Stanovisko Európskeho hospodárskeho a sociálneho výboru

Návrh nariadenia Európskeho parlamentu a Rady o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014 a (EÚ) č. 909/2014

[COM(2020) 595 final – 2020/0266 (COD)]

Návrh smernice Európskeho parlamentu a Rady, ktorou sa menia smernice 2006/43/ES, 2009/65/ES, 2009/138/ES, 2011/61/EÚ, 2013/36/EÚ, 2014/65/EÚ, (EÚ) 2015/2366 a (EÚ) 2016/2341

[COM(2020) 596 final – 2020/0268 (COD)]

(2021/C 155/06)

Spravodajca: Antonio GARCÍA DEL RIEGO

Konzultácia Európsky parlament, 17. 12. 2020 Rada Európskej únie, 22. 12 2020 Právny základ článok 53 ods. 1, článok 114 ods. 1 a článok 304 ZFEÚ Príslušná sekcia sekcia pre hospodársku a menovú úniu, hospodársku a sociálnu súdržnosť Prijaté v sekcii 12. 2. 2021 Prijaté v pléne 24. 2. 2021 Plenárne zasadnutie č. 558 Výsledok hlasovania (za/proti/zdržalo sa) 243/1/4

1. Závery a odporúčania

1.1. EHSV víta návrh o digitálnej prevádzkovej odolnosti (DORA), ktorý vydala Európska komisia, keďže jeho cieľom je vniesť do ustanovení o IKT rizikách právnu zrozumiteľnosť, znížiť regulačnú zložitosť, stanoviť spoločný súbor noriem na zmierňovanie IKT rizík a podporiť harmonizovaný prístup k dohľadu a súčasne zabezpečiť právnu istotu a potrebné záruky pre finančné spoločnosti a poskytovateľov IKT. Nariadenie DORA nielenže zvyšuje odolnosť sektora voči IKT rizikám, ale je aj v záujme mnohých zainteresovaných strán vrátane zákazníkov, investorov a zamestnancov a prispieva k realizácii udržateľného rozvoja.

1.2. EHSV odporúča posilniť účinnosť nariadenia DORA prostredníctvom týchto krokov:

1.2.1. Zahrnúť do rozsahu pôsobnosti nariadenia všetkých poskytovateľov kritických finančných služieb, ktorí vyvíjajú finančné aktivity, a vylúčiť z neho používanie IKT služieb na iné ako kritické funkcie.

1.2.2. Zabezpečiť konzistentnosť z hľadiska vymedzenia a rozsahu pôsobnosti medzi nariadením DORA a požiadavkami stanovenými v existujúcich usmerneniach vydaných európskymi orgánmi dohľadu.

1.2.3. Pokiaľ ide o riadenie IKT, uprednostniť rámec, ktorého prístup bude založený na zásadách a riziku a uľahčí zavádzanie kontrol, ktoré budú pripravené na budúcnosť, flexibilné a úmerné rizikám.

1.2.4. Pokiaľ ide o incidenty súvisiace s IKT, zaistiť plné zosúladenie so súborom nástrojov Rady pre finančnú stabilitu (FSB) v oblasti reakcie na kybernetické incidenty a obnovy po nich (CIRR).

1.2.5. Pokiaľ ide o testovanie digitálnej prevádzkovej odolnosti, klásť dôraz nielen na veľkosť finančnej inštitúcie, ale aj na zložitosť a kritickú povahu služby. Externé zabezpečovanie funkcií (outsourcing) prostredníctvom obmedzeného počtu externých testovacích subjektov by nemalo byť povinné a treba zaručiť vzájomné uznávanie výsledkov testovania.

1.2.6. Konsolidovať požiadavky v oblasti externého zabezpečovania funkcií do jednotného súboru pravidiel s cieľom zabezpečiť právnu istotu pre všetkých účastníkov trhu a spoľahlivé plnenie očakávaní v oblasti dohľadu.

1.2.7. Plne presadzovať odporúčania hlavných dozorných orgánov a jasne stanoviť úlohy a povinnosti jednotlivých orgánov zapojených do dozoru nad externými poskytovateľmi kritických IKT služieb.

1.2.8. Zaistiť prístup k externe zabezpečovaným službám, ktoré sa považujú za kritické pre externých poskytovateľov IKT služieb so sídlom v tretích krajinách, aby nedochádzalo k obmedzovaniu zmluvnej slobody spoločností a ich možností na prístup k službám poskytovateľov s vysokou pridanou hodnotou.

1.2.9. Zahrnúť do režimu sankcií proporcionalitu, aby to poskytovateľov IKT neodrádzalo od poskytovania služieb finančným subjektom EÚ, a upustiť od súčasného odkazovania na celosvetový obrat.

1.2.10. Vyjasniť možnosti spoločností vymieňať si informácie o kybernetických hrozbách, pričom treba zabezpečiť, že príslušné dohody budú zavedené na dobrovoľnej báze a že sa do návrhu nariadenia DORA zahrnie explicitné ustanovenie umožňujúce výmenu osobných údajov.

1.2.11. Zvážiť možnosť zvýšiť navrhované prahové hodnoty výnimiek pre mikropodniky a malé podniky vymedzené v súlade s prílohou I, článkom 2 ods. 2 odporúčania Komisie 2003/361/ES ( 1 ) ako podniky, ktoré zamestnávajú menej než 50 osôb a ktorých ročný obrat a/alebo celková ročná súvaha nepresahuje 10 miliónov EUR, a obmedziť počet požiadaviek, ktoré sa vzťahujú na MSP, úmerne k digitálnemu rizikovému profilu daného subjektu.

1.3. EHSV podporuje posilnenie postavenia hlavných dozorných orgánov pri vykonávaní auditu a uplatňovaní kontroly nad externými poskytovateľmi kritických IKT služieb, aby mohli tieto orgány lepšie porozumieť potenciálnym rizikám zo strany externých poskytovateľov kritických IKT služieb, čo by mohlo pomôcť zjednodušiť postupy bánk v oblasti externého zabezpečovania funkcií.

2. Kontext

2.1. Európski spotrebitelia a podniky čoraz väčšmi využívajú digitálne finančné služby, čo ide ruka v ruke s tým, že účastníci trhu zavádzajú stále ďalšie inovatívne riešenia založené na nových technológiách. Digitálna transformácia je kľúčová pre európsku obnovu a pre vytvorenie udržateľného a odolného európskeho hospodárstva.

2.2. V súlade s prioritami Komisie pripraviť Európu na digitálny vek a vybudovať hospodárstvo pripravené na budúcnosť, ktoré pracuje pre ľudí, Komisia predložila balík právnych predpisov v oblasti digitálnych financií . Tento balík obsahuje opatrenia, ktoré majú ďalej umožniť a podporiť potenciál digitálnych financií z hľadiska inovácie a hospodárskej súťaže a zároveň zmierniť riziká, ktoré z toho vyplývajú.

2.3. Okrem návrhu o digitálnej prevádzkovej odolnosti balík právnych predpisov v oblasti digitálnych financií obsahuje novú stratégiu v oblasti digitálnych financií pre finančný sektor EÚ ( 2 ) a návrh nariadenia o trhoch s kryptoaktívami spoločne s návrhom nariadenia o pilotnom režime pre trhové infraštruktúry založené na technológii distribuovanej databázy transakcií ( 3 )

2.4. Digitálna prevádzková odolnosť je schopnosť spoločností odolať všetkým druhom narušení a hrozieb súvisiacich s informačnými a komunikačnými technológiami (IKT). Čoraz väčšia závislosť finančného sektora od softvéru a digitálnych procesov znamená, že riziká spojené s IKT sú s týmto sektorom nevyhnutne späté. Finančné spoločnosti sa stávajú terčom kybernetických útokov, ktoré spotrebiteľom aj spoločnostiam spôsobujú vážne finančné škody a poškodzujú ich dobré meno. Tieto riziká treba dobre pochopiť a riadiť, najmä v čase krízy.

2.5. Aj keď reformy uskutočnené po finančnej kríze v roku 2008 posilnili odolnosť finančného sektora EÚ, IKT riziká sa v nich riešili len nepriamo. Absencia komplexného regulačného rámca digitálnej prevádzkovej odolnosti na európskej úrovni viedla k spoliehaniu sa na vnútroštátne regulačné iniciatívy. To má však obmedzenú cezhraničnú efektívnosť a spôsobuje fragmentáciu jednotného trhu, čím sa oslabuje stabilita a integrita finančného sektora EÚ. V tejto situácii Komisia navrhuje vytvorenie komplexného rámca pre digitálnu prevádzkovú odolnosť finančných subjektov EÚ.

2.6. legislatívneho návrhu o digitálnej prevádzkovej odolnosti (DORA) Cieľom ( 4 ) je zlepšiť a zefektívniť vykonávanie riadenia IKT rizika finančnými subjektmi, zaviesť dôkladné testovanie odolnosti systémov IKT, podporiť výmenu informácií a zvýšiť informovanosť orgánov dohľadu o kybernetických rizikách a incidentoch súvisiacich s IKT, ktorým čelia finančné subjekty, a takisto udeliť orgánom finančného dohľadu právomoci dozerať na riziká vyplývajúce zo závislosti finančných subjektov od externých poskytovateľov IKT služieb. Zámerom návrhu je takisto vytvoriť jednotný mechanizmus hlásenia incidentov, ktorý by mohol pomôcť znížiť administratívnu záťaž finančných subjektov a posilniť účinnosť dohľadu.

2.7. Komisia takisto predložila návrh smernice ( 5 ) , pretože je nevyhnutné stanoviť dočasnú výnimku pre multilaterálne obchodné systémy a zmeniť alebo objasniť niektoré ustanovenia v existujúcich smerniciach EÚ o finančných službách v záujme dosiahnutia cieľov návrhu o digitálnej prevádzkovej odolnosti.

2.8. Trh s IKT sa radí medzi najväčšie svetové odvetvia a v roku 2019 sa jeho hodnota odhadovala na viac ako 5 biliónov USD, pričom do roku 2022 by to malo byť už viac ako 6 biliónov USD. Jeho neustály rast nám pripomína čoraz väčší výskyt a význam technológií v dnešnej spoločnosti. Najväčším používateľom IKT na svete je finančné odvetvie, ktorého výdavky na IKT predstavujú približne 20 % všetkých výdavkov na IKT , ako sa uvádza v posúdení vplyvu pripojenom k legislatívnemu návrhu.

2.9. Pandémia COVID-19 viedla k rozšíreniu digitálnych finančných služieb, pričom siete pobočiek finančných inštitúcií ostali nedostatočne využité. To podnieti investície do digitálnych samoobslužných nástrojov, otvorených finančných aplikácií a služieb s pridanou hodnotou. Celkovo súčasná situácia prinúti finančné inštitúcie investovať viac do infraštruktúry IT, zaradiť medzi svoje priority migráciu kritického pracovného zaťaženia a aktualizovať existujúce aplikácie. Európsky finančný sektor už teraz prechádza veľkou digitálnou transformáciu a jeho schopnosť súťažiť vo svetovom meradle bude do veľkej miery závislá od schopnosti európskych inštitúcií využívať výhody najmodernejších technológií.

3. Všeobecné pripomienky

3.1. EHSV víta návrh Európskej komisie o digitálnej prevádzkovej odolnosti (DORA) , v ktorom sa riešia mnohé pripomienky finančného sektora a ktorého cieľom je vniesť do ustanovení o IKT rizikách právnu zrozumiteľnosť, znížiť regulačnú zložitosť a administratívnu záťaž vyplývajúcu z rôznych pravidiel vzťahujúcich sa na finančné subjekty v rámci EÚ. Nariadenie DORA nielen zvyšuje odolnosť sektora voči IKT rizikám, ale je aj v záujme viacerých zainteresovaných strán vrátane zákazníkov, investorov a zamestnancov a prispieva k realizácii udržateľného rozvoja.

3.2. EHSV považuje nariadenie DORA za dôležitý krok smerom k stanoveniu spoločného súboru noriem na zmierňovanie IKT rizík a na podporu harmonizovaného prístupu k dohľadu, treba však dať pozor, aby ním nevznikli nové prekážky, ktoré by mohli brániť finančným inštitúciám EÚ podieľať sa na celosvetovom inovačnom procese.

3.3. EHSV považuje za prierezový cieľ, aby sa orgány EÚ usilovali dosiahnuť primeraný režim založený na rizikách, ktorý poskytne orgánom dohľadu nástroje na riešenie ich potrieb a súčasne zabezpečí právnu istotu a potrebné záruky pre finančné firmy a poskytovateľov IKT.

4. Konkrétne pripomienky

4.1. Otázky týkajúce sa rozsahu pôsobnosti a prekrývajúcich sa regulačných požiadaviek

4.1.1. Zahrnutie ďalších dôležitých účastníkov finančného trhu

Hoci EHSV berie na vedomie a oceňuje, že sa navrhovaný právny predpis zameriava na široké spektrum účastníkov finančného trhu, čím sa zabezpečí konzistentné uplatňovanie jeho požiadaviek naprieč celým finančným sektorom EÚ, odporúča tvorcom politík EÚ zahrnúť doň aj účastníkov finančného trhu, s ktorými sa v rámci rozsahu pôsobnosti tohto navrhovaného právneho predpisu nepočíta, ako sú poskytovatelia hypotekárnych a spotrebiteľských úverov, a to v primeranej miere v závislosti od rizika, ktoré môžu predstavovať pre systém. Každý poskytovateľ finančných služieb, ktorý vyvíja rovnaké činnosti a podstupuje rovnaké riziká, by mal podliehať rovnakým pravidlám a dohľadu, aby sa zabezpečil rovnaký minimálny rámec digitálnej odolnosti na ochranu spotrebiteľov a finančnej stability.

4.1.2. Konzistentnosť na medzinárodnej úrovni, na úrovni EÚ a s existujúcimi nariadeniami

Pre spoločnosti, najmä pre tie, ktoré pôsobia cezhranične, je rozhodujúce zabezpečiť, aby pojmy a ich vymedzenia boli konzistentné, aby nedochádzalo k duplicite, prekrývaniu a aby nevznikali rôzne interpretácie, ako splniť podobné regulačné požiadavky v rozličných jurisdikciách. EHSV odporúča, aby tvorcovia politík EÚ zmenili vymedzenie prevádzkovej odolnosti tak, aby bolo v súlade s definíciou Bazilejského výboru pre bankový dohľad (BCBS) (6) a aby sa zabezpečilo, že to bude hlavný režim uplatňovaný na finančné inštitúcie EÚ v snahe predísť riziku rozporov s ostatnými. Okrem toho, mnohé zásady a požiadavky stanovené v nariadení DORA sú už vymedzené v existujúcich usmerneniach o externom zabezpečovaní funkcií (7). Požiadavky týkajúce sa riadenia IKT rizík a bezpečnostných rizík sú už takisto vymedzené v usmerneniach EBA. Rozhodujúce bude zabezpečiť konzistentnosť z hľadiska vymedzenia a rozsahu pôsobnosti medzi nariadením DORA a požiadavkami stanovenými v existujúcich usmerneniach s cieľom dosiahnuť harmonizáciu regulačných požiadaviek EÚ.

4.1.3. EHSV takisto odporúča, aby EK zabezpečila, že pri prebiehajúcom preskúmaní smernice o bezpečnosti sietí a informačných systémov (NIS) a v návrhu nariadenia DORA sa použijú rovnaké vymedzenia a požiadavky týkajúce sa politiky oznamovania bezpečnostných incidentov finančnými subjektmi.

4.2. Riadenie IKT rizika

Niektoré prvky tohto rámca sú viac zamerané na zabezpečenie súladu, než na to, ako môžu firmy preukázať výsledky uplatňovania prístupu na základe zásad a rizika. Keďže sú príliš normatívne a podrobné, časom hrozí ich zastaranie vplyvom neprestajného vývoja situácie v oblasti kybernetických rizík a IKT rizík. EHSV odporúča zaujať prístup, ktorý bude založený väčšmi na zásadách a riziku a uľahčí vykonávanie kontrol, ktoré budú pripravené na budúcnosť, flexibilné, primerané a úmerné rizikám.

4.3. Incidenty súvisiace s IKT

EHSV odporúča zabezpečiť plný súlad medzi nedávno uverejneným súborom nástrojov CIRR FSB (8), ktorý obsahuje najlepšie postupy oznamovania incidentov, a riadením, klasifikáciou a oznamovaním incidentov súvisiacich s IKT podľa návrhu nariadenia DORA. Dochádza totiž k prekrývaniu, ktoré vytvára regulačnú neistotu a zvyšuje regulačné zaťaženie pre spoločnosti.

4.4. Testovanie digitálnej prevádzkovej odolnosti

4.4.1. Hoci EHSV víta celoeurópsky režim penetračného testovania na základe konkrétnej hrozby (TLPT) v rámci celej EÚ, keďže povedie k väčšej efektívnosti a menšej fragmentácii, odporúča príslušným orgánom, aby sa zameriavali nielen na veľkosť či rozsah finančnej inštitúcie, ale aj na zložitosť a kritický význam danej služby s ohľadom na zásadu proporcionality, a aby prípadne zrušili rozlišovanie medzi základným testovaním všetkých finančných inštitúcií a rozsiahlejším testovaním významných finančných inštitúcií, čím sa zabezpečí rovnaká ochrana aj zákazníkom menších finančných subjektov a vytvoria pre všetky finančné subjekty rovnaké podmienky.

4.4.2. EHSV odporúča, aby zadávanie testovania externým testovacím subjektom nebolo povinné, keďže počet externých testovacích subjektov je obmedzený. Podniky môžu mať k dispozícii aj vlastné testovacie tímy, ktoré poznajú ich prostredie a sú schopné sa rýchlo preorientovať na rozsiahlejšie a cielenejšie testy.

4.4.3. Malo by sa preskúmať zahrnutie externých poskytovateľov služieb IKT do pôsobnosti režimu testovania TLPT. Skutočnosť, že externí poskytovatelia IKT služieb môžu pracovať pre viacerých klientov, môže viesť k významnej duplicite testovania, ktorá zas môže externým poskytovateľom IKT služieb aj klientom, ktorým poskytujú služby, priniesť značné riziká.

4.4.4. EHSV takisto odporúča zahrnúť výslovnú zmienku o vzájomnom uznávaní výsledkov testovania vzhľadom na jeho úlohu pri znižovaní rizika a zabezpečovaní hladkého fungovania jednotného trhu, ako aj pri predchádzaní zvyšovaniu nákladov finančných subjektov pôsobiacich cezhranične.

4.5. Riadenie IKT rizika tretej strany a rámec dozoru nad externými poskytovateľmi kritických IKT služieb

4.5.1. Zaistenie konzistentnosti s existujúcimi usmerneniami o externom zabezpečovaní funkcií

EHSV víta skutočnosť, že prostredníctvom návrhu nariadenia DORA sa stanovuje spoločný regulačný rámec správneho riadenia IKT rizík tretej strany pre všetkých účastníkov finančného trhu v celej Európe. Bude však veľmi dôležité zabezpečiť plný súlad medzi týmto spoločným základom stanoveným v hlavných zásadách (články 25, 26 a 27) a existujúcimi pravidlami, ako sú usmernenia európskych orgánov dohľadu (ESA) o externom zabezpečovaní funkcií (t. j. vyriešiť existujúcu dichotómiu, pokiaľ ide o vymedzenie „externého zabezpečovania funkcií (outsourcingu)“ a „služieb poskytovaných treťou stranou“ (9)). Okrem toho tu vidíme veľkú príležitosť, aby orgány EÚ konsolidovali požiadavky týkajúce sa externého zabezpečovania funkcií do jediného nariadenia – s dostatočnou mierou podrobnosti, aby nedochádzalo k rozdielnym interpretáciám – ktoré by prinieslo právnu istotu pre všetkých účastníkov trhu a spoľahlivý súlad s očakávaniami v oblasti dohľadu.

4.5.2. Požiadavky vzťahujúce sa na kritické alebo dôležité činnosti zabezpečované externe

Pri uplatňovaní článku 25 ods. 2 nariadenia je v záujme zachovania prístupu založeného na riziku potrebné presnejšie v nariadení stanoviť, ako sa bude uplatňovať zásada proporcionality, a stanoviť požiadavky, ktoré sa budú vzťahovať na kritické alebo dôležité činnosti zabezpečované externe a ktoré sa budú vzťahovať na ostatné činnosti (10). EHSV odporúča, aby využívanie IKT služieb na funkcie, ktoré nie sú kritické, nepatrilo do rozsahu pôsobnosti nariadenia DORA.

4.5.3. Rámec priameho dozoru nad externými poskytovateľmi kritických IKT služieb

EHSV víta zavedenie rámca priameho dozoru, ktorý umožní finančným orgánom nepretržité monitorovanie činností externých poskytovateľov kritických IKT služieb, keďže neexistuje horizontálny sektorovo neutrálny rámec EÚ. Podľa návrhu nariadenia by si orgány EÚ mali uvedomiť, že podrobením poskytovateľa kritických IKT služieb takémuto dohľadu sa v dôsledku nepretržitého monitorovania jeho činností znižuje pravdepodobnosť vystavenie finančných inštitúcií riziku. Tento nový rámec dohľadu by preto mal takisto pomôcť zjednodušiť postupy bánk pri externom zabezpečovaní funkcií vďaka čiastočnému zmierneniu zaťaženia, ktorému v súčasnosti čelia finančné subjekty, napríklad v súvislosti s vykonávaním auditov a kontrol týkajúcich sa externých poskytovateľov IKT služieb, ktoré sa považujú za kritické.

4.5.4. EHSV podporuje posilnenie postavenia hlavných dozorných orgánov pri vykonávaní auditu a kontroly nad externými poskytovateľmi kritických IKT služieb, aby tak mohli lepšie porozumieť potenciálnym rizikám zo strany externých poskytovateľov kritických IKT služieb a mať priame informácie o ich postupoch a priestoroch a nemuseli sa spoliehať len na výkazy finančných inštitúcií podliehajúcich dohľadu a na kontroly vykonané príslušnými vnútroštátnymi orgánmi, ako je to dnes. Aj keď politiky finančných subjektov v oblasti zmierňovania rizika by sa mali zachovať a právna povinnosť pre tieto subjekty stále platí, ak kontrolu a audity už vykonáva hlavný orgán dozoru, finančné inštitúcie by mali profitovať z tejto ďalšej úrovne bezpečnosti a nemali by byť povinné vykonávať ich znova.

4.5.5. Hlavný dozorný orgán a príslušné vnútroštátne orgány

Po dokončení procesu dohľadu odporúčania hlavného dozorného orgánu zohľadnia príslušné vnútroštátne orgány, ktoré môžu uplatniť svoj vlastný prístup k plneniu zistení hlavného dozorného orgánu, pokiaľ ide o príslušných externých poskytovateľov kritických IKT služieb. EHSV odporúča zabezpečiť jednoznačné určenie úloh a povinností jednotlivých orgánov, aby nedochádzalo k tomu, že vplyvom rozdielnych interpretácií sa bude so zákazníkmi toho istého externého poskytovateľa kritických IKT služieb zaobchádzať odlišne v závislosti od príslušného orgánu, a aby sa tak znížilo riziko fragmentácie. Tieto odporúčania by zároveň mali byť plne vymožiteľné, pričom treba mať na pamäti súčasnú nejednoznačnosť článku 37 o ich záväznej povahe.

4.5.6. Pozastavenie činnosti externého poskytovateľa kritických IKT služieb

V nariadení DORA sa vnútroštátnym finančným regulačným orgánom udeľuje právomoc požadovať od zákazníkov, aby dočasne pozastavili využívanie služieb poskytovateľa IKT služieb alebo ich úplne prestali využívať až do vyriešenia rizík identifikovaných v odporúčaniach. Požiadavky týkajúce sa okamžitého ukončenia spolupráce s externým poskytovateľom kritických IKT služieb budú mať určite vplyv na existujúce alebo budúce obchodné rozhodnutia (môžu napr. odradiť od investícií v EÚ) a potenciálne aj na finančnú stabilitu. Pred prijatím takéhoto rozhodnutia by príslušné orgány mali okrem iných faktorov starostlivo zvážiť potenciálny negatívny vplyv takéhoto ukončenia služieb na finančné subjekty, ktoré služby daného externého poskytovateľa kritických IKT služieb využívajú (11), stanoviť pre túto požiadavku jasné kritériá a zvážiť možnosti nápravy.

4.5.7. Okrem toho odporúčame, aby v prípade, že takáto situácia naozaj nastane, finančné subjekty dostali o tom informácie v dostatočnom predstihu a mali k dispozícii dostatok času na ukončenie angažovanosti.

4.6. Zachovanie globálnej konkurencieschopnosti európskych finančných spoločností

4.6.1. V novom rámci je potrebné zachovať prístup európskych finančných spoločností aspoň k rovnakým technológiám, aké má k dispozícii ich svetová konkurencia. Finančné spoločnosti z EÚ súťažia v celosvetovom meradle a pripravovaný regulačný rámec EÚ by tieto európske spoločnosti nemal znevýhodňovať obmedzením ich prístupu k najmodernejším technológiám – pokiaľ poskytovatelia týchto technológií spĺňajú normy EÚ z hľadiska odolnosti a zabezpečenia.

4.6.2. Externí poskytovatelia IKT služieb so sídlom v tretích krajinách

Navrhovaným nariadením by sa nemala obmedziť možnosť externého zabezpečovania služieb považovaných za kritické prostredníctvom externých poskytovateľov IKT služieb so sídlom v tretích krajinách. Takéto obmedzenie by jednoznačne viedlo k obmedzeniu zmluvnej slobody jednotlivých subjektov a možnosti prístupu európskych finančných inštitúcií k poskytovateľom služieb s vysokou pridanou hodnotou, ktorých pravdepodobne v Európe nenájdu dostatočný počet. To má ešte väčší význam v súvislosti s tým, že navrhovaný rámec dohľadu je obmedzený len na finančný sektor, čím vznikajú nerovnaké podmienky pre iných aktérov, na ktorých sa toto nariadenie nevzťahuje, a v konečnom dôsledku sa tak môže zvýšiť riziko koncentrácie, ktorému sa návrh nariadenia DORA snaží predísť.

4.6.3. Represívne sankcie založené na celosvetovom obrate

Návrh nariadenia DORA obsahuje represívne sankcie závislé od celosvetového obratu poskytovateľov IKT služieb, pokiaľ nedodržia požiadavky orgánov finančného dohľadu EÚ. Neúmerné uplatňovanie takýchto sankcií by mohlo odradiť globálnych poskytovateľov IKT služieb od poskytovania služieb finančným podnikom v EÚ, čím by de facto mohlo dôjsť k obmedzeniu výberu potenciálnych poskytovateľov pre finančné podniky v EÚ. Okrem toho by to odrádzalo externých poskytovateľov IKT služieb, ktoré sa nepovažujú za kritické, od dobrovoľného rozhodnutia pre režim dohľadu, lebo by sa mohli obávať neprimeraných pokút, a tým by sa zmenšila konkurencia na dodávateľskom trhu. EHSV sa zasadzuje za to, aby sa v systéme sankcií zaviedla určitá miera proporcionality, aby nedochádzalo k odrádzaniu poskytovateľov IKT služieb od ponúkania svojich služieb finančným subjektom v EÚ.

4.7. Dojednania o výmene informácií

4.7.1. Keďže na účinné odhaľovanie vektorov útoku a izolovanie a prevenciu potenciálnych hrozieb je nevyhnutná včasná výmena informácií, EHSV víta ustanovenie na uľahčene dobrovoľných dojednaní medzi finančnými inštitúciami o výmene informácií o kybernetických hrozbách.

4.7.2. Takisto odporúčame, aby orgány EÚ stanovili v podmienkach tohto návrhu jasný základ na umožnenie výmeny osobných údajov (ako sú IP adresy), čím by sa znížila právna neistota a posilnila schopnosť finančných subjektov rozširovať možnosti svojej obrany, lepšie identifikovať hrozby a obmedzovať riziko ich vzájomnej kontaminácie. Vzhľadom na dôvernú a citlivú povahu týchto údajov je potrebné jasnejšie vymedzenie.

V Bruseli 24. februára 2021 Predsedníčka Európskeho hospodárskeho a sociálneho výboru Christa SCHWENG

(1) Ú. v. EÚ L 124, 20.5.2003, s. 36.

(2) Pozri stanovisko EHSV ECO/534 – Stratégia v oblasti digitálnych financií pre EÚ (pozri stranu 27 tohto úradného vestníka).

(3) Pozri stanovisko EHSV ECO/535 – Kryptoaktíva a technológia distribuovanej databázy transakcií (pozri stranu 31 tohto úradného vestníka).

(4) COM(2020) 595 final.

(5) COM(2020) 596 final.

(6) Bazilejský výbor pre bankový dohľad, Principles for operational resilience (Zásady prevádzkovej odolnosti), 6. novembra 2020.

(7) Napríklad v usmerneniach vydaných EBA, EIOPA, ako aj v návrhu usmernení ESMA, o ktorých prebehli konzultácie.

(8) Rada pre finančnú stabilitu, Final Report on Effective Practices for Cyber Incident Response and Recovery (Záverečná správa o účinných postupoch reakcie na kybernetické incidenty a obnovy po nich), 19. októbra 2020.

(9) V návrhu nariadenia DORA sa „služby externých poskytovateľov IKT“ spomínajú len v súvislosti s kľúčovými zásadami správneho riadenia IKT rizika tretej strany (kapitola V), zatiaľ čo rozsah pôsobnosti usmernení EBA o outsourcingu vychádza z definície outsourcingu, z ktorej vyplýva, že sa daná činnosť vykonáva na opakovanom alebo priebežnom základe (bod 26). V usmerneniach EBA sa takisto uvádza zoznam výnimiek, ktoré sa nepovažujú za outsourcing (bod 28).

(10) Opäť bude veľmi dôležité zosúladiť vymedzenie pojmu „kritické alebo dôležité funkcie“ v návrhu nariadenia DORA aj v usmerneniach EBA k outsourcingu. V usmerneniach EBA sa konkrétne vymedzujú faktory, ktoré majú finančné inštitúcie brať do úvahy pri posudzovaní, či sa dohoda o externom zabezpečovaní funkcií vzťahuje na zásadnú alebo dôležitú funkciu (body 29, 30 a 31).

(11) Jedným z kritérií na označenie externého poskytovateľa IKT služieb za kritického je, do akej miery jeho služby možno nahradiť, pričom sa má brať ohľad na prípadnú neexistenciu reálnych alternatív, ako aj na ťažkosti spojené s čiastočnou či úplnou migráciou služieb (článok 28 ods. 2). V takom prípade by pre finančné inštitúcie bolo náročné prejsť so službou k inému poskytovateľovi. Okrem toho, ak by sa od exponovaných finančných inštitúcií požadoval prechod k inému poskytovateľovi služieb, v konečnom dôsledku by to prispelo k zvýšeniu koncentrácie na európskom trhu, čo by v podstate protirečilo zámeru tohto nariadenia.