Digital operationel modstandsdygtighed i den i finansielle sektor

HOVEDPUNKTER

Anvendelsesområde

Forordningen omfatter:

• kredit-, betalings-, elektroniske pengeinstitutter og arbejdsmarkedspensionsordninger
• leverandører af kontooplysningstjenester, kryptoaktiver, datarapportering, crowdfunding og IKT-tredjeparter
• investeringsselskaber, alternative investeringsfonde, administrationsselskaber, kreditvurderingsbureauer og administratorer af kritiske benchmarks
• handels- og securitiseringsregistre, værdipapircentraler, centrale modparter og markedspladser
• forsikring, forsikringsmæglere og genforsikringsvirksomheder

IKT-risikostyring

Finansielle enheder, bortset fra mikrovirksomheder, skal:

• have interne styrings- og kontrolforanstaltninger på plads, der sikrer effektiv og forsigtig styring af IKT-risici
• sikre, at deres ledelsesorgan definerer, godkender, fører tilsyn med og er ansvarlig for alle relevante ordninger
• have en forsvarlig, dækkende og veldokumenteret IKT-risikostyringsramme på plads med de nødvendige strategier, politikker, procedurer, protokoller og værktøjer til at reagere hurtigt og effektivt
• bruge og vedligeholde opdaterede IKT-systemer, protokoller og værktøjer, der er passende, pålidelige, teknologisk modstandsdygtige og har tilstrækkelig kapacitet
• identificere, klassificere og have tilstrækkelig dokumentation for alle IKT-understøttede forretningsfunktioner, roller og ansvarsområder og gennemgå risikoscenarier
• løbende overvåge sikkerheden og driften af IKT-systemer og værktøjer for at minimere følgerne af enhver IKT-risiko
• straks opdage uregelmæssigheder og identificere potentielle fejlområder
• indføre en omfattende IKT-driftskontinuitetspolitik med relevante planer, procedurer og mekanismer
• udvikle og dokumentere sikkerhedskopieringspolitikker og genopbyggelses- og gendannelsesprocedurer
• tilvejebringe ressourcer og personale til at vurdere sårbarheder og cybertrusler, IKT-relaterede hændelser, især cyberangreb, og analysere deres potentielle indvirkning på enhedens digitale operationelle modstandsdygtighed
• udarbejde krisekommunikationsplaner for mindst at kunne afsløre større IKT-relaterede hændelser eller sårbarheder overfor kunder, modparter og offentligheden

IKT-relateret ledelse, klassificering og rapportering

Finansielle enheder skal:

• definere, fastsætte og implementere foranstaltninger til at opdage, styre, registrere og underrette om IKT-relaterede hændelser
• klassificere hændelser og klarlægge deres indvirkning ved brug af kriterier som antal berørte kunder og modparter, varighed, geografisk spredning og datatab
• indberette større IKT-relaterede hændelser til deres udpegede kompetente myndighed, som videresender det til et højere organ som f.eks Den Europæiske Centralbank eller Den Europæiske Banktilsynsmyndighed.

Testing af digital operationel modstandsdygtighed

Finansielle enheder, bortset fra mikrovirksomheder, skal:

• etablere, vedligeholde og evaluere et solidt og omfattende digitalt operationelt testprogram udstyret med de nødvendige vurderinger, test, metoder, praksis og værktøjer
• mindst hvert 3. år gennemføre en trusselsniveau-penetrationstest baseret på deres risikoprofil og under hensyntagen til driftsforholdene — og kun bruge testere, der er certificerede, besidder den nødvendige ekspertise og egnethed og har professionel ansvarsforsikring

Styre tredjeparts IKT-risiko

Finansielle enheder skal:

• styre tredjepartsrisiko som en integreret komponent af deres samlede IKT-risiko
• have indgået kontraktlige ordninger for, at IKT-tjenester kan drive deres forretningsdrift i fuld overensstemmelse med den relevante lovgivning
• tage hensyn til arten, omfanget, kompleksiteten og vigtigheden af IKT-relaterede afhængigheder og eventuelle potentielle risici
• afveje fordele og omkostninger ved alternative løsninger, når de identificerer og vurderer eventuelle risici
• inkludere hver parts rettigheder og forpligtelser og serviceaftalen i kontrakten

Tilsynsramme for kritiske IKT-tredjepartstjenesteudbydere

Rammebestemmelserne:

• overlade til de europæiske tilsynsmyndigheder (ESA’er) at:
• • udpege, på grundlag af klare kriterier, de IKT-tredjepartstjenesteudbydere, der anses for at være kritiske for finansielle enheder
  • udpege den ESA, der er ansvarlig for den berørte finansielle enhed, som ledende tilsynsførende for hver kritisk tredjepartstjenesteudbyder
• oprette et Tilsynsforum, der skal:
• • diskutere relevant udvikling vedrørende IKT-risici og sårbarheder og fremme en konsekvent EU-overvågningsmetode
  • årligt vurdere tilsynsaktiviteter, fremme tiltag for at øge den digitale operationelle modstandsdygtighed og opnå bedste praksis
  • indsende omfattende benchmarks for kritiske IKT-tredjepartstjenesteudbydere
• give den ledende tilsynsførende mandat til at:
• • være det primære kontaktpunkt for kritiske IKT-tredjepartstjenesteudbydere
  • vurdere, om hver kritisk udbyder har dækkende, forsvarlige og effektive regler, procedurer, mekanismer og ordninger på plads
  • anmode om alle relevante oplysninger og dokumentation, udføre undersøgelser og inspektioner (inklusive i lande uden for EU), specificere afhjælpende foranstaltninger og udstede anbefalinger
• gøre det muligt for Den Europæiske Banktilsynsmyndighed, Den Europæiske Tilsynsmyndighed for Forsikrings- og Arbejdsmarkedspensionsordninger og Den Europæiske Værdipapir- og Markedstilsynsmyndighed at samarbejde med regulerings- og tilsynsmyndigheder uden for EU om IKT-tredjepartsrisiko
• kræver, at ESA’er indsender en fortrolig rapport hvert 5. år til Europa-Parlamentet, Rådet for Den Europæiske Union og Europa-Kommissionen om deres forbindelser med ikke-EU-myndigheder.

Kriterier for udpegelse af kritiske udbydere

I henhold til delegeret forordning (EU) 2024/1502 kan tredjepartsudbydere af IKT-tjenester udpeges som kritiske og bringes under direkte tilsyn af ESA’erne efter en vurdering i to trin.

• Trin 1 — kvantitative kriterier

Udbyderen skal opfylde målbare tærskelværdier, såsom:

• antallet af finansielle enheder eller andelen af deres samlede aktiver, som er afhængige af udbyderens tjenester
• om denne betjener systemiske institutter (globalt systemisk vigtige institutter (G-SII’er) eller andre systemisk vigtige institutter (O-SII’er))
• om dennes tjenester kan erstattes, eller om det vil være vanskeligt eller dyrt at skifte til en anden udbyder.

• Trin 2 — kvalitative kriterier

Udbydere, der opfylder trin 1, vurderes derefter ud fra bredere hensyn, herunder:

• de potentielle systemiske konsekvenser, hvis deres tjenester blev afbrudt
• graden af indbyrdes afhængighed mellem finansielle enheder, der anvender den samme udbyder
• de understøttede funktioners kritiske betydning
• afhængighed af de samme underleverandører.

En udbyder udpeges som kritisk, kun når denne opfylder kriterierne i begge trin.

Aftaler om udveksling af oplysninger

Finansielle enheder kan indbyrdes udveksle informationer og efterretninger om cybertrusler, forudsat at dette:

• har til formål at styrke deres digitale operationelle modstandsdygtighed
• sker i deres anerkendte fællesskaber
• beskytter forretningsfortrolighed og personoplysninger og respekterer konkurrencepolitikkens regler

Sanktioner og afhjælpende foranstaltninger

Kompetente myndigheder:

• har alle de tilsyns-, undersøgelses- og sanktionsbeføjelser, der er nødvendige for at udføre deres opgaver
• pålægger og offentliggør på deres websteder de administrative sanktioner og afhjælpende foranstaltninger, der er fastsat i national lovgivning.

ESA’er udarbejder udkast til reguleringsmæssige tekniske standarder for IKT-risikostyringsværktøjer, klassificering og rapportering af IKT-relaterede hændelser og udførelse af tilsynsaktiviteter.

Kommissionen:

• har beføjelse til at vedtage delegerede retsakter
• forelægger senest den 17. januar 2028 en revision af forordningen efter høring af ESA’erne og Det Europæiske Udvalg for Systemiske Risici for Parlamentet og Rådet.

Forordningen ændrer forordning (EF) nr. 1060/2009, forordningerne (EU) nr. 648/2012, 909/2014 og 600/2014 og forordning (EU) 2016/1011.