(1)

De Unie moet zorgen voor een passende en alomvattende aanpak van de digitale risico's voor alle financiële entiteiten die voortvloeien uit een toegenomen gebruik van informatie- en communicatietechnologie (ICT) bij de verstrekking en het verbruik van financiële diensten, en daarbij bijdragen aan de verwezenlijking van het potentieel van digitale financiering, door innovatie te stimuleren en mededinging in een veilige digitale omgeving te bevorderen.

(2)

Financiële entiteiten zijn sterk afhankelijk van het gebruik van digitale technologieën in hun dagelijkse activiteiten. Het is daarom van het grootste belang dat de operationele weerbaarheid van hun digitale operaties tegen ICT-risico's gewaarborgd blijft. Dit is des te belangrijker vanwege de groei van baanbrekende technologieën in de markt, met name technologieën waardoor het mogelijk wordt digitale weergaven van waarde of rechten elektronisch over te dragen en te bewaren met behulp van distributed ledger of soortgelijke technologie (cryptoactiva), en de groei van diensten die met die activa verband houden.

(3)

Vereisten betreffende het beheer van het ICT-risico in de financiële sector zijn op het niveau van de Unie momenteel vastgelegd in de Richtlijnen 2009/65/EG (4), 2009/138/EG (5), 2011/61/EU (6), 2013/36/EU (7), 2014/59/EU (8), 2014/65/EU (9), (EU) 2015/2366 (10) en (EU) 2016/2341 (11) van het Europees Parlement en de Raad. Die vereisten zijn erg uiteenlopend en soms onvolledig.

In een aantal gevallen is het ICT-risico slechts impliciet aangepakt als onderdeel van het operationele risico, en in andere gevallen zelfs helemaal niet. Die problemen worden verholpen door de vaststelling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (12). De voornoemde richtlijnen moeten derhalve worden gewijzigd om ze in overeenstemming te brengen met die verordening. Deze richtlijn bevat een reeks wijzigingen die noodzakelijk zijn om te zorgen voor juridische duidelijkheid en consistentie indien financiële entiteiten waaraan vergunningen werden verleend en waarop toezicht wordt uitgeoefend overeenkomstig die richtlijnen, diverse vereisten inzake digitale operationele weerbaarheid toepassen die nodig zijn voor de uitoefening hun activiteiten en voor de verrichting van diensten, zodat de goede werking van de interne markt wordt gewaarborgd. Er moet voor worden gezorgd dat die vereisten aansluiten bij de marktontwikkelingen en tegelijkertijd de proportionaliteit aanmoedigen, met name wat betreft de omvang van de financiële entiteiten en de specifieke regelgeving waaraan zij onderworpen zijn, met als doel de nalevingskosten te verminderen.

(4)

Op het gebied van bankdiensten bevat Richtlijn 2013/36/EU momenteel enkel algemene interne governanceregels en operationeelrisicobepalingen met vereisten voor nood- en bedrijfscontinuïteitsplannen, die impliciet als basis dienen voor ICT-risicobeheer. Om het ICT-risico echter expliciet en duidelijk aan te pakken, moeten de vereisten voor nood- en bedrijfscontinuïteitsplannen worden gewijzigd om daarin ook bedrijfscontinuïteitsplannen en respons- en herstelplannen voor het ICT-risico op te nemen, in overeenstemming met de vereisten van Verordening (EU) 2022/2554. Bovendien is het ICT-risico slechts impliciet opgenomen, als onderdeel van het operationele risico, in de procedure voor toetsing en evaluatie door de toezichthouder (Supervisory Review and Evaluation Process — SREP) die de bevoegde autoriteiten uitvoeren, en zijn de criteria voor de beoordeling van het ICT-risico momenteel vastgelegd in de Richtsnoeren inzake de beoordeling van het ICT-risico in het kader van het proces van toetsing en evaluatie door de toezichthouder (SREP), uitgevaardigd door de Europese toezichthoudende autoriteit (Europese Bankautoriteit) (EBA), die is opgericht bij Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad (13). Om juridische duidelijkheid te scheppen en ervoor te zorgen dat bankentoezichthouders het ICT-risico effectief vaststellen en het beheer ervan door financiële entiteiten monitoren, in overeenstemming met het nieuwe kader voor digitale operationele weerbaarheid, moet het toepassingsgebied van de SREP ook worden gewijzigd opdat expliciet naar de vereisten van Verordening (EU) 2022/2554 wordt verwezen en met name de risico’s worden bestreken die aan het licht zijn gekomen dankzij verslagen over ernstige ICT-gerelateerde incidenten en dankzij de resultaten van de tests inzake digitale operationele weerbaarheid die financiële entiteiten overeenkomstig die verordening uitvoeren.

(5)

Digitale operationele weerbaarheid is essentieel om de kritieke functies en de centrale bedrijfsonderdelen van een financiële entiteit in geval van afwikkeling te behouden en zo een verstoring van de reële economie en het financiële stelsel te voorkomen. Ernstige operationele incidenten kunnen een belemmering vormen voor het vermogen van een financiële entiteit om haar activiteiten voort te zetten en kunnen de afwikkelingsdoelstellingen in gevaar brengen. Bepaalde contractuele overeenkomsten inzake het gebruik van ICT-diensten zijn van essentieel belang om de operationele continuïteit te waarborgen en in geval van afwikkeling de nodige gegevens te verstrekken. Om afgestemd te zijn op de doelstellingen van het Uniekader voor operationele weerbaarheid moet Richtlijn 2014/59/EU dienovereenkomstig worden gewijzigd, om ervoor te zorgen dat bij de afwikkelingsplanning en de beoordeling van de afwikkelbaarheid van financiële entiteiten rekening wordt gehouden met de informatie in verband met operationele weerbaarheid.

(6)

Richtlijn 2014/65/EU voorziet in strengere ICT-risicovoorschriften voor beleggingsondernemingen en handelsplatformen die zich bezighouden met algoritmische handel. Voor datarapporteringsdiensten en transactieregisters gelden minder gedetailleerde vereisten. Ook bevat Richtlijn 2014/65/EU slechts beperkte verwijzingen naar controle- en beveiligingsregelingen voor informatieverwerkingssystemen en naar het gebruik van passende systemen, middelen en procedures om de continuïteit en regelmatigheid van de zakelijke diensten te waarborgen. Voorts moet die richtlijn worden afgestemd op Verordening (EU) 2022/2554 wat betreft continuïteit en regelmatigheid bij de verrichting van beleggingsdiensten en -activiteiten, operationele weerbaarheid, de capaciteit van handelssystemen en de doeltreffendheid van bedrijfscontinuïteitsregelingen en risicobeheer.

(7)

Richtlijn (EU) 2015/2366 bevat specifieke regels inzake ICT-beveiligingscontroles en risicobeperking met het oog op het verkrijgen van een machtiging tot het verrichten van betalingsdiensten. Deze machtigingsregels moeten worden gewijzigd om ze in overeenstemming te brengen met Verordening (EU) 2022/2554. Om de administratieve lasten te verminderen en complexe en overlappende rapportagevereisten te vermijden mogen daarnaast de in die richtlijn vervatte regels voor incidentenmelding niet langer van toepassing zijn op betalingsdienstaanbieders die onder die richtlijn en tevens onder Verordening (EU) 2022/2554 vallen, zodat die betalingsdienstaanbieders kunnen profiteren van één volledig geharmoniseerd mechanisme voor de melding van alle betalingsgerelateerde operationele of beveiligingsincidenten, ongeacht of dergelijke incidenten ICT-gerelateerd zijn.

(8)

In de algemene bepalingen over governance en risicobeheer van Richtlijn 2009/138/EG en Richtlijn (EU) 2016/2341 komt het ICT-risico gedeeltelijk aan bod; bepaalde vereisten moeten worden gespecificeerd door middel van gedelegeerde handelingen met of zonder specifieke verwijzingen naar het ICT-risico. Ook voor beheerders van alternatieve beleggingsfondsen die onder Richtlijn 2011/61/EU en beheersmaatschappijen die onder Richtlijn 2009/65/EG vallen, gelden slechts zeer algemene regels. Die richtlijnen moeten dus worden afgestemd op de vereisten van Verordening (EU) 2022/2554 wat betreft het beheer van ICT-systemen en -instrumenten.

(9)

In heel wat gevallen zijn in gedelegeerde en uitvoeringshandelingen al verdere ICT-risicovereisten vastgelegd op basis van ontwerpen van technische reguleringsnormen en ontwerpen van technische uitvoeringsnormen die door de bevoegde Europese toezichthoudende autoriteit zijn ontwikkeld. Aangezien de bepalingen van Verordening (EU) 2022/2554 voortaan het rechtskader vormen voor het ICT-risico in de financiële sector, moeten bepaalde machtigingen om gedelegeerde handelingen en uitvoeringshandelingen vast te stellen in de Richtlijnen 2009/65/EG, 2009/138/EG, 2011/61/EU en 2014/65/EU worden gewijzigd om de ICT-risicobepalingen uit het toepassingsgebied van die machtigingen te halen.

(10)

Om te zorgen voor de consistente toepassing van het nieuwe kader voor digitale operationele weerbaarheid in de financiële sector, moeten de lidstaten de bepalingen van nationaal recht tot omzetting van deze richtlijn toepassen vanaf de datum van toepassing van Verordening (EU) 2022/2554.

(11)

De Richtlijnen 2009/65/EG, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 en (EU) 2016/2341 zijn vastgesteld op basis van artikel 53, lid 1, of artikel 114 van het Verdrag betreffende de werking van de Europese Unie (VWEU), of beide. De wijzigingen in deze richtlijn zijn in één wetgevingshandeling opgenomen vanwege de verwevenheid van het onderwerp en de doelstellingen van de wijzigingen. Bijgevolg moet deze richtlijn worden vastgesteld op basis van zowel artikel 53, lid 1, als artikel 114 VWEU.

(12)

Daar de doelstellingen van deze richtlijn niet voldoende door de lidstaten kunnen worden verwezenlijkt omdat zij een harmonisatie inhouden van voorschriften die reeds in richtlijnen vervat zijn, maar vanwege de omvang en de gevolgen van het optreden beter door de Unie kunnen worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel gaat deze richtlijn niet verder dan nodig is om die doelstellingen te verwezenlijken.

(13)

Overeenkomstig de gezamenlijke politieke verklaring van 28 september 2011 van de lidstaten en de Commissie over toelichtende stukken (14) hebben de lidstaten zich ertoe verbonden om in gerechtvaardigde gevallen de kennisgeving van hun omzettingsmaatregelen vergezeld te doen gaan van één of meer stukken waarin het verband tussen de onderdelen van een richtlijn en de overeenkomstige delen van de nationale omzettingsinstrumenten wordt toegelicht. Met betrekking tot deze richtlijn acht de wetgever de toezending van die stukken gerechtvaardigd,