+NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Text s významem pro EHP)
---+KAPITOLA III Řízení, klasifikace a hlášení incidentů souvisejících s IKT
------+Článek 17 Proces řízení incidentů souvisejících s IKT
---------+Článek 17 1
---------+Článek 17 2
---------+Článek 17 3
------+Článek 18 Klasifikace incidentů souvisejících s IKT a kybernetických hrozeb
---------+Článek 18 1
---------+Článek 18 2
---------+Článek 18 3
---------+Článek 18 4
------+Článek 19 Hlášení závažných incidentů souvisejících s IKT a dobrovolné oznamování významných kybernetických hrozeb
---------+Článek 19 1
---------+Článek 19 2
---------+Článek 19 3
---------+Článek 19 4
---------+Článek 19 5
---------+Článek 19 6
---------+Článek 19 7
---------+Článek 19 8
------+Článek 20 Harmonizace obsahu a vzorů hlášení
---------+Článek 20 a)
---------+Článek 20 b)
---------+Článek 20 2
---------+Článek 20 3
---------+Článek 20 4
------+Článek 21 Centralizace hlášení závažných incidentů souvisejících s IKT
---------+Článek 21 1
---------+Článek 21 2
---------+Článek 21 3
------+Článek 22 Zpětná vazba orgánu dohledu
---------+Článek 22 1
---------+Článek 22 2
------+Článek 23 Provozní nebo bezpečnostní incidenty související s platbami týkající se úvěrových institucí, platebních institucí, poskytovatelů služeb informování o účtu a institucí elektronických peněz
---+KAPITOLA IV Testování digitální provozní odolnosti
------+Článek 24 Obecné požadavky na provádění testování digitální provozní odolnosti
---------+Článek 24 1
---------+Článek 24 2
---------+Článek 24 3
---------+Článek 24 4
---------+Článek 24 5
---------+Článek 24 6
------+Článek 25 Testování nástrojů a systémů IKT
---------+Článek 25 1
---------+Článek 25 2
---------+Článek 25 3
------+Článek 26 Pokročilé testování nástrojů, systémů a procesů IKT s využitím penetračního testování na základě hrozeb
---------+Článek 26 1
---------+Článek 26 2
---------+Článek 26 3
---------+Článek 26 4
---------+Článek 26 5
---------+Článek 26 6
---------+Článek 26 7
---------+Článek 26 8
---------+Článek 26 9
---------+Článek 26 10
---------+Článek 26 11
------+Článek 27 Požadavky na subjekty provádějící penetrační testování na základě hrozeb
---------+Článek 27 1
---------+Článek 27 2
---------+Článek 27 3
---+KAPITOLA V Řízení rizika v oblasti IKT spojeného s třetími stranami
------+Oddíl I Hlavní zásady správného řízení rizika v oblasti IKT spojeného s třetími stranami
---------+Článek 28 Obecné zásady
------------+Článek 28 1
------------+Článek 28 2
------------+Článek 28 3
------------+Článek 28 4
------------+Článek 28 5
------------+Článek 28 6
------------+Článek 28 7
------------+Článek 28 8
------------+Článek 28 9
------------+Článek 28 10
---------+Článek 29 Předběžné posouzení rizika koncentrace IKT na úrovni subjektu
------------+Článek 29 1
------------+Článek 29 2
---------+Článek 30 Hlavní smluvní ustanovení
------------+Článek 30 1
------------+Článek 30 2
------------+Článek 30 3
------------+Článek 30 4
------------+Článek 30 5
---------+Oddíl II Rámec dohledu nad kritickými poskytovateli služeb IKT z řad třetích stran
------------+Článek 31 Určení kritických poskytovatelů služeb IKT z řad třetích stran
---------------+Článek 31 1
---------------+Článek 31 2
---------------+Článek 31 3
---------------+Článek 31 4
---------------+Článek 31 5
---------------+Článek 31 6
---------------+Článek 31 7
---------------+Článek 31 8
---------------+Článek 31 9
---------------+Článek 31 10
---------------+Článek 31 11
---------------+Článek 31 12
---------------+Článek 31 13
------------+Článek 32 Struktura rámce dohledu
---------------+Článek 32 1
---------------+Článek 32 2
---------------+Článek 32 3
---------------+Článek 32 4
---------------+Článek 32 5
---------------+Článek 32 6
---------------+Článek 32 7
---------------+Článek 32 8
---------------+Článek 32 9
------------+Článek 33 Úkoly hlavního orgánu dohledu
---------------+Článek 33 1
---------------+Článek 33 2
---------------+Článek 33 3
---------------+Článek 33 4
---------------+Článek 33 5
------------+Článek 34 Operativní koordinace mezi hlavními orgány dohledu
---------------+Článek 34 1
---------------+Článek 34 2
---------------+Článek 34 3
------------+Článek 35 Pravomoci hlavního orgánu dohledu
---------------+Článek 35 1
---------------+Článek 35 2
---------------+Článek 35 3
---------------+Článek 35 4
---------------+Článek 35 5
---------------+Článek 35 6
---------------+Článek 35 7
---------------+Článek 35 8
---------------+Článek 35 9
---------------+Článek 35 10
---------------+Článek 35 11
------------+Článek 36 Výkon pravomocí hlavního orgánu dohledu mimo Unii
---------------+Článek 36 1
---------------+Článek 36 2
---------------+Článek 36 3
------------+Článek 37 Žádost o informace
---------------+Článek 37 1
---------------+Článek 37 2
---------------+Článek 37 3
---------------+Článek 37 4
---------------+Článek 37 5
------------+Článek 38 Obecná šetření
---------------+Článek 38 1
---------------+Článek 38 2
---------------+Článek 38 3
---------------+Článek 38 4
---------------+Článek 38 5
------------+Článek 39 Kontroly
---------------+Článek 39 1
---------------+Článek 39 2
---------------+Článek 39 3
---------------+Článek 39 4
---------------+Článek 39 5
---------------+Článek 39 6
---------------+Článek 39 7
------------+Článek 40 Průběžný dohled
---------------+Článek 40 1
---------------+Článek 40 2
---------------+Článek 40 3
---------------+Článek 40 4
------------+Článek 41 Harmonizace podmínek umožňujících provádění činností dohledu
---------------+Článek 41 1
---------------+Článek 41 2
------------+Článek 42 Následná opatření příslušných orgánů
---------------+Článek 42 1
---------------+Článek 42 2
---------------+Článek 42 3
---------------+Článek 42 4
---------------+Článek 42 5
---------------+Článek 42 6
---------------+Článek 42 7
---------------+Článek 42 8
---------------+Článek 42 9
---------------+Článek 42 10
---------------+Článek 42 11
------------+Článek 43 Poplatky za dohled
---------------+Článek 43 1
---------------+Článek 43 2
------------+Článek 44 Mezinárodní spolupráce
---------------+Článek 44 1
---------------+Článek 44 2
---+KAPITOLA VI Ujednání o sdílení informací
------+Článek 45 Ujednání o sdílení operativních a jiných informací o kybernetických hrozbách
---------+Článek 45 1
---------+Článek 45 2
---------+Článek 45 3
---+KAPITOLA VII Příslušné orgány
------+Článek 46 Příslušné orgány
---------+Článek 46 a)
---------+Článek 46 b)
---------+Článek 46 c)
---------+Článek 46 d)
---------+Článek 46 e)
---------+Článek 46 f)
---------+Článek 46 g)
---------+Článek 46 h)
---------+Článek 46 i)
---------+Článek 46 j)
---------+Článek 46 k)
---------+Článek 46 l)
---------+Článek 46 m)
---------+Článek 46 n)
---------+Článek 46 o)
---------+Článek 46 p)
---------+Článek 46 q)
------+Článek 47 Spolupráce se strukturami a orgány zřízenými směrnicí (EU) 2022/2555
---------+Článek 47 1
---------+Článek 47 2
---------+Článek 47 3
---------+Článek 47 4
------+Článek 48 Spolupráce mezi orgány
---------+Článek 48 1
---------+Článek 48 2
------+Článek 49 Meziodvětvová cvičení, komunikace a spolupráce ve finančním sektoru
---------+Článek 49 1
---------+Článek 49 2
------+Článek 50 Správní sankce a nápravná opatření
---------+Článek 50 1
---------+Článek 50 2
---------+Článek 50 3
---------+Článek 50 4
---------+Článek 50 5
---------+Článek 50 6
------+Článek 51 Výkon pravomoci ukládat správní sankce a jiná nápravná opatření
---------+Článek 51 1
---------+Článek 51 2
------+Článek 52 Trestní sankce
---------+Článek 52 1
---------+Článek 52 2
------+Článek 53 Oznamovací povinnost
------+Článek 54 Uveřejnění správních sankcí
---------+Článek 54 1
---------+Článek 54 2
---------+Článek 54 3
---------+Článek 54 4
---------+Článek 54 5
---------+Článek 54 6
------+Článek 55 Profesní tajemství
---------+Článek 55 1
---------+Článek 55 2
---------+Článek 55 3
---------+Článek 55 4
------+Článek 56 Ochrana údajů
---------+Článek 56 1
---------+Článek 56 2
---+KAPITOLA VIII Akty v přenesené pravomoci
------+Článek 57 Výkon přenesené pravomoci
---------+Článek 57 1
---------+Článek 57 2
---------+Článek 57 3
---------+Článek 57 4
---------+Článek 57 5
---------+Článek 57 6
---+KAPITOLA IX Přechodná a závěrečná ustanovení
------+Článek 58 Ustanovení o přezkumu
---------+Článek 58 1
---------+Článek 58 2
---------+Článek 58 3
------+Oddíl II Změny
---------+Článek 59 Změny nařízení (ES) č. 1060/2009
------------+Článek 59 1)
------------+Článek 59 2)
---------+Článek 60 Změny nařízení (EU) č. 648/2012
------------+Článek 60 1)
------------+Článek 60 2)
------------+Článek 60 3)
------------+Článek 60 4)
------------+Článek 60 5)
------------+Článek 60 6)
------------+Článek 60 7)
---------+Článek 61 Změny nařízení (EU) č. 909/2014
------------+Článek 61 1)
------------+Článek 61 2)
------------+Článek 61 3)
------------+Článek 61 4)
------------+Článek 61 5)
---------+Článek 62 Změny nařízení (EU) č. 600/2014
------------+Článek 62 1)
------------+Článek 62 2)
------------+Článek 62 3)
---------+Článek 63 Změny nařízení (EU) 2016/1011
---------+Článek 64 Vstup v platnost a použitelnost
------+Oddíl I
---+Preamble: 1
---+KAPITOLA I Obecná ustanovení
------+Článek 1 Předmět
---------+Článek 1 1
---------+Článek 1 2
---------+Článek 1 3
------+Článek 2 Oblast působnosti
---------+Článek 2 1
---------+Článek 2 2
---------+Článek 2 3
---------+Článek 2 4
------+Článek 3 Definice
---------+Článek 3 1)
---------+Článek 3 2)
---------+Článek 3 3)
---------+Článek 3 4)
---------+Článek 3 5)
---------+Článek 3 6)
---------+Článek 3 7)
---------+Článek 3 8)
---------+Článek 3 9)
---------+Článek 3 10)
---------+Článek 3 11)
---------+Článek 3 12)
---------+Článek 3 13)
---------+Článek 3 14)
---------+Článek 3 15)
---------+Článek 3 16)
---------+Článek 3 17)
---------+Článek 3 18)
---------+Článek 3 19)
---------+Článek 3 20)
---------+Článek 3 21)
---------+Článek 3 22)
---------+Článek 3 23)
---------+Článek 3 24)
---------+Článek 3 25)
---------+Článek 3 26)
---------+Článek 3 27)
---------+Článek 3 28)
---------+Článek 3 29)
---------+Článek 3 30)
---------+Článek 3 31)
---------+Článek 3 32)
---------+Článek 3 33)
---------+Článek 3 34)
---------+Článek 3 35)
---------+Článek 3 36)
---------+Článek 3 37)
---------+Článek 3 38)
---------+Článek 3 39)
---------+Článek 3 40)
---------+Článek 3 41)
---------+Článek 3 42)
---------+Článek 3 43)
---------+Článek 3 44)
---------+Článek 3 45)
---------+Článek 3 46)
---------+Článek 3 47)
---------+Článek 3 48)
---------+Článek 3 49)
---------+Článek 3 50)
---------+Článek 3 51)
---------+Článek 3 52)
---------+Článek 3 53)
---------+Článek 3 54)
---------+Článek 3 55)
---------+Článek 3 56)
---------+Článek 3 57)
---------+Článek 3 58)
---------+Článek 3 59)
---------+Článek 3 60)
---------+Článek 3 61)
---------+Článek 3 62)
---------+Článek 3 63)
---------+Článek 3 64)
---------+Článek 3 65)
------+Článek 4 Zásada proporcionality
---------+Článek 4 1
---------+Článek 4 2
---------+Článek 4 3
---+KAPITOLA II Řízení rizika v oblasti IKT
------+Oddíl I
---------+Článek 5 Řízení a organizace
------------+Článek 5 1
------------+Článek 5 2
------------+Článek 5 3
------------+Článek 5 4
------+Oddíl II
---------+Článek 6 Rámec pro řízení rizika v oblasti IKT
------------+Článek 6 1
------------+Článek 6 2
------------+Článek 6 3
------------+Článek 6 4
------------+Článek 6 5
------------+Článek 6 6
------------+Článek 6 7
------------+Článek 6 8
------------+Článek 6 9
------------+Článek 6 10
---------+Článek 7 Systémy, protokoly a nástroje IKT
------------+Článek 7 a)
------------+Článek 7 b)
------------+Článek 7 c)
------------+Článek 7 d)
---------+Článek 8 Identifikace
------------+Článek 8 1
------------+Článek 8 2
------------+Článek 8 3
------------+Článek 8 4
------------+Článek 8 5
------------+Článek 8 6
------------+Článek 8 7
---------+Článek 9 Ochrana a prevence
------------+Článek 9 1
------------+Článek 9 2
------------+Článek 9 3
------------+Článek 9 4
---------+Článek 10 Detekce
------------+Článek 10 1
------------+Článek 10 2
------------+Článek 10 3
------------+Článek 10 4
---------+Článek 11 Reakce a obnova
------------+Článek 11 1
------------+Článek 11 2
------------+Článek 11 3
------------+Článek 11 4
------------+Článek 11 5
------------+Článek 11 6
------------+Článek 11 7
------------+Článek 11 8
------------+Článek 11 9
------------+Článek 11 10
------------+Článek 11 11
---------+Článek 12 Politiky a postupy zálohování, postupy a metody obnovy
------------+Článek 12 1
------------+Článek 12 2
------------+Článek 12 3
------------+Článek 12 4
------------+Článek 12 5
------------+Článek 12 6
------------+Článek 12 7
---------+Článek 13 Poučení a rozvoj
------------+Článek 13 1
------------+Článek 13 2
------------+Článek 13 3
------------+Článek 13 4
------------+Článek 13 5
------------+Článek 13 6
------------+Článek 13 7
---------+Článek 14 Komunikace
------------+Článek 14 1
------------+Článek 14 2
------------+Článek 14 3
---------+Článek 15 Další harmonizace nástrojů, metod, postupů a politik řízení rizika v oblasti IKT
------------+Článek 15 a)
------------+Článek 15 b)
------------+Článek 15 c)
------------+Článek 15 d)
------------+Článek 15 e)
------------+Článek 15 f)
------------+Článek 15 g)
------------+Článek 15 2
------------+Článek 15 3
------------+Článek 15 4
---------+Článek 16 Zjednodušený rámec pro řízení rizika v oblasti IKT
------------+Článek 16 1
------------+Článek 16 2
------------+Článek 16 3
 English - European Union - Financial Industry -

NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Text s významem pro EHP)

NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2022/2554

ze dne 14. prosince 2022

o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011

(Text s významem pro EHP)

1. Přehled

,
KAPITOLA III Řízení, klasifikace a hlášení incidentů souvisejících s IKT KAPITOLA III Řízení, klasifikace a hlášení incidentů souvisejících s IKT
KAPITOLA IV Testování digitální provozní odolnosti KAPITOLA IV Testování digitální provozní odolnosti
KAPITOLA V Řízení rizika v oblasti IKT spojeného s třetími stranami KAPITOLA V Řízení rizika v oblasti IKT spojeného s třetími stranami
KAPITOLA VI Ujednání o sdílení informací KAPITOLA VI Ujednání o sdílení informací
KAPITOLA VII Příslušné orgány KAPITOLA VII Příslušné orgány
KAPITOLA VIII Akty v přenesené pravomoci KAPITOLA VIII Akty v přenesené pravomoci
KAPITOLA IX Přechodná a závěrečná ustanovení KAPITOLA IX Přechodná a závěrečná ustanovení
Preamble: 1

EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,

s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 114 této smlouvy,

s ohledem na návrh Evropské komise,

po postoupení návrhu legislativního aktu vnitrostátním parlamentům,

s ohledem na stanovisko Evropské centrální banky (1),

s ohledem na stanovisko Evropského hospodářského a sociálního výboru (2),

v souladu s řádným legislativním postupem (3),

vzhledem k těmto důvodům:

(1)

V digitálním věku podporují informační a komunikační technologie (IKT) složité systémy používané pro každodenní činnosti. Udržují v chodu klíčová odvětví našich ekonomik, včetně finančního sektoru, a zlepšují fungování vnitřního trhu. Vyšší míra digitalizace a vzájemné propojenosti rovněž násobí riziko v oblasti IKT, kvůli němuž se celá společnost, a zejména finanční systém, stávají zranitelnějšími vůči kybernetickým hrozbám nebo narušením v oblasti IKT. I když všudypřítomné používání systémů IKT a vysoká míra digitalizace a propojení dnes tvoří základní charakteristiku činnosti finančních subjektů Unie, jejich digitální odolnost je nutné ještě lépe řešit a začlenit do jejich širších provozních rámců.

(2)

Používání IKT získalo v posledních desetiletích při poskytování finančních služeb klíčovou úlohu, a to do té míry, že dnes má zásadní význam při provádění obvyklých běžných funkcí všech finančních subjektů. Digitalizace se nyní týká například plateb, které se stále více přesouvají od hotovostních a papírových metod k používání digitálních řešení, a rovněž clearingu a vypořádání cenných papírů, elektronického a algoritmického obchodování, operací půjčování a financování, sdíleného financování, úvěrového hodnocení, správy pohledávek a činnosti provozních útvarů. Vzhledem k používání IKT se proměnilo rovněž pojišťovnictví, od vzniku zprostředkovatelů pojištění nabízejících své služby online s využitím technologií v pojišťovnictví až po digitální uzavírání pojištění. Finanční sektor nejenže se digitalizoval jako celek, ale v důsledku digitalizace se rovněž prohloubila jeho vzájemná propojení a závislosti a rovněž propojení a závislosti mezi ním a poskytovateli infrastruktury a služeb z řad třetích stran.

(3)

Evropská rada pro systémová rizika (ESRB) ve své zprávě z roku 2020 zabývající se systémovými kybernetickými riziky potvrdila, jak stávající vysoká míra vzájemného propojení finančních subjektů, finančních trhů a infrastruktur finančních trhů, a zejména vzájemná závislost jejich systémů IKT, by mohla potenciálně představovat systémovou zranitelnost, protože se kybernetické incidenty vzniklé v jednom místě mohou bez omezení geografickými hranicemi rychle rozšířit z kteréhokoliv z přibližně 22 000 finančních subjektů Unie na celý finanční systém. Závažná narušení IKT, k nimž dochází ve finančním sektoru, nedopadají pouze na izolované finanční subjekty. Rovněž usnadňují šíření lokalizovaných zranitelností napříč finančními přenosovými kanály a potenciálně vytvářejí negativní důsledky pro stabilitu finančního systému Unie, neboť vedou například k hromadným výběrům hotovosti a celkové ztrátě jistoty a důvěry na finančních trzích.

(4)

Riziko v oblasti IKT v poslední době přitahuje pozornost mezinárodních, unijních a vnitrostátních tvůrců politik, regulátorů a standardizačních orgánů, které se snaží o zlepšení digitální odolnosti, stanovení norem a koordinaci regulatorních a dohledových činností. Na mezinárodní úrovni se Basilejský výbor pro bankovní dohled, Výbor pro platební styk a tržní infrastrukturu, Rada pro finanční stabilitu, Institut pro finanční stabilitu a rovněž skupiny G7 a G20 zaměřují na to, aby příslušným orgánům a účastníkům trhu v různých jurisdikcích poskytly nástroje pro posílení odolnosti jejich finančních systémů. Tato práce je rovněž motivována potřebou řádně zohlednit riziko v oblasti IKT v kontextu vysoce propojeného globálního finančního systému a usilovat o větší konzistentnost příslušných osvědčených postupů.

(5)

Přes cílené politické a legislativní iniciativy na unijní i vnitrostátní úrovni představuje riziko v oblasti IKT problém pro provozní odolnost, výkonnost a stabilitu finančního systému Unie. Reformy, které následovaly po finanční krizi z roku 2008, primárně posílily finanční odolnost finančního sektoru Unie a zaměřovaly se na zajištění konkurenceschopnosti a stability Unie z hlediska ekonomiky, obezřetnosti a chování trhu. Přestože jsou bezpečnost IKT a digitální odolnost součástí operačního rizika, regulatorní agenda se jim po finanční krizi věnovala méně, přičemž byly rozvíjeny pouze v některých oblastech strategického a regulatorního rámce finančních služeb Unie nebo jen v několika málo členských státech.

(6)

Ve svém sdělení ze dne 8. března 2018 nazvaném „Akční plán pro finanční technologie: Za konkurenceschopnější a inovativnější evropský finanční sektor“ Komise zdůraznila, že je nanejvýš důležité zlepšit odolnost finančního sektoru Unie, mimo jiné z provozního hlediska, aby byla zajištěna jeho technologická bezpečnost a správné fungování, jeho rychlé zotavení z narušení a incidentů souvisejících s IKT a aby v konečném důsledku mohly být finanční služby efektivně a bezproblémově poskytovány v celé Unii, a to i v krizových situacích, a aby byla současně zachována důvěra spotřebitelů a trhu.

(7)

V dubnu 2019 Evropský orgán dohledu (Evropský orgán pro bankovnictví) (EBA) zřízený nařízením Evropského parlamentu a Rady (EU) č. 1093/2010 (4), Evropský orgán dohledu (Evropský orgán pro pojišťovnictví a zaměstnanecké penzijní pojištění) (EIOPA) zřízený nařízením Evropského parlamentu a Rady (EU) č. 1094/2010 (5) a Evropský orgán dohledu (Evropský orgán pro cenné papíry a trhy) (ESMA) zřízený nařízením Evropského parlamentu a Rady (EU) č. 1095/2010 (6) (společně označovány jako „evropské orgány dohledu“) společně vydaly technické doporučení, ve kterém vyzvaly k jednotnému přístupu k riziku v oblasti IKT ve finančním sektoru a doporučily odpovídajícím způsobem posílit digitální provozní odolnost odvětví finančních služeb prostřednictvím iniciativy Unie zaměřené na toto odvětví.

(8)

Finanční sektor Unie je upraven jednotným souborem pravidel a řídí jej Evropský systém dohledu nad finančním trhem. Nicméně ustanovení zabývající se digitální provozní odolností a bezpečností IKT nejsou dosud plně nebo konzistentně harmonizována, přestože je digitální provozní odolnost klíčová pro zajištění finanční stability a integrity trhu v digitálním věku a není o nic méně důležitá než například společné normy pro obezřetnost nebo chování na trhu. Proto je třeba vypracovat jednotný soubor pravidel a systém dohledu, aby byla rovněž zahrnuta digitální provozní odolnost, a to posílením mandátů příslušných orgánů s cílem umožnit jim vykonávat dohled nad řízením rizika v oblasti IKT ve finančním sektoru, aby byla chráněna integrita a efektivnost vnitřního trhu a bylo usnadněno jeho řádné fungování.

(9)

Legislativní nesrovnalosti a nevyrovnané vnitrostátní regulatorní nebo dohledové přístupy, pokud jde o riziko v oblasti IKT, jsou příčinou překážek fungování vnitřního trhu s finančními službami a brání bezproblémovému výkonu svobody usazování a poskytování služeb finančním subjektům s přeshraniční působností. Rovněž by mohlo docházet k narušení hospodářské soutěže mezi finančními subjekty stejného typu působícími v různých členských státech. Je tomu tak zejména v oblastech, kde byla harmonizace Unie velmi omezená, jako u testování digitální provozní odolnosti, nebo v oblastech, kde chybí, například při sledování rizika v oblasti IKT spojeného s třetími stranami. Rozdíly vyplývající z předpokládaného vývoje na vnitrostátní úrovni by mohly vytvářet další překážky fungování vnitřního trhu na úkor účastníků trhu a finanční stability.

(10)

V důsledku toho, že ustanovení týkající se rizika v oblasti IKT byla na unijní úrovni řešena pouze částečně, v současnosti existují mezery či přesahy ve významných oblastech, jako jsou hlášení incidentů souvisejících s IKT a testování digitální provozní odolnosti, a nesrovnalosti vyplývající z nových rozdílných vnitrostátních pravidel nebo nákladově neefektivního používání překrývajících se pravidel. Poškozuje to zejména intenzivního uživatele IKT, jakým je finanční sektor, protože technologická rizika neznají hranice a finanční sektor poskytuje své služby ve velké míře přeshraničně jak v rámci Unie, tak mimo ni. Jednotlivé finanční subjekty fungující na přeshraničním základě nebo vlastnící několik oprávnění (například jeden finanční subjekt může mít bankovní licenci a oprávnění pro investiční podnik a platební instituci, přičemž je mohly vydat různé příslušné orgány v jednom či několika členských státech) čelí provozním problémům při řešení rizika v oblasti IKT a zmírňování negativních dopadů incidentů souvisejících s IKT vlastními silami a jednotným nákladově efektivním způsobem.

(11)

Protože jednotný soubor pravidel není doprovázen uceleným rámcem pro riziko v oblasti IKT nebo operační riziko, je nutná harmonizace klíčových požadavků na provozní digitální odolnost pro všechny finanční subjekty. Rozvoj schopností v oblasti IKT a celková odolnost finančních subjektů založená na těchto klíčových požadavcích by pomohly zachovat stabilitu a integritu finančních trhů Unie a tím přispět k zajištění vysoké úrovně ochrany investorů a spotřebitelů v Unii. Jelikož cílem tohoto nařízení je přispět k bezproblémovému fungování vnitřního trhu, mělo by vycházet z ustanovení článku 114 Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“), jak je vykládáno v souladu s konzistentní judikaturou Soudního dvora Evropské unie (dále jen „Soudní dvůr“).

(12)

Cílem tohoto nařízení je konsolidovat a aktualizovat požadavky na riziko v oblasti IKT jako součást požadavků na operační riziko, které byly až dosud řešeny v různých právních aktech Unie samostatně. Tyto akty se sice zabývají hlavními kategoriemi finančního rizika (například úvěrovým rizikem, tržním rizikem, úvěrovým rizikem protistrany a rizikem likvidity, rizikem chování trhu), ale v době svého přijetí komplexně nepostihly všechny složky provozní odolnosti. Pravidla týkající se operačního rizika, jsou-li dále rozpracována prostřednictvím těchto právních aktů Unie, často upřednostňují při řešení tohoto rizika tradiční kvantitativní přístup (konkrétně stanovení kapitálových požadavků na krytí rizika v oblasti IKT) namísto kvalitativních pravidel zaměřených na schopnosti ochrany, detekce, omezení šíření, obnovy a nápravy v souvislosti s incidenty souvisejícími s IKT nebo na schopnosti hlášení a digitálního testování. Tyto akty byly primárně určeny k pokrytí a aktualizaci základních pravidel obezřetnostního dohledu, integrity trhu nebo chování na něm. Vzhledem ke konsolidaci a aktualizaci různých pravidel týkajících se rizika v oblasti IKT by všechna ustanovení zabývající se digitálním rizikem ve finančním sektoru měla být poprvé a konzistentně shrnuta v jediném legislativním aktu. Toto nařízení tudíž zaplňuje mezery či napravuje nesrovnalosti v některých z těchto předchozích právních aktů, včetně v nich použité terminologie, a výslovně odkazuje na riziko v oblasti IKT prostřednictvím pravidel zaměřených na schopnosti řízení rizika v oblasti IKT, hlášení incidentů, testování provozní odolnosti a sledování rizika v oblasti IKT spojeného s třetími stranami. Tímto nařízením by se tudíž rovněž mělo zvýšit povědomí o riziku v oblasti IKT a mělo by se v něm uznat, že incidenty související s IKT a nedostatečná provozní odolnost mohou ohrozit finanční stabilitu finančních subjektů.

(13)

Finanční subjekty by měly při řešení rizika v oblasti IKT uplatňovat stejný přístup a stejná pravidla založená na zásadách s přihlédnutím ke své velikosti a celkovému rizikovému profilu a k povaze, rozsahu a složitosti svých služeb, činností a operací. Konzistentnost přispívá ke zvýšení důvěry ve finanční systém a zachování jeho stability, zejména v době velké závislosti na systémech, platformách a infrastrukturách IKT, které jsou spojeny se zvýšenými digitálními riziky. Dodržování základní kybernetické hygieny by rovněž mělo zabránit vysokým nákladům v ekonomice, protože minimalizuje dopad a náklady způsobené narušením v oblasti IKT.

(14)

Nařízení pomáhá snižovat složitost právních předpisů, posiluje konvergenci dohledu a zvyšuje právní jistotu, přičemž současně rovněž přispívá ke snížení nákladů na dodržování předpisů, zejména u finančních subjektů působících přeshraničně, a omezuje narušení hospodářské soutěže. Výběr nařízení pro vytvoření společného rámce digitální provozní odolnosti finančních subjektů je proto nejvhodnější způsob, jak zaručit homogenní a jednotné využívání všech složek řízení rizika v oblasti IKT ve finančním sektoru Unie.

(15)

Směrnice Evropského parlamentu a Rady (EU) 2016/1148 (7) byla prvním horizontálním rámcem pro kybernetickou bezpečnost přijatým na unijní úrovni, přičemž se vztahuje rovněž na tři druhy finančních subjektů, konkrétně na úvěrové instituce, obchodní systémy a ústřední protistrany. Protože však směrnice (EU) 2016/1148 stanovila na vnitrostátní úrovni mechanismus identifikace provozovatelů základních služeb, v praxi byly do oblasti její působnosti zahrnuty pouze některé úvěrové instituce, obchodní systémy a ústřední protistrany identifikované členskými státy, které tudíž musí splňovat požadavky na bezpečnost IKT a hlášení incidentů stanovené v uvedené směrnici. Směrnice Evropského parlamentu a Rady (EU) 2022/2555 (8) stanoví jednotné kritérium pro určení subjektů, které spadají do oblasti její působnosti (pravidlo velikosti), přičemž do její oblasti působnosti patří rovněž tři druhy finančních subjektů.

(16)

Protože však toto nařízení zvyšuje zavedením požadavků na řízení rizika v oblasti IKT a hlášení incidentů souvisejících s IKT, které jsou přísnější než požadavky stanovené v současném právu Unie v oblasti finančních služeb, úroveň harmonizace různých složek digitální odolnosti, tato vyšší úroveň představuje lepší harmonizaci i ve srovnání s požadavky uvedenými ve směrnici (EU) 2022/2555. Proto toto nařízení představuje lex specialis, pokud jde o směrnici (EU) 2022/2555. Současně je zásadní zachovat pevný vztah mezi finančním sektorem a horizontálním rámcem Unie pro kybernetickou bezpečnost, jak je v současnosti stanoven ve směrnici (EU) 2022/2555, aby byla zajištěna konzistentnost se strategiemi kybernetické bezpečnosti přijatými členskými státy a byla umožněna informovanost orgánů finančního dohledu o kybernetických incidentech dopadajících na jiná odvětví, na něž se uvedená směrnice vztahuje.

(17)

V souladu s čl. 4 odst. 2 Smlouvy o Evropské unii, a aniž je dotčen soudní přezkum Soudním dvorem, by tímto nařízením neměla být dotčena odpovědnost členských států ve vztahu k základním funkcím státu, které se týkají veřejné bezpečnosti, obrany a ochrany národní bezpečnosti, například pokud jde o poskytování informací, které by byly v rozporu s ochranou národní bezpečnosti.

(18)

S cílem umožnit meziodvětvové učení a účinně čerpat ze zkušeností jiných odvětví při řešení kybernetických hrozeb by finanční subjekty uvedené ve směrnici (EU) 2022/2555 měly zůstat součástí „ekosystému“ uvedené směrnice (například skupina pro spolupráci a týmy pro reakce na počítačové bezpečnostní incidenty (dále jen „týmy CSIRT“). Evropské orgány dohledu a vnitrostátní příslušné orgány by rovněž měly být schopny účastnit se politických diskusí o strategii a technických činností skupiny pro spolupráci v rámci uvedené směrnice a vyměňovat si informace a dále spolupracovat s jednotnými kontaktními místy určenými nebo zřízenými v souladu s uvedenou směrnicí. Příslušné orgány podle tohoto nařízení by měly rovněž konzultovat týmy CSIRT a spolupracovat s nimi. Příslušné orgány by rovněž měly mít možnost požádat o technické poradenství příslušné orgány určené nebo zřízené v souladu se směrnicí (EU) 2022/2555 a uzavírat ujednání o spolupráci, jejichž cílem je zabezpečit účinné a rychle reagující koordinační mechanismy.

(19)

Vzhledem k silným vzájemným vazbám mezi digitální odolností a fyzickou odolností finančních subjektů je v tomto nařízení a směrnici Evropského parlamentu a Rady (EU) 2022/2557 (9) nezbytný soudržný přístup, pokud jde o odolnost kritických subjektů. Vzhledem k tomu, že fyzická odolnost finančních subjektů je uceleným způsobem řešena v rámci povinností týkajících se řízení rizika v oblasti IKT a hlášení, na něž se vztahuje toto nařízení, neměly by se povinnosti stanovené v kapitolách III a IV směrnice (EU) 2022/2557 vztahovat na finanční subjekty spadající do oblasti působnosti uvedené směrnice.

(20)

Poskytovatelé cloudových služeb jsou jednou z kategorií digitálních infrastruktur upravených směrnicí (EU) 2022/2555. Unijní rámec dohledu vytvořený tímto nařízením (dále jen „rámec dohledu“) se vztahuje na všechny kritické poskytovatele služeb IKT z řad třetích stran, včetně poskytovatelů cloudových služeb, pokud poskytují služby IKT finančním subjektům, a měl by být považován za doplnění dohledu podle směrnice (EU) 2022/2555. Kromě toho by se měl rámec dohledu vytvořený tímto nařízením vztahovat i na poskytovatele cloudových služeb, neboť v Unii neexistuje horizontální rámec, kterým se zřizuje orgán pro digitální dohled.

(21)

Aby zůstala zajištěna úplná kontrola nad rizikem v oblasti IKT, musí mít finanční subjekty k dispozici komplexní schopnosti umožňující silné a účinné řízení rizika v oblasti IKT a specifické mechanismy a politiky pro zvládnutí všech incidentů souvisejících s IKT a pro hlášení závažných incidentů souvisejících s IKT. Podobně by finanční subjekty měly mít zavedeny politiky pro testování systémů, kontrol a procesů v oblasti IKT, jakož i pro řízení rizika v oblasti IKT spojeného s třetími stranami. Je třeba zvýšit základní úroveň digitální provozní odolnosti finančních subjektů a současně umožnit proporcionální uplatňování požadavků na určité finanční subjekty, zejména mikropodniky, jakož i finanční subjekty, na něž se vztahuje zjednodušený rámec pro řízení rizika v oblasti IKT. Aby se usnadnil účinný dohled nad institucemi zaměstnaneckého penzijního pojištění, který je přiměřený a řeší potřebu snížit administrativní zátěž příslušných orgánů, měly by příslušné vnitrostátní předpisy o dohledu nad těmito finančními subjekty zohledňovat jejich velikost a celkový rizikový profil, jakož i povahu, rozsah a složitost jejich služeb, činností a operací, a to i v případě překročení příslušných prahových hodnot stanovených v článku 5 směrnice Evropského parlamentu a Rady (EU) 2016/2341 (10). Činnosti v oblasti dohledu by se měly zaměřit především na potřebu řešit vážná rizika spojená s řízením rizika v oblasti IKT konkrétního subjektu.

Příslušné orgány by rovněž měly zachovávat obezřetný, ale přiměřený přístup, pokud jde o dohled nad institucemi zaměstnaneckého penzijního pojištění, které v souladu s článkem 31 směrnice (EU) 2016/2341 zadávají významnou část své hlavní činnosti, jako je správa aktiv, pojistně-matematické výpočty, účetnictví a správa údajů, poskytovatelům služeb.

(22)

Prahové hodnoty a taxonomie pro hlášení incidentů souvisejících s IKT se na vnitrostátní úrovni významně liší. Zatímco je možné společné pozice dosáhnout příslušnou prací Agentury Evropské unie pro kybernetickou bezpečnost (ENISA) zřízené nařízením Evropského parlamentu a Rady (EU) 2019/881 (11) a skupiny pro spolupráci podle směrnice (EU) 2022/2555, mohou u ostatních finančních subjektů stále existovat či vznikat různé přístupy ke stanovení prahových hodnot a použití taxonomií. Kvůli těmto rozdílům existuje množství požadavků, které musí finanční subjekty dodržovat, zejména při fungování v několika členských státech a v rámci finanční skupiny. Takové rozdíly mohou navíc omezovat vytváření dalších jednotných nebo centralizovaných unijních mechanismů urychlujících proces hlášení a podporujících rychlou a bezproblémovou výměnu informací mezi příslušnými orgány, která je zásadní pro řešení rizika v oblasti IKT v případě rozsáhlých útoků s potenciálně systémovými dopady.

(23)

Aby se snížila administrativní zátěž a potenciálně zdvojené povinnosti hlášení pro některé finanční subjekty, měly by se požadavky na hlášení incidentů podle směrnice Evropského parlamentu a Rady (EU) 2015/2366 (12) přestat vztahovat na poskytovatele platebních služeb, kteří spadají do oblasti působnosti tohoto nařízení. V důsledku toho by úvěrové instituce, instituce elektronických peněz, platební instituce a poskytovatelé služeb informování o účtu uvedení v čl. 33 odst. 1 uvedené směrnice měli ode dne použitelnosti tohoto nařízení hlásit podle tohoto nařízení všechny provozní nebo bezpečnostní incidenty související s platbami, které byly dříve oznamovány podle uvedené směrnice, bez ohledu na to, zda se tyto incidenty týkají IKT.

(24)

Aby mohly příslušné orgány plnit úkoly v oblasti dohledu požadováním úplného přehledu o povaze, četnosti, významu a dopadu incidentů souvisejících s IKT a aby se zlepšila výměna informací mezi relevantními veřejnými orgány, včetně donucovacích orgánů a orgánů příslušných k řešení krize, mělo by toto nařízení stanovit spolehlivý režim hlášení incidentů souvisejících s IKT, v jehož rámci by se relevantní požadavky zaměřily na stávající mezery v právu v oblasti finančních služeb, a odstranit stávající překrytí a zdvojení s cílem snížit náklady. Je nutné harmonizovat režim hlášení incidentů souvisejících s IKT tím, že všechny finanční subjekty budou muset podávat hlášení svým příslušným orgánům na základě jednotného zjednodušeného rámce stanoveného v tomto nařízení. Kromě toho by měly evropské orgány dohledu mít pravomoc dále upřesnit relevantní prvky rámce pro hlášení incidentů souvisejících s IKT, jako jsou taxonomie, časové rámce, soubory údajů, vzory a platné prahové hodnoty. Aby byl zajištěn plný soulad se směrnicí (EU) 2022/2555, mělo by být finančním subjektům umožněno dobrovolně oznamovat vážné kybernetické hrozby relevantnímu příslušnému orgánu, pokud se domnívají, že kybernetická hrozba je relevantní pro finanční systém, uživatele služeb nebo klienty.

(25)

Některá finanční pododvětví vypracovala požadavky na testování digitální provozní odolnosti, jež stanoví rámce, které nejsou vždy plně sladěny. To vede k potenciálnímu zdvojení nákladů pro finanční subjekty s přeshraniční působností a činí vzájemné uznávání výsledků testování digitální provozní odolnosti složitým, což následně může vést k fragmentaci vnitřního trhu.

(26)

Dále, nebude-li požadováno testování IKT, zůstanou nezjištěny zranitelnosti, jež povedou k vystavení finančního subjektu riziku v oblasti IKT, a v konečném důsledku vznikne vyšší riziko pro stabilitu a integritu finančního sektoru. Bez zásahu Unie by bylo testování digitální provozní odolnosti nadále nekonzistentní a neexistoval by systém vzájemného uznávání výsledků testování IKT v různých jurisdikcích. Protože je rovněž nepravděpodobné, že by další finanční pododvětví přijala schémata testování ve smysluplném rozsahu, promarnily by potenciální výhody rámce testování, pokud jde o odhalení zranitelností a rizik v oblasti IKT a schopnosti testování bezpečnosti a zachování provozu, které přispívají k rostoucí důvěře klientů, dodavatelů a obchodních partnerů. K odstranění uvedených přesahů, rozdílů a mezer je nutné stanovit pravidla pro režim koordinovaného testování, což usnadní vzájemné uznávání pokročilého testování u finančních subjektů splňujících kritéria stanovená tímto nařízením.

(27)

Závislost finančních subjektů na používání služeb IKT je zčásti vyvolána jejich potřebou přizpůsobit se rozvíjející se konkurenční digitální globální ekonomice, zvýšit efektivitu svých činností a uspokojit poptávku spotřebitelů. Povaha a rozsah této závislosti se v posledních letech nepřetržitě vyvíjí, přičemž se tím snižují náklady finančního zprostředkování, umožňuje rozšíření obchodní činnosti a škálovatelnost využívání finančních aktivit a současně se nabízí celá řada nástrojů IKT pro řízení složitých vnitřních procesů.

(28)

Toto rozsáhlé využívání služeb IKT dokládají složitá smluvní ujednání, přičemž se finanční subjekty často potýkají s potížemi při sjednávání smluvních podmínek přizpůsobených obezřetnostním normám nebo jiným regulatorním požadavkům, jež se na ně vztahují, nebo jinak při vymáhání konkrétních práv, jako jsou práva na přístup nebo práva týkající se auditů, a to i tehdy, když jsou tato práva začleněna do jejich smluvních ujednání. Kromě toho mnoho těchto smluvních ujednání neobsahuje dostatečné pojistky umožňující plnohodnotné sledování subdodavatelských procesů, což snižuje schopnost finančního subjektu posoudit související rizika. Dále protože poskytovatelé služeb IKT z řad třetích stran často nabízejí standardizované služby různým druhům klientů, nemusí taková smluvní ujednání vždy přiměřeně ošetřovat individuální nebo konkrétní požadavky aktérů finančního sektoru.

(29)

Přestože právo Unie v oblasti finančních služeb obsahují určitá obecná pravidla o externím zajištění služeb, není sledování smluvního rozměru v právu Unie plně zakotveno. Vzhledem k absenci jasných a přesných unijních norem vztahujících se na smluvní ujednání uzavřená s poskytovateli služeb IKT z řad třetích stran není externí zdroj rizika v oblasti IKT vyřešen komplexně. Je proto nezbytné stanovit určité klíčové zásady, jimiž se budou řídit finanční subjekty v případě řízení rizika v oblasti IKT spojeného s třetími stranami a které jsou obzvláště důležité, pokud finanční subjekty využívají poskytovatele služeb IKT z řad třetích stran na podporu svých zásadních nebo důležitých funkcí. Tyto zásady by měly být doplněny souborem základních smluvních práv ve vztahu k několika prvkům plnění a ukončení smluvních ujednání s cílem poskytnout určité minimální záruky na podporu schopnosti finančních subjektů účinně sledovat veškeré riziko v oblasti IKT vznikající na úrovni poskytovatelů služeb z řad třetích stran. Tyto zásady doplňují odvětvové právní předpisy použitelné na externí zajištění služeb.

(30)

V současné době je patrné, že pokud jde o sledování rizika v oblasti IKT spojeného s třetími stranami a závislosti na poskytovatelích služeb IKT z řad třetích stran, chybí určitá jednotnost a sbližování. Přes úsilí o vyřešení externího zajištění služeb, jako jsou pokyny EBA pro externí služby z roku 2019 a pokyny ESMA pro spolupráci s externími poskytovateli cloudových služeb, neřeší právo Unie dostatečně širší problém potírání systémového rizika, které může vzniknout při vystavení finančního sektoru omezenému počtu kritických poskytovatelů služeb IKT z řad třetích stran. Skutečnost, že chybí pravidla na úrovni Unie, ještě zhoršuje absence vnitrostátních pravidel týkajících se oprávnění a nástrojů, které umožňují orgánům finančního dohledu správně pochopit závislosti na třetích stranách v oblasti IKT a adekvátně sledovat rizika vyplývající z koncentrace závislostí na třetích stranách v oblasti IKT.

(31)

S přihlédnutím k potenciálnímu systémovému riziku souvisejícímu s rostoucí praxí externího poskytování služeb a koncentrací závislosti na třetích stranách v oblasti IKT a s ohledem na nedostatečné vnitrostátní mechanismy, pokud jde o poskytování přiměřených nástrojů orgánům finančního dohledu za účelem kvantifikace, kvalifikace a nápravy důsledků rizika v oblasti IKT, které se objevuje u kritických poskytovatelů služeb IKT z řad třetích stran, je nezbytné vytvořit vhodný rámec dohledu, který umožní nepřetržité sledování činností poskytovatelů služeb IKT z řad třetích stran, jež jsou pro finanční subjekty kritickými poskytovateli služeb IKT z řad třetích stran, a současně zabezpečí, že bude zachována důvěryhodnost a bezpečnost jiných zákazníků, než jsou finanční subjekty. Ačkoli poskytování služeb IKT v rámci skupiny s sebou nese specifická rizika a přínosy, nemělo by být automaticky považováno za méně rizikové než poskytování služeb IKT poskytovateli mimo finanční skupinu, a proto by mělo podléhat stejnému regulačnímu rámci. Pokud jsou však služby IKT poskytovány v rámci téže finanční skupiny, finanční subjekty by mohly mít vyšší úroveň kontroly nad poskytovateli v rámci skupiny, což by mělo být zohledněno v celkovém posouzení rizik.

(32)

Jak se rizika v oblasti IKT stávají stále složitějšími a sofistikovanějšími, závisí správná opatření pro detekci a prevenci rizika v oblasti IKT ve značné míře na pravidelném sdílení operativních informací o hrozbách a zranitelnosti mezi finančními subjekty. Sdílení informací přispívá k vytváření zvýšeného povědomí o kybernetických hrozbách. To zase zlepšuje kapacitu finančních subjektů zabránit tomu, aby se z hrozeb staly skutečné incidenty související s IKT, a umožňuje těmto subjektům účinněji omezit dopad incidentů souvisejících s IKT a rychleji se z nich zotavit. Vzhledem k absenci pokynů na úrovni Unie se zdá, že tomuto sdílení operativních informací brání několik faktorů, zejména nejistota ohledně jejich kompatibility s předpisy pro ochranu osobních údajů, antimonopolními předpisy a předpisy upravujícími odpovědnost.

(33)

Pochybnosti týkající se druhu informací, které je možné sdílet s ostatními účastníky trhu nebo jinými orgány nevykonávajícími dohled (například ENISA u analytických údajů nebo Europol pro účely vymáhání práva), navíc vedou k neposkytování užitečných informací. Rozsah a kvalita sdílení informací zůstávají tudíž v současné době omezené a roztříštěné a příslušné výměny informací probíhají většinou na místní úrovni (prostřednictvím vnitrostátních iniciativ) a bez konzistentních celounijních dohod o sdílení informací přizpůsobených požadavkům integrovaného finančního systému. Je proto důležité tyto komunikační kanály posílit.

(34)

Finanční subjekty by měly být vybízeny, aby si vzájemně vyměňovaly operativní informace o kybernetických hrozbách a kolektivně využívaly svých individuálních znalostí a praktických zkušeností na strategické, taktické a provozní úrovni, a zlepšily tak své schopnosti adekvátního posuzování a sledování kybernetických hrozeb, obrany před nimi a reakce na ně, a to zapojením do ujednání o sdílení informací. Je proto nezbytné umožnit, aby na úrovni Unie vznikly mechanismy ujednání o dobrovolném sdílení informací, které při zavedení v důvěryhodných prostředích pomohou komunitě finančního sektoru bránit se a společně reagovat na kybernetické hrozby rychlým omezením šíření rizika v oblasti IKT a zabráněním potenciálnímu šíření nákazy finančními kanály. Tyto mechanismy by měly být v souladu s platnými pravidly práva Unie v oblasti hospodářské soutěže, jak jsou vymezena ve sdělení Komise ze dne 14. ledna 2011 nazvaném „Pokyny k použitelnosti článku 101 Smlouvy o fungování Evropské unie na dohody o horizontální spolupráci“, jakož i s pravidly Unie pro ochranu údajů, zejména s nařízením Evropského parlamentu a Rady (EU) 2016/679 (13). Měly by fungovat na základě použití jednoho nebo více právních základů stanovených v článku 6 uvedeného nařízení, například v souvislosti se zpracováním osobních údajů, které je nezbytné pro účely oprávněného zájmu správce nebo třetí strany, jak je uvedeno v čl. 6 odst. 1 písm. f) uvedeného nařízení, jakož i v souvislosti se zpracováním osobních údajů nezbytných pro splnění právní povinnosti správce, které je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, jak je uvedeno v čl. 6 odst. 1 písm. c) a e) uvedeného nařízení.

(35)

Aby se zachovala vysoká úroveň digitální provozní odolnosti celého finančního sektoru a zároveň držel krok s technologickým vývojem, mělo by se toto nařízení zabývat rizikem vyplývajícím ze všech druhů služeb IKT. Za tímto účelem by definice služeb IKT v kontextu tohoto nařízení měla být chápána široce a měla by zahrnovat digitální a datové služby průběžně poskytované prostřednictvím systémů IKT jednomu nebo více interním nebo externím uživatelům. Tato definice by měla například zahrnovat tzv. služby „over the top“, které spadají do kategorie služeb elektronických komunikací. Měla by vyloučit pouze omezenou kategorii tradičních analogových telefonních služeb, které jsou kvalifikovány jako služby veřejné komutované telefonní sítě (PSTN), služby pevné sítě, služby tradičního analogového telefonního systému (POTS) nebo telefonní služby pevné linky.

(36)

Bez ohledu na širokou platnost uvedenou v tomto nařízení by mělo používání pravidel pro digitální provozní odolnost zohledňovat výrazné rozdíly ve velikosti a celkovém rizikovém profilu jednotlivých finančních subjektů. Obecným principem při rozdělování zdrojů a schopností na realizaci rámce pro řízení rizika v oblasti IKT by mělo být, že finanční subjekty správně vyváží své požadavky na IKT podle své velikosti a celkového rizikového profilu a povahy, rozsahu a složitosti svých služeb, činnosti a provozu, zatímco příslušné orgány budou nadále hodnotit a revidovat způsob tohoto rozdělení.

(37)

Poskytovatelé služeb informování o účtu uvedení v čl. 33 odst. 1 směrnice (EU) 2015/2366 jsou výslovně zahrnuti do oblasti působnosti tohoto nařízení s přihlédnutím ke zvláštní povaze jejich činností a rizikům, která z nich vyplývají. Kromě toho do oblasti působnosti tohoto nařízení spadají instituce elektronických peněz a platební instituce vyňaté podle čl. 9 odst. 1 směrnice Evropského parlamentu a Rady 2009/110/ES (14) a čl. 32 odst. 1 směrnice (EU) 2015/2366, i v případě, že jim nebylo v souladu se směrnicí 2009/110/ES uděleno povolení k vydávání elektronických peněz nebo pokud jim nebylo v souladu se směrnicí (EU) 2015/2366 uděleno povolení k poskytování a provádění platebních služeb. Z oblasti působnosti tohoto nařízení jsou však vyňaty poštovní žirové instituce uvedené v čl. 2 odst. 5 bodu 3 směrnice Evropského parlamentu a Rady 2013/36/EU (15). Příslušným orgánem v případě platebních institucí vyňatých podle směrnice (EU) 2015/2366, institucí elektronických peněz vyňatých podle směrnice 2009/110/ES a poskytovatelů služeb informování o účtu uvedených v čl. 33 odst. 1 směrnice (EU) 2015/2366 by měl být příslušný orgán určený v souladu s článkem 22 směrnice (EU) 2015/2366.

(38)

Protože větší finanční subjekty by mohly využívat více prostředků a mohou rychle přidělovat finance na rozvoj řídicích struktur a vytvářet různé podnikové strategie, měly by mít povinnost zřizovat komplexnější systémy správy a řízení pouze ty finanční subjekty, které nejsou ve smyslu tohoto nařízení považovány za mikropodniky. Tyto subjekty jsou lépe vybaveny pro vytváření specializovaných vedoucích funkcí pro dohled nad ujednáními s poskytovateli služeb IKT z řad třetích stran nebo pro zvládání krizového řízení, k organizaci svého řízení rizika souvisejícího s IKT podle tří linií modelu obrany nebo k zavedení modelu interního řízení rizika a kontroly a předložení svých rámců pro řízení rizika v oblasti IKT vnitřnímu auditu.

(39)

Některé finanční subjekty využívají výjimky nebo se na ně podle příslušných odvětvových právních předpisů Unie vztahuje velmi zjednodušený regulační rámec. Tyto finanční subjekty zahrnují správce alternativních investičních fondů uvedené v čl. 3 odst. 2 směrnice Evropského parlamentu a Rady 2011/61/EU (16), pojišťovny a zajišťovny uvedené v článku 4 směrnice Evropského parlamentu a Rady 2009/138/ES (17) a instituce zaměstnaneckého penzijního pojištění, které provozují penzijní plány, které dohromady nemají více než 15 účastníků. S ohledem na tyto výjimky by nebylo přiměřené zahrnout tyto finanční subjekty do oblasti působnosti tohoto nařízení. Kromě toho toto nařízení uznává specifika struktury trhu zprostředkování pojištění, v důsledku čehož by se toto nařízení nemělo vztahovat na zprostředkovatele pojištění, zprostředkovatele zajištění a zprostředkovatele doplňkového pojištění kvalifikované jako mikropodniky nebo malé nebo střední podniky.

(40)

Vzhledem k tomu, že subjekty uvedené v čl. 2 odst. 5 bodech 4 až 23 směrnice 2013/36/EU jsou vyňaty z oblasti působnosti uvedené směrnice, měly by mít členské státy možnost vyloučit z oblasti působnosti tohoto nařízení subjekty usazené na jejich území.

(41)

Obdobně v zájmu sladění tohoto nařízení s oblastí působnosti směrnice Evropského parlamentu a Rady 2014/65/EU (18) je rovněž vhodné vyloučit z oblasti působnosti tohoto nařízení fyzické a právnické osoby uvedené v článcích 2 a 3 uvedené směrnice, které mohou poskytovat investiční služby, aniž by musely získat povolení podle směrnice 2014/65/EU. Článek 2 směrnice 2014/65/EU však z oblasti působnosti uvedené směrnice rovněž vylučuje subjekty, které jsou pro účely tohoto nařízení považovány za finanční subjekty, jako jsou centrální depozitáře cenných papírů, subjekty kolektivního investování nebo pojišťovny a zajišťovny. Vyloučení osob a subjektů podle článků 2 a 3 uvedené směrnice z oblasti působnosti tohoto nařízení by nemělo tyto centrální depozitáře cenných papírů, subjekty kolektivního investování nebo pojišťovny a zajišťovny zahrnovat.

(42)

Některé finanční subjekty podléhají podle odvětvových právních předpisů Unie mírnějším požadavkům nebo výjimkám z důvodů spojených s jejich velikostí nebo službami, které poskytují. Tato kategorie finančních subjektů zahrnuje malé a nepropojené investiční podniky, malé instituce zaměstnaneckého penzijního pojištění, které mohou být dotčeným členským státem vyloučeny z oblasti působnosti směrnice (EU) 2016/2341 za podmínek stanovených v článku 5 uvedené směrnice a provozují penzijní plány, které dohromady nemají více než 100 účastníků, jakož i instituce vyňaté podle směrnice 2013/36/EU. Proto je v souladu se zásadou proporcionality a v zájmu zachování smyslu odvětvových právních předpisů Unie rovněž vhodné podrobit tyto finanční subjekty zjednodušenému rámci pro řízení rizika v oblasti IKT podle tohoto nařízení. Přiměřenost rámce pro řízení rizika v oblasti IKT, který se vztahuje na tyto finanční subjekty, by neměla být měněna regulačními technickými normami, které mají být vypracovány evropskými orgány dohledu. Kromě toho je v souladu se zásadou proporcionality vhodné, aby se na platební instituce uvedené v čl. 32 odst. 1 směrnice (EU) 2015/2366 a na instituce elektronických peněz uvedené v článku 9 směrnice 2009/110/ES vyňaté v souladu s vnitrostátním právem provádějícím tyto právní akty Unie vztahoval zjednodušený rámec pro řízení rizika v oblasti IKT podle tohoto nařízení, zatímco platební instituce a instituce elektronických peněz, které nebyly vyňaty v souladu s vnitrostátním právem provádějícím odvětvové právní předpisy Unie, by měly dodržovat obecný rámec stanovený tímto nařízením.

(43)

Obdobně by se po finančních subjektech, které jsou považovány za mikropodniky nebo se na ně vztahuje zjednodušený rámec pro řízení rizika v oblasti IKT podle tohoto nařízení, nemělo požadovat, aby vytvořily funkci sledování ujednání o využívání služeb IKT uzavřených s poskytovateli z řad třetích stran nebo pověřily jednoho vedoucího pracovníka jako osobu odpovědnou za dohled nad expozicí souvisejícím rizikům a příslušnou dokumentací; pověřily odpovědností za řízení a kontrolu rizika v oblasti IKT kontrolní funkci a zajistily odpovídající nezávislost této kontrolní funkce, aby nedocházelo ke střetům zájmů; zdokumentovaly a přezkoumaly rámec pro řízení rizika v oblasti IKT alespoň jednou ročně; pravidelně prováděly interní audit rámce pro řízení rizika v oblasti IKT; prováděly hloubková posouzení po velkých změnách svých infrastruktur sítí a informačních systémů a procesů, pravidelně analyzovaly rizika původních systémů IKT; prováděly nezávislý interní audit provádění plánů reakce a obnovy v oblasti IKT; zavedly funkci řízení krizí, rozšířily testování zachování provozu a plány reakce a obnovy tak, aby zahrnovaly i scénáře přepnutí mezi primární infrastrukturou IKT a redundantními zařízeními; na žádost oznamovaly příslušným orgánům odhad souhrnných ročních nákladů a ztrát způsobených závažnými incidenty souvisejícími s IKT, udržovaly rezervní kapacity IKT; informovaly příslušné vnitrostátní orgány o změnách v návaznosti na přezkumy realizované po incidentech souvisejících s IKT; nepřetržitě sledovaly relevantní technologický vývoj, zavedly ucelený program testování digitální provozní odolnosti jako nedílnou součást rámce pro řízení rizika v oblasti IKT stanoveného v tomto nařízení nebo přijaly a pravidelně revidovaly strategii týkající se rizika v oblasti IKT spojeného s třetími stranami. Kromě toho by se od mikropodniků mělo pouze vyžadovat, aby posoudily potřebu zachovat tyto nadbytečné kapacity IKT na základě svého rizikového profilu. Mikropodniky by měly mít prospěch z flexibilnějšího režimu, pokud jde o programy testování digitální provozní odolnosti. Při zvažování druhu a četnosti testů, které mají být prováděny, by měly náležitě vyvážit cíl zachování vysoké digitální provozní odolnosti, dostupné zdroje a svůj celkový rizikový profil. Mikropodniky a finanční subjekty, na něž se vztahuje zjednodušený rámec pro řízení rizika v oblasti IKT podle tohoto nařízení, by měly být osvobozeny od požadavku provádět pokročilé testování nástrojů, systémů a procesů IKT na základě penetračního testování na základě hrozeb, neboť by se mělo požadovat, aby takové testování prováděly pouze finanční subjekty splňující kritéria stanovená tímto nařízením. Vzhledem ke svým omezeným možnostem by měly mít mikropodniky možnost dohodnout se s poskytovatelem služeb IKT z řad třetích stran na přenesení práv finančního subjektu na přístup, kontrolu a audit na nezávislou třetí stranu, kterou určí poskytovatel služeb IKT z řad třetích stran, za předpokladu, že finanční subjekt může kdykoli požádat příslušnou nezávislou třetí stranu o veškeré relevantní informace a ujištění o výkonnosti poskytovatele služeb IKT z řad třetích stran.

(44)

Protože provádění penetračních testů na základě hrozeb bude požadováno pouze u finančních subjektů označených pro účely pokročilého testování digitální odolnosti, měly by se administrativní postupy a finanční náklady související s těmito testy týkat malého procenta finančních subjektů.

(45)

Aby byla zajištěna úplná harmonizace a celková konzistentnost obchodních strategií finančních subjektů na jedné straně a provádění řízení rizika v oblasti IKT na straně druhé, je třeba po vedoucích orgánech finančních subjektů požadovat, aby si zachovávaly klíčovou a aktivní úlohu při řízení a přizpůsobování rámce pro řízení rizika v oblasti IKT a celkové strategie digitální provozní odolnosti. Přístup vedoucích orgánů by se neměl zaměřovat pouze na prostředky k zajištění odolnosti systémů IKT, ale měl by prostřednictvím souboru politik zahrnovat rovněž osoby a procesy, které na každé úrovni podniku a pro všechny zaměstnance utvářejí silné povědomí o kybernetických rizicích a závazek k dodržování striktní kybernetické hygieny na všech úrovních. Nejvýznamnějším úkolem vedoucího orgánu při řízení rizika finančního subjektu v oblasti IKT by měl být zastřešující princip tohoto uceleného přístupu dále vyjádřeného prostřednictvím nepřetržitého angažování vedoucího orgánu při kontrole sledování řízení rizika v oblasti IKT.

(46)

Kromě toho zásada plné a konečné odpovědnosti vedoucího orgánu za řízení rizika finančního subjektu v oblasti IKT jde ruku v ruce s potřebou zabezpečit míru investic souvisejících s IKT a celkový rozpočet finančního subjektu, který by mu umožnil dosáhnout vysoké úrovně digitální provozní odolnosti.

(47)

Toto nařízení, které je inspirováno příslušnými mezinárodními, vnitrostátními a odvětvovými osvědčenými postupy, pokyny, doporučeními a přístupy k řízení kybernetického rizika, podporuje soubor zásad usnadňujících celkovou strukturalizaci řízení rizika v oblasti IKT. V důsledku toho, pokud existují hlavní schopnosti, které finanční subjekty zavedly s cílem řešit různé funkce řízení rizika v oblasti IKT (identifikace, ochrana a prevence, detekce, reakce a obnova, poučení a vývoj a komunikace), uvedené v tomto nařízení, měly by finanční subjekty nadále volně používat modely řízení rizika v oblasti IKT s různými rámci nebo kategoriemi.

(48)

Aby finanční subjekty udržely krok s vývojem v oblasti kybernetických hrozeb, měly by udržovat aktualizované systémy IKT, které budou spolehlivé a schopné zaručit nejen zpracování údajů požadovaných k realizaci jejich služeb, ale které budou mít rovněž dostatečnou technologickou odolnost umožňující finančním subjektům adekvátně se vypořádat s dalšími požadavky na zpracování, které se mohou objevit v důsledku napjatých podmínek na trhu nebo jiných nepříznivých situací.

(49)

Účinné plány zachování provozu a plány obnovy jsou nutné k tomu, aby mohly finanční subjekty neprodleně a rychle řešit incidenty související s IKT, zejména kybernetické útoky, prostřednictvím omezení škod a upřednostnění obnovy činností a opatření k obnově činností, a to v souladu se svými záložními postupy. Toto obnovení by však v žádném případě nemělo ohrozit integritu a bezpečnost sítí a informačních systémů ani dostupnost, hodnověrnost, integritu nebo důvěrnost údajů.

(50)

I když toto nařízení umožňuje, aby finanční subjekty flexibilně stanovily své cíle, pokud jde o dobu obnovy a bod dosažení obnovy, tedy aby stanovily tyto cíle s úplným zohledněním povahy a významu relevantních funkcí a všech konkrétních provozních potřeb, mělo by po nich nicméně vyžadovat, aby při stanovování těchto cílů provedly posouzení potenciálního celkového dopadu na tržní efektivitu.

(51)

Šiřitelé kybernetických útoků mají tendenci usilovat o finanční zisky přímo u zdroje, čímž vystavují finanční subjekty závažným důsledkům. Aby se předešlo ztrátě integrity systémů IKT či jejich nedostupnosti, a tudíž se zabránilo prolomení důvěrných údajů nebo poškození fyzické infrastruktury IKT, je třeba výrazně zlepšit a zjednodušit hlášení závažných incidentů souvisejících s IKT finančními subjekty. Hlášení incidentů souvisejících s IKT by mělo být pro všechny finanční subjekty harmonizováno prostřednictvím zavedení požadavku, aby podávaly hlášení přímo svým relevantním příslušným orgánům. Pokud finanční subjekt podléhá dohledu více než jednoho příslušného vnitrostátního orgánu, měly by členské státy určit jediný příslušný orgán, jemuž bude takové hlášení určeno. Úvěrové instituce klasifikované jako významné v souladu s čl. 6 odst. 4 nařízení Rady (EU) č. 1024/2013 (19) by měly tato hlášení předkládat vnitrostátním příslušným orgánům, které by měly zprávu následně předat Evropské centrální bance (ECB).

(52)

Přímé hlášení by mělo orgánům finančního dohledu umožnit získat okamžitý přístup k informacím o závažných incidentech souvisejících s IKT. Orgány finančního dohledu by však na oplátku měly podrobné informace o závažných incidentech souvisejících s IKT poskytnout veřejným nefinančním orgánům (jako jsou příslušné orgány a jednotná kontaktní místa podle směrnice (EU) 2022/2555, vnitrostátní úřady pro ochranu osobních údajů a v případě závažných incidentů souvisejících s IKT trestní povahy donucovací orgány), aby se posílilo povědomí těchto orgánů o takových incidentech a aby se v případě týmů CSIRT usnadnila rychlá pomoc, kterou je možné finančním subjektům případně poskytnout. Členské státy by navíc měly mít možnost stanovit, že finanční subjekty by měly tyto informace poskytovat veřejným orgánům mimo oblast finančních služeb samy. Tyto informační toky by měly finančním subjektům umožnit rychle využít veškerých relevantních technických vstupů, poradenství ohledně nápravy a následných opatření ze strany těchto orgánů. Informace o závažných incidentech souvisejících s IKT by měly být poskytovány vzájemně: orgány finančního dohledu by měly finančnímu subjektu poskytovat veškerou nezbytnou zpětnou vazbu nebo pokyny a evropské orgány dohledu by měly sdílet anonymizované údaje o kybernetických hrozbách a zranitelnostech týkající se daného incidentu, aby pomohly širší společné obraně.

(53)

Přestože by se hlášení incidentů mělo vyžadovat po všech finančních subjektech, neočekává se, že tento požadavek ovlivní všechny subjekty stejným způsobem. Příslušné prahové hodnoty významnosti, jakož i lhůty pro hlášení by měly být řádně upraveny v kontextu aktů v přenesené pravomoci založených na regulačních technických normách, které vypracují evropské orgány dohledu, a to tak, aby se vztahovaly pouze na závažné incidenty související s IKT. Při stanovování lhůt pro povinnost hlášení by navíc měla být zohledněna specifika finančních subjektů.

(54)

Toto nařízení by mělo vyžadovat, aby úvěrové instituce, platební instituce, poskytovatelé služeb informování o účtu a instituce elektronických peněz hlásili všechny provozní nebo bezpečnostní incidenty související s platbami – dříve hlášené podle směrnice (EU) 2015/2366 – bez ohledu na povahu incidentu z hlediska IKT.

(55)

Evropské orgány dohledu by měly být pověřeny posouzením proveditelnosti a podmínek možné centralizace hlášení incidentů souvisejících s IKT na úrovni Unie. Tato centralizace by mohla sestávat z jednotného centra EU pro hlášení závažných incidentů souvisejících s IKT, které bude buď přímo přijímat příslušná hlášení a automaticky informovat příslušné vnitrostátní orgány, nebo bude soustřeďovat příslušná hlášení zasílaná příslušnými vnitrostátními orgány, a plnit tak úlohu koordinátora. Evropské orgány dohledu by měly být pověřeny, aby společně s ECB a ENISA vypracovaly společnou zprávu zabývající se proveditelností vytvoření jednotného centra EU.

(56)

Aby finanční subjekty dosáhly vysoké úrovně digitální provozní odolnosti a fungovaly v souladu s příslušnými mezinárodními normami (například základními prvky skupiny G7 pro penetrační testování na základě hrozeb) i s rámci uplatňovanými v Unii, jako je například TIBER–EU, měly by pravidelně testovat své systémy IKT a personál zodpovědný za IKT na efektivitu jejich prostředků prevence, detekce, reakce a obnovy, aby byly zjištěny a odstraněny potenciální zranitelnosti IKT. Aby se zohlednily rozdíly vyskytující se napříč různými finančními pododvětvími a v jejich rámci, pokud jde o úroveň připravenosti finančních subjektů v oblasti kybernetické bezpečnosti, mělo by testování zahrnovat širokou škálu nástrojů a opatření od posouzení základních požadavků (například posouzení a zjišťování zranitelnosti, analýzy otevřených zdrojů, posouzení bezpečnosti sítí, analýzy nedostatků, přezkumy fyzické bezpečnosti, dotazníky a antivirová softwarová řešení, přezkumy zdrojových kódů, pokud jsou proveditelné, testy založené na scénářích, testování kompatibility, testování výkonu nebo testování mezi koncovými body) až po pokročilejší testování prostřednictvím penetračního testování na základě hrozeb. Taková pokročilá testování by měla být vyžadována pouze u finančních subjektů dostatečně vyspělých z hlediska IKT, aby je mohly přiměřeně provést. Testování digitální provozní odolnosti vyžadované tímto nařízením by tedy mělo být pro některé finanční subjekty splňující kritéria stanovená v tomto nařízení (například pro systémové a v oblasti IKT vyspělé úvěrové instituce, burzy, centrální depozitáře cenných papírů a ústřední protistrany) náročnější než pro jiné finanční subjekty. Současně by testování digitální provozní odolnosti prostřednictvím penetračního testování na základě hrozeb mělo být vhodnější pro finanční subjekty, které vykonávají činnost v pododvětvích hlavních finančních služeb a hrají systémovou roli (například platby, bankovnictví a clearing a vypořádání), a méně vhodné pro jiná pododvětví (například správci aktiv a ratingové agentury).

(57)

Finanční subjekty, které působí přeshraničně a vykonávají své právo usadit se nebo právo poskytovat služby v rámci Unie, by měly ve svém domovském členském státě splňovat jednotný soubor požadavků na pokročilé testování (například penetrační testování na základě hrozeb), které by mělo zahrnovat infrastruktury IKT ve všech jurisdikcích, kde přeshraniční finanční skupina v rámci Unie působí, což takovým přeshraničním finančním skupinám umožní mít náklady na testování související s IKT pouze v jedné jurisdikci.

(58)

S cílem využít odborných znalostí, které již některé příslušné orgány získaly, zejména pokud jde o provádění rámce TIBER–EU, by toto nařízení mělo členským státům umožnit, aby na vnitrostátní úrovni určily jediný veřejný orgán jako odpovědný za všechny záležitosti penetračního testování na základě hrozeb ve finančním sektoru nebo aby v případě, že k takovému určení nedojde, pověřily prováděním úkolů souvisejících s penetračním testováním na základě hrozeb jiný vnitrostátní příslušný finanční orgán.

(59)

Vzhledem k tomu, že toto nařízení nevyžaduje, aby finanční subjekty pokrývaly všechny zásadní nebo důležité funkce v rámci jediného penetračního testu na základě hrozeb, měly by mít finanční subjekty možnost určit, které zásadní nebo důležité funkce by do rozsahu tohoto testování měly být zahrnuty a kolik by jich mělo být.

(60)

Společné testování ve smyslu tohoto nařízení – zahrnující zapojení několika finančních subjektů do penetračního testování na základě hrozeb, kdy poskytovatel služeb IKT z řad třetích stran může přímo uzavřít smluvní ujednání s externím subjektem provádějícím testování – by se mělo umožnit pouze tehdy, pokud se odůvodněně předpokládá, že by to nemělo nepříznivý dopad na kvalitu nebo bezpečnost služeb IKT poskytovaných poskytovatelem z řad třetích stran zákazníkům, kteří nejsou subjekty spadajícími do oblasti působnosti tohoto nařízení, nebo na důvěrnost údajů souvisejících s těmito službami. Společné testování by mělo podléhat zárukám (řízení jedním určeným finančním subjektem, kalibrace zapojených finančních subjektů) s cílem zajistit důkladné testování zapojených finančních subjektů, které splňuje cíle penetračního testování na základě hrozeb podle tohoto nařízení.

(61)

Aby bylo možné využít interních zdrojů dostupných na úrovni podniku, mělo by toto nařízení pro účely provádění penetračního testování na základě hrozeb umožnit používání interních subjektů za předpokladu, že orgán dohledu souhlasí, že nedochází ke střetům zájmů a že se pravidelně mění používání interních a externích subjektů provádějících testování (jeden ze tří testů), a zároveň by se mělo vyžadovat, aby poskytovatel operativních informací o hrozbách byl v rámci penetračního testování vždy externí subjekt, který není součástí daného finančního subjektu. Odpovědnost za provádění penetračního testování na základě hrozeb by měl plně nést finanční subjekt. Osvědčení vydávaná orgány by měla být výhradně pro účely vzájemného uznávání a neměla by vylučovat jakákoli následná opatření potřebná k řešení rizika v oblasti IKT, jemuž je finanční subjekt vystaven, ani by neměla být chápána jako potvrzení ze strany orgánů dohledu o schopnostech finančního subjektu řídit a snižovat rizika v oblasti IKT.

(62)

Za účelem zajištění řádného sledování rizika v oblasti IKT spojeného s třetími stranami ve finančním sektoru je nutné stanovit soubor pravidel založených na zásadách jako vodítko pro finanční subjekty, pokud sledují riziko, které vzniká v souvislosti s funkcemi externě zajišťovanými poskytovateli služeb IKT z řad třetích stran, a to zejména v případě služeb IKT podporujících zásadní nebo důležité funkce, jakož i obecněji v kontextu závislostí na všech třetích stranách v oblasti IKT.

(63)

Aby bylo možné řešit složitost různých zdrojů rizika v oblasti IKT a zároveň zohlednit množství a rozmanitost poskytovatelů technologických řešení, která umožňují bezproblémové poskytování finančních služeb, mělo by se toto nařízení vztahovat na širokou škálu poskytovatelů služeb IKT z řad třetích stran, včetně poskytovatelů cloudových služeb, softwaru, služeb analýzy dat a poskytovatelů služeb datových center. Podobně vzhledem k tomu, že by finanční subjekty měly účinně a jednotně identifikovat a řídit všechny druhy rizika, a to i v souvislosti se službami IKT pořízenými v rámci finanční skupiny, mělo by být vyjasněno, že podniky, které jsou součástí finanční skupiny a poskytují služby IKT převážně svému mateřskému podniku nebo dceřiným podnikům či pobočkám svého mateřského podniku, jakož i finanční subjekty poskytující služby IKT jiným finančním subjektům, by měly být rovněž považovány za poskytovatele služeb IKT z řad třetích stran podle tohoto nařízení. A konečně s ohledem na vyvíjející se trh platebních služeb, který je stále závislejší na složitých technických řešeních, a s ohledem na nově se objevující druhy platebních služeb a řešení související s platbami by účastníci ekosystému platebních služeb, kteří poskytují činnosti zpracování plateb nebo provozují platební infrastruktury, měli být rovněž považováni za poskytovatele služeb IKT z řad třetích stran podle tohoto nařízení, s výjimkou centrálních bank při provozování platebních systémů nebo systémů vypořádání obchodů s cennými papíry a veřejných orgánů při poskytování služeb souvisejících s IKT v kontextu státní správy.

(64)

Za dodržování svých povinností podle tohoto nařízení by měl vždy zůstat plně odpovědný finanční subjekt. Finanční subjekty by měly uplatňovat proporcionální přístup ke sledování rizik vznikajících na úrovni poskytovatelů služeb IKT z řad třetích stran, a to řádným přihlédnutím k povaze, rozsahu, složitosti a významu své závislosti související s IKT, významu či důležitosti služeb, procesů nebo funkcí regulovaných smluvními ujednáními a nakonec na základě pečlivého posouzení všech potenciálních dopadů na kontinuitu a kvalitu finančních služeb na individuální úrovni a případně na úrovni skupiny.

(65)

Toto sledování by se mělo řídit strategickým přístupem k riziku v oblasti IKT spojeným s třetími stranami formalizovaným prostřednictvím specializované strategie pro riziko v oblasti IKT spojené s třetími stranami přijaté vedoucím orgánem finančního subjektu, která bude založena na nepřetržité kontrole všech takových závislostí na třetích stranách v oblasti IKT. V zájmu zvýšení povědomí orgánů dohledu o závislosti na třetích stranách v oblasti IKT a s cílem dále podpořit práci v souvislosti s rámcem dohledu zřízeným tímto nařízením by všechny finanční subjekty měly mít povinnost vést registr informací se všemi smluvními ujednáními o využívání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran. Orgány finančního dohledu by měly mít možnost požádat o registr v plném rozsahu nebo požádat o jeho konkrétní části, a získat tak nezbytné informace pro širší pochopení závislostí finančních subjektů na IKT.

(66)

Základem formálního uzavření smluvních ujednání by měla být důkladná analýza před uzavřením smlouvy, přičemž by se měla zaměřit zejména na prvky, jak jsou služby podporované zamýšlenou smlouvou o IKT zásadní nebo důležité, nezbytná schválení orgánů dohledu nebo jiné podmínky, možné riziko koncentrace, které s sebou nese, jakož i uplatňování náležité péče v procesu výběru a posuzování poskytovatelů služeb IKT z řad třetích stran a posuzování potenciálních střetů zájmů. U smluvních ujednání týkajících se zásadních nebo důležitých funkcí by finanční subjekty měly zvážit, zda poskytovatelé služeb IKT z řad třetích stran uplatňují aktuální a nejvyšší normy bezpečnosti informací. K ukončení smluvních ujednání by mohlo docházet na základě alespoň série okolností ukazujících na nedostatky vzniklé na úrovni poskytovatele služeb IKT z řad třetích stran, zejména na významné porušení právních předpisů nebo smluvních podmínek, okolnosti odhalující potenciální změnu v plnění funkcí poskytovaných na základě smluvních ujednání, důkazy o slabých stránkách poskytovatele služeb IKT z řad třetích stran v jeho celkovém řízení rizika v oblasti IKT nebo okolnosti naznačující, že relevantní příslušný orgán není schopen vykonávat účinný dohled nad finančním subjektem.

(67)

Za účelem řešení systémového dopadu rizika koncentrace třetích stran v oblasti IKT podporuje toto nařízení vyvážené řešení prostřednictvím flexibilního a postupného přístupu k tomuto riziku koncentrace, neboť stanovení jakýchkoli pevných mezních hodnot nebo přísných omezení by mohlo bránit podnikání a omezovat smluvní svobodu. Finanční subjekty by měly důkladně vyhodnocovat svá plánovaná smluvní ujednání, aby identifikovaly pravděpodobnost vzniku takového rizika, včetně využití hloubkových analýz subdodavatelských ujednání, zejména budou-li uzavírány s poskytovateli služeb IKT z řad třetích stran usazenými ve třetí zemi. V této fázi a s ohledem na dosažení spravedlivé rovnováhy mezi nutným zachováním smluvní svobody a nutným zajištěním finanční stability není považováno za vhodné stanovit pro expozici třetím stranám v oblasti IKT pravidla v podobě striktních mezních hodnot a omezení. V kontextu rámce dohledu by hlavní orgán dohledu jmenovaný podle tohoto nařízení měl s ohledem na kritické poskytovatele služeb IKT z řad třetích stran věnovat zvláštní pozornost úplnému pochopení rozsahu vzájemných závislostí, objevení konkrétních míst, kde je pravděpodobné, že vysoká koncentrace kritických poskytovatelů služeb IKT z řad třetích stran v Unii může ohrozit stabilitu a integritu jejího finančního systému, a udržovat dialog s kritickými poskytovateli služeb IKT z řad třetích stran, u nichž je toto konkrétní riziko identifikováno.

(68)

Za účelem pravidelného hodnocení a sledování schopnosti poskytovatele služeb IKT z řad třetích stran bezpečně poskytovat služby finančnímu subjektu bez nepříznivých dopadů na digitální provozní odolnost finančního subjektu by mělo být několik klíčových smluvních prvků s poskytovateli služeb IKT z řad třetích stran harmonizováno. Taková harmonizace by se měla týkat alespoň oblastí, které jsou klíčové pro to, aby finanční subjekt mohl plně sledovat rizika, která by mohl způsobit poskytovatel služeb IKT z řad třetích stran, a to z hlediska potřeby finančního subjektu zabezpečit svoji digitální odolnost, protože ta velmi závisí na stabilitě, funkčnosti, dostupnosti a bezpečnosti služeb IKT, které mu jsou poskytovány.

(69)

V rámci nového sjednávání smluvních ujednání s cílem dosáhnout souladu s požadavky tohoto nařízení by finanční subjekty a poskytovatelé služeb IKT z řad třetích stran měli zajistit pokrytí klíčových smluvních ustanovení, jak je stanoveno v tomto nařízení.

(70)

Definice „zásadní nebo důležitá funkce“ stanovená v tomto nařízení by měla zahrnovat „zásadní funkce“ uvedené v čl. 2 odst. 1 bodě 35 směrnice Evropského parlamentu a Rady 2014/59/EU (20). Obdobně jsou funkce považované za zásadní podle směrnice 2014/59/EU zahrnuty do definice zásadních funkcí ve smyslu tohoto nařízení.

(71)

Bez ohledu na to, jak jsou funkce podporované službami IKT zásadní nebo důležité, měla by smluvní ujednání zejména obsahovat specifikace úplných popisů funkcí a služeb, míst, kde jsou dotčené funkce poskytovány a kde budou zpracovávána data, a rovněž popisy úrovní služeb. Mezi další zásadní prvky umožňující finančnímu subjektu sledovat riziko v oblasti IKT spojené s třetími stranami patří: smluvní ustanovení, která upřesňují, jak poskytovatel služeb IKT z řad třetích stran zajišťuje přístupnost, dostupnost, integritu, bezpečnost a ochranu osobních údajů, ustanovení obsahující relevantní záruky umožňující přístup k údajům, obnovu a navrácení údajů v případě platební neschopnosti, řešení krize nebo ukončení obchodní činnosti poskytovatele služeb IKT z řad třetích stran, jakož i ustanovení požadující, aby poskytovatel služeb IKT z řad třetích stran poskytl pomoc v případě incidentů v oblasti IKT v souvislosti s poskytovanými službami, a to bez dodatečných nákladů nebo za cenu určenou následně; ustanovení o povinnosti poskytovatele služeb IKT z řad třetích stran plně spolupracovat s příslušnými orgány a orgány příslušnými k řešení krize finančního subjektu; a ustanovení o právech na ukončení smlouvy a související minimální výpovědní lhůtě pro ukončení smluvních ujednání v souladu s očekáváními příslušných orgánů a orgánů příslušných k řešení krize.

(72)

Kromě těchto smluvních ustanovení a s cílem zajistit, aby finanční subjekty měly i nadále plnou kontrolu nad veškerým vývojem na úrovni třetích stran, který by mohl ohrozit jejich bezpečnost IKT, by smlouvy o poskytování služeb IKT podporujících zásadní nebo důležité funkce měly rovněž obsahovat: upřesnění popisů úrovní úplné služby doplněné o přesné kvantitativní i kvalitativní výkonnostní cíle, aby bylo možné neprodleně přijmout vhodné kroky k nápravě, nejsou-li sjednané úrovně služeb splněny; příslušné lhůty pro oznámení a povinnosti hlášení poskytovatelů služeb IKT z řad třetích stran v případě vývoje s potenciálním vážným dopadem na schopnost poskytovatelů služeb IKT z řad třetích stran zajišťovat příslušné služby IKT; požadavek, aby poskytovatel služeb IKT z řad třetích stran zavedl a otestoval plány zachování provozu a měl bezpečnostní opatření, nástroje a politiky v oblasti IKT umožňující bezpečné poskytování služeb a aby se podílel na penetračním testu na základě hrozeb prováděném finančním subjektem a plně na něm spolupracoval.

(73)

Smlouvy o poskytování služeb IKT podporujících zásadní nebo důležité funkce by měly rovněž obsahovat ustanovení poskytující finančnímu subjektu nebo určené třetí straně práva na přístup, kontrolu a audit a právo pořizovat si kopie, což jsou společně s úplnou spoluprací poskytovatele služeb IKT z řad třetích stran klíčové nástroje průběžného sledování plnění těchto poskytovatelů služeb. Podobně by měl příslušný orgán finančního subjektu mít právo provést po předchozím oznámení kontrolu a audit poskytovatele služeb IKT z řad třetích stran, s výhradou ochrany důvěrných informací.

(74)

Taková smluvní ujednání by měla rovněž stanovit specializované strategie ukončení smluvního vztahu umožňující zejména povinná přechodná období, během nichž by měli poskytovatelé služeb IKT z řad třetích stran nadále poskytovat příslušné služby s cílem snížit riziko narušení na úrovni finančního subjektu nebo mu podle složitosti poskytované služby IKT umožnit začít účinně využívat jiného poskytovatele služeb IKT z řad třetích stran, případně změnit interní řešení. Finanční subjekty spadající do oblasti působnosti směrnice 2014/59/EU by navíc měly zajistit, aby příslušné smlouvy týkající se služeb IKT byly v případě řešení krize těchto finančních subjektů spolehlivé a plně vymahatelné. Tyto finanční subjekty by měly v souladu s předpoklady orgánů příslušných k řešení krize zajistit, aby byly příslušné smlouvy týkající se služeb IKT odolné vůči takovým krizím. Pokud tyto finanční subjekty nadále plní své platební povinnosti, měly by mimo jiné zajistit, aby příslušné smlouvy týkající se služeb IKT obsahovaly doložky o neukončení, nepozastavení a nezměněném stavu z důvodu restrukturalizace nebo řešení krize.

(75)

Kromě toho by dobrovolné použití standardních smluvních doložek vypracovaných veřejnými orgány nebo orgány Unie, zejména použití standardních smluvních doložek vypracovaných Komisí pro cloudové služby, mohlo dále zjednodušit situaci finančních subjektů a poskytovatelů služeb IKT z řad třetích stran, protože se zvýší jejich úroveň právní jistoty ohledně využívání cloudových služeb ve finančním sektoru v úplném souladu s požadavky a předpoklady stanovenými v právu Unie v oblasti finančních služeb. Vypracování standardních smluvních doložek vychází z opatření již předjímaných v akčním plánu pro finanční technologie z roku 2018, kde byl oznámen záměr Komise podporovat a usnadňovat vypracovávání standardních smluvních doložek pro používání externích cloudových služeb finančními subjekty, přičemž čerpá z práce meziodvětvových zúčastněných subjektů cloudových služeb, kterou Komise umožnila za přispění finančního sektoru.

(76)

S cílem podpořit konvergenci a účinnost v souvislosti s přístupy k dohledu při řešení rizika v oblasti IKT spojeného s třetími stranami ve finančním sektoru, jakož i posílit digitální provozní odolnost finančních subjektů, které se při poskytování služeb IKT podporujících poskytování finančních služeb spoléhají na kritické poskytovatele služeb IKT z řad třetích stran, a pomoci tak zachovat stabilitu finančního systému Unie a integritu vnitřního trhu s finančními službami, by měli kritičtí poskytovatelé služeb IKT z řad třetích stran podléhat unijnímu rámci dohledu. I když je zřízení rámce dohledu odůvodněno přidanou hodnotou přijetí opatření na úrovni Unie a inherentní úlohou a zvláštnostmi využívání služeb IKT při poskytování finančních služeb, mělo by být zároveň připomenuto, že toto řešení se jeví jako vhodné pouze v kontextu tohoto nařízení, které se konkrétně zabývá digitální provozní odolností ve finančním sektoru. Tento rámec dohledu by však neměl být považován za nový model dohledu Unie v oblasti finančních služeb a činností.

(77)

Rámec dohledu by se měl vztahovat pouze na kritické poskytovatele služeb IKT z řad třetích stran. Proto by měl existovat mechanismus určování, který by zohlednil rozměr a povahu závislosti finančního sektoru na těchto poskytovatelích služeb IKT z řad třetích stran. Tento mechanismus by měl zahrnovat soubor kvantitativních a kvalitativních kritérií pro stanovení parametrů kritičnosti jako základu pro začlenění do rámce dohledu. Aby byla zajištěna přesnost tohoto posouzení a bez ohledu na organizační strukturu poskytovatele služeb IKT z řad třetích stran, měla by tato kritéria v případě poskytovatele služeb IKT z řad třetích stran, který je součástí širší skupiny, zohlednit celou strukturu skupiny poskytovatele služeb IKT z řad třetích stran. Na jedné straně by kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří nebudou automaticky určeni na základě použití výše uvedených kritérií, měli mít možnost zapojit se do rámce dohledu dobrovolně, na straně druhé by poskytovatelé služeb IKT z řad třetích stran, na něž se již vztahují rámce mechanismů dohledu podporující plnění úkolů na úrovni Evropského systému centrálních bank podle čl. 127 odst. 2 Smlouvy o fungování EU, by z něj měli být následně vyňati.

(78)

Podobně by finanční subjekty poskytující služby IKT jiným finančním subjektům, ačkoli patří do kategorie poskytovatelů služeb IKT z řad třetích stran podle tohoto nařízení, měly být rovněž vyňaty z rámce dohledu, neboť již podléhají mechanismům dohledu stanoveným příslušným právem Unie v oblasti finančních služeb. Příslušné orgány by případně měly v rámci svých dohledových činností zohlednit riziko v oblasti IKT, které pro finanční subjekty představují finanční subjekty poskytující služby IKT. Stejně tak by vzhledem ke stávajícím mechanismům sledování rizika na úrovni skupiny měla být stejná výjimka zavedena pro poskytovatele služeb IKT z řad třetích stran, kteří poskytují služby převážně subjektům své vlastní skupiny. Poskytovatelé služeb IKT z řad třetích stran, kteří poskytují služby IKT pouze v jednom členském státě finančním subjektům, které působí pouze v tomto členském státě, by měli být rovněž vyňati z mechanismu určování z toho důvodu, že jejich činnosti jsou omezené a mají nedostatečný přeshraniční dopad.

(79)

Digitální transformace v oblasti finančních služeb přinesla nebývalou míru využívání a spoléhání se na služby IKT. Jelikož se stalo nemyslitelným poskytovat finanční služby bez využití cloudových služeb, softwarových řešení a služeb souvisejících s daty, stal se finanční ekosystém Unie ze své podstaty závislým na některých službách IKT poskytovaných poskytovateli služeb IKT. Někteří z těchto poskytovatelů, inovátoři ve vývoji a používání technologií založených na IKT, hrají při poskytování finančních služeb významnou úlohu nebo jsou již do hodnotového řetězce finančních služeb začleněni. Získali tak zásadní postavení pro stabilitu a integritu finančního systému Unie. Tato rozšířená závislost na službách poskytovaných kritickými poskytovateli služeb IKT z řad třetích stran ve spojení se vzájemnou závislostí informačních systémů různých účastníků trhu vytváří přímé a potenciálně závažné riziko pro systém finančních služeb Unie a pro kontinuitu poskytování finančních služeb, pokud by byli kritičtí poskytovatelé služeb IKT z řad třetích stran ovlivněni provozními narušeními nebo závažnými kybernetickými incidenty. Kybernetické incidenty mají charakteristickou schopnost množit se a šířit se v celém finančním systému výrazně rychleji než jiné druhy rizika monitorované ve finančním sektoru a mohou se rozšířit napříč odvětvími i za zeměpisnými hranicemi. Mají potenciál stát se systémovou krizí, pokud došlo k narušení důvěry ve finanční systém v důsledku narušení funkcí podporujících reálnou ekonomiku nebo značných finančních ztrát, které dosáhly úrovně, kterou finanční systém není schopen zvládnout nebo která vyžaduje zavedení rozsáhlých opatření pro absorpci otřesů. Aby se zabránilo těmto scénářům, a tím i ohrožení finanční stability a integrity Unie, je nezbytné zajistit sbližování postupů dohledu týkajících se rizika v oblasti IKT spojeného s třetími stranami ve finančním sektoru, zejména prostřednictvím nových pravidel umožňujících dohled Unie nad kritickými poskytovateli služeb IKT z řad třetích stran.

(80)

Rámec dohledu do značné míry závisí na míře spolupráce mezi hlavním orgánem dohledu a kritickým poskytovatelem služeb IKT z řad třetích stran, který poskytuje finančním subjektům služby ovlivňující nabídku finančních služeb. Úspěšný dohled závisí mimo jiné na schopnosti hlavního orgánu dohledu účinně provádět úkoly v oblasti sledování a kontroly s cílem posoudit pravidla, kontroly a procesy používané kritickými poskytovateli služeb IKT z řad třetích stran a posoudit potenciální kumulativní dopad jejich činností na finanční stabilitu a integritu finančního systému. Zároveň je zásadní, aby se kritičtí poskytovatelé služeb IKT z řad třetích stran řídili doporučeními hlavního orgánu dohledu a zabývali se jeho obavami. Vzhledem k tomu, že nedostatečná spolupráce kritického poskytovatele služeb IKT z řad třetích stran poskytujícího služby, jež ovlivňují nabídku finančních služeb, jako je odmítnutí přístupu do jeho prostor nebo poskytnutí informací, by v konečném důsledku zbavila hlavní orgán dohledu jeho základních nástrojů pro posuzování rizika v oblasti IKT spojeného s třetími stranami a mohla by mít nepříznivý dopad na finanční stabilitu a integritu finančního systému, je rovněž nezbytné stanovit přiměřený sankční režim.

(81)

V této souvislosti by potřebu hlavního orgánu dohledu ukládat penále s cílem přimět kritické poskytovatele služeb IKT z řad třetích stran k dodržování povinností týkajících se transparentnosti a přístupu stanovených v tomto nařízení neměly ohrozit obtíže způsobené vymáháním těchto penále ve vztahu ke kritickým poskytovatelům služeb IKT z řad třetích stran usazeným ve třetích zemích. V zájmu zajištění vymahatelnosti těchto sankcí a umožnění rychlého zavedení postupů, které respektují práva kritických poskytovatelů služeb IKT z řad třetích stran na obhajobu v souvislosti s mechanismem určování a vydáváním doporučení, by tito kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří poskytují finančním subjektům služby ovlivňující nabídku finančních služeb, měli být povinni udržovat přiměřenou obchodní přítomnost v Unii. Vzhledem k povaze dohledu a neexistenci srovnatelných ujednání v jiných jurisdikcích neexistují žádné vhodné alternativní mechanismy zajišťující tento cíl prostřednictvím účinné spolupráce s orgány dohledu ve finančním sektoru ve třetích zemích v souvislosti se sledováním dopadu digitálních provozních rizik představovaných systémovými poskytovateli služeb IKT z řad třetích stran, kteří jsou považováni za kritické poskytovatele služeb IKT z řad třetích stran usazené ve třetích zemích. S cílem nadále poskytovat svoje služby IKT finančním subjektům v Unii by poskytovatel služeb IKT z řad třetích stran usazený ve třetí zemi, který byl určen jako kritický podle tohoto nařízení, měl do 12 měsíců od takového určení přijmout veškerá nezbytná opatření k tomu, aby zabezpečil svoje začlenění v Unii, a to založením dceřiného podniku, jak je uvedeno v acquis Unie, konkrétně ve směrnici Evropského parlamentu a Rady 2013/34/EU (21).

(82)

Požadavek na založení dceřiného podniku v Unii by neměl kritickému poskytovateli služeb IKT z řad třetích stran bránit v poskytování služeb IKT a související technické podpory ze zařízení a infrastruktury nacházejících se mimo Unii. Toto nařízení neukládá povinnost lokalizace údajů, neboť nevyžaduje uchovávání nebo zpracování údajů v Unii.

(83)

Kritičtí poskytovatelé služeb IKT z řad třetích stran by měli mít možnost poskytovat služby IKT odkudkoli na světě, nikoli nezbytně nebo výhradně z prostor nacházejících se v Unii. Činnosti v oblasti dohledu by měly být nejprve prováděny v prostorách nacházejících se v Unii a prostřednictvím interakce se subjekty nacházejícími se v Unii, včetně dceřiných podniků založených kritickými poskytovateli služeb IKT z řad třetích stran podle tohoto nařízení. Tato opatření v rámci Unie by však mohla být nedostatečná k tomu, aby hlavnímu orgánu dohledu umožnila plně a účinně plnit jeho povinnosti podle tohoto nařízení. Hlavní orgán dohledu by proto měl mít rovněž možnost vykonávat své příslušné pravomoci dohledu ve třetích zemích. Výkon těchto pravomocí ve třetích zemích by měl hlavnímu orgánu dohledu umožnit přezkoumat zařízení, z nichž jsou služby IKT nebo služby technické podpory kritickým poskytovatelem služeb IKT z řad třetích stran skutečně poskytovány nebo spravovány, a měl by hlavnímu orgánu dohledu poskytnout komplexní a provozní pochopení řízení rizika v oblasti IKT kritického poskytovatele služeb IKT z řad třetích stran. Možnost, aby hlavní orgán dohledu jakožto agentura Unie vykonával pravomoci mimo území Unie, by měla být řádně vymezena odpovídajícími podmínkami, zejména souhlasem dotčeného kritického poskytovatele služeb IKT z řad třetích stran. Podobně by měly být o výkonu činností hlavního orgánu dohledu na území třetí země informovány relevantní orgány této země a neměly by proti němu mít námitky. K zajištění účinného provádění, a aniž jsou dotčeny příslušné pravomoci orgánů Unie a členských států, je však třeba tyto pravomoci rovněž plně zakotvit v ujednáních o správní spolupráci uzavíraných s relevantními orgány dotčené třetí země. Toto nařízení by proto mělo evropským orgánům dohledu umožnit uzavírat ujednání o správní spolupráci s relevantními orgány třetích zemí, které by jinak neměly vytvářet právní závazky vůči Unii a jejím členským státům.

(84)

Pro usnadnění komunikace s hlavním orgánem dohledu a zajištění odpovídajícího zastoupení by kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří jsou součástí skupiny, měli určit jednu právnickou osobu jako své koordinační místo.

(85)

Rámec dohledu se netýká pravomoci členských států provádět vlastní úkoly v oblasti dohledu nebo sledování, pokud jde o poskytovatele služeb IKT z řad třetích stran, kteří nejsou podle tohoto nařízení určeni jako kritičtí, ovšem kteří jsou považováni za významné na vnitrostátní úrovni.

(86)

Aby se využilo vícevrstvé institucionální architektury v oblasti finančních služeb, měl by Společný výbor evropských orgánů dohledu nadále zajišťovat v souladu se svými úkoly v oblasti kybernetické bezpečnosti meziodvětvovou koordinaci ohledně všech záležitostí týkajících se rizika v oblasti IKT. Měl by mu pomáhat nový podvýbor (Fórum dohledu), který bude provádět přípravné práce jak pro individuální rozhodnutí určená kritickým poskytovatelům služeb IKT z řad třetích stran, tak pro vydávání kolektivních doporučení, zejména ohledně porovnávání testování programů dohledu nad kritickými poskytovateli služeb IKT z řad třetích stran, a současně bude identifikovat osvědčené postupy pro řešení otázek rizika koncentrace IKT.

(87)

Aby se zajistilo, že na úrovni Unie bude na kritické poskytovatele služeb IKT z řad třetích stran dohlíženo přiměřeně a účinně, toto nařízení stanoví, že jako hlavní orgán dohledu by mohl být určen kterýkoli ze tří evropských orgánů dohledu. Individuální přidělení kritického poskytovatele služeb IKT z řad třetích stran jednomu ze tří evropských orgánů dohledu by mělo být výsledkem posouzení převahy finančních subjektů působících ve finančních sektorech, za něž má tento evropský orgán dohledu odpovědnost. Tento přístup by měl vést k vyváženému rozdělení úkolů a povinností mezi tři evropské orgány dohledu v souvislosti s výkonem funkcí dohledu a měl by co nejlépe využívat lidské zdroje a technické odborné znalosti, které jsou k dispozici v každém ze tří evropských orgánů dohledu.

(88)

Hlavním orgánům dohledu by měly být uděleny nezbytné pravomoci k provádění šetření a kontrol v prostorách a na místech kritických poskytovatelů služeb IKT z řad třetích stran, aby získaly úplné a aktualizované informace. Tyto pravomoci by měly hlavnímu orgánu dohledu umožnit reálně pochopit druh, rozměr a dopad rizika v oblasti IKT spojeného s třetími stranami pro finanční subjekty a konečně i pro finanční systém Unie. Pověření evropských orgánů dohledu úlohou hlavního dohledu je nutným předpokladem k pochopení a řešení systémového rozměru rizika v oblasti IKT ve finančním sektoru. Vliv kritických poskytovatelů služeb IKT z řad třetích stran na finanční sektor Unie a potenciální problémy způsobené souvisejícím rizikem koncentrace IKT si žádají přijetí kolektivního přístupu na úrovni Unie. Souběžné provádění několika auditů a přístupových práv realizované ze strany početných příslušných orgánů samostatně, s nízkou či žádnou vzájemnou koordinací by orgánům dohledu ve finančním sektoru bránilo získat úplný a komplexní přehled o riziku v oblasti IKT spojeném s třetími stranami v Unii a současně by rovněž pro kritické poskytovatele služeb IKT z řad třetích stran vytvářelo nadbytečnost, zatížení a složitost, pokud by se na ně tyto četné požadavky sledování a kontroly vztahovaly.

(89)

Vzhledem k významnému dopadu určení za kritického poskytovatele by toto nařízení mělo zajistit, aby práva kritických poskytovatelů služeb IKT z řad třetích stran byla dodržována po celou dobu provádění rámce dohledu. Před tím, než budou tito poskytovatelé určeni jako kritičtí poskytovatelé, by měli mít například právo předložit hlavnímu orgánu dohledu odůvodněné prohlášení obsahující veškeré relevantní informace pro účely posouzení týkajícího se jejich určení. Vzhledem k tomu, že hlavnímu orgánu dohledu by měla být svěřena pravomoc předkládat doporučení ohledně rizika v oblasti IKT a vhodných nápravných prostředků, včetně práva nesouhlasit s některými smluvními ujednáními, která v konečném důsledku dopadají na stabilitu finančního subjektu či finančního systému, kritičtí poskytovatelé služeb IKT z řad třetích stran by rovněž měli mít možnost podat před dokončením těchto doporučení vysvětlení, pokud jde o očekávaný dopad řešení navrhovaných v doporučeních na zákazníky, kteří jsou subjekty, jež nespadají do oblasti působnosti tohoto nařízení, a navrhnout řešení s cílem zmírnit rizika. Kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří s doporučeními nesouhlasí, by rovněž měli mít možnost předložit odůvodněné vysvětlení svého záměru doporučení neuznat. Není-li takové odůvodněné vysvětlení předloženo nebo je-li považováno za nedostatečné, měl by hlavní orgán dohledu vydat veřejné oznámení, v němž stručně popíše záležitost týkající se nesouladu.

(90)

Příslušné orgány by měly do svých funkcí, pokud jde o obezřetnostní dohled nad finančními subjekty, náležitě zahrnout úkol ověřování věcného dodržování doporučení vydaných hlavním orgánem dohledu. Příslušné orgány by měly mít možnost požadovat, aby finanční subjekty přijaly dodatečná opatření k řešení rizik identifikovaných v doporučeních hlavního orgánu dohledu, a měly by za tímto účelem včas vydávat oznámení. Pokud hlavní orgán dohledu vydá doporučení kritickým poskytovatelům služeb IKT z řad třetích stran, nad nimiž je vykonáván dohled podle směrnice (EU) 2022/2555, měly by mít příslušné orgány možnost dobrovolně a před přijetím dalších opatření konzultovat příslušné orgány podle uvedené směrnice s cílem podpořit koordinovaný přístup k jednání s dotčenými kritickými poskytovateli služeb IKT z řad třetích stran.

(91)

Výkon dohledu by se měl řídit třemi provozními zásadami, jejichž cílem je zajistit: a) úzkou koordinaci mezi evropskými orgány dohledu v jejich úlohách hlavního orgánu dohledu prostřednictvím společné sítě dohledu, b) soulad s rámcem stanoveným směrnicí (EU) 2022/2555 (prostřednictvím dobrovolné konzultace se subjekty na základě uvedené směrnice s cílem zabránit zdvojování opatření zaměřených na kritické poskytovatele služeb IKT z řad třetích stran a c) uplatňování náležité péče s cílem minimalizovat potenciální riziko narušení služeb poskytovaných kritickými poskytovateli služeb IKT z řad třetích stran zákazníkům, kteří jsou subjekty nespadajícími do oblasti působnosti tohoto nařízení.

(92)

Rámec dohledu by neměl nahrazovat ani žádným způsobem či podílem zastupovat povinnost finančních subjektů samostatně řídit rizika spojená s poskytovateli služeb IKT z řad třetích stran, včetně povinnosti průběžně sledovat smluvní ujednání uzavřená s kritickými poskytovateli služeb IKT z řad třetích stran. Obdobně by rámec dohledu neměl ovlivňovat úplnou odpovědnost finančních subjektů za dodržování a splnění všech právních povinností stanovených v tomto nařízení a v příslušném právu v oblasti finančních služeb.

(93)

Aby se předešlo zdvojením a přesahům, neměly by příslušné orgány samostatně přijímat žádná opatření zaměřená na sledování rizik kritických poskytovatelů služeb ICT z řad třetích stran a měly by v tomto ohledu spoléhat pouze na příslušné posouzení hlavním orgánem dohledu. Veškerá opatření by se v každém případě měla předem koordinovat a odsouhlasit s hlavním orgánem dohledu v kontextu provádění úkolů v rámci dohledu.

(94)

Aby se podpořilo sbližování na mezinárodní úrovni, pokud jde o využívání osvědčených postupů při přezkumu a sledování řízení digitálního rizika poskytovatelů služeb IKT z řad třetích stran, měly by být evropské orgány dohledu vybízeny k uzavírání dohod o spolupráci s relevantními orgány dohledu a regulačními orgány třetích zemí.

(95)

Aby se využilo zvláštních kompetencí, technických dovedností a odborných znalostí pracovníků specializujících se na operační riziko a riziko v oblasti IKT v rámci příslušných orgánů, tří evropských orgánů dohledu a na dobrovolném základě i příslušných orgánů podle směrnice (EU) 2022/2555, měl by hlavní orgán dohledu čerpat z vnitrostátních schopností a znalostí v oblasti dohledu a vytvořit specializované kontrolní týmy pro jednotlivé kritické poskytovatele služeb IKT z řad třetích stran, a to seskupením meziodvětvových týmů na podporu příprav i provádění dohledových činností, včetně všeobecných šetření a kontrol kritických poskytovatelů služeb IKT z řad třetích stran na místě, jakož i veškerých nezbytných následných opatření.

(96)

Zatímco náklady vyplývající z úkolů v oblasti dohledu by byly plně financovány z poplatků vybíraných od kritických poskytovatelů služeb IKT z řad třetích stran, je pravděpodobné, že evropským orgánům dohledu vzniknou před spuštěním rámce dohledu náklady na zavedení specializovaných systémů IKT podporujících budoucí dohled, neboť specializované systémy IKT by musely být vyvinuty a zavedeny předem. Toto nařízení proto stanoví model hybridního financování, v jehož rámci by byl rámec dohledu jako takový plně financován z poplatků, zatímco rozvoj systémů IKT evropských orgánů dohledu by byl financován z příspěvků Unie a příslušných vnitrostátních orgánů.

(97)

Příslušné orgány by měly mít všechny požadované kontrolní, vyšetřovací a sankční pravomoci, aby zajistily řádný výkon svých povinností podle tohoto nařízení. V zásadě by měly zveřejňovat oznámení o uložených správních sankcích. Finanční subjekty a poskytovatelé služeb IKT z řad třetích stran mohou být usazeni v různých členských státech a podléhat dohledu různých příslušných orgánů, a proto by uplatňování tohoto nařízení mělo být na jedné straně usnadněno úzkou spoluprací mezi relevantními příslušnými orgány, včetně ECB, pokud jde o zvláštní úkoly, které jí svěřuje nařízení (EU) č. 1024/2013, a na straně druhé konzultacemi s evropskými orgány dohledu prostřednictvím vzájemné výměny informací a poskytování pomoci v souvislosti s příslušnou činností dohledu.

(98)

Za účelem další kvantifikace a kvalifikace kritérií pro určení poskytovatelů služeb IKT z řad třetích stran za kritické poskytovatele a harmonizace poplatků souvisejících s dohledem by měla být na Komisi přenesena pravomoc přijímat akty v souladu s článkem 290 Smlouvy o fungování EU s cílem doplnit toto nařízení tím, že se dále upřesní systémový dopad, který by mělo selhání nebo výpadek provozu poskytovatele služeb IKT z řad třetích stran na finanční subjekty, kterým poskytuje služby IKT, počet globálních systémově významných institucí (G-SVI) nebo jiných systémově významných institucí (J-SVI), jež využívají daného poskytovatele služeb IKT z řad třetích stran, počet poskytovatelů služeb IKT z řad třetích stran působících na daném trhu, náklady na migraci dat a pracovních úkolů v oblasti IKT při přechodu k jinému poskytovateli služeb IKT z řad třetích stran, jakož i výše poplatků souvisejících s dohledem a způsob jejich platby. Je obzvláště důležité, aby Komise vedla v rámci přípravné činnosti odpovídající konzultace, a to i na odborné úrovni, a aby tyto konzultace probíhaly v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů (22). Pro zajištění rovné účasti na vypracovávání aktů v přenesené pravomoci by Evropský parlament a Rada měly obdržet veškeré dokumenty současně s odborníky z členských států a jejich odborníci by měli mít automaticky přístup na zasedání skupin odborníků Komise, jež se věnují přípravě aktů v přenesené pravomoci.

(99)

Konzistentní harmonizaci požadavků stanovených tímto nařízením by měly zajišťovat regulační technické normy. Evropské orgány dohledu by jako orgány disponující vysoce odbornými znalostmi měly vypracovat návrhy regulačních technických norem, které neobsahují politická rozhodnutí, a měly by je předložit Komisi. Regulační technické normy by měly být vypracovány v oblastech řízení rizika v oblasti IKT, hlášení závažných incidentů souvisejících s IKT, testování, jakož i ve vztahu ke klíčovým požadavkům na řádné sledování rizika v oblasti IKT spojeného s třetími stranami. Komise a evropské orgány dohledu by měly zajistit, aby tyto normy a požadavky mohly všechny finanční subjekty uplatňovat způsobem, který je přiměřený jejich velikosti a celkovému rizikovému profilu a povaze, rozsahu a složitosti jejich služeb, činností a operací. Komisi by měla být svěřena pravomoc přijímat tyto regulační technické normy prostřednictvím aktů v přenesené pravomoci podle článku 290 Smlouvy o fungování EU a v souladu s články 10 až 14 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

(100)

Aby se usnadnila srovnatelnost hlášení o závažných incidentech souvisejících s IKT a závažných provozních nebo bezpečnostních incidentech spojených s platbami a rovněž zajistila transparentnost smluvních ujednání pro používání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran, měly by evropské orgány dohledu vypracovat návrhy prováděcích technických norem, jimiž se stanoví standardizované vzory, formuláře a postupy, které budou finanční subjekty používat pro hlášení závažných incidentů souvisejících s IKT a závažných provozních nebo bezpečnostních incidentů spojených s platbami, a rovněž standardizované vzory pro registr informací. Při vypracovávání těchto norem by evropské orgány dohledu měly zohlednit velikost a celkový rizikový profil finančního subjektu a povahu, rozsah a složitost jeho služeb, činností a operací. Komisi by měla být svěřena pravomoc přijímat tyto prováděcí technické normy podle článku 291 Smlouvy o fungování EU a v souladu s článkem 15 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

(101)

Protože již byly další požadavky specifikovány akty v přenesené pravomoci a prováděcími akty vycházejícími z technických regulačních a prováděcích technických norem v nařízeních Evropského parlamentu a Rady (ES) č. 1060/2009 (23), (EU) č. 648/2012 (24), (EU) č. 600/2014 (25) a (EU) č. 909/2014 (26), je vhodné pověřit evropské orgány dohledu, buď samostatně, nebo společně prostřednictvím společného výboru, předložením regulačních a prováděcích technických norem Komisi za účelem přijetí aktů v přenesené pravomoci a prováděcích aktů, jež provádějí a aktualizují stávající pravidla pro řízení rizika v oblasti IKT.

(102)

Jelikož toto nařízení, společně se směrnicí Evropského parlamentu a Rady (EU) 2022/2556 (27), obsahuje konsolidaci ustanovení o řízení rizika v oblasti IKT z několika nařízení a směrnic unijního práva o finančních službách, včetně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014 a (EU) č. 909/2014 a nařízení Evropského parlamentu a Rady (EU) 2016/1011 (28), je třeba za účelem zajištění úplné konzistentnosti tato nařízení změnit tak, aby se vyjasnilo, že použitelná ustanovení o riziku v oblasti IKT jsou uvedena v tomto nařízení.

(103)

V důsledku toho je třeba upravit oblast působnosti příslušných článků o operačním riziku, na jejichž základě zmocnění uvedená v nařízeních (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014 (EU) č. 909/2014 a (EU) 2016/1011 umožnila přijetí aktů v přenesené pravomoci a prováděcích aktů, tak aby byla do tohoto nařízení převzata všechna ustanovení týkající se aspektů digitální provozní odolnosti, jež jsou nyní součástí uvedených nařízení.

(104)

Potenciální systémové kybernetické riziko spojené s využíváním infrastruktur IKT, které umožňují provoz platebních systémů a poskytování činností zpracování plateb, by mělo být na úrovni Unie řádně řešeno prostřednictvím harmonizovaných pravidel digitální odolnosti. Za tímto účelem by Komise měla urychleně posoudit potřebu přezkumu oblasti působnosti tohoto nařízení a zároveň uvést tento přezkum do souladu s výsledkem komplexního přezkumu plánovaného podle směrnice (EU) 2015/2366. Četné rozsáhlé útoky v posledním desetiletí ukazují, že jsou platební systémy vystavené kybernetickým hrozbám. Platební systémy a činnosti zpracování plateb získaly díky ústřednímu postavení v řetězci platebních služeb a prokázání silného propojení s celkovým finančním systémem zásadní význam pro fungování finančních trhů Unie. Kybernetické útoky na tyto systémy mohou způsobit závažná narušení provozu s přímým dopadem na klíčové ekonomické funkce jako usnadnění plateb a nepřímým dopadem na související ekonomické procesy. Dokud nebude na úrovni Unie zaveden harmonizovaný režim a dohled nad provozovateli platebních systémů a zpracovateli, mohou se členské státy za účelem uplatňování podobných tržních postupů inspirovat požadavky na digitální provozní odolnost stanovenými v tomto nařízení při uplatňování pravidel na provozovatele platebních systémů a zpracovatele, nad nimiž je vykonáván dohled v rámci jejich vlastní jurisdikce.

(105)

Jelikož cíle tohoto nařízení, totiž dosažení vysoké úrovně digitální provozní odolnosti u regulovaných finančních subjektů, nemůže být dosaženo uspokojivě členskými státy, jelikož je nutná harmonizace různých pravidel v unijním a vnitrostátním právu, ale spíše jej z důvodu rozsahu a účinků tohoto nařízení může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje toto nařízení rámec toho, co je nezbytné pro dosažení tohoto cíle.

(106)

Evropský inspektor ochrany údajů byl konzultován v souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (29) a dne 10. května 2021 vydal své stanovisko (30),

PŘIJALY TOTO NAŘÍZENÍ:

Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.

Ve Štrasburku dne 14. prosince 2022.

Za Evropský parlament

předsedkyně

R. METSOLA

Za Radu

předseda

M. BEK

KAPITOLA I Obecná ustanovení KAPITOLA I Obecná ustanovení
KAPITOLA II Řízení rizika v oblasti IKT KAPITOLA II Řízení rizika v oblasti IKT

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

Požadavky

3. Související standardy

Standardy

Propojené úkoly

Vazby
is related to Assignments added: Digital Operational Resilience Act (DORA) (CELEX:32022R2554) – 1 assignments