(1)

Unie potřebuje vhodným a komplexním způsobem reagovat na digitální rizika hrozící všem finančním subjektům v důsledku zvyšujícího se využívání informačních a komunikačních technologií (IKT) při poskytování a využívání finančních služeb, a přispět tak k využití potenciálu digitálních financí v podobě podnícení inovací a rozvoje hospodářské soutěže v bezpečném digitálním prostředí.

(2)

Finanční subjekty jsou při své každodenní činnosti silně závislé na využívání digitálních technologií. Je proto nanejvýš důležité zajistit provozní odolnost jejich digitálních operací vůči rizikům v oblasti IKT. Tato potřeba je nyní ještě naléhavější v důsledku růstu průlomových technologií na trhu, zejména technologií umožňujících elektronický převod a uchovávání digitálního vyjádření hodnot nebo práv za použití distribuovaného registru nebo podobné technologie (kryptoaktiva) a technologií pro služby spojené s těmito aktivy.

(3)

Na úrovni Unie jsou požadavky týkající se řízení rizik v oblasti IKT pro finanční sektor v současné době stanoveny ve směrnicích Evropského parlamentu a Rady 2009/65/ES (4), 2009/138/ES (5), 2011/61/EU (6), 2013/36/EU (7), 2014/59/EU (8), 2014/65/EU (9), (EU) 2015/2366 (10) a (EU) 2016/2341 (11).

Tyto požadavky se navzájem liší a jsou místy neúplné. V některých případech jsou rizika v oblasti IKT řešena pouze implicitně v rámci provozního rizika, zatímco v jiných případech nejsou řešena vůbec. To by mělo být napraveno přijetím nařízení Evropského parlamentu a Rady (EU) 2022/2554 (12). Uvedené směrnice by proto měly být změněny, aby byly se zmíněným nařízením v souladu. Tato směrnice stanoví soubor změn, které jsou nezbytné k zajištění právní jasnosti a soudržnosti, pokud jde o uplatňování různých požadavků týkajících se digitální provozní odolnosti, které jsou nezbytné pro výkon činnosti finančních subjektů podléhajících povolení a dohledu v souladu s uvedenými směrnicemi, ze strany těchto subjektů, a zaručuje tak hladké fungování vnitřního trhu. Je nezbytné zajistit, aby uvedené požadavky odpovídaly vývoji na trhu, a zároveň podporovat proporcionalitu, zejména s ohledem na velikost finančních subjektů a zvláštní režimy, jimž podléhají, s cílem snížit náklady na dodržování předpisů.

(4)

V oblasti bankovních služeb směrnice 2013/36/EU v současné době stanoví pouze obecná pravidla vnitřní správy a řízení a ustanovení o operačním riziku obsahující požadavky na pohotovostní plány a plány zachování provozu, které implicitně slouží jako základ pro řízení rizik v oblasti IKT. V zájmu výslovného a jasného řešení rizika v oblasti IKT by však měly být požadavky na pohotovostní plány a plány zachování provozu pozměněny tak, aby v souladu s požadavky stanovenými v nařízení (EU) 2022/2554 rovněž zahrnovaly plány zachování provozu a plány reakce a obnovy týkající se rizik v oblasti IKT. Kromě toho je riziko v oblasti IKT zahrnuto jako součást operačního rizika do procesu dohledu a hodnocení prováděného příslušnými orgány pouze implicitně a kritéria pro jeho posouzení jsou v současné době vymezena v Obecných pokynech k posuzování rizik IKT v rámci procesu přezkoumání a vyhodnocení vydaných Evropským orgánem dohledu (Evropským orgánem pro bankovnictví) (EBA) zřízeným nařízením Evropského parlamentu a Rady (EU) č. 1093/2010 (13). V zájmu právní jasnosti a zajištění toho, aby orgány bankovního dohledu účinně rozpoznávaly rizika v oblasti IKT a monitorovaly jejich řízení ze strany finančních subjektů v souladu s novým rámcem pro digitální provozní odolnost, by měl být rozsah dohledu a hodnocení rovněž upraven tak, aby výslovně odkazoval na požadavky stanovené v nařízení (EU) 2022/2554. a pokrýval zejména rizika zjištěná na základě zpráv o závažných incidentech souvisejících s IKT a výsledků testování digitální provozní odolnosti prováděného finančními subjekty v souladu s uvedeným nařízením.

(5)

Digitální provozní odolnost je klíčová pro zachování zásadních funkcí a hlavních linií podnikání finančního subjektu v případě řešení jeho krize, a tedy k zabránění narušení reálné ekonomiky a finančního systému. Závažné provozní incidenty mohou snížit schopnost finančního subjektu pokračovat v provozu a mohou ohrožovat cíle řešení krize. Pro zajištění kontinuity provozu a poskytování potřebných údajů v případě řešení krize jsou nezbytná určitá smluvní ujednání o využívání služeb IKT. V zájmu zajištění souladu s cíli rámce Unie pro provozní odolnost by měla být směrnice 2014/59/EU odpovídajícím způsobem změněna, aby bylo zajištěno, že při plánování řešení krize a posuzování způsobilosti finančních subjektů k řešení krize budou zohledněny informace týkající se provozní odolnosti.

(6)

Směrnice 2014/65/EU stanoví přísnější pravidla týkající se rizik v oblasti IKT pro investiční podniky a obchodní systémy, které vykonávají algoritmické obchodování. Na služby hlášení údajů a registry obchodních údajů se vztahují méně specifikované požadavky. Směrnice 2014/65/EU obsahuje rovněž pouze omezené zmínky o kontrolních a ochranných opatřeních pro systémy zpracování dat a o používání vhodných systémů, zdrojů a postupů za účelem zajištění nepřerušeného a řádného poskytování obchodních služeb. Zmíněná směrnice by rovněž měla být uvedena do souladu s nařízením (EU) 2022/2554, pokud jde o nepřerušené a řádné poskytování investičních služeb a vykonávání investičních činností, provozní odolnost, kapacitu obchodních systémů a účinnost mechanismů zachování provozu a řízení rizik.

(7)

Směrnice (EU) 2015/2366 stanoví pro účely získání povolení k poskytování platebních služeb zvláštní pravidla týkající se bezpečnostních kontrol IKT a prvků určených k minimalizaci rizik. Uvedená pravidla povolování by měla být změněna, aby byla v souladu s nařízením (EU) 2022/2554 Dále by se za účelem snížení administrativní zátěže a zamezení složitosti a zdvojení požadavkům na podávání zpráv měla na poskytovatele platebních služeb podléhající zmíněné směrnici a zároveň nařízení (EU) 2022/2554 přestat vztahovat pravidla pro oznamování incidentů stanovená zmíněnou směrnicí, což by těmto poskytovatelům platebních služeb umožnilo využívat jednotný a plně harmonizovaný mechanismus oznamování incidentů ve vztahu ke všem provozním či bezpečnostním incidentům souvisejícím s platbami, bez ohledu na to, zda se tyto incidenty týkají IKT.

(8)

Směrnice 2009/138/ES a (EU) 2016/2341 částečně pokrývají rizika v oblasti IKT v rámci svých obecných ustanovení o správě a o řízení rizik, přičemž určité požadavky jsou ponechány na upřesnění prostřednictvím aktů v přenesené pravomoci, ať již s výslovnými odkazy na rizika v oblasti IKT, či nikoliv. Obdobně platí pouze velmi obecná pravidla pro správce alternativních investičních fondů, na které se vztahuje směrnice 2011/61/EU, a správcovské společnosti upravené směrnicí 2009/65/ES. Zmíněné směrnice by proto měly být uvedeny do souladu s požadavky stanovenými v nařízení (EU) 2022/2554, pokud jde o řízení systémů a nástrojů IKT.

(9)

V mnoha případech byly další požadavky týkající se rizik v oblasti IKT již stanoveny v aktech v přenesené pravomoci a v prováděcích aktech, které byly přijaty na základě návrhů regulačních technických norem a prováděcích technických norem vypracovaných příslušným evropským orgánem dohledu. Jelikož právní základ týkající se rizik v oblasti IKT ve finančním sektoru nyní představuje nařízení (EU) 2022/2554, měla by být některá zmocnění k přijímání aktů v přenesené pravomoci a prováděcích aktů stanovená ve směrnicích 2009/65/ES, 2009/138/ES, 2011/61/EU a 2014/65/EU změněna, aby již nezahrnovala ustanovení ohledně rizik v oblasti IKT.

(10)

Aby bylo zajištěno soudržné uplatňování nového rámce pro digitální provozní odolnost finančního sektoru, měly by členské státy uplatňovat vnitrostátní právní předpisy, kterými se tato směrnice provádí, ode dne použitelnosti nařízení (EU) 2022/2554

(11)

Směrnice 2009/66/ES, 2009/138/ES, 2011/61/ES, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 a (EU) 2016/2341 byly přijaty na základě čl. 53 odst. 1 nebo článku 114 Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“). Změny stanovené v této směrnici jsou vzhledem k propojenosti předmětu a cílů příslušných změn zařazeny do jediného legislativního aktu. Tato směrnice by proto měla být přijata na základě čl. 53 odst. 1 i článku 114 Smlouvy o fungování EU.

(12)

Jelikož cílů této směrnice nemůže být dosaženo uspokojivě členskými státy, neboť vyžadují harmonizaci požadavků, které jsou již obsaženy ve směrnicích, ale spíše jich, z důvodu rozsahu a účinků opatření, může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje tato směrnice rámec toho, co je nezbytné pro dosažení těchto cílů.

(13)

Členské státy se v souladu se společným politickým prohlášením členských států a Komise ze dne 28. září 2011 o informativních dokumentech (14) zavázaly, že v odůvodněných případech doplní oznámení o opatřeních přijatých za účelem provedení směrnice ve vnitrostátním právu o jeden či více dokumentů s informacemi o vztahu mezi jednotlivými složkami směrnice a příslušnými částmi vnitrostátních nástrojů přijatých za účelem provedení směrnice ve vnitrostátním právu. V případě této směrnice považuje normotvůrce předložení těchto dokumentů za odůvodněné,

1)

v odst. 1 druhém pododstavci se písmeno a) nahrazuje tímto:

(*1)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333 , 27.12.2022, s. 1).“;"

2)

odstavec 3 se nahrazuje tímto:

1)

v článku 41 se odstavec 4 nahrazuje tímto:

(*2)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“;"

2)

v čl. 50 odst. 1 se písmena a) a b) nahrazují tímto:

1)

v čl. 65 odst. 3 písm. a) se bod vi) nahrazuje tímto:

(*4)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“;"

2)

v čl. 74 odst. 1 se první pododstavec nahrazuje tímto:

„Instituce musí mít spolehlivé mechanismy pro správu a řízení, které zahrnují jasnou organizační strukturu s dobře vymezenými, transparentními a konzistentně rozdělenými úkoly, účinnými postupy pro identifikaci, řízení, sledování a hlášení rizik, jimž instituce je nebo může být vystavena, přiměřené mechanismy vnitřní kontroly, včetně řádné správy a účetních postupů, sítě a informační systémy, které jsou zavedeny a řízeny v souladu s nařízením (EU) 2022/2554, a zásady a postupy odměňování, které odpovídají náležitému a účinnému řízení rizik a podporují je.“;

3)

v článku 85 se odstavec 2 nahrazuje tímto:

4)

v čl. 97 odst. 1 se doplňuje nové písmeno, které zní:

1)

článek 10 se mění takto:

2)

příloha se mění takto:

1)

článek 16 se mění takto:

2)

článek 17 se mění takto:

3)

v článku 47 se odstavec 1 mění takto:

4)

článek 48 se mění takto:

1)

v článku 3 se písmeno j) nahrazuje tímto:

2)

v článku 5 se odstavec 1 mění takto:

3)

v čl. 19 odst. 6 se druhý pododstavec nahrazuje tímto:

„Outsourcing důležitých provozních funkcí včetně systémů IKT nesmí být proveden způsobem, který by podstatně zhoršil kvalitu vnitřní kontroly platební instituce a schopnost příslušných orgánů sledovat a zpětně dohledat, zda platební instituce dodržuje všechny povinnosti stanovené touto směrnicí.“;

4)

v čl. 95 odst. 1 se doplňuje nový pododstavec, který zní:

„Prvním pododstavcem není dotčeno použití kapitoly II nařízení (EU) 2022/2554 na:

5)

v článku 96 se doplňuje nový odstavec, který zní:

6)

v článku 98 se odstavec 5 nahrazuje tímto: