Άρθρο 3 Ορισμοί

«ψηφιακή επιχειρησιακή ανθεκτικότητα»: η ικανότητα μιας χρηματοοικονομικής οντότητας να διαμορφώνει, να εξασφαλίζει και να επανεξετάζει την επιχειρησιακή ακεραιότητα και αξιοπιστία της, διασφαλίζοντας, άμεσα ή έμμεσα μέσω της χρήσης υπηρεσιών που προσφέρονται από τρίτους παρόχους υπηρεσιών ΤΠΕ, το πλήρες φάσμα των ικανοτήτων ΤΠΕ που απαιτούνται, ώστε να ανταποκρίνεται στην ασφάλεια των συστημάτων δικτύου και πληροφοριών που χρησιμοποιεί η χρηματοοικονομική οντότητα και τα οποία υποστηρίζουν τη συνεχή παροχή χρηματοοικονομικών υπηρεσιών και την ποιότητά τους, μεταξύ άλλων καθ’ όλη τη διάρκεια διαταραχών,

«σύστημα δικτύου και πληροφοριών»: σύστημα δικτύου και πληροφοριών, όπως ορίζεται στο άρθρο 6 σημείο 1) της οδηγίας (ΕΕ) 2022/2555

«παρωχημένο σύστημα ΤΠΕ»: σύστημα ΤΠΕ που έχει φτάσει στο τέλος του κύκλου ζωής του (τέλος κύκλου ζωής), το οποίο δεν είναι κατάλληλο για αναβαθμίσεις ή επιδιορθώσεις, για τεχνολογικούς ή εμπορικούς λόγους, ή δεν υποστηρίζεται πλέον από τον προμηθευτή του ή από τρίτο πάροχο υπηρεσιών ΤΠΕ, αλλά εξακολουθεί να χρησιμοποιείται και υποστηρίζει τις λειτουργίες της χρηματοοικονομικής οντότητας,

«ασφάλεια συστημάτων δικτύου και πληροφοριών»: η ασφάλεια των συστημάτων δικτύου και πληροφοριών, όπως ορίζεται στο άρθρο 6 σημείο 2) της οδηγίας (ΕΕ) 2022/2555

«κίνδυνος ΤΠΕ»: κάθε ευλόγως προσδιορίσιμη περίσταση σε σχέση με τη χρήση συστημάτων δικτύου και πληροφοριών η οποία, εάν επέλθει, ενδέχεται να θέσει σε κίνδυνο την ασφάλεια των συστημάτων δικτύου και πληροφοριών, κάθε εργαλείου ή διαδικασίας που εξαρτάται από την τεχνολογία, λειτουργιών και διαδικασιών ή της παροχής υπηρεσιών, προκαλώντας δυσμενείς επιπτώσεις στο ψηφιακό ή υλικό περιβάλλον,

«πληροφοριακός πόρος»: συλλογή πληροφοριών, ενσώματων ή άυλων, που αξίζουν να προστατευτούν,

«πόρος ΤΠΕ»: πόρος λογισμικού ή υλισμικού στα συστήματα δικτύου και πληροφοριών που χρησιμοποιεί η χρηματοοικονομική οντότητα,

«συμβάν που σχετίζεται με τις ΤΠΕ»: μεμονωμένο συμβάν ή σειρά συνδεδεμένων γεγονότων που δεν έχει προγραμματιστεί από τη χρηματοοικονομική οντότητα και θέτει σε κίνδυνο την ασφάλεια των συστημάτων δικτύου και πληροφοριών, και έχει δυσμενείς επιπτώσεις στη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα ή την εμπιστευτικότητα των δεδομένων, ή στις υπηρεσίες που παρέχονται από τη χρηματοοικονομική οντότητα,

«λειτουργικό συμβάν ή συμβάν ασφάλειας που σχετίζεται με πληρωμές»: μεμονωμένο συμβάν ή σειρά συνδεδεμένων συμβάντων που δεν έχει προγραμματιστεί από τις χρηματοοικονομικές οντότητες που αναφέρονται στο άρθρο 2 παράγραφος 1 στοιχεία α) έως δ), είτε σχετίζεται με τις ΤΠΕ είτε όχι, το οποίο έχει δυσμενείς επιπτώσεις στη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα ή την εμπιστευτικότητα των δεδομένων που σχετίζονται με πληρωμές δεδομένων ή στις παρεχόμενες από τη χρηματοοικονομική οντότητα υπηρεσίες που σχετίζονται με πληρωμές,

«μείζον συμβάν που σχετίζεται με τις ΤΠΕ»: συμβάν που σχετίζεται με τις ΤΠΕ και το οποίο έχει εξαιρετικά δυσμενείς επιπτώσεις στα συστήματα δικτύου και πληροφοριών που υποστηρίζουν κρίσιμες λειτουργίες της χρηματοοικονομικής οντότητας,

«μείζον λειτουργικό συμβάν ή συμβάν ασφάλειας που σχετίζεται με πληρωμές»: λειτουργικό συμβάν ή συμβάν ασφάλειας που σχετίζεται με πληρωμές και το οποίο έχει εξαιρετικά δυσμενείς επιπτώσεις στις παρεχόμενες υπηρεσίες που σχετίζονται με πληρωμές,

«κυβερνοαπειλή»: κυβερνοαπειλή, όπως ορίζεται στο άρθρο 2 σημείο 8) του κανονισμού (ΕΕ) 2019/881,

«σημαντική κυβερνοαπειλή»: κυβερνοαπειλή της οποίας τα τεχνικά χαρακτηριστικά δείχνουν ότι θα μπορούσε να οδηγήσει σε μείζον συμβάν που σχετίζεται με τις ΤΠΕ ή σε μείζον λειτουργικό συμβάν ή συμβάν ασφάλειας που σχετίζεται με πληρωμές,

«κυβερνοεπίθεση»: κακόβουλο συμβάν που σχετίζεται με τις ΤΠΕ και προκαλείται μέσω απόπειρας καταστροφής, έκθεσης, μεταβολής, απενεργοποίησης, υποκλοπής ή απόκτησης μη εξουσιοδοτημένης πρόσβασης ή μη εξουσιοδοτημένης χρήσης πόρου, η οποία τελείται από οποιονδήποτε παράγοντα απειλής,

«πληροφορίες για απειλές»: πληροφορίες που έχουν συγκεντρωθεί, μετατραπεί, αναλυθεί, ερμηνευθεί ή εμπλουτιστεί με σκοπό την παροχή του απαραίτητου πλαισίου λήψης αποφάσεων και επιτρέπουν τη σχετική και επαρκή κατανόηση για τον μετριασμό των επιπτώσεων ενός συμβάντος που σχετίζεται με τις ΤΠΕ ή μιας κυβερνοαπειλής, συμπεριλαμβανομένων των τεχνικών λεπτομερειών μιας κυβερνοεπίθεσης, των προσώπων που ευθύνονται για την επίθεση και του τρόπου λειτουργίας και των κινήτρων τους,

«ευπάθεια»: αδυναμία, ευαισθησία ή ελάττωμα πόρου, συστήματος, διαδικασίας ή ελέγχου που μπορεί να αποτελέσει αντικείμενο εκμετάλλευσης,

«δοκιμές παρείσδυσης βάσει απειλών (TLPT)»: πλαίσιο μίμησης των τακτικών, των τεχνικών και των διαδικασιών που χρησιμοποιούν πραγματικοί παράγοντες απειλής που θεωρείται ως γνήσια κυβερνοαπειλή, το οποίο παρέχει ελεγχόμενη, κατά παραγγελία και βάσει στοιχείων (κόκκινη ομάδα) δοκιμή των κρίσιμων συστημάτων παραγωγής της χρηματοοικονομικής οντότητας,

«κίνδυνος τρίτων παρόχων ΤΠΕ»: κίνδυνος ΤΠΕ που μπορεί να ανακύψει για χρηματοοικονομική οντότητα σε σχέση με τη χρήση υπηρεσιών ΤΠΕ που παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ ή υπεργολάβους των παρόχων αυτών, μεταξύ άλλων μέσω ρυθμίσεων εξωτερικής ανάθεσης,

«τρίτος πάροχος υπηρεσιών ΤΠΕ»: επιχείρηση που παρέχει υπηρεσίες ΤΠΕ,

«ενδοομιλικός πάροχος υπηρεσιών ΤΠΕ»: επιχείρηση που αποτελεί μέρος χρηματοοικονομικού ομίλου και παρέχει κυρίως υπηρεσίες ΤΠΕ σε χρηματοοικονομικές οντότητες του ίδιου ομίλου ή σε χρηματοοικονομικές οντότητες που ανήκουν στο ίδιο θεσμικό σύστημα προστασίας, συμπεριλαμβανομένων των μητρικών επιχειρήσεων, των θυγατρικών και των υποκαταστημάτων τους ή άλλων οντοτήτων που τελούν υπό κοινή ιδιοκτησία ή έλεγχο,

«υπηρεσίες ΤΠΕ»: ψηφιακές υπηρεσίες και υπηρεσίες δεδομένων που παρέχονται μέσω συστημάτων ΤΠΕ σε έναν ή περισσότερους εσωτερικούς ή εξωτερικούς χρήστες σε συνεχή βάση, συμπεριλαμβανομένων του υλισμικού ως υπηρεσίας και υπηρεσιών υλισμικού που περιλαμβάνουν την παροχή τεχνικής υποστήριξης μέσω ενημερώσεων λογισμικού ή υλικολογισμικού από τον πάροχο υλισμικού, εξαιρουμένων των παραδοσιακών αναλογικών τηλεφωνικών υπηρεσιών,

«κρίσιμη ή σημαντική λειτουργία»: λειτουργία η διαταραχή της οποίας θα έβλαπτε ουσιωδώς τις οικονομικές επιδόσεις χρηματοοικονομικής οντότητας ή την ορθότητα ή τη συνέχεια των υπηρεσιών και δραστηριοτήτων της ή της οποίας η ασυνεχής, πλημμελής ή αποτυχημένη εκτέλεση θα έβλαπτε ουσιωδώς τη συνεχή συμμόρφωση μιας χρηματοοικονομικής οντότητας με τους όρους και τις υποχρεώσεις της άδειας λειτουργίας της ή με τις λοιπές υποχρεώσεις τις οποίες υπέχει βάσει του ισχύοντος δικαίου για τις χρηματοοικονομικές υπηρεσίες,

«κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ»: τρίτος πάροχος υπηρεσιών ο οποίος έχει οριστεί ως κρίσιμος σύμφωνα με το άρθρο 31,

«τρίτος πάροχος υπηρεσιών ΤΠΕ εγκατεστημένος σε τρίτη χώρα»: τρίτος πάροχος υπηρεσιών ΤΠΕ ο οποίος είναι νομικό πρόσωπο εγκατεστημένο σε τρίτη χώρα που έχει συνάψει συμβατικές ρυθμίσεις με χρηματοοικονομική οντότητα για την παροχή υπηρεσιών ΤΠΕ,

«θυγατρική»: θυγατρική επιχείρηση κατά την έννοια του άρθρου 2 σημείο 10) και του άρθρου 22 της οδηγίας 2013/34/ΕΕ,

«όμιλος»: όμιλος κατά την έννοια του άρθρου 2 σημείο 11) της οδηγίας 2013/34/ΕΕ,

«μητρική επιχείρηση»: μητρική επιχείρηση κατά την έννοια του άρθρου 2 σημείο 9) και του άρθρου 22 της οδηγίας 2013/34/ΕΕ,

«υπεργολάβος ΤΠΕ εγκατεστημένος σε τρίτη χώρα»: υπεργολάβος ΤΠΕ ο οποίος είναι νομικό πρόσωπο εγκατεστημένο σε τρίτη χώρα που έχει συνάψει συμβατικές ρυθμίσεις με τρίτο πάροχο υπηρεσιών ΤΠΕ ή με τρίτο πάροχο υπηρεσιών ΤΠΕ εγκατεστημένο σε τρίτη χώρα,

«κίνδυνος συγκέντρωσης ΤΠΕ»: έκθεση σε μεμονωμένους ή πολλαπλούς σχετιζόμενους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, η οποία δημιουργεί έναν βαθμό εξάρτησης από τους εν λόγω παρόχους, έτσι ώστε η μη διαθεσιμότητα, η αθέτηση υποχρεώσεων ή άλλου είδους αδυναμία του εν λόγω παρόχου να ενδέχεται να θέσει σε κίνδυνο την ικανότητα μιας χρηματοοικονομικής οντότητας να παρέχει κρίσιμες ή σημαντικές λειτουργίες ή να της προκαλέσει άλλες μορφές δυσμενών επιπτώσεων, συμπεριλαμβανομένων μεγάλων ζημιών, ή να θέσει σε κίνδυνο τη χρηματοοικονομική σταθερότητα της Ένωσης στο σύνολό της,

«διοικητικό όργανο»: διοικητικό όργανο, όπως ορίζεται στο άρθρο 4 παράγραφος 1 σημείο 36) της οδηγίας 2014/65/ΕΕ, στο άρθρο 3 παράγραφος 1 σημείο 7) της οδηγίας 2013/36/ΕΕ, στο άρθρο 2 παράγραφος 1 στοιχείο ιθ) της οδηγίας 2009/65/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (31), στο άρθρο 2 παράγραφος 1 σημείο 45) του κανονισμού (ΕΕ) αριθ. 909/2014, στο άρθρο 3 παράγραφος 1 σημείο 20) του κανονισμού (ΕΕ) 2016/1011 και στις σχετικές διατάξεις του κανονισμού σχετικά με τις αγορές κρυπτοστοιχείων ή τα ισοδύναμα πρόσωπα που διευθύνουν πράγματι την οντότητα ή ασκούν βασικά καθήκοντα σύμφωνα με τη σχετική ενωσιακή ή εθνική νομοθεσία,

«πιστωτικό ίδρυμα»: πιστωτικό ίδρυμα όπως ορίζεται στο άρθρο 4 παράγραφος 1 σημείο 1) του κανονισμού (ΕΕ) αριθ. 575/2013 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (32),

«ίδρυμα που εξαιρείται βάσει της οδηγίας 2013/36/ΕΕ»: οντότητα όπως αναφέρεται στο άρθρο 2 παράγραφος 5 σημεία 4) έως 23) της οδηγίας 2013/36/ΕΕ,

«επιχείρηση επενδύσεων»: επιχείρηση επενδύσεων όπως ορίζεται στο άρθρο 4 παράγραφος 1 σημείο 1) της οδηγίας 2014/65/ΕΕ,

«μικρή και μη διασυνδεδεμένη επιχείρηση επενδύσεων»: επιχείρηση επενδύσεων που πληροί τους όρους που ορίζονται στο άρθρο 12 παράγραφος 1 του κανονισμού (ΕΕ) 2019/2033 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (33),

«ίδρυμα πληρωμών»: ίδρυμα πληρωμών όπως ορίζεται στο άρθρο 4 σημείο 4) της οδηγίας (ΕΕ) 2015/2366,

«ίδρυμα πληρωμών που εξαιρείται βάσει της οδηγίας (ΕΕ) 2015/2366»: ίδρυμα πληρωμών που εξαιρείται βάσει του άρθρου 32 παράγραφος 1 της οδηγίας (ΕΕ) 2015/2366,

«πάροχος υπηρεσιών πληροφοριών λογαριασμού»: πάροχος υπηρεσιών πληροφοριών λογαριασμού όπως αναφέρεται στο άρθρο 33 παράγραφος 1 της οδηγίας (ΕΕ) 2015/2366,

«ίδρυμα ηλεκτρονικού χρήματος»: ίδρυμα ηλεκτρονικού χρήματος όπως ορίζεται στο άρθρο 2 σημείο 1) της οδηγίας 2009/110/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου,

«ίδρυμα ηλεκτρονικού χρήματος που εξαιρείται βάσει της οδηγίας 2009/110/ΕΚ»: ίδρυμα ηλεκτρονικού χρήματος που δικαιούται απαλλαγής, όπως αναφέρεται στο άρθρο 9 παράγραφος 1 της οδηγίας 2009/110/ΕΚ,

«κεντρικός αντισυμβαλλόμενος»: κεντρικός αντισυμβαλλόμενος όπως ορίζεται στο άρθρο 2 σημείο 1) του κανονισμού (ΕΕ) αριθ. 648/2012,

«αρχείο καταγραφής συναλλαγών»: αρχείο καταγραφής συναλλαγών όπως ορίζεται στο άρθρο 2 σημείο 2) του κανονισμού (ΕΕ) αριθ. 648/2012,

«κεντρικό αποθετήριο τίτλων»: κεντρικό αποθετήριο τίτλων όπως ορίζεται στο άρθρο 2 παράγραφος 1 σημείο 1) του κανονισμού (ΕΕ) αριθ. 909/2014,

«τόπος διαπραγμάτευσης»: τόπος διαπραγμάτευσης όπως ορίζεται στο άρθρο 4 παράγραφος 1 σημείο 24) της οδηγίας 2014/65/ΕΕ,

«διαχειριστής οργανισμών εναλλακτικών επενδύσεων»: διαχειριστής οργανισμών εναλλακτικών επενδύσεων όπως ορίζεται στο άρθρο 4 παράγραφος 1 στοιχείο β) της οδηγίας 2011/61/ΕΕ,

«εταιρεία διαχείρισης»: εταιρεία διαχείρισης όπως ορίζεται στο άρθρο 2 παράγραφος 1 στοιχείο β) της οδηγίας 2009/65/ΕΚ,

«πάροχος υπηρεσιών αναφοράς δεδομένων»: πάροχος υπηρεσιών αναφοράς δεδομένων κατά την έννοια του κανονισμού (ΕΕ) αριθ. 600/2014, όπως αναφέρεται στο άρθρο 2 παράγραφος 1 σημεία 34) έως 36),

«ασφαλιστική επιχείρηση»: ασφαλιστική επιχείρηση όπως ορίζεται στο άρθρο 13 σημείο 1) της οδηγίας 2009/138/ΕΚ,

«αντασφαλιστική επιχείρηση»: αντασφαλιστική επιχείρηση όπως ορίζεται στο άρθρο 13 σημείο 4) της οδηγίας 2009/138/ΕΚ,

«ασφαλιστικός διαμεσολαβητής»: ασφαλιστικός διαμεσολαβητής όπως ορίζεται στο άρθρο 2 παράγραφος 1 σημείο 3) της οδηγίας (ΕΕ) 2016/97 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (34),

«ασφαλιστικός διαμεσολαβητής που ασκεί ως δευτερεύουσα δραστηριότητα την ασφαλιστική διαμεσολάβηση»: ασφαλιστικός διαμεσολαβητής που ασκεί ως δευτερεύουσα δραστηριότητα την ασφαλιστική διαμεσολάβηση, όπως ορίζεται στο άρθρο 2 παράγραφος 1 σημείο 4) της οδηγίας (ΕΕ) 2016/97,

«αντασφαλιστικός διαμεσολαβητής»: αντασφαλιστικός διαμεσολαβητής όπως ορίζεται στο άρθρο 2 παράγραφος 1 σημείο 5) της οδηγίας (ΕΕ) 2016/97,

«ίδρυμα επαγγελματικών συνταξιοδοτικών παροχών»: ίδρυμα επαγγελματικών συνταξιοδοτικών παροχών όπως ορίζεται στο άρθρο 6 σημείο 1) της οδηγίας (ΕΕ) 2016/2341,

«μικρό ίδρυμα επαγγελματικών συνταξιοδοτικών παροχών»: ίδρυμα επαγγελματικών συνταξιοδοτικών παροχών που διαχειρίζεται συνταξιοδοτικά συστήματα τα οποία έχουν συνολικά λιγότερα από 100 μέλη,

«οργανισμός αξιολόγησης πιστοληπτικής ικανότητας»: οργανισμός αξιολόγησης πιστοληπτικής ικανότητας όπως ορίζεται στο άρθρο 3 παράγραφος 1 στοιχείο β) του κανονισμού (ΕΚ) αριθ. 1060/2009,

«πάροχος υπηρεσιών κρυπτοστοιχείων»: πάροχος υπηρεσιών κρυπτοστοιχείων όπως ορίζεται στη σχετική διάταξη του κανονισμού σχετικά με τις αγορές κρυπτοστοιχείων,

«εκδότης ψηφιακών μαρκών με εγγύηση περιουσιακών στοιχείων»: εκδότης ψηφιακών μαρκών με εγγύηση περιουσιακών στοιχείων όπως ορίζεται στη σχετική διάταξη του κανονισμού σχετικά με τις αγορές κρυπτοστοιχείων,

«διαχειριστής δεικτών αναφοράς κρίσιμης σημασίας»: διαχειριστής δεικτών αναφοράς κρίσιμης σημασίας όπως ορίζεται στο άρθρο 3 παράγραφος 1 σημείο 25) του κανονισμού (ΕΕ) 2016/1011,

«πάροχος υπηρεσιών συμμετοχικής χρηματοδότησης»: πάροχος υπηρεσιών συμμετοχικής χρηματοδότησης όπως ορίζεται στο άρθρο 2 παράγραφος 1 στοιχείο ε) του κανονισμού (ΕΕ) 2020/1503 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (35),

«αρχείο καταγραφής τιτλοποιήσεων»: αρχείο καταγραφής τιτλοποιήσεων όπως ορίζεται στο άρθρο 2 σημείο 23) του κανονισμού (ΕΕ) 2017/2402 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (36),

«πολύ μικρή επιχείρηση»: χρηματοοικονομική οντότητα, εκτός από τόπο διαπραγμάτευσης, κεντρικό αντισυμβαλλόμενο, αρχείο καταγραφής συναλλαγών ή κεντρικό αποθετήριο τίτλων, η οποία απασχολεί λιγότερα από 10 άτομα και έχει ετήσιο κύκλο εργασιών και/ή ετήσιο σύνολο ισολογισμού που δεν υπερβαίνει τα 2 εκατομμύρια EUR,

«κύριος εποπτικός φορέας»: η Ευρωπαϊκή Εποπτική Αρχή που διορίζεται σύμφωνα με το άρθρο 31 παράγραφος 1 στοιχείο β) του παρόντος κανονισμού,

«μεικτή επιτροπή»: η επιτροπή που αναφέρεται στο άρθρο 54 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010,

«μικρή επιχείρηση»: χρηματοοικονομική οντότητα που απασχολεί 10 ή περισσότερα άτομα, αλλά λιγότερα από 50 άτομα, και της οποίας ο ετήσιος κύκλος εργασιών και/ή το σύνολο του ετήσιου ισολογισμού υπερβαίνει τα 2 εκατομμύρια EUR, αλλά δεν υπερβαίνει τα 10 εκατομμύρια EUR,

«μεσαία επιχείρηση»: χρηματοοικονομική οντότητα που δεν είναι μικρή επιχείρηση και απασχολεί λιγότερα από 250 άτομα και της οποίας ο ετήσιος κύκλος εργασιών δεν υπερβαίνει τα 50 εκατομμύρια EUR και/ή το σύνολο του ετήσιου ισολογισμού δεν υπερβαίνει τα 43 εκατομμύρια EUR,

«δημόσια αρχή»: κάθε κυβερνητικός ή άλλος φορέας δημόσιας διοίκησης, συμπεριλαμβανομένων των εθνικών κεντρικών τραπεζών.