I. FEJEZET Általános rendelkezések

»digitális működési reziliencia«: a pénzügyi szervezet képessége arra, hogy kiépítse, biztosítsa és felülvizsgálja működési integritását és megbízhatóságát azáltal, hogy harmadik fél IKT-szolgáltatók által nyújtott szolgáltatások igénybevételével közvetlenül vagy közvetetten biztosítja azon hálózati és információs rendszerek biztonságának kezeléséhez szükséges IKT-vonatkozású képességek teljes körét, amelyeket a pénzügyi szervezet használ, és amelyek a pénzügyi szolgáltatások folyamatos nyújtását és minőségét támogatják, többek között zavarok fennállásakor is;

»hálózati és információs rendszer«: az (EU) 2022/2555 irányelv 6. cikkének 1. pontjában meghatározott hálózati és információs rendszer;

»elavult IKT-rendszer«: olyan IKT-rendszer, amely elérte életciklusának végét (kifutási szakaszban van), amely technológiai vagy kereskedelmi okokból már nem alkalmas frissítésre vagy javításra, vagy amelyhez értékesítője vagy harmadik fél IKT-szolgáltató már nem nyújt támogatást, amely azonban még használatban van, és támogatja a pénzügyi szervezet funkcióit;

»hálózati és információs rendszerek biztonsága«: az (EU) 2022/2555 irányelv 6. cikkének 2. pontjában meghatározott hálózati és információs rendszerek biztonsága;

»IKT-kockázat«: minden olyan, a hálózati és információs rendszerek használata kapcsán észszerűen azonosítható körülmény, amely, ha bekövetkezik, veszélyeztetheti a hálózati és információs rendszerek, valamely technológiafüggő eszköz vagy folyamat, vagy egyéb műveletek és folyamatok vagy a szolgáltatásnyújtás biztonságát azáltal, hogy káros hatásokkal jár a digitális vagy a fizikai környezetre nézve;

»információs vagyonelem«: információk olyan tárgyi vagy immateriális gyűjteménye, amely védelemre érdemes;

»IKT-eszköz«: a pénzügyi szervezet által használt hálózati és információs rendszerek részét képező szoftver- vagy hardvereszköz;

»IKT-vonatkozású incidens«: olyan, a pénzügyi szervezet által nem tervezett egyedi esemény vagy egymással összefüggő események sorozata, amely veszélyezteti a hálózati és információs rendszerek biztonságát, és káros hatása van az adatok rendelkezésre állására, hitelességére, integritására vagy bizalmas jellegére, vagy a pénzügyi szervezet által nyújtott szolgáltatásokra;

»pénzforgalmi vonatkozású működési vagy biztonsági incidens«: olyan, a 2. cikk (1) bekezdésének a) d) pontjában említett pénzügyi szervezetek által nem tervezett, akár IKT-vonatkozású, akár egyéb egyedi esemény vagy egymással összefüggő események sorozata, amelynek káros hatása van a pénzforgalmi vonatkozású adatok rendelkezésre állására, hitelességére, integritására vagy bizalmas jellegére, vagy a pénzügyi szervezet által nyújtott pénzforgalmi vonatkozású szolgáltatásokra;

»jelentős IKT-vonatkozású incidens«: olyan IKT-vonatkozású incidens, amelynek jelentős káros hatása van a pénzügyi szervezet kritikus vagy fontos funkcióit támogató hálózati és információs rendszerekre;

»jelentős pénzforgalmi vonatkozású működési vagy biztonsági incidens«: olyan pénzforgalmi vonatkozású működési vagy biztonsági incidens, amelynek jelentős káros hatása van a pénzügyi szervezetek által nyújtott pénzforgalmi vonatkozású szolgáltatásokra;

»kiberfenyegetés«: az (EU) 2019/881 rendelet 2. cikkének 8. pontjában meghatározott kiberfenyegetés;

»jelentős kiberfenyegetés«: olyan kiberfenyegetés, amelynek technikai sajátosságai azt jelzik, hogy potenciálisan jelentős IKT-vonatkozású incidenst vagy jelentős pénzforgalmi vonatkozású működési vagy biztonsági incidenst eredményezhet;

»kibertámadás«: rosszindulatú IKT-vonatkozású incidens, amelynek során valamely fenyegető szereplő valamely eszköz megsemmisítésére, felfedésére, módosítására, használhatatlanná tételére, eltulajdonítására, az eszközhöz való illetéktelen hozzáférésre, vagy annak illetéktelen felhasználására tesz kísérletet;

»fenyegetettséggel kapcsolatos hírszerzés«: azzal a céllal összesített, átalakított, elemzett, értelmezett vagy tovább gazdagított információk, hogy biztosítsák a döntéshozatalhoz szükséges kontextust, és lehetővé tegyék valamely IKT-vonatkozású incidens vagy kiberfenyegetés hatásainak enyhítése érdekében a releváns és elégséges szintű megértést, ideértve valamely kibertámadás technikai részleteit, a támadásért felelős személyeket, valamint működési módjukat és indítékaikat;

»sérülékenység«: valamely vagyonelem, rendszer, folyamat vagy kontroll kihasználható gyengesége, érzékenysége vagy hibája;

»fenyegetés alapú behatolási tesztelés (threat led penetration testing, TLPT)«: olyan keret, amely utánozza egy tényleges kiberfenyegetés forrásának tekintett, valós fenyegetést jelentő szereplők taktikáját, módszereit és eljárásait, és amely elvégzi a pénzügyi szervezet kritikus éles rendszereinek kontrollált, testreszabott, hírszerzésen alapuló (red team) tesztelését;

»harmadik féltől eredő IKT-kockázat«: a pénzügyi szervezetnél azzal összefüggésben felmerülő esetleges IKT-kockázat, hogy harmadik fél IKT-szolgáltatók vagy azok alvállalkozói által nyújtott szolgáltatásokat vesz igénybe, ideértve a kiszervezés útján igénybe vett IKT-szolgáltatásokat is;

»harmadik fél IKT-szolgáltató«: IKT-szolgáltatásokat nyújtó vállalkozás;

»csoporton belüli IKT-szolgáltató«: olyan vállalkozás, amely egy pénzügyi csoport részét képezi, és főként az ugyanazon csoportba vagy ugyanazon intézményvédelmi rendszerhez tartozó pénzügyi szervezeteknek – többek között az anyavállalatának, leányvállalatainak és fióktelepeinek, vagy más, közös tulajdonban vagy közös ellenőrzés alatt álló szervezeteknek – történő IKT-szolgáltatásnyújtással foglalkozik;

»IKT-szolgáltatások«: IKT-rendszerek útján egy vagy több belső vagy külső felhasználó részére folyamatos jelleggel nyújtott digitális és adatszolgáltatások, ideértve a hardvert mint szolgáltatást és a hardverszolgáltatásokat, ami magában foglalja a hardverszolgáltató általi szoftver- vagy belsőrendszervezérlőprogram-(firmware-)frissítéseket is, ide nem értve a hagyományos analóg telefonszolgáltatásokat;

»kritikus vagy fontos funkció«: olyan funkció, amelynek zavara lényegesen rontaná a pénzügyi szervezet pénzügyi teljesítményét, vagy szolgáltatásai és tevékenységei megbízhatóságát vagy folytonosságát, vagy az említett funkció kiesése, hibás vagy meghiúsult működése lényegesen rontaná a pénzügyi szervezet képességét az engedélyében foglalt feltételek és kötelezettségek, valamint a pénzügyi szolgáltatásokra vonatkozó jogszabályokban előírt egyéb kötelezettségei folyamatos teljesítésére;

»kritikus harmadik fél IKT-szolgáltató«: a 31. cikkel összhangban kritikusként kijelölt, harmadik fél IKT-szolgáltató;

»harmadik országban letelepedett, harmadik fél IKT-szolgáltató«: harmadik országban letelepedett, jogi személyiséggel rendelkező, harmadik fél IKT-szolgáltató, amely egy pénzügyi szervezettel IKT-szolgáltatások nyújtásáról szóló szerződéses megállapodást kötött;

»leányvállalat«: a 2013/34/EU irányelv 2. cikke 10. pontjának és 22. cikkének értelmében vett leányvállalkozás;

»csoport«: a 2013/34/EU irányelv 2. cikkének 11. pontjában meghatározott csoport;

»anyavállalat«: a 2013/34/EU irányelv 2. cikkének 9. pontja és 22. cikke értelmében vett anyavállalat;

»harmadik országban letelepedett IKT-alvállalkozó«: harmadik országban letelepedett, jogi személyiséggel rendelkező IKT-alvállalkozó, amely harmadik fél IKT-szolgáltatóval vagy harmadik országban letelepedett, harmadik fél IKT-szolgáltatóval szerződéses megállapodást kötött;

»IKT-koncentrációs kockázat«: egyetlen vagy több kapcsolódó kritikus harmadik fél IKT-szolgáltatóval szembeni kitettség, amely az ilyen szolgáltatóktól való olyan mértékű függőséget teremt, hogy egy ilyen szolgáltató rendelkezésre nem állása, meghibásodása vagy egyéb típusú hiányossága potenciálisan veszélyeztetheti a pénzügyi szervezet kritikus vagy fontos funkciók ellátására való képességét, vagy számára más típusú káros hatásokat – többek között nagy veszteségeket – okozhat, vagy veszélyeztetheti az Unió egészének pénzügyi stabilitását;

»vezető testület«: a 2014/65/EU irányelv 4. cikke (1) bekezdésének 36. pontjában, a 2013/36/EU irányelv 3. cikke (1) bekezdésének 7. pontjában, a 2009/65/EK európai parlamenti és tanácsi irányelv ( 1 ) 2. cikke (1) bekezdésének s. pontjában, a 909/2014/EU rendelet 2. cikke (1) bekezdésének 45. pontjában, az (EU) 2016/1011 rendelet 3. cikke (1) bekezdésének 20. pontjában és a kriptoeszközök piacairól szóló rendelet releváns rendelkezéseiben meghatározott vezető testület, vagy annak tagjaival egyenértékű személyek csoportja, akik ténylegesen működtetik a szervezetet, vagy a releváns uniós vagy nemzeti jogszabályokkal összhangban kulcsfontosságú funkciókat látnak el;

»hitelintézet«: az 575/2013/EU európai parlamenti és tanácsi rendelet ( 2 ) 4. cikke (1) bekezdésének 1. pontjában meghatározott hitelintézet;

»a 2013/36/EU irányelv alapján mentesített intézmény«: valamely, a 2013/36/EU irányelv 2. cikke (5) bekezdésének 4–23. pontjában említett jogalany;

»befektetési vállalkozás«: a 2014/65/EU irányelv 4. cikke (1) bekezdésének 1. pontjában meghatározott befektetési vállalkozás;

»kis méretű és össze nem kapcsolt befektetési vállalkozás«: olyan befektetési vállalkozás, amely megfelel az (EU) 2019/2033 európai parlamenti és tanácsi rendelet ( 3 ) 12. cikkének (1) bekezdésében megállapított feltételeknek;

»pénzforgalmi intézmény«: az (EU) 2015/2366 irányelv 4. cikkének 4. pontjában meghatározott pénzforgalmi intézmény;

»az (EU) 2015/2366 irányelv alapján mentesített pénzforgalmi intézmény«: az (EU) 2015/2366 irányelv 32. cikkének (1) bekezdése értelmében mentességet élvező pénzforgalmi intézmény;

»számlainformációkat összesítő szolgáltató«: az (EU) 2015/2366 irányelv 33. cikkének (1) bekezdésében említett számlainformációkat összesítő szolgáltató;

»elektronikuspénz-kibocsátó intézmény«: a 2009/110/EK európai parlamenti és tanácsi irányelv 2. cikkének 1. pontjában meghatározott elektronikuspénz-kibocsátó intézmény;

»a 2009/110/EK irányelv alapján mentesített elektronikuspénz-kibocsátó intézmény«: a 2009/110/EK irányelv 9. cikkének (1) bekezdésében foglaltak szerinti, mentességet élvező elektronikuspénz-kibocsátó intézmény;

»központi szerződő fél«: a 648/2012/EU rendelet 2. cikkének 1. pontjában meghatározott központi szerződő fél;

»kereskedési adattár«: a 648/2012/EU rendelet 2. cikkének 2. pontjában meghatározott kereskedési adattár;

»központi értéktár«: a 909/2014/EU rendelet 2. cikke (1) bekezdésének 1. pontjában meghatározott központi értéktár;

»kereskedési helyszín«: a 2014/65/EU irányelv 4. cikke (1) bekezdésének 24. pontjában meghatározott kereskedési helyszín;

»alternatívbefektetésialap-kezelő«: a 2011/61/EU irányelv 4. cikke (1) bekezdésének b) pontjában meghatározott alternatívbefektetésialap-kezelő;

»alapkezelő társaság«: a 2009/65/EK irányelv 2. cikke (1) bekezdésének b) pontjában meghatározott alapkezelő társaság;

»adatszolgáltató«: a 600/2014/EU rendelet értelmében vett, annak 2. cikk (1) bekezdésének 34–36. pontjában említett adatszolgáltató;

»biztosító«: a 2009/138/EK irányelv 13. cikkének 1. pontjában meghatározott biztosító;

»viszontbiztosító«: a 2009/138/EK irányelv 13. cikkének 4. pontjában meghatározott viszontbiztosító;

»biztosításközvetítő«: az (EU) 2016/97 európai parlamenti és tanácsi irányelv ( 4 ) 2. cikke (1) bekezdésének 3. pontjában meghatározott biztosításközvetítő;

»kiegészítő biztosításközvetítői tevékenységet végző személy«: az (EU) 2016/97 irányelv 2. cikke (1) bekezdésének 4. pontjában meghatározott kiegészítő biztosításközvetítői tevékenységet végző személy;

»viszontbiztosítás-közvetítő«: az (EU) 2016/97 irányelv 2. cikke (1) bekezdésének 5. pontjában meghatározott viszontbiztosítás-közvetítő;

»foglalkoztatói nyugellátást szolgáltató intézmény«: az (EU) 2016/2341 irányelv 6. cikkének 1. pontjában meghatározott foglalkoztatói nyugellátást szolgáltató intézmény;

»kis méretű foglalkoztatói nyugellátást szolgáltató intézmény«: olyan nyugdíjkonstrukciókat működtető foglalkoztatói nyugellátást szolgáltató intézmény, amely nyugdíjkonstrukciók összesen nem rendelkeznek száznál több taggal;

»hitelminősítő intézet«: az 1060/2009/EK rendelet 3. cikke (1) bekezdésének b) pontjában meghatározott hitelminősítő intézet;

»kriptoeszköz-szolgáltató«: a kriptoeszközök piacairól szóló rendelet releváns rendelkezéseiben meghatározott kriptoeszköz-szolgáltató;

»eszközalapú tokenek kibocsátója«: a kriptoeszközök piacairól szóló rendelet releváns rendelkezéseiben meghatározott eszközalapú tokenek kibocsátója;

»kritikus referenciamutatók kezelője«: az (EU) 2016/1011 rendelet 3. cikke (1) bekezdésének 25. pontjában meghatározott »kritikus referenciamutatók« kezelője;

»közösségi finanszírozási szolgáltató«: az (EU) 2020/1503 európai parlamenti és tanácsi rendelet ( 5 ) 2. cikke (1) bekezdésének e) pontjában meghatározott közösségi finanszírozási szolgáltató;

»értékpapírosítási adattár«: az (EU) 2017/2402 európai parlamenti és tanácsi rendelet ( 6 ) 2. cikkének 23. pontjában meghatározott értékpapírosítási adattár;

»mikrovállalkozás«: a kereskedési helyszínektől, a központi szerződő felektől, a kereskedési adattáraktól és a központi értéktáraktól eltérő olyan pénzügyi szervezet, amely kevesebb mint 10 főt foglalkoztat, és éves árbevétele és/vagy éves mérlegfőösszege nem haladja meg a 2 millió EUR-t;

»vezető felvigyázó«: az e rendelet 31. cikke (1) bekezdésének b) pontjával összhangban kinevezett európai felügyeleti hatóság;

»vegyes bizottság«: az 1093/2010/EU, az 1094/2010/EU és az 1095/2010/EU rendelet 54. cikkében említett bizottság;

»kisvállalkozás«: olyan pénzügyi szervezet, amely 10 vagy több főt, de kevesebb mint 50 főt foglalkoztat, és 2 millió EUR-t meghaladó, de 10 millió EUR-t meg nem haladó éves árbevétellel és/vagy éves mérlegfőösszeggel rendelkezik;

»középvállalkozás«: olyan pénzügyi szervezet, amely nem kisvállalkozás, kevesebb mint 250 főt foglalkoztat, és 50 millió EUR-t meg nem haladó éves árbevétellel és/vagy 43 millió EUR-t meg nem haladó éves mérlegfőösszeggel rendelkezik;

»hatóság«: bármely kormányzati vagy egyéb közigazgatási szerv, ideértve a nemzeti központi bankokat is.