Parecer do Comité Económico e Social Europeu sobre a «Proposta de regulamento do Parlamento Europeu e do Conselho relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014 e (UE) n.o 909/2014»

[COM(2020) 595 final — 2020/0266 (COD)]

e a «Proposta de diretiva do Parlamento Europeu e do Conselho que altera as Diretivas 2006/43/CE, 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 e (UE) 2016/2341»

[COM(2020) 596 final — 2020/0268 (COD)]

(2021/C 155/06)

Relator: Antonio GARCÍA DEL RIEGO

Consulta Parlamento Europeu, 17.12.2020 Conselho da União Europeia, 22.12.2020 Base jurídica Artigos 53.o, n.o 1, 114.o, n.o 1, e 304.o do TFUE Competência União Económica e Monetária e Coesão Económica e Social Adoção em secção 12.2.2021 Adoção em plenária 24.2.2021 Reunião plenária n.o 558 Resultado da votação (votos a favor/votos contra/abstenções) 243/1/4

1. Conclusões e recomendações

1.1 O Comité Económico e Social Europeu (CESE) acolhe favoravelmente a proposta de regulamento relativo à resiliência operacional digital (Regulamento DORA) apresentada pela Comissão Europeia, a qual visa proporcionar clareza jurídica quanto às disposições sobre os riscos no domínio das tecnologias da informação e comunicação (TIC), reduzir a complexidade regulamentar, estabelecer um conjunto comum de normas para atenuar os riscos no domínio das TIC e facilitar uma abordagem de supervisão harmonizada, além de proporcionar segurança jurídica e as salvaguardas necessárias para as empresas financeiras e as entidades prestadoras de serviços no domínio das TIC. O Regulamento DORA não só aumenta a resiliência do setor aos riscos no domínio das TIC, como também é do interesse das diversas partes interessadas, nomeadamente os clientes, os investidores e os funcionários, e contribui para a implementação do desenvolvimento sustentável.

1.2 O CESE recomenda aumentar a eficácia do Regulamento DORA através das seguintes medidas:

1.2.1 Incluir no âmbito de aplicação do Regulamento DORA todos os prestadores de serviços financeiros críticos que desenvolvam atividades financeiras, e excluir a utilização dos serviços no domínio das TIC para as funções não críticas.

1.2.2 Garantir a coerência entre o Regulamento DORA e os requisitos estabelecidos nas orientações vigentes emitidas pelas Autoridades Europeias de Supervisão (AES), no que toca à definição e ao âmbito de aplicação.

1.2.3 No que diz respeito à gestão das TIC, promover um quadro centrado numa abordagem assente em princípios e riscos, que facilite a execução de medidas de controlo orientadas para o futuro, flexíveis e proporcionais aos riscos.

1.2.4 Em relação aos incidentes relacionados com as TIC, o pleno alinhamento com o conjunto de ferramentas de resposta e recuperação de incidentes cibernéticos do Conselho de Estabilidade Financeira (CEF).

1.2.5 No que diz respeito aos testes de resiliência operacional digital, enfatizar não apenas a escala da instituição financeira, como também a complexidade e a natureza crítica do serviço; evitar a externalização obrigatória conduzida por um número limitado de responsáveis externos pela realização dos testes, e fazer referência ao reconhecimento mútuo dos resultados dos testes.

1.2.6 Consolidar os requisitos aplicáveis à externalização num conjunto único de regras, a fim de garantir a segurança jurídica para todos os participantes no mercado e cumprir de forma fiável as expectativas da supervisão.

1.2.7 Aplicar na íntegra as recomendações das autoridades fiscalizadoras principais e um conjunto claro de funções e responsabilidades exigidas às diversas autoridades envolvidas na fiscalização de terceiros prestadores de serviços críticos.

1.2.8 Garantir o acesso a serviços externalizados considerados críticos para as entidades terceiras prestadoras de serviços estabelecidas em países terceiros, de forma a não restringir a liberdade contratual das empresas e a capacidade de acesso aos serviços de prestadores de elevado valor acrescentado.

1.2.9 Incluir a proporcionalidade no regime sancionatório, a fim de evitar desincentivar os prestadores de serviços no domínio das TIC de prestarem serviços a entidades financeiras da UE, e abdicar do atual critério do volume de negócios mundial.

1.2.10 Proporcionar clareza quanto à capacidade das empresas de partilhar informações sobre ciberameaças, garantindo a implementação dessas medidas numa base voluntária e a inclusão na proposta de Regulamento DORA de uma disposição explícita que permita o intercâmbio de informações pessoais.

1.2.11 o 2 da Recomendação 2003/361/CE da Comissão Aumentar os limiares de isenção da proposta para as micro e pequenas empresas, na aceção do Anexo I, artigo 2, n.2 da Recomendação 2003/361/CE da Comissão ( 1 ) : uma empresa que emprega menos de 50 pessoas e cujo volume de negócios anual ou balanço total anual não excede 10 milhões de euros, e ponderar reduzir o número de requisitos aplicáveis às PME proporcionalmente ao seu perfil de risco digital.

1.3 O CESE apoia o facto de as autoridades fiscalizadoras principais ficarem habilitadas a executar os procedimentos de auditoria e inspeção a terceiros prestadores de serviços críticos, uma vez que tal permitirá a essas autoridades compreender melhor os riscos que os terceiros prestadores de serviços críticos podem representar, o que poderá ajudar a simplificar os procedimentos de externalização de serviços dos bancos.

2. Antecedentes

2.1 As empresas e os consumidores europeus dependem cada vez mais dos serviços financeiros digitais, o que está intimamente ligado à implantação pelos participantes no mercado de soluções cada vez mais inovadoras assentes nas novas tecnologias. A transformação digital é fundamental para a recuperação europeia e para a criação de uma economia europeia sustentável e resiliente.

2.2 Em consonância com as suas prioridades que visam preparar a Europa para a era digital e construir uma economia ao serviço das pessoas preparada para o futuro, a Comissão apresentou um pacote de financiamento digital . O pacote giza uma série de medidas com vista a facilitar e promover a inovação e a concorrência no setor do financiamento digital e a atenuar, simultaneamente, os riscos que lhe estão associados.

2.3 Além da proposta relativa à resiliência operacional digital, o pacote de financiamento digital abrange uma nova estratégia em matéria de financiamento digital para o setor financeiro da UE ( 2 ) e uma proposta de regulamento relativo aos mercados de criptoativos, assim como uma proposta de regulamento relativo a um regime-piloto para as infraestruturas de mercado baseadas na tecnologia de registo distribuído ( 3 )

2.4 A resiliência operacional digital determina a capacidade das empresas para resistir a qualquer tipo de perturbações e ameaças relacionadas com as tecnologias da informação e comunicação (TIC). A dependência cada vez maior do setor financeiro em relação ao software e aos processos digitais significa que os riscos no domínio das TIC são inerentes ao setor financeiro. As empresas financeiras tornaram-se alvo de ciberataques, o que resulta em graves prejuízos financeiros e danos à reputação para os consumidores e as empresas. Esses riscos devem ser bem compreendidos e geridos, especialmente em períodos de tensão.

2.5 Embora as reformas que se seguiram à crise financeira de 2008 tenham reforçado a resiliência do setor financeiro da UE, os riscos no domínio das TIC foram apenas indiretamente tratados. A falta de um quadro regulamentar abrangente a nível europeu sobre a resiliência operacional digital levou a uma dependência de iniciativas regulamentares nacionais. No entanto, essa situação limitou a eficácia transfronteiras e conduziu a uma fragmentação do mercado único, o que compromete a estabilidade e integridade do setor financeiro da UE. Neste contexto, a Comissão propõe a criação de um quadro abrangente de resiliência operacional digital para as entidades financeiras da UE.

2.6 proposta legislativa relativa à resiliência operacional digital (Regulamento DORA) ( 4 ) visa reforçar e racionalizar a gestão do risco no domínio das TIC das entidades financeiras, estabelecer a realização de testes exaustivos dos sistemas de TIC, promover o intercâmbio de informações e sensibilizar as autoridades de supervisão para os riscos cibernéticos e os incidentes relacionados com as TIC que as entidades financeiras enfrentam, bem como dar às autoridades de supervisão financeira poderes para fiscalizar os riscos decorrentes da dependência das entidades financeiras em relação a terceiros prestadores de serviços de TIC. A proposta visa igualmente criar um mecanismo coerente de comunicação de incidentes que ajude a reduzir os encargos administrativos das entidades financeiras e a reforçar a eficácia da supervisão.

2.7 A Comissão também apresentou uma proposta de diretiva ( 5 ) , uma vez que é necessário estabelecer uma isenção temporária para os sistemas de negociação multilateral e alterar ou esclarecer determinadas disposições nas diretivas existentes referentes aos serviços financeiros a nível da UE para alcançar os objetivos da proposta relativa à resiliência operacional digital.

2.8 O mercado das TIC é considerado uma das maiores indústrias do mundo, estimando-se que o seu valor ascendeu a mais de cinco biliões de dólares em 2019 e será superior a seis biliões em 2022. O crescimento contínuo serve para recordar a prevalência e a importância crescentes da tecnologia na sociedade atual. Segundo a avaliação de impacto da proposta legislativa, o setor financeiro é o maior utilizador de TIC do mundo, correspondendo a cerca de 20 % do total da despesa com as TIC .

2.9 A COVID-19 impulsionou a proliferação dos serviços financeiros digitais, enquanto se assiste a uma subutilização das redes de sucursais das instituições financeiras. Esta situação estimulará o investimento em ferramentas digitais de livre serviço, aplicações de financiamento aberto e serviços de valor acrescentado. De modo geral, a situação atual forçará as instituições financeiras a investir mais em infraestruturas de TI, a dar prioridade à migração das cargas de trabalho críticas e a atualizar as aplicações existentes. O setor financeiro europeu já está a passar por uma grande transformação digital e a sua capacidade de competir à escala mundial dependerá, em grande medida, da capacidade das instituições europeias de tirar partido das tecnologias mais avançadas.

3. Observações na generalidade

3.1 O CESE acolhe favoravelmente a proposta de regulamento relativo à resiliência operacional digital (Regulamento DORA) apresentada pela Comissão Europeia , que aborda muitas das reivindicações assinaladas pelo setor financeiro e visa proporcionar clareza jurídica às disposições sobre os riscos no domínio das TIC e reduzir a complexidade regulamentar e os encargos administrativos resultantes das diferentes regras aplicáveis às entidades financeiras em toda a UE. O Regulamento DORA não só reforça a resiliência do setor aos riscos no domínio das TIC, como também é do interesse das diversas partes interessadas, nomeadamente os clientes, os investidores e os funcionários, e contribui para a implementação do desenvolvimento sustentável.

3.2 O CESE considera o Regulamento DORA um passo importante para o estabelecimento de um conjunto comum de normas para atenuar os riscos no domínio das TIC e para facilitar uma abordagem de supervisão harmonizada, mas assinala que devem ser tomadas precauções para evitar acrescentar obstáculos que possam impedir as instituições financeiras da UE de fazerem parte do processo de inovação mundial.

3.3 O CESE considera que as autoridades da UE devem perseguir o objetivo global de alcançar um regime com base no risco proporcionado que forneça às autoridades de supervisão as ferramentas para responder às suas preocupações, ao mesmo tempo que proporciona segurança jurídica e as salvaguardas necessárias para as empresas financeiras e os prestadores de serviços no domínio das TIC.

4. Observações na especialidade

4.1 Âmbito de aplicação e sobreposição de questões regulamentares

4.1.1 Inclusão de outros participantes no mercado financeiro pertinentes

Embora reconheça e acolha com agrado o amplo leque de participantes no mercado financeiro visados pela proposta legislativa que garantirá a aplicação coerente dos seus requisitos em todo o setor financeiro da UE, o CESE recomenda aos decisores políticos da UE a inclusão de participantes financeiros não abrangidos pelo âmbito da referida proposta legislativa — como as instituições de crédito hipotecário e as instituições de crédito ao consumo —, a um nível adequado a determinar em função do risco que possam representar para o sistema. Os prestadores de serviços financeiros que desenvolvem as mesmas atividades e assumem os mesmos riscos devem ser abrangidos pelas mesmas regras e medidas de supervisão para garantir o mesmo quadro mínimo de resiliência digital que protege os consumidores e a estabilidade financeira.

4.1.2 Coerência a nível internacional e da UE, bem como com a regulamentação em vigor

É crucial proporcionar clareza às empresas, especialmente aquelas que operam transfronteiras, garantindo a coerência das definições e dos termos e evitando duplicações, sobreposições e divergências de interpretação sobre a forma de responder a expectativas regulamentares semelhantes em diferentes jurisdições. O CESE recomenda que os decisores políticos da UE alterem a definição de resiliência operacional de modo a ser coerente com a definição do Comité de Basileia de Supervisão Bancária (CBSB) (6) e a assegurarem que este é o principal regime aplicável às instituições financeiras da UE, a fim de evitar o risco de contradições com outros regimes. Além disso, muitos dos princípios e requisitos estabelecidos no Regulamento DORA já se encontram definidos nas orientações existentes em matéria de externalização (7). Os riscos no domínio das TIC e os requisitos de gestão de riscos de segurança também já se encontram definidos nas orientações da Autoridade Bancária Europeia (EBA). Será crucial garantir a coerência entre o Regulamento DORA e os requisitos estabelecidos nas orientações existentes no que diz respeito à definição e ao âmbito de aplicação, a fim de alcançar a harmonização dos requisitos regulamentares da UE.

4.1.3 Do mesmo modo, o CESE recomenda que a Comissão se certifique de que a revisão em curso da Diretiva relativa à segurança das redes e dos sistemas de informação (Diretiva SRI) e a proposta relativa ao Regulamento DORA partilham as mesmas definições e os mesmos requisitos em matéria de política de comunicação de incidentes de segurança aplicáveis às entidades financeiras.

4.2 Gestão do risco no domínio das TIC

Alguns elementos previstos no quadro incidem excessivamente na conformidade, em vez de se concentrarem na forma como as empresas podem demonstrar resultados numa abordagem assente em fatores de risco e princípios. Por serem muito prescritivos e pormenorizados, correm o risco de se tornarem obsoletos com o tempo, à medida que o panorama de riscos cibernéticos e no domínio das TIC evolui. O CESE recomenda uma abordagem mais assente em fatores de risco e princípios, que facilite a execução de medidas de controlo orientadas para o futuro, flexíveis, proporcionadas e proporcionais aos riscos.

4.3 Incidentes relacionados com as TIC

O CESE recomenda o pleno alinhamento do conjunto de ferramentas de resposta e recuperação de incidentes cibernéticos recentemente publicado (8) pelo Conselho de Estabilidade Financeira (CEF), que apresenta boas práticas para a comunicação de incidentes, e a proposta de gestão, classificação e comunicação de incidentes relacionados com as TIC prevista no Regulamento DORA. Existem sobreposições que criam incerteza regulamentar e aumentam os encargos regulamentares para as empresas.

4.4 Testes de resiliência operacional digital

4.4.1 O CESE saúde o regime pan-europeu de testes de penetração com base em ameaças em toda a UE, uma vez que aumentará a eficácia e reduzirá a fragmentação, mas recomenda que as autoridades não se concentrem apenas na dimensão ou na escala da instituição financeira, mas se centrem também na complexidade e na natureza crítica do serviço, tendo em conta o princípio da proporcionalidade, se for caso disso, a fim de eliminar a distinção entre testes básicos para todas as instituições financeiras e testes mais avançados para as instituições financeiras consideradas significativas. Deste modo, visa-se também garantir que os clientes de entidades financeiras de menor dimensão estão igualmente protegidos e que são criadas condições de concorrência equitativas entre todas as entidades financeiras.

4.4.2 O CESE recomenda que a externalização da realização dos testes não seja obrigatória, uma vez que o número de responsáveis externos pela realização dos testes é limitado. Na verdade, as empresas podem possuir as suas próprias equipas de teste internas que estão familiarizadas com o ambiente das empresas e são capazes de transitar rapidamente para testes mais avançados e direcionados.

4.4.3 Deve ser revista a inclusão de terceiros prestadores de serviços de TIC no âmbito dos testes de penetração com base em ameaças. O facto de esses terceiros prestarem serviços a vários clientes pode resultar numa duplicação significativa dos testes, o que, por sua vez, pode criar riscos importantes para esses terceiros prestadores de serviços de TIC e para os respetivos clientes.

4.4.4 Além disso, o CESE recomenda fazer referência explícita ao reconhecimento mútuo dos resultados dos testes, dado o seu papel na redução do risco e na garantia do bom funcionamento do mercado único, bem como para evitar um aumento dos custos para as entidades financeiras que operam transfronteiras.

4.5 Gestão do risco de terceiros no domínio das TIC e quadro de fiscalização de terceiros prestadores de serviços críticos

4.5.1 Garantir a coerência com as orientações existentes em matéria de externalização

O CESE congratula-se com o facto de o Regulamento DORA estabelecer um quadro regulamentar comum para uma boa gestão do risco de terceiros no domínio das TIC, abrangendo todos os participantes no mercado financeiro em toda a Europa. No entanto, será crucial assegurar o pleno alinhamento entre o consenso estabelecido nos princípios-chave (artigos 25.o, 26.o e 27.o) e as regras existentes, como as Orientações das Autoridades Europeias de Supervisão (AES) relativas à subcontratação (ou seja, resolver a dicotomia entre «externalização» e «serviço de terceiros» no que se refere ao âmbito de aplicação (9)). Além disso, o Comité acredita que se trata de uma excelente oportunidade para as autoridades da UE consolidarem os requisitos de externalização num regulamento único — com suficiente nível de pormenor para evitar divergências de interpretação — que poderia trazer segurança jurídica a todos os participantes no mercado e cumprir as expectativas de supervisão de forma fiável.

4.5.2 Requisitos aplicáveis a atividades externalizadas críticas ou importantes

No que toca à aplicação do artigo 25.o, n.o 2, para manter a ênfase na gestão do risco, o regulamento tem de ser mais específico quanto à forma como o princípio da proporcionalidade será aplicado, especificando os requisitos aplicáveis a atividades externalizadas críticas ou importantes e aqueles que seriam aplicáveis às restantes (10). O CESE recomenda que a utilização dos serviços no domínio das TIC para funções não críticas não se inscreva no âmbito de aplicação do Regulamento DORA.

4.5.3 Quadro de fiscalização direta de terceiros prestadores de serviços críticos

O CESE acolhe favoravelmente a introdução de um quadro de fiscalização direta que permitirá o acompanhamento contínuo das atividades de terceiros prestadores de serviços críticos pelas autoridades financeiras, na ausência de um quadro horizontal intersetorial da UE. No regulamento proposto, as autoridades da UE devem reconhecer que, quando um prestador de serviços de TIC crítico passa a estar sujeito a tal supervisão, a exposição ao risco das instituições financeiras diminui devido ao acompanhamento contínuo das suas atividades. Por conseguinte, este novo quadro de fiscalização também deve contribuir para simplificar os procedimentos de externalização de serviços dos bancos, aliviando alguns dos encargos atualmente assumidos por entidades financeiras, designadamente, em relação à realização de procedimentos de auditoria e inspeção relativos às entidades terceiras prestadoras de serviços consideradas críticas.

4.5.4 O CESE apoia o facto de as autoridades fiscalizadoras principais ficarem habilitadas a executar os procedimentos de auditoria e inspeção a terceiros prestadores de serviços críticos, uma vez que tal permitirá a essas autoridades compreender melhor os riscos que esses terceiros podem representar ao conhecerem em primeira mão os seus processos e instalações, em vez de confiarem nos relatórios atuais fornecidos pelas instituições financeiras supervisionadas e nas inspeções realizadas pelas autoridades nacionais competentes. Ainda que se devam manter as políticas de atenuação dos riscos das entidades financeiras e que a obrigação legal recaia nestas, o facto de as inspeções e auditorias serem executadas pela autoridade fiscalizadora principal traz vantagens às instituições financeiras, que beneficiarão deste nível adicional de segurança sem terem de repetir o procedimento.

4.5.5 Autoridade fiscalizadora principal e autoridades nacionais competentes

Uma vez concluído o processo de fiscalização, as autoridades nacionais competentes dão seguimento às recomendações da autoridade fiscalizadora principal, podendo adotar uma abordagem própria sobre a forma de implementar as conclusões da referida autoridade fiscalizadora principal em relação a determinados terceiros prestadores de serviços críticos. O CESE recomenda que se esclareça cabalmente as funções e responsabilidades das diferentes autoridades, tendo em vista evitar uma situação em que a disparidade de interpretações afeta cada um dos clientes dos terceiros prestadores de serviços críticos de forma diferente, em função da autoridade competente, e, assim, reduzir o risco de fragmentação. Importa igualmente assegurar o cabal cumprimento dessas recomendações, tendo em conta a atual ambiguidade do artigo 37.o quanto à sua natureza vinculativa.

4.5.6 Suspensão de um terceiro prestador de serviços crítico

O Regulamento DORA dá aos reguladores financeiros nacionais o poder de exigir que os clientes suspendam temporariamente ou interrompam a utilização de um prestador de serviços no domínio das TIC até que os riscos identificados nas recomendações sejam supridos. Uma decisão que exija a rescisão imediata do trabalho com terceiros prestadores de serviços críticos afetará definitivamente os negócios existentes ou futuros e a tomada de decisões comerciais (por exemplo, dissuadindo os investimentos na UE), podendo afetar a estabilidade financeira. Antes de tomar tal decisão, as autoridades competentes devem examinar meticulosamente, entre outros fatores, o potencial impacto negativo da rescisão do serviço nas entidades financeiras que recorrem a esse terceiro prestador de serviços crítico (11), definir critérios claros aplicáveis a uma tal exigência e identificar soluções potenciais.

4.5.7 Além disso, o CESE recomenda que, se em última instância for esta a situação, as entidades financeiras devem ser informadas com antecedência e devem ter tempo suficiente para preparar essa saída.

4.6 Preservar a competitividade mundial das empresas financeiras europeias

4.6.1 O novo quadro deve preservar a capacidade das empresas financeiras europeias de acederem, pelo menos, às mesmas tecnologias que os seus concorrentes mundiais. As empresas financeiras da UE competem à escala mundial e o futuro quadro regulamentar da UE não as deve colocar em desvantagem ao limitar o seu acesso às tecnologias mais avançadas, desde que os fornecedores dessas tecnologias cumpram as normas da UE em matéria de resiliência e segurança.

4.6.2 Terceiro prestador de serviços de TIC estabelecido num país terceiro

O regulamento não deve limitar a possibilidade de externalizar serviços considerados críticos para terceiros prestadores de serviços de TIC estabelecidos num país terceiro. Essa limitação restringiria definitivamente a liberdade contratual das entidades individuais e a capacidade das instituições financeiras europeias de acederem aos serviços de prestadores de elevado valor acrescentado que muito provavelmente não se encontram na Europa em número suficiente. Esse aspeto é ainda mais relevante tendo em conta que o quadro de fiscalização proposto se limita ao setor financeiro, criando condições de concorrência desiguais para outros intervenientes não sujeitos a esta regulamentação, podendo acabar por aumentar o risco de concentração que o Regulamento DORA procura evitar.

4.6.3 Sanções punitivas com base no volume de negócios mundial

O Regulamento DORA inclui sanções punitivas no que diz respeito ao volume de negócios mundial de entidades prestadoras de serviços no domínio das TIC se estas não cumprirem as solicitações das autoridades de supervisão financeira da UE. Uma aplicação desproporcionada dessas sanções poderia dissuadir as entidades prestadoras de serviços no domínio das TIC a nível mundial de prestar serviços a empresas financeiras da UE, o que poderia, efetivamente, limitar a escolha de prestadores para as empresas financeiras da UE. Além disso, impediria terceiros prestadores de serviços não críticos de optar pelo regime de fiscalização por receio de serem penalizados com multas desproporcionais, reduzindo assim a concorrência no mercado a montante. O CESE defende a introdução de um nível de proporcionalidade no regime de sanções, fundamental para evitar desincentivar as entidades prestadoras de serviços no domínio das TIC que pretendem prestar serviços a entidades financeiras da UE.

4.7 Disposições em matéria de partilha de informações

4.7.1 Uma vez que o intercâmbio atempado de informações é fundamental para identificar eficazmente vetores de ataque e isolar e prevenir ameaças potenciais, o CESE congratula-se com a disposição que visa facilitar a criação de mecanismos voluntários de partilha de informações sobre ciberameaças entre as instituições financeiras.

4.7.2 O CESE recomenda também que as autoridades da UE introduzam uma base clara para permitir a troca de informações pessoais (como os endereços IP) nas condições da proposta em apreço, uma vez que tal reduziria a incerteza e aumentaria a capacidade das entidades financeiras de melhorar as suas capacidades defensivas, identificar melhor as ameaças e reduzir o risco de contágio entre elas. É necessária uma maior clareza devido à natureza confidencial/sensível dos dados.

Bruxelas, 24 de fevereiro de 2021. A Presidente do Comité Económico e Social Europeu Christa SCHWENG

(1) JO L 124 de 20.5.2003, p. 36.

(2) Ver o Parecer do CESE «Estratégia em matéria de Financiamento Digital» (ECO/534) (ver página 27 do presente Jornal Oficial).

(3) Ver o Parecer do CESE «Criptoativos e tecnologia de registo distribuído» (ECO/535) (ver página 31 do presente Jornal Oficial).

(4) COM(2020) 595 final.

(5) COM(2020) 596 final.

(6) Comité de Supervisão Bancária de Basileia, «Principles for operational resilience» [Princípios de resiliência operacional], de 6 de novembro de 2020.

(7) Tal como as orientações elaboradas pela EBA e a EIOPA (Autoridade Europeia dos Seguros e Pensões Complementares de Reforma), bem como os projetos de orientações da ESMA (Autoridade Europeia dos Valores Mobiliários e dos Mercados), em fase de consulta.

(8) Conselho de Estabilidade Financeira, «Final Report on Effective Practices for Cyber Incident Response and Recovery» [Relatório final sobre práticas eficazes para resposta e recuperação de incidentes cibernéticos], de 19 de outubro de 2020.

(9) O Regulamento DORA refere-se apenas a «serviços de entidades terceiras prestadoras de serviços no domínio das TIC» no que diz respeito aos princípios-chave para uma gestão sólida do risco de terceiros no domínio das TIC (capítulo V), enquanto o âmbito de aplicação das Orientações da EBA relativas à subcontratação se baseia na definição de externalização, o que implica que a atividade é executada de uma forma periódica ou contínua (n.o 26). As Orientações da EBA também estabelecem uma lista de exceções que não são consideradas externalização (n.o 28).

(10) Mais uma vez, também será crucial harmonizar a definição de «funções críticas ou importantes», tanto no Regulamento DORA como nas Orientações da EBA relativas à subcontratação. Em especial, as Orientações da EBA definem os fatores que as instituições financeiras devem considerar ao avaliar se um acordo de externalização está relacionado com uma função crítica ou importante (artigos 29.o, 30.o e 31.o).

(11) Um dos critérios para designar uma entidade prestadora de serviços no domínio das TIC como crítica são os indicadores de possibilidade de substituição da entidade terceira prestadora de serviços, tendo em conta a falta de alternativas reais ou as dificuldades de migração parcial ou total dos serviços (artigo 28.o, n.o 2). Se fosse esse o caso, as instituições financeiras teriam dificuldade em assegurar a portabilidade do serviço para outro prestador. Além disso, obrigar as instituições financeiras expostas a mudarem para outro prestador de serviços contribuiria, no final, para uma maior concentração no mercado europeu, o que seria contrário à intenção do regulamento em apreço.