Článek 3 Definice

„digitální provozní odolností“ schopnost finančního subjektu budovat, zajišťovat a revidovat svoji provozní integritu a spolehlivost prostřednictvím zajištění, ať již přímo, či nepřímo s využitím služeb poskytovaných poskytovateli služeb IKT z řad třetích stran, veškerých schopností souvisejících s IKT nezbytných k řešení otázek bezpečnosti sítí a informačních systémů, které finanční subjekt používá a které přispívají k nepřetržitému poskytování finančních služeb a k jejich kvalitě, mimo jiné i během narušení;

„sítí a informačním systémem“ síť a informační systém ve smyslu čl. 6 bodu 1 směrnice (EU) 2022/2555;

„původním systémem IKT“ systém IKT, který dosáhl konce svého životního cyklu (konec životnosti), který není vhodný pro modernizaci nebo opravy z technologických nebo obchodních důvodů nebo který již není podporován svým dodavatelem nebo poskytovatelem služeb IKT z řad třetích stran, ale který je stále používán a podporuje funkce finančního subjektu;

„bezpečností sítí a informačních systémů“ bezpečnost sítí a informačních systémů ve smyslu čl. 6 bodu 2 směrnice (EU) 2022/2555;

„rizikem v oblasti IKT“ veškeré rozumně rozpoznatelné okolnosti související s používáním sítí a informačních systémů, které, pokud by k nim došlo, mohou narušit bezpečnost sítí a informačních systémů, jakéhokoli na technologiích závislého nástroje nebo postupu, operací a procesů nebo poskytování služeb vznikem nepříznivých dopadů v digitálním nebo fyzickém prostředí;

„informačním aktivem“ soubor informací, v hmotné i nehmotné formě, které je potřeba chránit;

„aktivem v oblasti IKT“ softwarové nebo hardwarové aktivum v síti a informačních systémech používané finančním subjektem;

„incidentem souvisejícím s IKT“ jediná událost nebo řada propojených událostí, které finanční subjekt neplánoval a které ohrožují bezpečnost sítí a informačních systémů a mají nepříznivý dopad na dostupnost, hodnověrnost, integritu nebo důvěrnost údajů nebo na služby, které finanční subjekt poskytuje;

„provozním nebo bezpečnostním incidentem souvisejícím s platbami“ jediná událost nebo řada propojených událostí, které finanční subjekty uvedené v čl. 2 odst. 1 písm. a) až d) neplánovaly a které mají nepříznivý dopad na dostupnost, hodnověrnost, integritu nebo důvěrnost údajů souvisejících s platbami nebo na služby související s platbami, které finanční subjekt poskytuje, a to bez ohledu na to, zda souvisí s IKT či nikoli;

„závažným incidentem souvisejícím s IKT“ incident související s IKT, který má velký nepříznivý dopad na síť a informační systémy využívané k zajištění zásadních nebo důležitých funkcí finančního subjektu;

„závažným provozním nebo bezpečnostním incidentem souvisejícím s platbami“ provozní nebo bezpečnostní incident související s platbami, který má velký nepříznivý dopad na poskytované služby související s platbami;

„kybernetickou hrozbou“ kybernetická hrozba ve smyslu čl. 2 bodu 8 nařízení (EU) 2019/881;

„významnou kybernetickou hrozbou“ kybernetická hrozba, jejíž technické vlastnosti naznačují, že by mohla vést k závažnému incidentu souvisejícímu s IKT nebo k závažnému provoznímu nebo bezpečnostnímu incidentu souvisejícímu s platbami;

„kybernetickým útokem“ zlovolný incident související s IKT způsobený jakýmkoli aktérem hrozby s cílem zničit, odhalit, pozměnit, deaktivovat či odcizit aktivum nebo k němu získat neoprávněný přístup či ho neoprávněně využívat;

„operativními informacemi o hrozbách“ informace, které byly shromážděny, zpracovány, analyzovány, interpretovány nebo rozšířeny tak, aby poskytovaly nezbytné souvislosti pro rozhodování a umožňovaly relevantní a dostatečné pochopení s cílem zmírnit dopad incidentu souvisejícího s IKT nebo kybernetické hrozby, včetně technických údajů o kybernetickém útoku, osobách odpovědných za útok a jejich modu operandi a motivaci;

„zranitelností“ slabina, citlivost nebo chyba aktiva, systému, procesu nebo kontroly, jichž může být využito;

„penetračním testováním na základě hrozeb“ rámec napodobující taktiku, techniky a postupy skutečných aktérů hrozeb vnímaných jako skutečné kybernetické hrozby, který poskytuje řízené, individualizované a na operativních informacích založené (metoda „červeného týmu“) testování kritických systémů finančního subjektu za provozu;

„rizikem v oblasti IKT spojeným s třetími stranami“ riziko pro finanční subjekt v oblasti IKT, které může vzniknout v souvislosti s jeho využíváním služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran nebo jejich subdodavateli, a to i prostřednictvím dohod o externím zajištění služeb;

„poskytovatelem služeb IKT z řad třetích stran“ podnik poskytující služby IKT;

„poskytovatelem služeb IKT v rámci skupiny“ podnik, který je součástí finanční skupiny a poskytuje služby IKT převážně finančním subjektům v rámci téže skupiny nebo finančním subjektům v rámci téhož institucionálního systému ochrany, včetně jejich mateřským podniků, dceřiných podniků nebo poboček či dalších subjektů, které mají stejného majitele nebo jsou pod jeho kontrolou;

„službami IKT“ digitální a datové služby poskytované prostřednictvím systémů IKT průběžně jednomu nebo více interním nebo externím uživatelům, včetně hardwaru jako služby a hardwarových služeb, které zahrnují poskytování technické podpory prostřednictvím aktualizací softwaru nebo firmwaru poskytovatelem hardwaru, s výjimkou tradičních analogových telefonních služeb;

„zásadní nebo důležitou funkcí“ funkce, jejíž narušení by významně narušilo finanční výkonnost finančního subjektu nebo řádný průběh nebo kontinuitu jeho služeb a činností nebo jejíž přerušení či chybný nebo neúspěšný průběh by významně narušily dodržování podmínek a povinností finančního subjektu vyplývajících z jeho povolení nebo jeho dalších povinností na základě platného práva v oblasti finančních služeb;

„kritickým poskytovatelem služeb IKT z řad třetích stran“ poskytovatel služeb IKT z řad třetích stran určený jako kritický v souladu s článkem 31;

„poskytovatelem služeb IKT z řad třetích stran usazeným ve třetí zemi“ poskytovatel služeb IKT z řad třetích stran, který je právnickou osobou usazenou ve třetí zemi a který uzavřel smluvní ujednání s finančním subjektem na poskytování služeb IKT;

„dceřiným podnikem“ dceřiný podnik ve smyslu čl. 2 bodu 10 a článku 22 směrnice 2013/34/EU;

„skupinou“ skupina ve smyslu čl. 2 bodu 11 směrnice 2013/34/EU;

„mateřským podnikem“ mateřský podnik ve smyslu čl. 2 bodu 9 a článku 22 směrnice 2013/34/EU;

„subdodavatelem IKT usazeným ve třetí zemi“ subdodavatel IKT, který je právnickou osobou usazenou ve třetí zemi a který uzavřel smluvní ujednání buď s poskytovatelem služeb IKT z řad třetích stran, nebo s poskytovatelem služeb IKT z řad třetích stran usazeným ve třetí zemi;

„rizikem koncentrace IKT“ expozice vůči jednomu či několika propojeným kritickým poskytovatelům služeb IKT z řad třetích stran vytvářející takovou míru závislosti na těchto poskytovatelích, že jejich nedostupnost, selhání nebo jiná nedostatečnost mohou potenciálně ohrozit schopnost finančního subjektu poskytovat zásadní nebo důležité funkce nebo způsobit, že utrpí jinou újmu, včetně vysokých ztrát, nebo ohrozit finanční stabilitu celé Unie;

„vedoucím orgánem“ vedoucí orgán ve smyslu čl. 4 odst. 1 bodu 36 směrnice 2014/65/EU, čl. 3 odst. 1 bodu 7 směrnice 2013/36/EU, čl. 2 odst. 1 písm. s) směrnice Evropského parlamentu a Rady 2009/65/ES (31), čl. 2 odst. 1 bodu 45 nařízení (EU) č. 909/2014, čl. 3 odst. 1 bodu 20 nařízení (EU) 2016/1011 a příslušného ustanovení nařízení o trzích s kryptoaktivy nebo rovnocenné osoby, které skutečně řídí subjekt nebo zastávají klíčové funkce podle příslušného unijního nebo vnitrostátního práva;

„úvěrovou institucí“ úvěrová instituce ve smyslu čl. 4 odst. 1 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 575/2013 (32);

„úvěrovou institucí vyňatou podle směrnice 2013/36/EU“ subjekt uvedený v čl. 2 odst. 5 bodech 4 až 23 směrnice 2013/36/EU;

„investičním podnikem“ investiční podnik ve smyslu čl. 4 odst. 1 bodu 1 směrnice 2014/65/EU;

„malým a nepropojeným investičním podnikem“ investiční podnik, který splňuje podmínky stanovené v čl. 12 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2019/2033 (33);

„platební institucí“ platební instituce ve smyslu čl. 4 bodu 4 směrnice (EU) 2015/2366;

„platební institucí vyňatou podle směrnice (EU) 2015/2366“ platební instituce vyňatá podle čl. 32 odst. 1 směrnice (EU) 2015/2366;

„poskytovatelem služeb informování o účtu“ poskytovatel služeb informování o účtu ve smyslu čl. 33 odst. 1 směrnice (EU) 2015/2366;

„institucí elektronických peněz“ instituce elektronických peněz ve smyslu čl. 2 bodu 1 směrnice 2009/110/ES;

„institucí elektronických peněz vyňatou podle směrnice 2009/110/ES“ instituce elektronických peněz, na niž se podle čl. 9 odst. 1 směrnice 2009/110/ES vztahuje výjimka;

„ústřední protistranou“ ústřední protistrana ve smyslu čl. 2 bodu 1 nařízení (EU) č. 648/2012;

„registrem obchodních údajů“ registr obchodních údajů ve smyslu čl. 2 bodu 2 nařízení (EU) č. 648/2012;

„centrálním depozitářem cenných papírů“ centrální depozitář cenných papírů ve smyslu čl. 2 odst. 1 bodu 1 nařízení (EU) č. 909/2014;

„obchodním systémem“ obchodní systém ve smyslu čl. 4 odst. 1 bodu 24 směrnice 2014/65/EU;

„správcem alternativních investičních fondů“ správce alternativních investičních fondů ve smyslu čl. 4 odst. 1 písm. b) směrnice 2011/61/EU;

„správcovskou společností“ správcovská společnost ve smyslu čl. 2 odst. 1 písm. b) směrnice 2009/65/ES;

„poskytovatelem služeb hlášení údajů“ poskytovatel služeb hlášení údajů ve smyslu nařízení (EU) č. 600/2014, uvedený v čl. 2 odst. 1 bodech 34 až 36 daného nařízení;

„pojišťovnou“ pojišťovna ve smyslu čl. 13 bodu 1 směrnice 2009/138/ES;

„zajišťovnou“ zajišťovna ve smyslu čl. 13 bodu 4 směrnice 2009/138/ES;

„zprostředkovatelem pojištění“ zprostředkovatel pojištění ve smyslu čl. 2 odst. 1 bodu 3 směrnice Evropského parlamentu a Rady (EU) 2016/97 (34);

„zprostředkovatelem doplňkového pojištění“ zprostředkovatel doplňkového pojištění ve smyslu čl. 2 odst. 1 bodu 4 směrnice (EU) 2016/97;

„zprostředkovatelem zajištění“ zprostředkovatel zajištění ve smyslu čl. 2 odst. 1 bodu 5 směrnice (EU) 2016/97;

„institucí zaměstnaneckého penzijního pojištění“ instituce zaměstnaneckého penzijního pojištění ve smyslu čl. 6 bodu 1 směrnice (EU) 2016/2341;

„malou institucí zaměstnaneckého penzijního pojištění“ instituce zaměstnaneckého penzijního pojištění, která provozuje penzijní plány, které dohromady mají méně než 100 účastníků;

„ratingovou agenturou“ ratingová agentura ve smyslu čl. 3 odst. 1 písm. b) nařízení (ES) č. 1060/2009;

„poskytovatelem služeb souvisejících s kryptoaktivy“ poskytovatel služeb souvisejících s kryptoaktivy ve smyslu příslušného ustanovení nařízení o trzích s kryptoaktivy;

„vydavatelem tokenů vázaných na aktiva“ vydavatel tokenů vázaných na aktiva ve smyslu příslušného ustanovení nařízení o trzích s kryptoaktivy;

„správcem kritických referenčních hodnot“ správce kritických referenčních hodnot ve smyslu čl. 3 odst. 1 bodu 25 nařízení E (EU) 2016/1011;

„poskytovatelem služeb skupinového financování“ poskytovatel služeb skupinového financování ve smyslu čl. 2 odst. 1 písm. e) nařízení Evropského parlamentu a Rady (EU) 2020/1503 (35);

„registrem sekuritizací“ registr sekuritizací ve smyslu čl. 2 bodu 23 nařízení Evropského parlamentu a Rady (EU) 2017/2402 (36);

„mikropodnikem“ finanční subjekt jiný než obchodní systém, ústřední protistrana, registr obchodních údajů nebo centrální depozitář cenných papírů, který zaměstnává méně než 10 osob a jehož roční obrat nebo celková roční bilanční suma nepřekračuje 2 miliony EUR;

„hlavním orgánem dohledu“ evropský orgán dohledu jmenovaný v souladu s čl. 31 odst. 1 písm. b) tohoto nařízení;

„společným výborem“ výbor uvedený v článku 54 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010;

„malým podnikem“ finanční subjekt, který zaměstnává nejméně 10 osob, avšak méně než 50 osob, a jehož roční obrat nebo celková roční bilanční suma překračuje 2 miliony EUR, avšak nepřekračuje 10 milionů EUR;

„středním podnikem“ finanční subjekt, který není malým podnikem a zaměstnává méně než 250 osob a jehož roční obrat nepřekračuje 50 milionů EUR nebo jehož roční bilanční suma nepřekračuje 43 milionů EUR;

„veřejným orgánem“ jakýkoli ústřední orgán nebo jiný subjekt veřejné správy, včetně národních centrálních bank.