(1)

Η Ένωση χρειάζεται να αντιμετωπίσει με κατάλληλο και σφαιρικό τρόπο τους ψηφιακούς κινδύνους στους οποίους εκτίθενται όλες οι χρηματοοικονομικές οντότητες και οι οποίοι απορρέουν από την αυξημένη χρήση τεχνολογιών των πληροφοριών και των επικοινωνιών (ΤΠΕ) κατά την παροχή και την κατανάλωση χρηματοοικονομικών υπηρεσιών, προκειμένου να συμβάλει στην αξιοποίηση των δυνατοτήτων του ψηφιακού χρηματοοικονομικού τομέα όσον αφορά την ενίσχυση της καινοτομίας και την προώθηση του ανταγωνισμού σε ένα ασφαλές ψηφιακό περιβάλλον.

(2)

Οι χρηματοοικονομικές οντότητες εξαρτώνται σε μεγάλο βαθμό από τη χρήση ψηφιακών τεχνολογιών στις καθημερινές δραστηριότητές τους. Είναι, συνεπώς, εξαιρετικά σημαντικό να διασφαλιστεί η επιχειρησιακή ανθεκτικότητα των ψηφιακών δραστηριοτήτων τους έναντι των κινδύνων ΤΠΕ. Η ανάγκη αυτή έχει καταστεί ακόμη πιο επιτακτική λόγω της ανάπτυξης πρωτοποριακών τεχνολογιών στην αγορά, ιδίως τεχνολογιών που επιτρέπουν τη μεταβίβαση και την ηλεκτρονική αποθήκευση ψηφιακών αναπαραστάσεων αξίας ή δικαιωμάτων, με τη χρήση τεχνολογίας κατανεμημένου καθολικού ή παρόμοιας τεχνολογίας (κρυπτοστοιχεία), και λόγω της ανάπτυξης υπηρεσιών που σχετίζονται με τα εν λόγω περιουσιακά στοιχεία.

(3)

Σε επίπεδο Ένωσης, οι απαιτήσεις σχετικά με τη διαχείριση των κινδύνων ΤΠΕ στον χρηματοοικονομικό τομέα ορίζονται στις οδηγίες 2009/65/ΕΚ (4), 2009/138/ΕΚ (5), 2011/61/ΕΕ (6), 2013/36/ΕΕ (7), 2014/59/ΕΕ (8), 2014/65/ΕΕ (9), (ΕΕ) 2015/2366 (10) και (ΕΕ) 2016/2341 (11) του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου.

Οι εν λόγω απαιτήσεις είναι ανομοιογενείς και ενίοτε ελλιπείς. Σε ορισμένες περιπτώσεις, οι κίνδυνοι ΤΠΕ έχουν αντιμετωπιστεί μόνο εμμέσως, στο πλαίσιο του λειτουργικού κινδύνου και σε άλλες περιπτώσεις δεν έχουν αντιμετωπιστεί καθόλου. Τα εν λόγω ζητήματα επανορθώνονται με την έκδοση του κανονισμού (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (12). Οι εν λόγω οδηγίες θα πρέπει, συνεπώς, να τροποποιηθούν για να διασφαλιστεί συνέπεια με τον εν λόγω κανονισμό. Η παρούσα οδηγία θεσπίζει ένα σύνολο τροποποιήσεων που είναι απαραίτητες για να εξασφαλιστεί νομική σαφήνεια και συνοχή σε σχέση με την εφαρμογή, από τις χρηματοοικονομικές οντότητες που έχουν λάβει άδεια λειτουργίας και εποπτεύονται σύμφωνα με τις εν λόγω οδηγίες, διάφορων απαιτήσεων ψηφιακής επιχειρησιακής ανθεκτικότητας που είναι απαραίτητες για την άσκηση των δραστηριοτήτων τους και για την παροχή υπηρεσιών, διασφαλίζοντας με τον τρόπο αυτόν την ομαλή λειτουργία της εσωτερικής αγοράς. Είναι αναγκαίο να διασφαλιστεί η επάρκεια των εν λόγω απαιτήσεων σε σχέση με τις εξελίξεις της αγοράς και παράλληλα να ενθαρρυνθεί η αναλογικότητα ιδίως όσον αφορά το μέγεθος των χρηματοοικονομικών οντοτήτων και τα ειδικά καθεστώτα στα οποία υπάγονται, με στόχο τη μείωση του κόστους συμμόρφωσης.

(4)

Στον τομέα των τραπεζικών υπηρεσιών, η οδηγία 2013/36/ΕΕ ορίζει, επί του παρόντος, μόνο γενικούς κανόνες εσωτερικής διακυβέρνησης και διατάξεις για τους λειτουργικούς κινδύνους που περιέχουν απαιτήσεις για σχέδια αντιμετώπισης επειγουσών καταστάσεων και επιχειρησιακής συνέχειας, τα οποία, εμμέσως, χρησιμεύουν ως βάση για την αντιμετώπιση των κινδύνων ΤΠΕ. Ωστόσο, προκειμένου να αντιμετωπίζονται ρητά και σαφώς οι κίνδυνοι ΤΠΕ, οι απαιτήσεις για σχέδια αντιμετώπισης επειγουσών καταστάσεων και επιχειρησιακής συνέχειας θα πρέπει να τροποποιηθούν ώστε να συμπεριλάβουν επίσης σχέδια επιχειρησιακής συνέχειας και σχέδια αντιμετώπισης και ανάκαμψης όσον αφορά τους κινδύνους ΤΠΕ, σύμφωνα με τις απαιτήσεις που ορίζονται στον κανονισμό (ΕΕ) 2022/2554 Επιπλέον, οι κίνδυνοι ΤΠΕ περιλαμβάνονται μόνο έμμεσα, ως μέρος των λειτουργικών κινδύνων, στη διαδικασία εποπτικού ελέγχου και αξιολόγησης (ΔΕΕΑ) που διενεργούν οι αρμόδιες αρχές και τα κριτήρια για την αξιολόγησή τους καθορίζονται επί του παρόντος στις κατευθυντήριες γραμμές σχετικά με την αξιολόγηση κινδύνων ΤΠΕ σύμφωνα με τη διαδικασία εποπτικού ελέγχου και αξιολόγησης (ΔΕΕΑ), που εκδόθηκαν από την Ευρωπαϊκή Εποπτική Αρχή (Ευρωπαϊκή Αρχή Τραπεζών) (ΕΑΤ), η οποία συγκροτήθηκε με τον κανονισμό (ΕΕ) αριθ. 1093/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (13). Προκειμένου να εξασφαλιστεί νομική σαφήνεια και να διασφαλιστεί ότι οι εποπτικές αρχές των τραπεζών εντοπίζουν αποτελεσματικά τους κινδύνους ΤΠΕ και παρακολουθούν τη διαχείρισή τους από τις χρηματοοικονομικές οντότητες, σύμφωνα με το νέο πλαίσιο για την ψηφιακή επιχειρησιακή ανθεκτικότητα, το πεδίο εφαρμογής της ΔΕΕΑ θα πρέπει επίσης να τροποποιηθεί ώστε να αναφέρει ρητά τις απαιτήσεις που ορίζονται στον κανονισμό (ΕΕ) 2022/2554 και να καλύπτει ιδίως τους κινδύνους που εντοπίζονται στις αναφορές σημαντικών συμβάντων που σχετίζονται με τις ΤΠΕ και στα αποτελέσματα των δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας που διενεργούνται από χρηματοοικονομικές οντότητες σύμφωνα με τον εν λόγω κανονισμό.

(5)

Η ψηφιακή επιχειρησιακή ανθεκτικότητα είναι απαραίτητη για τη διατήρηση των κρίσιμων λειτουργιών και των βασικών επιχειρηματικών τομέων μιας χρηματοοικονομικής οντότητας σε περίπτωση εξυγίανσης και, ως εκ τούτου, για την αποφυγή διαταραχών στην πραγματική οικονομία και στο χρηματοοικονομικό σύστημα. Τα σημαντικά επιχειρησιακά συμβάντα μπορεί να παρεμποδίσουν την ικανότητα μιας χρηματοοικονομικής οντότητας να συνεχίσει τη λειτουργία της και μπορεί να θέσουν σε κίνδυνο τους στόχους της εξυγίανσης. Ορισμένες συμβατικές ρυθμίσεις για τη χρήση υπηρεσιών ΤΠΕ είναι απαραίτητες για τη διασφάλιση της επιχειρησιακής συνέχειας και για την παροχή των απαραίτητων δεδομένων σε περίπτωση εξυγίανσης. Προκειμένου να εξασφαλιστεί η ευθυγράμμιση προς τους στόχους του ενωσιακού πλαισίου για την επιχειρησιακή ανθεκτικότητα, η οδηγία 2014/59/ΕΕ θα πρέπει να τροποποιηθεί ανάλογα, ώστε να διασφαλίζεται ότι οι πληροφορίες σχετικά με την επιχειρησιακή ανθεκτικότητα λαμβάνονται υπόψη στο πλαίσιο του σχεδιασμού της εξυγίανσης και της αξιολόγησης της δυνατότητας εξυγίανσης των χρηματοοικονομικών οντοτήτων.

(6)

Η οδηγία 2014/65/ΕΕ ορίζει αυστηρότερους κανόνες κινδύνων ΤΠΕ για τις επιχειρήσεις επενδύσεων και τους τόπους διαπραγμάτευσης που συμμετέχουν σε αλγοριθμικές συναλλαγές. Για τις υπηρεσίες αναφοράς δεδομένων και για τα αρχεία καταγραφής συναλλαγών ισχύουν λιγότερο λεπτομερείς απαιτήσεις. Επίσης, η οδηγία 2014/65/ΕΕ περιέχει μόνο περιορισμένες αναφορές σε μηχανισμούς ελέγχου και ασφάλειας των συστημάτων ηλεκτρονικής επεξεργασίας δεδομένων και στη χρήση κατάλληλων συστημάτων, πόρων και διαδικασιών για τη διασφάλιση της συνέχειας και της κανονικότητας των επιχειρηματικών υπηρεσιών. Επιπλέον, η εν λόγω οδηγία θα πρέπει να ευθυγραμμιστεί με τον κανονισμό (ΕΕ) 2022/2554 όσον αφορά τη συνεχή και τακτική παροχή επενδυτικών υπηρεσιών και την εκτέλεση επενδυτικών δραστηριοτήτων, την επιχειρησιακή ανθεκτικότητα, την ικανότητα των συστημάτων διαπραγμάτευσης και την αποτελεσματικότητα των ρυθμίσεων επιχειρησιακής συνέχειας και της διαχείρισης κινδύνων.

(7)

Η οδηγία (ΕΕ) 2015/2366 ορίζει ειδικούς κανόνες για τους ελέγχους ασφάλειας των ΤΠΕ και στοιχεία μετριασμού για τους σκοπούς της απόκτησης άδειας παροχής υπηρεσιών πληρωμών. Οι εν λόγω κανόνες για τη χορήγηση άδειας θα πρέπει να τροποποιηθούν προκειμένου να ευθυγραμμιστούν με τον κανονισμό (ΕΕ) 2022/2554 Επιπλέον, προκειμένου να μειωθεί ο διοικητικός φόρτος και να αποφευχθούν η πολυπλοκότητα και οι αλληλεπικαλυπτόμενες απαιτήσεις υποβολής αναφορών, οι κανόνες αναφοράς συμβάντων που ορίζει η εν λόγω οδηγία θα πρέπει να παύσουν να εφαρμόζονται για τους παρόχους υπηρεσιών πληρωμών που ρυθμίζονται βάσει της εν λόγω οδηγίας και υπόκεινται επίσης στον κανονισμό (ΕΕ) 2022/2554, επιτρέποντας έτσι στους εν λόγω παρόχους υπηρεσιών πληρωμών να επωφελούνται από ενιαίο, πλήρως εναρμονισμένο μηχανισμό αναφοράς συμβάντων όσον αφορά όλα τα λειτουργικά συμβάντα ή συμβάντα ασφάλειας που σχετίζονται με πληρωμές, ανεξάρτητα αν τα εν λόγω συμβάντα σχετίζονται με τις ΤΠΕ.

(8)

Οι οδηγίες 2009/138/ΕΚ και (ΕΕ) 2016/2341 αποτυπώνουν εν μέρει τους κινδύνους ΤΠΕ στις γενικές διατάξεις τους για τη διακυβέρνηση και τη διαχείριση κινδύνων, αφήνοντας ορισμένες απαιτήσεις να καθοριστούν με κατ’ εξουσιοδότηση πράξεις με ή χωρίς ειδικές αναφορές στους κινδύνους ΤΠΕ. Ομοίως, για τους διαχειριστές οργανισμών εναλλακτικών επενδύσεων που υπόκεινται στην οδηγία 2011/61/ΕΕ και τις εταιρείες διαχείρισης που υπόκεινται στην οδηγία 2009/65/ΕΚ ισχύουν μόνο πολύ γενικοί κανόνες. Συνεπώς, οι εν λόγω οδηγίες θα πρέπει να ευθυγραμμιστούν με τις απαιτήσεις που ορίζονται στον κανονισμό (ΕΕ) 2022/2554 όσον αφορά τη διαχείριση συστημάτων και εργαλείων ΤΠΕ.

(9)

Σε πολλές περιπτώσεις, έχουν ήδη θεσπιστεί περαιτέρω απαιτήσεις κινδύνων ΤΠΕ σε κατ’ εξουσιοδότηση και εκτελεστικές πράξεις, που έχουν εκδοθεί βάσει σχεδίων ρυθμιστικών τεχνικών προτύπων και σχεδίων εκτελεστικών τεχνικών προτύπων που έχει καταρτίσει η αρμόδια Ευρωπαϊκή Εποπτική Αρχή. Καθώς οι διατάξεις του κανονισμού (ΕΕ) 2022/2554 συνιστούν στο εξής το νομικό πλαίσιο για τους κινδύνους ΤΠΕ στον χρηματοοικονομικό τομέα, ορισμένες εξουσιοδοτήσεις για την έκδοση κατ’ εξουσιοδότηση και εκτελεστικών πράξεων στις οδηγίες 2009/65/ΕΚ, 2009/138/ΕΚ, 2011/61/ΕΕ και 2014/65/ΕΕ θα πρέπει να τροποποιηθούν, ώστε να αφαιρεθούν οι διατάξεις για τους κινδύνους ΤΠΕ από το πεδίο εφαρμογής των εν λόγω εξουσιοδοτήσεων.

(10)

Προκειμένου να διασφαλιστεί η συνεπής εφαρμογή του νέου πλαισίου για την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα, τα κράτη μέλη θα πρέπει να εφαρμόσουν τις διατάξεις του εθνικού δικαίου που μεταφέρουν την παρούσα οδηγία στο εθνικό δίκαιο από την ημερομηνία εφαρμογής του κανονισμού (ΕΕ) 2022/2554

(11)

Οι οδηγίες 2009/65/ΕΚ, 2009/138/ΕΚ, 2011/61/ΕΕ, 2013/36/ΕΕ, 2014/59/ΕΕ, 2014/65/ΕΕ, (ΕΕ) 2015/2366 και (ΕΕ) 2016/2341 έχουν εκδοθεί βάσει του άρθρου 53 παράγραφος 1 ή του άρθρου 114 της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ) ή αμφοτέρων. Δεδομένου ότι το αντικείμενο και οι στόχοι των τροποποιήσεων είναι αλληλένδετα, οι τροποποιήσεις της παρούσας οδηγίας έχουν συμπεριληφθεί σε ενιαία νομοθετική πράξη. Επομένως, η παρούσα οδηγία θα πρέπει να εκδοθεί βάσει του άρθρου 53 παράγραφος 1 και του άρθρου 114 ΣΛΕΕ.

(12)

Δεδομένου ότι οι στόχοι της παρούσας οδηγίας δεν μπορούν να επιτευχθούν ικανοποιητικά από τα κράτη μέλη, καθώς προϋποθέτουν την εναρμόνιση των απαιτήσεων που περιλαμβάνονται ήδη σε οδηγίες, μπορούν όμως, λόγω της κλίμακας και των επιπτώσεων της δράσης, να επιτευχθούν καλύτερα σε επίπεδο Ένωσης, η Ένωση δύναται να λάβει μέτρα, σύμφωνα με την αρχή της επικουρικότητας του άρθρου 5 της Συνθήκης για την Ευρωπαϊκή Ένωση. Σύμφωνα με την αρχή της αναλογικότητας, όπως διατυπώνεται στο ίδιο άρθρο, η παρούσα οδηγία δεν υπερβαίνει τα αναγκαία όρια για την επίτευξη των στόχων αυτών.

(13)

Σύμφωνα με την κοινή πολιτική δήλωση, της 28ης Σεπτεμβρίου 2011, των κρατών μελών και της Επιτροπής σχετικά με τα επεξηγηματικά έγγραφα (14), τα κράτη μέλη δεσμεύτηκαν να επισυνάπτουν στην κοινοποίηση των εθνικών μέτρων μεταφοράς στο εθνικό δίκαιο, όταν δικαιολογείται, ένα ή περισσότερα έγγραφα που διευκρινίζουν τη σχέση ανάμεσα στα στοιχεία μιας οδηγίας και στα αντίστοιχα τμήματα των εθνικών πράξεων μεταφοράς. Για την παρούσα οδηγία, ο νομοθέτης εκτιμά ότι η διαβίβαση των εγγράφων αυτών είναι δικαιολογημένη,

1)

Στην παράγραφο 1 δεύτερο εδάφιο, το στοιχείο α) αντικαθίσταται από το ακόλουθο κείμενο:

(*1)  Κανονισμός (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022, σχετικά με την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα και την τροποποίηση των κανονισμών (ΕΚ) αριθ. 1060/2009, (ΕΕ) αριθ. 648/2012, (ΕΕ) αριθ. 600/2014, (ΕΕ) αριθ. 909/2014 και (ΕΕ) 2016/1011 (ΕΕ L 333 της 27.12.2022, σ. 1).»."

2)

Η παράγραφος 3 αντικαθίσταται από το ακόλουθο κείμενο:

1)

Στο άρθρο 41, η παράγραφος 4 αντικαθίσταται από το ακόλουθο κείμενο:

(*2)  Κανονισμός (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022, σχετικά με την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα και την τροποποίηση των κανονισμών (ΕΚ) αριθ. 1060/2009, (ΕΕ) αριθ. 648/2012, (ΕΕ) αριθ. 600/2014, (ΕΕ) αριθ. 909/2014 και (ΕΕ) 2016/1011 (ΕΕ L 333 της 27.12.2022, σ. 1).»."

2)

Στο άρθρο 50 παράγραφος 1, τα στοιχεία α) και β) αντικαθίστανται από το ακόλουθο κείμενο:

1)

Στο άρθρο 65 παράγραφος 3, το στοιχείο α) σημείο vi) αντικαθίσταται από το ακόλουθο κείμενο:

(*4)  Κανονισμός (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022, σχετικά με την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα και την τροποποίηση των κανονισμών (ΕΚ) αριθ. 1060/2009, (ΕΕ) αριθ. 648/2012, (ΕΕ) αριθ. 600/2014, (ΕΕ) αριθ. 909/2014 και (ΕΕ) 2016/1011 (ΕΕ L L 333 της 27.12.2022, σ.1).»."

2)

Στο άρθρο 74 παράγραφος 1, το πρώτο εδάφιο αντικαθίσταται από το ακόλουθο κείμενο:

«Τα ιδρύματα θεσπίζουν άρτιες ρυθμίσεις διακυβέρνησης, οι οποίες περιλαμβάνουν σαφή οργανωτική διάρθρωση με σαφώς καθορισμένες, διαφανείς και συνεπείς γραμμές ευθύνης, αποτελεσματικές διαδικασίες εντοπισμού, διαχείρισης, παρακολούθησης και αναφοράς των κινδύνων τους οποίους αναλαμβάνουν ή ενδέχεται να αναλάβουν, επαρκείς μηχανισμούς εσωτερικού ελέγχου, περιλαμβανομένων των κατάλληλων διοικητικών και λογιστικών διαδικασιών, συστήματα δικτύου και πληροφοριών που έχουν δημιουργηθεί και τελούν υπό διαχείριση σύμφωνα με τον κανονισμό (ΕΕ) 2022/2554, καθώς και πολιτικές και πρακτικές αποδοχών που συνάδουν προς τις αρχές της ορθής και αποτελεσματικής διαχείρισης κινδύνων και τις προωθούν.».

3)

Στο άρθρο 85, η παράγραφος 2 αντικαθίσταται από το ακόλουθο κείμενο:

4)

Στο άρθρο 97 παράγραφος 1, προστίθεται το ακόλουθο στοιχείο:

1)

το άρθρο 10 τροποποιείται ως εξής:

2)

Το παράρτημα τροποποιείται ως εξής:

1)

Το άρθρο 16 τροποποιείται ως εξής:

2)

Το άρθρο 17 τροποποιείται ως εξής:

3)

Στο άρθρο 47, η παράγραφος 1 τροποποιείται ως εξής:

4)

Το άρθρο 48 τροποποιείται ως εξής:

1)

Στο άρθρο 3, το στοιχείο ι) αντικαθίσταται από το ακόλουθο κείμενο:

2)

Το άρθρο 5 παράγραφος 1 τροποποιείται ως εξής:

3)

Στο άρθρο 19 παράγραφος 6, το δεύτερο εδάφιο αντικαθίσταται από το ακόλουθο κείμενο:

«Η ανάθεση σημαντικών λειτουργικών δραστηριοτήτων σε εξωτερικούς φορείς, περιλαμβανομένων των συστημάτων ΤΠΕ, δεν γίνεται με τρόπο που βλάπτει ουσιαστικά την ποιότητα των εσωτερικών ελέγχων του ιδρύματος πληρωμών και την ικανότητα των αρμόδιων αρχών να παρακολουθούν και να εξακριβώνουν τη συμμόρφωση του ιδρύματος πληρωμών με όλες τις υποχρεώσεις που ορίζονται στην παρούσα οδηγία.».

4)

Στο άρθρο 95 παράγραφος 1, προστίθεται το ακόλουθο εδάφιο:

«Το πρώτο εδάφιο δεν θίγει την εφαρμογή του κεφαλαίου ΙΙ του κανονισμού (ΕΕ) 2022/2554:

5)

Στο άρθρο 96, προστίθεται η ακόλουθη παράγραφος:

6)

Στο άρθρο 98, η παράγραφος 5 αντικαθίσταται από το ακόλουθο κείμενο: