(1)

Unija se mora na primjeren i sveobuhvatan način nositi s digitalnim rizicima kojima su izloženi svi financijski subjekti, a koji proizlaze iz povećane primjene informacijske i komunikacijske tehnologije (IKT) pri pružanju i upotrebi financijskih usluga, te tako doprinijeti ostvarivanju potencijala digitalnih financija u smislu poticanja inovacija i promicanja tržišnog natjecanja u sigurnom digitalnom okruženju.

(2)

Financijski subjekti u svojem se svakodnevnom poslovanju u velikoj mjeri oslanjaju na primjenu digitalne tehnologije. Stoga je iznimno važno osigurati operativnu otpornost njihovih digitalnih operacija na IKT rizik. Ta potreba postaje sve važnija zbog rasta revolucionarnih tehnologija na tržištu, a posebno tehnologija kojima se omogućuje da se digitalni prikazi vrijednosti ili pravâ elektronički prenose i pohranjuju primjenom tehnologije distribuiranog zapisa ili slične tehnologije (kriptoimovina), te rasta usluga povezanih s tom imovinom.

(3)

Na razini Unije zahtjevi koji se odnose na upravljanje IKT rizikom u financijskom sektoru trenutačno su sadržani u direktivama 2009/65/EZ (4), 2009/138/EZ (5), 2011/61/EU (6), 2013/36/EU (7), 2014/59/EU (8), 2014/65/EU (9), (EU) 2015/2366 (10) i (EU) 2016/2341 (11) Europskog parlamenta i Vijeća.

Ti su zahtjevi različiti i ponekad nepotpuni. U nekim je slučajevima IKT rizik samo implicitno obuhvaćen kao dio operativnog rizika, a u drugima uopće nije obuhvaćen. Te probleme ispravlja se donošenjem Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća (12). Navedene bi direktive stoga trebalo izmijeniti kako bi se osigurala dosljednost s tom uredbom. Ovom se Direktivom donosi niz izmjena koje su potrebne radi pravne jasnoće i dosljednosti u vezi s raznim zahtjevima u pogledu digitalne operativne otpornosti koje primjenjuju financijski subjekti koji imaju odobrenje za rad i nad kojima se provodi nadzor u skladu s navedenim direktivama, a koji su potrebni pri obavljanju njihovih djelatnosti i pri pružanju usluga, čime se jamči neometano funkcioniranje unutarnjeg tržišta. Potrebno je osigurati prikladnost tih zahtjeva u odnosu na kretanja na tržištu, uz istodobno poticanje razmjernosti, posebno s obzirom na veličinu financijskih subjekata i posebne režime kojima oni podliježu, kako bi se smanjili troškovi osiguravanja usklađenosti.

(4)

U području bankarskih usluga, u Direktivi 2013/36/EU trenutačno su utvrđena samo opća pravila o internom upravljanju i odredbe o operativnom riziku koje sadržavaju zahtjeve u pogledu planova za nepredvidive situacije i planova kontinuiteta poslovanja koji implicitno služe kao osnova za nošenje s IKT rizikom. Međutim, kako bi se na eksplicitan i jasan način nosilo s IKT rizikom, zahtjeve u pogledu planova za nepredvidive situacije i planova kontinuiteta poslovanja trebalo bi izmijeniti tako da obuhvaćaju i planove kontinuiteta poslovanja i planove odgovora i oporavka koji se odnose na IKT rizik, u skladu sa zahtjevima utvrđenima u Uredbi (EU) 2022/2554. Osim toga, IKT rizik samo je implicitno uključen, kao dio operativnog rizika, u postupak nadzorne provjere i ocjene (SREP) koji provode nadležna tijela, a kriteriji za njegovu procjenu trenutačno su definirani u Smjernicama o procjeni rizika IKT-a u okviru postupka nadzorne provjere i ocjene (SREP) koje je izdalo europsko nadzorno tijelo (Europsko nadzorno tijelo za bankarstvo – EBA) osnovano Uredbom (EU) br. 1093/2010 Europskog parlamenta i Vijeća (13). Kako bi se pružila pravna jasnoća i osiguralo da tijela za nadzor banaka djelotvorno utvrđuju IKT rizik i prate upravljanje tim rizikom od strane financijskih subjekata u skladu s novim okvirom o digitalnoj operativnoj otpornosti, područje primjene SREP-a trebalo bi također izmijeniti kako bi se u njemu izričito upućivalo na zahtjeve utvrđene u Uredbi (EU) 2022/2554 i kako bi se osobito obuhvatili rizici koji su otkriveni izvješćima o značajnim IKT incidentima i rezultatima testiranja digitalne operativne otpornosti koje su financijski subjekti proveli u skladu s tom uredbom.

(5)

Digitalna operativna otpornost neophodna je za očuvanje ključnih funkcija i temeljnih linija poslovanja financijskog subjekta u slučaju njegove sanacije te time i za izbjegavanje narušavanja realnoga gospodarstva i financijskog sustava. Značajni operativni incidenti mogu narušiti kapacitet financijskog subjekta da nastavi s poslovanjem i ugroziti ciljeve sanacije. Određeni ugovorni aranžmani o upotrebi IKT usluga ključni su za osiguravanje operativnog kontinuiteta i pružanje potrebnih podataka u slučaju sanacije. Kako bi Direktiva 2014/59/EU bila usklađena s ciljevima okvira Unije za operativnu otpornost, trebalo bi je na odgovarajući način izmijeniti s ciljem osiguravanja da se informacije o operativnoj otpornosti uzmu u obzir u kontekstu planiranja sanacije i procjene mogućnosti sanacije financijskih subjekata.

(6)

U Direktivi 2014/65/EU utvrđuju se stroža pravila o IKT riziku za investicijska društva i mjesta trgovanja koja se bave algoritamskim trgovanjem. Manje detaljni zahtjevi primjenjuju se na usluge dostave podataka i na trgovinske repozitorije. Osim toga, Direktiva 2014/65/EU sadržava samo ograničena upućivanja na mjere nadzora i zaštite sustavâ za obradu podataka te na upotrebu odgovarajućih sustava, resursa i postupaka radi osiguravanja kontinuiteta i redovitosti poslovnih usluga. Nadalje, tu bi direktivu trebalo uskladiti s Uredbom (EU) 2022/2554 u pogledu kontinuiteta i redovitosti u pružanju investicijskih usluga i u obavljanju investicijskih aktivnosti, operativne otpornosti, kapaciteta sustavâ trgovanja te djelotvornosti mehanizama kontinuiteta poslovanja i upravljanja rizicima.

(7)

U Direktivi (EU) 2015/2366 utvrđena su posebna pravila o kontrolama sigurnosti i mjerama ublažavanja u području IKT-a za potrebe pribavljanja odobrenja za pružanje platnih usluga. Ta bi pravila o odobrenju trebalo izmijeniti radi njihova usklađivanja s Uredbom (EU) 2022/2554. Nadalje, kako bi se smanjilo administrativno opterećenje i izbjegli složenost i dvostruki zahtjevi u pogledu izvješćivanja, pravila o izvješćivanju o incidentima iz te direktive trebala bi se prestati primjenjivati na pružatelje platnih usluga koji su uređeni tom direktivom i koji podliježu i Uredbi (EU) 2022/2554, čime se omogućuje da se na te pružatelje platnih usluga primjenjuje jedinstven i potpuno usklađen mehanizam izvješćivanja o incidentima u pogledu svih operativnih incidenata ili sigurnosnih incidenata povezanih s plaćanjem, bez obzira na to jesu li takvi incidenti povezani s IKT-om.

(8)

Direktivama 2009/138/EZ i (EU) 2016/2341 djelomično je obuhvaćen IKT rizik u okviru njihovih općih odredaba o upravljanju i upravljanju rizicima, pri čemu se određeni zahtjevi trebaju utvrditi delegiranim aktima s posebnim upućivanjima na IKT rizik ili bez njih. Slično tome, na upravitelje alternativnih investicijskih fondova koji podliježu Direktivi 2011/61/EU i društva za upravljanje koja podliježu Direktivi 2009/65/EZ primjenjuju se tek vrlo općenita pravila. Te bi direktive stoga trebalo uskladiti sa zahtjevima utvrđenima u Uredbi (EU) 2022/2554 u pogledu upravljanja IKT sustavima i alatima.

(9)

U mnogim slučajevima daljnji zahtjevi u pogledu IKT rizika već su utvrđeni u delegiranim i provedbenim aktima koji su doneseni na temelju nacrta regulatornih tehničkih standarda i nacrta provedbenih tehničkih standarda koje je izradilo nadležno europsko nadzorno tijelo. Budući da odredbe Uredbe (EU) 2022/2554 sada čine pravni okvir za IKT rizik u financijskom sektoru, trebalo bi izmijeniti određena ovlaštenja za donošenje delegiranih i provedbenih akata u direktivama 2009/65/EZ, 2009/138/EZ, 2011/61/EU i 2014/65/EU kako bi se iz područja primjene tih ovlaštenja uklonile odredbe o IKT riziku.

(10)

Kako bi se osigurala dosljedna primjena novog okvira o digitalnoj operativnu otpornosti za financijski sektor, države članice trebale bi primjenjivati odredbe nacionalnog prava kojima se prenosi ova Direktiva od datuma početka primjene Uredbe (EU) 2022/2554.

(11)

Direktive 2009/65/EZ, 2009/138/EZ, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 i (EU) 2016/2341 donesene su na temelju članka 53. stavka 1. ili članka 114. Ugovora o funkcioniranju Europske unije (UFEU). Izmjene iz ove Direktive uključene su u jedan zakonodavni akt zbog međusobne povezanosti predmeta i ciljeva tih izmjena. Slijedom toga, ovu Direktivu trebalo bi donijeti i na temelju članka 53. stavka 1. i na temelju članka 114. UFEU-a.

(12)

S obzirom na to da ciljeve ove Direktive ne mogu dostatno ostvariti države članice jer podrazumijevaju usklađivanja zahtjeva koji su već sadržani u direktivama, nego se zbog opsega i učinaka djelovanja oni na bolji način mogu ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Direktiva ne prelazi ono što je potrebno za ostvarivanje tih ciljeva.

(13)

U skladu sa Zajedničkom političkom izjavom država članica i Komisije od 28. rujna 2011. o dokumentima s objašnjenjima (14), države članice obvezale su se da će u opravdanim slučajevima uz obavijest o svojim mjerama za prenošenje priložiti jedan ili više dokumenata u kojima se objašnjava veza između sastavnih dijelova direktive i odgovarajućih dijelova nacionalnih instrumenata za prenošenje. U pogledu ove Direktive, zakonodavac smatra opravdanim dostavljanje takvih dokumenata,

1.

u stavku 1. drugom podstavku točka (a) zamjenjuje se sljedećim:

(*1)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1.).”;"

2.

stavak 3. zamjenjuje se sljedećim:

„3.   Ne dovodeći u pitanje članak 116., Komisija donosi, putem delegiranih akata u skladu s člankom 112.a, mjere kojima se utvrđuju:

1.

u članku 41. stavak 4. zamjenjuje se sljedećim:

„4.   Društva za osiguranje i društva za reosiguranje poduzimaju razumne mjere kako bi osigurala kontinuirano i redovito obavljanje svojih djelatnosti, uključujući izradu planova za nepredvidive situacije. U tu svrhu društva se koriste primjerenim i razmjernim sustavima, resursima i postupcima te osobito uspostavljaju mrežne i informacijske sustave i upravljaju njima u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*2).

(*2)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1.).”;"

2.

u članku 50. stavku 1. točke (a) i (b) zamjenjuju se sljedećim:

1.

u članku 65. stavku 3. točki (a) podtočka vi. zamjenjuje se sljedećim:

(*4)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1.).”;"

2.

u članku 74. stavku 1. prvi podstavak zamjenjuje se sljedećim:

„Institucije moraju imati robusne sustave upravljanja koji uključuju jasnu organizacijsku strukturu s dobro definiranim, transparentnim i dosljednim linijama odgovornosti, učinkovitim procesima za utvrđivanje i praćenje rizika, upravljanje njima i izvješćivanje o rizicima kojima jesu ili bi mogle biti izložene, odgovarajuće mehanizme unutarnje kontrole, uključujući dobre administrativne i računovodstvene postupke, mrežne i informacijske sustave koji su uspostavljeni i kojima se upravlja u skladu s Uredbom (EU) 2022/2554 te politike i prakse u pogledu primitaka koje su dosljedne s dobrim i učinkovitim upravljanjem rizicima te ga promiču.”;

3.

u članku 85. stavak 2. zamjenjuje se sljedećim:

„2.   Nadležna tijela osiguravaju da institucije imaju odgovarajuće politike i planove za nepredvidive situacije i politike i planove kontinuiteta poslovanja, uključujući politike i planove kontinuiteta poslovanja u području IKT-a i planove odgovora i oporavka u području IKT-a za tehnologiju kojom se koriste za priopćavanje informacija, te da su ti planovi izrađeni i testirani i da se njima upravlja u skladu s člankom 11. Uredbe (EU) 2022/2554 kako bi institucije mogle nastaviti poslovati u slučaju ozbiljnog poremećaja poslovanja i ograničiti gubitke do kojih je došlo uslijed takvog poremećaja.”;

4.

u članku 97. stavku 1. dodaje se sljedeća točka:

1.

članak 10. mijenja se kako slijedi:

2.

Prilog se mijenja kako slijedi:

1.

članak 16. mijenja se kako slijedi:

2.

članak 17. mijenja se kako slijedi:

3.

u članku 47. stavak 1. mijenja se kako slijedi:

4.

članak 48. mijenja se kako slijedi:

1.

u članku 3. točka (j) zamjenjuje se sljedećim:

2.

članak 5. stavak 1. mijenja se kako slijedi:

3.

u članku 19. stavku 6. drugi podstavak zamjenjuje se sljedećim:

„Eksternalizacija važnih operativnih funkcija, među ostalim i IKT sustava, ne smije se provesti na način kojim se narušavaju kvaliteta unutarnjih kontrola institucije za platni promet i sposobnost nadležnih tijela da nadziru i prate ispunjava li institucija za platni promet sve obveze utvrđene ovom Direktivom.”;

4.

u članku 95. stavku 1. dodaje se sljedeći podstavak:

„Prvim podstavkom ne dovodi se u pitanje primjena poglavlja II. Uredbe (EU) 2022/2554 na:

5.

u članku 96. dodaje se sljedeći stavak:

„7.   Države članice osiguravaju da se stavci od 1. do 5. ovog članka ne primjenjuju na:

6.

u članku 98. stavak 5. zamjenjuje se sljedećim:

„5.   U skladu s člankom 10. Uredbe (EU) br. 1093/2010 EBA preispituje i, prema potrebi, redovito ažurira regulatorne tehničke standarde kako bi se, među ostalim, uzeli u obzir inovacije i tehnološki razvoj te odredbe poglavlja II. Uredbe (EU) 2022/2554.”.