Mnenje Evropskega ekonomsko-socialnega odbora – Predlog uredbe Evropskega parlamenta in Sveta o digitalni operativni odpornosti za finančni sektor in spremembi uredb (ES) št. 1060/2009, (EU) št. 648/2012, (EU) št. 600/2014 in (EU) št. 909/2014

(COM(2020) 595 final – 2020/0266 (COD))

Predlog direktive Evropskega parlamenta in Sveta o spremembi direktiv 2006/43/ES, 2009/65/ES, 2009/138/ES, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 in (EU) 2016/2341

(COM(2020) 596 final – 2020/0268 (COD))

(2021/C 155/06)

Poročevalec: Antonio GARCÍA DEL RIEGO

Zaprosilo Evropski parlament, 17. 12. 2020 Svet Evropske unije, 22. 12. 2020 Pravna podlaga člen 53(1), člen 114(1) in člen 304 PDEU Pristojnost strokovna skupina za ekonomsko in monetarno unijo ter ekonomsko in socialno kohezijo Datum sprejetja mnenja strokovne skupine 12. 2. 2021 Datum sprejetja na plenarnem zasedanju 24. 2. 2021 Plenarno zasedanje št. 558 Rezultat glasovanja (za/proti/vzdržani) 243/1/4

1. Sklepi in priporočila

1.1 EESO pozdravlja predlog akta o digitalni operativni odpornosti (DORA), ki ga je objavila Evropska komisija, saj je njegov namen zagotoviti pravno jasnost glede določb o tveganju v zvezi z IKT, zmanjšati regulativno kompleksnost, vzpostaviti skupen nabor standardov za zmanjševanje tveganj v zvezi z IKT ter olajšati harmonizirani nadzorni pristop, hkrati pa zagotavljati pravno varnost in potrebne zaščitne ukrepe za finančna podjetja in ponudnike storitev IKT. Akt DORA ne povečuje le odpornosti sektorja proti tveganjem na področju IKT, temveč je tudi v interesu več deležnikov, vključno s strankami, vlagatelji in zaposlenimi, ter prispeva k trajnostnemu razvoju.

1.2 EESO priporoča, da se učinkovitost akta DORA poveča z naslednjimi ukrepi:

1.2.1 Na področje uporabe akta se vključijo vsi ponudniki kritičnih finančnih storitev, ki razvijajo finančne dejavnosti, z njega pa izključi uporaba storitev IKT za nekritične funkcije.

1.2.2 Zagotovi se doslednost v opredelitvi in področju uporabe med aktom DORA in zahtevami, določenimi v obstoječih smernicah, ki so jih izdali evropski nadzorni organi.

1.2.3 Pri upravljanju IKT se da prednost okviru za pristop, ki temelji na načelih in tveganju ter olajšuje izvajanje kontrol, ki so kos izzivom prihodnosti, prožne in sorazmerne s tveganji.

1.2.4 V zvezi z incidenti, povezanimi z IKT, se zagotovi popolna usklajenost s kompletom orodij za odzivanje na kibernetske incidente in odpravo posledic, ki ga je razvil Odbor za finančno stabilnost.

1.2.5 V zvezi s testiranjem digitalne operativne odpornosti se poleg velikosti finančne institucije poudarita tudi kompleksnost in kritična narava storitve; izogibanje obveznemu oddajanju del v zunanje izvajanje omejenemu številu zunanjih preizkuševalcev in zagotavljanje vzajemnega priznavanja rezultatov testiranja.

1.2.6 Zahteve glede zunanjega izvajanja se združijo v enotna pravila, da bi se pravna varnost uveljavljala za vse udeležence na trgu in zanesljivo izpolnjevala nadzorniška pričakovanja.

1.2.7 Zagotovi se, da je mogoče priporočila glavnih nadzornikov izvajati v celoti, ter določijo jasne vloge in odgovornosti za različne organe, ki sodelujejo pri nadzoru ključnih tretjih ponudnikov storitev.

1.2.8 Da bi preprečili omejevanje pogodbene svobode podjetij in njihove zmožnosti dostopa do storitev ponudnikov z visoko dodano vrednostjo, se zagotovi dostop do storitev, ki veljajo za ključne in so oddane v zunanje izvajanje tretjim ponudnikom storitev s sedežem v tretjih državah.

1.2.9 V sistem kazni se vključi sorazmernost, da se preprečijo dejavniki, ki ponudnike storitev IKT odvračajo od izvajanja storitev za finančne subjekte EU, ter opusti se sedanje sklicevanje na svetovni promet.

1.2.10 Zagotovi se jasnost glede možnosti podjetij, da si izmenjujejo informacije o kibernetskih grožnjah, pri čemer bi morali biti dogovori o tem prostovoljni. V predlog akta DORA se vključi izrecna določba, ki dovoljuje izmenjavo osebnih podatkov.

1.2.11 Razmislili bi lahko o zvišanju praga za izjemo v predlogu, da se izvzamejo mikro in mala podjetja, kot so opredeljena v členu 2(2) Priloge I k Priporočilu Komisije 2003/361/ES ( 1 ) (podjetja, ki imajo manj kot 50 zaposlenih in katerih letni promet in/ali letna bilančna vsota ne presega 10 milijonov EUR), ter o zmanjšanju števila zahtev, ki se uporabljajo za MSP, sorazmerno s profilom digitalnega tveganja subjekta.

1.3 EESO podpira pooblastila glavnih nadzornikov za izvajanje revizijskih in inšpekcijskih postopkov nad ključnimi tretjimi ponudniki storitev, saj bi glavni nadzorniki tako bolje razumeli tveganja, ki bi jih lahko pomenili ti ponudniki. To bi lahko prispevalo k racionalizaciji postopkov, po katerih banke oddajajo delo v zunanje izvajanje.

2. Ozadje mnenja

2.1 Evropski potrošniki in podjetja se vse bolj opirajo na digitalne finančne storitve, kar je tesno povezano s tem, da udeleženci na trgu uporabljajo vse več inovativnih rešitev, ki temeljijo na novih tehnologijah. Digitalna preobrazba je ključna za evropsko okrevanje ter oblikovanje trajnostnega in odpornega evropskega gospodarstva.

2.2 Evropska komisija je v skladu s svojima prednostnima nalogama, da se Evropa pripravi na digitalno dobo ter vzpostavi gospodarstvo, ki bo pripravljeno na prihodnost in bo delovalo za dobrobit ljudi, predstavila sveženj o digitalnih financah . V njem so opisani ukrepi, s katerimi se lahko dodatno omogoči in podpre potencial digitalnih financ v smislu inovacij in konkurence ter hkrati ublažijo s tem povezana tveganja.

2.3 Poleg predloga za digitalno operativno odpornost sveženj o digitalnih financah vključuje novo strategijo za digitalne finance v finančnem sektorju EU ( 2 ) , predlog uredbe o trgih kriptoimetij in predlog uredbe o pilotni ureditvi za tržne infrastrukture na podlagi tehnologije razpršene evidence ( 3 )

2.4 Digitalna operativna odpornost je sposobnost podjetij, da vzdržijo vse motnje in grožnje, povezane z informacijsko in komunikacijsko tehnologijo (IKT). Vse večja odvisnost finančnega sektorja od programske opreme in digitalnih procesov pomeni, da so tveganja na področju IKT sestavni del tega sektorja. Finančna podjetja so postala tarča kibernetskih napadov, ki povzročijo veliko finančno škodo ter resno škodijo ugledu potrošnikov in podjetij. Ta tveganja je treba dobro razumeti in upravljati, zlasti v stresnih razmerah.

2.5 Čeprav se je zaradi reform, ki so sledile finančni krizi leta 2008, odpornost finančnega sektorja EU okrepila, so bila tveganja na področju IKT obravnavana le posredno. Ker na evropski ravni ni bilo celovitega regulativnega okvira o digitalni operativni odpornosti, se je bilo treba zanašati na nacionalne regulativne pobude. To je privedlo do zmanjšanja čezmejne učinkovitosti in razdrobljenosti enotnega trga, kar slabi stabilnost in celovitost finančnega sektorja EU. Zato Komisija predlaga, da se vzpostavi celovit okvir za digitalno operativno odpornost finančnih subjektov v EU.

2.6 zakonodajnega predloga za digitalno operativno odpornost (DORA) Namen ( 4 ) je izboljšati in racionalizirati ukrepe finančnih subjektov za upravljanje tveganj na področju IKT, vzpostaviti temeljito testiranje odpornosti sistemov IKT, spodbujati izmenjavo informacij in povečati ozaveščenost nadzornikov o kibernetskih tveganjih in incidentih, povezanih z IKT, s katerimi se srečujejo finančni subjekti, ter pooblastiti finančne nadzornike za nadzor tveganj, ki izhajajo iz odvisnosti finančnih subjektov od tretjih ponudnikov storitev IKT. V predlogu je predvidena tudi uvedba doslednega mehanizma poročanja o incidentih, ki bi lahko prispeval k zmanjšanju upravnih bremen za finančne subjekte in okrepil učinkovitost nadzora.

2.7 Komisija je predstavila tudi predlog direktive ( 5 ) , saj je treba določiti začasno izvzetje za večstranske sisteme trgovanja in spremeniti ali pojasniti nekatere določbe v obstoječih direktivah EU o finančnih storitvah, da bi dosegli cilje predloga za digitalno operativno odpornost.

2.8 Sektor IKT se uvršča med največje gospodarske panoge na svetu, trg IKT pa je bil leta 2019 po ocenah vreden več kot pet bilijonov USD, medtem ko naj bi do leta 2022 njegova vrednost dosegla več kot šest bilijonov USD. Nenehna rast nas opominja na vse večjo razširjenost in pomen tehnologije v današnji družbi. Glede na oceno učinka predloga je finančni sektor največji uporabnik IKT na svetu, pri čemer njegov delež v skupnih odhodkih za IKT znaša okrog 20 % .

2.9 Pandemija COVID-19 je spodbudila porast digitalnih finančnih storitev , medtem ko so mreže podružnic finančnih institucij še vedno premalo izkoriščene. S tem se bodo spodbudile naložbe v digitalna samopostrežna orodja, aplikacije odprtih finančnih storitev in storitve z dodano vrednostjo. Na splošno bodo sedanje razmere prisilile finančne institucije k večjemu vlaganju v informacijsko infrastrukturo, prednostnemu obravnavanju selitve ključnih delovnih obremenitev in posodobitvi obstoječih aplikacij. V evropskem finančnem sektorju že poteka obsežna digitalna preobrazba, njegova sposobnost konkuriranja na svetovni ravni pa bo v veliki meri odvisna od tega, ali in koliko bodo evropske institucije lahko izkoristile najnaprednejše tehnologije.

3. Splošne ugotovitve

3.1 EESO pozdravlja predlog za digitalno operativno odpornost (DORA), ki ga je objavila Evropska komisija in ki obravnava številne zahteve finančnega sektorja, njegov namen pa je zagotoviti pravno jasnost glede določb o tveganju v zvezi z IKT ter zmanjšati regulativno kompleksnost in upravno breme, ki sta posledica različnih pravil, ki se uporabljajo za finančne subjekte v EU. Akt DORA ne povečuje le odpornosti sektorja na tveganja na področju IKT, temveč je tudi v interesu več deležnikov, vključno s strankami, vlagatelji in zaposlenimi, ter prispeva k uresničevanju trajnostnega razvoja.

3.2 EESO meni, da je akt DORA pomemben korak k vzpostavitvi skupnega nabora standardov za zmanjševanje tveganj na področju IKT in olajšanje harmoniziranega nadzornega pristopa, vendar je pri tem treba paziti, da se ne ustvarijo ovire, ki bi finančnim institucijam EU lahko preprečevale sodelovanje v globalnem inovativnem procesu.

3.3 Po mnenju EESO si organi EU kot krovni cilj prizadevajo doseči sorazmerno in na tveganju utemeljeno ureditev, pri kateri bi bila nadzornikom na voljo orodja za obravnavanje pomislekov, hkrati pa bi zagotovili pravno varnost in potrebne zaščitne ukrepe za finančna podjetja in ponudnike storitev IKT.

4. Posebne ugotovitve

4.1 Področje uporabe in prekrivajoča se regulativna vprašanja

4.1.1 Vključitev dodatnih ustreznih udeležencev na finančnem trgu

EESO priznava in pozdravlja, da je predlagana zakonodaja namenjena širokemu spektru udeležencev na finančnem trgu, s čimer se bo zagotovila dosledna uporaba njenih zahtev v celotnem finančnem sektorju EU. Vendar priporoča, naj oblikovalci politik EU na njeno področje uporabe vključijo tudi udeležence na finančnem trgu, ki ne štejejo za del njenega področja uporabe, denimo ponudnike hipotekarnih posojil in ponudnike potrošniških posojil, in sicer v ustrezni meri, glede na tveganje, ki ga lahko predstavljajo za sistem. Za vse ponudnike finančnih storitev, ki razvijajo enake dejavnosti in prevzemajo enaka tveganja, bi morala veljati enaka pravila in nad njimi bi se moral izvajati enak nadzor, da bi zagotovili enak minimalni okvir za digitalno odpornost, ki bi ščitil potrošnike in finančno stabilnost.

4.1.2 Skladnost na mednarodni ravni in ravni EU ter z obstoječimi predpisi

Bistveno je, da se podjetjem, zlasti tistim, ki poslujejo čezmejno, zagotovi jasnost, pri čemer je treba poskrbeti, da so opredelitve in izrazi dosledni, ter preprečijo podvajanja, prekrivanja in različne razlage, kako podobna regulativna pričakovanja izpolnjevati v različnih jurisdikcijah. EESO priporoča, naj oblikovalci politik EU opredelitev operativne odpornosti spremenijo tako, da bo skladna z opredelitvijo Baselskega odbora za bančni nadzor (BCBS) (6), in poskrbijo, da bo to glavna ureditev, ki se uporablja za finančne institucije EU, da bi tako preprečili tveganje nasprotij z drugimi. Poleg tega je veliko od načel in zahtev iz akta DORA opredeljenih že v obstoječih smernicah o zunanjem izvajanju (7), tveganja na področju IKT in zahteve glede upravljanja varnostnih tveganj pa so določena že v smernicah EBA. Da bi dosegli harmonizacijo regulativnih zahtev EU, bo ključno zagotoviti doslednost v opredelitvi in področju uporabe med aktom DORA in zahtevami iz obstoječih smernic.

4.1.3 EESO prav tako priporoča Evropski komisiji, naj poskrbi, da bosta sedanji pregled direktive o varnosti omrežij in informacijskih sistemov ter predlog akta DORA vsebovala enake opredelitve in zahteve za finančne subjekte glede politike poročanja o varnostnih incidentih.

4.2 Upravljanje tveganj na področju IKT

Nekateri elementi okvira so preveč osredotočeni na skladnost z zahtevami, namesto na to, kako lahko podjetja dokažejo rezultate v okviru pristopa, ki temelji na načelih in tveganju. Ker so ti elementi preveč preskriptivni in podrobni, obstaja tveganje, da bodo ob spreminjajočem se okolju kibernetskih tveganj in tveganj na področju IKT sčasoma zastareli. EESO priporoča pristop, ki bolj temelji na načelih in tveganju ter olajšuje izvajanje kontrol, ki so kos prihodnjim izzivom, prožne in sorazmerne s tveganji.

4.3 Incidenti, povezani z IKT

EESO priporoča popolno usklajenost med kompletom orodij za odzivanje na kibernetske incidente in odpravo posledic (CIRR) (8), ki ga je nedavno objavil Odbor za finančno stabilnost ter vsebuje primere dobre prakse za poročanje o incidentih, ter predlaganim upravljanjem in razvrščanjem incidentov, povezanih z IKT, in poročanjem o njih, kot je predvideno v aktu DORA. Med njimi so namreč prekrivanja, ki ustvarjajo regulativno negotovost in povečujejo regulativno breme za podjetja.

4.4 Testiranje digitalne operativne odpornosti

4.4.1 EESO pozdravlja vseevropski sistem penetracijskega testiranja na podlagi analize groženj, saj se bo z njim povečala učinkovitost in zmanjšala razdrobljenost. Vendar priporoča, naj se organi ne osredotočajo le na velikost ali obseg finančne institucije, temveč tudi na kompleksnost in kritičnost storitve, pri tem pa po potrebi upoštevajo načelo sorazmernosti, da odpravijo razlikovanje med osnovnim testiranjem za vse finančne institucije in naprednejšim testiranjem za pomembne finančne institucije ter zagotovijo, da bodo stranke manjših finančnih subjektov enako zaščitene in da bodo za vse finančne subjekte vzpostavljeni enaki konkurenčni pogoji.

4.4.2 EESO priporoča, naj oddajanje testiranja v izvajanje zunanjim preizkuševalcem ne bo obvezno, saj je njihovo število omejeno. Podjetja imajo morda svoje interne ekipe za testiranje, ki poznajo okolje podjetja ter so sposobne hitro izvesti naprednejše in ciljno usmerjene teste.

4.4.3 Pregledati bi bilo treba vključevanje tretjih ponudnikov storitev IKT v penetracijsko testiranje na podlagi analize groženj. Zaradi dejstva, da lahko tretji ponudniki storitev IKT izvajajo storitve za več strank, bi lahko prišlo do precejšnjega podvajanja testiranja, kar bi lahko prineslo pomembna tveganja za tretje ponudnike storitev IKT in njihove stranke.

4.4.4 Poleg tega EESO priporoča, naj se izrecno omeni vzajemno priznavanje rezultatov testiranja glede na njegovo vlogo pri zmanjševanju tveganja in zagotavljanju nemotenega delovanja notranjega trga ter zato, da bi preprečili zviševanje stroškov za finančne subjekte, ki poslujejo čezmejno.

4.5 Upravljanje tveganj tretjih oseb na področju IKT in okvir nadzora nad ključnimi tretjimi ponudniki storitev IKT

4.5.1 Zagotavljanje skladnosti z obstoječimi smernicami o zunanjem izvajanju

EESO pozdravlja dejstvo, da se z aktom DORA vzpostavlja skupen regulativni okvir za dobro upravljanje tveganj tretjih oseb na področju IKT za vse udeležence na finančnem trgu v Evropi. Vseeno bo ključno zagotoviti popolno usklajenost med to skupno podlago, določeno v ključnih načelih (členi 25, 26 in 27), ter obstoječimi pravili, kot so smernice evropskih nadzornih organov o zunanjem izvajanju (tj. odprava obstoječega nasprotja glede področja uporabe med „zunanjim izvajanjem“ in „storitvami tretjih oseb“ (9)). Poleg tega je po mnenju EESO to velika priložnost za organe EU, da zahteve glede zunanjega izvajanja združijo v enotno uredbo, ki bi bila dovolj natančna, da bi se preprečile razlike v razlagi, ter s katero bi se lahko zagotovila pravna varnost vsem udeležencem na trgu in omogočilo zanesljivo izpolnjevanje nadzorniških pričakovanj.

4.5.2 Zahteve, ki se uporabljajo za kritične ali pomembne dejavnosti, oddane v zunanje izvajanje

Da bi se ohranila osredotočenost na tveganja, je treba pri uporabi člena 25(2) Uredbe natančneje opredeliti, kako se bo uporabljalo načelo sorazmernosti, pri čemer mora Uredba določati zahteve, ki bi se uporabljale za kritične ali pomembne dejavnosti, oddane v zunanje izvajanje, in zahteve, ki bi se uporabljale za ostale dejavnosti (10). EESO priporoča, naj bo uporaba storitev IKT za nekritične funkcije izključena s področja uporabe akta DORA.

4.5.3 Okvir neposrednega nadzora nad ključnimi tretjimi ponudniki storitev IKT

EESO pozdravlja uvedbo okvira neposrednega nadzora, ki bo ob odsotnosti horizontalnega nesektorskega okvira EU finančnim organom omogočal stalno spremljanje dejavnosti ključnih tretjih ponudnikov storitev IKT. V predlagani uredbi bi morali organi EU priznati dejstvo, da se z vključitvijo ključnega ponudnika storitev IKT v ta nadzor izpostavljenost finančnih institucij tveganju zmanjša zaradi stalnega spremljanja njegovih dejavnosti. Zato bi moral ta novi okvir nadzora z zmanjšanjem dela bremena, s katerim se zdaj soočajo finančni subjekti, prispevati tudi k racionalizaciji postopkov, po katerih banke oddajo delo v zunanje izvajanje, denimo v zvezi z izvajanjem revizijskih in inšpekcijskih postopkov glede tretjih ponudnikov storitev, ki veljajo za ključne ponudnike.

4.5.4 EESO podpira predlog, da se glavnim nadzornikom podelijo pooblastila za izvajanje revizijskih in inšpekcijskih postopkov nad ključnimi tretjimi ponudniki storitev, saj bi glavni nadzorniki tako pridobili boljše razumevanje tveganja, ki bi ga lahko pomenili ti ponudniki, glede na to, da njihove procese in poslovne prostore poznajo iz prve roke, namesto da se zanašajo na vsakokratna poročila, ki jih predložijo nadzorovane finančne institucije, in inšpekcijske preglede, ki jih izvajajo nacionalni pristojni organi. Čeprav bi bilo treba politike finančnih subjektov za zmanjševanje tveganj in njihove zakonske obveznosti ohraniti, se od finančnih institucij ne bi smelo zahtevati, da ponovno izvedejo inšpekcijske preglede in revizije, če jih je pred tem izvedel že glavni nadzornik.

4.5.5 Glavni nadzornik in pristojni nacionalni organi

Po zaključku postopka nadzora bodo uresničevanje priporočil glavnega nadzornika nadalje spremljali pristojni nacionalni organi, ki bodo ugotovitve glavnega nadzornika za imenovane ključne tretje ponudnike storitev morda uresničevali po svojem pristopu. EESO priporoča, naj se zagotovi popolna jasnost glede vlog in odgovornosti različnih organov, da bi se izognili položaju, ko razlike v razlagi na vsako od strank ključnih tretjih ponudnikov storitev vplivajo različno glede na njihov pristojni organ, in tako zmanjšali tveganje razdrobljenosti. Ta priporočila bi morala biti tudi v celoti izvršljiva glede na to, da je člen 37 zdaj nejasen glede njihove zavezujoče narave.

4.5.6 Ustavitev uporabe ključnega tretjega ponudnika storitev

DORA daje nacionalnim finančnim regulatorjem pooblastilo, da lahko od strank zahtevajo, naj začasno ustavijo ali opustijo uporabo ponudnika storitev IKT, dokler tveganja, opredeljena v priporočilih, niso odpravljena. Zahteve po takojšnji prekinitvi sodelovanja s ključnim tretjim ponudnikom storitev bi zagotovo vplivale na obstoječe ali prihodnje poslovanje in sprejemanje poslovnih odločitev (npr. z odvračanjem od naložb v EU) ter morebiti vplivale tudi na finančno stabilnost. Pristojni organi bi morali, preden sprejmejo to odločitev, poleg drugih dejavnikov natančno preučiti tudi potencialni negativni učinek prekinitve izvajanja zadevne storitve na finančne subjekte, ki uporabljajo zadevnega ključnega tretjega ponudnika storitev (11), ter določiti jasna merila za takšno zahtevo in predvideti morebitne popravne ukrepe.

4.5.7 Če se bo ta možnost na koncu ohranila, EESO priporoča, naj bodo finančni subjekti obveščeni dovolj vnaprej in naj imajo na voljo dovolj časa, da prekinejo pogodbeni dogovor s ponudnikom.

4.6 Ohranitev svetovne konkurenčnosti evropskih finančnih podjetij

4.6.1 Z novim okvirom se mora ohraniti sposobnost evropskih finančnih podjetij, da dostopajo do vsaj enakih tehnologij kot njihovi svetovni konkurenti. Finančna podjetja EU konkurirajo v svetovnem merilu, zaradi prihodnjega regulativnega okvira EU pa ne bi smela biti v slabšem položaju, s tem ko bi imela omejen dostop do najnaprednejših tehnologij, vse dokler ponudniki teh tehnologij izpolnjujejo standarde EU glede odpornosti in varnosti.

4.6.2 Tretji ponudniki storitev s sedežem v tretjih državah

Uredba ne bi smela omejevati možnosti oddajanja storitev, ki veljajo za ključne, v izvajanje tretjim ponudnikom storitev s sedežem v tretjih državah. S tem omejevanjem bi se nedvomno omejevali pogodbena svoboda posameznih subjektov in zmožnost dostopa evropskih finančnih institucij do storitev ponudnikov z visoko dodano vrednostjo, ki jih v Evropi zelo verjetno ne bo dovolj. To je še pomembnejše zato, ker je predlagani okvir nadzora omejen na finančni sektor, s čimer se vzpostavljajo neenaki konkurenčni pogoji za druge akterje, za katere ta uredba ne velja, in bi lahko sčasoma prispeval k povečanju tveganja koncentracije, kar je prav to, kar se želi z aktom DORA preprečiti.

4.6.3 Kazni na podlagi svetovnega prometa

Akt DORA predvideva kazni, ki se glede na svetovni promet naložijo ponudnikom storitev IKT, če ne izpolnijo zahtev finančnih nadzornikov EU. Z nesorazmerno uporabo teh kazni bi lahko svetovne ponudnike storitev IKT odvrnili od zagotavljanja storitev finančnim podjetjem EU, zaradi česar bi slednja lahko dejansko imela na voljo manjšo izbiro ponudnikov. Poleg tega bi lahko to neključne tretje ponudnike storitev zaradi strahu, da bodo kaznovani z nesorazmernimi denarnimi kaznimi, odvrnilo od tega, da bi se odločili za sodelovanje v sistemu nadzora, zaradi česar bi se zmanjšala konkurenca na predhodnem trgu. EESO se zavzema za to, da se v sistemu kazni uvede določena raven sorazmernosti, kar je ključno za preprečevanje odvračanja ponudnikov storitev IKT, ki želijo storitve izvajati za finančne subjekte EU.

4.7 Dogovor o izmenjavi informacij

4.7.1 Pravočasna izmenjava informacij je bistvena za učinkovito zaznavanje napadnih vektorjev ter prepoznavanje in preprečevanje morebitnih groženj, zato EESO pozdravlja določbo, ki finančnim institucijam omogoča sklepanje prostovoljnih dogovorov o izmenjavi informacij o kibernetskih grožnjah.

4.7.2 EESO priporoča tudi, naj organi EU v pogoje tega predloga vključijo jasno podlago, ki bi omogočala izmenjavo osebnih podatkov (kot so naslovi IP), saj bi se s tem zmanjšala negotovost in povečala sposobnost finančnih subjektov, da okrepijo svoje obrambne zmogljivosti, bolje prepoznavajo grožnje in zmanjšajo tveganje širjenja negativnih učinkov med njimi. Zaradi zaupne in občutljive narave podatkov je potrebna dodatna jasnost.

V Bruslju, 24. februarja 2021 Predsednica Evropskega ekonomsko-socialnega odbora Christa SCHWENG

(1) UL L 124, 20.5.2003, str. 36.

(2) Glej mnenje EESO ECO/534 – Strategija EU za digitalne finance (glej stran 27 tega Uradnega lista).

(3) Glej mnenje EESO ECO/535 – Kriptoimetja in tehnologija razpršene evidence (glej stran 31 tega Uradnega lista).

(4) COM(2020) 595 final.

(5) COM(2020) 596 final.

(6) Baselski odbor za bančni nadzor, Principles for operational resilience (Načela za operativno odpornost), 6. november 2020.

(7) Npr. v smernicah EBA in EIOPA ter v osnutku smernic ESMA, ki so bile v postopku posvetovanja.

(8) Odbor za finančno stabilnost, Final Report on Effective Practices for Cyber Incident Response and Recovery (Končno poročilo o učinkovitih praksah odzivanja na kibernetske incidente in odpravljanja posledic), 19. oktober 2020.

(9) V aktu DORA so storitve tretjih oseb na področju IKT omenjene le v zvezi s ključnimi načeli za dobro upravljanje tveganj tretjih oseb na področju IKT (poglavje V), medtem ko področje uporabe smernic EBA o zunanjem izvajanju temelji na opredelitvi zunanjega izvajanja, v skladu s katero se taka dejavnost izvaja redno ali neprekinjeno (odstavek 26). Smernice EBA določajo tudi seznam izjem, ki ne štejejo za zunanje izvajanje (odstavek 28).

(10) Prav tako bo ključno, da se v aktu DORA in smernicah EBA o zunanjem izvajanju uskladi opredelitev kritičnih ali pomembnih funkcij. V smernicah EBA so opredeljeni dejavniki, ki bi jih morale finančne institucije upoštevati pri presojanju, ali se dogovor o zunanjem izvajanju nanaša na funkcijo, ki je kritična ali pomembna (odstavki 29, 30 in 31).

(11) Eno od meril za imenovanje ponudnika storitev IKT za ključnega tretjega ponudnika storitev IKT bi bila stopnja nadomestljivosti tega ponudnika storitev, ob upoštevanju, da ni resničnih alternativ, ali da so težave pri delni ali popolni selitvi storitev (člen 28(2)). Če bi finančne institucije prekinile sodelovanje s ključnim tretjim ponudnikom storitev, bi storitev, ki jo je ta izvajal, težko prenesle na drugega ponudnika. Poleg tega bi zahteva, da se izpostavljene finančne institucije preusmerijo k drugemu ponudniku storitev, na koncu prispevala k večji koncentraciji na evropskem trgu, kar bi bilo v izrecnem nasprotju z namenom te uredbe.