Absența unor norme detaliate și cuprinzătoare privind reziliența operațională digitală la nivelul UE a condus la proliferarea inițiativelor naționale de reglementare (de exemplu, cu privire la testarea rezilienței operaționale digitale) și la abordări în materie de supraveghere (de exemplu, abordarea dependențelor de furnizori terți de servicii TIC). Totuși, acțiunea la nivelul statelor membre are doar un efect limitat, având în vedere caracterul transfrontalier al riscurilor TIC. În plus, inițiativele naționale necoordonate s-au soldat cu suprapuneri, inconsecvențe, cerințe repetitive, costuri administrative și de conformare ridicate – în special pentru entitățile financiare transfrontaliere – sau cu riscuri TIC rămase nedetectate și, prin urmare, neabordate. Această situație fragmentează piața unică, subminează stabilitatea și integritatea sectorului financiar al UE și periclitează protecția consumatorilor și a investitorilor.

Deși modificările de după criză aduse legislației UE în domeniul serviciilor financiare au instituit un cadru unic de reglementare care reglementează o mare parte a riscurilor financiare asociate serviciilor financiare, acestea nu au abordat integral reziliența operațională digitală. Măsurile luate în legătură cu aceasta din urmă au fost caracterizate de o serie de elemente care au limitat eficacitatea lor. De exemplu, măsurile au fost adesea concepute sub forma unor directive de armonizare minimă sau a unor reglementări bazate pe principii, lăsând loc substanțial pentru abordări divergente în cadrul pieței unice. În plus, riscurile TIC au fost vizate numai într-o măsură limitată sau incompletă, în contextul acoperirii riscului operațional. În cele din urmă, aceste măsuri variază în cadrul legislației sectoriale privind serviciile financiare. Prin urmare, intervenția la nivelul Uniunii nu a corespuns pe deplin cu nevoile entităților financiare europene în ceea ce privește gestionarea riscurilor operaționale într-un mod care să asigure rezistența și răspunsul la impactul incidentelor TIC, precum și redresarea în urma acestora. De asemenea, aceasta nu a furnizat autorităților de supraveghere financiară instrumentele cele mai adecvate pentru a-și îndeplini mandatele de prevenire a instabilității financiare generate de materializarea riscurilor TIC respective.

(iii) Serviciile Comisiei au consultat în două rânduri (18 mai 2020 și 16 iulie 2020) experții statelor membre în cadrul Grupului de experți în materie de servicii bancare, asigurări și plăți (Expert Group on Banking, Payments and Insurance – EGBPI);

Fără a aduce atingere acestei acoperiri largi, aceasta nu este exhaustivă. În special, prezentul regulament nu surprinde operatorii de sistem definiți la articolul 2 litera (p) din Directiva 98/26/CE privind caracterul definitiv al decontării în sistemele de plăți și de decontare a titlurilor de valoare și nici participanții la sistem, cu excepția cazului în care astfel de participanți sunt ei înșiși entități financiare reglementate la nivelul Uniunii și, ca atare, ar intra de drept în domeniul de aplicare al prezentului regulament (și anume instituții de credit, firme de investiții, CPC). În plus, registrul Uniunii pentru certificatele de emisii care funcționează, în conformitate cu Directiva 2003/87/CE, sub egida Comisiei Europene se află, de asemenea, în afara domeniului de aplicare.

Prin prezentul exercițiu de consolidare și actualizare a normelor privind riscurile TIC, toate dispozițiile care abordează riscul digital în domeniul finanțelor ar fi reunite pentru prima dată, într-un mod coerent, într-un singur act legislativ. Această inițiativă ar trebui să elimine astfel lacunele sau inconsecvențele la nivelul remedierii din unele dintre aceste acte juridice, inclusiv în ceea ce privește terminologia utilizată în acestea, și ar trebui să facă trimiteri explicite la riscurile TIC prin intermediul unor norme specifice privind capacitățile de gestionare a riscurilor TIC, raportarea și testarea și monitorizarea riscurilor generate de părți terțe.

(13)Entitățile financiare ar trebui să urmeze aceeași abordare și să aceleași norme bazate pe principii atunci când abordează riscurile TIC. Consecvența contribuie la creșterea încrederii în sistemul financiar și la menținerea stabilității acestuia, în special în perioade de utilizare excesivă a sistemelor, a platformelor și a infrastructurilor TIC, ceea ce implică un risc digital sporit.

Respectarea unei igiene cibernetice de bază ar trebui, de asemenea, să permită evitarea impunerii unor costuri semnificative asupra economiei, prin reducerea la minimum a impactului și a costurilor asociate perturbărilor TIC.

(14)Utilizarea unui regulament ajută la reducerea complexității reglementării, favorizează convergența supravegherii, sporește securitatea juridică, contribuind totodată la limitarea costurilor de conformitate, în special pentru entitățile financiare care desfășoară activități transfrontaliere, precum și la reducerea denaturărilor concurenței. Alegerea unui regulament pentru instituirea unui cadru comun pentru reziliența operațională digitală a entităților financiare pare, prin urmare, să fie cel mai adecvat mod de a garanta o aplicare omogenă și coerentă a tuturor componentelor gestionării riscurilor TIC de către sectoarele financiare ale Uniunii.

(15)Pe lângă legislația privind serviciile financiare, Directiva (UE) 2016/1148 a Parlamentului European și a Consiliului reprezintă actualul cadru general de securitate cibernetică la nivelul Uniunii. Pe lângă cele șapte sectoare critice, directiva respectivă acoperă, de asemenea, trei tipuri de entități financiare, și anume instituțiile de credit, locurile de tranzacționare și contrapărțile centrale. Totuși, întrucât Directiva (UE) 2016/1148 stabilește un mecanism de identificare la nivel național a operatorilor de servicii esențiale, doar anumite instituții de credit, locuri de tranzacționare și contrapărți centrale identificate de statele membre sunt, în practică, incluse în domeniul său de aplicare și, prin urmare, trebuie să respecte cerințele privind securitatea TIC și notificarea incidentelor prevăzute în aceasta.

(16)Întrucât ridică nivelul de armonizare în ceea ce privește componentele rezilienței digitale, prin introducerea unor cerințe privind gestionarea riscurilor TIC și raportarea incidentelor legate de TIC care sunt mai stricte comparativ cu cele prevăzute în legislația actuală a Uniunii privind serviciile financiare, prezentul regulament constituie o armonizare sporită, de asemenea, în raport cu cerințele prevăzute în Directiva (UE) 2016/1148. Prin urmare, prezentul regulament constituie o lex specialis la Directiva (UE) 2016/1148.

Este esențial să se mențină o relație puternică între sectorul financiar și cadrul orizontal de securitate cibernetică al Uniunii, care să asigure coerența cu strategiile de securitate cibernetică deja adoptate de statele membre și să permită ca autoritățile de supraveghere financiară să fie sensibilizate cu privire la incidentele cibernetice care afectează alte sectoare vizate de Directiva (UE) 2016/1148.

(17)Pentru a permite un proces de învățare transsectorial și pentru a valorifica în mod eficace experiențele altor sectoare în ceea ce privește abordarea amenințărilor cibernetice, entitățile financiare menționate în Directiva (UE) 2016/1148 ar trebui să facă în continuare parte din „ecosistemul” directivei respective (de exemplu, Grupul de cooperare NIS și CSIRT).

AES și, respectiv, autoritățile naționale competente ar trebui să poată participa la discuțiile de politică strategice și la lucrările tehnice ale Grupului de cooperare NIS, respectiv, la schimburi de informații, precum și să coopereze în continuare cu punctele unice de contact desemnate în Directiva (UE) 2016/1148. Autoritățile competente în temeiul prezentului regulament ar trebui, de asemenea, să consulte și să coopereze cu CSIRT naționale desemnate în conformitate cu articolul 9 din Directiva (UE) 2016/1148.

(18)Este, de asemenea, important să se asigure consecvența cu Directiva privind infrastructura critică europeană (ICE), care este în prezent în curs de revizuire, pentru a spori protecția și reziliența infrastructurilor critice împotriva amenințărilor care nu sunt legate de domeniul cibernetic, cu posibile implicații pentru sectorul financiar.

(19)Furnizorii de servicii de cloud computing sunt o categorie de furnizori de servicii digitale care intră sub incidența Directivei (UE) 2016/1148. Ca atare, aceștia fac obiectul supravegherii ex post de către autoritățile naționale desemnate în conformitate cu directiva menționată, care se limitează la cerințele privind securitatea TIC și notificarea incidentelor prevăzute în actul respectiv. Întrucât se aplică tuturor furnizorilor terți esențiali de servicii TIC, inclusiv furnizorilor de servicii de cloud computing atunci când furnizează servicii TIC entităților financiare, cadrul de supraveghere instituit prin prezentul regulament ar trebui să fie considerat complementar supravegherii care are loc în temeiul Directivei (UE) 2016/1148. În plus, cadrul de supraveghere instituit prin prezentul regulament ar trebui să acopere furnizorii de servicii de cloud computing, în absența unui cadru orizontal al Uniunii care să nu fie specializat pe anumite sectoare și care să instituie o Autoritate de supraveghere digitală.

(20)Pentru a păstra controlul deplin asupra riscurilor TIC, entitățile financiare trebuie să dispună de capacități cuprinzătoare care să permită o gestionare puternică și eficace a riscurilor TIC, alături de mecanisme și politici specifice pentru raportarea incidentelor legate de TIC, testarea sistemelor, a controalelor și a proceselor TIC, precum și gestionarea riscurilor TIC generate de părți terțe. Nivelul de reziliență operațională digitală pentru sistemul financiar ar trebui ridicat, permițând, în același timp, aplicarea proporțională a cerințelor pentru entitățile financiare care sunt microîntreprinderi, astfel cum sunt definite în Recomandarea 2003/361/CE a Comisiei.

(21)Pragurile de raportare a incidentelor legate de TIC și taxonomiile variază semnificativ la nivel național. Deși un numitor comun poate fi atins prin intermediul activităților relevante întreprinse de Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) și de Grupul de cooperare NIS pentru entitățile financiare vizate de Directiva (UE) 2016/1148, abordările divergente privind pragurile și taxonomiile încă există sau pot apărea pentru restul entităților financiare. Aceasta implică cerințe multiple pe care entitățile financiare trebuie să le respecte, în special atunci când își desfășoară activitatea în mai multe jurisdicții ale Uniunii și când fac parte dintr-un grup financiar. În plus, aceste divergențe pot împiedica crearea unor noi mecanisme uniforme sau centralizate la nivelul Uniunii, care să accelereze procesul de raportare și să sprijine un schimb de informații rapid și fără sincope între autoritățile competente, care este esențial pentru abordarea riscurilor TIC în cazul unor atacuri la scară largă cu consecințe potențial sistemice.

(22)Pentru a permite autorităților competente să își îndeplinească rolurile de supraveghere prin obținerea unei imagini de ansamblu complete asupra naturii, frecvenței, importanței și impactului incidentelor legate de TIC și pentru a intensifica schimbul de informații între autoritățile publice relevante, inclusiv autoritățile de aplicare a legii și autoritățile de rezoluție, este necesar să se stabilească norme pentru completarea regimului de raportare a incidentelor legate de TIC cu cerințele care lipsesc în prezent din legislația privind subsectorul financiar și să se elimine orice suprapuneri și dublări existente, pentru a atenua costurile. Prin urmare, este esențial să se armonizeze regimul de raportare a incidentelor legate de TIC prin impunerea obligației ca toate entitățile financiare să raporteze numai autorităților lor competente. În plus, AES ar trebui să fie împuternicite să specifice în continuare elementele aferente raportării incidentelor legate de TIC, cum ar fi taxonomia, intervalele de timp, seturile de date, modelele și pragurile aplicabile.

(23)Cerințele privind testarea rezilienței operaționale digitale s-au dezvoltat în unele subsectoare financiare în mai multe cadre naționale necoordonate, care abordează aceleași aspecte într-un mod diferit. Aceasta conduce la dublarea costurilor pentru entitățile financiare transfrontaliere și îngreunează recunoașterea reciprocă a rezultatelor. Testarea necoordonată poate, așadar, să segmenteze piața unică.

(24)În plus, în cazurile în care nu este necesară testarea, vulnerabilitățile rămân nedetectate, ceea ce expune entitatea financiară și, în cele din urmă, stabilitatea și integritatea sectorului financiar unui risc mai ridicat. Fără intervenția Uniunii, testarea rezilienței operaționale digitale ar continua să fie neuniformă și nu ar exista o recunoaștere reciprocă a rezultatelor testelor între diferite jurisdicții. De asemenea, întrucât este puțin probabil ca alte subsectoare financiare să adopte astfel de sisteme la o scară semnificativă, acestea nu s-ar bucura de beneficiile potențiale, de exemplu dezvăluirea vulnerabilităților și a riscurilor, testarea capabilităților de apărare și a continuității activității, precum și creșterea încrederii consumatorilor, a furnizorilor și a partenerilor de afaceri. Pentru a remedia astfel de suprapuneri, divergențe și lacune, este necesar să se stabilească norme care să vizeze testarea coordonată de către entitățile financiare și autoritățile competente, facilitând astfel recunoașterea reciprocă a testelor avansate pentru entitățile financiare semnificative.

(25)Dependența entităților financiare de serviciile TIC este determinată parțial de nevoia lor de a se adapta la o economie globală digitală competitivă emergentă, de a spori eficiența activității lor și de a răspunde cererii consumatorilor. Natura și amploarea unei astfel de dependențe a fost în continuă evoluție în ultimii ani, conducând la o reducere a costurilor în cadrul intermedierii financiare, permițând dezvoltarea și scalabilitatea activităților financiare și oferind în același timp o gamă largă de instrumente TIC pentru gestionarea proceselor interne complexe.

(26)Această utilizare extinsă a serviciilor TIC este demonstrată de acorduri contractuale complexe, din cauza cărora entitățile financiare se confruntă adesea cu dificultăți în negocierea unor condiții contractuale care să fie adaptate la standardele prudențiale sau la alte cerințe de reglementare pe care trebuie să le respecte, sau, altfel, în exercitarea unor drepturi specifice, cum ar fi drepturile de acces sau de audit, atunci când acestea din urmă sunt consacrate în acorduri. În plus, multe astfel de contracte nu oferă garanții suficiente care să permită o monitorizare completă a proceselor de subcontractare, privând astfel entitatea financiară de capacitatea sa de a evalua aceste riscuri asociate. În plus, întrucât furnizorii terți de servicii TIC oferă adesea servicii standardizate diferitelor tipuri de clienți, astfel de contracte nu răspund întotdeauna în mod adecvat nevoilor individuale sau specifice ale actorilor din sectorul financiar.

(27)În pofida unor norme generale privind externalizarea în unele dintre actele legislative ale Uniunii din domeniul serviciilor financiare, monitorizarea dimensiunii contractuale nu este pe deplin ancorată în legislația Uniunii. În absența unor standarde ale Uniunii clare și specifice care să se aplice acordurilor contractuale încheiate cu furnizorii terți de servicii TIC, sursa externă a riscurilor TIC nu este abordată în mod cuprinzător. Prin urmare, este necesar să se stabilească anumite principii-cheie care să orienteze gestionarea de către entitățile financiare a riscurilor TIC generate de părți terțe, însoțite de un set de drepturi contractuale de bază în legătură cu mai multe elemente ale executării și rezilierii contractelor, astfel încât să consacre anumite garanții minime care să stea la baza capacității entităților financiare de a monitoriza în mod eficace toate riscurile care apar la nivelul părților terțe care furnizează servicii TIC.

(28)Există o lipsă de omogenitate și de convergență în ceea ce privește riscurile TIC generate de părți terțe și dependențele de serviciile TIC furnizate de părți terțe. În pofida unor eforturi de abordare a domeniului specific al externalizării, precum recomandările din 2017 privind externalizarea către furnizorii de servicii de tip cloud, aspectul riscului sistemic care poate fi declanșat de expunerea sectorului financiar la un număr limitat de furnizori terți esențiali de servicii TIC este foarte puțin abordată în legislația Uniunii. Această lipsă la nivelul Uniunii este agravată de absența unor mandate și instrumente specifice care să permită autorităților naționale de supraveghere să dobândească o bună înțelegere a dependențelor de servicii TIC furnizate de părți terțe și să monitorizeze în mod adecvat riscurile care decurg din concentrarea acestor dependențe de servicii TIC furnizate de părți terțe.