COMISSÃO EUROPEIA Bruxelas, 24.9.2020 COM(2020) 595 final 2020/0266(COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo à resiliência operacional digital do setor financeiro e que altera os regulamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014 e (UE) n.º 909/2014 (Texto relevante para efeitos do EEE) {SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}



EXPOSIÇÃO DE MOTIVOS ·1. Razões e objetivos da proposta A presente proposta integra o pacote Financiamento Digital, um pacote de medidas destinadas a fomentar e apoiar ainda mais o potencial do financiamento digital em termos de inovação e concorrência, atenuando simultaneamente os riscos inerentes. É coerente com as prioridades da Comissão no sentido de preparar a Europa para a era digital e criar uma economia pronta para o futuro, que sirva as pessoas. O pacote de financiamento digital inclui uma nova estratégia em matéria de financiamento digital para o setor financeiro da UE, que visa garantir que a UE acolhe a revolução digital, impulsionando-a com empresas europeias inovadoras na vanguarda e disponibilizando os benefícios do financiamento digital aos consumidores e às empresas. Para além da presente proposta, o pacote inclui também uma proposta de regulamento relativo aos mercados de criptoativos, uma proposta de regulamento sobre um regime-piloto de infraestruturas de mercado baseadas na tecnologia de registo distribuído e uma proposta de diretiva para esclarecer ou alterar determinadas regras conexas no que se refere aos serviços financeiros a nível da UE. A digitalização e a resiliência operacional no setor financeiro são duas faces da mesma moeda. As tecnologias digitais, também designadas por tecnologias da informação e da comunicação (TIC), tanto geram oportunidades como riscos, que têm de ser bem compreendidos e geridos, em especial em momentos de maior tensão. Por conseguinte, os decisores políticos e as autoridades de supervisão têm vindo a centrar cada vez mais a sua atenção nos riscos decorrentes da dependência das TIC. Têm, nomeadamente, tentado reforçar a resiliência das empresas por meio do estabelecimento de normas e da coordenação dos esforços de regulamentação ou supervisão. Os referidos esforços têm sido envidados tanto a nível internacional como a nível europeu, abrangendo todos os setores ou centrando-se num conjunto de setores específicos, nomeadamente nos serviços financeiros. Contudo, os riscos no domínio das TIC continuam a representar um desafio para a estabilidade, o desempenho e a resiliência operacional do sistema financeiro da UE. A reforma que se seguiu à crise financeira de 2008 reforçou, sobretudo, a resiliência financeira do setor financeiro da UE, abordando apenas indiretamente os riscos em matéria de TIC em alguns domínios, enquanto parte das medidas destinadas a resolver, de modo mais alargado, os riscos operacionais. Se, por um lado, as alterações à legislação da UE em matéria de serviços financeiros no período pós-crise instituíram um conjunto único de regras que regem uma grande parte dos riscos financeiros associados aos serviços financeiros, por outro não abordaram totalmente a resiliência operacional digital. As medidas adotadas em relação a esta última ficaram marcadas por um conjunto de características que limitavam a sua eficácia. Por exemplo, foram muitas vezes elaboradas diretivas de harmonização mínima ou regulamentação baseada em princípios, deixando bastante espaço para divergência nas abordagens adotadas no mercado único. Além disso, os riscos no domínio das TIC são objeto de uma certa ênfase, de forma limitada ou incompleta, apenas no contexto da cobertura do risco operacional. Por fim, estas medidas variam no quadro da diferente legislação setorial em matéria de serviços financeiros. Por conseguinte, a intervenção a nível da União não supriu até aqui plenamente as necessidades das entidades financeiras para a gestão dos riscos operacionais de modo a resistir, dar resposta e recuperar dos impactos de incidentes no domínio das TIC. Tampouco deu às autoridades de supervisão financeira os instrumentos mais adequados para cumprirem os respetivos mandatos de prevenção da instabilidade financeira decorrente da materialização dos riscos no domínio das TIC. A ausência de regras pormenorizadas e abrangentes em matéria de resiliência operacional digital a nível da UE conduziu à proliferação de iniciativas nacionais de regulamentação (p. ex.: sobre testes da resiliência operacional digital) e de abordagens de supervisão (p. ex.: abordando as dependências de terceiros no domínio das TIC). A ação a nível dos Estados-Membros tem, porém, um efeito limitado, dada a natureza transfronteiriça dos riscos no domínio das TIC. Além disso, as iniciativas nacionais não coordenadas resultaram em sobreposições, em incoerências, na duplicação de requisitos e em custos administrativos e de conformidade elevados – em especial para as entidades financeiras transfronteiriças –, bem como na não deteção de riscos no domínio das TIC e, por conseguinte, na sua não resolução. Esta situação fragmenta o mercado único, prejudica a estabilidade e a integridade do setor financeiro da UE e põe em perigo a proteção dos consumidores e investidores. Cumpre portanto instituir um quadro pormenorizado e abrangente para a resiliência operacional digital das entidades financeiras da UE, quadro este que aprofundará a dimensão referente à gestão do risco no quadro do conjunto único de regras. Mais particularmente, reforçará e racionalizará a gestão do risco no domínio das TIC das entidades financeiras, estabelecerá a realização de testes exaustivos dos sistemas de TIC, sensibilizará as autoridades de supervisão para os riscos cibernéticos e os incidentes relacionados com as TIC que as entidades financeiras enfrentam e dará às autoridades de supervisão financeira poderes para fiscalizar os riscos decorrentes da dependência das entidades financeiras em relação a terceiros prestadores de serviços de TIC. A proposta criará um regime de comunicação de incidentes que ajudará a reduzir os encargos administrativos das entidades financeiras e reforçará a eficácia da supervisão. ·Coerência com as disposições existentes da mesma política setorial A presente proposta integra um esforço mais amplo em curso a nível europeu e internacional para reforçar a cibersegurança nos serviços financeiros e dar resposta aos riscos operacionais de uma forma mais geral. Vem igualmente ao encontro do parecer técnico conjunto de 2019 das Autoridades Europeias de Supervisão (AES), que instaram à adoção de uma abordagem mais coerente na resposta aos riscos no domínio das TIC e recomendaram à Comissão que reforçasse, de modo proporcionado, a resiliência operacional digital do setor dos serviços financeiros por meio de uma iniciativa setorial específica da UE. As AES emitiram o seu parecer em resposta ao plano de ação para a tecnologia financeira de 2018 da Comissão. ·Coerência com outras políticas da União Conforme mencionado pela presidente Ursula von der Leyen nas suas orientações políticas – e referido na Comunicação intitulada «Construir o futuro digital da Europa» –, é essencial que a Europa tire partido de todos os benefícios da era digital e reforce a sua capacidade industrial e de inovação, dentro de limites seguros e éticos. A estratégia europeia para os dados define quatro pilares – a proteção de dados, os direitos fundamentais, a segurança e a cibersegurança –, que constituem uma condição prévia para uma sociedade capacitada pela utilização dos dados. Mais recentemente, o Parlamento Europeu tem envidado esforços no sentido de elaborar um relatório sobre finanças digitais, no qual, nomeadamente, se insta à adoção de uma abordagem comum à ciber-resiliência do setor financeiro. Um quadro legislativo que reforce a resiliência operacional digital das entidades financeiras da UE será coerente com estes objetivos políticos. A proposta apoiaria, igualmente, as políticas que visam a recuperação após o coronavírus, uma vez que asseguraria que o aumento da dependência do financiamento digital é acompanhado de uma resiliência operacional adequada. A iniciativa manteria os benefícios associados ao quadro horizontal para a cibersegurança (p. ex.: a Diretiva Segurança das Redes e da Informação, Diretiva SRI), mantendo no seu âmbito de aplicação o setor financeiro. O setor financeiro continuaria a estar estreitamente associado ao organismo de cooperação em matéria de SRI e as autoridades de supervisão conseguiriam partilhar informações dentro do ecossistema SRI existente. A iniciativa seria coerente com a Diretiva Infraestruturas Críticas Europeias (ICE), que se encontra atualmente em processo de revisão para reforçar a proteção e resiliência de infraestruturas críticas contra ameaças não cibernéticas. Por fim, a presente proposta é plenamente consentânea com a Estratégia da UE para a União da Segurança, que insta a uma iniciativa sobre a resiliência operacional digital dos setores financeiros, dada a sua elevada dependência dos serviços de TIC e a sua elevada vulnerabilidade aos ciberataques. 2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE ·Base jurídica A proposta de regulamento baseia-se no artigo 114.º do TFUE. A proposta remove obstáculos e melhora o estabelecimento e funcionamento do mercado interno de serviços financeiros, harmonizando as regras aplicáveis à gestão de riscos no domínio das TIC, à comunicação de informações, à realização de testes e ao risco de terceiros no domínio das TIC. As disparidades existentes neste domínio, tanto no domínio legislativo como da supervisão, assim como a nível nacional e da UE, constituem obstáculos ao mercado único dos serviços financeiros, uma vez que as entidades financeiras com atividade transfronteiriça se deparam com requisitos regulamentares ou expectativas de supervisão diferentes, ou mesmo sobrepostas, que podem impedir o exercício das liberdades de estabelecimento e prestação de serviços. As diferentes regras também falseiam a concorrência entre os mesmos tipos de entidades financeiras em Estados-Membros diferentes. Além disso, nos domínios em que não há harmonização ou há uma harmonização parcial ou limitada, o desenvolvimento de abordagens e regras nacionais divergentes, estejam elas em vigor ou em processo de aprovação e aplicação a nível nacional, podem constituir fatores de dissuasão das liberdades do mercado único de serviços financeiros. É esse o caso, em especial, dos quadros para a realização de testes operacionais digitais e para a fiscalização de terceiros prestadores de serviços críticos no domínio das TIC. Uma vez que a proposta afeta diversas diretivas do Parlamento Europeu e do Conselho adotadas com base no artigo 53.º, n.º 1, do TFUE, é apresentada, simultaneamente, uma proposta de diretiva que reflita as alterações necessárias dessas diretivas.

·Subsidiariedade O elevado grau de interligação dos serviços financeiros, a significativa atividade transfronteiriça das entidades financeiras e a considerável dependência do setor financeiro, no seu todo, de terceiros prestadores de serviços de TIC são fatores que exigem a viabilização de uma robusta resiliência operacional digital, para preservar a solidez dos mercados financeiros da UE no interesse comum. As disparidades resultantes de regimes assimétricos ou parciais, de sobreposições ou da multiplicidade de requisitos aplicáveis às mesmas entidades financeiras com atividade transfronteiriça ou titulares de várias autorizações no mercado único só podem ser resolvidas a nível da União. A presente proposta vem harmonizar a componente operacional digital de um setor profundamente integrado e interligado, que já beneficia de um conjunto único de regras e de uma supervisão comum na maioria dos restantes domínios. No que respeita a questões como a comunicação de incidentes relacionados com as TIC, só por meio de regras da União harmonizadas se poderia reduzir o nível de encargos administrativos e custos financeiros associados à comunicação do mesmo incidente relacionado com as TIC a diversas autoridades nacionais e da União. A ação da UE é igualmente necessária para facilitar o reconhecimento mútuo dos resultados dos testes avançados da resiliência operacional digital das entidades com atividade transfronteiriça, os quais, na ausência de regras da União, estão ou poderão estar sujeitas a diferentes quadros em diferentes Estados-Membros. Apenas uma ação a nível da União poderá dar resposta às diferenças entre as abordagens de realização de testes aplicadas pelos Estados-Membros. A ação à escala da UE também é necessária para colmatar a falta de poderes de supervisão adequados para monitorizar os riscos decorrentes dos terceiros prestadores de serviços de TIC, nomeadamente os riscos de concentração e de contágio no setor financeiro da UE. ·Proporcionalidade As regras propostas não excedem o necessário para atingir os objetivos da proposta, abrangendo apenas aspetos aos quais os Estados-Membros não conseguirão dar resposta por si mesmos e limitando-se a situações em que os encargos administrativos e os custos sejam proporcionados aos objetivos específicos e gerais a alcançar. A proporcionalidade é tida em conta em termos do âmbito de aplicação e de intensidade, por meio da utilização de critérios de avaliação qualitativos e quantitativos através dos quais se pretende assegurar que, não obstante o facto de abrangerem todas as entidades financeiras, as novas regras sejam simultaneamente adaptadas aos riscos e às necessidades decorrentes das respetivas características específicas em termos de dimensão e perfil de atividades. A proporcionalidade é igualmente integrada nas regras em matéria de gestão do risco no domínio das TIC, de realização de testes da resiliência digital, da comunicação de incidentes graves relacionados com as TIC e da fiscalização de terceiros prestadores de serviços de TIC críticos. ·Escolha do instrumento As medidas necessárias para governar a gestão do risco no domínio das TIC, a comunicação de incidentes relacionados com as TIC, a realização dos testes e a fiscalização de terceiros prestadores de serviços críticos no domínio das TIC têm de estar contidas num regulamento, para assegurar que os requisitos sejam efetiva e diretamente aplicáveis de modo uniforme, sem prejuízo da proporcionalidade e das regras específicas previstas no presente regulamento. A coerência na abordagem aos riscos operacionais digitais contribui para reforçar a confiança no sistema financeiro e preservar a sua estabilidade. Dado que o recurso a um regulamento ajuda a reduzir a complexidade regulamentar, fomenta a convergência da supervisão e aumenta a segurança jurídica, o presente regulamento contribui igualmente para limitar os custos de conformidade das entidades financeiras, em especial para as que desenvolvem atividades transfronteiriças, o que, por sua vez, ajudará a eliminar as distorções da concorrência. O presente regulamento elimina igualmente as disparidades legislativas e as assimetrias das abordagens nacionais de regulamentação ou supervisão do risco no domínio das TIC, removendo portanto os obstáculos no mercado único dos serviços financeiros, em especial no que respeita à facilidade do exercício das liberdades de estabelecimento e prestação de serviços pelas entidades financeiras com uma presença transfronteiriça. Por fim, o conjunto único de regras tem sido sobretudo desenvolvido por meio de regulamentos, pelo que a sua atualização no que respeita à componente relativa à resiliência operacional digital deve seguir a mesma escolha de instrumento jurídico. 3.RESULTADOS DAS AVALIAÇÕES EX POST, DAS CONSULTAS DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO ·Avaliações ex post/balanços de qualidade da legislação existente Até ao momento, não existe qualquer legislação em matéria de serviços financeiros centrada na resiliência operacional e que dê uma resposta abrangente aos riscos decorrentes da digitalização, nem mesmo a que estabelece regras para dar resposta, de uma forma mais geral, à dimensão do risco operacional, com uma subcomponente relativa ao risco no domínio das TIC. A intervenção da União tem ajudado, até ao momento, a suprir as necessidades e a dar resposta aos problemas presentes no rescaldo da crise financeira de 2008: as instituições de crédito não se encontravam suficientemente capitalizadas, os mercados não estavam suficientemente integrados e a harmonização, até então, era mantida a um nível mínimo. À altura, o risco no domínio das TIC não era considerado uma prioridade, pelo que os quadros jurídicos de diversos subsetores financeiros evoluíram de modo descoordenado. Ainda assim, a ação da União alcançou os seus objetivos de assegurar a estabilidade financeira e estabelecer um conjunto único de regras harmonizadas em matéria prudencial e de conduta do mercado aplicáveis às entidades financeiras em toda a UE. Uma vez que os fatores que, no passado, motivaram a intervenção legislativa da União não permitiam que as regras específicas e abrangentes abordassem a utilização generalizada de tecnologias digitais e os riscos dela decorrentes no domínio financeiro, a realização de uma avaliação explícita afigura-se desafiante. Cada pilar do presente regulamento reflete um exercício implícito de avaliação e as alterações legislativas que dele advêm. ·Consulta das partes interessadas A Comissão consultou as partes interessadas durante o processo de elaboração da proposta, nomeadamente: i) A Comissão levou a cabo uma consulta pública aberta específica (de 19 de dezembro de 2019 a 19 de março de 2020); ii) A Comissão consultou o público por meio de uma avaliação de impacto inicial (de 19 de dezembro de 2019 a 16 de janeiro de 2020); iii) Em duas ocasiões (18 de maio de 2020 e 16 de julho de 2020), os serviços da Comissão consultaram peritos dos Estados-Membros pertencentes ao grupo de peritos do setor bancário, dos pagamentos e dos seguros; iv)No âmbito do conjunto de eventos de sensibilização para o financiamento digital realizados em 2020, os serviços da Comissão organizaram um seminário em linha especificamente alusivo ao tema da resiliência operacional digital (19 de maio de 2020). Pretendia-se com a consulta pública informar a Comissão quanto ao desenvolvimento de um eventual quadro intersetorial da UE para a resiliência operacional digital no domínio dos serviços financeiros. Nas respostas obtidas, ficou patente um amplo apoio à introdução de um quadro específico com medidas centradas nos quatro domínios objeto da consulta, tendo sido salientada a necessidade de assegurar a proporcionalidade, bem como de abordar e explicar a interação com as regras horizontais da Diretiva SRI. A Comissão recebeu duas respostas à avaliação de impacto inicial, nas quais os inquiridos abordaram aspetos específicos relacionados com o respetivo domínio de atividade.

Na reunião do grupo de peritos do setor bancário, dos pagamentos e dos seguros de 18 de maio de 2020, os Estados-Membros manifestaram um amplo apoio ao reforço da resiliência operacional digital do setor financeiro por meio das ações previstas para os quatro elementos delineados pela Comissão. Os Estados-Membros salientaram ainda a necessidade de uma articulação clara das novas regras com as relativas ao risco operacional (no âmbito da legislação em matéria de serviços financeiros da UE) e com as regras horizontais em matéria de cibersegurança (Diretiva SRI). Durante a segunda reunião, alguns Estados-Membros salientaram a necessidade de assegurar a proporcionalidade e ter em conta a situação específica das pequenas empresas ou das filiais de grupos maiores, bem como a necessidade de atribuir um mandato robusto às ANC que participam na supervisão. A proposta integra e baseia-se, igualmente, em observações feitas nas reuniões realizadas com partes interessadas e as instituições e autoridades da UE. As partes interessadas, incluindo terceiros prestadores de serviços de TIC, têm acolhido favoravelmente a proposta, de modo geral. Da análise das observações recebidas é patente o apelo à preservação da proporcionalidade e à adoção na conceção das regras de uma abordagem com base em princípios e no risco. Quanto ao lado institucional, os principais contributos foram aqueles do Comité Europeu do Risco Sistémico (CERS), das AES, da Agência da União Europeia para a Cibersegurança (ENISA) e do Banco Central Europeu (BCE), assim como das autoridades competentes dos Estados-Membros. ·Recolha e utilização de conhecimentos especializados Ao preparar a presente proposta, a Comissão baseou-se em dados qualitativos e quantitativos obtidos junto de fontes reconhecidas, o que inclui os dois pareceres técnicos conjuntos das AES. A estes juntaram-se contributos confidenciais e relatórios públicos de autoridades de supervisão, organismos internacionais de normalização e institutos de investigação proeminentes, bem como contributos quantitativos e qualitativos de partes interessadas identificadas pertencentes ao setor financeiro mundial. ·Avaliação de impacto A presente proposta é acompanhada por uma avaliação de impacto, que foi apresentada ao Comité de Controlo da Regulamentação (CCR) em 29 de abril de 2020 e aprovada em 29 de maio de 2020. O CCR recomendou que fossem feitas melhorias em algumas áreas, com vista a: i) prestar mais informações sobre a questão de saber como irá ser assegurada a proporcionalidade; ii) pôr em maior evidência a medida em que a opção preferencial difere do parecer técnico conjunto das AES e por que motivo essa opção é a melhor; e iii) pôr em maior evidência as interações entre a proposta e a legislação existente da UE, nomeadamente as regras que, atualmente, se encontram em processo de revisão. A avaliação de impacto foi adaptada para dar resposta a estes elementos, abordando igualmente as observações mais pormenorizadas do CCR. A Comissão ponderou um conjunto de opções políticas para criar um quadro para a resiliência operacional digital, a saber: ·Manutenção do statu quo: as regras relativas à resiliência operacional continuariam a ser estabelecidas pelo atual conjunto divergente de disposições referentes aos serviços financeiros da UE, bem como parcialmente pela Diretiva SRI e pelos regimes nacionais existentes ou futuros; ·Opção 1: reforço das reservas de capital: seriam introduzidas reservas de capital adicionais com vista a aumentar a capacidade das entidades financeiras para absorverem perdas que pudessem surgir devido à falta de resiliência operacional digital; ·Opção 2: apresentação de um ato relativo à resiliência operacional digital dos serviços financeiros: permitiria a criação de um quadro abrangente a nível da UE, com regras coerentes destinadas a suprir as necessidades em matéria de resiliência operacional digital de todas as entidades financeiras reguladas, e estabeleceria um quadro de fiscalização dos terceiros prestadores de serviços de TIC críticos; ·Opção 3: um ato relativo à resiliência operacional digital dos serviços financeiros juntamente com uma supervisão centralizada dos terceiros prestadores de serviços de TIC críticos: além do ato relativo à resiliência operacional digital (opção 2), instituir-se-ia uma nova autoridade para supervisionar a prestação de serviços de TIC por terceiros. Foi selecionada a segunda opção, dado que permite alcançar a maioria dos objetivos pretendidos de modo eficaz, eficiente e coerente com outras políticas da União. A maioria das partes interessadas também prefere esta opção. A opção selecionada daria origem a custos de natureza recorrente e não recorrente. Os custos não recorrentes devem-se, sobretudo, aos investimentos em sistemas informáticos e, por conseguinte, são difíceis de quantificar dado o diferente estado dos complexos cenários no domínio informático das empresas e, em particular, dos seus sistemas informáticos pré-existentes. Ainda assim, estes custos serão, provavelmente, limitados para as grandes empresas, tendo em conta os significativos investimentos no domínio das TIC que já fizeram. Espera-se, igualmente, que os custos sejam limitados para as pequenas empresas, uma vez que seriam aplicáveis medidas proporcionadas, dado o risco mais baixo das mesmas. A opção selecionada teria efeitos positivos para as PME em atividade no setor dos serviços financeiros, em termos de impactos económicos, sociais e ambientais. A proposta proporcionará às PME clareza quanto às regras aplicáveis, o que reduzirá os custos de conformidade. Os principais impactos sociais da opção política selecionada seriam junto dos consumidores e investidores. O aumento dos níveis de resiliência operacional digital do sistema financeiro da UE reduziria a frequência e os custos médios dos incidentes. A sociedade, no seu todo, beneficiaria com o aumento da confiança no setor dos serviços financeiros. Por fim, em termos de impactos ambientais, a opção política selecionada incentivaria um aumento da utilização da última geração de infraestruturas e serviços de TIC, que se prevê sejam mais sustentáveis em termos ambientais. ·Adequação da regulamentação e simplificação A eliminação da sobreposição dos requisitos de comunicação de incidentes relacionados com as TIC reduziria os encargos administrativos e os custos conexos. Além disso, a harmonização dos testes da resiliência operacional digital, com reconhecimento mútuo no mercado único, reduzirá os custos, em especial para as empresas transfronteiriças, que de outro modo poderiam ter de realizar diversos testes nos diferentes Estados-Membros. ·Direitos fundamentais A UE está empenhada em assegurar níveis elevados de proteção dos direitos fundamentais. Todas as disposições em matéria de partilha de informações a título voluntário entre as entidades financeiras que o presente regulamento promove seriam postas em prática em ambientes de confiança, no pleno respeito das regras em matéria de proteção dos dados da União, designadamente do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho e em especial no tratamento de dados pessoais, se for caso disso, para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento.

4. INCIDÊNCIA ORÇAMENTAL No que respeita à incidência orçamental, dado que o presente regulamento prevê um reforço das funções das AES por meio da atribuição de poderes para fiscalizar adequadamente os terceiros prestadores de serviços de TIC críticos, a proposta implicaria uma maior utilização de recursos, em especial para cumprir as missões de fiscalização (como atividades de inspeção e auditoria no terreno e em linha), e o recurso a pessoal com conhecimentos especializados específicos no domínio da segurança das TIC. A escala e distribuição destes custos dependerá da amplitude dos novos poderes de fiscalização e das atribuições (precisas) a conferir às AES. No que respeita aos novos recursos humanos, a EBA, a ESMA e a EIOPA necessitarão de 18 novos funcionários a tempo completo (FTC) – seis FTC para cada autoridade – quando as diversas disposições da proposta forem aplicáveis (cujo custo se estima que ascenda a 15,71 milhões de EUR no período 2022-2027). As AES terão ainda de suportar custos adicionais informáticos, despesas de deslocação em serviço para as inspeções no terreno e custos de tradução (que se estima que ascendam a 12 milhões de EUR no período 2022-2027), bem como outras despesas administrativas (que se estima que ascendam a 2,48 milhões de EUR no período 2022-2027). Por conseguinte, o impacto do custo total previsto é de, aproximadamente, 30,19 milhões de EUR no período 2022-2027. Importa ainda salientar que, embora os valores necessários (p. ex.: dos novos funcionários e de outras despesas relacionadas com as novas atribuições) relativos à fiscalização direta dependam, com o passar do tempo, da evolução do número e da dimensão dos terceiros prestadores de serviços de TIC críticos a fiscalizar, as respetivas despesas serão plenamente financiadas por meio das taxas cobradas aos intervenientes no mercado. Por conseguinte, não se prevê qualquer impacto a nível de dotações orçamentais da UE (salvo no que respeita aos funcionários adicionais), uma vez que os custos serão plenamente financiados por taxas. O impacto orçamental e financeiro da presente proposta é explicado em pormenor na ficha financeira legislativa em anexo à presente proposta. 5.OUTROS ELEMENTOS ·Planos de execução e acompanhamento, mecanismos de avaliação e prestação de informações A proposta inclui um plano geral de acompanhamento e avaliação do impacto relativo aos objetivos específicos, que exige que a Comissão proceda a uma revisão pelo menos três anos após a entrada em vigor e preste informações ao Parlamento Europeu e ao Conselho sobre as suas principais conclusões. A revisão deve ser realizada em conformidade com as Orientações «Legislar Melhor» da Comissão. ·Explicação pormenorizada das disposições específicas da proposta A proposta estrutura-se em torno de diversos domínios de intervenção política que constituem pilares inter-relacionados fundamentais consensualmente incluídos nas boas práticas e nas orientações europeias e internacionais que visam reforçar a resiliência operacional e a ciber-resiliência do setor financeiro. Âmbito de aplicação do regulamento e aplicação do princípio da proporcionalidade das medidas necessárias (artigo 2.º) A fim de assegurar a coerência dos requisitos de gestão do risco no domínio das TIC aplicáveis ao setor financeiro, o regulamento abrange um conjunto de entidades financeiras reguladas a nível da União, nomeadamente instituições de crédito, instituições de pagamento, instituições de moeda eletrónica, empresas de investimento, prestadores de serviços de criptoativos, centrais de valores mobiliários, contrapartes centrais, plataformas de negociação, repositórios de transações, gestores de fundos de investimento alternativos e sociedades gestoras, prestadores de serviços de comunicação de dados, empresas de seguros e de resseguros, mediadores de seguros, mediadores de resseguros e mediadores de seguros a título acessório, instituições de realização de planos de pensões profissionais, agências de notação de risco, revisores oficiais de contas e sociedades de auditoria, administradores de índices de referência críticos e prestadores de serviços de financiamento colaborativo. Uma tal cobertura facilitará a aplicação homogénea e coerente de todas as componentes da gestão do risco nos domínios relacionados com as TIC, salvaguardando simultaneamente a equidade das condições de concorrência entre as entidades financeiras quanto às suas obrigações regulamentares em matéria de risco no domínio das TIC. Ao mesmo tempo, o regulamento reconhece a existência de diferenças significativas entre as entidades financeiras, tanto em termos de dimensão e perfil de atividades como da sua exposição ao risco digital. Uma vez que as entidades financeiras de maiores dimensões possuem mais recursos, só as entidades financeiras que não se enquadram na definição de microempresas serão obrigadas a, por exemplo, estabelecer disposições de governação complexas e cargos de gestão específicos, realizar avaliações em profundidade depois de fazerem alterações consideráveis na rede e nas infraestruturas do sistema informático, realizar regularmente análises de risco dos sistemas de TIC pré-existentes, expandir a realização de testes aos planos de continuidade das atividades e de resposta e recuperação para abranger cenários de comutação entre a sua principal infraestrutura de TIC e instalações redundantes. Além disso, a realização de testes de penetração por ameaças só será exigida às entidades financeiras que sejam consideradas significativas para efeitos da realização de testes avançados de resiliência digital. Não obstante esta amplitude, a cobertura não é exaustiva. Mais concretamente, o presente regulamento não abrange os operadores de sistema na aceção do artigo 2.º, alínea p), da Diretiva 98/26/CE relativa ao caráter definitivo da liquidação nos sistemas de pagamentos e de liquidação de valores mobiliários (SFD), nem qualquer outro interveniente no sistema, exceto se o próprio interveniente for uma entidade financeira (ou seja, uma instituição de crédito, uma empresa de investimento, uma CCP) regulada a nível da União, sendo por conseguinte abrangida pelo presente regulamento por direito próprio. Além disso, também o registo da União para as licenças de emissão, cujo funcionamento é regido pela Diretiva 2003/87/CE sob a égide da Comissão Europeia, está fora do âmbito de aplicação do regulamento. As referidas exclusões da SFD têm em conta a necessidade de um exame mais aprofundado das questões jurídicas e estratégicas respeitantes aos intervenientes e operadores de sistemas da SFD, tendo devidamente em consideração o impacto dos quadros que são atualmente candidatos a sistemas de pagamentos operados por bancos centrais. Uma vez que as referidas questões podem implicar aspetos que são, todavia, distintos das matérias abrangidas pelo presente regulamento, a Comissão continuará a avaliar a necessidade e o impacto de um eventual alargamento do âmbito de aplicação do presente regulamento às entidades e infraestruturas de TIC atualmente fora da sua esfera. Requisitos relacionados com a governação (artigo 4.º) O presente regulamento foi concebido para harmonizar melhor as estratégias de atividade das entidades financeiras e a gestão do risco no domínio das TIC. Para o efeito, o órgão de administração terá de manter uma função crucial e ativa na orientação do quadro de gestão do risco no domínio das TIC e deve observar uma rigorosa ciber-higiene. A plena responsabilidade do órgão de administração na gestão do risco no domínio das TIC da entidade financeira constituirá um princípio abrangente que se traduzirá, igualmente, num conjunto de requisitos específicos, tais como a atribuição de competências e responsabilidades claras para todas as funções relacionadas com as TIC, um empenho contínuo no controlo da monitorização da gestão do risco no domínio das TIC, assim como toda a panóplia de processos de aprovação e controlo e uma adequada realização de investimentos e formação no domínio das TIC. Requisitos de gestão do risco no domínio das TIC (artigos 5.º a 14.º) A resiliência operacional digital funda-se num conjunto de princípios fundamentais e requisitos do quadro de gestão do risco no domínio das TIC, em consonância com o parecer técnico conjunto das AES. Os requisitos, que se inspiram em normas, orientações e recomendações pertinentes a nível internacional, nacional e setorial, centram-se em torno de funções específicas de gestão do risco no domínio das TIC (identificação, proteção e prevenção, deteção, resposta e recuperação, aprendizagem e evolução, e comunicação). Para acompanhar o ritmo de um cenário de ciberameaça em rápida evolução, as entidades financeiras têm de manter instrumentos e sistemas de TIC resilientes para minimizar o impacto do risco nesse domínio, identificar continuamente todas as fontes de risco no domínio das TIC, adotar medidas de proteção e prevenção, detetar prontamente atividades anómalas e pôr em prática políticas específicas e abrangentes de continuidade das atividades e planos de recuperação e de catástrofe, como parte integrante da política de continuidade das atividades. As últimas são componentes necessárias à pronta recuperação na sequência de incidentes relacionados com as TIC, em especial de ciberataques, limitando os danos e dando prioridade a uma segura continuação das atividades. O regulamento não impõe, por si próprio, uma normalização específica, mas assenta sim em normas técnicas ou boas práticas do setor reconhecidas a nível europeu e internacional, na medida em que estejam em conformidade com as instruções de supervisão sobre a utilização e integração de tais normas internacionais. O presente regulamento também não abrange a integridade, segurança e resiliência das infraestruturas físicas e das instalações que permitem a utilização da tecnologia, bem como das pessoas e processos pertinentes relacionados com as TIC, que integram a pegada digital das operações da entidade financeira.

Comunicação de incidentes relacionados com as TIC (artigos 15.º a 20.º) A harmonização e racionalização da comunicação de incidentes relacionados com as TIC é alcançada, em primeiro lugar, por meio de um requisito geral que obriga as entidades financeiras a estabelecerem e a porem em prática um processo de monitorização e registo dos incidentes relacionados com as TIC e, posteriormente, de uma obrigação de os classificar com base em critérios enunciados no regulamento e posteriormente desenvolvidos pelas AES para especificar limiares de materialidade. Em segundo lugar, só é obrigatória a comunicação às autoridades competentes dos incidentes relacionados com as TIC que sejam considerados graves. A comunicação deve ser efetuada por meio de um modelo comum e deve seguir um procedimento harmonizado criado pelas AES. As entidades financeiras devem apresentar relatórios iniciais, intercalares e finais e informar os seus utilizadores e clientes se o incidente tiver ou for suscetível de ter um impacto nos seus interesses financeiros. As autoridades competentes devem transmitir os pormenores pertinentes dos incidentes a outras instituições ou autoridades: às AES, ao BCE e aos pontos de contacto únicos designados por força da Diretiva (UE) 2016/1148. Para encetar um diálogo entre as entidades financeiras e as autoridades competentes, que ajudaria a minimizar o impacto e a identificar medidas corretivas adequadas, a comunicação de incidentes graves relacionados com as TIC deve ser completada pela formulação de observações e orientações a nível da supervisão. Por fim, deve-se continuar a explorar a possibilidade de centralizar a nível da União a comunicação de incidentes relacionados com as TIC num relatório conjunto das AES, do BCE e da ENISA sobre a avaliação da viabilidade do estabelecimento de uma plataforma única da UE (a seguir designada «plataforma») para a comunicação de incidentes graves relacionados com as TIC pelas entidades financeiras. Testes da resiliência operacional digital (artigos 21.º a 24.º) É necessário realizar periodicamente testes às capacidades e funções incluídas no quadro de gestão do risco no domínio das TIC quanto à sua prontidão e à identificação de pontos fracos, insuficiências ou lacunas, bem como quanto à pronta aplicação de medidas corretivas. O presente regulamento permite uma aplicação proporcionada dos requisitos em matéria de testes da resiliência operacional digital em função da dimensão e do perfil de atividades e de risco das entidades financeiras: embora todas as entidades devam realizar testes dos sistemas e instrumentos de TIC, só as entidades que sejam identificadas pelas autoridades competentes (com base em critérios constantes do presente regulamento e posteriormente desenvolvidos pelas AES) como sendo significativas e tendo alcançado um determinado nível de maturidade cibernética devem ser obrigadas a realizar testes avançados, assentes em testes de penetração com base em ameaças. O presente regulamento estabelece ainda requisitos aplicáveis aos responsáveis pela realização dos testes e o reconhecimento dos resultados dos testes de penetração com base em ameaças na União pelas entidades financeiras com atividade em diversos Estados-Membros. Risco de terceiros no domínio das TIC (artigos 25.º a 39.º) O regulamento foi concebido para assegurar uma boa monitorização do risco de terceiros no domínio das TIC. Este objetivo será alcançado, em primeiro lugar, por meio do respeito das regras baseadas em princípios aplicáveis à monitorização do risco para as entidades financeiras decorrente de terceiros prestadores de serviços de TIC. Em segundo lugar, o regulamento harmoniza elementos fundamentais do serviço e da relação com os terceiros prestadores de serviços de TIC. Estes elementos abrangem aspetos mínimos considerados cruciais para permitir a total monitorização do risco de terceiros no domínio das TIC efetuada pela entidade financeira nas fases de celebração, de execução e de rescisão dos contratos, bem como na fase pós-contratual da sua relação. Mais particularmente, os contratos que regem a referida relação terão de conter uma descrição completa dos serviços, a indicação dos locais em que se procederá ao tratamento dos dados, descrições completas dos acordos de nível de serviço acompanhadas de metas de desempenho quantitativas e qualitativas, disposições pertinentes sobre a acessibilidade, a disponibilidade, a integridade, a segurança e a proteção de dados pessoais e garantias de acesso, recuperação e reposição em caso de falhas dos terceiros prestadores de serviços de TIC, períodos de pré-aviso e obrigações de prestação de informações pelos terceiros prestadores de serviços de TIC, direitos de acesso, inspeção e auditoria da entidade financeira ou de terceiros designados para o efeito, direitos claros de rescisão e estratégias de saída específicas. Além disso, uma vez que alguns desses elementos contratuais são suscetíveis de normalização, o regulamento promove a utilização a título voluntário de cláusulas contratuais normalizadas para a utilização de serviços de computação em nuvem a elaborar pela Comissão. Por fim, o regulamento procura promover a convergência das abordagens de supervisão em matéria de risco de terceiros no domínio das TIC no setor financeiro, sujeitando os terceiros prestadores de serviços de TIC críticos a um quadro de fiscalização da União. Por meio de um novo quadro legislativo harmonizado, a AES designada como autoridade de fiscalização principal de cada terceiro prestador de serviços de TIC crítico fica habilitada a assegurar que os prestadores de serviços informáticos que desempenham uma função crítica no funcionamento do setor financeiro sejam devidamente monitorizados a uma escala pan-europeia. O quadro de fiscalização pretendido no âmbito do presente regulamento assenta na arquitetura institucional existente no domínio dos serviços financeiros, mediante a qual o Comité Conjunto das AES assegura a coordenação intersetorial em todas as matérias relativas ao risco no domínio das TIC, em conformidade com as suas atribuições em matéria de cibersegurança, com o apoio do subcomité pertinente (Fórum de Fiscalização), efetuando os trabalhos preparatórios de decisões individuais e das recomendações coletivas dirigidas a terceiros prestadores de serviços críticos. Partilha de informações (artigo 40.º) A fim de sensibilizar para o risco no domínio das TIC, minimizar a sua propagação e apoiar as capacidades defensivas e as técnicas de deteção de ameaças das entidades financeiras, o regulamento permite que estas estabeleçam disposições para partilhar entre si dados e informações sobre ciberameaças.



2020/0266 (COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo à resiliência operacional digital do setor financeiro e que altera os regulamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014 e (UE) n.º 909/2014 (Texto relevante para efeitos do EEE) O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.º,

Tendo em conta a proposta da Comissão Europeia, Após transmissão do projeto de ato legislativo aos parlamentos nacionais, Tendo em conta o parecer do Banco Central Europeu, Tendo em conta o parecer do Comité Económico e Social Europeu, Deliberando de acordo com o processo legislativo ordinário, Considerando o seguinte: (1)Na era digital, as tecnologias da informação e comunicação (TIC) servem de esteio a sistemas complexos utilizados em atividades societais quotidianas. Mantêm em funcionamento setores fundamentais das nossas economias, nomeadamente o setor financeiro, e melhoram o funcionamento do mercado único. A intensificação da digitalização e interligação também amplificam os riscos no domínio das TIC, tornando a sociedade no seu conjunto – e, em particular, o sistema financeiro – mais vulneráveis a ciberameaças ou perturbações no domínio das TIC. Não obstante o facto de a ubiquidade da utilização de sistemas de TIC e o elevado nível de digitalização e conectividade serem, atualmente, características centrais de todas as atividades das entidades financeiras da União, a resiliência digital não está ainda incorporada de modo suficiente nos seus quadros operacionais. (2)A utilização das TIC tem adquirido nas últimas décadas um papel fulcral no setor financeiro, assumindo atualmente uma relevância crítica no funcionamento das típicas funções quotidianas de todas as entidades financeiras. A digitalização abrange, por exemplo, os pagamentos, onde se observa uma transição crescente dos métodos com base em numerário e em papel para soluções digitais, bem como a compensação e liquidação de valores mobiliários, a negociação eletrónica e algorítmica, as operações de concessão de empréstimos e de financiamento, o financiamento entre particulares, a notação de risco, a subscrição de seguros, a gestão dos sinistros e as operações de processamento administrativo. Não só o setor financeiro se tornou em grande medida digital, como também a digitalização aprofundou a interligação e as dependências no interior do próprio setor financeiro e em relação a infraestruturas de terceiros e terceiros prestadores de serviços. (3)O Comité Europeu do Risco Sistémico (CERS) reafirmou, num relatório de 2020 sobre o ciber-risco sistémico, que o elevado nível de interligação existente entre as entidades financeiras, os mercados financeiros e as infraestruturas do mercado financeiro, e, em especial, as interdependências dos seus sistemas de TIC, pode constituir uma vulnerabilidade sistémica, uma vez que os ciberincidentes localizados se poderiam rapidamente espalhar a partir de qualquer uma das aproximadamente 22 mil entidades financeiras da União a todo o sistema financeiro, livre dos embaraços das fronteiras geográficas. As violações graves dos sistemas de TIC no setor financeiro não afetam unicamente as entidades financeiras, de forma isolada. Também abrem caminho à propagação de vulnerabilidades localizadas nos canais de transmissão financeiros e podem desencadear consequências negativas para a estabilidade do sistema financeiro da União, gerando crises de liquidez e uma perda de confiança geral nos mercados financeiros. (4)Mais recentemente, os riscos no domínio das TIC têm atraído a atenção dos decisores políticos, das autoridades de regulamentação e dos organismos de normalização nacionais, europeus e internacionais, na tentativa de reforçar a resiliência, estabelecer normas e coordenar os esforços de regulamentação e supervisão. A nível internacional, o Comité de Basileia de Supervisão Bancária, o Comité de Pagamentos e Infraestruturas do Mercado, o Conselho de Estabilidade Financeira, o Instituto da Estabilidade Financeira, assim como o G7 e o G20, têm tentado proporcionar às autoridades competentes e aos operadores de mercado em diversas jurisdições instrumentos para reforçar a resiliência dos seus sistemas financeiros. (5)Não obstante as políticas e iniciativas legislativas específicas a nível nacional e europeu, os riscos no domínio das TIC constituem ainda um desafio para a resiliência operacional, o desempenho e a estabilidade do sistema financeiro da União. A reforma que se seguiu à crise financeira de 2008 reforçou sobretudo a resiliência financeira do setor financeiro da União e visava salvaguardar a competitividade e estabilidade da União do ponto de vista económico, prudencial e da conduta do mercado. Embora a segurança e a resiliência digital no domínio das TIC façam parte do risco operacional, têm sido objeto de uma menor atenção na agenda regulamentar no período pós-crise, tendo-se desenvolvido apenas em alguns domínios das políticas e do panorama regulamentar da União no domínio dos serviços financeiros ou apenas em alguns Estados-Membros. (6)No seu Plano de Ação para a Tecnologia Financeira de 2018, a Comissão destacou a extrema importância de tornar o setor financeiro da União mais resiliente também do ponto de vista operacional, para assegurar a sua segurança tecnológica e bom funcionamento e a sua rápida recuperação das violações e incidentes dos sistemas de TIC, permitindo, em última análise, a eficaz e fácil prestação dos serviços financeiros em toda a União, inclusivamente em situações de pressão, preservando simultaneamente a confiança dos consumidores e do mercado. (7)Em abril de 2019, a Autoridade Bancária Europeia (EBA), a Autoridade Europeia dos Valores Mobiliários e dos Mercados (ESMA) e a Autoridade Europeia dos Seguros e Pensões Complementares de Reforma (EIOPA) (conjuntamente denominadas «Autoridades Europeias de Supervisão» ou «AES») emitiram conjuntamente dois pareceres técnicos que instavam a uma abordagem coerente dos riscos no domínio das TIC no setor financeiro e recomendavam um reforço proporcionado da resiliência operacional digital do setor dos serviços financeiros por meio de uma iniciativa setorial da União. (8)O setor financeiro da União é regulamentado por um conjunto único de regras e governado pelo sistema europeu de supervisão financeira. Todavia, as disposições que abordam a resiliência operacional digital e a segurança no domínio das TIC ainda não foram plena e coerentemente harmonizadas, embora a resiliência operacional digital seja vital para assegurar a estabilidade financeira e a integridade do mercado na era digital e não menos importante do que, por exemplo, as normas prudenciais ou de conduta do mercado. Cumpre, pois, desenvolver o conjunto único de regras e o sistema de supervisão, com vista a abranger também esta componente, alargando os mandatos das autoridades de supervisão financeira incumbidas da monitorização e da proteção da estabilidade financeira e da integridade do mercado. (9)As disparidades legislativas e as assimetrias das abordagens nacionais de regulamentação ou supervisão do risco no domínio das TIC dão origem a obstáculos no mercado único dos serviços financeiros, impedindo o fácil exercício da liberdade de estabelecimento e prestação de serviços pelas entidades financeiras com uma presença transfronteiriça. A concorrência entre os mesmos tipos de entidades financeiras com atividade em diversos Estados-Membros também poderá ser falseada. Mais particularmente, nos domínios em que a harmonização da União tem sido muito limitada – como o da realização de testes da resiliência operacional digital – ou inexistente – como o da monitorização do risco de terceiros no domínio das TIC –, as disparidades decorrentes dos desenvolvimentos pretendidos a nível nacional podem gerar mais obstáculos ao funcionamento do mercado único, em detrimento dos intervenientes no mercado e da estabilidade financeira. (10)São patentes as lacunas e sobreposições em domínios importantes, como a comunicação de incidentes relacionados com as TIC e a realização de testes da resiliência operacional digital, decorrentes do modo parcial pelo qual se tem, até ao momento, abordado as disposições relacionadas com o risco no domínio das TIC a nível da União. Esta situação é especialmente prejudicial para os utilizadores intensivos das TIC, como o setor financeiro, uma vez que os riscos tecnológicos não conhecem fronteiras e o setor financeiro oferece os seus serviços a nível transfronteiriço, tanto dentro como fora da União. As entidades financeiras com atividade a nível transfronteiriço ou titulares de diversas autorizações (p. ex.:, uma entidade financeira pode ser titular de uma licença bancária, como empresa de investimento e como instituição de pagamento, todas elas emitidas por autoridades competentes diferentes num ou mais Estados-Membros) enfrentam desafios operacionais para fazer face aos riscos no domínio das TIC e atenuar os impactos negativos dos incidentes no domínio das TIC por si sós e de modo coerente e eficaz em termos de custos. (11)Uma vez que o conjunto único de regras não foi acompanhado de um quadro abrangente para o risco operacional nem para as TIC, é necessária uma maior harmonização dos requisitos essenciais de resiliência operacional digital para todas as entidades financeiras. As capacidades e a resiliência geral que as entidades financeiras desenvolveriam, com base nos referidos requisitos essenciais, com vista a resistir às indisponibilidades operacionais, ajudariam a preservar a estabilidade e a integridade dos mercados financeiros da União, contribuindo assim para assegurar um elevado nível de proteção dos investidores e consumidores na União. Uma vez que o presente regulamento visa contribuir para o bom funcionamento do mercado único, deve ter por base as disposições do artigo 114.º do TFUE, interpretado nos termos da jurisprudência constante do Tribunal de Justiça da União Europeia. (12)O presente regulamento visa, em primeiro lugar, consolidar e atualizar os requisitos em matéria de risco no domínio das TIC abordados, até ao momento, em diversos regulamentos e diretivas. Embora os referidos atos jurídicos da União abranjam as principais categorias de risco financeiro (ou seja, risco de crédito, risco de mercado, risco de crédito de contraparte e risco de liquidez, risco da conduta do mercado), no momento da adoção não conseguiam dar uma resposta abrangente a todas as componentes da resiliência operacional. Os requisitos em matéria de risco operacional, à medida que foram sendo aprofundados nos referidos atos jurídicos da União, deram muitas vezes preferência à tradicional abordagem quantitativa do risco (nomeadamente, o estabelecimento de um requisito de fundos próprios para cobrir os riscos no domínio das TIC), em vez de consagrarem requisitos qualitativos específicos com vista a proteger, detetar, conter, recuperar e reparar as capacidades afetadas por incidentes relacionados com as TIC ou de estabelecerem capacidades de comunicação de informações e de realização de testes aos meios digitais. As referidas diretivas e regulamentos pretendiam, sobretudo, abranger as regras essenciais em matéria de supervisão prudencial, integridade do mercado ou conduta. Com este exercício, que consolida e atualiza as regras em matéria de risco no domínio das TIC, todas as disposições que abordam o risco digital no setor financeiro serão pela primeira vez reunidas de modo coerente num único ato legislativo. Importa, portanto, que a presente iniciativa colmate as lacunas ou resolva as incoerências em alguns dos referidos atos jurídicos, nomeadamente em relação à terminologia utilizada, e faça explicitamente referência ao risco no domínio das TIC por meio de regras específicas para as capacidades de gestão desse risco, a comunicação de informações e a realização de testes, bem como para a monitorização do risco de terceiros.

(13)As entidades financeiras devem adotar a mesma abordagem e as mesmas regras baseadas em princípios ao abordarem o risco no domínio das TIC. A coerência contribuirá para reforçar a confiança no sistema financeiro e preservar a sua estabilidade, em especial quando se verifica uma excessiva utilização dos sistemas, plataformas e infraestruturas de TIC, o que implica um aumento do risco digital. A observância de uma ciber-higiene básica deverá também evitar a imposição de pesados custos para a economia, minimizando o impacto e os custos das perturbações no domínio das TIC. (14)O recurso a um regulamento ajuda a reduzir a complexidade regulamentar, fomenta a convergência da supervisão, aumenta a segurança jurídica e contribuirá simultaneamente para limitar os custos de conformidade, em especial para entidades financeiras com atividade transfronteiriça, e para reduzir as distorções da concorrência. Por conseguinte, a escolha de um regulamento para o estabelecimento de um quadro comum para a resiliência operacional digital das entidades financeiras afigura-se a forma mais adequada de garantir uma aplicação homogénea e coerente de todas as componentes da gestão do risco no domínio das TIC pelos setores financeiros da União. (15)Além da legislação em matéria de serviços financeiros, a Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho constitui o quadro geral para a cibersegurança vigente a nível da União. Entre os sete setores cruciais, a diretiva é também aplicável a três tipos de entidades financeiras, a saber, as instituições de crédito, as plataformas de negociação e as contrapartes centrais. No entanto, uma vez que a Diretiva (UE) 2016/1148 estabelece um regime de identificação a nível nacional dos operadores de serviços essenciais, só determinadas instituições de crédito, plataformas de negociação e contrapartes centrais identificadas pelos Estados-Membros são abrangidas pelo seu âmbito de aplicação, pelo que estão obrigadas a cumprir os requisitos de comunicação de incidentes e de segurança no domínio das TIC estabelecidos na diretiva. (16)Dado que o presente regulamento aumenta o nível de harmonização das componentes de resiliência digital, introduzindo requisitos de gestão do risco no domínio das TIC e de comunicação de incidentes relacionados com as TIC que são mais rigorosos do que os estabelecidos na legislação vigente em matéria de serviços financeiros da União, constitui também um reforço da harmonização em comparação com os requisitos estabelecidos na Diretiva (UE) 2016/1148. Por conseguinte, o presente regulamento constitui lex specialis em relação à Diretiva (UE) 2016/1148. É fundamental manter uma interligação robusta do setor financeiro e o quadro horizontal de cibersegurança da União deverá assegurar a coerência com as estratégias de cibersegurança já adotadas pelos Estados-Membros e permitir que as autoridades de supervisão tomem conhecimento dos ciberincidentes que afetem outros setores abrangidos pela Diretiva (UE) 2016/1148. (17)A fim de possibilitar um processo de aprendizagem e retirar efetivamente ensinamentos de outros setores que enfrentam ciberameaças, as entidades financeiras a que se refere a Diretiva (UE) 2016/1148 devem continuar a integrar o «ecossistema» da referida diretiva (p. ex.: o grupo de cooperação SRI e as CSIRT). As AES e as autoridades nacionais competentes deverão participar nos debates políticos estratégicos e nos trabalhos técnicos do grupo de cooperação SRI, respetivamente, trocar informações e reforçar a cooperação com os pontos de contacto únicos designados por força da Diretiva (UE) 2016/1148. As autoridades competentes para efeitos do presente regulamento devem igualmente consultar e cooperar com as CSIRT nacionais nos termos do artigo 9.º da Diretiva (UE) 2016/1148. (18)Importa, ainda, garantir a coerência com a Diretiva Infraestruturas Críticas Europeias (ICE), que se encontra atualmente em processo de revisão para reforçar a proteção e resiliência de infraestruturas críticas contra ameaças não cibernéticas, com possíveis ramificações para o setor financeiro. (19)Os prestadores de serviços de computação em nuvem são uma das categorias de prestadores de serviços digitais abrangidas pela Diretiva (UE) 2016/1148. Por conseguinte, estão sujeitos a uma supervisão ex post realizada pelas autoridades nacionais designadas nos termos da referida diretiva, que se limita aos requisitos em matéria de segurança e de comunicação de incidentes no domínio das TIC estabelecidos no referido ato. Uma vez que o quadro de fiscalização estabelecido pelo presente regulamento se aplica a todos os terceiros prestadores de serviços de TIC críticos, incluindo os prestadores de serviços de computação em nuvem, quando prestam serviços de TIC a entidades financeiras, deve ser considerado complementar da supervisão realizada por força da Diretiva (UE) 2016/1148. Além disso, o quadro de fiscalização estabelecido no presente regulamento deve abranger os prestadores de serviços de computação em nuvem na ausência de um quadro horizontal intersetorial da União que estabeleça uma autoridade de supervisão para o domínio do digital. (20)Para que mantenham pleno controlo dos riscos no domínio das TIC, é necessário que as entidades financeiras criem capacidades abrangentes que possibilitem uma gestão robusta e eficaz do risco no domínio das TIC, bem como regimes e políticas específicas para a comunicação de incidentes relacionados com as TIC, para a realização de testes aos sistemas, controlos e processos de TIC e para gerir o risco de terceiros no domínio das TIC. É necessário elevar o nível da resiliência operacional digital no sistema financeiro, permitindo simultaneamente uma aplicação proporcionada dos requisitos às entidades financeiras que sejam microempresas na aceção da Recomendação 2003/361/CE da Comissão. (21)Os limiares e as taxonomias que regem a comunicação de incidentes relacionados com as TIC variam significativamente nas diferentes jurisdições nacionais. Embora seja possível chegar a consensos, por meio dos esforços pertinentes envidados pela Agência da União Europeia para a Cibersegurança (ENISA) e pelo grupo de cooperação SRI, no que respeita às entidades financeiras abrangidas pela Diretiva (UE) 2016/1148, ainda existem e podem surgir abordagens divergentes em matéria de limiares e taxonomias para as restantes entidades financeiras. Tal implica que as entidades financeiras são obrigadas a cumprir diversos requisitos, em especial se tiverem atividades em diversas jurisdições da União e integrarem um grupo financeiro. Além disso, estas divergências podem prejudicar a criação de outros regimes uniformes ou centralizados da União que acelerem o processo de comunicação e apoiem uma partilha rápida e facilitada de informações entre as autoridades competentes, que será crucial para dar resposta aos riscos no domínio das TIC em caso de ataques em grande escala com consequências potencialmente sistémicas. (22)Para permitir que as autoridades competentes cumpram as suas funções de supervisão, obtendo uma visão completa da natureza, da frequência, da significância e do impacto dos incidentes relacionados com as TIC, e reforçar a partilha de informações entre as autoridades públicas pertinentes, nomeadamente as autoridades responsáveis pela aplicação da lei e as autoridades de resolução, é necessário estabelecer regras para completar o regime de comunicação dos incidentes relacionados com as TIC com requisitos que atualmente estão omissos na legislação subsetorial financeira e eliminar quaisquer sobreposições e duplicações existentes para reduzir os custos. É portanto essencial harmonizar o regime de comunicação de incidentes relacionados com as TIC, exigindo a todas as entidades financeiras que os comuniquem apenas às respetivas autoridades competentes. Além disso, as AES devem ser habilitadas a especificar os elementos de comunicação de incidentes relacionados com as TIC, tais como a taxonomia, os prazos, os conjuntos de dados, os modelos e os limiares aplicáveis. (23)Os requisitos de realização de testes da resiliência operacional digital têm indo a ser desenvolvidos em alguns subsetores financeiros no âmbito de diversos quadros nacionais não coordenados, que tratam as mesmas questões de formas diferentes. Esta situação multiplica os custos para as entidades financeiras transfronteiriças e dificulta o reconhecimento mútuo dos resultados. Por conseguinte, a realização de testes de forma não coordenada pode segmentar o mercado único. (24)Além disso, nos casos em que não é obrigatório realizar testes, existem vulnerabilidades que continuam a não ser detetadas, o que resulta em maiores riscos para a entidade financeira e, em última análise, para a estabilidade e integridade do setor financeiro. Sem a intervenção da União, a realização de testes de resiliência operacional digital continuaria a ser fragmentada e não existiria um reconhecimento mútuo dos resultados dos testes entre as diversas jurisdições. Além disso, e uma vez que será pouco provável que outros subsetores financeiros adotem regimes deste tipo a uma escala significativa, não terão acesso aos seus potenciais benefícios, como a identificação de vulnerabilidades e riscos, a avaliação das capacidades de defesa e de garantia de continuidade das atividades e o aumento da confiança dos clientes, fornecedores e parceiros comerciais. Para resolver estas sobreposições, divergências e lacunas, é necessário estabelecer regras que visem a realização de testes coordenados pelas entidades financeiras e autoridades competentes, facilitando por conseguinte o reconhecimento mútuo de testes avançados para as entidades financeiras significativas. (25)A dependência das entidades financeiras de serviços de TIC é em parte motivada pela sua necessidade de adaptação a uma economia digital emergente e competitiva a nível mundial, para reforçar a sua eficiência comercial e atender à procura dos consumidores. A natureza e dimensão desta dependência tem evoluído continuamente nos últimos anos e impulsionou uma redução dos custos de intermediação financeira, permitindo a expansão empresarial e as economias de escala na oferta de atividades financeiras e oferecendo simultaneamente uma gama alargada de instrumentos de TIC para gerir processos internos complexos. (26)Os complexos acordos contratuais comprovam essa ampla utilização dos serviços de TIC, motivo pelo qual as entidades financeiras se confrontam muitas vezes com dificuldades em negociar cláusulas contratuais adaptadas às normas prudenciais ou a outros requisitos regulamentares a que estão sujeitas, ou em fazerem valer certos direitos específicos, como os direitos de acesso ou de auditoria, quando estes últimos estão consagrados nos acordos. Acresce que muitos contratos deste tipo não preveem salvaguardas suficientes para a plena monitorização dos processos de externalização, privando assim a entidade financeira dos instrumentos necessários para avaliar esses riscos associados. Além disso, dado que os terceiros prestadores de serviços de TIC prestam muitas vezes serviços normalizados a diferentes tipos de clientes, tais contratos nem sempre dão uma resposta cabal às necessidades individuais ou específicas dos intervenientes do setor financeiro. (27)Não obstante algumas regras gerais em matéria de externalização, constantes de alguns atos legislativos da União no domínio dos serviços financeiros, a monitorização da dimensão contratual não está plenamente ancorada na legislação da União. Na ausência de normas claras e adaptadas da União aplicáveis aos acordos contratuais celebrados com terceiros prestadores de serviços de TIC, a fonte externa do risco no domínio das TIC não é abordada de forma exaustiva. Por conseguinte, é necessário estabelecer determinados princípios fundamentais para orientar a gestão realizada pelas entidades financeiras do risco de terceiros no domínio das TIC, bem como um conjunto de direitos contratuais relativos a diversos elementos da execução e rescisão de contratos, com vista a consagrar determinadas salvaguardas mínimas que permitam às entidades financeiras proceder a uma efetiva monitorização de todos os riscos que possam surgir a nível de terceiros no domínio das TIC. (28)Existe uma falta de homogeneidade e convergência em matéria de risco de terceiros no domínio das TIC e dependência de terceiros no domínio das TIC. Não obstante alguns esforços para abordar o domínio específico da externalização, tais como as recomendações de 2017 relativas à subcontratação externa a prestadores de serviços de computação em nuvem, a questão do risco sistémico que pode ser desencadeado pela exposição do setor financeiro a um conjunto limitado de terceiros prestadores de serviços de TIC críticos só é abordada de forma muito limitada na legislação da União. Esta insuficiência a nível da União é agravada pela ausência de instrumentos e mandatos específicos que permitam às autoridades de supervisão nacionais obterem um bom conhecimento das dependências de terceiros no domínio das TIC e monitorizarem de forma adequada os riscos decorrentes da concentração dessas dependências. (29)Tendo em conta os potenciais riscos sistémicos que o aumento das práticas de externalização e a concentração ao nível das TIC implicam, e estando ciente da insuficiência dos regimes nacionais que permitem às autoridades financeiras quantificar, qualificar e remediar as consequências dos riscos no domínio das TIC que decorrem dos terceiros prestadores de serviços de TIC críticos, há que estabelecer um quadro de fiscalização adequado que permita a contínua monitorização das atividades dos terceiros prestadores de serviços de TIC que assumam um caráter crítico para as entidades financeiras.

(30)Dado que as ameaças no domínio das TIC têm vindo a tornar-se mais complexas e sofisticadas, a adequação das medidas de deteção e prevenção dependerá, em grande medida, da partilha regular de informações entre as entidades financeiras sobre as ameaças e vulnerabilidades. A partilha de informações contribui para uma maior sensibilização para as ciberameaças, o que, por sua vez, reforça a capacidade das entidades financeiras para impedirem que essas ameaças se materializem, para melhor conter os efeitos dos incidentes relacionados com as TIC e para recuperar dos mesmos de modo mais eficiente. Na ausência de orientações a nível da União, diversos fatores, nomeadamente a insegurança sobre a compatibilidade com as regras em matéria de proteção de dados, anti-trust e de responsabilidade, parecem ter inibido a referida partilha de informações. (31)Além disso, a hesitação sobre o tipo de informações que podem ser partilhadas com outros intervenientes no mercado, ou com autoridades não supervisoras (como a ENISA, para um contributo analítico, ou a Europol, para fins de aplicação da lei) levou a que informações úteis não fossem partilhadas. A dimensão e a qualidade da partilha de informações continuam a ser limitadas e fragmentadas, sendo os intercâmbios pertinentes sobretudo realizados a nível local (por meio de iniciativas nacionais) e não havendo acordos de partilha de informações a nível da União adaptados às necessidades de um setor financeiro integrado. (32)Importa portanto incentivar as entidades financeiras a, coletivamente, tirarem partido dos seus conhecimentos e experiências práticas individuais a nível estratégico, tático e operacional, com vista a reforçarem as suas capacidades para, de forma adequada, avaliarem, monitorizarem, se defenderem e darem resposta às ciberameaças. Por conseguinte, é necessário possibilitar o surgimento a nível da União de regimes que prevejam acordos de partilha de informações a título voluntário, que, quando realizada em ambientes fiáveis, ajudaria a comunidade financeira a prevenir e dar resposta coletivamente às ameaças, limitando rapidamente a propagação dos riscos no domínio das TIC e impedindo o possível contágio ao longo dos canais financeiros. O recurso aos referidos regimes deve realizar-se no pleno respeito das regras aplicáveis em matéria de direito da concorrência da União, bem como de modo que garanta o pleno respeito das regras da União em matéria de proteção dos dados, em especial o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, nomeadamente no contexto do tratamento de dados pessoais necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, nos termos do artigo 6.º, n.º 1, alínea f), do referido regulamento. (33)Não obstante a ampla cobertura pretendida com o presente regulamento, a aplicação das regras de resiliência operacional digital deve ter em consideração as significativas diferenças entre as entidades financeiras em termos de dimensão, perfil de atividades ou exposição ao risco digital. Como princípio geral, ao afetarem recursos e capacidades à aplicação do quadro de gestão do risco no domínio das TIC, as entidades financeiras devem equilibrar cuidadosamente as suas necessidades relacionadas com as TIC em função da sua dimensão e do seu perfil de atividades, enquanto as autoridades competentes deverão avaliar e rever de forma recorrente a abordagem de tal afetação. (34)Uma vez que as entidades financeiras de maior dimensão dispõem de mais recursos e conseguirão mais rapidamente mobilizar fundos para desenvolver as estruturas de governação e estabelecer diversas estratégias empresariais, o estabelecimento de estruturas de governação mais complexas só deve ser imposto às entidades financeiras que não sejam microempresas na aceção do presente regulamento. As referidas entidades estão melhor equipadas, em especial, para criarem funções específicas de gestão para supervisionar os acordos com terceiros prestadores de serviços de TIC ou gerir as crises, para organizarem a sua gestão do risco no domínio das TIC de acordo com o modelo das três linhas de defesa, ou ainda para adotarem um documento de recursos humanos que explicite integralmente as políticas de direitos de acesso. Seguindo o mesmo princípio, apenas as referidas entidades financeiras deverão ser chamadas e realizar avaliações em profundidade após a introdução de alterações importantes nas redes e nas infraestruturas e processos dos sistemas de informação, análises do risco regulares de sistemas de TIC pré-existentes ou a alargar a realização de testes dos planos de continuidade das atividades e de resposta e recuperação para abranger cenários de comutação entre a sua infraestrutura primária de TIC e instalações redundantes. (35)Além disso, uma vez que apenas as entidades financeiras consideradas significativas para efeitos da realização de testes avançados de resiliência digital devem ser obrigadas a realizar testes de penetração com base em ameaças, os processos administrativos e os custos financeiros que a realização de tais testes implicam devem recair sobre uma pequena percentagem das entidades financeiras. Por fim, com vista a aliviar os encargos regulamentares, apenas as entidades financeiras que não sejam microempresas deverão ter de comunicar regularmente às autoridades competentes todos os custos e perdas provocados por perturbações no domínio das TIC e os resultados das avaliações pós-incidentes na sequência de perturbações significativas a esse nível. (36)Para assegurar a plena conformidade e a coerência global entre, por um lado, as estratégias de atividade das entidades financeiras e, por outro, a gestão do risco no domínio das TIC, é necessário exigir ao órgão de administração que mantenha um papel fulcral e ativo na orientação e adaptação do quadro de gestão do risco no domínio das TIC e da estratégia global de resiliência digital. A abordagem a adotar pelo órgão de administração deve centrar-se não só nos meios para assegurar a resiliência dos sistemas de TIC como também abranger as pessoas e os processos por meio de um conjunto de políticas que cultivem, em cada nível da empresa e em todos os funcionários, uma boa sensibilização para os riscos cibernéticos e um empenho no respeito de uma ciber-higiene rigorosa a todos os níveis. A responsabilidade final do órgão de administração pela gestão dos riscos no domínio das TIC de uma entidade financeira deve constituir um princípio global dessa abordagem abrangente, que se deverá também traduzir no empenhamento contínuo do órgão de administração no controlo da monitorização da gestão do risco no domínio das TIC. (37)Além disso, a total responsabilidade do órgão de administração andará a par com a garantia de um nível do investimento em TIC e do orçamento global da entidade financeira que lhe permita alcançar o seu cenário de referência em matéria de resiliência operacional. (38)Inspirando-se nas normas, orientações, recomendações ou abordagens pertinentes estabelecidas a nível internacional, nacional e setorial em matéria de gestão do risco cibernético, o presente regulamento promove um conjunto de funções que facilitam a estruturação geral da gestão do risco no domínio das TIC. As entidades financeiras são livres de utilizar modelos de gestão do risco no domínio das TIC enquadrados ou categorizados de diferentes formas, contanto que as principais capacidades que criarem vão ao encontro das necessidades decorrentes dos objetivos previstos pelas funções (identificação, proteção e prevenção, deteção, resposta e recuperação, aprendizagem e evolução e comunicação) estabelecidas no presente regulamento. (39)Para acompanhar o ritmo de um cenário de ciberameaças em rápida evolução, as entidades financeiras devem dispor de sistemas de TIC atualizados que sejam fiáveis e tenham capacidade suficiente, não só para proceder ao tratamento dos dados necessário à prestação dos seus serviços, mas também para assegurar uma resiliência tecnológica que lhes permita fazer face, de modo adequado, às necessidades adicionais de tratamento que possam ser geradas por condições de tensão no mercado ou por outras situações adversas. Não obstante o facto de não implicar qualquer normalização de sistemas, instrumentos ou tecnologias de TIC específicos, o presente regulamento depende da correta utilização pelas entidades financeiras de normas técnicas (p. ex.: ISO) ou de boas práticas setoriais reconhecidas a nível europeu e internacional, na medida em que essa utilização seja plenamente compatível com as instruções de supervisão específicas sobre a utilização e integração de normas internacionais. (40)São necessários planos eficientes de continuidade das atividades e de recuperação que permitam às entidades financeiras resolver rápida e atempadamente os incidentes relacionados com as TIC, em especial os ciberataques, limitando os danos e dando prioridade à retoma da atividade e às medidas de recuperação. No entanto, embora os sistemas de recurso devam entrar em funcionamento sem demora, tal não pode, de modo algum, pôr em risco a integridade e segurança das redes e dos sistemas de informação ou a confidencialidade dos dados. (41)Embora o presente regulamento autorize as entidades financeiras a determinarem de modo flexível os objetivos em termos de tempo de recuperação e, portanto, a estabelecerem tais objetivos tendo plenamente em conta a natureza e o caráter crítico da função pertinente, bem como quaisquer necessidades operacionais específicas, haverá que exigir igualmente uma análise do potencial impacto global na eficiência do mercado ao determinar os referidos objetivos. (42)As consequências significativas dos ciberataques são amplificadas quando estes ocorrem no setor financeiro, um domínio que se encontra em muito maior risco de ser visado por intervenientes criminosos que procuram obter ganhos financeiros diretamente na fonte. Para atenuar tais riscos, prevenir a perda de integridade ou a indisponibilidade dos sistemas de TIC e a violação de dados confidenciais ou prevenir danos à infraestrutura física de TIC, é necessário melhorar significativamente a comunicação dos incidentes graves relacionados com as TIC pelas entidades financeiras. A comunicação de incidentes relacionados com as TIC deve ser harmonizada para todas as entidades financeiras, exigindo que estas procedam a essa comunicação unicamente às respetivas autoridades competentes. Não obstante o facto de todas as entidades financeiras serem abrangidas por esta obrigação de comunicação, nem todas devem ser afetadas do mesmo modo, uma vez que os prazos e os limiares de materialidade pertinentes devem ser calibrados para abranger unicamente os incidentes relacionados com as TIC mais graves. A comunicação direta permitiria o acesso dos supervisores financeiros a informações sobre incidentes relacionados com as TIC. Todavia, as autoridades de supervisão devem transmitir estas informações às autoridades públicas não financeiras (autoridades competentes no domínio da SRI, autoridades nacionais de proteção de dados e autoridades responsáveis pela aplicação da lei no caso dos incidentes de natureza criminosa). É necessário canalizar as informações sobre os incidentes relacionados com as TIC: os supervisores financeiros devem transmitir todas as observações ou orientações necessárias à entidade financeira, ao passo que as AES devem partilhar dados anonimizados sobre as ameaças e vulnerabilidades relacionadas com um evento para contribuir para uma melhor defesa coletiva. (43)Haverá que continuar a ponderar a possível centralização da comunicação de incidentes relacionados com as TIC, por meio de uma plataforma única e central da UE que receba diretamente as comunicações pertinentes e proceda automaticamente à notificação das autoridades competentes ou simplesmente centralize os relatórios que lhe sejam transmitidos pelas autoridades competentes nacionais, desempenhando uma função de coordenação. As AES deverão elaborar, em consulta com o BCE e com a ENISA, até uma determinada data, um relatório conjunto que explore a viabilidade do estabelecimento da referida plataforma central da UE. (44)A fim de alcançar uma robusta resiliência operacional digital, e em consonância com as normas internacionais (p. ex.: os elementos fundamentais da realização de testes de penetração com base em ameaças, elaborados pelo G7), afigura-se oportuno que as entidades financeiras realizem regularmente testes ao seu pessoal e sistemas de TIC em termos de eficácia das respetivas capacidades de prevenção, deteção, resposta e recuperação, por forma a detetar e resolver possíveis vulnerabilidades. Para dar resposta às diferenças existentes entre os subsetores financeiros e dentro dos próprios subsetores em matéria de prontidão no domínio da cibersegurança das entidades financeiras, a realização dos testes deve compreender uma ampla variedade de instrumentos e medidas, desde a avaliação de requisitos básicos (p. ex.: avaliações e análises de vulnerabilidade, análises de código aberto, avaliações da segurança das redes, análises das lacunas, análises da segurança física, questionários e programas informáticos de análise, revisões do código fonte, se possível, testes com base em cenários, testes de compatibilidade, testes de desempenho ou testes de extremo a extremo) aos testes mais avançados (p. ex.: testes de penetração com base em ameaças para as entidades financeiras com uma maturidade suficiente em termos de TIC para poderem realizar tais testes). Os testes de resiliência operacional digital deverão, por conseguinte, ser mais exigentes para as entidades financeiras significativas (tais como grandes instituições de crédito, bolsas de valores, centrais de valores mobiliários, contrapartes centrais, etc.). Simultaneamente, a realização de testes de resiliência operacional digital também deve assumir uma maior relevância para alguns subsetores com uma função sistémica central (p. ex.: pagamentos, banca, compensação e liquidação) e menor relevância para outros subsetores (p. ex.: gestores de ativos, agências de notação de risco, etc.). As entidades financeiras transfronteiriças que exerçam a sua liberdade de estabelecimento ou prestação de serviços na União devem cumprir um conjunto único de requisitos de realização de testes avançados (p. ex.: testes de penetração com base em ameaças) no respetivo Estado-Membro de origem, devendo os testes abranger as infraestruturas de TIC em todas as jurisdições em que o grupo transfronteiriço desenvolva a sua atividade na União e permitindo assim aos referidos grupos suportar os custos dos testes numa única jurisdição. (45)A fim de assegurar uma robusta monitorização do risco de terceiros no domínio das TIC, há que estabelecer um conjunto de regras com base em princípios para orientar a monitorização realizada pelas entidades financeiras dos riscos decorrentes da externalização de funções a terceiros prestadores de serviços de TIC e, de modo mais geral, da dependência de terceiros no domínio das TIC. (46)As entidades financeiras devem ser sempre plenamente responsáveis pelo cumprimento das obrigações decorrentes do presente regulamento. A monitorização proporcionada do risco ao nível dos terceiros prestadores de serviços de TIC deve ser organizada tendo em devida conta a escala, complexidade e importância das dependências relacionadas com as TIC e a criticalidade ou importância dos serviços, dos processos ou das funções objeto de acordos contratuais, bem como, por fim, com base numa cuidadosa avaliação do possível impacto na continuidade e qualidade dos serviços financeiros a nível individual e a nível do grupo, se for caso disso.

(47)A realização de tal monitorização deve seguir uma abordagem estratégica do risco de terceiros no domínio das TIC formalizada por meio da adoção pelo órgão de administração da entidade financeira de uma estratégia específica, radicada na análise contínua de todas essas dependências de terceiros no domínio das TIC. A fim de reforçar a sensibilização para a supervisão de dependências de terceiros no domínio das TIC, e com vista a prestar um maior apoio ao quadro de fiscalização estabelecido no presente regulamento, as autoridades financeiras devem receber informações essenciais dos registos e devem poder solicitar extratos destes numa base ad hoc. (48)À celebração formal dos acordos contratuais deve estar subjacente e deve preceder uma análise exaustiva na fase pré-contratual, sendo a rescisão dos contratos desencadeada mediante, pelo menos, um conjunto de circunstâncias demonstrativas de insuficiências do terceiro prestador de serviços de TIC. (49)A fim de fazer face ao impacto sistémico do risco de concentração de terceiros no domínio das TIC, há que promover uma solução equilibrada por meio de uma abordagem flexível e gradual, uma vez que o estabelecimento de limites máximos rígidos ou restrições rigorosas pode prejudicar a atividade e a liberdade contratual. As entidades financeiras devem avaliar exaustivamente os acordos contratuais para identificar a probabilidade do surgimento desse risco, incluindo por meio de análises em profundidade de acordos de reexternalização, nomeadamente nos casos em que sejam celebrados com terceiros prestadores de serviços de TIC estabelecidos em países terceiros. Nesta fase, com vista a encontrar a um equilíbrio justo entre o imperativo que dita a preservação da liberdade contratual e o que dita a salvaguarda da estabilidade financeira, não se afigura adequado prever limites máximos rigorosos e limites de exposição a terceiros no domínio das TIC. A AES incumbida da fiscalização de cada terceiro prestador de serviços de TIC (a «autoridade de fiscalização principal») deve, no exercício das suas atribuições de fiscalização, prestar especial atenção para compreender plenamente a magnitude das interdependências e descobrir situações específicas em que seja provável que um elevado nível de concentração de terceiros prestadores de serviços de TIC na União ponha sob pressão a estabilidade e integridade do sistema financeiro da União, devendo antes propiciar um diálogo com terceiros prestadores de serviços de TIC críticos, sempre que esse risco seja identificado. (50)A fim de possibilitar a avaliação e monitorização regular da capacidade do terceiro prestador de serviços de TIC de prestar de modo seguro os serviços à entidade financeira sem afetar negativamente a resiliência desta última, há que proceder à harmonização dos elementos contratuais fundamentais durante a execução dos contratos com terceiros prestadores de serviços de TIC. Os referidos elementos abrangem unicamente aspetos contratuais mínimos considerados cruciais para possibilitar a plena monitorização realizada pela entidade financeira do ponto de vista da salvaguarda da sua resiliência, que depende da estabilidade e segurança do serviço de TIC. (51)Os acordos contratuais devem, em especial, prever a especificação das descrições completas das funções e dos serviços, bem como dos locais em que tais funções são desempenhadas e onde são tratados os dados, assim como uma indicação das descrições completas do nível de serviço acompanhada de metas de desempenho quantitativas e qualitativas no âmbito dos níveis de serviço acordados, para permitir a realização de uma efetiva monitorização pela entidade financeira. Do mesmo modo, as disposições sobre a acessibilidade, a disponibilidade, a integridade, a segurança e a proteção de dados pessoais, assim como as garantias de acesso, recuperação e devolução em caso de insolvência, resolução ou cessação da atividade do terceiro prestador de serviços de TIC devem ser consideradas elementos essenciais da capacidade da entidade financeira de assegurar a monitorização do risco de terceiros. (52)Para assegurar que as entidades financeiras continuam a ter pleno controlo de todos os acontecimentos suscetíveis de debilitar a respetiva segurança no domínio das TIC, há que estabelecer períodos de pré-aviso e obrigações de comunicação do terceiro prestador de serviços de TIC caso surjam acontecimentos com um potencial impacto importante na capacidade de o terceiro prestador de serviços de TIC desempenhar eficazmente funções críticas ou importantes, incluindo a prestação de assistência por este último em caso de incidente relacionado com as TIC sem custos adicionais ou a um custo previamente determinado. (53)Os direitos de acesso, inspeção ou auditoria por parte da entidade financeira ou de um terceiro designado para o efeito constituem instrumentos cruciais da monitorização contínua realizada pelas entidades financeiras do desempenho do terceiro prestador de serviços de TIC, juntamente com a plena cooperação deste último durante as inspeções. Do mesmo modo, também a autoridade competente da entidade financeira deve ter o direito, mediante notificação, de inspecionar e auditar o terceiro prestador de serviços de TIC, sob reserva da confidencialidade. (54)Os acordos contratuais devem prever direitos de rescisão claros e os prazos de pré-aviso conexos, assim como estratégias de saída que possibilitem, em especial, períodos obrigatórios de transição durante os quais o terceiro prestador de serviços de TIC deve continuar a desempenhar as funções pertinentes com vista a reduzir o risco de perturbações a nível da entidade financeira e permitir a esta última substituir efetivamente o terceiro prestador de serviços de TIC ou, em alternativa, recorrer a soluções internas, coerentes com a complexidade do serviço prestado. (55)Além disso, a utilização a título voluntário de cláusulas contratuais normalizadas desenvolvidas pela Comissão para os serviços de computação em nuvem podem, igualmente, tranquilizar as entidades financeiras e os respetivos terceiros prestadores de serviços de TIC, reforçando o nível de segurança jurídica quanto à utilização de serviços de computação em nuvem pelo setor financeiro, em total consonância com os requisitos e as expetativas estabelecidas pela regulamentação relativa aos serviços financeiros. Os esforços assentam em medidas já previstas no Plano de Ação para a Tecnologia Financeira de 2018, no qual a Comissão anunciou a sua intenção de incentivar a elaboração de cláusulas contratuais-tipo para o recurso à externalização de serviços de computação em nuvem pelas instituições financeiras, tirando partido dos esforços das partes interessadas da computação em nuvem a nível intersetorial já facilitados pela Comissão, com o apoio da participação do setor financeiro. (56)A fim de promover a convergência e eficiência no que respeita às abordagens de supervisão do risco de terceiros no domínio das TIC para o setor financeiro, reforçar a resiliência operacional digital das entidades financeiras que dependem de terceiros prestadores de serviços de TIC críticos para o desempenho de funções operacionais e, assim, contribuir para preservar a estabilidade do sistema financeiro da União e a integridade do mercado único de serviços financeiros, os terceiros prestadores de serviços de TIC críticos devem estar sujeitos a um quadro de fiscalização da União. (57)Uma vez que a aplicação de um tratamento especial só se justifica no caso dos terceiros prestadores de serviços críticos, há que estabelecer um regime de designação para efeitos de aplicação do Quadro de Fiscalização da União, para ter em conta a dimensão e natureza da dependência do setor financeiro de tais terceiros prestadores de serviços de TIC, que se traduza num conjunto de critérios quantitativos e qualitativos que fundamentaria a inclusão para efeitos de fiscalização nos parâmetros de criticalidade. É conveniente conceder uma opção de inclusão a título voluntário no Quadro de Fiscalização aos terceiros prestadores de serviços de TIC que não sejam automaticamente designados em virtude da aplicação dos critérios supramencionados, ao passo que os terceiros prestadores de serviços de TIC que já estejam sujeitos a quadros de regimes de fiscalização estabelecidos a nível do Eurosistema com vista a apoiar as atribuições a que se refere o artigo 127.º, n.º 2, do Tratado sobre o Funcionamento da União Europeia devem, consequentemente, estar isentos. (58)O requisito de constituição na União dos terceiros prestadores de serviços de TIC que tenham sido designados como críticos não equivale à localização dos dados, uma vez que o presente regulamento não implica qualquer outro requisito em matéria de armazenamento ou tratamento de dados na União. (59)O referido quadro não pode prejudicar a competência dos Estados-Membros no que respeita à realização de missões de inspeção de terceiros prestadores de serviços de TIC que não sejam críticos na aceção do presente regulamento, mas que possam ser considerados importantes a nível nacional. (60)A fim de potencializar a existente arquitetura institucional multifacetada no domínio dos serviços financeiros, o Comité Conjunto das AES deve continuar a assegurar a coordenação intersetorial global quanto a todas as matérias relativas ao risco no domínio das TIC, em consonância com as suas atribuições em matéria de cibersegurança, com o apoio de um novo subcomité (o Fórum de Fiscalização), que leva a cabo os trabalhos preparatórios quer para as decisões individuais dirigidas a terceiros prestadores de serviços de TIC críticos quer para as recomendações coletivas, nomeadamente sobre a avaliação comparativa dos programas de fiscalização de terceiros prestadores de serviços de TIC críticos e a identificação de boas práticas para dar resposta às questões relativas ao risco de concentração no domínio das TIC. (61)A fim de assegurar que os terceiros prestadores de serviços de TIC que desempenham uma função crítica no funcionamento do setor financeiro são objeto de uma fiscalização proporcionada à escala da União, uma das AES deve ser designada como Autoridade de Fiscalização Principal em relação a cada terceiro prestador de serviços de TIC crítico. (62)A Autoridade de Fiscalização Principal deve estar habilitada a realizar investigações e inspeções no local e administrativas a terceiros prestadores de serviços TIC críticos, aceder a todas as instalações e locais pertinentes e obter informações completas e atualizadas que lhe permitam obter um efetivo conhecimento do tipo, da dimensão e do impacto do risco de terceiros no domínio das TIC que as entidades financeiras e, em última análise, o sistema financeiro da União enfrentam. Confiar às AES a liderança da fiscalização constitui uma condição prévia para compreender e fazer face à dimensão sistémica do risco no domínio das TIC no setor financeiro. A pegada da União em matéria de terceiros prestadores de serviços de TIC críticos e as potenciais questões sobre a concentração do risco no domínio das TIC dela decorrentes exigem a adoção de uma abordagem coletiva a nível da União. A realização de diversas auditorias e o exercício dos direitos de acesso por numerosas autoridades competentes, separadamente, com pouca ou nenhuma coordenação, não conduziria a uma visão global completa do risco de terceiros no domínio das TIC, criando uma redundância, um ónus e uma complexidade desnecessária para os terceiros prestadores de serviços de TIC críticos que teriam de fazer face a numerosos pedidos do género. (63)Além disso, é importante que as Autoridades de Fiscalização Principais possam apresentar recomendações sobre questões relativas ao risco no domínio das TIC, nomeadamente a oposição a determinados acordos contratuais que, em última análise, afetariam a estabilidade da entidade financeira ou do sistema financeiro. Como parte da respetiva função de supervisão prudencial das entidades financeiras, as autoridades competentes nacionais devem ponderar devidamente o cumprimento de tais recomendações importantes formuladas pelas Autoridades de Fiscalização Principais. (64)O Quadro de Fiscalização não substitui, de forma alguma ou em parte alguma, a gestão que as entidades financeiras fazem do risco decorrente do recurso a terceiros prestadores de serviços de TIC, nomeadamente, a obrigação de monitorização contínua dos respetivos acordos contratuais celebrados com terceiros prestadores de serviços de TIC críticos, nem afeta a total responsabilidade das entidades financeiras pelo cumprimento de todos os requisitos do presente regulamento e da legislação pertinente em matéria de serviços financeiros. A fim de evitar duplicações e sobreposições, as autoridades competentes devem evitar adotar medidas de modo individual que visem a monitorização dos riscos de terceiros prestadores de serviços de TIC críticos, devendo todas essas medidas ser previamente coordenadas e acordadas no contexto do Quadro de Fiscalização. (65)A fim de promover a convergência a nível internacional em matéria de boas práticas a aplicar no exame da gestão do risco digital de terceiros prestadores de serviços de TIC, é necessário incentivar as AES a celebrarem acordos de cooperação com as autoridades competentes de supervisão e regulamentação de países terceiros, para facilitar o desenvolvimento de boas práticas em matéria de risco de terceiros no domínio das TIC.

(66)Para potencializar os conhecimentos técnicos especializados dos peritos das autoridades competentes em matéria de gestão do risco operacional e no domínio das TIC, as Autoridades de Fiscalização Principais devem tirar partido da experiência de supervisão nacional e estabelecer equipas de avaliação para cada terceiro prestador de serviços de TIC crítico, colocando em comum equipas multidisciplinares para apoiar a preparação e a efetiva execução de atividades de fiscalização, nomeadamente inspeções no local a terceiros prestadores de serviços de TIC críticos, bem como o necessário acompanhamento posterior. (67)As autoridades competentes devem estar investidas de todos os poderes de supervisão, investigação e sancionatórios necessários para garantir a aplicação do presente regulamento. As sanções administrativas deverão, em princípio, ser publicadas. Uma vez que as entidades financeiras e os terceiros prestadores de serviços de TIC podem estar estabelecidos em diferentes Estados-Membros e ser supervisionados por diferentes autoridades setoriais competentes, há que assegurar uma cooperação estreita entre as autoridades competentes relevantes, incluindo o BCE, no que diz respeito às atribuições específicas que lhe são conferidas pelo Regulamento (UE) n.º 1024/2013 do Conselho, bem como a consulta das AES, através do intercâmbio de informações e da prestação de assistência no contexto das atividades de supervisão. (68)A fim de quantificar e qualificar mais aprofundadamente os critérios de designação de terceiros prestadores de serviços de TIC críticos e harmonizar as taxas de fiscalização, o poder de adotar atos nos termos do artigo 290.º do Tratado sobre o Funcionamento da União Europeia deve ser delegado na Comissão no que diz respeito: a uma especificação mais aprofundada do impacto sistémico que uma falha de um terceiro prestador de serviços de TIC pode ter nas entidades financeiras a quem presta serviços, aos números de instituições de importância sistémica global (G-SII) ou outras instituições de importância sistémica (O-SII) que dependem do respetivo terceiro prestador de serviços de TIC, ao número de terceiros prestadores de serviços de TIC ativos num determinado mercado, aos custo de migração para outro ter