+3. cikk Fogalommeghatározások
---+Article 3 (1)
---+Article 3 (2)
---+Article 3 (3)
---+Article 3 (4)
---+Article 3 (5)
---+Article 3 (6)
---+Article 3 (7)
---+Article 3 (8)
---+Article 3 (9)
---+Article 3 (10)
---+Article 3 (11)
---+Article 3 (12)
---+Article 3 (13)
---+Article 3 (14)
---+Article 3 (15)
---+Article 3 (16)
---+Article 3 (17)
---+Article 3 (18)
---+Article 3 (19)
---+Article 3 (20)
---+Article 3 (21)
---+Article 3 (22)
---+Article 3 (23)
---+Article 3 (24)
---+Article 3 (25)
---+Article 3 (26)
---+Article 3 (27)
---+Article 3 (28)
---+Article 3 (29)
---+Article 3 (30)
---+Article 3 (31)
---+Article 3 (32)
---+Article 3 (33)
---+Article 3 (34)
---+Article 3 (35)
---+Article 3 (36)
---+Article 3 (37)
---+Article 3 (38)
---+Article 3 (39)
---+Article 3 (40)
---+Article 3 (41)
---+Article 3 (42)
---+Article 3 (43)
---+Article 3 (44)
---+Article 3 (45)
---+Article 3 (46)
---+Article 3 (47)
---+Article 3 (48)
---+Article 3 (49)
---+Article 3 (50)
---+Article 3 (51)
---+Article 3 (52)
---+Article 3 (53)
---+Article 3 (54)
---+Article 3 (55)
---+Article 3 (56)
---+Article 3 (57)
---+Article 3 (58)
---+Article 3 (59)
---+Article 3 (60)
---+Article 3 (61)
---+Article 3 (62)
---+Article 3 (63)
---+Article 3 (64)
---+Article 3 (65)

3. cikk Fogalommeghatározások

3. cikk

Fogalommeghatározások

E rendelet alkalmazásában:

1. 

»digitális működési reziliencia«: a pénzügyi szervezet képessége arra, hogy kiépítse, biztosítsa és felülvizsgálja működési integritását és megbízhatóságát azáltal, hogy harmadik fél IKT-szolgáltatók által nyújtott szolgáltatások igénybevételével közvetlenül vagy közvetetten biztosítja azon hálózati és információs rendszerek biztonságának kezeléséhez szükséges IKT-vonatkozású képességek teljes körét, amelyeket a pénzügyi szervezet használ, és amelyek a pénzügyi szolgáltatások folyamatos nyújtását és minőségét támogatják, többek között zavarok fennállásakor is;

2. 

»hálózati és információs rendszer«: az (EU) 2022/2555 irányelv 6. cikkének 1. pontjában meghatározott hálózati és információs rendszer;

3. 

»elavult IKT-rendszer«: olyan IKT-rendszer, amely elérte életciklusának végét (kifutási szakaszban van), amely technológiai vagy kereskedelmi okokból már nem alkalmas frissítésre vagy javításra, vagy amelyhez értékesítője vagy harmadik fél IKT-szolgáltató már nem nyújt támogatást, amely azonban még használatban van, és támogatja a pénzügyi szervezet funkcióit;

4. 

»hálózati és információs rendszerek biztonsága«: az (EU) 2022/2555 irányelv 6. cikkének 2. pontjában meghatározott hálózati és információs rendszerek biztonsága;

5. 

»IKT-kockázat«: minden olyan, a hálózati és információs rendszerek használata kapcsán észszerűen azonosítható körülmény, amely, ha bekövetkezik, veszélyeztetheti a hálózati és információs rendszerek, valamely technológiafüggő eszköz vagy folyamat, vagy egyéb műveletek és folyamatok vagy a szolgáltatásnyújtás biztonságát azáltal, hogy káros hatásokkal jár a digitális vagy a fizikai környezetre nézve;

6. 

»információs vagyonelem«: információk olyan tárgyi vagy immateriális gyűjteménye, amely védelemre érdemes;

7. 

»IKT-eszköz«: a pénzügyi szervezet által használt hálózati és információs rendszerek részét képező szoftver- vagy hardvereszköz;

8. 

»IKT-vonatkozású incidens«: olyan, a pénzügyi szervezet által nem tervezett egyedi esemény vagy egymással összefüggő események sorozata, amely veszélyezteti a hálózati és információs rendszerek biztonságát, és káros hatása van az adatok rendelkezésre állására, hitelességére, integritására vagy bizalmas jellegére, vagy a pénzügyi szervezet által nyújtott szolgáltatásokra;

9. 

»pénzforgalmi vonatkozású működési vagy biztonsági incidens«: olyan, a 2. cikk (1) bekezdésének a) d) pontjában említett pénzügyi szervezetek által nem tervezett, akár IKT-vonatkozású, akár egyéb egyedi esemény vagy egymással összefüggő események sorozata, amelynek káros hatása van a pénzforgalmi vonatkozású adatok rendelkezésre állására, hitelességére, integritására vagy bizalmas jellegére, vagy a pénzügyi szervezet által nyújtott pénzforgalmi vonatkozású szolgáltatásokra;

10. 

»jelentős IKT-vonatkozású incidens«: olyan IKT-vonatkozású incidens, amelynek jelentős káros hatása van a pénzügyi szervezet kritikus vagy fontos funkcióit támogató hálózati és információs rendszerekre;

11. 

»jelentős pénzforgalmi vonatkozású működési vagy biztonsági incidens«: olyan pénzforgalmi vonatkozású működési vagy biztonsági incidens, amelynek jelentős káros hatása van a pénzügyi szervezetek által nyújtott pénzforgalmi vonatkozású szolgáltatásokra;

12. 

»kiberfenyegetés«: az (EU) 2019/881 rendelet 2. cikkének 8. pontjában meghatározott kiberfenyegetés;

13. 

»jelentős kiberfenyegetés«: olyan kiberfenyegetés, amelynek technikai sajátosságai azt jelzik, hogy potenciálisan jelentős IKT-vonatkozású incidenst vagy jelentős pénzforgalmi vonatkozású működési vagy biztonsági incidenst eredményezhet;

14. 

»kibertámadás«: rosszindulatú IKT-vonatkozású incidens, amelynek során valamely fenyegető szereplő valamely eszköz megsemmisítésére, felfedésére, módosítására, használhatatlanná tételére, eltulajdonítására, az eszközhöz való illetéktelen hozzáférésre, vagy annak illetéktelen felhasználására tesz kísérletet;

15. 

»fenyegetettséggel kapcsolatos hírszerzés«: azzal a céllal összesített, átalakított, elemzett, értelmezett vagy tovább gazdagított információk, hogy biztosítsák a döntéshozatalhoz szükséges kontextust, és lehetővé tegyék valamely IKT-vonatkozású incidens vagy kiberfenyegetés hatásainak enyhítése érdekében a releváns és elégséges szintű megértést, ideértve valamely kibertámadás technikai részleteit, a támadásért felelős személyeket, valamint működési módjukat és indítékaikat;

16. 

»sérülékenység«: valamely vagyonelem, rendszer, folyamat vagy kontroll kihasználható gyengesége, érzékenysége vagy hibája;

17. 

»fenyegetés alapú behatolási tesztelés (threat led penetration testing, TLPT)«: olyan keret, amely utánozza egy tényleges kiberfenyegetés forrásának tekintett, valós fenyegetést jelentő szereplők taktikáját, módszereit és eljárásait, és amely elvégzi a pénzügyi szervezet kritikus éles rendszereinek kontrollált, testreszabott, hírszerzésen alapuló (red team) tesztelését;

18. 

»harmadik féltől eredő IKT-kockázat«: a pénzügyi szervezetnél azzal összefüggésben felmerülő esetleges IKT-kockázat, hogy harmadik fél IKT-szolgáltatók vagy azok alvállalkozói által nyújtott szolgáltatásokat vesz igénybe, ideértve a kiszervezés útján igénybe vett IKT-szolgáltatásokat is;

19. 

»harmadik fél IKT-szolgáltató«: IKT-szolgáltatásokat nyújtó vállalkozás;

20. 

»csoporton belüli IKT-szolgáltató«: olyan vállalkozás, amely egy pénzügyi csoport részét képezi, és főként az ugyanazon csoportba vagy ugyanazon intézményvédelmi rendszerhez tartozó pénzügyi szervezeteknek – többek között az anyavállalatának, leányvállalatainak és fióktelepeinek, vagy más, közös tulajdonban vagy közös ellenőrzés alatt álló szervezeteknek – történő IKT-szolgáltatásnyújtással foglalkozik;

21. 

»IKT-szolgáltatások«: IKT-rendszerek útján egy vagy több belső vagy külső felhasználó részére folyamatos jelleggel nyújtott digitális és adatszolgáltatások, ideértve a hardvert mint szolgáltatást és a hardverszolgáltatásokat, ami magában foglalja a hardverszolgáltató általi szoftver- vagy belsőrendszervezérlőprogram-(firmware-)frissítéseket is, ide nem értve a hagyományos analóg telefonszolgáltatásokat;

22. 

»kritikus vagy fontos funkció«: olyan funkció, amelynek zavara lényegesen rontaná a pénzügyi szervezet pénzügyi teljesítményét, vagy szolgáltatásai és tevékenységei megbízhatóságát vagy folytonosságát, vagy az említett funkció kiesése, hibás vagy meghiúsult működése lényegesen rontaná a pénzügyi szervezet képességét az engedélyében foglalt feltételek és kötelezettségek, valamint a pénzügyi szolgáltatásokra vonatkozó jogszabályokban előírt egyéb kötelezettségei folyamatos teljesítésére;

23. 

»kritikus harmadik fél IKT-szolgáltató«: a 31. cikkel összhangban kritikusként kijelölt, harmadik fél IKT-szolgáltató;

24. 

»harmadik országban letelepedett, harmadik fél IKT-szolgáltató«: harmadik országban letelepedett, jogi személyiséggel rendelkező, harmadik fél IKT-szolgáltató, amely egy pénzügyi szervezettel IKT-szolgáltatások nyújtásáról szóló szerződéses megállapodást kötött;

25. 

»leányvállalat«: a 2013/34/EU irányelv 2. cikke 10. pontjának és 22. cikkének értelmében vett leányvállalkozás;

26. 

»csoport«: a 2013/34/EU irányelv 2. cikkének 11. pontjában meghatározott csoport;

27. 

»anyavállalat«: a 2013/34/EU irányelv 2. cikkének 9. pontja és 22. cikke értelmében vett anyavállalat;

28. 

»harmadik országban letelepedett IKT-alvállalkozó«: harmadik országban letelepedett, jogi személyiséggel rendelkező IKT-alvállalkozó, amely harmadik fél IKT-szolgáltatóval vagy harmadik országban letelepedett, harmadik fél IKT-szolgáltatóval szerződéses megállapodást kötött;

29. 

»IKT-koncentrációs kockázat«: egyetlen vagy több kapcsolódó kritikus harmadik fél IKT-szolgáltatóval szembeni kitettség, amely az ilyen szolgáltatóktól való olyan mértékű függőséget teremt, hogy egy ilyen szolgáltató rendelkezésre nem állása, meghibásodása vagy egyéb típusú hiányossága potenciálisan veszélyeztetheti a pénzügyi szervezet kritikus vagy fontos funkciók ellátására való képességét, vagy számára más típusú káros hatásokat – többek között nagy veszteségeket – okozhat, vagy veszélyeztetheti az Unió egészének pénzügyi stabilitását;

30. 

»vezető testület«: a 2014/65/EU irányelv 4. cikke (1) bekezdésének 36. pontjában, a 2013/36/EU irányelv 3. cikke (1) bekezdésének 7. pontjában, a 2009/65/EK európai parlamenti és tanácsi irányelv ( 1 ) 2. cikke (1) bekezdésének s. pontjában, a 909/2014/EU rendelet 2. cikke (1) bekezdésének 45. pontjában, az (EU) 2016/1011 rendelet 3. cikke (1) bekezdésének 20. pontjában és a kriptoeszközök piacairól szóló rendelet releváns rendelkezéseiben meghatározott vezető testület, vagy annak tagjaival egyenértékű személyek csoportja, akik ténylegesen működtetik a szervezetet, vagy a releváns uniós vagy nemzeti jogszabályokkal összhangban kulcsfontosságú funkciókat látnak el;

31. 

»hitelintézet«: az 575/2013/EU európai parlamenti és tanácsi rendelet ( 2 ) 4. cikke (1) bekezdésének 1. pontjában meghatározott hitelintézet;

32. 

»a 2013/36/EU irányelv alapján mentesített intézmény«: valamely, a 2013/36/EU irányelv 2. cikke (5) bekezdésének 4–23. pontjában említett jogalany;

33. 

»befektetési vállalkozás«: a 2014/65/EU irányelv 4. cikke (1) bekezdésének 1. pontjában meghatározott befektetési vállalkozás;

34. 

»kis méretű és össze nem kapcsolt befektetési vállalkozás«: olyan befektetési vállalkozás, amely megfelel az (EU) 2019/2033 európai parlamenti és tanácsi rendelet ( 3 ) 12. cikkének (1) bekezdésében megállapított feltételeknek;

35. 

»pénzforgalmi intézmény«: az (EU) 2015/2366 irányelv 4. cikkének 4. pontjában meghatározott pénzforgalmi intézmény;

36. 

»az (EU) 2015/2366 irányelv alapján mentesített pénzforgalmi intézmény«: az (EU) 2015/2366 irányelv 32. cikkének (1) bekezdése értelmében mentességet élvező pénzforgalmi intézmény;

37. 

»számlainformációkat összesítő szolgáltató«: az (EU) 2015/2366 irányelv 33. cikkének (1) bekezdésében említett számlainformációkat összesítő szolgáltató;

38. 

»elektronikuspénz-kibocsátó intézmény«: a 2009/110/EK európai parlamenti és tanácsi irányelv 2. cikkének 1. pontjában meghatározott elektronikuspénz-kibocsátó intézmény;

39. 

»a 2009/110/EK irányelv alapján mentesített elektronikuspénz-kibocsátó intézmény«: a 2009/110/EK irányelv 9. cikkének (1) bekezdésében foglaltak szerinti, mentességet élvező elektronikuspénz-kibocsátó intézmény;

40. 

»központi szerződő fél«: a 648/2012/EU rendelet 2. cikkének 1. pontjában meghatározott központi szerződő fél;

41. 

»kereskedési adattár«: a 648/2012/EU rendelet 2. cikkének 2. pontjában meghatározott kereskedési adattár;

42. 

»központi értéktár«: a 909/2014/EU rendelet 2. cikke (1) bekezdésének 1. pontjában meghatározott központi értéktár;

43. 

»kereskedési helyszín«: a 2014/65/EU irányelv 4. cikke (1) bekezdésének 24. pontjában meghatározott kereskedési helyszín;

44. 

»alternatívbefektetésialap-kezelő«: a 2011/61/EU irányelv 4. cikke (1) bekezdésének b) pontjában meghatározott alternatívbefektetésialap-kezelő;

45. 

»alapkezelő társaság«: a 2009/65/EK irányelv 2. cikke (1) bekezdésének b) pontjában meghatározott alapkezelő társaság;

46. 

»adatszolgáltató«: a 600/2014/EU rendelet értelmében vett, annak 2. cikk (1) bekezdésének 34–36. pontjában említett adatszolgáltató;

47. 

»biztosító«: a 2009/138/EK irányelv 13. cikkének 1. pontjában meghatározott biztosító;

48. 

»viszontbiztosító«: a 2009/138/EK irányelv 13. cikkének 4. pontjában meghatározott viszontbiztosító;

49. 

»biztosításközvetítő«: az (EU) 2016/97 európai parlamenti és tanácsi irányelv ( 4 ) 2. cikke (1) bekezdésének 3. pontjában meghatározott biztosításközvetítő;

50. 

»kiegészítő biztosításközvetítői tevékenységet végző személy«: az (EU) 2016/97 irányelv 2. cikke (1) bekezdésének 4. pontjában meghatározott kiegészítő biztosításközvetítői tevékenységet végző személy;

51. 

»viszontbiztosítás-közvetítő«: az (EU) 2016/97 irányelv 2. cikke (1) bekezdésének 5. pontjában meghatározott viszontbiztosítás-közvetítő;

52. 

»foglalkoztatói nyugellátást szolgáltató intézmény«: az (EU) 2016/2341 irányelv 6. cikkének 1. pontjában meghatározott foglalkoztatói nyugellátást szolgáltató intézmény;

53. 

»kis méretű foglalkoztatói nyugellátást szolgáltató intézmény«: olyan nyugdíjkonstrukciókat működtető foglalkoztatói nyugellátást szolgáltató intézmény, amely nyugdíjkonstrukciók összesen nem rendelkeznek száznál több taggal;

54. 

»hitelminősítő intézet«: az 1060/2009/EK rendelet 3. cikke (1) bekezdésének b) pontjában meghatározott hitelminősítő intézet;

55. 

»kriptoeszköz-szolgáltató«: a kriptoeszközök piacairól szóló rendelet releváns rendelkezéseiben meghatározott kriptoeszköz-szolgáltató;

56. 

»eszközalapú tokenek kibocsátója«: a kriptoeszközök piacairól szóló rendelet releváns rendelkezéseiben meghatározott eszközalapú tokenek kibocsátója;

57. 

»kritikus referenciamutatók kezelője«: az (EU) 2016/1011 rendelet 3. cikke (1) bekezdésének 25. pontjában meghatározott »kritikus referenciamutatók« kezelője;

58. 

»közösségi finanszírozási szolgáltató«: az (EU) 2020/1503 európai parlamenti és tanácsi rendelet ( 5 ) 2. cikke (1) bekezdésének e) pontjában meghatározott közösségi finanszírozási szolgáltató;

59. 

»értékpapírosítási adattár«: az (EU) 2017/2402 európai parlamenti és tanácsi rendelet ( 6 ) 2. cikkének 23. pontjában meghatározott értékpapírosítási adattár;

60. 

»mikrovállalkozás«: a kereskedési helyszínektől, a központi szerződő felektől, a kereskedési adattáraktól és a központi értéktáraktól eltérő olyan pénzügyi szervezet, amely kevesebb mint 10 főt foglalkoztat, és éves árbevétele és/vagy éves mérlegfőösszege nem haladja meg a 2 millió EUR-t;

61. 

»vezető felvigyázó«: az e rendelet 31. cikke (1) bekezdésének b) pontjával összhangban kinevezett európai felügyeleti hatóság;

62. 

»vegyes bizottság«: az 1093/2010/EU, az 1094/2010/EU és az 1095/2010/EU rendelet 54. cikkében említett bizottság;

63. 

»kisvállalkozás«: olyan pénzügyi szervezet, amely 10 vagy több főt, de kevesebb mint 50 főt foglalkoztat, és 2 millió EUR-t meghaladó, de 10 millió EUR-t meg nem haladó éves árbevétellel és/vagy éves mérlegfőösszeggel rendelkezik;

64. 

»középvállalkozás«: olyan pénzügyi szervezet, amely nem kisvállalkozás, kevesebb mint 250 főt foglalkoztat, és 50 millió EUR-t meg nem haladó éves árbevétellel és/vagy 43 millió EUR-t meg nem haladó éves mérlegfőösszeggel rendelkezik;

65. 

»hatóság«: bármely kormányzati vagy egyéb közigazgatási szerv, ideértve a nemzeti központi bankokat is.

1. Áttekintés

,
Article 3 (1)

‘digital operational resilience’ means the ability of a financial entity to build, assure and review its operational integrity and reliability by ensuring, either directly or indirectly through the use of services provided by ICT third-party service providers, the full range of ICT-related capabilities needed to address the security of the network and information systems which a financial entity uses, and which support the continued provision of financial services and their quality, including throughout disruptions;
Article 3 (2)

‘network and information system’ means a network and information system as defined in Article 6, point 1, of Directive (EU) 2022/2555;
Article 3 (3)

‘legacy ICT system’ means an ICT system that has reached the end of its lifecycle (end-of-life), that is not suitable for upgrades or fixes, for technological or commercial reasons, or is no longer supported by its supplier or by an ICT third-party service provider, but that is still in use and supports the functions of the financial entity;
Article 3 (4)

‘security of network and information systems’ means security of network and information systems as defined in Article 6, point 2, of Directive (EU) 2022/2555;
Article 3 (5)

‘ICT risk’ means any reasonably identifiable circumstance in relation to the use of network and information systems which, if materialised, may compromise the security of the network and information systems, of any technology dependent tool or process, of operations and processes, or of the provision of services by producing adverse effects in the digital or physical environment;
Article 3 (6)

‘information asset’ means a collection of information, either tangible or intangible, that is worth protecting;
Article 3 (7)

‘ICT asset’ means a software or hardware asset in the network and information systems used by the financial entity;
Article 3 (8)

‘ICT-related incident’ means a single event or a series of linked events unplanned by the financial entity that compromises the security of the network and information systems, and have an adverse impact on the availability, authenticity, integrity or confidentiality of data, or on the services provided by the financial entity;
Article 3 (9)

‘operational or security payment-related incident’ means a single event or a series of linked events unplanned by the financial entities referred to in Article 2(1), points (a) to (d), whether ICT-related or not, that has an adverse impact on the availability, authenticity, integrity or confidentiality of payment-related data, or on the payment-related services provided by the financial entity;
Article 3 (10)

‘major ICT-related incident’ means an ICT-related incident that has a high adverse impact on the network and information systems that support critical or important functions of the financial entity;
Article 3 (11)

‘major operational or security payment-related incident’ means an operational or security payment-related incident that has a high adverse impact on the payment-related services provided;
Article 3 (12)

‘cyber threat’ means ‘cyber threat’ as defined in Article 2, point (8), of Regulation (EU) 2019/881;
Article 3 (13)

‘significant cyber threat’ means a cyber threat the technical characteristics of which indicate that it could have the potential to result in a major ICT-related incident or a major operational or security payment-related incident;
Article 3 (14)

‘cyber-attack’ means a malicious ICT-related incident caused by means of an attempt perpetrated by any threat actor to destroy, expose, alter, disable, steal or gain unauthorised access to, or make unauthorised use of, an asset;
Article 3 (15)

‘threat intelligence’ means information that has been aggregated, transformed, analysed, interpreted or enriched to provide the necessary context for decision-making and to enable relevant and sufficient understanding in order to mitigate the impact of an ICT-related incident or of a cyber threat, including the technical details of a cyber-attack, those responsible for the attack and their modus operandi and motivations;
Article 3 (16)

‘vulnerability’ means a weakness, susceptibility or flaw of an asset, system, process or control that can be exploited;
Article 3 (17)

‘threat-led penetration testing (TLPT)’ means a framework that mimics the tactics, techniques and procedures of real-life threat actors perceived as posing a genuine cyber threat, that delivers a controlled, bespoke, intelligence-led (red team) test of the financial entity’s critical live production systems;
Article 3 (18)

‘ICT third-party risk’ means an ICT risk that may arise for a financial entity in relation to its use of ICT services provided by ICT third-party service providers or by subcontractors of the latter, including through outsourcing arrangements;
Article 3 (19)

‘ICT third-party service provider’ means an undertaking providing ICT services;
Article 3 (20)

‘ICT intra-group service provider’ means an undertaking that is part of a financial group and that provides predominantly ICT services to financial entities within the same group or to financial entities belonging to the same institutional protection scheme, including to their parent undertakings, subsidiaries, branches or other entities that are under common ownership or control;
Article 3 (21)

‘ICT services’ means digital and data services provided through ICT systems to one or more internal or external users on an ongoing basis, including hardware as a service and hardware services which includes the provision of technical support via software or firmware updates by the hardware provider, excluding traditional analogue telephone services;
Article 3 (22)

‘critical or important function’ means a function, the disruption of which would materially impair the financial performance of a financial entity, or the soundness or continuity of its services and activities, or the discontinued, defective or failed performance of that function would materially impair the continuing compliance of a financial entity with the conditions and obligations of its authorisation, or with its other obligations under applicable financial services law;
Article 3 (23)

‘critical ICT third-party service provider’ means an ICT third-party service provider designated as critical in accordance with Article 31;
Article 3 (24)

‘ICT third-party service provider established in a third country’ means an ICT third-party service provider that is a legal person established in a third-country and that has entered into a contractual arrangement with a financial entity for the provision of ICT services;
Article 3 (25)

‘subsidiary’ means a subsidiary undertaking within the meaning of Article 2, point (10), and Article 22 of Directive 2013/34/EU;
Article 3 (26)

‘group’ means a group as defined in Article 2, point (11), of Directive 2013/34/EU;
Article 3 (27)

‘parent undertaking’ means a parent undertaking within the meaning of Article 2, point (9), and Article 22 of Directive 2013/34/EU;
Article 3 (28)

‘ICT subcontractor established in a third country’ means an ICT subcontractor that is a legal person established in a third-country and that has entered into a contractual arrangement either with an ICT third-party service provider, or with an ICT third-party service provider established in a third country;
Article 3 (29)

‘ICT concentration risk’ means an exposure to individual or multiple related critical ICT third-party service providers creating a degree of dependency on such providers so that the unavailability, failure or other type of shortfall of such provider may potentially endanger the ability of a financial entity to deliver critical or important functions, or cause it to suffer other types of adverse effects, including large losses, or endanger the financial stability of the Union as a whole;
Article 3 (30)

‘management body’ means a management body as defined in Article 4(1), point (36), of Directive 2014/65/EU, Article 3(1), point (7), of Directive 2013/36/EU, Article 2(1), point (s), of Directive 2009/65/EC of the European Parliament and of the Council (31), Article 2(1), point (45), of Regulation (EU) No 909/2014, Article 3(1), point (20), of Regulation (EU) 2016/1011, and in the relevant provision of the Regulation on markets in crypto-assets, or the equivalent persons who effectively run the entity or have key functions in accordance with relevant Union or national law;
Article 3 (31)

‘credit institution’ means a credit institution as defined in Article 4(1), point (1), of Regulation (EU) No 575/2013 of the European Parliament and of the Council (32);
Article 3 (32)

‘institution exempted pursuant to Directive 2013/36/EU’ means an entity as referred to in Article 2(5), points (4) to (23), of Directive 2013/36/EU;
Article 3 (33)

‘investment firm’ means an investment firm as defined in Article 4(1), point (1), of Directive 2014/65/EU;
Article 3 (34)

‘small and non-interconnected investment firm’ means an investment firm that meets the conditions laid out in Article 12(1) of Regulation (EU) 2019/2033 of the European Parliament and of the Council (33);
Article 3 (35)

‘payment institution’ means a payment institution as defined in Article 4, point (4), of Directive (EU) 2015/2366;
Article 3 (36)

‘payment institution exempted pursuant to Directive (EU) 2015/2366’ means a payment institution exempted pursuant to Article 32(1) of Directive (EU) 2015/2366;
Article 3 (37)

‘account information service provider’ means an account information service provider as referred to in Article 33(1) of Directive (EU) 2015/2366;
Article 3 (38)

‘electronic money institution’ means an electronic money institution as defined in Article 2, point (1), of Directive 2009/110/EC of the European Parliament and of the Council;
Article 3 (39)

‘electronic money institution exempted pursuant to Directive 2009/110/EC’ means an electronic money institution benefitting from a waiver as referred to in Article 9(1) of Directive 2009/110/EC;
Article 3 (40)

‘central counterparty’ means a central counterparty as defined in Article 2, point (1), of Regulation (EU) No 648/2012;
Article 3 (41)

‘trade repository’ means a trade repository as defined in Article 2, point (2), of Regulation (EU) No 648/2012;
Article 3 (42)

‘central securities depository’ means a central securities depository as defined in Article 2(1), point (1), of Regulation (EU) No 909/2014;
Article 3 (43)

‘trading venue’ means a trading venue as defined in Article 4(1), point (24), of Directive 2014/65/EU;
Article 3 (44)

‘manager of alternative investment funds’ means a manager of alternative investment funds as defined in Article 4(1), point (b), of Directive 2011/61/EU;
Article 3 (45)

‘management company’ means a management company as defined in Article 2(1), point (b), of Directive 2009/65/EC;
Article 3 (46)

‘data reporting service provider’ means a data reporting service provider within the meaning of Regulation (EU) No 600/2014, as referred to in Article 2(1), points (34) to (36) thereof;
Article 3 (47)

‘insurance undertaking’ means an insurance undertaking as defined in Article 13, point (1), of Directive 2009/138/EC;
Article 3 (48)

‘reinsurance undertaking’ means a reinsurance undertaking as defined in Article 13, point (4), of Directive 2009/138/EC;
Article 3 (49)

‘insurance intermediary’ means an insurance intermediary as defined in Article 2(1), point (3), of Directive (EU) 2016/97 of the European Parliament and of the Council (34);
Article 3 (50)

‘ancillary insurance intermediary’ means an ancillary insurance intermediary as defined in Article 2(1), point (4), of Directive (EU) 2016/97;
Article 3 (51)

‘reinsurance intermediary’ means a reinsurance intermediary as defined in Article 2(1), point (5), of Directive (EU) 2016/97;
Article 3 (52)

‘institution for occupational retirement provision’ means an institution for occupational retirement provision as defined in Article 6, point (1), of Directive (EU) 2016/2341;
Article 3 (53)

‘small institution for occupational retirement provision’ means an institution for occupational retirement provision which operates pension schemes which together have less than 100 members in total;
Article 3 (54)

‘credit rating agency’ means a credit rating agency as defined in Article 3(1), point (b), of Regulation (EC) No 1060/2009;
Article 3 (55)

‘crypto-asset service provider’ means a crypto-asset service provider as defined in the relevant provision of the Regulation on markets in crypto-assets;
Article 3 (56)

‘issuer of asset-referenced tokens’ means an issuer of asset-referenced tokens as defined in the relevant provision of the Regulation on markets in crypto-assets;
Article 3 (57)

‘administrator of critical benchmarks’ means an administrator of ‘critical benchmarks’ as defined in Article 3(1), point (25), of Regulation (EU) 2016/1011;
Article 3 (58)

‘crowdfunding service provider’ means a crowdfunding service provider as defined in Article 2(1), point (e), of Regulation (EU) 2020/1503 of the European Parliament and of the Council (35);
Article 3 (59)

‘securitisation repository’ means a securitisation repository as defined in Article 2, point (23), of Regulation (EU) 2017/2402 of the European Parliament and of the Council (36);
Article 3 (60)

‘microenterprise’ means a financial entity, other than a trading venue, a central counterparty, a trade repository or a central securities depository, which employs fewer than 10 persons and has an annual turnover and/or annual balance sheet total that does not exceed EUR 2 million;
Article 3 (61)

‘Lead Overseer’ means the European Supervisory Authority appointed in accordance with Article 31(1), point (b) of this Regulation;
Article 3 (62)

‘Joint Committee’ means the committee referred to in Article 54 of Regulations (EU) No 1093/2010, (EU) No 1094/2010 and (EU) No 1095/2010;
Article 3 (63)

‘small enterprise’ means a financial entity that employs 10 or more persons, but fewer than 50 persons, and has an annual turnover and/or annual balance sheet total that exceeds EUR 2 million, but does not exceed EUR 10 million;
Article 3 (64)

‘medium-sized enterprise’ means a financial entity that is not a small enterprise and employs fewer than 250 persons and has an annual turnover that does not exceed EUR 50 million and/or an annual balance sheet that does not exceed EUR 43 million;
Article 3 (65)

‘public authority’ means any government or other public administration entity, including national central banks.

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabványok

Szabványok