REGULAMENTO (UE) 2022/2554 DO PARLAMENTO EUROPEU E DO CONSELHO

de 14 de dezembro de 2022

relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011

(Texto relevante para efeitos do EEE)

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.o,

Tendo em conta a proposta da Comissão Europeia,

Após transmissão do projeto de ato legislativo aos parlamentos nacionais,

Tendo em conta o parecer do Banco Central Europeu (1),

Tendo em conta o parecer do Comité Económico e Social Europeu (2),

Deliberando de acordo com o processo legislativo ordinário (3),

Considerando o seguinte:

(1) Na era digital, as tecnologias da informação e comunicação (TIC) servem de esteio a sistemas complexos utilizados em atividades quotidianas. Mantêm em funcionamento setores fundamentais das nossas economias, nomeadamente o setor financeiro, e melhoram o funcionamento do mercado interno. A intensificação da digitalização e interligação também amplifica o risco associado às TIC, tornando a sociedade no seu conjunto e, em particular, o sistema financeiro, mais vulneráveis a ciberameaças ou perturbações no domínio das TIC. Não obstante o facto de utilização generalizada de sistemas de TIC e o elevado nível de digitalização e conectividade serem, atualmente, características centrais das atividades das entidades financeiras da União, a sua resiliência digital tem ainda de ser abordada e integrada de forma mais eficaz nos seus quadros operacionais mais vastos.

(2) A utilização das TIC tem adquirido nas últimas décadas um papel fulcral na prestação de serviços financeiros, de tal forma que se reveste hoje de importância crítica no funcionamento das habituais funções quotidianas de todas as entidades financeiras. Atualmente, a digitalização abrange, por exemplo, os pagamentos, onde se observa uma transição crescente dos métodos com base em numerário e em papel para soluções digitais, bem como a compensação e liquidação de valores mobiliários, a negociação eletrónica e algorítmica, as operações de concessão de empréstimos e de financiamento, o financiamento entre particulares, a notação de risco, a gestão dos sinistros e as operações de processamento administrativo. O setor dos seguros também sofreu transformações devido à utilização das TIC que vão desde a emergência de mediadores de seguros que oferecem os seus serviços em linha recorrendo a tecnosseguros, até à subscrição de seguros digitais. O setor financeiro tornou-se em grande medida digital e a digitalização também aprofundou a interligação e as dependências no interior do próprio setor financeiro e em relação a infraestruturas de terceiros e serviços prestados por terceiros.

(3) O Comité Europeu do Risco Sistémico (CERS) reafirmou, num relatório de 2020 sobre o ciber-risco sistémico, que o elevado nível de interligação existente entre as entidades financeiras, os mercados financeiros e as infraestruturas do mercado financeiro, e, em especial, as interdependências dos seus sistemas de TIC, poderiam constituir uma vulnerabilidade sistémica, porque os ciberincidentes localizados poderiam rapidamente propagar-se a partir de qualquer uma das aproximadamente 22 mil entidades financeiras da União a todo o sistema financeiro, sem qualquer entrave geográfico. As violações graves no domínio das TIC que ocorrem no setor financeiro não afetam unicamente as entidades financeiras, de forma isolada. Abrem também caminho à propagação de vulnerabilidades localizadas nos canais de transmissão financeiros e podem desencadear consequências negativas para a estabilidade do sistema financeiro da União, gerando, nomeadamente, crises de liquidez e uma perda de confiança geral nos mercados financeiros.

(4) Mais recentemente, o risco associado às TIC mereceu a atenção de decisores políticos, autoridades de regulamentação e organismos de normalização internacionais, da União e nacionais, numa tentativa de reforçar a resiliência digital, estabelecer normas e coordenar os esforços de regulamentação e supervisão. A nível internacional, o Comité de Basileia de Supervisão Bancária, o Comité de Pagamentos e Infraestruturas do Mercado, o Conselho de Estabilidade Financeira, o Instituto da Estabilidade Financeira, assim como o G7 e o G20, visam proporcionar às autoridades competentes e aos operadores de mercado em diversas jurisdições instrumentos para reforçar a resiliência dos seus sistemas financeiros. Estes trabalhos foram também impulsionados pela necessidade de ter devidamente em conta o risco associado às TIC no contexto de um sistema financeiro mundial altamente interligado, bem como de procurar assegurar uma maior coerência das boas práticas pertinentes.

(5) Não obstante as políticas e iniciativas legislativas específicas da União e nacionais, o risco associado às TIC continua a constituir um desafio para a resiliência operacional, o desempenho e a estabilidade do sistema financeiro da União. As reformas que se seguiram à crise financeira de 2008 reforçaram sobretudo a resiliência financeira do setor financeiro da União e visavam salvaguardar a competitividade e estabilidade da União do ponto de vista económico, prudencial e de conduta no mercado. Embora a segurança e a resiliência digital no domínio das TIC façam parte do risco operacional, têm merecido menor atenção na agenda regulamentar no período pós-crise financeira, tendo sido desenvolvidas apenas em alguns domínios das políticas e do panorama regulamentar da União no domínio dos serviços financeiros ou apenas em alguns Estados-Membros.

(6) Na sua comunicação de 8 de março de 2018 intitulada «Plano de Ação para a Tecnologia Financeira: rumo a um setor financeiro europeu mais competitivo e inovador», a Comissão destacou a extrema importância de tornar o setor financeiro da União mais resiliente, nomeadamente do ponto de vista operacional, para assegurar a sua segurança tecnológica e bom funcionamento e a sua rápida recuperação das violações e incidentes dos sistemas de TIC, permitindo, em última análise, uma prestação eficaz e harmoniosa de serviços financeiros em toda a União, inclusivamente em situações de tensão, preservando simultaneamente a confiança dos consumidores e do mercado.

(7) Em abril de 2019, a Autoridade Europeia de Supervisão (Autoridade Bancária Europeia), (EBA), criada pelo Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho (4), a Autoridade Europeia de Supervisão (Autoridade Europeia dos Seguros e Pensões Complementares de Reforma) (EIOPA), criada pelo Regulamento (UE) n.o 1094/2010 do Parlamento Europeu e do Conselho (5), e a Autoridade Europeia de Supervisão (Autoridade Europeia dos Valores Mobiliários e dos Mercados) (ESMA), criada pelo Regulamento (UE) n.o 1095/2010 do Parlamento Europeu e do Conselho (6) (conhecidas coletivamente como «Autoridades Europeias de Supervisão» ou «AES») emitiram conjuntamente pareceres técnicos que instavam a uma abordagem coerente do risco associado às TIC no setor financeiro e recomendavam um reforço proporcionado da resiliência operacional digital do setor dos serviços financeiros por meio de uma iniciativa setorial da União.

(8) O setor financeiro da União é regulamentado por um conjunto único de regras e governado pelo sistema europeu de supervisão financeira. Todavia, as disposições que abordam a resiliência operacional digital e a segurança no domínio das TIC ainda não foram plena e coerentemente harmonizadas, embora a resiliência operacional digital seja vital para assegurar a estabilidade financeira e a integridade do mercado na era digital e não menos importante do que, por exemplo, as normas prudenciais ou de conduta no mercado. Cumpre, pois, desenvolver o conjunto único de regras e o sistema de supervisão, com vista a abranger também a resiliência operacional digital, reforçando os mandatos das autoridades competentes para que possam supervisionar a gestão do risco associado às TIC no setor financeiro, a fim de proteger a integridade e a eficiência do mercado interno e facilitar o seu funcionamento ordenado.

(9) As disparidades legislativas e as assimetrias das abordagens nacionais de regulamentação ou supervisão no que diz respeito ao risco associado às TIC dão origem a obstáculos ao funcionamento do mercado interno dos serviços financeiros, impedindo o exercício harmonioso da liberdade de estabelecimento e a prestação de serviços pelas entidades financeiras que operam a nível transfronteiriço. A concorrência entre os mesmos tipos de entidades financeiras com atividade em diversos Estados-Membros também poderia sofrer distorções. É o caso, em particular, dos domínios em que a harmonização da União tem sido muito limitada, como o da realização de testes de resiliência operacional digital, ou inexistente, como o da monitorização do risco associado às TIC devido a terceiros. As disparidades decorrentes dos desenvolvimentos projetados a nível nacional podem gerar mais obstáculos ao funcionamento do mercado interno, em detrimento dos intervenientes no mercado e da estabilidade financeira.

(10) Até à data, pelo facto de as disposições relacionadas com o risco associado às TIC apenas serem abordadas de modo parcial a nível da União, são patentes lacunas e sobreposições em domínios importantes, como a notificação de incidentes relacionados com as TIC e a realização de testes de resiliência operacional digital, bem como inconsistências decorrentes da emergência de regras nacionais divergentes ou da aplicação ineficaz em termos de custos de regras que se sobrepõem. Esta situação é especialmente prejudicial para os utilizadores intensivos das TIC, como o setor financeiro, uma vez que os riscos tecnológicos não conhecem fronteiras e o setor financeiro oferece os seus serviços a nível transfronteiriço, tanto dentro como fora da União. Atuando isoladamente as entidades financeiras com atividades transfronteiriças ou titulares de diversas autorizações (por exemplo, uma entidade financeira pode ser titular de uma licença bancária, como empresa de investimento e como instituição de pagamento, cada uma delas emitida por autoridades competentes diferentes num ou mais Estados-Membros) enfrentam desafios operacionais para fazer face ao risco associado às TIC e atenuar os impactos negativos dos incidentes relacionados com as TIC de uma forma eficaz em termos de custos

(11) Uma vez que o conjunto único de regras não foi acompanhado de um quadro abrangente para o risco operacional nem para as TIC, é necessária uma maior harmonização dos requisitos essenciais de resiliência operacional digital para todas as entidades financeiras. O desenvolvimento de capacidades e de resiliência geral no domínio das TIC pelas entidades financeiras, com base nos referidos requisitos essenciais, com vista a resistir às indisponibilidades operacionais, ajudaria a preservar a estabilidade e a integridade dos mercados financeiros da União, contribuindo assim para assegurar um elevado nível de proteção dos investidores e consumidores na União. Uma vez que o presente regulamento visa contribuir para o bom funcionamento do mercado interno, deverá ter por base as disposições do artigo 114.o do Tratado sobre o Funcionamento da União Europeia (TFUE), interpretado nos termos da jurisprudência constante do Tribunal de Justiça da União Europeia (Tribunal de Justiça).

(12) O presente regulamento visa consolidar e atualizar os requisitos em matéria de risco associado às TIC no âmbito dos requisitos em matéria de risco operacional que, até ao momento, foram abordados separadamente em vários atos jurídicos da União. Apesar de os referidos atos abrangerem as principais categorias de riscos financeiros (ou seja, risco de crédito, risco de mercado, risco de crédito de contraparte, risco de liquidez e risco de conduta no mercado), quando foram adotados não deram uma resposta cabal a todas as componentes da resiliência operacional. As regras em matéria de risco operacional, à medida que foram sendo aprofundadas nos referidos atos jurídicos da União, deram muitas vezes preferência à tradicional abordagem quantitativa do risco (nomeadamente, o estabelecimento de um requisito de fundos próprios para cobrir o risco associado às TIC), em detrimento de regras qualitativas específicas destinadas a proteger, detetar, conter, recuperar e reparar as capacidades afetadas por incidentes relacionados com as TIC, ou a estabelecer capacidades em matéria de notificação e de testes digitais. Esses atos pretendiam, sobretudo, abranger e atualizar as regras essenciais em matéria de supervisão prudencial, integridade do mercado ou conduta. Ao consolidar e atualizar as diferentes regras em matéria de risco associado às TIC, todas as disposições que abordam o risco digital no setor financeiro deverão ser, pela primeira vez, coligidas de modo coerente num único ato legislativo. Por conseguinte, o presente regulamento colmata as lacunas ou resolve as incoerências em alguns dos anteriores atos jurídicos, nomeadamente em relação à terminologia utilizada, e faz explicitamente referência ao risco associado às TIC por meio de regras específicas relativas às capacidades de gestão desse risco, à notificação de incidentes, aos testes de resiliência operacional, bem como à monitorização do risco associado às TIC devido a terceiros. O presente regulamento deverá, portanto, sensibilizar para o risco associado às TIC e reconhecer que os incidentes relacionados com as TIC e a falta de resiliência operacional podem comprometer a solidez das entidades financeiras.

(13) As entidades financeiras deverão adotar a mesma abordagem e as mesmas regras baseadas em princípios ao abordarem o risco associado às TIC, tendo em conta a sua dimensão e o seu perfil de risco global, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações. A coerência contribuirá para reforçar a confiança no sistema financeiro e preservar a sua estabilidade, especialmente quando se verifica uma dependência elevada dos sistemas, plataformas e infraestruturas de TIC, o que implica um aumento do risco digital. A observância de regras básicas de cibersegurança deverá também evitar a imposição de pesados custos para a economia, minimizando o impacto e os custos das perturbações no domínio das TIC.

(14) Um regulamento ajuda a reduzir a complexidade regulamentar, fomenta a convergência da supervisão, aumenta a segurança jurídica e contribui também para limitar os custos de conformidade, em especial para entidades financeiras com atividade a nível transfronteiras, bem como para reduzir as distorções da concorrência. Por conseguinte, a escolha de um regulamento para o estabelecimento de um quadro comum para a resiliência operacional digital das entidades financeiras é a forma mais adequada de garantir uma aplicação homogénea e coerente de todas as componentes da gestão do risco associado às TIC pelo setor financeiro da União.

(15) A Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho (7) foi o primeiro quadro horizontal para a cibersegurança adotado a nível da União, sendo aplicável também a três tipos de entidades financeiras, a saber, as instituições de crédito, as plataformas de negociação e as contrapartes centrais. No entanto, uma vez que a Diretiva (UE) 2016/1148 estabeleceu um mecanismo de identificação a nível nacional dos operadores de serviços essenciais, só determinadas instituições de crédito, plataformas de negociação e contrapartes centrais foram identificadas pelos Estados-Membros e passaram a ser abrangidas pelo seu âmbito de aplicação, na prática, sendo, por conseguinte, obrigadas a cumprir os requisitos de notificação de incidentes e de segurança no domínio das TIC estabelecidos na diretiva. A Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho (8) estabelece um critério uniforme para determinar as entidades abrangidas pelo seu âmbito de aplicação (regra do limite máximo de dimensão), mantendo simultaneamente os três tipos de entidades financeiras no seu âmbito de aplicação.

(16) No entanto, dado que o presente regulamento aumenta o nível de harmonização das diferentes componentes de resiliência digital, introduzindo requisitos de gestão do risco associado às TIC e de comunicação de incidentes relacionados com as TIC que são mais rigorosos em comparação com os estabelecidos no direito da União vigente em matéria de serviços financeiros da União, este nível mais elevado constitui também um reforço da harmonização em comparação com os requisitos estabelecidos na Diretiva (UE) 2022/2555 Por conseguinte, o presente regulamento constitui lex specialis relativamente à Diretiva (UE) 2022/2555 Ao mesmo tempo, é fundamental manter uma ligação forte entre o setor financeiro e o quadro horizontal de cibersegurança da União, tal como consta atualmente da Diretiva (UE) 2022/2555, a fim de assegurar a coerência com as estratégias de cibersegurança adotadas pelos Estados-Membros e de permitir que as autoridades de supervisão financeira tomem conhecimento dos ciberincidentes que afetem outros setores abrangidos por essa diretiva.

(17) Nos termos do artigo 4.o, n.o 2, do Tratado da União Europeia e sem prejuízo do controlo jurisdicional pelo Tribunal de Justiça, o presente regulamento não deverá afetar a responsabilidade dos Estados-Membros no que respeita às funções essenciais do Estado em matéria de segurança pública, defesa e salvaguarda da segurança nacional, por exemplo no que diz respeito ao fornecimento de informações que sejam contrárias à salvaguarda da segurança nacional.

(18) A fim de possibilitar a aprendizagem intersetorial e retirar efetivamente ensinamentos de outros setores que enfrentam ciberameaças, as entidades financeiras referidas na Diretiva (UE) 2022/2555 deverão continuar a fazer parte do «ecossistema» dessa diretiva [por exemplo, o grupo de cooperação e as equipas de resposta a incidentes de segurança informática (CSIRT)]. As AES e as autoridades nacionais competentes deverão participar nos debates políticos estratégicos e nos trabalhos técnicos do grupo de cooperação ao abrigo dessa diretiva, e trocar informações e reforçar a cooperação com os pontos de contacto únicos designados ou criados nos termos dessa diretiva. As autoridades competentes ao abrigo do presente regulamento deverão igualmente consultar e cooperar com as CSIRT. As autoridades competentes deverão também poder solicitar aconselhamento técnico às autoridades competentes designadas ou criadas nos termos da Diretiva (UE) 2022/2555 e celebrar acordos de cooperação destinados a assegurar mecanismos de coordenação eficazes e de resposta rápida.

(19) Tendo em conta as fortes interligações entre a resiliência digital e a resiliência física das entidades financeiras, é necessário assegurar uma abordagem coerente da resiliência das entidades críticas no presente regulamento e na Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho (9). Uma vez que a resiliência física das entidades financeiras é abordada de forma abrangente no quadro das obrigações em matéria de gestão do risco associado às TIC e de notificação abrangidas pelo presente regulamento, as obrigações previstas nos capítulos III e IV da Diretiva (UE) 2022/2557 não deverão aplicar-se às entidades financeiras abrangidas pelo âmbito de aplicação dessa diretiva.

(20) Os prestadores de serviços de computação em nuvem são uma das categorias de infraestruturas digitais abrangidas pela Diretiva (UE) 2022/2555 O quadro de superintendência da União («quadro de superintendência») estabelecido pelo presente regulamento aplica-se a todos os terceiros prestadores de serviços de TIC críticos, incluindo os prestadores de serviços de computação em nuvem que prestam serviços de TIC a entidades financeiras, e deverá ser considerado complementar da supervisão nos termos da Diretiva (UE) 2022/2555 Além disso, o quadro de superintendência estabelecido no presente regulamento deverá abranger os prestadores de serviços de computação em nuvem na ausência de um quadro horizontal da União que estabeleça uma autoridade de supervisão digital.

(21) Para que mantenham pleno controlo do risco associado às TIC, as entidades financeiras deverão dispor de capacidades abrangentes que possibilitem uma gestão robusta e eficaz do risco associado às TIC, bem como de mecanismos e políticas específicas para o tratamento de todos os incidentes relacionados com as TIC e para a notificação dos incidentes de caráter severo relacionados com as TIC. Do mesmo modo, as entidades financeiras deverão dispor de políticas para a realização de testes dos sistemas, controlos e processos de TIC, bem como para gerir o risco associado às TIC devido a terceiros. A base de referência para a resiliência operacional digital das entidades financeiras deverá ser elevada, permitindo simultaneamente uma aplicação proporcionada dos requisitos aplicáveis a certas entidades financeiras, nomeadamente as microempresas, bem como as entidades financeiras sujeitas a um quadro simplificado de gestão do risco associado às TIC. A fim de facilitar uma supervisão eficiente das instituições de realização de planos de pensões profissionais que seja proporcionada e dê resposta à necessidade de reduzir os encargos administrativos para as autoridades competentes, os mecanismos nacionais de supervisão pertinentes aplicáveis a essas entidades financeiras deverão ter em conta a sua dimensão e o seu perfil de risco global, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações, mesmo quando os limiares pertinentes estabelecidos no artigo 5.o da Diretiva (UE) 2016/2341 do Parlamento Europeu e do Conselho (10) sejam excedidos. Em especial, as atividades de supervisão deverão centrar-se principalmente na necessidade de fazer face a riscos graves relacionados com a gestão do risco associado às TIC por parte de determinada entidade. As autoridades competentes deverão igualmente manter uma abordagem vigilante mas proporcionada em relação à supervisão das instituições de realização de planos de pensões profissionais que, nos termos do artigo 31.o da Diretiva (UE) 2016/2341, subcontratam a prestadores de serviços uma parte significativa da sua atividade principal, como a gestão de ativos, os cálculos atuariais, a contabilidade e a gestão de dados.

(22) Os limiares e as taxonomias que regem a notificação de incidentes relacionados com as TIC variam significativamente a nível nacional. Embora seja possível chegar a consensos, por meio dos esforços pertinentes envidados pela Agência da União Europeia para a Cibersegurança (ENISA), criada pelo Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho (11) e pelo grupo de cooperação ao abrigo da Diretiva (UE) 2022/2555, ainda existem e podem surgir abordagens divergentes em matéria de fixação de limiares e utilização de taxonomias para as restantes entidades financeiras. Devido a essas divergências, há múltiplos requisitos que as entidades financeiras têm de cumprir, em especial se tiverem atividades em diversos Estados-Membros e integrarem um grupo financeiro. Além disso, tais divergências têm potencial para prejudicar a criação de outros mecanismos uniformes ou centralizados da União que acelerem o processo de notificação e apoiem uma partilha rápida e facilitada de informações entre as autoridades competentes, que é crucial para dar resposta ao risco associado às TIC em caso de ataques em grande escala com consequências potencialmente sistémicas.

(23) A fim de reduzir os encargos administrativos e a potencial duplicação das obrigações de notificação para certas entidades financeiras, o requisito relativo à notificação de incidentes nos termos da Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho (12) deverá deixar de ser aplicável aos prestadores de serviços de pagamento abrangidos pelo âmbito de aplicação do presente regulamento. Por conseguinte, as instituições de crédito, as instituições de moeda eletrónica, as instituições de pagamento e os prestadores de serviços de informação sobre contas a que se refere o artigo 33.o, n.o 1, dessa diretiva deverão, a partir da data de aplicação do presente regulamento, notificar, nos termos do presente regulamento, todos os incidentes operacionais ou de segurança relacionados com pagamentos que tenham sido previamente notificados nos termos da referida diretiva, independentemente de tais incidentes estarem relacionados com as TIC.

(24) Para permitir que as autoridades competentes cumpram as funções de supervisão, obtendo uma visão completa da natureza, da frequência, da significância e do impacto dos incidentes relacionados com as TIC, e reforçar a partilha de informações entre as autoridades públicas pertinentes, nomeadamente as autoridades responsáveis pela aplicação da lei e as autoridades de resolução, o presente regulamento deverá estabelecer um regime sólido de notificação dos incidentes relacionados com as TIC, ao abrigo do qual os requisitos pertinentes abordem as atuais lacunas no direito dos serviços financeiros, e eliminem sobreposições e duplicações existentes para reduzir os custos. É essencial harmonizar o regime de notificação de incidentes relacionados com as TIC, exigindo a todas as entidades financeiras que os comuniquem às respetivas autoridades competentes através de um quadro único simplificado, conforme estabelecido no presente regulamento. Além disso, as AES deverão estar habilitadas a especificar elementos pertinentes para o quadro de notificação de incidentes relacionados com as TIC, tais como a taxonomia, os prazos, os conjuntos de dados, os modelos e os limiares aplicáveis. A fim de assegurar a plena coerência com a Diretiva (UE) 2022/2555, as entidades financeiras deverão estar autorizadas a notificar, a título voluntário, a autoridade competente pertinente da existência de ciberameaças significativas sempre que considerem as ameaças relevantes para o sistema financeiro, os utilizadores ou os clientes do serviço.

(25) Foram desenvolvidos requisitos em matéria de testes de resiliência operacional digital em certos subsetores financeiros que estabelecem quadros que nem sempre estão totalmente alinhados. Esta situação conduz a uma potencial duplicação dos custos para as entidades financeiras transfronteiriças e torna complexo o reconhecimento mútuo dos resultados dos testes de resiliência operacional digital, o que, por sua vez, pode fragmentar o mercado interno.

(26) Além disso, nos casos em que não é obrigatório realizar testes às TIC, existem vulnerabilidades que continuam ocultas e que conduzem à exposição de uma entidade financeira ao risco associado às TIC e, em última análise, aumentam o risco para a estabilidade e a integridade do setor financeiro. Sem a intervenção da União, a realização de testes de resiliência operacional digital continuaria a ser incoerente e careceria de um sistema de reconhecimento mútuo dos resultados dos testes às TIC entre as diversas jurisdições. Além disso, e uma vez que será pouco provável que outros subsetores financeiros adotem regimes de realização de testes a uma escala significativa, não terão acesso aos potenciais benefícios de um quadro para a realização de testes, em termos de identificação de vulnerabilidades e risco associado às TIC, e avaliação das capacidades de defesa e de garantia de continuidade das atividades, que contribuem para aumentar a confiança dos clientes, fornecedores e parceiros comerciais. A fim de resolver essas sobreposições, divergências e lacunas, é necessário estabelecer regras relativas a um regime de realização de testes coordenados, facilitando assim o reconhecimento mútuo de testes avançados para as entidades financeiras que preencham os requisitos previstos no presente regulamento.

(27) A dependência das entidades financeiras da utilização de serviços de TIC é em parte motivada pela sua necessidade de adaptação a uma economia digital emergente e competitiva a nível mundial, para reforçar a sua eficiência comercial e satisfazer a procura dos consumidores. A natureza e a dimensão desta dependência têm evoluído continuamente nos últimos anos e impulsionou uma redução dos custos de intermediação financeira, permitindo a expansão das empresas e economias de escala no desenvolvimento de atividades financeiras e oferecendo simultaneamente uma gama alargada de instrumentos de TIC para gerir processos internos complexos.

(28) Os complexos acordos contratuais comprovam essa ampla utilização dos serviços de TIC, motivo pelo qual as entidades financeiras se confrontam muitas vezes com dificuldades em negociar cláusulas contratuais adaptadas às normas prudenciais ou a outros requisitos regulamentares a que estão sujeitas, ou em fazerem valer certos direitos específicos, como os direitos de acesso ou de auditoria, mesmo quando estes últimos estão consagrados nos seus acordos contratuais. Acresce que muitos desses acordos contratuais não preveem salvaguardas suficientes para a plena monitorização dos processos de subcontratação, privando assim a entidade financeira dos instrumentos necessários para avaliar os riscos associados. Além disso, uma vez que os terceiros prestadores de serviços de TIC prestam muitas vezes serviços normalizados a diferentes tipos de clientes, tais acordos contratuais nem sempre dão uma resposta cabal às necessidades individuais ou específicas dos intervenientes do setor financeiro.

(29) Embora o direito da União dos serviços financeiros contenha certas regras gerais em matéria de externalização, a monitorização da dimensão contratual não está plenamente ancorada no direito da União. Na ausência de normas claras e adaptadas da União aplicáveis aos acordos contratuais celebrados com terceiros prestadores de serviços de TIC, a fonte externa do risco associado às TIC não é abordada de forma exaustiva. Por conseguinte, é necessário estabelecer determinados princípios fundamentais para orientar a gestão realizada pelas entidades financeiras do risco associado às TIC devido a terceiros, princípios esses que assumem particular importância quando as entidades financeiras recorrem a terceiros prestadores de serviços de TIC para apoiar as suas funções críticas ou importantes. Esses princípios deverão ser acompanhados de um conjunto de direitos contratuais fundamentais relativos a diversos elementos da execução e rescisão de acordos contratuais, com vista a proporcionar determinadas salvaguardas mínimas a fim de reforçar a capacidade das entidades financeiras procederem a uma monitorização efetiva de todo o risco associado às TIC que possa surgir a nível dos terceiros prestadores de serviços. Esses princípios são complementares do direito setorial aplicável à externalização.

(30) Verifica-se atualmente uma certa falta de homogeneidade e convergência no que se refere à monitorização do risco associado às TIC devido a terceiros e à dependência de terceiros no domínio das TIC. Não obstante os esforços no sentido de enquadrar a externalização, tais como as Orientações da EBA relativas à subcontratação, de 2019, e as Orientações da ESMA relativas à subcontratação externa a prestadores de serviços de computação em nuvem, de 2021, a questão mais vasta do combate ao risco sistémico que pode ser desencadeado pela exposição do setor financeiro a um conjunto limitado de terceiros prestadores de serviços de TIC críticos não é suficientemente abordada no direito da União. A insuficiência de regras a nível da União é agravada pela ausência de regras a nível nacional sobre instrumentos e mandatos que permitam às autoridades de supervisão financeira obter um bom conhecimento das dependências de terceiros no domínio das TIC e monitorizar de forma adequada os riscos decorrentes da concentração de dependências de terceiros no domínio das TIC.

(31) Tendo em conta o potencial risco sistémico que o aumento das práticas de externalização e a concentração ao nível das TIC implicam, e estando ciente de que os mecanismos nacionais são insuficientes para dotar as autoridades de supervisão financeira de instrumentos adequados para quantificar, qualificar e remediar as consequências do risco associado às TIC devido a terceiros prestadores de serviços de TIC críticos, há que estabelecer um quadro de superintendência adequado que permita a contínua monitorização das atividades de terceiros prestadores de serviços de TIC que sejam críticos para as entidades financeiras, assegurando simultaneamente a confidencialidade e a segurança dos clientes que não sejam entidades financeiras. Embora a prestação de serviços de TIC intragrupo implique riscos e benefícios específicos, não deverá ser automaticamente considerada menos arriscada do que a prestação de serviços de TIC por prestadores de serviços que não pertençam a um grupo financeiro, devendo, por conseguinte, estar sujeita ao mesmo quadro regulamentar. No entanto, quando os serviços de TIC são prestados no âmbito do mesmo grupo financeiro, as entidades financeiras podem ter um nível mais elevado de controlo sobre os prestadores intragrupo, o que deverá ser tido em conta na avaliação global dos riscos.

(32) Dado que o risco associado às TIC é cada vez mais complexo e sofisticado, a adequação das medidas de deteção e prevenção do risco associado às TIC dependerá, em grande medida, da partilha regular de informações entre as entidades financeiras sobre as ameaças e vulnerabilidades. A partilha de informações contribui para aumentar a sensibilização para as ciberameaças. Por sua vez, tal reforça a capacidade das entidades financeiras para impedirem que as ciberameaças se transformem em incidentes reais relacionados com as TIC e permite que as entidades financeiras contenham de forma mais eficaz o impacto dos incidentes relacionados com as TIC e recuperem dos mesmos mais rapidamente. Na ausência de orientações a nível da União, diversos fatores, em especial a incerteza quanto à sua compatibilidade com as regras em matéria de proteção de dados, anti-trust e de responsabilidade, parecem ter inibido a referida partilha de informações.

(33) Além disso, as dúvidas quanto ao tipo de informações que podem ser partilhadas com outros intervenientes no mercado, ou com autoridades não supervisoras (como a ENISA, para um contributo analítico, ou a Europol, para fins de aplicação da lei) levaram a que informações úteis não fossem partilhadas. Por conseguinte, a dimensão e a qualidade da partilha de informações continuam a ser limitadas e fragmentadas, sendo os intercâmbios pertinentes realizados sobretudo a nível local (por meio de iniciativas nacionais) e não havendo acordos de partilha de informações a nível da União adaptados às necessidades de um sistema financeiro integrado. Por conseguinte, é importante reforçar esses canais de comunicação.

(34) Importa incentivar as entidades financeiras a partilharem entre si informações específicas e sensíveis relativas a ciberameaças e a, coletivamente, tirarem partido dos seus conhecimentos e experiências práticas individuais a nível estratégico, tático e operacional, com vista a reforçarem as suas capacidades para, de forma adequada, avaliarem, monitorizarem, se defenderem e darem resposta às ciberameaças, participando em acordos de partilha de informações. Por conseguinte, é necessário possibilitar o surgimento a nível da União de mecanismos que prevejam acordos de partilha de informações a título voluntário, que, quando realizada em ambientes fiáveis, ajudaria o setor financeiro a prevenir e dar resposta coletivamente às ciberameaças, limitando rapidamente a propagação do risco associado às TIC e impedindo o possível contágio ao longo dos canais financeiros. Esses mecanismos deverão respeitar as regras aplicáveis em matéria de direito da concorrência da União previstas na Comunicação da Comissão, de 14 de janeiro de 2011, intitulada «Orientações sobre a aplicação do artigo 101.o do Tratado sobre o Funcionamento da União Europeia aos acordos de cooperação horizontal», bem como as regras da União em matéria de proteção dos dados, nomeadamente o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (13). Deverão funcionar com base em uma ou várias das bases jurídicas estabelecidas no artigo 6.o desse regulamento, nomeadamente no contexto do tratamento de dados pessoais necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, nos termos do artigo 6.o, n.o 1, alínea f), do referido regulamento, bem como no contexto do tratamento de dados pessoais necessário para o cumprimento de uma obrigação jurídica à qual o responsável pelo tratamento de dados está sujeito ou para o exercício de funções de interesse público ou da autoridade pública de que está investido o responsável pelo tratamento dos dados, conforme referido no artigo 6.o, n.o 1, alíneas c) e e), respetivamente, desse regulamento.

(35) A fim de manter um elevado nível de resiliência operacional digital para todo o setor financeiro e, ao mesmo tempo, acompanhar a evolução tecnológica, o presente regulamento deverá abordar os riscos decorrentes de todos os tipos de serviços de TIC. Para o efeito, a definição de serviços de TIC no contexto do presente regulamento deverá ser entendida de forma ampla e abranger os serviços digitais e de dados prestados por meio de sistemas de TIC a um ou mais utilizadores internos ou externos de forma contínua. Essa definição deverá incluir, por exemplo, os chamados «serviços over the top» (de distribuição de conteúdos audiovisuais), que se inserem na categoria dos serviços de comunicações eletrónicas. Deverá excluir apenas a categoria limitada de serviços telefónicos analógicos tradicionais considerados serviços da rede telefónica pública comutada (RTPC), serviços da rede fixa, serviços telefónicos convencionais (POTS, do inglês Plain Old Telephone Service) ou serviços de comunicações por telefone fixo.

(36) Não obstante a ampla cobertura pretendida com o presente regulamento, a aplicação das regras de resiliência operacional digital deverá ter em conta as diferenças significativas entre as entidades financeiras em termos da sua dimensão e do seu perfil de risco global. Como princípio geral, ao afetarem recursos e capacidades à aplicação do quadro de gestão do risco associado às TIC, as entidades financeiras deverão equacionar cuidadosamente as suas necessidades relacionadas com as TIC em função da sua dimensão e do seu perfil de risco global, bem como da natureza, escala e complexidade dos seus serviços, atividades e operações, enquanto as autoridades competentes deverão avaliar e rever de forma recorrente a abordagem seguida para tal afetação.

(37) Os prestadores de serviços de informação sobre contas, referidos no artigo 33.o, n.o 1, da Diretiva (UE) 2015/2366, estão explicitamente incluídos no âmbito de aplicação do presente regulamento, tendo em conta a natureza específica das suas atividades e os riscos daí decorrentes. Além disso, as instituições de moeda eletrónica e as instituições de pagamento, isentas nos termos do artigo 9.o, n.o 1, da Diretiva 2009/110/CE do Parlamento Europeu e do Conselho (14) e do artigo 32.o, n.o 1, da Diretiva (UE) 2015/2366, estão incluídas no âmbito de aplicação do presente regulamento, mesmo que não lhes tenha sido concedida autorização, nos termos da Diretiva 2009/110/CE, para emitir moeda eletrónica, ou que não lhes tenha sido concedida autorização, nos termos da Diretiva (UE) 2015/2366, para prestar e executar serviços de pagamento. No entanto, as instituições de cheques postais referidas no artigo 2.o, n.o 5, ponto 3, da Diretiva 2013/36/UE do Parlamento Europeu e do Conselho (15) estão excluídas do âmbito de aplicação do presente regulamento. A autoridade competente para as instituições de pagamento isentas nos termos da Diretiva (UE) 2015/2366, as instituições de moeda eletrónica isentas nos termos da Diretiva 2009/110/CE e os prestadores de serviços de informação sobre contas referidos no artigo 33.o, n.o 1, da Diretiva (UE) 2015/2366, deverá ser a autoridade competente designada nos termos do artigo 22.o da Diretiva (UE) 2015/2366.

(38) Uma vez que as entidades financeiras de maior dimensão dispõem de mais recursos e conseguem mais rapidamente mobilizar fundos para desenvolver as estruturas de governação e estabelecer diversas estratégias empresariais, o estabelecimento de estruturas de governação mais complexas só deve ser imposto às entidades financeiras que não sejam microempresas na aceção do presente regulamento. Essas entidades estão mais bem equipadas, nomeadamente para criarem funções específicas de gestão destinadas a supervisionar os acordos celebrados com terceiros prestadores de serviços de TIC ou gerir as crises, para organizarem a sua gestão do risco associado às TIC de acordo com o modelo das três linhas de defesa, ou para criarem um modelo interno de controlo e gestão dos riscos e submeterem o seu quadro de gestão do risco associado às TIC a auditorias internas.

(39) Algumas entidades financeiras beneficiam de isenções ou estão sujeitas a um quadro regulamentar muito leve ao abrigo do direito setorial da União pertinente. Entre essas entidades financeiras contam-se os gestores de fundos de investimento alternativos a que se refere o artigo 3.o, n.o 2, da Diretiva 2011/61/UE do Parlamento Europeu e do Conselho (16), as empresas de seguros e de resseguros a que se refere o artigo 4.o da Diretiva 2009/138/CE do Parlamento Europeu e do Conselho (17), e as instituições de realização de planos de pensões profissionais que gerem planos de pensões que, no seu conjunto, não têm mais de 15 membros no total. À luz das referidas isenções, não seria proporcionado incluir estas entidades financeiras no âmbito de aplicação do presente regulamento. Além disso, o presente regulamento reconhece as especificidades da estrutura do mercado de mediação de seguros, pelo que os mediadores de seguros, os mediadores de resseguros e os mediadores de seguros a título acessório considerados microempresas ou pequenas ou médias empresas não deverão ser abrangidos pelo presente regulamento.

(40) Uma vez que as entidades a que se refere o artigo 2.o, n.o 5, pontos 4 a 23, da Diretiva 2013/36/UE estão excluídas do âmbito de aplicação dessa diretiva, os Estados-Membros deverão, por conseguinte, poder optar por excluir da aplicação do presente regulamento essas entidades que se situem nos respetivos territórios.

(41) Do mesmo modo, a fim de alinhar o presente regulamento com o âmbito de aplicação da Diretiva 2014/65/UE do Parlamento Europeu e do Conselho (18), é igualmente oportuno excluir do âmbito de aplicação do presente regulamento as pessoas singulares e coletivas a que se referem os artigos 2.o e 3.o dessa diretiva e que estão autorizadas a prestar serviços de investimento sem terem de obter autorização ao abrigo da Diretiva 2014/65/UE. No entanto, o artigo 2.o da Diretiva 2014/65/UE também exclui do âmbito de aplicação dessa diretiva as entidades consideradas entidades financeiras para efeitos do presente regulamento, como as centrais de valores mobiliários, os organismos de investimento coletivo ou as empresas de seguros e de resseguros. A exclusão do âmbito de aplicação do presente regulamento das pessoas e entidades a que se referem os artigos 2.o e 3.o da referida diretiva não deverá abranger essas centrais de depósito de valores mobiliários, organismos de investimento coletivo ou empresas de seguros e de resseguros.

(42) Ao abrigo do direito setorial da União, algumas entidades financeiras estão sujeitas a requisitos ou isenções mais leves devido à sua dimensão ou aos serviços que prestam. Essa categoria de entidades financeiras inclui empresas de investimento de pequena dimensão e não interligadas, pequenas instituições de realização de planos de pensões profissionais, que podem ser excluídas do âmbito de aplicação da Diretiva (UE) 2016/2341 pelo Estado-Membro em causa, nas condições estabelecidas no artigo 5.o dessa diretiva, e que gerem planos de pensões que, no seu conjunto, não têm mais de 100 membros no total, bem como as instituições isentas nos termos da Diretiva 2013/36/UE. Por conseguinte, em consonância com o princípio da proporcionalidade e a fim de preservar o espírito do direito setorial da União, é igualmente adequado que, ao abrigo do presente regulamento, essas entidades financeiras sejam abrangidas por um quadro simplificado de gestão do risco associado às TIC. O caráter proporcionado do quadro de gestão do risco associado às TIC que abrange essas entidades financeiras não deverá ser alterado pelas normas técnicas de regulamentação que devem ser desenvolvidas pelas AES. Além disso, de acordo com o princípio da proporcionalidade, é adequado que as instituições de pagamento a que se refere o artigo 32.o, n.o 1, da Diretiva (UE) 2015/2366 e as instituições de moeda eletrónica a que se refere o artigo 9.o da Diretiva 2009/110/CE, isentas nos termos do direito nacional que transpõe esses atos jurídicos da União, também sejam abrangidas por um quadro simplificado de gestão do risco associado às TIC ao abrigo do presente regulamento, ao passo que as instituições de pagamento e as instituições de moeda eletrónica que não estejam isentas nos termos do respetivo direito nacional que transpõe o direito setorial da União deverão cumprir o quadro geral estabelecido no presente regulamento.

(43) Do mesmo modo, as entidades financeiras consideradas microempresas ou abrangidas pelo quadro simplificado de gestão do risco associado às TIC ao abrigo do presente regulamento não deverão ser obrigadas a criar um cargo para monitorizar os acordos celebrados com terceiros prestadores de serviços de TIC relativos à utilização de serviços de TIC; nem a designar um membro da direção de topo responsável pela superintendência da exposição ao risco conexa e pela documentação pertinente; a atribuir a responsabilidade pela gestão e superintendência do risco associado às TIC a uma função de controlo e assegurar um nível adequado de independência e objetividade dessa função de controlo, a fim de evitar conflitos de interesses; a documentar e rever, pelo menos uma vez por ano, o quadro de gestão do risco associado às TIC; a submeter periodicamente a auditoria interna o quadro de gestão do risco associado às TIC; a realizar avaliações em profundidade após a introdução de alterações importantes nas suas infraestruturas e processos do sistema de rede e informação; a realizar análises do risco periódicas de sistemas de TIC legados; a submeter a execução dos planos de resposta e recuperação em matéria de TIC a auditorias internas independentes; a dispor de uma função de gestão de crises, a alargar a realização de testes dos planos de continuidade das atividades e de resposta e recuperação para abranger cenários de comutação entre a sua infraestrutura primária de TIC e instalações redundantes; a comunicar às autoridades competentes, a pedido destas, uma estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC; a manter capacidades de TIC redundantes, a comunicar às autoridades nacionais competentes as alterações introduzidas na sequência de avaliações de incidentes relacionados com as TIC; a monitorizar continuamente a evolução tecnológica pertinente, a estabelecer um programa abrangente de realização de testes de resiliência operacional digital para efeitos do quadro de gestão do risco associado às TIC previsto no presente regulamento, ou a adotar e rever periodicamente uma estratégia para o risco associado às TIC devido a terceiros. Além disso, as microempresas deverão ser obrigadas a avaliar a necessidade de manter essas capacidades de TIC redundantes apenas com base no seu perfil de risco. As microempresas deverão beneficiar de um regime mais flexível no que diz respeito aos programas de realização de testes de resiliência operacional digital. Ao considerar o tipo e a frequência dos testes, deverão equacionar, de forma adequada, o objetivo de manter uma elevada resiliência operacional digital com os recursos disponíveis e com o seu perfil de risco global. As microempresas e as entidades financeiras abrangidas pelo quadro simplificado de gestão do risco associado às TIC ao abrigo do presente regulamento deverão estar isentas da obrigação de realizar testes avançados às ferramentas, aos sistemas e aos processos relacionados com as TIC mediante testes de penetração baseados em ameaças (TLPT, do inglês threat-led penetration testing), uma vez que apenas as entidades financeiras que preencham os critérios previstos no presente regulamento deverão ser obrigadas a realizar esses testes. Atendendo às suas capacidades limitadas, as microempresas deverão poder acordar com os terceiros prestadores de serviços de TIC críticos a delegação dos direitos de acesso, inspeção e auditoria da entidade financeira a uma entidade terceira independente, a nomear pelo terceiro prestador de serviços de TIC, desde que a entidade financeira possa solicitar, a qualquer momento, todas as informações e garantias pertinentes sobre o desempenho do terceiro prestador de serviços de TIC à respetiva entidade terceira independente.

(44) Uma vez que apenas as entidades financeiras consideradas para efeitos da realização de testes avançados de resiliência digital deverão ser obrigadas a realizar testes de penetração baseados em ameaças, os processos administrativos e os custos financeiros que a realização de tais testes implicam deverão recair sobre uma pequena percentagem das entidades financeiras.

(45) A fim de assegurar a plena conformidade e a coerência global entre, por um lado, as estratégias de atividade das entidades financeiras e, por outro, a gestão do risco associado às TIC, os órgãos de administração das entidades financeiras deverão estar obrigados a manter um papel fulcral e ativo na orientação e adaptação do quadro de gestão do risco associado às TIC e da estratégia global de resiliência digital operacional. A abordagem a adotar pelos órgãos de administração deverá centrar-se não só nos meios destinados a assegurar a resiliência dos sistemas de TIC como também abranger as pessoas e os processos por meio de um conjunto de políticas que promovam, em cada nível da empresa e junto de todos os funcionários, uma boa sensibilização para os ciber-riscos e o compromisso de respeitar regras básicas de cibersegurança rigorosas a todos os níveis. A responsabilidade última do órgão de administração pela gestão do risco associado às TIC de uma entidade financeira deverá constituir um princípio global dessa abordagem abrangente, que se deverá também traduzir no empenhamento contínuo do órgão de administração no controlo da monitorização da gestão do risco associado às TIC.

(46) Além disso, o princípio da responsabilidade total e última do órgão de administração pela gestão do risco associado às TIC da entidade financeira está estreitamente ligado à necessidade de garantir um nível de investimento relacionado com as TIC e um orçamento global da entidade financeira que lhe permita alcançar um nível elevado de resiliência operacional digital.

(47) Inspirando-se nas boas práticas, orientações, recomendações e abordagens pertinentes a nível internacional, nacional e setorial em matéria de gestão dos ciber-riscos, o presente regulamento promove um conjunto de princípios que facilitam a estruturação geral da gestão do risco associado às TIC. Por conseguinte, as entidades financeiras deverão ter liberdade para utilizar modelos de gestão do risco associado às TIC enquadrados ou categorizados de diferentes formas, desde que as principais capacidades criadas pelas entidades financeiras respondam às diferentes funções de gestão do risco associado às TIC (identificação, proteção e prevenção, deteção, resposta e recuperação, aprendizagem e evolução e notificação) estabelecidas no presente regulamento.

(48) A fim de acompanhar o ritmo de um cenário de ciberameaças em rápida evolução, as entidades financeiras deverão dispor de sistemas de TIC atualizados que sejam fiáveis e tenham capacidade não só para garantir o tratamento dos dados necessários para os seus serviços, mas também para assegurar uma resiliência tecnológica suficiente que lhes permita dar uma resposta adequada às necessidades adicionais de tratamento decorrentes de condições de tensão no mercado ou outras situações adversas.

(49) São necessários planos eficientes de continuidade das atividades e de recuperação que permitam às entidades financeiras resolver rápida e atempadamente os incidentes relacionados com as TIC, em especial os ciberataques, limitando os danos e dando prioridade à retoma da atividade e às medidas de recuperação, em conformidade com as suas políticas de salvaguarda. No entanto, essa retoma não pode, de modo algum, pôr em risco a integridade e segurança dos sistemas de rede e informação nem a disponibilidade, autenticidade, integridade ou confidencialidade, dos dados.

(50) Embora o presente regulamento autorize as entidades financeiras a determinarem de modo flexível os seus objetivos em termos de tempo de recuperação e ponto de recuperação e, portanto, a estabelecerem tais objetivos tendo plenamente em conta a natureza e o caráter crítico da função pertinente, bem como quaisquer necessidades operacionais específicas, deverá, contudo, exigir que realizem uma avaliação do potencial impacto global na eficiência do mercado ao determinar os referidos objetivos.

(51) Os disseminadores de ciberataques tendem a procurar obter ganhos financeiros diretamente na fonte, expondo assim as entidades financeiras a consequências significativas. A fim de evitar que os sistemas de TIC percam a integridade ou fiquem indisponíveis e, por conseguinte, evitar a violação de dados e danos para a infraestrutura física de TIC, é necessário melhorar significativamente e simplificar a notificação de incidentes de caráter severo relacionados com as TIC por parte das entidades financeiras. A notificação de incidentes relacionados com as TIC deverá ser harmonizada mediante a introdução de um requisito aplicável a todas as entidades financeiras, exigindo que estas notifiquem diretamente as respetivas autoridades competentes relevantes. Caso uma entidade financeira esteja sujeita a supervisão por mais do que uma autoridade nacional competente, os Estados-Membros deverão designar uma única autoridade competente como destinatária dessa notificação. As instituições de crédito avaliadas como significativas nos termos do artigo 6.o, n.o 4, do Regulamento (UE) n.o 1024/2013 do Conselho (19) deverão apresentar essa notificação às autoridades nacionais competentes, que subsequentemente a deverão transmitir ao Banco Central Europeu (BCE).

(52) Essa notificação direta deverá permitir que as autoridades de supervisão financeira tenham acesso imediato a informações sobre incidentes de caráter severo relacionados com as TIC. Por sua vez, as autoridades de supervisão financeira deverão transmitir pormenores de incidentes de caráter severo relacionados com as TIC às autoridades públicas não financeiras (como as autoridades competentes e os pontos de contacto únicos nos termos da Diretiva (UE) 2022/2555, as autoridades nacionais de proteção de dados e as autoridades responsáveis pela aplicação da lei em caso de incidentes de caráter severo relacionados com as TIC de natureza criminosa), a fim de aumentar a sensibilização dessas autoridades para esse tipo de incidentes e, no caso das CSIRT, facilitar a assistência imediata que pode ser prestada às entidades financeiras, se for caso disso. Além disso, os Estados-Membros deverão poder determinar que as próprias entidades financeiras forneçam essas informações a autoridades públicas fora do domínio dos serviços financeiros. Esses fluxos de informação deverão permitir que as entidades financeiras beneficiem rapidamente de qualquer contributo técnico pertinente, aconselhamento sobre medidas corretivas e subsequente acompanhamento por parte dessas autoridades. É necessário canalizar numa base mútua as informações sobre incidentes de caráter severo relacionados com as TIC: as autoridades de supervisão financeira deverão transmitir todas as observações ou orientações necessárias à entidade financeira, ao passo que as AES deverão partilhar dados anonimizados sobre as ciberameaças e vulnerabilidades relacionadas com um evento, a fim de contribuir para uma defesa coletiva mais alargada.

(53) Embora todas as entidades financeiras devam ser obrigadas a proceder à notificação de incidentes, não se prevê que esse requisito as afete todas do mesmo modo. Com efeito, os limiares de materialidade pertinentes, bem como os prazos de notificação, deverão ser devidamente ajustados, no contexto de atos delegados baseados em normas técnicas de regulamentação a desenvolver pelas AES, a fim de abranger apenas os incidentes de caráter severo relacionados com as TIC. Além disso, as especificidades das entidades financeiras deverão ser tidas em conta na fixação dos prazos aplicáveis às obrigações de notificação.

(54) O presente regulamento deverá exigir que as instituições de crédito, as instituições de pagamento, os prestadores de serviços de informação sobre contas e as instituições de moeda eletrónica notifiquem todos os incidentes operacionais ou de segurança relacionados com pagamentos — anteriormente notificados nos termos da Diretiva (UE) 2015/2366 — independentemente da natureza do incidente relacionado com as TIC.

(55) As AES deverão ser incumbidas de analisar a viabilidade e as condições de uma eventual centralização da notificação de incidentes relacionados com as TIC a nível da União. Essa centralização poderá consistir numa plataforma única da UE para a notificação de incidentes de caráter severo relacionados com as TIC que receba diretamente as notificações pertinentes e proceda automaticamente à notificação das autoridades competentes ou simplesmente centralize os relatórios pertinentes que lhe sejam transmitidos pelas autoridades competentes nacionais, desempenhando assim uma função de coordenação. As AES deverão ser incumbidas de elaborar, em consulta com o BCE e a ENISA, um relatório conjunto que explore a viabilidade do estabelecimento de uma plataforma única da UE.

(56) A fim de alcançar um nível elevado de resiliência operacional digital, e em consonância quer com as normas internacionais pertinentes (por exemplo, os elementos fundamentais da realização de testes de penetração baseados em ameaças, elaborados pelo G7) quer com os quadros aplicados na União, como o TIBER–EU (do inglês Threat Intelligence based Ethical Red teaming), afigura-se oportuno que as entidades financeiras realizem regularmente testes aos seus sistemas de TIC, bem como ao pessoal com responsabilidades relacionadas com as TIC, em termos de eficácia das respetivas capacidades de prevenção, deteção, resposta e recuperação, a fim de detetar e resolver possíveis vulnerabilidades no domínio das TIC. Para atender às diferenças que existem entre os diversos subsetores financeiros e dentro dos próprios subsetores no que respeita ao nível de preparação das entidades financeiras no domínio da cibersegurança, a realização dos testes deverá compreender uma ampla variedade de instrumentos e medidas, desde a avaliação de requisitos básicos (por exemplo, avaliações e rastreamento de vulnerabilidade, análises de fonte aberta, avaliações da segurança das redes, análises das lacunas, análises da segurança física, questionários e programas informáticos de rastreamento, revisões do código fonte, se possível, testes baseados em cenários, testes de compatibilidade, testes de desempenho ou testes de extremo a extremo) a testes mais avançados, por meio de TLPT. Esses testes mais avançados deverão ser exigidos apenas a entidades financeiras com uma maturidade suficiente em termos de TIC para os realizarem de forma razoável. Os testes de resiliência operacional digital exigidos pelo presente regulamento deverão, por conseguinte, ser mais exigentes para essas entidades financeiras que preencham os critérios previstos no presente regulamento (por exemplo, as instituições de crédito grandes, sistémicas e maduras em matéria de TIC, as bolsas de valores, as centrais de valores mobiliários e as contrapartes centrais) do que para as demais entidades financeiras. Simultaneamente, a realização de testes de resiliência operacional digital por meio de TLPT deverá ser mais pertinente para as entidades financeiras que operam em subsetores com serviços financeiros fundamentais e têm uma função sistémica (por exemplo, pagamentos, banca, compensação e liquidação), e menos pertinente para outros subsetores (por exemplo, gestores de ativos e agências de notação de risco).

(57) As entidades financeiras que participem em atividades transfronteiriças e que exerçam a liberdade de estabelecimento ou prestação de serviços na União deverão cumprir um conjunto único de requisitos de realização de testes avançados (por exemplo, TLPT) no respetivo Estado-Membro de origem, o qual deverá abranger as infraestruturas de TIC em todas as jurisdições em que os grupos financeiros transfronteiriços desenvolvam a sua atividade na União, permitindo assim aos referidos grupos suportar os custos dos testes relacionados com as TIC numa única jurisdição.

(58) A fim de tirar partido dos conhecimentos especializados já adquiridos por determinadas autoridades competentes, em especial no que respeita à aplicação do quadro TIBER–EU, o presente regulamento deverá permitir que os Estados-Membros designem uma única autoridade pública como responsável no setor financeiro, a nível nacional, por todas as questões relacionadas com os TLPT, ou que as autoridades competentes deleguem, na ausência dessa designação, o exercício de funções relacionadas com os TLPT noutra autoridade financeira competente nacional.

(59) Uma vez que o presente regulamento não exige que as entidades financeiras abranjam todas as funções críticas ou importantes num único teste de penetração baseado em ameaças, as entidades financeiras deverão ter liberdade para determinar quais e quantas funções críticas ou importantes deverão ser incluídas no âmbito desse teste.

(60) A realização de testes agrupados na aceção do presente regulamento — que envolvam a participação de várias entidades financeiras num TLPT e relativamente aos quais um terceiro prestador de serviços de TIC pode celebrar diretamente acordos contratuais com um testador externo — só deverá ser autorizada nos casos em que haja motivos razoáveis para esperar que a qualidade ou segurança dos serviços prestados pelo terceiro prestador de serviços de TIC a clientes que não sejam abrangidos pelo âmbito de aplicação do presente regulamento, ou a confidencialidade dos dados relacionados com esses serviços, sejam adversamente afetadas; a realização de testes agrupados deverá estar igualmente sujeita a garantias (orientação por uma entidade financeira designada, adaptação do número de entidades financeiras participantes) para assegurar uma realização rigorosa de testes às entidades financeiras envolvidas que cumpram os objetivos do TLPT nos termos do presente regulamento.

(61) A fim de tirar partido dos recursos internos disponíveis a nível da empresa, o presente regulamento deverá permitir o recurso a testadores internos para efeitos da realização de TLPT, sob reserva de aprovação da autoridade de supervisão, da inexistência de conflitos de interesses e de alternação periódica relativamente ao recurso a testadores internos e externos (de três em três testes), exigindo simultaneamente que o fornecedor das informações sobre ameaças no TLPT seja sempre externo à entidade financeira. A responsabilidade pela realização do TLPT deverá continuar a caber plenamente à entidade financeira. Os comprovativos fornecidos pelas autoridades deverão destinar-se exclusivamente a fins de reconhecimento mútuo e não deverão excluir quaisquer medidas de acompanhamento necessárias para dar resposta ao risco associado às TIC a que a entidade financeira está exposta, nem deverão ser considerados uma validação decorrente da supervisão das capacidades de gestão e mitigação do risco associado às TIC de uma entidade financeira.

(62) A fim de assegurar uma robusta monitorização do risco associado às TIC devido a terceiros no setor financeiro, convém estabelecer um conjunto de regras com base em princípios para orientar as entidades financeiras ao monitorizarem os riscos decorrentes da externalização de funções a terceiros prestadores de serviços de TIC, nomeadamente no caso de serviços de TIC de apoio a funções críticas ou importantes, bem como, de modo mais geral, no contexto de todas as dependências de terceiros no domínio das TIC.

(63) A fim de dar resposta à complexidade das diferentes fontes de risco associado às TIC, tendo simultaneamente em conta a multiplicidade e a diversidade dos fornecedores de soluções tecnológicas que permitem uma prestação harmoniosa de serviços financeiros, o presente regulamento deverá abranger uma vasta gama de terceiros prestadores de serviços de TIC, incluindo prestadores de serviços de computação em nuvem, de programas informáticos e de serviços de análise de dados e prestadores de serviços de centros de dados. Do mesmo modo, uma vez que as entidades financeiras deverão identificar e gerir de forma eficaz e coerente todos os tipos de risco, incluindo no contexto dos serviços de TIC adquiridos no âmbito de um grupo financeiro, importa clarificar que as empresas que fazem parte de um grupo financeiro e prestam predominantemente serviços de TIC à sua empresa-mãe, ou a filiais ou sucursais da sua empresa-mãe, bem como as entidades financeiras que prestam serviços de TIC a outras entidades financeiras, também deverão ser consideradas terceiros prestadores de serviços de TIC nos termos do presente regulamento. Por último, à luz da evolução do mercado dos serviços de pagamento, que depende cada vez mais de soluções técnicas complexas, e tendo em conta os novos tipos de serviços de pagamento e soluções relacionadas com pagamentos, os participantes no ecossistema de serviços de pagamento que prestem atividades de processamento de pagamentos ou operem infraestruturas de pagamento deverão também ser considerados terceiros prestadores de serviços de TIC nos termos do presente regulamento, com exceção dos bancos centrais, ao gerirem sistemas de pagamento ou de liquidação de valores mobiliários, e das autoridades públicas, ao prestarem serviços relacionados com as TIC no contexto do cumprimento de funções do Estado.

(64) As entidades financeiras deverão manter sempre a plena responsabilidade pelo cumprimento das suas obrigações estabelecidas no presente regulamento. As entidades financeiras deverão adotar uma abordagem proporcionada da monitorização dos riscos ao nível dos terceiros prestadores de serviços de TIC, tendo em devida conta a natureza, escala, complexidade e importância das suas dependências relacionadas com as TIC e a criticalidade ou importância dos serviços, dos processos ou das funções objeto de acordos contratuais, bem como, em última análise, tendo por base uma cuidadosa avaliação do possível impacto na continuidade e qualidade dos serviços financeiros a nível individual e a nível do grupo, se for caso disso.

(65) A realização de tal monitorização deverá seguir uma abordagem estratégica do risco associado às TIC devido a terceiros formalizada por meio da adoção, pelo órgão de administração da entidade financeira, de uma estratégia específica para o risco associado às TIC devido a terceiros, radicada na análise contínua de todas as dependências de terceiros no domínio das TIC. A fim de que as autoridades de supervisão tenham melhor conhecimento das dependências de terceiros no domínio das TIC, e com vista a prestar maior apoio aos trabalhos no contexto do quadro de superintendência estabelecido no presente regulamento, todas as entidades financeiras deverão ser obrigadas a manter um registo de informações com todos os acordos contratuais relativos à utilização de serviços de TIC prestados por terceiros prestadores de serviços de TIC. As autoridades de supervisão financeira deverão poder solicitar o registo de informações completo, ou solicitar secções específicas do mesmo, obtendo assim informações essenciais que lhes permitam ter uma compreensão mais ampla das dependências das entidades financeiras no domínio das TIC.

(66) A celebração formal dos acordos contratuais deverá estar subjacente e deverá preceder uma análise exaustiva na fase pré-contratual, centrando-se, em especial, em elementos como a criticalidade ou importância dos serviços apoiados pelo contrato de TIC previsto, as necessárias aprovações da autoridade de supervisão ou outras condições, o eventual risco de concentração inerente, bem como aplicando a devida diligência no processo de seleção e avaliação de terceiros prestadores de serviços de TIC e avaliando potenciais conflitos de interesses. No que se refere aos acordos contratuais relativos a funções críticas ou importantes, as entidades financeiras deverão ter em conta a utilização, por terceiros prestadores de serviços de TIC, das normas mais atualizadas e mais rigorosas em matéria de segurança da informação. A rescisão de acordos contratuais poderá ser desencadeada por, pelo menos, uma série de circunstâncias que revelem insuficiências a nível do terceiro prestador de serviços de TIC, em especial violações significativas da legislação ou das condições contratuais, circunstâncias que revelem uma potencial alteração do desempenho das funções previstas nos acordos contratuais, provas de debilidades por parte do terceiro prestador de serviços de TIC na sua gestão global do risco associado às TIC, ou circunstâncias que demonstrem a incapacidade da autoridade competente relevante para supervisionar eficazmente a entidade financeira.

(67) A fim de fazer face ao impacto sistémico do risco de concentração de terceiros no domínio das TIC, o presente regulamento promove uma solução equilibrada, adotando uma abordagem flexível e gradual desse risco de concentração, uma vez que a imposição de limites máximos rígidos ou restrições rigorosas pode prejudicar o exercício da atividade e restringir a liberdade contratual. As entidades financeiras deverão avaliar exaustivamente os acordos contratuais que preveem celebrar a fim de identificar a probabilidade do surgimento desse risco, incluindo por meio de análises em profundidade de acordos de subcontratação, em especial nos casos em que sejam celebrados com terceiros prestadores de serviços de TIC estabelecidos em países terceiros. Nesta fase, com vista a encontrar a um equilíbrio justo entre o imperativo que dita a preservação da liberdade contratual e o que dita a salvaguarda da estabilidade financeira, não se afigura adequado estabelecer regras relativas a limites máximos rigorosos e limites de exposição a terceiros no domínio das TIC. No contexto do quadro de superintendência, a autoridade fiscalizadora principal designada nos termos do presente regulamento deverá, no que diz respeito aos terceiros prestadores de serviços de TIC críticos, prestar especial atenção a fim de compreender plenamente o grau das interdependências, descobrir situações específicas em que seja provável que um elevado nível de concentração de terceiros prestadores de serviços de TIC na União ponha sob pressão a estabilidade e integridade do sistema financeiro da União e manter um diálogo com terceiros prestadores de serviços de TIC críticos, sempre que esse risco específico seja identificado.

(68) A fim de avaliar e monitorizar regularmente a capacidade de um terceiro prestador de serviços de TIC de prestar, de modo seguro, serviços a uma entidade financeira sem afetar negativamente a resiliência operacional digital dessa entidade financeira, importa proceder à harmonização de vários elementos contratuais fundamentais acordados com os terceiros prestadores de serviços de TIC. Essa harmonização deverá abranger domínios mínimos que sejam cruciais para permitir que a entidade financeira monitorize plenamente os riscos que poderão advir do terceiro prestador de serviços de TIC, na perspetiva da necessidade de uma entidade financeira garantir a sua resiliência digital, uma vez que está profundamente dependente da estabilidade, funcionalidade, disponibilidade e segurança dos serviços de TIC que lhe são prestados.

(69) Aquando da renegociação de acordos contratuais a fim de os alinhar com os requisitos do presente regulamento, as entidades financeiras e os terceiros prestadores de serviços de TIC deverão assegurar a cobertura das principais disposições contratuais previstas no presente regulamento.

(70) A definição de «função crítica ou importante» prevista no presente regulamento abrange as «funções críticas» previstas no artigo 2.o, n.o 1, ponto 35, da Diretiva 2014/59/UE do Parlamento Europeu e do Conselho (20). Assim, as funções consideradas críticas nos termos da Diretiva 2014/59/UE estão incluídas na definição de «funções críticas» na aceção do presente regulamento.

(71) Independentemente da criticalidade ou importância da função apoiada pelos serviços de TIC, os acordos contratuais deverão, em especial, prever a especificação das descrições completas das funções e dos serviços, bem como dos locais em que tais funções são desempenhadas e onde deverão ser tratados os dados, assim como uma indicação das descrições do nível de serviço. Outros elementos essenciais para que uma entidade financeira possa monitorizar o risco associado às TIC devido a terceiros são: disposições contratuais que especificam a forma como a acessibilidade, a disponibilidade, a integridade, a segurança e a proteção de dados pessoais são asseguradas pelo terceiro prestador de serviços de TIC. Igualmente essenciais são as disposições que estabelecem garantias pertinentes para permitir o acesso, a recuperação e a devolução de dados em caso de insolvência, resolução ou cessação da atividade do terceiro prestador de serviços de TIC, bem como as disposições que exigem que o terceiro prestador de serviços de TIC preste assistência em caso de incidentes relacionados com as TIC decorrentes dos serviços prestados, sem custos adicionais ou com um custo previamente determinado; as disposições relativas à obrigação de o terceiro prestador de serviços de TIC cooperar plenamente com as autoridades competentes e as autoridades de resolução da entidade financeira; e as disposições relativas aos direitos de rescisão e períodos mínimos de pré-aviso relacionados com a rescisão dos acordos contratuais, em conformidade com as expectativas das autoridades competentes e das autoridades de resolução.

(72) Para além das disposições contratuais referidas anteriormente, e a fim de assegurar que as entidades financeiras continuam a ter pleno controlo de todos os acontecimentos a nível de terceiros suscetíveis de comprometer a respetiva segurança no domínio das TIC, os contratos relativos à prestação de serviços de TIC de apoio a funções críticas ou importantes deverão prever igualmente os seguintes elementos: a especificação das descrições completas do nível de serviço, com metas de desempenho quantitativas e qualitativas precisas, a fim de permitir a adoção, sem demora injustificada, de medidas corretivas adequadas, quando os níveis de serviço acordados não forem cumpridos; os períodos de pré-aviso e obrigações de notificação pertinentes do terceiro prestador de serviços de TIC em caso de acontecimentos com um potencial impacto importante na capacidade de o terceiro prestador de serviços de TIC prestar eficazmente os respetivos serviços de TIC; a obrigação de o terceiro prestador de serviços de TIC executar e testar planos de contingência para as suas atividades e dispor de medidas, ferramentas e políticas de segurança no domínio das TIC que garantam uma prestação segura de serviços, bem como de participar e cooperar plenamente no TLPT realizado pela entidade financeira.

(73) Os contratos relativos à prestação de serviços de TIC de apoio a funções críticas ou importantes deverão conter igualmente disposições que prevejam os direitos de acesso, inspeção ou auditoria por parte da entidade financeira ou de um terceiro designado para o efeito, bem como o direito a fazer cópias, enquanto instrumentos cruciais da monitorização contínua realizada pelas entidades financeiras do desempenho do terceiro prestador de serviços de TIC, a par da plena cooperação do prestador de serviços durante as inspeções. De igual modo, também a autoridade competente da entidade financeira deverá ter o direito, mediante notificação, de inspecionar e auditar o terceiro prestador de serviços de TIC, sob reserva da proteção de informações confidenciais.

(74) Esses acordos contratuais deverão prever igualmente estratégias de saída específicas que permitam, em especial, períodos obrigatórios de transição durante os quais os terceiros prestadores de serviços de TIC deverão continuar a prestar os serviços pertinentes com vista a reduzir o risco de perturbações a nível da entidade financeira, ou a permitir que esta última passe a recorrer efetivamente a outro terceiro prestador de serviços de TIC ou, em alternativa, mudar para soluções internas, em função da complexidade do serviço de TIC prestado. Além disso, as entidades financeiras abrangidas pelo âmbito de aplicação da Diretiva 2014/59/UE deverão assegurar que os contratos pertinentes relativos a serviços de TIC sejam sólidos e plenamente aplicáveis em caso de resolução dessas entidades financeiras. Por conseguinte, em consonância com as expectativas das autoridades de resolução, essas entidades financeiras deverão assegurar que os contratos pertinentes relativos a serviços de TIC sejam resilientes à resolução. Enquanto continuarem a cumprir as suas obrigações de pagamento, essas entidades financeiras deverão assegurar, entre outros requisitos, que os contratos pertinentes relativos a serviços de TIC contenham cláusulas de não rescisão, de não suspensão e de não alteração por motivos de reestruturação ou resolução.

(75) Além disso, a utilização a título voluntário de cláusulas contratuais normalizadas desenvolvidas pelas autoridades públicas ou pelas instituições da União, em especial, a utilização de cláusulas contratuais desenvolvidas pela Comissão para os serviços de computação em nuvem podem, igualmente, oferecer garantias suplementares às entidades financeiras e aos terceiros prestadores de serviços de TIC, reforçando o nível de segurança jurídica quanto à utilização de serviços de computação em nuvem pelo setor financeiro, em total consonância com os requisitos e as expectativas estabelecidas pelo direito da União dos serviços financeiros. O desenvolvimento de cláusulas contratuais normalizadas assenta em medidas já previstas no plano de ação para a tecnologia financeira de 2018, no qual a Comissão anunciou a sua intenção de incentivar a elaboração de cláusulas contratuais-tipo para o recurso à externalização de serviços de computação em nuvem pelas instituições financeiras, tirando partido dos esforços das partes interessadas em serviços de computação em nuvem a nível intersetorial já facilitados pela Comissão, com o apoio da participação do setor financeiro.

(76) A fim de promover a convergência e eficiência no que respeita às abordagens de supervisão para fazer face ao risco associado às TIC devido a terceiros no setor financeiro, bem como reforçar a resiliência operacional digital das entidades financeiras que dependem de terceiros prestadores de serviços de TIC críticos para a prestação de serviços de TIC que apoiam a prestação de serviços financeiros e, assim, contribuir para preservar a estabilidade do sistema financeiro da União e a integridade do mercado interno de serviços financeiros, os terceiros prestadores de serviços de TIC críticos deverão estar sujeitos a um quadro de superintendência da União. Embora a criação do quadro de superintendência se justifique pelo valor acrescentado de tomar medidas a nível da União e em virtude do papel inerente e das especificidades da utilização dos serviços de TIC na prestação de serviços financeiros, importa recordar, ao mesmo tempo, que esta solução se afigura adequada apenas no contexto do presente regulamento, que trata especificamente da resiliência operacional digital do setor financeiro. No entanto, este quadro de superintendência não deverá ser considerado um novo modelo para a supervisão da União em outros domínios dos serviços e atividades financeiros.

(77) O quadro de superintendência deverá aplicar-se apenas aos terceiros prestadores de serviços de TIC críticos. Por conseguinte, deverá existir um mecanismo de designação que tenha em conta a dimensão e natureza da dependência do setor financeiro de tais terceiros prestadores de serviços de TIC. Esse mecanismo deverá consistir num conjunto de critérios quantitativos e qualitativos para definir os parâmetros de criticalidade como base para a inclusão no quadro de superintendência. A fim de assegurar a exatidão dessa avaliação, e independentemente da estrutura empresarial do terceiro prestador de serviços de TIC, esses critérios deverão, no caso de um terceiro prestador de serviços de TIC que faça parte de um grupo mais vasto, ter em conta toda a estrutura do grupo de terceiros prestadores de serviços de TIC. Por outro lado, será conveniente conceder uma opção de inclusão a título voluntário no quadro de superintendência aos terceiros prestadores de serviços de TIC que não sejam automaticamente designados em virtude da aplicação desses critérios, ao passo que os terceiros prestadores de serviços de TIC que já estejam sujeitos a quadros de regime de superintendência que apoiam o desempenho das atribuições do Sistema Europeu de Bancos Centrais a que se refere o artigo 127.o, n.o 2, do TFUE deverão estar isentos.

(78) Do mesmo modo, as entidades financeiras que prestam serviços de TIC a outras entidades financeiras, embora pertençam à categoria de terceiros prestadores de serviços de TIC nos termos do presente regulamento, deverão também estar isentas do quadro de superintendência, uma vez que já estão sujeitas aos mecanismos de supervisão estabelecidos pelo direito da União dos serviços financeiros aplicável. Se for caso disso, as autoridades competentes deverão ter em conta, no contexto das suas atividades de superintendência, o risco associado às TIC para as entidades financeiras por entidades financeiras que prestam serviços de TIC. Do mesmo modo, devido aos mecanismos de monitorização dos riscos existentes a nível do grupo, deverá ser introduzida a mesma isenção para os terceiros prestadores de serviços de TIC que prestam serviços predominantemente às entidades do seu próprio grupo. Os terceiros prestadores de serviços de TIC que prestam serviços de TIC apenas num Estado-Membro a entidades financeiras que operam apenas nesse Estado-Membro deverão também estar isentos do mecanismo de designação devido à limitação das suas atividades e à ausência de impacto transfronteiriço.

(79) A transformação digital no domínio dos serviços financeiros acarretou um nível sem precedentes de utilização e dependência dos serviços de TIC. Uma vez que se tornou inconcebível prestar serviços financeiros sem recorrer a serviços de computação em nuvem, programas informáticos e serviços relacionados com dados, o ecossistema financeiro da União tornou-se intrinsecamente codependente de determinados serviços de TIC prestados por fornecedores de serviços de TIC. Alguns desses fornecedores, inovadores no desenvolvimento e aplicação de tecnologias baseadas nas TIC, desempenham um papel significativo na prestação de serviços financeiros ou passaram a integrar a cadeia de valor dos serviços financeiros. Tornaram-se, assim, críticos para a estabilidade e integridade do sistema financeiro da União. Esta dependência generalizada dos serviços prestados por terceiros prestadores de serviços de TIC críticos, combinada com a interdependência dos sistemas de informação de vários operadores de mercado, cria um risco direto, potencialmente grave, para o sistema de serviços financeiros da União e para a continuidade da prestação de serviços financeiros, caso os terceiros prestadores de serviços de TIC críticos sejam afetados por perturbações operacionais ou ciberincidentes de caráter severo. Os ciberincidentes distinguem-se pela capacidade de se multiplicarem e propagarem em todo o sistema financeiro a um ritmo consideravelmente mais rápido do que outros tipos de risco monitorizados no setor financeiro e podem alastrar a vários setores e para além das fronteiras geográficas. Podem redundar numa crise sistémica, traduzida num enfraquecimento da confiança no sistema financeiro devido à perturbação das funções de apoio à economia real, ou em perdas financeiras substanciais, a um ponto que o sistema financeiro seja incapaz de suportar, ou que exija a aplicação de medidas para absorver choques graves. A fim de evitar estes cenários, pondo assim em perigo a estabilidade financeira e a integridade da União, é essencial assegurar a convergência das práticas de supervisão relativas ao risco associado às TIC devido a terceiros no setor financeiro, em especial através de novas regras que permitam a superintendência pela União de terceiros prestadores de serviços de TIC críticos.

(80) O quadro de superintendência depende, em grande medida, do grau de colaboração entre a autoridade fiscalizadora principal e o terceiro prestador de serviços de TIC crítico que presta serviços a entidades financeiras que afetam a prestação de serviços financeiros. O êxito da superintendência depende, nomeadamente, da capacidade da autoridade fiscalizadora principal para realizar eficazmente missões de monitorização e inspeções para avaliar as regras, os controlos e os processos utilizados pelos terceiros prestadores de serviços de TIC críticos, bem como para avaliar o potencial impacto cumulativo das suas atividades na estabilidade financeira e na integridade do sistema financeiro. Ao mesmo tempo, é crucial que os terceiros prestadores de serviços de TIC críticos acatem as recomendações da autoridade fiscalizadora principal e deem resposta às suas preocupações. Uma vez que a falta de cooperação de um terceiro prestador de serviços de TIC crítico que presta serviços que afetam o fornecimento de serviços financeiros, como a recusa de conceder acesso às suas instalações ou de apresentar informações, privaria, em última análise, a autoridade fiscalizadora principal das suas ferramentas essenciais para avaliar o risco associado às TIC devido a terceiros e poderia afetar negativamente a estabilidade financeira e a integridade do sistema financeiro, é igualmente necessário prever um regime de sanções proporcionado.

(81) Neste contexto, a necessidade de a autoridade fiscalizadora principal impor sanções pecuniárias para obrigar os terceiros prestadores de serviços de TIC críticos a cumprir as obrigações em matéria de transparência e de acesso estabelecidas no presente regulamento não deverá ser posta em causa pelas dificuldades devidas à aplicação dessas sanções em relação a terceiros prestadores de serviços de TIC críticos estabelecidos em países terceiros. A fim de assegurar a aplicabilidade dessas sanções e permitir uma rápida implementação de procedimentos que respeitem os direitos de defesa dos terceiros prestadores de serviços de TIC críticos no contexto do mecanismo de designação e da emissão de recomendações, os referidos terceiros prestadores de serviços de TIC críticos que prestem serviços a entidades financeiras que afetem a prestação de serviços financeiros deverão ser obrigados a assegurar uma presença comercial adequada na União. Devido à natureza da supervisão e à ausência de disposições comparáveis noutras jurisdições, não existem mecanismos alternativos adequados que garantam este objetivo através de uma cooperação eficaz com as autoridades de supervisão financeira de países terceiros no que diz respeito à monitorização do impacto dos riscos operacionais digitais colocados por terceiros prestadores de serviços de TIC sistémicos, considerados terceiros prestadores de serviços de TIC críticos estabelecidos em países terceiros. Por conseguinte, a fim de continuar a prestar serviços de TIC a entidades financeiras na União, um terceiro prestador de serviços de TIC estabelecido num país terceiro designado como crítico nos termos do presente regulamento deverá, no prazo de 12 meses a contar dessa designação, tomar todas as medidas necessárias para assegurar a sua incorporação na União, através do estabelecimento de uma filial, na aceção da globalidade do acervo da União, nomeadamente a Diretiva 2013/34/UE do Parlamento Europeu e do Conselho (21).

(82) O requisito de criar uma filial na União não deverá impedir o terceiro prestador de serviços de TIC crítico de prestar serviços de TIC e apoio técnico conexo a partir de instalações e infraestruturas situadas fora da União. O presente regulamento não impõe uma obrigação de localização de dados, uma vez que não exige o armazenamento ou o tratamento de dados na União.

(83) Os terceiros prestadores de serviços de TIC críticos deverão poder prestar serviços de TIC a partir de qualquer parte do mundo, não necessariamente ou não apenas em instalações situadas na União. As atividades de superintendência deverão ser realizadas, em primeiro lugar, em instalações situadas na União e através da interação com entidades localizadas na União, incluindo as filiais estabelecidas por terceiros prestadores de serviços de TIC críticos nos termos do presente regulamento. No entanto, essas ações no interior da União podem não ser suficientes para que a autoridade fiscalizadora principal possa desempenhar plena e eficazmente as suas funções nos termos do presente regulamento. Por conseguinte, a autoridade fiscalizadora principal deverá também poder exercer os seus poderes de superintendência pertinentes em países terceiros. O exercício desses poderes em países terceiros deverá permitir à autoridade fiscalizadora principal examinar as instalações a partir das quais os serviços de TIC ou os serviços de apoio técnico são efetivamente prestados ou geridos pelo terceiro prestador de serviços de TIC crítico e deverá proporcionar à autoridade fiscalizadora principal uma compreensão abrangente e operacional da gestão do risco associado às TIC por parte do terceiro prestador de serviços de TIC crítico. A possibilidade de a autoridade fiscalizadora principal, enquanto agência da União, exercer poderes fora do território da União deverá ser devidamente enquadrada pelas condições pertinentes, em especial o consentimento do terceiro prestador de serviços de TIC crítico em causa. Analogamente, as autoridades competentes do país terceiro deverão ser informadas do exercício, no seu próprio território, das atividades da autoridade fiscalizadora principal, e não terem levantado objeções a esse exercício. No entanto, a fim de assegurar uma execução eficiente, e sem prejuízo das competências respetivas das instituições da União e dos Estados-Membros, esses poderes deverão também ser plenamente consagrados quando são celebrados acordos de cooperação administrativa com as autoridades competentes relevantes do país terceiro em causa. O presente regulamento deverá, por conseguinte, permitir que as AES celebrem acordos de cooperação administrativa com as autoridades relevantes de países terceiros, que, aliás, não deverão criar obrigações jurídicas para a União e os seus Estados-Membros.

(84) A fim de facilitar a comunicação com a autoridade fiscalizadora principal e assegurar uma representação adequada, os terceiros prestadores de serviços de TIC críticos que façam parte de um grupo deverão designar uma pessoa coletiva como ponto de coordenação.

(85) O quadro de superintendência não pode prejudicar a competência dos Estados-Membros no que respeita à realização de missões de inspeção ou monitorização de terceiros prestadores de serviços de TIC que não sejam designados como críticos na aceção do presente regulamento, mas que possam ser considerados importantes a nível nacional.

(86) A fim de tirar melhor partido da arquitetura institucional multifacetada no domínio dos serviços financeiros, o Comité Conjunto das AES deverá continuar a assegurar a coordenação intersetorial global quanto a todas as matérias relativas ao risco associado às TIC, em consonância com as suas atribuições em matéria de cibersegurança. Deverá ter o apoio de um novo subcomité (o «fórum de superintendência»), que leva a cabo os trabalhos preparatórios quer para as decisões individuais dirigidas a terceiros prestadores de serviços de TIC críticos quer para a emissão de recomendações coletivas, em especial no que se refere à avaliação comparativa dos programas de superintendência de terceiros prestadores de serviços de TIC críticos e à identificação de boas práticas para dar resposta às questões relativas ao risco de concentração no domínio das TIC.

(87) A fim de assegurar que os terceiros prestadores de serviços de TIC críticos são supervisionados de forma adequada e eficaz a nível da União, o presente regulamento prevê que qualquer das três AES possa ser designada como autoridade fiscalizadora principal. A atribuição individual de um terceiro prestador de serviços de TIC crítico a uma das três AES deverá resultar de uma avaliação que determine as entidades financeiras que operam predominantemente nos setores financeiros da responsabilidade dessa AES. Esta abordagem deverá assegurar uma repartição equilibrada de tarefas e responsabilidades entre as três AES, no contexto do exercício das funções de supervisão, e deverá utilizar da melhor forma os recursos humanos e as competências técnicas disponíveis em cada uma das três AES.

(88) A autoridade de superintendência principal deverá ser dotada dos poderes necessários para realizar investigações e inspeções no local e à distância às instalações e locais pertinentes dos terceiros prestadores de serviços de TIC críticos e para obter informações completas e atualizadas. Esses poderes deverão permitir à autoridade fiscalizadora principal obter um efetivo conhecimento do tipo, da dimensão e do impacto do risco associado às TIC devido a terceiros que as entidades financeiras e, em última análise, o sistema financeiro da União enfrentam. Confiar às AES o papel de liderança da superintendência constitui uma condição prévia para compreender e fazer face à dimensão sistémica do risco associado às TIC no setor financeiro. O impacto dos terceiros prestadores de serviços de TIC críticos no setor dos serviços financeiros da União e os potenciais problemas provocados pelo risco de concentração no domínio das TIC exigem a adoção de uma abordagem coletiva a nível da União. A realização simultânea e em separado de múltiplas auditorias e os direitos de acesso por numerosas autoridades competentes, com pouca ou nenhuma coordenação, obstaria a que os supervisores financeiros obtivessem uma visão global completa e abrangente do risco associado às TIC devido a terceiros na União, criando também redundância, encargos e complexidade para os terceiros prestadores de serviços de TIC críticos se fossem sujeitos a numerosos pedidos de monitorização e inspeção.

(89) Devido às importantes repercussões que a designação como crítico implica, o presente regulamento deverá assegurar que os direitos dos terceiros prestadores de serviços de TIC críticos são respeitados ao longo da aplicação do quadro de superintendência. Antes de serem designados como críticos, esses prestadores deverão, por exemplo, ter o direito de apresentar à autoridade fiscalizadora uma declaração fundamentada que contenha todas as informações relevantes para efeitos da avaliação relacionada com a sua designação. Uma vez que a autoridade de superintendência principal deverá estar habilitada a apresentar recomendações sobre questões relativas ao risco associado às TIC e respetivas medidas corretivas, que incluem os poderes de se opor a determinados acordos contratuais que, em última análise, afetam a estabilidade da entidade financeira ou do sistema financeiro, os terceiros prestadores de serviços de TIC críticos deverão também ter a oportunidade de fornecer, antes da finalização dessas recomendações, explicações sobre o impacto esperado das soluções previstas nas recomendações sobre os clientes que sejam entidades não abrangidas pelo âmbito de aplicação do presente regulamento e de formular soluções para atenuar os riscos. Os terceiros prestadores de serviços de TIC críticos que discordem das recomendações deverão apresentar uma explicação fundamentada da sua intenção de não acatar a recomendação. Se essa explicação fundamentada não for apresentada ou for considerada insuficiente, a autoridade fiscalizadora principal deverá emitir um anúncio público que descreva resumidamente a questão do incumprimento.

(90) Nas suas funções de supervisão prudencial das entidades financeiras, as autoridades competentes deverão incluir devidamente a tarefa de verificar o cumprimento substantivo das recomendações emitidas pela autoridade fiscalizadora principal. As autoridades competentes deverão poder exigir que as entidades financeiras tomem medidas adicionais para fazer face aos riscos identificados nas recomendações da autoridade fiscalizadora principal e deverão, em devido tempo, emitir notificações para esse efeito. Caso a autoridade fiscalizadora principal dirija recomendações a terceiros prestadores de serviços de TIC críticos que sejam supervisionadas nos termos da Diretiva (UE) 2022/2555, as autoridades competentes deverão poder, numa base voluntária e antes de adotar medidas adicionais, consultar as autoridades competentes nos termos dessa diretiva, a fim de promover uma abordagem coordenada em relação aos terceiros prestadores de serviços de TIC críticos em causa.

(91) O exercício da supervisão deverá pautar-se por três princípios operacionais destinados a assegurar: a) a estreita coordenação entre as AES nas suas funções de autoridades fiscalizadoras principais, através de uma rede de superintendência conjunta, b) a coerência com o quadro estabelecido pela Diretiva (UE) 2022/2555 (através da consulta voluntária dos organismos ao abrigo dessa diretiva para evitar a duplicação de medidas dirigidas a terceiros prestadores de serviços de TIC críticos), e c) a diligência para minimizar o potencial risco de perturbação dos serviços prestados pelos terceiros prestadores de serviços de TIC críticos aos clientes que são entidades não abrangidas pelo âmbito de aplicação do presente regulamento.

(92) O quadro de superintendência não deverá substituir, de forma alguma ou em parte alguma, o requisito de que as entidades financeiras se encarreguem elas próprias da gestão dos riscos decorrentes do recurso a terceiros prestadores de serviços de TIC, nomeadamente, a sua obrigação de assegurar a monitorização contínua dos acordos contratuais celebrados com terceiros prestadores de serviços de TIC críticos. De igual forma, o quadro de superintendência não deverá afetar a plena responsabilidade das entidades financeiras pelo cumprimento de todas as obrigações jurídicas estabelecidas no presente regulamento e no direito dos serviços financeiros aplicável.

(93) A fim de evitar duplicações e sobreposições, as autoridades competentes deverão evitar adotar medidas de modo individual que visem a monitorização dos riscos do terceiro prestador de serviços de TIC crítico e deverão, a esse respeito, confiar na avaliação pertinente da autoridade fiscalizadora principal. Quaisquer medidas deverão, em todo o caso, ser coordenadas e acordadas de antemão com a autoridade de superintendência principal no contexto do exercício das atribuições no âmbito do quadro