(1)

Съюзът трябва да предприеме подходящи и всеобхватни мерки за противодействие на цифровите рискове за всички финансови субекти от засиленото използване на информационни и комуникационни технологии (ИКТ) при предоставянето и потреблението на финансови услуги, като по този начин допринесе за реализирането на потенциала на цифровите финансови услуги от гледна точка на стимулиране на иновациите и насърчаване на конкуренцията в сигурна цифрова среда.

(2)

Финансовите субекти разчитат изключително много на използването на цифрови технологии в ежедневната си дейност. Поради това е извънредно важно да се осигури оперативната устойчивост на цифровите им операции срещу риск в областта на ИКТ. Необходимостта от това стана още по-неотложна поради нарастването на революционните технологии на пазара, и по-специално технологиите, даващи възможност за електронно прехвърляне и съхраняване на цифрово представени стойност или права, чрез използване на технологията на децентрализирания регистър или подобна технология („криптоактиви“), и поради нарастването на услугите, свързани с тези активи.

(3)

На равнището на Съюза изискванията по отношение на управлението на риска в областта на ИКТ във финансовия сектор понастоящем са предвидени в директиви 2009/65/EО (4), 2009/138/EО (5), 2011/61/EС (6), 2013/36/ЕС (7), 2014/59/ЕС (8), 2014/65/EС (9), (ЕС) 2015/2366 (10) и (ЕС) 2016/2341 (11) на Европейския парламент и на Съвета.

Тези изисквания са разнообразни и понякога непълни. В някои случаи мерки по отношение на риска в областта на ИКТ са предвидени само косвено като част от мерките за операционния риск, а в други случаи въобще не са предвидени мерки. Тези проблеми са отстранени с приемането на Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета (12). Поради това посочените директиви следва да бъдат изменени, за да се осигури съгласуваност с посочения регламент. С настоящата директива се въвежда набор от изменения, които са необходими за внасянето на правна яснота и последователност във връзка с прилагането от финансовите субекти, които се лицензират и които подлежат на надзор в съответствие с посочените директиви, на различни изисквания за оперативната устойчивост на цифровите технологии, необходими за осъществяването на дейностите им и за предоставянето на услуги, като по този начин се осигурява безпрепятственото функциониране на вътрешния пазар. Необходимо е да се гарантира адекватността на тези изисквания спрямо развитието на пазара, като същевременно се насърчава пропорционалността, по-специално по отношение на размера на финансовите субекти и специфичните режими, които се прилагат за тях, с цел намаляване на разходите за привеждане в съответствие.

(4)

В областта на банковите услуги понастоящем с Директива 2013/36/ЕС се установяват само общи правила за вътрешното управление и разпоредби за операционния риск, съдържащи изисквания за планове за действие при извънредни ситуации и за непрекъснатост на дейността, които косвено служат като основа за предприемането на мерки за противодействие на риска в областта на ИКТ. Въпреки това, за да се осигурят изрични и ясни мерки за противодействие на риска в областта на ИКТ, изискванията за плановете за действие при извънредни ситуации и за непрекъснатост на дейността следва да бъдат изменени така че да включват и планове за непрекъснатост на дейността и планове за реакция и възстановяване във връзка с риска в областта на ИКТ, в съответствие с изискванията на Регламент (EС) 2022/2554. Освен това рискът в областта на ИКТ е включен само по подразбиране, като част от операционния риск, в процеса на надзорен преглед и оценка (ПНПО), извършван от компетентните органи, като критериите за неговата оценка понастоящем са определени в „Насоки за оценка на риска в областта на информационните и комуникационните технологии (ИКТ) в рамките на процеса на надзорен преглед и оценка (ПНПО)“, публикувани от Европейския надзорен орган (Европейски банков орган) (ЕБО), създаден с Регламент (ЕС) № 1093/2010 на Европейския парламент и на Съвета (13). За да се осигури правна яснота и да се гарантира, че банковите надзорни органи ефективно идентифицират риска в областта на ИКТ и наблюдават управлението му от финансовите субекти в съответствие с новата рамка за оперативна устойчивост на цифровите технологии, обхватът на ПНПО следва също да бъде изменен по такъв начин, че изрично да включва изискванията, определени в Регламент (ЕС) 2022/2554, и да обхваща по-специално рисковете, разкривани чрез докладите за съществените инциденти с ИКТ и чрез резултатите от тестването на оперативната устойчивост на цифровите технологии, извършвано от финансовите субекти в съответствие с посочения регламент.

(5)

Оперативната устойчивост на цифровите технологии е съществена за опазването на критичните функции и основните направления на дейността на финансовия субект в случай на преструктурирането му и по този начин за избягване на сътресения в реалната икономика и финансовата система. Съществените операционни инциденти могат да възпрепятстват способността на финансовия субект да продължи да функционира и да застрашат целите на преструктурирането. Някои договорни споразумения за използване на услуги в областта на ИКТ са от съществено значение за осигуряване на непрекъснатост на операциите и за предоставянето на необходимите данни в случай на преструктуриране. За да бъде приведена в съответствие с целите на рамката на Съюза за оперативна устойчивост, Директива 2014/59/ЕС следва да бъде съответно изменена, за да се гарантира, че информацията, свързана с оперативната устойчивост, се взема предвид в контекста на планирането на преструктурирането и оценката на възможността за преструктуриране на финансовите субекти.

(6)

Директива 2014/65/ЕС установява по-строги правила във връзка с риска в областта на ИКТ, които се прилагат за инвестиционните посредници и местата на търговия, извършващи алгоритмична търговия. По отношение на услугите за докладване на данни и регистрите на трансакции се прилагат не толкова подробни изисквания. Освен това Директива 2014/65/ЕС съдържа само ограничен брой позовавания на контролни и защитни механизми за системи за обработка на информацията и за използването на подходящи системи, ресурси и процедури за осигуряване на непрекъснатост на дейността и редовно изпълнение на инвестиционните услуги. В допълнение, посочената директива следва да бъде съобразена с Регламент (EС) 2022/2554 по отношение на непрекъснатостта и редовността при предоставянето на инвестиционните услуги и изпълнението на инвестиционните дейности, оперативната устойчивост, капацитета на системите за търговия и ефективността на мерките за осигуряване на непрекъснатост на дейността и на управлението на риска.

(7)

С Директива (ЕС) 2015/2366 се установяват особени разпоредби относно контрола на сигурността и елементите за смекчаване на въздействието във връзка с ИКТ за целите на получаването на лиценз за предоставяне на платежни услуги. Посочените правила за лиценз следва да бъдат изменени, за да бъдат съобразени с Регламент (EС) 2022/2554. Освен това, за да се намали административната тежест и да се избегнат сложността и дублиращите се изисквания за докладване, правилата за докладване на инциденти в посочената директива следва да престанат да се прилагат спрямо доставчиците на платежни услуги, които са регулирани от посочената директива и същевременно попадат в обхвата на Регламент (ЕС) 2022/2554, което ще позволи на тези доставчици на платежни услуги да се ползват от единен, напълно хармонизиран механизъм за докладване на инциденти за всички операционни или свързани със сигурността инциденти, свързани с плащания, независимо дали тези инциденти са свързани с ИКТ.

(8)

Директиви 2009/138/ЕО и (ЕС) 2016/2341 частично обхващат риска в областта на ИКТ в своите общи разпоредби за управлението на предприятието и управлението на риска, като се предвижда някои изисквания да бъдат определени чрез делегирани актове със или без изрично упоменаване на риска в областта на ИКТ. По подобен начин по отношение на лицата, управляващи алтернативни инвестиционни фондове, които попадат в обхвата на Директива 2011/61/ЕС, и управляващите дружества, попадащи в обхвата на Директива 2009/65/ЕО, се прилагат само съвсем общи разпоредби. Поради това посочените директиви следва да бъдат съобразени с изискванията, установени в Регламент (EС) 2022/2554 по отношение на управлението на системите и инструментите на ИКТ.

(9)

В много случаи вече са въведени допълнителни изисквания във връзка с риска в областта на ИКТ, като те са установени в делегирани актове и актове за изпълнение, приети въз основа на проекти на регулаторни технически стандарти и проекти на технически стандарти за изпълнение, разработени от компетентния Европейски надзорен орган. Тъй като разпоредбите на Регламент (EС) 2022/2554 занапред ще представляват правната рамка, отнасяща се до риска в областта на ИКТ във финансовия сектор, някои правомощия за приемане на делегирани актове и на актове за изменение, съдържащи се в директиви 2009/65/EО, 2009/138/EО, 2011/61/EС и 2014/65/EС, следва да бъдат изменени, така че разпоредбите относно риска в областта на ИКТ да останат извън обхвата на посочените правомощия.

(10)

За да се осигури последователно прилагане на новата рамка за оперативната устойчивост на цифровите технологии във финансовия сектор, държавите членки следва да прилагат разпоредбите от националното право, с които се транспонира настоящата директива, от датата на прилагане на Регламент (ЕС) 2022/2554.

(11)

Директиви 2009/65/EО, 2009/138/EО, 2011/61/EС, 2013/36/EС, 2014/59/ЕС, 2014/65/EС, (EС) 2015/2366 и (EС) 2016/2341 са приети на основание член 53, параграф 1 или член 114 от Договора за функционирането на Европейския съюз (ДФЕС), или на основание и на двете посочени разпоредби. Измененията, предвидени в настоящата директива, са включени в един-единствен законодателен акт поради взаимосвързаността на предмета и целите на тези изменения. Поради това настоящата директива следва да бъде приета на основание едновременно на член 53, параграф 1 и член 114 от ДФЕС.

(12)

Доколкото целите на настоящата директива не могат да бъдат постигнати в достатъчна степен от държавите членки, тъй като са свързани с хармонизация на вече съдържащи се в директиви изисквания, а поради обхвата и последиците на действието могат да бъдат по-добре постигнати на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, уреден в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящата директива не надхвърля необходимото за постигане на тези цели.

(13)

Съгласно Съвместната политическа декларация на държавите членки и на Комисията относно обяснителните документи от 28 септември 2011 г. (14) държавите членки са поели ангажимент в обосновани случаи да прилагат към съобщението за своите мерки за транспониране един или повече документи, обясняващи връзката между елементите на дадена директива и съответстващите им части от националните инструменти за транспониране. По отношение на настоящата директива законодателят смята, че предоставянето на тези документи е обосновано,

1)

В параграф 1, втора алинея буква а) се заменя със следното:

(*1)  Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета от 14 декември 2022 г. относно оперативната устойчивост на цифровите технологии във финансовия сектор и за изменение на регламенти (ЕО) № 1060/2009, (ЕС) № 648/2012, (ЕС) № 600/2014, (ЕС) № 909/2014 и (ЕС) 2016/1011 (ОВ L 333, 27.12.2022 г., стр. 1).“;"

2)

Параграф 3 се заменя със следното:

1)

В член 41 параграф 4 се заменя със следното:

(*2)  Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета от 14 декември 2022 г. относно оперативната устойчивост на цифровите технологии във финансовия сектор и за изменение на регламенти (ЕО) № 1060/2009, (ЕС) № 648/2012, (ЕС) № 600/2014, (ЕС) № 909/2014 и (ЕС) 2016/1011 (ОВ L 333, 27.12.2022 г., стр. 1).“ "

2)

В член 50, параграф 1 букви а) и б) се заменят със следното:

1)

В член 65, параграф 3, буква а) подточка vi) се заменя със следното:

(*4)  Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета от 14 декември 2022 г. относно оперативната устойчивост на цифровите технологии във финансовия сектор и за изменение на регламенти (ЕО) № 1060/2009, (ЕС) № 648/2012, (ЕС) № 600/2014, (ЕС) № 909/2014 и (ЕС) 2016/1011 (ОВ L 333, 27.12.2022 г., стр. 1).“ "

2)

В член 74, параграф 1, първата алинея се заменя със следното:

„Институциите разполагат с надеждни правила за управление, включващи ясна организационна структура с точно определени, прозрачни и последователни нива на отговорност, ефективни процеси за установяване, управление, наблюдение и докладване на рисковете, на които са изложени или могат да бъдат изложени, адекватни механизми за вътрешен контрол, включващи разумни административни и счетоводни процедури, мрежови и информационни системи, създадени и управлявани в съответствие с Регламент (ЕС) 2022/2554, и политики и практики за възнагражденията, които са съобразени с разумното и ефективно управление на риска и го насърчават.“

3)

В член 85 параграф 2 се заменя със следното:

4)

В член 97, параграф 1 се добавя следната буква:

1)

Член 10 се изменя, както следва:

2)

Приложението се изменя, както следва:

1)

Член 16 се изменя, както следва:

2)

Член 17 се изменя, както следва:

3)

В член 47 параграф 1 се изменя, както следва:

4)

Член 48 се изменя, както следва:

1)

В член 3, буква й) се заменя със следното:

2)

Член 5, параграф 1 се изменя, както следва:

3)

В член 19, параграф 6 втората алинея се заменя със следното:

„Възлагането на подизпълнители на изпълнението на важни оперативни функции, включително системи на ИКТ, не може да се извършва по начин, който съществено засяга качеството на вътрешния контрол на платежната институция и възможността на компетентните органи да наблюдават и проследяват впоследствие изпълнението от платежната институция на всички предвидени в настоящата директива задължения.“

4)

В член 95, параграф 1 се добавя следната алинея:

„Първа алинея не засяга прилагането на глава II от Регламент (ЕС) 2022/2554 по отношение на:

5)

В член 96 се добавя следният параграф:

6)

В член 98 параграф 5 се заменя със следното: