C 155/38

Avizul Comitetului Economic și Social European privind:

propunerea de regulament al Parlamentului European și al Consiliului privind reziliența operațională digitală pentru sectorul financiar și de modificare a Regulamentelor (CE) nr. 1060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014 și (UE) nr. 909/2014

[COM(2020) 595 final – 2020/0266 (COD)]

propunerea de directivă a Parlamentului European și a Consiliului de modificare a Directivelor 2006/43/CE, 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 și (UE) 2016/2341

[COM(2020) 596 final – 2020/0268 (COD)]

(2021/C 155/06)

Raportor: domnul Antonio GARCÍA DEL RIEGO

Sesizare Parlamentul European, 17.12.2020 Consiliul Uniunii Europene, 22.12.2020 Temei juridic Articolul 53 alineatul (1), articolul 114 alineatul (1) și articolul 304 din TFUE Secțiunea competentă Secțiunea pentru uniunea economică și monetară și coeziune economică și socială Data adoptării în secțiune 12.2.2021 Data adoptării în sesiunea plenară 24.2.2021 Sesiunea plenară nr. 558 Rezultatul votului (voturi pentru/ voturi împotrivă/abțineri) 243/1/4

1. Concluzii și recomandări

1.1. CESE salută propunerea privind reziliența operațională digitală (DORA) prezentată de Comisia Europeană, întrucât obiectivul său este de a asigura claritatea juridică referitoare la dispozițiile privind riscurile TIC, de a reduce complexitatea de reglementare, de a stabili un set comun de standarde pentru atenuarea riscurilor TIC și de a facilita o abordare armonizată în materie de supraveghere, asigurând totodată securitatea juridică și garanțiile necesare pentru întreprinderile financiare și furnizorii TIC. DORA nu doar consolidează reziliența sectorului în fața riscurilor TIC, dar reprezintă și un punct de interes pentru o serie de părți interesate, inclusiv pentru clienți, investitori și angajați și contribuie la punerea în aplicarea a dezvoltării durabile.

1.2. CESE recomandă consolidarea eficienței DORA prin intermediul pașilor de mai jos.

1.2.1. Includerea în sfera de cuprindere a DORA a oricărui furnizor de servicii financiare care desfășoară activități financiare și excluderea utilizării serviciilor TIC pentru funcții necritice.

1.2.2. Asigurarea coerenței în ceea ce privește definiția și sfera de cuprindere între DORA și cerințele prevăzute în orientările existente emise de autoritățile europene de supraveghere (AES).

1.2.3. În ceea ce privește gestionarea TIC, favorizarea unui cadru axat pe un principiu și pe o abordare bazată pe riscuri facilitează implementarea de controale rezistente în timp, flexibile și proporționale cu riscurile.

1.2.4. În ceea ce privește incidentele legate de TIC, alinierea deplină cu setul de instrumente de răspuns și redresare în caz de incidente cibernetice al CSF.

1.2.5. În ceea ce privește testarea rezilienței operaționale digitale, evidențierea nu doar a dimensiunii instituției financiare, dar și a complexității și naturii critice a serviciului; evitarea externalizării obligatorii efectuate prin limitarea numărului de testeri externi și recunoașterea reciprocă a rezultatelor testării.

1.2.6. Consolidarea cerințelor în materie de externalizare într-un cadru unic de reglementare, pentru a impune securitate juridică pentru toții participanții la piață și pentru a răspunde în mod fiabil tuturor așteptărilor.

1.2.7. O putere executorie deplină a recomandărilor supraveghetorilor principali și un set clar de roluri și responsabilități pentru diferite autorități implicate în supravegherea furnizorilor terți esențiali.

1.2.8. Asigurarea accesului la serviciile externalizate care sunt considerate critice către furnizori terți stabiliți în țări terțe pentru a evita limitarea libertății contractuale a întreprinderilor și a capacității de a accesa servicii furnizate de furnizori cu o valoare adăugată ridicată.

1.2.9. Includerea proporționalității în regimul de sancțiuni, evitarea contrastimulentelor pentru furnizorii TIC în ceea ce privește deservirea entităților financiare ale EU și îndepărtarea de la referința actuală la o cifră de afaceri globală.

1.2.10. Asigurarea clarității cu privire la capacitatea întreprinderilor de a partaja informații privind atacurile cibernetice, garantând că astfel de mecanisme sunt instituite în mod voluntar și că în propunerea privind DORA este inclusă o dispoziție explicită care permite schimbul de informații cu caracter personal.

1.2.11. Mărirea, în cadrul propunerii, a pragurilor aplicabile scutirii microîntreprinderilor și IMM-urilor conform definiției de la anexa I, articolul 2.2 din Recomandarea 2003/361/CE a Comisiei ( 1 ) : „întreprinderile cu mai puțin de 50 de angajați, a căror cifră de afaceri anuală și/sau al căror bilanț anual total nu depășește 10 milioane EUR” și reducerea proporțională a numărului de cerințe aplicabile IMM-urilor în funcție de profilul de risc digital al întreprinderii respective.

1.3. CESE sprijină capacitarea supraveghetorilor principali în executarea procedurilor de audit și inspecție a furnizorilor terți esențiali, întrucât supraveghetorii principali ar dobândi o mai bună înțelegere a riscurilor pe care furnizorii terți esențiali le-ar putea prezenta și acest lucru ar putea contribui la raționalizarea procedurilor de externalizare ale băncilor.

2. Contextul

2.1. Consumatorii europeni și întreprinderile europene se bazează tot mai mult pe serviciile financiare digitale, care sunt perfect compatibile cu punerea la dispoziție de către participanții la piață a unor soluții din ce în ce mai inovatoare bazate pe noi tehnologii. Transformarea digitală este elementul esențial al redresării europene și al creării unei economii europene durabile și reziliente.

2.2. În acord cu prioritățile Comisiei Europene de a face astfel încât Europa să fie pregătită pentru era digitală și de a construi o economie pregătită pentru viitor, care se află în serviciul cetățenilor, Comisia a propus un pachet privind finanțele digitale . Acest pachet evidențiază măsurile menite să favorizeze și să sprijine și mai mult potențialul finanțelor digitale în ce privește inovarea și concurența, reducând totodată la minimum riscurile ce rezultă de aici.

2.3. În plus față de propunerea privind reziliența operațională digitală, pachetul privind finanțele digitale include o nouă strategie privind finanțele digitale pentru sectorul financiar al UE ( 2 ) și o propunere de regulament privind piețele criptoactivelor alături de o propunere de regulament privind un regimpilot pentru infrastructurile pieței bazate pe tehnologia registrelor distribuite (DLT) ( 3 )

2.4. Reziliența operațională digitală reprezintă capacitatea întreprinderilor de a se asigura că pot face față tuturor tipurilor de perturbări și amenințări legate de tehnologia informației și comunicațiilor (TIC). Dependența din ce în ce mai mare a sectorului financiar de software și de procesele digitale înseamnă că riscurile legate de TIC sunt inerente acestui sector. Întreprinderile financiare au devenit ținte ale atacurilor cibernetice, care au ca rezultat grave daune financiare și prejudicii aduse reputației atât pentru clienți, cât și pentru întreprinderi. Aceste riscuri trebuie să fie bine înțelese și gestionate, în special în perioade de criză.

2.5. Deși reformele care au urmat crizei financiare din 2008 au consolidat reziliența sectorului financiar al UE, riscurile TIC au fost abordate doar într-o manieră indirectă. Lipsa unui cadru de reglementare cuprinzător la nivel european privind reziliența operațională digitală a dus la recurgerea la inițiative de reglementare la nivel național. Totuși, acest lucru a limitat eficiența transfrontalieră și a condus la o fragmentare a pieței unice, care subminează stabilitatea și integritatea sectorului financiar al UE. În acest context, Comisia propune crearea unui cadru cuprinzător privind reziliența operațională digitală pentru entitățile financiare ale UE.

2.6. Propunerea legislativă privind reziliența operațională digitală (DORA) ( 4 ) urmărește să consolideze și să raționalizeze modalitatea în care entitățile financiare gestionează riscurile TIC, să stabilească o testare amănunțită a rezilienței sistemelor TIC, să favorizeze partajarea informațiilor și să sporească gradul de conștientizare a autorităților de supraveghere cu privire la riscurile cibernetice și incidentele legate de TIC cu care se confruntă entitățile financiare, precum și să introducă competențe pentru autoritățile de supraveghere financiară în scopul monitorizării riscurilor care decurg din dependența entităților financiare de furnizori terți de servicii TIC. Propunerea vizează, de asemenea, crearea unui mecanism coerent de raportare a incidentelor, care ar putea contribui la reducerea sarcinilor administrative pentru entitățile financiare și la consolidarea eficacității supravegherii.

2.7. Comisia a prezentat și o propunere de directivă ( 5 ) întrucât este necesar să se stabilească o exceptare temporară pentru sistemele multilaterale de tranzacționare și să se modifice sau să se clarifice anumite dispoziții din directivele existente ale UE privind serviciile financiare pentru a atinge obiectivele propunerii privind reziliența operațională digitală.

2.8. Clasându-se ca una dintre cele mai mari industrii din lume, piața TIC a fost estimată la o valoare de peste cinci mii de miliarde USD în 2019 și de peste șase mii de miliarde în 2022. Creșterea continuă ne reamintește de prevalența și importanța tot mai mare a tehnologiei pentru societatea contemporană. La nivel mondial, finanțele sunt sectorul cu cea mai mare utilizare a TIC, cu peste 20 % din toate cheltuielile totale în materie TIC , după cum se arată în evaluarea impactului din cadrul propunerii legislative.

2.9. Pandemia de COVID-19 a condus la proliferarea serviciilor financiare digitale , în timp ce rețelele de sucursale ale instituțiilor financiare rămân subutilizate. Acest lucru va stimula investițiile în instrumentele digitale de self-service, aplicațiile de open finance și serviciile cu valoare adăugată. În general, situația actuală va forța instituțiile financiare să investească mai mult în infrastructura IT, să acorde prioritate migrării volumelor de lucru critice și să actualizeze aplicațiile existente. Sectorul financiar european se află deja într-un proces de transformare digitală major și capacitatea sa de a concura la scară globală va depinde în mare măsură de capacitatea instituțiilor europene de a beneficia de cele mai avansate tehnologii.

3. Observații generale

3.1. CESE salută propunerea privind reziliența digitală și operațională (DORA) prezentată de Comisia Europeană care abordează multe dintre solicitările sectorului financiar și al cărei obiectiv este de a asigura claritatea juridică cu privire la dispozițiile privind riscurile TIC, de a reduce complexitatea de reglementare și a scădea sarcinile administrative ce decurg din diverse norme care se aplică entităților financiare din întreaga UE. DORA nu doar consolidează reziliența sectorului în fața riscurilor TIC, dar reprezintă și un punct de interes pentru mai multe părți interesate, inclusiv pentru clienți, investitori și angajați și contribuie la punerea în aplicarea a dezvoltării durabile.

3.2. CESE consideră că DORA reprezintă un pas important către stabilirea unui set comun de standarde menite să atenueze riscurile TIC și să faciliteze o abordare armonizată în materie de supraveghere, dar ar trebui să fie luate măsurile de precauție necesare pentru a evita adăugarea de obstacole care ar putea împiedica instituțiile financiare ale UE de la implicarea în procesul de inovare global.

3.3. CESE consideră că un obiectiv global al UE ar trebui să constea în încercarea autorităților din UE de a asigura un regim proporțional și bazat pe riscuri care să ofere supraveghetorilor instrumentele necesare pentru a-și aborda preocupările, garantând totodată securitatea juridică și garanțiile necesare pentru întreprinderile financiare și furnizorii TIC.

4. Observații specifice

4.1. Sfera de cuprindere și aspecte legate de suprapuneri în materie de reglementare

4.1.1. Includerea de participanți relevanți suplimentari la piața financiară

Deși CESE recunoaște și salută evantaiul amplu al participanților la piața financiară vizați de legislația propusă care va asigura aplicarea cerințelor sale la nivelul întregului sector financiar al UE, Comitetul recomandă ca factorii de decizie ai UE să includă participanți financiari care nu sunt considerați ca parte integrantă din sfera de cuprindere a legislației propuse – furnizorii de credite ipotecare și furnizorii de credite de consum – până la un nivel adecvat, în funcție de riscul pe care îl pot prezenta pentru sistem. Toți furnizorii de servicii financiare care dezvoltă aceeași activitate și își asumă aceleași riscuri ar trebui să fie acoperiți de același reguli și de aceeași supraveghere pentru a se asigura un cadru minim pentru reziliența digitală care protejează consumatorii și stabilitatea financiară.

4.1.2. Coerența la nivel internațional și la nivelul UE, precum și cu regulamentele existente

Este crucial să se asigure claritate pentru întreprinderi, în special pentru cele care desfășoară activități transfrontaliere, asigurând coerența definițiilor și a termenilor și evitând duplicările, suprapunerile și diferitele interpretări privind modul în care să se răspundă unor așteptări similare de reglementare în diferite jurisdicții. CESE recomandă ca factorii de decizie din UE să modifice definiția rezilienței operaționale pentru a fi în concordanță cu definiția Comitetului de la Basel pentru supraveghere bancară (BCBS) (6) și pentru a se asigura că acesta este principalul regim aplicabil instituțiilor financiare din UE, pentru a evita riscul de contradicție cu altele. În plus, multe dintre principiile și cerințele prevăzute în DORA sunt deja definite în orientările existente privind externalizarea (7). Riscurile TIC și cerințele privind gestionarea riscurilor de securitate sunt deja definite în Orientările ABE. Va fi crucial să se asigure coerența în ceea ce privește definiția și sfera de cuprindere între DORA și cerințele prevăzute în orientările existente, pentru a asigura armonizarea cu cerințele de reglementare ale UE.

4.1.3. În egală măsură, CESE recomandă ca CE să se asigure că revizuirea în curs a Directivei privind securitatea rețelelor și a sistemelor informatice (NIS) și propunerea privind DORA să includă același definiții și cerințe privind politica de raportare a incidentelor pentru entitățile financiare.

4.2. Gestionarea riscurilor TIC

O parte dintre elementele cadrului sunt axate prea mult pe conformitate și prea puțin pe modul în care întreprinderile pot face dovada rezultatelor în cadrul unei abordări bazate pe principii și riscuri. Întrucât sunt prea descriptive și detaliate, acestea prezintă riscul de a deveni caduce în timp pe măsură ce peisajul cibernetic și al riscurilor TIC evoluează. Comitetul recomandă o abordare bazată într-o mai mare măsură pe principii și riscuri, care să faciliteze punerea în aplicare a unor controale care să răspundă exigențelor viitorului, flexibile, proporționale și corespunzătoare riscurilor.

4.3. Incidentele legate de TIC

Comitetul recomandă alinierea deplină între setul de instrumente de răspuns și redresare în caz de incidente cibernetice (CIRR) (8) recent publicat de Consiliul pentru Stabilitate Financiară (CSF), care pune la dispoziție bune practici privind raportarea incidentelor și gestionarea, clasificarea și raportarea propusă a incidentelor legate de TIC prevăzute în DORA. Există suprapuneri care creează incertitudine în materie de reglementare și care sporesc sarcina de reglementare pentru întreprinderi.

4.4. Testarea rezilienței operaționale digitale

4.4.1. Comitetul salută regimul paneuropean de testare a penetrabilității prin amenințare (TLPT) de la nivelul UE, care va crește eficiența și va reduce fragmentarea; CESE recomandă, însă, ca autoritățile să nu se concentreze doar pe dimensiunea sau scara instituției financiare, ci și pe complexitatea și gradul critic al serviciului, ținând seama de principiul proporționalității, eliminând distincția dintre testarea de bază pentru toate instituțiile financiare și testarea mai avansată pentru instituțiile financiare semnificative și asigurându-se că consumatorii din entitățile financiare mai mici beneficiază de aceeași protecție și că sunt create condiții de concurență echitabile în rândul tuturor entităților financiare.

4.4.2. CESE recomandă ca externalizarea testărilor către testeri externi să nu aibă caracter obligatoriu, întrucât numărul testerilor externi este limitat. Într-adevăr, întreprinderile pot avea propriile echipe interne de testare care sunt familiarizate cu mediul întreprinderilor și au capacitatea de efectua mai rapid teste mai avansate și mai specifice.

4.4.3. Ar trebui revizuită includerea furnizorilor terți de servicii TIC în sfera de competență TLPT. Faptul că furnizorii terți de servicii TIC pot deservi mai mulți clienți ar putea duce la duplicarea semnificativă a testării, ceea ce ar putea crea, la rândul său, riscuri relevante pentru furnizorul terț de servicii TIC și pentru clienții pe care îi deservește acesta.

4.4.4. În plus, CESE recomandă trimiterea explicită la recunoașterea reciprocă a rezultatelor testării , dat fiind rolul său în reducerea riscurilor și asigurarea unei bune funcționări a pieței unice, precum și la evitarea creșterii costurilor pentru entitățile financiare care desfășoară activități la nivel transfrontalier.

4.5. Gestionarea riscului TIC prezentat de terțe părți și cadrul de supraveghere pentru furnizorii terți esențiali

4.5.1. Asigurarea coerenței cu orientările existente privind externalizarea

CESE salută faptul că DORA stabilește un cadru de reglementare comun pentru o bună gestionare a riscurilor TIC legate de terțe părți pentru toți participanții la piața financiară din Europa. Cu toate acestea, este crucial să se asigure deplina aliniere dintre această poziție comune prevăzută în principiile-cheie (articolele 25, 26 și 27) și normele existente precum Ghidul privind externalizarea al autorităților europene de supraveghere (AES) [și anume, soluționarea dihotomiei existente a sferei de cuprindere dintre „externalizare” și „serviciu ale furnizorilor terți” (9)]. În plus, Comitetul consideră că aceasta reprezintă o bună ocazie pentru autoritățile UE de a consolida cerințele privind externalizarea într-un regulament unic – cu un nivel suficient de detaliere pentru a evita diferențele de interpretare – ce ar putea aduce securitate juridică pentru toți participanții la piață și pentru a răspunde în mod fiabil tuturor așteptărilor.

4.5.2. Cerințele aplicabile pentru activitățile critice sau importante externalizate

În aplicarea propriului articolul 25 alineatul (2), pentru a menține concentrarea pe riscuri, regulamentul trebuie să fie mai specific în ceea ce privește modul în care va fi aplicat principiul proporționalității, indicând cerințele care ar fi aplicabile în cazul activităților critice sau importante externalizate și cele care ar fi aplicabile în alte cazuri (10). CESE recomandă ca utilizarea serviciilor TIC pentru funcțiile necritice să fie lăsată în afara sferei de cuprindere a DORA.

4.5.3. Cadrul de supraveghere directă pentru furnizorii terți esențiali critici

CESE salută introducerea unui cadru de supraveghere directă care va permite monitorizarea continuă a activităților furnizorilor terți esențiali de către autoritățile financiare, în absența unui cadru orizontal al UE care să nu fie specializat pe anumite sectoare. În regulamentul propus, autoritățile UE ar trebui să recunoască că, atunci când un furnizor TIC critic devine obiectul acestei supravegheri, expunerea la risc a instituțiilor financiare scade ca urmare a monitorizării activităților respectivului furnizor. În consecință, acest nou cadru de supraveghere ar trebui să contribuie și la raționalizarea procedurilor de externalizare ale băncilor prin reducerea unei părți a sarcinilor cu care se confruntă în prezent entitățile financiare, de exemplu, în raport cu efectuarea procedurilor de audit și inspecție privind furnizorii terți care sunt considerați critici.

4.5.4. CESE sprijină capacitarea supraveghetorilor principali în executarea procedurilor de audit și inspecție a furnizorilor terți esențiali, întrucât supraveghetorii principali ar dobândi o mai bună înțelegere a riscurilor pe care furnizorii terți esențiali le-ar putea prezenta, cunoscând procesele și situația specifică a acestora, în loc să se bazeze pe actualul proces de raportare furnizat de instituțiile financiare supravegheate și pe inspecțiile desfășurate de autoritățile naționale competente. Deși politicile de reducere a riscurilor ale entităților financiare ar trebui menținute, iar obligația legală le revine acestora, în cazul în care inspecțiile și auditurile sunt deja efectuate de autoritatea de supraveghere principală, instituțiile financiare ar trebui să beneficieze de acest nivel suplimentar de securitate și să nu fie obligate să le îndeplinească din nou.

4.5.5. Supraveghetorul principal și autoritățile naționale competente

Odată finalizat procesul de supraveghere, recomandările supraveghetorului principal vor fi urmate de autoritățile naționale competente, care pot avea propria abordare privind modul de punere în aplicare a concluziilor supraveghetorului principal pentru furnizorii terți esențiali. Comitetul recomandă asigurarea unei clarități depline cu privire la rolurile și responsabilitățile diferitelor autorități pentru a evita situațiile în care diferențele de interpretare îi afectează în mod diferit pe clienții unui furnizor terț esențial, în funcție de autoritatea lor competentă și pentru a reduce astfel riscul de fragmentare. Aceste recomandări ar trebui să fie pe deplin executorii, ținând seama de actuala ambiguitate a articolului 37 cu privire la caracterul lor obligatoriu.

4.5.6. Suspendarea unui furnizor terț esențial

DORA oferă autorităților național de reglementare din domeniul financiar puterea de a solicita clienților să suspende sau să întrerupă temporar utilizarea unui furnizor TIC până în momentul abordării riscurilor identificate în recomandări. Cerințele privind rezilierea imediată a activităților unui furnizor terț esențial ar avea cu siguranță un impact asupra deciziilor de afaceri și comerciale existente sau viitoare (de exemplu, descurajarea investițiilor în UE) și ar putea afecta eventual stabilitatea financiară. Înainte de luarea acestei decizii, autoritățile competente ar trebui să analizeze cu atenție, printre alți factori, eventualul impact negativ al rezilierii serviciilor pentru entitățile financiare care utilizează respectivul furnizor terț esențial (11), să stabilească criterii clare pentru o astfel de cerință și să aibă în vedere eventuale soluții.

4.5.7. Dacă, însă, se ajunge într-o astfel de situație, Comitetul recomandă ca entitățile financiare să fie bine informate în avans și să beneficieze de suficient timp pentru a efectua trecerea la alt furnizor.

4.6. Menținerea competitivității globale a întreprinderilor financiare europene

4.6.1. Noul cadru trebuie să mențină capacitatea întreprinderilor financiare europene de a accesa cel puțin aceleași tehnologii precum concurenții lor de la nivel global. Întreprinderile financiare din UE concurează la nivel global, iar viitorul cadru de reglementare al UE nu ar trebui să dezavantajeze întreprinderile UE prin limitarea accesului lor la cele mai avansate tehnologii – atât timp cât furnizorii respectivelor tehnologii îndeplinesc standardele UE din punctul de vedere al rezilienței și securității.

4.6.2. Furnizori terți stabiliți în țări terțe

Regulamentul nu ar trebui să limiteze posibilitatea externalizării serviciilor considerate critice către furnizori terți stabilite în țări terțe. Această limitare ar restricționa cu siguranță libertatea contractuală a entităților individuale și capacitatea instituțiilor financiare europene de a accesa serviciilor furnizorilor cu o valoare adăugată ridicată care, cel mai probabil, nu se vor găsi în Europa într-un număr suficient. Acest lucru este cu atât mai relevant, cu cât cadrul de supraveghere propus este limitat la sectorul financiar, prin crearea unor condiții de concurență neechitabile pentru alți jucători care nu fac obiectul acestui regulament, sporind riscul de concentrare, pe care DORA încearcă să îl evite.

4.6.3. Sancțiuni cu caracter punitiv bazate pe cifra de afaceri globală

DORA include sancțiuni punitive legate de cifra de afaceri globală pentru furnizorii TIC, dacă aceștia nu respectă cerințele supraveghetorilor financiari ai UE. O aplicare disproporționată a acestor sancțiuni i-ar putea descuraja pe furnizorii TIC de la nivel global să furnizeze servicii întreprinderilor financiare ale UE, ceea ce, de facto, ar limita posibilitatea de alegere a furnizorilor de care ar putea beneficia întreprinderile financiare ale UE. În plus, aceasta ar descuraja furnizorii terți neesențiali de la a opta pentru un regim de supraveghere, dată fiind teama de a fi sancționați cu amenzi disproporționate, reducând astfel concurența pe piața din amonte. CESE pledează pentru introducerea unui nivel de proporționalitate în ceea ce privește regimul sancțiunilor. Acesta este elementul esențial al evitării contrastimulentelor pentru furnizorii TIC care încearcă se ofere servicii entităților financiare ale UE.

4.7. Mecanismele de partajare a informațiilor

4.7.1. Întrucât schimbul de informații în timp util este esențial pentru identificarea eficientă a vectorilor de atac și pentru izolarea și prevenirea amenințărilor potențiale, CESE salută prevederea privind facilitarea instituirii unor mecanisme de schimb de informații privind amenințările cibernetice între instituțiile financiare, pe bază de voluntariat.

4.7.2. Comitetul recomandă, de asemenea, furnizarea unei baze explicite care să permită schimbul de informații cu caracter personal (precum adresele IP), printre condițiile din această propunere, întrucât acest lucru va reduce incertitudinea și ar consolida capacitatea entităților financiare de a-și întări capacitățile de apărare, de a defini mai bine amenințările și de a reduce riscul de contagiune între acestea. Dată fiind natura confidențială/sensibilă a datelor, este nevoie de mai multă claritate.

Bruxelles, 24 februarie 2021. Președintele Comitetului Economic și Social European Christa SCHWENG

(1) JO L 124, 20.5.2003, p. 36.

(2) A se vedea Avizul ECO/534 al CESE pe tema „Strategia privind finanțele digitale pentru UE” (a se vedea pagina 27 din prezentul Jurnal Oficial).

(3) A se vedea Avizul ECO/535 al CESE pe tema „Criptoactivele și tehnologia registrelor distribuite” (a se vedea pagina 31 din prezentul Jurnal Oficial).

(4) COM(2020) 595 final.

(5) COM(2020) 596 final.

(6) Comitetul de la Basel pentru supraveghere bancară, „Principles for operational resilience” (Principii pentru reziliența operațională),6 noiembrie 2020.

(7) Cum ar fi cele realizate de ABE, EIOPA, precum și proiectul de orientări al ESMA, în curs de consultare.

(8) Consiliul pentru Stabilitate Financiară, „Final Report on Effective Practices for Cyber Incident Response and Recovery” (Raportul final privind practicile eficiente pentru răspunsul și redresarea în caz de incidente cibernetice), 19 octombrie 2020.

(9) DORA se referă numai la „serviciile TIC ale furnizorilor terți” în ceea ce privește buna gestionare a riscurilor TIC legate de terțe părți (capitolul V), în timp ce sfera de cuprindere a Ghidului privind mecanismele de externalizare al ABE se bazează pe definiția externalizării care implică faptul că activitatea este efectuată în mod recurent sau continuu (punctul 26). Ghidul ABE prezintă și o listă de excepții care nu sunt considerate a fi externalizări (punctul 28).

(10) Din nou, este crucial să se alinieze definiția „funcțiilor critice sau importante” atât în DORA, cât și în Ghidul privind externalizarea al ABE. În special, Ghidul ABE definește factorii pe care instituțiile financiare ar trebui să îi aibă în vedere atunci când evaluează dacă mecanismele de externalizare se leagă de o funcție care este critică sau importantă (articolele 29, 30 și 31).

(11) Unul dintre criteriile pentru desemnarea unui furnizor TIC ca fiind critic ar fi gradul de substituibilitate al furnizorului terț, ținând seama de lipsa unei alternative reale sau a dificultăților de a migra parțial sau integral serviciile [articolul 28 alineatul (2)]. Dacă acesta a fost cazul, ar fi dificil ca instituțiile financiare să își porteze serviciile către un alt furnizor. În plus, solicitarea ca instituțiile financiare expuse să se mute la un al furnizor de servicii ar contribui în final la o creștere a concentrației la nivelul pieței UE, ceea ce ar contraveni însăși intenției acestui regulament.