Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011

(1)

U digitalnom se dobu složeni sustavi koji služe svakodnevnim aktivnostima temelje na informacijskoj i komunikacijskoj tehnologiji (IKT). Ona je zaslužna za funkcioniranje naših gospodarstava u ključnim sektorima, uključujući financijski sektor, i unapređuje funkcioniranja unutarnjeg tržišta. Sve veća digitalizacija i međusobna povezanost povećavaju i IKT rizik, što društvo u cjelini, a posebno financijski sustav, čini osjetljivijim na kiberprijetnje ili poremećaje u području IKT-a. Iako su sveprisutna upotreba sustava IKT-a i visok stupanj digitalizacije i povezivosti u današnje vrijeme ključne značajke aktivnosti financijskih subjekata u Uniji, njihovu digitalnu otpornost tek treba ojačati i integrirati u njihove šire operativne okvire.

(2)

Upotreba IKT-a posljednjih je desetljeća u toj mjeri stekla središnju ulogu u pružanju financijskih usluga da je sada izuzetno važna za uobičajeno dnevno poslovanje svih financijskih subjekata. Digitalizacijom su sada obuhvaćena, na primjer, plaćanja, čiji se gotovinski ili papirnati oblik sve više zamjenjuje digitalnim rješenjima, te poravnanje i namira vrijednosnih papira, elektroničko i algoritamsko trgovanje, poslovi kreditiranja i financiranja, uzajamno kreditiranje, kreditni rejting, upravljanje potraživanjima i poslovi pozadinskih ureda. Upotreba IKT-a preobrazila je i sektor osiguranja, od pojave posrednika u osiguranju koji na temelju tehnologija u sektoru osiguranja (InsurTech) nude svoje usluge putem interneta do digitalnog preuzimanja rizika u osiguranju. Ne samo da su financije postale uglavnom digitalne u cijelom sektoru, nego je digitalizacija produbila i međusobne povezanosti i ovisnosti unutar financijskog sektora te u odnosu na infrastrukture trećih strana i treće strane koje su pružatelji usluga.

(3)

U izvješću o sistemskom kiberriziku (2020.) Europski odbor za sistemske rizike (ESRB) potvrdio je da bi postojeći visoki stupanj međusobne povezanosti financijskih subjekata, financijskih tržišta i infrastruktura financijskog tržišta, a osobito međuovisnosti njihovih sustava IKT-a, mogao predstavljati sistemsku ranjivost jer bi se kiberincidenti mogli brzo proširiti s bilo kojeg od oko 22 000 financijskih subjekata u Uniji na cijeli financijski sustav, neovisno o zemljopisnim granicama. Ozbiljne povrede koje se dogode u području IKT-a u financijskom sektoru ne utječu samo na izolirane financijske subjekte. One olakšavaju i širenje lokaliziranih ranjivosti po svim kanalima financijskog prijenosa i mogle bi imati negativne posljedice na stabilnost financijskog sustava Unije, kao što su pad likvidnosti i opći gubitak povjerenja i pouzdanja u financijska tržišta.

(4)

U proteklih nekoliko godina IKT rizik privlači pozornost međunarodnih, Unijinih i nacionalnih oblikovatelja politika, regulatornih tijela i tijela za normizaciju koji nastoje unaprijediti digitalnu otpornost, utvrditi standarde i koordinirati regulatorni ili nadzorni rad. Na međunarodnoj razini cilj je Bazelskog odbora za nadzor banaka, Odbora za platne i tržišne infrastrukture, Odbora za financijsku stabilnost, Instituta za financijsku stabilnost te skupina G-7 i G-20 pružiti nadležnim tijelima i tržišnim operaterima u različitim jurisdikcijama alate za poboljšanje otpornosti njihovih financijskih sustava. Taj se rad temelji i na potrebi za uzimanjem u obzir IKT rizika u kontekstu snažno povezanog globalnog financijskog sustava i postizanja veće usklađenosti relevantnih najboljih praksi.

(5)

Unatoč Unijinim i nacionalnim ciljanim politikama i zakonodavnim inicijativama IKT rizik i dalje je problem za operativnu otpornost, uspješnost i stabilnost financijskog sustava Unije. Reformama koje su uslijedile nakon financijske krize iz 2008. prvenstveno je povećana financijska otpornost financijskog sektora Unije, a njihov cilj bile su zaštita konkurentnosti i stabilnosti Unije s gospodarskog i bonitetnog aspekta te aspekta ponašanja na tržištu. Iako su sigurnost IKT-a i digitalna otpornost dio operativnog rizika, nakon financijske krize nije im posvećena prevelika pozornost u regulatornim planovima pa su se razvile samo u nekim područjima političkog i regulatornog okruženja Unije za financijske usluge ili samo u nekoliko država članica.

(6)

U Komunikaciji od 8. ožujka 2018. pod naslovom „Akcijski plan za financijske tehnologije: za konkurentniji i inovativniji europski financijski sektor” Komisija je istaknula da je izuzetno važno jačati otpornost financijskog sektora Unije, među ostalim i u operativnom smislu, kako bi se osigurali njegova tehnološka sigurnost i dobro funkcioniranje, brz oporavak od povreda i incidenata u području IKT-a, a time u konačnici omogućilo djelotvorno i neometano pružanje financijskih usluga u cijeloj Uniji, među ostalim i u stresnim okolnostima, uz istodobno očuvanje povjerenja potrošača i povjerenja u tržište.

(7)

U travnju 2019. europsko nadzorno tijelo (Europsko nadzorno tijelo za bankarstvo, EBA) osnovano Uredbom (EU) br. 1093/2010 Europskog parlamenta i Vijeća (4), europsko nadzorno tijelo (Europsko nadzorno tijelo za osiguranje i strukovno mirovinsko osiguranje), („EIOPA”) osnovano Uredbom (EU) br. 1094/2010 Europskog parlamenta i Vijeća (5) i Europsko nadzorno tijelo (Europsko nadzorno tijelo za vrijednosne papire i tržišta kapitala, „ESMA”) osnovano Uredbom (EU) br. 1095/2010 Europskog parlamenta i Vijeća (6) (zajedno poznata kao „europska nadzorna tijela”) zajednički su objavili tehnički savjet u kojem se poziva na usklađen pristup IKT riziku u području financija i preporučuje razmjerno jačanje digitalne operativne otpornosti industrije financijskih usluga putem sektorske inicijative Unije.

(8)

Financijski sektor Unije uređen je jedinstvenim pravilima i Europskim sustavom financijskog nadzora. Unatoč tome, odredbe o digitalnoj operativnoj otpornosti i sigurnosti IKT-a još nisu potpuno i dosljedno usklađene iako je digitalna operativna otpornost ključna za financijsku stabilnost i cjelovitost tržišta u digitalnom dobu i nije manje važna od, na primjer, zajedničkih bonitetnih standarda ili standarda ponašanja na tržištu. Stoga bi trebalo razviti jedinstvena pravila i sustav nadzora kako bi se njima obuhvatila i digitalna operativna otpornost, i to jačanjem mandata nadležnih tijela kako bi mogla nadzirati upravljanje IKT rizikom u financijskom sektoru radi zaštite cjelovitosti i učinkovitosti unutarnjeg tržišta i olakšavanja njegova urednog funkcioniranja.

(9)

Zakonodavne neusklađenosti i neujednačeni nacionalni regulatorni ili nadzorni pristupi u pogledu IKT rizika prepreka su funkcioniranju unutarnjeg tržišta za financijske usluge i onemogućavaju neometano ostvarivanje slobode poslovnog nastana i pružanje usluga za financijske subjekte koji posluju prekogranično. Tržišno natjecanje među financijskim subjektima iste vrste koji posluju u različitim državama članicama moglo bi također biti narušeno. To je posebno slučaj u područjima u kojima je usklađivanje na razini Unije vrlo ograničeno, kao što je testiranje digitalne operativne otpornosti, ili ne postoji, kao što je praćenje IKT rizika povezanog s trećim stranama. Neusklađenosti koje proizlaze iz predviđenih kretanja na nacionalnoj razini mogle bi stvoriti dodatne prepreke funkcioniranju unutarnjeg tržišta na štetu sudionika na tržištu i financijske stabilnosti.

(10)

Budući da se odredbe povezane s IKT rizicima do današnjeg vremena samo djelomično razmatralo na razini Unije, postoje praznine ili preklapanja u važnim područjima, kao što su izvješćivanje o IKT incidentima i testiranje digitalne operativne otpornosti, te nedosljednosti koje proizlaze iz novih međusobno različitih nacionalnih pravila ili troškovno neučinkovite primjene preklapajućih pravila. To osobito šteti korisnicima koji se intenzivno koriste IKT-om, poput financijskog sektora, jer tehnološki rizici ne poznaju granice, a financijski sektor nudi širok spektar prekograničnih usluga unutar i izvan Unije. Pojedinačni financijski subjekti koji posluju prekogranično ili imaju nekoliko odobrenja za rad (npr. financijski subjekt može imati odobrenje za rad kao banka, kao investicijsko društvo i kao institucija za platni promet, pri čemu svako odobrenje izdaje drugo nadležno tijelo u jednoj ili više država članica) izloženi su operativnim rizicima pri samostalnom i dosljednom troškovno učinkovitom nošenju s IKT rizikom i ublažavanju negativnih učinaka IKT incidenata.

(11)

Budući da jedinstvena pravila nisu popraćena sveobuhvatnim okvirom za IKT ili operativne rizike, potrebno je dodatno uskladiti ključne zahtjeve u pogledu digitalne operativne otpornosti za sve financijske subjekte. Razvoj sposobnosti u području IKT-a i ukupna otpornost financijskih subjekata, na temelju tih ključnih zahtjeva, s ciljem postizanja otpornosti na operativne ispade, pomogli bi očuvanju stabilnosti i cjelovitosti financijskih tržišta u Uniji, te bi tako doprinijeli osiguranju visoke razine zaštite ulagatelja i potrošača u Uniji. Budući da je cilj ove Uredbe doprinos neometanom funkcioniranju unutarnjeg tržišta, ona bi se trebala temeljiti na odredbama članka 114. Ugovora o funkcioniranju Europske unije (UFEU) kako se tumače u skladu s dosljednom sudskom praksom Suda Europske unije (Sud).

(12)

Cilj je ove Uredbe konsolidirati i unaprijediti zahtjeve u pogledu IKT rizika kao dio zahtjeva u pogledu operativnog rizika koji su se dosad zasebno razmatrali u različitim pravnim aktima Unije. Iako su tim aktima obuhvaćene glavne kategorije financijskih rizika (npr. kreditni rizik, tržišni rizik, kreditni rizik druge ugovorne strane i rizik likvidnosti, rizik ponašanja na tržištu), njima u vrijeme njihova donošenja nisu sveobuhvatno obrađene sve komponente operativne otpornosti. Pravila za operativne rizike koja su dodatno razrađena u tim pravnim aktima Unije često su se temeljila na tradicionalnom kvantitativnom pristupu nošenja s rizikom (to jest određivanje kapitalnog zahtjeva za pokrivanje IKT rizika) te nisu bila ciljana kvalitativna pravila za sposobnosti za zaštitu, otkrivanje, ograničenje, oporavak i popravak u slučaju IKT incidenata ili za sposobnosti za izvješćivanje i digitalno testiranje. Ti akti prvenstveno su se odnosili na temeljna pravila o bonitetnom nadzoru, cjelovitosti tržišta ili ponašanju na njemu te na ažuriranje tih pravila. Konsolidiranjem i ažuriranjem različitih pravila o IKT rizicima, sve odredbe koje se odnose na digitalne rizike u financijskom sektoru trebale bi se prvi put dosljedno objediniti u jedinstveni zakonodavni akt. Stoga se ovom Uredbom popunjavaju praznine ili uklanjaju nedosljednosti u nekim prethodnim pravnim aktima, među ostalim u vezi s terminologijom koja se u njima upotrebljava, te se izričito upućuje na IKT rizik putem ciljanih pravila o sposobnostima za upravljanje IKT rizicima, izvješćivanju o incidentima, testiranju operativne otpornosti i praćenju IKT rizika povezanog s trećim stranama. Ovom bi se Uredbom stoga trebala podići i svijest o IKT rizicima i uvažiti činjenica da IKT incidenti i pomanjkanje operativne otpornosti mogu ugroziti stabilnost financijskih subjekata. Konsolidiranjem i ažuriranjem različitih pravila o IKT rizicima, sve odredbe koje se odnose na digitalne rizike u financijskom sektoru trebale bi se prvi put dosljedno objediniti u jedinstveni zakonodavni akt. Stoga se ovom Uredbom popunjavaju praznine ili uklanjaju nedosljednosti u nekim prethodnim pravnim aktima, među ostalim u vezi s terminologijom koja se u njima upotrebljava, te se izričito upućuje na IKT rizik putem ciljanih pravila o sposobnostima za upravljanje IKT rizicima, izvješćivanju o incidentima, testiranju operativne otpornosti i praćenju IKT rizika povezanog s trećim stranama. Ovom bi se Uredbom stoga trebala podići i svijest o IKT rizicima i uvažiti činjenica da IKT incidenti i pomanjkanje operativne otpornosti mogu ugroziti stabilnost financijskih subjekata.

(13)

Financijski subjekti trebali bi u nošenju s IKT rizikom slijediti isti pristup i ista pravila koja se temelje na načelima, pri čemu bi uzimali u obzir njihovu veličinu i ukupni profil rizičnosti te prirodu, opseg i složenost svojih usluga, aktivnosti i poslovanja. Dosljednost doprinosi povećanju povjerenja u financijski sustav te očuvanju njegove stabilnosti, osobito u razdoblju izrazitog oslanjanja na sustave, platforme i infrastrukture IKT-a, što podrazumijeva povećani digitalni rizik. Pridržavanjem osnovne kiberhigijene trebalo bi se ujedno izbjeći nastajanje velikih troškova za gospodarstvo svođenjem učinka i troškova poremećaja u radu IKT-a na najmanju moguću mjeru.

(14)

Uredbom se doprinosi smanjenju regulatorne složenosti, promiče konvergencija nadzora, povećava pravna sigurnost i istodobno doprinosi ograničavanju troškova osiguravanja usklađenosti, osobito financijskih subjekata koji posluju prekogranično, te smanjenju narušavanja tržišnog natjecanja. Odabir uredbe za uspostavu zajedničkog okvira za digitalnu operativnu otpornost financijskih subjekata stoga je najprimjereniji način za jamčenje homogene i dosljedne primjene svih komponenti upravljanja IKT rizicima u financijskom sektoru Unije.

(15)

Direktiva (EU) 2016/1148 Europskog parlamenta i Vijeća (7) bila je prvi horizontalni okvir za kibersigurnost donesen na razini Unije, koji se primjenjuje i na tri vrste financijskih subjekata, to jest kreditne institucije, mjesta trgovanja i središnje druge ugovorne strane. Međutim, s obzirom na to da se Direktivom (EU) 2016/1148 utvrđuje mehanizam identifikacije operatora ključnih usluga na nacionalnoj razini, države članice identificirale su samo određene kreditne institucije, mjesta trgovanja i središnje druge ugovorne strane koje su u praksi obuhvaćene njezinim područjem primjene i stoga su dužne ispunjavati zahtjeve u pogledu sigurnosti IKT-a i obavješćivanja o incidentima koji su u njoj utvrđeni. Direktivom (EU) 2022/2555 Europskog parlamenta i Vijeća (8) utvrđuje se jedinstveni kriterij za određivanje subjekata koji su obuhvaćeni njezinim područjem primjene (pravilo o maksimalnoj veličini), dok su tri vrste financijskih subjekata i dalje zadržane u području njezine primjene.

(16)

Međutim, budući da se ovom Uredbom podiže razina usklađenosti različitih komponenti digitalne otpornosti tako što se uvode zahtjevi u pogledu upravljanja IKT rizicima i izvješćivanja o IKT incidentima koji su stroži od onih utvrđenih u postojećem pravu Unije o financijskim uslugama, tom višom razinom poboljšava se i usklađenost u usporedbi sa zahtjevima utvrđenima u Direktivi (EU) 2022/2555 Stoga je ova Uredba lex specialis u odnosu na Direktivu (EU) 2022/2555. Istodobno je iznimno važno očuvati čvrstu vezu između financijskog sektora i horizontalnog okvira Unije za kibersigurnost, kako je trenutačno utvrđen u Direktivi (EU) 2022/2555, kako bi se osigurala dosljednost sa strategijama kibersigurnosti koje su države članice donijele i omogućilo informiranje financijskih nadzornih tijela o kiberincidentima koji utječu na druge sektore obuhvaćene tom direktivom.

(17)

U skladu s člankom 4. stavkom 2. Ugovora o Europskoj uniji i ne dovodeći u pitanje sudsko preispitivanje koje provodi Sud, ova Uredba ne bi trebala utjecati na odgovornost država članica u pogledu temeljnih državnih funkcija koje se odnose na javnu sigurnost, obranu i zaštitu nacionalne sigurnosti, na primjer u pogledu pružanja informacija koje bi bilo protivno zaštiti nacionalne sigurnosti.

(18)

Kako bi se omogućilo međusektorsko učenje i djelotvorno iskoristila iskustva iz drugih sektora pri suočavanju s kiberprijetnjama, financijski subjekti iz Direktive (EU) 2022/2555 trebali bi ostati dio „ekosustava” te direktive (na primjer skupina za suradnju i timovi za odgovor na računalne sigurnosne incidente (CSIRT-ovi)). Europska nadzorna tijela i nacionalna nadležna tijela trebala bi moći sudjelovati u raspravama o strateškim politikama i tehničkom radu Skupine za suradnju iz te direktive, razmjenjivati informacije i dodatno surađivati s jedinstvenim kontaktnim točkama imenovanima ili uspostavljenima u skladu s tom direktivom. Nadležna tijela iz ove Uredbe trebala bi se također savjetovati i surađivati s CSIRT-ovima. Nadležna tijela trebala bi također moći zatražiti tehničke savjete od nadležnih tijela imenovanih ili uspostavljenih u skladu s Direktivom (EU) 2022/2555 i uspostaviti aranžmane za suradnju kojima se nastoje osigurati djelotvorni i brzi koordinacijski mehanizmi.

(19)

S obzirom na snažnu povezanost digitalne i fizičke otpornosti financijskih subjekata, u ovoj Uredbi i u Direktivi (EU) 2022/2557 Europskog parlamenta i Vijeća (9) potreban je dosljedan pristup u pogledu otpornosti kritičnih subjekata. S obzirom na to da se obvezama upravljanja IKT rizicima i obvezama izvješćivanja o IKT rizicima koje su obuhvaćene ovom Uredbom na sveobuhvatan način pristupa fizičkoj otpornosti financijskih subjekata, obveze utvrđene u poglavljima III. i IV. Direktive (EU) 2022/2557 ne bi se trebale primjenjivati na financijske subjekte obuhvaćene područjem primjene te direktive.

(20)

Pružatelji usluga računalstva u oblaku jedna su od kategorija digitalne infrastrukture obuhvaćene Direktivom (EU) 2022/2555. Nadzorni okvir Unije („nadzorni okvir”) uspostavljen ovom Uredbom primjenjuje se na sve ključne treće strane pružatelje IKT usluga, uključujući pružatelje usluga računalstva u oblaku koji financijskim subjektima pružaju IKT usluge, te bi ga trebalo smatrati dopunom nadzoru koji se provodi na temelju Direktive (EU) 2022/2555. Osim toga, nadzornim okvirom uspostavljenim ovom Uredbom trebalo bi obuhvatiti pružatelje usluga računalstva u oblaku jer ne postoji horizontalni okvir Unije o uspostavi tijela za digitalni nadzor.

(21)

Kako bi se očuvala potpuna kontrola nad IKT rizikom, financijski subjekti moraju imati sveobuhvatne kapacitete kojima se omogućuje snažno i djelotvorno upravljanje IKT rizicima, kao i posebne mehanizme i politike za postupanje u vezi sa svim IKT incidentima i izvješćivanje o značajnim IKT incidentima. Isto tako, financijski subjekti trebali bi uspostaviti politike za testiranje sustava, kontrola i procesa u području IKT-a, kao i za upravljanje IKT rizikom povezanim s trećim stranama. Trebalo bi povećati polaznu digitalnu operativnu otpornost financijskih subjekata te istodobno također omogućiti razmjernu primjenu zahtjevâ za određene financijske subjekte, posebno mikropoduzeća, kao i za financijske subjekte koji podliježu pojednostavnjenom okviru za upravljanje IKT rizicima. Kako bi se olakšao učinkovit nadzor institucija za strukovno mirovinsko osiguranje koji je razmjeran i kojim se pristupa rješavanju potrebe za smanjenjem administrativnog opterećenja nadležnih tijela, relevantnim nacionalnim nadzornim aranžmanima u pogledu takvih financijskih subjekata trebalo bi uzeti u obzir njihovu veličinu i ukupni profil rizičnosti te prirodu, opseg i složenost njihovih usluga, aktivnosti i poslovanja, čak i ako su premašeni relevantni pragovi utvrđeni u članku 5. Direktive (EU) 2016/2341 Europskog parlamenta i Vijeća (10). Posebno, aktivnosti nadzora trebale bi se u prvom redu usredotočiti na potrebu za nošenjem s ozbiljnim rizicima povezanima s upravljanjem IKT rizicima određenog subjekta.

Nadležna tijela također bi trebala zadržati oprezan, ali razmjeran pristup u vezi s nadzorom institucija za strukovno mirovinsko osiguranje koje, u skladu s člankom 31. Direktive 2016/2341, eksternaliziraju znatan dio svojih osnovnih aktivnosti, kao što su upravljanje imovinom, aktuarski izračuni, računovodstvo i upravljanje podacima.

(22)

Pragovi i taksonomije za izvješćivanje o IKT incidentima znatno se razlikuju na nacionalnoj razini. Iako bi se zajednički dogovor mogao postići na temelju relevantnog rada Agencije Europske unije za kibersigurnost (ENISA) osnovane Uredbom (EU) 2019/881 Europskog parlamenta i Vijeća (11) i Skupine za suradnju iz Direktive (EU) 2022/2555, i dalje postoje ili se mogu pojaviti različiti pristupi utvrđivanju pragova i primjeni taksonomija za preostale financijske subjekte. Zbog tih razlika financijski subjekti moraju ispuniti višestruke zahtjeve, osobito kad posluju u nekoliko država članica i kad su dio financijske grupe. Štoviše, takve razlike mogu ometati izradu dodatnih ujednačenih ili centraliziranih mehanizama Unije kojima bi se ubrzao proces izvješćivanja te podržala brza i neometana razmjena informacija među nadležnim tijelima, što je ključno za nošenje s IKT rizikom u slučaju opsežnih napada s mogućim sistemskim posljedicama.

(23)

Kako bi se smanjilo administrativno opterećenje i moguće udvostručivanje obveza izvješćivanja za određene financijske subjekte, zahtjev u vezi s izvješćivanjem o incidentima na temelju Direktive (EU) 2015/2366 Europskog parlamenta i Vijeća (12) trebao bi se prestati primjenjivati na pružatelje platnih usluga koji su obuhvaćeni područjem primjene ove Uredbe. Slijedom toga, kreditne institucije, institucije za elektronički novac, institucije za platni promet i pružatelji usluga pružanja informacija o računu, kako je navedeno u članku 33. stavku 1. te direktive, trebali bi od datuma primjene ove Uredbe izvješćivati, na temelju ove Uredbe, o svim operativnim ili sigurnosnim incidentima povezanima s plaćanjem o kojima se prethodno izvješćivalo na temelju te direktive, neovisno o tome jesu li takvi incidenti povezani s IKT-om.

(24)

Kako bi se nadležnim tijelima omogućilo da ispune nadzorne zadaće dobivanjem potpunog uvida u prirodu, učestalost, značaj i učinak IKT incidenata i da bi se unaprijedila razmjena informacija među relevantnim tijelima javne vlasti, uključujući tijela za izvršavanje zakonodavstva i sanacijska tijela, ovom Uredbom trebalo bi utvrditi pouzdan sustav izvješćivanja o IKT incidentima, pri čemu se relevantnim zahtjevima popunjavaju postojeće praznine u pravu o financijskim uslugama i uklanjaju postojeća preklapanja i udvostručavanja radi smanjenja troškova. Neophodno je uskladiti sustav izvješćivanja o IKT incidentima tako da se sve financijske subjekte obveže da svojim nadležnim tijelima podnose izvješća putem jedinstvenog racionaliziranog okvira kako je utvrđen u ovoj Uredbi. Osim toga, europska nadzorna tijela trebalo bi ovlastiti za daljnju razradu relevantnih elemenata okvira za izvješćivanje o IKT incidentima, kao što su taksonomija, rokovi, skupovi podataka, obrasci i primjenjivi pragovi. Kako bi se osigurala potpuna usklađenost s Direktivom (EU) 2022/2555, financijskim subjektima trebalo bi omogućiti da na dobrovoljnoj osnovi obavijeste relevantno nadležno tijelo o ozbiljnim kiberprijetnjama kad smatraju da je kiberprijetnja relevantna za financijski sustav, korisnike usluga ili klijente.

(25)

U određenim financijskim podsektorima razvijeni su zahtjevi za testiranje digitalne operativne otpornosti kojima se utvrđuju okviri koji nisu uvijek potpuno usklađeni. To dovodi do mogućeg udvostručavanja troškova za prekogranične financijske subjekte, a uzajamno priznavanje rezultata testiranja digitalne operativne otpornosti čini složenim, što pak može dovesti do fragmentiranja unutarnjeg tržišta.

(26)

Osim toga, ako testiranje IKT-a nije propisano, ranjivosti ostaju neotkrivene i imaju za posljedicu izlaganje financijskog subjekta IKT riziku te, u konačnici, dovode do većeg rizika za stabilnost i cjelovitost financijskog sektora. Bez intervencije Unije testiranje digitalne operativne otpornosti i dalje bi bilo neujednačeno i ne bi bilo sustava uzajamnog priznavanja rezultata testiranja IKT-a u različitim jurisdikcijama. Osim toga, s obzirom na to da nije vjerojatno da bi drugi financijski podsektori u relevantnom opsegu usvojili programe testiranja, propustili bi potencijalne koristi okvira za testiranje, kao što su otkrivanje ranjivosti i rizika u području IKT-a i testiranje obrambenih sposobnosti i kontinuiteta poslovanja, kojim se doprinosi povećanju povjerenja potrošača, dobavljača i poslovnih partnera. Kako bi se ta preklapanja, razlike i odstupanja uklonili, potrebno je utvrditi pravila za koordinirani režim testiranja i time olakšati uzajamno priznavanje naprednog testiranja za financijske subjekte koji ispunjavaju kriterije utvrđene u ovoj Uredbi.

(27)

Oslanjanje financijskih subjekata na upotrebu IKT usluga djelomično je potaknuto njihovom potrebom da se prilagode novom konkurentnom digitalnom globalnom gospodarstvu, da povećaju učinkovitost svojeg poslovanja i odgovore na potražnju potrošača. Priroda i opseg tog oslanjanja neprestano su se mijenjali proteklih godina, što je dovelo do smanjenja troškova financijskog posredovanja te omogućilo širenje i skalabilnost poslovanja pri uvođenju financijskih aktivnosti, ali i ponudu širokog spektra alata IKT-a za upravljanje složenim unutarnjim procesima.

(28)

Široka upotreba IKT usluga očituje se u složenim ugovornim aranžmanima, pri čemu financijski subjekti često nailaze na poteškoće u postizanju dogovora prilikom pregovaranja o ugovornim uvjetima koji su prilagođeni bonitetnim standardima ili drugim regulatornim zahtjevima kojima financijski subjekti podliježu, ili u ostvarivanju određenih prava, kao što su prava pristupa ili revizije, čak i kad su ta prava dio njihovih ugovornih aranžmana. Štoviše, mnogim se od tih ugovornih aranžmana ne predviđaju dostatne mjere zaštite kojima bi se omogućilo cjelovito praćenje podugovaranja, čime se financijskom subjektu uskraćuje mogućnost procjene povezanih rizika. Osim toga, s obzirom na to da treće strane pružatelji IKT usluga često pružaju standardizirane usluge različitim vrstama klijenata, takvi ugovorni aranžmani nisu uvijek odgovarajuće prilagođeni pojedinačnim ili posebnim potrebama subjekata u financijskom sektoru.

(29)

Iako pravo Unije o financijskim uslugama sadržava određena opća pravila o eksternalizaciji, praćenje ugovorne dimenzije nije u potpunosti ugrađeno u pravo Unije. Budući da ne postoje jasni i specijalizirani standardi Unije koji bi se primjenjivali na ugovorne aranžmane sklopljene s trećim stranama pružateljima IKT usluga, vanjski izvor IKT rizika nije sveobuhvatno obrađen. Stoga je potrebno utvrditi određena ključna načela za usmjeravanje financijskih subjekata u upravljanju IKT rizikom povezanim s trećim stranama, koja su od posebne važnosti kad se financijski subjekti oslanjaju na treće strane pružatelje IKT usluga kako bi poduprli svoje ključne ili važne funkcije. Ta bi načela trebala biti popraćena skupom temeljnih ugovornih prava u odnosu na nekoliko elemenata u izvršenju i raskidu ugovornih aranžmana s ciljem pružanja određenih minimalnih zaštitnih mjera kojima bi se ojačala sposobnost financijskih subjekata da djelotvorno prate svaki IKT rizik koji se pojavljuje na razini trećih strana pružatelja usluga. Tim se načelima nadopunjuje sektorsko pravo koje se primjenjuje na eksternalizaciju.

(30)

Trenutačno je očito određeno pomanjkanje homogenosti i konvergencije u pogledu praćenja IKT rizika povezanog s trećim stranama i ovisnosti o trećim stranama u području IKT-a. Unatoč- naporima za rješavanje pitanja eksternalizacije, kao što su Smjernice EBA-e o eksternalizaciji iz 2019. i Smjernice ESMA-e za eksternalizaciju usluga računalstva u oblaku iz 2021., šire pitanje sprečavanja sistemskog rizika koji bi se mogao pojaviti zbog izloženosti financijskog sektora ograničenom broju ključnih trećih strana pružatelja IKT usluga nije dostatno obrađeno u pravu Unije. Pomanjkanje pravila na razini Unije dodatno je naglašeno nepostojanjem nacionalnih pravila o ovlastima i alatima koji bi financijskim nadzornim tijelima omogućili bolje razumijevanje ovisnosti o trećim stranama u području IKT-a i primjereno praćenje rizika koji proizlaze iz koncentracije ovisnosti o trećim stranama u području IKT-a.

(31)

Uzimajući u obzir mogući sistemski rizik koji prati sve češću praksu eksternalizacije poslova i koncentraciju IKT usluga trećih strana te vodeći računa o nedostatnosti nacionalnih mehanizama u osiguravanju odgovarajućih alata financijskim nadzornim tijelima za kvantificiranje, kvalificiranje i otklanjanje posljedica IKT rizika koji nastaje kod ključnih trećih strana pružatelja IKT usluga, potrebno je uspostaviti odgovarajući nadzorni okvir kojim se omogućuje kontinuirano praćenje aktivnosti trećih strana pružatelja IKT usluga koji su ključne treće strane pružatelji IKT usluga financijskim subjektima, osiguravajući pritom povjerljivost i sigurnost klijenata koji nisu financijski subjekti. Iako pružanje IKT usluga unutar grupe podrazumijeva posebne rizike i koristi, ono se ne bi trebalo automatski smatrati manje rizičnim od pružanja IKT usluga od strane pružatelja izvan financijske grupe te bi stoga trebalo podlijegati istom regulatornom okviru. Međutim, ako se IKT usluge pružaju unutar iste financijske grupe, financijski subjekti mogli bi imati višu razinu kontrole nad pružateljima unutar grupe, što bi trebalo uzeti u obzir u ukupnoj procjeni rizika.

(32)

Budući da rizik IKT-a postaje sve složeniji i sofisticiraniji, dobre mjere za otkrivanje i sprečavanje IKT rizika u velikoj mjeri ovise o redovitoj razmjeni saznanja o prijetnjama i ranjivostima među financijskim subjektima. Razmjenom informacija doprinosi se jačanju svijesti o kiberprijetnjama. Time se pak povećava kapacitet financijskih subjekata da spriječe da kiberprijetnje postanu stvarni IKT incidenti te se financijskim subjektima omogućuje da djelotvornije ograniče učinak IKT incidenata i brže se oporave. U nedostatku smjernica na razini Unije čini se da nekoliko čimbenika sprečava takvu razmjenu saznanja, osobito nesigurnost u pogledu usklađenosti s pravilima o zaštiti podataka, zaštiti od monopola i odgovornosti.

(33)

Osim toga, zbog nedoumica u vezi s vrstama informacija koje se smiju dijeliti s drugim sudionicima na tržištu ili s nenadzornim tijelima (kao što je ENISA u analitičke svrhe ili Europol u svrhu kaznenog progona) uskraćuju se korisne informacije. Stoga su opseg i kvaliteta razmjene informacija trenutačno i dalje ograničeni i rascjepkani, a relevantne razmjene odvijaju se uglavnom na lokalnoj razini (u okviru nacionalnih inicijativa) te ne postoje dosljedni mehanizmi razmjene informacija na razini Unije koji su prilagođeni potrebama integriranog financijskog sustava. Stoga je važno ojačati te komunikacijske kanale.

(34)

Financijske subjekte trebalo bi poticati na međusobnu razmjenu informacija i saznanja o kiberprijetnjama te na zajedničko iskorištavanje znanja i praktičnog iskustva svakog od njih na strateškoj, taktičkoj i operativnoj razini s ciljem unapređenja njihovih sposobnosti za odgovarajuću procjenu, praćenje, obranu i odgovor u pogledu kiberprijetnji, sudjelovanjem u aranžmanima za razmjenu informacija. Stoga je potrebno omogućiti uspostavu mehanizama dobrovoljne razmjene informacija na razini Unije koji bi, kad djeluju u pouzdanim okruženjima, pomogli zajednici financijske industrije da spriječi i zajednički odgovori na kiberprijetnje brzim ograničenjem širenja IKT rizika i onemogućivanjem eventualnog širenja zaraze putem financijskih kanala. Ti bi mehanizmi trebali biti usklađeni s primjenjivim pravilima prava tržišnog natjecanja Unije navedenima u Komunikaciji Komisije od 14. siječnja 2011. pod naslovom „Smjernice o primjenjivosti članka 101. Ugovora o funkcioniranju Europske unije na sporazume o horizontalnoj suradnji” i pravilima Unije o zaštiti podataka, osobito s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća (13). Trebali bi djelovati na temelju primjene jedne ili više pravnih osnova utvrđenih u članku 6. te uredbe, na primjer u kontekstu obrade osobnih podataka za potrebe legitimnog interesa voditelja obrade ili treće strane, kako je navedeno u članku 6. stavku 1. točki (f) te uredbe, kao i u kontekstu obrade osobnih podataka koja je nužna radi poštovanja pravne obveze voditelja obrade, koja je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade, kako je navedeno u članku 6. stavku 1. točki (c) odnosno točki (e) te uredbe.

(35)

Kako bi se održala visoka razina digitalne operativne otpornosti za cijeli financijski sektor i istodobno održao korak s tehnološkim razvojem, ovom bi se Uredbom trebalo nositi s rizicima koji proizlaze iz svih vrsta IKT usluga. U tu bi svrhu definiciju IKT usluga u kontekstu ove Uredbe trebalo tumačiti u širem smislu, tako da obuhvaća digitalne i podatkovne usluge koje se putem sustavâ IKT-a pružaju jednom ili više unutarnjih ili vanjskih korisnika na trajnoj osnovi. Ta bi definicija, na primjer, trebala uključivati takozvane OTT usluge („over the top” services), koje pripadaju kategoriji elektroničkih komunikacijskih usluga. Njome se ne bi trebala obuhvatiti samo ograničena kategorija tradicionalnih analognih telefonskih usluga, odnosno usluge javne komutirane telefonske mreže (PSTN), usluge zemaljske linije, usluge koje se pružaju putem analognog (POTS) priključka, ili telefonske usluge fiksne linije.

(36)

Iako je obuhvat predviđen ovom Uredbom doista širok, pri primjeni pravila o digitalnoj operativnoj otpornosti trebalo bi uzeti u obzir znatne razlike među financijskim subjektima u pogledu njihove veličine i ukupnog profila rizičnosti. Opće je načelo da bi financijski subjekti pri distribuiranju resursa i sposobnosti na provedbu okvira za upravljanje IKT rizicima trebali propisno uskladiti svoje potrebe u području IKT-a sa svojom veličinom i ukupnim profilom rizičnosti te prirodom, opsegom i složenošću svojih usluga, aktivnosti i poslovanja, a nadležna bi tijela pristup takvom distribuiranju i dalje trebala procjenjivati i preispitivati.

(37)

Pružatelji usluga pružanja informacija o računu iz članka 33. stavka 1. Direktive (EU) 2015/2366 izričito su uključeni u područje primjene ove Uredbe, uzimajući u obzir specifičnu prirodu njihovih aktivnosti i rizike koji iz njih proizlaze. Osim toga, institucije za elektronički novac i institucije za platni promet izuzete na temelju članka 9. stavka 1. Direktive 2009/110/EZ Europskog parlamenta i Vijeća (14) i članka 32. stavka 1. Direktive (EU) 2015/2366 uključene su u područje primjene ove Uredbe čak i ako im nije izdano odobrenje za izdavanje elektroničkog novca u skladu s Direktivom 2009/110/EZ ili ako im nije izdano odobrenje za pružanje i izvršavanje platnih usluga u skladu s Direktivom (EU) 2015/2366. Međutim, poštanske žiro institucije iz članka 2. stavka 5. točke 3. Direktive 2013/36/EU Europskog parlamenta i Vijeća (15) isključene su iz područja primjene ove Uredbe. Nadležno tijelo za institucije za platni promet izuzeto na temelju Direktive (EU) 2015/2366, institucije za elektronički novac izuzete na temelju Direktive 2009/110/EZ i pružatelji usluga pružanja informacija o računu iz članka 33. stavka 1. Direktive (EU) 2015/2366 trebali bi biti nadležno tijelo imenovano u skladu s člankom 22. Direktive (EU) 2015/2366.

(38)

Budući da bi veći financijski subjekti mogli imati na raspolaganju više resursa i da mogu brzo preusmjeriti sredstva na razvoj upravljačkih struktura i uspostavu različitih korporativnih strategija, samo bi financijske subjekte koji nisu mikropoduzeća u smislu ove Uredbe trebalo obvezati na uvođenje složenijih aranžmana za upravljanje. Takvi su subjekti bolje opremljeni osobito za uspostavu namjenskih upravljačkih funkcija za nadzor aranžmana s trećim stranama pružateljima IKT usluga ili upravljanje krizama, organizaciju svojeg upravljanja IKT rizicima u skladu s modelom „triju crta obrane”, ili za uspostavu internog modela upravljanja rizicima i kontrole nad njima, te za podnošenje okvira za upravljanje IKT rizicima radi unutarnjih revizija.

(39)

Na neke financijske subjekte primjenjuju se izuzeća ili oni podliježu vrlo blagom regulatornom okviru u sklopu relevantnog sektorskog prava Unije. Među takvim su financijskim subjektima upravitelji alternativnih investicijskih fondova iz članka 3. stavka 2. Direktive 2011/61/EU Europskog parlamenta i Vijeća (16), društva za osiguranje i društva za reosiguranje iz članka 4. Direktive 2009/138/EZ Europskog parlamenta i Vijeća (17) te institucije za strukovno mirovinsko osiguranje koje upravljaju mirovinskim programima koji zajedno nemaju više od ukupno 15 članova. S obzirom na ta izuzeća ne bi bilo razmjerno uključiti takve financijske subjekte u područje primjene ove Uredbe. Osim toga, ovom se Uredbom uvažavaju posebnosti strukture tržišta posredovanja u osiguranju, zbog čega posrednici u osiguranju, posrednici u reosiguranju i sporedni posrednici u osiguranju koji se smatraju mikropoduzećima ili malim ili srednjim poduzećima ne bi trebali podlijegati ovoj Uredbi.

(40)

Budući da su subjekti iz članka 2. stavka 5. točaka od 4. do 23. Direktive 2013/36/EU isključeni iz područja primjene te direktive, države članice trebale bi stoga moći odlučiti iz primjene ove Uredbe izuzeti takve subjekte koji se nalaze na njihovu državnom području.

(41)

Slično tome, kako bi se ova Uredba uskladila s područjem primjene Direktive 2014/65/EU Europskog parlamenta i Vijeća (18), također je primjereno iz područja primjene ove Uredbe isključiti fizičke i pravne osobe iz članaka 2. i 3. te direktive kojima je dopušteno pružanje investicijskih usluga bez obveze pribavljanja odobrenja za rad na temelju Direktive 2014/65/EU. Međutim, člankom 2. Direktive 2014/65/EU iz područja primjene te direktive isključuju se i subjekti koji se smatraju financijskim subjektima za potrebe ove Uredbe, kao što su središnji depozitoriji vrijednosnih papira, subjekti za zajednička ulaganja ili društva za osiguranje i društva za reosiguranje. Isključenje iz područja primjene ove Uredbe osoba i subjekata iz članaka 2. i 3. te direktive ne bi trebalo obuhvaćati navedene središnje depozitorije vrijednosnih papira, subjekte za zajednička ulaganja ili društva za osiguranje i društva za reosiguranje.

(42)

Prema sektorskom pravu Unije neki financijski subjekti podliježu blažim zahtjevima ili izuzećima zbog razloga povezanih s njihovom veličinom ili uslugama koje pružaju. Ta kategorija financijskih subjekata uključuje mala i nepovezana investicijska društva, male institucije za strukovno mirovinsko osiguranje koje dotična država članica može isključiti iz područja primjene Direktive (EU) 2016/2341 pod uvjetima utvrđenima u članku 5. te direktive i koje upravljaju mirovinskim programima koji nemaju više od ukupno 100 članova, kao i institucije izuzete na temelju Direktive 2013/36/EU. Stoga je, u skladu s načelom proporcionalnosti i kako bi se očuvao duh sektorskog prava Unije, primjereno i da se na te financijske subjekte primjenjuje pojednostavnjeni okvir za upravljanje IKT rizicima na temelju ove Uredbe. Proporcionalnost okvira za upravljanje IKT rizicima kojim su obuhvaćeni ti financijski subjekti ne bi se trebala mijenjati regulatornim tehničkim standardima koje trebaju razviti europska nadzorna tijela. Nadalje, u skladu s načelom proporcionalnosti, primjereno je da i institucije za platni promet iz članka 32. stavka 1. Direktive (EU) 2015/2366 i institucije za elektronički novac iz članka 9. Direktive 2009/110/EZ izuzete u skladu s nacionalnim pravom kojim se prenose ti pravni akti Unije podliježu pojednostavnjenom okviru za upravljanje IKT rizicima na temelju ove Uredbe, dok bi institucije za platni promet i institucije za elektronički novac koje nisu izuzete u skladu s odgovarajućim nacionalnim pravom kojim se prenosi sektorsko pravo Unije trebale biti usklađene s općim okvirom utvrđenim ovom Uredbom.

(43)

Slično tome, od financijskih subjekata koji se smatraju mikropoduzećima ili koji podliježu pojednostavnjenom okviru za upravljanje IKT rizicima na temelju ove Uredbe ne bi trebalo zahtijevati da uspostave funkciju za praćenje svojih aranžmana o upotrebi IKT usluga sklopljenih s trećim stranama pružateljima IKT usluga ili imenuju člana višeg rukovodstva koji bi bio odgovoran za nadzor nad povezanim izloženostima rizicima i relevantnom dokumentacijom, da odgovornost za upravljanje IKT rizicima i nadzor nad njima dodijele kontrolnoj funkciji i osiguraju odgovarajuću razinu neovisnosti takve kontrolne funkcije kako bi se izbjegli sukobi interesa, da najmanje jednom godišnje dokumentiraju i preispitaju okvir za upravljanje IKT rizicima, da okvir za upravljanje IKT rizicima redovito podvrgavaju unutarnjoj reviziji, da nakon velikih promjena u infrastrukturama i procesima svojih mrežnih i informacijskih sustava provode dubinske procjene, da redovito provode analize rizika u zastarjelim IKT sustavima, da provedbu planova odgovora i oporavka u području IKT-a podvrgavaju neovisnom unutarnjem revizijskom pregledu, da imaju funkciju za upravljanje krizama, da prošire testiranje kontinuiteta poslovanja i planove odgovora i oporavka tako da njima obuhvate i scenarije prebacivanja s primarne infrastrukture IKT-a na redundantnu infrastrukturu i obrnuto, da nadležnim tijelima na njihov zahtjev dostavljaju procjenu agregiranih godišnjih troškova i gubitaka prouzročenih značajnim IKT incidentima, da održavaju redundantne kapacitete IKT-a, da obavješćuju nacionalna nadležna tijela o promjenama koje su provedene slijedom preispitivanja nakon IKT incidenata, da kontinuirano prate relevantna tehnološka dostignuća, da uspostave sveobuhvatan program testiranja digitalne operativne otpornosti kao sastavni dio okvira za upravljanje IKT rizicima predviđenog u ovoj Uredbi, ili da donesu i redovito preispituju strategiju o IKT riziku povezanom s trećim stranama. Uz navedeno, mikropoduzeća bi trebala imati obvezu procijeniti potrebu za očuvanjem takvih redundantnih kapaciteta IKT-a samo na temelju svojeg profila rizičnosti. Mikropoduzeća bi trebala imati pravo na fleksibilniji režim u pogledu programâ testiranja digitalne operativne otpornosti. Pri razmatranju vrste i učestalosti testiranja koje treba provesti, trebala bi na odgovarajući način postići ravnotežu između cilja očuvanja visoke digitalne operativne otpornosti, dostupnih resursa i njihova ukupnog profila rizičnosti. Mikropoduzeća i financijske subjekte na koje se primjenjuje pojednostavnjeni okvir za upravljanje IKT rizicima na temelju ove Uredbe trebalo bi izuzeti od zahtjeva da provode napredno testiranje IKT alata, sustava i procesa putem penetracijskog testiranja vođenog prijetnjama (TLPT) jer bi samo financijski subjekti koji ispunjavaju kriterije utvrđene u ovoj Uredbi trebali biti obvezni provoditi takvo testiranje. S obzirom na njihove ograničene sposobnosti mikropoduzeća bi se trebala moći dogovoriti s trećom stranom pružateljem IKT usluga o delegiranju prava financijskog subjekta na pristup, inspekcijski nadzor i reviziju neovisnoj trećoj strani koju treba imenovati treća strana pružatelj IKT usluga, pod uvjetom da financijski subjekt u svakom trenutku od odgovarajuće neovisne treće strane može zatražiti sve relevantne informacije i jamstva o radu treće strane pružatelja IKT usluga.

(44)

Budući da bi samo oni financijski subjekti koji su identificirani za potrebe naprednog testiranja digitalne otpornosti trebali biti obvezni provoditi penetracijska testiranja vođena prijetnjama, administrativne postupke i financijske troškove povezane s provedbom takvih testova trebao bi snositi mali postotak financijskih subjekata.

(45)

Kako bi se osigurala potpuna usklađenost i opća dosljednost poslovnih strategija financijskih subjekata s jedne strane te upravljanja IKT rizicima s druge strane, upravljačka tijela financijskih subjekata trebala bi obvezno imati središnju i aktivnu ulogu u usmjeravanju i prilagodbi okvira za upravljanje IKT rizicima i opće strategije digitalne operativne otpornosti. Pristup koji trebaju primijeniti upravljačka tijela ne bi se trebao usmjeriti samo na sredstva za osiguravanje otpornosti sustavâ IKT-a, nego bi također trebao obuhvaćati osoblje i procese politikama kojima se na svakoj razini poduzeća i među svim članovima osoblja podupire snažna osviještenost o kiberrizicima i obveza poštovanja stroge kiberhigijene na svim razinama. Krajnja odgovornost upravljačkog tijela za upravljanje IKT rizicima financijskog subjekta trebala bi biti glavno načelo tog sveobuhvatnog pristupa koje se pretače u kontinuiran angažman upravljačkog tijela u kontroli praćenja upravljanja IKT rizicima.

(46)

Nadalje, načelo potpune i konačne odgovornosti upravljačkog tijela za upravljanje IKT rizicima financijskog subjekta usko je povezano s potrebom za osiguravanjem razine ulaganja povezanih s IKT-om i ukupnog proračuna za financijski subjekt, kojima bi se financijskom subjektu omogućilo da postigne visoku razinu digitalne operativne otpornosti.

(47)

Ovom Uredbom, nadahnutom relevantnim međunarodnim, nacionalnim i industrijskim najboljim praksama, smjernicama, preporukama i pristupima za upravljanje kiberrizicima, promiče se niz načela koja olakšavaju cjelokupnu strukturu upravljanja IKT rizicima. Posljedično, dok god glavne sposobnosti koje su uspostavili financijski subjekti ispunjavaju različite funkcije u upravljanju IKT rizicima (utvrđivanje, zaštita i sprečavanje, otkrivanje, odgovor i oporavak, učenje i razvoj te komunikacija) utvrđene u ovoj Uredbi, financijski subjekti trebali bi se i dalje moći koristiti drukčije oblikovanim ili kategoriziranim modelima upravljanja IKT rizicima.

(48)

Kako bi održali korak s novim kiberprijetnjama, financijski subjekti trebali bi održavati ažurirane i pouzdane sustave IKT-a koji su sposobni osigurati ne samo obradu podataka potrebnih za pružanje njihovih usluga, nego i dostatnu tehnološku otpornost da na odgovarajući način mogu odgovoriti na dodatne potrebe za obradom zbog stresnih okolnosti na tržištu ili drugih nepovoljnih situacija.

(49)

Učinkoviti planovi kontinuiteta poslovanja i planovi oporavka potrebni su kako bi se financijskim subjektima omogućilo da odmah i brzo riješe IKT incidente, osobito kibernapade, ograničavanjem štete i davanjem prednosti nastavku obavljanja aktivnosti i mjerama oporavka u skladu s njihovim politikama za izradu sigurnosnih kopija. Međutim, takvim nastavkom ni na koji se način ne bi smjela ugroziti cjelovitost i sigurnost mrežnih i informacijskih sustava ili dostupnost, vjerodostojnost, cjelovitost ili povjerljivost podataka.

(50)

Iako se ovom Uredbom financijskim subjektima daje fleksibilnost pri utvrđivanju njihovih ciljeva u pogledu vremena i točke oporavka i, posljedično, da utvrde te ciljeve vodeći u punoj mjeri računa o prirodi i ključnosti relevantnih funkcija i svim specifičnim poslovnim potrebama, njome bi se ipak trebala propisati obveza financijskih subjekata da pri utvrđivanju takvih ciljeva provedu procjenu mogućeg sveukupnog učinka na učinkovitost tržišta.

(51)

Širitelji kibernapada obično nastoje ostvariti financijsku dobit izravno na izvoru, čime financijske subjekte izlažu znatnim posljedicama. Kako bi se spriječio gubitak cjelovitosti sustava IKT-a ili kako bi se spriječila njihova nedostupnost, a time i izbjegle povrede podataka i šteta na fizičkoj infrastrukturi IKT-a, trebalo bi znatno poboljšati i racionalizirati izvješćivanje financijskih subjekata o velikim IKT incidentima. Izvješćivanje o IKT incidentima trebalo bi uskladiti uvođenjem zahtjeva za sve financijske subjekte da izravno izvješćuju svoja relevantna nadležna tijela. Ako financijski subjekt podliježe nadzoru više nacionalnih nadležnih tijela, države članice trebale bi imenovati jedinstveno nadležno tijelo kao adresata takvog izvješćivanja. Kreditne institucije klasificirane kao značajne u skladu s člankom 6. stavkom 4. Uredbe Vijeća (EU) br. 1024/2013 (19) trebale bi podnijeti takvo izvješće nacionalnim nadležnim tijelima, koja bi izvješće naknadno trebala proslijediti Europskoj središnjoj banci (ESB).

(52)

Izravno izvješćivanje trebalo bi omogućiti financijskim nadzornim tijelima izravan pristup informacijama o značajnim IKT incidentima. Financijska nadzorna tijela trebala bi pak prosljeđivati pojedinosti o značajnim IKT incidentima javnim nefinancijskim tijelima (kao što su nadležna tijela i jedinstvene kontaktne točke iz Direktive (EU) 2022/2555, nacionalna tijela za zaštitu podataka i tijela za izvršavanje zakonodavstva za značajne IKT incidente kaznene prirode) kako bi se povećala svijest takvih tijela o takvim incidentima i, u slučaju CSIRT-ova, olakšala brza pomoć koja se, prema potrebi, može pružiti financijskim subjektima. Uz navedeno, države članice trebale bi moći utvrditi da bi sami financijski subjekti trebali pružiti takve informacije tijelima javne vlasti izvan područja financijskih usluga. Tim bi se tokovima informacija trebalo omogućiti financijskim subjektima da brzo iskoriste sve relevantne tehničke doprinose, savjete o korektivnim mjerama i naknadno praćenje koje osiguravaju takva tijela. Informacije o značajnim IKT incidentima trebale bi teći u oba smjera: financijska nadzorna tijela trebala bi financijskim subjektima dostaviti sve potrebne povratne informacije ili smjernice, dok bi europska nadzorna tijela trebala dijeliti anonimizirane podatke o kiberprijetnjama i ranjivostima povezanima s određenim incidentom kako bi doprinijela široj zajedničkoj obrani.

(53)

Iako bi svi financijski subjekti trebali biti obvezni izvješćivati o incidentima, taj zahtjev ne bi na njih sve trebao utjecati na isti način. Stoga bi relevantne pragove značajnosti, kao i rokove izvješćivanja, trebalo na odgovarajući način prilagoditi, u kontekstu delegiranih akata koji se temelje na regulatornim tehničkim standardima koje trebaju razviti europska nadzorna tijela, kako bi se obuhvatili samo značajni IKT incidenti. Uz navedeno, pri određivanju rokova za obveze izvješćivanja trebalo bi uzeti u obzir posebnosti financijskih subjekata.

(54)

Ovom bi se Uredbom od kreditnih institucija, institucija za platni promet, pružatelja usluga pružanja informacija o računu i institucija za elektronički novac trebalo zahtijevati da izvješćuju o svim operativnim ili sigurnosnim incidentima povezanima s plaćanjem, o kojima se prethodno izvješćivalo na temelju Direktive (EU) 2015/2366, neovisno o IKT aspektu incidenta.

(55)

Europska nadzorna tijela trebala bi imati zadaću procjene izvedivosti i uvjeta za moguću centralizaciju izvješćâ o IKT incidentima na razini Unije. Takva centralizacija mogla bi se sastojati od jedinstvenog EU-ova centra za izvješćivanje o značajnim IKT incidentima koji izravno prima relevantna izvješća i automatski obavješćuje nacionalna nadležna tijela, ili samo centralizira relevantna izvješća koja dostavljaju nacionalna nadležna tijela i time ispunjava koordinacijsku ulogu. Europska nadzorna tijela trebala bi imati zadaću pripreme, uz savjetovanje s ESB-om i ENISA-om, zajedničkog izvješća u kojem se razmatra izvedivost uspostave jedinstvenog EU-ova centra.

(56)

Kako bi postigli visoku razinu digitalne operativne otpornosti te u skladu i s relevantnim međunarodnim standardima (npr. dokument skupine G-7 „Fundamental Elements for Threat-Led Penetration Testing” (Temeljni elementi za penetracijska testiranja vođena prijetnjama)) i s okvirima koji se primjenjuju u Uniji, kao što je TIBER-EU, financijski subjekti trebali bi redovito testirati svoje sustave IKT-a i osoblje koje ima odgovornosti u pogledu IKT-a s obzirom na djelotvornost njihovih sposobnosti za sprečavanje, otkrivanje, odgovor i oporavak radi otkrivanja i uklanjanja mogućih ranjivosti u području IKT-a. Kako bi se odrazile razlike koje postoje u pogledu razine pripravnosti financijskih subjekata u području kibersigurnosti među različitim financijskim podsektorima, i unutar njih, testiranje bi trebalo uključivati širok raspon alata i mjera, koji se proteže od procjene osnovnih zahtjeva (npr. procjene i skeniranja ranjivosti, analize javno dostupnih izvora, procjene mrežne sigurnosti, analize odstupanja, preispitivanja fizičke sigurnosti, upitnici i softverska rješenja za skeniranje, preispitivanja izvornog koda ako je to izvedivo, testiranja na temelju scenarija, testiranja kompatibilnosti, testiranja performansi ili integralno testiranje) do naprednijeg testiranja na temelju penetracijskog testiranja vođenog prijetnjama (TLPT). Takvo napredno testiranje trebalo bi zahtijevati samo od financijskih subjekata koji su iz perspektive IKT-a dostatno zreli da ga u razumnoj mjeri mogu provesti. Testiranje digitalne operativne otpornosti koje se zahtijeva ovom Uredbom trebalo bi tako biti zahtjevnije za one financijske subjekte koji ispunjavaju kriterije utvrđene u ovoj Uredbi (na primjer kreditne institucije koje su velike, sistemski značajne i zrele kad je riječ o IKT-u, burze, središnji depozitoriji vrijednosnih papira i središnje druge ugovorne strane) nego za druge financijske subjekte. Istodobno bi testiranje digitalne operativne otpornosti na temelju TLPT-a trebalo biti relevantnije za financijske subjekte koji posluju u podsektorima ključnih financijskih usluga i imaju sistemsku ulogu (na primjer plaćanja, bankarstvo te kliring i namira), a manje relevantno za druge podsektore (na primjer upravitelji imovine i agencije za kreditni rejting).

(57)

Financijski subjekti koji su uključeni u prekogranične aktivnosti i ostvaruju slobodu poslovnog nastana, ili slobodu pružanja usluga u Uniji, trebali bi ispunjavati jedinstvene zahtjeve naprednog testiranja (npr. TLPT) u svojoj matičnoj državi članici, koje bi trebalo uključivati infrastrukture IKT-a u svim jurisdikcijama u kojima prekogranična financijska grupa posluje u Uniji, čime bi se takvim prekograničnim financijskim grupama omogućilo da troškove testiranja povezane s IKT-om snose samo u jednoj jurisdikciji.

(58)

Kako bi se iskoristilo stručno znanje koje su stekla određena nadležna tijela, osobito u pogledu provedbe okvira TIBER–EU, ovom bi se Uredbom državama članicama trebalo omogućiti da imenuju jedinstveno tijelo javne vlasti koje je na nacionalnoj razini u financijskom sektoru odgovorno za sva pitanja povezana s TLPT-om, ili nadležna tijela, koja, u slučaju da takvo imenovanje nije provedeno, delegiraju izvršavanje zadaća povezanih s TLPT-om drugom nacionalnom financijskom nadležnom tijelu.

(59)

Budući da se ovom Uredbom od financijskih subjekata ne zahtijeva da sve ključne ili važne funkcije obuhvate jedinstvenim penetracijskim testom vođenim prijetnjama, financijski subjekti trebali bi moći slobodno odrediti koje bi i koliko ključnih ili važnih funkcija trebalo obuhvatiti takvim testom.

(60)

Skupno testiranje u smislu ove Uredbe, koje uključuje sudjelovanje nekoliko financijskih subjekata u TLPT-u i za koje treća strana pružatelj IKT usluga može izravno sklopiti ugovorne aranžmane s vanjskim provoditeljem testiranja, trebalo bi biti dopušteno samo ako se očekuje negativan utjecaj na kvalitetu ili sigurnost usluga koje treća strana pružatelj IKT usluga pruža klijentima koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe ili povjerljivost podataka povezanih s takvim uslugama. Skupno testiranje trebalo bi podlijegati i zaštitnim mjerama (pod vodstvom jednog imenovanog financijskog subjekta i uz utvrđivanje broja financijskih subjekata sudionika) kako bi se osigurao rigorozan postupak testiranja za uključene financijske subjekte koji ispunjavaju ciljeve TLPT-a na temelju ove Uredbe.

(61)

Kako bi se iskoristili unutarnji resursi dostupni na korporativnoj razini, ovom bi se Uredbom trebala omogućiti upotreba unutarnjih provoditelja testiranja za potrebe provedbe TLPT-a, pod uvjetom da postoji odobrenje nadzornih tijela, da nema sukoba interesa i da se provode periodične izmjene upotrebe unutarnjih i vanjskih provoditelja testiranja (svaka tri testa), pri čemu se zahtijeva da pružatelj saznanja o prijetnjama u TLPT-u nikad ne smije biti dio financijskog subjekta. Financijski subjekt trebao bi u punoj mjeri ostati odgovoran za provedbu TLPT-a. Potvrde koje izdaju tijela trebale bi služiti isključivo u svrhu uzajamnog priznavanja te se njima ne bi smjelo isključivati eventualne daljnje mjere potrebne za nošenje s IKT rizikom kojem je financijski subjekt izložen niti bi ih trebalo smatrati odobrenjem nadzornih tijela u pogledu sposobnosti financijskog subjekta za upravljanje IKT rizicima i njihovo ublažavanje.

(62)

Kako bi se u financijskom sektoru osiguralo pouzdano praćenje IKT rizika povezanog s trećim stranama, potrebno je utvrditi skup pravila utemeljenih na načelima radi pružanja smjernica financijskim subjektima pri praćenju rizika koji nastaje u kontekstu funkcija eksternaliziranih trećim stranama pružateljima IKT usluga, osobito za IKT usluge kojima se podupiru ključne ili važne funkcije, kao i općenitije u kontekstu svih ovisnosti o trećim stranama u području IKT-a.

(63)

Kako bi se uvažila složenost različitih izvora IKT rizika, uzimajući u obzir brojnost i raznolikost pružatelja tehnoloških rješenja koja omogućuju neometano pružanje financijskih usluga, ovom bi Uredbom trebalo obuhvatiti širok raspon trećih strana pružatelja IKT usluga, uključujući pružatelje usluga računalstva u oblaku, softvera, usluga analize podataka i pružatelje usluga podatkovnog centra. Slično tome, budući da bi financijski subjekti trebali djelotvorno i dosljedno utvrđivati sve vrste rizika i upravljati njima, među ostalim i u kontekstu IKT usluga nabavljenih unutar financijske grupe, trebalo bi pojasniti da bi se društva koja su dio financijske grupe te pružaju IKT usluge uglavnom svojem matičnom društvu ili društvima kćerima ili podružnicama svojeg matičnog društva, kao i financijski subjekti koji pružaju IKT usluge drugim financijskim subjektima, također trebala smatrati pružateljima IKT usluga na temelju ove Uredbe. Naposljetku, s obzirom na to da evoluirajuće tržište platnih usluga postaje sve ovisnije o složenim tehničkim rješenjima te s obzirom na nove vrste platnih usluga i rješenja povezanih s plaćanjem, sudionike u ekosustavu platnih usluga, koji osiguravaju aktivnosti obrade plaćanja ili upravljaju infrastrukturama platnog prometa, također bi trebalo smatrati trećim stranama pružateljima IKT usluga na temelju ove Uredbe, uz iznimku središnjih banaka kad upravljaju platnim sustavima ili sustavima namire vrijednosnih papira te tijela javne vlasti kad pružaju IKT usluge u kontekstu izvršavanja državnih funkcija.

(64)

Financijski subjekt trebao bi u svakom trenutku ostati potpuno odgovoran za ispunjenje svojih obveza utvrđenih u ovoj Uredbi. Financijski subjekti trebali bi primijeniti proporcionalan pristup praćenju rizika koji se javljaju na razini trećih strana pružatelja IKT usluga, vodeći računa o prirodi, opsegu, složenosti i važnosti svojih ovisnosti u području IKT-a, ključnosti ili važnosti usluga, procesa ili funkcija koje podliježu ugovornim aranžmanima i, u konačnici, na temelju detaljne procjene mogućeg učinka na kontinuitet i kvalitetu financijskih usluga na pojedinačnoj razini i na razini grupe, ovisno o slučaju.

(65)

Provedba takvog praćenja trebala bi se odvijati u skladu sa strateškim pristupom IKT riziku povezanom s trećim stranama koji je upravljačko tijelo financijskog subjekta formaliziralo donošenjem namjenske strategije o IKT riziku povezanom s trećim stranama, a koja se temelji na kontinuiranoj dubinskoj analizi svih ovisnosti o trećim stranama u području IKT-a. Kako bi se unaprijedila razina osviještenosti nadzornih tijela o ovisnostima o trećim stranama u području IKT-a te dodatno podupro rad u kontekstu nadzornog okvira uspostavljenog ovom Uredbom, trebalo bi zahtijevati od svih financijskih subjekata da vode registar informacija o svim ugovornim aranžmanima za upotrebu IKT usluga koje pružaju treće strane pružatelji IKT usluga. Financijska nadzorna tijela trebala bi moći zatražiti cijeli registar ili određene dijelove tog registra te tako dobiti ključne informacije za stjecanje šireg razumijevanja ovisnosti koje financijski subjekti imaju u području IKT-a.

(66)

Formalno sklapanje ugovornih aranžmana trebalo bi se temeljiti na detaljnoj prethodnoj predugovornoj analizi, osobito usmjeravanjem na elemente kao što su ključnost ili važnost usluga koje se podupiru predviđenim ugovorom o IKT-u, potrebna odobrenja nadzornih tijela ili drugi uvjeti, mogući povezani koncentracijski rizik, te primjenom dubinske analize u postupku odabira i procjene trećih strana pružatelja IKT usluga i procjenom potencijalnih sukoba interesa. Kad je riječ o ugovornim aranžmanima koji se odnose na ključne ili važne funkcije, financijski subjekti trebali bi razmotriti upotrebljavaju li treće strane pružatelji IKT usluga najnovije i najviše standarde informacijske sigurnosti. Raskid ugovornih aranžmana mogao bi nastupiti barem zbog niza okolnosti koje ukazuju na nedostatke na razini treće strane pružatelja IKT usluga, osobito u smislu znatnih kršenja zakona ili ugovornih uvjeta, okolnosti koje ukazuju na moguću promjenu u obavljanju funkcija predviđenih u ugovornim aranžmanima, dokaza o slabostima treće strane pružatelja IKT usluga u općem upravljanju IKT rizicima, ili okolnosti koje upućuju na nemogućnost relevantnog nadležnog tijela da djelotvorno nadzire financijski subjekt.

(67)

Kako bi se ublažio sistemski učinak koncentracijskog IKT rizika povezanog s trećim stranama, ovom se Uredbom promiče uravnoteženo rješenje primjenom fleksibilnog i postupnog pristupa takvom koncentracijskom riziku jer bi nametanje bilo kakvih strogih gornjih vrijednosti ili strogih ograničenja moglo ometati poslovanje i ograničiti ugovornu slobodu. Financijski subjekti trebali bi temeljito procijeniti svoje predviđene ugovorne aranžmane kako bi utvrdili vjerojatnost pojave takvog rizika, među ostalim i s pomoću dubinskih analiza podugovornih aranžmana, osobito kad se sklapaju s trećim stranama pružateljima IKT usluga s poslovnim nastanom u trećoj zemlji. U toj fazi i u cilju postizanja pravedne ravnoteže između nužnog očuvanja ugovorne slobode i jamčenja financijske stabilnosti smatra se da nije primjereno utvrditi pravila o strogim gornjim vrijednostima i ograničenja za izloženosti trećim stranama u području IKT-a. U kontekstu nadzornog okvira glavno nadzorno tijelo imenovano na temelju ove Uredbe trebalo bi, u pogledu ključnih trećih strana pružatelja IKT usluga, posebnu pozornost posvetiti potpunom razumijevanju razmjera međuovisnosti, otkriti konkretne slučajeve u kojima je vjerojatno da će visok stupanj koncentracije ključnih trećih strana pružatelja IKT usluga opteretiti stabilnost i cjelovitost financijskog sustava Unije te održavati dijalog s ključnim trećim stranama pružateljima IKT usluga kad se taj konkretan rizik utvrdi.

(68)

Kako bi se redovito evaluirala i pratila sposobnost treće strane pružatelja IKT usluga da sigurno pruža usluge financijskom subjektu bez negativnih učinaka na digitalnu operativnu otpornost financijskog subjekta, trebalo bi uskladiti nekoliko ključnih ugovornih elemenata s trećim stranama pružateljima IKT usluga. Takvim usklađivanjem trebalo bi obuhvatiti minimalna područja koja su ključna kako bi se financijskom subjektu omogućilo potpuno praćenje rizika koji bi mogli nastati od treće strane pružatelja IKT usluga, iz perspektive potrebe financijskog subjekta da osigura svoju digitalnu otpornost jer uvelike ovisi o stabilnosti, funkcionalnosti, dostupnosti i sigurnosti IKT usluga koje prima.

(69)

Pri ponovnom pregovaranju o ugovornim aranžmanima radi usklađivanja sa zahtjevima iz ove Uredbe, financijski subjekti i treće strane pružatelji IKT usluga trebali bi osigurati da budu obuhvaćene ključne ugovorne odredbe kako je predviđeno u ovoj Uredbi.

(70)

Definicija „ključne ili važne funkcije” predviđena u ovoj Uredbi obuhvaća „ključne funkcije” kako su definirane u članku 2. stavku 1. točki 35. Direktive 2014/59/EU Europskog parlamenta i Vijeća (20). U skladu s tim, funkcije koje se smatraju ključnima na temelju Direktive 2014/59/EU uključene su u definiciju ključnih funkcija u smislu ove Uredbe.

(71)

Neovisno o ključnosti ili važnosti funkcije koja se podupire IKT uslugama, ugovornim aranžmanima posebno bi trebalo predvidjeti specifikaciju potpunih opisa funkcija i usluga, lokacija na kojima se takve funkcije pružaju i na kojima treba obrađivati podatke, kao i navođenje opisa razina usluge. Drugi ključni elementi za omogućavanje financijskom subjektu da prati IKT rizik povezan s trećim stranama su: ugovorne odredbe kojima se propisuje način na koji treća strana pružatelj IKT usluga treba osigurati pristupačnost, dostupnost, cjelovitost, sigurnost i zaštitu osobnih podataka; odredbe kojima se utvrđuju relevantna jamstva za omogućivanje pristupa, oporavka i povrata podataka u slučaju nesolventnosti, sanacije ili prekida poslovanja treće strane pružatelja IKT usluga, kao i odredbe kojima se od treće strane pružatelja IKT usluga zahtijeva da pruži pomoć u slučaju IKT incidenata povezanih s pruženim uslugama, bez dodatnih troškova ili uz ex ante utvrđene troškove; odredbe o obvezi treće strane pružatelja IKT usluga da u potpunosti surađuje s nadležnim i sanacijskim tijelima zaduženima za financijski subjekt; i odredbe o pravima raskida i povezanim minimalnim rokovima za prethodnu obavijest u vezi s raskidom ugovornih aranžmana, u skladu s očekivanjima nadležnih tijela i sanacijskih tijela.

(72)

Uz takve ugovorne odredbe i kako bi se osiguralo da financijski subjekti zadrže potpunu kontrolu nad svim događajima na razini trećih strana koji bi mogli narušiti njihovu sigurnost u području IKT-a, ugovorima o pružanju IKT usluga kojima se podupiru ključne ili važne funkcije trebalo bi predvidjeti i sljedeće: specifikaciju cjelovitih opisa razina usluge, s preciznim kvantitativnim i kvalitativnim ciljevima uspješnosti, kako bi se bez nepotrebne odgode omogućile odgovarajuće korektivne mjere kad dogovorene razine usluge nisu ispunjene; relevantne rokove za prethodne obavijesti i obveze izvješćivanja koje ima treća strana pružatelj IKT usluga u slučaju razvoja događaja koji bi mogli bitno utjecati na sposobnost treće strane pružatelja IKT usluga da učinkovito pruža svoje dotične IKT usluge; zahtjev da treća strana pružatelj IKT usluga provede i testira planove za nepredvidive situacije u poslovanju i da ima sigurnosne mjere, alate i politike u području IKT-a kojima se omogućuje sigurno pružanje usluga te da sudjeluje i u potpunosti surađuje u TLPT-u koji provodi financijski subjekt.

(73)

Takvi ugovori o pružanju IKT usluga kojima se podupiru ključne ili važne funkcije trebali bi također sadržavati odredbe kojima se financijskom subjektu ili imenovanoj trećoj strani omogućuje pravo pristupa, pravo inspekcijskog nadzora i pravo revizije te pravo na izradu kopija kao ključnih instrumenata u okviru kontinuiranog praćenja rada treće strane pružatelja IKT usluga od strane financijskih subjekata, kao i potpuna suradnja pružatelja usluga tijekom inspekcijskog nadzora. Slično tome, nadležno tijelo zaduženo za financijski subjekt trebalo bi, na temelju prethodnih obavijesti, imati prava inspekcijskog nadzora i revizije treće strane pružatelja IKT usluga, uz uvažavanje zaštite povjerljivih informacija.

(74)

Takvim ugovornim aranžmanima trebale bi se predvidjeti i namjenske izlazne strategije kako bi se osobito omogućila obvezna prijelazna razdoblja tijekom kojih bi treće strane pružatelji IKT usluga trebale nastaviti pružati relevantne usluge u cilju smanjenja rizika od poremećaja na razini financijskog subjekta ili kako bi se tom subjektu omogućilo da se djelotvorno započne koristiti uslugama nekih drugih trećih strana pružatelja IKT usluga ili da se, alternativno, prebaci na interna rješenja, ovisno o složenosti pružene IKT usluge. Nadalje, financijski subjekti obuhvaćeni područjem primjene Direktive 2014/59/EU trebali bi osigurati da relevantni ugovori o IKT uslugama budu pouzdani i u potpunosti izvršivi u slučaju sanacije tih financijskih subjekata. Stoga bi, u skladu s očekivanjima sanacijskih tijela, ti financijski subjekti trebali osigurati otpornost relevantnih ugovora o IKT uslugama u slučaju sanacije. Dok god i dalje ispunjavaju svoje obveze u pogledu plaćanja, ti bi financijski subjekti, uz ostale zahtjeve, trebali osigurati da relevantni ugovori za IKT usluge sadržavaju odredbe prema kojima se ne mogu raskinuti, suspendirati niti izmijeniti zbog restrukturiranja ili sanacije.

(75)

Nadalje, dobrovoljnom primjenom standardnih ugovornih klauzula koje su razvila tijela javne vlasti ili institucije Unije, posebno upotrebom ugovornih klauzula koje je Komisija razvila za usluge računalstva u oblaku, moglo bi se dodatno ojačati povjerenje financijskih subjekata i trećih strana pružatelja IKT usluga jer bi se povećao stupanj pravne sigurnosti u pogledu upotrebe usluga računalstva u oblaku u financijskom sektoru, što je u potpunosti u skladu sa zahtjevima i očekivanjima utvrđenima pravom Unije o financijskim uslugama. Razvoj standardnih ugovornih klauzula temelji se na mjerama koje su već predviđene Akcijskim planom za financijske tehnologije (2018.) u kojem je najavljeno da Komisija namjerava poticati i olakšati izradu standardnih ugovornih odredbi za financijske subjekte koji eksternaliziraju poslove pružateljima usluga računalstva u oblaku, oslanjajući se pritom na međusektorske napore dionika u području usluga računalstva u oblaku, uz posredovanje Komisije i sudjelovanje financijskog sektora.

(76)

Ključne treće strane pružatelje IKT usluga trebalo bi obuhvatiti nadzornim okvirom Unije kako bi se promicali konvergencija i učinkovitost u pogledu pristupa nadzornih tijela u nošenju s IKT rizikom povezanim s trećim stranama u financijskom sektoru te jačala digitalna operativna otpornost financijskih subjekata koji se za IKT usluge kojima se podupire pružanje financijskih usluga oslanjaju na ključne treće strane pružatelje IKT usluga i kako bi se time doprinijelo očuvanju stabilnosti financijskog sustava Unije i cjelovitosti unutarnjeg tržišta za financijske usluge. Iako opravdanost uspostave nadzornog okvira proizlazi iz dodane vrijednosti poduzimanja mjera na razini Unije i suštinske uloge i posebnosti upotrebe IKT usluga u pružanju financijskih usluga, istodobno bi trebalo podsjetiti da se to rješenje čini prikladnim samo u kontekstu ove Uredbe koja se konkretno odnosi na digitalnu operativnu otpornost u financijskom sektoru. Međutim, takav nadzorni okvir ne bi se trebao smatrati novim modelom nadzora na razini Unije u drugim područjima financijskih usluga i aktivnosti.

(77)

Nadzorni okvir trebao bi se primjenjivati samo na ključne treće strane pružatelje IKT usluga. Stoga bi trebao postojati mehanizam imenovanja kako bi se u obzir uzeli dimenzija i priroda oslanjanja financijskog sektora na takve treće strane pružatelje IKT usluga. Taj mehanizam trebao bi obuhvaćati skup kvantitativnih i kvalitativnih kriterija za utvrđivanje parametara ključnosti kao osnove za uključivanje u nadzorni okvir. Kako bi se osigurala točnost te procjene i neovisno o korporativnoj strukturi treće strane pružatelja IKT usluga, takvim bi se kriterijima, u slučaju treće strane pružatelja IKT usluga koja je dio šire grupe, trebala uzeti u obzir cjelokupna struktura grupe u kojoj je treća strana pružatelja IKT usluga. S jedne strane, ključne treće strane pružatelji IKT usluga koje nisu automatski određene na temelju primjene tih kriterija trebale bi imati mogućnost dobrovoljnog sudjelovanja u nadzornom okviru, dok bi, s druge strane, treće strane pružatelji IKT usluga koje već podliježu okvirima nadzornog mehanizma kojima se podupire ispunjavanje zadaća Europskog sustava središnjih banaka, kako je navedeno u članku 127. stavku 2. UFEU-a, trebale biti izuzete.

(78)

Slično tome, financijski subjekti koji pružaju IKT usluge drugim financijskim subjektima, iako pripadaju kategoriji trećih strana pružatelja IKT usluga na temelju ove Uredbe, također bi trebali biti izuzeti iz nadzornog okvira jer već podliježu nadzornim mehanizmima uspostavljenima relevantnim pravom Unije o financijskim uslugama. Ako je to primjenjivo, nadležna tijela trebala bi u kontekstu svojih nadzornih aktivnosti uzeti u obzir IKT rizik koji financijski subjekti koji pružaju IKT usluge predstavljaju za financijske subjekte. Isto tako, zbog postojećih mehanizama za praćenje rizika na razini grupe isto bi izuzeće trebalo uvesti za treće strane pružatelje IKT usluga koji uglavnom pružaju usluge subjektima iz svoje grupe. Treće strane pružatelji IKT usluga koje IKT usluge pružaju isključivo u jednoj državi članici financijskim subjektima koji posluju samo u toj državi članici također bi zbog svojih ograničenih aktivnosti i izostanka prekograničnog učinka trebali biti izuzeti od mehanizma imenovanja.

(79)

Digitalna transformacija u području financijskih usluga dovela je do nezapamćenih razmjera upotrebe IKT usluga i oslanjanja na njih. Budući da je pružanje financijskih usluga bez upotrebe usluga računalstva u oblaku, softverskih rješenja i usluga povezanih s podacima postalo nezamislivo, financijski ekosustav Unije postao je suštinski ovisan o određenim IKT uslugama koje pružaju pružatelji IKT usluga. Neki od tih pružatelja inovatori su u razvoju i primjeni tehnologija temeljenih na IKT-u i imaju važnu ulogu u pružanju financijskih usluga ili su se integrirali u vrijednosni lanac financijskih usluga. Time su postali ključni za stabilnost i cjelovitost financijskog sustava Unije. To široko oslanjanje na usluge koje pružaju ključne treće strane pružatelji IKT usluga, u kombinaciji s međuovisnošću informacijskih sustava različitih tržišnih subjekata, stvara izravan i potencijalno ozbiljan rizik za sustav financijskih usluga Unije i kontinuitet pružanja financijskih usluga ako na ključne treće strane pružatelje IKT usluga utječu operativni poremećaji ili značajni kiberincidenti. Kiberincidenti se u financijskom sustavu mogu umnožavati i širiti znatno brže od drugih vrsta rizika koji se prate u financijskom sektoru te se mogu proširiti među sektorima i preko zemljopisnih granica. Mogu prerasti u sistemsku krizu koja narušava povjerenje u financijski sustav zbog poremećaja u funkcijama kojima se podupire realno gospodarstvo ili zbog znatnih financijskih gubitaka na razini koju financijski sustav ne može podnijeti ili koja zahtijeva uvođenje mjera za ublažavanje teških šokova. Kako bi se spriječilo ostvarivanje tih scenarija i ugrožavanje financijske stabilnosti i cjelovitosti Unije, izuzetno je važno osigurati konvergenciju nadzornih praksi u vezi s IKT rizikom povezanim s trećim stranama u području financija, osobito s pomoću novih pravila kojima se omogućuje nadzor Unije nad ključnim trećim stranama pružateljima IKT usluga.

(80)

Nadzorni okvir uvelike ovisi o stupnju suradnje između glavnog nadzornog tijela i ključne treće strane pružatelja IKT usluga koja financijskim subjektima pruža usluge koje utječu na pružanje financijskih usluga. Uspješan nadzor temelji se, među ostalim, na sposobnosti glavnog nadzornog tijela da djelotvorno provodi misije praćenja i inspekcijski nadzor radi procjene pravila, kontrola i procesa koje upotrebljavaju ključne treće strane pružatelji IKT usluga te radi procjene mogućeg kumulativnog učinka njihovih aktivnosti na financijsku stabilnost i cjelovitost financijskog sustava. Istodobno je od presudne važnosti da ključne treće strane pružatelji IKT usluga slijede preporuke glavnog nadzornog tijela i otklone njegove bojazni. Budući da bi izostanak suradnje ključne treće strane pružatelja IKT usluga koja pruža usluge koje utječu na pružanje financijskih usluga, kao što je odbijanje davanja pristupa njezinim prostorima ili odbijanje pružanja informacija, u konačnici lišio glavno nadzorno tijelo njegovih ključnih alata za procjenu IKT rizika povezanog s trećim stranama te bi mogao negativno utjecati na financijsku stabilnost i cjelovitost financijskog sustava, potrebno je predvidjeti i razmjeran sustav sankcija.

(81)

U tom kontekstu, potreba glavnog nadzornog tijela da izrekne novčane kazne kako bi ključne treće strane pružatelje IKT usluga primoralo na poštovanje obveza u pogledu transparentnosti i pristupa utvrđenih u ovoj Uredbi ne bi trebala biti ugrožena zbog poteškoća koje proizlaze iz izvršenja tih novčanih kazni u odnosu na ključne treće strane pružatelje IKT usluga s poslovnim nastanom u trećim zemljama. Kako bi se osigurala izvršivost takvih kazni i omogućilo brzo uvođenje postupaka za očuvanje pravâ ključnih trećih strana pružatelja IKT usluga na obranu u kontekstu mehanizma imenovanja te izdavanja preporuka, od tih ključnih trećih strana pružatelja IKT usluga, koje financijskim subjektima pružaju usluge koje utječu na pružanje financijskih usluga, trebalo bi zahtijevati da održavaju odgovarajuću poslovnu prisutnost u Uniji. Zbog prirode nadzora i nepostojanja usporedivih aranžmana u drugim jurisdikcijama ne postoje prikladni alternativni mehanizmi kojima bi se taj cilj osigurao djelotvornom suradnjom s financijskim nadzornim tijelima u trećim zemljama u pogledu praćenja učinka digitalnih operativnih rizika koje predstavljaju sistemske treće strane pružatelji IKT usluga koje se smatraju ključnim trećim stranama pružateljima IKT usluga s poslovnim nastanom u trećim zemljama. Kako bi stoga nastavila pružati IKT usluge financijskim subjektima u Uniji, treća strana pružatelj IKT usluga s poslovnim nastanom u trećoj zemlji koja je imenovana kao ključna u skladu s ovom Uredbom trebala bi u roku od 12 mjeseci od takvog imenovanja poduzeti sve potrebne mjere kako bi osigurala da je osnovana u Uniji, i to tako da uspostavi društvo kći, kako je definirano u pravnoj stečevini Unije, odnosno u Direktivi 2013/34/EU Europskog parlamenta i Vijeća (21).

(82)

Zahtjev da osnuje društvo kći u Uniji ne bi trebao spriječiti ključnu treću stranu pružatelja IKT usluga da pruža IKT usluge i povezanu tehničku potporu iz objekata i infrastrukture koji se nalaze izvan Unije. Ovom se Uredbom ne bi trebala nametati obveza u pogledu lokalizacije podataka jer se njome ne zahtijeva pohrana ili obrada podataka u Uniji.

(83)

Ključne treće strane pružatelji IKT usluga trebale bi moći pružati IKT usluge iz bilo kojeg dijela svijeta, ne nužno ili ne samo iz prostora koji se nalaze u Uniji. Aktivnosti nadzora prvo bi se trebale provoditi u prostorima koji se nalaze u Uniji i interakcijom sa subjektima koji se nalaze u Uniji, uključujući društva kćeri koja su osnovale ključne treće strane pružatelji IKT usluga na temelju ove Uredbe. Međutim, takva djelovanja unutar Unije mogla bi biti nedostatna da bi se glavnom nadzornom tijelu omogućilo da u potpunosti i djelotvorno obavlja svoje zadaće na temelju ove Uredbe. Glavno nadzorno tijelo stoga bi također trebalo moći izvršavati svoje relevantne nadzorne ovlasti u trećim zemljama. Izvršavanje tih ovlasti u trećim zemljama trebalo bi omogućiti glavnom nadzornom tijelu da ispita objekte iz kojih ključna treća strana pružatelj IKT usluga pruža IKT usluge ili usluge tehničke podrške, odnosno takvim uslugama upravlja, te bi glavnom nadzornom tijelu trebalo omogućiti sveobuhvatno i operativno razumijevanje upravljanja IKT rizicima koje provodi ključna treća strana pružatelj IKT usluga. Mogućnost da glavno nadzorno tijelo, kao agencija Unije, izvršava ovlasti izvan područja Unije trebala bi biti propisno uređena relevantnim uvjetima, posebno privolom dotične ključne treće strane pružatelja IKT usluga. Slično tome, relevantna tijela treće zemlje trebala bi biti obaviještena o izvršavanju aktivnosti glavnog nadzornog tijela na njihovu državnom području te se takvom izvršavanju aktivnosti ne bi smjela usprotiviti. Međutim, kako bi se osigurala učinkovita provedba i ne dovodeći u pitanje odgovarajuće nadležnosti institucija Unije i država članica, takve se ovlasti također trebaju u potpunosti temeljiti na sklapanju aranžmana za administrativnu suradnju s relevantnim tijelima dotične treće zemlje. Ovom bi se Uredbom stoga europskim nadzornim tijelima trebalo omogućiti sklapanje aranžmana za administrativnu suradnju s relevantnim tijelima trećih zemalja, čime se ne bi trebale stvarati nikakve druge pravne obveze u odnosu na Uniju i njezine države članice.

(84)

Kako bi se olakšala komunikacija s glavnim nadzornim tijelom i osiguralo odgovarajuće zastupanje, ključne treće strane pružatelji IKT usluga koji su dio grupe trebali bi imenovati jednu pravnu osobu kao svoju koordinacijsku točku.

(85)

Nadzornim okvirom ne bi se trebala dovoditi u pitanje nadležnost država članica da provode vlastite misije nadzora ili praćenja trećih strana pružatelja IKT usluga koje nisu imenovane kao ključne na temelju ove Uredbe, ali se smatraju važnima na nacionalnoj razini.

(86)

Kako bi se iskoristila višeslojna institucionalna struktura u području financijskih usluga, Zajednički odbor europskih nadzornih tijela trebao bi nastaviti osiguravati opću međusektorsku koordinaciju u vezi sa svim pitanjima koja se odnose na IKT rizik, u skladu sa svojim zadaćama u području kibersigurnosti. Potporu bi mu trebao pružati novi pododbor („Nadzorni forum”) koji obavlja pripremne radnje kako za pojedinačne odluke upućene ključnim trećim stranama pružateljima IKT usluga tako i za izdavanje zajedničkih preporuka, osobito u odnosu na usporednu analizu programâ nadzora ključnih trećih strana pružatelja IKT usluga i utvrđivanje najboljih praksi za rješavanje pitanjâ koncentracijskog IKT rizika.

(87)

Kako bi se osigurao primjeren i djelotvoran nadzor nad ključnim trećim stranama pružateljima IKT usluga na razini Unije, ovom se Uredbom predviđa da bi se bilo koje od triju europskih nadzornih tijela moglo imenovati glavnim nadzornim tijelom. Pojedinačna dodjela ključne treće strane pružatelja IKT usluga jednom od triju europskih nadzornih tijela trebala bi biti rezultat procjene prevlasti financijskih subjekata koji posluju u financijskim sektorima za koje je to europsko nadzorno tijelo odgovorno. Taj bi pristup trebao dovesti do uravnotežene raspodjele zadaća i odgovornosti među trima europskim nadzornim tijelima u kontekstu izvršavanja nadzornih funkcija te bi se u okviru njega na najbolji način trebali iskoristiti ljudski resursi i tehničko stručno znanje kojim raspolaže svako od triju europskih nadzornih tijela.

(88)

Glavnim nadzornim tijelima trebalo bi dodijeliti potrebne ovlasti za provedbu istraga, obavljanje izravnog i neizravnog inspekcijskog nadzora u prostorima i na lokacijama ključnih trećih strana pružatelja IKT usluga te za dobivanje potpunih i ažuriranih informacija. Tim bi se ovlastima glavnom nadzornom tijelu trebalo omogućiti da stekne stvaran uvid u vrstu, dimenziju i učinak IKT rizika povezanog s trećim stranama za financijske subjekte i, u konačnici, za financijski sustav Unije. Povjeravanje uloge glavnog nadzora europskim nadzornim tijelima preduvjet je za razumijevanje i rješavanje pitanja sistemske dimenzije IKT rizika u području financija. Učinak ključnih trećih strana pružatelja IKT usluga na financijski sektor Unije i mogući problemi uzrokovani povezanim koncentracijskim IKT rizikom iziskuju zajednički pristup na razini Unije. Istodobna provedba višestrukih revizija i prava pristupa, koje bi zasebno provodila brojna nadležna tijela uz malu ili nikakvu međusobnu koordinaciju, spriječila bi financijska nadzorna tijela da dobiju potpun i sveobuhvatan pregled IKT rizika povezanog s trećim stranama u Uniji te bi ujedno dovela do redundantnosti, opterećenja i složenosti za ključne treće strane pružatelje IKT usluga ako bi podlijegale brojnim zahtjevima u pogledu praćenja i inspekcijskog nadzora.

(89)

Budući da imenovanje trećih strana pružatelja IKT usluga kao ključnih ima znatan učinak, ovom bi se Uredbom trebalo osigurati poštovanje prava ključnih trećih strana pružatelja IKT usluga tijekom provedbe cijelog nadzornog okvira. Prije nego što budu imenovani kao ključni, takvi bi pružatelji trebali, na primjer, imati pravo glavnom nadzornom tijelu dostaviti obrazloženu izjavu koja sadržava sve relevantne informacije u svrhu procjene povezane s njihovim imenovanjem. Budući da bi glavno nadzorno tijelo trebalo ovlastiti za podnošenje preporuka o pitanjima IKT rizika i odgovarajućim korektivnim mjerama, što uključuje ovlast za protivljenje određenim ugovornim aranžmanima koji u konačnici utječu na stabilnost financijskog subjekta ili financijskog sustava, ključnim trećim stranama pružateljima IKT usluga trebalo bi omogućiti da prije finalizacije tih preporuka dostave objašnjenja o očekivanom učinku rješenja predviđenih u preporukama na klijente koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe te da osmisle rješenja za ublažavanje rizika. Ključne treće strane pružatelji IKT usluga koje se ne slažu s preporukama trebale bi dostaviti obrazloženo objašnjenje svoje namjere da ne prihvate preporuku. Ako se takvo obrazloženo objašnjenje ne dostavi ili se smatra nedostatnim, glavno nadzorno tijelo trebalo bi objaviti obavijest sa sažetim opisom neusklađenosti.

(90)

Nadležna tijela trebala bi u svoje funkcije u pogledu bonitetnog nadzora financijskih subjekata propisno uključiti zadaću provjere sadržajne usklađenosti s preporukama koje je izdalo glavno nadzorno tijelo. Nadležna tijela trebala bi moći zahtijevati od financijskih subjekata da poduzmu dodatne mjere za nošenje s rizicima utvrđenima u preporukama glavnog nadzornog tijela te bi trebala pravodobno izdati obavijesti o tome. Ako glavno nadzorno tijelo uputi preporuke ključnim trećim stranama pružateljima IKT usluga koje su predmet nadzora na temelju Direktive (EU) 2022/2555, nadležna tijela trebala bi se moći, na dobrovoljnoj osnovi i prije donošenja dodatnih mjera, savjetovati s nadležnim tijelima iz te direktive kako bi se poticao koordiniran pristup u postupanju s dotičnim ključnim trećim stranama pružateljima IKT usluga.

(91)

Izvršavanje nadzora trebalo bi se orijentirati prema trima operativnim načelima kojima se nastoji osigurati: (a) blisku koordinaciju među europskim nadzornim tijelima u njihovim ulogama glavnih nadzornih tijela putem Zajedničke nadzorne mreže, (b) usklađenost s okvirom uspostavljenim Direktivom (EU) 2022/2555 (na temelju dobrovoljnog savjetovanja s tijelima iz te direktive kako bi se izbjeglo udvostručavanje mjera usmjerenih na ključne treće strane pružatelje IKT usluga) i (c) dužnu pažnju u svrhu minimiziranja potencijalnog rizika od poremećaja u uslugama koje ključne treće strane pružatelji IKT usluga pružaju klijentima koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe.

(92)

Nadzornim okvirom ne bi se trebao zamijeniti ni na bilo koji način ni u bilo kojem dijelu nadomjestiti zahtjev da financijski subjekti sami upravljaju rizicima koji proizlaze iz angažiranja trećih strana pružatelja IKT usluga, uključujući njihovu obvezu održavanja stalnog praćenja ugovornih aranžmana sklopljenih s ključnim trećim stranama pružateljima IKT usluga. Isto tako, nadzorni okvir ne bi trebao utjecati na potpunu odgovornost financijskih subjekata za poštovanje i izvršavanje svih pravnih obveza utvrđenih u ovoj Uredbi i u relevantnom pravu o financijskim uslugama.

(93)

Kako bi se izbjegla udvostručavanja i preklapanja, nadležna tijela trebala bi se suzdržati od pojedinačnog poduzimanja bilo kakvih mjera usmjerenih na praćenje rizika ključne treće strane pružatelja IKT usluga te bi se u tom pogledu trebala oslanjati na procjenu relevantnog glavnog nadzornog tijela. O svim mjerama trebalo bi se svakako koordinirati i unaprijed ih dogovoriti s glavnim nadzornim tijelom u kontekstu izvršavanja zadaća iz nadzornog okvira.

(94)

Kako bi se promicala konvergencija na međunarodnoj razini u pogledu primjene najboljih praksi u preispitivanju i praćenju upravljanja digitalnim rizicima trećih strana pružatelja IKT usluga, europska nadzorna tijela trebalo bi poticati na sklapanje aranžmana za suradnju s relevantnim nadzornim i regulatornim tijelima trećih zemalja.

(95)

Kako bi se iskoristile posebne kompetencije, tehničke vještine i stručno znanje osoblja specijaliziranog za operativni i IKT rizik unutar nadležnih tijela, triju europskih nadzornih tijela te, na dobrovoljnoj osnovi, nadležnih tijela iz Direktive (EU) 2022/2555, glavno nadzorno tijelo trebalo bi se oslanjati na nacionalne nadzorne sposobnosti i znanje te osnovati namjenske timove za provjeru za svaku ključnu treću stranu pružatelja IKT usluga, udruživanjem multidisciplinarnih timova za potporu u pripremi i izvršenju nadzornih aktivnosti, uključujući opće istrage i inspekcijski nadzor nad ključnim trećim stranama pružateljima IKT usluga, kao i za sve potrebne daljnje mjere.

(96)

Iako bi se troškovi koji proizlaze iz zadaća nadzora u potpunosti financirali naknadama koje se naplaćuju ključnim trećim stranama pružateljima IKT usluga, europskim nadzornim tijela vjerojatno će, prije početka primjene nadzornog okvira, nastati troškovi implementacije namjenskih IKT sustava na kojima će se temeljiti predstojeći nadzor, s obzirom na činjenicu da bi namjenske IKT sustave trebalo unaprijed razviti i uvesti. Ovom se Uredbom stoga predviđa hibridni model financiranja, pri čemu bi se nadzorni okvir kao takav u potpunosti financirao iz naknada, dok bi se razvoj IKT sustavâ europskih nadzornih tijela financirao iz doprinosâ Unije i nacionalnih nadležnih tijela.

(97)

Nadležna tijela trebala bi imati sve potrebne ovlasti nadzora, istrage i sankcioniranja kako bi osigurala pravilno izvršavanje svojih zadaća na temelju ove Uredbe. U načelu bi trebala objavljivati obavijesti o administrativnim kaznama koje izreknu. Budući da financijski subjekti i treće strane pružatelji IKT usluga mogu imati poslovni nastan u različitim državama članicama i biti pod nadzorom različitih nadležnih tijela, primjenu ove Uredbe trebalo bi olakšati, s jedne strane, bliskom suradnjom među relevantnim nadležnim tijelima, uključujući ESB u pogledu posebnih zadaća koje su mu dodijeljene Uredbom Vijeća (EU) br. 1024/2013, i, s druge strane, savjetovanjem s europskim nadzornim tijelima putem uzajamne razmjene informacija i pružanja pomoći u kontekstu relevantnih nadzornih aktivnosti.

(98)

Kako bi se dodatno kvantificirali i kvalificirali kriteriji za imenovanje trećih strana pružatelja IKT usluga kao ključnih te kako bi se uskladile naknade za nadzor, Komisiji bi trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. UFEU-a kako bi se ova Uredba dopunila dodatnim utvrđivanjem sistemskog učinka koji bi prekid ili operativni ispad treće strane pružatelja IKT usluga mogao imati na financijske subjekte kojima ta treća strana pruža IKT usluge, broja globalnih sistemski važnih institucija (GSV institucija) ili ostalih sistemski važnih institucija (OSV institucija) koje se oslanjaju na dotičnu treću stranu pružatelja IKT usluga, broja trećih strana pružatelja IKT usluga aktivnih na određenom tržištu, troškova migracije podataka i radnog opterećenja u području IKT-a na druge treće strane pružatelje IKT usluga, kao i iznosa naknada za nadzor i načina njihova plaćanja. Posebno je važno da Komisija tijekom svojeg pripremnog rada provede odgovarajuća savjetovanja, uključujući ona na razini stručnjaka, te da se ta savjetovanja provedu u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016. (22). Osobito, s ciljem osiguravanja ravnopravnog sudjelovanja u pripremi delegiranih akata, Europski parlament i Vijeće trebali bi primiti sve dokumente istodobno kada i stručnjaci iz država članica te bi njihovi stručnjaci sustavno trebali imati pristup sastancima stručnih skupina Komisije koji se odnose na pripremu delegiranih akata.

(99)

Regulatornim tehničkim standardima trebalo bi se osigurati dosljedno usklađivanje zahtjeva utvrđenih u ovoj Uredbi. Kao tijela s visokospecijaliziranim stručnim znanjem europska nadzorna tijela trebala bi izraditi nacrt regulatornih tehničkih standarda koji ne uključuje odabire u pogledu politika i dostaviti ga Komisiji. Trebalo bi razviti regulatorne tehničke standarde u područjima upravljanja IKT rizicima, izvješćivanja i testiranja u vezi sa značajnim IKT incidentima te u pogledu ključnih zahtjeva za dobro praćenje IKT rizika povezanog s trećim stranama. Komisija i europska nadzorna tijela trebali bi osigurati da te standarde i zahtjeve mogu primjenjivati svi financijski subjekti na način koji je razmjeran njihovoj veličini i ukupnom profilu rizičnosti te prirodi, opsegu i složenosti njihovih usluga, aktivnosti i poslovanja. Komisija bi trebala biti ovlaštena za donošenje tih regulatornih tehničkih standarda putem delegiranih akata na temelju članka 290. UFEU-a i u skladu s člancima od 10. do 14. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

(100)

Kako bi se poboljšala usporedivost izvješćâ o značajnim IKT incidentima i značajnim operativnim incidentima ili sigurnosnim incidentima povezanima s plaćanjem te osigurala transparentnost u pogledu ugovornih aranžmana za upotrebu IKT usluga koje pružaju treće strane pružatelji IKT usluga, europska nadzorna tijela trebala bi izraditi nacrt provedbenih tehničkih standarda kojima se utvrđuju standardizirani predlošci, obrasci i postupci za financijske subjekte za izvješćivanje o značajnom IKT incidentu i značajnom operativnom ili sigurnosnom incidentu povezanom s plaćanjem, kao i standardizirani predlošci za registar informacija. Pri izradi tih standarda europska nadzorna tijela trebala bi uzeti u obzir veličinu i ukupni profil rizičnosti financijskog subjekta te prirodu, opseg i složenost njegovih usluga, aktivnosti i poslovanja. Komisija bi trebala biti ovlaštena za donošenje tih provedbenih tehničkih standarda putem provedbenih akata na temelju članka 291. UFEU-a i u skladu s člankom 15. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

(101)

Budući da su dodatni zahtjevi već utvrđeni delegiranim i provedbenim aktima na temelju regulatornih i provedbenih tehničkih standarda u uredbama (EZ) br. 1060/2009 (23), (EU) br. 648/2012 (24), (EU) br. 600/2014 (25) i (EU) br. 909/2014 (26) Europskog parlamenta i Vijeća, primjereno je ovlastiti europska nadzorna tijela da zasebno ili zajednički u okviru Zajedničkog odbora podnose Komisiji regulatorne i provedbene tehničke standarde radi donošenja delegiranih i provedbenih akata kojima se prenose i ažuriraju postojeća pravila za upravljanje IKT rizicima.

(102)

Budući da ova Uredba, zajedno s Direktivom (EU) 2022/2556 Europskog parlamenta i Vijeća (27), uključuje konsolidaciju odredaba o upravljanju IKT rizicima iz više uredbi i direktiva iz pravne stečevine Unije u području financijskih usluga, uključujući uredbe (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014 (EU) i (EU) br. 909/2014 te Uredbu (EU) 2016/1011 Europskog parlamenta i Vijeća (28), kako bi se osigurala potpuna dosljednost navedene bi uredbe trebalo izmijeniti kako bi se pojasnilo da su primjenjive odredbe o IKT rizicima utvrđene u ovoj Uredbi.

(103)

Stoga bi trebalo suziti područje primjene relevantnih članaka povezanih s operativnim rizikom na temelju kojih se ovlaštenjima utvrđenima u uredbama (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 predvidjelo donošenje delegiranih i provedbenih akata, kako bi se u ovu Uredbu prenijele sve odredbe koje obuhvaćaju aspekte digitalne operativne otpornosti koji su trenutačno dio tih uredbi.

(104)

Potencijalni sistemski kiberrizik povezan s upotrebom IKT infrastruktura koje omogućuju rad platnih sustava i osiguravanje aktivnosti obrade plaćanja trebalo bi na odgovarajući način rješavati na razini Unije usklađenim pravilima o digitalnoj otpornosti. U tu bi svrhu Komisija trebala brzo procijeniti potrebu za preispitivanjem područja primjene ove Uredbe i istodobno uskladiti takvo preispitivanje s ishodom sveobuhvatnog preispitivanja predviđenog Direktivom (EU) 2015/2366. Brojni opsežni napadi tijekom posljednjeg desetljeća pokazuju kako su platni sustavi postali izloženi kiberprijetnjama. Budući da su u središtu lanca platnih usluga i snažno povezani s cjelokupnim financijskim sustavom, platni sustavi i aktivnosti obrade plaćanja postali su izuzetno važni za funkcioniranje financijskih tržišta Unije. Kibernapadi na takve sustave mogu uzrokovati ozbiljne poremećaje u poslovanju i imati izravne posljedice na ključne gospodarske funkcije, kao što je olakšavanje plaćanja, i neizravne učinke na povezane gospodarske procese. Dok se na razini Unije ne uspostave usklađeni režim i nadzor nad operatorima platnih sustava i izvršiteljima obrade, države članice mogu se, u cilju primjene sličnih tržišnih praksi, poslužiti zahtjevima u pogledu digitalne operativne otpornosti utvrđenima ovom Uredbom kad primjenjuju pravila na operatore platnih sustava i izvršitelje obrade koji su predmet nadzora u svojim jurisdikcijama.

(105)

S obzirom na to da cilj ove Uredbe, to jest postizanje visoke razine digitalne operativne otpornosti reguliranih financijskih subjekata, ne mogu dostatno ostvariti države članice jer on zahtijeva usklađivanje različitih pravila u pravu Unije i nacionalnom pravu, nego se zbog njegova opsega i učinaka on na bolji način može ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Uredba ne prelazi ono što je potrebno za ostvarivanje tog cilja.

(106)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (29) te je on dao mišljenje 10. svibnja 2021. (30),

(a)

zahtjevi primjenjivi na financijske subjekte koji se odnose na:

(b)

zahtjevi koji se odnose na ugovorne aranžmane sklopljene između trećih strana pružatelja IKT usluga i financijskih subjekata;

(c)

pravila za uspostavu i provedbu nadzornog okvira za ključne treće strane pružatelje IKT usluga pri pružanju usluga financijskim subjektima;

(d)

pravila za suradnju među nadležnim tijelima i pravila o nadzoru i izvršavanju koje provode nadležna tijela u vezi sa svim pitanjima obuhvaćenima ovom Uredbom.

(a)

kreditne institucije;

(b)

institucije za platni promet, uključujući institucije za platni promet izuzete na temelju Direktive (EU) 2015/2366;

(c)

pružatelje usluga pružanja informacija o računu;

(d)

institucije za elektronički novac, uključujući institucije za elektronički novac izuzete na temelju Direktive 2009/110/EZ;

(e)

investicijska društva;

(f)

pružatelje usluga povezanih s kriptoimovinom koji imaju odobrenje za rad na temelju uredbe Europskog parlamenta i Vijeća o tržištima kriptoimovine i izmjeni uredaba (EU) br. 1093/2010 i (EU) br. 1095/2010 te direktiva 2013/36/EU i (EU) 2019/1937 („Uredba o tržištima kriptoimovine”) i izdavatelje tokena vezanih uz imovinu;

(g)

središnje depozitorije vrijednosnih papira;

(h)

središnje druge ugovorne strane;

(i)

mjesta trgovanja;

(j)

trgovinske repozitorije;

(k)

upravitelje alternativnih investicijskih fondova;

(l)

društva za upravljanje;

(m)

pružatelje usluga dostave podataka;

(n)

društva za osiguranje i društva za reosiguranje;

(o)

posrednike u osiguranju, posrednike u reosiguranju i sporedne posrednike u osiguranju;

(p)

institucije za strukovno mirovinsko osiguranje;

(q)

agencije za kreditni rejting;

(r)

administratore ključnih referentnih vrijednosti;

(s)

pružatelje usluga skupnog financiranja;

(t)

sekuritizacijske repozitorije;

(u)

treće strane pružatelje IKT usluga.

(a)

upravitelje alternativnih investicijskih fondova iz članka 3. stavka 2. Direktive 2011/61/EU;

(b)

društva za osiguranje i društva za reosiguranje iz članka 4. Direktive 2009/138/EZ;

(c)

institucije za strukovno mirovinsko osiguranje koje upravljaju mirovinskim programima koji zajedno nemaju više od ukupno 15 članova;

(d)

fizičke ili pravne osobe izuzete na temelju članaka 2. i 3. Direktive 2014/65/EU;

(e)

posrednike u osiguranju, posrednike u reosiguranju i sporedne posrednike u osiguranju koji su mikropoduzeća ili mala ili srednja poduzeća;

(f)

poštanske žiro institucije iz članka 2. stavka 5. točke 3. Direktive 2013/36/EU.

1.

„digitalna operativna otpornost” znači sposobnost financijskog subjekta da izgradi, osigura i preispituje svoju operativnu cjelovitost i pouzdanost tako da upotrebom usluga koje pružaju treće strane pružatelji IKT usluga izravno ili neizravno osigura cijeli raspon IKT sposobnosti potrebnih za sigurnost mrežnih i informacijskih sustava kojima se financijski subjekt koristi i kojima se podupire kontinuirano pružanje financijskih usluga i njihova kvaliteta, među ostalim i tijekom poremećaja;

2.

„mrežni i informacijski sustav” znači mrežni i informacijski sustav kako je definiran u članku 6. točki 1. Direktive (EU) 2022/2555;

3.

„zastarjeli IKT sustav” znači IKT sustav koji je na kraju svojeg životnog ciklusa, a koji zbog tehnoloških ili komercijalnih razloga nije prikladan za nadogradnju ili popravak ili za koji njegov dobavljač ili treća strana pružatelj IKT usluga više ne pruža podršku, ali je još uvijek u upotrebi i podržava funkcije financijskog subjekta;

4.

„sigurnost mrežnih i informacijskih sustava” znači sigurnost mrežnih i informacijskih sustava kako je definirana u članku 6. točki 2. Direktive (EU) 2022/2555;

5.

„IKT rizik” znači svaka razumno prepoznatljiva okolnost koja se odnosi na upotrebu mrežnih i informacijskih sustava, koja, ako do nje dođe, može dovesti do negativnih učinaka u digitalnom ili fizičkom okruženju te time ugroziti sigurnost mrežnih i informacijskih sustava, svih alata ili procesa koji ovise o tehnologiji, operacija i procesa ili pružanja usluga;

6.

„informacijska imovina” znači skup materijalnih ili nematerijalnih informacija koje vrijedi zaštititi;

7.

„IKT imovina” znači softverska ili hardverska imovina u mrežnim i informacijskim sustavima koju upotrebljava financijski subjekt;

8.

„IKT incident” znači događaj ili niz povezanih događaja koje financijski subjekt nije planirao i koji ugrožavaju sigurnost mrežnih i informacijskih sustava i negativno utječu na dostupnost, vjerodostojnost, cjelovitost ili povjerljivost podataka, ili na usluge koje pruža financijski subjekt;

9.

„operativni ili sigurnosni incident povezan s plaćanjem” znači događaj ili niz povezanih događaja, neovisno o tome jesu li povezani s IKT-om ili ne, koje financijski subjekti iz članka 2. stavka 1. točaka od (a) do (d) nisu planirali i koji negativno utječu na dostupnost, vjerodostojnost, cjelovitost ili povjerljivost podataka povezanih s plaćanjem ili na usluge povezane s plaćanjem koje pruža financijski subjekt;

10.

„značajan IKT incident” znači IKT incident koji izrazito negativno utječe na mrežne i informacijske sustave kojima se podupiru ključne ili važne funkcije financijskog subjekta;

11.

„značajan operativni ili sigurnosni incident povezan s plaćanjem” znači operativni ili sigurnosni incident koji izrazito negativno utječe na pružene usluge povezane s plaćanjem;

12.

„kiberprijetnja” znači kiberprijetnja kako je definirana u članku 2. točki 8. Uredbe (EU) 2019/881;

13.

„ozbiljna kiberprijetnja” znači kiberprijetnja čije tehničke značajke ukazuju na to da je mogla dovesti do značajnog IKT incidenta ili značajnog operativnog ili sigurnosnog incidenta povezanog s plaćanjem;

14.

„kibernapad” znači zlonamjeran IKT incident uzrokovan pokušajem bilo kojeg aktera prijetnje da uništi, izloži, izmijeni, onemogući, ukrade ili neovlašteno koristi imovinu ili joj neovlašteno pristupi;

15.

„saznanja o prijetnjama” znači informacije koje su agregirane, preoblikovane, analizirane, protumačene ili obogaćene kako bi se dobio kontekst potreban za donošenje odluka i kako bi se omogućilo relevantno i dostatno razumijevanje za ublažavanje učinka IKT incidenta ili kiberprijetnje, uključujući tehničke pojedinosti kibernapada, onih koji su odgovorni za napad te njihova načina rada i njihovih motiva;

16.

„ranjivost” znači slabost, osjetljivost ili nedostatak neke imovine, sustava, procesa ili kontrole koji se može iskoristiti;

17.

„penetracijska testiranja vođena prijetnjama (TLPT)” znači okvir koji oponaša taktike, tehnike i procedure stvarnih aktera prijetnje koje se smatraju stvarnom kiberprijetnjom, koji omogućuje kontrolirano, prilagođeno testiranje ključnih produkcijskih sustava financijskog subjekta, vođeno saznanjima o prijetnjama („crveni tim”);

18.

„IKT rizik povezan s trećim stranama” znači IKT rizik koji može nastati za financijski subjekt u vezi s upotrebom IKT usluga koje pružaju treće strane pružatelji IKT usluga ili njihovi podugovaratelji, među ostalim i putem aranžmana za eksternalizaciju;

19.

„treća strana pružatelj IKT usluga” znači poduzetnik koji pruža IKT usluge;

20.

„pružatelj IKT usluga unutar grupe” znači društvo koje je dio financijske grupe i koje uglavnom pruža IKT usluge financijskim subjektima unutar iste grupe ili financijskim subjektima koji pripadaju istom institucionalnom sustavu zaštite, među ostalim i njihovim matičnim društvima, društvima kćerima, podružnicama ili drugim subjektima koji su u zajedničkom vlasništvu ili pod zajedničkom kontrolom;

21.

„IKT usluge” znači digitalne i podatkovne usluge koje se putem IKT sustavâ kontinuirano pružaju jednom ili više unutarnjih ili vanjskih korisnika, uključujući usluge najma informatičke opreme (engl. hardware as a service) i hardverske usluge koje uključuju pružanje tehničke podrške od strane pružatelja hardvera putem ažuriranja softvera ili ugrađenog softvera, uz iznimku tradicionalnih analognih telefonskih usluga;

22.

„ključna ili važna funkcija” znači funkcija čiji bi poremećaj bitno narušio financijske rezultate financijskog subjekta ili pouzdanost ili kontinuitet njegovih usluga i aktivnosti, odnosno funkcija čiji bi prestanak, neispravnost ili neizvršenje bitno narušili sposobnost financijskog subjekta da kontinuirano ispunjava uvjete i obveze iz svojeg odobrenja za rad ili druge obveze na temelju primjenjivog prava o financijskim uslugama;

23.

„ključna treća strana pružatelj IKT usluga” znači treća strana pružatelj IKT usluga imenovana kao ključna u skladu s člankom 31.;

24.

„treća strana pružatelj IKT usluga s poslovnim nastanom u trećoj zemlji” znači treća strana pružatelj IKT usluga koja je pravna osoba s poslovnim nastanom u trećoj zemlji, a koja je s financijskim subjektom sklopila ugovorni aranžman o pružanju IKT usluga;

25.

„društvo kći” znači poduzeće kći u smislu članka 2. točke 10. i članka 22. Direktive 2013/34/EU;

26.

„grupa” znači grupa kako je definirana u članku 2. točki 11. Direktive 2013/34/EU;

27.

„matično društvo” znači matično poduzeće u smislu članka 2. točke 9. i članka 22. Direktive 2013/34/EU;

28.

„podugovaratelj IKT usluga s poslovnim nastanom u trećoj zemlji” znači podugovaratelj IKT-a koji je pravna osoba s poslovnim nastanom u trećoj zemlji, a koji je sklopio ugovorni aranžman s trećom stranom pružateljem IKT usluga ili s trećom stranom pružateljem IKT usluga s poslovnim nastanom u trećoj zemlji;

29.

„koncentracijski IKT rizik” znači izloženost prema jednoj ili više povezanih ključnih trećih strana pružatelja IKT usluga, čime se stvara određeni stupanj ovisnosti o takvim pružateljima tako da nedostupnost, prekid ili neka druga vrsta nedostatka tih pružatelja može potencijalno ugroziti sposobnost financijskog subjekta za obavljanje ključnih ili važnih funkcija ili može dovesti do drugih vrsta negativnih učinaka, među ostalim i velikih gubitaka, ili može ugroziti financijsku stabilnost Unije u cjelini;

30.

„upravljačko tijelo” znači upravljačko tijelo kako je definirano u članku 4. stavku 1. točki 36. Direktive 2014/65/EU, članku 3. stavku 1. točki 7. Direktive 2013/36/EU, članku 2. stavku 1. točki (s) Direktive 2009/65/EZ Europskog parlamenta i Vijeća (31), članku 2. stavku 1. točki 45. Uredbe (EU) br. 909/2014, članku 3. stavku 1. točki 20. Uredbe (EU) 2016/1011 te u relevantnoj odredbi Uredbe o tržištima kriptoimovine ili ekvivalentne osobe koje u praksi upravljaju subjektom ili imaju ključne funkcije u skladu s relevantnim pravom Unije ili nacionalnim pravom;

31.

„kreditna institucija” znači kreditna institucija kako je definirana u članku 4. stavku 1. točki 1. Uredbe (EU) br. 575/2013 Europskog parlamenta i Vijeća (32);

32.

„institucija izuzeta na temelju Direktive 2013/36/EU” znači subjekt iz članka 2. stavka 5. točaka od 4. do 23. Direktive 2013/36/EU;

33.

„investicijsko društvo” znači investicijsko društvo kako je definirano u članku 4. stavku 1. točki 1. Direktive 2014/65/EU;

34.

„malo i nepovezano investicijsko društvo” znači investicijsko društvo koje ispunjava uvjete utvrđene u članku 12. stavku 1. Uredbe (EU) 2019/2033 Europskog parlamenta i Vijeća (33);

35.

„institucija za platni promet” znači institucija za platni promet kako je definirana u članku 4. točki 4. Direktive (EU) 2015/2366;

36.

„institucija za platni promet izuzeta na temelju Direktive 2015/2366” znači institucija za platni promet izuzeta na temelju članka 32. stavka 1. Direktive (EU) 2015/2366;

37.

„pružatelj usluga pružanja informacija o računu” znači pružatelj usluga pružanja informacija o računu iz članka 33. stavka 1. Direktive (EU) 2015/2366;

38.

„institucija za elektronički novac” znači institucija za elektronički novac kako je definirana u članku 2. točki 1. Direktive 2009/110/EZ;

39.

„institucija za elektronički novac izuzeta na temelju Direktive 2009/110/EZ” znači institucija za elektronički novac na koju se primjenjuje izuzeće iz članka 9. stavka 1. Direktive 2009/110/EZ;

40.

„središnja druga ugovorna strana” znači središnja druga ugovorna strana kako je definirana u članku 2. točki 1. Uredbe (EU) br. 648/2012;

41.

„trgovinski repozitorij” znači trgovinski repozitorij kako je definiran u članku 2. točki 2. Uredbe (EU) br. 648/2012;

42.

„središnji depozitorij vrijednosnih papira” znači središnji depozitorij vrijednosnih papira kako je definiran u članku 2. stavku 1. točki 1. Uredbe (EU) br. 909/2014;

43.

„mjesto trgovanja” znači mjesto trgovanja kako je definirano u članku 4. stavku 1. točki 24. Direktive 2014/65/EU;

44.

„upravitelj alternativnih investicijskih fondova” znači upravitelj alternativnih investicijskih fondova kako je definiran u članku 4. stavku 1. točki (b) Direktive 2011/61/EU;

45.

„društvo za upravljanje” znači društvo za upravljanje kako je definirano u članku 2. stavku 1. točki (b) Direktive 2009/65/EZ;

46.

„pružatelj usluga dostave podataka” znači pružatelj usluga dostave podataka u smislu Uredbe (EU) br. 600/2014, kako je naveden u njezinu članku 2. stavku 1. točkama od 34. do 36.;

47.

„društvo za osiguranje” znači društvo za osiguranje kako je definirano u članku 13. točki 1. Direktive 2009/138/EZ;

48.

„društvo za reosiguranje” znači društvo za reosiguranje kako je definirano u članku 13. točki 4. Direktive 2009/138/EZ;

49.

„posrednik u osiguranju” znači posrednik u osiguranju kako je definiran u članku 2. stavku 1. točki 3. Direktive (EU) 2016/97 Europskog parlamenta i Vijeća (34);

50.

„sporedni posrednik u osiguranju” znači sporedni posrednik u osiguranju kako je definiran u članku 2. stavku 1. točki 4. Direktive (EU) 2016/97;

51.

„posrednik u reosiguranju” znači posrednik u reosiguranju kako je definiran u članku 2. stavku 1. točki 5. Direktive (EU) 2016/97;

52.

„institucija za strukovno mirovinsko osiguranje” znači institucija za strukovno mirovinsko osiguranje kako je definirana u članku 6. točki 1. Direktive (EU) 2016/2341;

53.

„mala institucija za strukovno mirovinsko osiguranje” znači institucija za strukovno mirovinsko osiguranje koja upravlja mirovinskim programima koji ukupno imaju manje od 100 članova;

54.

„agencija za kreditni rejting” znači agencija za kreditni rejting kako je definirana u članku 3. stavku 1. točki (b) Uredbe (EZ) br. 1060/2009;

55.

„pružatelj usluga povezanih s kriptoimovinom” znači pružatelj usluga povezanih s kriptoimovinom kako je definiran u relevantnoj odredbi Uredbe o tržištima kriptoimovine;

56.

„izdavatelj tokena vezanih uz imovinu” znači izdavatelj tokena vezanih uz imovinu kako je definiran u relevantnoj odredbi Uredbe o tržištima kriptoimovine;

57.

„administrator ključnih referentnih vrijednosti” znači administrator „ključnih referentnih vrijednosti” kako su definirane u članku 3. točki 25. Uredbe (EU) 2016/1011;

58.

„pružatelj usluga skupnog financiranja” znači pružatelj usluga skupnog financiranja kako je definiran u članku 2. stavku 1. točki (e) Uredbe (EU) 2020/1503 Europskog parlamenta i Vijeća (35);

59.

„sekuritizacijski repozitorij” znači sekuritizacijski repozitorij kako je definiran u članku 2. točki 23. Uredbe (EU) 2017/2402 Europskog parlamenta i Vijeća (36);

60.

„mikropoduzeće” znači financijski subjekt koji nije mjesto trgovanja, središnja druga ugovorna strana, trgovinski repozitorij ili središnji depozitorij vrijednosnih papira, a koji zapošljava manje od 10 osoba i čiji ukupni godišnji promet i/ili ukupna godišnja bilanca ne premašuje 2 milijuna EUR;

61.

„glavno nadzorno tijelo” znači europsko nadzorno tijelo imenovano u skladu s člankom 31. stavkom 1. točkom (b) ove Uredbe;

62.

„Zajednički odbor” znači odbor iz članka 54. uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010;

63.

„malo poduzeće” znači financijski subjekt koji zapošljava 10 ili više osoba, ali manje od 50 osoba i čiji ukupni godišnji promet i/ili čija ukupna godišnja bilanca premašuje 2 milijuna EUR, ali ne premašuje 10 milijuna EUR;

64.

„srednje poduzeće” znači financijski subjekt koji nije malo poduzeće, koji zapošljava manje od 250 osoba i čiji godišnji promet ne premašuje 50 milijuna EUR i/ili čija godišnja bilanca ne premašuje 43 milijuna EUR;

65.

„tijelo javne vlasti” znači svako državno tijelo ili drugo tijelo javne uprave, uključujući nacionalne središnje banke.

(a)

snosi krajnju odgovornost za upravljanje IKT rizicima financijskog subjekta;

(b)

uspostavlja politike čiji je cilj osigurati održavanje visokih standarda dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka;

(c)

određuje jasne uloge i odgovornosti za sve funkcije povezane s IKT-om i uspostavlja odgovarajuće aranžmane upravljanja kako bi se osigurale djelotvorna i pravodobna komunikacija, suradnja i koordinacija među tim funkcijama;

(d)

snosi opću odgovornost za utvrđivanje i odobravanje strategije za digitalnu operativnu otpornost iz članka 6. stavka 8., među ostalim i za određivanje odgovarajuće razine tolerancije financijskog subjekta na IKT rizik, kako je navedeno u članku 6. stavku 8. točki (b);

(e)

odobrava, nadzire i periodički preispituje način na koji financijski subjekt provodi politiku kontinuiteta poslovanja u području IKT-a te planove odgovora i oporavka u području IKT-a iz članka 11. stavka 1. odnosno stavka 3., pri čemu se ta politika može donijeti kao zasebna politika koja je sastavni dio cjelokupne politike kontinuiteta poslovanja te plana odgovora i oporavka financijskog subjekta;

(f)

odobrava i periodički preispituje planove financijskog subjekta za unutarnju reviziju u području IKT-a, revizije u području IKT-a i njihove bitne izmjene;

(g)

izrađuje i periodički preispituje odgovarajući proračun za ispunjavanje potreba financijskog subjekta u pogledu digitalne operativne otpornosti, i to za sve vrste resursa, što uključuje relevantne programe za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanja o digitalnoj operativnoj otpornosti iz članka 13. stavka 6. te stjecanje vještina u području IKT-a za sve članove osoblja;

(h)

odobrava i periodički preispituje politiku financijskog subjekta u vezi s aranžmanima za upotrebu IKT usluga koje pružaju treće strane pružatelji IKT usluga;

(i)

na korporativnoj razini uspostavlja kanale za izvješćivanje s pomoću kojih će moći biti propisno obaviješteno o sljedećem:

(a)

objašnjava se kako se okvirom za upravljanje IKT rizicima podupiru poslovna strategija i ciljevi financijskog subjekta;

(b)

utvrđuje se razina tolerancije na IKT rizik, u skladu sa sklonošću financijskog subjekta preuzimanju rizika, te se analizira učinak tolerancije za poremećaje u radu IKT-a;

(c)

utvrđuju se jasni ciljevi u području informacijske sigurnosti, uključujući ključne pokazatelje uspješnosti i ključne parametre rizika;

(d)

objašnjava se referentna IKT arhitektura i sve promjene koje su potrebne za ostvarenje specifičnih poslovnih ciljeva;

(e)

u glavnim crtama izlažu se različiti mehanizmi uspostavljeni radi otkrivanja IKT incidenata, sprečavanja njihovih učinaka i pružanja zaštite od tih učinaka;

(f)

jasno se prikazuje aktualna situacija u pogledu digitalne operativne otpornosti, i to na temelju broja prijavljenih značajnih IKT incidenata i djelotvornosti preventivnih mjera;

(g)

uvodi se testiranje digitalne operativne otpornosti, u skladu s poglavljem IV. ove Uredbe;

(h)

u glavnim crtama izlaže se komunikacijska strategija za slučaj IKT incidenata koji se moraju objaviti u skladu s člankom 14.

(a)

primjereni razmjeru operacija koje podupiru poslovanje tih financijskih subjekata, u skladu s načelom proporcionalnosti iz članka 4.;

(b)

pouzdani;

(c)

opremljeni dostatnim kapacitetom za pravilnu obradu podataka potrebnih za obavljanje aktivnosti i pravodobno pružanje usluga, kao i kapacitetom za najjače opterećenje nalozima, porukama ili transakcijama, ovisno o potrebi, među ostalim i u slučaju uvođenja nove tehnologije;

(d)

tehnološki otporni da mogu primjereno ispuniti dodatne potrebe za obradom informacija u stresnim okolnostima na tržištu ili drugim nepovoljnim situacijama.

(a)

osigurava se sigurnost sredstava za prijenos podataka;

(b)

na najmanju moguću mjeru svodi se rizik od oštećenja ili gubitka podataka, neovlaštenog pristupa i tehničkih nedostataka koji mogu narušiti poslovanje;

(c)

sprečavaju se pomanjkanje dostupnosti, narušavanje vjerodostojnosti i cjelovitosti, kršenja povjerljivosti i gubitak podataka;

(d)

osigurava se zaštita podataka od rizika koji proizlaze iz upravljanja podatcima, među ostalim i iz loše administracije, rizika povezanih s obradom i ljudske pogreške.

(a)

razvijaju i dokumentiraju politiku informacijske sigurnosti kojom se utvrđuju pravila za zaštitu dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka te informacijske imovine i IKT imovine, među ostalim, ako je to primjenjivo, i podataka i te imovine njihovih klijenata;

(b)

primjenom pristupa koji se temelji na procjeni rizika uspostavljaju pouzdanu strukturu za upravljanje mrežom i infrastrukturom s pomoću odgovarajućih tehnika, metoda i protokola, koji mogu uključivati automatizirane mehanizme za izoliranje zahvaćene informacijske imovine u slučaju kibernapadâ;

(c)

provode politike kojima se fizički ili logički pristup informacijskoj i IKT imovini ograničava samo na ono što je nužno za legitimne i odobrene funkcije i aktivnosti te u tu svrhu uvode politike, postupke i kontrole koji se odnose na prava pristupa i osiguravaju dobro upravljanje njima;

(d)

provode politike i protokole za pouzdane mehanizme autentifikacije, na temelju relevantnih standarda i namjenskih kontrolnih sustava, te mjere za zaštitu kriptografskih ključeva, kojima se podatci šifriraju na temelju rezultata odobrenih procesa klasifikacije podataka i procjene IKT rizika;

(e)

provode dokumentirane politike, postupke i kontrole za upravljanje promjenama IKT-a, što uključuje promjene softvera, hardvera, komponenata ugrađenog softvera, sustava ili sigurnosnih parametara, koji se temelje na procjeni rizika i sastavni su dio općeg procesa upravljanja promjenama u financijskom subjektu, kako bi se osiguralo kontrolirano evidentiranje, testiranje, procjena, odobravanje, provedba i provjera svih promjena u IKT sustavima;

(f)

posjeduju odgovarajuće i sveobuhvatne dokumentirane politike za zakrpe i ažuriranja.

(a)

osigurati kontinuitet ključnih ili važnih funkcija financijskog subjekta;

(b)

brz, primjeren i djelotvoran odgovor na sve IKT incidente i njihovo rješavanje na način kojim se ograničava šteta, a prioritet daje nastavku poslovanja i mjerama oporavka;

(c)

aktivirati, bez odgode, namjenske planove kojima se omogućuju mjere, procesi i tehnologije za suzbijanje širenja koji su prilagođeni svakoj vrsti IKT incidenta i sprečavanje daljnje štete, te prilagođene postupke odgovora i oporavka uspostavljene u skladu s člankom 12.;

(d)

procijeniti preliminarne učinke, štete i gubitke;

(e)

utvrditi komunikacijske mjere i mjere za upravljanje krizama kojima se osigurava prijenos ažuriranih informacija svim relevantnim članovima internog osoblja i vanjskim dionicima u skladu s člankom 14. te izvješćivanje nadležnih tijela u skladu s člankom 19.

(a)

testiraju planove kontinuiteta poslovanja u području IKT-a te planove odgovora i oporavka u području IKT-a u odnosu na IKT sustave kojima se podupiru sve funkcije, i to najmanje jedanput godišnje, kao i u slučaju svih bitnih promjena u IKT sustavima kojima se podupiru ključne ili važne funkcije;

(b)

testiraju planove komunikacije u krizi izrađene u skladu s člankom 14.

(a)

politike i postupke za izradu sigurnosnih kopija, u kojima se određuje opseg podataka za koje se izrađuju sigurnosne kopije te minimalna učestalost izrade sigurnosnih kopija, na temelju ključnosti informacija ili razine povjerljivosti podataka;

(b)

postupke i metode za ponovnu uspostavu i oporavak.

(a)

mora biti geografski udaljeno od primarnog mjesta obrade kako bi se osigurao drukčiji profil rizičnosti i kako bi se spriječilo da ga zahvati događaj koji je zahvatio primarno mjesto;

(b)

mora moći osigurati kontinuitet ključnih ili važnih funkcija na isti način kao i primarno mjesto ili pružati razinu usluga koja je potrebna kako bi se osiguralo da financijski subjekt svoje ključne operacije obavi unutar ciljnih vrijednosti za oporavak;

(c)

mora biti odmah dostupno osoblju financijskog subjekta kako bi se osigurao kontinuitet ključnih ili važnih funkcija u slučaju nedostupnosti primarnog mjesta obrade.

(a)

brzine odgovora na sigurnosna upozorenja i utvrđivanja učinka IKT incidenata i njihove ozbiljnosti;

(b)

kvalitete i brzine provedbe forenzičke analize, u slučajevima u kojima se to smatra primjerenim;

(c)

djelotvornosti eskalacije incidenta unutar financijskog subjekta;

(d)

djelotvornosti unutarnje i vanjske komunikacije.

(a)

pobliže opisali elementi koje treba uključiti u politike, postupke, protokole i alate za sigurnost IKT-a iz članka 9. stavka 2. kako bi se osigurale sigurnost mreža i odgovarajuće mjere zaštite od neovlaštenih upada i zlouporabe podataka, očuvale dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka, što uključuje kriptografske tehnike, i zajamčio točan i brz prijenos podataka bez značajnih poremećaja i nepotrebnih zastoja;

(b)

dodatno razradile komponente kontrole pravâ upravljanja pristupom iz članka 9. stavka 4. točke (c) i povezana politika ljudskih resursa, u okviru koje se pobliže opisuju prava pristupa, postupci za dodjelu i opoziv prava te praćenje neobičnog ponašanja u pogledu IKT rizika s pomoću odgovarajućih pokazatelja, među ostalim i za obrasce upotrebe mreže, sate, IT aktivnost i nepoznate uređaje;

(c)

dodatno razradili mehanizmi utvrđeni u članku 10. stavku 1. koji omogućuju brzo otkrivanje neobičnih aktivnosti te kriteriji utvrđeni u članku 10. stavku 2. za aktiviranje otkrivanja IKT incidenata i procesa odgovora;

(d)

pobliže opisale sastavnice politike kontinuiteta poslovanja u području IKT-a iz članka 11. stavka 1.;

(e)

pobliže opisalo testiranje planova kontinuiteta poslovanja u području IKT-a iz članka 11. stavka 6. kako bi se osiguralo da se pri tom testiranju propisno uzimaju u obzir scenariji u kojima kvaliteta pružanja ključne ili važne funkcije opada do neprihvatljive razine ili pružanje te funkcije nije moguće te da se propisno razmatra mogući učinak nesolventnosti ili drugih oblika prekida relevantne treće strane pružatelja IKT usluga, kao i, ako je relevantno, politički rizici u jurisdikcijama u kojima ti pružatelji posluju;

(f)

pobliže opisale sastavnice planova odgovora i oporavka u području IKT-a iz članka 11. stavka 3.;

(g)

pobliže opisali sadržaj i format izvješća o preispitivanju okvira za upravljanje IKT rizicima iz članka 6. stavka 5.

(a)

uspostaviti i održavati pouzdan i dokumentiran okvir za upravljanje IKT rizicima, u kojem se detaljno navode mehanizmi i mjere usmjereni na brzo, učinkovito i sveobuhvatno upravljanje IKT rizikom, među ostalim i za zaštitu relevantnih fizičkih komponenata i infrastrukture;

(b)

kontinuirano pratiti sigurnost i funkcioniranje svih IKT sustava;

(c)

učinak IKT rizika svesti na najmanju moguću mjeru s pomoću pouzdanih, otpornih i ažuriranih IKT sustava, protokola i alata koji su prikladni za potporu u obavljanju njihovih aktivnosti i pružanju usluga te kojima se na odgovarajući način štite dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka u mrežnim i informacijskim sustavima;

(d)

omogućiti brzo utvrđivanje i otkrivanje izvora IKT rizika i neobičnih pojava u mrežnim i informacijskim sustavima te brzo postupanje u vezi s IKT incidentima;

(e)

utvrditi ključne ovisnosti o trećim stranama pružateljima IKT usluga;

(f)

osigurati kontinuitet ključnih ili važnih funkcija s pomoću planova kontinuiteta poslovanja te mjera odgovora i oporavka, koje uključuju barem mjere za izradu sigurnosnih kopija i ponovnu uspostavu;

(g)

redovito testirati planove i mjere iz točke (f), kao i djelotvornost kontrola provedenih u skladu s točkama (a) i (c);

(h)

u proces procjene IKT rizika prema potrebi uključiti relevantne operativne zaključke koji su rezultat testova iz točke (g) i analize nakon incidenata te razviti, u skladu s potrebama i profilom IKT rizičnosti, programe za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanja o digitalnoj operativnoj otpornosti za osoblje i rukovodstvo.

(a)

pobliže opisali elementi koje treba uključiti u okvir za upravljanje IKT rizicima iz stavka 1. drugog podstavka točke (a);

(b)

pobliže opisali elementi povezani sa sustavima, protokolima i alatima kojima se učinak IKT rizika iz stavka 1. drugog podstavka točke (c) svodi na najmanju moguću mjeru s ciljem osiguravanja sigurnosti mreža, omogućavanja odgovarajućih mjera zaštite od neovlaštenih upada i zlouporabe podataka te očuvanja dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka;

(c)

pobliže opisale sastavnice planova kontinuiteta poslovanja u području IKT-a iz stavka 1. drugog podstavka točke (f);

(d)

pobliže opisala pravila o testiranju planova kontinuiteta poslovanja i osigurala djelotvornost kontrola iz stavka 1. drugog podstavka točke (g), te osiguralo da se pri takvom testiranju propisno uzimaju u obzir scenariji u kojima kvaliteta pružanja ključne ili važne funkcije opada do neprihvatljive razine ili pružanje te funkcije nije moguće;

(e)

pobliže opisali sadržaj i format izvješća o preispitivanju okvira za upravljanje IKT rizicima iz stavka 2.

(a)

uspostavljaju se pokazatelji za rano upozoravanje;

(b)

uspostavljaju se postupci za utvrđivanje, praćenje, evidentiranje, kategorizaciju i klasifikaciju IKT incidenata u skladu s njihovim prioritetom te ozbiljnosti i u skladu s ključnosti zahvaćenih usluga, u skladu s kriterijima utvrđenima u članku 18. stavku 1.;

(c)

dodjeljuju se uloge i odgovornosti koje se moraju aktivirati za različite vrste IKT incidenata i scenarija;

(d)

utvrđuju se planovi za komunikaciju s osobljem, vanjskim dionicima i medijima u skladu s člankom 14., planovi za obavješćivanje klijenata, za postupke povezane s internom eskalacijom, što uključuje prigovore korisnika povezane s IKT-om, te prema potrebi za informiranje partnerskih financijskih subjekata;

(e)

osigurava se izvješćivanje relevantnog višeg rukovodstva barem o značajnim IKT incidentima te informiranje upravljačkog tijela barem o značajnim IKT incidentima, uz objašnjenje njihova učinka, odgovora na njih i dodatnih kontrola koje treba uvesti zbog takvih IKT incidenata;

(f)

uspostavljaju se postupci odgovora na IKT incidente kako bi se ublažili njihovi učinci i osiguralo da usluge pravodobno postanu dostupne i sigurne.

(a)

broja i/ili relevantnosti zahvaćenih klijenata ili partnerskih financijskih subjekata i, ako je to primjenjivo, količine ili broja transakcija zahvaćenih IKT incidentom te činjenice je li IKT incident imao učinak na ugled financijskog subjekta;

(b)

trajanja IKT incidenta, uključujući razdoblje prekida rada usluge;

(c)

zemljopisne raširenosti u smislu područja koje je IKT incident zahvatio, osobito ako je zahvatio više od dvije države članice;

(d)

gubitka podataka prouzročenog IKT incidentom, u smislu dostupnosti, vjerodostojnosti, cjelovitosti ili povjerljivosti podataka;

(e)

ključnosti zahvaćenih usluga, uključujući transakcije i operacije financijskog subjekta;

(f)

ekonomskog učinka IKT incidenta, što se prije svega odnosi na izravne i neizravne troškove i gubitke, i u apsolutnom i u relativnom smislu.

(a)

kriteriji utvrđeni u stavku 1., uključujući pragove značajnosti za utvrđivanje značajnih IKT incidenata ili, ovisno o slučaju, značajnih operativnih ili sigurnosnih incidenata povezanih s plaćanjem koji su obuhvaćeni obvezom izvješćivanja utvrđenom u članku 19. stavku 1.;

(b)

kriteriji koje nadležna tijela moraju primjenjivati u svrhu procjene relevantnosti značajnih IKT incidenata ili, ovisno o slučaju, značajnih operativnih ili sigurnosnih incidenata povezanih s plaćanjem, u odnosu na relevantna nadležna tijela u drugim državama članicama te pojedinosti izvješćâ o značajnim IKT incidentima ili, ovisno o slučaju, značajnim operativnim ili sigurnosnim incidentima povezanima s plaćanjem, koje se moraju podijeliti s ostalim nadležnim tijelima na temelju članka 19. stavaka 6. i 7.;

(c)

kriteriji utvrđeni u stavku 2. ovog članka, uključujući visoke pragove značajnosti za utvrđivanje ozbiljnih kiberprijetnji.

(a)

početnu obavijest;

(b)

prijelazno izvješće nakon početne obavijesti iz točke (a) čim se status izvornog incidenta znatno promijeni ili se postupanje u vezi sa značajnim IKT incidentom promijeni na temelju novih dostupnih informacija, a nakon toga, prema potrebi, ažurirane obavijesti svaki put kad se pojave relevantne novosti o statusu kao i na izričit zahtjev nadležnog tijela;

(c)

završno izvješće kad se dovrši analiza temeljnog uzroka incidenta, neovisno o tome jesu li mjere za ublažavanje učinka već provedene, i kad se procijenjene vrijednosti mogu zamijeniti stvarnim podatcima o učinku.

(a)

EBA-i, ESMA-i ili EIOPA-i;

(b)

ESB-u ako je riječ o financijskim subjektima iz članka 2. stavka 1. točaka (a), (b) i (d);

(c)

nadležnim tijelima, jedinstvenim kontaktnim točkama ili CSIRT-ovima imenovanima ili uspostavljenima u skladu s Direktivom (EU) 2022/2555;

(d)

sanacijskim tijelima iz članka 3. Direktive 2014/59/EU i Jedinstvenom sanacijskom odboru (SRB) kad je riječ o subjektima iz članka 7. stavka 2. Uredbe (EU) br. 806/2014 Europskog parlamenta i Vijeća (37) te kad je riječ o subjektima i grupama iz članka 7. stavka 4. točke (b) i stavka 5. Uredbe (EU) br. 806/2014 ako se takve pojedinosti odnose na incidente koji predstavljaju rizik za osiguravanje ključnih funkcija u smislu članka 2. stavka 1. točke 35. Direktive 2014/59/EU; i

(e)

drugim relevantnim tijelima javne vlasti u skladu s nacionalnim pravom.

(a)

zajednički nacrt regulatornih tehničkih standarda u kojem se:

Pri izradi tog nacrta regulatornih tehničkih standarda europska nadzorna tijela uzimaju u obzir veličinu i ukupni profil rizičnosti financijskog subjekta te prirodu, opseg i složenost njegovih usluga, aktivnosti i poslovanja, posebno kako bi se osiguralo da se za potrebe točke (a) podtočke ii. ovog stavka različitim rokovima, ako je to primjereno, mogu uzeti u obzir posebnosti financijskih sektora, ne dovodeći u pitanje održavanje dosljednog pristupa izvješćivanju o IKT incidentima na temelju ove Uredbe i Direktive (EU) 2022/2555. Europska nadzorna tijela, ovisno o slučaju, dostavljaju obrazloženje kad odstupe od pristupa primijenjenih u kontekstu te direktive.

(b)

zajednički nacrt provedbenih tehničkih standarda u kojem se utvrđuju standardni predlošci, obrasci i postupci za financijske subjekte za izvješćivanje o značajnim IKT incidentima i za obavješćivanje o ozbiljnoj kiberprijetnji.

(a)

preduvjete za uvođenje jedinstvenog EU-ova centra;

(b)

prednosti, ograničenja i rizike, uključujući rizike povezane s visokom koncentracijom osjetljivih informacija;

(c)

potrebnu sposobnost za osiguravanje interoperabilnosti u odnosu na druge relevantne sustave izvješćivanja;

(d)

elemente operativnog upravljanja;

(e)

uvjete članstva;

(f)

tehničke aranžmane za pristup financijskih subjekata i nacionalnih nadležnih tijela jedinstvenom EU-ovu centru;

(g)

preliminarnu procjenu financijskih troškova koji bi nastali uspostavom operativne platforme koja bi podržavala jedinstveni EU-ov centar, što uključuje potrebno stručno znanje.

(a)

čimbenika povezanih s učinkom, posebno mjere u kojoj usluge koje financijski subjekt pruža i aktivnosti koje obavlja utječu na financijski sektor;

(b)

mogućih problema u pogledu financijske stabilnosti, što uključuje sistemsku prirodu financijskog subjekta na razini Unije ili nacionalnoj razini, ovisno o slučaju;

(c)

konkretnog profila IKT rizičnosti te stupnja IKT zrelosti financijskog subjekta ili tehnoloških značajki o kojima je riječ.

(a)

kriteriji koji se primjenjuju za potrebe primjene stavka 8. drugog podstavka;

(b)

zahtjevi i standardi koji se primjenjuju na angažiranje unutarnjih provoditelja testiranja;

(c)

zahtjevi povezani s:

(d)

vrsta nadzorne suradnje i drugi relevantni oblici suradnje koji su potrebni za provedbu TLPT-a i za olakšavanje njegova uzajamnog priznavanja u kontekstu financijskih subjekata koji posluju u više država članica, kako bi se osigurala odgovarajuća razina uključenosti nadzornog tijela i fleksibilna provedba kojom se u obzir uzimaju posebnosti financijskih podsektora ili lokalnih financijskih tržišta.

(a)

koji su među najprikladnijim i najuglednijim provoditeljima testiranja;

(b)

koji posjeduju tehničke i organizacijske sposobnosti i posebno stručno znanje u području saznanja o prijetnjama, penetracijskog testiranja i testiranja crvenog tima;

(c)

koje je akreditiralo akreditacijsko tijelo u državi članici ili koji se pridržavaju formalnog kodeksa ponašanja ili etičkih okvira;

(d)

koji daju neovisno jamstvo ili revizorsko izvješće u vezi s dobrim upravljanjem rizicima povezanima s provedbom TLPT-a, što uključuje odgovarajuću zaštitu povjerljivih informacija financijskog subjekta i pravnu zaštitu s obzirom na poslovne rizike financijskog subjekta;

(e)

koji su propisno i u cijelosti pokriveni odgovarajućim osiguranjem od profesionalne odgovornosti, što uključuje rizike od protupravnog i nemarnog postupanja.

(a)

takvo angažiranje odobrilo je relevantno nadležno tijelo ili jedinstveno tijelo javne vlasti imenovano u skladu s člankom 26. stavcima 9. i 10.;

(b)

relevantno nadležno tijelo potvrdilo je da financijski subjekt ima dostatne resurse i da je osigurao izbjegavanje sukoba interesa u fazama osmišljavanja i provedbe testa; i

(c)

pružatelj saznanja o prijetnjama nije dio financijskog subjekta.

(a)

financijski subjekti koji imaju sklopljene ugovorne aranžmane o upotrebi IKT usluga za potrebe svojeg poslovanja u svakom trenutku snose potpunu odgovornost za poštovanje i izvršavanje svih obveza iz ove Uredbe i primjenjivog prava o financijskim uslugama;

(b)

financijski subjekti upravljaju IKT rizikom povezanim s trećim stranama poštujući načela proporcionalnosti i uzimajući u obzir:

(a)

procjenjuju obuhvaća li ugovorni aranžman upotrebu IKT usluga kojima se podupire ključna ili važna funkcija;

(b)

procjenjuju jesu li ispunjeni nadzorni uvjeti u pogledu ugovaranja;

(c)

utvrđuju i procjenjuju sve relevantne rizike povezane s ugovornim aranžmanom, među ostalim i mogućnost da taj ugovorni aranžman doprinese jačanju koncentracijskog IKT rizika iz članka 29.;

(d)

provode dubinske analize potencijalnih trećih strana pružatelja IKT usluga i osiguravaju prikladnost treće strane pružatelja IKT usluga tijekom cijelog procesa odabira i procesa procjene;

(e)

utvrđuju i procjenjuju sukobe interesa koje bi ugovorni aranžman mogao izazvati.

(a)

treća strana pružatelj IKT usluga ozbiljno je prekršila primjenjive zakone, propise ili ugovorne uvjete;

(b)

praćenjem IKT rizika povezanog s trećim stranama utvrđene su okolnosti za koje se smatra da bi mogle dovesti do promjena u izvršavanju funkcija koje se pružaju na temelju ugovornog aranžmana, što uključuje bitne promjene koje utječu na aranžman ili stanje treće strane pružatelja IKT usluga;

(c)

treća strana pružatelj IKT usluga pokazala je slabosti u vezi s općim upravljanjem IKT rizicima, a posebno u načinu na koji osigurava dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka, bilo da je riječ o osobnim ili drugim osjetljivim podatcima ili pak neosobnim podatcima;

(d)

nadležno tijelo zbog uvjeta dotičnog ugovornog aranžmana ili okolnosti povezanih s dotičnim ugovornim aranžmanom više ne može djelotvorno nadzirati financijski subjekt.

(a)

remećenja svojih poslovnih aktivnosti;

(b)

ograničavanja usklađenosti s regulatornim zahtjevima;

(c)

narušavanja kontinuiteta i kvalitete usluga koje se pružaju klijentima.

(a)

ugovaranje usluga s trećom stranom pružateljem IKT usluga kojeg nije lako zamijeniti; ili

(b)

više sklopljenih ugovornih aranžmana o pružanju IKT usluga kojima se podupiru ključne ili važne funkcije s istom trećom stranom pružateljem IKT usluga ili s usko povezanim trećim stranama pružateljima IKT usluga.

(a)

jasan i cjelovit opis svih funkcija i IKT usluga koje će pružati treća strana pružatelj IKT usluga, pri čemu se navodi je li dopušteno podugovaranje IKT usluge kojom se podupiru ključne ili važne funkcije ili njezinih bitnih dijelova te, ako jest, navode se i uvjeti koji se primjenjuju na takvo podugovaranje;

(b)

lokacije, posebno regije ili zemlje, na kojima će se pružati ugovorene ili podugovorene funkcije i IKT usluge te na kojima će se obrađivati podatci, uključujući lokaciju pohrane, kao i zahtjev da treća strana pružatelj IKT usluga unaprijed obavijesti financijski subjekt ako namjerava promijeniti takve lokacije;

(c)

odredbe o dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti u vezi sa zaštitom podataka, među ostalim i osobnih podataka;

(d)

odredbe o osiguravanju pristupa osobnim i neosobnim podatcima koje obrađuje financijski subjekt te o osiguravanju njihova oporavka i vraćanja u lako dostupnom formatu u slučaju nesolventnosti, sanacije ili prestanka poslovanja treće strane pružatelja IKT usluga ili u slučaju raskida ugovornih aranžmana;

(e)

opise razina usluga, uključujući ažuriranja i revizije tog opisa;

(f)

obvezu treće strane pružatelja IKT usluga da pruži pomoć financijskom subjektu bez dodatnih troškova ili uz unaprijed utvrđene troškove u slučaju IKT incidenta koji je povezan s IKT uslugom koju ta treća strana pruža financijskom subjektu;

(g)

obveza treće strane pružatelja IKT usluga da u potpunosti surađuje s nadležnim tijelima i sanacijskim tijelima financijskog subjekta, među ostalim i s osobama koje su ona imenovala;

(h)

prava raskida i povezane minimalne rokove za prethodne obavijesti o raskidu ugovornih aranžmana u skladu s očekivanjima nadležnih tijela i sanacijskih tijela;

(i)

uvjete za sudjelovanje trećih strana pružatelja IKT usluga u programima za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanjima o digitalnoj operativnoj otpornosti koje provode financijski subjekti u skladu s člankom 13. stavkom 6.

(a)

potpune opise razina usluga, uključujući ažuriranja i revizije tog opisa, uz precizne kvantitativne i kvalitativne ciljeve uspješnosti u okviru dogovorenih razina usluga kako bi se financijskom subjektu omogućilo djelotvorno praćenje IKT usluga i poduzimanje, bez nepotrebne odgode, odgovarajućih korektivnih mjera ako se ne postignu dogovorene razine usluga;

(b)

rokove za prethodne obavijesti i obveze izvješćivanja koje ima treća strana pružatelj IKT usluga u odnosu na financijski subjekt, uključujući obavijesti o svim događajima koji bi mogli bitno utjecati na sposobnost treće strane pružatelja IKT usluga za djelotvorno pružanje IKT usluga kojima se podupiru ključne ili važne funkcije u skladu s dogovorenim razinama usluga;

(c)

zahtjeve da treća strana pružatelj IKT usluga uvede i testira planove za nepredvidive situacije u poslovanju te da uvede mjere, alate i politike za sigurnost IKT-a kojima se financijskom subjektu osigurava odgovarajuća razina sigurnosti za pružanje usluga, u skladu s njegovim regulatornim okvirom;

(d)

obvezu treće strane pružatelja IKT usluga da sudjeluje u TLPT-u financijskog subjekta kako je navedeno u člancima 26. i 27. i da pritom bude u potpunosti kooperativna;

(e)

pravo kontinuiranog praćenja rada treće strane pružatelja IKT usluga, što podrazumijeva sljedeće:

(f)

izlazne strategije, osobito određivanje obveznog primjerenog prijelaznog razdoblja:

(a)

imenuju treće strane pružatelje IKT usluga koji su ključni za financijske subjekte, nakon procjene kojom se uzimaju u obzir kriteriji navedeni u stavku 2.;

(b)

imenuju glavnim nadzornim tijelom za svaku ključnu treću stranu pružatelja IKT usluga europsko nadzorno tijelo koje je, u skladu s uredbama (EU) br. 1093/2010, (EU) br. 1094/2010 ili (EU) br. 1095/2010, odgovorno za financijske subjekte koji zajedno imaju najveći udio ukupne imovine u vrijednosti ukupne imovine svih financijskih subjekata koji se koriste uslugama relevantne ključne treće strane pružatelja IKT usluga, što dokazuje zbroj pojedinačnih bilanci tih financijskih subjekata.

(a)

sistemskom učinku na stabilnost, kontinuitet ili kvalitetu pružanja financijskih usluga u slučaju da se relevantna treća strana pružatelj IKT usluga suoči s prekidom većih razmjera u pružanju usluga, pri čemu se uzima u obzir broj financijskih subjekata i ukupna vrijednost imovine financijskih subjekata kojima relevantna treća strana pružatelj IKT usluga pruža usluge;

(b)

sistemskoj prirodi ili značaju financijskih subjekata koji se oslanjaju na relevantnu treću stranu pružatelja IKT usluga, što se procjenjuje prema sljedećim parametrima:

(c)

oslanjanju financijskih subjekata na usluge koje relevantna treća strana pružatelj IKT usluga pruža u vezi s ključnim ili važnim funkcijama financijskih subjekata u čije je pružanje u konačnici uključena ista treća strana pružatelj IKT usluga, neovisno o tome oslanjaju li se financijski subjekti na te usluge izravno ili neizravno, putem podugovornih aranžmana;

(d)

stupnju zamjenjivosti treće strane pružatelja IKT usluga, uzimajući u obzir sljedeće parametre:

i.

financijske subjekte koji pružaju IKT usluge drugim financijskim subjektima;

ii.

treće strane pružatelje IKT usluga koje podliježu nadzornim okvirima uspostavljenima za potrebe podrške zadaćama iz članka 127. stavka 2. Ugovora o funkcioniranju Europske unije;

iii.

pružatelje IKT usluga unutar grupe;

iv.

treće strane pružatelje IKT usluga koje pružaju IKT usluge isključivo u jednoj državi članici financijskim subjektima koji posluju samo u toj državi članici.

(a)

predsjednici europskih nadzornih tijela;

(b)

po jedan predstavnik na visokoj razini iz svake države članice koji je član osoblja relevantnog nadležnog tijela iz članka 46.;

(c)

izvršni direktori svih europskih nadzornih tijela i po jedan predstavnik Komisije, ESRB-a, ESB-a i ENISA-e kao promatrači;

(d)

prema potrebi, po jedan dodatni predstavnik nadležnog tijela iz članka 46. iz svake države članice kao promatrač;

(e)

ako je to primjenjivo, jedan predstavnik nadležnih tijela imenovanih ili uspostavljenih u skladu s Direktivom (EU) 2022/2555 koja su odgovorna za nadzor nad ključnim ili važnim subjektom koji podliježe toj direktivi, kojeg je ključna treća strana pružatelj IKT usluga imenovala kao promatrača.

(a)

zahtjeve u području IKT-a kojima se osobito osiguravaju sigurnost, dostupnost, kontinuitet, skalabilnost i kvaliteta usluga koje ključna treća strana pružatelj IKT usluga pruža financijskim subjektima, kao i sposobnost da se u svakom trenutku zadrže visoki standardi dostupnosti, vjerodostojnosti, cjelovitosti ili povjerljivosti podataka;

(b)

fizičku sigurnost koja doprinosi IKT sigurnosti, uključujući sigurnost prostora, objekata i podatkovnih centara;

(c)

procese upravljanja rizicima, uključujući politike upravljanja IKT rizicima, politiku kontinuiteta poslovanja u području IKT-a te planove odgovora i oporavka u području IKT-a;

(d)

aranžmane za upravljanje, uključujući organizacijsku strukturu s jasnim, transparentnim i dosljednim linijama odgovornosti te pravila o odgovornosti koja omogućuju djelotvorno upravljanje IKT rizicima;

(e)

utvrđivanje i praćenje bitnih IKT incidenata te brzo izvješćivanje financijskih subjekata o njima, upravljanje tim incidentima, osobito kibernapadima, i njihovo rješavanje;

(f)

mehanizme za prenosivost podataka, prenosivost aplikacija i interoperabilnost, kojima se financijskim subjektima osigurava djelotvorno ostvarivanje pravâ raskida;

(g)

testiranje IKT sustava, infrastrukture i kontrola;

(h)

revizije IKT-a;

(i)

primjenu relevantnih nacionalnih i međunarodnih standarda koji su primjenjivi na pružanje IKT usluga financijskim subjektima.

(a)

zahtijevati sve relevantne informacije i dokumentaciju u skladu s člankom 37.;

(b)

provoditi opće istrage i inspekcijski nadzor u skladu s člankom 38. odnosno člankom 39.;

(c)

nakon završetka aktivnosti nadzora zahtijevati izvješća u kojima se navode djelovanja ili korektivne mjere koje su ključne treće strane pružatelji IKT usluga poduzele ili provele u vezi s preporukama iz točke (d) ovog stavka;

(d)

izdati preporuke u vezi s područjima iz članka 33. stavka 3., posebno o sljedećem:

Za potrebe podtočke iv. ove točke treće strane pružatelji IKT usluga s pomoću predloška iz članka 41. stavka 1. točke (b) glavnom nadzornom tijelu dostavljanju informacije o podugovaranju.

(a)

osigurava redovitu koordinaciju u okviru Zajedničke nadzorne mreže, a posebno nastoji osigurati dosljedne pristupe, ako je to primjereno, kad je riječ o nadzoru nad ključnim trećim stranama pružateljima IKT usluga;

(b)

propisno uzima u obzir okvir uspostavljen Direktivom (EU) 2022/2555 i, prema potrebi, savjetuje se s relevantnim nadležnim tijelima imenovanima ili uspostavljenima u skladu s tom direktivom kako bi se izbjeglo udvostručavanje tehničkih i organizacijskih mjera koje bi se mogle primjenjivati na ključne treće strane pružatelje IKT usluga na temelju te direktive;

(c)

u mjeri u kojoj je to moguće, nastoji smanjiti rizik od poremećaja u uslugama koje ključne treće strane pružatelji IKT usluga pružaju klijentima koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe.

(a)

ozbiljnost i trajanje neusklađenosti;

(b)

je li neusklađenost počinjena namjerno ili iz nepažnje;

(c)

razinu suradnje treće strane pružatelja IKT usluga s glavnim nadzornim tijelom.

(a)

članku 35. stavku 1. točki (a); i

(b)

članku 35. stavku 1. točki (b), u skladu s člankom 38. stavkom 2. točkama (a), (b) i (d) te članku 39. stavku 1. i stavku 2. točki (a).

i.

glavno nadzorno tijelo smatra da je potrebno provesti inspekcijski nadzor u trećoj zemlji kako bi moglo u potpunosti i djelotvorno obaviti svoje zadaće na temelju ove Uredbe;

ii.

inspekcijski nadzor u trećoj zemlji izravno je povezan s pružanjem IKT usluga financijskim subjektima u Uniji;

iii.

dotična ključna treća strana pružatelj IKT usluga pristaje na provođenje inspekcijskog nadzora u trećoj zemlji; i

iv.

glavno nadzorno tijelo službeno je obavijestilo relevantno tijelo dotične treće zemlje, koje protiv toga nije podnijelo prigovor.

(a)

postupci za koordinaciju aktivnosti nadzora koje se provode na temelju ove Uredbe i svako slično praćenje IKT rizika povezanog s trećim stranama u financijskom sektoru koje provodi relevantno tijelo dotične treće zemlje, uključujući pojedinosti o njegovu davanju suglasnosti kojom se glavnom nadzornom tijelu i timu koji je ono odredilo omogućuje da provode opće istrage i izravni inspekcijski nadzor iz stavka 1. prvog podstavka na državnom području pod njegovom nadležnošću;

(b)

mehanizam za prenošenje svih relevantnih informacija između EBA-e, ESMA-e ili EIOPA-e i relevantnog tijela dotične treće zemlje, posebno u vezi s informacijama koje glavno nadzorno tijelo može zatražiti na temelju članka 37.;

(c)

mehanizmi kojima relevantno tijelo dotične treće zemlje odmah obavješćuje EBA-u, ESMA-u ili EIOPA-u o slučajevima u kojima se smatra da je treća strana pružatelj IKT usluga s poslovnim nastanom u trećoj zemlji koja je u skladu s člankom 31. stavkom 1. točkom (a) imenovana kao ključna prekršila zahtjeve koje je na temelju mjerodavnog prava dotične treće zemlje obvezna poštovati pri pružanju usluga financijskim institucijama u toj trećoj zemlji, kao i o primijenjenim korektivnim mjerama i sankcijama;

(d)

redovito prenošenje ažuriranih informacija o promjenama u području regulative i nadzora u vezi s praćenjem IKT rizika povezanog s trećim stranama za financijske institucije u dotičnoj trećoj zemlji;

(e)

pojedinosti o omogućavanju sudjelovanja, ako je to potrebno, jednog predstavnika relevantnog tijela treće zemlje u inspekcijskom nadzoru koji provode glavno nadzorno tijelo i tim koji je ono odredilo.

(a)

izvršava svoje ovlasti na temelju članka 35. na osnovi svih činjenica i dokumenata koji su mu dostupni;

(b)

dokumentira i objašnjava sve posljedice svoje nemogućnosti provođenja predviđenih aktivnosti nadzora kako je navedeno u ovom članku.

(a)

upućuje na ovaj članak kao pravnu osnovu za zahtjev;

(b)

navodi svrhu zahtjeva;

(c)

navodi koje se informacije traže;

(d)

utvrđuje rok za dostavu informacija;

(e)

obavješćuje predstavnika ključne treće strane pružatelja IKT usluga od koje se traže informacije da nije dužan dostaviti informacije, ali da u slučaju dobrovoljnog odgovora na zahtjev dostavljene informacije ne smiju biti netočne ili obmanjujuće.

(a)

upućuje na ovaj članak kao pravnu osnovu za zahtjev;

(b)

navodi svrhu zahtjeva;

(c)

navodi koje se informacije traže;

(d)

utvrđuje rok za dostavu informacija;

(e)

navodi periodične novčane kazne predviđene u članku 35. stavku 6. ako su dostavljene tražene informacije nepotpune ili ako takve informacije nisu dostavljene u roku iz točke (d) ovog stavka;

(f)

upućuje na pravo na podnošenje žalbe protiv odluke Odboru za žalbe europskih nadzornih tijela i pravo na preispitivanje te odluke u postupku pred Sudom Europske unije („Sud”) u skladu s člancima 60. i 61. uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010.

(a)

pregledavati evidenciju, podatke, postupke i sve ostale materijale relevantne za obavljanje svojih zadaća, neovisno o tome na kojem su mediju pohranjeni;

(b)

izraditi ili pribaviti ovjerene preslike ili izvatke iz te evidencije, podataka, dokumentiranih postupaka i svih ostalih materijala;

(c)

pozvati predstavnike ključne treće strane pružatelja IKT usluga da daju usmena ili pisana objašnjenja o činjenicama ili dokumente koji se odnose na predmet i svrhu istrage te zabilježiti odgovore;

(d)

obaviti razgovor sa svakom fizičkom ili pravnom osobom koja pristane na razgovor radi prikupljanja informacija koje se odnose na predmet istrage;

(e)

zatražiti evidenciju telefonskih razgovora i podatkovnog prometa.

(a)

ulaziti u sve takve poslovne prostore, na zemljišta ili u nekretnine; i

(b)

zapečatiti sve takve poslovne prostore, knjige ili evidenciju, tijekom inspekcijskog nadzora i u mjeri u kojoj je to potrebno za inspekcijski nadzor.

(a)

europskih nadzornih tijela;

(b)

relevantnih nadležnih tijela koja nadziru financijske subjekte kojima ključna treća strana pružatelj IKT usluga pruža IKT usluge;

(c)

nacionalnog nadležnog tijela iz članka 32. stavka 4. točke (e), na dobrovoljnoj osnovi;

(d)

jednog nacionalnog nadležnog tijela iz države članice u kojoj ključna treća strana pružatelj IKT usluga ima poslovni nastan, na dobrovoljnoj osnovi.

(a)

informacije koje treća strana pružatelj IKT usluga mora dostaviti u dobrovoljno upućenom zahtjevu da je se u skladu s člankom 31. stavkom 11. imenuje kao ključnu;

(b)

sadržaj, strukturu i format informacija koje moraju dostaviti, objaviti ili o kojima moraju izvijestiti treće strane pružatelji IKT usluga na temelju članka 35. stavka 1., uključujući predložak za dostavljanje informacija o podugovornim aranžmanima;

(c)

kriterije za utvrđivanje sastava zajedničkog tima za provjeru kojima se osigurava uravnoteženo sudjelovanje članova osoblja europskih nadzornih tijela i osoblja relevantnih nadležnih tijela, te za utvrđivanje njihova imenovanja, zadaća i načina rada;

(d)

pojedinosti o procjeni nadležnih tijela u pogledu mjera koje je ključna treća strana pružatelj IKT usluga poduzela na osnovi preporuka glavnog nadzornog tijela na temelju članka 42. stavka 3.

(a)

ozbiljnosti i trajanju neusklađenosti;

(b)

je li neusklađenost ukazala na ozbiljne nedostatke u postupcima, sustavima upravljanja, upravljanju rizicima i unutarnjim kontrolama ključne treće strane pružatelja IKT usluga;

(c)

je li neusklađenost olakšala ili prouzročila financijska kaznena djela ili se na neki drugi način može povezati s takvim djelima;

(d)

je li neusklađenost počinjena namjerno ili iz nepažnje;

(e)

stvara li suspenzija ili raskid ugovornih aranžmana rizik za kontinuitet poslovanja financijskog subjekta neovisno o nastojanjima financijskog subjekta da izbjegne poremećaje u pružanju svojih usluga;

(f)

ako je to primjenjivo, mišljenju zatraženom na dobrovoljnoj osnovi u skladu s člankom 5. ovog članka koje su izdala nadležna tijela imenovana ili uspostavljena u skladu s Direktivom (EU) 2022/2555 koja su odgovorna za nadzor nad ključnim ili važnim subjektom koji podliježe toj direktivi i koji je imenovan ključnom trećom stranom pružateljem IKT usluga.

(a)

ima za cilj poboljšanje digitalne operativne otpornosti financijskih subjekata, osobito podizanjem svijesti u vezi s kiberprijetnjama, ograničavanjem ili sprečavanjem mogućnosti širenja kiberprijetnji, potporom obrambenim sposobnostima, tehnikama otkrivanja prijetnji, strategijama ublažavanja ili fazama odgovora i oporavka;

(b)

odvija se u okviru pouzdanih zajednica financijskih subjekata;

(c)

provodi se s pomoću aranžmana za razmjenu informacija kojima se štiti potencijalno osjetljiva priroda informacija koje se razmjenjuju i koji su uređeni pravilima poslovnog ponašanja kojima se u potpunosti poštuju poslovna tajna, zaštita osobnih podataka u skladu s Uredbom (EU) 2016/679 i smjernice o politici tržišnog natjecanja.

(a)

za kreditne institucije i za institucije izuzete na temelju Direktive 2013/36/EU, nadležno tijelo imenovano u skladu s člankom 4. te direktive, a za kreditne institucije klasificirane kao značajne u skladu s člankom 6. stavkom 4. Uredbe (EU) br. 1024/2013, ESB u skladu s ovlastima i zadaćama koje su mu dodijeljene tom uredbom;

(b)

za institucije za platni promet, uključujući institucije za platni promet izuzete na temelju Direktive (EU) 2015/2366, institucije za elektronički novac, uključujući one izuzete na temelju Direktive 2009/110/EZ, te za pružatelje usluga pružanja informacija o računu iz članka 33. stavka 1. Direktive (EU) 2015/2366, nadležno tijelo imenovano u skladu s člankom 22. Direktive (EU) 2015/2366;

(c)

za investicijska društva, nadležno tijelo imenovano u skladu s člankom 4. Direktive (EU) 2019/2034 Europskog parlamenta i Vijeća (38);

(d)

za pružatelje usluga povezanih s kriptoimovinom koji imaju odobrenje za rad na temelju Uredbe o tržištima kriptoimovine i izdavatelje tokena vezanih uz imovinu, nadležno tijelo imenovano u skladu s relevantnom odredbom te uredbe;

(e)

za središnje depozitorije vrijednosnih papira, nadležno tijelo imenovano u skladu s člankom 11. Uredbe (EU) br. 909/2014;

(f)

za središnje druge ugovorne strane, nadležno tijelo imenovano u skladu s člankom 22. Uredbe (EU) br. 648/2012;

(g)

za mjesta trgovanja i pružatelje usluga dostave podataka, nadležno tijelo imenovano u skladu s člankom 67. Direktive 2014/65/EU i nadležno tijelo kako je definirano u članku 2. stavku 1. točki 18. Uredbe (EU) br. 600/2014;

(h)

za trgovinske repozitorije, nadležno tijelo imenovano u skladu s člankom 22. Uredbe (EU) br. 648/2012;

(i)

za upravitelje alternativnih investicijskih fondova, nadležno tijelo imenovano u skladu s člankom 44. Direktive 2011/61/EU;

(j)

za društva za upravljanje, nadležno tijelo imenovano u skladu s člankom 97. Direktive 2009/65/EZ;

(k)

za društva za osiguranje i društva za reosiguranje, nadležno tijelo imenovano u skladu s člankom 30. Direktive 2009/138/EZ;

(l)

za posrednike u osiguranju, posrednike u reosiguranju i sporedne posrednike u osiguranju, nadležno tijelo imenovano u skladu s člankom 12. Direktive (EU) 2016/97;

(m)

za institucije za strukovno mirovinsko osiguranje, nadležno tijelo imenovano u skladu s člankom 47. Direktive (EU) 2016/2341;

(n)

za agencije za kreditni rejting, nadležno tijelo imenovano u skladu s člankom 21. Uredbe (EZ) br. 1060/2009;

(o)

za administratore ključnih referentnih vrijednosti, nadležno tijelo imenovano u skladu s člancima 40. i 41. Uredbe (EU) 2016/1011;

(p)

za pružatelje usluga skupnog financiranja, nadležno tijelo imenovano u skladu s člankom 29. Uredbe (EU) 2020/1503;

(q)

za sekuritizacijske repozitorije, nadležno tijelo imenovano u skladu s člankom 10. i člankom 14. stavkom 1. Uredbe (EU) 2017/2402.

(a)

pristup svim dokumentima ili podatcima u bilo kojem obliku koje nadležno tijelo smatra relevantnim za izvršavanje svojih zadaća te dobivanje ili uzimanje preslika tih dokumenata ili podataka;

(b)

provedbu izravnog inspekcijskog nadzora ili istraga, koji uključuju, ali nisu ograničeni na:

(c)

zahtijevanje provedbe korektivnih mjera zbog povreda zahtjeva iz ove Uredbe.

(a)

izdavanje naloga fizičkoj ili pravnoj osobi da prestane s ponašanjem koje predstavlja povredu ove Uredbe i suzdrži se od ponavljanja takvog ponašanja;

(b)

upućivanje zahtjeva za privremeni ili trajni prestanak postupanja ili ponašanja koje nadležno tijelo smatra protivnim odredbama ove Uredbe te sprečavanje ponavljanja takvog postupanja ili ponašanja;

(c)

donošenje mjera, među ostalim i financijske prirode, kako bi se osiguralo da financijski subjekti nastave ispunjavati pravne zahtjeve;

(d)

upućivanje zahtjeva, u mjeri u kojoj je to dopušteno nacionalnim pravom, za dostavu postojeće evidencije telekomunikacijskog operatera o podatkovnom prometu ako postoji opravdana sumnja u povredu ove Uredbe te ako takva evidencija može biti važna za istragu povreda ove Uredbe; i

(e)

izdavanje javnih obavijesti, uključujući javne izjave u kojima se navodi identitet fizičke ili pravne osobe i priroda povrede.

(a)

izravno;

(b)

u suradnji s drugim tijelima;

(c)

u okviru svoje odgovornosti, delegiranjem drugim tijelima; ili

(d)

podnošenjem zahtjeva nadležnim pravosudnim tijelima.

(a)

značajnost, težinu i trajanje povrede;

(b)

stupanj odgovornosti fizičke ili pravne osobe koja je odgovorna za povredu;

(c)

financijsku snagu odgovorne fizičke ili pravne osobe;

(d)

veličinu ostvarene dobiti ili izbjegnutih gubitaka odgovorne fizičke ili pravne osobe, ako je to moguće utvrditi;

(e)

gubitke koje su zbog povrede pretrpjele treće osobe, ako ih je moguće utvrditi;

(f)

razinu suradnje odgovorne fizičke ili pravne osobe s nadležnim tijelom, ne dovodeći u pitanje potrebu da se osigura povrat dobiti koju je ta fizička ili pravna osoba ostvarila ili gubitaka koje je izbjegla;

(g)

prethodne povrede koje je počinila odgovorna fizička ili pravna osoba.

(a)

odgađa objavu odluke do prestanka postojanja svih razloga za neobjavljivanje;

(b)

objavljuje odluku na anonimnoj osnovi, u skladu s nacionalnim pravom; ili

(c)

ne objavljuje odluku ako smatra da opcije iz točaka (a) i (b) nisu dostatne da se osigura neugrožavanje stabilnosti financijskih tržišta ili da takva objava nije razmjerna u odnosu na blagost izrečene kazne.

(a)

kriterije za imenovanje ključnih trećih strana pružatelja IKT usluga u skladu s člankom 31. stavkom 2.;

(b)

dobrovoljnu prirodu obavješćivanja o ozbiljnim kiberprijetnjama iz članka 19.;

(c)

režim iz članka 31. stavka 12. i ovlasti glavnog nadzornog tijela iz članka 35. stavka 1. točke (d) podtočke iv. prve alineje s ciljem evaluacije djelotvornosti tih odredaba u pogledu osiguravanja djelotvornog nadzora nad ključnim trećim stranama pružateljima IKT usluga s poslovnim nastanom u trećoj zemlji i potrebe za osnivanjem društva kćeri u Uniji.

Za potrebe prvog podstavka ove točke preispitivanje uključuje analizu režima iz članka 31. stavka 12., uključujući s obzirom na pristup financijskih subjekata Unije uslugama iz trećih zemalja i dostupnost takvih usluga na tržištu Unije te se njime uzimaju u obzir daljnji razvoj na tržištima usluga obuhvaćenih ovom Uredbom, praktično iskustvo financijskih subjekata i financijskih nadzornih tijela s obzirom na primjenu tog režima i nadzor nad tim režimom te sve relevantne promjene u području regulative i nadzora na međunarodnoj razini;

(d)

primjerenost uključivanja u područje primjene ove Uredbe financijskih subjekata iz članka 2. stavka 3. točke (e) koji upotrebljavaju automatizirane sustave prodaje, s obzirom na buduća tržišna kretanja u pogledu upotrebe takvih sustava;

(e)

funkcioniranje i djelotvornost Zajedničke nadzorne mreže u podupiranju dosljednosti nadzora i učinkovitosti razmjene informacija unutar nadzornog okvira.

1.

u Prilogu I. odjeljku A točki 4. prvi podstavak zamjenjuje se sljedećim:

„Agencija za kreditni rejting mora imati dobre administrativne i računovodstvene postupke, mehanizme unutarnje kontrole, učinkovite postupke za procjenu rizika i učinkovite mehanizme kontrole i zaštite za upravljanje IKT sustavima u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*1).

(*1)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1..).”;"

2.

u Prilogu III. točka 12. zamjenjuje se sljedećim:

1.

članak 26. mijenja se kako slijedi:

2.

članak 34. mijenja se kako slijedi:

3.

u članku 56. stavku 3. prvi podstavak zamjenjuje se sljedećim:

„3.   Kako bi se osigurala dosljedna primjena ovog članka, ESMA izrađuje nacrt regulatornih tehničkih standarda kojima se određuju pojedinosti zahtjeva za registraciju iz stavka 1., osim za zahtjeve povezane s upravljanjem IKT rizicima.”;

4.

u članku 79. stavci 1. i 2. zamjenjuju se sljedećim:

„1.   Trgovinski repozitorij utvrđuje izvore operativnog rizika i svodi ih na najmanju moguću mjeru razvojem odgovarajućih sustava, kontrola i postupaka, među ostalim i IKT sustava kojima se upravlja u skladu s Uredbom (EU) 2022/2554.

2.   Trgovinski repozitorij uspostavlja, provodi i održava primjerenu politiku kontinuiteta poslovanja i plan oporavka u slučaju katastrofe, koji uključuje politiku kontinuiteta poslovanja i planove odgovora i oporavka u području IKT-a uspostavljene u skladu s Uredbom (EU) 2022/2554, čiji je cilj osigurati očuvanje njegovih funkcija, pravodoban oporavak poslovanja i ispunjavanje obveza trgovinskog repozitorija.”;

5.

u članku 80. stavak 1. briše se;

6.

u Prilogu I. odjeljak II. mijenja se kako slijedi:

7.

Prilog III. mijenja se kako slijedi:

1.

stavak 1. zamjenjuje se sljedećim:

„1.   CSD utvrđuje izvore operativnog rizika, kako unutarnje tako i vanjske, te svodi njihov utjecaj na najmanju moguću mjeru, među ostalim i primjenom odgovarajućih IKT alata, procesa i politika koji su uspostavljeni i kojima se upravlja u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*3)te svim drugim relevantnim primjerenim alatima, kontrolama i postupcima za druge vrste operativnog rizika, uključujući za sve sustave za namiru vrijednosnih papira kojima upravlja.

(*3)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1..).”;"

2.

stavak 2. briše se;

3.

stavci 3. i 4. zamjenjuju se sljedećim:

„3.   Za usluge koje pruža, kao i za sve sustave za namiru vrijednosnih papira kojima upravlja, CSD uspostavlja, provodi i održava primjerenu politiku kontinuiteta poslovanja i plan za oporavak u slučaju katastrofe, uključujući politiku kontinuiteta poslovanja i planove odgovora i oporavka u području IKT-a uspostavljene u skladu s Uredbom (EU) 2022/2554, kako bi osigurao očuvanje svojih usluga, pravodoban oporavak poslovanja i ispunjavanje obveza CSD-a u slučaju događaja koji predstavljaju značajan rizik za poremećaj poslovanja.

4.   Planom iz stavka 3. predviđa se oporavak svih transakcija i pozicija sudionika u trenutku poremećaja kako bi se sudionicima CSD-a omogućilo da nastave poslovati sa sigurnošću i dovrše namiru na predviđeni datum, među ostalim i osiguravanjem da ključni IT sustavi mogu nastaviti s radom nakon poremećaja kako je predviđeno u članku 12. stavcima 5. i 7. Uredbe (EU) 2022/2554.”;

4.

stavak 6. zamjenjuje se sljedećim:

„6.   CSD utvrđuje i prati rizike te upravlja rizicima koje bi ključni sudionici u sustavima za namiru vrijednosnih papira kojima upravlja, kao i pružatelji javnih i drugih usluga te drugi CSD-ovi ili tržišne infrastrukture, mogli predstavljati za njegov rad. Na zahtjev dostavlja nadležnim i relevantnim tijelima informacije o svakom takvom utvrđenom riziku. Također bez odgode obavješćuje nadležno tijelo i relevantna tijela o svim operativnim incidentima koji proizlaze iz tih rizika, a koji nisu povezani s IKT rizikom.”;

5.

u stavku 7. prvi podstavak zamjenjuje se sljedećim:

„7.   ESMA, u bliskoj suradnji s članovima ESSB-a, izrađuje nacrt regulatornih tehničkih standarda kojima se preciznije utvrđuju operativni rizici iz stavaka od 1. do 6., osim IKT rizika, te metode testiranja i uklanjanja rizika ili njihova svođenja na najmanju moguću mjeru, uključujući politike kontinuiteta poslovanja i planove oporavka u slučaju katastrofe iz stavaka 3. i 4. i metode njihove procjene.”.

1.

članak 27.g mijenja se kako slijedi:

2.

članak 27.h mijenja se kako slijedi:

3.

članak 27.i mijenja se kako slijedi:

„6.

Kad je riječ o ključnim referentnim vrijednostima, administrator ima uspostavljene dobre administrativne i računovodstvene postupke, mehanizme unutarnje kontrole, djelotvorne postupke za procjenu rizika i djelotvorne mehanizme kontrole i osiguranja za upravljanje IKT sustavima u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*5).