(1)

Στην ψηφιακή εποχή, οι τεχνολογίες των πληροφοριών και των επικοινωνιών (ΤΠΕ) υποστηρίζουν σύνθετα συστήματα που χρησιμοποιούνται για καθημερινές δραστηριότητες. Διασφαλίζουν την αδιάλειπτη λειτουργία των οικονομιών μας σε βασικούς τομείς, συμπεριλαμβανομένου του χρηματοοικονομικού τομέα, και ενισχύουν τη λειτουργία της εσωτερικής αγοράς. Η αυξημένη ψηφιοποίηση και διασυνδεσιμότητα εντείνουν επίσης τους κινδύνους ΤΠΕ, οι οποίοι καθιστούν την κοινωνία συνολικά —και ειδικότερα το χρηματοοικονομικό σύστημα— πιο ευάλωτη σε κυβερνοαπειλές ή διαταραχές των ΤΠΕ. Μολονότι η καθολική χρήση των συστημάτων ΤΠΕ και ο υψηλός βαθμός ψηφιοποίησης και συνδεσιμότητας αποτελούν σήμερα βασικά χαρακτηριστικά των δραστηριοτήτων των χρηματοοικονομικών οντοτήτων της Ένωσης, η ψηφιακή τους ανθεκτικότητα δεν έχει ακόμη αντιμετωπιστεί και ενσωματωθεί καλύτερα στα ευρύτερα επιχειρησιακά τους πλαίσια.

(2)

Κατά τις προηγούμενες δεκαετίες, η χρήση ΤΠΕ έχει κατακτήσει καθοριστικό ρόλο στην παροχή χρηματοοικονομικών υπηρεσιών, σε σημείο που έχει πλέον αποκτήσει κρίσιμη σημασία για τη διασφάλιση των συνήθων καθημερινών λειτουργιών όλων των χρηματοοικονομικών οντοτήτων. Η ψηφιοποίηση καλύπτει πλέον, για παράδειγμα, τις πληρωμές, οι οποίες από τα μετρητά και τα έντυπα μέσα στρέφονται πλέον ολοένα και περισσότερο στη χρήση ψηφιακών λύσεων, καθώς και την εκκαθάριση και τον διακανονισμό τίτλων, τις ηλεκτρονικές και αλγοριθμικές συναλλαγές, τις πράξεις δανεισμού και χρηματοδότησης, τη χρηματοδότηση μεταξύ ομοτίμων, την αξιολόγηση πιστοληπτικής ικανότητας, τη διαχείριση απαιτήσεων και τις υπηρεσίες υποστήριξης (back-office). Η χρήση ΤΠΕ μετασχημάτισε επίσης τον ασφαλιστικό τομέα, από την εμφάνιση ασφαλιστικών διαμεσολαβητών που προσφέρουν τις υπηρεσίες τους μέσω διαδικτύου και λειτουργούν με την InsurTech, έως την ψηφιακή ανάληψη ασφαλιστικών κινδύνων. Εκτός του υψηλού βαθμού ψηφιοποίησης σε ολόκληρο τον χρηματοοικονομικό τομέα, η ψηφιοποίηση έχει εμβαθύνει επίσης τις διασυνδέσεις και τις εξαρτήσεις εντός του χρηματοοικονομικού τομέα, καθώς και με τρίτους παρόχους υποδομών και υπηρεσιών.

(3)

Σε έκθεση του 2020 σχετικά με τον συστημικό κίνδυνο στον κυβερνοχώρο, το Ευρωπαϊκό Συμβούλιο Συστημικών Κινδύνων (ΕΣΣΚ) επιβεβαίωσε τον τρόπο με τον οποίο το υφιστάμενο υψηλό επίπεδο διασυνδεσιμότητας μεταξύ των χρηματοοικονομικών οντοτήτων, των χρηματοοικονομικών αγορών και των υποδομών χρηματοοικονομικών αγορών, και ιδίως οι αλληλεξαρτήσεις των οικείων συστημάτων ΤΠΕ, θα μπορούσε να αποτελέσει συστημική ευπάθεια, δεδομένου ότι τοπικά κυβερνοπεριστατικά θα μπορούσαν να εξαπλωθούν ταχέως από οποιαδήποτε από τις περίπου 22 000 χρηματοοικονομικές οντότητες της Ένωσης σε ολόκληρο το χρηματοοικονομικό σύστημα, χωρίς να εμποδίζονται από τα γεωγραφικά σύνορα. Οι σοβαρές παραβιάσεις των ΤΠΕ που ανακύπτουν στον χρηματοοικονομικό τομέα δεν επηρεάζουν μόνο μεμονωμένες χρηματοοικονομικές οντότητες. Διευκολύνουν επίσης τη διάδοση τοπικών ευπαθειών στους διαύλους μετάδοσης και μπορούν να έχουν δυσμενείς συνέπειες για τη σταθερότητα του χρηματοοικονομικού συστήματος της Ένωσης, φέρ’ ειπείν προκαλώντας εκροές ρευστότητας και συνολική απώλεια της αξιοπιστίας των χρηματοοικονομικών αγορών και της εμπιστοσύνης σε αυτές.

(4)

Κατά τα τελευταία έτη, οι κίνδυνοι ΤΠΕ έχουν προσελκύσει την προσοχή διεθνών ενωσιακών και εθνικών φορέων χάραξης πολιτικής, ρυθμιστικών αρχών και οργανισμών τυποποίησης, στο πλαίσιο μιας απόπειρας να ενισχυθεί η ψηφιακή ανθεκτικότητα, να καθοριστούν πρότυπα και να συντονιστούν οι ρυθμιστικές ή εποπτικές εργασίες. Σε διεθνές επίπεδο, η Επιτροπή της Βασιλείας για την Τραπεζική Εποπτεία, η Επιτροπή Πληρωμών και Υποδομών Αγορών, το Συμβούλιο Χρηματοπιστωτικής Σταθερότητας, το Ίδρυμα Χρηματοπιστωτικής Σταθερότητας, καθώς και οι G7 και G20, έχουν θέσει ως στόχο την παροχή εργαλείων στις αρμόδιες αρχές και στους διαχειριστές αγοράς σε διάφορες δικαιοδοσίες για την ενίσχυση της ανθεκτικότητας των χρηματοοικονομικών τους συστημάτων. Το έργο αυτό υπαγορεύθηκε επίσης από την ανάγκη να ληφθούν δεόντως υπόψη οι κίνδυνοι ΤΠΕ στο πλαίσιο ενός εξαιρετικά διασυνδεδεμένου παγκόσμιου χρηματοοικονομικού συστήματος και να επιδιωχθεί μεγαλύτερη συνοχή των σχετικών βέλτιστων πρακτικών.

(5)

Παρά την ανάληψη ενωσιακών και εθνικών πολιτικών και νομοθετικών πρωτοβουλιών, οι κίνδυνοι ΤΠΕ εξακολουθούν να συνιστούν πρόκληση για την επιχειρησιακή ανθεκτικότητα, τις επιδόσεις και τη σταθερότητα του χρηματοοικονομικού συστήματος της Ένωσης. Οι μεταρρυθμίσεις που ακολούθησαν τη χρηματοοικονομική κρίση του 2008 ενίσχυσαν πρωτίστως τη χρηματοοικονομική ανθεκτικότητα του χρηματοοικονομικού τομέα της Ένωσης και είχε ως στόχο τη διασφάλιση της ανταγωνιστικότητας και της σταθερότητας της Ένωσης από την οπτική γωνία της οικονομίας, της προληπτικής εποπτείας και της δεοντολογίας της αγοράς. Μολονότι η ασφάλεια των ΤΠΕ και η ψηφιακή ανθεκτικότητα αποτελούν μέρος του επιχειρησιακού κινδύνου, δεν τέθηκαν δεόντως στο επίκεντρο του κανονιστικού θεματολογίου μετά τη χρηματοοικονομική κρίση, ενώ έχουν αναπτυχθεί μόνο σε ορισμένους τομείς του πολιτικού και κανονιστικού πλαισίου της Ένωσης για τις χρηματοοικονομικές υπηρεσίες ή μόνο σε μερικά κράτη μέλη.

(6)

Στην ανακοίνωσή της της 8ης Μαρτίου 2018 με τίτλο «Σχέδιο δράσης για τη χρηματοοικονομική τεχνολογία: Για έναν πιο ανταγωνιστικό και καινοτόμο ευρωπαϊκό χρηματοπιστωτικό τομέα», η Επιτροπή επισήμανε τη θεμελιώδη σημασία της ενίσχυσης της ανθεκτικότητας του χρηματοοικονομικού τομέα της Ένωσης, μεταξύ άλλων, από επιχειρησιακής πλευράς για τη διασφάλιση της τεχνολογικής ασφάλειας και της άρτιας λειτουργίας του, καθώς και της ταχείας ανάκαμψής του από παραβιάσεις και συμβάντα που σχετίζονται με τις ΤΠΕ, ώστε να καταστεί εντέλει δυνατή η αποτελεσματική και ομαλή παροχή χρηματοοικονομικών υπηρεσιών σε ολόκληρη την Ένωση, μεταξύ άλλων υπό συνθήκες ακραίων καταστάσεων, ενώ θα διατηρείται παράλληλα η αξιοπιστία της αγοράς και η εμπιστοσύνη των καταναλωτών σε αυτήν.

(7)

Τον Απρίλιο του 2019, η Ευρωπαϊκή Εποπτική Αρχή (Ευρωπαϊκή Αρχή Τραπεζών) (ΕΑΤ), η οποία συγκροτήθηκε με τον κανονισμό (ΕΕ) αριθ. 1093/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4), η Ευρωπαϊκή Εποπτική Αρχή (Ευρωπαϊκή Αρχή Ασφαλίσεων και Επαγγελματικών Συντάξεων) («ΕΑΑΕΣ»), η οποία συγκροτήθηκε με τον κανονισμό (ΕΕ) αριθ. 1094/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5), και η Ευρωπαϊκή Εποπτική Αρχή (Ευρωπαϊκή Αρχή Κινητών Αξιών και Αγορών) (ΕΑΚΑΑ), η οποία συγκροτήθηκε με τον κανονισμό (ΕΕ) αριθ. 1095/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (6) (συλλογικά γνωστές ως «Ευρωπαϊκές Εποπτικές Αρχές» ή «ΕΕΑ»), εξέδωσαν από κοινού τεχνικές γνωμοδοτήσεις, στις οποίες διατύπωναν έκκληση για συνεκτική προσέγγιση όσον αφορά τους κινδύνους ΤΠΕ στον χρηματοοικονομικό τομέα και σύσταση για ενίσχυση της ψηφιακής επιχειρησιακής ανθεκτικότητας του κλάδου των χρηματοοικονομικών υπηρεσιών, κατά τρόπο αναλογικό, μέσω ειδικής τομεακής πρωτοβουλίας της Ένωσης.

(8)

Ο χρηματοοικονομικός τομέας της Ένωσης ρυθμίζεται από ενιαίο εγχειρίδιο κανόνων και διέπεται από το ευρωπαϊκό σύστημα χρηματοοικονομικής εποπτείας. Ωστόσο, οι διατάξεις που αφορούν την ψηφιακή επιχειρησιακή ανθεκτικότητα και την ασφάλεια ΤΠΕ δεν έχουν εναρμονιστεί ακόμη πλήρως ή με συνεκτικό τρόπο, παρά το γεγονός ότι η ψηφιακή επιχειρησιακή ανθεκτικότητα είναι ζωτικής σημασίας για τη διασφάλιση της χρηματοοικονομικής σταθερότητας και της ακεραιότητας της αγοράς στην ψηφιακή εποχή και είναι εξίσου σημαντική, για παράδειγμα, με τα κοινά πρότυπα προληπτικής εποπτείας ή δεοντολογίας της αγοράς. Κατά συνέπεια, το ενιαίο εγχειρίδιο κανόνων και το σύστημα εποπτείας θα πρέπει να εξελιχθούν ώστε να καλύπτουν και την ψηφιακή επιχειρησιακή ανθεκτικότητα, με την ενίσχυση των εντολών των αρμόδιων αρχών για να μπορούν να εποπτεύουν τη διαχείριση των κινδύνων ΤΠΕ στον χρηματοοικονομικό τομέα, προκειμένου να προστατεύουν την ακεραιότητα και την αποτελεσματικότητα της εσωτερικής αγοράς και να διευκολύνουν την εύρυθμη λειτουργία της.

(9)

Οι νομοθετικές διαφορές και οι ανομοιόμορφες εθνικές κανονιστικές και εποπτικές προσεγγίσεις όσον αφορά τους κινδύνους ΤΠΕ εγείρουν φραγμούς στη λειτουργία της εσωτερικής αγοράς χρηματοοικονομικών υπηρεσιών, παρεμποδίζοντας με τον τρόπο αυτόν την απρόσκοπτη άσκηση της ελευθερίας εγκατάστασης και της παροχής υπηρεσιών για τις χρηματοοικονομικές οντότητες που λειτουργούν σε διασυνοριακή βάση. Είναι επίσης πιθανό να προκαλούνται στρεβλώσεις στον ανταγωνισμό μεταξύ των χρηματοοικονομικών οντοτήτων του ίδιου τύπου που δραστηριοποιούνται σε διαφορετικά κράτη μέλη. Αυτό ισχύει, ιδίως, για τομείς στους οποίους η εναρμόνιση της Ένωσης είναι εξαιρετικά περιορισμένη, όπως οι δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας, ή απούσα, όπως η παρακολούθηση των κινδύνων τρίτων παρόχων ΤΠΕ. Οι διαφορές που απορρέουν από τις εξελίξεις που προβλέπονται σε εθνικό επίπεδο θα μπορούσαν να δημιουργήσουν περαιτέρω φραγμούς για τη λειτουργία της εσωτερικής αγοράς εις βάρος των συμμετεχόντων στην αγορά και της χρηματοοικονομικής σταθερότητας.

(10)

Έως τούδε, επειδή οι σχετικές με τους κινδύνους ΤΠΕ διατάξεις έχουν εξεταστεί μόνο μερικώς σε επίπεδο Ένωσης, υπάρχουν κενά ή αλληλεπικαλύψεις σε σημαντικούς τομείς, όπως η αναφορά συμβάντων που σχετίζονται με τις ΤΠΕ και οι δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας, και ασυνέπειες ως αποτέλεσμα αναδυόμενων αποκλινόντων εθνικών κανόνων ή μη αποδοτικής ως προς το κόστος εφαρμογής των αλληλεπικαλυπτόμενων κανόνων. Η κατάσταση αυτή είναι ιδιαίτερα επιζήμια για τους εντατικούς χρήστες ΤΠΕ, όπως ο χρηματοοικονομικός τομέας, δεδομένου ότι οι τεχνολογικοί κίνδυνοι δεν έχουν σύνορα και ο χρηματοοικονομικός τομέας αναπτύσσει τις υπηρεσίες του σε ευρεία διασυνοριακή βάση, τόσο εντός όσο και εκτός της Ένωσης. Οι μεμονωμένες χρηματοοικονομικές οντότητες που δραστηριοποιούνται σε διασυνοριακή βάση ή είναι κάτοχοι πολλών αδειών (π.χ. μια χρηματοοικονομική οντότητα μπορεί να διαθέτει άδεια λειτουργίας τραπεζικού ιδρύματος, επιχείρησης επενδύσεων και ιδρύματος πληρωμών, καθεμία από τις οποίες έχει εκδοθεί από διαφορετική αρμόδια αρχή σε ένα ή περισσότερα κράτη μέλη) βρίσκονται αντιμέτωπες με επιχειρησιακές προκλήσεις διότι καλούνται να αντιμετωπίσουν τους κινδύνους ΤΠΕ και να μετριάσουν τις δυσμενείς επιπτώσεις συμβάντων ΤΠΕ μεμονωμένα και με συνεκτικό και οικονομικά αποδοτικό τρόπο.

(11)

Δεδομένου ότι το ενιαίο εγχειρίδιο κανόνων δεν συνοδεύεται από ολοκληρωμένο πλαίσιο για τους κινδύνους ΤΠΕ ή τους λειτουργικούς κινδύνους, απαιτείται περαιτέρω εναρμόνιση των βασικών απαιτήσεων ψηφιακής επιχειρησιακής ανθεκτικότητας για όλες τις χρηματοοικονομικές οντότητες. Η ανάπτυξη ικανοτήτων ΤΠΕ και συνολικής ανθεκτικότητας από τις χρηματοοικονομικές οντότητες, σύμφωνα με τις εν λόγω βασικές απαιτήσεις, με σκοπό την αντιμετώπιση διακοπών λειτουργίας, θα συμβάλει στη διατήρηση της σταθερότητας και της ακεραιότητας των χρηματοοικονομικών αγορών της Ένωσης και, κατ’ επέκταση, στη διασφάλιση υψηλού επιπέδου προστασίας των επενδυτών και των καταναλωτών στην Ένωση. Λαμβανομένου υπόψη ότι ο παρών κανονισμός έχει ως στόχο να συμβάλει στην εύρυθμη λειτουργία της εσωτερικής αγοράς, θα πρέπει να βασίζεται στις διατάξεις του άρθρου 114 της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ), όπως ερμηνεύονται σύμφωνα με την πάγια νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης (Δικαστήριο).

(12)

Ο παρών κανονισμός αποσκοπεί στην ενοποίηση και την αναβάθμιση των απαιτήσεων για τους κινδύνους ΤΠΕ στο πλαίσιο των απαιτήσεων για τους λειτουργικούς κινδύνους, οι οποίες, έως το σημείο αυτό, έχουν εξεταστεί χωριστά σε διάφορες νομικές πράξεις της Ένωσης. Παρότι οι εν λόγω πράξεις κάλυπταν τις κύριες κατηγορίες χρηματοοικονομικών κινδύνων (π.χ. πιστωτικό κίνδυνο, κίνδυνο αγοράς, πιστωτικό κίνδυνο αντισυμβαλλομένου και κίνδυνο ρευστότητας, κίνδυνο συμπεριφοράς της αγοράς), δεν αντιμετώπισαν συνολικά, κατά τον χρόνο έκδοσής τους, όλες τις συνιστώσες της επιχειρησιακής ανθεκτικότητας. Οι κανόνες για λειτουργικούς κινδύνους, όταν αναπτύσσονταν περαιτέρω στις εν λόγω νομικές πράξεις της Ένωσης, ευνοούσαν συχνά την υιοθέτηση παραδοσιακής ποσοτικής προσέγγισης για την αντιμετώπιση του κινδύνου (κυρίως με την πρόβλεψη κεφαλαιακής απαίτησης για την κάλυψη των κινδύνων ΤΠΕ), αντί της έγκρισης στοχευμένων ποιοτικών κανόνων για την προστασία, τον εντοπισμό, τον περιορισμό, την αποκατάσταση και την επιδιόρθωση συμβάντων σχετικών με τις ΤΠΕ και για τις ικανότητες αναφοράς και ψηφιακών δοκιμών. Οι εν λόγω πράξεις είχαν ως πρωταρχικό στόχο την κάλυψη και την επικαιροποίηση βασικών κανόνων προληπτικής εποπτείας, ακεραιότητας ή δεοντολογίας της αγοράς. Μέσω της ενοποίησης και της αναβάθμισης των κανόνων σχετικά με τον κίνδυνο ΤΠΕ, όλες οι διατάξεις που αφορούν τον ψηφιακό κίνδυνο στον χρηματοοικονομικό τομέα θα πρέπει να συγκεντρωθούν για πρώτη φορά με συνεκτικό τρόπο σε μια ενιαία νομοθετική πράξη. Κατά συνέπεια, ο παρών κανονισμός καλύπτει τα κενά ή διορθώνει τις ασυνέπειες που παρουσιάζουν ορισμένες από τις πρότερες νομικές πράξεις, μεταξύ άλλων σε σχέση με την ορολογία που χρησιμοποιείται σε αυτές, και αναφέρεται ρητά στους κινδύνους ΤΠΕ μέσω στοχευμένων κανόνων για τις ικανότητες διαχείρισης κινδύνων ΤΠΕ, την αναφορά συμβάντων, τις δοκιμές επιχειρησιακής ανθεκτικότητας και την παρακολούθηση των κινδύνων τρίτων παρόχων ΤΠΕ. Ως εκ τούτου, ο παρών κανονισμός θα πρέπει επίσης να ευαισθητοποιήσει σχετικά με τους κινδύνους ΤΠΕ και να αναγνωρίσει ότι τα συμβάντα ΤΠΕ και η έλλειψη επιχειρησιακής ανθεκτικότητας ενδέχεται να θέσουν σε κίνδυνο την ευρωστία των χρηματοοικονομικών οντοτήτων.

(13)

Οι χρηματοοικονομικές οντότητες θα πρέπει να ακολουθούν την ίδια προσέγγιση και τους ίδιους κανόνες βάσει αρχών κατά την αντιμετώπιση των κινδύνων ΤΠΕ, λαμβάνοντας υπόψη το μέγεθός τους και το συνολικό προφίλ κινδύνου τους και τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών, των δραστηριοτήτων και των λειτουργιών τους. Η συνοχή συμβάλλει στην ενίσχυση της εμπιστοσύνης στο χρηματοοικονομικό σύστημα και στη διατήρηση της σταθερότητάς του, ιδίως σε περιόδους υψηλής εξάρτησης από συστήματα, πλατφόρμες και υποδομές ΤΠΕ, η οποία συνεπάγεται αυξημένο ψηφιακό κίνδυνο. Κατά την τήρηση βασικής κυβερνοϋγιεινής θα πρέπει επίσης να αποφεύγεται η επιβολή υψηλών δαπανών στην οικονομία με την ελαχιστοποίηση των επιπτώσεων και του κόστους των διαταραχών ΤΠΕ.

(14)

Ένας κανονισμός συμβάλλει στη μείωση της πολυπλοκότητας του κανονιστικού πλαισίου, ενισχύει την εποπτική σύγκλιση και αυξάνει την ασφάλεια δικαίου, ενώ βοηθά επίσης στον περιορισμό του κόστους συμμόρφωσης, ιδίως για τις χρηματοοικονομικές οντότητες που δραστηριοποιούνται διασυνοριακά, καθώς και στη μείωση των στρεβλώσεων του ανταγωνισμού. Ως εκ τούτου, η επιλογή κανονισμού για τη θέσπιση κοινού πλαισίου για την ψηφιακή επιχειρησιακή ανθεκτικότητα των χρηματοοικονομικών οντοτήτων συνιστά τον πλέον κατάλληλο τρόπο για τη διασφάλιση ομοιογενούς και συνεκτικής εφαρμογής όλων των συνιστωσών της διαχείρισης κινδύνων ΤΠΕ από τον χρηματοοικονομικό τομέα της Ένωσης.

(15)

Η οδηγία (ΕΕ) 2016/1148 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (7) ήταν το πρώτο οριζόντιο πλαίσιο κυβερνοασφάλειας που θεσπίστηκε σε επίπεδο Ένωσης, το οποίο εφαρμόζεται επίσης σε τρεις τύπους χρηματοοικονομικών οντοτήτων, δηλαδή τα πιστωτικά ιδρύματα, τους τόπους διαπραγμάτευσης και τους κεντρικούς αντισυμβαλλομένους. Ωστόσο, αφότου ότι η οδηγία (ΕΕ) 2016/1148 θέσπισε μηχανισμό προσδιορισμού, σε εθνικό επίπεδο, των φορέων εκμετάλλευσης βασικών υπηρεσιών, μόνο ορισμένα πιστωτικά ιδρύματα, τόποι διαπραγμάτευσης και κεντρικοί αντισυμβαλλόμενοι που προσδιορίστηκαν από τα κράτη μέλη εμπίπτουν πρακτικά στο πεδίο εφαρμογής της και, κατά συνέπεια, υποχρεούνται να συμμορφώνονται με τις απαιτήσεις σχετικά με την ασφάλεια ΤΠΕ και την κοινοποίηση συμβάντων που προβλέπονται σε αυτήν. Η οδηγία (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (8) θεσπίζει ενιαίο κριτήριο για τον προσδιορισμό των οντοτήτων που εμπίπτουν στο πεδίο εφαρμογής της (κανόνας για τα ανώτατα όρια μεγέθους), διατηρώντας παράλληλα τους τρεις τύπους χρηματοοικονομικών οντοτήτων στο πεδίο εφαρμογής της.

(16)

Ωστόσο, λαμβανομένου υπόψη ότι ο παρών κανονισμός αυξάνει το επίπεδο εναρμόνισης των διάφορων συνιστωσών ψηφιακής ανθεκτικότητας, με τη θέσπιση απαιτήσεων σχετικά με τη διαχείριση κινδύνων ΤΠΕ και την αναφορά συμβάντων που σχετίζονται με τις ΤΠΕ, οι οποίες είναι αυστηρότερες σε σύγκριση με τις απαιτήσεις που προβλέπονται στην ισχύουσα νομοθεσία της Ένωσης για τις χρηματοοικονομικές υπηρεσίες, αυτό το υψηλότερο επίπεδο συνιστά αυξημένη εναρμόνιση σε σύγκριση με τις απαιτήσεις που καθορίζονται στην οδηγία (ΕΕ) 2022/2555 Συνεπώς, ο παρών κανονισμός συνιστά lex specialis ως προς την οδηγία (ΕΕ) 2022/2555 Ταυτόχρονα, είναι καίριας σημασίας να διατηρηθεί ισχυρή σχέση μεταξύ του χρηματοοικονομικού τομέα και του οριζόντιου πλαισίου της Ένωσης για την κυβερνοασφάλεια, όπως ορίζεται επί του παρόντος στην οδηγία (ΕΕ) 2022/2555 ώστε να διασφαλιστεί η συνοχή με τις στρατηγικές κυβερνοασφάλειας που έχουν θεσπίσει τα κράτη μέλη και να εξασφαλιστεί η δυνατότητα ενημέρωσης των αρχών χρηματοοικονομικής εποπτείας για κυβερνοπεριστατικά τα οποία έχουν αντίκτυπο σε άλλους τομείς που καλύπτονται από την εν λόγω οδηγία.

(17)

Σύμφωνα με το άρθρο 4 παράγραφος 2 της Συνθήκης για την Ευρωπαϊκή Ένωση και με την επιφύλαξη του δικαστικού ελέγχου από το Δικαστήριο, ο παρών κανονισμός δεν θα πρέπει να θίγει την ευθύνη των κρατών μελών όσον αφορά τις ουσιώδεις λειτουργίες του κράτους που αφορούν τη δημόσια ασφάλεια, την άμυνα και την προστασία της εθνικής ασφάλειας, για παράδειγμα όσον αφορά την παροχή πληροφοριών που θα ήταν αντίθετες προς την προστασία της εθνικής ασφάλειας.

(18)

Για να καταστεί δυνατή η διατομεακή μάθηση και να αξιοποιηθούν αποτελεσματικά οι εμπειρίες από άλλους τομείς όσον αφορά την αντιμετώπιση κυβερνοαπειλών, οι χρηματοοικονομικές οντότητες που αναφέρονται στην οδηγία (ΕΕ) 2022/2555 θα πρέπει να εξακολουθήσουν να αποτελούν μέρος του «οικοσυστήματος» της εν λόγω οδηγίας (επί παραδείγματι, ομάδα συνεργασίας και ομάδες απόκρισης για συμβάντα που αφορούν την ασφάλεια υπολογιστών (CSIRT)). Οι ΕΕΑ και οι εθνικές αρμόδιες αρχές θα πρέπει να είναι σε θέση να συμμετέχουν στις συζητήσεις στρατηγικής πολιτικής και στις τεχνικές εργασίες της ομάδας συνεργασίας βάσει της εν λόγω οδηγίας και να ανταλλάσσουν πληροφορίες και να συνεργάζονται περαιτέρω με τα ενιαία κέντρα επαφής που ορίζονται ή συστήνονται σύμφωνα με την εν λόγω οδηγία. Οι αρμόδιες αρχές δυνάμει του παρόντος κανονισμού θα πρέπει επίσης να διαβουλεύονται και να συνεργάζονται με τις CSIRT. Οι αρμόδιες αρχές θα πρέπει επίσης να μπορούν να ζητούν τεχνικές συμβουλές από τις αρμόδιες αρχές που ορίζονται ή συστήνονται σύμφωνα με την οδηγία (ΕΕ) 2022/2555 και να θεσπίζουν ρυθμίσεις συνεργασίας που αποσκοπούν στη διασφάλιση αποτελεσματικών μηχανισμών συντονισμού ταχείας απόκρισης.

(19)

Δεδομένων των ισχυρών διασυνδέσεων μεταξύ της ψηφιακής ανθεκτικότητας και της υλικής ανθεκτικότητας των χρηματοοικονομικών οντοτήτων, είναι αναγκαία μια συνεκτική προσέγγιση όσον αφορά την ανθεκτικότητα των κρίσιμων οντοτήτων στον παρόντα κανονισμό και στην οδηγία (ΕΕ) 2022/2557 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (9). Δεδομένου ότι η υλική ανθεκτικότητα των χρηματοοικονομικών οντοτήτων αντιμετωπίζεται με ολοκληρωμένο τρόπο από τις υποχρεώσεις διαχείρισης και αναφοράς κινδύνων ΤΠΕ που καλύπτονται από τον παρόντα κανονισμό, οι υποχρεώσεις που ορίζονται στα κεφάλαια III και IV της οδηγίας (ΕΕ) 2022/2557 δεν θα πρέπει να εφαρμόζονται στις χρηματοοικονομικές οντότητες που εμπίπτουν στο πεδίο εφαρμογής της εν λόγω οδηγίας.

(20)

Οι πάροχοι υπηρεσιών υπολογιστικού νέφους αποτελούν μία κατηγορία υποδομών που καλύπτονται από την οδηγία (ΕΕ) 2022/2555 Το ενωσιακό πλαίσιο εποπτείας («πλαίσιο εποπτείας») που θεσπίζεται με τον παρόντα κανονισμό εφαρμόζεται σε όλους τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, συμπεριλαμβανομένων των παρόχων υπηρεσιών υπολογιστικού νέφους, όταν παρέχουν υπηρεσίες ΤΠΕ σε χρηματοοικονομικές οντότητες, και θα πρέπει να θεωρείται συμπληρωματικό της εποπτείας δυνάμει της οδηγίας (ΕΕ) 2022/2555.Επιπλέον, το πλαίσιο εποπτείας που θεσπίζεται με τον παρόντα κανονισμό θα πρέπει να καλύπτει τους παρόχους υπηρεσιών υπολογιστικού νέφους ελλείψει ενωσιακού οριζόντιου πλαισίου για τη σύσταση αρχής ψηφιακής εποπτείας.

(21)

Προκειμένου να διατηρηθεί ο πλήρης έλεγχος των κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες χρειάζεται να διαθέτουν ολοκληρωμένες ικανότητες που να επιτρέπουν την αυστηρή και αποτελεσματική διαχείριση κινδύνων ΤΠΕ, παράλληλα με ειδικούς μηχανισμούς και πολιτικές για τον χειρισμό όλων των συμβάντων που σχετίζονται με τις ΤΠΕ και για την αναφορά μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ. Ομοίως, οι χρηματοοικονομικές οντότητες θα πρέπει να εφαρμόζουν πολιτικές για τη δοκιμή συστημάτων, δικλείδων ασφάλειας και διαδικασιών ΤΠΕ, καθώς και για τη διαχείριση των κινδύνων τρίτων παρόχων ΤΠΕ. Η βάση αναφοράς για το επίπεδο ψηφιακής επιχειρησιακής ανθεκτικότητας για τις χρηματοοικονομικές οντότητες θα πρέπει να αυξηθεί, επιτρέποντας παράλληλα αναλογική εφαρμογή των απαιτήσεων για ορισμένες χρηματοοικονομικές οντότητες, ιδίως για τις πολύ μικρές επιχειρήσεις, καθώς και για τις χρηματοοικονομικές οντότητες που υπόκεινται σε απλουστευμένο πλαίσιο διαχείρισης κινδύνων ΤΠΕ. Για να διευκολυνθεί η αποτελεσματική εποπτεία των ιδρυμάτων επαγγελματικών συνταξιοδοτικών παροχών που είναι αναλογική και ανταποκρίνεται στην ανάγκη μείωσης του διοικητικού φόρτου για τις αρμόδιες αρχές, οι σχετικές εθνικές εποπτικές ρυθμίσεις όσον αφορά τις εν λόγω χρηματοοικονομικές οντότητες θα πρέπει να λαμβάνουν υπόψη το μέγεθος και το συνολικό προφίλ κινδύνου τους και τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών, των δραστηριοτήτων και των λειτουργιών τους, ακόμη και όταν σημειώνεται υπέρβαση των σχετικών κατώτατων ορίων που καθορίζονται στο άρθρο 5 της οδηγίας (ΕΕ) 2016/2341 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (10). Ειδικότερα, οι εποπτικές δραστηριότητες θα πρέπει να επικεντρώνονται πρωτίστως στην ανάγκη αντιμετώπισης σοβαρών κινδύνων που συνδέονται με τη διαχείριση κινδύνων ΤΠΕ συγκεκριμένης οντότητας.

Οι αρμόδιες αρχές θα πρέπει επίσης να διατηρούν μια προσέγγιση επαγρύπνησης, αλλά αναλογική, σε σχέση με την εποπτεία των ιδρυμάτων επαγγελματικών συνταξιοδοτικών παροχών τα οποία, σύμφωνα με το άρθρο 31 της οδηγίας (ΕΕ) 2016/2341, αναθέτουν σε παρόχους υπηρεσιών σημαντικό μέρος των βασικών δραστηριοτήτων τους, όπως η διαχείριση περιουσιακών στοιχείων, οι αναλογιστικοί υπολογισμοί, η λογιστική και η διαχείριση δεδομένων.

(22)

Τα κατώτατα όρια αναφοράς συμβάντων και οι ταξινομήσεις που σχετίζονται με τις ΤΠΕ παρουσιάζουν σημαντικές διαφοροποιήσεις σε εθνικό επίπεδο. Μολονότι μπορεί να επιτευχθεί κοινή βάση μέσω των σχετικών εργασιών που έχουν αναλάβει ο Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA) που συστάθηκε με τον κανονισμό (ΕΕ) 2019/881 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (11) και η ομάδα συνεργασίας δυνάμει της οδηγίας (ΕΕ) 2022/2555 όσον αφορά τον καθορισμό κατώτατων ορίων και τη χρήση ταξινομήσεων εξακολουθούν να υπάρχουν αποκλίνουσες προσεγγίσεις ή μπορεί να προκύψουν για τις υπόλοιπες χρηματοοικονομικές οντότητες. Λόγω των εν λόγω αποκλίσεων, υπάρχουν πολλαπλές απαιτήσεις τις οποίες πρέπει να τηρούν οι χρηματοοικονομικές οντότητες, ιδίως όταν δραστηριοποιούνται σε διάφορα κράτη μέλη και όταν ανήκουν σε χρηματοοικονομικό όμιλο. Επιπλέον, οι αποκλίσεις αυτές θα μπορούσαν να παρεμποδίσουν τη δημιουργία περαιτέρω ενιαίων ή κεντρικών μηχανισμών της Ένωσης για την επιτάχυνση της διαδικασίας αναφορών και την υποστήριξη της ταχείας και ομαλής ανταλλαγής πληροφοριών μεταξύ των αρμόδιων αρχών, η οποία είναι καίριας σημασίας για την αντιμετώπιση των κινδύνων ΤΠΕ σε περίπτωση επιθέσεων μεγάλης κλίμακας με δυνητικά συστημικές συνέπειες.

(23)

Για να μειωθούν ο διοικητικός φόρτος και οι ενδεχομένως αλληλεπικαλυπτόμενες υποχρεώσεις αναφοράς για ορισμένες χρηματοοικονομικές οντότητες, η απαίτηση για την αναφορά συμβάντων σύμφωνα με την οδηγία (ΕΕ) 2015/2366 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (12) θα πρέπει να παύσει να ισχύει για τους παρόχους υπηρεσιών πληρωμών που εμπίπτουν στο πεδίο εφαρμογής του παρόντος κανονισμού. Κατά συνέπεια, τα πιστωτικά ιδρύματα, τα ιδρύματα ηλεκτρονικού χρήματος, τα ιδρύματα πληρωμών και οι πάροχοι υπηρεσιών πληροφοριών λογαριασμού, όπως αναφέρονται στο άρθρο 33 παράγραφος 1 της εν λόγω οδηγίας, θα πρέπει από την ημερομηνία εφαρμογής του παρόντος κανονισμού να αναφέρουν, σύμφωνα με τον παρόντα κανονισμό, όλα τα λειτουργικά συμβάντα ή συμβάντα ασφάλειας που σχετίζονται με πληρωμές και τα οποία έχουν αναφερθεί προηγουμένως δυνάμει της εν λόγω οδηγίας, ανεξάρτητα αν τα εν λόγω συμβάντα σχετίζονται με τις ΤΠΕ.

(24)

Προκειμένου οι αρμόδιες αρχές να είναι σε θέση να επιτελούν τους εποπτικούς ρόλους, αποκτώντας ολοκληρωμένη εικόνα ως προς τη φύση, τη συχνότητα, τη σημασία και τις επιπτώσεις των συμβάντων που σχετίζονται με τις ΤΠΕ, και να προωθούν την ανταλλαγή πληροφοριών μεταξύ των αρμόδιων δημόσιων αρχών, συμπεριλαμβανομένων των αρχών επιβολής του νόμου και των αρχών εξυγίανσης, ο παρών κανονισμός θα πρέπει να θεσπίσει ισχυρό καθεστώς αναφοράς συμβάντων που σχετίζονται με τις ΤΠΕ σύμφωνα με το οποίο οι σχετικές απαιτήσεις αντιμετωπίζουν τα σημερινά κενά του δικαίου για τις χρηματοοικονομικές υπηρεσίες και θα εξαλείψουν τις υφιστάμενες αλληλεπικαλύψεις και επαναλήψεις για την ελάφρυνση του κόστους. Είναι σημαντικό να διασφαλιστεί η εναρμόνιση του καθεστώτος αναφοράς συμβάντων που σχετίζονται με τις ΤΠΕ με την επιβολή της υποχρέωσης σε όλες τις χρηματοοικονομικές οντότητες να αναφέρουν συμβάντα στις οικείες αρμόδιες αρχές μέσω ενός ενιαίου εξορθολογισμένου πλαισίου, όπως ορίζεται στον παρόντα κανονισμό. Επιπροσθέτως, οι ΕΕΑ θα πρέπει να έχουν την αρμοδιότητα να προσδιορίζουν περαιτέρω σχετικά στοιχεία για το πλαίσιο αναφοράς συμβάντων που σχετίζονται με τις ΤΠΕ, όπως η ταξινόμηση, τα χρονοδιαγράμματα, τα σύνολα δεδομένων, τα υποδείγματα και τα εφαρμοστέα κατώτατα όρια. Προκειμένου να διασφαλιστεί πλήρης συμμόρφωση με την οδηγία (ΕΕ) 2022/2555 οι χρηματοοικονομικές οντότητες θα πρέπει να μπορούν, σε προαιρετική βάση, να γνωστοποιούν σημαντικές κυβερνοαπειλές στη σχετική αρμόδια αρχή, όταν θεωρούν ότι η απειλή είναι σημαντική για το χρηματοοικονομικό σύστημα, τους χρήστες υπηρεσιών ή τους πελάτες.

(25)

Σε ορισμένους χρηματοοικονομικούς υποτομείς έχουν αναπτυχθεί απαιτήσεις δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας που καθορίζουν πλαίσια τα οποία δεν είναι πάντοτε πλήρως ευθυγραμμισμένα. Αυτό οδηγεί σε πιθανή αλληλεπικάλυψη του κόστους για τις διασυνοριακές χρηματοοικονομικές οντότητες και καθιστά περίπλοκη την αμοιβαία αναγνώριση των αποτελεσμάτων των δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας, η οποία, με τη σειρά της, μπορεί να κατακερματίσει την εσωτερική αγορά.

(26)

Επιπλέον, όταν δεν απαιτούνται δοκιμές ΤΠΕ, οι ευπάθειες εξακολουθούν να μην εντοπίζονται, με αποτέλεσμα να εκθέτουν σε κινδύνους ΤΠΕ μια χρηματοοικονομική οντότητα και, εντέλει, να προκαλούν υψηλότερο κίνδυνο για τη σταθερότητα και την ακεραιότητα του χρηματοοικονομικού τομέα. Χωρίς την παρέμβαση της Ένωσης, οι δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας θα εξακολουθήσουν να είναι ανομοιογενείς και δεν θα περιλαμβάνουν σύστημα αμοιβαίας αναγνώρισης των αποτελεσμάτων των δοκιμών ΤΠΕ σε διάφορες δικαιοδοσίες. Επιπρόσθετα, λαμβανομένου υπόψη ότι είναι απίθανο άλλοι χρηματοοικονομικοί υποτομείς να υιοθετήσουν συστήματα δοκιμών σε ουσιαστική κλίμακα, θα χάσουν τα δυνητικά οφέλη πλαισίου δοκιμών, όσον αφορά την αποκάλυψη ευπαθειών και κινδύνων ΤΠΕ και τις δοκιμές των ικανοτήτων άμυνας και της επιχειρησιακής συνέχειας, που συμβάλλει στην αύξηση της εμπιστοσύνης των πελατών, των προμηθευτών και των επιχειρηματικών εταίρων. Για τη διόρθωση αυτών των αλληλεπικαλύψεων, αποκλίσεων και κενών, είναι απαραίτητο να θεσπιστούν κανόνες για ένα συντονισμένο καθεστώς δοκιμών και, με τον τρόπο αυτό, να διευκολυνθεί η αμοιβαία αναγνώριση των προηγμένων δοκιμών για χρηματοοικονομικές οντότητες που πληρούν τα κριτήρια που καθορίζονται στον παρόντα κανονισμό.

(27)

Η στήριξη των χρηματοοικονομικών οντοτήτων στη χρήση υπηρεσιών ΤΠΕ οφείλεται εν μέρει στην ανάγκη προσαρμογής τους σε μια αναδυόμενη ανταγωνιστική ψηφιακή παγκόσμια οικονομία, με σκοπό την ενίσχυση της επιχειρηματικής τους απόδοσης και την κάλυψη της ζήτησης των καταναλωτών. Η φύση και η έκταση της στήριξης αυτής εξελίσσονται διαρκώς κατά τα πρόσφατα έτη, με αποτέλεσμα τη μείωση του κόστους της χρηματοοικονομικής διαμεσολάβησης, την εξασφάλιση της δυνατότητας επέκτασης των επιχειρήσεων και κλιμάκωσης όσον αφορά την ανάπτυξη χρηματοοικονομικών δραστηριοτήτων, ενώ προσφέρεται παράλληλα ευρύ φάσμα εργαλείων ΤΠΕ για τη διαχείριση πολύπλοκων εσωτερικών διαδικασιών.

(28)

Η εκτεταμένη χρήση υπηρεσιών ΤΠΕ αποδεικνύεται από πολύπλοκες συμβατικές ρυθμίσεις, στο πλαίσιο των οποίων οι χρηματοοικονομικές οντότητες αντιμετωπίζουν συχνά δυσκολίες στη διαπραγμάτευση συμβατικών όρων που είναι προσαρμοσμένοι στα πρότυπα προληπτικής εποπτείας ή σε άλλες ρυθμιστικές απαιτήσεις στις οποίες υπόκεινται ή με άλλον τρόπο στην άσκηση συγκεκριμένων δικαιωμάτων, όπως δικαιώματα πρόσβασης ή ελέγχου, ακόμη και σε περίπτωση που τα δικαιώματα αυτά κατοχυρώνονται στις συμβατικές ρυθμίσεις τους. Επιπλέον, πολλές από τις εν λόγω συμβατικές ρυθμίσεις δεν προβλέπουν επαρκείς διασφαλίσεις που να επιτρέπουν την πλήρη παρακολούθηση των διαδικασιών υπεργολαβίας, στερώντας με τον τρόπο αυτόν από τη χρηματοοικονομική οντότητα την ικανότητά της να αξιολογεί τους συναφείς κινδύνους. Επιπροσθέτως, λαμβανομένου υπόψη ότι οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ παρέχουν συχνά τυποποιημένες υπηρεσίες σε διαφορετικούς τύπους πελατών, οι συμβατικές ρυθμίσεις αυτού του είδους ενδέχεται να μην ανταποκρίνονται πάντα επαρκώς στις επιμέρους ή ειδικές ανάγκες των παραγόντων του χρηματοοικονομικού κλάδου.

(29)

Μολονότι το δίκαιο της Ένωσης για τις χρηματοοικονομικές υπηρεσίες περιλαμβάνει ορισμένους γενικούς κανόνες για την εξωτερική ανάθεση, η παρακολούθηση της συμβατικής διάστασης δεν θεμελιώνεται πλήρως στο δίκαιο της Ένωσης. Ελλείψει της εφαρμογής σαφών και εξειδικευμένων ενωσιακών προτύπων στις συμβατικές ρυθμίσεις που συνάπτονται με τρίτους παρόχους υπηρεσιών ΤΠΕ, η εξωτερική πηγή κινδύνων ΤΠΕ δεν αντιμετωπίζεται με ολοκληρωμένο τρόπο. Ως εκ τούτου, είναι απαραίτητο να καθοριστούν ορισμένες βασικές αρχές για την καθοδήγηση της διαχείρισης των κινδύνων τρίτων παρόχων ΤΠΕ από τις χρηματοοικονομικές οντότητες, οι οποίες είναι ιδιαίτερα σημαντικές όταν οι χρηματοοικονομικές οντότητες καταφεύγουν σε τρίτους παρόχους υπηρεσιών ΤΠΕ για την υποστήριξη των κρίσιμων ή σημαντικών λειτουργιών τους. Οι εν λόγω αρχές θα πρέπει να συνοδεύονται από ένα σύνολο βασικών συμβατικών δικαιωμάτων σε σχέση με διάφορα στοιχεία της εκτέλεσης και της καταγγελίας των συμβατικών ρυθμίσεων, με σκοπό την παροχή ορισμένων ελάχιστων διασφαλίσεων προκειμένου να ενισχύουν την ικανότητα των χρηματοοικονομικών οντοτήτων να παρακολουθούν αποτελεσματικά όλους τους κινδύνους ΤΠΕ που ανακύπτουν σε επίπεδο τρίτων παρόχων υπηρεσιών. Οι εν λόγω αρχές είναι συμπληρωματικές προς το τομεακό δίκαιο που διέπει την εξωτερική ανάθεση.

(30)

Σήμερα είναι προφανής μια ορισμένη έλλειψη ομοιογένειας και σύγκλισης όσον αφορά την παρακολούθηση των κινδύνων τρίτων παρόχων ΤΠΕ και των εξαρτήσεων από τρίτους παρόχους ΤΠΕ. Παρά την καταβολή προσπαθειών για την αντιμετώπιση της εξωτερικής ανάθεσης, όπως οι κατευθυντήριες γραμμές της ΕΑΤ του 2019 και οι κατευθυντήριες γραμμές της ΕΑΚΑΑ του 2021 για την εξωτερική ανάθεση σε παρόχους υπηρεσιών υπολογιστικού νέφους, το ευρύτερο ζήτημα της καταπολέμησης του συστημικού κινδύνου που ενδέχεται να ανακύψει από την έκθεση του χρηματοοικονομικού τομέα σε περιορισμένο αριθμό κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ δεν αντιμετωπίζεται επαρκώς από το ενωσιακό δίκαιο. Η έλλειψη κανόνων σε επίπεδο Ένωσης επιδεινώνεται από την απουσία εθνικών κανόνων περί ειδικών εντολών και εργαλείων που επιτρέπουν στις αρχές χρηματοοικονομικής εποπτείας να κατανοούν δεόντως τις εξαρτήσεις από τρίτους παρόχους ΤΠΕ και να παρακολουθούν επαρκώς τους κινδύνους που ανακύπτουν λόγω της συγκέντρωσης εξαρτήσεων από τρίτους παρόχους ΤΠΕ.

(31)

Λαμβανομένου υπόψη του δυνητικού συστημικού κινδύνου που συνεπάγεται η αύξηση των πρακτικών εξωτερικής ανάθεσης και η συγκέντρωση τρίτων παρόχων ΤΠΕ και έχοντας επίγνωση της ανεπάρκειας εθνικών μηχανισμών να παρέχουν στις αρχές χρηματοοικονομικής εποπτείας τα κατάλληλα εργαλεία για τη δυνατότητα ποσοτικού προσδιορισμού, χαρακτηρισμού και αποκατάστασης των επιπτώσεων των κινδύνων ΤΠΕ που αφορούν κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, είναι απαραίτητο να θεσπιστεί κατάλληλο πλαίσιο εποπτείας, το οποίο θα επιτρέπει τη διαρκή παρακολούθηση των δραστηριοτήτων τρίτων παρόχων υπηρεσιών ΤΠΕ που είναι κρίσιμοι πάροχοι υπηρεσιών ΤΠΕ σε χρηματοοικονομικές οντότητες, διασφαλίζοντας, παράλληλα, τη διατήρηση της εμπιστευτικότητας και της ασφάλειας των πελατών, πλην των χρηματοοικονομικών οντοτήτων. Ενώ η ενδοομιλική παροχή υπηρεσιών ΤΠΕ συνεπάγεται ειδικούς κινδύνους και οφέλη, δεν θα πρέπει να θεωρείται αυτομάτως λιγότερο επικίνδυνη από την παροχή υπηρεσιών ΤΠΕ από παρόχους εκτός χρηματοοικονομικού ομίλου και, ως εκ τούτου, θα πρέπει να υπόκειται στο ίδιο ρυθμιστικό πλαίσιο. Ωστόσο, όταν οι υπηρεσίες ΤΠΕ παρέχονται από τον ίδιο χρηματοοικονομικό όμιλο, οι χρηματοοικονομικές οντότητες ενδέχεται να έχουν υψηλότερο επίπεδο ελέγχου επί των ενδοομιλικών παρόχων, το οποίο θα πρέπει να λαμβάνεται υπόψη στη συνολική εκτίμηση κινδύνου.

(32)

Καθώς οι κίνδυνοι ΤΠΕ εξελίσσονται και περιπλέκονται ολοένα και πιο πολύ, τα καλά μέτρα για τον εντοπισμό και την πρόληψη των κινδύνων ΤΠΕ εξαρτώνται σε μεγάλο βαθμό από την τακτική ανταλλαγή πληροφοριών σχετικά με απειλές και ευπάθειες μεταξύ των χρηματοοικονομικών οντοτήτων. Η ανταλλαγή πληροφοριών συμβάλλει στην αύξηση της ευαισθητοποίησης σχετικά με τις κυβερνοαπειλές. Αυτό με τη σειρά του ενισχύει την ικανότητα των χρηματοοικονομικών οντοτήτων να αποτρέπουν τη μετατροπή απειλών σε πραγματικά συμβάντα που σχετίζονται με τις ΤΠΕ και παρέχει στις χρηματοοικονομικές οντότητες τη δυνατότητα να περιορίζουν αποτελεσματικότερα τις επιπτώσεις των συμβάντων που σχετίζονται με τις ΤΠΕ και να ανακάμπτουν ταχύτερα. Ελλείψει καθοδήγησης σε επίπεδο Ένωσης, φαίνεται ότι η παρεμπόδιση της ανταλλαγής στοιχείων αυτού του είδους οφείλεται σε διάφορους παράγοντες, κυρίως στην αβεβαιότητα ως προς τη συμβατότητα με τους κανόνες προστασίας δεδομένων, τους αντιμονοπωλιακούς κανόνες και τους κανόνες περί ευθύνης.

(33)

Επιπροσθέτως, οι αμφιβολίες ως προς το είδος των πληροφοριών που μπορούν να γνωστοποιούνται σε άλλους συμμετέχοντες στην αγορά ή σε μη εποπτικές αρχές (όπως ο ENISA, για σκοπούς ανάλυσης, ή η Ευρωπόλ, για σκοπούς επιβολής του νόμου) έχουν ως αποτέλεσμα την απόκρυψη χρήσιμων πληροφοριών. Κατά συνέπεια, η έκταση και η ποιότητα της ανταλλαγής πληροφοριών παραμένει επί του παρόντος περιορισμένη και κατακερματισμένη, με την πραγματοποίηση των σχετικών ανταλλαγών κυρίως σε τοπικό επίπεδο (μέσω εθνικών πρωτοβουλιών) και χωρίς συνεκτικές ρυθμίσεις, σε επίπεδο Ένωσης, για την ανταλλαγή πληροφοριών κατάλληλα προσαρμοσμένων στις ανάγκες ενός ενοποιημένου χρηματοοικονομικού συστήματος. Ως εκ τούτου, είναι σημαντικό να ενισχυθούν αυτοί οι δίαυλοι επικοινωνίας.

(34)

Οι χρηματοοικονομικές οντότητες θα πρέπει να ενθαρρύνονται να ανταλλάσσουν μεταξύ τους πληροφορίες και στοιχεία περί κυβερνοαπειλών και να αξιοποιούν συλλογικά τις επιμέρους γνώσεις και την πρακτική εμπειρία που διαθέτουν σε στρατηγικό, τακτικό και επιχειρησιακό επίπεδο, με σκοπό την ενίσχυση των ικανοτήτων τους, ώστε να είναι σε θέση να αξιολογούν, να παρακολουθούν, να υπερασπίζονται και να αντιμετωπίζουν δεόντως κυβερνοαπειλές, συμμετέχοντας σε ρυθμίσεις ανταλλαγής πληροφοριών. Ως εκ τούτου, είναι απαραίτητο να καταστεί δυνατή η δημιουργία, σε επίπεδο Ένωσης, μηχανισμών για τη θέσπιση προαιρετικών ρυθμίσεων ανταλλαγής πληροφοριών, οι οποίοι, όταν θα εφαρμόζονται σε αξιόπιστο περιβάλλον, θα διευκολύνουν την κοινότητα του χρηματοοικονομικού κλάδου να αποτρέπει απειλές και να αντιδρά συλλογικά σε αυτές, περιορίζοντας ταχέως την εξάπλωση των κινδύνων ΤΠΕ και εμποδίζοντας την πιθανή μετάδοσή τους σε όλους τους χρηματοοικονομικούς διαύλους. Οι εν λόγω μηχανισμοί θα πρέπει να συμμορφώνονται με τους ισχύοντες κανόνες του ενωσιακού δικαίου περί ανταγωνισμού που ορίζονται στην ανακοίνωση της Επιτροπής, της 14ης Ιανουαρίου 2011, με τίτλο «Κατευθυντήριες γραμμές για την εφαρμογή του άρθρου 101 της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης στις συμφωνίες οριζόντιας συνεργασίας», καθώς και με τους κανόνες της Ένωσης για την προστασία των δεδομένων, ιδίως με τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (13). Θα πρέπει να λειτουργούν με βάση τη χρήση μίας ή περισσότερων από τις νομικές βάσεις που ορίζονται στο άρθρο 6 του εν λόγω κανονισμού, όπως στο πλαίσιο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, όπως αναφέρεται στο άρθρο 6 παράγραφος 1 στοιχείο στ) του εν λόγω κανονισμού, καθώς και στο πλαίσιο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που είναι απαραίτητη για τη συμμόρφωση προς νομική υποχρέωση στην οποία υπόκειται ο υπεύθυνος επεξεργασίας, αναγκαία για την εκπλήρωση καθήκοντος το οποίο εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, όπως αναφέρεται στο άρθρο 6 παράγραφος 1 στοιχεία γ) και ε), αντίστοιχα, του εν λόγω κανονισμού.

(35)

Προκειμένου ολόκληρος ο χρηματοοικονομικός τομέας να διατηρεί υψηλό επίπεδο ψηφιακής επιχειρησιακής ανθεκτικότητας και ταυτόχρονα να συμβαδίζει με τις τεχνολογικές εξελίξεις, ο παρών κανονισμός θα πρέπει να αντιμετωπίζει τους κινδύνους που απορρέουν από όλα τα είδη υπηρεσιών ΤΠΕ. Για τον σκοπό αυτόν, ο ορισμός των υπηρεσιών ΤΠΕ στο πλαίσιο του παρόντος κανονισμού θα πρέπει να ερμηνεύεται ευρέως, περιλαμβάνοντας τις ψηφιακές υπηρεσίες και τις υπηρεσίες δεδομένων που παρέχονται μέσω συστημάτων ΤΠΕ σε έναν ή περισσότερους εσωτερικούς ή εξωτερικούς χρήστες σε συνεχή βάση. Ο εν λόγω ορισμός θα πρέπει, για παράδειγμα, να περιλαμβάνει τις λεγόμενες «επιφυείς (over the top)» υπηρεσίες, οι οποίες εμπίπτουν στην κατηγορία των υπηρεσιών ηλεκτρονικών επικοινωνιών. Θα πρέπει να εξαιρεθεί μόνο η περιορισμένη κατηγορία παραδοσιακών αναλογικών τηλεφωνικών υπηρεσιών που χαρακτηρίζονται ως υπηρεσίες δημόσιου τηλεφωνικού δικτύου μεταγωγής (PSTN), υπηρεσίες επίγειου δικτύου, απλές παλιές τηλεφωνικές υπηρεσίες (POTS) ή υπηρεσίες σταθερής τηλεφωνίας.

(36)

Παρά την ευρεία κάλυψη που επιδιώκεται με τον παρόντα κανονισμό, η εφαρμογή των κανόνων για την ψηφιακή επιχειρησιακή ανθεκτικότητα θα πρέπει να λαμβάνει υπόψη τις σημαντικές διαφορές μεταξύ των χρηματοοικονομικών οντοτήτων όσον αφορά το μέγεθος και το συνολικό προφίλ κινδύνου τους. Ως γενική αρχή, κατά την κατανομή πόρων και ικανοτήτων για την εφαρμογή του πλαισίου διαχείρισης κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες θα πρέπει να εξισορροπούν δεόντως τις σχετικές με τις ΤΠΕ ανάγκες τους με το μέγεθος και το συνολικό προφίλ κινδύνου των χρηματοοικονομικών οντοτήτων και τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών, των δραστηριοτήτων και των λειτουργιών τους, ενώ οι αρμόδιες αρχές θα πρέπει να συνεχίσουν να αξιολογούν και να επανεξετάζουν την προσέγγιση της εν λόγω κατανομής.

(37)

Οι πάροχοι υπηρεσιών πληροφοριών λογαριασμού, οι οποίοι αναφέρονται στο άρθρο 33 παράγραφος 1 της οδηγίας (ΕΕ) 2015/2366, περιλαμβάνονται ρητά στο πεδίο εφαρμογής του παρόντος κανονισμού, λαμβανομένων υπόψη της ιδιαίτερης φύσης των δραστηριοτήτων τους και των κινδύνων που απορρέουν από αυτές. Επιπλέον, τα ιδρύματα ηλεκτρονικού χρήματος και τα ιδρύματα πληρωμών που εξαιρούνται δυνάμει του άρθρου 9 παράγραφος 1 της οδηγίας 2009/110/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (14) και του άρθρου 32 παράγραφος 1 της οδηγίας (ΕΕ) 2015/2366 περιλαμβάνονται στο πεδίο εφαρμογής του παρόντος κανονισμού, ακόμη και αν δεν τους έχει χορηγηθεί άδεια σύμφωνα με την οδηγία 2009/110/ΕΚ για την έκδοση ηλεκτρονικού χρήματος ή δεν τους έχει χορηγηθεί άδεια σύμφωνα με την οδηγία (ΕΕ) 2015/2366 για την παροχή και την εκτέλεση υπηρεσιών πληρωμών. Ωστόσο, τα γραφεία ταχυδρομικών επιταγών, που αναφέρονται στο άρθρο 2 παράγραφος 5 σημείο 3) της οδηγίας 2013/36/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (15), εξαιρούνται από το πεδίο εφαρμογής του παρόντος κανονισμού. Η αρμόδια αρχή για τα ιδρύματα πληρωμών, τα οποία εξαιρούνται δυνάμει της οδηγίας (ΕΕ) 2015/2366, τα ιδρύματα ηλεκτρονικού χρήματος, τα οποία εξαιρούνται δυνάμει της οδηγίας 2009/110/ΕΚ, και τους παρόχους υπηρεσιών πληροφοριών λογαριασμού, όπως αναφέρονται στο άρθρο 33 παράγραφος 1 της οδηγίας (ΕΕ) 2015/2366, θα πρέπει να είναι η αρμόδια αρχή που ορίζεται σύμφωνα με το άρθρο 22 της οδηγίας (ΕΕ) 2015/2366.

(38)

Δεδομένου ότι οι μεγαλύτερες χρηματοοικονομικές οντότητες ενδέχεται να διαθέτουν ευρύτερους πόρους και μπορούν να κινητοποιούν άμεσα κεφάλαια για την ανάπτυξη δομών διακυβέρνησης και τη χάραξη διαφόρων εταιρικών στρατηγικών, μόνο οι χρηματοοικονομικές οντότητες που δεν είναι πολύ μικρές επιχειρήσεις κατά την έννοια του παρόντος κανονισμού θα πρέπει να υποχρεούνται να θεσπίζουν πιο πολύπλοκες ρυθμίσεις διακυβέρνησης. Οντότητες αυτού του είδους είναι καλύτερα εξοπλισμένες, ιδίως για τη δημιουργία ειδικών λειτουργιών διαχείρισης όσον αφορά τις εποπτικές ρυθμίσεις με τρίτους παρόχους υπηρεσιών ΤΠΕ ή τη διασφάλιση της διαχείρισης κρίσεων για την οργάνωση της διαχείρισης κινδύνων ΤΠΕ σύμφωνα με το μοντέλο των τριών γραμμών άμυνας ή τη δημιουργία εσωτερικού μοντέλου διαχείρισης κινδύνων και ελέγχου, καθώς και για την υποβολή του οικείου πλαισίου διαχείρισης κινδύνων ΤΠΕ σε εσωτερικές επιθεωρήσεις.

(39)

Ορισμένες χρηματοοικονομικές οντότητες επωφελούνται από εξαιρέσεις ή υπόκεινται σε πολύ χαλαρό ρυθμιστικό πλαίσιο βάσει του τομεακού ενωσιακού δικαίου. Στις εν λόγω χρηματοοικονομικές οντότητες περιλαμβάνονται οι διαχειριστές οργανισμών εναλλακτικών επενδύσεων που αναφέρονται στο άρθρο 3 παράγραφος 2 της οδηγίας 2011/61/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (16), οι ασφαλιστικές και αντασφαλιστικές επιχειρήσεις που αναφέρονται στο άρθρο 4 της οδηγίας 2009/138/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (17) και τα ιδρύματα επαγγελματικών συνταξιοδοτικών παροχών που διαχειρίζονται συνταξιοδοτικά συστήματα τα οποία από κοινού δεν έχουν περισσότερα από 15 μέλη συνολικά. Υπό το πρίσμα των εν λόγω εξαιρέσεων, δεν θα ήταν αναλογικό να συμπεριληφθούν οι εν λόγω χρηματοοικονομικές οντότητες στο πεδίο εφαρμογής του παρόντος κανονισμού. Επιπλέον, ο παρών κανονισμός αναγνωρίζει τις ιδιαιτερότητες της δομής της αγοράς ασφαλιστικής διαμεσολάβησης, με αποτέλεσμα οι ασφαλιστικοί διαμεσολαβητές, οι αντασφαλιστικοί διαμεσολαβητές και οι ασφαλιστικοί διαμεσολαβητές που ασκούν ως δευτερεύουσα δραστηριότητα την ασφαλιστική διαμεσολάβηση, που χαρακτηρίζονται ως πολύ μικρές επιχειρήσεις ή ως μικρές ή μεσαίες επιχειρήσεις, να μην υπόκεινται στον παρόντα κανονισμό.

(40)

Δεδομένου ότι οι οντότητες που αναφέρονται στο άρθρο 2 παράγραφος 5 σημεία 4) έως 23) της οδηγίας 2013/36/ΕΕ εξαιρούνται από το πεδίο εφαρμογής της εν λόγω οδηγίας, τα κράτη μέλη θα πρέπει, κατά συνέπεια, να έχουν τη δυνατότητα να εξαιρούν από την εφαρμογή του παρόντος κανονισμού τις εν λόγω οντότητες που είναι εγκατεστημένες στις αντίστοιχες επικράτειές τους.

(41)

Ομοίως, προκειμένου να ευθυγραμμιστεί ο παρών κανονισμός με το πεδίο εφαρμογής της οδηγίας 2014/65/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (18), είναι επίσης σκόπιμο να εξαιρεθούν από το πεδίο εφαρμογής του παρόντος κανονισμού τα φυσικά και νομικά πρόσωπα που αναφέρονται στα άρθρα 2 και 3 της εν λόγω οδηγίας, τα οποία επιτρέπεται να παρέχουν επενδυτικές υπηρεσίες χωρίς να χρειάζεται να λάβουν άδεια δυνάμει της οδηγίας 2014/65/ΕΕ. Ωστόσο, το άρθρο 2 της οδηγίας 2014/65/ΕΕ εξαιρεί επίσης από το πεδίο εφαρμογής της εν λόγω οδηγίας οντότητες που θεωρούνται χρηματοοικονομικές οντότητες για τους σκοπούς του παρόντος κανονισμού, όπως τα κεντρικά αποθετήρια τίτλων, οι οργανισμοί συλλογικών επενδύσεων ή οι ασφαλιστικές και αντασφαλιστικές επιχειρήσεις. Η εξαίρεση από το πεδίο εφαρμογής του παρόντος κανονισμού των προσώπων και των οντοτήτων που αναφέρονται στα άρθρα 2 και 3 της εν λόγω οδηγίας δεν θα πρέπει να περιλαμβάνει τα εν λόγω κεντρικά αποθετήρια τίτλων, οργανισμούς συλλογικών επενδύσεων ή ασφαλιστικές και αντασφαλιστικές επιχειρήσεις.

(42)

Σύμφωνα με το τομεακό ενωσιακό δίκαιο, ορισμένες χρηματοοικονομικές οντότητες υπόκεινται σε λιγότερο αυστηρές απαιτήσεις ή εξαιρέσεις για λόγους οι οποίοι σχετίζονται με το μέγεθός τους ή τις υπηρεσίες που παρέχουν. Σε αυτήν την κατηγορία χρηματοοικονομικών οντοτήτων περιλαμβάνονται μικρές και μη διασυνδεδεμένες επιχειρήσεις επενδύσεων, μικρά ιδρύματα επαγγελματικών συνταξιοδοτικών παροχών που μπορούν να εξαιρεθούν από το πεδίο εφαρμογής της οδηγίας (ΕΕ) 2016/2341, υπό τις προϋποθέσεις που ορίζονται στο άρθρο 5 της εν λόγω οδηγίας από το οικείο κράτος μέλος, και διαχειρίζονται συνταξιοδοτικά συστήματα τα οποία από κοινού δεν έχουν περισσότερα από 100 μέλη συνολικά, καθώς και ιδρύματα που εξαιρούνται δυνάμει της οδηγίας 2013/36/ΕΕ. Ως εκ τούτου, σύμφωνα με την αρχή της αναλογικότητας και για να διατηρηθεί το πνεύμα του τομεακού ενωσιακού δικαίου, είναι επίσης σκόπιμο να υπαχθούν οι εν λόγω χρηματοοικονομικές οντότητες σε απλουστευμένο πλαίσιο διαχείρισης κινδύνων ΤΠΕ δυνάμει του παρόντος κανονισμού. Ο αναλογικός χαρακτήρας του πλαισίου διαχείρισης κινδύνων ΤΠΕ που καλύπτει τις εν λόγω χρηματοοικονομικές οντότητες δεν θα πρέπει να τροποποιείται από τα ρυθμιστικά τεχνικά πρότυπα που πρόκειται να εκπονηθούν από τις ΕΕΑ. Επιπλέον, σύμφωνα με την αρχή της αναλογικότητας, είναι σκόπιμο να υπαχθούν επίσης τα ιδρύματα πληρωμών που αναφέρονται στο άρθρο 32 παράγραφος 1 της οδηγίας (ΕΕ) 2015/2366 και τα ιδρύματα ηλεκτρονικού χρήματος που αναφέρονται στο άρθρο 9 της οδηγίας 2009/110/ΕΚ, σύμφωνα με τη μεταφορά των εν λόγω νομικών πράξεων της Ένωσης στο εθνικό δίκαιο, σε απλουστευμένο πλαίσιο διαχείρισης κινδύνων ΤΠΕ δυνάμει του παρόντος κανονισμού, ενώ τα ιδρύματα πληρωμών και τα ιδρύματα ηλεκτρονικού χρήματος που δεν έχουν εξαιρεθεί σύμφωνα με την αντίστοιχη μεταφορά του τομεακού δικαίου της Ένωσης στο εθνικό τους δίκαιο θα πρέπει να συμμορφώνονται με το γενικό πλαίσιο που θεσπίζεται με τον παρόντα κανονισμό.

(43)

Ομοίως, οι χρηματοοικονομικές οντότητες που χαρακτηρίζονται πολύ μικρές επιχειρήσεις ή υπόκεινται στο απλουστευμένο πλαίσιο διαχείρισης κινδύνων ΤΠΕ δυνάμει του παρόντος κανονισμού δεν θα πρέπει να υποχρεούνται να καθορίζουν ρόλο για την παρακολούθηση των ρυθμίσεων που συνάπτουν με τρίτους παρόχους υπηρεσιών ΤΠΕ σχετικά με τη χρήση υπηρεσιών ΤΠΕ ή να ορίζουν ανώτερο διοικητικό στέλεχος υπεύθυνο για την εποπτεία της σχετικής έκθεσης σε κίνδυνο και τη σχετική τεκμηρίωση, να αναθέτουν την ευθύνη διαχείρισης και εποπτείας των κινδύνων ΤΠΕ σε λειτουργία ελέγχου και να διασφαλίζουν κατάλληλο επίπεδο ανεξαρτησίας της εν λόγω λειτουργίας ελέγχου, προκειμένου να αποφεύγονται συγκρούσεις συμφερόντων, να τεκμηριώνουν και να επανεξετάζουν τουλάχιστον μία φορά ετησίως το πλαίσιο διαχείρισης κινδύνων ΤΠΕ, να υποβάλλουν σε τακτική εσωτερική επιθεώρηση το πλαίσιο διαχείρισης κινδύνων ΤΠΕ, να διενεργούν εις βάθος αξιολογήσεις μετά από σημαντικές αλλαγές στις υποδομές και στις διαδικασίες των συστημάτων δικτύου και πληροφοριών τους, να προβαίνουν ανά τακτά χρονικά διαστήματα σε αναλύσεις κινδύνου για τα παρωχημένα συστήματα ΤΠΕ, να υποβάλλουν την εφαρμογή των σχεδίων αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ σε ανεξάρτητες επανεξετάσεις εσωτερικής επιθεώρησης, να διαθέτουν λειτουργία διαχείρισης κρίσεων, να επεκτείνουν τις δοκιμές επιχειρησιακής συνέχειας και τα σχέδια αντιμετώπισης και ανάκαμψης, ώστε να σχεδιάζουν σενάρια μετάβασης μεταξύ της κύριας υποδομής ΤΠΕ και των εφεδρικών εγκαταστάσεων, να υποβάλλουν στις αρμόδιες αρχές, κατόπιν αιτήματός τους, εκτίμηση των συγκεντρωτικών ετήσιων δαπανών και ζημιών οι οποίες προκαλούνται από μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ, να διατηρούν εφεδρικές χωρητικότητες ΤΠΕ, να κοινοποιούν στις εθνικές αρμόδιες αρχές τις αλλαγές που εφαρμόστηκαν κατόπιν επανεξετάσεων μετά από συμβάντα που σχετίζονται με τις ΤΠΕ, να παρακολουθούν σε συνεχή βάση τις σχετικές τεχνολογικές εξελίξεις, να θεσπίζουν ολοκληρωμένο πρόγραμμα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας ως αναπόσπαστο μέρος του πλαισίου διαχείρισης κινδύνων ΤΠΕ που προβλέπεται στον παρόντα κανονισμό ή να εγκρίνουν και να επανεξετάζουν τακτικά στρατηγική για τους κινδύνους τρίτου παρόχου ΤΠΕ. Επιπλέον, οι πολύ μικρές επιχειρήσεις θα πρέπει μόνο να υποχρεούνται να αξιολογούν την ανάγκη διατήρησης αυτών των εφεδρικών χωρητικοτήτων ΤΠΕ με βάση το προφίλ κινδύνου τους. Οι πολύ μικρές επιχειρήσεις θα πρέπει να επωφελούνται από ένα πιο ευέλικτο καθεστώς όσον αφορά τα προγράμματα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας. Κατά την εξέταση του είδους και της συχνότητας των δοκιμών που πρέπει να διενεργούνται, θα πρέπει να εξισορροπούν δεόντως τον στόχο της διατήρησης υψηλής ψηφιακής επιχειρησιακής ανθεκτικότητας, τους διαθέσιμους πόρους και το συνολικό προφίλ κινδύνου τους. Οι πολύ μικρές επιχειρήσεις και οι χρηματοοικονομικές οντότητες που υπόκεινται στο απλουστευμένο πλαίσιο διαχείρισης κινδύνων ΤΠΕ βάσει του παρόντος κανονισμού θα πρέπει να εξαιρούνται από την απαίτηση διενέργειας προηγμένων δοκιμών σε εργαλεία, συστήματα και διαδικασίες ΤΠΕ που βασίζονται σε δοκιμές παρείσδυσης βάσει απειλών (TLPT), καθώς μόνο οι χρηματοοικονομικές οντότητες που πληρούν τα κριτήρια που καθορίζονται στον παρόντα κανονισμό θα πρέπει να υποχρεούνται να διενεργούν τις εν λόγω δοκιμές. Λόγω των περιορισμένων ικανοτήτων τους, οι πολύ μικρές επιχειρήσεις θα πρέπει να είναι σε θέση να συμφωνήσουν με τον τρίτο πάροχο υπηρεσιών ΤΠΕ να αναθέσουν τα δικαιώματα πρόσβασης, επιθεώρησης και ελέγχου της χρηματοοικονομικής οντότητας σε ανεξάρτητο τρίτο μέρος, το οποίο θα οριστεί από τον τρίτο πάροχο υπηρεσιών ΤΠΕ, υπό την προϋπόθεση ότι η χρηματοοικονομική οντότητα είναι σε θέση να ζητήσει, ανά πάσα στιγμή, όλες τις σχετικές πληροφορίες και διασφαλίσεις σχετικά με τις επιδόσεις του τρίτου παρόχου υπηρεσιών ΤΠΕ από το αντίστοιχο ανεξάρτητο τρίτο μέρος.

(44)

Δεδομένου ότι μόνο οι χρηματοοικονομικές οντότητες που ταυτοποιούνται για τους σκοπούς των προηγμένων δοκιμών ψηφιακής ανθεκτικότητας θα πρέπει να υποχρεούνται να διενεργούν δοκιμές παρείσδυσης βάσει απειλών, οι διοικητικές διαδικασίες και το οικονομικό κόστος που συνεπάγεται η διενέργεια των δοκιμών αυτών θα πρέπει να βαρύνουν μικρό ποσοστό των χρηματοοικονομικών οντοτήτων.

(45)

Για τους σκοπούς της διασφάλισης της πλήρους ευθυγράμμισης και της συνολικής συνοχής μεταξύ των επιχειρηματικών στρατηγικών των χρηματοοικονομικών οντοτήτων, αφενός, και της άσκησης της διαχείρισης κινδύνων ΤΠΕ, αφετέρου, τα διοικητικά όργανα των χρηματοοικονομικών οντοτήτων θα πρέπει να υποχρεούνται να επιτελούν καίριο και ενεργό ρόλο στον προσανατολισμό και στην προσαρμογή του πλαισίου διαχείρισης κινδύνων ΤΠΕ, καθώς και της συνολικής στρατηγικής για την ψηφιακή λειτουργική ανθεκτικότητα. Η προσέγγιση που οφείλουν να υιοθετούν τα διοικητικά όργανα δεν θα πρέπει να επικεντρώνεται μόνο στα μέσα διασφάλισης της ανθεκτικότητας των συστημάτων ΤΠΕ, αλλά θα πρέπει επίσης να καλύπτει τα άτομα και τις διαδικασίες μέσω μιας δέσμης πολιτικών που καλλιεργούν, σε κάθε εταιρικό επίπεδο και για το σύνολο των μελών του προσωπικού, ισχυρό αίσθημα ευαισθητοποίησης όσον αφορά τους κινδύνους στον κυβερνοχώρο, καθώς και την ανάληψη δέσμευσης για την τήρηση αυστηρής κυβερνοϋγιεινής σε όλα τα επίπεδα. Η τελική ευθύνη του διοικητικού οργάνου για τη διαχείριση κινδύνων ΤΠΕ της χρηματοοικονομικής οντότητας θα πρέπει να αποτελεί γενική αρχή της εν λόγω ολοκληρωμένης προσέγγισης, η οποία θα μετουσιώνεται περαιτέρω στη διαρκή συμμετοχή του διοικητικού οργάνου στον έλεγχο της παρακολούθησης της διαχείρισης κινδύνων ΤΠΕ.

(46)

Επιπλέον, η αρχή της πλήρους και τελικής ευθύνης του διοικητικού οργάνου για τη διαχείριση κινδύνων ΤΠΕ της χρηματοοικονομικής οντότητας συμβαδίζει με την ανάγκη εξασφάλισης επιπέδου επενδύσεων που σχετίζονται με τις ΤΠΕ και συνολικού προϋπολογισμού για τη χρηματοοικονομική οντότητα που θα επιτρέψουν στη χρηματοοικονομική οντότητα να επιτύχει υψηλό επίπεδο ψηφιακής επιχειρησιακής ανθεκτικότητας.

(47)

Βάσει σχετικών διεθνών, εθνικών και κλαδικών βέλτιστων πρακτικών, κατευθυντήριων γραμμών, συστάσεων και προσεγγίσεων για τη διαχείριση των κινδύνων στον κυβερνοχώρο, ο παρών κανονισμός προάγει μια σειρά αρχών που διευκολύνουν τη συνολική διάρθρωση της διαχείρισης κινδύνων ΤΠΕ. Κατά συνέπεια, στον βαθμό που οι κύριες ικανότητες τις οποίες διαθέτουν οι χρηματοοικονομικές οντότητες ανταποκρίνονται στις διάφορες λειτουργίες στη διαχείριση κινδύνων ΤΠΕ (προσδιορισμός, προστασία και πρόληψη, εντοπισμός, αντιμετώπιση και ανάκαμψη, μάθηση και εξέλιξη και επικοινωνία) που καθορίζονται στον παρόντα κανονισμό, οι χρηματοοικονομικές οντότητες θα πρέπει να εξακολουθήσουν να έχουν τη διακριτική ευχέρεια να χρησιμοποιούν μοντέλα διαχείρισης κινδύνων ΤΠΕ τα οποία πλαισιώνονται ή κατηγοριοποιούνται με διαφορετικό τρόπο.

(48)

Προκειμένου να συμβαδίζουν με το εξελισσόμενο τοπίο των κυβερνοαπειλών, οι χρηματοοικονομικές οντότητες θα πρέπει να διατηρούν επικαιροποιημένα συστήματα ΤΠΕ, τα οποία είναι αξιόπιστα και ικανά να εξασφαλίζουν όχι μόνο την επεξεργασία δεδομένων που απαιτείται για τις υπηρεσίες τους, αλλά και επαρκή τεχνολογική ανθεκτικότητα που θα τους επιτρέπει να ανταποκρίνονται δεόντως στις πρόσθετες ανάγκες επεξεργασίας λόγω ακραίων συνθηκών της αγοράς ή άλλων αντίξοων καταστάσεων.

(49)

Απαιτούνται αποτελεσματικά σχέδια επιχειρησιακής συνέχειας και ανάκαμψης ώστε οι χρηματοοικονομικές οντότητες να είναι σε θέση να επιλύουν άμεσα και γρήγορα συμβάντα που σχετίζονται με τις ΤΠΕ, ιδίως κυβερνοεπιθέσεις, περιορίζοντας τις ζημίες και δίνοντας προτεραιότητα στην επανέναρξη των δραστηριοτήτων και στην ανάληψη δράσεων ανάκαμψης, σύμφωνα με τις πολιτικές τους για τη δημιουργία εφεδρικών συστημάτων. Ωστόσο, η επανέναρξη αυτή δεν θα πρέπει σε καμία περίπτωση να θέτει σε κίνδυνο την ακεραιότητα και την ασφάλεια των συστημάτων δικτύου και πληροφοριών ή τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα ή την εμπιστευτικότητα των δεδομένων.

(50)

Μολονότι ο παρών κανονισμός παρέχει στις χρηματοοικονομικές οντότητες τη δυνατότητα να καθορίζουν τους στόχους τους για τον χρόνο ανάκαμψης και το σημείο ανάκαμψης με ευέλικτο τρόπο και, κατ’ επέκταση, να θέτουν τέτοιους στόχους λαμβάνοντας πλήρως υπόψη τη φύση και την κρισιμότητα των σχετικών λειτουργιών, καθώς και τυχόν ειδικών επιχειρηματικών αναγκών, θα πρέπει, ωστόσο, να τις υποχρεώνει να αξιολογούν τις συνολικές δυνητικές επιπτώσεις στην αποτελεσματικότητα της αγοράς, κατά τον καθορισμό των εν λόγω στόχων.

(51)

Οι φορείς διάδοσης κυβερνοεπιθέσεων τείνουν να επιδιώκουν οικονομικά οφέλη απευθείας στην πηγή, εκθέτοντας έτσι τις χρηματοοικονομικές οντότητες σε σημαντικές συνέπειες. Για να προληφθεί η απώλεια της ακεραιότητας ή της διαθεσιμότητας των συστημάτων ΤΠΕ και, ως εκ τούτου, να αποφευχθούν οι παραβιάσεις δεδομένων και η ζημία σε υλική υποδομή ΤΠΕ, η αναφορά μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ από χρηματοοικονομικές οντότητες θα πρέπει να βελτιωθεί και να εξορθολογιστεί σημαντικά. Η αναφορά συμβάντων που σχετίζονται με τις ΤΠΕ θα πρέπει να εναρμονιστεί μέσω της θέσπισης απαίτησης για όλες τις χρηματοοικονομικές οντότητες να υποβάλλουν αναφορά απευθείας στις οικείες αρμόδιες αρχές τους. Όταν μια χρηματοοικονομική οντότητα υπόκειται σε εποπτεία από περισσότερες από μία εθνικές αρμόδιες αρχές, τα κράτη μέλη θα πρέπει να ορίζουν μία μόνο αρμόδια αρχή ως αποδέκτη της εν λόγω αναφοράς. Τα πιστωτικά ιδρύματα που ταξινομούνται ως σημαντικά σύμφωνα με το άρθρο 6 παράγραφος 4 του κανονισμού (ΕΕ) αριθ. 1024/2013 του Συμβουλίου (19) θα πρέπει να υποβάλλουν την εν λόγω αναφορά στις εθνικές αρμόδιες αρχές, οι οποίες θα πρέπει στη συνέχεια να διαβιβάζουν την αναφορά στην Ευρωπαϊκή Κεντρική Τράπεζα (ΕΚΤ).

(52)

Η απευθείας αναφορά θα πρέπει να επιτρέπει στις αρχές χρηματοοικονομικής εποπτείας να έχουν άμεση πρόσβαση σε πληροφορίες για μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ. Οι αρχές χρηματοοικονομικής εποπτείας θα πρέπει με τη σειρά τους να διαβιβάζουν λεπτομέρειες σχετικά με μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ σε δημόσιες μη χρηματοοικονομικές αρχές (όπως οι αρμόδιες αρχές και τα ενιαία σημεία επαφής βάσει της οδηγίας (ΕΕ) 2022/2555 εθνικές αρχές προστασίας δεδομένων και αρχές επιβολής του νόμου για μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ ποινικού χαρακτήρα), προκειμένου να ενισχυθεί η ευαισθητοποίηση των εν λόγω αρχών σχετικά με αυτά τα συμβάντα και, στην περίπτωση των CSIRT, να διευκολυνθεί η άμεση συνδρομή που μπορεί να παρέχεται στις χρηματοοικονομικές οντότητες, κατά περίπτωση. Επιπλέον, τα κράτη μέλη θα πρέπει να είναι σε θέση να καθορίζουν ότι οι ίδιες οι χρηματοοικονομικές οντότητες θα πρέπει να παρέχουν τις πληροφορίες αυτές σε δημόσιες αρχές εκτός του τομέα των χρηματοοικονομικών υπηρεσιών. Οι εν λόγω ροές πληροφοριών θα πρέπει να επιτρέπουν στις χρηματοοικονομικές οντότητες να επωφελούνται άμεσα από κάθε σχετική τεχνική συμβολή, συμβουλές σχετικά με τα διορθωτικά μέτρα και επακόλουθη παρακολούθηση από τις εν λόγω αρχές. Η διοχέτευση πληροφοριών για μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ θα πρέπει να είναι αμοιβαία: οι αρχές χρηματοοικονομικής εποπτείας θα πρέπει να παρέχουν στη χρηματοοικονομική οντότητα κάθε αναγκαία παρατήρηση ή καθοδήγηση, ενώ οι ΕΕΑ θα πρέπει να ανταλλάσσουν ανωνυμοποιημένα δεδομένα σχετικά με κυβερνοαπειλές και ευπάθειες που σχετίζονται με ένα συμβάν, με σκοπό την ενίσχυση της ευρύτερης συλλογικής άμυνας.

(53)

Ενώ όλες οι χρηματοοικονομικές οντότητες θα πρέπει να υπόκεινται στην υποχρέωση αναφοράς συμβάντων, η απαίτηση αυτή δεν αναμένεται να τις επηρεάσει όλες με τον ίδιο τρόπο. Πράγματι, τα σχετικά κατώτατα όρια σημαντικότητας, καθώς και τα χρονοδιαγράμματα υποβολής αναφορών, θα πρέπει να προσαρμόζονται δεόντως, στο πλαίσιο των κατ’ εξουσιοδότηση πράξεων που βασίζονται στα ρυθμιστικά τεχνικά πρότυπα που θα αναπτύξουν οι ΕΕΑ, με σκοπό την κάλυψη μόνο μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ. Επιπλέον, οι ιδιαιτερότητες των χρηματοοικονομικών οντοτήτων θα πρέπει να λαμβάνονται υπόψη κατά τον καθορισμό χρονοδιαγραμμάτων για τις υποχρεώσεις υποβολής αναφορών.

(54)

Ο παρών κανονισμός θα πρέπει να απαιτεί από τα πιστωτικά ιδρύματα, τα ιδρύματα πληρωμών, τους παρόχους υπηρεσιών πληροφοριών λογαριασμού και τα ιδρύματα ηλεκτρονικού χρήματος να αναφέρουν όλα τα λειτουργικά συμβάντα ή τα συμβάντα ασφάλειας που σχετίζονται με πληρωμές —τα οποία έχουν αναφερθεί προηγουμένως βάσει της οδηγίας (ΕΕ) 2015/2366— ανεξάρτητα από τη φύση του συμβάντος όσον αφορά τις ΤΠΕ.

(55)

Οι ΕΕΑ θα πρέπει να επιφορτιστούν με την αξιολόγηση της σκοπιμότητας και των προϋποθέσεων για πιθανή συγκέντρωση των αναφορών συμβάντων που σχετίζονται με τις ΤΠΕ σε επίπεδο Ένωσης. Η συγκέντρωση αυτή θα μπορούσε να συνίσταται σε ενιαίο κόμβο της ΕΕ για αναφορά μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ, είτε με την άμεση παραλαβή των σχετικών εκθέσεων και την αυτόματη κοινοποίησή τους στις εθνικές αρμόδιες αρχές είτε με τη συγκέντρωση απλώς των σχετικών εκθέσεων που διαβιβάζονται από τις εθνικές αρμόδιες αρχές και την άσκηση, κατ’ αυτόν τον τρόπο, συντονιστικού ρόλου. Θα πρέπει να ανατεθεί στις ΕΕΑ να εκπονήσουν, σε διαβούλευση με την ΕΚΤ και τον ENISA, κοινή έκθεση στην οποία θα διερευνάται η σκοπιμότητα της δημιουργίας ενιαίου κόμβου της ΕΕ.

(56)

Για τους σκοπούς της διασφάλισης υψηλού επιπέδου ψηφιακής επιχειρησιακής ανθεκτικότητας, και σύμφωνα τόσο με τα σχετικά διεθνή πρότυπα (π.χ. τα θεμελιώδη στοιχεία της G7 για τις δοκιμές παρείσδυσης βάσει απειλών), όσο και με τα πλαίσια που εφαρμόζονται στην Ένωση, όπως το TIBER–EU, οι χρηματοοικονομικές οντότητες θα πρέπει να υποβάλλουν τακτικά σε δοκιμή τα οικεία συστήματα ΤΠΕ και το προσωπικό τους το οποίο έχει αρμοδιότητες σχετικές με τις ΤΠΕ ως προς την αποτελεσματικότητα των ικανοτήτων τους όσον αφορά την πρόληψη, τον εντοπισμό, την αντιμετώπιση και την ανάκαμψη, ώστε να αποκαλύπτουν και να αντιμετωπίζουν πιθανές ευπάθειες των ΤΠΕ. Για τη συνεκτίμηση των διαφορών που υπάρχουν τόσο μεταξύ όσο και εντός των διαφόρων χρηματοοικονομικών υποτομέων όσον αφορά το επίπεδο ετοιμότητας των χρηματοοικονομικών οντοτήτων στον τομέα της κυβερνοασφάλειας, οι δοκιμές θα πρέπει να περιλαμβάνουν ευρύ φάσμα εργαλείων και δράσεων, που εκτείνονται από την αξιολόγηση βασικών απαιτήσεων (π.χ. αξιολογήσεις και σαρώσεις ευπάθειας, αναλύσεις ανοικτής πηγής, αξιολογήσεις ασφάλειας δικτύου, αναλύσεις ελλείψεων, επισκοπήσεις υλικής ασφάλειας, λύσεις λογισμικού ερωτηματολογίων και σάρωσης, επανεξετάσεις πηγαίου κώδικα όπου αυτό είναι εφικτό, δοκιμές βάσει σεναρίων, δοκιμές συμβατότητας, δοκιμές επιδόσεων ή διατερματικές δοκιμές), έως πιο προηγμένες δοκιμές μέσω TLPT. Αυτού του είδους οι προηγμένες δοκιμές θα πρέπει να απαιτούνται μόνο από τις χρηματοοικονομικές οντότητες που παρουσιάζουν επαρκή βαθμό ωριμότητας από πλευράς ΤΠΕ, ώστε να τις διενεργούν εύλογα. Συνεπώς, οι δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας που απαιτούνται βάσει του παρόντος κανονισμού θα πρέπει να είναι πιο απαιτητικές για τις χρηματοοικονομικές οντότητες που πληρούν τα κριτήρια που καθορίζονται στον παρόντα κανονισμό (για παράδειγμα, μεγάλα, συστημικά και ώριμα για ΤΠΕ πιστωτικά ιδρύματα, χρηματιστήρια, κεντρικά αποθετήρια τίτλων και κεντρικοί αντισυμβαλλόμενοι) από ό,τι για άλλες χρηματοοικονομικές οντότητες. Ταυτόχρονα, οι δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας μέσω TLPT θα πρέπει να είναι περισσότερο σημαντικές για χρηματοοικονομικές οντότητες οι οποίες δραστηριοποιούνται σε βασικούς υποτομείς χρηματοοικονομικών υπηρεσιών και διαδραματίζουν συστημικό ρόλο (για παράδειγμα, πληρωμές, τράπεζες και εκκαθάριση και διακανονισμός) και λιγότερο σημαντικές για άλλους υποτομείς (για παράδειγμα, διαχειριστές περιουσιακών στοιχείων και οργανισμοί αξιολόγησης της πιστοληπτικής ικανότητας).

(57)

Οι χρηματοοικονομικές οντότητες οι οποίες ασχολούνται με διασυνοριακές δραστηριότητες και ασκούν το δικαίωμα ελεύθερης εγκατάστασης ή παροχής υπηρεσιών εντός της Ένωσης θα πρέπει να συμμορφώνονται με ένα ενιαίο σύνολο απαιτήσεων προηγμένων δοκιμών (δηλαδή TLPT) στο κράτος μέλος προέλευσής τους που θα πρέπει να περιλαμβάνει τις υποδομές ΤΠΕ σε όλες τις δικαιοδοσίες στις οποίες δραστηριοποιείται ο διασυνοριακός χρηματοοικονομικός όμιλος εντός της Ένωσης, ώστε να διασφαλίζεται ότι αυτοί οι διασυνοριακοί χρηματοοικονομικοί όμιλοι επιβαρύνονται με το κόστος δοκιμών που σχετίζονται με τις ΤΠΕ μόνο σε μία δικαιοδοσία.

(58)

Προκειμένου να αξιοποιηθεί η εμπειρογνωσία που έχει ήδη αποκτηθεί από ορισμένες αρμόδιες αρχές, ιδίως όσον αφορά την εφαρμογή του πλαισίου TIBER–EU, ο παρών κανονισμός θα πρέπει να επιτρέπει στα κράτη μέλη να ορίζουν μία μόνο δημόσια αρχή ως υπεύθυνη στον χρηματοοικονομικό τομέα, σε εθνικό επίπεδο, για όλα τα θέματα TLPT, ή στις αρμόδιες αρχές να αναθέτουν, ελλείψει τέτοιου ορισμού, την άσκηση καθηκόντων που σχετίζονται με TLPT σε άλλη εθνική χρηματοοικονομική αρμόδια αρχή.

(59)

Δεδομένου ότι ο παρών κανονισμός δεν απαιτεί από τις χρηματοοικονομικές οντότητες να καλύπτουν όλες τις κρίσιμες ή σημαντικές λειτουργίες σε μία και μόνη δοκιμή παρείσδυσης βάσει απειλών, οι χρηματοοικονομικές οντότητες θα πρέπει να είναι ελεύθερες να καθορίζουν ποιες και πόσες κρίσιμες ή σημαντικές λειτουργίες θα πρέπει να περιλαμβάνονται στο πεδίο εφαρμογής της εν λόγω δοκιμής.

(60)

Οι ομαδικές δοκιμές κατά την έννοια του παρόντος κανονισμού —που περιλαμβάνουν τη συμμετοχή διαφόρων χρηματοοικονομικών οντοτήτων σε μια TLPT και για τις οποίες ένας τρίτος πάροχος υπηρεσιών ΤΠΕ μπορεί να συνάψει απευθείας συμβατικές ρυθμίσεις με εξωτερικό δοκιμαστή— θα πρέπει να επιτρέπονται μόνο όταν η ποιότητα ή η ασφάλεια των υπηρεσιών που παρέχονται από τον τρίτο πάροχο υπηρεσιών ΤΠΕ σε πελάτες που είναι οντότητες οι οποίες δεν εμπίπτουν στο πεδίο εφαρμογής του παρόντος κανονισμού ή η εμπιστευτικότητα των δεδομένων που σχετίζονται με τις εν λόγω υπηρεσίες αναμένεται ευλόγως να επηρεαστούν αρνητικά. Οι ομαδικές δοκιμές θα πρέπει επίσης να υπόκεινται σε διασφαλίσεις (κατεύθυνση από καθορισμένη χρηματοοικονομική οντότητα, βαθμονόμηση του αριθμού των συμμετεχουσών χρηματοοικονομικών οντοτήτων), ώστε να διασφαλίζεται η διενέργεια αυστηρών δοκιμών για τις εμπλεκόμενες χρηματοοικονομικές οντότητες που πληρούν τους στόχους της TLPT σύμφωνα με τον παρόντα κανονισμό.

(61)

Προκειμένου να αξιοποιηθούν οι εσωτερικοί πόροι που διατίθενται σε εταιρικό επίπεδο, ο παρών κανονισμός θα πρέπει να επιτρέπει τη χρήση εσωτερικών δοκιμαστών για τους σκοπούς της διεξαγωγής TLPT, υπό την προϋπόθεση ότι υπάρχει εποπτική έγκριση, δεν υπάρχουν συγκρούσεις συμφερόντων και υπάρχει περιοδική εναλλαγή χρήσης εσωτερικών και εξωτερικών δοκιμαστών (κάθε τρεις δοκιμές), απαιτώντας παράλληλα από τον πάροχο των πληροφοριών σχετικά με τις απειλές στο πλαίσιο TLPT να είναι πάντα εξωτερικός σε σχέση με τη χρηματοοικονομική οντότητα. Η χρηματοοικονομική οντότητα θα πρέπει να εξακολουθεί να ευθύνεται πλήρως για τη διεξαγωγή TLPT. Οι βεβαιώσεις που παρέχονται από τις αρχές θα πρέπει να εξυπηρετούν αποκλειστικά τον σκοπό της αμοιβαίας αναγνώρισης και δεν θα πρέπει να αποκλείουν τυχόν επακόλουθες ενέργειες που απαιτούνται για την αντιμετώπιση των κινδύνων ΤΠΕ στους οποίους είναι εκτεθειμένη η χρηματοοικονομική οντότητα, ούτε θα πρέπει να θεωρούνται ως εποπτική έγκριση των ικανοτήτων διαχείρισης και μετριασμού των κινδύνων ΤΠΕ μιας χρηματοοικονομικής οντότητας.

(62)

Για τη διασφάλιση της ορθής παρακολούθησης των κινδύνων τρίτων παρόχων ΤΠΕ στον χρηματοοικονομικό τομέα, είναι απαραίτητη η θέσπιση ενός συνόλου κανόνων βάσει αρχών, ώστε να παρέχεται καθοδήγηση στις χρηματοοικονομικές οντότητες, όταν παρακολουθούν κίνδυνο που προκύπτει στο πλαίσιο λειτουργιών που αποτελούν αντικείμενο εξωτερικής ανάθεσης σε τρίτους παρόχους υπηρεσιών ΤΠΕ, ιδίως για υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες καθώς και, γενικότερα, στο πλαίσιο όλων των εξαρτήσεων από τρίτους παρόχους ΤΠΕ.

(63)

Για να αντιμετωπιστεί η πολυπλοκότητα των διάφορων πηγών κινδύνων ΤΠΕ, λαμβανομένων παράλληλα υπόψη της πληθώρας και της ποικιλομορφίας των παρόχων τεχνολογικών λύσεων που επιτρέπουν την ομαλή παροχή χρηματοοικονομικών υπηρεσιών, ο παρών κανονισμός θα πρέπει να καλύπτει ευρύ φάσμα τρίτων παρόχων υπηρεσιών ΤΠΕ, συμπεριλαμβανομένων των παρόχων υπηρεσιών υπολογιστικού νέφους, λογισμικού, υπηρεσιών ανάλυσης δεδομένων και παρόχων υπηρεσιών κέντρου δεδομένων. Ομοίως, δεδομένου ότι οι χρηματοοικονομικές οντότητες θα πρέπει να εντοπίζουν και να διαχειρίζονται αποτελεσματικά και συνεκτικά όλα τα είδη κινδύνων, μεταξύ άλλων στο πλαίσιο των υπηρεσιών ΤΠΕ που παρέχονται στο πλαίσιο ενός χρηματοοικονομικού ομίλου, θα πρέπει να διευκρινιστεί ότι επιχειρήσεις που αποτελούν μέρος χρηματοοικονομικού ομίλου και παρέχουν υπηρεσίες ΤΠΕ κυρίως στη μητρική τους επιχείρηση ή σε θυγατρικές ή υποκαταστήματα της μητρικής τους επιχείρησης, καθώς και χρηματοοικονομικές οντότητες που παρέχουν υπηρεσίες ΤΠΕ σε άλλες χρηματοοικονομικές οντότητες, θα πρέπει επίσης να θεωρούνται τρίτοι πάροχοι υπηρεσιών ΤΠΕ δυνάμει του παρόντος κανονισμού. Τέλος, δεδομένου ότι η εξελισσόμενη αγορά υπηρεσιών πληρωμών εξαρτάται όλο και περισσότερο από πολύπλοκες τεχνικές λύσεις, και λόγω των αναδυόμενων τύπων υπηρεσιών πληρωμών και λύσεων που σχετίζονται με τις πληρωμές, οι συμμετέχοντες στο οικοσύστημα υπηρεσιών πληρωμών, οι οποίοι παρέχουν δραστηριότητες επεξεργασίας πληρωμών ή λειτουργούν υποδομές πληρωμών, θα πρέπει επίσης να θεωρούνται τρίτοι πάροχοι υπηρεσιών ΤΠΕ δυνάμει του παρόντος κανονισμού, με εξαίρεση τις κεντρικές τράπεζες κατά τη λειτουργία συστημάτων πληρωμών ή διακανονισμού αξιογράφων και τις δημόσιες αρχές όταν παρέχουν υπηρεσίες που σχετίζονται με τις ΤΠΕ στο πλαίσιο της εκπλήρωσης κρατικών λειτουργιών.

(64)

Οι χρηματοοικονομικές οντότητες θα πρέπει να φέρουν ανά πάσα στιγμή την πλήρη ευθύνη για τη συμμόρφωση με τις υποχρεώσεις τους που απορρέουν από τον παρόντα κανονισμό. Οι χρηματοοικονομικές οντότητες θα πρέπει να εφαρμόζουν αναλογική προσέγγιση όσον αφορά την παρακολούθηση κινδύνων που ανακύπτουν σε επίπεδο τρίτων παρόχων υπηρεσιών ΤΠΕ, λαμβανομένων δεόντως υπόψη της φύσης, της κλίμακας, της πολυπλοκότητας και της σημασίας των εξαρτήσεών τους που σχετίζονται με τις ΤΠΕ, της κρισιμότητας ή της σημασίας των υπηρεσιών, των διαδικασιών ή των λειτουργιών που υπόκεινται στις συμβατικές ρυθμίσεις και, εντέλει, βάσει προσεκτικής αξιολόγησης κάθε δυνητικού αντικτύπου στη συνέχεια και στην ποιότητα των χρηματοοικονομικών υπηρεσιών σε μεμονωμένο επίπεδο και σε επίπεδο ομίλου, ανάλογα με την περίπτωση.

(65)

Για την άσκηση καθηκόντων παρακολούθησης αυτού του είδους θα πρέπει να ακολουθείται μια στρατηγική προσέγγιση ως προς τους κινδύνους τρίτων παρόχων ΤΠΕ, η οποία θα επισημοποιείται μέσω της υιοθέτησης, από το διοικητικό όργανο της χρηματοοικονομικής οντότητας, ειδικής στρατηγικής κινδύνων τρίτου παρόχου ΤΠΕ που θα βασίζεται στον διαρκή έλεγχο όλων των εξαρτήσεων από τρίτους παρόχους ΤΠΕ. Για τη βελτίωση της ευαισθητοποίησης όσον αφορά την εποπτεία των εξαρτήσεων από τρίτους παρόχους ΤΠΕ και με σκοπό την περαιτέρω στήριξη των εργασιών εντός του πλαισίου εποπτείας που θεσπίζεται με τον παρόντα κανονισμό, όλες οι χρηματοοικονομικές οντότητες θα πρέπει να υποχρεούνται να τηρούν μητρώο πληροφοριών με όλες τις συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ οι οποίες παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ. Οι αρχές χρηματοοικονομικής εποπτείας θα πρέπει να είναι σε θέση να ζητούν το πλήρες μητρώο ή συγκεκριμένα τμήματά του και, ως εκ τούτου, να λαμβάνουν βασικές πληροφορίες για την ευρύτερη κατανόηση των εξαρτήσεων των χρηματοοικονομικών οντοτήτων από τις ΤΠΕ.

(66)

Μια διεξοδική ανάλυση πριν από την ανάθεση θα πρέπει να στηρίζει και να προηγείται της επίσημης σύναψης συμβατικών ρυθμίσεων, εστιάζοντας ιδίως σε στοιχεία όπως η κρισιμότητα ή η σημασία των υπηρεσιών που υποστηρίζονται από την προβλεπόμενη σύμβαση ΤΠΕ, οι αναγκαίες εποπτικές εγκρίσεις ή άλλοι όροι, ο πιθανός συνεπαγόμενος κίνδυνος συγκέντρωσης, καθώς και η εφαρμογή της δέουσας επιμέλειας κατά τη διαδικασία επιλογής και αξιολόγησης τρίτων παρόχων υπηρεσιών ΤΠΕ και η αξιολόγηση πιθανών συγκρούσεων συμφερόντων. Όσον αφορά τις συμβατικές ρυθμίσεις οι οποίες αφορούν κρίσιμες ή σημαντικές λειτουργίες, οι χρηματοοικονομικές οντότητες θα πρέπει να λαμβάνουν δεόντως υπόψη τη χρήση από τρίτους παρόχους υπηρεσιών ΤΠΕ των πλέον επικαιροποιημένων και ύψιστων προτύπων ασφάλειας πληροφοριών. Η καταγγελία των συμβατικών ρυθμίσεων θα μπορούσε να οφείλεται τουλάχιστον σε σύνολο περιστάσεων που παρουσιάζουν ελλείψεις σε επίπεδο τρίτου παρόχου υπηρεσιών ΤΠΕ, ιδίως σημαντικές παραβιάσεις νόμων ή συμβατικών όρων, περιστάσεις που αποκαλύπτουν πιθανή μεταβολή της εκτέλεσης των καθηκόντων που προβλέπονται στις συμβατικές ρυθμίσεις, αποδεικτικά στοιχεία αδυναμιών του τρίτου παρόχου υπηρεσιών ΤΠΕ στη συνολική διαχείριση κινδύνων ΤΠΕ ή περιστάσεις που υποδεικνύουν την αδυναμία της σχετικής αρμόδιας αρχής να εποπτεύει αποτελεσματικά τη χρηματοοικονομική οντότητα.

(67)

Για την αντιμετώπιση των συστημικών επιπτώσεων του κινδύνου συγκέντρωσης τρίτων παρόχων ΤΠΕ, ο παρών κανονισμός προάγει ισορροπημένη λύση μέσω της υιοθέτησης ευέλικτης και σταδιακής προσέγγισης στον εν λόγω κίνδυνο συγκέντρωσης, δεδομένου ότι η επιβολή τυχόν αυστηρών ανώτατων ορίων ή αυστηρών περιορισμών ενδέχεται να εμποδίσει τη διεξαγωγή επιχειρήσεων και να περιορίσει τη συμβατική ελευθερία. Οι χρηματοοικονομικές οντότητες θα πρέπει να αξιολογούν ενδελεχώς τις συμβατικές ρυθμίσεις τις οποίες προβλέπουν για τον προσδιορισμό της πιθανότητας εμφάνισης κινδύνου αυτού του είδους, μεταξύ άλλων μέσω εμπεριστατωμένων αναλύσεων των ρυθμίσεων υπεργολαβίας, ιδίως όταν συνάπτονται με τρίτους παρόχους υπηρεσιών ΤΠΕ που είναι εγκατεστημένοι σε τρίτη χώρα. Στο παρόν στάδιο, και για τους σκοπούς της επίτευξης δίκαιης ισορροπίας μεταξύ της επιτακτικής ανάγκης για διατήρηση της συμβατικής ελευθερίας και της ανάγκης για διασφάλιση της χρηματοοικονομικής σταθερότητας, δεν κρίνεται σκόπιμη η θέσπιση κανόνων περί αυστηρών ανώτατων ορίων και περιορισμών όσον αφορά την έκθεση σε κινδύνους τρίτων παρόχων ΤΠΕ. Εντός του πλαισίου εποπτείας, ο κύριος εποπτικός φορέας που έχει οριστεί σύμφωνα με τον παρόντα κανονισμό θα πρέπει, όσον αφορά τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, να δίνει ιδιαίτερη προσοχή στην πλήρη κατανόηση της έκτασης των αλληλεξαρτήσεων, να ανακαλύπτει συγκεκριμένες περιπτώσεις στις οποίες ο υψηλός βαθμός συγκέντρωσης κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ στην Ένωση είναι πιθανό να ασκήσει πιέσεις στη σταθερότητα και στην ακεραιότητα του χρηματοοικονομικού συστήματος της Ένωσης και να διατηρεί διάλογο με κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, όταν εντοπίζεται ο συγκεκριμένος κίνδυνος.

(68)

Για την αξιολόγηση και την παρακολούθηση σε τακτική βάση της ικανότητας τρίτου παρόχου υπηρεσιών ΤΠΕ να παρέχει με ασφάλεια υπηρεσίες σε χρηματοοικονομική οντότητα χωρίς δυσμενείς επιπτώσεις στην ψηφιακή επιχειρησιακή ανθεκτικότητά της, θα πρέπει να εναρμονιστούν διάφορα βασικά συμβατικά στοιχεία με τρίτους παρόχους υπηρεσιών ΤΠΕ. Η εναρμόνιση αυτή θα πρέπει να καλύπτει ελάχιστους τομείς που είναι ζωτικής σημασίας για την πλήρη παρακολούθηση από τη χρηματοοικονομική οντότητα των κινδύνων που θα μπορούσαν να προκύψουν από τον τρίτο πάροχο υπηρεσιών ΤΠΕ, από την άποψη της ανάγκης μιας χρηματοοικονομικής οντότητας να διασφαλίσει την ψηφιακή ανθεκτικότητά της, διότι εξαρτάται σε μεγάλο βαθμό από τη σταθερότητα, τη λειτουργικότητα, τη διαθεσιμότητα και την ασφάλεια των υπηρεσιών ΤΠΕ που λαμβάνει.

(69)

Κατά την επαναδιαπραγμάτευση συμβατικών ρυθμίσεων με σκοπό την ευθυγράμμιση με τις απαιτήσεις του παρόντος κανονισμού, οι χρηματοοικονομικές οντότητες και οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ θα πρέπει να διασφαλίζουν την κάλυψη των βασικών συμβατικών διατάξεων, όπως προβλέπεται στον παρόντα κανονισμό.

(70)

Ο ορισμός της «κρίσιμης ή σημαντικής λειτουργίας» που προβλέπεται στον παρόντα κανονισμό περιλαμβάνει τον ορισμό των «κρίσιμων λειτουργιών», όπως προβλέπεται στο άρθρο 2 παράγραφος 1 σημείο 35) της οδηγίας 2014/59/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (20). Ως εκ τούτου, οι λειτουργίες που θεωρούνται κρίσιμες σύμφωνα με την οδηγία 2014/59/ΕΕ περιλαμβάνονται στον ορισμό των κρίσιμων λειτουργιών κατά την έννοια του παρόντος κανονισμού.

(71)

Ανεξάρτητα από την κρισιμότητα ή τη σημασία της λειτουργίας που υποστηρίζεται από τις υπηρεσίες ΤΠΕ, οι συμβατικές ρυθμίσεις θα πρέπει να προβλέπουν ειδικότερα την πλήρη περιγραφή των λειτουργιών και των υπηρεσιών, των τοποθεσιών στις οποίες παρέχονται οι εν λόγω λειτουργίες και των τοποθεσιών στις οποίες τα δεδομένα θα υποβάλλονται σε επεξεργασία, καθώς και περιγραφή του επιπέδου υπηρεσιών. Άλλα ουσιώδη στοιχεία για να καταστεί δυνατή η παρακολούθηση των κινδύνων τρίτων μερών ΤΠΕ από μια χρηματοοικονομική οντότητα είναι: οι συμβατικές διατάξεις που καθορίζουν τον τρόπο με τον οποίο ο τρίτος πάροχος υπηρεσιών ΤΠΕ διασφαλίζει την προσβασιμότητα, τη διαθεσιμότητα, την ακεραιότητα, την ασφάλεια και την προστασία των δεδομένων προσωπικού χαρακτήρα, οι διατάξεις οι οποίες προβλέπουν τις σχετικές διασφαλίσεις που καθιστούν δυνατές την πρόσβαση, την ανάκτηση και την επιστροφή δεδομένων σε περίπτωση αφερεγγυότητας, εξυγίανσης ή διακοπής των επιχειρηματικών δραστηριοτήτων του τρίτου παρόχου υπηρεσιών ΤΠΕ, καθώς και οι διατάξεις που απαιτούν από τον τρίτο πάροχο υπηρεσιών ΤΠΕ να παρέχει συνδρομή σε περίπτωση συμβάντων ΤΠΕ σε σχέση με τις παρεχόμενες υπηρεσίες, χωρίς πρόσθετο κόστος ή με κόστος που καθορίζεται εκ των προτέρων· οι διατάξεις σχετικά με την υποχρέωση του τρίτου παρόχου υπηρεσιών ΤΠΕ να συνεργάζεται πλήρως με τις αρμόδιες αρχές και τις αρχές εξυγίανσης της χρηματοοικονομικής οντότητας· και οι διατάξεις σχετικά με τα δικαιώματα καταγγελίας και συναφείς ελάχιστες περιόδους προειδοποίησης για την καταγγελία των συμβατικών ρυθμίσεων, σύμφωνα με τις προσδοκίες των αρμόδιων αρχών και των αρχών εξυγίανσης.

(72)

Εκτός από τις εν λόγω συμβατικές διατάξεις και προκειμένου να διασφαλιστεί ότι οι χρηματοοικονομικές οντότητες διατηρούν τον πλήρη έλεγχο όλων των εξελίξεων σε επίπεδο τρίτων μερών οι οποίες ενδέχεται να βλάψουν την ασφάλεια των ΤΠΕ τους, οι συμβάσεις για την παροχή υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες θα πρέπει επίσης να προβλέπουν τα ακόλουθα: πλήρεις περιγραφές σε επίπεδο υπηρεσιών, με ακριβείς ποσοτικούς και ποιοτικούς στόχους επιδόσεων, ώστε να καταστεί δυνατή η λήψη κατάλληλων διορθωτικών μέτρων, χωρίς αδικαιολόγητη καθυστέρηση, όταν δεν επιτυγχάνονται τα συμφωνηθέντα επίπεδα υπηρεσιών· τις σχετικές περιόδους προειδοποίησης και υποχρεώσεις αναφοράς για τον τρίτο πάροχο υπηρεσιών ΤΠΕ, σε περίπτωση εξελίξεων με δυνητικές σημαντικές επιπτώσεις στην ικανότητα του τρίτου παρόχου υπηρεσιών ΤΠΕ να παρέχει με αποτελεσματικό τρόπο τις αντίστοιχες υπηρεσίες ΤΠΕ· απαίτηση από τον τρίτο πάροχο υπηρεσιών ΤΠΕ να εφαρμόζει και να δοκιμάζει επιχειρησιακά σχέδια έκτακτης ανάγκης και να διαθέτει μέτρα, εργαλεία και πολιτικές ασφάλειας ΤΠΕ που επιτρέπουν την ασφαλή παροχή υπηρεσιών, καθώς και να συμμετέχει και να συνεργάζεται πλήρως στην TLPT που διενεργεί η χρηματοοικονομική οντότητα.

(73)

Οι συμβάσεις για την παροχή υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες θα πρέπει επίσης να περιέχουν διατάξεις που διευκολύνουν την άσκηση των δικαιωμάτων πρόσβασης, επιθεώρησης και ελέγχου από τη χρηματοοικονομική οντότητα ή διορισμένο τρίτο και του δικαιώματος λήψης αντιγράφων ως μέσων καίριας σημασίας για τη συνεχή παρακολούθηση των επιδόσεων του τρίτου παρόχου υπηρεσιών ΤΠΕ από τις χρηματοοικονομικές οντότητες, σε συνδυασμό με την πλήρη συνεργασία του παρόχου υπηρεσιών κατά τη διάρκεια των επιθεωρήσεων. Ομοίως, η αρμόδια αρχή της χρηματοοικονομικής οντότητας θα πρέπει να έχει τη δυνατότητα να ασκεί, βάσει ειδοποιήσεων, τα δικαιώματα επιθεώρησης και ελέγχου του τρίτου παρόχου υπηρεσιών ΤΠΕ, με την επιφύλαξη της προστασίας εμπιστευτικών πληροφοριών.

(74)

Οι εν λόγω συμβατικές ρυθμίσεις θα πρέπει επίσης να προβλέπουν εξειδικευμένες στρατηγικές εξόδου, ώστε να παρέχεται, ιδίως, η δυνατότητα καθορισμού υποχρεωτικών μεταβατικών περιόδων, κατά τη διάρκεια των οποίων οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ θα πρέπει να εξακολουθούν να παρέχουν τις σχετικές υπηρεσίες με στόχο τη μείωση του κινδύνου διαταραχών στο επίπεδο της χρηματοοικονομικής οντότητας ή την εξασφάλιση της δυνατότητας της χρηματοοικονομικής οντότητας να χρησιμοποιήσει άλλο τρίτο πάροχο υπηρεσιών ΤΠΕ ή να επιλέξει, εναλλακτικά, άλλες λύσεις εντός της επιχείρησης, ανάλογα με την πολυπλοκότητα των παρεχόμενων υπηρεσιών ΤΠΕ. Επιπλέον, οι χρηματοοικονομικές οντότητες που εμπίπτουν στο πεδίο εφαρμογής της οδηγίας 2014/59/ΕΕ θα πρέπει να διασφαλίζουν ότι οι σχετικές συμβάσεις για υπηρεσίες ΤΠΕ είναι άρτιες και πλήρως εκτελεστές σε περίπτωση εξυγίανσης των εν λόγω χρηματοοικονομικών οντοτήτων. Κατά συνέπεια, σύμφωνα με τις προσδοκίες των αρχών εξυγίανσης, οι εν λόγω χρηματοοικονομικές οντότητες θα πρέπει να διασφαλίζουν ότι οι σχετικές συμβάσεις για υπηρεσίες ΤΠΕ είναι ανθεκτικές στην εξυγίανση. Εφόσον εξακολουθούν να εκπληρώνουν τις υποχρεώσεις πληρωμής τους, οι εν λόγω χρηματοοικονομικές οντότητες θα πρέπει να διασφαλίζουν, μεταξύ άλλων απαιτήσεων, ότι οι σχετικές συμβάσεις για υπηρεσίες ΤΠΕ περιέχουν ρήτρες μη καταγγελίας, μη αναστολής και μη τροποποίησης για λόγους αναδιάρθρωσης ή εξυγίανσης.

(75)

Επιπλέον, η προαιρετική χρήση τυποποιημένων συμβατικών ρητρών που έχουν αναπτύξει δημόσιες αρχές ή όργανα της Ένωσης, ιδίως η χρήση συμβατικών ρητρών που έχει αναπτύξει η Επιτροπή για τις υπηρεσίες υπολογιστικού νέφους, θα μπορούσε να εξυπηρετεί ακόμη περισσότερο τις χρηματοοικονομικές οντότητες και τους τρίτους παρόχους υπηρεσιών ΤΠΕ, με την ενίσχυση του επιπέδου ασφάλειας δικαίου όσον αφορά τη χρήση υπηρεσιών υπολογιστικού νέφους στον χρηματοοικονομικό τομέα, σε πλήρη εναρμόνιση με τις απαιτήσεις και τις προσδοκίες που προβλέπονται στη νομοθεσία της Ένωσης για τις χρηματοοικονομικές υπηρεσίες. Η ανάπτυξη τυποποιημένων συμβατικών ρητρών βασίζονται σε μέτρα που προβλέπονται ήδη στο σχέδιο δράσης του 2018 για τη χρηματοοικονομική τεχνολογία, στο πλαίσιο του οποίου ανακοινώθηκε η πρόθεση της Επιτροπής να ενθαρρύνει και να διευκολύνει την ανάπτυξη τυποποιημένων συμβατικών ρητρών για την εξωτερική ανάθεση σε πάροχο υπηρεσιών υπολογιστικού νέφους από τις χρηματοοικονομικές οντότητες, με βάση τις διατομεακές προσπάθειες των συμφεροντούχων στον τομέα του υπολογιστικού νέφους που έχουν ήδη διευκολυνθεί από την Επιτροπή με την εξασφάλιση της συμμετοχής του χρηματοοικονομικού τομέα.

(76)

Με σκοπό την προώθηση της σύγκλισης και της αποτελεσματικότητας σε σχέση με τις εποπτικές προσεγγίσεις κατά την αντιμετώπιση κινδύνων τρίτων παρόχων ΤΠΕ στον χρηματοοικονομικό τομέα, καθώς και την ενίσχυση της ψηφιακής επιχειρησιακής ανθεκτικότητας των χρηματοοικονομικών οντοτήτων που βασίζονται σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ για την παροχή υπηρεσιών ΤΠΕ που υποστηρίζουν την παροχή χρηματοοικονομικών υπηρεσιών και, κατ’ επέκταση, τη συμβολή στη διατήρηση της σταθερότητας του χρηματοοικονομικού συστήματος της Ένωσης και της ακεραιότητας της εσωτερικής αγοράς χρηματοοικονομικών υπηρεσιών, οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ θα πρέπει να υπόκεινται σε ενωσιακό πλαίσιο εποπτείας. Ενώ η θέσπιση του πλαισίου εποπτείας δικαιολογείται από την προστιθέμενη αξία της ανάληψης δράσης σε επίπεδο Ένωσης και λόγω του εγγενούς ρόλου και των ιδιαιτεροτήτων της χρήσης υπηρεσιών ΤΠΕ στην παροχή χρηματοοικονομικών υπηρεσιών, θα πρέπει να υπενθυμιστεί ταυτόχρονα ότι η λύση αυτή φαίνεται κατάλληλη μόνο στο πλαίσιο του παρόντος κανονισμού που αφορά ειδικά την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα. Ωστόσο, το εν λόγω πλαίσιο εποπτείας δεν θα πρέπει να θεωρείται νέο μοντέλο ενωσιακής εποπτείας στους τομείς των χρηματοοικονομικών υπηρεσιών και δραστηριοτήτων.

(77)

Το πλαίσιο εποπτείας θα πρέπει να εφαρμόζεται μόνο σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ. Ως εκ τούτου, θα πρέπει να υπάρχει ένας μηχανισμός ορισμού που θα λαμβάνει υπόψη τη διάσταση και τη φύση της εξάρτησης του χρηματοοικονομικού τομέα από τους εν λόγω τρίτους παρόχους υπηρεσιών ΤΠΕ. Ο εν λόγω μηχανισμός θα πρέπει να περιλαμβάνει ένα σύνολο ποσοτικών και ποιοτικών κριτηρίων για τον καθορισμό των παραμέτρων κρισιμότητας ως βάσης για την ένταξη στο πλαίσιο εποπτείας. Προκειμένου να διασφαλιστεί η ακρίβεια της εν λόγω αξιολόγησης, και ανεξάρτητα από την εταιρική δομή του τρίτου παρόχου υπηρεσιών ΤΠΕ, τα εν λόγω κριτήρια θα πρέπει, στην περίπτωση τρίτου παρόχου υπηρεσιών ΤΠΕ που ανήκει σε ευρύτερο όμιλο, να λαμβάνουν υπόψη ολόκληρη τη δομή του ομίλου του τρίτου παρόχου υπηρεσιών ΤΠΕ. Αφενός, οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ που δεν ορίζονται αυτομάτως δυνάμει της εφαρμογής των εν λόγω κριτηρίων θα πρέπει να έχουν τη δυνατότητα προαιρετικής συμμετοχής στο πλαίσιο εποπτείας· αφετέρου, οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ που υπόκεινται ήδη σε πλαίσια μηχανισμού εποπτείας προς υποστήριξη της εκτέλεσης των καθηκόντων του Ευρωπαϊκού Συστήματος Κεντρικών Τραπεζών με σκοπό την υποστήριξη των καθηκόντων, όπως αναφέρονται στο άρθρο 127 παράγραφος 2 ΣΛΕΕ, θα πρέπει να εξαιρούνται.

(78)

Ομοίως, οι χρηματοοικονομικές οντότητες που παρέχουν υπηρεσίες ΤΠΕ σε άλλες χρηματοοικονομικές οντότητες, μολονότι ανήκουν στην κατηγορία των τρίτων παρόχων υπηρεσιών ΤΠΕ βάσει του παρόντος κανονισμού, θα πρέπει επίσης να εξαιρούνται από το πλαίσιο εποπτείας, δεδομένου ότι υπόκεινται ήδη σε εποπτικούς μηχανισμούς που θεσπίζονται από το σχετικό ενωσιακό δίκαιο για τις χρηματοοικονομικές υπηρεσίες. Κατά περίπτωση, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη, στο πλαίσιο των εποπτικών δραστηριοτήτων τους, τους κινδύνους ΤΠΕ που εγκυμονούν για τις χρηματοοικονομικές οντότητες οι χρηματοοικονομικές οντότητες που παρέχουν υπηρεσίες ΤΠΕ. Ομοίως, λόγω των υφιστάμενων μηχανισμών παρακολούθησης κινδύνων σε επίπεδο ομίλου, θα πρέπει να θεσπιστεί η ίδια εξαίρεση για τους τρίτους παρόχους υπηρεσιών ΤΠΕ που παρέχουν υπηρεσίες κυρίως στις οντότητες του δικού τους ομίλου. Οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ που παρέχουν υπηρεσίες ΤΠΕ αποκλειστικά σε ένα κράτος μέλος σε χρηματοοικονομικές οντότητες οι οποίες δραστηριοποιούνται μόνο στο εν λόγω κράτος μέλος θα πρέπει επίσης να εξαιρούνται από τον μηχανισμό ορισμού, λόγω των περιορισμένων δραστηριοτήτων τους και της έλλειψης διασυνοριακού αντικτύπου.

(79)

Ο ψηφιακός μετασχηματισμός στον τομέα των χρηματοοικονομικών υπηρεσιών έχει οδηγήσει σε πρωτοφανές επίπεδο χρήσης υπηρεσιών ΤΠΕ και εξάρτησης από αυτές. Δεδομένου ότι έχει καταστεί αδιανόητο να παρέχονται χρηματοοικονομικές υπηρεσίες χωρίς τη χρήση υπηρεσιών υπολογιστικού νέφους, λύσεων λογισμικού και υπηρεσιών που σχετίζονται με δεδομένα, το χρηματοοικονομικό οικοσύστημα της Ένωσης εξαρτάται πλέον εγγενώς και από ορισμένες υπηρεσίες ΤΠΕ που παρέχονται από παρόχους υπηρεσιών ΤΠΕ. Ορισμένοι από αυτούς τους προμηθευτές, φορείς καινοτομίας στην ανάπτυξη και εφαρμογή τεχνολογιών που βασίζονται στις ΤΠΕ, διαδραματίζουν σημαντικό ρόλο στην παροχή χρηματοοικονομικών υπηρεσιών ή έχουν ενσωματωθεί στην αλυσίδα αξίας των χρηματοοικονομικών υπηρεσιών. Ως εκ τούτου, έχουν καταστεί ζωτικής σημασίας για τη σταθερότητα και την ακεραιότητα του χρηματοοικονομικού συστήματος της Ένωσης. Αυτή η ευρεία εξάρτηση από υπηρεσίες που παρέχονται από κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, σε συνδυασμό με την αλληλεξάρτηση των συστημάτων πληροφοριών διαφόρων φορέων της αγοράς, δημιουργεί άμεσο και δυνητικά σοβαρό κίνδυνο για το σύστημα χρηματοοικονομικών υπηρεσιών της Ένωσης και για τη συνέχεια της παροχής χρηματοοικονομικών υπηρεσιών σε περίπτωση που κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ επηρεαστούν από λειτουργικές διαταραχές ή μείζονα κυβερνοπεριστατικά. Τα κυβερνοπεριστατικά έχουν ιδιαίτερη ικανότητα να πολλαπλασιάζονται και να διαδίδονται σε ολόκληρο το χρηματοοικονομικό σύστημα με σημαντικά ταχύτερο ρυθμό από ό,τι άλλα είδη κινδύνου που παρακολουθούνται στον χρηματοοικονομικό τομέα και μπορούν να επεκταθούν σε διάφορους τομείς και πέραν των γεωγραφικών συνόρων. Έχουν τη δυνατότητα να εξελιχθούν σε συστημική κρίση, όπου η εμπιστοσύνη στο χρηματοοικονομικό σύστημα έχει διαβρωθεί λόγω της διαταραχής των λειτουργιών που στηρίζουν την πραγματική οικονομία, ή λόγω σημαντικών οικονομικών ζημιών, που φθάνουν σε επίπεδο κατά το οποίο το χρηματοοικονομικό σύστημα δεν είναι σε θέση να αντεπεξέλθει ή που απαιτεί την υλοποίηση αυστηρών μέτρων απορρόφησης των κραδασμών. Για να αποτραπεί η υλοποίηση αυτών των σεναρίων, πράγμα το οποίο θα έθετε σε κίνδυνο τη χρηματοοικονομική σταθερότητα και την ακεραιότητα της Ένωσης, είναι σημαντικό να εξασφαλιστεί η σύγκλιση των εποπτικών πρακτικών σχετικά με τους κινδύνους τρίτων μερών ΤΠΕ στον χρηματοοικονομικό τομέα, ιδίως μέσω νέων κανόνων που θα επιτρέπουν την ενωσιακή εποπτεία κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ.

(80)

Το πλαίσιο εποπτείας εξαρτάται σε μεγάλο βαθμό από τον βαθμό συνεργασίας μεταξύ του κύριου εποπτικού φορέα και του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ που παρέχει σε χρηματοοικονομικές οντότητες υπηρεσίες που επηρεάζουν την παροχή χρηματοοικονομικών υπηρεσιών. Η επιτυχής εποπτεία βασίζεται, μεταξύ άλλων, στην ικανότητα του κύριου εποπτικού φορέα να διενεργεί αποτελεσματικά αποστολές παρακολούθησης και επιθεωρήσεις για την αξιολόγηση των κανόνων, των δικλείδων ασφάλειας και των διαδικασιών που χρησιμοποιούνται από τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, καθώς και για την αξιολόγηση του δυνητικού σωρευτικού αντικτύπου των δραστηριοτήτων τους στη χρηματοοικονομική σταθερότητα και την ακεραιότητα του χρηματοοικονομικού συστήματος. Ταυτόχρονα, είναι ζωτικής σημασίας οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ να ακολουθούν τις συστάσεις του κύριου εποπτικού φορέα και να αντιμετωπίζουν τους προβληματισμούς του. Δεδομένου ότι η έλλειψη συνεργασίας από κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ που παρέχει υπηρεσίες οι οποίες επηρεάζουν την παροχή χρηματοοικονομικών υπηρεσιών, όπως η άρνηση χορήγησης πρόσβασης στις εγκαταστάσεις του ή υποβολής πληροφοριών, θα στερούσε τελικά τον κύριο εποπτικό φορέα από τα βασικά εργαλεία του για την αξιολόγηση κινδύνου ΤΠΕ τρίτων και θα μπορούσε να επηρεάσει αρνητικά τη χρηματοοικονομική σταθερότητα και την ακεραιότητα του χρηματοοικονομικού συστήματος, είναι επίσης αναγκαίο να προβλεφθεί ανάλογο καθεστώς κυρώσεων.

(81)

Στο πλαίσιο αυτό, η ανάγκη του κύριου εποπτικού φορέα να επιβάλει χρηματικές ποινές για να υποχρεώσει τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ να συμμορφώνονται με τις υποχρεώσεις διαφάνειας και πρόσβασης που ορίζονται στον παρόντα κανονισμό δεν θα πρέπει να υπονομεύεται από τις δυσκολίες οι οποίες ανακύπτουν από την επιβολή των εν λόγω χρηματικών ποινών σε σχέση με κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ που είναι εγκατεστημένοι σε τρίτες χώρες. Προκειμένου να διασφαλιστεί η εκτελεστότητα των εν λόγω ποινών και να καταστεί δυνατή η ταχεία εφαρμογή των διαδικασιών που διαφυλάσσουν τα κρίσιμα δικαιώματα υπεράσπισης των τρίτων παρόχων υπηρεσιών ΤΠΕ στο πλαίσιο του μηχανισμού ορισμού και της έκδοσης συστάσεων, θα πρέπει να απαιτείται από τους εν λόγω κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, οι οποίοι παρέχουν υπηρεσίες σε χρηματοοικονομικές οντότητες υπηρεσίες που επηρεάζουν την παροχή χρηματοοικονομικών υπηρεσιών, να διατηρούν επαρκή επιχειρηματική παρουσία στην Ένωση. Λόγω της φύσης της εποπτείας και της απουσίας συγκρίσιμων ρυθμίσεων σε άλλες δικαιοδοσίες, δεν υπάρχουν κατάλληλοι εναλλακτικοί μηχανισμοί που να διασφαλίζουν αυτόν τον στόχο μέσω της αποτελεσματικής συνεργασίας με τις αρχές χρηματοοικονομικής εποπτείας σε τρίτες χώρες σε σχέση με την παρακολούθηση του αντικτύπου των ψηφιακών λειτουργικών κινδύνων που εγκυμονούν οι συστημικοί τρίτοι πάροχοι υπηρεσιών ΤΠΕ, οι οποίοι χαρακτηρίζονται κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ που είναι εγκατεστημένοι σε τρίτες χώρες. Ως εκ τούτου, προκειμένου να συνεχίσει την παροχή υπηρεσιών ΤΠΕ σε χρηματοοικονομικές οντότητες στην Ένωση, τρίτος πάροχος υπηρεσιών ΤΠΕ που είναι εγκατεστημένος σε τρίτη χώρα και έχει οριστεί ως κρίσιμος σύμφωνα με τον παρόντα κανονισμό θα πρέπει να προβεί, εντός 12 μηνών από τον εν λόγω ορισμό, σε όλες τις αναγκαίες ρυθμίσεις για να διασφαλίσει την ενσωμάτωσή του στην Ένωση, μέσω της σύστασης θυγατρικής, όπως ορίζεται σε ολόκληρο το κεκτημένο της Ένωσης, και συγκεκριμένα στην οδηγία 2013/34/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (21).

(82)

Η απαίτηση σύστασης θυγατρικής στην Ένωση δεν θα πρέπει να εμποδίζει τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ να παρέχει υπηρεσίες ΤΠΕ και σχετική τεχνική υποστήριξη από εγκαταστάσεις και υποδομές που βρίσκονται εκτός της Ένωσης. Ο παρών κανονισμός δεν επιβάλλει υποχρέωση γεωγραφικού περιορισμού δεδομένων, καθώς δεν απαιτεί αποθήκευση ή επεξεργασία δεδομένων στην Ένωση.

(83)

Οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ θα πρέπει να είναι σε θέση να παρέχουν υπηρεσίες ΤΠΕ από οπουδήποτε στον κόσμο και όχι απαραίτητα ή όχι μόνο από εγκαταστάσεις που βρίσκονται στην Ένωση. Οι δραστηριότητες εποπτείας θα πρέπει πρώτα να διεξάγονται σε εγκαταστάσεις που βρίσκονται στην Ένωση και να αλληλεπιδρούν με οντότητες που βρίσκονται στην Ένωση, συμπεριλαμβανομένων των θυγατρικών που έχουν συσταθεί από κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ σύμφωνα με τον παρόντα κανονισμό. Ωστόσο, οι εν λόγω δράσεις εντός της Ένωσης ενδέχεται να μην επαρκούν για να επιτρέψουν στον κύριο εποπτικό φορέα να εκτελέσει πλήρως και αποτελεσματικά τα καθήκοντά του δυνάμει του παρόντος κανονισμού. Ως εκ τούτου, ο κύριος εποπτικός φορέας θα πρέπει επίσης να είναι σε θέση να ασκεί τις σχετικές εποπτικές εξουσίες του σε τρίτες χώρες. Η άσκηση των εν λόγω εξουσιών σε τρίτες χώρες θα πρέπει να επιτρέπει στον κύριο εποπτικό φορέα να εξετάζει τις εγκαταστάσεις από τις οποίες όντως παρέχονται ή αποτελούν αντικείμενο διαχείρισης οι υπηρεσίες ΤΠΕ ή οι υπηρεσίες τεχνικής υποστήριξης από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και θα πρέπει να επιτρέπει στον κύριο εποπτικό φορέα ολοκληρωμένη και επιχειρησιακή κατανόηση της διαχείρισης κινδύνων ΤΠΕ του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ. Η δυνατότητα του κύριου εποπτικού φορέα, ως οργανισμού της Ένωσης, να ασκεί εξουσίες εκτός της επικράτειας της Ένωσης θα πρέπει να πλαισιώνεται δεόντως από σχετικούς όρους, ιδίως από τη συγκατάθεση του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ. Ομοίως, οι αρμόδιες αρχές της τρίτης χώρας θα πρέπει να ενημερώνονται για την άσκηση των δραστηριοτήτων του κύριου εποπτικού φορέα στο έδαφός τους και να μην έχουν προβάλει σχετική αντίρρηση. Ωστόσο, προκειμένου να διασφαλιστεί η αποτελεσματική εφαρμογή, και με την επιφύλαξη των αντίστοιχων αρμοδιοτήτων των θεσμικών οργάνων και των κρατών μελών της Ένωσης, οι εξουσίες αυτές είναι ανάγκη επίσης να βασίζονται πλήρως στη σύναψη ρυθμίσεων διοικητικής συνεργασίας με τις σχετικές αρχές της οικείας τρίτης χώρας. Ως εκ τούτου, ο παρών κανονισμός θα πρέπει να επιτρέπει στις ΕΕΑ να συνάπτουν ρυθμίσεις διοικητικής συνεργασίας με τις αρμόδιες αρχές τρίτων χωρών, οι οποίες δεν θα πρέπει διαφορετικά να δημιουργούν νομικές υποχρεώσεις έναντι της Ένωσης και των κρατών μελών της.

(84)

Για τη διευκόλυνση της επικοινωνίας με τον κύριο εποπτικό φορέα και για τη διασφάλιση επαρκούς εκπροσώπησης, οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ που αποτελούν μέρος ομίλου θα πρέπει να ορίζουν ένα νομικό πρόσωπο ως σημείο συντονισμού τους.

(85)

Το πλαίσιο εποπτείας δεν θα πρέπει να θίγει την αρμοδιότητα των κρατών μελών να πραγματοποιούν δικές τους αποστολές εποπτείας ή παρακολούθησης όσον αφορά τρίτους παρόχους υπηρεσιών ΤΠΕ οι οποίοι δεν έχουν οριστεί ως κρίσιμοι βάσει του παρόντος κανονισμού αλλά θα μπορούσαν να θεωρηθούν σημαντικοί σε εθνικό επίπεδο.

(86)

Για την αξιοποίηση της πολυεπίπεδης θεσμικής αρχιτεκτονικής στον τομέα των χρηματοοικονομικών υπηρεσιών, η μεικτή επιτροπή των ΕΕΑ θα πρέπει να συνεχίσει να διασφαλίζει τον συνολικό διατομεακό συντονισμό σε σχέση με όλα τα θέματα που αφορούν τους κινδύνους ΤΠΕ, σύμφωνα με τα καθήκοντά της για την κυβερνοασφάλεια. Θα πρέπει να υποστηρίζεται από νέα υποεπιτροπή («φόρουμ εποπτείας») που εκτελεί τις προπαρασκευαστικές εργασίες τόσο για τις μεμονωμένες αποφάσεις που απευθύνονται σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, όσο και για την έκδοση συλλογικών συστάσεων, ιδίως σχετικά με τη συγκριτική αξιολόγηση των προγραμμάτων εποπτείας κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ και τον προσδιορισμό βέλτιστων πρακτικών για την αντιμετώπιση ζητημάτων κινδύνου συγκέντρωσης ΤΠΕ.

(87)

Προκειμένου να διασφαλιστεί η κατάλληλη και αποτελεσματική εποπτεία των κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ σε ενωσιακό επίπεδο, ο παρών κανονισμός προβλέπει ότι οποιαδήποτε από τις τρεις ΕΕΑ θα μπορούσε να οριστεί ως κύριος εποπτικός φορέας. Η ατομική ανάθεση ενός κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ σε μία από τις τρεις ΕΕΑ θα πρέπει να προκύπτει από αξιολόγηση της κυριαρχίας των χρηματοοικονομικών οντοτήτων που δραστηριοποιούνται στους χρηματοοικονομικούς τομείς για τους οποίους η ΕΕΑ έχει αρμοδιότητες. Η προσέγγιση αυτή θα πρέπει να οδηγήσει σε ισόρροπη κατανομή καθηκόντων και αρμοδιοτήτων μεταξύ των τριών ΕΕΑ, στο πλαίσιο της άσκησης των λειτουργιών εποπτείας, και θα πρέπει να αξιοποιεί με τον καλύτερο δυνατό τρόπο τους ανθρώπινους πόρους και την τεχνική εμπειρογνωσία που διαθέτει καθεμία από τις τρεις ΕΕΑ.

(88)

Θα πρέπει να χορηγηθούν στους κύριους εποπτικούς φορείς οι απαραίτητες εξουσίες για τη διεξαγωγή ερευνών, τη διενέργεια επιτόπιων και εξ αποστάσεως επιθεωρήσεων στις εγκαταστάσεις και τοποθεσίες κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ και την απόκτηση πλήρων και επικαιροποιημένων πληροφοριών. Οι εν λόγω εξουσίες θα πρέπει να επιτρέπουν στον κύριο εποπτικό φορέα να αποκτήσει πραγματική εικόνα ως προς το είδος, τη διάσταση και τον αντίκτυπο των κινδύνων τρίτων παρόχων ΤΠΕ για τις χρηματοοικονομικές οντότητες και, εντέλει, για το χρηματοοικονομικό σύστημα της Ένωσης. Η ανάθεση στις ΕΕΑ του κύριου εποπτικού ρόλου συνιστά προϋπόθεση για την κατανόηση και την αντιμετώπιση της συστημικής διάστασης των κινδύνων ΤΠΕ στον χρηματοοικονομικό τομέα. Ο αντίκτυπος των κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ στον χρηματοοικονομικό τομέα της Ένωσης και τα πιθανά ζητήματα που προκαλούνται από τον συνεπαγόμενο κίνδυνο συγκέντρωσης ΤΠΕ απαιτούν την υιοθέτηση συλλογικής προσέγγισης σε επίπεδο Ένωσης. Η ταυτόχρονη άσκηση πολλαπλών δικαιωμάτων ελέγχων και πρόσβασης, χωριστά από πολλές αρμόδιες αρχές, με ελάχιστο ή μηδενικό συντονισμό μεταξύ τους, θα εμπόδιζε τις χρηματοοικονομικές εποπτικές αρχές να αποκτήσουν πλήρη και ολοκληρωμένη επισκόπηση των κινδύνων τρίτων μερών ΤΠΕ στην Ένωση, ενώ παράλληλα θα δημιουργούσε πλεονασμό, επιβάρυνση και πολυπλοκότητα για τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, εάν υπόκειντο σε πολυάριθμα αιτήματα παρακολούθησης και επιθεώρησης.

(89)

Λόγω του σημαντικού αντικτύπου του ορισμού τους ως κρίσιμων, ο παρών κανονισμός θα πρέπει να διασφαλίζει ότι τα δικαιώματα των κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ τηρούνται καθ’ όλη τη διάρκεια εφαρμογής του πλαισίου εποπτείας. Πριν από τον ορισμό τους ως κρίσιμων, οι εν λόγω πάροχοι θα πρέπει, για παράδειγμα, να έχουν το δικαίωμα να υποβάλλουν στον κύριο εποπτικό φορέα αιτιολογημένη δήλωση που περιέχει κάθε σχετική πληροφορία για τους σκοπούς της αξιολόγησης που σχετίζεται με τον χαρακτηρισμό τους. Δεδομένου ότι ο κύριος εποπτικός φορέας θα πρέπει να εξουσιοδοτηθεί να υποβάλλει συστάσεις σχετικά με θέματα κινδύνων ΤΠΕ και κατάλληλα σχετικά διορθωτικά μέτρα, τα οποία περιλαμβάνουν την εξουσία εναντίωσης σε ορισμένες συμβατικές ρυθμίσεις που έχουν εντέλει αντίκτυπο στη σταθερότητα της χρηματοοικονομικής οντότητας ή του χρηματοοικονομικού συστήματος, οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ θα πρέπει επίσης να έχουν τη δυνατότητα να παρέχουν, πριν από την οριστικοποίηση των εν λόγω συστάσεων, εξηγήσεις σχετικά με τον αναμενόμενο αντίκτυπο των λύσεων που προβλέπονται στις συστάσεις σε πελάτες που είναι οντότητες οι οποίες δεν εμπίπτουν στο πεδίο εφαρμογής του παρόντος κανονισμού, καθώς και να διατυπώνουν λύσεις για τον μετριασμό των κινδύνων. Οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ που διαφωνούν με τις συστάσεις θα πρέπει να υποβάλουν αιτιολογημένη εξήγηση της πρόθεσής τους να μην εγκρίνουν τη σύσταση. Όταν η εν λόγω αιτιολογημένη εξήγηση δεν υποβάλλεται ή όταν κρίνεται ανεπαρκής, ο κύριος εποπτικός φορέας θα πρέπει να εκδίδει δημόσια ανακοίνωση στην οποία θα περιγράφεται συνοπτικά το ζήτημα της μη συμμόρφωσης.

(90)

Οι αρμόδιες αρχές θα πρέπει να συμπεριλάβουν δεόντως το καθήκον της επαλήθευσης της ουσιαστικής συμμόρφωσης με τις συστάσεις που εκδίδει ο κύριος εποπτικός φορέας στα καθήκοντά τους όσον αφορά την προληπτική εποπτεία των χρηματοοικονομικών οντοτήτων. Οι αρμόδιες αρχές θα πρέπει να είναι σε θέση να απαιτούν από τις χρηματοοικονομικές οντότητες να λαμβάνουν πρόσθετα μέτρα για την αντιμετώπιση των κινδύνων που προσδιορίζονται στις συστάσεις του κύριου εποπτικού φορέα και θα πρέπει, σε εύθετο χρόνο, να εκδίδουν σχετικές κοινοποιήσεις. Όταν ο κύριος εποπτικός φορέας απευθύνει συστάσεις σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ που εποπτεύονται βάσει της οδηγίας (ΕΕ) 2022/2555 οι αρμόδιες αρχές θα πρέπει να μπορούν, σε προαιρετική βάση, και πριν από τη θέσπιση πρόσθετων μέτρων, να διαβουλεύονται με τις αρμόδιες αρχές βάσει της εν λόγω οδηγίας για την προώθηση συντονισμένης προσέγγισης όσον αφορά τους εν λόγω κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ.

(91)

Η άσκηση της εποπτείας θα πρέπει να καθοδηγείται από τρεις επιχειρησιακές αρχές που αποσκοπούν στη διασφάλιση: α) στενής συνεργασίας μεταξύ των ΕΕΑ όσον αφορά τους κύριους εποπτικούς ρόλους τους, μέσω κοινού δικτύου εποπτείας (ΔΚΕ), β) συνέπειας με το πλαίσιο που θεσπίστηκε με την οδηγία (ΕΕ) 2022/2555 (μέσω προαιρετικής διαβούλευσης με οργανισμούς βάσει της εν λόγω οδηγίας για την αποφυγή επικάλυψης μέτρων τα οποία απευθύνονται σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ) και γ) επίδειξης επιμέλειας για την ελαχιστοποίηση του δυνητικού κινδύνου διαταραχής των υπηρεσιών οι οποίες παρέχονται από κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ σε πελάτες που είναι οντότητες μη εμπίπτουσες στο πεδίο εφαρμογής του παρόντος κανονισμού.

(92)

Το πλαίσιο εποπτείας δεν θα πρέπει να αντικαθιστά ούτε να υποκαθιστά καθ’ οιονδήποτε τρόπο και για κανένα μέρος την απαίτηση της διαχείρισης, από τις χρηματοοικονομικές οντότητες, των κινδύνων που συνεπάγεται η χρήση τρίτων παρόχων υπηρεσιών ΤΠΕ, συμπεριλαμβανομένης της υποχρέωσής τους να διατηρούν συνεχή παρακολούθηση συμβατικών ρυθμίσεων που συνάπτονται με κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ. Ομοίως, το πλαίσιο εποπτείας δεν θα πρέπει να επηρεάζει την πλήρη ευθύνη των χρηματοοικονομικών οντοτήτων όσον αφορά τη συμμόρφωσή τους με όλες τις νομικές υποχρεώσεις που περιλαμβάνονται στον παρόντα κανονισμό και στο σχετικό δίκαιο για τις χρηματοοικονομικές υπηρεσίες, καθώς και την εκπλήρωση αυτών.

(93)

Για την αποφυγή επαναλήψεων και αλληλεπικαλύψεων, οι αρμόδιες αρχές θα πρέπει να αποφεύγουν τη λήψη μεμονωμένων μέτρων που αποσκοπούν στην παρακολούθηση των κινδύνων κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ και θα πρέπει, εν προκειμένω, να βασίζονται στη σχετική αξιολόγηση του κύριου εποπτικού φορέα. Όλα τα μέτρα θα πρέπει σε κάθε περίπτωση να συντονίζονται και να συμφωνούνται εκ των προτέρων με τον κύριο εποπτικό φορέα στο πλαίσιο της άσκησης των καθηκόντων του πλαισίου εποπτείας.

(94)

Για την προώθηση της σύγκλισης σε διεθνές επίπεδο όσον αφορά τη χρήση βέλτιστων πρακτικών κατά την επανεξέταση και την παρακολούθηση της διαχείρισης ψηφιακών κινδύνων από τρίτους παρόχους υπηρεσιών ΤΠΕ, οι ΕΕΑ θα πρέπει να ενθαρρύνονται να συνάπτουν ρυθμίσεις συνεργασίας με τις αρμόδιες εποπτικές και ρυθμιστικές αρχές τρίτων χωρών.

(95)

Για την αξιοποίηση των συγκεκριμένων αρμοδιοτήτων, των τεχνικών δεξιοτήτων και της εμπειρογνωσίας του προσωπικού που ειδικεύεται στους επιχειρησιακούς κινδύνους και κινδύνους ΤΠΕ στους κόλπους των αρμόδιων αρχών, των τριών ΕΑΑ και, σε προαιρετική βάση, των αρμόδιων αρχών δυνάμει της οδηγίας (ΕΕ) 2022/2555 ο κύριος εποπτικός φορέας θα πρέπει να αξιοποιεί τις εθνικές εποπτικές ικανότητες και γνώσεις και να συγκροτεί ειδικές εξεταστικές ομάδες για κάθε κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ, συγκεντρώνοντας διεπιστημονικές ομάδες για την υποστήριξη της προετοιμασίας και της εκτέλεσης των δραστηριοτήτων εποπτείας, συμπεριλαμβανομένων των γενικών ερευνών και επιθεωρήσεων κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ, καθώς και για οποιαδήποτε αναγκαία παρακολούθησή τους.

(96)

Ενώ οι δαπάνες που προκύπτουν από τα καθήκοντα εποπτείας θα χρηματοδοτούνται πλήρως από τέλη που επιβάλλονται σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, οι ΕΕΑ είναι, ωστόσο, πιθανό να επιβαρυνθούν, πριν από την έναρξη του πλαισίου εποπτείας, με δαπάνες για την εφαρμογή ειδικών συστημάτων ΤΠΕ που υποστηρίζουν την επικείμενη εποπτεία, δεδομένου ότι θα πρέπει να αναπτυχθούν και να εφαρμοστούν εκ των προτέρων ειδικά συστήματα ΤΠΕ. Ως εκ τούτου, ο παρών κανονισμός προβλέπει ένα μοντέλο υβριδικής χρηματοδότησης, βάσει του οποίου το πλαίσιο εποπτείας θα χρηματοδοτείται πλήρως από τέλη, ενώ η ανάπτυξη των συστημάτων ΤΠΕ των ΕΕΑ θα χρηματοδοτείται από συνεισφορές της Ένωσης και των εθνικών αρμόδιων αρχών.

(97)

Οι αρμόδιες αρχές θα πρέπει να διαθέτουν όλες τις απαιτούμενες εξουσίες εποπτείας, έρευνας και επιβολής κυρώσεων που είναι απαραίτητες για τη διασφάλιση της ορθής άσκησης των καθηκόντων τους δυνάμει του παρόντος κανονισμού. Θα πρέπει, καταρχήν, να δημοσιεύουν ανακοινώσεις σχετικά με τις διοικητικές κυρώσεις που επιβάλλουν. Δεδομένου ότι οι χρηματοοικονομικές οντότητες και οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ μπορούν να είναι εγκατεστημένοι σε διαφορετικά κράτη μέλη και να τελούν υπό την εποπτεία διαφορετικών αρμόδιων αρχών, η εφαρμογή του παρόντος κανονισμού θα πρέπει να διευκολύνεται, αφενός, από τη στενή συνεργασία μεταξύ των σχετικών αρμόδιων αρχών, συμπεριλαμβανομένης της ΕΚΤ όσον αφορά συγκεκριμένα καθήκοντα που της ανατίθενται βάσει του κανονισμού (ΕΕ) αριθ. 1024/2013 του Συμβουλίου, και, αφετέρου, από τη διαβούλευση με τις ΕΕΑ μέσω της αμοιβαίας ανταλλαγής πληροφοριών και της παροχής συνδρομής στο πλαίσιο των σχετικών εποπτικών δραστηριοτήτων.

(98)

Για τον περαιτέρω ποσοτικό και ποιοτικό προσδιορισμό των κριτηρίων για τον ορισμό τρίτων παρόχων υπηρεσιών ΤΠΕ ως κρίσιμων και για την εναρμόνιση των τελών εποπτείας, θα πρέπει να ανατεθεί στην Επιτροπή η εξουσία να εκδίδει πράξεις, σύμφωνα με το άρθρο 290 ΣΛΕΕ για τη συμπλήρωση του παρόντος κανονισμού, προσδιορίζοντας περαιτέρω τις συστημικές επιπτώσεις που θα μπορούσε να έχει η αθέτηση υποχρεώσεων ή η διακοπή λειτουργίας τρίτου παρόχου υπηρεσιών ΤΠΕ στις χρηματοοικονομικές οντότητες στις οποίες παρέχει υπηρεσίες ΤΠΕ, τον αριθμό των παγκόσμιων συστημικώς σημαντικών ιδρυμάτων (G-SII) ή άλλων συστημικώς σημαντικών ιδρυμάτων (O-SII) που βασίζονται στον αντίστοιχο τρίτο πάροχο υπηρεσιών ΤΠΕ, τον αριθμό των τρίτων παρόχων υπηρεσιών ΤΠΕ που δραστηριοποιούνται σε συγκεκριμένη αγορά, το κόστος μετάβασης δεδομένων και φόρτου εργασίας ΤΠΕ σε άλλον τρίτο πάροχο υπηρεσιών ΤΠΕ, καθώς και το ύψος των τελών εποπτείας και τον τρόπο με τον οποίο πρέπει να καταβάλλονται. Είναι ιδιαίτερα σημαντικό η Επιτροπή να διεξάγει, κατά τις προπαρασκευαστικές της εργασίες, τις κατάλληλες διαβουλεύσεις, μεταξύ άλλων σε επίπεδο εμπειρογνωμόνων, οι οποίες να πραγματοποιούνται σύμφωνα με τις αρχές που ορίζονται στη διοργανική συμφωνία της 13ης Απριλίου 2016 για τη βελτίωση του νομοθετικού έργου (22). Πιο συγκεκριμένα, προκειμένου να διασφαλιστεί η ίση συμμετοχή στην προετοιμασία των κατ’ εξουσιοδότηση πράξεων, το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο θα πρέπει να λαμβάνουν όλα τα έγγραφα κατά τον ίδιο χρόνο με τους εμπειρογνώμονες των κρατών μελών, και οι εμπειρογνώμονές τους θα πρέπει να έχουν συστηματικά πρόσβαση στις συνεδριάσεις των ομάδων εμπειρογνωμόνων της Επιτροπής που ασχολούνται με την προετοιμασία κατ’ εξουσιοδότηση πράξεων.

(99)

Η συνεκτική εναρμόνιση των απαιτήσεων που καθορίζονται στον παρόντα κανονισμό θα πρέπει να διασφαλίζεται με ρυθμιστικά τεχνικά πρότυπα. Σύμφωνα με τους ρόλους τους ως φορείς που διαθέτουν υψηλό επίπεδο εμπειρογνωσίας, οι ΕΑΑ θα πρέπει να αναπτύσσουν ρυθμιστικά τεχνικά πρότυπα που δεν συνεπάγονται επιλογές πολιτικής και τα οποία πρέπει να υποβάλλονται στην Επιτροπή. Θα πρέπει να αναπτυχθούν ρυθμιστικά τεχνικά πρότυπα στους τομείς της διαχείρισης κινδύνων ΤΠΕ, της αναφοράς μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ, των δοκιμών, καθώς και σε σχέση με βασικές απαιτήσεις για την ορθή παρακολούθηση των κινδύνων τρίτων παρόχων ΤΠΕ. Η Επιτροπή και οι ΕΕΑ θα πρέπει να διασφαλίζουν ότι τα εν λόγω πρότυπα και απαιτήσεις μπορούν να εφαρμόζονται από όλες τις χρηματοοικονομικές οντότητες κατά τρόπο ανάλογο προς το μέγεθος και το συνολικό προφίλ κινδύνου τους και τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών, των δραστηριοτήτων και των λειτουργιών τους. Θα πρέπει επίσης να ανατεθεί στην Επιτροπή η εξουσία να εγκρίνει τα εν λόγω ρυθμιστικά τεχνικά πρότυπα μέσω κατ’ εξουσιοδότηση πράξεων δυνάμει του άρθρου 290 ΣΛΕΕ και σύμφωνα με τα άρθρα 10 έως 14 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010.

(100)

Προκειμένου να διευκολυνθεί η συγκρισιμότητα των αναφορών μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ και μειζόνων λειτουργικών συμβάντων ή συμβάντων ασφάλειας που σχετίζονται με πληρωμές, καθώς και να διασφαλιστεί η διαφάνεια όσον αφορά τις συμβατικές ρυθμίσεις για τη χρήση των υπηρεσιών ΤΠΕ που παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ, οι ΕΕΑ θα πρέπει να αναπτύσσουν σχέδια εκτελεστικών τεχνικών προτύπων για την κατάρτιση τυποποιημένων υποδειγμάτων, εντύπων και διαδικασιών, ώστε οι χρηματοοικονομικές οντότητες να είναι σε θέση να αναφέρουν μείζον συμβάν που σχετίζεται με τις ΤΠΕ και μείζον λειτουργικό συμβάν ή συμβάν ασφάλειας που σχετίζεται με πληρωμές, καθώς και τυποποιημένων υποδειγμάτων για το μητρώο πληροφοριών. Κατά την ανάπτυξη των εν λόγω προτύπων, οι ΕΕΑ θα πρέπει να λαμβάνουν υπόψη το μέγεθος και το συνολικό προφίλ κινδύνου της χρηματοοικονομικής οντότητας και τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών, των δραστηριοτήτων και των λειτουργιών της. Θα πρέπει επίσης να ανατεθεί στην Επιτροπή η εξουσία να εγκρίνει τα εν λόγω εκτελεστικά τεχνικά πρότυπα μέσω εκτελεστικών πράξεων δυνάμει του άρθρου 291 ΣΛΕΕ και του άρθρου 15 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010.

(101)

Δεδομένου ότι έχουν ήδη καθοριστεί περαιτέρω απαιτήσεις μέσω κατ’ εξουσιοδότηση και εκτελεστικών πράξεων βάσει ρυθμιστικών και εκτελεστικών τεχνικών προτύπων που περιλαμβάνονται στους κανονισμούς (ΕΚ) αριθ. 1060/2009 (23), (ΕΕ) αριθ. 648/2012 (24), (ΕΕ) αριθ. 600/2014 (25) και (ΕΕ) αριθ. 909/2014 (26) του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, είναι σκόπιμο να ανατεθεί στις ΕΕΑ η εντολή, είτε μεμονωμένα είτε από κοινού μέσω της μεικτής επιτροπής, να υποβάλλουν ρυθμιστικά και εκτελεστικά τεχνικά πρότυπα στην Επιτροπή για την έκδοση κατ’ εξουσιοδότηση και εκτελεστικών πράξεων με τις οποίες θα μεταφέρονται και θα επικαιροποιούνται οι υφιστάμενοι κανόνες διαχείρισης κινδύνων ΤΠΕ.

(102)

Δεδομένου ότι ο παρών κανονισμός, σε συνδυασμό με την οδηγία (ΕΕ) 2022/2556 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (27), συνεπάγεται την ενοποίηση των διατάξεων διαχείρισης κινδύνων ΤΠΕ που περιλαμβάνονται σε μεγάλο αριθμό κανονισμών και οδηγιών του κεκτημένου της Ένωσης στον τομέα των χρηματοοικονομικών υπηρεσιών, συμπεριλαμβανομένων των κανονισμών (ΕΚ) αριθ. 1060/2009, (ΕΕ) αριθ. 648/2012, (ΕΕ) αριθ. 600/2014 και (ΕΕ) αριθ. 909/2014 και του κανονισμού (ΕΕ) 2016/1011 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (28), και για τους σκοπούς της διασφάλισης πλήρους διαφάνειας, οι εν λόγω κανονισμοί θα πρέπει να τροποποιηθούν ώστε να αποσαφηνιστεί ότι οι εφαρμοστέες διατάξεις που σχετίζονται με τους κινδύνους ΤΠΕ καθορίζονται στον παρόντα κανονισμό.

(103)

Κατά συνέπεια, το πεδίο εφαρμογής των σχετικών άρθρων που αφορούν τον λειτουργικό κίνδυνο, βάσει των οποίων ασκήθηκαν οι εξουσιοδοτήσεις που προβλέπονται στους κανονισμούς (ΕΚ) αριθ. 1060/2009, (ΕΕ) αριθ. 648/2012, (ΕΕ) αριθ. 600/2014, (ΕΕ) αριθ. 909/2014 και (ΕΕ) 2016/1011 για την ανάθεση της εντολής έκδοσης κατ’ εξουσιοδότηση και εκτελεστικών πράξεων, θα πρέπει να περιοριστεί ενόψει της μεταφοράς στον παρόντα κανονισμό όλων των διατάξεων που καλύπτουν τις πτυχές της ψηφιακής επιχειρησιακής ανθεκτικότητας και αποτελούν σήμερα μέρος των εν λόγω κανονισμών.

(104)

Ο δυνητικός συστημικός κίνδυνος στον κυβερνοχώρο που συνδέεται με τη χρήση υποδομών ΤΠΕ οι οποίες καθιστούν δυνατή τη λειτουργία των συστημάτων πληρωμών και την παροχή δραστηριοτήτων επεξεργασίας πληρωμών θα πρέπει να αντιμετωπιστεί δεόντως σε επίπεδο Ένωσης μέσω εναρμονισμένων κανόνων ψηφιακής ανθεκτικότητας. Για τον σκοπό αυτό, η Επιτροπή θα πρέπει να αξιολογήσει ταχέως την ανάγκη επανεξέτασης του πεδίου εφαρμογής του παρόντος κανονισμού, ευθυγραμμίζοντας παράλληλα την εν λόγω επανεξέταση με το αποτέλεσμα της συνολικής επανεξέτασης που προβλέπεται στην οδηγία (ΕΕ) 2015/2366. Πολυάριθμες επιθέσεις μεγάλης κλίμακας κατά την τελευταία δεκαετία καταδεικνύουν τον τρόπο με τον οποίο τα συστήματα πληρωμών έχουν εκτεθεί σε κυβερνοαπειλές. Τα συστήματα πληρωμών και οι δραστηριότητες επεξεργασίας πληρωμών, που βρίσκονται στο επίκεντρο της αλυσίδας υπηρεσιών πληρωμών και παρουσιάζουν ισχυρές διασυνδέσεις με το συνολικό χρηματοοικονομικό σύστημα, απέκτησαν κρίσιμη σημασία για τη λειτουργία των χρηματοοικονομικών αγορών της Ένωσης. Οι κυβερνοεπιθέσεις σε τέτοια συστήματα μπορούν να προκαλέσουν σοβαρές επιχειρησιακές διαταραχές με άμεσες επιπτώσεις σε βασικές οικονομικές λειτουργίες, όπως η διευκόλυνση των πληρωμών, και έμμεσες επιπτώσεις στις σχετικές οικονομικές διαδικασίες. Έως ότου εφαρμοστούν εναρμονισμένο καθεστώς και η εποπτεία των φορέων εκμετάλλευσης συστημάτων πληρωμών και των οντοτήτων επεξεργασίας σε επίπεδο Ένωσης, τα κράτη μέλη μπορούν, με σκοπό την εφαρμογή παρόμοιων πρακτικών της αγοράς, να αντλούν έμπνευση από τις απαιτήσεις ψηφιακής επιχειρησιακής ανθεκτικότητας που ορίζονται στον παρόντα κανονισμό, κατά την εφαρμογή των κανόνων στους διαχειριστές συστημάτων πληρωμών και τις οντότητες επεξεργασίας που αποτελούν αντικείμενο εποπτείας υπό τη δικαιοδοσία τους.

(105)

Δεδομένου ότι ο στόχος του παρόντος κανονισμού, και συγκεκριμένα η διασφάλιση υψηλού επιπέδου ψηφιακής επιχειρησιακής ανθεκτικότητας για ρυθμιζόμενες χρηματοοικονομικές οντότητες, δεν μπορεί να επιτευχθεί επαρκώς από τα κράτη μέλη, διότι προϋποθέτει εναρμόνιση ποικίλων διαφορετικών κανόνων του ενωσιακού και εθνικού δικαίου, αλλά, λόγω της κλίμακας και των επιπτώσεών του, μπορεί να επιτευχθεί καλύτερα σε επίπεδο Ένωσης, η Ένωση δύναται να λάβει μέτρα σύμφωνα με την αρχή της επικουρικότητας, όπως διατυπώνεται στο άρθρο 5 της Συνθήκης για την Ευρωπαϊκή Ένωση. Σύμφωνα με την αρχή της αναλογικότητας, όπως διατυπώνεται στο εν λόγω άρθρο, ο παρών κανονισμός δεν βαίνει πέραν των αναγκαίων ορίων για την επίτευξη του επιδιωκόμενου στόχου.

(106)

Ζητήθηκε, σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (29), η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων, που γνωμοδότησε στις 10 Μαΐου 2021 (30),