zebranie przez Komisję informacji na temat możliwości opracowania potencjalnych ram UE w zakresie międzysektorowej operacyjnej odporności cyfrowej w obszarze usług finansowych. W odpowiedziach wyrażono szerokie poparcie dla wprowadzenia specjalnych ram obejmujących działania skupiające się na czterech obszarach objętych konsultacjami oraz podkreślono konieczność zapewnienia proporcjonalności i starannego uwzględnienia i wyjaśnienia interakcji z horyzontalnymi przepisami dyrektywy dotyczącej cyberbezpieczeństwa. Komisja otrzymała dwie odpowiedzi dotyczące wstępnej oceny skutków, w których respondenci wypowiedzieli się na temat szczególnych aspektów związanych ze swoim obszarem działalności. Podczas posiedzenia Grupy Ekspertów ds. Bankowości, Płatności i Ubezpieczeń zorganizowanego w dniu 18 maja 2020 r. państwa członkowskie wyraziły szerokie poparcie dla wzmocnienia operacyjnej odporności cyfrowej sektora finansowego za pośrednictwem działań przewidzianych w ramach czterech elementów nakreślonych przez Komisję. Państwa członkowskie podkreśliły również konieczność wyraźnego powiązania nowych przepisów z przepisami dotyczącymi ryzyka operacyjnego (zawartymi w unijnych przepisach w sprawie usług finansowych) oraz horyzontalnymi przepisami w sprawie cyberbezpieczeństwa (dyrektywa dotycząca cyberbezpieczeństwa). W trakcie drugiego posiedzenia niektóre państwa członkowskie podkreśliły konieczność zapewnienia proporcjonalności i uwzględnienia szczególnej sytuacji małych przedsiębiorstw lub spółek zależnych większych grup, a także konieczność wprowadzenia dużego zakresu uprawnień właściwych organów krajowych sprawujących nadzór. We wniosku wykorzystano i uwzględniono również informacje zwrotne uzyskane podczas spotkań z zainteresowanymi stronami oraz organami i instytucjami unijnymi. Zainteresowane strony, w tym zewnętrzni dostawcy usług ICT, wyrażali na ogół wsparcie. Z analizy otrzymanych informacji zwrotnych wynika konieczność ochrony proporcjonalności oraz przestrzegania zasad i stosowania opartego na analizie ryzyka podejścia podczas tworzenia przepisów. Na płaszczyźnie instytucjonalnej główny wkład wniosły Europejska Rada ds. Ryzyka Systemowego (ERRS), Europejskie Urzędy Nadzoru, Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) oraz Europejski Bank Centralny (EBC), a także właściwe organy państw członkowskich. ·Gromadzenie i wykorzystanie wiedzy eksperckiej Przygotowując niniejszy wniosek, Komisja opierała się na dowodach jakościowych i ilościowych zgromadzonych z uznanych źródeł, w tym na dwóch wspólnych poradach technicznych Europejskich Urzędów Nadzoru. Ich uzupełnieniem były dane poufne oraz publicznie dostępne sprawozdania organów nadzoru, międzynarodowych organów normalizacyjnych i czołowych instytutów badawczych, jak również wkład ilościowy i jakościowy określonych zainteresowanych stron z całego światowego sektora finansowego. ·Ocena skutków Niniejszemu wnioskowi towarzyszy ocena skutków przedstawiona Radzie ds. Kontroli Regulacyjnej w dniu 29 kwietnia 2020 r. i zatwierdzona w dniu 29 maja 2020 r. Rada ds. Kontroli Regulacyjnej zaleciła wprowadzenie usprawnień w niektórych obszarach w celu: (i) udzielenia większej ilości informacji na temat sposobu zapewnienia proporcjonalności; (ii) dokładniejszego określenia zakresu, w jakim preferowany wariant różni się od wspólnej porady technicznej Europejskich Urzędów Nadzoru oraz wyjaśnienia, dlaczego wariant ten jest rozwiązaniem optymalnym; oraz (iii) dalszego podkreślenia interakcji wniosku z istniejącymi przepisami UE, w tym z przepisami objętymi obecnie przeglądem. Ocenę skutków dostosowano tak, aby uwzględnić w niej te punkty, a także bardziej szczegółowe uwagi Rady ds. Kontroli Regulacyjnej. Komisja rozważyła szereg wariantów strategicznych dotyczących opracowania ram operacyjnej odporności cyfrowej: ·„brak działań”: przepisy dotyczące odporności operacyjnej będą nadal wynikać z obecnego, różniącego się zestawu unijnych przepisów dotyczących usług finansowych, częściowo z dyrektywy dotyczącej cyberbezpieczeństwa oraz z istniejących lub przyszłych systemów krajowych; ·Wariant 1: wzmocnienie buforów kapitałowych: wprowadzone zostaną dodatkowe bufory kapitałowe mające na celu zwiększenie zdolności podmiotów finansowych do pokrywania strat, które mogą pojawić się ze względu na brak operacyjnej odporności cyfrowej; ·Wariant 2: wprowadzenie aktu prawnego dotyczącego operacyjnej odporności cyfrowej usług finansowych: zapewnienie kompleksowych ram na szczeblu UE zawierających spójne przepisy zaspokajające potrzeby w zakresie operacyjnej odporności cyfrowej wszystkich podmiotów finansowych objętych regulacjami oraz ustanowienie ram nadzoru w odniesieniu do kluczowych zewnętrznych dostawców usług ICT; ·Wariant 3: akt prawny dotyczący operacyjnej odporności cyfrowej usług finansowych połączony ze scentralizowanym nadzorem nad kluczowymi zewnętrznymi dostawcami usług ICT: poza aktem prawnym dotyczącym operacyjnej odporności cyfrowej (wariant 2) ustanowiono by nowy organ mający nadzorować świadczenie usług przez zewnętrznych dostawców usług ICT. Przyjęto wariant drugi, ponieważ pozwala osiągnąć największą liczbę z zakładanych celów w sposób skuteczny, efektywny i spójny z innymi unijnymi strategiami politycznymi. Większość zainteresowanych stron również opowiedziała się za tym wariantem. Przyjęty wariant może wiązać się z powstaniem zarówno jednorazowych, jak i okresowych kosztów. Koszty jednorazowe wynikają głównie z inwestycji w systemy IT i w związku z tym ich określenie ilościowe jest trudne, biorąc pod uwagę aktualny stan złożonych środowisk informatycznych poszczególnych przedsiębiorstw oraz w szczególności ich dotychczasowych systemów IT. Mimo to w przypadku dużych przedsiębiorstw koszty te będą prawdopodobnie ograniczone, ponieważ dokonały już one znacznych inwestycji związanych z ICT. Oczekuje się, że koszty te będą również ograniczone w przypadku mniejszych przedsiębiorstw, ponieważ ze względu na niższe ryzyko zastosowanie będą miały proporcjonalne środki. Przyjęty wariant będzie miał pozytywne skutki dla MŚP działających w sektorze usług finansowych pod względem wpływu na gospodarkę, społeczeństwo i środowisko. Wniosek zapewni MŚP jasność co do przepisów, które obowiązują, co ograniczy koszty przestrzegania przepisów. Główne skutki społeczne przyjętego wariantu strategicznego będą dotyczyć konsumentów i inwestorów. Wyższe poziomy operacyjnej odporności cyfrowej unijnego systemu finansowego doprowadzą do zmniejszenia liczby i średnich kosztów incydentów. Całe społeczeństwo skorzysta dzięki większemu zaufaniu do sektora usług finansowych. Ponadto pod względem wpływu na środowisko wybrany wariant strategiczny zachęci do powszechniejszego stosowania najnowszej generacji infrastruktur i usług ICT, w przypadku których oczekuje się, że staną się bardziej zrównoważone pod względem wpływu na środowisko. ·Sprawność regulacyjna i uproszczenie Usunięcie pokrywających się wymogów w zakresie zgłaszania incydentów związanych z ICT doprowadziłoby do ograniczenia obciążeń administracyjnych i zmniejszenia powiązanych z tym kosztów. Ponadto zharmonizowane testy operacyjnej odporności cyfrowej obejmujące wzajemne uznawanie na całym jednolitym rynku ograniczy koszty, zwłaszcza dla przedsiębiorstw transgranicznych, które w przeciwnym razie podlegają licznym testom w różnych państwach członkowskich. ·Prawa podstawowe

UE dąży do zapewnienia najwyższych standardów ochrony praw podstawowych. Wszystkie uzgodnienia dotyczące dobrowolnej wymiany informacji między podmiotami finansowymi, do których zachęca się w niniejszym rozporządzeniu, będą przeprowadzane w zaufanych otoczeniach, w pełnej zgodności z unijnymi przepisami o ochronie danych, zwłaszcza rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679, w szczególności gdy przetwarzanie danych osobowych jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. 4. WPŁYW NA BUDŻET Jeśli chodzi o wpływ na budżet, biorąc pod uwagę, że w proponowanym rozporządzeniu przewidziano silniejszą rolę Europejskich Urzędów Nadzoru dzięki uprawnieniom przyznanym im w celu sprawowania odpowiedniego nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT, wniosek może skutkować koniecznością zwiększenia zasobów, aby w szczególności wypełnić misje nadzorcze (takie jak kontrole na miejscu i kontrole internetowe oraz audyty), oraz korzystania z usług personelu posiadającego szczególną wiedzę specjalistyczną w zakresie bezpieczeństwa ICT. Skala i podział tych kosztów będą zależeć od zakresu nowych uprawnień nadzorczych oraz (dokładnych) zadań, jakie będą miały wykonywać Europejskie Urzędy Nadzoru. Jeżeli chodzi o zapewnienie nowych zasobów ludzkich, konieczne będzie zatrudnienie w EUNB, ESMA i EIOPA łącznie 18 pracowników zatrudnionych w pełnym wymiarze czasu pracy (EPC) – 6 EPC w każdym organie – w momencie rozpoczęcia stosowania poszczególnych przepisów wniosku (szacowane koszty: 15,71 mln EUR w okresie 2022–2027). Europejskie Urzędy Nadzoru będą również ponosić dodatkowe koszty związane z IT, koszty podróży służbowych w celu przeprowadzenia kontroli na miejscu i koszty tłumaczeń (szacowane na 12 mln EUR w okresie 2022–2027), a także inne wydatki administracyjne (szacowane na 2,48 mln EUR w okresie 2022–2027). W związku z tym szacowany łączny wpływ na koszty będzie wynosić około 30,19 mln EUR w okresie 2022–2027. Należy również zauważyć, że chociaż liczba pracowników (np. nowi członkowskie personelu i inne wydatki związane z nowymi zadaniami) potrzebnych do sprawowania bezpośredniego nadzoru będzie z czasem zależeć od zmian pod względem liczby i wielkości kluczowych zewnętrznych dostawców usług ICT, którzy mają podlegać nadzorowi, stosowne wydatki będą w pełni finansowane z opłat pobieranych od tych uczestników rynku. W związku z tym nie przewiduje się żadnego wpływu na środki budżetowe UE (z wyjątkiem dodatkowego personelu), ponieważ koszty te będą w pełni finansowane z opłat. Wpływ niniejszego wniosku na finanse i budżet wyjaśniono szczegółowo w ocenie skutków finansowych regulacji dołączonej do niniejszego wniosku. 5.ELEMENTY FAKULTATYWNE ·Plany wdrażania oraz uzgodnienia dotyczące monitorowania, oceny i udostępniania informacji Wniosek obejmuje ogólny plan monitorowania i oceny wpływu na konkretne cele, co wymaga od Komisji przeprowadzenia przeglądu co najmniej trzy lata po wejściu w życie oraz przedłożenia sprawozdania dla Parlamentu Europejskiego i Rady w sprawie głównych ustaleń tego przeglądu. Przegląd przeprowadza się zgodnie z wytycznymi Komisji dotyczącymi lepszego stanowienia prawa. ·Szczegółowe objaśnienia poszczególnych przepisów wniosku Wniosek opracowano wokół kilku głównych obszarów polityki, które są najważniejszymi, wzajemnie powiązanymi filarami zgodnie uwzględnionymi w europejskich i międzynarodowych wytycznych oraz najlepszych praktykach mających na celu wzmocnienie cyberodporności i odporności operacyjnej sektora finansowego. Zakres rozporządzenia i zgodne z proporcjonalnością zastosowanie wymaganych środków (art. 2) Aby zapewnić spójność wymogów w zakresie zarządzania ryzykiem związanym z ICT mających zastosowanie do sektora finansowego, rozporządzenie obejmuje szereg podmiotów finansowych regulowanych na szczeblu unijnym, a mianowicie instytucje kredytowe, instytucje płatnicze, instytucje pieniądza elektronicznego, firmy inwestycyjne, dostawców usług w zakresie kryptoaktywów, centralne depozyty papierów wartościowych, kontrahentów centralnych, systemy obrotu, repozytoria transakcji, zarządzających alternatywnymi funduszami inwestycyjnymi i spółki zarządzające, dostawców usług w zakresie udostępniania informacji, zakłady ubezpieczeń i zakłady reasekuracji, pośredników ubezpieczeniowych, instytucje pracowniczych programów emerytalnych, agencje ratingowe, biegłych rewidentów i firmy audytorskie, administratorów kluczowych wskaźników referencyjnych i dostawców usług finansowania społecznościowego. Taki zakres ułatwia jednolite i spójne stosowanie wszystkich elementów zarządzania ryzykiem w obszarach związanych z ICT przy jednoczesnym zabezpieczeniu równych warunków działania wśród podmiotów finansowych w odniesieniu do ich obowiązków regulacyjnych w zakresie ryzyka związanego z ICT. Jednocześnie w rozporządzeniu przyznano, że istnieją znaczące różnice między podmiotami finansowymi pod względem rozmiaru, profilu działalności lub związane z ich narażeniem na ryzyko cyfrowe. Biorąc pod uwagę, że większe podmioty finansowe mają więcej zasobów, jedynie podmioty finansowe niekwalifikujące się jako mikroprzedsiębiorstwa mają obowiązek na przykład ustanowić złożone zasady zarządzania, specjalne stanowiska kierownicze, przeprowadzać szczegółowe oceny w następstwie istotnych zmian w infrastrukturach sieci i systemów informatycznych, regularnie przeprowadzać analizy ryzyka w odniesieniu do starszych wersji systemów ICT, rozszerzyć zakres testowania ciągłości działania oraz planów reagowania i przywrócenia gotowości do pracy w celu uwzględnienia scenariuszy pracy awaryjnej w trakcie przełączania się z podstawowej infrastruktury ICT na urządzenia redundantne. Co więcej, jedynie podmioty finansowe, które uznano za znaczące do celów zaawansowanego testowania odporności cyfrowej, będą miały obowiązek przeprowadzenia testów penetracyjnych pod kątem wyszukiwania zagrożeń. Chociaż zasięg ten jest szeroki, nie jest on wyczerpujący. W szczególności niniejsze rozporządzenie nie obejmuje operatorów systemów zdefiniowanych w art. 2 lit. p) dyrektywy 98/26/WE w sprawie zamknięcia rozliczeń w systemach płatności i rozrachunku papierów wartościowych (dyrektywy o ostateczności rozrachunku) ani żadnych uczestników systemu, chyba że taki uczestnik sam jest podmiotem finansowym regulowanym na szczeblu unijnym i jako taki będzie objęty zakresem niniejszego rozporządzenia we własnym imieniu (tj. instytucja kredytowa, firma inwestycyjna, kontrahent centralny). Ponadto unijny rejestr uprawnień do emisji, który funkcjonuje – zgodnie z dyrektywą 2003/87/WE – pod egidą Komisji Europejskiej, również nie wchodzi w jego zakres. Takie wyłączenia z dyrektywy o ostateczności rozrachunku uwzględniają potrzebę dalszego przeglądu kwestii prawnych i politycznych związanych z operatorami i uczestnikami systemów, o których mowa w dyrektywie o ostateczności rozrachunku, przy należytym uwzględnieniu wpływu obecnie obowiązujących ram na systemy płatności obsługiwane przez banki centralne. Biorąc pod uwagę, że kwestie te mogą obejmować aspekty, które pozostają odrębne od zagadnień objętych zakresem niniejszego rozporządzenia, Komisja będzie nadal oceniać konieczność i wpływ dalszego rozszerzenia zakresu niniejszego rozporządzenia na podmioty i infrastruktury ICT wykraczające obecnie poza jego zakres. Wymogi związane z zarządzaniem (art. 4) Niniejsze rozporządzenie opracowano, aby lepiej dostosować strategie biznesowe podmiotów finansowych i proces zarządzania ryzykiem związanym z ICT. W tym celu organ zarządzający będzie miał obowiązek utrzymać zasadniczą, aktywną rolę w ramach sterowania ramami zarządzania ryzykiem związanym z ICT i powinien dążyć do przestrzegania odpowiedniej higieny cyberbezpieczeństwa. Pełna odpowiedzialność organu zarządzającego za zarządzanie ryzykiem związanym z ICT podmiotu finansowego będzie stanowić nadrzędną zasadę, która przełoży się następnie na zestaw szczególnych wymogów, takich jak przypisanie wyraźnych ról i obowiązków w odniesieniu do wszystkich funkcji związanych z ICT, ciągłe zaangażowanie w kontrolę monitorowania zarządzania ryzykiem związanym z ICT, a także w cały proces zatwierdzania i kontroli oraz odpowiedni przydział inwestycji i szkoleń związanych z ICT. Wymogi w zakresie zarządzania ryzykiem związanym z ICT (art. 5–14)

Operacyjna odporność cyfrowa opiera się na zestawie najważniejszych zasad i wymogów w zakresie ram zarządzania ryzykiem związanym z ICT zgodnie ze wspólną poradą techniczną Europejskich Urzędów Nadzoru. Wymogi te, oparte na właściwych międzynarodowych, krajowych i branżowych normach, wytycznych i zaleceniach, dotyczą szczególnych funkcji w ramach zarządzania ryzykiem związanym z ICT (identyfikacja, ochrona i zapobieganie, wykrywanie, reagowanie i przywrócenie gotowości do pracy, uczenie się i rozwój oraz komunikacja). Aby nadążyć za szybko zmieniającym się spektrum cyberzagrożeń, podmioty finansowe mają obowiązek utworzenia i utrzymywania odpornych systemów i narzędzi ICT w celu zminimalizowania skutków ryzyka związanego z ICT, ciągłego identyfikowania wszystkich źródeł ryzyka związanego z ICT, utworzenia środków ochrony i zapobiegania, szybkiego wykrywania nietypowych działań, wprowadzenia specjalnych i kompleksowych strategii dotyczących ciągłości działania oraz planów przywrócenia gotowości do pracy po wystąpieniu sytuacji nadzwyczajnej będących integralną częścią polityki w zakresie operacyjnej ciągłości działania. Te ostatnie elementy są niezbędne do szybkiego przywrócenia gotowości do pracy po incydentach związanych z ICT, w szczególności po cyberatakach, dzięki ograniczeniu szkód i priorytetowemu traktowaniu bezpiecznego wznowienia działalności. W samym rozporządzeniu nie przewidziano konkretnej standaryzacji, ale raczej oparto się na europejskich i międzynarodowych uznanych standardach technicznych lub najlepszych praktykach branżowych, w zakresie w jakim są one w pełni zgodne z instrukcjami w zakresie nadzoru dotyczącymi stosowania i włączania takich norm międzynarodowych. Niniejsze rozporządzenie obejmuje również kwestie integralności, bezpieczeństwa i odporności infrastruktur fizycznych i urządzeń, które wspierają wykorzystywanie technologii oraz odpowiednich procesów i osób związanych z ICT w ramach śladu cyfrowego działań podmiotu finansowego. Zgłaszanie incydentów związanych z ICT (art. 15–20) Harmonizację i usprawnienie procesu zgłaszania incydentów związanych z ICT osiągnięto, po pierwsze, dzięki ogólnemu wymogowi dla podmiotów finansowych dotyczącemu ustanowienia i wdrożenia procesu zarządzania w celu monitorowania i rejestrowania incydentów związanych z ICT, a także obowiązkowi klasyfikowania ich na podstawie kryteriów określonych szczegółowo w rozporządzeniu i dalej rozwijanych przez Europejskie Urzędy Nadzoru w celu określenia progów istotności. Po drugie, właściwym organom należy zgłaszać wyłącznie incydenty związane z ICT, które uznano za poważne. Zgłoszenie należy przetwarzać, stosując wspólny szablon i zgodnie ze zharmonizowaną procedurą opracowaną przez Europejskie Urzędy Nadzoru. Podmioty finansowe powinny przedkładać sprawozdania wstępne, śródokresowe i końcowe oraz informować swoich użytkowników i klientów w przypadku, gdy incydent ma lub może mieć wpływ na ich interesy finansowe. Właściwe organy powinny przekazywać istotne informacje szczegółowe na temat incydentów innym instytucjom lub organom: Europejskim Urzędom Nadzoru, EBC oraz pojedynczym punktom kontaktowym wyznaczonym zgodnie z dyrektywą (UE) 2016/1148. Aby rozpocząć dialog między podmiotami finansowymi a właściwymi organami, który przyczyniłby się do zminimalizowania wpływu i wskazania właściwych środków zaradczych, zgłaszanie poważnych incydentów związanych z ICT należy uzupełnić informacjami zwrotnymi z nadzoru oraz wytycznymi. Ponadto należy dokonać dalszej analizy możliwości centralizacji na szczeblu unijnym zgłaszania incydentów związanych z ICT we wspólnym sprawozdaniu Europejskich Urzędów Nadzoru, EBC i ENISA, w którym oceniona zostanie wykonalność ustanowienia jednego unijnego węzła informacyjnego na potrzeby zgłaszania poważnych incydentów związanych z ICT przez podmioty finansowe. Testowanie operacyjnej odporności cyfrowej (art. 21–24) Zdolności i funkcje uwzględnione w ramach zarządzania ryzykiem związanym z ICT należy poddawać okresowym testom pod kątem gotowości i wykrywania słabych punktów, niedociągnięć lub braków, a także szybkiego wdrażania działań naprawczych. W niniejszym rozporządzeniu przewidziano proporcjonalne stosowanie wymogów w zakresie testowania operacyjnej odporności cyfrowej w zależności od rozmiaru, profilu działalności i profilu ryzyka podmiotów finansowych: chociaż wszystkie podmioty powinny przeprowadzać testy narzędzi i systemów ICT, jedynie podmioty, które właściwe organy (na podstawie kryteriów określonych w niniejszym rozporządzeniu i dalej rozwiniętych przez Europejskie Urzędy Nadzoru) wskazały jako istotne i dojrzałe pod względem cyfrowym, powinny mieć obowiązek przeprowadzania zaawansowanych testów na podstawie testów penetracyjnych wykorzystujących scenariusz zagrożenia. W niniejszym rozporządzeniu określono również wymogi dla testerów oraz dotyczące uznawania wyników testów penetracyjnych wykorzystujących scenariusz zagrożenia w całej Unii w przypadku podmiotów finansowych działających w większej liczbie państwach członkowskich. Ryzyko ze strony zewnętrznych dostawców usług ICT (art. 25–39) Rozporządzenie opracowano w celu zapewnienia należytego monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT. Cel ten zostanie osiągnięty, po pierwsze, dzięki przestrzeganiu opartych na zasadach przepisów mających zastosowanie do monitorowania przez podmioty finansowe ryzyka związanego z zewnętrznymi dostawcami usług ICT. Po drugie, w niniejszym rozporządzeniu zharmonizowano najważniejsze elementy usług i relacji z zewnętrznymi dostawcami usług ICT. Elementy te obejmują minimalne aspekty uznane za kluczowe, aby umożliwić pełne monitorowanie przez podmiot finansowy ryzyka ze strony zewnętrznych dostawców usług ICT na etapach zawierania, wykonywania i zakończenia relacji oraz w okresie po zakończeniu relacji. Przede wszystkim umowy, które regulują tę relację, będą musiały zawierać pełny opis usług, wskazanie lokalizacji, w których mają być przetwarzane dane, pełne opisy poziomu usług wraz z ilościowymi i jakościowymi celami w zakresie wydajności, stosowne postanowienia w sprawie dostępu, dostępności, integralności, bezpieczeństwa i ochrony danych osobowych oraz gwarancje dostępu, odzyskiwania i zwrotu w przypadku awarii zewnętrznych dostawców usług ICT, okresy wypowiedzenia i obowiązki sprawozdawcze zewnętrznych dostawców usług ICT, prawa dostępu, kontroli i audytu podmiotu finansowego lub wyznaczonego podmiotu zewnętrznego, jasne prawa do odstąpienia od umowy i specjalne strategie wyjścia. Ponadto, biorąc pod uwagę, że w przypadku niektórych z tych elementów umownych można również dokonać standaryzacji, rozporządzenie promuje dobrowolne stosowanie standardowych klauzul umownych, które mają zostać opracowane na potrzeby stosowania usług w chmurze przez Komisję. Ponadto rozporządzenie ma na celu promowanie konwergencji podejść nadzorczych do ryzyka ze strony zewnętrznych dostawców usług ICT w sektorze finansowym poprzez objęcie kluczowych zewnętrznych dostawców usług ICT unijnymi ramami nadzoru. Za pośrednictwem nowych zharmonizowanych ram legislacyjnych Europejski Urząd Nadzoru wyznaczony jako wiodący organ nadzorczy dla każdego takiego kluczowego zewnętrznego dostawcy usług ICT otrzymuje uprawnienia pozwalające zapewnić, by dostawcy usług technologicznych odgrywający kluczową rolę w funkcjonowaniu sektora finansowego byli objęci odpowiednim monitorowaniem na skalę paneuropejską. Ramy nadzoru przewidziane w niniejszym rozporządzeniu opierają się na istniejącej strukturze instytucjonalnej w obszarze usług finansowych, w przypadku której Wspólny Komitet Europejskich Urzędów Nadzoru zapewnia międzysektorową koordynację w odniesieniu do wszystkich kwestii dotyczących ryzyka związanego z ICT, zgodnie z jego zadaniami w zakresie cyberbezpieczeństwa, przy wsparciu właściwego podkomitetu (forum nadzoru) przeprowadzającego prace przygotowawcze na potrzeby indywidualnych decyzji i wspólnych zaleceń skierowanych do kluczowych zewnętrznych dostawców usług ICT. Wymiana informacji (art. 40) Aby zwiększyć świadomość na temat ryzyka związanego z ICT, zminimalizować jego rozprzestrzenianie się, wspierać zdolności obronne podmiotów finansowych oraz techniki wykrywania zagrożeń, w rozporządzeniu zapewniono podmiotom finansowym możliwość tworzenia ustaleń w celu wymiany między sobą informacji i danych wywiadowczych na temat cyberzagrożeń.



2020/0266 (COD) Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014 oraz (UE) nr 909/2014 (Tekst mający znaczenie dla EOG) PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 114, uwzględniając wniosek Komisji Europejskiej, po przekazaniu projektu aktu ustawodawczego parlamentom narodowym, uwzględniając opinię Europejskiego Banku Centralnego, uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego, stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, a także mając na uwadze, co następuje: (1)W epoce cyfrowej technologie informacyjno-komunikacyjne (ICT) wspierają złożone systemy wykorzystywane w codziennych działaniach społecznych. Napędzają one naszą gospodarkę w najważniejszych sektorach, w tym w sektorze finansów, oraz wzmacniają funkcjonowanie jednolitego rynku. Większy zakres cyfryzacji i wzajemnych powiązań zwiększa również ryzyko związane z ICT, przez co całe społeczeństwo – i w szczególności system finansowy – staje się bardziej narażone na cyberzagrożenia lub zakłócenia w funkcjonowaniu ICT. Chociaż powszechne wykorzystanie systemów ICT i wysoki stopień cyfryzacji oraz łączności stanowią obecnie podstawowe cechy wszystkich działań podmiotów finansowych w Unii, stopień uwzględnienia odporności cyfrowej w ich ramach operacyjnych nie jest jeszcze wystarczający. (2)W ostatnich dziesięcioleciach stosowanie ICT zaczęło odgrywać kluczową rolę w sektorze finansów i obecnie ICT mają zasadnicze znaczenie dla wykonywania typowych codziennych funkcji wszystkich podmiotów finansowych. Cyfryzacja obejmuje na przykład płatności, które w coraz większym stopniu przechodzą z metod gotówkowych i papierowych na rzecz stosowania rozwiązań cyfrowych, a także rozliczanie i rozrachunek papierów wartościowych, handel elektroniczny i algorytmiczny, operacje udzielania pożyczek i finansowania, finansowanie „peer to peer”, rating kredytowy, ubezpieczenia, obsługę roszczeń i operacje działów zaplecza. Finanse nie tylko stały się w dużej mierze cyfrowe w całym sektorze, ale cyfryzacja wzmocniła również wzajemne połączenia i zależności w ramach sektora finansowego oraz z infrastrukturą zewnętrzną i zewnętrznymi dostawcami usług. (3)W sprawozdaniu z 2020 r. dotyczącym systemowego ryzyka w cyberprzestrzeni Europejska Rada ds. Ryzyka Systemowego (ERRS) potwierdziła, że istniejący wysoki poziom wzajemnych powiązań między podmiotami finansowymi, rynkami finansowymi i infrastrukturami rynku finansowego, a w szczególności wzajemne zależności między ich systemami ICT mogą potencjalnie stanowić słabą stronę o charakterze systemowym, ponieważ lokalne cyberincydenty mogłyby szybko rozprzestrzenić się z każdego z około 22 000 unijnych podmiotów finansowych na cały system finansowy nieograniczony granicami geograficznymi. Poważne naruszenia związane z ICT występujące w sektorze finansów nie dotyczą wyłącznie podmiotów finansowych postrzeganych osobno. Naruszenia te zwiększają również ryzyko rozpowszechnienia lokalnych słabych stron we wszystkich kanałach transmisji finansowej oraz potencjalnie wywołują niekorzystne konsekwencje dla stabilności unijnego systemu finansowego, powodując utratę płynności i ogólną utratę pewności i zaufania w odniesieniu do rynków finansowych. (4)W ostatnich latach ryzyko związane z ICT przyciągnęło uwagę krajowych, europejskich i międzynarodowych decydentów, organów regulacyjnych i podmiotów normalizacyjnych, które starają się zwiększyć odporność, określić standardy i koordynować prace regulacyjne lub nadzorcze w tym zakresie. Na szczeblu międzynarodowym Bazylejski Komitet Nadzoru Bankowego, Komitet ds. Systemów Płatności i Rozrachunku, Rada Stabilności Finansowej, Instytut Stabilności Finansowej, a także grupy krajów G-7 i G-20 dążą do zapewnienia właściwym organom i podmiotom gospodarczym z różnych jurysdykcji narzędzi mających na celu wzmocnienie odporności ich systemów finansowych. (5)Pomimo krajowych i europejskich ukierunkowanych polityk i inicjatyw ustawodawczych ryzyko związane z ICT nadal stanowi wyzwanie dla odporności operacyjnej, wydajności i stabilności unijnego systemu finansowego. Reforma, którą przeprowadzono po kryzysie finansowym z 2008 r., doprowadziła przede wszystkim do wzmocnienia odporności finansowej unijnego sektora finansowego, a także miała na celu zabezpieczenie konkurencyjności i stabilności Unii z punktu widzenia gospodarki, standardów ostrożnościowych i zachowań rynkowych. Chociaż bezpieczeństwo ICT i odporność cyfrowa są częścią ryzyka operacyjnego, elementy te zajmowały mniej centralne miejsce w agendzie regulacyjnej po kryzysie i zostały opracowane tylko w niektórych obszarach unijnej polityki dotyczącej usług finansowych oraz otoczenia regulacyjnego lub jedynie w niektórych państwach członkowskich. (6)W Planie działania Komisji w zakresie technologii finansowej z 2018 r. podkreślono kluczowe znaczenie zwiększenia cyberodporności unijnego sektora finansowego również z operacyjnego punktu widzenia, dla zapewnienia jego bezpieczeństwa technologicznego oraz sprawnego funkcjonowania, szybkiego przywracania gotowości do pracy po naruszeniach i incydentach związanych z ICT, umożliwiając ostatecznie skuteczne i sprawne świadczenie usług finansowych w całej Unii, w tym w sytuacjach skrajnych, przy jednoczesnej ochronie konsumenta oraz zaufania i pewności w odniesieniu do rynku. (7)W kwietniu 2019 r. Europejski Urząd Nadzoru Bankowego (EUNB), Europejski Urząd Nadzoru Giełd i Papierów Wartościowych (ESMA) oraz Europejski Urząd Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych (EIOPA) (nazywane wspólnie „Europejskimi Urzędami Nadzoru”) opublikowały wspólnie dwa zalecenia techniczne, w których wezwały do przyjęcia spójnego podejścia do ryzyka związanego z ICT w sektorze finansów oraz zaleciły wzmocnienie, w sposób proporcjonalny, operacyjnej odporności cyfrowej sektora usług finansowych za pośrednictwem unijnej inicjatywy sektorowej. (8)Unijny sektor finansowy jest regulowany za pomocą zharmonizowanego jednolitego zbioru przepisów i podlega Europejskiemu Systemowi Nadzoru Finansowego. Przepisy dotyczące operacyjnej odporności cyfrowej i bezpieczeństwa ICT nie zostały jednak jeszcze w pełni lub spójnie zharmonizowane, mimo że operacyjna odporność cyfrowa ma zasadnicze znaczenie dla zapewnienia stabilności finansowej i integralności rynku w epoce cyfrowej i nie jest mniej ważna niż na przykład wspólne standardy ostrożnościowe lub zachowań rynkowych. Należy zatem rozbudować jednolity zbiór przepisów i system nadzoru, tak aby uwzględniały również ten element, poprzez rozszerzenie kompetencji organów nadzoru finansowego, którym powierzono zadanie monitorowania i ochrony stabilności finansowej i integralności rynku. (9)Rozbieżności legislacyjne i niejednolite krajowe podejścia regulacyjne lub nadzorcze do ryzyka związanego z ICT powodują powstanie przeszkód dla jednolitego rynku usług finansowych, utrudniając sprawne korzystanie ze swobody przedsiębiorczości i swobody świadczenia usług podmiotom finansowym działających w skali transgranicznej. Może zostać również zakłócona konkurencja między tego samego rodzaju podmiotami finansowymi działającymi w różnych państwach członkowskich. Zwłaszcza w przypadku obszarów, w których unijna harmonizacja jest bardzo ograniczona – takich jak testowanie operacyjnej odporności cyfrowej – lub nie istnieje – takich jak monitorowanie ryzyka ze strony zewnętrznych dostawców usług ICT – rozbieżności wynikające ze zmian planowanych na szczeblu krajowym mogłyby spowodować dalsze przeszkody dla funkcjonowania jednolitego rynku ze szkodą dla uczestników rynku i stabilności finansowej. (10)Dotychczasowe częściowe tylko uwzględnienie przepisów dotyczących ryzyka związanego z ICT na szczeblu Unii świadczy o brakach lub pokrywaniu się działań w ważnych obszarach takich jak zgłaszanie incydentów związanych z ICT i testowanie operacyjnej odporności cyfrowej oraz prowadzi do niespójności wynikających z wprowadzanych rozbieżnych przepisów krajowych lub kosztownego stosowania nakładających się przepisów. Ma to szczególnie szkodliwy wpływ na użytkowników intensywnie wykorzystujących ICT, takich jak sektor finansów, ponieważ ryzyko związane z technologią nie zna granic państwowych, a sektor finansowy wprowadza swoje usługi na szeroką, transgraniczną skalę w Unii i poza nią. Indywidualne podmioty finansowe prowadzące działalność transgraniczną lub posiadające kilka zezwoleń (np. jeden podmiot finansowy może posiadać zezwolenia na prowadzenie działalności bankowej, jako firma inwestycyjna i jako instytucja płatnicza, przy czym wszystkie z nich mogą być wydane przez różne właściwe organy w jednym lub w kliku państwach członkowskich) stają przed wyzwaniami operacyjnymi przy samodzielnym zwalczaniu ryzyka związanego z ICT oraz łagodzeniu szkodliwych skutków incydentów związanych z ICT w spójny, opłacalny sposób. (11)Biorąc pod uwagę, że do jednolitego zbioru przepisów nie dołączono kompleksowych ram dotyczących ICT lub ryzyka operacyjnego, konieczna jest dalsza harmonizacja najważniejszych wymogów w zakresie operacyjnej odporności cyfrowej dla wszystkich podmiotów finansowych. Zdolności i ogólna odporność, jakie – na podstawie takich najważniejszych wymogów – rozwiną podmioty finansowe w celu przetrwania przestojów operacyjnych, przyczyniłyby się do ochrony stabilności i integralności unijnych rynków finansowych, a tym samym do zapewnienia wysokiego poziomu ochrony inwestorów i konsumentów w Unii. Biorąc pod uwagę, że niniejsze rozporządzenie ma na celu przyczynienie się do sprawnego funkcjonowania jednolitego rynku, powinno ono opierać się na przepisach art. 114 TFUE zgodnie z jego wykładnią przyjętą w świetle utrwalonego orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej. (12)Niniejsze rozporządzenie ma przede wszystkim na celu konsolidację i aktualizację wymogów dotyczących ryzyka związanego z ICT zawartych dotychczas osobno w poszczególnych rozporządzeniach i dyrektywach. Chociaż te unijne akty prawne obejmowały główne kategorie ryzyka finansowego (np. ryzyko kredytowe, ryzyko rynkowe, ryzyko kredytowe kontrahenta i ryzyko płynności, ryzyko związane z zachowaniem rynkowym), nie było możliwości kompleksowego uwzględnienia w nich, w momencie ich przyjęcia, wszystkich elementów odporności operacyjnej. Wymogi dotyczące ryzyka operacyjnego, jeżeli zostały szerzej opracowane w tych unijnych aktach prawnych, często sprzyjały tradycyjnemu ilościowemu podejściu do uwzględniania ryzyka (polegającemu na określeniu wymogu kapitałowego na potrzeby pokrycia ryzyka związanego z ICT), a nie określeniu ukierunkowanych wymogów jakościowych, aby zwiększyć zdolności za pośrednictwem wymogów mających na celu stworzenie zdolności w zakresie ochrony, wykrywania, powstrzymywania, przywracania gotowości do pracy i odbudowy w odniesieniu do incydentów związanych z ICT lub za pośrednictwem określenia zdolności w zakresie udostępniania informacji i testowania cyfrowego. Wspomniane dyrektywy i rozporządzenia miały przede wszystkim obejmować podstawowe przepisy dotyczące nadzoru ostrożnościowego, integralności rynku lub zachowań rynkowych.

W ramach niniejszego działania, które ma na celu konsolidację i aktualizację przepisów w sprawie ryzyka związanego z ICT, wszystkie przepisy dotyczące ryzyka cyfrowego w sektorze finansów zostaną po raz pierwszy zebrane w spójny sposób w jednym akcie ustawodawczym. Niniejsza inicjatywa powinna zatem wypełnić braki lub usunąć niespójności w niektórych z tych aktów prawnych, w tym związane ze stosowaną w nich terminologią, oraz powinna wyraźnie odnosić się do ryzyka związanego z ICT za pośrednictwem ukierunkowanych przepisów w sprawie zdolności w zakresie zarządzania ryzykiem związanym z ICT, udostępniania informacji i testowania oraz monitorowania ryzyka ze strony podmiotów zewnętrznych. (13)Podmioty finansowe powinny przyjąć to samo podejście i stosować się do tych samych, opartych na zasadach przepisach podczas radzenia sobie z ryzykiem związanym z ICT. Spójność przyczynia się do wzmocnienia zaufania do systemu finansowego oraz ochrony jego stabilności, zwłaszcza w czasach nadużywania systemów, platform i infrastruktur ICT, co powoduje większe ryzyko cyfrowe. Przestrzeganie zasad podstawowej higieny cyberbezpieczeństwa powinno również pozwolić uniknąć obciążania gospodarki znacznymi kosztami dzięki zminimalizowaniu wpływu i kosztów zakłóceń funkcjonowania ICT. (14)Zastosowanie rozporządzenia sprzyja ograniczeniu złożoności regulacyjnej, wspiera spójność w zakresie nadzoru, zwiększa pewność prawa, przyczyniając się jednocześnie do ograniczenia kosztów przestrzegania przepisów, zwłaszcza dla podmiotów finansowych prowadzących działalność transgraniczną, i zmniejszenia zakłóceń konkurencji. Wybór rozporządzenia na potrzeby ustanowienia wspólnych ram operacyjnej odporności cyfrowej podmiotów finansowych wydaje się zatem najbardziej odpowiednim sposobem zagwarantowania jednolitego i spójnego stosowania wszystkich elementów zarządzania ryzykiem związanym z ICT przez unijny sektor finansowy. (15)Obecnie poza przepisami w sprawie usług finansowych ogólne ramy cyberbezpieczeństwa na poziomie Unii określa dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148. Siedem sektorów krytycznych, do których dyrektywa ta ma zastosowanie, obejmuje również trzy rodzaje podmiotów finansowych, a mianowicie instytucje kredytowe, systemy obrotu i kontrahentów centralnych. Jednak biorąc pod uwagę, że w dyrektywie (UE) 2016/1148 określono mechanizm identyfikacji na szczeblu krajowym operatorów usług kluczowych, jedynie niektóre instytucje kredytowe i systemy obrotu oraz niektórzy kontrahenci centralni (zidentyfikowane lub zidentyfikowani przez państwa członkowskie) są w praktyce objęci jej zakresem i w związku z tym mają obowiązek spełniać określone w niej wymogi w zakresie bezpieczeństwa ICT i zgłaszania incydentów. (16)Biorąc pod uwagę, że niniejsze rozporządzenie zwiększa poziom harmonizacji w zakresie elementów odporności cyfrowej dzięki wprowadzeniu wymogów w zakresie zarządzania ryzykiem związanym z ICT i zgłaszania incydentów związanych z ICT, które są bardziej rygorystyczne w porównaniu z wymogami określonymi w obecnych unijnych przepisach w sprawie usług finansowych, zapewnia to zwiększoną harmonizację również w porównaniu z wymogami określonymi w dyrektywie (UE) 2016/1148. W związku z tym niniejsze rozporządzenie stanowi lex specialis wobec dyrektywy (UE) 2016/1148. Utrzymanie silnego związku między sektorem finansowym a unijnymi horyzontalnymi ramami cyberbezpieczeństwa ma zasadnicze znaczenie, ponieważ pozwoliłoby zapewnić spójność z już przyjętymi przez państwa członkowskie strategiami w zakresie cyberbezpieczeństwa oraz umożliwiłoby organom nadzoru finansowego uzyskanie informacji na temat cyberincydentów wpływających na inne sektory objęte dyrektywą (UE) 2016/1148. (17)Aby umożliwić międzysektorowy proces uczenia się i skutecznie czerpać z doświadczeń innych sektorów podczas reagowania na cyberzagrożenia, podmioty finansowe, o których mowa w dyrektywie (UE) 2016/1148, powinny pozostać częścią „ekosystemu” tej dyrektywy (np. grupa współpracy NIS i CSIRT). Europejskie Urzędy Nadzoru i właściwe organy krajowe powinny być w stanie uczestniczyć odpowiednio w dyskusjach na temat strategicznej polityki i technicznych pracach grupy współpracy NIS, wymianach informacji oraz w dalszym ciągu współpracować z pojedynczymi punktami kontaktowymi wyznaczonymi zgodnie z dyrektywą (UE) 2016/1148. Właściwe organy zgodnie z niniejszym rozporządzeniem powinny również prowadzić konsultacje i współpracować z krajowymi CSIRT wyznaczonymi zgodnie z art. 9 dyrektywy (UE) 2016/1148. (18)Ważne jest również zapewnienie spójności z dyrektywą w sprawie europejskiej infrastruktury krytycznej, która jest obecnie poddawana przeglądowi w celu zwiększenia poziomu ochrony i odporności infrastruktur krytycznych na zagrożenia niezwiązane z cyberatakami, z uwzględnieniem możliwych skutków dla sektora finansowego. (19)Dostawcy usług w chmurze stanowią jedną z kategorii dostawców usług cyfrowych objętych zakresem stosowania dyrektywy (UE) 2016/1148. W związku z tym podlegają oni nadzorowi ex post sprawowanemu przez organy krajowe wyznaczone zgodnie z tą dyrektywą, który jest ograniczony do wymogów w zakresie bezpieczeństwa ICT i zgłaszania incydentów określonych w tym akcie. Biorąc pod uwagę, że ramy nadzoru ustanowione niniejszym rozporządzeniem mają zastosowanie do wszystkich kluczowych zewnętrznych dostawców usług ICT, w tym dostawców usług w chmurze, jeżeli świadczą oni usługi ICT na rzecz podmiotów finansowych, należy uznać, że stanowią one uzupełnienie nadzoru sprawowanego zgodnie z dyrektywą (UE) 2016/1148. Ponadto, wobec braku unijnych horyzontalnych ogólnosektorowych ram ustanawiających organ nadzoru cyfrowego, ramy nadzoru ustanowione w niniejszym rozporządzeniu powinny obejmować dostawców usług w chmurze. (20)Aby zachować pełną kontrolę nad ryzykiem związanym z ICT, podmioty finansowe muszą posiadać kompleksowe umiejętności umożliwiające solidne i skuteczne zarządzanie ryzykiem związanym z ICT, wraz z konkretnymi mechanizmami oraz strategiami dotyczącymi zgłaszania incydentów związanych z ICT, testowania systemów ICT, kontroli i procesów, a także zarządzania ryzykiem ze strony zewnętrznych dostawców usług ICT. Należy zaostrzyć wymogi dotyczące operacyjnej odporności cyfrowej systemu finansowego, umożliwiając jednocześnie proporcjonalne stosowanie wymogów w odniesieniu do podmiotów finansowych będących mikroprzedsiębiorstwami zgodnie z definicją zawartą w zaleceniu Komisji 2003/361/WE. (21)Progi i systematyki dotyczące zgłaszania incydentów związanych z ICT różnią się znacznie na szczeblu krajowym. Chociaż płaszczyznę porozumienia można osiągnąć dzięki właściwym pracom podejmowanym przez Agencję Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) i grupę współpracy NIS na rzecz podmiotów finansowych zgodnie z dyrektywą (UE) 2016/1148, rozbieżne podejścia do progów i systematyki nadal istnieją lub mogą pojawić się w przypadku pozostałych podmiotów finansowych. Wiąże się to z licznymi wymogami, które muszą spełnić podmioty finansowe, zwłaszcza podczas prowadzenia działalności w kilku unijnych jurysdykcjach i w przypadku, gdy są częścią grupy finansowej. Ponadto rozbieżności te mogą utrudniać tworzenie dalszych unijnych jednolitych lub scentralizowanych mechanizmów przyspieszających proces zgłaszania oraz wspierających szybką i sprawną wymianę informacji między właściwymi organami, co ma zasadnicze znacznie dla zwalczenia ryzyka związanego z ICT w przypadku ataków na wielką skalę, które mogą mieć konsekwencje systemowe. (22)Aby umożliwić właściwym organom wykonywanie ich zadań nadzorczych poprzez uzyskanie pełnego przeglądu charakteru, częstotliwości, znaczenia i skutków incydentów związanych z ICT oraz aby wzmocnić wymianę informacji między właściwymi organami publicznymi, w tym organami ścigania i organami ds. restrukturyzacji i uporządkowanej likwidacji, konieczne jest ustanowienie przepisów w celu uzupełnienia systemu zgłaszania incydentów związanych z ICT o wymogi, których nie ma obecnie w przepisach dotyczących podsektora finansowego oraz zniesienie wszelkich istniejących pokrywających się i dublujących się przepisów w celu obniżenia kosztów. W związku z tym harmonizacja systemu zgłaszania incydentów związanych z ICT poprzez zobowiązanie wszystkich podmiotów finansowych do zgłaszania ich wyłącznie właściwym dla nich właściwym organom ma zatem zasadnicze znaczenie. Ponadto należy przyznać Europejskim Urzędom Nadzoru uprawnienia do doprecyzowania elementów zgłaszania incydentów związanych z ICT takich jak systematyka, ramy czasowe, zbiory danych, wzory i obowiązujące progi. (23)Wymogi w zakresie testowania operacyjnej odporności cyfrowej opracowano w niektórych podsektorach finansowych w ramach kilku nieskoordynowanych ram krajowych, w których poruszono te same kwestie w różny sposób. Prowadzi to do dublowania kosztów transgranicznych podmiotów finansowych i utrudnia wzajemne uznawanie wyników. Nieskoordynowane testowanie może zatem dzielić jednolity rynek. (24)Ponadto w przypadku braku wymogu testowania luki pozostają niewykryte, co naraża podmiot finansowy, a w ostatecznym rozrachunku również stabilność i integralność całego sektora finansowego, na większe ryzyko. Bez interwencji Unii testowanie operacyjnej odporności cyfrowej pozostałoby niepełne i nie istniałoby wzajemne uznawanie wyników testowania między różnymi jurysdykcjami. Ponadto, biorąc pod uwagę, że prawdopodobieństwo, że inne podsektory finansowe przyjęłyby takie systemy na szeroką skalę, jest niewielkie, ominęłyby je potencjalne korzyści, takie jak ujawnianie luk i zagrożeń, testowanie zdolności obronnych i ciągłości działania oraz większe zaufanie konsumentów, dostawców i partnerów biznesowych. Aby zlikwidować takie pokrywające się przepisy oraz rozbieżności i luki w przepisach, należy wprowadzić przepisy mające na celu skoordynowane testowanie przez podmioty finansowe oraz właściwe organy, ułatwiając tym samym wzajemne uznawanie zaawansowanego testowania w odniesieniu do znaczących podmiotów finansowych. (25)Zależność podmiotów finansowych od usług ICT wynika częściowo z ich potrzeby dostosowania się do powstającej konkurencyjnej globalnej gospodarki cyfrowej, zwiększenia skuteczności ich działalności oraz zaspokojenia potrzeb konsumentów. Charakter i zakres takiej zależności stale zmieniał się w ostatnich latach, co przyczyniło się do obniżenia kosztów pośrednictwa finansowego, umożliwienia rozszerzania działalności i skalowalności w ramach prowadzenia działalności finansowej, przy jednoczesnym zapewnieniu szerokiego zakresu narzędzi ICT służących zarządzaniu złożonymi procesami wewnętrznymi. (26)O intensywnym korzystaniu z usług ICT świadczą złożone ustalenia umowne, przy czym podmioty finansowe często napotykają trudności podczas negocjacji warunków umownych, które byłyby dostosowane do standardów ostrożnościowych lub innych wymogów regulacyjnych, którym podlegają, lub podczas innego rodzaju egzekwowania konkretnych praw, takich jak prawa dostępu lub prawa do audytu, jeżeli prawa te są zapisane w umowach. Ponadto w wielu takich umowach nie przewidziano wystarczających gwarancji umożliwiających pełnoprawne monitorowanie procesów podwykonawstwa, pozbawiając tym samym podmiot finansowy możliwości oceny powiązanych zagrożeń. Ponadto biorąc pod uwagę, że zewnętrzni dostawcy usług ICT często świadczą znormalizowane usługi na rzecz różnego rodzaju klientów, takie umowy mogą nie zawsze odpowiednio uwzględniać indywidualne lub szczególne potrzeby podmiotów sektora finansowego. (27)Pomimo kilku ogólnych przepisów dotyczących outsourcingu zawartych w niektórych unijnych aktach prawnych dotyczących usług finansowych monitorowanie wymiaru umownego nie jest w pełni zakorzenione w unijnym prawodawstwie. Z uwagi na brak wyraźnych i dostosowanych do potrzeb standardów unijnych, które miałyby zastosowanie do ustaleń umownych zawieranych z zewnętrznymi dostawcami usług ICT, nie można kompleksowo uwzględnić zewnętrznego źródła ryzyka związanego z ICT. W związku z tym konieczne jest określenie pewnych najważniejszych zasad mających wyznaczać kierunek zarządzania przez podmioty finansowe ryzykiem ze strony zewnętrznych dostawców usług ICT, którym towarzyszyć będzie zestaw podstawowych praw umownych związanych z kilkoma elementami związanymi z wykonywaniem i rozwiązywaniem umów w celu zapisania pewnych minimalnych gwarancji stanowiących podstawę zdolności podmiotów finansowych do skutecznego monitorowania wszystkich zagrożeń powstających na poziomie zewnętrznego dostawcy usług ICT. (28)Brakuje jednorodności i spójności w zakresie ryzyka związanego z zewnętrznymi dostawcami usług ICT oraz zależnością od zewnętrznych dostawców usług ICT. Pomimo pewnych starań na rzecz uwzględnienia obszaru outsourcingu, między innymi w postaci zaleceń z 2017 r. w sprawie outsourcingu zlecanego dostawcom usług w chmurze., kwestii ryzyka systemowego, które może powstać w wyniku kontaktu sektora finansowego z ograniczoną liczbą kluczowych zewnętrznych dostawców usług ICT, poświęcono w unijnych przepisach niewielką uwagę. Ten brak odniesienia do tej kwestii na szczeblu unijnym jest spotęgowany brakiem konkretnych kompetencji i narzędzi umożliwiających krajowym organom nadzoru osiągnięcie właściwego zrozumienia zależności od zewnętrznych dostawców usług ICT i odpowiednie monitorowanie zagrożeń wynikających z koncentracji takich zależności od zewnętrznych dostawców usług ICT.

(29)Biorąc pod uwagę potencjalne ryzyko systemowe spowodowane rozpowszechnieniem się praktyk dotyczących outsourcingu oraz koncentracją zewnętrznych dostawców usług ICT, a także mając na uwadze niewystarczający charakter krajowych mechanizmów umożliwiających organom nadzoru finansowego określanie ilościowo i jakościowo konsekwencji ryzyka związanego z ICT występującego u kluczowych zewnętrznych dostawców usług ICT, a także łagodzenie tych konsekwencji, konieczne jest ustanowienie odpowiednich unijnych ram nadzoru umożliwiających stałe monitorowanie działań zewnętrznych dostawców usług ICT będących kluczowymi dostawcami dla podmiotów finansowych. (30)Biorąc pod uwagę, że zagrożenia związane z ICT stają się bardziej złożone i zaawansowane, odpowiednie środki wykrywania i zapobiegania zależą w dużej mierze od regularnej wymiany danych wywiadowczych na temat zagrożeń i luk między podmiotami finansowymi. Wymiana informacji przyczynia się do większej świadomości na temat cyberzagrożeń, co z kolei wzmacnia zdolność podmiotów finansowych do zapobiegania urzeczywistnieniu się zagrożeń oraz umożliwia podmiotom finansowym skuteczniejsze ograniczanie skutków incydentów związanych z ICT oraz sprawniejsze przywracanie gotowości. Wydaje się, że wobec braku wytycznych na szczeblu unijnym szereg czynników ogranicza taką wymianę danych wywiadowczych, zwłaszcza niepewność co do zgodności z ochroną danych osobowych, przepisami antymonopolowymi i zasadami dotyczącymi odpowiedzialności. (31)Ponadto obawy dotyczące rodzaju informacji, które można udostępnić innym uczestnikom rynku lub organom innym niż organy nadzoru (takim jak ENISA – w przypadku wkładu analitycznego, lub Europol – w odniesieniu do celów egzekwowania prawa), skutkują wstrzymaniem przekazywania przydatnych informacji. Zakres i jakość wymiany informacji pozostają ograniczone i podzielone, a istotne wymiany przeprowadzane są w większości lokalnie (za pośrednictwem inicjatyw krajowych) oraz bez żadnych spójnych ogólnounijnych ustaleń w zakresie wymiany informacji dostosowanych do potrzeb zintegrowanego sektora finansowego. (32)Należy zatem zachęcać podmioty finansowe do wspólnego wykorzystywania ich indywidualnej wiedzy i praktycznego doświadczenia na szczeblu strategicznym, taktycznym i operacyjnym w celu wzmocnienia ich zdolności w zakresie odpowiedniego oceniania i monitorowania cyberzagrożeń, obrony przed cyberzagrożeniami i reagowania na cyberzagrożenia. W związku z tym konieczne jest umożliwienie powstania na szczeblu Unii mechanizmów ustaleń dotyczących dobrowolnej wymiany informacji, które – pod warunkiem wdrożenia w zaufanych środowiskach – pomogłyby społeczności finansowej zapobiegać zagrożeniom i wspólnie na nie reagować dzięki szybkiemu ograniczeniu rozpowszechnienia ryzyka związanego z ICT i utrudnieniu wystąpienia potencjalnego efektu domina we wszystkich kanałach finansowych. Mechanizmy te powinno się stosować w pełnej zgodności z mającymi zastosowanie unijnymi przepisami prawa konkurencji, a także w sposób gwarantujący pełną zgodność z unijnymi przepisami o ochronie danych, głównie rozporządzeniem (UE) 2016/679 Parlamentu Europejskiego i Rady, w szczególności w kontekście przetwarzania danych osobowych, które jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, o czym jest mowa w art. 6 ust. 1 lit. f) tego rozporządzenia. (33)Niezależnie od szerokiego zakresu stosowania przewidzianego w niniejszym rozporządzeniu, stosując zasady dotyczące operacyjnej odporności cyfrowej, należy uwzględniać istotne różnice między podmiotami finansowymi pod względem wielkości, profilu działalności lub narażenia na ryzyko cyfrowe. Co do zasady, ukierunkowując zasoby i zdolności na wdrażanie ram zarządzania ryzykiem w zakresie ryzyka związanego z ICT, podmioty finansowe powinny odpowiednio dostosować swoje potrzeby w obszarze ICT do swojej wielkości i profilu działalności, natomiast właściwe organy powinny nadal oceniać i weryfikować podejście do takiego podziału. (34)Ponieważ większe podmioty finansowe mogą korzystać z większych zasobów i są w stanie szybko przeznaczyć fundusze na opracowanie struktur zarządzania i stworzenie szeregu strategii korporacyjnych, wyłącznie od podmiotów finansowych, które nie są mikroprzedsiębiorstwami w rozumieniu niniejszego rozporządzenia, powinno wymagać się tworzenia bardziej złożonych rozwiązań w zakresie zarządzania. Podmioty takie są lepiej przygotowane w szczególności do ustanowienia specjalnych stanowisk w strukturach zarządzania w celu nadzorowania ustaleń umownych z zewnętrznymi dostawcami usług ICT lub w celu zarządzania kryzysowego, organizowania zarządzania w zakresie ryzyka związanego z ICT zgodnie z modelem trzech linii obrony lub do przyjęcia dokumentu dotyczącego zasobów ludzkich, który kompleksowo objaśniałby politykę w zakresie praw dostępu. Z tego samego powodu tylko od takich podmiotów finansowych powinno wymagać się przeprowadzania dogłębnych ocen po istotnych zmianach w infrastrukturze sieci i systemów informatycznych oraz powiązanych procedurach, do regularnego przeprowadzania analiz ryzyka w odniesieniu do starszych wersji systemów ICT lub do rozszerzenia zakresu testowania ciągłości działania oraz planów reagowania i przywrócenia gotowości do pracy w celu uwzględnienia scenariuszy pracy awaryjnej obejmujących przełączanie się z podstawowej infrastruktury ICT na urządzenia redundantne. (35)Co więcej, ponieważ jedynie od tych podmiotów finansowych, które uznano za znaczące do celów zaawansowanego testowania odporności cyfrowej, powinno wymagać się przeprowadzenia testów penetracyjnych pod kątem wyszukiwania zagrożeń, procesy administracyjne i koszty finansowe związane z przeprowadzeniem takich testów powinny zostać przeniesione na niewielki odsetek podmiotów finansowych. Ponadto w celu zmniejszenia obciążeń regulacyjnych tylko podmioty finansowe niebędące mikroprzedsiębiorstwami powinny być proszone o regularne zgłaszanie właściwym organom wszystkich kosztów i strat spowodowanych zakłóceniami w funkcjonowaniu ICT oraz wyników przeglądów powypadkowych dokonanych w następstwie poważnych zakłóceń w funkcjonowaniu ICT. (36)Aby zapewnić pełną zgodność i ogólną spójność między strategiami biznesowymi poszczególnych podmiotów finansowych a zarządzaniem ryzykiem związanym z ICT, należy zobowiązać organ zarządzający do utrzymania kluczowej i aktywnej roli w kierowaniu i dostosowywaniu ram zarządzania ryzykiem związanym z ICT oraz ogólnej strategii w zakresie odporności cyfrowej. W podejściu, które przyjmie organ zarządzający, należy nie tylko skoncentrować się na środkach zapewniających odporność systemów ICT, ale także uwzględnić ludzi i procesy poprzez zestaw polityk, w których na każdym szczeblu struktury korporacyjnej i w odniesieniu do wszystkich pracowników buduje się świadomość czynników ryzyka w cyberprzestrzeni i zaangażowanie na rzecz ścisłego przestrzegania zasad w zakresie higieny cyberbezpieczeństwa na wszystkich szczeblach. Ostateczna odpowiedzialność organu zarządzającego za zarządzanie w zakresie ryzyka związanego z ICT podmiotu finansowego powinna stanowić nadrzędną zasadę w tym kompleksowym podejściu, przekładającą się dodatkowo na ciągłe zaangażowanie organu zarządzającego w kontrolę monitorowania zarządzania w zakresie ryzyka związanego z ICT. (37)Ponadto pełna rozliczalność organu zarządzającego idzie w parze z zabezpieczeniem poziomu inwestycji w ICT oraz ogólnego budżetu ICT podmiotu finansowego, tak aby mógł on osiągnąć swój podstawowy poziom operacyjnej odporności cyfrowej. (38)W niniejszym rozporządzeniu, inspirowanym odpowiednimi międzynarodowymi, krajowymi i branżowymi normami, wytycznymi, zaleceniami lub podejściami w zakresie zarządzania ryzykiem w cyberprzestrzeni, promuje się zestaw funkcji ułatwiających ustanowienie ogólnej struktury zarządzania ryzykiem związanym z ICT. Dopóki główne funkcjonalności, jakie wdrażają podmioty finansowe, spełniają potrzeby w zakresie celów przewidzianych w funkcjach (identyfikacja, ochrona i zapobieganie, wykrywanie, reagowanie i przywrócenie gotowości do pracy, uczenie się i rozwój oraz komunikacja) określonych w niniejszym rozporządzeniu, podmioty finansowe zachowują swobodę korzystania z modeli zarządzania ryzykiem związanym z ICT, dla których opracowano inne ramy lub kategorie. (39)Aby nadążyć za zmieniającym się krajobrazem cyberzagrożeń, podmioty finansowe powinny na bieżąco aktualizować systemy ICT, które muszą być niezawodne i posiadać wystarczającą zdolność nie tylko do zagwarantowania przetwarzania danych, które jest niezbędne do świadczenia ich usług, ale również do zapewnienia odporności technologicznej pozwalającej podmiotom finansowym na odpowiednie zaspokajanie dodatkowych potrzeb w zakresie przetwarzania danych, jakie mogą wynikać z trudnych warunków rynkowych lub innych niekorzystnych sytuacji. Niniejsze rozporządzenie nie pociąga za sobą żadnej normalizacji określonych systemów, narzędzi lub technologii ICT, lecz opiera się na odpowiednim stosowaniu przez podmioty finansowe europejskich i uznanych na szczeblu międzynarodowym norm technicznych (np. ISO) lub najlepszych praktyk branżowych, o ile takie stosowanie jest w pełni zgodne ze szczególnymi instrukcjami w zakresie nadzoru dotyczącymi stosowania i włączania norm międzynarodowych. (40)Aby umożliwić podmiotom finansowym szybkie i sprawne rozwiązywanie incydentów związanych z ICT, w szczególności cyberataków, poprzez ograniczenie szkód i priorytetowe traktowanie wznowienia działalności i działań naprawczych, konieczne jest opracowanie skutecznych planów ciągłości działania i planów przywrócenia gotowości do pracy. Chociaż systemy kopii zapasowych powinny rozpocząć przetwarzanie bez zbędnej zwłoki, ich uruchomienie nie powinno jednak w żaden sposób zagrażać integralności i bezpieczeństwu sieci i systemów informatycznych lub poufności danych. (41)Podczas gdy niniejsze rozporządzenie pozwala podmiotom finansowym na określenie w sposób elastyczny zakładanego czasu wznowienia funkcji, a tym samym na wyznaczanie go poprzez pełne uwzględnienie charakteru i krytyczności danej funkcji oraz wszelkich szczególnych potrzeb biznesowych, przy określaniu zakładanego czasu wznowienia funkcji należy również wymagać oceny potencjalnego ogólnego wpływu na efektywność rynku. (42)Poważne konsekwencje cyberataków nasilają się, gdy dochodzi do nich w sektorze finansowym, który jest obszarem o wiele bardziej narażonym na to, że stanie się celem złośliwych propagatorów dążących do osiągnięcia zysków finansowych bezpośrednio u źródła. Aby ograniczyć takie ryzyko i zapobiec niedostępności lub utracie integralności systemów ICT oraz naruszeniu poufnych danych lub uszkodzeniu fizycznej infrastruktury ICT, należy znacznie usprawnić procedurę zgłaszania przez podmioty finansowe poważnych incydentów związanych z ICT. Udostępnianie informacji w zakresie incydentów związanych z ICT powinno być ujednolicone w odniesieniu do wszystkich podmiotów finansowych poprzez nałożenie na nie obowiązku zgłaszania ich wyłącznie właściwym dla nich właściwym organom. Chociaż takie udostępnianie informacji obejmowałoby wszystkie podmioty finansowe, nie powinno ono obejmować wszystkich w ten sam sposób, ponieważ odpowiednie progi w zakresie istotności i ramy czasowe powinny być skalibrowane w taki sposób, aby uwzględniać jedynie poważne incydenty związane z ICT. Bezpośrednie udostępnianie informacji umożliwiłoby organom sprawującym nadzór finansowy dostęp do informacji na temat incydentów związanych z ICT. Niemniej jednak organy sprawujące nadzór finansowy powinny przekazywać te informacje niefinansowym organom publicznym (właściwym organom ds. bezpieczeństwa sieci i informacji, krajowym organom ochrony danych i organom ścigania w przypadku zdarzeń o charakterze przestępczym). Informacje na temat incydentów związanych z ICT powinny być wzajemnie przekazywane: organy sprawujące nadzór finansowy powinny przekazywać podmiotowi finansowemu wszelkie niezbędne informacje zwrotne lub wytyczne, natomiast Europejskie Urzędy Nadzoru powinny udostępniać zanonimizowane dane na temat zagrożeń i luk związanych z danym zdarzeniem, aby wspomóc szerzej pojętą zbiorową obronę. (43)Należy rozważyć ewentualną centralizację zgłoszeń dotyczących incydentów związanych z ICT za pomocą jednego centralnego unijnego węzła informacyjnego, który odpowiednie zgłoszenia otrzymywałby bezpośrednio i automatycznie powiadamiał właściwe organy krajowe albo służyłby jedynie jako centralne miejsce do przekazywania zgłoszeń przez właściwe organy krajowe i pełniłby funkcję koordynującą. Europejskie Urzędy Nadzoru powinny być zobowiązane do przygotowania, w porozumieniu z EBC i ENISA, w określonym terminie, wspólnego sprawozdania badającego możliwość ustanowienia takiego centralnego unijnego węzła informacyjnego. (44)W celu osiągnięcia solidnej operacyjnej odporności cyfrowej oraz zgodnie z normami międzynarodowymi (np. określonymi przez G-7 podstawowymi elementami dotyczącymi testów penetracyjnych pod kątem wyszukiwania zagrożeń) podmioty finansowe powinny regularnie testować swoje systemy ICT i personel pracujący z ICT pod kątem skuteczności ich zdolności w zakresie zapobiegania, wykrywania, reagowania i przywrócenia gotowości do pracy, aby wykrywać i eliminować potencjalne luki w obszarze ICT. Aby uwzględnić różnice między podsektorami finansowymi i w ramach tych podsektorów w zakresie gotowości podmiotów finansowych do reagowania w obszarze cyberbezpieczeństwa, testy powinny obejmować szeroki zakres narzędzi i działań, począwszy od oceny podstawowych wymogów (np. oceny narażenia i skanowanie pod tym kątem, analizy otwartego oprogramowania, oceny bezpieczeństwa sieci, analizy braków, fizyczne kontrole bezpieczeństwa, kwestionariusze i rozwiązania w zakresie oprogramowania skanującego, w miarę możliwości przeglądy kodu źródłowego, testy scenariuszowe, testy kompatybilności, testy wydajności lub testy typu „end-to-end”), aż po bardziej zaawansowane testy (np. testy penetracyjne pod kątem wyszukiwania zagrożeń w przypadku podmiotów finansowych wystarczająco zaawansowanych z punktu widzenia ICT, aby były w stanie przeprowadzić takie testy). Test operacyjnej odporności cyfrowej powinien być zatem bardziej wymagający dla znaczących podmiotów finansowych (takich jak duże instytucje kredytowe, giełdy papierów wartościowych, centralne depozyty papierów wartościowych, kontrahenci centralni itp.). Jednocześnie test operacyjnej odporności cyfrowej powinien także mieć większe znaczenie w przypadku niektórych podsektorów odgrywających kluczową rolę systemową (np. płatności, bankowość, systemy rozliczeń i rozrachunku), a mniejsze w przypadku innych (np. podmiotów zarządzających aktywami, agencji ratingowych itp.). Transgraniczne podmioty finansowe korzystające ze swobody przedsiębiorczości lub świadczenia usług w Unii powinny spełniać jeden zestaw wymogów w zakresie zaawansowanych testów (np. testów penetracyjnych pod kątem wyszukiwania zagrożeń) w swoim macierzystym państwie członkowskim, a test ten powinien obejmować infrastrukturę ICT we wszystkich jurysdykcjach, w których grupa transgraniczna prowadzi działalność w Unii, co pozwoli grupom transgranicznym ponosić koszty przeprowadzenia testów tylko w jednej jurysdykcji. (45)Aby zapewnić należyte monitorowanie ryzyka ze strony zewnętrznych dostawców usług ICT, konieczne jest ustanowienie zbioru opartych na zasadach przepisów regulujących monitorowanie przez podmioty finansowe ryzyka występującego w kontekście funkcji zlecanych zewnętrznym dostawcom usług ICT oraz, w bardziej ogólnym zakresie, w kontekście zależności pod względem ICT od osób trzecich.

(46)Podmiot finansowy powinien przez cały czas ponosić pełną odpowiedzialność za wypełnianie obowiązków wynikających z niniejszego rozporządzenia. Proporcjonalne monitorowanie zagrożeń występujących na poziomie zewnętrznego dostawcy usług ICT należy zorganizować tak, aby odpowiednio uwzględnić skalę, złożoność i znaczenie zależności w zakresie ICT, krytyczność lub znaczenie usług, procesów lub funkcji objętych ustaleniami umownymi, a ostatecznie na podstawie starannej oceny jakiegokolwiek potencjalnego wpływu na ciągłość i jakość usług finansowych na szczeblu indywidualnym i grupowym, w zależności od przypadku. (47)Takie monitorowanie należy prowadzić zgodnie ze strategicznym podejściem do ryzyka ze strony zewnętrznych dostawców usług ICT sformalizowanym poprzez przyjęcie przez organ zarządzający podmiotu finansowego specjalnej strategii, opartej na ciągłym badaniu wszystkich takich zależności w zakresie ICT od osób trzecich. Aby zwiększyć świadomość organów sprawujących nadzór co do zależności w zakresie ICT od osób trzecich, a także w celu dalszego wspierania ram dotyczących nadzoru ustanowionych w niniejszym rozporządzeniu, organy sprawujące nadzór powinny regularnie otrzymywać istotne informacje z rejestrów i powinny mieć możliwość żądania wyciągów z tych rejestrów na zasadzie ad hoc. (48)Gruntowna analiza poprzedzająca zawarcie umowy powinna mieć miejsce przed formalnym dokonaniem ustaleń umownych oraz stanowić ich podstawę, natomiast wypowiedzenie umowy powinno być spowodowane co najmniej szeregiem okoliczności wskazujących na braki po stronie zewnętrznego dostawcy usług ICT. (49)Aby zaradzić skutkom systemowym koncentracji ryzyka ze strony osób trzecich w obszarze ICT, należy promować zrównoważone rozwiązania poprzez elastyczne i stopniowe podejście, ponieważ sztywne limity lub ścisłe ograniczenia mogą utrudniać prowadzenie działalności gospodarczej i swobodę zawierania umów. Podmioty finansowe powinny dokładnie oceniać ustalenia umowne w celu określenia prawdopodobieństwa wystąpienia takiego ryzyka, w tym poprzez dogłębną analizę ustaleń dotyczących podoutsourcingu, zwłaszcza w przypadku zawierania ich z zewnętrznymi dostawcami usług ICT mającymi siedzibę w państwie trzecim. Na tym etapie oraz w celu osiągnięcia odpowiedniej równowagi między koniecznością zachowania swobody zawierania umów a koniecznością zagwarantowania stabilności finansowej, nie uważa się za właściwe wprowadzenia sztywnych limitów i ograniczeń dotyczących ekspozycji wobec osób trzecich w obszarze ICT. Europejskie Urzędy Nadzoru wyznaczone do sprawowania nadzoru nad każdym z kluczowych zewnętrznych dostawców usług ICT („wiodący organ nadzorczy”) podczas wykonywania zadań w zakresie nadzoru powinny zwrócić szczególną uwagę na pełne zrozumienie skali wzajemnych zależności i wykrycie konkretnych przypadków, w których wysoki poziom koncentracji kluczowych zewnętrznych dostawców usług ICT w Unii może stanowić zagrożenie dla stabilności i integralności systemu finansowego Unii, a także powinny zapewnić dialog z kluczowymi zewnętrznymi dostawcami usług ICT w przypadku stwierdzenia takiego zagrożenia. (50)Aby móc regularnie oceniać i monitorować zdolność zewnętrznego dostawcy usług ICT do bezpiecznego świadczenia usług na rzecz podmiotu finansowego bez negatywnego wpływu na odporność tego podmiotu, należy ujednolicić kluczowe elementy umowne w trakcie realizacji umów z zewnętrznymi dostawcami usług ICT. Elementy te obejmują jedynie minimum aspektów umownych uznawanych za kluczowe dla umożliwienia pełnego monitorowania przez podmiot finansowy z punktu widzenia zapewnienia jego odporności cyfrowej uzależnionej od stabilności i bezpieczeństwa usług ICT. (51)W ustaleniach umownych należy w szczególności zawrzeć specyfikację kompletnych opisów funkcji i usług, miejsc, w których takie funkcje i usługi są świadczone i w których przetwarzane są dane, jak również wskazanie pełnych opisów poziomu usług wraz z ilościowymi i jakościowymi celami w zakresie wydajności w ramach uzgodnionych poziomów usług, aby umożliwić podmiotowi finansowemu skuteczne monitorowanie. Podobnie przepisy dotyczące dostępu, dostępności, integralności, bezpieczeństwa i ochrony danych osobowych, jak również gwarancji dostępu, odzyskiwania i zwrotu w przypadku niewypłacalności, rozwiązania lub zaprzestania działalności gospodarczej przez zewnętrznego dostawcę usług ICT, powinno się również uznawać za istotne elementy zapewniające zdolność podmiotu finansowego do zapewnienia monitorowania ryzyka ze strony osób trzecich. (52)W celu zapewnienia, aby podmioty finansowe zachowały pełną kontrolę nad wszelkimi wydarzeniami, które mogą mieć negatywny wpływ na ich bezpieczeństwo w obszarze ICT, należy określić okresy wypowiedzenia i obowiązki sprawozdawcze zewnętrznego dostawcy usług ICT w przypadku wydarzeń, które mogą mieć istotny wpływ na zdolność skutecznego wykonywania przez tego dostawcę kluczowych lub ważnych funkcji, w tym udzielania przez niego pomocy w przypadku wystąpienia incydentu związanego z ICT, bez dodatkowych kosztów lub po kosztach określonych ex ante. (53)Prawa dostępu oraz prawo do kontroli i audytu przez podmiot finansowy lub wyznaczoną osobę trzecią stanowią kluczowe instrumenty bieżącego monitorowania przez podmioty finansowe wyników zewnętrznego dostawcy usług ICT w połączeniu z pełną współpracą tego ostatniego podczas kontroli. Analogicznie właściwemu organowi podmiotu finansowego powinny przysługiwać, na podstawie otrzymanych zawiadomień, podobne prawa do kontroli i audytu zewnętrznego dostawcy usług ICT, z zastrzeżeniem zachowania poufności. (54)W ustaleniach umownych należy zawrzeć wyraźne prawo do rozwiązania umowy i związane z nim minimalne okresy wypowiedzenia, a także specjalne strategie wyjścia umożliwiające w szczególności obowiązkowe okresy przejściowe, w których zewnętrzni dostawcy usług ICT powinni nadal pełnić odpowiednie funkcje, aby zmniejszyć ryzyko zakłóceń na poziomie podmiotu finansowego lub umożliwić temu ostatniemu skuteczne przejście do innego zewnętrznego dostawcy usług ICT lub alternatywnie skorzystanie z rozwiązań dostępnych na miejscu, zgodnie ze złożonością świadczonej usługi. (55)Ponadto dobrowolne stosowanie standardowych klauzul umownych opracowanych przez Komisję na potrzeby usług w chmurze może zapewnić dodatkowy komfort podmiotom finansowym i ich zewnętrznym dostawcom usług ICT poprzez zwiększenie poziomu pewności prawa w zakresie korzystania z usług w chmurze przez sektor finansowy, z zachowaniem pełnej zgodności z wymogami i oczekiwaniami określonymi w regulacjach dotyczących usług finansowych. Prace te opierają się na środkach przewidzianych już w Planie działania w zakresie technologii finansowej z 2018 r., w którym zapowiedziano, że Komisja zamierza wspierać i ułatwiać opracowywanie standardowych klauzul umownych dotyczących korzystania z usług w chmurze na zasadzie outsourcingu przez podmioty finansowe, czerpiąc z międzysektorowych wysiłków zainteresowanych stron świadczących usługi w chmurze, które Komisja ułatwiła dzięki zaangażowaniu sektora finansowego. (56)Aby wesprzeć ujednolicenie i poprawę efektywności podejść w zakresie nadzoru nad ryzykiem ze strony zewnętrznych dostawców usług ICT w sektorze finansowym, wzmocnić operacyjną odporność cyfrową podmiotów finansowych, które przy wykonywaniu funkcji operacyjnych polegają na kluczowych zewnętrznych dostawcach usług ICT, a tym samym przyczynić się do utrzymania stabilności systemu finansowego Unii oraz integralności jednolitego rynku usług finansowych, kluczowi zewnętrzni dostawcy usług ICT powinni podlegać unijnym ramom nadzoru. (57)Ponieważ szczególne traktowanie jest uzasadnione wyłącznie w przypadku kluczowych zewnętrznych dostawców usług, należy wprowadzić mechanizm wyznaczania do celów stosowania unijnych ram nadzoru, aby uwzględnić wymiar i charakter zależności sektora finansowego od takich zewnętrznych dostawców usług ICT, co przekłada się na zestaw kryteriów ilościowych i jakościowych, które określałyby parametry w zakresie krytyczności jako podstawę do objęcia ramami nadzoru. Kluczowi zewnętrzni dostawcy usług ICT, którzy nie zostali automatycznie wyznaczeni na podstawie wspomnianych wyżej kryteriów, powinni mieć możliwość dobrowolnego przystąpienia do ram nadzoru, natomiast ci zewnętrzni dostawcy usług ICT, których objęto już mechanizmami ram nadzoru ustanowionymi na poziomie Eurosystemu w celu wspierania realizacji zadań, o których mowa w art. 127 ust. 2 Traktatu o funkcjonowaniu Unii Europejskiej, nie powinni w związku z tym podlegać tym kryteriom. (58)Wymóg bycia zarejestrowanym w Unii odnoszący się do zewnętrznych dostawców usług ICT, których uznano za kluczowych, nie przekłada się na lokalizację danych, ponieważ niniejsze rozporządzenie nie pociąga za sobą żadnych dalszych wymogów w zakresie podejmowania w Unii działań związanych z przechowywaniem lub przetwarzaniem danych. (59)Ramy te powinny pozostawać bez uszczerbku dla kompetencji państw członkowskich w zakresie prowadzenia własnych misji w zakresie sprawowania nadzoru w odniesieniu do zewnętrznych dostawców usług ICT, których nie uznano za kluczowych w świetle niniejszego rozporządzenia, ale którzy mogą być uznani za ważnych na szczeblu krajowym. (60)Aby wykorzystać obecną wielowarstwową strukturę instytucjonalną w obszarze usług finansowych, Wspólny Komitet Europejskich Urzędów Nadzoru powinien nadal zapewniać ogólną międzysektorową koordynację w odniesieniu do wszystkich kwestii dotyczących ryzyka związanego z ICT, zgodnie ze swoimi zadaniami w zakresie cyberbezpieczeństwa, i powinien być przy tym wspierany przez nowy podkomitet (forum nadzoru), który będzie prowadził prace przygotowawcze zarówno w zakresie indywidualnych decyzji skierowanych do kluczowych zewnętrznych dostawców usług ICT, jak i zbiorowych zaleceń, w szczególności w zakresie analizy porównawczej programów dotyczących sprawowania nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT, a także określania najlepszych praktyk w zakresie rozwiązywania problemów związanych z ryzykiem koncentracji w obszarze ICT. (61)Aby zapewnić odpowiedni nadzór w całej Unii nad zewnętrznymi dostawcami usług ICT odgrywającymi kluczową rolę w funkcjonowaniu sektora finansowego, jeden z Europejskich Urzędów Nadzoru powinien zostać wyznaczony jako wiodący organ nadzorczy w odniesieniu do każdego kluczowego zewnętrznego dostawcy usług ICT. (62)Wiodące organy nadzorcze powinny posiadać niezbędne uprawnienia do prowadzenia dochodzeń, kontroli na miejscu i kontroli zdalnych u kluczowych zewnętrznych dostawców usług ICT, dostępu do wszystkich istotnych lokali i lokalizacji oraz pełnych i aktualnych informacji, co umożliwi im uzyskanie rzeczywistego wglądu w rodzaj, wymiar i wpływ ryzyka ze strony zewnętrznych dostawców usług ICT dla podmiotów finansowych i ostatecznie dla systemu finansowego Unii. Powierzenie Europejskim Urzędom Nadzoru roli wiodących organów nadzorczych jest warunkiem wstępnym do zrozumienia i wyeliminowania systemowego wymiaru ryzyka związanego z ICT w sektorze finansowym. Wpływ wywierany w Unii przez kluczowych zewnętrznych dostawców usług ICT oraz związane z nim potencjalne problemy dotyczące ryzyka koncentracji w obszarze ICT wymagają przyjęcia wspólnego podejścia na poziomie Unii. Przeprowadzanie licznych audytów i korzystanie z praw dostępu przez szereg właściwych organów osobno przy niewielkiej lub braku jakiejkolwiek koordynacji nie zapewniłoby pełnego przeglądu ryzyka ze strony zewnętrznych dostawców usług ICT, powodując jednocześnie niepotrzebną redundancję, obciążenie i złożoność na poziomie kluczowych zewnętrznych dostawców usług ICT mierzących się z tak dużą liczbą wniosków. (63)Ponadto wiodące organy nadzorcze powinny mieć możliwość przedstawiania zaleceń w zakresie ryzyka związanego z ICT oraz odpowiednich środków zaradczych, w tym sprzeciwiania się określonym ustaleniom umownym, które ostatecznie wpływają na stabilność podmiotu finansowego lub systemu finansowego. Właściwe organy krajowe powinny należycie uwzględniać przestrzeganie takich zaleceń merytorycznych wydanych przez wiodące organy nadzorcze w ramach swoich funkcji związanych z nadzorem ostrożnościowym nad podmiotami finansowymi. (64)Ramy nadzoru w żaden sposób ani w żadnej części nie zastępują zarządzania przez podmioty finansowe ryzykiem wynikającym z korzystania z zewnętrznych dostawców usług ICT, w tym obowiązku bieżącego monitorowania ustaleń umownych uzgodnionych z kluczowymi zewnętrznymi dostawcami usług ICT, oraz nie wpływają na pełną odpowiedzialność podmiotów finansowych za przestrzeganie i wywiązywanie się ze wszystkich wymogów niniejszego rozporządzenia i odpowiednich przepisów dotyczących usług finansowych. Aby uniknąć powielania i nakładania się działań, właściwe organy powinny powstrzymać się od samodzielnego podejmowania jakichkolwiek działań mających na celu monitorowanie ryzyka ze strony kluczowych zewnętrznych dostawców usług ICT. Wszelkie takie działania należy uprzednio skoordynować i uzgodnić w kontekście ram nadzoru.

(65)Aby wspierać ujednolicenie na szczeblu międzynarodowym najlepszych praktyk, które mają być stosowane przy dokonywaniu przeglądu cyfrowego zarządzania ryzykiem ze strony zewnętrznych dostawców usług ICT, należy zachęcać Europejskie Urzędy Nadzoru do zawierania porozumień o współpracy z odpowiednimi właściwymi organami nadzoru i organami regulacyjnymi państw trzecich w celu ułatwienia opracowania najlepszych praktyk w zakresie zarządzania ryzykiem ze strony zewnętrznych dostawców usług ICT. (66)Aby wykorzystać wiedzę techniczną ekspertów właściwych organów w zakresie zarządzania operacyjnego i zarządzania ryzykiem związanym z ICT, wiodące organy nadzorcze powinny korzystać z doświadczeń poszczególnych krajów w zakresie nadzoru i ustanowić specjalne zespoły ds. kontroli dla każdego z poszczególnych kluczowych zewnętrznych dostawców usług ICT, łącząc multidyscyplinarne zespoły w celu wspierania zarówno przygotowania, jak i rzeczywistej realizacji działań nadzorczych, w tym kontroli na miejscu u kluczowych zewnętrznych dostawców usług ICT, a także niezbędnych działań następczych. (67)Właściwe organy powinny posiadać wszelkie niezbędne uprawnienia w zakresie sprawowania nadzoru, prowadzenia dochodzeń i nakładania sankcji, aby zapewnić stosowanie niniejszego rozporządzenia. Informacje o karach administracyjnych powinny być co do zasady publikowane. Ponieważ podmioty finansowe i zewnętrzni dostawcy usług ICT mogą mieć siedziby w różnych państwach członkowskich oraz podlegać nadzorowi różnych właściwych organów sektorowych, należy zapewnić ścisłą współpracę pomiędzy odpowiednimi właściwymi organami, w tym EBC w zakresie zadań szczególnych powierzonych mu na mocy rozporządzenia Rady (UE) nr 1024/2013, oraz konsultacje z Europejskimi Urzędami Nadzoru, a współpraca ta powinna opierać się na wzajemnej wymianie informacji i zapewnieniu pomocy w kontekście działalności nadzorczej. (68)W celu dalszego ilościowego i jakościowego określenia kryteriów wyznaczania kluczowych zewnętrznych dostawców usług ICT oraz ujednolicenia opłat z tytułu nadzoru, należy przekazać Komisji uprawnienia do przyjęcia aktów zgodnie z art. 290 Traktatu o funkcjonowaniu Unii Europejskiej w odniesieniu do: bardziej szczegółowego określenia skutków systemowych, jakie niedopełnienie obowiązków przez zewnętrznego dostawcę usług ICT mogłoby mieć dla obsługiwanych przez niego podmiotów finansowych, liczby globalnych instytucji o znaczeniu systemowym lub innych instytucji o znaczeniu systemowym, które polegają na danym zewnętrznym dostawcy usług ICT, liczby zewnętrznych dostawców usług ICT działających na określonym rynku, kosztów przejścia na usługi innego zewnętrznego dostawcy usług ICT, liczby państw członkowskich, w których dany zewnętrzny dostawca usług ICT świadczy usługi i w których działają podmioty finansowe korzystające z usług takiego dostawcy, a także wysokości opłat z tytułu nadzoru oraz sposobu ich uiszczania. Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje, w tym na poziomie ekspertów, oraz aby konsultacje te prowadzone były zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa. W szczególności, aby zapewnić udział na równych zasadach Parlamentu Europejskiego i Rady w przygotowaniu aktów delegowanych, instytucje te otrzymują wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji mogą systematycznie brać udział w posiedzeniach grup ekspertów Komisji zajmujących się przygotowaniem aktów delegowanych. (69)Ponieważ niniejsze rozporządzenie, wraz z dyrektywą Parlamentu Europejskiego i Rady (UE) nr 20xx/xx, pociąga za sobą konsolidację przepisów dotyczących zarządzania ryzykiem związanym z ICT, obejmujących wiele rozporządzeń i dyrektyw z dorobku prawnego UE w zakresie usług finansowych, w tym rozporządzenia (WE) nr 1060/2009, rozporządzenia (UE) nr 648/2012, rozporządzenia (UE) nr 600/2014 oraz rozporządzenia (UE) nr 909/2014, w celu zapewnienia pełnej spójności należy zmienić te rozporządzenia, aby wyjaśnić, że odpowiednie przepisy dotyczące ryzyka związanego z ICT ustanowiono w niniejszym rozporządzeniu. Standardy techniczne powinny z