Оперативна устойчивост на цифровите технологии във финансовия сектор

ОСНОВНИ АСПЕКТИ

Обхват

Регламентът обхваща:

• кредитните институции, платежните институции, институциите за електронни пари и институциите за професионално пенсионно осигуряване;
• доставчиците на услуги за информация за сметки, криптоактиви, докладване на данни, групово финансиране и трети страни в областта на ИКТ;
• инвестиционни посредници, алтернативни инвестиционни фондове, управляващи дружества, агенции за кредитен рейтинг и администратори на критични бенчмаркове;
• регистрите за търговия и секюритизация, централните депозитари на ценни книжа, централните контрагенти и местата за търговия;
• застрахователи, застрахователни посредници и презастрахователни предприятия.

Управление на риска в областта на ИКТ

Финансовите субекти, различни от микропредприятията, трябва да:

• имат въведени мерки за вътрешно управление и контрол, които гарантират ефективно и разумно управление на риска, свързан с ИКТ;
• гарантират, че техният управителен орган определя, одобрява, контролира и отговаря за всички съответни мерки;
• разполагат с надеждна, всеобхватна и добре документирана рамка за управление на риска в областта на ИКТ с необходимите стратегии, политики, процедури, протоколи и инструменти за бърза и ефективна реакция;
• използват и поддържат актуализирани ИКТ системи, протоколи и инструменти, които са подходящи, надеждни, технологично устойчиви и с достатъчен капацитет;
• идентифицират, класифицират и адекватно документират всички бизнес функции, роли и отговорности, поддържани от ИКТ, и правят преглед на рисковите сценарии;
• непрекъснато следят за сигурността и функционирането на ИКТ системите и инструментите, за да сведат до минимум въздействието на всеки риск в областта на ИКТ;
• своевременно откриват аномалии и идентифицират потенциални точки на срив;
• въвеждат цялостна политика за непрекъснатост на дейността на ИКТ с подходящи планове, процедури и механизми;
• разработват и документират политики за архивиране и процедури за възстановяване на информацията;
• разполагат с ресурси и персонал за оценка на уязвимостите и киберзаплахите, инцидентите, свързани с ИКТ, особено кибератаките, и анализират потенциалното им въздействие върху цифровата оперативна устойчивост на субекта;
• разработват планове за кризисна комуникация, за да разкриват поне основните инциденти или уязвимости, свързани с ИКТ, на клиентите, партньорите и обществеността.

Управление, класификация и отчитане, свързани с ИКТ

Финансовите субекти трябва да:

• определят, въвеждат и прилагат мерки за откриване, управление, запис и съобщаване на инциденти в областта на ИКТ;
• класифицират инцидентите и определят тяхното въздействие, като използват критерии, като например брой на засегнатите клиенти и партньори, продължителност, географско разпространение и загуба на данни;
• докладват за големи произшествия, свързани с ИКТ, на определения им компетентен орган, който ги препраща на по-висшестоящ орган, като Европейската централна банка или Европейския банков орган.

Тестване на цифровата оперативна устойчивост

Финансовите субекти, различни от микропредприятията, трябва да:

• създават, поддържат и преразглеждат надеждна и всеобхватна програма за оперативно тестване на цифрови технологии, оборудвана с необходимите оценки, тестове, методологии, практики и инструменти;
• извършват поне веднъж на три години изпитвания за проникване на ниво заплаха въз основа на своя рисков профил и като отчитат оперативните обстоятелства — и използват само изпитващи организации, които са сертифицирани, притежават необходимия опит и пригодност и имат застраховка за професионална отговорност.

Управление на риска в областта на ИКТ, пораждан от трети страни

Финансовите субекти трябва да:

• управляват риска от трети страни като неразделен компонент на общия риск, свързан с ИКТ;
• имат въведени договорни споразумения за ИКТ услуги, за да осъществяват своите бизнес операции в пълно съответствие със съответното законодателство;
• отчитат естеството, мащаба, сложността и важността на свързаните с ИКТ зависимости и всички потенциални рискове;
• преценяват ползите и разходите за алтернативни решения, когато идентифицират и оценяват всички свързани рискове;
• включат в договора правата и задълженията на всяка от страните и споразумението за услуги.

Надзорна рамка за трети страни критични доставчици на услуги в областта на ИКТ

Рамката:

• възлага на Европейските надзорни органи (ЕНО) да:
• • определят, въз основа на ясни критерии, доставчиците на услуги от трети страни в областта на ИКТ, които се считат за критични за финансовите предприятия,
  • определят като водещ надзорник за всеки критичен доставчик на услуги от трета страна ЕНО, отговарящ за съответния финансов субект;
• създават Надзорен форум, който да:
• • обсъждат съответното развитие в областта на риска и уязвимостта на ИКТ и да насърчават последователен подход на ЕС за наблюдение,
  • оценяват дейностите по надзора ежегодно, да насърчават действията за повишаване на оперативната устойчивост на цифровите технологии и да насърчават най-добрите практики,
  • представят изчерпателни референтни показатели за критични доставчици на ИКТ услуги от трети страни;
• упълномощават водещия надзорник да:
• • бъде основна точка за контакт с трети страни, доставчици на критични услуги в областта на ИКТ,
  • оценяват дали всеки доставчик на критични услуги разполага с изчерпателни, надеждни и ефективни правила, процедури, механизми и договорености,
  • изискват цялата необходима информация и документация, да провежда разследвания и проверки (включително в държави извън ЕС), да определят коригиращи действия и да издават препоръки;
• дават възможност на Европейския банков орган, Европейския орган за застраховане и професионално пенсионно осигуряване и Европейския орган за ценни книжа и пазари да работят с регулаторни и надзорни органи извън ЕС по отношение на риска, свързан с ИКТ от трети страни;
• изискват на всеки пет години ЕНО да представят поверителен доклад на Европейския парламент, Съвета на Европейския съюз и Европейската комисия за отношенията си с органи извън ЕС.

Критерии за определяне на критични доставчици

Съгласно Делегиран регламент (ЕС) 2024/1502 доставчиците на ИКТ услуги от трети страни могат да бъдат определени като критични и поставени под прекия надзор на ЕНО след двуетапна оценка.

• Стъпка 1 – количествени критерии

Доставчикът трябва да покрива измерими прагове, като:

• броя на финансовите субекти или дела от общите им активи, които зависят от услугите на доставчика;
• дали обслужва системно значими институции (глобални системно значими институции (Г-СЗИ) или други системно значими институции (Д-СЗИ));
• дали неговите услуги могат да бъдат заменени, или дали преминаването към друг доставчик би било трудно или скъпо.

• Стъпка 2 – качествени критерии

Доставчиците, изпълнили изискванията на стъпка 1, след това се оценяват въз основа на по-широки съображения, включително:

• потенциалното системно въздействие в случай на прекъсване на техните услуги;
• степента на взаимозависимост между финансовите субекти, използващи един и същ доставчик;
• критичността на поддържаните функции;
• зависимост от общи подизпълнители.

Доставчикът се определя като критичен само когато отговаря на критериите и на двете стъпки.

Споразумения за обмен на информация

Финансовите субекти могат да обменят помежду си информация за киберзаплахи и разузнавателни данни, при условие че това:

• има за цел да укрепи тяхната цифрова оперативна устойчивост;
• се осъществява в рамките на техните доверени общности;
• защитава търговската тайна и личните данни и спазва правилата на политиката в областта на конкуренцията.

Санкции и коригиращи мерки

Компетентните органи:

• разполагат с всички правомощия за надзор, разследване и налагане на санкции, необходими за изпълнение на задълженията им;
• налагат и публикуват на своите уебсайтове административните наказания и коригиращите мерки, определени от националното законодателство.

ЕНО изготвя проекти на регулаторни технически стандарти за инструментите за управление на риска в областта на ИКТ, класифицирането и докладването на инциденти, свързани с ИКТ, и провеждането на надзорни дейности.

Комисията:

• има правомощието да приема делегирани актове;
• Подава в срок до 17 януари 2028 г. преглед на регламента, след консултация с ЕНО и Европейския съвет за системен риск, до Парламента и Съвета.

Регламентът изменя Регламент (ЕО) № 1060/2009, Регламенти (ЕС) № 648/2012, № 909/2014 и № 600/2014 и Регламент (ЕС) 2016/1011.