V iniciatíve by sa zachovali výhody spojené s horizontálnym rámcom pre kybernetickú bezpečnosť (napríklad smernica o bezpečnosti sietí a informačných systémov, smernica NIS) udržiavaním finančného sektora v jeho rozsahu pôsobnosti. Finančný sektor by bol naďalej úzko spojený s orgánom pre spoluprácu v oblasti bezpečnosti sietí a informačných systémov a orgány finančného dohľadu by si mohli vymieňať relevantné informácie v rámci existujúceho ekosystému v oblasti bezpečnosti sietí a informačných systémov. Táto iniciatíva by bola v súlade so smernicou o európskej kritickej infraštruktúre, ktorá sa v súčasnosti preskúmava s cieľom zvýšiť ochranu a odolnosť kritických infraštruktúr proti nekybernetickým hrozbám. Na záver, tento návrh je úplne v súlade so stratégiou pre bezpečnostnú úniu, v ktorej sa vyzvalo na iniciatívu o digitálnej prevádzkovej odolnosti pre finančný sektor vzhľadom na jeho vysokú závislosť od IKT služieb a jeho vysokú zraniteľnosť voči kybernetickým útokom.

Ako uviedla predsedníčka von der Leyenová vo svojich politických usmerneniach a ako je stanovené v oznámení s názvom Formovanie digitálnej budúcnosti Európy, pre Európu je veľmi dôležité využiť všetky výhody digitálnej doby a posilniť svoj priemysel a kapacitu inovácie v rámci bezpečných a etických hraníc. V Európskej dátovej stratégii sú stanovené štyri piliere – ochrana údajov, základné práva, bezpečnosť a kybernetická bezpečnosť – ako nevyhnutné predpoklady pre spoločnosť posilnenú používaním údajov. Najnovšie Európsky parlament pracuje na správe o digitálnych financiách, v ktorej, okrem iného, vyzýva na spoločný prístup ku kybernetickej bezpečnosti finančného sektora. Legislatívny rámec posilňujúci digitálnu prevádzkovú odolnosť finančných subjektov EÚ je v súlade s týmito politickými cieľmi. Návrhom by sa takisto podporili politiky zamerané na zotavenie sa z koronavírusu, keďže by sa zaistilo, aby zvýšené spoliehanie sa na digitálne financie šlo ruka v ruke s prevádzkovou odolnosťou.

Neexistencia podrobných a komplexných pravidiel o digitálnej prevádzkovej odolnosti na úrovni EÚ viedla k prevládnutiu vnútroštátnych regulačných iniciatív (napr. o testovaní digitálnej prevádzkovej odolnosti) a prístupov orgánov dohľadu (napr. riešenie závislostí IKT od tretej strany). Činnosť na úrovni členských štátov má však len obmedzený účinok vzhľadom na cezhraničnú povahu IKT rizík. Okrem toho nekoordinované národné iniciatívy vyústili do prekrývania, nejednotností, duplicitných požiadaviek, vysokých administratívnych nákladov a nákladov na dodržanie súladu s predpismi, a to najmä v prípade cezhraničných finančných subjektov, alebo do toho, že IKT riziká ostali nezistené, a teda neriešené. V tejto situácii sa triešti jednotný trh, ohrozuje stabilita a integrita finančného sektora EÚ a ohrozuje ochrana spotrebiteľov a investorov.

Tento návrh je súčasťou balíka týkajúceho sa digitálnych financií, balíka opatrení zameraných na ďalšie umožňovanie a podporu potenciálu digitálnych financií z hľadiska inovácie a hospodárskej súťaže pri zmierňovaní rizík, ktoré z toho vyplývajú. Je v súlade s prioritami Komisie pripraviť Európu na digitálny vek a vybudovať hospodárstvo pripravené na budúcnosť, ktoré pracuje pre ľudí. Súčasťou balíka týkajúceho sa digitálnych financií je nová stratégia v oblasti digitálnych financií pre finančný sektor EÚ, ktorej cieľom je zaistiť, aby EÚ využila digitálnu revolúciu a podnecovala ju na čele s európskymi inovačnými firmami pri sprístupňovaní výhod digitálnych financií spotrebiteľom a podnikom. Popri tomto návrhu balík obsahuje aj návrh nariadenia o trhoch s kryptoaktívami, návrh nariadenia o pilotnom režime pre trhové infraštruktúry založené na technológii distribuovanej databázy transakcií (DLT) a návrh smernice na objasnenie alebo zmenu určitých súvisiacich pravidiel EÚ v oblasti finančných služieb. Digitalizácia a prevádzková odolnosť vo finančnom sektore predstavujú dve strany jednej mince. Digitálne alebo informačné a komunikačné technológie (IKT) so sebou prinášajú príležitosti, ako aj riziká. Je potrebné dobre ich pochopiť a riadiť, a to najmä v čase stresu.

Žiadne právne predpisy Únie o finančných službách doteraz neboli zamerané na prevádzkovú odolnosť a žiadne komplexne neriešili riziká vyplývajúce z digitalizácie, a to ani tie, ktorých pravidlá sa všeobecnejšie zaoberajú rozmerom prevádzkového rizika, ktorého podriadenou zložkou je IKT riziko. Intervenciou Únie sa doteraz pomohlo riešiť potreby a problémy, ktoré sa vyskytli v dôsledku finančnej krízy v roku 2008: úverové inštitúcie neboli dostatočne kapitalizované, finančné trhy neboli dostatočne integrované a harmonizácia bola do toho času na minimálnej úrovni. IKT riziko sa vtedy nepovažovalo za prioritu, a preto sa právne rámce pre rôzne čiastkové finančné sektory vyvíjali nekoordinovaným spôsobom. Opatreniami na úrovni Únie sa však dosiahli ich ciele zabezpečenia finančnej stability a vytvorenia jedného súboru prudenciálnych pravidiel a pravidiel trhového správania uplatňujúcich sa na finančné subjekty v celej EÚ. Keďže faktory stimulujúce legislatívnu intervenciu Únie v minulosti neumožnili, aby osobitné alebo komplexné pravidlá riešili široké používanie digitálnych technológií a následných rizík vo financiách, vykonanie explicitného hodnotenia sa javí ako náročné. Vykonanie implicitného hodnotenia a následné legislatívne zmeny sú premietnuté v každom pilieri tohto nariadenia.

3.VÝSLEDKY HODNOTENÍ EX POST, KONZULTÁCIÍ SO ZAINTERESOVANÝMI STRANAMI A POSÚDENÍ VPLYVU

Týmto návrhom sa harmonizuje digitálna prevádzková zložka hlboko integrovaného a vzájomne prepojeného sektora, ktorý už využíva jednotný súbor pravidiel a dohľadu vo väčšine ostatných kľúčových oblastí. V prípade záležitostí, ako je hlásenie incidentov súvisiacich s IKT, by len harmonizované pravidlá Únie mohli znížiť úroveň administratívnej záťaže a finančných nákladov spojených s hlásením rovnakého incidentu súvisiaceho s IKT rôznym orgánom Únie a vnútroštátnym orgánom. Opatrenie na úrovni EÚ je takisto potrebné na uľahčenie vzájomného uznávania výsledkov pokročilého testovania digitálnej prevádzkovej odolnosti subjektov pôsobiacich cezhranične, ktoré v prípade neexistencie pravidiel Únie podliehajú alebo by mohli podliehať odlišným rámcom v rôznych členských štátoch. Len opatrením na úrovni Únie sa dajú vyriešiť rozdiely v prístupoch k testovaniu, ktoré zaviedli členské štáty. Opatrenie na úrovni celej EÚ je takisto potrebné na riešenie chýbajúcich vhodných právomocí dozoru na monitorovanie rizík pochádzajúcich od externých poskytovateľov IKT služieb vrátane rizika koncentrácie a škodlivého vplyvu na finančný sektor EÚ.

Odstránením prekrývajúcich sa požiadaviek na hlásenie incidentov súvisiacich s IKT by sa znížila administratívna záťaž a klesli by súvisiace náklady. Okrem toho by sa harmonizovaním testovaním digitálnej prevádzkovej odolnosti so vzájomným uznávaním v rámci jednotného trhu znížili náklady, najmä pre cezhraničné spoločnosti, ktoré by inak mohli čeliť viacerým testom v rámci členských štátov.

Zachovaná možnosť politiky by mala hlavné sociálne vplyvy na spotrebiteľov a investorov. Vďaka vyšším úrovniam digitálnej prevádzkovej odolnosti finančného systému EÚ by klesol počet incidentov a priemerné náklady na ne. Spoločnosť ako celok by profitovala zo zvýšenej dôvery v odvetvie finančných služieb.

Ponechaná možnosť by spôsobila náklady jednorazového, ako aj pravidelného charakteru. Jednorazové náklady predstavujú najmä investície do informačných systémov, a preto je zložité ich vyčísliť vzhľadom na rôzny stav komplexných IT prostredí spoločností, a najmä ich pôvodných informačných systémov. Rovnako budú tieto náklady pravdepodobne nízke v prípade veľkých spoločností vzhľadom na významné investície do IKT, ktoré sa už uskutočnili. Očakáva sa, že náklady budú nízke aj v prípade menších spoločností, pretože by sa uplatňovali primerané opatrenia vzhľadom na ich nižšie riziko.

·možnosť 1: posilnenie kapitálových vankúšov: zaviedli by sa ďalšie kapitálové vankúše na zvýšenie schopnosti finančných subjektov absorbovať straty, ktoré by mohli vzniknúť z dôvodu nedostatočnej digitálnej prevádzkovej odolnosti;

K tomuto návrhu je priložené posúdenie vplyvu, ktoré bolo predložené výboru pre kontrolu regulácie 29. apríla 2020 a schválené 29. mája 2020. Výbor pre kontrolu regulácie odporučil zlepšenia v niektorých oblastiach s cieľom: i) poskytnúť viac informácií o tom, ako by bola zaistená proporcionalita; ii) lepšie upozorniť na mieru, v ktorej sa uprednostňovaná možnosť líši od spoločného technického poradenstva európskych orgánov dohľadu a prečo je uvedená možnosť optimálna; a iii) podrobnejšie poukázať na to, ako návrh spolupôsobí s existujúcimi právnymi predpismi EÚ vrátane pravidiel, ktoré sa v súčasnosti revidujú. Posúdenie vplyvu bolo nastavené tak, aby sa riešili tieto body, pričom sa riešili aj podrobnejšie pripomienky výboru pre kontrolu regulácie.

Toto nariadenie je určené na lepšie zosúladenie obchodných stratégií finančných subjektov a vykonávania riadenia IKT rizika. Na tento účel bude riadiaci orgán povinný udržiavať si rozhodujúcu, aktívnu úlohu v riadení rámca pre riadenie IKT rizika a presadzovať rešpektovanie dôslednej kybernetickej hygieny. Úplná zodpovednosť riadiaceho orgánu za riadenie IKT rizika finančného subjektu bude predstavovať všeobecnú zásadu, ktorá sa ďalej pretaví do súboru osobitných požiadaviek, ako je pridelenie jasných úloh a zodpovedností za všetky funkcie súvisiace s IKT, priebežné zapojenie sa do kontroly monitorovania riadenia IKT rizika, ako aj do celej škály schvaľovacích a kontrolných procesov a vhodného prideľovania investícií na IKT a odbornú prípravu.

Aj keď je toto pokrytie široké, nie je úplné. Toto nariadenie najmä nezachytáva systémových prevádzkovateľov, ktorí sú vymedzení v článku 2 písm. p) smernice 98/26/ES o konečnom zúčtovaní v platobných systémoch a zúčtovacích systémoch cenných papierov („smernica o konečnom zúčtovaní“), ani žiadneho účastníka systému, pokiaľ samotný účastník nie je finančným subjektom regulovaným na úrovni Únie a ako na takého by sa na neho vzťahovalo toto nariadenie z jeho vlastnej podstaty (t. j. úverová inštitúcia, investičná spoločnosť, CCP). Okrem toho je mimo rozsahu pôsobnosti aj register Únie pre emisné kvóty, ktorý je prevádzkovaný, v súlade so smernicou 2003/87/ES, pod záštitou Európskej komisie.

Súčasný návrh je členený do siedmich hlavných oblastí politiky, ktoré predstavujú kľúčové vzájomne súvisiace piliere konsenzuálne zahrnuté do európskych a medzinárodných usmernení a najlepších postupov zameraných na zlepšenie kybernetickej a prevádzkovej odolnosti finančného sektora.

Je potrebné pravidelne testovať pripravenosť a identifikovať slabé stránky, nedostatky alebo medzery v schopnostiach a funkciách zahrnutých do rámca pre riadenie IKT rizika, ako aj rýchlom vykonaní nápravných opatrení. Toto nariadenie umožňuje primerané uplatňovanie požiadaviek na testovanie digitálnej prevádzkovej odolnosti podľa veľkosti, podnikateľskej činnosti a rizikových profilov finančných subjektov: aj keď všetky subjekty by mali vykonávať testovanie IKT nástrojov a systémov, len subjekty identifikované príslušnými orgánmi (na základe kritérií uvedených v tomto nariadení a podrobnejšie vypracovaných európskymi orgánmi dohľadu) ako významné a kyberneticky vyspelé by mali byť povinné vykonávať pokročilé testovanie založené na penetračnom testovaní na základe konkrétnej hrozby. V tomto nariadení sa takisto stanovujú požiadavky na testovacie subjekty a uznávanie výsledkov penetračného testovania na základe konkrétnej hrozby v celej Únii pre finančné subjekty pôsobiace vo viacerých členských štátoch.

Na začatie dialógu medzi finančnými subjektmi a príslušnými orgánmi, ktorý by prispel k minimalizovaniu vplyvu a určeniu vhodných nápravných opatrení, by hlásenie závažných incidentov súvisiacich s IKT mala sprevádzať spätná väzba a usmernenia dohľadu.

Zosúladenie a zjednotenie hlásenia incidentov súvisiacich s IKT sa dosahuje, po prvé, všeobecnou požiadavkou, aby finančné subjekty vytvorili a zaviedli proces riadenia na monitorovanie a zaznamenávanie incidentov súvisiacich s IKT, nasledovaný povinnosťou ich klasifikácie na základe kritérií podrobne stanovených v nariadení a podrobnejšie vyvinutých európskymi orgánmi dohľadu s cieľom stanoviť prahové hodnoty významnosti. Po druhé, príslušným orgánom sa musia nahlasovať len incidenty súvisiace s IKT, ktoré sa považujú za závažné. Toto nahlasovanie by sa malo spracúvať pomocou spoločného vzoru a na základe harmonizovaného postupu, ktorý vypracujú európske orgány dohľadu. Finančné subjekty by mali predkladať úvodné, predbežné a záverečné správy a informovať svojich používateľov a klientov v prípadoch, ak incident má alebo by mohol mať vplyv na ich finančné záujmy. Príslušné orgány by mali poskytnúť podrobnosti týkajúce sa incidentov iným inštitúciám alebo orgánom: európskym orgánom dohľadu, ECB a jednotným kontaktným miestam určeným v súlade so smernicou (EÚ) 2016/1148.

(11)Keďže jednotný súbor pravidiel nesprevádza komplexný rámec pre IKT riziká alebo operačné riziká, je potrebná ďalšia harmonizácia kľúčových požiadaviek na digitálnu prevádzkovú odolnosť všetkých finančných subjektov. Spôsobilosti a celková odolnosť, ktoré by finančné subjekty rozvíjali na základe takýchto kľúčových požiadaviek s cieľom odolávať prevádzkovým výpadkom, by pomohli zachovať stabilitu a integritu finančných trhov Únie, a tým by prispeli k zabezpečeniu vysokej úrovne ochrany investorov a spotrebiteľov v Únii. Keďže cieľom tohto nariadenia je prispieť k bezproblémovému fungovaniu jednotného trhu, malo by vychádzať z ustanovení článku 114 ZFEÚ, ako sa vykladá v súlade s príslušnou judikatúrou Súdneho dvora Európskej únie.

(9)Legislatívne rozdiely a nerovnaké vnútroštátne regulačné prístupy alebo prístupy dohľadu nad IKT rizikom vytvárajú prekážky na jednotnom trhu s finančnými službami, čo finančným subjektom s cezhraničnou prítomnosťou bráni v bezproblémovom uplatňovaní slobody usadiť sa a poskytovať služby. Rovnako narušená môže byť aj hospodárska súťaž medzi rovnakým typom finančných subjektov pôsobiacich v rôznych členských štátoch. Najmä v oblastiach, v ktorých bola harmonizácia na úrovni Únie veľmi obmedzená – ako napríklad testovanie digitálnej prevádzkovej odolnosti – alebo v ktorých úplne chýba – ako napríklad monitorovanie IKT rizika tretej strany – by rozdiely vyplývajúce z predpokladaného vývoja na vnútroštátnej úrovni mohli vytvoriť ďalšie prekážky, ktoré by bránili fungovaniu jednotného trhu na úkor účastníkov trhu a finančnej stability.

(8)Finančný sektor Únie je regulovaný harmonizovaným jednotným súborom pravidiel a riadi sa európskym systémom finančného dohľadu. Ustanovenia zamerané na digitálnu prevádzkovú odolnosť a bezpečnosť IKT však ešte nie sú úplne alebo dôsledne harmonizované, a to napriek tomu, že digitálna prevádzková odolnosť je v digitálnom veku nevyhnutná na zabezpečenie finančnej stability a integrity trhu a v žiadnom prípade nie je menej dôležitá než napríklad spoločné prudenciálne normy alebo normy správania na trhu. Jednotný súbor pravidiel a systém dohľadu by sa preto mali vypracovať tak, aby zahŕňali aj túto zložku, a to rozšírením mandátov orgánov finančného dohľadu poverených monitorovaním a ochranou finančnej stability a integrity trhu.

(3)Európsky výbor pre systémové riziká (ESRB) v správe z roku 2020, ktorá sa zaoberá systémovým kybernetickým rizikom, opätovne potvrdil, že súčasná vysoká úroveň prepojenosti medzi finančnými subjektmi, finančnými trhmi a infraštruktúrami finančného trhu, a najmä vzájomná závislosť ich IKT systémov, môže potenciálne predstavovať systémovú zraniteľnosť, keďže lokalizované kybernetické incidenty by sa mohli rýchlo rozšíriť z ktoréhokoľvek z približne 22 000 finančných subjektov Únie do celého finančného systému, a to bez ohľadu na geografické hranice. Závažné narušenia IKT, ku ktorým dochádza vo finančnej sfére, nemajú vplyv len na finančné subjekty vnímané izolovane. Zároveň uľahčujú aj cestu pre šírenie lokalizovaných zraniteľných miest naprieč finančnými prenosovými kanálmi a potenciálne vedú k nepriaznivým dôsledkom pre stabilitu celého finančného systému Únie, keďže generujú toky likvidity a celkovú stratu dôvery vo finančné trhy.

(27)Napriek tomu, že v niektorých právnych predpisoch Únie týkajúcich sa finančných služieb existujú určité všeobecné pravidlá externého zabezpečovania funkcií, monitorovanie zmluvného rozmeru nie je plne zakotvené v právnych predpisoch Únie. Keďže neexistujú jasné a cielené normy Únie, ktoré by sa vzťahovali na zmluvné dojednania uzatvorené s externými poskytovateľmi IKT služieb, nie je komplexne vyriešený externý zdroj IKT rizika. V dôsledku toho treba stanoviť určité kľúčové zásady, na základe ktorých by sa usmerňovalo, ako majú finančné subjekty riadiť IKT riziká tretej strany, pričom toto usmernenie by sprevádzal súbor základných zmluvných práv týkajúcich sa viacerých prvkov plnenia a vypovedania zmlúv s cieľom zakotviť určité minimálne záruky podporujúce schopnosť finančných subjektov účinne monitorovať všetky IKT riziká vznikajúce na úrovni tretej strany.

(24)Okrem toho, ak sa testovanie nevyžaduje, zraniteľné miesta zostávajú neodhalené, čo v konečnom dôsledku ohrozuje tak samotný finančný subjekt, ako aj stabilitu a integritu celého finančného sektora. Bez zásahu Únie by testovanie digitálnej prevádzkovej odolnosti bolo naďalej nesúrodé a v rôznych jurisdikciách by nedošlo k vzájomnému uznaniu výsledkov testovania. Keďže je tiež nepravdepodobné, že by iné finančné subsektory prijali takéto schémy v zmysluplnom rozsahu, ušli by im potenciálne prínosy, ako je odhalenie zraniteľných miest a rizík, testovanie obranných spôsobilostí a kontinuity činností a zvýšená dôvera zákazníkov, dodávateľov a obchodných partnerov. S cieľom napraviť takéto prekrývanie, rozdiely a nedostatky treba stanoviť pravidlá zamerané na koordinované testovanie finančnými subjektmi a príslušnými orgánmi, čím sa uľahčí vzájomné uznávanie pokročilého testovania významných finančných subjektov.

(21)Prahové hodnoty nahlasovania incidentov súvisiacich s IKT a príslušné taxonómie sa v jednotlivých členských štátoch výrazne líšia. Hoci je možné dosiahnuť spoločný základ prostredníctvom relevantnej práce Agentúry Európskej únie pre kybernetickú bezpečnosť (ENISA) a skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti pre finančné subjekty podľa smernice (EÚ) 2016/1148, stále existujú alebo sa môžu objaviť rozdielne prístupy k prahovým hodnotám a taxonómii pre ostatné finančné subjekty. To sa týka viacerých požiadaviek, ktoré musia finančné subjekty dodržiavať, najmä ak pôsobia v niekoľkých jurisdikciách Únie a sú súčasťou finančnej skupiny. Tieto rozdiely môžu navyše brániť vytvoreniu ďalších jednotných alebo centralizovaných mechanizmov Únie, ktoré by urýchlili proces podávania správ a podporili rýchlu a plynulú výmenu informácií medzi príslušnými orgánmi, ktorá je kľúčová pre riešenie IKT rizík v prípade rozsiahlych útokov s potenciálne systémovými následkami.

(20)Na to, aby si finančné subjekty zachovali plnú kontrolu nad IKT rizikami, musia mať zavedené komplexné spôsobilosti umožňujúce silné a účinné riadenie IKT rizika, ako aj osobitné mechanizmy a politiky na nahlasovanie incidentov súvisiacich s IKT, testovanie systémov, kontrol a procesov IKT, ako aj riadenie IKT rizika tretej strany. Mala by sa zvýšiť úroveň digitálnej prevádzkovej odolnosti finančného systému, pričom by sa malo umožniť primerané uplatňovanie požiadaviek na finančné subjekty, ktoré sú mikropodnikmi v zmysle vymedzenia v odporúčaní Komisie 2003/361/ES.

(19)Poskytovatelia služieb cloud computingu sú jednou z kategórií poskytovateľov digitálnych služieb, na ktorých sa vzťahuje smernica (EÚ) 2016/1148. Ako takí podliehajú dohľadu ex post vykonávanému vnútroštátnymi orgánmi určenými podľa uvedenej smernice, ktorý sa obmedzuje na požiadavky na bezpečnosť IKT a oznamovanie incidentov stanovené v uvedenom akte. Keďže rámec dozoru stanovený týmto nariadením sa vzťahuje na všetkých externých poskytovateľov kritických IKT služieb vrátane poskytovateľov služieb cloud computingu, keď poskytujú IKT služby finančným subjektom, mal by sa považovať za doplnkový k dohľadu, ktorý sa vykonáva na základe smernice (EÚ) 2016/1148. Rámec dozoru zriadený týmto nariadením by sa navyše mal vzťahovať na poskytovateľov služieb cloud computingu, keďže neexistuje horizontálny sektorovo neutrálny rámec Únie, ktorým by sa zriaďoval orgán pre digitálny dozor.

(18)Takisto je dôležité zabezpečiť súlad so smernicou o európskej kritickej infraštruktúre (ECI), ktorá sa v súčasnosti preskúmava s cieľom posilniť ochranu a odolnosť kritických infraštruktúr proti nekybernetickým hrozbám, pričom to môže mať dôsledky pre finančný sektor.

Európske orgány dohľadu a príslušné vnútroštátne orgány by mali mať možnosť zúčastňovať sa na diskusiách o strategickej politike a na technických činnostiach skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti, vymieňať si informácie a ďalej spolupracovať s jednotnými kontaktnými miestami určenými podľa smernice (EÚ) 2016/1148. Príslušné orgány podľa tohto nariadenia by mali zároveň konzultovať a spolupracovať s vnútroštátnymi jednotkami CSIRT určenými v súlade s článkom 9 smernice (EÚ) 2016/1148.

Je nevyhnutné zachovať silný vzťah s finančným sektorom, pričom horizontálnym rámcom Únie v oblasti kybernetickej bezpečnosti by sa zabezpečil súlad so stratégiami kybernetickej bezpečnosti, ktoré už členské štáty prijali, a orgánom finančného dohľadu by sa umožnilo, aby boli informované o kybernetických incidentoch týkajúcich sa iných sektorov, na ktoré sa vzťahuje smernica (EÚ) 2016/1148.

(15)Okrem právnych predpisov o finančných službách je súčasným všeobecným rámcom pre kybernetickú bezpečnosť na úrovni Únie smernica Európskeho parlamentu a Rady (EÚ) 2016/1148. Spomedzi siedmich kritických sektorov sa uvedená smernica vzťahuje aj na tri typy finančných subjektov, a to úverové inštitúcie, obchodné miesta a centrálne protistrany. Keďže sa však v smernici (EÚ) 2016/1148 stanovuje mechanizmus identifikácie prevádzkovateľov základných služieb na vnútroštátnej úrovni, v praxi sa do rozsahu pôsobnosti smernice zavádzajú len určité úverové inštitúcie, obchodné miesta a centrálne protistrany určené členskými štátmi, a preto sa od nich vyžaduje, aby spĺňali požiadavky na bezpečnosť IKT a oznamovanie incidentov, ktoré sú v nej stanovené.

Pomôcť pri predchádzaní vzniku vysokých nákladov pre hospodárstvo by malo aj dodržiavanie základnej kybernetickej hygieny, a to tak, že sa minimalizuje vplyv a náklady narušení v oblasti IKT.

(13)Finančné subjekty by sa pri riešení IKT rizika mali riadiť rovnakým prístupom a rovnakými pravidlami, ktoré by boli založené na stanovených zásadách. Konzistentnosť prispieva k posilneniu dôvery vo finančný systém a k zachovaniu jeho stability, a to najmä v časoch nadmerného využívania IKT systémov, platforiem a infraštruktúr, čo so sebou prináša zvýšené digitálne riziká.

Prostredníctvom tohto procesu, ktorým sa konsolidujú a aktualizujú pravidlá týkajúce sa IKT rizika, by sa všetky ustanovenia týkajúce sa digitálneho rizika vo financovaní po prvýkrát jednotným spôsobom spojili do jedného legislatívneho aktu. Táto iniciatíva by tak mala vyplniť medzery alebo odstrániť nezrovnalosti v niektorých z uvedených právnych aktov, a to aj v súvislosti s terminológiou, ktorá sa v nich používa, a mala by výslovne odkazovať na IKT riziko prostredníctvom cielených pravidiel týkajúcich sa spôsobilostí v oblasti riadenia IKT rizika, podávania správ a testovania a monitorovania rizík tretích strán.

(28)Vo všeobecnosti existuje nedostatočná miera homogénnosti a konvergencie, pokiaľ ide o IKT riziko tretej strany a závislosť od tretej strany v oblasti IKT. Napriek určitému úsiliu o riešenie konkrétnej oblasti externého zabezpečovania funkcií, ako sú napríklad odporúčania z roku 2017 o externom zabezpečovaní funkcií v prípade poskytovateľov cloudových služieb, sa problematika systémového rizika, ktoré môže byť vyvolané vystavením finančného sektora obmedzenému počtu externých poskytovateľov kritických IKT služieb, v právnych predpisoch Únie takmer nerieši. Tento nedostatok na úrovni Únie ešte zhoršuje neexistencia osobitných mandátov a nástrojov, ktoré by vnútroštátnym orgánom dohľadu umožňovali náležite pochopiť závislosť IKT od tretej strany a primerane monitorovať riziká vyplývajúce z koncentrácie takýchto závislostí IKT od tretej strany.

(29)Vzhľadom na potenciálne systémové riziká súvisiace so zvýšenou mierou externého zabezpečovania funkcií a koncentráciou externých poskytovateľov IKT a so zreteľom na nedostatočnosť vnútroštátnych mechanizmov umožňujúcich orgánom finančného dohľadu kvantifikovať, kvalifikovať a riešiť dôsledky IKT rizík, ku ktorým dochádza u externých poskytovateľov kritických IKT služieb, je potrebné vytvoriť vhodný rámec dozoru Únie, ktorý umožní nepretržité monitorovanie činností externých poskytovateľov IKT služieb, ktorí sú pre finančné subjekty kritickými poskytovateľmi.

(30)Keďže hrozby IKT sú čoraz zložitejšie a sofistikovanejšie, dobré opatrenia na odhaľovanie a prevenciu do veľkej miery závisia od pravidelnej výmeny spravodajských informácií o hrozbách a zraniteľnosti medzi finančnými subjektmi. Výmena informácií prispieva k zvýšenej informovanosti o kybernetických hrozbách, čo zase zvyšuje schopnosť finančných subjektov predchádzať tomu, aby sa hrozby stali skutočnými incidentmi, a finančným subjektom umožňuje lepšie obmedziť účinky incidentov súvisiacich s IKT a účinnejšie sa z nich zotavovať. Keďže na úrovni Únie neexistujú príslušné usmernenia, zdá sa, že takejto výmene spravodajských informácií bránia viaceré faktory, najmä neistota týkajúca sa zlučiteľnosti s pravidlami ochrany údajov, protimonopolnými pravidlami a pravidlami zodpovednosti.

(31)Váhanie, pokiaľ ide o druh informácií, ktoré sa môžu vymieňať s inými účastníkmi trhu alebo s orgánmi, ktoré nie sú orgánmi dohľadu (ako je agentúra ENISA na analytické vstupy alebo Europol na účely presadzovania práva), vedie k tom, že sa neposkytnú užitočné informácie. Rozsah a kvalita výmeny informácií sú stále obmedzené a roztrieštené, pričom k príslušným výmenám dochádza väčšinou na miestnej úrovni (prostredníctvom vnútroštátnych iniciatív) a bez ucelených celoúniových mechanizmov výmeny informácií, ktoré by boli prispôsobené potrebám integrovaného finančného sektora.

(32)Finančné subjekty by sa preto mali nabádať, aby kolektívne využívali svoje individuálne znalosti a praktické skúsenosti na strategickej, taktickej a operačnej úrovni s cieľom zlepšiť svoje spôsobilosti primerane posudzovať kybernetické hrozby, monitorovať ich, brániť sa proti nim a reagovať na ne. Na úrovni Únie preto treba umožniť vznik mechanizmov pre dobrovoľné dojednania o výmene informácií, ktoré by v prípade, že sa vykonávajú v dôveryhodnom prostredí, pomohli finančnej komunite predchádzať hrozbám a kolektívne na ne reagovať tak, aby sa rýchlo obmedzilo šírenie IKT rizík a aby sa zabránilo potenciálnej nákaze cez finančné kanály. Uvedené mechanizmy by sa mali vykonávať v plnom súlade s príslušnými pravidlami práva Únie v oblasti hospodárskej súťaže, a zároveň aj spôsobom, ktorým sa zaručí úplné dodržiavanie pravidiel Únie v oblasti ochrany údajov, hlavne nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679, a to najmä v súvislosti so spracúvaním osobných údajov, ktoré je potrebné na účely oprávneného záujmu, ktorý sleduje prevádzkovateľ alebo tretia strana, ako sa uvádza v článku 6 ods. 1 písm. f) uvedeného nariadenia.

(33)Bez ohľadu na široké pokrytie, s ktorým sa počíta v tomto nariadení, by sa pri uplatňovaní pravidiel digitálnej prevádzkovej odolnosti mali zohľadňovať významné rozdiely medzi finančnými subjektmi, pokiaľ ide o veľkosť, obchodný profil alebo vystavenie digitálnemu riziku. Vo všeobecnosti platí, že pri nasmerúvaní zdrojov a spôsobilostí na vykonávanie rámca riadenia IKT rizika by finančné subjekty mali dosiahnuť náležitú rovnováhu medzi svojimi potrebami súvisiacimi s IKT a svojou veľkosťou a obchodným profilom, pričom príslušné orgány by mali naďalej posudzovať a preskúmavať prístup týkajúci sa takéhoto rozdelenia.

(34)Keďže väčšie finančné subjekty môžu mať väčšie zdroje a mohli by rýchlo vynaložiť finančné prostriedky na rozvoj riadiacich štruktúr a stanovenie rôznych podnikových stratégií, vytvorenie komplexnejších mechanizmov správy a riadenia by sa malo vyžadovať len od finančných subjektov, ktoré nie sú mikropodnikmi v zmysle tohto nariadenia. Takéto subjekty sú lepšie vybavené najmä na zriadenie špecializovaných riadiacich funkcií na dohľad nad dohodami s externými poskytovateľmi IKT služieb alebo na zvládanie krízového riadenia, na organizáciu riadenia IKT rizika na základe modelu „troch línií obrany“ alebo na prijatie dokumentu o ľudských zdrojoch, v ktorom sa komplexne vysvetľujú politiky v oblasti prístupových práv.

Z rovnakého dôvodu by sa len takéto finančné subjekty mali vyzvať, aby vykonávali hĺbkové posúdenia po rozsiahlych zmenách infraštruktúr a procesov sietí a informačných systémov, pravidelne vykonávali analýzy rizík v súvislosti s pôvodnými IKT systémami alebo aby rozšírili testovanie kontinuity činností a plánov reakcie a obnovy tak, aby sa v nich zachytili scenáre prechodu medzi primárnou infraštruktúrou IKT a redundantnými zariadeniami.

(35)Okrem toho, keďže len uvedené finančné subjekty identifikované ako významné na účely pokročilého testovania digitálnej odolnosti by mali byť povinné vykonávať penetračné testy na základe konkrétnej hrozby, administratívne postupy a finančné náklady spojené s vykonávaním takýchto testov by sa mali preniesť na malý percentuálny podiel finančných subjektov. S cieľom zmierniť regulačné zaťaženie by sa len iné finančné subjekty než mikropodniky mali napokon požiadať, aby pravidelne nahlasovali príslušným orgánom všetky náklady a straty spôsobené narušeniami v oblasti IKT a výsledky preskúmaní po incidente po závažných narušeniach v oblasti IKT.

(36)S cieľom zabezpečiť úplné zosúladenie a celkovú konzistentnosť medzi obchodnými stratégiami finančných subjektov na jednej strane a riadením IKT rizika na strane druhej by sa od riadiaceho orgánu malo vyžadovať, aby si zachoval kľúčovú a aktívnu úlohu pri riadení a prispôsobovaní rámca riadenia IKT rizika a celkovej stratégie digitálnej odolnosti. Prístup, ktorý má riadiaci orgán zaujať, by sa nemal zameriavať len na prostriedky na zabezpečenie odolnosti IKT systémov, ale mal by sa vzťahovať aj na osoby a procesy prostredníctvom súboru politík, ktoré na každej podnikovej úrovni a v prípade všetkých zamestnancov podporujú silný zmysel pre informovanosť o kybernetických rizikách a záväzok dodržiavať prísnu kybernetickú hygienu na všetkých úrovniach.

Hlavnou zásadou tohto komplexného prístupu by mala byť konečná zodpovednosť riadiaceho orgánu za riadenie IKT rizika finančného subjektu, ktorá by sa mala ďalej premietnuť do nepretržitého zapojenia riadiaceho orgánu do kontroly monitorovania riadenia IKT rizika.

(37)Úplná zodpovednosť riadiaceho orgánu navyše ide ruka v ruke so zabezpečením takej úrovne investícií do IKT a celkového rozpočtu pre daný finančný subjekt, aby tento subjekt mohol dosiahnuť základnú úroveň digitálnej prevádzkovej odolnosti.

(38)Toto nariadenie, inšpirované príslušnými medzinárodnými, vnútroštátnymi a odvetvovými normami, usmerneniami, odporúčaniami alebo prístupmi v oblasti riadenia kybernetického rizika, presadzuje súbor funkcií, ktoré uľahčujú celkové štruktúrovanie riadenia IKT rizika. Pokiaľ hlavné spôsobilosti, ktoré finančné subjekty zavedú, budú zodpovedať potrebám cieľov, ktoré boli v tomto nariadení stanovené pre jednotlivé funkcie (identifikácia, ochrana a prevencia, odhaľovanie, reakcia a obnova, učenie a vývoj a komunikácia), finančné subjekty môžu naďalej voľne používať modely riadenia IKT rizika, ktoré sú rôzne vymedzené alebo kategorizované.

(39)V snahe držať krok s vývojom v oblasti kybernetických hrozieb by finančné subjekty mali udržiavať svoje IKT systémy v aktualizovanom stave, aby boli spoľahlivé a vybavené dostatočnou kapacitou nielen na zaručenie spracúvania údajov, keďže je to potrebné na výkon ich služieb, ale aj na zabezpečenie technologickej odolnosti, ktorá finančným subjektom umožní primerane riešiť dodatočné potreby v oblasti spracovania, ktoré môžu vzniknúť v dôsledku stresových trhových podmienok alebo iných nepriaznivých situácií. Hoci toto nariadenie nezahŕňa štandardizáciu špecifických IKT systémov, nástrojov alebo technológií, spolieha sa na to, že finančné subjekty budú vhodne využívať európske a medzinárodne uznávané technické normy (napr. ISO) alebo najlepšie priemyselné postupy, pokiaľ je takéto používanie plne v súlade s osobitnými pokynmi v oblasti dohľadu týkajúcimi sa používania a začlenenia medzinárodných noriem.

(40)Na to, aby finančné subjekty mohli promptne a rýchlo riešiť incidenty súvisiace s IKT, a najmä kybernetické útoky, sú potrebné efektívne plány na zabezpečenie kontinuity činnosti a obnovy, aby sa obmedzili škody a uprednostnilo obnovenie činností a opatrenia zamerané na obnovu. Zatiaľ čo záložné systémy by mali začať fungovať bez zbytočného odkladu, takéto spustenie by v žiadnom prípade nemalo ohroziť integritu a bezpečnosť sietí a informačných systémov alebo dôvernosť údajov.

(41)Hoci toto nariadenie umožňuje finančným subjektom pružne určovať ciele v súvislosti s lehotou na obnovu, a teda stanoviť takéto ciele tak, aby sa v plnej miere zohľadnila povaha a kritickosť príslušnej funkcie a akékoľvek osobitné obchodné potreby, pri určovaní takýchto cieľov by sa malo vyžadovať aj posúdenie potenciálneho celkového vplyvu na efektívnosť trhu.

(42)Významné následky kybernetických útokov sa znásobujú, ak k nim dôjde vo finančnom sektore, čo je oblasť, ktorej hrozí oveľa väčšie riziko, že bude cieľom šírenia škodlivých kódov, ktorých zámerom sú finančné zisky priamo pri zdroji. V snahe zmierniť takéto riziká a zabrániť tomu, aby IKT systémy stratili integritu alebo sa stali nedostupnými a došlo k porušeniu dôvernosti údajov alebo poškodeniu fyzickej infraštruktúry IKT, by sa malo výrazne zlepšiť nahlasovanie závažných incidentov súvisiacich s IKT finančnými subjektmi.

Nahlasovanie incidentov súvisiacich s IKT by sa malo harmonizovať pre všetky finančné subjekty tak, že sa od nich bude vyžadovať, aby incidenty nahlasovali len svojim príslušným orgánom. Hoci toto nahlasovanie by platilo pre všetky finančné subjekty, nie všetky z nich by mali byť ovplyvnené rovnakým spôsobom, keďže príslušné prahové hodnoty významnosti a časové rámce by mali byť kalibrované tak, aby zachytávali len závažné incidenty súvisiace s IKT. Priame nahlasovanie by orgánom finančného dohľadu umožnilo prístup k informáciám o incidentoch súvisiacich s IKT. Orgány finančného dohľadu by však mali tieto informácie postúpiť nefinančným verejným orgánom (príslušným orgánom NIS, vnútroštátnym orgánom na ochranu údajov a orgánom presadzovania práva v prípade incidentov trestnej povahy). Informácie o incidentoch súvisiacich s IKT by si mali jednotliví aktéri poskytovať navzájom: orgány finančného dohľadu by mali finančnému subjektu poskytnúť všetku potrebnú spätnú väzbu alebo usmernenia, zatiaľ čo európske orgány dohľadu by mali zdieľať anonymizované údaje o hrozbách a zraniteľných miestach súvisiacich s konkrétnou udalosťou s cieľom napomôcť širšej kolektívnej obrane.

(43)Mala by sa zvážiť aj ďalšia reflexia o možnej centralizácii správ o incidentoch súvisiacich s IKT, a to prostredníctvom jediného ústredného centra EÚ, ktoré by buď priamo prijímalo príslušné správy a automaticky informovalo príslušné orgány, alebo len centrálne zhromažďovalo správy zasielané príslušnými vnútroštátnymi orgánmi a plnilo koordinačnú úlohu. Od európskych orgánov dohľadu by sa malo vyžadovať, aby po konzultácii s ECB a agentúrou ENISA do určitého dátumu vypracovali spoločnú správu, v ktorej preskúmajú uskutočniteľnosť zriadenia takéhoto ústredného centra EÚ.

(44)V snahe dosiahnuť silnú digitálnu prevádzkovú odolnosť a v súlade s medzinárodnými normami (napr. základnými prvkami G7 pre penetračné testovanie na základe konkrétnej hrozby) by finančné subjekty mali pravidelne testovať svoje IKT systémy a personál, pokiaľ ide o účinnosť ich spôsobilostí v oblasti predchádzania, odhaľovania, reakcie a obnovy, v záujme odhalenia a riešenia potenciálnych zraniteľných miest v oblasti IKT. S cieľom reagovať na rozdiely medzi jednotlivými finančnými subsektormi a v rámci nich, pokiaľ ide o pripravenosť finančných subjektov v oblasti kybernetickej bezpečnosti, by testovanie malo zahŕňať širokú škálu nástrojov a opatrení, od posúdenia základných požiadaviek (napr. posúdenia a prehľady zraniteľnosti, analýzy otvorených zdrojov, posúdenia bezpečnosti sietí, analýzy nedostatkov, preskúmania fyzickej bezpečnosti, dotazníky a skenovacie softvérové riešenia, preskúmania zdrojových kódov, ak je to možné, testy založené na konkrétnych scenároch, testovanie kompatibility, testovanie výkonnosti alebo testovanie medzi koncovými bodmi) až po pokročilejšie testovanie (napr. penetračné testovanie na základe konkrétnej hrozby –TLPT – pre tie finančné subjekty, ktoré sú z hľadiska IKT dostatočne vyspelé na to, aby takéto testovanie dokázali realizovať). Testovanie digitálnej prevádzkovej odolnosti by preto malo byť náročnejšie pre významné finančné subjekty (ako sú veľké úverové inštitúcie, burzy cenných papierov, centrálne depozitáre cenných papierov, centrálne protistrany atď.). Testovanie digitálnej prevádzkovej odolnosti by zároveň malo byť relevantnejšie aj pre niektoré subsektory, ktoré zohrávajú kľúčovú systémovú úlohu (napr. platby, bankovníctvo, zúčtovanie a vyrovnanie), a menej relevantné pre iné subsektory (napr. správcovia aktív, ratingové agentúry atď.). Cezhraničné finančné subjekty, ktoré si uplatňujú slobodu usadiť sa alebo poskytovať služby v rámci Únie, by mali spĺňať jednotný súbor pokročilých požiadaviek na testovanie (napr. TLPT) vo svojom domovskom členskom štáte a uvedený test by mal zahŕňať infraštruktúry IKT vo všetkých jurisdikciách, v ktorých cezhraničná skupina pôsobí v rámci Únie, čím by cezhraničným skupinám umožnil, aby im náklady na testovanie vznikli len v jednej jurisdikcii.