Kommissionen har samrått med berörda parter under hela processen när detta förslag har utarbetats. I synnerhet har den gjort följande:

Detta förslag åtföljs av en konsekvensbedömning som lades fram för nämnden för lagstiftningskontroll den 29 april 2020 och godkändes den 29 maj 2020. Nämnden rekommenderade förbättringar på vissa områden för att uppnå följande syften: i) Lämna mer information om hur proportionaliteten kan garanteras. ii) Bättre belysa i vilken utsträckning det rekommenderade alternativet skiljer sig från de europeiska tillsynsmyndigheternas gemensamma tekniska rådgivning, och varför det alternativet är det bästa. iii) Ytterligare betona hur förslaget samverkar med befintlig EU-lagstiftning, bl.a. med de regler som för närvarande är under översyn. Konsekvensbedömningen anpassades för att ta itu med dessa punkter och tog också upp nämndens mer detaljerade kommentarer.

Vid utarbetandet av detta förslag förlitade sig kommissionen på kvalitativa och kvantitativa bevis som samlats in från erkända källor, däribland de två gemensamma tekniska råden från de europeiska tillsynsmyndigheterna. Detta har kompletterats med konfidentiella synpunkter och offentligt tillgängliga rapporter från tillsynsmyndigheter, internationella standardiseringsorgan och ledande forskningsinstitut samt kvantitativa och kvalitativa synpunkter från identifierade berörda parter inom hela den globala finanssektorn.

Medlemsstaterna uttryckte vid EGBPI-mötet den 18 maj 2020 stort stöd för att stärka finanssektorns digitala operativa motståndskraft genom de åtgärder som planeras i de fyra delar som kommissionen beskriver. Medlemsstaterna betonade också behovet av en tydlig koppling mellan de nya reglerna och reglerna om operativa risker (inom EU:s lagstiftning om finansiella tjänster) och de övergripande bestämmelserna om cybersäkerhet (direktivet om säkerhet i nätverks- och informationssystem). Under det andra mötet betonade vissa medlemsstater behovet av att säkerställa proportionalitet och beakta den särskilda situationen för små företag eller dotterbolag till större koncerner samt behovet av att ha ett starkt mandat för de nationella behöriga myndigheter som är involverade i tillsynen.

Syftet med det offentliga samrådet var att informera kommissionen om utvecklingen av en potentiell sektorsövergripande ram för digital operativ motståndskraft i EU på området finansiella tjänster. Svaren visade på ett brett stöd för införandet av en särskild ram med åtgärder inriktade på de fyra områden som samrådet gällde, samtidigt som man betonade behovet av att säkerställa proportionalitet och noggrant behandla och förklara samspelet med de övergripande reglerna i direktivet om säkerhet i nätverks- och informationssystem. Kommissionen fick in två svar på den inledande konsekvensbedömningen, där de svarande tog upp specifika aspekter som rör deras verksamhetsområde.

Trots denna breda omfattning är förordningen inte heltäckande. I synnerhet omfattar den inte systemoperatörer enligt definitionen i artikel 2 p i direktiv 98/26/EG om slutgiltig avveckling i system för överföring av betalningar och värdepapper (nedan kallat direktivet om slutgiltig avveckling), och inte heller systemdeltagare, såvida inte en sådan deltagare själv är en finansiell enhet som regleras på unionsnivå och som sådan skulle omfattas av denna förordning i egen rätt (dvs. kreditinstitut, värdepappersföretag, central motpart). Det unionsregister över utsläppsrätter som drivs under kommissionens överinseende i enlighet med direktiv 2003/87/EG faller också utanför tillämpningsområdet.

Harmonisering och effektivisering av rapporteringen av IKT-relaterade incidenter uppnås genom, för det första, ett allmänt krav på att finansiella enheter ska inrätta och genomföra en förvaltningsprocess för att övervaka och registrera IKT-relaterade incidenter, följt av en skyldighet att klassificera dem på grundval av de kriterier som anges i förordningen och vidareutvecklas av de europeiska tillsynsmyndigheterna, och slutligen genom att väsentlighetströsklar specificeras. För det andra ska endast IKT-relaterade incidenter som bedöms vara allvarliga rapporteras till de behöriga myndigheterna. Rapporteringen bör behandlas med hjälp av en gemensam mall och enligt ett harmoniserat förfarande som utarbetas av de europeiska tillsynsmyndigheterna. De finansiella enheterna bör lämna in inledande rapporter, delrapporter och slutrapporter och informera sina användare och kunder om incidenten har påverkat eller kan påverka deras ekonomiska intressen. De behöriga myndigheterna bör lämna relevanta uppgifter om incidenterna till andra institut eller myndigheter: till de europeiska tillsynsmyndigheterna, ECB och de gemensamma kontaktpunkter som har utsetts enligt direktiv (EU) 2016/1148.

(6)I kommissionens handlingsplan för fintech från 2018 betonades att det är ytterst viktigt att göra unionens finanssektor mer motståndskraftig även ur ett operativt perspektiv för att säkerställa dess tekniska säkerhet och goda funktion, och dess snabba återställning efter IKT-överträdelser och IKT-incidenter, så att finansiella tjänster i förlängningen kan tillhandahållas på ett effektivt och smidigt sätt i hela unionen, även under stressituationer, samtidigt som konsumenternas och marknadens förtroende bevaras.

(4)På senare år har IKT-risker uppmärksammats av nationella, europeiska och internationella beslutsfattare, tillsynsmyndigheter och standardiseringsorgan i ett försök att öka motståndskraften, fastställa standarder och samordna reglerings- och tillsynsarbetet. På internationell nivå har Baselkommittén för banktillsyn, kommittén för betalnings- och marknadsinfrastruktur, rådet för finansiell stabilitet, Financial Stability Institute samt G7- och G20-länderna som mål att förse behöriga myndigheter och marknadsoperatörer inom olika jurisdiktioner med verktyg för att stärka motståndskraften hos deras finansiella system.

(2)Användningen av IKT har under de senaste årtiondena fått en avgörande roll inom finanssektorn och är idag kritisk för driften av alla finansiella enheters vanliga dagliga funktioner. Digitaliseringen omfattar t.ex. betalningar, som i allt högre grad har gått från kontanter och pappersbaserade metoder till användning av digitala lösningar, liksom clearing och avveckling av värdepapper, elektronisk och algoritmisk handel, utlåning och finansiering, peer-to-peer-finansiering, kreditvärdering, försäkringsgarantiverksamhet, skadereglering och back-office-verksamhet. Finanssektorn har inte bara blivit till stor del digital i hela sektorn, utan digitaliseringen har också fördjupat sammanlänkningar och beroenden inom finanssektorn och med tredjepartsinfrastruktur och tredjepartstjänsteleverantörer.

(1)I den digitala tidsåldern stöder informations- och kommunikationstekniken (IKT) komplexa system som används för dagliga samhällsaktiviteter. Den får våra ekonomier att fungera inom viktiga sektorer, däribland finanssektorn, och förbättrar den inre marknadens funktion. Ökad digitalisering och sammanlänkning ökar också IKT-riskerna och gör samhället som helhet – och i synnerhet det finansiella systemet – mer sårbart för cyberhot eller IKT-avbrott. Även om den allmänt utbredda användningen av IKT-system och hög digitalisering och konnektivitet i dag är centrala inslag i all verksamhet som bedrivs av unionens finansiella enheter är den digitala motståndskraften ännu inte tillräckligt inbyggd i deras operativa ramar.

(25)Finansinstitutens beroende av IKT-tjänster beror delvis på deras behov av att anpassa sig till en framväxande konkurrenskraftig digital global ekonomi, effektivisera sin verksamhet och tillgodose konsumenternas efterfrågan. Karaktären på och omfattningen av ett sådant beroende har utvecklats kontinuerligt under de senaste åren, vilket har drivit fram kostnadsminskningar inom finansiell förmedling, möjliggjort företagsexpansion och skalbarhet vid införandet av finansiell verksamhet och samtidigt gett tillgång till ett brett spektrum av IKT-verktyg för att hantera komplexa interna processer.

(44)För att uppnå en stabil digital operativ motståndskraft, och i linje med internationella standarder (t.ex. G7-gruppens Fundamental Elements for Threat-Led Penetration Testing), bör finansiella enheter regelbundet testa sina IKT-system och sin personal med avseende på hur effektiv deras kapacitet för förebyggande, upptäckt, åtgärd och återställning är, för att upptäcka och åtgärda potentiella IKT-sårbarheter. För att ta hänsyn till skillnader mellan och inom de finansiella undersektorerna när det gäller de finansiella enheternas cybersäkerhetsberedskap bör testerna omfatta ett brett spektrum av verktyg och åtgärder, alltifrån en bedömning av grundläggande krav (t.ex. sårbarhetsbedömningar och skanningar, analyser av öppen källkod, nätverkssäkerhetsbedömningar, bristanalyser, fysiska säkerhetsgranskningar, frågeformulär och programvarulösningar, källkodsgranskningar där så är möjligt, scenariobaserade tester, kompatibilitetstester, resultatprovning eller end-to-end-tester) till mer avancerade tester (t.ex. hotstyrda penetrationstester för de finansiella enheter som är tillräckligt mogna ur ett IKT-perspektiv). Testningen av den digitala operativa motståndskraften bör därför vara mer krävande för betydande finansiella enheter (t.ex. stora kreditinstitut, fondbörser, värdepapperscentraler, centrala motparter osv.). Samtidigt bör testning av digital operativ motståndskraft också vara mer relevant för vissa delsektorer som har en central betydelse för systemet (t.ex. betalningar, bankverksamhet, clearing och avveckling) och mindre relevant för andra delsektorer (t.ex. kapitalförvaltare, kreditvärderingsinstitut osv.). Gränsöverskridande finansiella enheter som utövar sin etableringsfrihet eller frihet att tillhandahålla tjänster inom unionen bör uppfylla en enda uppsättning avancerade testkrav (t.ex. hotstyrda penetrationstester) i sin hemmedlemsstat, och detta test bör omfatta IKT-infrastrukturerna i alla jurisdiktioner i unionen där den gränsöverskridande koncernen bedriver verksamhet, vilket innebär att testningskostnader uppstår i endast en jurisdiktion för gränsöverskridande koncerner.

IKT-relaterad incidentrapportering bör harmoniseras för alla finansiella enheter genom att de åläggs att endast rapportera till sina behöriga myndigheter. Alla finansiella enheter skulle omfattas av denna rapportering, men alla bör inte påverkas på samma sätt, eftersom relevanta väsentlighetströsklar och tidsramar bör kalibreras så att de endast fångar upp större IKT-relaterade incidenter. Direkt rapportering skulle göra det möjligt för finansiella tillsynsmyndigheter att få tillgång till information om IKT-relaterade incidenter. De finansiella tillsynsmyndigheterna bör dock vidarebefordra denna information till icke-finansiella offentliga myndigheter (behöriga myndigheter för säkerhet i nätverks- och informationssystem, nationella dataskyddsmyndigheter och brottsbekämpande myndigheter för incidenter som är av brottslig art). Information om IKT-relaterade incidenter bör förmedlas ömsesidigt: de finansiella tillsynsmyndigheterna bör ge all nödvändig återkoppling eller vägledning till den finansiella enheten, medan de europeiska tillsynsmyndigheterna bör dela anonymiserade uppgifter om hot och sårbarheter i samband med en händelse till stöd för ett bredare kollektivt försvar.

(36)För att säkerställa fullständig anpassning och övergripande konsekvens mellan finansiella enheters affärsstrategier, å ena sidan, och genomförandet av IKT-riskhantering, å andra sidan, bör ledningsorganet vara skyldigt att ha en central och aktiv roll i styrningen och anpassningen av IKT-riskhanteringsramen och den övergripande strategin för digital motståndskraft. Ledningsorganets strategi bör inte enbart vara inriktad på hur IKT-systemens motståndskraft säkerställs, utan även omfatta människor och processer genom en uppsättning strategier som, på varje företagsnivå och för all personal, främjar en stark känsla av medvetenhet om it-risker och ett åtagande att tillämpa en strikt it-hygien på alla nivåer.

(31)Dessutom leder tveksamheter om vilken typ av information som kan delas med andra marknadsaktörer, eller med myndigheter som inte är tillsynsmyndigheter (t.ex. Enisa, för analytiskt underlag eller Europol, för brottsbekämpande ändamål) till att användbar information inte lämnas ut. Omfattningen av och kvaliteten på informationsutbytet är fortfarande begränsad och fragmenterad. Relevanta utbyten görs oftast lokalt (via nationella initiativ) och det saknas enhetliga EU-omfattande arrangemang för informationsutbyte som är anpassade till behoven i en integrerad finanssektor.

(54)Avtalsarrangemangen bör innehålla tydliga uppsägningsrättigheter och tillhörande minimimeddelanden samt särskilda exitstrategier som i synnerhet möjliggör obligatoriska övergångsperioder under vilka tredjepartsleverantörer av IKT-tjänster bör fortsätta att tillhandahålla relevanta funktioner för att minska risken för avbrott på finansiell enhetsnivå eller göra det möjligt för den finansiella enheten att på ett effektivt sätt byta till andra tredjepartsleverantörer av IKT-tjänster, eller använda sig av lösningar på plats som är förenliga med den tillhandahållna tjänstens komplexitet.

(53)Den finansiella enhetens eller en utsedd tredjeparts rätt till åtkomst, kontroll och revision är avgörande verktyg i de finansiella enheternas fortlöpande övervakning av IKT-tredjepartsleverantörens prestanda, i kombination med att den sistnämnda samarbetar fullt ut under kontrollerna. På samma sätt bör den finansiella enhetens behöriga myndighet ha dessa rättigheter för att, på grundval av anmälningar, kontrollera och granska tredjepartsleverantören av IKT-tjänster, med förbehåll för sekretesskrav.

(52)För att säkerställa att finansiella enheter fortfarande har full kontroll över all utveckling som kan försämra deras IKT-säkerhet bör tidsfrister för anmälan och rapporteringsskyldigheter för tredjepartsleverantören av IKT-tjänster fastställas för händelser som kan ha en väsentlig inverkan på tredjepartsleverantörens förmåga att effektivt utföra kritiska eller viktiga funktioner, inbegripet tillhandahållande av bistånd från tredjepartsleverantören i händelse av en IKT-relaterad incident utan extra kostnad eller till en kostnad som fastställs på förhand.

(50)För att kunna utvärdera och regelbundet övervaka förmågan hos tredjepartsleverantören av IKT-tjänster att på ett säkert sätt tillhandahålla tjänster till den finansiella enheten utan negativa effekter på den senares motståndskraft, bör det finnas en harmonisering av centrala avtalsdelar under hela fullgörandet av avtal med IKT-tredjepartsleverantörer. Dessa delar omfattar endast minimiaspekter av avtalet som anses avgörande för att den finansiella enheten ska kunna bedriva en fullständig övervakning i syfte att säkerställa den digitala motståndskraft som är beroende av IKT-tjänstens stabilitet och säkerhet.

(70)Det är särskilt viktigt att kommissionen genomför lämpliga samråd under sitt förberedande arbete, inklusive på expertnivå. Kommissionen och de europeiska tillsynsmyndigheterna bör se till att dessa standarder och krav kan tillämpas av alla finansiella enheter på ett sätt som står i proportion till dessa enheter och deras verksamheter i fråga om deras art, omfattning och komplexitet.

Det är särskilt viktigt att kommissionen genomför lämpliga samråd under sitt förberedande arbete, inklusive på expertnivå, och att dessa samråd genomförs i enlighet med principerna i det interinstitutionella avtalet om bättre lagstiftning av den 13 april 2016. För att säkerställa lika stor delaktighet i förberedelsen av delegerade akter erhåller Europaparlamentet och rådet alla handlingar samtidigt som medlemsstaternas experter, och deras experter ges systematiskt tillträde till möten i kommissionens expertgrupper som arbetar med förberedelse av delegerade akter.

(f)anslå och regelbundet se över lämplig budget för att uppfylla den finansiella enhetens behov av digital operativ motståndskraft när det gäller alla typer av resurser, inbegripet utbildning om IKT-risker och IKT-färdigheter för all berörd personal,

6.Den IKT-riskhanteringsram som avses i punkt 1 ska dokumenteras och ses över minst en gång per år, liksom vid uppkomsten av större IKT-relaterade incidenter, och i enlighet med tillsynsinstruktioner eller slutsatser från relevanta testnings- eller revisionsprocesser för digital operativ motståndskraft. Ramen ska förbättras fortlöpande på grundval av erfarenheterna från genomförande och övervakning.

2.De finansiella enheterna ska fortlöpande identifiera alla källor till IKT-risker, särskilt riskexponeringen mot och från andra finansiella enheter, och bedöma cyberhot och IKT-sårbarheter som är relevanta för deras IKT-relaterade affärsfunktioner och informationstillgångar. De finansiella enheterna ska regelbundet och minst en gång per år se över de riskscenarier som påverkar dem.

1.Som en del av den IKT-riskhanteringsram som avses i artikel 5.1 ska de finansiella enheterna identifiera, klassificera och på lämpligt sätt dokumentera alla IKT-relaterade affärsfunktioner, de informationstillgångar som stöder dessa funktioner och IKT-systemets konfigurationer och kopplingar till interna och externa IKT-system. De finansiella enheterna ska vid behov, och minst en gång per år, granska lämpligheten i klassificeringen av informationstillgångarna och av all relevant dokumentation.

(d)De är tekniskt motståndskraftiga för att på lämpligt sätt hantera ytterligare informationsbehandlingsbehov när detta krävs under stressade marknadsförhållanden eller andra ogynnsamma situationer.

(c) förhindrar informationsläckage,

2.De finansiella enheterna ska utforma, upphandla och genomföra IKT-relaterade säkerhetsstrategier, riktlinjer, förfaranden, protokoll och verktyg som i synnerhet syftar till att säkerställa IKT-systemens motståndskraft, kontinuitet och tillgänglighet, och upprätthålla höga standarder för säkerhet, konfidentialitet och integritet hos data, oberoende av om de är i vila, i bruk eller under överföring.

7.Andra finansiella enheter än mikroföretag ska regelbundet, och minst en gång per år, genomföra en särskild IKT-riskbedömning av alla befintliga IKT-system, särskilt före och efter sammanlänkning av gamla och nya tekniker, tillämpningar eller system.

(f)fastställa kommunikations- och krishanteringsinsatser som säkerställer att uppdaterad information överförs till all berörd intern personal och alla externa berörda parter i enlighet med artikel 13 och rapporteras till behöriga myndigheter i enlighet med artikel 17.

1.De finansiella enheterna ska ha mekanismer för att snabbt upptäcka onormal verksamhet i enlighet med artikel 15, inbegripet frågor som rör IKT-nätverkens prestanda och IKT-relaterade incidenter, och för att identifiera alla potentiella väsentliga felkritiska systemdelar (single points of failure).

8.De finansiella enheter som avses i artikel 2.1 f ska förse de behöriga myndigheterna med kopior av resultatet av de IKT-kontinuitetstester eller liknande tester som har genomförts under den granskade perioden.

7.De finansiella enheterna ska dokumentera den verksamhet som pågår före och under avbrott när IKT-kontinuitetsplanen eller IKT-katastrofplanen aktiveras. Sådana register ska vara lättillgängliga.

(a)testa IKT-kontinuitetsplanen och IKT-katastrofplanen minst en gång per år och efter omfattande ändringar av IKT-systemen,

De finansiella enheterna ska kontinuerligt övervaka relevant teknisk utveckling, även i syfte att förstå vilka konsekvenser införandet av sådan ny teknik kan få för IKT-säkerhetskraven och den digitala operativa motståndskraften. De ska hålla sig uppdaterade om de senaste IKT-riskhanteringsprocesserna för att effektivt motverka nuvarande eller nya former av it-attacker.

5.Högre IKT-personal ska minst en gång per år rapportera till ledningsorganet om de resultat som avses i punkt 3 och lägga fram rekommendationer.

3.Lärdomar av den testning av digital operativ motståndskraft som har utförts i enlighet med artiklarna 23 och 24 och av verkliga IKT-relaterade incidenter, särskilt it-attacker, samt utmaningar i samband med aktivering av kontinuitetsplaner eller återställningsplaner och relevant information som har utväxlats med motparter och bedömts under tillsynsgranskningar, ska införlivas fortlöpande i IKT-riskbedömningsprocessen. Dessa resultat ska omsättas i lämpliga översyner av relevanta delar i den IKT-riskhanteringsram som avses i artikel 5.1.

1.De finansiella enheterna ska ha lämplig kapacitet och personal i förhållande till sin storlek, verksamhets- och riskprofil för att samla in information om sårbarheter och cyberhot, IKT-relaterade incidenter, särskilt it-attacker, och analysera deras sannolika inverkan på den digitala operativa motståndskraften.

(d)Utveckla ytterligare komponenter i den hantering av kontroll av åtkomsträttigheter som avses i artikel 8.4 c och tillhörande personalpolitik där det specificeras åtkomsträttigheter, förfaranden för beviljande och återkallande av rättigheter, övervakning av onormalt beteende i förhållande till IKT-risker genom lämpliga indikatorer, inbegripet mönster för nätanvändning, tidpunkter, it-verksamhet och okänd utrustning.

(b)ECB, när så är lämpligt, när det gäller de finansiella enheter som avses i artikel 2.1 a, b och c, och

Rapporten ska innehålla all information som är nödvändig för att den behöriga myndigheten ska kunna fastställa betydelsen av den större IKT-relaterade incidenten och bedöma eventuella gränsöverskridande konsekvenser.

Vid tillämpning av första stycket ska de finansiella enheterna, efter att ha samlat in och analyserat all relevant information, utarbeta en incidentrapport med hjälp av den mall som avses i artikel 18 och överlämna den till den behöriga myndigheten.

6.De finansiella enheterna ska minst en gång per år testa alla kritiska IKT-system och IKT-tillämpningar.

5.De finansiella enheterna ska fastställa förfaranden och riktlinjer för prioritering, klassificering och åtgärdande av alla problem som framkommer under genomförandet av testerna och ska införa interna valideringsmetoder för att säkerställa att alla identifierade svagheter, brister eller luckor åtgärdas fullt ut.

1.När den behöriga myndigheten har mottagit en rapport enligt artikel 17.1 ska den bekräfta mottagandet av anmälan och så snart som möjligt lämna all nödvändig återkoppling eller vägledning till den finansiella enheten, särskilt för att diskutera avhjälpande åtgärder på enhetsnivå eller sätt att minimera de negativa effekterna inom alla olika sektorer.

2.De finansiella enheterna ska se till att avtal som ingås med externa testare innehåller krav på en sund förvaltning av resultaten av de hotstyrda penetrationstesterna och att all behandling av dem, inbegripet generering, utkast, lagring, aggregering, rapportering, kommunikation eller förstörelse, inte skapar risker för den finansiella enheten.

(b)Omständigheter har identifierats under övervakningen av IKT-tredjepartsrisker som bedöms kunna ändra prestandan hos de funktioner som tillhandahålls genom det kontraktsmässiga arrangemanget, inbegripet väsentliga förändringar som påverkar arrangemanget eller situationen för tredjepartsleverantören av IKT-tjänster.

8.De finansiella enheterna ska se till att kontraktsmässiga arrangemang om användning av IKT-tjänster avslutas under åtminstone följande omständigheter:

(d)genomföra all due diligence-granskning av potentiella tredjepartsleverantörer av IKT-tjänster och under urvals- och bedömningsprocesserna se till att tredjepartsleverantören av IKT-tjänster är lämplig,

De finansiella enheterna ska på begäran ge den behöriga myndigheten tillgång till det fullständiga registret eller angivna avsnitt av registret, tillsammans med all information som anses nödvändig för att möjliggöra en effektiv tillsyn av den finansiella enheten.

De finansiella enheterna ska minst en gång per år rapportera till de behöriga myndigheterna om antalet nya arrangemang för användningen av IKT-tjänster, kategorierna av tredjepartsleverantörer av IKT-tjänster, typen av kontraktsmässigt arrangemang och de tjänster och funktioner som tillhandahålls.

De finansiella enheterna ska vidta lämpliga beredskapsåtgärder för att upprätthålla kontinuiteten i verksamheten under alla omständigheter som avses i första stycket.

1.När de finansiella enheterna utför den identifiering och bedömning av IKT-koncentrationsrisk som avses i artikel 25.5 c ska de ta hänsyn till om ingåendet av ett kontraktsmässigt arrangemang avseende IKT-tjänsterna skulle leda till något av följande:

iii)Åtagande om att samarbeta fullt ut under de kontroller på plats som utförs av den finansiella enheten och närmare uppgifter om omfattningen, formerna och frekvensen för revisioner på distans.

Vid tillämpning av första stycket ska tredjepartsleverantören av IKT-tjänster lämna in en motiverad ansökan till EBA, Esma eller Eiopa, som genom den gemensamma kommittén ska besluta huruvida den tredjepartsleverantören av IKT-tjänster ska tas upp i den förteckningen i enlighet med punkt 1 a.

ii)om användning av villkor, inbegripet deras tekniska genomförande, enligt vilka kritiska tredjepartsleverantörer av IKT-tjänster tillhandahåller tjänster till finansiella enheter, som den ledande tillsynsmyndighetens bedömer är relevanta för att förhindra uppkomsten av felkritiska systemdelar (single points of failure), eller för att förstärka dessa, eller för att minimera eventuella systemeffekter inom unionens finansiella sektor i händelse av IKT-koncentrationsrisk,

(a)begära all relevant information och dokumentation i enlighet med artikel 32,

1.Den ledande tillsynsmyndigheten får genom en enkel begäran eller genom ett beslut kräva att de kritiska tredjepartsleverantörerna av IKT-tjänster tillhandahåller all information som är nödvändig för att den ledande tillsynsmyndigheten ska kunna utföra sina uppgifter enligt denna förordning, inbegripet alla relevanta affärshandlingar eller operativa dokument, avtal, dokumentation av riktlinjer, rapporter från IKT-säkerhetsgranskningar, IKT-relaterade incidentrapporter samt all information som rör parter till vilka den kritiska tredjepartsleverantören av IKT-tjänster har utkontrakterat operativa funktioner eller verksamheter.

9.Innan ett vite åläggs enligt punkt 4 ska den ledande tillsynsmyndigheten ge företrädarna för den kritiska IKT-tredjepartsleverantör som är föremål för förfarandena möjlighet att höras om de omständigheter som tillsynsmyndigheterna har påtalat och ska grunda sina beslut endast på omständigheter som den kritiska IKT-tredjepartsleverantören som är föremål för förfarandet har haft möjlighet att yttra sig över. Rätten till försvar för personer som är föremål för förfarandena ska iakttas fullt ut under förfarandena. De ska ha rätt att få tillgång till ärendehandlingarna, med förbehåll för andra personers berättigade intresse av att deras affärshemligheter skyddas. Tillgången till ärendehandlingarna ska inte omfatta konfidentiella uppgifter eller ledande tillsynsmyndighetens interna förberedande handlingar.

6.Vitesbeloppet, beräknat från det datum som anges i beslutet om föreläggande av vitet, ska vara 1 % av den genomsnittliga globala omsättningen per dag för den kritiska tredjepartsleverantören av IKT-tjänster under det föregående räkenskapsåret.

4.Den ledande tillsynsmyndigheten får besluta om vite för att tvinga den kritiska tredjepartsleverantören av IKT-tjänster att uppfylla kraven i punkt 1 a, b och c.

2.Tjänstemän och andra personer som av den ledande tillsynsmyndigheten har bemyndigats att genomföra en kontroll på plats får bereda sig tillträde till företagslokaler, mark eller egendom och ska ha alla befogenheter att försegla företagslokaler och räkenskaper eller affärshandlingar under den tid och i den utsträckning som krävs för kontrollen.

(e)begära in uppgifter om tele- och datatrafik.

(d)höra varje annan fysisk eller juridisk person som går med på att höras i syfte att samla in information om föremålet för utredningen,

(c)kalla till sig företrädare för tredjepartsleverantören av IKT-tjänster och be dem om muntliga eller skriftliga förklaringar angående sakförhållanden eller dokument som rör föremålet för och syftet med utredningen samt nedteckna svaren,

(b)innehållet i och formatet för de rapporter som kan begäras i enlighet med artikel 31.1 c,

(c)presentationen av den information, inbegripet struktur, format och metoder, som en kritisk tredjepartsleverantör av IKT-tjänster ska vara skyldig att lämna in, offentliggöra eller rapportera i enlighet med artikel 31.1,

2.Vid tillämpning av punkt 1 c ska arrangemangen för informationsutbyte innehålla fastställda villkor för deltagande och, när så är lämpligt, närmare uppgifter om offentliga myndigheters deltagande och den kapacitet i vilken dessa kan knytas till arrangemangen för informationsutbyte, samt om operativa delar, inbegripet användningen av särskilda it-plattformar.

5.Om de bestämmelser som avses i punkt 2 c och punkt 4 är tillämpliga på juridiska personer ska medlemsstaterna ge de behöriga myndigheterna befogenhet att tillämpa administrativa sanktioner och avhjälpande åtgärder, med förbehåll för de villkor som föreskrivs i nationell rätt, på medlemmar i ledningsorganet och på andra personer som enligt nationell lagstiftning är ansvariga för överträdelsen.

6.Medlemsstaterna ska se till att alla beslut om att ålägga administrativa sanktioner eller avhjälpande åtgärder enligt punkt 2 c är vederbörligen motiverade och kan överklagas.

5.Om en behörig myndighet offentliggör ett beslut om åläggande av en administrativ sanktion som överklagas till de relevanta rättsliga myndigheterna, ska de behöriga myndigheterna omedelbart på sin officiella webbplats lägga till denna information och i senare skeden all tillhörande information om resultatet av ett sådant överklagande. Varje rättsligt beslut om ogiltigförklaring av ett beslut om åläggande av en administrativ sanktion ska också offentliggöras.

(b)Punkt 8 c ska ersättas med följande:

Det övergripande målet kan delas in i tre allmänna mål: 1) minska risken för finansiella störningar och instabilitet, 2) minska den administrativa bördan och öka tillsynens effektivitet och 3) öka skyddet för konsumenter och investerare.

Detta kommer att leda till ett förslag om att utöka byråns bemyndigade personal under det kommande årliga budgetförfarandet. Byrån kommer att fortsätta att arbeta för att skapa största möjliga synergieffekter och effektivitetsvinster (bl.a. via it-system) och noga övervaka den ytterligare arbetsbörda som är förknippad med detta förslag, vilket skulle återspeglas i den nivå av bemyndigad personal som byrån begär i det årliga budgetförfarandet.

TOTALA anslag under RUBRIK i den fleråriga budgetramen

Type of utgifter

Type of utgifter

TOTALA anslag under RUBRIKERNA 1 i den fleråriga budgetramen

◻ Förslaget/initiativet kräver omfördelningar under den berörda rubriken i den fleråriga budgetramen

Kostnaderna ska täckas till 100 % av avgifter som tas ut av de enheter som står under tillsyn

Kostnaderna ska täckas till 100 % av avgifter som tas ut av de enheter som står under tillsyn

Kostnaderna ska täckas till 100 % av avgifter som tas ut av de enheter som står under tillsyn

Kostnaderna bygger på att antalet anställda under den andel av ett år som de är anställda multipliceras med standardkringkostnaden, dvs. 25 000 euro.

·Den genomsnittliga årskostnaden för en tillfälligt anställd är 150 000 euro, för en kontraktsanställd 85 000 euro och för en utstationerad nationell expert 80 000 euro, och dessa belopp innefattar kringkostnader på 25 000 euro (fastigheter, it osv.).

·Den ytterligare personal som anställs under 2022 kostnadsberäknas för sex månader med tanke på den tid som antas behövas för att rekrytera den.

För in så många år som behövs för att redovisa inverkan på resursanvändningen (jfr punkt 1.6)

Disponibla anslag under innevarande budgetår

Kostnaderna beräknas på grundval av följande antaganden:

·Översättningskostnaderna fastställs till 350 000 euro per år för var och en av de europeiska tillsynsmyndigheterna.

·Engångskostnaderna på 500 000 euro per europeisk tillsynsmyndighet antas genomföras under de två åren 2022 och 2023 på grundval av en uppdelning på 50 %–50 %. De årliga underhållskostnaderna från och med 2024 beräknas till 50 000 EUR per ESA.

·De årliga tillsynskostnaderna på plats uppskattas till 200 000 euro per europeisk tillsynsmyndighet.

Dessa beräkningar leder till följande kostnader per år:

Rubrik i den fleråriga

budgetramen Nummer

Fasta priser

EBA: 2022 2023 2024 2025 2026 2027 TOTALT Avdelning 1: Åtaganden (1) 0,498 0,998 0,998 0,998 0,998 0,998 5,488 Utbetalningar (2) 0,498 0,998 0,998 0,998 0,998 0,998 5,488 Avdelning 2: Åtaganden (1a) 0,075 0,150 0,150 0,150 0,150 0,150 0,825 Utbetalningar (2a) 0,075 0,150 0,150 0,150 0,150 0,150 0,825 Avdelning 3: Åtaganden (3a) 0,800 0,800 0,600 0,600 0,600 0,600 4,000 Utbetalningar (3b) 0,800 0,800 0,600 0,600 0,600 0,600 4,000 TOTALA anslag

för EBA Åtaganden =1+1a +3a 1,373 1,948 1,748 1,748 1,748 1,748 10,313 Utbetalningar =2+2a +3b 1,373 1,948 1,748 1,748 1,748 1,748 10,313

Eiopa: 2022 2023 2024 2025 2026 2027 TOTALT Avdelning 1: Åtaganden (1) 0,430 0,861 0,861 0,861 0,861 0,861 4,735 Utbetalningar (2) 0,430 0,861 0,861 0,861 0,861 0,861 4,735 Avdelning 2: Åtaganden (1a) 0,075 0,150 0,150 0,150 0,150 0,150 0,825 Utbetalningar (2a) 0,075 0,150 0,150 0,150 0,150 0,150 0,825 Avdelning 3: Åtaganden (3a) 0,800 0,800 0,600 0,600 0,600 0,600 4,000 Utbetalningar (3b) 0,800 0,800 0,600 0,600 0,600 0,600 4,000 TOTALA anslag

för Eiopa Åtaganden =1+1a +3a 1,305 1,811 1,611 1,611 1,611 1,611 9,560 Utbetalningar =2+2a +3b 1,305 1,811 1,611 1,611 1,611 1,611 9,560

Esma: 2022 2023 2024 2025 2026 2027 TOTALT Avdelning 1: Åtaganden (1) 0,498 0,998 0,998 0,998 0,998 0,998 5,488 Utbetalningar (2) 0,498 0,998 0,998 0,998 0,998 0,998 5,488 Avdelning 2: Åtaganden (1a) 0,075 0,150 0,150 0,150 0,150 0,150 0,825 Utbetalningar (2a) 0,075 0,150 0,150 0,150 0,150 0,150 0,825 Avdelning 3: Åtaganden (3a) 0,800 0,800 0,600 0,600 0,600 0,600 4,000 Utbetalningar (3b) 0,800 0,800 0,600 0,600 0,600 0,600 4,000 TOTALA anslag

för Esma Åtaganden =1+1a +3a 1,373 1,948 1,748 1,748 1,748 1,748 10,313 Utbetalningar =2+2a +3b 1,373 1,948 1,748 1,748 1,748 1,748 10,313

Förslaget kräver att driftsanslag tas i anspråk enligt följande:

Åtagandebemyndiganden i miljoner euro (avrundat till tre decimaler) i fasta priser

EBA

Mål- och resultatbeteckning ⇩ 2022 2023 2024 2025 2026 2027 RESULTAT Typ Genomsnittlig kostnad Nej Kostnad Nej Kostnad Nej Kostnad Nej Kostnad Nej Kostnad Nej Kostnad Totalt antal Totala kostnader SPECIFIKT MÅL NR 1 Direkt tillsyn av kritiska IKT-tredjepartsleverantörer – Resultat 0,800 0,800 0,600 0,600 0,600 0,600 4,000 Delsumma för specifikt mål nr 1 SPECIFIKT MÅL nr 2… – Resultat Delsumma specifikt mål nr 2 TOTALA KOSTNADER 0,800 0,800 0,600 0,600 0,600 0,600 4,000

Eiopa