EVROPSKA KOMISIJA Bruselj, 24.9.2020 COM(2020) 595 final 2020/0266(COD) Predlog UREDBA EVROPSKEGA PARLAMENTA IN SVETA o digitalni operativni odpornosti za finančni sektor in spremembi uredb (ES) št. 1060/2009, (EU) št. 648/2012, (EU) št. 600/2014 in (EU) št. 909/2014 (Besedilo velja za EGP) {SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}



OBRAZLOŽITVENI MEMORANDUM 1.OZADJE PREDLOGA ·Razlogi za predlog in njegovi cilji Ta predlog je del svežnja o digitalnih financah, tj. svežnja ukrepov za nadaljnje omogočanje in podpiranje potenciala digitalnih financ v smislu inovacij in konkurence ter hkratno blaženje tveganj, ki izhajajo iz tega. V skladu s prednostnima nalogama Komisije, da se Evropo pripravi na digitalno dobo in vzpostavi gospodarstvo, ki bo pripravljeno na prihodnost in bo delovalo za dobrobit ljudi. Sveženj o digitalnih financah vključuje novo strategijo za digitalne finance v finančnem sektorju EU, katere cilj je zagotoviti, da bo EU odprtih rok sprejela digitalno revolucijo in jo spodbujala z inovativnimi evropskimi podjetji na čelu, tako da bodo koristi digitalnih financ na voljo potrošnikom in podjetjem. Poleg tega predloga sveženj vključuje tudi predlog uredbe o trgih kriptoimetij, predlog uredbe o pilotni ureditvi za tržne infrastrukture na podlagi tehnologije razpršene evidence in predlog direktive za pojasnitev ali spremembo nekaterih povezanih pravil EU o finančnih storitvah. Digitalizacija in operativna odpornost v finančnem sektorju sta dve strani medalje. Digitalne ali informacijske in komunikacijske tehnologije (IKT) ustvarjajo priložnosti, vendar povzročajo tudi tveganja. Ta je treba dobro razumeti in upravljati, zlasti v stresnih razmerah. Oblikovalci politike in nadzorniki se zato vse bolj osredotočajo na tveganja, ki izhajajo iz zanašanja na IKT. Zlasti so poskušali okrepiti odpornost podjetij z določanjem standardov in usklajevanjem regulativnih ali nadzornih nalog. To delo je bilo izvedeno na mednarodni in evropski ravni v različnih industrijah in za številne posebne sektorje, vključno s finančnimi storitvami. Vendar tveganja na področju informacijsko-komunikacijske tehnologije še vedno predstavljajo izziv operativni odpornosti, zmogljivosti in stabilnosti finančnega sistema EU. Reforma, ki je sledila finančni krizi leta 2008, je okrepila predvsem finančno odpornost finančnega sektorja EU, pri čemer je tveganja na področju IKT obravnavala le posredno na nekaterih področjih, in sicer v okviru ukrepov za širše obravnavanje operativnih tveganj. V sklopu sprememb zakonodaje EU o finančnih storitvah, ki so bile izvedene po krizi, so bila vzpostavljena enotna pravila, ki urejajo velik del finančnih tveganj, povezanih s finančnimi storitvami, vendar se digitalna operativna odpornost ni v celoti obravnavala. Ukrepi, sprejeti v zvezi s tem, so imeli veliko značilnosti, ki so omejevale njihovo učinkovitost. Pogosto so bili na primer zasnovani kot direktive za minimalno harmonizacijo ali na načelih temelječe uredbe, kar je omogočalo veliko manevrskega prostora za različne pristope na enotnem trgu. Poleg tega je bila osredotočenost na tveganja na področju IKT v okviru kritja operativnih tveganj omejena ali nepopolna. Nazadnje, ti ukrepi se razlikujejo v sektorski zakonodaji o finančnih storitvah. Zato posredovanje na ravni Unije ni povsem ustrezalo potrebam, ki jih imajo evropski finančni subjekti za upravljanje operativnih tveganj na način, da bi vzdržali učinke incidentov na področju IKT, se odzvali nanje in vnovično vzpostavili delovanje po njih. Prav tako finančnim nadzornikom ni zagotovilo najprimernejših orodij, da bi lahko izpolnjevali svoje mandate za preprečevanje finančne nestabilnosti, ki izhaja iz uresničitve teh tveganj na področju IKT. Pomanjkanje podrobnih in izčrpnih pravil o digitalni operativni odpornosti na ravni EU je privedlo do vse večjega števila nacionalnih regulativnih pobud (npr. o testiranju digitalne operativne odpornosti) in nadzorniških pristopov (npr. v zvezi z obravnavo odvisnosti od tretjih ponudnikov storitev IKT). Vendar imajo ukrepi na ravni držav članic le omejen učinek glede na čezmejno naravo tveganj na področju IKT. Poleg tega je zaradi neusklajenih nacionalnih pobud prišlo do prekrivanj, nedoslednosti, podvajajočih se zahtev ter visokih upravnih stroškov in stroškov izpolnjevanja obveznosti, zlasti za čezmejne finančne subjekte, ali pa so tveganja na področju IKT ostala neodkrita in zato neobravnavana. Te razmere drobijo enotni trg, slabijo stabilnost in integriteto finančnega sektorja EU ter ogrožajo zaščito potrošnikov in vlagateljev. Zato je treba vzpostaviti podroben in celovit okvir za digitalno operativno odpornost finančnih subjektov v EU. S tem okvirom se bo poglobila razsežnost enotnih pravil, povezana z upravljanjem digitalnih tveganj. Zlasti se bo okrepilo in racionaliziralo ravnanje finančnih subjektov v zvezi z upravljanjem tveganj na področju IKT, vzpostavilo temeljito testiranje sistemov IKT, povečala ozaveščenost nadzornikov glede kibernetskih tveganj in incidentov, povezanih z IKT, s katerimi se soočajo finančni subjekti, ter uvedla pooblastila za finančne nadzornike za pregled nad tveganji, ki izhajajo iz odvisnosti finančnih subjektov od tretjih ponudnikov storitev IKT. S predlogom se bo vzpostavil dosleden mehanizem poročanja o incidentih, ki bo pomagal zmanjšati upravna bremena za finančne subjekte in okrepil učinkovitost nadzora. ·Skladnost z veljavnimi predpisi s področja zadevne politike Ta predlog je del širšega prizadevanja na evropski in mednarodni ravni za krepitev kibernetske varnosti na področju finančnih storitev in obravnavanje širših operativnih tveganj. Prav tako odgovarja na skupni tehnični nasvet evropskih nadzornih organov iz leta 2019, v katerem so nadzorni organi pozivali k skladnejšemu pristopu k obravnavi tveganj na področju IKT v finančnem sektorju in Komisiji priporočili, naj sorazmerno okrepi digitalno operativno odpornost industrije finančnih storitev s posebno sektorsko pobudo EU. Nasvet evropskih nadzornih organov je bil odgovor na akcijski načrt za finančno tehnologijo, ki ga je Komisija predstavila leta 2018. ·Skladnost z drugimi politikami Unije Kot je v svojih političnih usmeritvah navedla predsednica Ursula von der Leyen in kot je določeno v sporočilu „Oblikovanje digitalne prihodnosti Evrope“, je za Evropo ključnega pomena, da v varnih in etičnih okvirih izkoristi vse priložnosti, ki jih nudi digitalna doba, ter okrepi svoje industrijske in inovacijske zmogljivosti. Evropska strategija za podatke določa štiri stebre – varstvo podatkov, temeljne pravice, varnost in kibernetsko varnost –, ki so ključni predpogoji za družbo, ki izkorišča moč podatkov. V zadnjem času Evropski parlament pripravlja poročilo o digitalnih financah, ki med drugim poziva k skupnemu pristopu h kibernetski odpornosti finančnega sektorja. Zakonodajni okvir, ki krepi digitalno operativno odpornost finančnih subjektov EU, je skladen s temi cilji politike. Predlog bi podprl tudi politike, namenjene okrevanju po učinkih koronavirusa, saj bi zagotovil, da je večje zanašanje na digitalne finance tesno povezano z operativno odpornostjo. Pobuda bi ohranila koristi, povezane s horizontalnim okvirom kibernetske varnosti (npr. direktivo o varnosti omrežij in informacij oziroma direktivo o kibernetski varnosti (NIS)), tako da bi finančni sektor še naprej ostal na njenem področju uporabe. Finančni sektor bi ostal tesno povezan z organom za sodelovanje na področju varnosti omrežij in informacij, finančni nadzorniki pa bi si lahko izmenjali ustrezne informacije v obstoječem ekosistemu NIS. Pobuda bi bila skladna z direktivo o evropski kritični infrastrukturi, ki se trenutno pregleduje, da bi se povečali zaščita in odpornost kritične infrastrukture proti grožnjam, ki niso povezane s kibernetsko varnostjo. Nazadnje je ta predlog popolnoma v skladu s strategijo za varnostno unijo, ki je pozvala k pobudi o digitalni operativni odpornosti finančnega sektorja, saj je ta zelo odvisen od storitev IKT in zelo izpostavljen kibernetskim napadom. 2.PRAVNA PODLAGA, SUBSIDIARNOST IN SORAZMERNOST ·Pravna podlaga Predlog uredbe temelji na členu 114 PDEU. Odpravlja ovire za vzpostavitev in delovanje notranjega trga za finančne storitve ter ju krepi s harmonizacijo pravil, ki se uporabljajo pri upravljanju tveganj na področju IKT, poročanju, testiranju in tveganjih tretjih oseb na področju IKT. Trenutne razlike na tem področju, tako na zakonodajni in nadzorni ravni kot tudi na državni ravni in ravni EU, ovirajo enotni trg za finančne storitve, ker se finančni subjekti, ki se ukvarjajo s čezmejnimi dejavnostmi, soočajo z različnimi, če ne celo prekrivajočimi se regulativnimi zahtevami ali pričakovanji glede nadzora, ki bi lahko ovirala uveljavljanje njihove pravice do ustanavljanja in opravljanja storitev. Različna pravila tudi izkrivljajo konkurenco med finančnimi subjekti iste vrste v različnih državah članicah. Poleg tega lahko oblikovanje različnih nacionalnih pravil ali pristopov, ki že veljajo ali so v postopku sprejetja in izvajanja na nacionalni ravni, na področjih, kjer harmonizacije ni oziroma je delna ali omejena, odvrača od svobode opravljanja finančnih storitev na enotnem trgu. To zlasti velja za okvire digitalnega operativnega testiranja in nadzor nad ključnimi tretjimi ponudniki storitev IKT.

Ker predlog vpliva na več direktiv Evropskega parlamenta in Sveta, ki so bile sprejete na podlagi člena 53(1) PDEU, se hkrati sprejme tudi predlog direktive, ki odraža potrebne spremembe teh direktiv. ·Subsidiarnost Zaradi visoke stopnje medsebojne povezanosti finančnih storitev, znatne čezmejne dejavnosti finančnih subjektov in velike odvisnosti celotnega finančnega sektorja od tretjih ponudnikov storitev IKT je z vidika skupnega interesa za ohranitev trdnosti finančnih trgov EU potrebna močna digitalna operativna odpornost. Razlike, ki so posledica neenakomernih ali delno harmoniziranih ureditev, prekrivanj ali več zahtev, ki veljajo za iste finančne subjekte, ki poslujejo čezmejno ali imajo več dovoljenj na enotnem trgu, je mogoče učinkovito reševati le na ravni Unije. S tem predlogom se usklajuje digitalna operativna komponenta globoko integriranega in medsebojno povezanega sektorja, ki že ima koristi od enotnega sklopa pravil in nadzora na večini drugih ključnih področij. V zadevah, kot je poročanje o incidentih, povezanih z IKT, bi lahko le harmonizirana pravila Unije zmanjšala upravna bremena in znižala finančne stroške, povezane s poročanjem o istem incidentu, povezanem z IKT, različnim organom Unije in nacionalnim organom. Ukrepi EU so potrebni tudi, da se omogoči vzajemno priznavanje rezultatov naprednega testiranja digitalne operativne odpornosti za subjekte, ki poslujejo čezmejno in za katere zaradi neobstoja pravil Unije veljajo ali bi lahko veljali različni okviri v različnih državah članicah. Samo ukrepanje na ravni Unije lahko odpravi razlike v načinih testiranja, ki so jih uvedle države članice. Potrebno je tudi za obravnavo pomanjkanja ustreznih nadzornih pooblastil za spremljanje tveganj, ki izhajajo iz tretjih ponudnikov storitev IKT, vključno s tveganji koncentracije in medsebojnih negativnih vplivov za finančni sektor EU. ·Sorazmernost Predlagana pravila ne presegajo okvirov, ki so potrebni za dosego ciljev predloga. Zajemajo samo vidike, ki jih države članice ne morejo doseči same in pri katerih so upravno breme in stroški sorazmerni s posebnimi in splošnimi cilji, ki jih je treba doseči. Sorazmernost je zasnovana glede na obseg in intenzivnost z uporabo kvalitativnih in kvantitativnih meril ocenjevanja. Namen teh meril je zagotoviti, da nova pravila zajemajo vse finančne subjekte, vendar so hkrati prilagojena tveganjem in potrebam njihovih posebnih značilnosti v smislu njihove velikosti in poslovnih profilov. Sorazmernost je vključena tudi v pravila o upravljanju tveganj na področju IKT, testiranju digitalne odpornosti, poročanju o večjih incidentih, povezanih z IKT, in nadzoru nad ključnimi tretjimi ponudniki storitev IKT. ·Izbira instrumenta Ukrepi, potrebni za urejanje upravljanja tveganj na področju IKT, poročanja o incidentih, povezanih z IKT, testiranja in nadzora nad ključnimi tretjimi ponudniki storitev IKT, morajo biti vključeni v Uredbo, da se zagotovi enotna učinkovita in neposredna uporaba podrobnih zahtev, brez poseganja v sorazmernost in posebna pravila, predvidena s to uredbo. Doslednost pri obravnavanju digitalnih operativnih tveganj prispeva h krepitvi zaupanja v finančni sistem in ohranja njegovo stabilnost. Ker uporaba uredbe pomaga zmanjšati regulativno zapletenost, spodbuja konvergenco nadzora in krepi pravno varnost, ta uredba prispeva tudi k omejevanju stroškov finančnih subjektov za izpolnjevanje obveznosti, zlasti za tiste subjekte, ki poslujejo čezmejno, kar bi pripomoglo k odpravi izkrivljanja konkurence. Ta uredba odpravlja tudi zakonodajne razlike in neenakomerne nacionalne regulativne ali nadzorne pristope k tveganjem na področju IKT in tako odpravlja ovire za enotni trg za finančne storitve, zlasti za nemoteno uveljavljanje pravice do ustanavljanja in opravljanja storitev pri finančnih subjektih, ki delujejo čezmejno. Nazadnje, enotna pravila so bila večinoma oblikovana na podlagi uredb, njihova posodobitev s komponento digitalne operativne odpornosti pa bi morala slediti isti izbiri pravnega instrumenta. 3.REZULTATI NAKNADNIH OCEN, POSVETOVANJ Z ZAINTERESIRANIMI STRANMI IN OCEN UČINKA ·Naknadne ocene/preverjanja ustreznosti obstoječe zakonodaje Do zdaj se nobena zakonodaja Unije o finančnih storitvah ni osredotočala na operativno odpornost ali se celovito lotila tveganj, ki izhajajo iz digitalizacije, niti tiste ne, katerih pravila obravnavajo razsežnost operativnega tveganja na splošno in tveganja na področju IKT kot njegovo podkomponento. Unija je z dosedanjim posredovanjem pomagala obravnavati potrebe in težave, ki so se pojavile po finančni krizi leta 2008: kreditne institucije niso bile dovolj kapitalizirane, finančni trgi niso bili dovolj integrirani, harmonizacija do takrat pa je bila minimalna. Tveganje na področju IKT se takrat ni štelo za prednostno nalogo, zato so se pravni okviri za različne finančne podsektorje razvijali neusklajeno. Kljub temu so ukrepi Unije dosegli cilje zagotavljanja finančne stabilnosti in vzpostavitve enotnega sklopa harmoniziranih bonitetnih pravil in pravil ravnanja na trgu, ki veljajo za finančne subjekte po vsej EU. Ker dejavniki, ki so v preteklosti vplivali na zakonodajno posredovanje Unije, niso omogočali posebnih ali celovitih pravil za obravnavanje široke uporabe digitalnih tehnologij in posledičnih finančnih tveganj, se zdi eksplicitno vrednotenje težavno. Implicitno vrednotenje in posledične zakonodajne spremembe se izražajo v vseh stebrih te uredbe. ·Posvetovanja z zainteresiranimi stranmi Komisija se je med postopkom priprave tega predloga posvetovala z zainteresiranimi stranmi, zlasti: (i) Komisija je izvedla namensko odprto javno posvetovanje (19. december 2019 – 19. marec 2020); (ii) Komisija se je posvetovala z javnostjo na podlagi začetne ocene učinka (19. december 2019 – 16. januar 2020); (iii) službe Komisije so se dvakrat posvetovale s strokovnjaki držav članic v strokovni skupini za bančništvo, plačila in zavarovanje (EGBPI) (18. maja 2020 in 16. julija 2020); (iv)službe Komisije so izvedle namenski spletni seminar o digitalni operativni odpornosti v okviru javnih predstavitev in razprav o digitalnih financah v letu 2020 (19. maja 2020).

Namen javnega posvetovanja je bil Komisijo obvestiti o razvoju potencialnega medsektorskega okvira EU za digitalno operativno odpornost na področju finančnih storitev. Odzivi so pokazali široko podporo uvedbi namenskega okvira z ukrepi, osredotočenimi na štiri področja, ki so bila predmet posvetovanja, pri čemer je bila poudarjena potreba po zagotavljanju sorazmernosti ter skrbni obravnavi in razlagi medsebojnega delovanja s horizontalnimi pravili direktive o kibernetski varnosti. Komisija je prejela dva odgovora na začetno oceno učinka, v katerih so anketiranci obravnavali posebne vidike, povezane z njihovim področjem dejavnosti. Države članice so na srečanju skupine EGBPI, ki je potekalo 18. maja 2020, izrazile močno podporo krepitvi digitalne operativne odpornosti finančnega sektorja z ukrepi, predvidenimi v okviru štirih elementov, ki jih je opisala Komisija. Prav tako so države članice poudarile potrebo po jasni uskladitvi novih pravil s pravili o operativnem tveganju (v okviru zakonodaje EU o finančnih storitvah) in s horizontalnimi pravili o kibernetski varnosti (direktiva NIS). Na drugem srečanju so nekatere države članice poudarile, da je treba zagotoviti sorazmernost in upoštevati poseben položaj majhnih podjetij ali odvisnih družb večjih skupin ter poskrbeti za trdna pooblastila nacionalnih organov, ki sodelujejo pri nadzoru. Predlog se opira tudi na povratne informacije, pridobljene na srečanjih z zainteresiranimi stranmi ter organi in institucijami EU, in jih upošteva. Zainteresirane strani, vključno s tretjimi ponudniki storitev IKT, so izrazile splošno podporo. Analiza prejetih povratnih informacij kaže na željo, da se pri oblikovanju pravil ohrani sorazmernost ter upošteva pristop, ki temelji na načelih in tveganju. Na institucionalni strani so glavna mnenja podali Evropski odbor za sistemska tveganja (ESRB), evropski nadzorni organi, Agencija Evropske unije za kibernetsko varnost (ENISA) in Evropska centralna banka (ECB) ter pristojni organi držav članic. ·Zbiranje in uporaba strokovnih mnenj Pri pripravi tega predloga se je Komisija opirala na kvalitativne in kvantitativne dokaze, zbrane iz priznanih virov, vključno z dvema skupnima tehničnima nasvetoma evropskih nadzornih organov. To je bilo dopolnjeno z zaupnimi mnenji in javno dostopnimi poročili nadzornih organov, mednarodnih organov za določanje standardov in vodilnih raziskovalnih inštitutov ter kvantitativnimi in kvalitativnimi prispevki opredeljenih zainteresiranih strani v svetovnem finančnem sektorju. ·Ocena učinka Temu predlogu je priložena ocena učinka, ki je bila 29. aprila 2020 predložena Odboru za regulativni nadzor in odobrena 29. maja 2020. Odbor za regulativni nadzor je predlagal izboljšave na nekaterih področjih za: (i) zagotovitev več informacij o tem, kako bi se zagotovila sorazmernost; (ii) natančnejšo opredelitev, koliko se prednostna možnost razlikuje od skupnih tehničnih nasvetov evropskih nadzornih organov in zakaj je ta možnost optimalna, in (iii) nadaljnjo opredelitev, kako predlog deluje skupaj z obstoječo zakonodajo EU, vključno s pravili, ki se trenutno pregledujejo. Ocena učinka je bila spremenjena tako, da obravnava te točke in podrobnejše pripombe Odbora za regulativni nadzor. Komisija je preučila številne možnosti politike za razvoj okvira za digitalno operativno odpornost: ·„brez ukrepanja“: sedanje različne določbe EU o finančnih storitvah, deloma tudi direktiva o kibernetski varnosti, in obstoječe ali prihodnje nacionalne ureditve bi še naprej določale pravila o operativni odpornosti; ·možnost 1: krepitev kapitalskih blažilnikov: uvedli bi se dodatni kapitalski blažilniki za povečanje zmožnosti finančnih subjektov, da pokrijejo izgube, ki bi lahko nastale zaradi neobstoja digitalne operativne odpornosti; ·možnost 2: uvedba akta o digitalni operativni odpornosti na področju finančnih storitev: uvedba celovitega okvira na ravni EU z doslednimi pravili, ki obravnavajo potrebe po digitalni operativni odpornosti vseh reguliranih finančnih subjektov, in vzpostavitev okvira nadzora za ključne tretje ponudnike storitev IKT; ·možnost 3: akt o digitalni operativni odpornosti na področju finančnih storitev v kombinaciji s centraliziranim nadzorom ključnih tretjih ponudnikov storitev IKT: poleg uvedbe akta o digitalni operativni odpornosti (možnost 2) bi bil ustanovljen nov organ za nadzor nad opravljanjem storitev, ki jih zagotavljajo tretji ponudniki storitev IKT. Izbrana je bila druga možnost, saj večino predvidenih ciljev dosega na način, ki je učinkovit, uspešen in skladen z drugimi politikami Unije. Tudi večina zainteresiranih strani je podprla to možnost. Izbrana možnost bi privedla do enkratnih in ponavljajočih se stroškov. Enkratni stroški so v glavnem posledica naložb v informacijske sisteme in jih je težko količinsko opredeliti glede na različna stanja zapletenih informacijskih okolij podjetij in zlasti njihovih obstoječih informacijskih sistemov. Kljub temu bodo ti stroški za velika podjetja verjetno omejeni, saj so ta že izvedla znatne naložbe v informacijsko-komunikacijske tehnologije. Stroški naj bi bili omejeni tudi za manjša podjetja, saj bi glede na njihovo manjše tveganje veljali sorazmerni ukrepi. Izbrana možnost bi imela pozitiven gospodarski, socialni in okoljski učinek na mala in srednja podjetja, ki poslujejo v sektorju finančnih storitev. Predlog bo malim in srednjim podjetjem zagotovil jasnost v zvezi s tem, katera pravila veljajo, kar bo znižalo stroške izpolnjevanja obveznosti. Glavni socialni učinki izbrane možnosti politike bi bili na potrošnike in vlagatelje. Višja stopnja digitalne operativne odpornosti finančnega sistema EU bi zmanjšala število incidentov in znižala njihove povprečne stroške. Celotna družba bi imela koristi od povečanega zaupanja v sektor finančnih storitev. Nazadnje, z vidika vpliva na okolje bi izbrana možnost politike spodbudila širšo uporabo najnovejše generacije infrastruktur in storitev IKT, ki naj bi postale okoljsko bolj trajnostne. ·Ustreznost in poenostavitev ureditve Odprava prekrivajočih se zahtev glede poročanja o incidentu, povezanem z IKT, bi zmanjšala upravna bremena in znižala povezane stroške. Poleg tega se bodo s harmoniziranim testiranjem digitalne operativne odpornosti, vzajemno priznanim na enotnem trgu, znižali stroški, zlasti za čezmejna podjetja, ki bi morala sicer morda izvesti več testiranj v različnih državah članicah. ·Temeljne pravice

EU je zavezana zagotavljanju visokih standardov varstva temeljnih pravic. Vsi dogovori o prostovoljni izmenjavi informacij med finančnimi subjekti, ki jih spodbuja ta uredba, bi se izvajali v zaupanja vrednih okoljih ob popolnem spoštovanju pravil Unije o varstvu podatkov, predvsem Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta, zlasti kadar je obdelava osebnih podatkov potrebna za namene zakonitega interesa, za katerega si prizadeva upravljavec. 4. PRORAČUNSKE POSLEDICE Ker sedanja uredba predvideva okrepljeno vlogo evropskih nadzornih organov s pooblastili, ki so jim dodeljena za ustrezen nadzor nad ključnimi tretjimi ponudniki storitev IKT, bi predlog v smislu proračunskih posledic povzročil povečanje sredstev, zlasti za izpolnjevanje nadzornih nalog (kot so inšpekcijski pregledi in revizije na kraju samem in na spletu) ter uporabo osebja s specifičnim strokovnim znanjem na področju varnosti IKT. Obseg in porazdelitev teh stroškov bosta odvisna od obsega novih nadzornih pooblastil in (natančnih) nalog, ki jih bodo izvajali evropski nadzorni organi. Kar zadeva zagotavljanje novih kadrovskih virov, bodo EBA, ESMA in EIOPA skupaj potrebovali 18 redno zaposlenih s polnim delovnim časom (EPDČ), in sicer vsak po šest EPDČ, ko bodo začele veljati različne določbe predloga (ocenjeno na 15,71 milijona EUR za obdobje 2022–2027). Tudi evropski nadzorni organi bodo imeli dodatne stroške za informacijsko tehnologijo, stroške službenih potovanj za inšpekcijske preglede na kraju samem in stroške prevajanja (ocenjene na 12 milijonov EUR za obdobje 2022–2027) ter druge upravne odhodke (ocenjene na 2,48 milijona EUR za obdobje 2022–2027). Zato predvideni skupni stroški znašajo približno 30,19 milijona EUR za obdobje 2022–2027. Upoštevati je treba tudi, da bo število zaposlenih (npr. novi člani osebja in drugi odhodki, povezani z novimi nalogami), ki so potrebni za neposredni nadzor, sčasoma odvisno od spreminjanja števila in velikosti ključnih tretjih ponudnikov storitev IKT, ki bodo pod nadzorom, vendar se bodo ustrezni odhodki v celoti financirali z nadomestili, ki jih bodo plačevali navedeni udeleženci na trgu. Zato vpliv na odobrena proračunska sredstva EU ni predviden (razen za dodatne člane osebja), saj se bodo ti stroški v celoti financirali z nadomestili. Finančni in proračunski učinki tega predloga so podrobno pojasnjeni v oceni finančnih posledic zakonodajnega predloga, ki je priložena temu predlogu. 5.DRUGI ELEMENTI ·Načrti za izvedbo ter ureditev spremljanja, ocenjevanja in poročanja Predlog vključuje splošni načrt za spremljanje in ocenjevanje učinka na specifične cilje, pri čemer se zahteva, da Komisija opravi pregled vsaj tri leta po začetku veljavnosti in o svojih glavnih ugotovitvah poroča Evropskemu parlamentu in Svetu. Pregled je treba izvesti v skladu s smernicami Komisije za boljše pravno urejanje. ·Natančnejša pojasnitev posameznih določb predloga Predlog temelji na več glavnih področjih politike, ki so ključni medsebojno povezani stebri, sporazumno vključeni v evropske in mednarodne smernice ter dobre prakse za povečanje kibernetske in operativne odpornosti finančnega sektorja. Področje uporabe Uredbe in sorazmerna uporaba zahtevanih ukrepov (člen 2) Da bi se zagotovila doslednost glede zahtev za upravljanje tveganj na področju IKT, ki veljajo za finančni sektor, Uredba zajema vrsto finančnih subjektov, reguliranih na ravni Unije, in sicer kreditne institucije, plačilne institucije, institucije za izdajo elektronskega denarja, investicijska podjetja, ponudnike storitev v zvezi s kriptoimetji, centralne depotne družbe, centralne nasprotne stranke, mesta trgovanja, repozitorije sklenjenih poslov, upravitelje alternativnih investicijskih skladov in družbe za upravljanje, izvajalce storitev sporočanja podatkov, zavarovalnice in pozavarovalnice, zavarovalne posrednike, pozavarovalne posrednike in posrednike dopolnilnih zavarovanj, institucije za poklicno pokojninsko zavarovanje, bonitetne agencije, zakonite revizorje in revizijska podjetja, upravljavce ključnih referenčnih vrednosti in ponudnike storitev množičnega financiranja. Taka pokritost omogoča homogeno in skladno uporabo vseh komponent upravljanja tveganj na področjih, povezanih z IKT, ter zagotavlja enake konkurenčne pogoje med finančnimi subjekti glede njihovih regulativnih obveznosti v zvezi s tveganji na področju IKT. Hkrati se v Uredbi priznava, da obstajajo pomembne razlike med finančnimi subjekti v smislu velikosti, poslovnih profilov ali glede na njihovo izpostavljenost digitalnemu tveganju. Ker imajo večji finančni subjekti več virov, morajo samo finančni subjekti, ki niso mikro podjetja, na primer vzpostaviti zapletene ureditve upravljanja, namenske funkcije upravljanja, izvajati poglobljene ocene po večjih spremembah infrastrukture omrežja in informacijskega sistema, redno izvajati analize tveganj za obstoječe sisteme IKT, razširiti testiranje neprekinjenega poslovanja ter načrtov odzivanja in okrevanja po katastrofi, da bi zajeli scenarije preklopa med primarno infrastrukturo IKT in redundantnimi obrati. Poleg tega bodo morali penetracijsko testiranje na podlagi analize groženj izvajati le finančni subjekti, ki so bili opredeljeni kot pomembni za namene naprednega testiranja digitalne odpornosti. Pokritost je široka, vendar ni izčrpna. Ta uredba ne zajema upravljavcev sistema, kot so opredeljeni v točki (p) člena 2 Direktive 98/26/ES o dokončnosti poravnave pri plačilih in sistemih poravnave vrednostnih papirjev, in udeležencev v sistemu, razen če je tak udeleženec tudi sam finančni subjekt, reguliran na ravni Unije in bi zato zanj veljala ta uredba (tj. kreditna institucija, investicijsko podjetje, centralna nasprotna stranka). Prav tako na to področje uporabe ne spada register Unije za pravice do emisije, ki se v skladu z Direktivo 2003/87/ES upravlja pod okriljem Evropske komisije. Pri takih izključitvah iz direktive o dokončnosti poravnave se upošteva potreba po nadaljnji reviziji pravnih in političnih zadev, ki se nanašajo na upravljavce in udeležence sistemov o dokončnosti poravnave, ob ustreznem upoštevanju učinka okvirov, ki trenutno veljajo za plačilne sisteme, ki jih upravljajo centralne banke. Ker lahko te zadeve vključujejo vidike, ki se še vedno razlikujejo od vprašanj, zajetih v tej uredbi, bo Komisija še naprej ocenjevala nujnost in učinek nadaljnje razširitve področja uporabe te uredbe na subjekte in infrastrukture IKT, ki so trenutno zunaj njene pristojnosti. Zahteve, povezane z upravljanjem (člen 4) Ta uredba je namenjena boljši uskladitvi poslovnih strategij finančnih subjektov in izvajanju upravljanja tveganj na področju IKT. V ta namen bo moral upravljalni organ ohraniti ključno aktivno vlogo pri usmerjanju okvira za upravljanje tveganj na področju IKT in si prizadevati za spoštovanje stroge kibernetske higiene. Polna odgovornost upravljalnega organa pri upravljanju tveganj finančnega subjekta na področju IKT bo poglavitno načelo, ki se bo nadalje preneslo v sklop posebnih zahtev, kot so dodelitev jasnih vlog in odgovornosti za vse funkcije, povezane z IKT, stalno sodelovanje pri nadzoru spremljanja upravljanja tveganj na področju IKT, pa tudi pri celotnem sklopu postopkov odobritve in nadzora ter ustrezni dodelitvi naložb in usposabljanj na področju IKT. Zahteve, povezane z upravljanjem tveganj na področju IKT (členi 5 do 14)

Digitalna operativna odpornost temelji na nizu ključnih načel in zahtev glede upravljanja tveganj na področju IKT v skladu s skupnim tehničnim nasvetom evropskih nadzornih organov. Te zahteve, ki temeljijo na ustreznih mednarodnih, nacionalnih in sektorskih standardih, smernicah in priporočilih, se nanašajo na posebne funkcije pri upravljanju tveganj na področju IKT (identifikacija, zaščita in preprečevanje, odkrivanje, odzivanje in okrevanje, učenje in razvoj ter komunikacija). Da bi finančni subjekti lahko sledili hitro razvijajočemu se področju kibernetskih groženj, morajo vzpostaviti in vzdrževati odporne sisteme in orodja IKT, ki zmanjšujejo učinek tveganj na področju IKT, stalno prepoznavati vse vire tveganj na področju IKT, vzpostaviti zaščitne in preventivne ukrepe, sproti odkrivati neobičajne dejavnosti, vzpostaviti namenske in celovite politike neprekinjenega poslovanja ter načrte okrevanja po katastrofi kot sestavni del politike neprekinjenega poslovanja. Zadnje navedene komponente so potrebne za takojšnjo okrevanje po katastrofi po incidentih, povezanih z IKT, zlasti kibernetskih napadov, z omejevanjem škode in dajanjem prednosti varnemu nadaljevanju dejavnosti. Uredba sama po sebi ne uvaja posebne standardizacije, temveč temelji na evropskih in mednarodno priznanih tehničnih standardih ali dobrih praksah v panogi, če so v celoti v skladu z nadzorniškimi navodili o uporabi in vključitvi takih mednarodnih standardov. Ta uredba zajema tudi celovitost, varnost in odpornost fizične infrastrukture in objektov, ki podpirajo uporabo tehnologije, ter ustreznih postopkov in ljudi, povezanih z IKT, v okviru digitalnega odtisa poslovanja finančnega subjekta. Poročanje o incidentih, povezanih z IKT (členi 15 do 20) Harmonizacija in racionalizacija poročanja o incidentih, povezanih z IKT, se doseže najprej s splošno zahtevo, da finančni subjekti vzpostavijo in izvajajo postopek upravljanja za spremljanje in evidentiranje incidentov, povezanih z IKT, čemur sledi obveznost, da jih razvrstijo na podlagi meril, ki so podrobno opisana v Uredbi in so jih nadalje razvili evropski nadzorni organi ter s katerimi se opredelijo pragi pomembnosti. Drugič, pristojnim organom je treba poročati samo o večjih incidentih, povezanih z IKT. Poročanje poteka i z uporabo skupne predloge in po harmoniziranem postopku, ki ga razvijejo evropski nadzorni organi. Finančni subjekti bi morali predložiti začetna, vmesna in končna poročila ter obvestiti svoje uporabnike in stranke, če incident vpliva ali bi lahko vplival na njihove finančne interese. Pristojni organi bi morali posredovati ustrezne podrobnosti o incidentih drugim institucijam ali organom: evropskim nadzornim organom, Evropski centralni banki in enotnim kontaktnim točkam, določenim v skladu z Direktivo (EU) 2016/1148. Za začetek dialoga med finančnimi subjekti in pristojnimi organi, ki bi pomagal zmanjšati učinek na najmanjšo možno mero in določiti ustrezne popravne ukrepe, bi bilo treba poročanje o večjih incidentih, povezanih z IKT, dopolniti s povratnimi informacijami in smernicami nadzornikov. Nazadnje, možnost centralizacije poročanja o incidentih, povezanih z IKT, na ravni Unije bi bilo treba nadalje preučiti v skupnem poročilu evropskih nadzornih organov, Evropske centralne banke in ENISA, v katerem bi se ocenjevala izvedljivost vzpostavitve enotnega vozlišča EU, kjer bi lahko finančni subjekti poročali o večjih incidentih, povezanih z IKT. Testiranje digitalne operativne odpornosti (členi 21 do 24) Zmogljivosti in funkcije, vključene v okvir upravljanja tveganj na področju IKT, je treba redno testirati v smislu pripravljenosti in prepoznavanja slabosti, pomanjkljivosti ali vrzeli ter takojšnjega izvajanja popravnih ukrepov. Ta uredba omogoča sorazmerno uporabo zahtev za testiranje digitalne operativne odpornosti glede na velikost, poslovanje in profile tveganj finančnih subjektov: vsi subjekti bi morali testirati sisteme in orodja IKT, vendar bi bilo treba napredno penetracijsko testiranje na podlagi analize groženj zahtevati le od tistih subjektov, ki so jih pristojni organi (na podlagi meril, ki so določena v tej uredbi in jih nadalje oblikujejo evropski nadzorni organi) opredelili kot pomembne in kibernetsko pripravljene. Ta uredba določa tudi zahteve za preskuševalce in priznavanje rezultatov penetracijskega testiranja na podlagi analize groženj po vsej Uniji za finančne subjekte, ki delujejo v več državah članicah. Tveganja tretjih oseb na področju IKT (členi 25 do 39) Uredba je zasnovana tako, da zagotavlja dobro spremljanje tveganj tretjih oseb na področju IKT. Ta cilj bo dosežen, prvič, s spoštovanjem na načelih temelječih pravil, ki veljajo za spremljanje tveganj, povezanih s tretjimi ponudniki storitev IKT, ki ga izvajajo finančni subjekti. Drugič, ta uredba usklajuje ključne elemente storitev tretjih ponudnikov storitev IKT in odnosa z njimi. Ti elementi zajemajo minimalne vidike, ki se štejejo za bistvene, da lahko finančni subjekt v celoti spremlja tveganja tretje osebe na področju IKT v vseh fazah sklenitve, izvajanja in prenehanja pogodbe ter v vseh popogodbenih fazah njunega odnosa. Predvsem bodo pogodbe, ki urejajo ta odnos, morale vsebovati popoln opis storitev, navedbo lokacij, kjer se bodo podatki obdelali, celovite opise ravni storitev, ki jih spremljajo kvantitativni in kvalitativni cilji uspešnosti, ustrezne določbe o dostopnosti, razpoložljivosti, celovitosti, varnosti in zaščiti osebnih podatkov ter jamstva glede dostopa, okrevanja in povračil v primeru prenehanja delovanja tretjih ponudnikov storitev IKT, odpovedne roke in obveznosti poročanja tretjih ponudnikov storitev IKT, pravice do dostopa, inšpekcijskih pregledov in revizij s strani finančnega subjekta ali imenovane tretje osebe, jasne pravice do odpovedi in namenske izhodne strategije. Ker je mogoče nekatere od teh pogodbenih elementov standardizirati, Uredba spodbuja prostovoljno uporabo standardnih pogodbenih klavzul, ki jih bo Komisija pripravila za uporabo storitve računalništva v oblaku. Nazadnje, Uredba poskuša spodbuditi konvergenco nadzornih pristopov k tveganjem tretjih oseb na področju IKT v finančnem sektorju, tako da vzpostavlja okvir nadzora Unije za ključne tretje ponudnike storitev IKT. Z novim harmoniziranim zakonodajnim okvirom bo evropski nadzorni organ, ki bo imenovan za glavnega nadzornika za vsakega takega ključnega tretjega ponudnika storitev IKT, prejel pooblastila za zagotavljanje, da se ponudniki tehnoloških storitev, ki imajo ključno vlogo pri delovanju finančnega sektorja, ustrezno spremljajo na vseevropski ravni. Okvir nadzora, ki ga predvideva ta uredba, temelji na obstoječi institucionalni arhitekturi na področju finančnih storitev, pri čemer Skupni odbor evropskih nadzornih organov zagotavlja medsektorsko usklajevanje v zvezi z vsemi zadevami o tveganju na področju IKT v skladu s svojimi nalogami na področju kibernetske varnosti, pri čemer ga pri tem podpira pododbor (nadzorniški forum), ki izvaja pripravljalno delo za posamezne odločitve in skupna priporočila za ključne tretje ponudnike storitev. Izmenjava informacij (člen 40) Da bi se povečala ozaveščenost o tveganjih na področju IKT, na najmanjšo možno mero zmanjšalo njihovo širjenje ter podprle obrambne zmožnosti in tehnike finančnih subjektov za odkrivanje groženj, Uredba finančnim subjektom omogoča, da sklenejo dogovore za medsebojno izmenjavo informacij in obveščevalnih podatkov o kibernetskih grožnjah.



2020/0266 (COD) Predlog UREDBA EVROPSKEGA PARLAMENTA IN SVETA o digitalni operativni odpornosti za finančni sektor in spremembi uredb (ES) št. 1060/2009, (EU) št. 648/2012, (EU) št. 600/2014 in (EU) št. 909/2014 (Besedilo velja za EGP) EVROPSKI PARLAMENT IN SVET EVROPSKE UNIJE STA –

ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 114 Pogodbe, ob upoštevanju predloga Evropske komisije, po posredovanju osnutka zakonodajnega akta nacionalnim parlamentom, ob upoštevanju mnenja Evropske centralne banke, ob upoštevanju mnenja Evropskega ekonomsko-socialnega odbora, v skladu z rednim zakonodajnim postopkom, ob upoštevanju naslednjega: (1)V digitalni dobi informacijska in komunikacijska tehnologija (IKT) podpira zapletene sisteme, ki se uporabljajo za vsakodnevne družbene dejavnosti. Zagotavlja delovanje gospodarstva v ključnih sektorjih, vključno s finančnim, in krepi delovanje enotnega trga. Z vse večjo digitalizacijo in medsebojno povezanostjo se povečujejo tudi tveganja na področju IKT, zaradi česar je celotna družba – in zlasti finančni sistem – bolj izpostavljena kibernetskim grožnjam ali motnjam IKT. Čeprav so vsesplošna uporaba sistemov IKT ter visoka digitalizacija in povezljivost danes bistvene značilnosti vseh dejavnosti finančnih subjektov v Uniji, digitalna odpornost še ni dovolj vgrajena v njihove operativne okvire. (2)Uporaba IKT je v zadnjih desetletjih dobila osrednjo vlogo na področju financ in je danes ključnega pomena za delovanje tipičnih dnevnih funkcij vseh finančnih subjektov. Digitalizacija zajema na primer plačila, ki so se iz gotovinskih in papirnatih metod vse bolj preusmerila v uporabo digitalnih rešitev, ter kliring in poravnave vrednostnih papirjev, elektronsko in algoritemsko trgovanje, operacije posojanja in financiranja, medsebojno financiranje, bonitetne ocene, sklepanje zavarovanj, obravnavo zahtevkov in operacije zalednih služb. Finance so postale večinoma digitalne v celotnem sektorju, poleg tega pa je digitalizacija poglobila medsebojne povezave in odvisnosti znotraj samega finančnega sektorja ter v odnosu do infrastrukture tretjih oseb in tretjih ponudnikov storitev. (3)Evropski odbor za sistemska tveganja (ESRB) je v poročilu iz leta 2020, ki obravnava sistemska kibernetska tveganja, ponovno potrdil, da lahko obstoječa visoka stopnja medsebojne povezanosti finančnih subjektov, finančnih trgov in infrastruktur finančnega trga, zlasti medsebojna odvisnost njihovih sistemov IKT, predstavlja sistemsko ranljivost, saj se lahko lokalni kibernetski incidenti iz katerega koli od približno 22 000 finančnih subjektov v Uniji hitro razširijo na celotni finančni sistem, ne da bi jih pri tem ovirale geografske meje. Resne kršitve na področju IKT, do katerih prihaja v finančnem sektorju, ne vplivajo le na posamezne finančne subjekte. Omogočajo namreč širjenje lokaliziranih ranljivosti po finančnih transmisijskih kanalih in lahko povzročijo škodljive posledice za stabilnost finančnega sistema Unije, saj ustvarjajo upad likvidnosti in splošno izgubo zaupanja v finančne trge. (4)V zadnjih letih so tveganja na področju IKT pritegnila pozornost nacionalnih, evropskih in mednarodnih oblikovalcev politik, regulativnih organov in organov za določanje standardov, ki si prizadevajo povečati odpornost, določiti standarde ter uskladiti regulativne ali nadzorne naloge. Baselski odbor za bančni nadzor, Odbor za plačila in tržno infrastrukturo, Odbor za finančno stabilnost, Inštitut za finančno stabilnost ter skupine držav G7 in G20 želijo na mednarodni ravni pristojnim organom in upravljavcem trga v različnih jurisdikcijah zagotoviti orodja za krepitev odpornosti njihovih finančnih sistemov. (5)Kljub nacionalnim in evropskim ciljno usmerjenim političnim in zakonodajnim pobudam tveganja na področju IKT še naprej predstavljajo izziv za operativno odpornost, uspešnost in stabilnost finančnega sistema Unije. Reforma, ki je sledila finančni krizi leta 2008, je predvsem okrepila finančno odpornost finančnega sektorja Unije ter si prizadevala zaščititi konkurenčnost in stabilnost Unije z gospodarskega in bonitetnega vidika ter vidika ravnanja na trgu. Čeprav sta varnost IKT in digitalna odpornost del operativnega tveganja, nista bili v ospredju regulativnega programa po krizi in sta se razvili le na nekaterih področjih politike finančnih storitev in regulativne ureditve Unije ali le v nekaterih državah članicah. (6)Komisija je v akcijskem načrtu za finančno tehnologijo iz leta 2018 poudarila ključno potrebo po večji odpornosti finančnega sektorja Unije tudi z operativnega vidika, da se zagotovi njegova tehnološka varnost in dobro delovanje ter hitro okrevanje po kršitvah in incidentih na področju IKT, kar bi nazadnje omogočilo učinkovito in nemoteno izvajanje finančnih storitev po vsej Uniji, tudi v stresnih situacijah, ter hkrati ohranjalo zaupanje in samozavest potrošnikov in trga. (7)Evropski bančni organ (EBA), Evropski organ za vrednostne papirje in trge (ESMA) ter Evropski organ za zavarovanja in poklicne pokojnine (EIOPA) (v nadaljnjem besedilu skupaj: evropski nadzorni organi) so aprila 2019 skupaj izdali dva tehnična nasveta, v katerih pozivajo k skladnemu pristopu k tveganjem na področju IKT v finančnem sektorju in priporočajo sorazmerno krepitev digitalne operativne odpornosti industrije finančnih storitev s posebno sektorsko pobudo Unije. (8)Finančni sektor Unije urejajo harmonizirana enotna pravila, upravlja pa ga evropski sistem finančnega nadzora. Vendar določbe o digitalni operativni odpornosti in varnosti IKT še niso v celoti ali dosledno harmonizirane, čeprav je digitalna operativna odpornost ključnega pomena za zagotavljanje finančne stabilnosti in celovitosti trga v digitalni dobi in nič manj pomembna od na primer skupnih bonitetnih standardov ali standardov ravnanja na trgu. Zato bi bilo treba enotna pravila in sistem nadzora oblikovati tako, da bi vključevala tudi to komponento, in sicer z razširitvijo pooblastil finančnih nadzornikov, ki so odgovorni za spremljanje in varstvo finančne stabilnosti in celovitosti trga. (9)Zakonodajne razlike in neenakomerni nacionalni regulativni ali nadzorni pristopi k tveganjem na področju IKT ovirajo enotni trg finančnih storitev, saj omejujejo nemoteno uveljavljanje pravice do ustanavljanja in opravljanja storitev pri finančnih subjektih s čezmejno prisotnostjo. Prav tako je lahko izkrivljena konkurenca med finančnimi subjekti iste vrste, ki poslujejo v različnih državah članicah. Predvsem na področjih, kjer je harmonizacija s strani Unije zelo omejena – kot na primer pri testiranju digitalne operativne odpornosti – ali pa je sploh ni – kot na primer pri spremljanju tveganj tretjih oseb na področju IKT –, bi lahko razlike, ki izhajajo iz predvidenih sprememb na nacionalni ravni, predstavljale dodatne ovire za delovanje enotnega trga v škodo udeležencem na trgu in finančni stabilnosti. (10)Določbe, povezane s tveganji na področju IKT, so bile na ravni Unije do zdaj obravnavne le delno, kar povzroča vrzeli ali prekrivanja na pomembnih področjih, kot sta poročanje o incidentih, povezanih z IKT, in testiranje digitalne operativne odpornosti, ter vodi v neskladja zaradi različnih nacionalnih pravil ali stroškovno neučinkovite uporabe prekrivajočih se pravil. To je zlasti škodljivo za intenzivne uporabnike IKT, kot je finančni sektor, saj tehnološka tveganja ne poznajo meja, finančni sektor pa svoje storitve široko uporablja čezmejno znotraj in zunaj Unije. Posamezni finančni subjekti, ki poslujejo čezmejno ali imajo več dovoljenj (npr. en finančni subjekt ima lahko dovoljenje za opravljanje bančnih storitev, dovoljenje za investicijsko podjetje in dovoljenje za plačilno institucijo, pri čemer je vsako dovoljenje izdal drug pristojni organ v eni ali več državah članicah), se sami soočajo z operativnimi izzivi pri obravnavanju tveganj na področju IKT in blažitvi škodljivih učinkov incidentov, povezanih z IKT, na skladen in stroškovno učinkovit način. (11)Ker enotnih pravil ni spremljal celovit okvir za tveganja IKT ali operativna tveganja, je potrebna nadaljnja harmonizacija ključnih zahtev glede digitalne operativne odpornosti za vse finančne subjekte. Zmogljivosti in splošna odpornost, ki bi jo finančni subjekti razvili na podlagi takih ključnih zahtev, da bi prenesli prekinitve poslovanja, bi pomagale ohranjati stabilnost in celovitost finančnih trgov Unije in bi tako prispevale k zagotavljanju visoke ravni zaščite vlagateljev in potrošnikov v Uniji. Ker je namen te uredbe prispevati k nemotenemu delovanju enotnega trga, bi morala temeljiti na določbah člena 114 PDEU, kot se razlagajo v skladu z ustaljeno sodno prakso Sodišča Evropske unije. (12)Cilj te uredbe je najprej utrditi in nadgraditi zahteve glede tveganj na področju IKT, ki so bile doslej obravnavane ločeno v različnih uredbah in direktivah. Ti pravni akti Unije so zajemali glavne kategorije finančnega tveganja (npr. kreditno tveganje, tržno tveganje, kreditno tveganje nasprotne stranke in likvidnostno tveganje, tveganje ravnanja na trgu), vendar v času sprejetja niso mogli celovito obravnavati vseh elementov operativne odpornosti. Zahteve glede operativnih tveganj, ki so bile nadalje razvite v teh pravnih aktih Unije, so pogosto dajale prednost tradicionalnemu kvantitativnemu pristopu k obravnavanju tveganj (zlasti določitev kapitalske zahteve za pokrivanje tveganj na področju IKT), namesto da bi vključevale ciljno usmerjene kvalitativne zahteve za povečanje zmogljivosti z zahtevami, ki bi bile usmerjene v zmogljivosti za zaščito, odkrivanje, omejitev, okrevanje in popravila po incidentih, povezanih z IKT, ali z vzpostavitvijo zmogljivosti za poročanje in digitalno testiranje. Navedene direktive in uredbe naj bi zajemale predvsem bistvena pravila o bonitetnem nadzoru, celovitosti trga ali ravnanju na trgu.

S to pobudo, ki združuje in posodablja pravila o tveganjih na področju IKT, bi bile vse določbe, ki obravnavajo digitalno tveganje v finančnem sektorju, prvič dosledno združene v enem zakonodajnem aktu. Pobuda bi morala tako zapolniti vrzeli ali odpraviti nedoslednosti v nekaterih pravnih aktih, tudi v zvezi s terminologijo, ki se v njih uporablja, in bi se morala izrecno nanašati na tveganja na področju IKT s ciljno usmerjenimi pravili o zmožnostih upravljanja tveganj na področju IKT, poročanju in testiranju ter spremljanju tveganj tretjih oseb. (13)Finančni subjekti bi morali pri obravnavanju tveganj na področju IKT slediti istemu pristopu in upoštevati ista na načelih temelječa pravila. Doslednost prispeva k povečanju zaupanja v finančni sistem in ohranjanju njegove stabilnosti, zlasti v primerih prekomerne uporabe sistemov, platform in infrastruktur IKT, ki prinašajo tudi povečano digitalno tveganje. S spoštovanjem osnovne kibernetske higiene bi se tudi preprečilo nastajanje znatnih stroškov za gospodarstvo, saj bi se na najmanjšo možno mero zmanjšali učinki in znižali stroški motenj na področju IKT. (14)Uporaba uredbe pomaga zmanjšati regulativno zapletenost, spodbuja konvergenco nadzora, povečuje pravno varnost ter hkrati prispeva k omejevanju stroškov izpolnjevanja obveznosti, zlasti za čezmejne finančne subjekte, in k zmanjšanju izkrivljanja konkurence. Zato se zdi, da je izbira uredbe za vzpostavitev skupnega okvira za digitalno operativno odpornost finančnih subjektov najustreznejši način za zagotovitev homogene in skladne uporabe vseh komponent upravljanja tveganj na področju IKT v finančnem sektorju Unije. (15)Direktiva (EU) 2016/1148 Evropskega parlamenta in Sveta je poleg zakonodaje o finančnih storitvah trenutni splošni okvir za kibernetsko varnosti na ravni Unije. Med sedmimi ključnimi sektorji se navedena direktiva uporablja tudi za tri vrste finančnih subjektov, in sicer za kreditne institucije, mesta trgovanja in centralne nasprotne stranke. Vendar Direktiva (EU) 2016/1148 določa mehanizem identifikacije izvajalcev bistvenih storitev na nacionalni ravni, zato so v praksi le nekatere kreditne institucije, mesta trgovanja in centralne nasprotne stranke, ki jih opredelijo države članice, zajete v njeno področje uporabe in morajo izpolnjevati zahteve glede varnosti IKT in obveščanja o incidentih, določene v njej. (16)Ta uredba dviguje raven harmonizacije komponent digitalne odpornosti z uvedbo zahtev glede upravljanja tveganj na področju IKT in poročanja o incidentih, povezanih z IKT, ki so strožje od tistih, ki jih določa veljavna zakonodaja Unije o finančnih storitvah, zato je tudi harmonizacija večja v primerjavi z zahtevami iz Direktive (EU) 2016/1148. Posledično je ta uredba lex specialis glede na Direktivo (EU) 2016/1148. Ključno je, da se ohrani močna povezava med finančnim sektorjem in horizontalnim okvirom kibernetske varnosti Unije, kar bi zagotovilo skladnost s strategijami kibernetske varnosti, ki so jih države članice že sprejele, in finančnim nadzornikom omogočilo, da se seznanijo s kibernetskimi incidenti, ki prizadenejo druge sektorje, zajete v Direktivi (EU) 2016/1148. (17)Finančni subjekti iz Direktive (EU) 2016/1148 bi morali ostati del „ekosistema“ navedene direktive (npr. skupina za sodelovanje na področju varnosti omrežij in informacij ter skupine za odzivanje na incidente na področju računalniške varnosti), da bi se omogočil medsektorski učni proces in učinkovito črpalo iz izkušenj drugih sektorjev pri obravnavanju kibernetskih groženj. Evropski nadzorni organi oziroma pristojni nacionalni organi bi morali imeti možnost sodelovati v razpravah o strateških politikah oziroma tehničnem delu skupine za sodelovanje na področju varnosti omrežij in informacij, si izmenjevati informacije oziroma nadalje sodelovati z enotnimi kontaktnimi točkami, določenimi v skladu z Direktivo (EU) 2016/1148. Pristojni organi iz te uredbe bi se morali tudi posvetovati in sodelovati z nacionalnimi skupinami za odzivanje na incidente na področju računalniške varnosti, določenimi v skladu s členom 9 Direktive (EU) 2016/1148. (18)Prav tako je pomembno zagotoviti skladnost z direktivo o evropski kritični infrastrukturi, ki se trenutno pregleduje, da bi se povečali zaščita in odpornost kritične infrastrukture proti grožnjam, ki niso povezane s kibernetsko varnostjo, kar bi lahko imelo posledice za finančni sektor. (19)Ponudniki storitev računalništva v oblaku so ena od kategorij ponudnikov digitalnih storitev, ki jih zajema Direktiva (EU) 2016/1148. Kot taki so predmet naknadnega nadzora, ki ga izvajajo nacionalni organi, imenovani v skladu z navedeno direktivo, in ki je omejen na zahteve glede varnosti IKT in obveščanja o incidentih, določene v navedenem aktu. Ker okvir nadzora, vzpostavljen s to uredbo, velja za vse ključne tretje ponudnike storitev IKT, vključno s ponudniki storitev računalništva v oblaku, kadar zagotavljajo storitve IKT finančnim subjektom, bi ga bilo treba obravnavati kot dopolnitev nadzora, ki se izvaja v skladu z Direktivo (EU) 2016/1148. Poleg tega bi moral okvir nadzora, vzpostavljen s to uredbo, zajemati ponudnike storitev računalništva v oblaku, saj ni horizontalnega nesektorskega okvira Unije, ki bi vzpostavljal organ za digitalni nadzor. (20)Za ohranitev popolnega nadzora nad tveganji na področju IKT morajo finančni subjekti imeti celovite zmogljivosti, ki omogočajo močno in učinkovito upravljanje tveganj na področju IKT, skupaj s posebnimi mehanizmi in politikami za poročanje o incidentih, povezanih z IKT, testiranje sistemov, kontrol in postopkov IKT ter upravljanje tveganj tretjih oseb na področju IKT. Raven digitalne operativne odpornosti finančnega sistema je treba dvigniti ter hkrati omogočiti sorazmerno uporabo zahtev za finančne subjekte, ki so mikro podjetja, kot so opredeljena v Priporočilu Komisije 2003/361/ES. (21)Pragovi in taksonomije poročanja o incidentih, povezanih z IKT, se na nacionalni ravni zelo razlikujejo. Z ustreznim delom Agencije Evropske unije za kibernetsko varnost (ENISA) in skupine za sodelovanje na področju varnosti omrežij in informacij je mogoče doseči skupno podlago za finančne subjekte iz Direktive (EU) 2016/1148, vendar za preostale finančne subjekte še vedno obstajajo ali se lahko pojavijo različni pristopi glede pragov in taksonomij. To vključuje številne zahteve, ki jih morajo spoštovati finančni subjekti, zlasti kadar poslujejo v različnih jurisdikcijah v Uniji in kadar so del finančne skupine. Poleg tega lahko te razlike ovirajo vzpostavitev nadaljnjih enotnih ali centraliziranih mehanizmov Unije, ki pospešujejo postopek poročanja in podpirajo hitro in nemoteno izmenjavo informacij med pristojnimi organi, kar je bistvenega pomena za obravnavo tveganj na področju IKT v primeru obsežnih napadov s potencialno sistemskimi posledicami. (22)Določiti je treba pravila za dopolnitev ureditve poročanja o incidentih, povezanih z IKT, z zahtevami, ki trenutno manjkajo v zakonodaji finančnega podsektorja, ter odpravo morebitnih prekrivanj in podvajanj za znižanje stroškov, da lahko pristojni organi izpolnjujejo svoje nadzorne vloge s pridobitvijo celovitega vpogleda v naravo, pogostost, pomen in učinek incidentov, povezanih z IKT, ter da se okrepi izmenjava informacij med ustreznimi javnimi organi, vključno z organi kazenskega pregona in organi za reševanje. Zato je treba nujno uskladiti ureditev poročanja o incidentih, povezanih z IKT, tako da se od vseh finančnih subjektov zahteva, naj poročajo le svojim pristojnim organom. Poleg tega bi morali biti evropski nadzorni organi pooblaščeni za nadaljnjo opredelitev elementov poročanja o incidentih, povezanih z IKT, kot so taksonomija, časovni okviri, nabori podatkov, predloge in veljavni pragovi. (23)Zahteve glede testiranja digitalne operativne odpornosti so se v nekaterih finančnih podsektorjih razvile v različnih in neusklajenih nacionalnih okvirih, ki ista vprašanja obravnavajo na različne načine. To vodi do podvajanja stroškov za čezmejne finančne subjekte in otežuje vzajemno priznavanje rezultatov. Neusklajeno testiranje lahko torej razdeli enotni trg. (24)Poleg tega ranljivosti ostajajo neodkrite, kadar se testiranje ne zahteva, zaradi česar so finančni subjekt ter nazadnje stabilnost in integriteta finančnega sektorja izpostavljeni večjemu tveganju. Brez posredovanja Unije bi bilo testiranje digitalne operativne odpornosti še naprej neenotno in ne bi bilo vzajemnega priznavanja rezultatov testiranja v različnih jurisdikcijah. Ker je malo verjetno, da bi drugi finančni podsektorji sprejeli take sheme v večjem obsegu, bi bili prikrajšani za potencialne koristi, kot so razkrivanje ranljivosti in tveganj, testiranje obrambnih zmogljivosti in neprekinjenega poslovanja ter večje zaupanje strank, dobaviteljev in poslovnih partnerjev. Za odpravo takih prekrivanj, razhajanj in vrzeli je treba določiti pravila za usklajeno testiranje s strani finančnih subjektov in pristojnih organov, s čimer bi se omogočilo vzajemno priznavanje naprednega testiranja za pomembne finančne subjekte. (25)Odvisnost finančnih subjektov od storitev IKT deloma temelji na njihovi potrebi po prilagajanju nastajajočemu konkurenčnemu digitalnemu svetovnemu gospodarstvu, povečanju njihove poslovne učinkovitosti in zadostitvi povpraševanju potrošnikov. Narava in obseg te odvisnosti se v zadnjih letih nenehno spreminjata ter sta gonilni sili pri zniževanju stroškov v finančnem posredništvu, širjenju poslovanja in nadgradljivosti ob uvajanju finančnih dejavnosti, hkrati pa zagotavljata široko paleto orodij IKT za upravljanje zapletenih notranjih postopkov. (26)To obsežno uporabo storitev IKT dokazujejo zapleteni pogodbeni dogovori, pri katerih se finančni subjekti pogosto srečujejo s težavami pri pogajanjih o pogodbenih pogojih, ki so prilagojeni bonitetnim standardom ali drugim regulativnim zahtevam, ki zavezujejo subjekte, ali sicer pri uveljavljanju posebnih pravic, kot so pravice do dostopa ali revizije, če so slednje vključene v dogovore. Poleg tega veliko takih pogodb ne zagotavlja zadostnih zaščitnih ukrepov, ki bi omogočali celovito spremljanje postopkov oddaje naročil podizvajalcem, zaradi česar finančni subjekt ne more oceniti teh povezanih tveganj. Nadalje, ker tretji ponudniki storitev IKT pogosto zagotavljajo standardizirane storitve različnim vrstam strank, take pogodbe morda ne bodo vedno ustrezno zadovoljile posameznih ali posebnih potreb akterjev v finančnem sektorju. (27)Kljub nekaterim splošnim pravilom o zunanjem izvajanju v nekaterih zakonodajnih aktih Unije o finančnih storitvah nadzor nad pogodbeno razsežnostjo ni v celoti vključen v zakonodajo Unije. Ker ni jasnih in prilagojenih standardov Unije, ki bi veljali za pogodbene dogovore, sklenjene s tretjimi ponudniki storitev IKT, zunanji vir tveganj na področju IKT ni celovito obravnavan. Zato je treba določiti nekatera ključna načela, ki bodo finančnim subjektom zagotovila usmeritve pri upravljanju tveganj tretjih oseb na področju IKT, skupaj s sklopom temeljnih pogodbenih pravic v zvezi z različnimi elementi izvajanja in odpovedi pogodb, in sicer z namenom vključitve nekaterih minimalnih zaščitnih ukrepov, ki krepijo zmožnost finančnih subjektov, da učinkovito spremljajo vsa tveganja na ravni tretjih oseb na področju IKT. (28)Trenutno ni homogenosti in konvergence v zvezi s tveganji tretjih oseb na področju IKT in odvisnostjo od tretjih oseb na področju IKT Kljub nekaterim prizadevanjem za obravnavo področja zunanjega izvajanja, kot so priporočila iz leta 2017 o oddajanju v zunanje izvajanje ponudnikom storitev v oblaku, je vprašanje sistemskega tveganja, ki bi ga lahko povzročila izpostavljenost finančnega sektorja omejenemu številu ključnih tretjih ponudnikov storitev IKT, v zakonodaji Unije komajda obravnavano. To pomanjkanje na ravni Unije dodatno stopnjuje neobstoj posebnih pooblastil in orodij, ki bi nacionalnim nadzornikom omogočala dobro razumevanje odvisnosti od tretjih oseb na področju IKT in ustrezno spremljanje tveganj, ki izhajajo iz koncentracije takih odvisnosti od tretjih oseb na področju IKT.

(29)Ob upoštevanju možnih sistemskih tveganj, ki jih prinašajo povečano oddajanje del v zunanje izvajanje in koncentracija odvisnosti od tretjih oseb na področju IKT, ter ob upoštevanju nezadostnosti nacionalnih mehanizmov, ki bi finančnim nadzornikom omogočali kakovostno in količinsko opredelitev ter odpravo posledic tveganj na področju IKT, ki se pojavljajo pri ključnih tretjih ponudnikih storitev IKT, je treba vzpostaviti ustrezen okvir nadzora Unije, ki omogoča stalno spremljanje dejavnosti tretjih ponudnikov storitev IKT, ki so ključni ponudniki za finančne subjekte. (30)Ker so grožnje na področju IKT vse bolj zapletene in izpopolnjene, so dobri ukrepi za odkrivanje in preprečevanje večinoma odvisni od redne izmenjave obveščevalnih podatkov o grožnjah in ranljivostih med finančnimi subjekti. Izmenjava informacij prispeva k večji ozaveščenosti o kibernetskih grožnjah, kar posledično krepi sposobnost finančnih subjektov za preprečevanje, da bi se grožnje spremenile v dejanske incidente, in finančnim subjektom omogoča, da bolje omejijo učinke incidentov, povezanih z IKT, in si učinkoviteje opomorejo. Videti je, da je ob odsotnosti smernic na ravni Unije več dejavnikov oviralo tako izmenjavo obveščevalnih podatkov, zlasti negotovost glede združljivosti s pravili o varstvu podatkov, omejevalnih ravnanjih in odgovornosti. (31)Poleg tega se koristne informacije prikrivajo zaradi pomislekov glede vrste informacij, ki se lahko delijo z drugimi udeleženci na trgu ali nenadzornimi organi (kot je ENISA za analitični prispevek ali Europol za namene kazenskega pregona). Obseg in kakovost izmenjave informacij ostajata omejena in razdrobljena, pri čemer se ustrezne izmenjave izvajajo večinoma lokalno (z nacionalnimi pobudami) in brez doslednih dogovorov o izmenjavi informacij na ravni Unije, ki bi bili prilagojeni potrebam integriranega finančnega sektorja. (32)Finančne subjekte bi bilo zato treba spodbuditi, da skupaj izkoristijo svoje individualno znanje in praktične izkušnje na strateški, taktični in operativni ravni, da bi tako okrepili svoje zmogljivosti za ustrezno ocenjevanje in spremljanje kibernetskih groženj, zaščito pred njimi in odzivanje nanje. Zato je treba omogočiti, da se na ravni Unije vzpostavijo mehanizmi za prostovoljne dogovore o izmenjavi informacij, ki bi, kadar bi se izvajali v zaupanja vrednih okoljih, finančni skupnosti pomagali, da preprečuje grožnje in se skupaj odziva nanje s hitrim omejevanjem širjenja tveganj na področju IKT in preprečevanjem širjenja morebitnih negativnih učinkov po finančnih kanalih. Navedene mehanizme bi bilo treba izvajati v popolni skladnosti z veljavnimi pravili Unije s področja konkurenčnega prava in na način, ki zagotavlja popolno spoštovanje pravil Unije o varstvu podatkov, zlasti Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta, predvsem kadar je obdelava osebnih podatkov potrebna za namene zakonitega interesa, za katerega si prizadeva upravljavec ali tretja oseba, kot je navedeno v točki (f) člena 6(1) navedene uredbe. (33)Ne glede na široko pokritost, ki jo predvideva ta uredba, bi morala uporaba pravil o digitalni operativni odpornosti upoštevati pomembne razlike med finančnimi subjekti glede njihove velikosti, poslovnih profilov ali izpostavljenosti digitalnemu tveganju. Načeloma bi morali finančni subjekti pri usmerjanju virov in zmogljivosti k izvajanju okvira za upravljanje tveganj na področju IKT najti ustrezno ravnotežje med svojimi potrebami v zvezi z IKT ter svojo velikostjo in poslovnim profilom, pristojni organi pa bi morali še naprej ocenjevati in pregledovati pristop takega razdeljevanja. (34)Ker imajo večji finančni subjekti morda precejšnje vire in bi jih lahko hitro uporabili za razvoj struktur upravljanja in oblikovanje različnih poslovnih strategij, bi se moralo le od finančnih subjektov, ki niso mikro podjetja v smislu te uredbe, zahtevati, naj vzpostavijo bolj zapletene ureditve upravljanja. Taki subjekti so zlasti bolje opremljeni, da vzpostavijo namenske funkcije upravljanja za nadziranje dogovorov s tretjimi ponudniki storitev IKT ali obvladovanje kriz, organizirajo upravljanje tveganj na področju IKT v skladu z modelom treh obrambnih linij ali sprejmejo dokument o človeških virih, ki izčrpno pojasnjuje politike v zvezi s pravicami do dostopa. Prav tako bi bilo treba le take finančne subjekte pozvati, da izvajajo poglobljene ocene po večjih spremembah infrastruktur in procesov omrežja ter informacijskega sistema, redno izvajajo analize tveganj za obstoječe sisteme IKT ali razširijo testiranje neprekinjenega poslovanja ter načrtov odzivanja in okrevanja po katastrofi, da zajamejo scenarije preklopa med primarno infrastrukturo IKT in redundantnimi obrati. (35)Ker bi morali penetracijsko testiranje na podlagi analize groženj izvajati le finančni subjekti, ki so bili opredeljeni kot pomembni za namene naprednega testiranja digitalne odpornosti, bi bilo treba upravne postopke in finančne stroške, povezane z izvajanjem takih testov, prenesti na majhen delež finančnih subjektov. Nazadnje, da bi se zmanjšala regulativna bremena, bi se moralo le od finančnih subjektov, ki niso mikro podjetja, zahtevati, da redno poročajo pristojnim organom o vseh stroških in izgubah, ki so nastali zaradi motenj na področju IKT, in rezultatih pregledov po incidentu, ki se izvedejo po večjih motnjah IKT. (36)Upravljalni organ bi moral ohraniti ključno in aktivno vlogo pri usmerjanju in prilagajanju okvira za upravljanje tveganj na področju IKT in splošne strategije za digitalno odpornost, da se zagotovi popolna prilagoditev in splošna skladnost med poslovnimi strategijami finančnih subjektov na eni strani in upravljanjem tveganj na področju IKT na drugi strani. Pristop upravljalnega organa se ne bi smel osredotočati le na sredstva za zagotavljanje odpornosti sistemov IKT, temveč bi moral v sklopu politik, ki na vsaki ravni podjetja in pri vseh zaposlenih vzbuja močan občutek ozaveščenosti glede kibernetskih tveganj in zavezanost spoštovanju stroge kibernetske higiene na vseh ravneh, vključevati tudi ljudi in postopke. Končna odgovornost upravljalnega organa pri upravljanju tveganj finančnega subjekta na področju IKT bi morala biti poglavitno načelo navedenega celovitega pristopa, ki se nadalje prenese v stalno sodelovanje upravljalnega organa pri nadzoru spremljanja upravljanja tveganj na področju IKT. (37)Poleg tega je polna odgovornost upravljalnega organa povezana z zagotavljanjem zadostnih naložb v IKT in skupnega proračuna, da lahko finančni subjekt doseže minimalne zahteve glede digitalne operativne odpornosti. (38)Ta uredba črpa navdih iz ustreznih mednarodnih, nacionalnih in panožnih standardov, smernic, priporočil ali pristopov k upravljanju kibernetskih tveganj in spodbuja vrsto funkcij, ki omogočajo splošno ureditev upravljanja tveganj na področju IKT. Dokler glavne zmogljivosti, ki jih vzpostavijo finančni subjekti, ustrezajo potrebam ciljev, predvidenih s funkcijami (prepoznavanje, zaščita in preprečevanje, odkrivanje, odzivanje in okrevanje, učenje in razvoj ter komunikacija), določenimi v tej uredbi, lahko finančni subjekti uporabljajo modele upravljanja tveganj na področju IKT, ki so različno oblikovani ali kategorizirani. (39)Da bi finančni subjekti lahko sledili razvijajočemu se področju kibernetskih groženj, bi morali vzdrževati posodobljene sisteme IKT, ki so zanesljivi in imajo zadostno zmogljivost ne le za zagotavljanje obdelave podatkov, ki je potrebna za izvajanje njihovih storitev, temveč tudi za zagotavljanje tehnološke odpornosti, ki finančnim subjektom omogoča, da se ustrezno spopadajo z dodatnimi obdelovalnimi potrebami, ki jih lahko povzročijo zaostrene tržne ali druge neugodne razmere. Ta uredba sicer ne vključuje standardizacije posebnih sistemov, orodij ali tehnologij IKT, vendar temelji na ustrezni uporabi evropskih in mednarodno priznanih tehničnih standardov (npr. ISO) ali dobrih panožnih praks s strani finančnih subjektov, če je taka uporaba v celoti skladna s posebnimi nadzorniškimi navodili za uporabo in vključitev mednarodnih standardov. (40)Učinkoviti načrti neprekinjenega poslovanja in vnovične vzpostavitve delovanja morajo finančnim subjektom omogočiti takojšnje in hitro reševanje incidentov, povezanih z IKT, zlasti kibernetskih napadov, z omejevanjem škode in dajanjem prednosti nadaljevanju dejavnosti in ukrepom za ponovno vzpostavitev delovanja. Čeprav bi morali sistemi za varnostno kopiranje začeti delovati brez nepotrebnega odlašanja, tak zagon nikakor ne bi smel ogroziti celovitosti in varnosti omrežja in informacijskih sistemov ali zaupnosti podatkov. (41)Ta uredba finančnim subjektom omogoča, da prilagodljivo določijo cilje glede časa za obnovitev in posledično določijo take cilje ob popolnem upoštevanju narave in kritičnosti zadevne funkcije ter morebitnih posebnih poslovnih potreb, vendar bi se morala pri določanju takih ciljev zahtevati tudi ocena možnega splošnega vpliva na učinkovitost trga. (42)Pomembne posledice kibernetskih napadov se razširijo, ko se zgodijo v finančnem sektorju, za katerega obstaja veliko večje tveganje, da bo tarča zlonamernih razširjevalcev, ki iščejo finančne koristi neposredno pri viru. Da bi se omejila taka tveganja in preprečila izguba integritete sistemov IKT ali njihova nedostopnost ter poseganje v zaupne podatke ali utrpela škoda na fizični infrastrukturi IKT, bi bilo treba znatno izboljšati poročanje finančnih subjektov o večjih incidentih, povezanih z IKT. Poročanje o incidentih, povezanih z IKT, bi bilo treba uskladiti tako, da bi se od vseh finančnih subjektov zahtevalo, da poročajo le svojim pristojnim organom. To poročanje bi veljalo za vse finančne subjekte, vendar ne bi smelo na vse vplivati enako, saj bi bilo treba določiti ustrezne pragove pomembnosti in časovne okvire tako, da bi se zajeli le večji incidenti, povezani z IKT. Neposredno poročanje bi finančnim nadzornikom omogočilo dostop do informacij o incidentih, povezanih z IKT. Kljub temu bi morali finančni nadzorniki te informacije posredovati nefinančnim javnim organom (pristojni organi na področju varnosti omrežij in informacij, nacionalni organi za varstvo podatkov in organi kazenskega pregona v primeru incidentov, ki vključujejo kaznivo dejanje). Informacije o incidentih, povezanih z IKT, bi bilo treba vzajemno usmerjati: finančni nadzorniki bi morali finančnemu subjektu zagotoviti vse potrebne povratne informacije ali smernice, evropski nadzorni organi pa bi morali deliti anonimizirane podatke o grožnjah in ranljivostih v zvezi z dogodkom, da bi pripomogli k širši kolektivni obrambi. (43)Predvideti bi bilo treba nadaljnji razmislek o morebitni centralizaciji poročil o incidentih, povezanih z IKT, in sicer z enotnim vozliščem EU, ki bi neposredno prejemalo ustrezna poročila in samodejno obveščalo nacionalne pristojne organe ali pa zgolj centraliziralo poročila, ki jih pošljejo nacionalni pristojni organi, in izpolnjevalo usklajevalno vlogo. Evropski nadzorni organi bi morali v posvetovanju z ECB in ENISA do določenega datuma pripraviti skupno poročilo, v katerem bi preučili izvedljivost vzpostavitve takega vozlišča EU. (44)Finančni subjekti bi morali redno testirati svoje sisteme IKT in zaposlene v zvezi z učinkovitostjo njihovih sposobnosti preprečevanja, odkrivanja, odzivanja in okrevanja za odkrivanje in odpravo morebitnih ranljivosti na področju IKT, da bi se dosegla trdna digitalna operativna odpornost, ki je skladna z mednarodnimi standardi (kot so temeljni elementi za penetracijsko testiranje na podlagi analize groženj skupine G7). Testiranje bi moralo vključevati široko paleto orodij in ukrepov, od ocene osnovnih zahtev (npr. ocene in pregledi ranljivosti, analize prosto dostopnih virov, ocene varnosti omrežja, analize vrzeli, pregledi fizične varnosti, vprašalniki in rešitve programske opreme za pregledovanje, pregledi izvorne kode, kjer je to mogoče, testiranja na podlagi scenarijev, testiranje združljivosti, testiranje učinkovitosti ali celovito testiranje) do naprednejših testov (npr. penetracijsko testiranje na podlagi analize groženj za tiste finančne subjekte, ki so z vidika IKT dovolj pripravljeni na izvajanje takih testov), da bi se bilo mogoče odzvati na razlike med finančnimi podsektorji in znotraj njih glede pripravljenosti finančnih subjektov na področju kibernetske varnosti. Testiranje digitalne operativne odpornosti bi zato moralo biti zahtevnejše za pomembne finančne subjekte (kot so velike kreditne institucije, borze vrednostnih papirjev, centralne depotne družbe, centralne nasprotne stranke itd.). Hkrati bi moralo biti testiranje digitalne operativne odpornosti pomembnejše za nekatere podsektorje, ki imajo osrednjo sistemsko vlogo (npr. plačila, bančništvo, kliring in poravnava), in manj pomembno za druge podsektorje (npr. upravljavci premoženja, bonitetne agencije itd.). Čezmejni finančni subjekti, ki uveljavljajo pravico do ustanavljanja ali opravljanja storitev v Uniji, bi morali v svoji matični državi članici izpolniti enoten sklop zahtev za napredno testiranje (npr. penetracijsko testiranje na podlagi analize groženj), pri čemer bi moralo testiranje vključevati infrastrukture IKT v vseh jurisdikcijah, kjer čezmejna skupina deluje znotraj Unije, da bi imele čezmejne skupine stroške testiranja le v eni jurisdikciji. (45)Da bi se zagotovilo učinkovito spremljanje tveganj tretjih oseb na področju IKT, je treba določiti sklop na načelih temelječih pravil, ki bodo finančnim subjektom zagotavljala usmeritve pri spremljanju tveganj, ki izhajajo iz oddajanja funkcij v zunanje izvajanje tretjim ponudnikom storitev IKT in, splošneje, iz odvisnosti od tretjih oseb na področju IKT.

(46)Finančni subjekt bi moral biti ves čas v celoti odgovoren za izpolnjevanje obveznosti iz te uredbe. Organizirati bi bilo treba sorazmerno spremljanje tveganj, ki se pojavljajo na ravni tretjega ponudnika storitev IKT, z ustrezno preučitvijo obsega, zapletenosti in pomena odvisnosti, povezanih z IKT, kritičnosti ali pomena storitev, postopkov ali funkcij, za katere veljajo pogodbeni dogovori, in nazadnje na podlagi natančne ocene morebitnega vpliva na kontinuiteto in kakovost finančnih storitev na ravni posameznika in skupine, kot je ustrezno. (47)Izvajanje takega spremljanja bi moralo slediti strateškemu pristopu k tveganjem tretjih oseb na področju IKT, ki je bil formaliziran s sprejetjem posebne strategije s strani upravljalnega organa finančnega subjekta, in temeljiti na nenehnem preverjanju vseh takih odvisnosti od tretjih oseb na področju IKT. Finančni nadzorniki bi morali redno prejemati bistvene informacije iz registrov in imeti možnost, da na ad hoc podlagi zahtevajo izpiske iz njih, da se poveča ozaveščenost nadzornikov o odvisnosti od tretjih oseb na področju IKT in nadalje podpre okvir nadzora, vzpostavljen s to uredbo. (48)Temeljita analiza pred sklenitvijo pogodbe bi se morala opraviti pred uradno sklenitvijo pogodbenih dogovorov in predstavljati podlago zanje, medtem ko bi moral na odpovedi pogodb vplivati vsaj sklop okoliščin, ki kažejo na izpade pri tretjem ponudniku storitev IKT. (49)Za obravnavo sistemskega učinka tveganja koncentracije tretjih oseb na področju IKT bi bilo treba spodbujati uravnoteženo rešitev s prilagodljivim in postopnim pristopom, saj lahko neprilagodljive zgornje meje ali stroge omejitve ovirajo poslovno ravnanje in pogodbeno svobodo. Finančni subjekti bi morali temeljito oceniti pogodbene dogovore in določiti verjetnost za pojav takega tveganja, tudi s poglobljenimi analizami dogovorov o zunanjem podizvajanju, zlasti kadar so sklenjeni s tretjimi ponudniki storitev IKT s sedežem v tretji državi. V tej fazi in zaradi doseganja poštenega ravnovesja med nujnostjo ohranjanja pogodbene svobode in nujnostjo zagotavljanja finančne stabilnosti se ne zdi ustrezno določiti strogih zgornjih mej in omejitev v zvezi z izpostavljenostjo tretjim osebam na področju IKT. Evropski nadzorni organ, pooblaščen za izvajanje nadzora za vsakega ključnega tretjega ponudnika storitev IKT (v nadaljnjem besedilu: glavni nadzornik), bi moral pri izvajanju nadzornih nalog posebno pozornost nameniti popolnemu razumevanju razsežnosti soodvisnosti in odkrivanju posebnih primerov, v katerih bo visoka stopnja koncentracije ključnih tretjih ponudnikov storitev IKT v Uniji verjetno obremenila stabilnost in celovitost finančnega sistema Unije, in bi moral v primeru opredelitve takega tveganja zagotoviti dialog s ključnimi tretjimi ponudniki storitev IKT. (50)Med izvajanjem pogodb s tretjimi ponudniki storitev IKT bi bilo treba usklajevati ključne pogodbene elemente, da bi se lahko redno ocenjevala in spremljala sposobnost tretjega ponudnika storitev IKT, da finančnemu subjektu brez škodljivih učinkov na njegovo odpornost varno zagotovi storitve. Ti elementi zajemajo le minimalne pogodbene vidike, za katere finančni subjekt meni, da so ključni za celovito spremljanje z vidika zagotavljanja njegove digitalne odpornosti, ki je odvisna od stabilnosti in varnosti storitve IKT. (51)Pogodbeni dogovori bi morali zlasti vsebovati specifikacijo podrobnih opisov funkcij in storitev, lokacij, na katerih se zagotavljajo take funkcije in obdelujejo podatki, ter navedbo celovitih opisov ravni storitev, ki jih spremljajo kvantitativni in kvalitativni cilji uspešnosti v okviru dogovorjenih ravni storitev, da se finančnemu subjektu omogoči učinkovito spremljanje. Enako bi bilo treba tudi določbe o dostopnosti, razpoložljivosti, celovitosti, varnosti in zaščiti osebnih podatkov ter jamstva za dostop, okrevanje in povračila v primeru plačilne nesposobnosti, reševanja ali prenehanja poslovanja tretjega ponudnika storitev IKT šteti za ključne elemente za sposobnost finančnega subjekta, da zagotovi spremljanje tveganj tretjih oseb. (52)Da bi finančni subjekti ohranili popoln nadzor nad vsemi spremembami, ki bi lahko ogrozile njihovo varnost na področju IKT, je treba določiti odpovedne roke in obveznosti poročanja tretjega ponudnika storitev IKT v primeru sprememb, ki bi lahko pomembno vplivale na zmožnost tretjega ponudnika storitev IKT, da učinkovito izvaja kritične ali pomembne funkcije, vključno z zagotavljanjem pomoči v primeru incidenta, povezanega z IKT, brez dodatnih stroškov ali po ceni, ki je bila predhodno določena. (53)Pravice do dostopa, inšpekcijskega pregleda in revizije s strani finančnega subjekta ali imenovane tretje osebe so ključni instrumenti pri stalnem spremljanju uspešnosti tretjega ponudnika storitev IKT, ki ga izvaja finančni subjekt, skupaj s polnim sodelovanjem slednjega med inšpekcijskimi pregledi. Tudi pristojni organ finančnega subjekta bi moral imeti na podlagi obvestila pravico do inšpekcijskega pregleda in revizije tretjega ponudnika storitev IKT, ob upoštevanju zaupnosti. (54)Pogodbeni dogovori bi morali vključevati jasne pravice do odpovedi in z njimi povezane minimalne odpovedne roke ter namenske izhodne strategije, zlasti obvezna prehodna obdobja, v katerih bi morali tretji ponudniki storitev IKT še naprej zagotavljati ustrezne funkcije, da bi se zmanjšalo tveganje motenj na ravni finančnega subjekta ali slednjemu omogočilo, da učinkovito preide na druge tretje ponudnike storitev IKT ali da uporablja rešitve na kraju samem v skladu z zapletenostjo zagotavljane storitve. (55)Poleg tega lahko prostovoljna uporaba standardnih pogodbenih klavzul, ki jih je Komisija razvila za storitve računalništva v oblaku, finančnim subjektom in njihovim tretjim ponudnikom storitev IKT daje dodatno zagotovilo z zvišanjem stopnje pravne varnosti pri uporabi storitev računalništva v oblaku s strani finančnega sektorja, in sicer v popolni skladnosti z zahtevami in pričakovanji iz predpisov o finančnih storitvah. Ta prizadevanja temeljijo na ukrepih, predvidenih že v akcijskem načrtu za finančno tehnologijo iz leta 2018, v katerem je Komisija objavila svojo namero, da spodbudi in olajša oblikovanje standardnih pogodbenih klavzul, na podlagi katerih finančni subjekti oddajo storitve računalništva v oblaku v zunanje izvajanje, pri čemer se opira na prizadevanja zainteresiranih strani glede medsektorskih storitev računalništva v oblaku, ki jih je Komisija omogočila s pomočjo finančnega sektorja. (56)Za ključne tretje ponudnike storitev IKT bi moral veljati nazorni okvir Unije, da bi se spodbudili konvergenca in učinkovitost v zvezi z nadzornimi pristopi k tveganju tretjih oseb na področju IKT za finančni sektor, okrepila digitalna operativna odpornost finančnih subjektov, ki se pri izvajanju operativnih funkcij zanašajo na ključne tretje ponudnike storitev IKT, in da bi se tako prispevalo k ohranjanju stabilnosti finančnega sistema Unije in celovitosti enotnega trga finančnih storitev. (57)Ker je posebna obravnava potrebna le za ključne tretje ponudnike storitev, bi bilo treba vzpostaviti mehanizem imenovanja za uporabo nadzornega okvira Unije, da bi se upoštevali razsežnost in narava odvisnosti finančnega sektorja od takih tretjih ponudnikov storitev IKT, kar pomeni sklop kvantitativnih in kvalitativnih meril, ki bi določala parametre kritičnosti kot podlago za vključitev v nadzor. Ključni tretji ponudniki storitev IKT, ki niso samodejno imenovani na podlagi uporabe zgoraj navedenih meril, bi morali imeti možnost, da se prostovoljno vključijo v nadzorni okvir, hkrati pa bi bilo treba izvzeti tiste tretje ponudnike storitev IKT, za katere že veljajo okviri mehanizmov nadzora, vzpostavljeni na ravni Eurosistema z namenom podpiranja nalog iz člena 127(2) Pogodbe o delovanju Evropske unije. (58)Zahteva po pravni vključitvi tretjih ponudnikov storitev IKT, ki so bili imenovani za ključne, v Unijo ne pomeni lokalizacije podatkov, saj ta uredba ne vključuje nobenih dodatnih zahtev glede potrebe po shranjevanju ali obdelavi podatkov v Uniji. (59)Ta okvir ne bi smel posegati v pristojnost držav članic za izvajanje lastnih nadzornih nalog v zvezi s tretjimi ponudniki storitev IKT, ki v skladu s to uredbo niso ključni, vendar bi se šteli za pomembne na nacionalni ravni. (60)Da bi Skupni odbor evropskih nadzornih organov izkoristil sedanjo večplastno institucionalno arhitekturo na področju finančnih storitev, bi moral še naprej zagotavljati splošno medsektorsko usklajevanje v zvezi z vsemi zadevami, povezanimi s tveganji na področju IKT, v skladu s svojimi nalogami na področju kibernetske varnosti, pri čemer bi ga podpiral nov pododbor (nadzorniški forum), ki bi izvajal pripravljalno delo za posamezne odločitve, naslovljene na ključne tretje ponudnike storitev IKT, in skupna priporočila, zlasti glede primerjalne analize programov nadzora nad ključnimi tretjimi ponudniki storitev IKT, ter opredeljeval dobre prakse za obravnavo tveganj koncentracije na področju IKT. (61)Za zagotovitev, da so tretji ponudniki storitev IKT, ki imajo ključno vlogo pri delovanju finančnega sektorja, sorazmerno nadzorovani na ravni Unije, bi bilo treba enega od evropskih nadzornih organov imenovati za glavnega nadzornika za vsakega ključnega tretjega ponudnika storitev IKT. (62)Glavni nadzorniki bi morali imeti potrebna pooblastila za izvajanje preiskav, inšpekcijske preglede ključnih tretjih ponudnikov storitev IKT na kraju samem in zunaj njega, dostop do vseh ustreznih prostorov in lokacij ter pridobitev popolnih in posodobljenih informacij, ki bi jim omogočala pridobitev pravega vpogleda v vrsto, razsežnost in učinek tveganja tretjih oseb na področju IKT za finančne subjekte in, nazadnje, za finančni sistem Unije. Podelitev glavne nadzorne pristojnosti evropskim nadzornim organom je pogoj za razumevanje in obravnavanje sistemske razsežnosti tveganj na področju IKT v finančnem sektorju. Prisotnost ključnih tretjih ponudnikov storitev IKT v Uniji in morebitna povezana vprašanja glede tveganja koncentracije na področju IKT zahtevajo kolektivni pristop na ravni Unije. Ločeno izvajanje številnih revizij in pravic do dostopa s strani več pristojnih organov, pri katerem bi bilo usklajevanje omejeno ali pa ga sploh ne bi bilo, ne bi zagotovilo popolnega pregleda nad tveganjem tretjih oseb na področju IKT, hkrati pa bi ustvarilo nepotreben presežek, breme in zapletenost na ravni ključnih tretjih ponudnikov storitev IKT, ki bi se soočali s tako številnimi zahtevami. (63)Poleg tega bi morali imeti glavni nadzorniki možnost, da predložijo priporočila v zvezi s tveganji na področju IKT in ustreznimi popravnimi ukrepi, vključno z nasprotovanjem nekaterim pogodbenim dogovorom, ki nazadnje vplivajo na stabilnost finančnega subjekta ali finančnega sistema. Pristojni nacionalni organi bi morali ustrezno upoštevati skladnost s takimi vsebinskimi priporočili glavnih nadzornikov v okviru njihove funkcije v zvezi z bonitetnim nadzorom finančnih subjektov. (64)Okvir nadzora ne zamenjuje ali kakor koli nadomešča upravljanja tveganj, ki ga finančni subjekti izvajajo v zvezi z uporabo tretjih ponudnikov storitev IKT, vključno z obveznostjo stalnega spremljanja pogodbenih dogovorov, sklenjenih s ključnimi tretjimi ponudniki storitev IKT, in ne vpliva na polno odgovornost finančnih subjektov, da upoštevajo in izpolnijo vse zahteve iz te uredbe in ustrezne zakonodaje o finančnih storitvah. Da bi se izognili podvajanju in prekrivanju, pristojni organi ne bi smeli ločeno sprejemati ukrepov, namenjenih spremljanju tveganj ključnih tretjih ponudnikov storitev IKT. Vsak tak ukrep bi bilo treba predhodno uskladiti in se o njem dogovoriti na podlagi nadzornega okvira.

(65)Evropske nadzorne organe bi bilo treba spodbujati, da sklenejo dogovore o sodelovanju z ustreznimi nadzornimi in regulativnimi pristojnimi organi tretjih držav, da bi se olajšal razvoj dobrih praks za obravnavanje tveganj tretjih oseb na področju IKT in tako na mednarodni ravni spodbujala konvergenca dobrih praks, ki naj se uporabljajo pri reviziji upravljanja digitalnih tveganj tretjih ponudnikov storitev IKT. (66)Da bi glavni nadzorniki izkoristili tehnično strokovno znanje strokovnjakov pristojnih organov za upravljanje operativnih tveganj in tveganj na področju IKT, bi morali črpati iz izkušenj nacionalnih nadzornikov in za vsakega posameznega ključnega tretjega ponudnika storitev IKT ustanoviti posebne pregledniške ekipe, ki bi združevale multidisciplinarne skupine za podporo pri pripravi in dejanskem izvajanju nadzornih dejavnosti, vključno z inšpekcijskimi pregledi ključnih tretjih ponudnikov storitev IKT na kraju samem, ter njihovem nadaljnjem spremljanju. (67)Pristojni organi bi morali imeti vsa potrebna pooblastila za nadzor, preiskovanje in izrekanje sankcij, da se zagotovi uporaba te uredbe. Upravne kazni bi načeloma morale biti objavljene. Ker so lahko finančni subjekti in tretji ponudniki storitev IKT ustanovljeni v različnih državah članicah in pod nadzorom različnih sektorskih pristojnih organov, bi bilo treba zagotoviti tesno sodelovanje med zadevnimi pristojnimi organi, vključno z Evropsko centralno banko (ECB) v zvezi s posebnimi nalogami, ki so nanjo prenesene z Uredbo Sveta (EU) št. 1024/2013, in posvetovanje z evropskimi nadzornimi organi, in sicer z izmenjavo informacij ter zagotavljanjem pomoči pri nadzornih dejavnostih. (68)Za nadaljnjo kakovostno in količinsko opredelitev meril v zvezi z imenovanjem ključnih tretjih ponudnikov storitev IKT in za uskladitev nadomestil za nadzor bi bilo treba na Komisijo prenesti pooblastilo, da v skladu s členom 290 Pogodbe o delovanju Evropske unije sprejema akte v zvezi z naslednjimi vidiki: nadaljnja opredelitev sistemskega učinka, ki bi ga prenehanje delovanja tretjega ponudnika storitev IKT lahko imelo na finančne subjekte, ki jim zagotavlja storitve, število globalnih sistemsko pomembnih institucij (GSPI) ali drugih sistemsko pomembnih institucij (DSPI), ki so odvisne od zadevnega tretjega ponudnika storitev IKT, število tretjih ponudnikov storitev IKT, ki delujejo na določenem trgu, stroški prehoda na drugega tretjega ponudnika storitev IKT, število držav članic, v katerih zadevni tretji ponudnik storitev IKT zagotavlja storitve in v katerih poslujejo finančni subjekti, ki uporabljajo zadevnega tretjega ponudnika storitev IKT, ter znesek nadomestil za nadzor in način njihovega plačila. Zlasti je pomembno, da se Komisija pri svojem pripravljalnem delu ustrezno posvetuje, vključno na ravni strokovnjakov, in da se ta posvetovanja izvedejo v skladu z načeli iz Medinstitucionalnega sporazuma o boljši pripravi zakonodaje z dne 13. aprila 2016. Za zagotovitev enakopravnega sodelovanja pri pripravi delegiranih aktov Evropski parlament in Svet zlasti prejmeta vse dokumente sočasno s strokovnjaki iz držav članic, njuni strokovnjaki pa se sistematično lahko udeležujejo sestankov strokovnih skupin Komisije, ki zadevajo pripravo delegiranih aktov. (69)Ker ta uredba, skupaj z Direktivo (EU) 20xx/xx Evropskega parlamenta in Sveta, vključuje konsolidacijo določb o upravljanju tveganj na področju IKT, ki zajemajo številne uredbe in direktive pravnega reda Unije na področju finančnih storitev, vključno z uredbami (ES) št. 1060/2009, (EU) št. 648/2012, (EU) št. 600/2014 in (EU) št. 909/2014, bi bilo treba za zagotovitev popolne skladnosti navedene uredbe spremeniti, da se pojasni, da so ustrezne določbe, povezane s tveganji na področju IKT, opredeljene v tej uredbi. Tehnični standardi bi morali zagotoviti dosledno harmonizacijo zahtev iz te uredbe. Ker imajo evropski nadzorni organi visoko specializirano strokovno znanje, bi morali biti pooblaščeni za pripravo osnutkov regulativnih tehničnih standardov, ki ne vključujejo odločitev politike, in osnutke predložiti Komisiji. Razviti je treba regulativne tehnične standarde na področjih upravljanja tveganj na področju IKT, poročanja, testiranja in ključnih zahtev za dobro spremljanje tveganj tretjih oseb na področju IKT. (70)Zlasti je pomembno, da se Komisija pri svojem pripravljalnem delu ustrezno posvetuje, tudi na ravni strokovnjakov. Komisija in evropski nadzorni organi bi morali zagotoviti, da bi lahko te standarde in zahteve vsi finančni subjekti uporabljali na način, ki bi ustrezal naravi, obsegu in zapletenosti teh subjektov in njihovih dejavnosti. (71)Za lažjo primerljivost poročil o večjih incidentih, povezanih z IKT, in zagotovitev preglednosti pogodbenih dogovorov o uporabi storitev IKT, ki jih zagotavljajo tretji ponudniki storitev IKT, bi morali biti evropski nadzorni organi pooblaščeni za pripravo osnutkov izvedbenih tehničnih standardov, ki bi določali standardizirane predloge, obrazce in postopke, v skladu s katerimi bi finančni subjekti poročali o večjem incidentu, povezanem z IKT, ter standardizirane predloge za register informacij. Evropski nadzorni organi bi morali pri oblikovanju teh standardov upoštevati velikost in zapletenost finančnih subjektov ter naravo in stopnjo tveganja njihovih dejavnosti. Na Komisijo bi bilo treba prenesti pooblastilo za sprejetje navedenih izvedbenih tehničnih standardov z izvedbenimi akti v skladu s členom 291 PDEU ter členom 15 Uredbe (EU) št. 1093/2010, (EU) št. 1094/2010 oziroma (EU) št. 1095/2010. Ker so bile nadaljnje zahteve že določene z delegiranimi in izvedbenimi akti, ki temeljijo na tehničnih regulativnih in izvedbenih tehničnih standardih v Uredbi (ES) št. 1060/2009, (EU) št. 648/2012, (EU) št. 600/2014 oziroma (EU) št. 909/2014, je ustrezno pooblastiti evropske nadzorne organe, da bodisi posamično bodisi skupaj prek Skupnega odbora Komisiji predložijo regulativne in izvedbene tehnične standarde za sprejetje delegiranih in izvedbenih aktov, s katerimi se prenašajo in posodabljajo obstoječa pravila o upravljanju tveganj na področju IKT. (72)To bo vključevalo naknadne spremembe obstoječih delegiranih in izvedbenih aktov, sprejetih na različnih področjih zakonodaje o finančnih storitvah. Področje uporabe členov o operativnem tveganju, na podlagi katerih so bili v skladu s pooblastili v navedenih aktih sprejeti delegirani in izvedbeni akti, je treba spremeniti, da se v to uredbo prenesejo vse določbe o digitalni operativni odpornosti, ki so trenutno del navedenih uredb. (73)Ker države članice zaradi potrebe po harmonizaciji številnih različnih pravil, ki trenutno obstajajo bodisi v nekaterih aktih Unije bodisi v pravnih sistemih različnih držav članic, ne morejo zadovoljivo doseči ciljev te uredbe, in sicer doseganja visoke stopnje digitalne operativne odpornosti vseh finančnih subjektov, temveč se ti cilji zaradi obsega in učinkov te uredbe lažje dosežejo na ravni Unije, lahko Unija sprejme ukrepe v skladu z načelom subsidiarnosti, kot je določeno v členu 5 Pogodbe o Evropski uniji. V skladu z načelom sorazmernosti, kot je določeno v navedenem členu, ta uredba ne presega okvirov, ki so potrebni za dosego navedenega cilja – SPREJELA NASLEDNJO UREDBO: POGLAVJE I Splošne določbe Člen 1 Predmet urejanja 1.Ta uredba določa naslednje enotne zahteve glede varnosti omrežja in informacijskih sistemov, pri čemer podpira poslovne procese finančnih subjektov, potrebne za doseganje visoke skupne stopnje digitalne operativne odpornosti: (a)zahteve, ki veljajo za finančne subjekte glede: –upravljanja tveganj na področju informacijske in komunikacijske tehnologije (IKT); –poročanja pristojnim organom o večjih incidentih, povezanih z IKT;

–testiranja digitalne operativne odpornosti; –izmenjave informacij in obveščevalnih podatkov v zvezi s kibernetskimi grožnjami in ranljivostmi; –ukrepov za dobro upravljanje tveganj tretjih oseb na področju IKT, ki ga izvajajo finančni subjekti; (b)zahteve v zvezi s pogodbenimi dogovori, sklenjenimi med tretjimi ponudniki storitev IKT in finančnimi subjekti; (c)okvir nadzora za ključne tretje ponudnike storitev IKT, ki zagotavljajo storitve finančnim subjektom; (d)pravila o sodelovanju med pristojnimi organi in pravila o nadzoru in izvrševanju s strani pristojnih organov v zvezi z vsemi zadevami, zajetimi v tej uredbi. 2.V zvezi s finančnimi subjekti, opredeljenimi kot izvajalci bistvenih storitev v skladu z nacionalnimi pravili, s katerimi je prenesen člen 5 Direktive (EU) 2016/1148, se ta uredba za namene člena 1(7) navedene direktive šteje za sektorski pravni akt Unije. Člen 2 Osebno področje uporabe 1.Ta uredba se uporablja za naslednje subjekte: (a)kreditne institucije, (b)plačilne institucije, (c)institucije za izdajo elektronskega denarja, (d)investicijska podjetja, (e)ponudnike storitev v zvezi s kriptoimetji, izdajatelje kriptoimetij, izdajatelje žetonov, vezanih na sredstva, in izdajatelje pomembnih žetonov, vezanih na sredstva, (f)centralne depotne družbe, (g)centralne nasprotne stranke, (h)mesta trgovanja, (i)repozitorije sklenjenih poslov, (j)upravitelje alternativnih investicijskih skladov,

(k)družbe za upravljanje, (l)izvajalce storitev sporočanja podatkov, (m)zavarovalnice in pozavarovalnice, (n)zavarovalne posrednike, pozavarovalne posrednike in posrednike dopolnilnih zavarovanj, (o)institucije za poklicno pokojninsko zavarovanje, (p)bonitetne agencije, (q)zakonite revizorje in revizijska podjetja, (r)upravljavce ključnih referenčnih vrednosti, (s)ponudnike storitev množičnega financiranja, (t)repozitorije listinjenja, (u)tretje ponudnike storitev IKT. 2.Za namene te uredbe se subjekti iz odstavkov (a) do (t) skupaj imenujejo „finančni subjekti“. Člen 3 Opredelitev pojmov V tej uredbi se uporabljajo naslednje opredelitve pojmov: (1)„digitalna operativna odpornost“ pomeni sposobnost finančnega subjekta, da vzpostavi, zagotavlja in pregleduje svojo operativno integriteto s tehnološkega vidika, tako da neposredno ali posredno z uporabo storitev tretjih ponudnikov storitev IKT zagotovi celoten sklop zmogljivosti, povezanih z IKT, ki so potrebne za obravnavo varnosti omrežja in informacijskih sistemov, ki jih uporablja finančni subjekt in ki omogočajo nadaljnje zagotavljanje in kakovost finančnih storitev; (2)„omrežje in informacijski sistem“ pomeni omrežje in informacijski sistem, kot sta opredeljena v točki 1 člena 4 Direktive (EU) 2016/1148; (3)„varnost omrežij in informacijskih sistemov“ pomeni varnost omrežij in informacijskih sistemov, kot je opredeljena v točki 2 člena 4 Direktive (EU) 2016/1148; (4)„tveganja na področju IKT“ pomenijo katero koli razumno določljivo okoliščino v zvezi z uporabo omrežja in informacijskih sistemov, vključno z nepravilnim delovanjem, prekoračitvijo zmogljivosti, okvaro, motnjo, oslabitvijo, zlorabo, izgubo ali drugo vrsto zlonamernega ali nenamernega dogodka, ki lahko, če se uresniči, ogrozi varnost omrežja in informacijskih sistemov, orodja ali postopka, odvisnega od tehnologije, delovanja in izvajanja postopka ali zagotavljanja storitev, s čimer ogrozi celovitost ali razpoložljivost podatkov, programske opreme ali katere koli druge komponente storitev in infrastruktur IKT ali povzroči kršitev zaupnosti, škodo na fizični infrastrukturi IKT ali druge škodljive učinke; (5)„informacijsko sredstvo“ pomeni zbirko informacij, oprijemljivih ali neoprijemljivih, ki jih je vredno zavarovati;

(6)„incident, povezan z IKT“ pomeni nepredviden ugotovljen dogodek v omrežju in informacijskih sistemih, ki je posledica zlonamerne dejavnosti ali ne ter ki ogroža varnost omrežja in informacijskih sistemov ter informacij, ki jih taki sistemi obdelujejo, shranjujejo ali prenašajo, ali ki ima škodljiv učinek na razpoložljivost, zaupnost, neprekinjenost ali verodostojnost finančnih storitev, ki jih zagotavlja finančni subjekt; (7)„večji incident, povezan z IKT“ pomeni incident, povezan z IKT, s potencialno velikim škodljivim učinkom na omrežje in informacijske sisteme, ki podpirajo kritične funkcije finančnega subjekta; (8)„kibernetska grožnja“ pomeni kibernetsko grožnjo, kot je opredeljena v točki 8 člena 2 Uredbe (EU) št. 2019/881 Evropskega parlamenta in Sveta; (9)„kibernetski napad“ pomeni zlonamerni incident, povezan z IKT, s katerim poskuša akter grožnje uničiti, razkriti, spremeniti, onemogočiti ali ukrasti sredstvo, pridobiti nepooblaščen dostop do njega ali ga nedovoljeno uporabiti; (10)„obveščevalni podatki o grožnjah“ pomenijo informacije, ki so bile združene, preoblikovane, analizirane, razložene ali obogatene, da bi zagotovile potreben okvir za odločanje, in ki prinašajo ustrezno in zadostno razumevanje za zmanjšanje učinka incidenta, povezanega z IKT, ali kibernetske grožnje, vključno s tehničnimi podrobnostmi kibernetskega napada ter podatki o odgovornih osebah za napad, njihovem načinu delovanja in motivih; (11)„obramba v globino“ pomeni strategijo, povezano z IKT, ki vključuje ljudi, postopke in tehnologijo za vzpostavitev različnih ovir na številnih ravneh in razsežnostih subjekta; (12)„ranljivost“ pomeni šibkost, dovzetnost ali napako sredstva, sistema, postopka ali nadzora, ki jo grožnja lahko izkoristi; (13)„penetracijsko testiranje na podlagi analize groženj“ pomeni okvir, ki posnema taktike, tehnike in postopke dejanskih akterjev groženj, za katere se šteje, da predstavljajo resnično kibernetsko grožnjo, in ki zagotavlja nadzorovan, prilagojen in na podlagi obveščevalnih podatkov (rdeča ekipa) oblikovan test ključnih aktivnih produkcijskih sistemov subjekta; (14)„tveganje tretjih oseb na področju IKT“ pomeni tveganje na področju IKT, ki lahko grozi finančnemu subjektu zaradi njegove uporabe storitev IKT, ki jih zagotavljajo tretji ponudniki storitev IKT ali njihovi nadaljnji podizvajalci; (15)„tretji ponudnik storitev IKT“ pomeni podjetje, ki zagotavlja digitalne in podatkovne storitve, vključno s ponudniki storitev računalništva v oblaku, programske opreme, storitev analize podatkov in podatkovnimi centri, vendar brez ponudnikov komponent strojne opreme in podjetij, pooblaščenih v okviru prava Unije, ki zagotavljajo elektronske komunikacijske storitve iz točke 4 člena 2 Direktive (EU) 2018/1972 Evropskega parlamenta in Sveta; (16)„storitve IKT“ pomenijo digitalne in podatkovne storitve, ki se prek sistemov IKT zagotavljajo enemu ali več notranjim ali zunanjim uporabnikom, vključno z zagotavljanjem podatkov, vnosom podatkov, shranjevanjem podatkov, obdelavo podatkov in storitvami poročanja, spremljanjem podatkov ter storitvami za podporo poslovanju in odločanju na podlagi podatkov; (17)„kritična ali pomembna funkcija“ pomeni funkcijo, katere prekinjeno, pomanjkljivo ali neuspešno izvajanje bi bistveno oviralo stalno skladnost finančnega subjekta s pogoji in obveznostmi njegovega dovoljenja ali drugimi obveznostmi v skladu z veljavno zakonodajo o finančnih storitvah ali pa bi ogrozilo njegovo finančno uspešnost ali trdnost ali neprekinjenost njegovih storitev in dejavnosti; (18)„ključni tretji ponudnik storitev IKT“ pomeni tretjega ponudnika storitev IKT, imenovanega v skladu s členom 29, za katerega velja okvir nadzora iz členov 30 do 37; (19)„tretji ponudnik storitev IKT s sedežem v tretji državi“ pomeni tretjega ponudnika storitev IKT, ki je pravna oseba s sedežem v tretji državi, ki nima podjetja/prisotnosti v Uniji in ki je sklenil pogodbeni dogovor s finančnim subjektom za zagotavljanje storitev IKT; (20)„podizvajalec storitev IKT s sedežem v tretji državi“ pomeni podizvajalca storitev IKT, ki je pravna oseba s sedežem v tretji državi, ki nima podjetja/prisotnosti v Uniji in ki je sklenil pogodbeni dogovor bodisi s tretjim ponudnikom storitev IKT ali tretjim ponudnikom storitev IKT s sedežem v tretji državi; (21)„tveganje koncentracije na področju IKT“ pomeni izpostavljenost enemu ali več povezanim ključnim tretjim ponudnikom storitev IKT, ki ustvarja določeno stopnjo odvisnosti od