NARIADENIE EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Text s významom pre EHP)

(1)

V digitálnom veku informačné a komunikačné technológie (ďalej len „IKT“) podporujú zložité systémy používané pri každodenných činnostiach. Udržiavajú chod našich hospodárstiev v kľúčových odvetviach vrátane finančného sektora a zlepšujú fungovanie vnútorného trhu. Zvýšená digitalizácia a vzájomná prepojenosť zároveň zvyšujú IKT riziko a spoločnosť ako celok, a najmä finančný systém, sú zraniteľnejšie voči kybernetickým hrozbám alebo narušeniam v oblasti IKT. Zatiaľ čo všadeprítomné využívanie IKT systémov a vysoká miera digitalizácie a pripojiteľnosti sú v súčasnosti základnými prvkami činností finančných subjektov Únie, ich digitálna odolnosť sa ešte len musí začať lepšie upravovať a integrovať do ich širších operatívnych rámcov.

(2)

Využívanie IKT začalo v posledných desaťročiach plniť v oblasti poskytovania finančných služieb kľúčovú úlohu, pričom dosiahlo bod, v ktorom v súčasnosti nadobudlo zásadný význam pre vykonávanie typických každodenných funkcií všetkých finančných subjektov. Digitalizácia sa dnes týka napríklad platieb, ktoré čoraz viac prechádzajú od hotovostných a papierových metód k používaniu digitálnych riešení, ako aj zúčtovania a vyrovnania transakcií s cennými papiermi, elektronického a algoritmického obchodovania, operácií požičiavania a financovania, partnerského financovania, úverových ratingov, správy nárokov a operácií back-office. Sektor poisťovníctva sa tiež transformoval vďaka využívaniu IKT, od vzniku sprostredkovateľov poistenia ponúkajúcich svoje služby online využívajúc nástroje InsurTech až po digitálne upisovanie poistenia. Nielenže sa financie stali v celom sektore vo veľkej miere digitálnymi, ale digitalizácia zároveň prehĺbila aj prepojenia a vzájomnú závislosť v rámci finančného sektora a s externou infraštruktúrou a externými poskytovateľmi služieb.

(3)

Európsky výbor pre systémové riziká (ďalej len „ESRB“) v správe z roku 2020, ktorá sa zaoberá systémovým kybernetickým rizikom, opätovne potvrdil, že súčasná vysoká úroveň prepojenosti medzi finančnými subjektmi, finančnými trhmi a infraštruktúrami finančného trhu, a najmä vzájomná závislosť ich IKT systémov, by mohla predstavovať systémovú zraniteľnosť, pretože lokalizované kybernetické incidenty by sa mohli rýchlo rozšíriť z ktoréhokoľvek z približne 22 000 finančných subjektov Únie do celého finančného systému, a to bez ohľadu na geografické hranice. Závažné narušenia v oblasti IKT, ku ktorým dochádza vo finančnom sektore, nemajú vplyv len na finančné subjekty samotné. Zároveň uľahčujú aj cestu pre šírenie lokalizovaných zraniteľných miest naprieč finančnými prenosovými kanálmi a potenciálne vedú k nepriaznivým dôsledkom pre stabilitu finančného systému Únie, ako je hromadné vyberanie peňazí a celková strata dôvery vo finančné trhy.

(4)

V posledných rokoch sa na IKT riziko sústredila pozornosť medzinárodných, únijných a vnútroštátnych tvorcov politík, regulačných orgánov a orgánov stanovujúcich normy, ktorých snahou je zvýšiť digitálnu odolnosť, stanoviť normy a koordinovať regulačnú činnosť alebo prácu v oblasti dohľadu. Na medzinárodnej úrovni si Bazilejský výbor pre bankový dohľad, Výbor pre platobnú a trhovú infraštruktúru, Rada pre finančnú stabilitu, Inštitút pre finančnú stabilitu, ako aj skupiny G7 a G20 stanovili za cieľ poskytnúť príslušným orgánom a organizátorom trhu v rôznych jurisdikciách nástroje na posilnenie odolnosti ich finančných systémov. Táto práca bola motivovaná aj potrebou náležite zohľadniť IKT riziko v kontexte vysoko prepojeného globálneho finančného systému a usilovať sa o väčšiu konzistentnosť príslušných najlepších postupov.

(5)

Napriek cieleným únijným a vnútroštátnym politickým a legislatívnym iniciatívam IKT riziko naďalej predstavuje výzvu pre prevádzkovú odolnosť, výkonnosť a stabilitu finančného systému Únie. Reformy, ktorá nasledovali po finančnej kríze v roku 2008, v prvom rade posilnili finančnú odolnosť finančného sektora Únie a boli zamerané na ochranu konkurencieschopnosti a stability Únie z hospodárskej, prudenciálnej perspektívy a perspektívy trhového správania. Hoci sú bezpečnosť IKT a digitálna odolnosť súčasťou prevádzkového rizika, v regulačnom programe nasledujúcom po finančnej kríze neboli práve stredobodom pozornosti, pričom sa vyvinuli len v niektorých oblastiach politiky a regulácie Únie vo sfére finančných služieb, resp. len v niekoľkých členských štátoch.

(6)

Vo svojom oznámení z 8. marca 2018 s názvom Akčný plán pre finančné technológie: Za konkurencieschopnejší a inovatívnejší európsky finančný sektor Komisia zdôraznila, že je mimoriadne dôležité zvýšiť odolnosť finančného sektora Únie, a to aj z prevádzkového hľadiska, s cieľom zaistiť jeho technologickú bezpečnosť a dobré fungovanie, rýchle zotavenie z narušení a incidentov v oblasti IKT, čo v konečnom dôsledku umožní efektívne a plynule poskytovať finančné služby v celej Únii, a to aj v stresových situáciách, a zároveň zachovať dôveru spotrebiteľov a trhu.

(7)

V apríli 2019 Európsky orgán dohľadu (Európsky orgán pre bankovníctvo) (ďalej len „EBA“) zriadený nariadením Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (4), Európsky orgán dohľadu (Európsky orgán pre poisťovníctvo a dôchodkové poistenie zamestnancov) (ďalej len „EIOPA“) zriadený nariadením Európskeho parlamentu a Rady (EÚ) č. 1094/2010 (5) a Európsky orgán dohľadu (Európsky orgán pre cenné papiere a trhy) (ďalej len „ESMA“) zriadený nariadením Európskeho parlamentu a Rady (EÚ) č. 1095/2010 (6) (spoločne ďalej len „európske orgány dohľadu“) spolu vydali technické odporúčania, v ktorých vyzvali na jednotný prístup k IKT riziku v oblasti financií a odporučili primeraným spôsobom posilniť digitálnu prevádzkovú odolnosť odvetvia finančných služieb prostredníctvom iniciatívy Únie špecifickej pre toto odvetvie.

(8)

Finančný sektor Únie je regulovaný jednotným súborom pravidiel a riadi sa európskym systémom finančného dohľadu. Ustanovenia zamerané na digitálnu prevádzkovú odolnosť a bezpečnosť IKT však ešte nie sú úplne alebo dôsledne harmonizované, a to napriek tomu, že digitálna prevádzková odolnosť je v digitálnom veku nevyhnutná na zabezpečenie finančnej stability a integrity trhu a v žiadnom prípade nie je menej dôležitá než napríklad spoločné prudenciálne normy alebo normy správania na trhu. Jednotný súbor pravidiel a systém dohľadu by sa preto mali vypracovať tak, aby zahŕňali aj digitálnu prevádzkovú odolnosť, a to posilnením mandátov príslušných orgánov s cieľom umožniť im vykonávať dohľad nad riadením IKT rizika vo finančnom sektore v záujme ochrany integrity a efektívnosti vnútorného trhu a uľahčenia jeho riadneho fungovania.

(9)

Legislatívne rozdiely a nerovnaké vnútroštátne regulačné prístupy alebo prístupy, pokiaľ ide o dohľad nad IKT rizikom, vytvárajú prekážky fungovania vnútorného trhu s finančnými službami, čo finančným subjektom vykonávajúcim činnosť na cezhraničnom základe bráni v bezproblémovom uplatňovaní slobody usadiť sa a poskytovať služby. Narušiť by sa mohla byť aj hospodárska súťaž medzi rovnakým typom finančných subjektov pôsobiacich v rôznych členských štátoch. Týka sa to najmä oblastí, v ktorých bola harmonizácia Únie veľmi obmedzená, ako je testovanie digitálnej prevádzkovej odolnosti, alebo v ktorých chýba, ako je monitorovanie externého IKT rizika. Rozdiely vyplývajúce z predpokladaného vývoja na vnútroštátnej úrovni by mohli vytvoriť ďalšie prekážky fungovania vnútorného trhu na úkor účastníkov trhu a finančnej stability.

(10)

V súčasnosti v dôsledku skutočnosti, že ustanovenia týkajúce sa IKT rizika boli len čiastočne riešené na úrovni Únie, existujú nedostatky alebo navzájom sa prekrývajúce miesta v dôležitých oblastiach, ako je nahlasovanie incidentov súvisiacich s IKT a testovanie digitálnej prevádzkovej odolnosti, a nezrovnalosti vyplývajúce z nových rozdielnych vnútroštátnych pravidiel alebo nákladovo neúčinného uplatňovania prekrývajúcich sa pravidiel. Je to obzvlášť škodlivé pre používateľa intenzívne využívajúceho IKT, ako je napríklad finančný sektor, keďže technologické riziká nepoznajú hranice a finančný sektor poskytuje svoje služby na širokom cezhraničnom základe v rámci Únie aj mimo nej. Jednotlivé finančné subjekty pôsobiace na cezhraničnom základe alebo s viacerými povoleniami (napr. jeden finančný subjekt môže mať licenciu na prevádzkovanie bankových služieb, služieb investičnej spoločnosti a služieb platobnej inštitúcie, pričom každú licenciu mohol vydať iný príslušný orgán v jednom alebo viacerých členských štátoch) čelia pri riešení IKT rizika a zmierňovaní nepriaznivých vplyvov IKT incidentov prevádzkovým výzvam samostatne a koherentným, nákladovo efektívnym spôsobom.

(11)

Keďže jednotný súbor pravidiel nesprevádza komplexný rámec pre IKT riziko alebo prevádzkové riziká, je potrebná ďalšia harmonizácia kľúčových požiadaviek na digitálnu prevádzkovú odolnosť všetkých finančných subjektov. Rozvoj spôsobilostí v oblasti IKT a celková odolnosť finančných subjektov na základe uvedených kľúčových požiadaviek s cieľom odolávať prevádzkovým výpadkom, by pomohli zachovať stabilitu a integritu finančných trhov Únie, a tým by prispeli k zabezpečeniu vysokej úrovne ochrany investorov a spotrebiteľov v Únii. Keďže cieľom tohto nariadenia je prispieť k bezproblémovému fungovaniu vnútorného trhu, malo by vychádzať z ustanovení článku 114 Zmluvy o fungovaní Európskej únie (ďalej len „ZFEÚ“), ako sa vykladá v súlade s príslušnou judikatúrou Súdneho dvora Európskej únie (ďalej len „Súdny dvor“).

(12)

Cieľom tohto nariadenia je konsolidovať a vylepšiť požiadavky na IKT riziko ako súčasť požiadaviek na prevádzkové riziko, ktoré sa doteraz riešili samostatne v rôznych právnych aktoch Únie. Uvedenými aktmi boli síce pokryté hlavné kategórie finančného rizika (napr. kreditné riziko, trhové riziko, kreditné riziko protistrany a riziko likvidity a riziko trhového správania), no v čase ich prijatia neriešili komplexne všetky zložky prevádzkovej odolnosti. Keď sa pravidlá týkajúce sa prevádzkového rizika ďalej rozpracovávali v týchto právnych aktoch Únie, často uprednostňovali skôr tradičný kvantitatívny prístup k riešeniu rizika (a to stanovenie kapitálovej požiadavky na pokrytie IKT rizika) než cielené kvalitatívne požiadavky na ochranu, odhaľovanie, obmedzovanie, obnovu a nápravu spôsobilostí v súvislosti s incidentmi týkajúcimi sa IKT, alebo na stanovovanie spôsobilosti v oblasti nahlasovania a digitálneho testovania. Uvedené akty mali v prvom rade upravovať a aktualizovať základné pravidlá prudenciálneho dohľadu, integrity trhu alebo trhového správania. Konsolidáciou a vylepšením rôznych pravidiel týkajúcich sa IKT rizika by sa všetky ustanovenia týkajúce sa digitálneho rizika vo finančnom sektore mali po prvýkrát konzistentným spôsobom spojiť do jedného legislatívneho aktu. Toto nariadenie preto vypĺňa medzery alebo odstraňuje nezrovnalosti v niektorých predchádzajúcich právnych aktoch, a to aj v súvislosti s terminológiou, ktorá sa v nich používa, a výslovne odkazuje na IKT riziko prostredníctvom cielených pravidiel týkajúcich sa spôsobilostí v oblasti riadenia IKT rizika, nahlasovania incidentov, testovania prevádzkovej odolnosti a monitorovania externého IKT rizika. Týmto nariadením by sa zároveň mala zvýšiť informovanosť o IKT riziku a malo by sa v ňom uznať, že incidenty v oblasti IKT a nedostatočná prevádzková odolnosť môžu ohroziť spoľahlivosť finančných subjektov.

(13)

Finančné subjekty by sa mali pri riešení IKT rizika riadiť rovnakým prístupom a rovnakými pravidlami založenými na zásadách, pričom by mali zohľadniť svoju veľkosť a celkový rizikový profil, ako aj povahu, rozsah a zložitosť svojich služieb, činností a operácií. Konzistentnosť prispieva k posilneniu dôvery vo finančný systém a k zachovaniu jeho stability, a to najmä v časoch vysokej miery spoliehania sa na IKT systémy, platformy a infraštruktúry, čo so sebou prináša zvýšené digitálne riziko. Dodržiavanie základnej kybernetickej hygieny by malo tiež predísť vzniku vysokých nákladov pre hospodárstvo, a to tak, že sa minimalizuje vplyv a náklady narušení v oblasti IKT.

(14)

Nariadením sa pomôže znížiť regulačná zložitosť, podporí sa konvergencia dohľadu a zvýši sa právna istota a zároveň sa prispeje k obmedzeniu nákladov na dodržiavanie predpisov, najmä v prípade finančných subjektov pôsobiacich cezhranične, a k zníženiu miery narušenia hospodárskej súťaže. Voľba nariadenia na vytvorenie spoločného rámca pre digitálnu prevádzkovú odolnosť finančných subjektov je preto najvhodnejší spôsob, ako zaručiť homogénne a ucelené uplatňovanie všetkých zložiek riadenia IKT rizika finančným sektorom Únie.

(15)

Smernica Európskeho parlamentu a Rady (EÚ) 2016/114830 (7) bola prvým horizontálnym rámcom pre kybernetickú bezpečnosť na úrovni Únie, ktorý sa vzťahoval aj na tri typy finančných subjektov, a to úverové inštitúcie, obchodné miesta a centrálne protistrany. Keďže sa však v smernici (EÚ) 2016/1148 stanovil mechanizmus identifikácie prevádzkovateľov základných služieb na vnútroštátnej úrovni, členské štáty určili len niektoré úverové inštitúcie, obchodné miesta a centrálne protistrany, ktoré sa tak v praxi dostali do rozsahu jej pôsobnosti, a teda podliehali požiadavkám na bezpečnosť IKT a oznamovanie incidentov, ktoré sú v nej stanovené. V smernici Európskeho parlamentu a Rady (EÚ) 2022/2555 (8) sa stanovuje jednotné kritérium na určenie subjektov, ktoré patria do rozsahu jej pôsobnosti (pravidlo veľkostnej hranice), pričom sa v rozsahu jej pôsobnosti ponechávajú aj tri typy finančných subjektov.

(16)

Keďže sa však týmto nariadením zvyšuje úroveň harmonizácie rôznych zložiek digitálnej odolnosti zavedením požiadaviek na riadenie IKT rizika a nahlasovanie incidentov súvisiacich s IKT, ktoré sú prísnejšie v porovnaní s požiadavkami stanovenými v súčasnom práve Únie v oblasti finančných služieb, táto vyššia úroveň predstavuje zvýšenú harmonizáciu aj v porovnaní s požiadavkami stanovenými v smernici (EÚ) 2022/2555. Toto nariadenie preto predstavuje lex specialis vo vzťahu k smernici (EÚ) 2022/2555. Zároveň je nevyhnutné zachovať silný vzťah finančného sektoru s horizontálnym rámcom Únie v oblasti kybernetickej bezpečnosti, ako sa v súčasnosti stanovuje v smernici (EÚ) 2022/2555, s cieľom zabezpečiť súlad so stratégiami kybernetickej bezpečnosti, ktoré prijali členské štáty, a orgánom dohľadu nad finančnými subjektmi umožniť, aby boli informované o kybernetických incidentoch týkajúcich sa iných sektorov, na ktoré sa uvedená smernica vzťahuje.

(17)

V súlade s článkom 4 ods. 2 Zmluvy o Európskej únii a bez toho, aby bolo dotknuté súdne preskúmanie Súdnym dvorom, by toto nariadenie nemalo mať vplyv na zodpovednosť členských štátov, pokiaľ ide o základné funkcie štátu týkajúce sa verejnej bezpečnosti, obrany a ochrany národnej bezpečnosti, napríklad pokiaľ ide o poskytovanie informácií, ktoré by boli v rozpore so zaistením národnej bezpečnosti.

(18)

S cieľom umožniť medziodvetvové vzdelávanie a účinne využívať skúsenosti z iných sektorov pri riešení kybernetických hrozieb by finančné subjekty uvedené v smernici (EÚ) 2022/2555+ mali zostať súčasťou „ekosystému“ uvedenej smernice (napríklad skupina pre spoluprácu a jednotky pre riešenie počítačových bezpečnostných incidentov [ďalej len „CSIRT“)]. Európske orgány dohľadu a vnútroštátne príslušné orgány by mali mať možnosť zúčastňovať sa na diskusiách o strategickej politike a na technických činnostiach skupiny pre spoluprácu podľa uvedenej smernice a vymieňať si informácie a ďalej spolupracovať s jednotnými kontaktnými miestami určenými alebo zriadenými v súlade s uvedenou smernicou. Príslušné orgány podľa tohto nariadenia by mali tiež konzultovať a spolupracovať s jednotkami CSIRT. Príslušné orgány by zároveň mali mať možnosť žiadať o technické poradenstvo príslušné orgány určené alebo zriadené v súlade so smernicou (EÚ) 2022/2555+ a uzatvárať dojednania v oblasti spolupráce, ktorých cieľom je zabezpečiť účinné a rýchlo reagujúce koordinačné mechanizmy.

(19)

Vzhľadom na silné prepojenia medzi digitálnou odolnosťou a fyzickou odolnosťou finančných subjektov je v tomto nariadení a smernici Európskeho parlamentu a Rady (EÚ) 2022/2557+ (9) potrebný koherentný prístup, pokiaľ ide o odolnosť kritických subjektov. Vzhľadom na to, že fyzická odolnosť finančných subjektov sa komplexne rieši prostredníctvom povinností v oblasti riadenia IKT rizika a nahlasovania, na ktoré sa vzťahuje toto nariadenie, povinnosti stanovené v kapitolách III a IV smernice (EÚ) 2022/2557+ by sa nemali vzťahovať na finančné subjekty, ktoré patria do rozsahu pôsobnosti uvedenej smernice.

(20)

Poskytovatelia služieb cloud computingu sú jednou z kategórií digitálnej infraštruktúry, na ktoré sa vzťahuje smernica (EÚ) 2022/2555+. Rámec dozoru zo strany Únie (ďalej len „rámec dozoru“) stanovený týmto nariadením sa vzťahuje na všetkých kritických externých poskytovateľov IKT služieb vrátane poskytovateľov služieb cloud computingu poskytujúcich IKT služby finančným subjektom a mal by sa považovať za doplnkový k dohľadu na základe smernice (EÚ) 2022/2555+. Rámec dozoru zriadený týmto nariadením by sa navyše mal vzťahovať na poskytovateľov služieb cloud computingu, keďže neexistuje horizontálny rámec Únie, ktorým by sa zriaďoval orgán pre digitálny dozor.

(21)

S cieľom zachovať plnú kontrolu nad IKT rizikom musia mať finančné subjekty komplexné spôsobilosti umožňujúce silné a účinné riadenie IKT rizika, ako aj osobitné mechanizmy a politiky na zvládanie všetkých incidentov súvisiacich s IKT a nahlasovanie závažných incidentov súvisiacich s IKT. Podobne by finančné subjekty mali mať zavedené politiky na testovanie IKT systémov, kontrol a procesov, ako aj na riadenie externého IKT rizika. Mala by sa zvýšiť základná úroveň digitálnej prevádzkovej odolnosti finančných subjektov, pričom by sa malo zároveň umožniť primerané uplatňovanie požiadaviek na určité finančné subjekty, najmä mikropodniky, ako aj finančné subjekty, na ktoré sa vzťahuje zjednodušený rámec riadenia IKT rizika. S cieľom uľahčiť účinný dohľad nad inštitúciami zamestnaneckého dôchodkového zabezpečenia, ktorý je primeraný a rieši potrebu znížiť administratívne zaťaženie príslušných orgánov, by relevantné vnútroštátne mechanizmy dohľadu nad takýmito finančnými subjektmi mali zohľadňovať ich veľkosť a celkový rizikový profil, ako aj povahu, rozsah a zložitosť ich služieb, činností a operácií, a to aj v prípade prekročenia príslušných prahových hodnôt stanovených v článku 5 smernice Európskeho parlamentu a Rady (EÚ) 2016/2341 (10). Činnosti dohľadu by sa mali osobitne zameriavať predovšetkým na potrebu riešiť závažné riziká spojené s riadením IKT rizika konkrétneho subjektu.

Príslušné orgány by mali tiež zachovávať obozretný, ale primeraný prístup v súvislosti s dohľadom nad inštitúciami zamestnaneckého dôchodkového zabezpečenia, ktoré v súlade s článkom 31 smernice (EÚ) 2016/2341 zadávajú významnú časť svojej hlavnej činnosti, ako je správa aktív, poistno-matematické výpočty, účtovníctvo a správa údajov, poskytovateľom služieb formou outsourcingu.

(22)

Prahové hodnoty nahlasovania incidentov súvisiacich s IKT a príslušné taxonómie sa v jednotlivých členských štátoch výrazne líšia. Hoci je možné dosiahnuť spoločný základ prostredníctvom relevantnej práce Agentúry Európskej únie pre kybernetickú bezpečnosť (ďalej len „ENISA“) zriadenej nariadením Európskeho parlamentu a Rady (EÚ) 2019/881 (11) a skupiny pre spoluprácu podľa smernice (EÚ) 2022/2555+, stále existujú alebo sa môžu objaviť rozdielne prístupy k prahovým hodnotám a používaniu taxonómií pre ostatné finančné subjekty. V dôsledku uvedených rozdielov existujú viaceré požiadavky, ktoré musia finančné subjekty dodržiavať, najmä ak pôsobia v niekoľkých členských štátoch a sú súčasťou finančnej skupiny. Takéto rozdiely majú okrem toho potenciál brániť vytvoreniu ďalších jednotných alebo centralizovaných mechanizmov Únie, ktoré urýchľujú proces nahlasovania a podporujú rýchlu a plynulú výmenu informácií medzi príslušnými orgánmi, ktorá je kľúčová pre riešenie IKT rizika v prípade rozsiahlych útokov s potenciálne systémovými následkami.

(23)

S cieľom znížiť administratívne zaťaženie a potenciálne duplicitné nahlasovacie povinnosti pre určité finančné subjekty by sa požiadavky na nahlasovanie incidentov podľa smernice Európskeho parlamentu a Rady (EÚ) 2015/2366 (12) mali prestať uplatňovať na poskytovateľov platobných služieb, ktorí patria do rozsahu pôsobnosti tohto nariadenia. Úverové inštitúcie, inštitúcie elektronických peňazí, platobné inštitúcie a poskytovatelia služieb informovania o účte, ako sa uvádza v článku 33 ods. 1 uvedenej smernice, by preto mali od dátumu začatia uplatňovania tohto nariadenia podľa tohto nariadenia oznamovať všetky prevádzkové alebo bezpečnostné incidenty súvisiace s platbami, ktoré boli predtým nahlásené podľa uvedenej smernice, bez ohľadu na to, či takéto incidenty súvisia s IKT.

(24)

V snahe umožniť príslušným orgánom, aby si plnili úlohy dohľadu získaním úplného prehľadu o povahe, frekvencii, význame a vplyve incidentov súvisiacich s IKT, a zlepšiť výmenu informácií medzi relevantnými verejnými orgánmi vrátane orgánov presadzovania práva a orgánov pre riešenie krízových situácií by sa v tomto nariadení mal stanoviť spoľahlivý režim nahlasovania incidentov súvisiacich s IKT, na základe ktorého sa relevantné požiadavky zamerajú na súčasné nedostatky v práve v oblasti finančných služieb a odstránia sa existujúce prekrývania a duplicity s cieľom zmierniť náklady. Je nevyhnutné harmonizovať režim nahlasovania incidentov súvisiacich s IKT tak, že sa od všetkých finančných subjektov bude vyžadovať, aby nahlasovali svojim príslušným orgánom prostredníctvom jednotného zjednodušeného rámca stanoveného v tomto nariadení. Európske orgány dohľadu by okrem toho mali byť splnomocnené upresniť relevantné prvky rámca nahlasovania incidentov súvisiacich s IKT, ako je taxonómia, časové rámce, dátové súbory, vzory a príslušné prahové hodnoty. S cieľom zabezpečiť úplný súlad so smernicou (EÚ) 2022/2555+ by finančné subjekty mali mať možnosť dobrovoľne oznamovať závažné kybernetické hrozby relevantnému príslušnému orgánu, ak sa domnievajú, že kybernetická hrozba je relevantná pre finančný systém, používateľov služieb alebo klientov.

(25)

V určitých finančných podsektoroch sa vypracovali požiadavky na testovanie digitálnej prevádzkovej odolnosti, ktorými sa stanovili rámce, ktoré nie sú vždy plne zosúladené. To vedie k potenciálnej duplicite nákladov pre cezhraničné finančné subjekty a spôsobuje zložitosť vzájomného uznávania výsledkov testovania digitálnej prevádzkovej odolnosti, čo následne môže viesť k fragmentácii vnútorného trhu.

(26)

Okrem toho, ak sa testovanie IKT nevyžaduje, zraniteľné miesta zostávajú neodhalené a spôsobujú vystavenie finančného subjektu IKT riziku a v konečnom dôsledku vytvárajú vyššie riziko pre stabilitu a integritu finančného sektora. Bez zásahu Únie by testovanie digitálnej prevádzkovej odolnosti bolo naďalej nekonzistentné a chýbal by mu systém vzájomného uznávania výsledkov testovania IKT medzi jednotlivým jurisdikciami. Keďže je tiež nepravdepodobné, že by iné finančné podsektory prijali schémy testovania v zmysluplnom rozsahu, chýbali by im potenciálne prínosy rámca pre testovanie, pokiaľ ide o odhaľovanie IKT zraniteľných miest a rizík a testovanie spôsobilostí obrany a kontinuity činností, čo prispieva k zvýšeniu dôvery zákazníkov, dodávateľov a obchodných partnerov. S cieľom napraviť uvedené prekrývanie, rozdiely a nedostatky je potrebné stanoviť pravidlá zamerané na režim koordinovaného testovania, čím sa uľahčí vzájomné uznávanie pokročilého testovania finančných subjektov spĺňajúcich kritériá stanovené v tomto nariadení.

(27)

Závislosť finančných subjektov od využívania IKT služieb je čiastočne podmienená ich potrebou prispôsobiť sa vznikajúcemu konkurenčnému globálnemu digitálnemu hospodárstvu, zvýšiť ich podnikateľskú efektívnosť a uspokojiť dopyt spotrebiteľov. Povaha a rozsah takejto závislosti sa v uplynulých rokoch neustále vyvíjali, čo viedlo k znižovaniu nákladov za finančné sprostredkovanie, umožnilo obchodné rozširovanie a škálovateľnosť pri zavádzaní finančných činností a zároveň ponúklo širokú škálu nástrojov IKT na riadenie zložitých interných procesov.

(28)

Rozsiahle využívanie IKT služieb je preukázané zložitými zmluvnými dojednaniami, v rámci ktorých sa finančné subjekty často stretávajú s ťažkosťami pri rokovaniach o zmluvných podmienkach, ktoré sú prispôsobené prudenciálnym normám alebo iným regulatórnym požiadavkám, ktorým podliehajú, alebo pri presadzovaní osobitných práv, ako sú práva na prístup alebo audit, dokonca aj keď sú tieto práva zakotvené v ich zmluvných dojednaniach. Mnohé uvedené zmluvné dojednania okrem toho neposkytujú dostatočné záruky umožňujúce plnohodnotne monitorovať subdodávateľské procesy, čím finančný subjekt stráca schopnosť posúdiť súvisiace riziká. Keďže okrem toho externí poskytovatelia IKT služieb často poskytujú štandardizované služby rôznym typom klientov, v takýchto zmluvných dojednaniach sa nemusia vždy primerane zohľadňovať individuálne alebo osobitné potreby subjektov finančného sektora.

(29)

Aj keď právo Únie v oblasti finančných služieb obsahuje určité všeobecné pravidlá týkajúce sa outsourcingu, monitorovanie zmluvného rozmeru nie je plne zakotvené v práve Únie. Keďže neexistujú jasné a cielené normy Únie, ktoré by sa vzťahovali na zmluvné dojednania uzatvorené s externými poskytovateľmi IKT služieb, nie je komplexne vyriešený externý zdroj IKT rizika. V dôsledku toho je potrebné stanoviť určité kľúčové zásady na usmernenie riadenia externého IKT rizika finančnými subjektmi, ktoré majú osobitný význam, keď finančné subjekty využívajú externých poskytovateľov IKT služieb na podporu svojich kritických alebo dôležitých funkcií. Uvedené zásady by mal sprevádzať súbor základných zmluvných práv vo vzťahu k niekoľkým prvkom pri plnení a ukončení zmluvných dojednaní s cieľom poskytnúť určité minimálne záruky, s cieľom posilniť schopnosť finančných subjektov účinne monitorovať každé IKT riziko vznikajúce na úrovni externých poskytovateľov služieb. Uvedenými zásadami sa dopĺňa odvetvové právo uplatniteľné na outsourcing.

(30)

V súčasnosti je zjavný určitý nedostatok homogenity a konvergencie, pokiaľ ide o monitorovanie externého IKT rizika a externej závislosti v oblasti IKT. Napriek úsiliu o riešenie outsourcingu, ako sú napríklad usmernenia EBA k outsourcingu z roku 2019 a usmernenia ESMA o outsourcingu zo strany poskytovateľov cloudových služieb z roku 2021, sa širšia problematika opatrení proti systémovému riziku, ktoré môže byť vyvolané vystavením finančného sektora obmedzenému počtu kritických externých poskytovateľov IKT služieb, v práve Únie nerieši dostatočne. Chýbajúce pravidlá na úrovni Únie ešte zhoršuje neexistencia vnútroštátnych pravidiel týkajúcich sa mandátov a nástrojov, ktoré by orgánom dohľadu nad finančnými subjektmi umožňovali náležite pochopiť externú závislosť v oblasti IKT a primerane monitorovať riziká vyplývajúce z koncentrácie externej závislosti v oblasti IKT.

(31)

Vzhľadom na potenciálne systémové riziko súvisiace so zvýšenou mierou outsourcingu a koncentráciou externých poskytovateľov IKT a so zreteľom na nedostatočnosť vnútroštátnych mechanizmov pri poskytovaní primeraných nástrojov orgánom dohľadu nad finančnými subjektmi na kvantifikovanie, kvalifikovanie a riešenie dôsledkov IKT rizika, ktoré vzniká u kritických externých poskytovateľov IKT služieb, je potrebné vytvoriť vhodný rámec dozoru, ktorý umožní nepretržité monitorovanie činností externých poskytovateľov IKT služieb, ktorí sú pre finančné subjekty kritickými poskytovateľmi, pričom sa zabezpečí zachovanie dôveryhodnosti a bezpečnosti iných zákazníkov, než sú finančné subjekty. Hoci poskytovanie IKT služieb v rámci skupiny so sebou prináša osobitné riziká a prínosy, nemalo by sa automaticky považovať za menej rizikové ako poskytovanie IKT služieb poskytovateľmi mimo finančnej skupiny, a preto by malo podliehať rovnakému regulačnému rámcu. Ak sa však IKT služby poskytujú z tej istej finančnej skupiny, finančné subjekty môžu mať vyššiu úroveň kontroly nad poskytovateľmi v rámci skupiny, čo by sa malo zohľadniť pri celkovom posúdení rizika.

(32)

Keďže IKT riziko je stále zložitejšie a sofistikovanejšie, dobré opatrenia na odhaľovanie a prevenciu IKT rizika vo veľkej miere závisia od pravidelnej výmeny spravodajských informácií o hrozbách a zraniteľnosti medzi finančnými subjektmi. Výmena informácií prispieva k zvýšenej informovanosti o kybernetických hrozbách. To zase zvyšuje schopnosť finančných subjektov predchádzať tomu, aby sa kybernetické hrozby prerástli do skutočných incidentov súvisiacich s IKT, a finančným subjektom umožňuje účinnejšie obmedziť vplyv incidentov súvisiacich s IKT a rýchlejšie sa z nich zotavovať. Keďže na úrovni Únie neexistujú príslušné usmernenia, zdá sa, že takejto výmene spravodajských informácií bránia viaceré faktory, najmä neistota týkajúca sa zlučiteľnosti s pravidlami ochrany údajov, protimonopolnými pravidlami a pravidlami zodpovednosti.

(33)

Pochybnosti, pokiaľ ide o druh informácií, ktoré sa môžu vymieňať s inými účastníkmi trhu alebo s orgánmi, ktoré nie sú orgánmi dohľadu (ako je agentúra ENISA – na analytické vstupy, alebo Europol – na účely presadzovania práva), navyše vedú k tom, že sa užitočné informácie neposkytnú. Rozsah a kvalita výmeny informácií ostávajú preto v súčasnosti obmedzené a roztrieštené, pričom k príslušným výmenám dochádza väčšinou na miestnej úrovni (prostredníctvom vnútroštátnych iniciatív) a bez ucelených celoúniových mechanizmov výmeny informácií, ktoré by boli prispôsobené potrebám integrovaného finančného systému. Preto je dôležité posilniť uvedené komunikačné kanály.

(34)

Finančné subjekty by sa mali nabádať, aby si vzájomne vymieňali informácie a spravodajské informácie o kybernetických hrozbách, ako aj kolektívne využívali svoje individuálne znalosti a praktické skúsenosti na strategickej, taktickej a operatívnej úrovni s cieľom zlepšiť svoje spôsobilosti primerane posudzovať kybernetické hrozby, monitorovať ich, brániť sa proti nim a reagovať na ne, a to na základe účasti na dojednaniach v oblasti výmeny informácií. Na úrovni Únie je preto potrebné umožniť vytvorenie mechanizmov pre dojednania v oblasti dobrovoľnej výmeny informácií, ktoré by v prípade, že sa vykonávajú v dôveryhodnom prostredí, pomohli komunite finančného odvetvia predchádzať kybernetickým hrozbám a kolektívne na ne reagovať tak, aby sa rýchlo obmedzilo šírenie IKT rizika a aby sa zabránilo potenciálnej nákaze cez finančné kanály. Uvedené mechanizmy by mali byť v súlade s platnými pravidlami práva Únie v oblasti hospodárskej súťaže stanovenými v oznámení Komisie zo 14. januára 2011 s názvom Usmernenia o uplatňovaní článku 101 Zmluvy o fungovaní Európskej únie na dohody o horizontálnej spolupráci, ako aj s pravidlami Únie v oblasti ochrany údajov, najmä s nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 (13). Mali by fungovať na základe použitia jedného alebo viacerých právnych základov, ktoré sú stanovené v článku 6 uvedeného nariadenia, napríklad v súvislosti so spracúvaním osobných údajov, ktoré je nevyhnutné na účely oprávneného záujmu, ktorý sleduje prevádzkovateľ alebo tretia strana, ako sa uvádza v článku 6 ods. 1 písm. f) uvedeného nariadenia, ako aj v kontexte spracúvania osobných údajov potrebného na splnenie zákonnej povinnosti, ktorej prevádzkovateľ podlieha, potrebného na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, ako sa uvádza v článku 6 ods. 1 písm. c) a e) uvedeného nariadenia.

(35)

S cieľom zachovať vysokú úroveň digitálnej prevádzkovej odolnosti celého finančného sektora a zároveň držať krok s technologickým vývojom by sa v tomto nariadení malo riešiť riziko vyplývajúce zo všetkých druhov IKT služieb. Na tento účel by sa vymedzenie pojmu IKT služby v kontexte tohto nariadenia malo chápať široko a malo by zahŕňať digitálne a dátové služby poskytované prostredníctvom IKT systémov jednému alebo viacerým interným alebo externým používateľom na priebežnom základe. Uvedené vymedzenie by malo zahŕňať napríklad tzv. služby „over the top“, ktoré patria do kategórie elektronických komunikačných služieb. Mala by sa z neho vylúčiť len obmedzená kategória tradičných analógových telefónnych služieb, ktoré sa kvalifikujú ako služby verejnej prepínacej telefónnej siete (PSTN), služby pevnej linky, tradičný analógový telefónny systém (POTS) alebo telefónne služby pevnej linky.

(36)

Bez ohľadu na široké pokrytie, s ktorým sa počíta v tomto nariadení, by sa pri uplatňovaní pravidiel digitálnej prevádzkovej odolnosti mali zohľadňovať významné rozdiely medzi finančnými subjektmi, pokiaľ ide o ich veľkosť a celkový rizikový profil. Vo všeobecnosti platí, že pri smerovaní zdrojov a spôsobilostí na vykonávanie rámca riadenia IKT rizika by finančné subjekty mali dosiahnuť náležitú rovnováhu medzi svojimi potrebami súvisiacimi s IKT a svojou veľkosťou a celkovým rizikovým profilom, ako aj povahou, rozsahom a zložitosťou svojich služieb, činností a operácií, pričom príslušné orgány by mali naďalej posudzovať a preskúmavať prístup týkajúci sa takéhoto smerovania.

(37)

Poskytovatelia služieb informovania o účte uvedení v článku 33 ods. 1 smernice (EÚ) 2015/2366 sú výslovne zahrnutí do rozsahu pôsobnosti tohto nariadenia, pričom sa zohľadňuje osobitná povaha ich činností a z toho vyplývajúce riziká. Okrem toho inštitúcie elektronických peňazí a platobné inštitúcie vyňaté podľa článku 9 ods. 1 smernice Európskeho parlamentu a Rady 2009/110/ES (14) a článku 32 ods. 1 smernice (EÚ) 2015/2366 sú zahrnuté do rozsahu pôsobnosti tohto nariadenia, aj keď im v súlade so smernicou 2009/110/ES nebolo udelené povolenie na vydávanie elektronických peňazí, alebo ak im nebolo udelené povolenie v súlade so smernicou (EÚ) 2015/2366 na poskytovanie a vykonávanie platobných služieb. Poštové žírové inštitúcie uvedené v článku 2 ods. 5 bode 3 smernice Európskeho parlamentu a Rady 2013/36/EÚ (15) sú však vylúčené z rozsahu pôsobnosti tohto nariadenia. Príslušným orgánom pre platobné inštitúcie vyňaté podľa smernice (EÚ) 2015/2366, inštitúcie elektronického peňažníctva vyňaté podľa smernice 2009/110/ES a poskytovateľov služieb informovania o účte uvedených v článku 33 ods. 1 smernice (EÚ) 2015/2366, by mal byť príslušný orgán určený v súlade s článkom 22 smernice (EÚ) 2015/2366.

(38)

Keďže väčšie finančné subjekty môžu mať väčšie zdroje a môžu rýchlo vynaložiť finančné prostriedky na rozvoj riadiacich štruktúr a stanovenie rôznych podnikových stratégií, vytvorenie komplexnejších mechanizmov správy a riadenia by sa malo vyžadovať len od finančných subjektov, ktoré nie sú mikropodnikmi v zmysle tohto nariadenia. Takéto subjekty sú lepšie vybavené najmä na zriadenie špecializovaných riadiacich funkcií na dohľad nad dojednaniami s externými poskytovateľmi IKT služieb alebo na zvládanie krízového riadenia, na organizáciu svojho riadenia IKT rizika na základe modelu „troch línií obrany“ alebo na zavedenie modelu vnútorného riadenia rizika a kontroly a na predkladanie svojho rámca na riadenie IKT rizika vnútornému auditu.

(39)

Niektoré finančné subjekty využívajú výnimky alebo podliehajú veľmi miernemu regulačnému rámcu podľa príslušného odvetvového práva Únie. Takéto finančné subjekty zahŕňajú správcov alternatívnych investičných fondov uvedených v článku 3 ods. 2 smernice Európskeho parlamentu a Rady 2011/61/EÚ (16), poisťovne a zaisťovne uvedené v článku 4 smernice Európskeho parlamentu a Rady 2009/138/ES (17) a inštitúcie zamestnaneckého dôchodkového zabezpečenia, ktoré prevádzkujú dôchodkové plány, ktoré spolu nemajú viac ako 15 členov. Vzhľadom na uvedené výnimky by nebolo primerané zahrnúť takéto finančné subjekty do rozsahu pôsobnosti tohto nariadenia. Okrem toho sa v tomto nariadení uznávajú osobitosti štruktúry trhu so sprostredkovaním poistenia, takže sprostredkovatelia poistenia, sprostredkovatelia zaistenia a sprostredkovatelia doplnkového poistenia, ktorí sa kvalifikujú ako mikropodniky alebo ako malé alebo stredné podniky, by nemali podliehať tomuto nariadeniu.

(40)

Keďže subjekty uvedené v článku 2 ods. 5 bodoch 4 až 23 smernice 2013/36/EÚ sú vylúčené z rozsahu pôsobnosti uvedenej smernice, členské štáty by preto mali mať možnosť rozhodnúť sa vyňať z uplatňovania tohto nariadenia takéto subjekty nachádzajúce sa na ich príslušných územiach.

(41)

Podobne s cieľom zosúladiť toto nariadenie s rozsahom pôsobnosti smernice Európskeho parlamentu a Rady 2014/65/EÚ (18) je takisto vhodné vylúčiť z rozsahu pôsobnosti tohto nariadenia fyzické a právnické osoby uvedené v článkoch 2 a 3 uvedenej smernice, ktorým je povolené poskytovať investičné služby bez toho, aby museli získať povolenie podľa smernice 2014/65/EÚ. V článku 2 smernice 2014/65/EÚ sa však z rozsahu pôsobnosti uvedenej smernice vylučujú aj subjekty, ktoré sa na účely tohto nariadenia kvalifikujú ako finančné subjekty, ako sú centrálne depozitáre cenných papierov, podniky kolektívneho investovania alebo poisťovne a zaisťovne. Vylúčenie z rozsahu pôsobnosti tohto nariadenia pre osoby a subjekty uvedené v článkoch 2 a 3 uvedenej smernice by sa nemalo vzťahovať na uvedené centrálne depozitáre cenných papierov, podniky kolektívneho investovania alebo poisťovne a zaisťovne.

(42)

Podľa odvetvového práva Únie podliehajú niektoré finančné subjekty miernejším požiadavkám alebo výnimkám z dôvodov súvisiacich s ich veľkosťou alebo službami, ktoré poskytujú. Uvedená kategória finančných subjektov zahŕňa malé a neprepojené investičné spoločnosti, malé inštitúcie zamestnaneckého dôchodkového zabezpečenia, ktoré môžu byť vylúčené z rozsahu pôsobnosti smernice (EÚ) 2016/2341 za podmienok stanovených v článku 5 uvedenej smernice dotknutým členským štátom, a prevádzkujú dôchodkové plány, ktoré spolu nemajú celkovo viac ako 100 členov, ako aj inštitúcie vyňaté podľa smernice 2013/36/EÚ. Preto je v súlade so zásadou proporcionality a s cieľom zachovať ducha odvetvového práva Únie takisto vhodné, aby sa na tieto finančné subjekty vzťahoval zjednodušený rámec riadenia IKT rizika podľa tohto nariadenia. Primeraný charakter rámca riadenia IKT rizika vzťahujúceho sa na tieto finančné subjekty by sa nemal meniť regulačnými technickými predpismi, ktoré majú vypracovať európske orgány dohľadu. Okrem toho je v súlade so zásadou proporcionality vhodné podrobiť platobné inštitúcie, ktoré sú uvedené v článku 32 ods. 1 smernice (EÚ) 2015/2366, a inštitúcie elektronického peňažníctva, ktoré sú uvedené v článku 9 smernice 2009/110/ES, vyňaté v súlade s vnútroštátnym právom, ktorým sa transponujú tieto právne akty Únie, zjednodušenému rámcu riadenia IKT rizika podľa tohto nariadenia, zatiaľ čo platobné inštitúcie a inštitúcie elektronického peňažníctva, ktoré neboli vyňaté v súlade s ich príslušným právom, ktorým sa transponuje odvetvové právo Únie, by mali dodržiavať všeobecný rámec stanovený v tomto nariadení.

(43)

Podobne by sa od finančných subjektov, ktoré sa kvalifikujú ako mikropodniky alebo podliehajú zjednodušenému rámcu riadenia IKT rizika podľa tohto nariadenia, nemalo vyžadovať, aby ustanovili funkciu monitorovania svojich dojednaní o využívaní IKT služieb uzavretých s externými poskytovateľmi IKT služieb; alebo aby určili člena vrcholového manažmentu, ktorý má byť zodpovedný za dohľad nad súvisiacou rizikovou expozíciou a za príslušnú dokumentáciu; priradili zodpovednosť za riadenie IKT rizika a dohľad nad ním osobe vykonávajúcej kontrolnú funkciu a zabezpečili primeranú úroveň nezávislosti takejto osoby vykonávajúcej kontrolnú funkciu s cieľom zabrániť konfliktom záujmu; zdokumentovali a preskúmali aspoň raz za rok rámec riadenia IKT rizika; pravidelne vykonávali vnútorný audit rámca riadenia IKT rizika; vykonávali hĺbkové posúdenia po rozsiahlych zmenách svojich infraštruktúr a procesov sietí a informačných systémov; pravidelne vykonávali analýzy rizík v súvislosti s pôvodnými IKT systémami; zabezpečovali nezávislé vnútorné audítorské preskúmania vykonávania plánov reakcie a obnovy v oblasti IKT; mali vytvorenú funkciu krízového riadenia, rozšírili testovanie kontinuity činnosti a plánov reakcie a obnovy tak, aby sa v nich zachytili scenáre prechodu medzi primárnou infraštruktúrou IKT a redundantnými zariadeniami; oznamovali príslušným orgánom na ich žiadosť odhad súhrnných ročných nákladov a strát spôsobených závažnými incidentmi súvisiacimi s IKT, udržiavali redundantné IKT kapacity; informovali vnútroštátne príslušné orgány o zmenách vykonaných na základe preskúmaní realizovaných po incidentoch súvisiacich s IKT; nepretržite monitorovali relevantný technologický vývoj, vytvorili komplexný program testovania digitálnej prevádzkovej odolnosti ako neoddeliteľnú súčasť rámca riadenia IKT rizika stanoveného v tomto nariadení, alebo prijali a pravidelne preskúmavali stratégiu týkajúcu sa externého IKT rizika. Okrem toho by sa od mikropodnikov malo len vyžadovať, aby posudzovali potrebu udržiavať takéto redundantné IKT kapacity na základe svojho rizikového profilu. Mikropodniky by mali využívať flexibilnejší režim, pokiaľ ide o programy testovania digitálnej prevádzkovej odolnosti. Pri posudzovaní typu a frekvencie testovania, ktoré sa má vykonať, by mali náležite vyvážiť cieľ zachovania vysokej digitálnej prevádzkovej odolnosti, dostupné zdroje a svoj celkový rizikový profil. Mikropodniky a finančné subjekty, na ktoré sa vzťahuje zjednodušený rámec riadenia IKT rizika podľa tohto nariadenia, by mali byť oslobodené od požiadavky vykonávať pokročilé testovanie nástrojov, systémov a procesov IKT v zmysle penetračného testovania na základe konkrétnej hrozby (ďalej len „TLPT“), keďže takéto testovanie by sa malo vyžadovať len od finančných subjektov spĺňajúcich kritériá stanovené v tomto nariadení. Mikropodniky by vzhľadom na svoje obmedzené spôsobilosti mali mať možnosť dohodnúť sa s externým poskytovateľom IKT služieb na delegovaní práv finančného subjektu na prístup, inšpekciu a audit na nezávislú tretiu stranu, ktorú vymenuje externý poskytovateľ IKT služieb, za predpokladu, že finančný subjekt môže kedykoľvek požiadať príslušnú nezávislú tretiu stranu o všetky relevantné informácie a uistenie o výkonnosti externého poskytovateľa IKT služieb.

(44)

Keďže len uvedené finančné subjekty identifikované na účely pokročilého testovania digitálnej odolnosti by mali byť povinné vykonávať penetračné testy na základe konkrétnej hrozby, administratívne postupy a finančné náklady spojené s vykonávaním takýchto testov by malo znášať malé percento finančných subjektov.

(45)

S cieľom zabezpečiť úplné zosúladenie a celkovú konzistentnosť medzi obchodnými stratégiami finančných subjektov na jednej strane a riadením IKT rizika na strane druhej by sa od riadiacich orgánov finančných subjektov malo vyžadovať, aby si zachovali kľúčovú a aktívnu úlohu pri riadení a prispôsobovaní rámca riadenia IKT rizika a celkovej stratégie digitálnej prevádzkovej odolnosti. Prístup, ktorý majú riadiace orgány zaujať, by sa nemal zameriavať len na prostriedky na zabezpečenie odolnosti IKT systémov, ale mal by sa vzťahovať aj na osoby a procesy prostredníctvom súboru politík, ktoré na každej podnikovej úrovni a v prípade všetkých zamestnancov podporujú silný zmysel pre informovanosť o kybernetických rizikách a záväzok dodržiavať prísnu kybernetickú hygienu na všetkých úrovniach. Hlavnou zásadou tohto komplexného prístupu by mala byť konečná zodpovednosť riadiaceho orgánu za riadenie IKT rizika finančného subjektu, ktorá by sa mala ďalej premietnuť do nepretržitého zapojenia riadiaceho orgánu do kontroly monitorovania riadenia IKT rizika.

(46)

Zásada úplnej a konečnej zodpovednosti riadiaceho orgánu za riadenie IKT rizika finančného subjektu navyše ide ruka v ruke s potrebou zabezpečiť určitú úroveň investícií súvisiacich s IKT a celkový rozpočet pre daný finančný subjekt, ktorý by finančnému subjektu umožnil dosiahnuť vysokú úroveň digitálnej prevádzkovej odolnosti.

(47)

Toto nariadenie, inšpirované najlepšími príslušnými medzinárodnými, vnútroštátnymi a odvetvovými postupmi, usmerneniami, odporúčaniami a prístupmi v oblasti riadenia kybernetického rizika, presadzuje súbor zásad, ktoré uľahčujú celkové štruktúrovanie riadenia IKT rizika. V dôsledku toho, pokiaľ hlavné spôsobilosti, ktoré finančné subjekty zaviedli s cieľom zabezpečiť rôzne funkcie v oblasti riadenia IKT rizika (identifikácia, ochrana a prevencia, odhaľovanie, reakcia a obnova, učenie a vývoj a komunikácia) stanovené v tomto nariadení, mali by naďalej voľne používať modely riadenia IKT rizika, ktoré sú rôzne vymedzené alebo kategorizované.

(48)

V snahe držať krok s vývojom v oblasti kybernetických hrozieb by finančné subjekty mali udržiavať aktualizované IKT systémy, ktoré sú spoľahlivé a schopné nielen zaručiť spracúvanie údajov potrebných pre ich služby, ale aj zabezpečiť dostatočnú technologickú odolnosť, ktorá im umožní primerane riešiť dodatočné potreby v oblasti spracúvania, ktoré môžu vzniknúť v dôsledku stresových trhových podmienok alebo iných nepriaznivých situácií.

(49)

Na to, aby finančné subjekty mohli promptne a rýchlo riešiť incidenty súvisiace s IKT, a najmä kybernetické útoky, sú potrebné efektívne plány kontinuity činnosti a plány obnovy, aby sa obmedzili škody a uprednostnilo obnovenie činností a opatrenia zamerané na obnovu v súlade s ich záložnými postupmi. Takéto obnovenie by však v žiadnom prípade nemalo ohroziť integritu a bezpečnosť sietí a informačných systémov ani dostupnosť, pravosť, integritu alebo dôvernosť údajov.

(50)

Hoci toto nariadenie umožňuje finančným subjektom pružne určovať ich časové ciele obnovy a ciele bodov obnovy, a teda stanoviť takéto ciele tak, aby sa v plnej miere zohľadnila povaha a kritickosť príslušných funkcií a akékoľvek osobitné obchodné potreby, malo by sa v ňom napriek tomu od nich vyžadovať, aby pri určovaní takýchto cieľov vykonávali aj posúdenie potenciálneho celkového vplyvu na efektívnosť trhu.

(51)

Šíritelia kybernetických útokov majú tendenciu usilovať sa o finančné zisky priamo pri zdroji, čím finančné subjekty vystavujú významným dôsledkom. S cieľom zabrániť tomu, aby IKT systémy stratili integritu alebo sa stali nedostupnými, a tým zabrániť narušeniu ochrany údajov a poškodeniu fyzickej infraštruktúry IKT, by sa malo výrazne zlepšiť a zefektívniť nahlasovanie závažných incidentov súvisiacich s IKT finančnými subjektmi. Nahlasovanie incidentov súvisiacich s IKT by sa malo harmonizovať prostredníctvom zavedenia požiadavky pre všetky finančné subjekty nahlasovať priamo ich relevantným príslušným orgánom. Ak finančný subjekt podlieha dohľadu viac ako jedného príslušného vnútroštátneho orgánu, členské štáty by mali určiť jediný príslušný orgán ako adresáta takéhoto nahlasovania. Úverové inštitúcie klasifikované ako významné v súlade s článkom 6 ods. 4 nariadenia Rady (EÚ) č. 1024/2013 (19) by mali takéto nahlasovanie predkladať vnútroštátnym príslušným orgánom, ktoré by následne mali správu zaslať Európskej centrálnej banke (ďalej len „ECB“).

(52)

Priame nahlasovanie by malo orgánom dohľadu nad finančnými subjektmi umožniť okamžitý prístup k informáciám o závažných incidentoch súvisiacich s IKT. Orgány dohľadu nad finančnými subjektmi by mali zároveň podrobnosti o závažných incidentoch súvisiacich s IKT postúpiť verejným nefinančným orgánom (ako sú príslušné orgány a jednotné kontaktné miesta podľa smernice (EÚ) 2022/2555+, vnútroštátne orgány na ochranu údajov a v prípade závažných incidentov trestnej povahy súvisiacich s IKT orgány presadzovania práva), aby sa zvýšila informovanosť týchto orgánov o takýchto incidentoch a aby sa v prípade jednotiek CSIRT uľahčila promptná pomoc, ktorú možno poskytnúť finančným subjektom. Členské štáty by okrem toho mali mať možnosť určiť, že samotné finančné subjekty by mali poskytovať takéto informácie verejným orgánom mimo oblasti finančných služieb. Uvedené informačné toky by mali finančným subjektom umožniť rýchlo využívať všetky relevantné technické vstupy, poradenstvo o nápravných opatreniach a následné opatrenia zo strany takýchto orgánov. Informácie o závažných incidentoch súvisiacich s IKT by sa mali poskytovať spoločne: orgány dohľadu nad finančnými subjektmi by mali finančnému subjektu poskytnúť všetku potrebnú spätnú väzbu alebo usmernenia, zatiaľ čo európske orgány dohľadu by mali zdieľať anonymizované údaje o kybernetických hrozbách a zraniteľných miestach súvisiacich s incidentom s cieľom napomôcť širšej kolektívnej obrane.

(53)

Aj keď by sa malo od všetkých finančných subjektov vyžadovať, aby vykonávali nahlasovanie incidentov, neočakáva sa, že táto požiadavka ich všetkých ovplyvní rovnakým spôsobom. Relevantné prahové hodnoty významnosti, ako aj lehoty pre nahlasovanie, by mali byť náležite upravené, a to v kontexte delegovaných aktov založených na regulačných technických predpisoch, ktoré majú vypracovať európske orgány dohľadu, aby zahŕňali len závažné incidenty súvisiace s IKT. Okrem toho by sa pri stanovovaní lehôt pre nahlasovacie povinnosti mali zohľadniť špecifiká finančných subjektov.

(54)

V tomto nariadení by sa od úverových inštitúcií, platobných inštitúcií, poskytovateľov služieb informovania o účte a inštitúcií elektronického peňažníctva malo vyžadovať, aby oznamovali všetky prevádzkové alebo bezpečnostné incidenty súvisiace s platbami – predtým nahlasované podľa smernice (EÚ) 2015/2366 – bez ohľadu na IKT povahu incidentu.

(55)

Európske orgány dohľadu by mali byť poverené posudzovaním uskutočniteľnosti a podmienok možnej centralizácie správ o incidentoch súvisiacich s IKT na úrovni Únie. Takáto centralizácia by mohla pozostávať z jednotného centra EÚ pre nahlasovanie závažných incidentov súvisiacich s IKT, ktoré by priamo dostávalo príslušné hlásenia a automaticky informovalo vnútroštátne príslušné orgány, alebo by len centralizovalo relevantné hlásenia postúpené vnútroštátnymi príslušnými orgánmi a tak plnilo koordinačnú úlohu. Európske orgány dohľadu by mali byť poverené úlohou, aby po konzultácii s ECB a agentúrou ENISA vypracovali spoločnú správu, v ktorej preskúmajú uskutočniteľnosť zriadenia jednotného centra EÚ.

(56)

V snahe dosiahnuť vysokú úroveň digitálnej prevádzkovej odolnosti a v súlade s relevantnými medzinárodnými normami (napr. základnými prvkami G7 pre penetračné testovanie na základe konkrétnej hrozby) a rámcami uplatňovanými v Únii, ako ja TIBER-EÚ, by finančné subjekty mali pravidelne testovať svoje IKT systémy a personál zodpovedný za IKT, pokiaľ ide o účinnosť ich spôsobilostí v oblasti predchádzania, odhaľovania, reakcie a obnovy, v záujme odhalenia a riešenia potenciálnych zraniteľných miest v oblasti IKT. S cieľom zohľadniť rozdiely, ktoré existujú medzi rôznymi finančnými podsektormi a v rámci nich, pokiaľ ide o úroveň pripravenosti finančných subjektov v oblasti kybernetickej bezpečnosti, by testovanie malo zahŕňať širokú škálu nástrojov a opatrení, od posúdenia základných požiadaviek (napr. posúdenia a prehľady zraniteľnosti, analýzy otvorených zdrojov (analýzy open-source riešení), posúdenia bezpečnosti sietí, analýzy nedostatkov, preskúmania fyzickej bezpečnosti, dotazníky a skenovacie softvérové riešenia, preskúmania zdrojových kódov, ak je to možné, testy založené na konkrétnych scenároch, testovanie kompatibility, testovanie výkonnosti alebo testovanie medzi koncovými bodmi (end-to-end testovanie)) až po pokročilejšie testovanie prostredníctvom TLPT. Takéto pokročilé testovanie by sa malo vyžadovať len od finančných subjektov, ktoré sú dostatočne vyspelé z hľadiska IKT na to, aby ho mohli primerane vykonať. Testovanie digitálnej prevádzkovej odolnosti vyžadované týmto nariadením by preto malo byť náročnejšie pre tie finančné subjekty, ktoré spĺňajú kritériá stanovené v tomto nariadení (napr. veľké systémové úverové inštitúcie, ktoré sú vyspelé z hľadiska IKT, burzy cenných papierov, centrálne depozitáre cenných papierov a centrálne protistrany) než pre iné finančné subjekty. Testovanie digitálnej prevádzkovej odolnosti prostredníctvom TLPT by malo byť relevantnejšie pre finančné subjekty, ktoré vykonávajú činnosť v podsektoroch hlavných finančných služieb a zohrávajú systémovú úlohu (napr. platby, bankovníctvo a zúčtovanie a vyrovnanie), a menej relevantné pre iné subsektory (napr. správcovia aktív a ratingové agentúry).

(57)

Finančné subjekty, ktoré vykonávajú cezhraničné činnosti a uplatňujú si slobodu usadiť sa alebo poskytovať služby v rámci Únie, by mali spĺňať jednotný súbor pokročilých požiadaviek na testovanie (napr. TLPT) vo svojom domovskom členskom štáte, ktorý by mal zahŕňať infraštruktúry IKT vo všetkých jurisdikciách, v ktorých cezhraničná finančná skupina pôsobí v rámci Únie, čím by takýmto cezhraničným finančným skupinám umožnil, aby im náklady na testovanie súvisiace s IKT vznikali len v jednej jurisdikcii.

(58)

S cieľom využiť odborné znalosti, ktoré už získali určité príslušné orgány, najmä pokiaľ ide o vykonávanie rámca TIBER – EÚ, by toto nariadenie malo členským štátom umožniť, aby určili jeden verejný orgán zodpovedný za finančný sektor na vnútroštátnej úrovni za všetky záležitosti TLPT, alebo príslušným orgánom, aby v prípade, že takéto určenie neexistuje, delegovali výkon úloh súvisiacich s TLPT na iný vnútroštátny finančný príslušný orgán.

(59)

Keďže sa v tomto nariadení nevyžaduje, aby finančné subjekty pokrývali všetky kritické alebo dôležité funkcie v rámci jediného penetračného testu na základe konkrétnej hrozby, finančné subjekty by mali mať možnosť určiť, ktoré a koľko kritických alebo dôležitých funkcií by sa malo zahrnúť do rozsahu takéhoto testu.

(60)

Združené testovanie v zmysle tohto nariadenia – zahŕňajúce účasť viacerých finančných subjektov na TLPT a v prípade ktorého môže externý poskytovateľ IKT služieb priamo vstupovať do zmluvných dojednaní s externým testujúcim subjektom – by sa malo umožniť len vtedy, keď sa odôvodnene predpokladá, že kvalita alebo bezpečnosť služieb, ktoré poskytuje externý poskytovateľ IKT služieb zákazníkom, ktorí sú subjektmi, na ktoré sa toto nariadenie nevzťahuje, alebo dôvernosť údajov súvisiacich s takýmito službami, by boli nepriaznivo ovplyvnené. Združené testovanie by tiež malo podliehať zárukám (riadenie jedným určeným finančným subjektom, kalibrácia viacerých zúčastňujúcich sa finančných subjektov) s cieľom zabezpečiť prísny výkon testovania zúčastnených finančných subjektov, ktoré spĺňa ciele TLPT podľa tohto nariadenia.

(61)

S cieľom využiť interné zdroje dostupné na podnikovej úrovni by sa týmto nariadením malo umožniť využívanie interných testovacích subjektov na účely vykonávania TLPT za predpokladu, že existuje súhlas orgánov dohľadu, nie sú žiadne konflikty záujmov a vykonáva sa pravidelné striedanie využívania interných a externých testovacích subjektov (každé tri testy), pričom sa vyžaduje, aby poskytovateľ spravodajských informácií o hrozbe v TLPT bol vo vzťahu k finančnému subjektu vždy externý. Zodpovednosť za vykonávanie TLPT by mal v plnej miere niesť finančný subjekt. Potvrdenia, ktoré poskytujú orgány, by mali byť výlučne na účely vzájomného uznávania a nemali by brániť žiadnym následným opatreniam potrebným na riešenie IKT rizika, ktorému je finančný subjekt vystavený, ani by sa nemali považovať za schválenie schopností, ktoré má finančný subjekt v oblasti riadenia a zmierňovania IKT rizika, v rámci dohľadu.

(62)

Na zabezpečenie riadneho monitorovania externého IKT rizika vo finančnom sektore je potrebné stanoviť súbor pravidiel založených na zásadách s cieľom usmerňovať finančné subjekty pri monitorovaní rizika, ktoré vzniká v súvislosti s funkciami, ktoré sú zabezpečované na základe outsourcingu externými poskytovateľmi IKT služieb, najmä v prípade IKT služieb podporujúcich kritické alebo dôležité funkcie, ako aj všeobecnejšie v súvislosti so všetkými externými závislosťami v oblasti IKT.

(63)

S cieľom riešiť zložitosť rôznych zdrojov IKT rizika a zároveň zohľadniť množstvo a rozmanitosť poskytovateľov technologických riešení, ktoré umožňujú bezproblémové poskytovanie finančných služieb, by sa toto nariadenie malo vzťahovať na širokú škálu externých poskytovateľov IKT služieb vrátane poskytovateľov služieb cloud computingu, softvéru, služieb analýzy údajov a poskytovateľov služieb dátových centier. Podobne, keďže finančné subjekty by mali účinne a koherentne identifikovať a riadiť všetky druhy rizík, a to aj v kontexte IKT služieb obstarávaných v rámci finančnej skupiny, malo by sa objasniť, že podniky, ktoré sú súčasťou finančnej skupiny a poskytujú IKT služby prevažne svojmu materskému podniku alebo dcérskym podnikom či pobočkám svojho materského podniku, ako aj finančné subjekty, ktoré poskytujú IKT služby iným finančným subjektom, by sa mali tiež považovať za externých poskytovateľov IKT služieb podľa tohto nariadenia. Napokon, vzhľadom na to, že vyvíjajúci sa trh s platobnými službami sa čoraz viac stáva závislým od zložitých technických riešení, a vzhľadom na nové druhy platobných služieb a riešenia súvisiace s platbami by sa účastníci ekosystému platobných služieb, ktorí poskytujú činnosti spracovania platieb alebo prevádzkujú platobné infraštruktúry, mali tiež považovať za externých poskytovateľov IKT služieb podľa tohto nariadenia s výnimkou centrálnych bánk, keď prevádzkujú platobné systémy alebo systémy vyrovnania transakcií s cennými papiermi, a verejných orgánov pri poskytovaní služieb súvisiacich s IKT v kontexte plnenia funkcií štátu.

(64)

Za dodržiavanie svojich povinností podľa tohto nariadenia by mal neustále naďalej niesť plnú zodpovednosť finančný subjekt. Finančné subjekty by mali uplatňovať primeraný prístup k monitorovaniu rizík, ktoré vznikajú na úrovni externých poskytovateľov IKT služieb, a to náležitým zohľadnením povahy, rozsahu, zložitosti a významu ich závislostí súvisiacich s IKT, kritickosti alebo dôležitosti služieb, procesov alebo funkcií, na ktoré sa vzťahujú zmluvné dojednania, a v konečnom dôsledku na základe dôkladného posúdenia akéhokoľvek potenciálneho vplyvu na kontinuitu a kvalitu finančných služieb na individuálnej, resp. skupinovej úrovni.

(65)

Vykonávanie takéhoto monitorovania by sa malo riadiť strategickým prístupom k externému IKT riziku, ktoré by bolo formalizované tak, že riadiaci orgán finančného subjektu prijme špecializovanú stratégiu zameranú na externé IKT riziko, ktorá bude vychádzať z nepretržitého preverovania všetkých externých závislostí v oblasti IKT. S cieľom zvýšiť informovanosť orgánov dohľadu o externých závislostiach v oblasti IKT a s cieľom ďalej podporovať prácu v kontexte rámca dozoru zriadeného týmto nariadením by sa od všetkých finančných subjektov malo vyžadovať, aby viedli register informácií so všetkými zmluvnými dojednaniami o využívaní IKT služieb poskytovaných externými poskytovateľmi IKT služieb. Orgány dohľadu nad finančnými subjektmi by mali mať možnosť požiadať o úplný register alebo požiadať o jeho konkrétne časti, a tak získať dôležité informácie na širšie pochopenie závislostí finančných subjektov v oblasti IKT.

(66)

Dôkladnou analýzou pred uzavretím zmluvy by sa malo podporiť formálne uzavretie zmluvných dojednaní, a to najmä zameraním sa na prvky, ako je kritickosť alebo dôležitosť služieb podporovaných plánovanou zmluvou v oblasti IKT, potrebné schválenia orgánmi dohľadu alebo iné podmienky, možné súvisiace riziko koncentrácie, ako aj uplatňovaním náležitej starostlivosti v procese výberu a posudzovania externých poskytovateľov IKT služieb a posúdením potenciálnych konfliktov záujmov. V prípade zmluvných dojednaní týkajúcich sa kritických alebo dôležitých funkcií by finančné subjekty mali zohľadňovať, ako externí poskytovatelia IKT služieb využívajú najaktuálnejšie a najprísnejšie normy informačnej bezpečnosti. Ukončenie zmluvných dojednaní by mohlo byť motivované aspoň sériou okolností, ktoré preukazujú nedostatky na úrovni externého poskytovateľa IKT služieb, najmä významné porušenia právnych predpisov alebo zmluvných podmienok, okolnosti odhaľujúce možnú zmenu v plnení funkcií poskytovaných na základe zmluvných dojednaní, dôkazy o slabých stránkach externého poskytovateľa IKT služieb v jeho celkovom riadení IKT rizika alebo okolnosti naznačujúce neschopnosť relevantného príslušného orgánu vykonávať účinný dohľad nad finančným subjektom.

(67)

S cieľom riešiť systémový vplyv rizika koncentrácie externých poskytovateľov IKT sa týmto nariadením podporuje vyvážené riešenie prostredníctvom uplatnenia flexibilného a postupného prístupu k takémuto riziku koncentrácie, keďže stanovenie akýchkoľvek pevných horných hraníc alebo prísnych obmedzení by mohlo brániť vykonávaniu obchodnej činnosti a obmedzovať zmluvnú slobodu. Finančné subjekty by mali dôkladne posúdiť svoje zamýšľané zmluvné dojednania s cieľom identifikovať pravdepodobnosť vzniku takéhoto rizika, a to aj prostredníctvom hĺbkových analýz dohôd o subdodávkach, najmä ak sa uzatvárajú s externými poskytovateľmi IKT služieb usadenými v tretej krajine. V tejto fáze a s cieľom dosiahnuť spravodlivú rovnováhu medzi nevyhnutnosťou zachovať zmluvnú slobodu a zaručiť finančnú stabilitu sa nepovažuje za vhodné stanoviť prísne horné hranice a obmedzenia expozícií voči externým stranám v oblasti IKT. V súvislosti s rámcom dozoru by mal hlavný orgán dozoru vymenovaný podľa tohto nariadenia, a to vo vzťahu ku kritickým externým poskytovateľom IKT služieb, venovať osobitnú pozornosť plnému využitiu celého rozsahu vzájomných závislostí, odhaľovať konkrétne prípady, keď vysoký stupeň koncentrácie kritických externých poskytovateľov IKT služieb v Únii pravdepodobne zaťaží stabilitu a integritu finančného systému Únie, a udržiavať dialóg s kritickými externými poskytovateľmi IKT služieb, ak dôjde k identifikácii konkrétneho rizika.

(68)

S cieľom pravidelne hodnotiť a monitorovať schopnosť externého poskytovateľa IKT služieb bezpečne poskytovať služby finančnému subjektu bez nepriaznivých účinkov na digitálnu prevádzkovú odolnosť finančného subjektu, by sa malo harmonizovať niekoľko kľúčových zmluvných prvkov s externými poskytovateľmi IKT služieb. Takáto harmonizácia by mala zahŕňať aspoň oblasti, ktoré sú kľúčové na to, aby finančnému subjektu umožnili úplné monitorovanie rizík, ktoré by mohol spôsobiť externý poskytovateľ IKT služieb, a to z hľadiska potreby finančného subjektu zabezpečiť svoju digitálnu odolnosť, keďže výrazne závisí od stability, funkčnosti, dostupnosti a bezpečnosti IKT služieb, ktoré sú mu poskytované.

(69)

Pri opätovnom prerokovaní zmluvných dojednaní s cieľom dosiahnuť súlad s požiadavkami tohto nariadenia by finančné subjekty a externí poskytovatelia IKT služieb mali zabezpečiť pokrytie kľúčových zmluvných ustanovení, ako sa stanovuje v tomto nariadení.

(70)

Vymedzenie pojmu „kritická alebo dôležitá funkcia“ stanovené v tomto nariadení zahŕňa vymedzenie pojmu „zásadné funkcie“ stanovené v článku 2 ods. 1 bode 35 smernice Európskeho parlamentu a Rady 2014/59/EÚ (20). Funkcie považované za zásadné podľa smernice 2014/59/EÚ sú preto zahrnuté do vymedzenia kritických funkcií v zmysle tohto nariadenia.

(71)

Bez ohľadu na kritickosť alebo dôležitosť funkcie podporovanej IKT službami by zmluvné dojednania mali obsahovať najmä uvedenie úplných opisov funkcií a služieb, miest, kde sa takéto funkcie poskytujú a kde sa údaje majú spracúvať, ako aj uvedenie opisov úrovne služieb. Iné nevyhnutné prvky na to, aby finančný subjekt mohol monitorovať externé IKT riziko sú: zmluvné ustanovenia, v ktorých sa stanovuje, ako externý poskytovateľ IKT služieb zabezpečuje prístupnosť, dostupnosť, integritu, bezpečnosť a ochranu osobných údajov, ustanovenia, v ktorých sa stanovujú relevantné záruky umožňujúce prístup k údajom, ich obnovu a vrátenie v prípade platobnej neschopnosti, riešenia krízových situácií alebo ukončenia obchodných činností externého poskytovateľa IKT služieb, ako aj ustanovenia vyžadujúce, aby externý poskytovateľ IKT služieb poskytol pomoc v prípade incidentov týkajúcich sa IKT v súvislosti s poskytovanými službami, a to bez dodatočných nákladov alebo s nákladmi určenými ex-ante; ustanovenia o povinnosti externého poskytovateľa IKT služieb plne spolupracovať s príslušnými orgánmi a orgánmi pre riešenie krízových situácií finančného subjektu; a ustanovenia o práve ukončiť zmluvný vzťah a súvisiacich minimálnych výpovedných lehôt na ukončenie zmluvných dojednaní v súlade s očakávaniami príslušných orgánov a orgánov pre riešenie krízových situácií.

(72)

Okrem takýchto zmluvných ustanovení a s cieľom zabezpečiť, aby si finančné subjekty zachovali plnú kontrolu nad všetkými možnosťami vývoja na úrovni externého subjektu, ktorý môže narušiť ich bezpečnosť IKT, by zmluvy o poskytovaní IKT služieb podporujúcich kritické alebo dôležité funkcie mali tiež obsahovať: uvedenie úplného opisu úrovne poskytovaných služieb vrátane presných kvantitatívnych a kvalitatívnych výkonnostných cieľov, s cieľom umožniť bezodkladné prijatie vhodných nápravných opatrení, ak sa dohodnutá úroveň poskytovaných služieb nedosahuje; príslušné výpovedné lehoty a nahlasovacie povinnosti externého poskytovateľa IKT služieb v prípade vývoja, ktorý môže mať potenciálne významný vplyv na schopnosť externého poskytovateľa IKT služieb účinne poskytovať svoje príslušné IKT služby; požiadavku, aby externý poskytovateľ IKT služieb vykonával a testoval pohotovostné plány obchodnej činnosti a aby mal k dispozícii bezpečnostné opatrenia, nástroje a politiky v oblasti IKT, ktoré umožňujú bezpečné poskytovanie služieb, a aby sa zúčastňoval a plne spolupracoval na TLPT, ktorý vykonáva finančný subjekt.

(73)

Zmluvy o poskytovaní IKT služieb podporujúcich kritické alebo dôležité funkcie by mali obsahovať aj ustanovenia poskytujúce finančnému subjektu alebo určenému externému subjektu práva na prístup, inšpekciu a audit, ako aj právo vyhotovovať kópie, ako kľúčové nástroje pri priebežnom monitorovaní výkonnosti externého poskytovateľa IKT služieb zo strany finančného subjektu, spolu s úplnou spoluprácou poskytovateľa služieb počas inšpekcií. Podobne by sa príslušnému orgánu finančného subjektu malo na základe oznámení udeliť právo na inšpekciu a audit externého poskytovateľa IKT služieb, a to pod podmienkou ochrany dôverných informácií.

(74)

V takýchto zmluvných dojednaniach by sa mali stanoviť aj osobitné stratégie ukončenia angažovanosti umožňujúce najmä povinné prechodné obdobia, počas ktorých by externí poskytovatelia IKT služieb mali naďalej poskytovať príslušné služby s cieľom znížiť riziko narušení na úrovni finančného subjektu alebo umožniť tomuto subjektu účinne prejsť k využívaniu iných externých poskytovateľov IKT služieb, alebo alternatívne začať využívať vlastné riešenia v závislosti od zložitosti poskytovanej IKT služby. Okrem toho by finančné subjekty patriace do rozsahu pôsobnosti smernice 2014/59/EÚ mali zabezpečiť, aby príslušné zmluvy o IKT službách boli spoľahlivé a plne vynútiteľné v prípade riešenia krízových situácií týchto finančných subjektov. V súlade s očakávaniami orgánov pre riešenie krízových situácií by tieto finančné subjekty mali zabezpečiť, aby príslušné zmluvy o IKT službách boli odolné voči krízovým situáciám. Pokiaľ tieto finančné subjekty naďalej plnia svoje platobné záväzky, mali by okrem iných požiadaviek zabezpečiť, aby príslušné zmluvy o IKT službách obsahovali doložky o nevypovedaní, nepozastavení a nezmenení z dôvodu reštrukturalizácie alebo riešenia krízových situácií.

(75)

Dobrovoľné používanie štandardných zmluvných doložiek vypracovaných verejnými orgánmi alebo inštitúciami Únie, najmä používanie zmluvných doložiek vypracovaných Komisiou pre služby cloud computingu by mohlo navyše finančné subjekty a externých poskytovateľov IKT služieb ešte viac odbremeniť, a to zvýšením ich úrovne právnej istoty, pokiaľ ide o využívanie služieb cloud computingu vo finančnom sektore, v plnom súlade s požiadavkami a očakávaniami stanovenými v práve Únie v oblasti finančných služieb. Vypracovanie štandardných zmluvných doložiek vychádza z opatrení, ktoré už boli naplánované v akčnom pláne pre finančné technológie z roku 2018, v ktorom Komisia oznámila zámer podporiť a uľahčiť vypracovanie štandardných zmluvných doložiek o využívaní služieb cloud computingu formou outsourcingu finančnými subjektmi, a to na základe medziodvetvového úsilia zainteresovaných strán v oblasti služieb cloud computingu, ktoré Komisia uľahčila zapojením finančného sektora.

(76)

S cieľom podporiť konvergenciu a efektívnosť, pokiaľ ide o prístupy dohľadu pri riešení externého IKT rizika vo finančnom sektore, ako aj posilniť digitálnu prevádzkovú odolnosť finančných subjektov, ktoré sa v súvislosti s poskytovaním IKT služieb podporujúcimi poskytovanie finančných služieb spoliehajú na kritických externých poskytovateľov IKT služieb, a tým prispieť k zachovaniu stability finančného systému Únie a integrity vnútorného trhu s finančnými službami, by sa na kritických externých poskytovateľov IKT služieb mal vzťahovať rámec dozoru Únie. Hoci je vytvorenie rámca dozoru odôvodnené pridanou hodnotou prijatia opatrení na úrovni Únie a prirodzenou úlohou a osobitosťami využívania IKT služieb pri poskytovaní finančných služieb, zároveň by sa malo pripomenúť, že toto riešenie sa zdá vhodné len v kontexte tohto nariadenia, ktoré sa špecificky zaoberá digitálnou prevádzkovou odolnosťou finančného sektora. Takýto rámec dozoru by sa však nemal považovať za nový model dohľadu Únie v iných oblastiach finančných služieb a činností.

(77)

Rámec dozoru by sa mal uplatňovať len na kritických externých poskytovateľov IKT služieb. Mal by preto existovať mechanizmus určenia, ktorý zohľadní rozmer a povahu spoliehania sa finančného sektora na takýchto externých poskytovateľov IKT služieb. Uvedený mechanizmus by mal zahŕňať súbor kvantitatívnych a kvalitatívnych kritérií na stanovenie parametrov kritickosti ako základu pre začlenenie do rámca dozoru. S cieľom zabezpečiť presnosť tohto posúdenia a bez ohľadu na podnikovú štruktúru externého poskytovateľa IKT služieb by takéto kritériá v prípade externého poskytovateľa IKT služieb, ktorý je súčasťou širšej skupiny, mali zohľadňovať celú skupinovú štruktúru externého poskytovateľa IKT služieb. Na jednej strane kritickí externí poskytovatelia IKT služieb, ktorí nie sú automaticky označení na základe uplatňovania uvedených kritérií, by mali mať možnosť zapojiť sa na dobrovoľnom základe do rámca dozoru, na strane druhej tí externí poskytovatelia IKT služieb, na ktorých sa už vzťahujú rámce mechanizmov dozoru podporujúce plnenie úloh Európskeho systému centrálnych bánk, ako sa uvádza v článku 127 ods. 2 ZFEÚ, by sa mali z rámca vyňať.

(78)

Podobne by sa z rámca dozoru mali vyňať aj finančné subjekty, ktoré poskytujú IKT služby iným finančným subjektom, hoci patria do kategórie externých poskytovateľov IKT služieb podľa tohto nariadenia, keďže už podliehajú mechanizmom dohľadu stanoveným v príslušnom práve Únie v oblasti finančných služieb. V príslušných prípadoch by príslušné orgány mali v kontexte svojich činností dohľadu zohľadniť IKT riziko, ktoré pre finančné subjekty predstavujú finančné subjekty poskytujúce IKT služby. Podobne by sa vzhľadom na existujúce mechanizmy monitorovania rizík na úrovni skupiny mala zaviesť rovnaká výnimka pre externých poskytovateľov IKT služieb, ktorí poskytujú služby prevažne subjektom svojej vlastnej skupiny. Externí poskytovatelia IKT služieb, ktorí poskytujú IKT služby výlučne v jednom členskom štáte finančným subjektom, ktoré pôsobia len v tomto členskom štáte, by mali byť takisto vyňatí z mechanizmu určenia z dôvodu ich obmedzených činností a nedostatočného cezhraničného vplyvu.

(79)

Digitálna transformácia v oblasti finančných služieb priniesla bezprecedentnú úroveň využívania IKT služieb a spoliehania sa na ne. Keďže poskytovanie finančných služieb bez využívania služieb cloud computingu, softvérových riešení a služieb súvisiacich s údajmi sa stalo nemysliteľným, finančný ekosystém Únie sa stal vo svojej podstate spoluzávislým od určitých IKT služieb poskytovaných poskytovateľmi IKT služieb. Niektorí z týchto dodávateľov, inovátorov pri vývoji a uplatňovaní technológií založených na IKT, zohrávajú významnú úlohu pri poskytovaní finančných služieb alebo sa stali súčasťou hodnotového reťazca finančných služieb. Nadobudli tak kritické postavenie z hľadiska stability a integrity finančného systému Únie. Toto rozsiahle spoliehanie sa na služby poskytované kritickými externými poskytovateľmi IKT služieb v kombinácii so vzájomnou závislosťou informačných systémov rôznych organizátorov trhu vytvára priame a potenciálne závažné riziko pre systém finančných služieb Únie a pre kontinuitu poskytovania finančných služieb, ak by kritickí externí poskytovatelia IKT služieb boli ovplyvnení prevádzkovými narušeniami alebo závažnými kybernetickými incidentmi. Kybernetické incidenty majú jedinečnú schopnosť znásobiť a šíriť sa v celom finančnom systéme výrazne rýchlejším tempom než iné druhy rizík monitorované vo finančnom sektore a môžu sa rozšíriť naprieč sektormi a za geografickými hranicami. Majú potenciál vyvinúť sa v systémovú krízu, v ktorej sa narušila dôvera vo finančný systém v dôsledku narušenia funkcií podporujúcich reálnu ekonomiku alebo značných finančných strát, ktoré dosahujú úroveň, ktorú finančný systém nie je schopný zvládnuť, alebo ktorá si vyžaduje zavedenie rozsiahlych opatrení na absorpciu otrasov. S cieľom zabrániť vzniku týchto scenárov, a tým ohroziť finančnú stabilitu a integritu Únie, je nevyhnutné zabezpečiť konvergenciu postupov dohľadu týkajúcich sa externého IKT rizika v oblasti financií, a to najmä prostredníctvom nových pravidiel umožňujúcich dohľad Únie nad kritickými externými poskytovateľmi IKT služieb.

(80)

Rámec dozoru vo veľkej miere závisí od stupňa spolupráce medzi hlavným orgánom dozoru a kritickým externým poskytovateľom IKT služieb, ktorý finančným subjektom poskytuje služby ovplyvňujúce poskytovanie finančných služieb. Úspešný dozor je okrem iného založený na schopnosti hlavného orgánu dozoru účinne vykonávať monitorovacie misie a inšpekcie s cieľom posúdiť pravidlá, kontroly a procesy, ktoré používajú kritickí externí poskytovatelia IKT služieb, ako aj posúdiť potenciálny kumulatívny vplyv ich činností na finančnú stabilitu a integritu finančného systému. Zároveň je veľmi dôležité, aby kritickí externí poskytovatelia IKT služieb dodržiavali odporúčania hlavného orgánu dozoru a riešili jeho obavy. Keďže nedostatočná spolupráca zo strany kritického externého poskytovateľa IKT služieb, ktorý poskytuje služby, ktoré majú vplyv na poskytovanie finančných služieb, ako je odmietnutie udeliť prístup do jeho priestorov alebo predložiť informácie, by v konečnom dôsledku zbavila hlavného orgánu dozoru jeho základných nástrojov na hodnotenie externého IKT rizika a mohla by mať nepriaznivý vplyv na finančnú stabilitu a integritu finančného systému, je potrebné stanoviť aj primeraný sankčný režim.

(81)

V tejto súvislosti by nemala byť ohrozená potreba hlavného orgánu dozoru ukladať sankcie s cieľom prinútiť kritických externých poskytovateľov IKT služieb, aby dodržiavali povinnosti týkajúce sa transparentnosti a prístupu stanovené v tomto nariadení, a to ťažkosťami vyvolanými vymáhaním uvedených sankcií v súvislosti s kritickými externými poskytovateľmi IKT služieb usadenými v tretích krajinách. S cieľom zabezpečiť vykonateľnosť takýchto sankcií a umožniť rýchle uplatnenie postupov na dodržiavanie práva kritických externých poskytovateľov IKT služieb na obhajobu v kontexte mechanizmu určenia a vydávania odporúčaní by sa od uvedených kritických externých poskytovateľov IKT služieb, ktorí poskytujú finančným subjektom služby ovplyvňujúce poskytovanie finančných služieb, malo vyžadovať, aby si zachovali primeranú obchodnú prítomnosť v Únii. Vzhľadom na povahu dozoru a neexistenciu porovnateľných dojednaní v iných jurisdikciách neexistujú žiadne vhodné alternatívne mechanizmy na zabezpečenie tohto cieľa prostredníctvom účinnej spolupráce s orgánmi dohľadu nad finančnými subjektmi v tretích krajinách v súvislosti s monitorovaním vplyvu digitálnych prevádzkových rizík, ktoré predstavujú externí systémoví poskytovatelia IKT služieb, ktorí sa kvalifikujú ako kritickí externí poskytovatelia IKT služieb usadení v tretích krajinách. S cieľom naďalej poskytovať svoje IKT služby finančným subjektom v Únii by preto externý poskytovateľ IKT služieb usadený v tretej krajine, ktorý bol určený ako kritický v súlade s týmto nariadením, mal do 12 mesiacov od takéhoto určenia prijať všetky potrebné opatrenia s cieľom zabezpečiť svoju registráciu v Únii prostredníctvom založenia dcérskeho podniku, ako sa vymedzuje v acquis Únie, konkrétne v smernici Európskeho parlamentu a Rady 2013/34/EÚ (21).

(82)

Požiadavka založiť dcérsky podnik v Únii by nemala brániť kritickému externému poskytovateľovi IKT služieb v poskytovaní IKT služieb a súvisiacej technickej podpory zo zariadení a infraštruktúry, ktoré sa nachádzajú mimo Únie. Týmto nariadením sa neukladá povinnosť lokalizácie údajov, keďže sa v ňom nevyžaduje, aby sa údaje uchovávali alebo spracúvali v Únii.

(83)

Kritickí externí poskytovatelia IKT služieb by mali byť schopní poskytovať IKT služby z akéhokoľvek miesta na svete, nie nevyhnutne alebo nielen z priestorov nachádzajúcich sa v Únii. Činnosti dozoru by sa mali najprv vykonávať v priestoroch nachádzajúcich sa v Únii a prostredníctvom interakcie so subjektmi nachádzajúcimi sa v Únii vrátane dcérskych podnikov založených kritickými externými poskytovateľmi IKT služieb podľa tohto nariadenia. Takéto opatrenia v rámci Únie by však nemuseli byť dostatočné na to, aby hlavnému orgánu dozoru umožnili v plnej miere a účinne vykonávať svoje povinnosti podľa tohto nariadenia. Hlavný orgán dozoru by preto mal mať možnosť vykonávať svoje príslušné právomoci dozoru aj v tretích krajinách. Vykonávanie uvedených právomocí v tretích krajinách by malo umožniť hlavnému orgánu dozoru preskúmať zariadenia, z ktorých IKT služby alebo služby technickej podpory skutočne poskytuje alebo riadi kritický externý poskytovateľ IKT služieb, a hlavnému orgánu dozoru by malo poskytnúť komplexné a operatívne pochopenie riadenia IKT rizika kritického externého poskytovateľa IKT služieb. Možnosť hlavného orgánu dozoru ako agentúry Únie vykonávať právomoci mimo územia Únie by mala byť riadne vymedzená príslušnými podmienkami, najmä súhlasom dotknutého kritického externého poskytovateľa IKT služieb. Podobne by mali byť relevantné orgány tretej krajiny informované o vykonávaní činností hlavného orgánu dozoru na svojom vlastnom území a nemali by proti nemu namietať. S cieľom zabezpečiť účinné vykonávanie a bez toho, aby boli dotknuté príslušné právomoci inštitúcií Únie a členských štátov, však takéto právomoci musia byť plne zakotvené aj v uzavretých dohodách o administratívnej spolupráci s relevantnými orgánmi dotknutej tretej krajiny. Toto nariadenie by preto malo európskym orgánom dohľadu umožniť uzatvárať dohody o administratívnej spolupráci s relevantnými orgánmi tretích krajín, ktoré by inak nemali vytvárať právne záväzky vo vzťahu k Únii a jej členským štátom.

(84)

S cieľom uľahčiť komunikáciu s hlavným orgánom dozoru a zabezpečiť primerané zastúpenie by kritickí externí poskytovatelia IKT služieb, ktorí sú súčasťou skupiny, mali ako svoje koordinačné miesto určiť jednu právnickú osobu.

(85)

Rámcom dozoru by nemala byť dotknutá právomoc členských štátov vykonávať vlastné dozorné alebo monitorovacie úlohy v súvislosti s externými poskytovateľmi IKT služieb, ktorí nie sú určení ako kritickí podľa tohto nariadenia, ale ktorí by sa mohli považovať za dôležitých na vnútroštátnej úrovni.

(86)

V snahe využiť viacvrstvovú inštitucionálnu architektúru v oblasti finančných služieb by spoločný výbor európskych orgánov dohľadu mal naďalej zabezpečovať celkovú medziodvetvovú koordináciu vo vzťahu ku všetkým záležitostiam týkajúcim sa IKT rizika, a to v súlade so svojimi úlohami v oblasti kybernetickej bezpečnosti. Mal by ho podporovať nový podvýbor (ďalej len „fórum pre dozor“), ktorý bude vykonávať prípravné práce pre jednotlivé rozhodnutia určené kritickým externým poskytovateľom IKT služieb, ako aj pre vydávanie kolektívnych odporúčaní, najmä v súvislosti s referenčným porovnávaním programov dozoru pre kritických externých poskytovateľov IKT služieb, a identifikovať najlepšie postupy na riešenie rizika koncentrácie IKT.

(87)

S cieľom zabezpečiť, aby kritickí externí poskytovatelia IKT služieb podliehali náležitému a účinnému dozoru na úrovni Únie sa v tomto nariadení stanovuje, že ktorýkoľvek z troch európskych orgánov dohľadu by sa mohol určiť ako hlavný orgán dozoru. Individuálne pridelenie kritického externého poskytovateľa IKT služieb jednému z troch európskych orgánov dohľadu by malo vyplývať z posúdenia prevahy finančných subjektov pôsobiacich vo finančných sektoroch, za ktoré má daný európsky orgán dohľadu zodpovednosť. Tento prístup by mal viesť k vyváženému rozdeleniu úloh a zodpovedností medzi tri európske orgány dohľadu v kontexte vykonávania funkcií dozoru a mal by čo najlepšie využívať ľudské zdroje a technické odborné znalosti dostupné v každom z troch európskych orgánov dohľadu.

(88)

Hlavným orgánom dozoru by sa mali udeliť právomoci nevyhnutné na vykonávanie vyšetrovaní, inšpekcií na mieste i na diaľku v priestoroch a lokalitách kritických externých poskytovateľov IKT služieb a na získavanie úplných a aktualizovaných informácií. Uvedené právomoci by mali umožniť hlavnému orgánu dozoru získať skutočný prehľad o druhu, rozmere a vplyve externého IKT rizika pre finančné subjekty a v konečnom dôsledku pre finančný systém Únie. Poverenie európskych orgánov dohľadu úlohou hlavného orgánu dozoru je predpokladom na pochopenie a riešenie systémového rozmeru IKT rizika v oblasti financií. Vplyv kritických externých poskytovateľov IKT služieb na finančný sektor Únie a potenciálne problémy spôsobené súvisiacim rizikom koncentrácie IKT si vyžadujú prijatie kolektívneho prístupu na úrovni Únie. Súbežné vykonávanie viacerých auditov a prístupových práv realizované zo strany viacerých samostatných príslušných orgánov pri malej alebo žiadnej vzájomnej koordinácii by orgánom dohľadu nad finančnými subjektmi bránilo získať úplný a komplexný prehľad o externom IKT riziku v Únii, a zároveň by sa vytvorila redundancia, zaťaženie a zložitosť pre kritických externých poskytovateľov IKT služieb, ak by boli vystavení početným žiadostiam o monitorovanie a inšpekciu.

(89)

Vzhľadom na významné dôsledky určenia kritickosti by sa týmto nariadením malo zabezpečiť, aby sa práva kritických externých poskytovateľov IKT služieb dodržiavali počas celého vykonávania rámca dozoru. Pred určením kritickosti by takíto poskytovatelia mali napríklad mať právo predložiť hlavnému orgánu dozoru odôvodnené vyhlásenie obsahujúce všetky relevantné informácie na účely posúdenia týkajúceho sa ich určenia. Keďže hlavný orgán dozoru by mal byť oprávnený predkladať odporúčania týkajúce sa problematiky IKT rizika a vhodných s tým súvisiacich nápravných opatrení vrátane právomoci namietať proti určitým zmluvným dojednaniam, ktoré v konečnom dôsledku ovplyvňujú stabilitu finančného subjektu alebo finančného systému, kritickí externí poskytovatelia IKT služieb by tiež mali dostať možnosť poskytnúť pred finalizáciou uvedených odporúčaní vysvetlenia týkajúce sa očakávaného vplyvu riešení, ktoré sú plánované v odporúčaniach, na zákazníkov, ktorí sú subjektmi mimo rozsahu pôsobnosti tohto nariadenia, a sformulovať riešenia na zmiernenie rizík. Kritickí externí poskytovatelia IKT služieb, ktorí nesúhlasia s odporúčaniami, by mali predložiť odôvodnené vysvetlenie svojho zámeru nepodporiť odporúčanie. Ak takéto odôvodnené vysvetlenie nie je predložené alebo sa považuje za nedostatočné, hlavný orgán dozoru by mal vydať verejné oznámenie, v ktorom stručne opíše záležitosť nesúladu.

(90)

Príslušné orgány by mali do svojich funkcií v súvislosti s prudenciálnym dohľadom nad finančnými subjektmi náležite zahrnúť úlohu overovania vecného dodržiavania odporúčaní vydaných hlavným orgánom dozoru. Príslušné orgány by mali mať možnosť požadovať od finančných subjektov, aby prijali dodatočné opatrenia na riešenie rizík identifikovaných v odporúčaniach hlavného orgánu dozoru, a vo vhodnom čase by na tento účel mali vydávať oznámenia. Ak hlavný orgán dozoru adresuje odporúčania kritickým externým poskytovateľom IKT služieb, nad ktorými sa vykonáva dohľad podľa smernice (EÚ) 2022/2555+, príslušné orgány by mali mať možnosť na dobrovoľnom základe a pred prijatím dodatočných opatrení konzultovať s príslušnými orgánmi podľa uvedenej smernice s cieľom podporiť koordinovaný prístup vo vzťahu k dotknutým kritickým externým poskytovateľom IKT služieb.

(91)

Vykonávanie dozoru by sa malo riadiť tromi operatívnymi zásadami, ktorých cieľom je zabezpečiť: a) úzku koordináciu medzi európskymi orgánmi dohľadu v ich úlohách hlavných orgánov dozoru prostredníctvom spoločnej siete dozoru, b) súlad s rámcom stanoveným smernicou (EÚ) 2022/2555+ (prostredníctvom dobrovoľnej konzultácie s orgánmi podľa uvedenej smernice s cieľom zabrániť duplicite opatrení zameraných na kritických externých poskytovateľov IKT služieb) a c) uplatňovanie náležitej starostlivosti s cieľom minimalizovať potenciálne riziko narušenia služieb, ktoré poskytujú kritickí externí poskytovatelia IKT služieb zákazníkom, ktorí sú subjektmi mimo rozsahu pôsobnosti tohto nariadenia.

(92)

Rámec dozoru by nemal nahrádzať ani žiadnym spôsobom a ani čiastočne suplovať požiadavku na finančné subjekty, aby sami riadili riziká súvisiace s využívaním externých poskytovateľov IKT služieb vrátane ich povinnosti zachovávať priebežné monitorovanie zmluvných dojednaní uzavretých s kritickými externými poskytovateľmi IKT služieb. Podobne by rámec dozoru nemal mať vplyv na plnú zodpovednosť finančných subjektov za dodržiavanie a plnenie všetkých právnych povinností stanovených v tomto nariadení a v príslušnom práve v oblasti finančných služieb.

(93)

Aby sa predišlo duplicite a prekrývaniu, príslušné orgány by sa mali zdržať individuálneho prijímania akýchkoľvek opatrení zameraných na monitorovanie rizík súvisiacich s kritickými externými poskytovateľmi IKT služieb a v tejto súvislosti by sa mali spoliehať na posúdenie hlavného dozorného orgánu. Akékoľvek opatrenia by sa mali v každom prípade koordinovať a dohodnúť vopred s hlavným dozorným orgánom v kontexte výkonu úloh v rámci dozoru.

(94)

V snahe podporiť na medzinárodnej úrovni zbližovanie, pokiaľ ide o používanie najlepších postupov pri preskúmavaní a monitorovaní riadenia digitálnych rizík v súvislosti s externými poskytovateľmi IKT služieb, by sa európske orgány dohľadu mali nabádať k tomu, aby uzatvárali dohody o spolupráci s relevantnými orgánmi dohľadu a regulačnými orgánmi tretích krajín.

(95)

S cieľom využiť osobitné kompetencie, technické zručnosti a odborné znalosti pracovníkov špecializujúcich sa na prevádzkové riziká a IKT riziko v rámci príslušných orgánov, troch európskych orgánov dohľadu, a na dobrovoľnom základe príslušných orgánov podľa smernice (EÚ) 2022/2555+, hlavný orgán dozoru by mal vychádzať zo spôsobilostí a znalostí vnútroštátneho dohľadu a mal by vytvoriť špecializované prieskumné tímy pre každého kritického externého poskytovateľa IKT služieb, v ktorých by sa združili multidisciplinárne tímy na podporu prípravy a vykonávania činností dozoru vrátane všeobecných vyšetrovaní a inšpekcií na mieste u kritických externých poskytovateľov IKT služieb, ako aj akýchkoľvek potrebných následných opatrení.

(96)

Zatiaľ čo náklady vyplývajúce z úloh dozoru by sa v plnej miere financovali z poplatkov vyberaných od kritických externých poskytovateľov IKT služieb, európskym orgánom dohľadu pred začatím fungovania rámca dozoru pravdepodobne vzniknú náklady na zavedenie špecializovaných IKT systémov podporujúcich nadchádzajúci dozor, keďže špecializované IKT systémy by sa museli vyvinúť a zaviesť vopred. V tomto nariadení sa preto stanovuje hybridný model financovania, na základe ktorého by bol rámec dozoru ako taký plne financovaný z poplatkov, zatiaľ čo vývoj systémov IKT európskych orgánov dohľadu by sa financoval z príspevkov Únie a príslušných vnútroštátnych orgánov.

(97)

Príslušné orgány by mali mať všetky potrebné právomoci v oblasti dohľadu, vyšetrovania a ukladania sankcií na zabezpečenie riadneho výkonu ich funkcií podľa tohto nariadenia. Mali by v zásade uverejňovať informácie o administratívnych sankciách, ktoré uložili. Keďže finančné subjekty a externí poskytovatelia IKT služieb môžu byť usadení v rôznych členských štátoch a môžu podliehať dohľadu rôznych príslušných orgánov, uplatňovanie tohto nariadenia by mala uľahčovať na jednej strane úzka spolupráca medzi relevantnými príslušnými orgánmi vrátane ECB, pokiaľ ide o osobitné úlohy, ktoré sa na ňu preniesli v súlade s nariadením Rady (EÚ) č. 1024/201339, a na strane druhej konzultácia s európskymi orgánmi dohľadu prostredníctvom vzájomnej výmeny informácií a poskytovania pomoci v kontexte relevantných činností dohľadu.

(98)

S cieľom bližšie kvantifikovať a kvalifikovať kritériá určovania externých poskytovateľov IKT služieb ako kritických a harmonizovať poplatky za dozor by sa mala na Komisiu delegovať právomoc prijímať akty v súlade s článkom 290 ZFEÚ s cieľom doplniť toto nariadenie tým, že sa bližšie určí systémový vplyv, ktorý by zlyhanie alebo výpadok prevádzky externého poskytovateľa IKT služieb mohol mať na finančné subjekty, ktorým poskytuje IKT služby, počet globálne systémovo významných inštitúcií (G-SII) alebo inak systémovo významných inštitúcií (O-SII), ktoré sa spoliehajú na príslušného externého poskytovateľa IKT služieb, počet externých poskytovateľov IKT služieb pôsobiacich na danom trhu, náklady na prenos údajov a pracovnej záťaže v oblasti IKT na iných externých poskytovateľov IKT služieb, ako aj výška poplatkov za dozor a spôsob ich úhrady. Je osobitne dôležité, aby Komisia počas prípravných prác uskutočnila príslušné konzultácie, a to aj na úrovni expertov, a aby tieto konzultácie vykonávala v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva (22). Predovšetkým v záujme rovnakého zastúpenia pri príprave delegovaných aktov by sa všetky dokumenty mali Európskemu parlamentu a Rade doručovať v rovnakom čase ako expertom z členských štátov, a experti Európskeho parlamentu a Rady by mali mať systematicky prístup na zasadnutia skupín expertov Komisie, ktoré sa zaoberajú prípravou delegovaných aktov.

(99)

Konzistentná harmonizácia požiadaviek stanovených v tomto nariadení by mala byť zabezpečená regulačnými technickými predpismi. Európske orgány dohľadu by v úlohe orgánov disponujúcich vysoko špecializovanými odbornými znalosťami mali vypracovať návrh regulačných technických predpisov, ktoré nezahŕňajú politické rozhodnutia a ktoré sa predložia Komisii. Mali by sa vypracovať regulačné technické predpisy v oblasti riadenia IKT rizika, nahlasovania závažných incidentov súvisiacich s IKT, testovania, ako aj vo vzťahu ku kľúčovým požiadavkám na riadne monitorovanie externého IKT rizika. Komisia a európske orgány dohľadu by mali zabezpečiť, aby uvedené predpisy a požiadavky mohli všetky finančné subjekty uplatňovať spôsobom, ktorý je primeraný ich veľkosti a celkovému rizikovému profilu, ako aj povahe, rozsahu a zložitosti ich služieb, činností a operácií. Komisia by mala byť splnomocnená prijať uvedené regulačné technické predpisy prostredníctvom delegovaných aktov podľa článku 290 ZFEÚ a v súlade s článkami 10 až 14 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

(100)

S cieľom uľahčiť porovnateľnosť hlásení o závažných incidentoch súvisiacich s IKT a závažných prevádzkových alebo bezpečnostných incidentoch súvisiacich s platbami, ako aj zabezpečiť transparentnosť zmluvných dojednaní o využívaní IKT služieb poskytovaných externými poskytovateľmi IKT služieb by európske orgány dohľadu mali vypracovať návrh vykonávacích technických predpisov, ktorými sa stanovia štandardizované vzory, formuláre a postupy pre finančné subjekty na nahlasovanie závažných incidentov súvisiacich s IKT a závažných prevádzkových alebo bezpečnostných incidentoch súvisiacich s platbami, ako aj štandardizované vzory registra informácií. Pri vypracúvaní uvedených predpisov by európske orgány dohľadu mali zohľadniť veľkosť a celkový rizikový profil finančného subjektu, ako aj povahu, rozsah a zložitosť ich služieb, činností a operácií. Komisia by mala byť splnomocnená prijať uvedené vykonávacie technické predpisy prostredníctvom vykonávacích aktov podľa článku 291 ZFEÚ a v súlade s článkom 15 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

(101)

Keďže bližšie požiadavky už boli stanovené prostredníctvom delegovaných a vykonávacích aktov založených na regulačných technických a vykonávacích technických predpisoch v nariadeniach Európskeho parlamentu a Rady (ES) č. 1060/2009 (23), (EÚ) č. 648/2012 (24), (EÚ) č. 600/2014 (25) a (EÚ) č. 909/2014 (26), je vhodné poveriť európske orgány dohľadu, či už jednotlivo alebo kolektívne prostredníctvom spoločného výboru, aby Komisii predložili regulačné a vykonávacie technické predpisy na prijatie delegovaných a vykonávacích aktov, ktorými sa prenášajú a aktualizujú existujúce pravidlá riadenia IKT rizika.

(102)

Keďže toto nariadenie spolu so smernicou Európskeho parlamentu a Rady (EÚ) 2022/2556+ (27) zahŕňa konsolidáciu ustanovení o riadení IKT rizika naprieč viacerými nariadeniami a smernicami acquis Únie v oblasti finančných služieb vrátane nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014 a (EÚ) č. 909/2014 a nariadení (EÚ) 2016/1011 (28), s cieľom zabezpečiť úplný súlad by sa uvedené nariadenia mali zmeniť tak, aby sa v nich objasnilo, že príslušné ustanovenia týkajúce sa IKT rizika sú stanovené v tomto nariadení.

(103)

Rozsah pôsobnosti relevantných článkov súvisiacich s prevádzkovým rizikom, na základe ktorých splnomocnenia v nariadeniach (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 viedli k prijatiu delegovaných a vykonávacích aktov, by sa mal preto zúžiť s cieľom preniesť do tohto nariadenia všetky ustanovenia týkajúce sa aspektov digitálnej prevádzkovej odolnosti, ktoré sú dnes súčasťou uvedených nariadení.

(104)

Potenciálne systémové kybernetické riziko spojené s využívaním infraštruktúr IKT, ktoré umožňujú prevádzku platobných systémov a poskytovanie činností spracovania platieb, by sa malo náležite riešiť na úrovni Únie prostredníctvom harmonizovaných pravidiel digitálnej odolnosti. Na tento účel by Komisia mala urýchlene posúdiť potrebu preskúmania rozsahu pôsobnosti tohto nariadenia a zároveň zosúladiť takéto preskúmanie s výsledkom komplexného preskúmania stanoveného v smernici (EÚ) 2015/2366. Početné rozsiahle útoky za posledné desaťročie ukazujú, ako sa platobné systémy stali vystavené kybernetickým hrozbám. Postavenie v centre reťazca platobných služieb a preukázanie silných prepojení s celkovým finančným systémom, platobnými systémami a činnosťami spracovania platieb nadobudli rozhodujúci význam pre fungovanie finančných trhov Únie. Kybernetické útoky na takéto systémy môžu spôsobiť vážne narušenia prevádzky s priamymi dôsledkami pre kľúčové hospodárske funkcie, ako je uľahčovanie platieb, a nepriame účinky na súvisiace hospodárske procesy. Kým sa na úrovni Únie nezavedie harmonizovaný režim a dohľad nad prevádzkovateľmi platobných systémov a spracovateľskými subjektmi, členské štáty sa môžu pri uplatňovaní pravidiel na prevádzkovateľov platobných systémov a spracovateľské subjekty, nad ktorými vykonávajú dohľad v rámci svojej vlastnej jurisdikcie, inšpirovať požiadavkami na digitálnu prevádzkovú odolnosť stanovenými v tomto nariadení s cieľom uplatňovať podobné trhové postupy.

(105)

Keďže cieľ tohto nariadenia, a to dosiahnutie vysokej úrovne digitálnej prevádzkovej odolnosti pre regulované finančné subjekty, nie je možné uspokojivo dosiahnuť na úrovni členských štátov, pretože si vyžaduje harmonizáciu rôznych predpisov v rámci práva Únie alebo vnútroštátneho práva, ale ho možno z dôvodu jeho rozsahu a účinkov lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku toto nariadenie neprekračuje rámec nevyhnutný na dosiahnutie tohto cieľa.

(106)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (29) sa konzultovalo s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal svoje stanovisko 10. mája 2021 (30),