1.   Προκειμένου να επιτευχθεί υψηλό κοινό επίπεδο ψηφιακής επιχειρησιακής ανθεκτικότητας, ο παρών κανονισμός καθορίζει ενιαίες απαιτήσεις σχετικά με την ασφάλεια των συστημάτων δικτύου και πληροφοριών, τα οποία υποστηρίζουν τις επιχειρηματικές διαδικασίες των χρηματοοικονομικών οντοτήτων ως εξής:

2.   Όσον αφορά τις χρηματοοικονομικές οντότητες που προσδιορίζονται ως βασικές ή σημαντικές οντότητες σύμφωνα με τους εθνικούς κανόνες που μεταφέρουν το άρθρο 3 της οδηγίας (ΕΕ) 2022/2555 στο εθνικό δίκαιο, ο παρών κανονισμός θεωρείται τομεακή νομική πράξη της Ένωσης για τους σκοπούς του άρθρου 4 της εν λόγω οδηγίας.

3.   Ο παρών κανονισμός δεν θίγει την ευθύνη των κρατών μελών όσον αφορά βασικές λειτουργίες του κράτους σχετικά με τη δημόσια ασφάλεια, την άμυνα και την εθνική ασφάλεια σύμφωνα με το δίκαιο της Ένωσης.

1.   Με την επιφύλαξη των παραγράφων 3 και 4, ο παρών κανονισμός εφαρμόζεται στις ακόλουθες οντότητες:

2.   Για τους σκοπούς του παρόντος κανονισμού, οι οντότητες που αναφέρονται στην παράγραφο 1 στοιχεία α) έως κ) αναφέρονται συλλογικά ως «χρηματοοικονομικές οντότητες».

3.   Ο παρών κανονισμός δεν εφαρμόζεται σε:

4.   Τα κράτη μέλη μπορούν να εξαιρούν από το πεδίο εφαρμογής του παρόντος κανονισμού τις οντότητες που αναφέρονται στο άρθρο 2 παράγραφος 5 σημεία 4) έως 23) της οδηγίας 2013/36/ΕΕ και οι οποίες είναι εγκατεστημένες στην αντίστοιχη επικράτειά τους. Όταν ένα κράτος μέλος κάνει χρήση της δυνατότητας αυτής, ενημερώνει σχετικά την Επιτροπή, καθώς και για κάθε μεταγενέστερη τροποποίησή της. Η Επιτροπή δημοσιοποιεί τις πληροφορίες αυτές στον ιστότοπό της ή σε άλλα εύκολα προσβάσιμα μέσα.

1.   Οι χρηματοοικονομικές οντότητες εφαρμόζουν τους κανόνες που θεσπίζονται στο κεφάλαιο II, σύμφωνα με την αρχή της αναλογικότητας, λαμβάνοντας υπόψη το μέγεθος, το συνολικό προφίλ κινδύνου, τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών, δραστηριοτήτων και λειτουργιών τους.

2.   Επιπλέον, η εφαρμογή από τις χρηματοοικονομικές οντότητες των κεφαλαίων III και IV και του κεφαλαίου V τμήμα I είναι αναλογική προς το μέγεθός τους και το συνολικό προφίλ κινδύνου τους, καθώς και προς τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών, των δραστηριοτήτων και των λειτουργιών τους, όπως προβλέπεται ειδικά στους σχετικούς κανόνες των εν λόγω κεφαλαίων.

3.   Οι αρμόδιες αρχές εξετάζουν το ενδεχόμενο εφαρμογής της αρχής της αναλογικότητας από τις χρηματοοικονομικές οντότητες κατά την επανεξέταση της συνέπειας του πλαισίου διαχείρισης κινδύνων ΤΠΕ βάσει των εκθέσεων που υποβάλλονται κατόπιν αιτήματος των αρμόδιων αρχών σύμφωνα με το άρθρο 6 παράγραφος 5 και το άρθρο 16 παράγραφος 2.

1.   Οι χρηματοοικονομικές οντότητες εφαρμόζουν πλαίσιο εσωτερικής διακυβέρνησης και ελέγχου το οποίο διασφαλίζει την αποτελεσματική και συνετή διαχείριση των κινδύνων ΤΠΕ, σύμφωνα με το άρθρο 6 παράγραφος 4, με σκοπό την επίτευξη υψηλού επιπέδου ψηφιακής επιχειρησιακής ανθεκτικότητας.

2.   Το διοικητικό όργανο της χρηματοοικονομικής οντότητας καθορίζει, εγκρίνει, εποπτεύει και είναι υπεύθυνο για την εφαρμογή όλων των ρυθμίσεων σχετικά με το πλαίσιο διαχείρισης κινδύνων ΤΠΕ που προβλέπεται στο άρθρο 6 παράγραφος 1.

Για τους σκοπούς του πρώτου εδαφίου, το διοικητικό όργανο:

3.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, καθορίζουν ρόλο για την παρακολούθηση των ρυθμίσεων που συνάπτονται με τρίτους παρόχους υπηρεσιών ΤΠΕ όσον αφορά τη χρήση των υπηρεσιών ΤΠΕ ή ορίζουν ένα ανώτερο διοικητικό στέλεχος ως αρμόδιο για την εποπτεία της έκθεσης σε σχετικό κίνδυνο και της συναφούς τεκμηρίωσης.

4.   Τα μέλη του διοικητικού οργάνου της χρηματοοικονομικής οντότητας εξελίσσουν ενεργά και επαρκώς τις γνώσεις και τις δεξιότητές τους, ώστε να κατανοούν και να αξιολογούν τους κινδύνους ΤΠΕ και τις επιπτώσεις τους στις δραστηριότητες της χρηματοοικονομικής οντότητας, μεταξύ άλλων παρακολουθώντας ειδική κατάρτιση σε τακτική βάση, ανάλογη προς τους κινδύνους ΤΠΕ που τελούν υπό διαχείριση.

1.   Οι χρηματοοικονομικές οντότητες διαθέτουν ισχυρό, ολοκληρωμένο και άρτια τεκμηριωμένο πλαίσιο διαχείρισης κινδύνων ΤΠΕ στο πλαίσιο του συνολικού τους συστήματος διαχείρισης κινδύνων, που τους επιτρέπει να αντιμετωπίζουν τους κινδύνους ΤΠΕ με γρήγορο, αποτελεσματικό και εμπεριστατωμένο τρόπο και να διασφαλίζουν υψηλό επίπεδο ψηφιακής επιχειρησιακής ανθεκτικότητας.

2.   Το πλαίσιο διαχείρισης κινδύνων ΤΠΕ περιλαμβάνει τουλάχιστον στρατηγικές, πολιτικές, διαδικασίες, πρωτόκολλα και εργαλεία ΤΠΕ που απαιτούνται για τη δέουσα και επαρκή προστασία όλων των πληροφοριακών πόρων και πόρων ΤΠΕ, συμπεριλαμβανομένου του λογισμικού, του υλισμικού, των διακομιστών, καθώς και για την προστασία όλων των σχετικών υλικών συνιστωσών και υποδομών, όπως εγκαταστάσεων, κέντρων δεδομένων και ευαίσθητων οριοθετημένων χώρων, ώστε να διασφαλίζεται ότι όλοι αυτοί οι πληροφοριακοί πόροι και πόροι ΤΠΕ προστατεύονται επαρκώς από κινδύνους, συμπεριλαμβανομένων τυχόν βλάβης και μη εξουσιοδοτημένης πρόσβασης ή χρήσης.

3.   Σύμφωνα με το πλαίσιο διαχείρισης κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες ελαχιστοποιούν τις επιπτώσεις των κινδύνων ΤΠΕ με την ανάπτυξη κατάλληλων στρατηγικών, πολιτικών, διαδικασιών, πρωτοκόλλων ΤΠΕ και εργαλείων. Παρέχουν πλήρεις και επικαιροποιημένες πληροφορίες σχετικά με τους κινδύνους ΤΠΕ και σχετικά με το πλαίσιό τους για τη διαχείριση κινδύνων ΤΠΕ στις αρμόδιες αρχές κατόπιν αιτήματός τους.

4.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, εκχωρούν την ευθύνη για τη διαχείριση και την εποπτεία των κινδύνων ΤΠΕ σε μια λειτουργία ελέγχου και διασφαλίζουν σε επαρκές επίπεδο την ανεξαρτησία της εν λόγω λειτουργίας ελέγχου, προκειμένου να αποφεύγεται η σύγκρουση συμφερόντων. Οι χρηματοοικονομικές οντότητες διασφαλίζουν τον κατάλληλο διαχωρισμό και την κατάλληλη ανεξαρτησία των λειτουργιών διαχείρισης κινδύνων ΤΠΕ, των λειτουργιών ελέγχου και των λειτουργιών εσωτερικής επιθεώρησης, σύμφωνα με το μοντέλο των τριών γραμμών άμυνας ή ένα εσωτερικό μοντέλο διαχείρισης κινδύνων και ελέγχου.

5.   Το πλαίσιο διαχείρισης κινδύνων ΤΠΕ τεκμηριώνεται και επανεξετάζεται τουλάχιστον μία φορά ετησίως, ή περιοδικά όσον αφορά τις πολύ μικρές επιχειρήσεις, καθώς και κατά την επέλευση μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ, και σύμφωνα με εποπτικές οδηγίες ή συμπεράσματα που προκύπτουν από σχετικές δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας ή διαδικασίες ελέγχου. Το πλαίσιο βελτιώνεται διαρκώς με βάση τα διδάγματα που αντλούνται από την εφαρμογή και την παρακολούθηση. Έκθεση σχετικά με την επανεξέταση του πλαισίου διαχείρισης κινδύνων ΤΠΕ υποβάλλεται στην αρμόδια αρχή κατόπιν αιτήματός της.

6.   Το πλαίσιο διαχείρισης κινδύνων ΤΠΕ των χρηματοοικονομικών οντοτήτων, πλην των πολύ μικρών επιχειρήσεων, υπόκειται σε εσωτερική επιθεώρηση από ελεγκτές σε τακτική βάση, σύμφωνα με το πρόγραμμα ελέγχου των χρηματοοικονομικών οντοτήτων. Οι εν λόγω ελεγκτές διαθέτουν επαρκείς γνώσεις, δεξιότητες και εμπειρογνωσία όσον αφορά τους κινδύνους ΤΠΕ, καθώς και κατάλληλη ανεξαρτησία. Η συχνότητα και η εστίαση των ελέγχων ΤΠΕ είναι ανάλογες προς τους κινδύνους ΤΠΕ που αντιμετωπίζει η χρηματοοικονομική οντότητα.

7.   Με βάση τα συμπεράσματα της επανεξέτασης εσωτερικής επιθεώρησης, οι χρηματοοικονομικές οντότητες θεσπίζουν επίσημη διαδικασία παρακολούθησης, συμπεριλαμβανομένων κανόνων για την έγκαιρη επαλήθευση και αποκατάσταση κρίσιμων ευρημάτων ελέγχου ΤΠΕ.

8.   Το πλαίσιο διαχείρισης κινδύνων ΤΠΕ περιλαμβάνει στρατηγική επιχειρησιακής ψηφιακής ανθεκτικότητας για τον καθορισμό του τρόπου εφαρμογής του πλαισίου. Για τον σκοπό αυτόν, η στρατηγική επιχειρησιακής ψηφιακής ανθεκτικότητας περιλαμβάνει τις μεθόδους αντιμετώπισης κινδύνων ΤΠΕ και επίτευξης συγκεκριμένων στόχων ΤΠΕ, ως εξής:

9.   Οι χρηματοοικονομικές οντότητες μπορούν, στο πλαίσιο της στρατηγικής ψηφιακής επιχειρησιακής ανθεκτικότητας που αναφέρεται στην παράγραφο 8, να καθορίσουν μια ολιστική στρατηγική πολλαπλών προμηθευτών ΤΠΕ, σε επίπεδο ομίλου ή οντότητας, η οποία αναδεικνύει βασικές εξαρτήσεις από τρίτους παρόχους υπηρεσιών ΤΠΕ και επεξηγεί το σκεπτικό στο οποίο βασίζεται ο συνδυασμός προμηθειών από τρίτους παρόχους υπηρεσιών ΤΠΕ.

10.   Οι χρηματοοικονομικές οντότητες δύνανται, σύμφωνα με το ενωσιακό και το εθνικό τομεακό δίκαιο, να αναθέσουν τα καθήκοντα επαλήθευσης της συμμόρφωσης με τις απαιτήσεις διαχείρισης κινδύνων ΤΠΕ σε ενδοομιλικές ή εξωτερικές επιχειρήσεις. Σε περίπτωση τέτοιας εξωτερικής ανάθεσης, η χρηματοοικονομική οντότητα παραμένει εξολοκλήρου υπεύθυνη για την επαλήθευση της συμμόρφωσης με τις απαιτήσεις διαχείρισης κινδύνων ΤΠΕ.

1.   Στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6 παράγραφος 1, οι χρηματοοικονομικές οντότητες προσδιορίζουν, ταξινομούν και τεκμηριώνουν επαρκώς όλες τις επιχειρηματικές λειτουργίες, τους ρόλους και τις αρμοδιότητες που υποστηρίζονται από ΤΠΕ, τους πληροφοριακούς πόρους και τους πόρους ΤΠΕ που υποστηρίζουν τις εν λόγω λειτουργίες, καθώς και τους ρόλους και τις εξαρτήσεις τους σε σχέση με τους κινδύνους ΤΠΕ. Οι χρηματοοικονομικές οντότητες επανεξετάζουν, όταν κρίνεται αναγκαίο, και τουλάχιστον σε ετήσια βάση, την επάρκεια αυτής της ταξινόμησης και τυχόν συναφούς τεκμηρίωσης.

2.   Οι χρηματοοικονομικές οντότητες προσδιορίζουν σε διαρκή βάση όλες τις πηγές κινδύνων ΤΠΕ, ιδίως την έκθεση σε κίνδυνο από και προς άλλες χρηματοοικονομικές οντότητες, και αξιολογούν τις κυβερνοαπειλές και τις ευπάθειες των ΤΠΕ που αφορούν τις οικείες επιχειρηματικές λειτουργίες που υποστηρίζονται από ΤΠΕ, τους πληροφοριακούς πόρους και τους πόρους ΤΠΕ. Οι χρηματοοικονομικές οντότητες επανεξετάζουν τακτικά, και τουλάχιστον σε ετήσια βάση, τα σενάρια κινδύνου που τις επηρεάζουν.

3.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, προβαίνουν σε αξιολόγηση κινδύνων έπειτα από κάθε σημαντική αλλαγή της υποδομής των συστημάτων δικτύου και πληροφοριών, των διαδικασιών ή των διεργασιών που επηρεάζουν τις οικείες επιχειρηματικές λειτουργίες που υποστηρίζονται από ΤΠΕ, τους πληροφοριακούς πόρους ή τους πόρους ΤΠΕ.

4.   Οι χρηματοοικονομικές οντότητες προσδιορίζουν όλους τους πληροφοριακούς πόρους και τους πόρους ΤΠΕ, συμπεριλαμβανομένων εκείνων που βρίσκονται σε απομακρυσμένες τοποθεσίες, τους πόρους δικτύου και τον εξοπλισμό υλισμικού, και καταγράφουν όσους θεωρούνται κρίσιμοι. Καταγράφουν τις παραμέτρους των πληροφοριακών πόρων και των πόρων ΤΠΕ, καθώς και τις συνδέσεις και τις αλληλεξαρτήσεις μεταξύ των διαφόρων πληροφοριακών πόρων και πόρων ΤΠΕ.

5.   Οι χρηματοοικονομικές οντότητες προσδιορίζουν και τεκμηριώνουν όλες τις διαδικασίες που εξαρτώνται από τρίτους παρόχους υπηρεσιών ΤΠΕ και προσδιορίζουν τις διασυνδέσεις με τρίτους παρόχους υπηρεσιών ΤΠΕ οι οποίοι παρέχουν υπηρεσίες που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες.

6.   Για τους σκοπούς των παραγράφων 1, 4 και 5, οι χρηματοοικονομικές οντότητες τηρούν τους σχετικούς καταλόγους και τους ενημερώνουν περιοδικά και κάθε φορά που επέρχεται οποιαδήποτε σημαντική αλλαγή όπως αναφέρεται στην παράγραφο 3.

7.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, διενεργούν τακτικά, και τουλάχιστον σε ετήσια βάση, ειδική αξιολόγηση κινδύνων ΤΠΕ σε όλα τα παρωχημένα συστήματα ΤΠΕ και οπωσδήποτε πριν και μετά τη σύνδεση τεχνολογιών, εφαρμογών ή συστημάτων.

1.   Για τους σκοπούς της διασφάλισης επαρκούς επιπέδου προστασίας συστημάτων ΤΠΕ και με στόχο την οργάνωση μέτρων αντιμετώπισης, οι χρηματοοικονομικές οντότητες παρακολουθούν και ελέγχουν σε διαρκή βάση την ασφάλεια και τη λειτουργία των συστημάτων και εργαλείων ΤΠΕ και ελαχιστοποιούν τις επιπτώσεις των σχετικών κινδύνων ΤΠΕ στα συστήματα ΤΠΕ με την ανάπτυξη κατάλληλων εργαλείων, πολιτικών και διαδικασιών για την ασφάλεια των ΤΠΕ.

2.   Οι χρηματοοικονομικές οντότητες σχεδιάζουν, αποκτούν και εφαρμόζουν πολιτικές, διαδικασίες, πρωτόκολλα και εργαλεία ασφάλειας ΤΠΕ που έχουν ως στόχο τη διασφάλιση της ανθεκτικότητας, της συνέχειας και της διαθεσιμότητας των συστημάτων ΤΠΕ, ιδίως όσων υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, και τη διατήρηση υψηλών προτύπων διαθεσιμότητας, γνησιότητας, ακεραιότητας και εμπιστευτικότητας δεδομένων, ανεξάρτητα από το αν βρίσκονται σε κατάσταση αποθήκευσης, χρήσης ή διαβίβασης.

3.   Για την επίτευξη των στόχων που αναφέρονται στην παράγραφο 2, οι χρηματοοικονομικές οντότητες χρησιμοποιούν λύσεις και διαδικασίες ΤΠΕ που είναι κατάλληλες σύμφωνα με το άρθρο 4. Οι εν λόγω λύσεις και διαδικασίες ΤΠΕ:

4.   Στο πλαίσιο της διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6 παράγραφος 1, οι χρηματοοικονομικές οντότητες:

Για τους σκοπούς του πρώτου εδαφίου στοιχείο β), οι χρηματοοικονομικές οντότητες σχεδιάζουν την υποδομή σύνδεσης δικτύου κατά τρόπο ώστε να μπορεί να διακοπεί ή να κατατμηθεί στιγμιαία, προκειμένου να ελαχιστοποιείται και να αποτρέπεται η μετάδοση, ιδίως όσον αφορά τις διασυνδεδεμένες χρηματοοικονομικές διαδικασίες.

Για τους σκοπούς του πρώτου εδαφίου στοιχείο ε), η διαδικασία διαχείρισης αλλαγών ΤΠΕ εγκρίνεται από κατάλληλες ιεραρχικές δομές και διαθέτει ειδικά πρωτόκολλα.

1.   Οι χρηματοοικονομικές οντότητες διαθέτουν μηχανισμούς για τον άμεσο εντοπισμό ασυνήθιστων δραστηριοτήτων, σύμφωνα με το άρθρο 17, συμπεριλαμβανομένων ζητημάτων που αφορούν τις επιδόσεις του δικτύου ΤΠΕ και συμβάντων που σχετίζονται με τις ΤΠΕ, καθώς και για τον προσδιορισμό των δυνητικά σημαντικών μοναδικών σημείων αποτυχίας.

Όλοι οι μηχανισμοί εντοπισμού που αναφέρονται στο πρώτο εδάφιο υποβάλλονται τακτικά σε δοκιμές σύμφωνα με το άρθρο 25.

2.   Οι μηχανισμοί εντοπισμού που αναφέρονται στην παράγραφο 1 επιτρέπουν την ενεργοποίηση πολυεπίπεδων δικλείδων ασφάλειας, καθορίζουν όρια προειδοποίησης και κριτήρια για την ενεργοποίηση και έναρξη διαδικασιών αντιμετώπισης συμβάντων που σχετίζονται με τις ΤΠΕ, συμπεριλαμβανομένων αυτόματων μηχανισμών προειδοποίησης για το προσωπικό που είναι αρμόδιο για την αντιμετώπιση συμβάντων που σχετίζονται με τις ΤΠΕ.

3.   Οι χρηματοοικονομικές οντότητες διαθέτουν επαρκείς πόρους και ικανότητες, ώστε να παρακολουθούν τη δραστηριότητα των χρηστών, την εμφάνιση ασυνήθιστων δραστηριοτήτων ΤΠΕ και συμβάντων που σχετίζονται με τις ΤΠΕ, ιδίως όσον αφορά κυβερνοεπιθέσεις.

4.   Οι πάροχοι υπηρεσιών αναφοράς δεδομένων διαθέτουν, επιπλέον, συστήματα τα οποία μπορούν να ελέγχουν αποτελεσματικά αν οι αναφορές συναλλαγών είναι πλήρεις, να εντοπίζουν παραλείψεις και εμφανή σφάλματα και να ζητούν την εκ νέου διαβίβαση των εν λόγω αναφορών.

1.   Στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6 παράγραφος 1 και βάσει των απαιτήσεων προσδιορισμού που προβλέπονται στο άρθρο 8, οι χρηματοοικονομικές οντότητες θέτουν σε εφαρμογή ολοκληρωμένη πολιτική επιχειρησιακής συνέχειας των ΤΠΕ, η οποία μπορεί να εγκριθεί ως ειδική και συγκεκριμένη πολιτική, που συνιστά αναπόσπαστο μέρος της συνολικής πολιτικής επιχειρησιακής συνέχειας της χρηματοοικονομικής οντότητας.

2.   Οι χρηματοοικονομικές οντότητες εφαρμόζουν την πολιτική επιχειρησιακής συνέχειας των ΤΠΕ μέσω ειδικών, κατάλληλων και τεκμηριωμένων ρυθμίσεων, σχεδίων, διαδικασιών και μηχανισμών, με στόχο:

3.   Στο πλαίσιο της διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6 παράγραφος 1, οι χρηματοοικονομικές οντότητες εφαρμόζουν σχετικά σχέδια αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ, τα οποία υπόκεινται, στην περίπτωση των χρηματοοικονομικών οντοτήτων πλην των πολύ μικρών επιχειρήσεων, σε ανεξάρτητη επανεξέταση εσωτερικής επιθεώρησης.

4.   Οι χρηματοοικονομικές οντότητες θεσπίζουν, διατηρούν και υποβάλλουν περιοδικά σε δοκιμή κατάλληλα σχέδια επιχειρησιακής συνέχειας των ΤΠΕ, ιδίως όσον αφορά κρίσιμες ή σημαντικές λειτουργίες που αποτελούν αντικείμενο εξωτερικής ανάθεσης ή υπεργολαβίας μέσω ρυθμίσεων με τρίτους παρόχους υπηρεσιών ΤΠΕ.

5.   Στο πλαίσιο της συνολικής πολιτικής επιχειρησιακής συνέχειας, οι χρηματοοικονομικές οντότητες διενεργούν ανάλυση επιχειρηματικών επιπτώσεων (ΑΕΕ) της έκθεσής τους σε σοβαρές διαταραχές της επιχειρηματικής δραστηριότητας. Στο πλαίσιο της ΑΕΕ, οι χρηματοοικονομικές οντότητες αξιολογούν τις πιθανές επιπτώσεις σοβαρών διαταραχών της επιχειρηματικής δραστηριότητας μέσω ποσοτικών και ποιοτικών κριτηρίων, χρησιμοποιώντας εσωτερικά και εξωτερικά δεδομένα και ανάλυση σεναρίων, κατά περίπτωση. Η ΑΕΕ εξετάζει την κρισιμότητα των προσδιορισμένων και χαρτογραφημένων επιχειρηματικών λειτουργιών, των διαδικασιών υποστήριξης, των εξαρτήσεων από τρίτους και των πληροφοριακών πόρων, καθώς και των αλληλεξαρτήσεών τους. Οι χρηματοοικονομικές οντότητες διασφαλίζουν ότι οι πόροι ΤΠΕ και οι υπηρεσίες ΤΠΕ σχεδιάζονται και χρησιμοποιούνται σε πλήρη ευθυγράμμιση με την ΑΕΕ, ιδίως όσον αφορά την επαρκή διασφάλιση της εφεδρείας όλων των κρίσιμων στοιχείων.

6.   Στο πλαίσιο της ολοκληρωμένης διαχείρισης κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες:

Για τους σκοπούς του πρώτου εδαφίου στοιχείο α), οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, περιλαμβάνουν στα σχέδια δοκιμών σενάρια κυβερνοεπιθέσεων και μετάβασης μεταξύ της κύριας υποδομής ΤΠΕ και της εφεδρικής χωρητικότητας, αντίγραφα ασφαλείας και εφεδρικές εγκαταστάσεις που απαιτούνται για την εκπλήρωση των υποχρεώσεων που προβλέπονται στο άρθρο 12.

Οι χρηματοοικονομικές οντότητες επανεξετάζουν ανά τακτά χρονικά διαστήματα τα σχέδια επιχειρησιακής συνέχειας των ΤΠΕ και αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ, λαμβάνοντας υπόψη τα αποτελέσματα των δοκιμών που διενεργούνται σύμφωνα με το πρώτο εδάφιο και τις συστάσεις που προκύπτουν από ελέγχους ή εποπτικές αξιολογήσεις.

7.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, διαθέτουν λειτουργία διαχείρισης κρίσεων, η οποία, σε περίπτωση ενεργοποίησης των σχεδίων επιχειρησιακής συνέχειας των ΤΠΕ ή των σχεδίων αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ, καθορίζει, μεταξύ άλλων, σαφείς διαδικασίες για τη διαχείριση της εσωτερικής και εξωτερικής επικοινωνίας σε καταστάσεις κρίσης σύμφωνα με το άρθρο 14.

8.   Οι χρηματοοικονομικές οντότητες τηρούν εύκολα προσβάσιμα αρχεία δραστηριοτήτων προ και κατά τη διάρκεια γεγονότων διαταραχής, όταν ενεργοποιούνται τα σχέδια επιχειρησιακής συνέχειας των ΤΠΕ και τα σχέδια αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ.

9.   Τα κεντρικά αποθετήρια τίτλων παρέχουν στις αρμόδιες αρχές αντίγραφα των αποτελεσμάτων των δοκιμών επιχειρησιακής συνέχειας των ΤΠΕ ή παρόμοιων δραστηριοτήτων.

10.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, υποβάλλουν στις αρμόδιες αρχές, κατόπιν αιτήματός τους, εκτίμηση των συγκεντρωτικών ετήσιων δαπανών και ζημιών, οι οποίες προκαλούνται από μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ.

11.   Σύμφωνα με το άρθρο 16 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010, οι ΕΕΑ, μέσω της μεικτής επιτροπής, καταρτίζουν έως τις 17 Ιουλίου 2024 κοινές κατευθυντήριες γραμμές για την εκτίμηση των συγκεντρωτικών ετήσιων δαπανών και ζημιών που αναφέρονται στην παράγραφο 10.

1.   Για τους σκοπούς της διασφάλισης της αποκατάστασης των συστημάτων και δεδομένων ΤΠΕ με ελάχιστο χρόνο διακοπής, με περιορισμό της διαταραχής και της ζημίας, στο πλαίσιο της οικείας διαχείρισης κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες καταρτίζουν και τεκμηριώνουν:

2.   Οι χρηματοοικονομικές οντότητες δημιουργούν εφεδρικά συστήματα που μπορούν να ενεργοποιηθούν σύμφωνα με τις πολιτικές και τις διαδικασίες δημιουργίας εφεδρικών συστημάτων, καθώς και τις διαδικασίες και τις μεθόδους αποκατάστασης και ανάκτησης. Η ενεργοποίηση εφεδρικών συστημάτων δεν θέτει σε κίνδυνο την ασφάλεια των συστημάτων δικτύου και πληροφοριών ή τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων. Διενεργούνται περιοδικά δοκιμές των διαδικασιών δημιουργίας εφεδρικών συστημάτων και των διαδικασιών και μεθόδων αποκατάστασης και ανάκτησης.

3.   Κατά την αποκατάσταση εφεδρικών δεδομένων με τη χρήση ιδίων συστημάτων, οι χρηματοοικονομικές οντότητες χρησιμοποιούν συστήματα ΤΠΕ που διαχωρίζονται φυσικά και λογικά από το σύστημα ΤΠΕ πηγής. Τα συστήματα ΤΠΕ προστατεύονται με ασφάλεια από κάθε μη εξουσιοδοτημένη πρόσβαση ή διαφθορά ΤΠΕ και επιτρέπουν την έγκαιρη αποκατάσταση των υπηρεσιών που χρησιμοποιούν τα εφεδρικά δεδομένα και συστήματα, ανάλογα με τις ανάγκες.

Για τους κεντρικούς αντισυμβαλλομένους, τα σχέδια αποκατάστασης επιτρέπουν την αποκατάσταση όλων των συναλλαγών κατά τον χρόνο της διαταραχής, ώστε ο κεντρικός αντισυμβαλλόμενος να είναι σε θέση να εξακολουθήσει να λειτουργεί με ασφάλεια και να ολοκληρώσει τον διακανονισμό κατά την προγραμματισμένη ημερομηνία.

Οι πάροχοι υπηρεσιών αναφοράς δεδομένων διατηρούν, επιπλέον, επαρκείς πόρους και διαθέτουν εφεδρικές εγκαταστάσεις και εγκαταστάσεις αποκατάστασης, προκειμένου να προσφέρουν και να διατηρούν τις υπηρεσίες τους ανά πάσα στιγμή.

4.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, διατηρούν εφεδρικές χωρητικότητες ΤΠΕ εξοπλισμένες με επαρκείς πόρους, ικανότητες και λειτουργίες για την κάλυψη των επιχειρηματικών αναγκών. Οι πολύ μικρές επιχειρήσεις αξιολογούν την ανάγκη διατήρησης αυτών των εφεδρικών χωρητικοτήτων ΤΠΕ με βάση το προφίλ κινδύνου τους.

5.   Τα κεντρικά αποθετήρια τίτλων διατηρούν τουλάχιστον έναν δευτερεύοντα τόπο επεξεργασίας με επαρκείς πόρους, ικανότητες, λειτουργίες και στελέχωση για την κάλυψη των επιχειρηματικών αναγκών.

Ο δευτερεύων τόπος επεξεργασίας:

6.   Κατά τον καθορισμό των στόχων ως προς τον χρόνο και το σημείο αποκατάστασης για κάθε λειτουργία, οι χρηματοοικονομικές οντότητες λαμβάνουν υπόψη αν πρόκειται για κρίσιμη ή σημαντική λειτουργία και τον δυνητικό συνολικό αντίκτυπο στην αποδοτικότητα της αγοράς. Οι εν λόγω στόχοι ως προς τον χρόνο διασφαλίζουν ότι, σε ακραία σενάρια, πληρούνται τα συμφωνημένα επίπεδα εξυπηρέτησης.

7.   Κατά την αποκατάσταση λειτουργίας μετά από συμβάν που σχετίζεται με τις ΤΠΕ, οι χρηματοοικονομικές οντότητες διενεργούν τους απαραίτητους ελέγχους, συμπεριλαμβανομένων οποιωνδήποτε πολλαπλών ελέγχων και συμφωνιών, προκειμένου να διασφαλίσουν ότι η ακεραιότητα των δεδομένων διατηρείται στο ανώτατο επίπεδο. Οι έλεγχοι αυτοί διενεργούνται επίσης κατά την ανακατασκευή δεδομένων από εξωτερικούς συμφεροντούχους, ώστε να διασφαλίζεται η συνεκτικότητα όλων των δεδομένων μεταξύ των συστημάτων.

1.   Οι χρηματοοικονομικές οντότητες διαθέτουν ικανότητες και προσωπικό για τη συλλογή πληροφοριών σχετικά με τις ευπάθειες και τις κυβερνοαπειλές, τα συμβάντα που σχετίζονται με τις ΤΠΕ, ιδίως όσον αφορά τις κυβερνοεπιθέσεις, και για την ανάλυση των πιθανών επιπτώσεών τους στην ψηφιακή επιχειρησιακή τους ανθεκτικότητα.

2.   Οι χρηματοοικονομικές οντότητες προβαίνουν σε επανεξετάσεις κατόπιν συμβάντων που σχετίζονται με τις ΤΠΕ, αφότου μείζον συμβάν που σχετίζεται με τις ΤΠΕ διαταράσσει τις βασικές τους δραστηριότητες, αναλύοντας τα αίτια της διαταραχής και προσδιορίζοντας τις βελτιώσεις που απαιτούνται στις λειτουργίες των ΤΠΕ ή στο πλαίσιο της πολιτικής επιχειρησιακής συνέχειας των ΤΠΕ, όπως αναφέρεται στο άρθρο 11.

Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, κοινοποιούν στις αρμόδιες αρχές, κατόπιν αιτήματος, τις αλλαγές που εφαρμόστηκαν μετά τις επανεξετάσεις κατόπιν συμβάντων που σχετίζονται με τις ΤΠΕ, όπως αναφέρεται στο πρώτο εδάφιο.

Οι επανεξετάσεις κατόπιν συμβάντων που σχετίζονται με τις ΤΠΕ, που αναφέρονται στο πρώτο εδάφιο, εξακριβώνουν αν τηρήθηκαν οι καθιερωμένες διαδικασίες και αν τα μέτρα που έχουν ληφθεί ήταν αποτελεσματικά, μεταξύ άλλων σε σχέση με τα εξής:

3.   Τα διδάγματα που αντλούνται τόσο από τις δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας που πραγματοποιούνται σύμφωνα με τα άρθρα 26 και 27 όσο και από πραγματικά συμβάντα που σχετίζονται με τις ΤΠΕ, ιδίως κυβερνοεπιθέσεις, μαζί με τις προκλήσεις που αντιμετωπίστηκαν κατά την ενεργοποίηση σχεδίων επιχειρησιακής συνέχειας των ΤΠΕ και σχεδίων αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ, σε συνδυασμό με τις σχετικές πληροφορίες που ανταλλάσσονται με αντισυμβαλλομένους και αξιολογούνται κατά τη διάρκεια εποπτικών ελέγχων, ενσωματώνονται δεόντως, σε διαρκή βάση, στη διαδικασία αξιολόγησης κινδύνων ΤΠΕ. Τα εν λόγω ευρήματα αποτελούν τη βάση για τη δέουσα επανεξέταση των συναφών συνιστωσών του πλαισίου διαχείρισης κινδύνων ΤΠΕ, όπως αναφέρεται στο άρθρο 6 παράγραφος 1.

4.   Οι χρηματοοικονομικές οντότητες παρακολουθούν την αποτελεσματικότητα της εφαρμογής της στρατηγικής τους για την ψηφιακή επιχειρησιακή ανθεκτικότητα που καθορίζεται στο άρθρο 6 παράγραφος 8. Χαρτογραφούν την εξέλιξη των κινδύνων ΤΠΕ με την πάροδο του χρόνου, αναλύουν τη συχνότητα, τα είδη, το μέγεθος και την εξέλιξη των συμβάντων που σχετίζονται με τις ΤΠΕ, ιδίως όσον αφορά τις κυβερνοεπιθέσεις και τις πρακτικές που ακολουθούν, με σκοπό να κατανοήσουν το επίπεδο έκθεσης σε κινδύνους ΤΠΕ, ιδίως όσον αφορά κρίσιμες ή σημαντικές λειτουργίες, και να ενισχύσουν τα επίπεδα ωριμότητας και ετοιμότητας της χρηματοοικονομικής οντότητας στον κυβερνοχώρο.

5.   Τα ανώτερα στελέχη ΤΠΕ υποβάλλουν στο διοικητικό όργανο έκθεση, τουλάχιστον σε ετήσια βάση, σχετικά με τα ευρήματα που αναφέρονται στην παράγραφο 3 και διατυπώνουν συστάσεις.

6.   Οι χρηματοοικονομικές οντότητες αναπτύσσουν προγράμματα ευαισθητοποίησης σε θέματα ασφάλειας των ΤΠΕ και προγράμματα κατάρτισης για την ψηφιακή επιχειρησιακή ανθεκτικότητα ως υποχρεωτικές ενότητες των προγραμμάτων κατάρτισης του προσωπικού τους. Τα εν λόγω προγράμματα και καταρτίσεις ισχύουν για όλους τους υπαλλήλους και τα ανώτερα διοικητικά στελέχη και έχουν επίπεδο πολυπλοκότητας ανάλογο προς το αντικείμενο των καθηκόντων τους. Κατά περίπτωση, οι χρηματοοικονομικές οντότητες περιλαμβάνουν επίσης τρίτους παρόχους υπηρεσιών ΤΠΕ στα σχετικά προγράμματα κατάρτισής τους σύμφωνα με το άρθρο 30 παράγραφος 2 στοιχείο θ).

7.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, παρακολουθούν τις σχετικές τεχνολογικές εξελίξεις σε διαρκή βάση, με σκοπό επίσης την κατανόηση των πιθανών επιπτώσεων της ανάπτυξης νέων τεχνολογιών αυτού του είδους στις απαιτήσεις ασφάλειας των ΤΠΕ και στην ψηφιακή επιχειρησιακή ανθεκτικότητα. Ενημερώνονται για τις πρόσφατες διαδικασίες διαχείρισης κινδύνων ΤΠΕ, ώστε να καταπολεμούνται αποτελεσματικά οι τρέχουσες ή νέες μορφές κυβερνοεπιθέσεων.

1.   Στο πλαίσιο της διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6 παράγραφος 1, οι χρηματοοικονομικές οντότητες διαθέτουν σχέδια επικοινωνίας σε καταστάσεις κρίσης που καθιστούν δυνατή την υπεύθυνη γνωστοποίηση, τουλάχιστον, μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ ή ευπαθειών σε πελάτες και αντισυμβαλλομένους, καθώς και στο κοινό, ανάλογα με την περίπτωση.

2.   Στο πλαίσιο της διαχείρισης κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες εφαρμόζουν πολιτικές επικοινωνίας που απευθύνονται στο εσωτερικό προσωπικό και σε εξωτερικούς συμφεροντούχους. Στις πολιτικές επικοινωνίας για το προσωπικό λαμβάνεται υπόψη η ανάγκη διαχωρισμού μεταξύ, αφενός, του προσωπικού που συμμετέχει στη διαχείριση κινδύνων ΤΠΕ, ιδίως του προσωπικού που είναι υπεύθυνο για την αντιμετώπιση και την ανάκαμψη, και, αφετέρου, του προσωπικού που πρέπει να ενημερωθεί.

3.   Η αρμοδιότητα της εφαρμογής της στρατηγικής επικοινωνίας για συμβάντα που σχετίζονται με τις ΤΠΕ και της εκτέλεσης των καθηκόντων προς το κοινό και τα μέσα ενημέρωσης ανατίθεται τουλάχιστον σε ένα πρόσωπο της χρηματοοικονομικής οντότητας.

1.   Τα άρθρα 5 έως 15 του παρόντος κανονισμού δεν εφαρμόζονται σε μικρές και μη διασυνδεδεμένες επιχειρήσεις επενδύσεων, ιδρύματα πληρωμών που εξαιρούνται δυνάμει της οδηγίας (ΕΕ) 2015/2366· ιδρύματα που εξαιρούνται δυνάμει της οδηγίας 2013/36/ΕΕ για τα οποία τα κράτη μέλη έχουν αποφασίσει να μην εφαρμόσουν την επιλογή που αναφέρεται στο άρθρο 2 παράγραφος 4 του παρόντος κανονισμού· ιδρύματα ηλεκτρονικού χρήματος που εξαιρούνται δυνάμει της οδηγίας 2009/110/ΕΚ· και μικρά ιδρύματα επαγγελματικών συνταξιοδοτικών παροχών.

Με την επιφύλαξη του πρώτου εδαφίου, οι οντότητες που απαριθμούνται στο πρώτο εδάφιο:

2.   Το πλαίσιο διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στην παράγραφο 1 δεύτερο εδάφιο στοιχείο α) τεκμηριώνεται και επανεξετάζεται περιοδικά και σε περίπτωση εκδήλωσης μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ σύμφωνα με τις εποπτικές οδηγίες. Το πλαίσιο βελτιώνεται διαρκώς με βάση τα διδάγματα που αντλούνται από την εφαρμογή και την παρακολούθηση. Έκθεση σχετικά με την επανεξέταση του πλαισίου διαχείρισης κινδύνων ΤΠΕ υποβάλλεται στην αρμόδια αρχή κατόπιν αιτήματός της.

3.   Οι ΕΕΑ, μέσω της μεικτής επιτροπής, σε συνεννόηση με τον ENISA, καταρτίζουν κοινά σχέδια ρυθμιστικών τεχνικών προτύπων προκειμένου:

Κατά την κατάρτιση των εν λόγω σχεδίων ρυθμιστικών τεχνικών προτύπων, οι ΕΕΑ λαμβάνουν υπόψη το μέγεθος και το συνολικό προφίλ κινδύνου της χρηματοοικονομικής οντότητας και τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών, των δραστηριοτήτων και των λειτουργιών της.

Οι ΕΕΑ υποβάλλουν τα εν λόγω σχέδια ρυθμιστικών τεχνικών προτύπων στην Επιτροπή έως τις 17 Ιανουαρίου 2024.

Ανατίθεται στην Επιτροπή η εξουσία να συμπληρώνει τον παρόντα κανονισμό εκδίδοντας τα ρυθμιστικά τεχνικά πρότυπα που αναφέρονται στο πρώτο εδάφιο, σύμφωνα με τα άρθρα 10 έως 14 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010.

1.   Οι χρηματοοικονομικές οντότητες ορίζουν, θεσπίζουν και εφαρμόζουν διαδικασία διαχείρισης συμβάντων που σχετίζονται με τις ΤΠΕ, με σκοπό τον εντοπισμό, τη διαχείριση και την κοινοποίηση συμβάντων που σχετίζονται με τις ΤΠΕ.

2.   Οι χρηματοοικονομικές οντότητες καταγράφουν όλα τα συμβάντα που σχετίζονται με τις ΤΠΕ και τις σημαντικές κυβερνοαπειλές. Οι χρηματοοικονομικές οντότητες θεσπίζουν κατάλληλες διεργασίες και διαδικασίες για τη διασφάλιση συνεπούς και ολοκληρωμένου ελέγχου, χειρισμού και παρακολούθησης συμβάντων που σχετίζονται με τις ΤΠΕ, ώστε να εξασφαλιστεί ότι τα βαθύτερα αίτια προσδιορίζονται, τεκμηριώνονται και αντιμετωπίζονται προκειμένου να προληφθεί η εκδήλωση τέτοιων συμβάντων.

3.   Η διαδικασία διαχείρισης συμβάντων που σχετίζονται με τις ΤΠΕ που αναφέρεται στην παράγραφο 1:

1.   Οι χρηματοοικονομικές οντότητες ταξινομούν τα συμβάντα που σχετίζονται με τις ΤΠΕ και προσδιορίζουν τις επιπτώσεις τους με βάση τα ακόλουθα κριτήρια:

2.   Οι χρηματοοικονομικές οντότητες ταξινομούν τις κυβερνοαπειλές ως σημαντικές με βάση την κρισιμότητα των υπηρεσιών που διατρέχουν κίνδυνο, συμπεριλαμβανομένων των συναλλαγών και των δραστηριοτήτων της χρηματοοικονομικής οντότητας, του αριθμού και/ή της συνάφειας των στοχευόμενων πελατών ή χρηματοοικονομικών αντισυμβαλλομένων και της γεωγραφικής εξάπλωσης των περιοχών που διατρέχουν κίνδυνο.

3.   Οι ΕΕΑ, μέσω της μεικτής επιτροπής των ΕΕΑ και σε συνεννόηση με την ΕΚΤ και τον ENISA, καταρτίζουν κοινά σχέδια ρυθμιστικών τεχνικών προτύπων, προκειμένου να προσδιορίσουν περαιτέρω τα εξής:

4.   Κατά την κατάρτιση των κοινών σχεδίων ρυθμιστικών τεχνικών προτύπων που αναφέρονται στην παράγραφο 3 του παρόντος άρθρου, οι ΕΕΑ λαμβάνουν υπόψη τα κριτήρια που καθορίζονται στο άρθρο 4 παράγραφος 2 καθώς και τα διεθνή πρότυπα, τις κατευθυντήριες γραμμές και τις προδιαγραφές που αναπτύσσει και δημοσιεύει ο ENISA, συμπεριλαμβανομένων, κατά περίπτωση, των προδιαγραφών που ισχύουν για άλλους οικονομικούς τομείς. Για τους σκοπούς της εφαρμογής των κριτηρίων που καθορίζονται στο άρθρο 4 παράγραφος 2, οι ΕΕΑ λαμβάνουν δεόντως υπόψη την ανάγκη οι πολύ μικρές και οι μικρές και μεσαίες επιχειρήσεις να κινητοποιήσουν επαρκείς πόρους και ικανότητες για να διασφαλίσουν την ταχεία διαχείριση συμβάντων που σχετίζονται με τις ΤΠΕ.

Οι ΕΕΑ υποβάλλουν τα εν λόγω κοινά σχέδια ρυθμιστικών τεχνικών προτύπων στην Επιτροπή έως τις 17 Ιανουαρίου 2024.

Ανατίθεται στην Επιτροπή η εξουσία να συμπληρώνει τον παρόντα κανονισμό εκδίδοντας τα ρυθμιστικά τεχνικά πρότυπα που αναφέρονται στην παράγραφο 3, σύμφωνα με τα άρθρα 10 έως 14 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010.

1.   Οι χρηματοοικονομικές οντότητες αναφέρουν στην αρμόδια αρχή μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ, όπως ορίζεται στο άρθρο 46, σύμφωνα με την παράγραφο 4 του παρόντος άρθρου.

Όταν μια χρηματοοικονομική οντότητα υπόκειται σε εποπτεία από περισσότερες από μία εθνικές αρμόδιες αρχές, οι οποίες αναφέρονται στο άρθρο 46, τα κράτη μέλη ορίζουν ενιαία αρμόδια αρχή ως τη σχετική αρμόδια αρχή που είναι υπεύθυνη για την εκτέλεση των λειτουργιών και των καθηκόντων που προβλέπονται στο παρόν άρθρο.

Τα πιστωτικά ιδρύματα που ταξινομούνται ως σημαντικά, σύμφωνα με το άρθρο 6 παράγραφος 4 του κανονισμού (ΕΕ) αριθ. 1024/2013, αναφέρουν μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ στη σχετική εθνική αρμόδια αρχή που ορίζεται σύμφωνα με το άρθρο 4 της οδηγίας 2013/36/ΕΕ, η οποία διαβιβάζει αμέσως την εν λόγω αναφορά στην ΕΚΤ.

Για τους σκοπούς του πρώτου εδαφίου, οι χρηματοοικονομικές οντότητες, αφού συλλέξουν και αναλύσουν όλες τις σχετικές πληροφορίες, καταρτίζουν την αρχική κοινοποίηση και τις αναφορές που προβλέπονται στην παράγραφο 4 του παρόντος άρθρου, χρησιμοποιώντας τα υποδείγματα που αναφέρονται στο άρθρο 20, και τις υποβάλλουν στην αρμόδια αρχή. Σε περίπτωση που μια τεχνική αδυναμία εμποδίζει την υποβολή της αρχικής κοινοποίησης με τη χρήση του υποδείγματος, οι χρηματοοικονομικές οντότητες ενημερώνουν σχετικά την αρμόδια αρχή με εναλλακτικά μέσα.

Η αρχική κοινοποίηση και οι αναφορές που προβλέπονται στην παράγραφο 4 περιλαμβάνουν όλες τις απαραίτητες πληροφορίες προκειμένου η αρμόδια αρχή να είναι σε θέση να προσδιορίσει τη σημασία του μείζονος συμβάντος που σχετίζεται με τις ΤΠΕ και να προβεί σε εκτίμηση των πιθανών διασυνοριακών επιπτώσεων.

Με την επιφύλαξη των αναφορών σύμφωνα με το πρώτο εδάφιο από τη χρηματοοικονομική οντότητα στη σχετική αρμόδια αρχή, τα κράτη μέλη μπορούν επιπλέον να ορίζουν ότι ορισμένες ή όλες οι χρηματοοικονομικές οντότητες παρέχουν επίσης την αρχική κοινοποίηση και κάθε αναφορά που προβλέπεται στην παράγραφο 4 του παρόντος άρθρου, χρησιμοποιώντας τα υποδείγματα που αναφέρονται στο άρθρο 20, στις αρμόδιες αρχές ή στις ομάδες αντιμετώπισης συμβάντων ασφάλειας σε υπολογιστές (CSIRT) που έχουν οριστεί ή συσταθεί σύμφωνα με την οδηγία (ΕΕ) 2022/2555

2.   Οι χρηματοοικονομικές οντότητες μπορούν, σε προαιρετική βάση, να κοινοποιούν σημαντικές κυβερνοαπειλές στη σχετική αρμόδια αρχή όταν θεωρούν ότι η απειλή είναι σημαντική για το χρηματοοικονομικό σύστημα, τους χρήστες υπηρεσιών ή τους πελάτες. Η σχετική αρμόδια αρχή μπορεί να παρέχει τις πληροφορίες αυτές σε άλλες σχετικές αρχές που αναφέρονται στην παράγραφο 6.

Τα πιστωτικά ιδρύματα που ταξινομούνται ως σημαντικά, σύμφωνα με το άρθρο 6 παράγραφος 4 του κανονισμού (ΕΕ) αριθ. 1024/2013, μπορούν, σε προαιρετική βάση, να κοινοποιούν σημαντικές κυβερνοαπειλές στη σχετική εθνική αρμόδια αρχή, η οποία έχει οριστεί σύμφωνα με το άρθρο 4 της οδηγίας 2013/36/ΕΕ, και η οποία διαβιβάζει αμέσως την κοινοποίηση στην ΕΚΤ.

Τα κράτη μέλη μπορούν να ορίζουν ότι οι χρηματοοικονομικές οντότητες που κοινοποιούν σε προαιρετική βάση σύμφωνα με το πρώτο εδάφιο μπορούν επίσης να διαβιβάζουν την εν λόγω κοινοποίηση στις CSIRT που ορίζονται ή συστήνονται σύμφωνα με ην οδηγία (ΕΕ) 2022/2555

3.   Κατά την εκδήλωση μείζονος συμβάντος, το οποίο σχετίζεται με τις ΤΠΕ και έχει επιπτώσεις στα οικονομικά συμφέροντα των πελατών, οι χρηματοοικονομικές οντότητες ενημερώνουν, χωρίς αδικαιολόγητη καθυστέρηση, αφού λάβουν γνώση του συμβάντος, τους πελάτες όσον αφορά το μείζον συμβάν που σχετίζεται με τις ΤΠΕ και σχετικά με τα μέτρα που έχουν ληφθεί για τον περιορισμό των δυσμενών επιπτώσεων του εν λόγω συμβάντος.

Σε περίπτωση σημαντικής κυβερνοαπειλής, οι χρηματοοικονομικές οντότητες ενημερώνουν, κατά περίπτωση, τους πελάτες τους που ενδέχεται να επηρεαστούν σχετικά με τυχόν κατάλληλα μέτρα προστασίας τα οποία ενδέχεται να εξετάσουν οι τελευταίοι.

4.   Οι χρηματοοικονομικές οντότητες, εντός των προθεσμιών που καθορίζονται σύμφωνα με το άρθρο 20 πρώτο εδάφιο στοιχείο α) σημείο ii), υποβάλλουν τα ακόλουθα στη σχετική αρμόδια αρχή:

5.   Οι χρηματοοικονομικές οντότητες μπορούν να αναθέτουν, σύμφωνα με το ενωσιακό και εθνικό τομεακό δίκαιο, τις υποχρεώσεις αναφοράς που προβλέπονται στο παρόν άρθρο σε τρίτο πάροχο υπηρεσιών. Σε περίπτωση τέτοιας εξωτερικής ανάθεσης, η χρηματοοικονομική οντότητα παραμένει εξολοκλήρου υπεύθυνη για την εκπλήρωση των απαιτήσεων αναφοράς συμβάντων.

6.   Μετά την παραλαβή της αρχικής κοινοποίησης και κάθε αναφοράς που προβλέπεται στην παράγραφο 4, η αρμόδια αρχή παρέχει εγκαίρως λεπτομερή στοιχεία για το μείζον συμβάν που σχετίζεται με τις ΤΠΕ στους ακόλουθους αποδέκτες με βάση, κατά περίπτωση, τις αντίστοιχες αρμοδιότητές τους:

7.   Μετά την παραλαβή των πληροφοριών σύμφωνα με την παράγραφο 6, η ΕΑΤ, η ΕΑΚΑΑ ή η ΕΑΑΕΣ και η ΕΚΤ, σε συνεννόηση με τον ENISA και σε συνεργασία με τη σχετική αρμόδια αρχή, αξιολογούν αν το μείζον συμβάν που σχετίζεται με τις ΤΠΕ έχει ενδιαφέρον για τις αρμόδιες αρχές σε άλλα κράτη μέλη. Μετά την εν λόγω αξιολόγηση, η ΕΑΤ, η ΕΑΚΑΑ ή η ΕΑΑΕΣ ενημερώνουν σχετικά, το συντομότερο δυνατόν, τις σχετικές αρμόδιες αρχές άλλων κρατών μελών. Η ΕΚΤ ενημερώνει τα μέλη του Ευρωπαϊκού Συστήματος Κεντρικών Τραπεζών για θέματα που σχετίζονται με το σύστημα πληρωμών. Βάσει της εν λόγω ενημέρωσης, οι αρμόδιες αρχές λαμβάνουν, κατά περίπτωση, όλα τα αναγκαία μέτρα για την προστασία της άμεσης σταθερότητας του χρηματοοικονομικού συστήματος.

8.   Η κοινοποίηση που πρέπει να γίνει από την ΕΑΚΑΑ σύμφωνα με την παράγραφο 7 του παρόντος άρθρου δεν θίγει την ευθύνη της αρμόδιας αρχής να διαβιβάζει επειγόντως τις λεπτομέρειες του μείζονος συμβάντος που σχετίζεται με τις ΤΠΕ στη σχετική αρχή του κράτους μέλους υποδοχής, όταν ένα κεντρικό αποθετήριο τίτλων ασκεί σημαντική διασυνοριακή δραστηριότητα στο κράτος μέλος υποδοχής, το μείζον συμβάν που σχετίζεται με τις ΤΠΕ είναι πιθανό να έχει σοβαρές επιπτώσεις στις χρηματοοικονομικές αγορές του κράτους μέλους υποδοχής και όταν υπάρχουν ρυθμίσεις συνεργασίας μεταξύ των αρμόδιων αρχών σχετικά με την εποπτεία των χρηματοοικονομικών οντοτήτων.

1.   Οι ΕΕΑ, μέσω της μεικτής επιτροπής και σε συνεννόηση με την ΕΚΤ και τον ENISA, καταρτίζουν κοινή έκθεση στην οποία αξιολογείται η σκοπιμότητα περαιτέρω συγκέντρωσης της αναφοράς συμβάντων μέσω της δημιουργίας ενός ενιαίου κόμβου της ΕΕ για την αναφορά μείζονος συμβάντος που σχετίζεται με τις ΤΠΕ από τις χρηματοοικονομικές οντότητες. Στην κοινή έκθεση εξετάζονται πιθανοί τρόποι για τη διευκόλυνση της ροής των αναφορών συμβάντων που σχετίζονται με τις ΤΠΕ, τη μείωση των σχετικών δαπανών και τη στήριξη θεματικών αναλύσεων με στόχο την ενίσχυση της εποπτικής σύγκλισης.

2.   Στην κοινή έκθεση που αναφέρεται στην παράγραφο 1 περιλαμβάνονται τουλάχιστον τα εξής στοιχεία:

3.   Οι ΕΕΑ υποβάλλουν στο Ευρωπαϊκό Κοινοβούλιο, στο Συμβούλιο και στην Επιτροπή την έκθεση που αναφέρεται στην παράγραφο 1 έως τις 17 Ιανουαρίου 2025.

1.   Με την επιφύλαξη της τεχνικής συμβολής, των συμβουλών ή των διορθωτικών μέτρων και της επακόλουθης συνέχειας που μπορεί να δοθεί, κατά περίπτωση, σύμφωνα με το εθνικό δίκαιο, από τις CSIRT δυνάμει της οδηγίας (ΕΕ) 2022/2555 η αρμόδια αρχή, μόλις λάβει την αρχική κοινοποίηση και κάθε αναφορά, όπως προβλέπεται στο άρθρο 19 παράγραφος 4, επιβεβαιώνει την παραλαβή και μπορεί, όπου είναι εφικτό, να παρέχει εγκαίρως σχετικές και αναλογικές παρατηρήσεις ή κατευθυντήριες γραμμές υψηλού επιπέδου στη χρηματοοικονομική οντότητα, ιδίως καθιστώντας διαθέσιμες τυχόν σχετικές ανωνυμοποιημένες πληροφορίες και στοιχεία σχετικά με παρόμοιες απειλές, και μπορεί να συζητά τα διορθωτικά μέτρα που εφαρμόζονται στο επίπεδο της χρηματοοικονομικής οντότητας και τους τρόπους ελαχιστοποίησης και μετριασμού των δυσμενών επιπτώσεων σε ολόκληρο τον χρηματοοικονομικό τομέα. Με την επιφύλαξη των εποπτικών παρατηρήσεων που λαμβάνονται, οι χρηματοοικονομικές οντότητες παραμένουν πλήρως υπεύθυνες για τον χειρισμό και για τις συνέπειες των συμβάντων που σχετίζονται με τις ΤΠΕ και αναφέρονται σύμφωνα με το άρθρο 19 παράγραφος 1.

2.   Οι ΕΕΑ, μέσω της μεικτής επιτροπής, αναφέρουν ετησίως σε ανωνυμοποιημένη και συγκεντρωτική βάση τα μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ, των οποίων τα λεπτομερή στοιχεία παρέχονται από τις αρμόδιες αρχές σύμφωνα με το άρθρο 19 παράγραφος 6, εκθέτοντας τουλάχιστον τον αριθμό των μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ, τη φύση τους, τις επιπτώσεις τους στις λειτουργίες των χρηματοοικονομικών οντοτήτων ή των πελατών, τα διορθωτικά μέτρα που λήφθηκαν και τις δαπάνες που πραγματοποιήθηκαν.

Οι ΕΕΑ εκδίδουν προειδοποιήσεις και παράγουν στατιστικά στοιχεία υψηλού επιπέδου προς υποστήριξη των αξιολογήσεων των απειλών και των ευπαθειών για τις ΤΠΕ.

1.   Για τους σκοπούς της αξιολόγησης της ετοιμότητας όσον αφορά τον χειρισμό συμβάντων που σχετίζονται με τις ΤΠΕ, του εντοπισμού αδυναμιών, ελλείψεων και κενών στην ψηφιακή επιχειρησιακή ανθεκτικότητα, καθώς και της άμεσης εφαρμογής διορθωτικών μέτρων, οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, λαμβάνοντας υπόψη τα κριτήρια του άρθρου 4 παράγραφος 2, θεσπίζουν, διατηρούν και επανεξετάζουν ένα άρτιο και ολοκληρωμένο πρόγραμμα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας ως αναπόσπαστο μέρος του πλαισίου διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6.

2.   Το πρόγραμμα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας περιλαμβάνει σειρά αξιολογήσεων, δοκιμών, μεθοδολογιών, πρακτικών και εργαλείων που πρέπει να εφαρμόζονται σύμφωνα με τα άρθρα 25 και 26.

3.   Κατά τη διεξαγωγή του προγράμματος δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου, οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, ακολουθούν προσέγγιση βάσει κινδύνου, λαμβάνοντας υπόψη τα κριτήρια που ορίζονται στο άρθρο 4 παράγραφος 2, συνεκτιμώντας δεόντως το εξελισσόμενο τοπίο του κινδύνου ΤΠΕ, τυχόν ειδικούς κινδύνους στους οποίους εκτίθεται ή ενδέχεται να εκτεθεί η συγκεκριμένη χρηματοοικονομική οντότητα, την κρισιμότητα των πληροφοριακών πόρων και των παρεχόμενων υπηρεσιών, καθώς και κάθε άλλο παράγοντα τον οποίο κρίνει κατάλληλο η χρηματοοικονομική οντότητα.

4.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, διασφαλίζουν ότι οι δοκιμές πραγματοποιούνται από ανεξάρτητους φορείς, εσωτερικούς ή εξωτερικούς. Όταν διενεργούνται δοκιμές από εσωτερικό δοκιμαστή, οι χρηματοοικονομικές οντότητες διαθέτουν επαρκείς πόρους και διασφαλίζουν την αποφυγή συγκρούσεων συμφερόντων καθ’ όλη τη διάρκεια των φάσεων σχεδιασμού και εκτέλεσης της δοκιμής.

5.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, θεσπίζουν διαδικασίες και πολιτικές για την ιεράρχηση, την ταξινόμηση και την επίλυση όλων των ζητημάτων που ανακύπτουν κατά τη διενέργεια των δοκιμών, και καθιερώνουν εσωτερικές μεθοδολογίες επικύρωσης, ώστε να εξακριβώνεται ότι αντιμετωπίζονται πλήρως όλες οι αδυναμίες, οι ελλείψεις ή τα κενά που έχουν διαπιστωθεί.

6.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, διασφαλίζουν τουλάχιστον ετησίως ότι διενεργούνται κατάλληλες δοκιμές σε όλα τα συστήματα και εφαρμογές ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες.

1.   Το πρόγραμμα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας που αναφέρεται στο άρθρο 24 προβλέπει, σύμφωνα με τα κριτήρια του άρθρου 4 παράγραφος 2, τη διενέργεια κατάλληλων δοκιμών, όπως αξιολογήσεις και έλεγχοι ευπαθειών, αναλύσεις ανοικτού κώδικα, αξιολογήσεις ασφάλειας δικτύου, αναλύσεις ελλείψεων, επισκοπήσεις υλικής ασφάλειας, ερωτηματολόγια και λύσεις λογισμικού σάρωσης, επανεξετάσεις πηγαίου κώδικα εφόσον είναι εφικτό, δοκιμές βάσει σεναρίων, δοκιμές συμβατότητας, δοκιμές επιδόσεων, διατερματικές δοκιμές και δοκιμές παρείσδυσης.

2.   Τα κεντρικά αποθετήρια τίτλων και οι κεντρικοί αντισυμβαλλόμενοι διενεργούν αξιολογήσεις ευπαθειών πριν από την υλοποίηση ή αναδιάταξη νέων ή υφιστάμενων εφαρμογών και στοιχείων υποδομής και υπηρεσιών ΤΠΕ που υποστηρίζουν τις κρίσιμες ή σημαντικές λειτουργίες της χρηματοοικονομικής οντότητα.

3.   Οι πολύ μικρές επιχειρήσεις διενεργούν τις δοκιμές που αναφέρονται στην παράγραφο 1 συνδυάζοντας μια προσέγγιση βάσει κινδύνου με στρατηγικό σχεδιασμό των δοκιμών ΤΠΕ, λαμβάνοντας δεόντως υπόψη την ανάγκη διατήρησης ισορροπημένης προσέγγισης μεταξύ της κλίμακας των πόρων και του χρόνου που πρέπει να διατεθεί στις δοκιμές ΤΠΕ σύμφωνα με το παρόν άρθρο, αφενός, και του επείγοντος χαρακτήρα, του είδους του κινδύνου, της κρισιμότητας των πληροφοριακών πόρων και των παρεχόμενων υπηρεσιών, καθώς και κάθε άλλο σχετικό παράγοντα, συμπεριλαμβανομένης της ικανότητας της χρηματοοικονομικής οντότητας να αναλαμβάνει υπολογιζόμενους κινδύνους, αφετέρου.

1.   Οι χρηματοοικονομικές οντότητες, πλην των οντοτήτων που αναφέρονται στο άρθρο 16 παράγραφος 1 πρώτο εδάφιο και των πολύ μικρών επιχειρήσεων, οι οποίες προσδιορίζονται σύμφωνα με την παράγραφο 8 τρίτο εδάφιο του παρόντος άρθρου, διενεργούν τουλάχιστον ανά τριετία προηγμένες δοκιμές μέσω TLPT. Με βάση το προφίλ κινδύνου της χρηματοοικονομικής οντότητας και λαμβάνοντας υπόψη τις επιχειρησιακές συνθήκες, η αρμόδια αρχή μπορεί, εφόσον απαιτείται, να ζητήσει από τη χρηματοοικονομική οντότητα να μειώσει ή να αυξήσει τη συχνότητα αυτή.

2.   Κάθε δοκιμή παρείσδυσης βάσει απειλών καλύπτει μερικές ή όλες τις κρίσιμες ή σημαντικές λειτουργίες μιας χρηματοοικονομικής οντότητας και διενεργείται σε συστήματα παραγωγής που υποστηρίζουν τις εν λόγω λειτουργίες.

Οι χρηματοοικονομικές οντότητες προσδιορίζουν όλα τα σχετικά υποκείμενα συστήματα, διαδικασίες και τεχνολογίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες και υπηρεσίες ΤΠΕ, συμπεριλαμβανομένων όσων υποστηρίζουν τις κρίσιμες ή σημαντικές λειτουργίες που έχουν αποτελέσει αντικείμενο εξωτερικής ανάθεσης ή υπεργολαβίας σε τρίτους παρόχους υπηρεσιών ΤΠΕ.

Οι χρηματοοικονομικές οντότητες αξιολογούν ποιες κρίσιμες ή σημαντικές λειτουργίες είναι ανάγκη να καλύπτονται από τις TLPT. Το αποτέλεσμα της αξιολόγησης αυτής καθορίζει το ακριβές πεδίο των TLPT και επικυρώνεται από τις αρμόδιες αρχές.

3.   Όταν στο πεδίο των TLPT περιλαμβάνονται τρίτοι πάροχοι υπηρεσιών ΤΠΕ, η χρηματοοικονομική οντότητα λαμβάνει τα αναγκαία μέτρα και διασφαλίσεις για να εξασφαλίσει τη συμμετοχή των εν λόγω τρίτων παρόχων υπηρεσιών ΤΠΕ στις TLPT και διατηρεί ανά πάσα στιγμή την πλήρη ευθύνη για τη διασφάλιση της συμμόρφωσης με τον παρόντα κανονισμό.

4.   Με την επιφύλαξη της παραγράφου 2 πρώτο και δεύτερο εδάφιο, όταν η συμμετοχή τρίτου παρόχου υπηρεσιών ΤΠΕ στις TLPT, που αναφέρεται στην παράγραφο 3, αναμένεται ευλόγως να έχει αρνητικό αντίκτυπο στην ποιότητα ή στην ασφάλεια των υπηρεσιών που παρέχονται από τον τρίτο πάροχο υπηρεσιών ΤΠΕ σε πελάτες που είναι οντότητες μη εμπίπτουσες στο πεδίο εφαρμογής του παρόντος κανονισμού, ή στην εμπιστευτικότητα των δεδομένων που σχετίζονται με τις εν λόγω υπηρεσίες, η χρηματοοικονομική οντότητα και ο τρίτος πάροχος υπηρεσιών ΤΠΕ μπορούν να συμφωνήσουν εγγράφως ότι ο τρίτος πάροχος υπηρεσιών ΤΠΕ συνάπτει απευθείας συμβατικές ρυθμίσεις με εξωτερικό δοκιμαστή, για τον σκοπό της διεξαγωγής, υπό τη διεύθυνση μιας ορισθείσας χρηματοοικονομικής οντότητας, ομαδικών TLPT όπου συμμετέχουν διάφορες χρηματοοικονομικές οντότητες (ομαδικές δοκιμές) στις οποίες ο τρίτος πάροχος υπηρεσιών ΤΠΕ παρέχει υπηρεσίες ΤΠΕ.

Οι εν λόγω ομαδικές δοκιμές καλύπτουν το σχετικό φάσμα υπηρεσιών ΤΠΕ που υποστηρίζουν τις κρίσιμες ή σημαντικές λειτουργίες που ανατίθενται στον αντίστοιχο τρίτο πάροχο υπηρεσιών ΤΠΕ από τις χρηματοοικονομικές οντότητες. Οι ομαδικές δοκιμές θεωρούνται TLPT που διενεργούνται από τις χρηματοοικονομικές οντότητες που συμμετέχουν στις ομαδικές δοκιμές.

Ο αριθμός των χρηματοοικονομικών οντοτήτων που συμμετέχουν στις ομαδικές δοκιμές βαθμονομείται δεόντως, λαμβανομένων υπόψη της πολυπλοκότητας και των τύπων των σχετικών υπηρεσιών.

5.   Οι χρηματοοικονομικές οντότητες, σε συνεργασία με τρίτους παρόχους υπηρεσιών ΤΠΕ και άλλα εμπλεκόμενα μέρη, συμπεριλαμβανομένων δοκιμαστών αλλά εξαιρουμένων των αρμόδιων αρχών, εφαρμόζουν αποτελεσματικούς ελέγχους διαχείρισης κινδύνων με σκοπό τη μείωση των κινδύνων όσον αφορά τις πιθανές επιπτώσεις στα δεδομένα, την πρόκληση ζημίας στα περιουσιακά στοιχεία και τη διαταραχή κρίσιμων ή σημαντικών λειτουργιών, υπηρεσιών ή δραστηριοτήτων της ίδιας της χρηματοοικονομικής οντότητας, των αντισυμβαλλομένων της ή του χρηματοοικονομικού τομέα.

6.   Με την ολοκλήρωση της δοκιμής, αφού συμφωνηθούν οι εκθέσεις και τα σχέδια αποκατάστασης, η χρηματοοικονομική οντότητα και, κατά περίπτωση, οι εξωτερικοί δοκιμαστές παρέχουν, στην αρχή που έχει οριστεί σύμφωνα με την παράγραφο 9 ή 10, περίληψη των σχετικών ευρημάτων, των σχεδίων αποκατάστασης και της τεκμηρίωσης που αποδεικνύει ότι η TLPT διενεργήθηκε σύμφωνα με τις απαιτήσεις.

7.   Οι αρχές παρέχουν σε χρηματοοικονομικές οντότητες βεβαίωση που επιβεβαιώνει ότι η δοκιμή διενεργήθηκε σύμφωνα με τις απαιτήσεις και τα στοιχεία της τεκμηρίωσης, προκειμένου να καταστεί δυνατή η αμοιβαία αναγνώριση των δοκιμών παρείσδυσης βάσει απειλών μεταξύ των αρμόδιων αρχών. Η χρηματοοικονομική οντότητα κοινοποιεί στη σχετική αρμόδια αρχή τη βεβαίωση, την περίληψη των σχετικών ευρημάτων και τα σχέδια αποκατάστασης.

Με την επιφύλαξη της βεβαίωσης αυτής, οι χρηματοοικονομικές οντότητες παραμένουν ανά πάσα στιγμή πλήρως υπεύθυνες για τις επιπτώσεις των δοκιμών που αναφέρονται στην παράγραφο 4.

8.   Οι χρηματοοικονομικές οντότητες συνάπτουν συμβάσεις με δοκιμαστές για τους σκοπούς της ανάληψης TLPT σύμφωνα με το άρθρο 27. Όταν οι χρηματοοικονομικές οντότητες χρησιμοποιούν εσωτερικούς δοκιμαστές για τους σκοπούς της ανάληψης TLPT, συνάπτουν σύμβαση με εξωτερικούς δοκιμαστές ανά τρεις δοκιμές.

Τα πιστωτικά ιδρύματα τα οποία χαρακτηρίζονται ως σημαντικά σύμφωνα με το άρθρο 6 παράγραφος 4 του κανονισμού (ΕΕ) αριθ. 1024/2013 χρησιμοποιούν μόνο εξωτερικούς δοκιμαστές σύμφωνα με το άρθρο 27 παράγραφος 1 στοιχεία α) έως ε).

Οι αρμόδιες αρχές προσδιορίζουν τις χρηματοοικονομικές οντότητες που υποχρεούνται να διενεργούν TLPT, λαμβάνοντας υπόψη τα κριτήρια που ορίζονται στο άρθρο 4 παράγραφος 2, αξιολογώντας τα ακόλουθα:

9.   Τα κράτη μέλη μπορούν να ορίσουν μία ενιαία δημόσια αρχή στον χρηματοοικονομικό τομέα ως υπεύθυνη για θέματα σχετικά με τις TLPT στον χρηματοοικονομικό τομέα σε εθνικό επίπεδο και της αναθέτουν όλες τις αρμοδιότητες και τα καθήκοντα για τον σκοπό αυτό.

10.   Ελλείψει ορισμού σύμφωνα με την παράγραφο 9 του παρόντος άρθρου, και με την επιφύλαξη της εξουσίας προσδιορισμού των χρηματοοικονομικών οντοτήτων που απαιτούνται για την εκτέλεση TLPT, μια αρμόδια αρχή μπορεί να αναθέσει την άσκηση ορισμένων ή όλων των καθηκόντων που αναφέρονται στο παρόν άρθρο και στο άρθρο 27 σε άλλη εθνική αρχή του χρηματοοικονομικού τομέα.

11.   Οι ΕΕΑ, σε συμφωνία με την ΕΚΤ, καταρτίζουν κοινά σχέδια ρυθμιστικών τεχνικών προτύπων σύμφωνα με το πλαίσιο TIBER-ΕU, προκειμένου να προσδιορίσουν περαιτέρω:

Κατά την κατάρτιση των εν λόγω σχεδίων ρυθμιστικών τεχνικών προτύπων, οι ΕΕΑ λαμβάνουν δεόντως υπόψη κάθε ειδικό χαρακτηριστικό που προκύπτει από τη διακριτή φύση των δραστηριοτήτων σε διάφορους τομείς χρηματοοικονομικών υπηρεσιών.

Οι ΕΕΑ υποβάλλουν τα εν λόγω σχέδια ρυθμιστικών τεχνικών προτύπων στην Επιτροπή έως τις 17 Ιουλίου 2024.

Ανατίθεται στην Επιτροπή η εξουσία να συμπληρώνει τον παρόντα κανονισμό εκδίδοντας τα ρυθμιστικά τεχνικά πρότυπα που αναφέρονται στο πρώτο εδάφιο, σύμφωνα με τα άρθρα 10 έως 14 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010.

1.   Οι χρηματοοικονομικές οντότητες, για τη διενέργεια TLPT, χρησιμοποιούν μόνο δοκιμαστές οι οποίοι:

2.   Όταν χρησιμοποιούν εσωτερικούς δοκιμαστές, οι χρηματοοικονομικές οντότητες διασφαλίζουν ότι, πέραν των απαιτήσεων στην παράγραφο 1, πληρούνται και οι ακόλουθες προϋποθέσεις:

3.   Οι χρηματοοικονομικές οντότητες διασφαλίζουν ότι οι συμβάσεις που συνάπτονται με εξωτερικούς δοκιμαστές προϋποθέτουν την ορθή διαχείριση των αποτελεσμάτων των TLPT και ότι οποιαδήποτε σχετική επεξεργασία δεδομένων, συμπεριλαμβανομένων τυχόν παραγωγής, αποθήκευσης, συγκέντρωσης, σχεδίου, αναφοράς, επικοινωνίας ή καταστροφής, δεν προκαλεί κινδύνους για τη χρηματοοικονομική οντότητα.

1.   Οι χρηματοοικονομικές οντότητες διαχειρίζονται τον κίνδυνο τρίτων παρόχων ΤΠΕ ως αναπόσπαστο στοιχείο των κινδύνων ΤΠΕ εντός του πλαισίου τους διαχείρισης κινδύνων ΤΠΕ όπως αναφέρεται στο άρθρο 6 παράγραφος 1 και σύμφωνα με τις ακόλουθες αρχές:

2.   Στο πλαίσιο της διαχείρισης κινδύνου ΤΠΕ, οι χρηματοοικονομικές οντότητες, εκτός των οντοτήτων που αναφέρονται στο άρθρο 16 παράγραφος 1 πρώτο εδάφιο και εκτός των πολύ μικρών επιχειρήσεων, εγκρίνουν και επανεξετάζουν τακτικά τη στρατηγική για τους κινδύνους τρίτων παρόχων ΤΠΕ, λαμβάνοντας υπόψη τη στρατηγική πολλαπλών προμηθευτών που αναφέρεται στο άρθρο 6 παράγραφος 9, κατά περίπτωση. Η στρατηγική για τη διαχείριση κινδύνου τρίτων παρόχων ΤΠΕ περιλαμβάνει πολιτική για τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κριτικές ή σημαντικές λειτουργίες, οι οποίες παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ και εφαρμόζεται σε μεμονωμένη βάση και, ανάλογα με την περίπτωση, σε υποενοποιημένη και ενοποιημένη βάση. Το διοικητικό όργανο, βάσει αξιολόγησης του συνολικού προφίλ κινδύνου της χρηματοοικονομικής οντότητας και της κλίμακας και της πολυπλοκότητας των επιχειρηματικών υπηρεσιών, επανεξετάζει τακτικά τους κινδύνους που εντοπίζονται σε σχέση με συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες.

3.   Στο πλαίσιο της διαχείρισης κινδύνου ΤΠΕ, οι χρηματοοικονομικές οντότητες τηρούν και επικαιροποιούν σε επίπεδο οντότητας και σε υποενοποιημένο και ενοποιημένο επίπεδο, μητρώο πληροφοριών όσον αφορά το σύνολο των συμβατικών ρυθμίσεων σχετικά με τη χρήση υπηρεσιών ΤΠΕ που παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ.

Οι συμβατικές ρυθμίσεις που αναφέρονται στο πρώτο εδάφιο τεκμηριώνονται κατάλληλα, με διαχωρισμό των ρυθμίσεων που καλύπτουν υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες από τις υπόλοιπες ρυθμίσεις.

Οι χρηματοοικονομικές οντότητες αναφέρουν στις αρμόδιες αρχές, τουλάχιστον ετησίως, τον αριθμό των νέων συμβατικών ρυθμίσεων για τη χρήση υπηρεσιών ΤΠΕ, τις κατηγορίες τρίτων παρόχων υπηρεσιών ΤΠΕ, το είδος των συμβατικών ρυθμίσεων και τις παρεχόμενες υπηρεσίες και λειτουργίες ΤΠΕ.

Οι χρηματοοικονομικές οντότητες θέτουν στη διάθεση της αρμόδιας αρχής, κατόπιν αιτήματός της, το πλήρες μητρώο πληροφοριών ή, εφόσον ζητείται, συγκεκριμένα τμήματα αυτού, καθώς και κάθε πληροφορία που κρίνεται απαραίτητη για την αποτελεσματική εποπτεία της χρηματοοικονομικής οντότητας.

Οι χρηματοοικονομικές οντότητες ενημερώνουν εγκαίρως την αρμόδια αρχή για οποιαδήποτε προγραμματισμένη συμβατική ρύθμιση σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, καθώς και για τη χρονική στιγμή κατά την οποία καθίσταται κρίσιμη ή σημαντική μια λειτουργία.

4.   Πριν από τη σύναψη συμβατικής ρύθμισης σχετικά με τη χρήση υπηρεσιών ΤΠΕ, οι χρηματοοικονομικές οντότητες:

5.   Οι χρηματοοικονομικές οντότητες μπορούν να συνάπτουν συμβατικές ρυθμίσεις μόνο με τρίτους παρόχους υπηρεσιών ΤΠΕ που συμμορφώνονται με κατάλληλα πρότυπα ασφάλειας των πληροφοριών. Όταν οι εν λόγω συμβατικές ρυθμίσεις αφορούν κρίσιμες ή σημαντικές λειτουργίες, οι χρηματοοικονομικές οντότητες, πριν από τη σύναψη των ρυθμίσεων, λαμβάνουν δεόντως υπόψη τη χρήση, από τρίτους παρόχους υπηρεσιών ΤΠΕ, των πλέον επικαιροποιημένων και ύψιστης ποιότητας προτύπων ασφάλειας πληροφοριών.

6.   Κατά την άσκηση των δικαιωμάτων πρόσβασης, επιθεώρησης και ελέγχου έναντι του τρίτου παρόχου υπηρεσιών ΤΠΕ, οι χρηματοοικονομικές οντότητες προκαθορίζουν, σύμφωνα με την προσέγγιση βάσει κινδύνων, τη συχνότητα των ελέγχων και των επιθεωρήσεων, καθώς και τους τομείς που πρέπει να ελέγχονται μέσω της τήρησης κοινώς αποδεκτών προτύπων ελέγχου σύμφωνα με τυχόν εποπτικές οδηγίες σχετικά με τη χρήση και την ενσωμάτωση προτύπων ελέγχου αυτού του είδους.

Όταν οι συμβατικές ρυθμίσεις που συνάπτονται με τρίτους παρόχους υπηρεσιών ΤΠΕ σχετικά με τη χρήση υπηρεσιών ΤΠΕ συνεπάγονται υψηλή τεχνική πολυπλοκότητα, η χρηματοοικονομική οντότητα εξακριβώνει αν οι ελεγκτές, είτε πρόκειται για εσωτερικούς ή εξωτερικούς είτε για ομάδα ελεγκτών, διαθέτουν τις κατάλληλες δεξιότητες και γνώσεις για την αποτελεσματική διενέργεια των σχετικών ελέγχων και αξιολογήσεων.

7.   Οι χρηματοοικονομικές οντότητες διασφαλίζουν ότι οι συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ μπορούν να καταγγέλλονται όταν συντρέχει οποιαδήποτε από τις παρακάτω συνθήκες:

8.   Για τις υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, οι χρηματοοικονομικές οντότητες θέτουν σε εφαρμογή στρατηγικές εξόδου. Οι στρατηγικές εξόδου λαμβάνουν υπόψη τους κινδύνους που ενδέχεται να ανακύψουν στο επίπεδο των τρίτων παρόχων υπηρεσιών ΤΠΕ, ιδίως όσον αφορά την πιθανότητα αθέτησης υποχρεώσεων εκ μέρους τους, την υποβάθμιση της ποιότητας των παρεχόμενων υπηρεσιών ΤΠΕ, τυχόν διαταραχή της δραστηριότητας λόγω ακατάλληλης ή μη παροχής υπηρεσιών ΤΠΕ ή οποιονδήποτε σημαντικό κίνδυνο που ανακύπτει σε σχέση με την ενδεδειγμένη και συνεχή ανάπτυξη της αντίστοιχης υπηρεσίας ΤΠΕ ή την καταγγελία συμβατικών ρυθμίσεων με τρίτους παρόχους υπηρεσιών ΤΠΕ υπό οποιαδήποτε από τις περιστάσεις οι οποίες προβλέπονται στην παράγραφο 7.

Οι χρηματοοικονομικές οντότητες διασφαλίζουν ότι είναι σε θέση να αποχωρήσουν από συμβατικές ρυθμίσεις:

Τα σχέδια εξόδου είναι πλήρη, τεκμηριωμένα και, σύμφωνα με τα κριτήρια που ορίζονται στο άρθρο 4 παράγραφος 2, υποβάλλονται σε επαρκείς δοκιμές και επανεξετάζονται περιοδικά.

Οι χρηματοοικονομικές οντότητες προσδιορίζουν εναλλακτικές λύσεις και καταρτίζουν μεταβατικά σχέδια που τους παρέχουν τη δυνατότητα να αφαιρέσουν τις συμβατικές υπηρεσίες ΤΠΕ και τα σχετικά δεδομένα από τον τρίτο πάροχο υπηρεσιών ΤΠΕ και να τα μεταφέρουν με ασφαλή και ολοκληρωμένο τρόπο σε εναλλακτικούς παρόχους ή να τα ενσωματώνουν εκ νέου εντός της επιχείρησης.

Οι χρηματοοικονομικές οντότητες θέτουν σε εφαρμογή ενδεδειγμένα μέτρα έκτακτης ανάγκης για τη διατήρηση της επιχειρησιακής συνέχειας, εφόσον συντρέχουν οι συνθήκες που αναφέρονται στο πρώτο εδάφιο.

9.   Οι ΕΕΑ καταρτίζουν, μέσω της μεικτής επιτροπής, σχέδια εκτελεστικών τεχνικών προτύπων για τη δημιουργία των τυποποιημένων υποδειγμάτων για τους σκοπούς του μητρώου πληροφοριών που αναφέρεται στην παράγραφο 3, συμπεριλαμβανομένων των πληροφοριών που είναι κοινές σε όλες τις συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ. Οι ΕΕΑ υποβάλλουν τα εν λόγω σχέδια εκτελεστικών τεχνικών προτύπων στην Επιτροπή έως τις 17 Ιανουαρίου 2024.

Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει τα εκτελεστικά τεχνικά πρότυπα που αναφέρονται στο πρώτο εδάφιο, σύμφωνα με το άρθρο 15 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010.

10.   Οι ΕΕΑ, μέσω της μεικτής επιτροπής, καταρτίζουν σχέδια ρυθμιστικών τεχνικών προτύπων για τον περαιτέρω προσδιορισμό των λεπτομερειών του περιεχομένου της πολιτικής που αναφέρεται στην παράγραφο 2 σε σχέση με τις συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες που παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ.

Κατά την κατάρτιση των εν λόγω σχεδίων ρυθμιστικών τεχνικών προτύπων, οι ΕΕΑ λαμβάνουν υπόψη το μέγεθος και το συνολικό προφίλ κινδύνου της χρηματοοικονομικής οντότητας, και τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών, των δραστηριοτήτων και των λειτουργιών της. Οι ΕΕΑ υποβάλλουν τα εν λόγω σχέδια εκτελεστικών τεχνικών προτύπων στην Επιτροπή έως τις 17 Ιανουαρίου 2024.

Ανατίθεται στην Επιτροπή η εξουσία να συμπληρώνει τον παρόντα κανονισμό εκδίδοντας τα ρυθμιστικά τεχνικά πρότυπα που αναφέρονται στο πρώτο εδάφιο, σύμφωνα με τα άρθρα 10 έως 14 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010.

1.   Κατά τον προσδιορισμό και την αξιολόγηση των κινδύνων που αναφέρονται στο άρθρο 28 παράγραφος 4 στοιχείο γ), οι χρηματοοικονομικές οντότητες λαμβάνουν επίσης υπόψη αν η προβλεπόμενη σύναψη συμβατικής ρύθμισης σε σχέση με υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες μπορεί να έχει οποιοδήποτε από τα ακόλουθα αποτελέσματα:

Οι χρηματοοικονομικές οντότητες σταθμίζουν τα οφέλη και το κόστος εναλλακτικών λύσεων, όπως η χρήση διαφορετικών τρίτων παρόχων υπηρεσιών ΤΠΕ, λαμβάνοντας υπόψη αν και με ποιον τρόπο οι προτεινόμενες λύσεις ανταποκρίνονται στις επιχειρηματικές ανάγκες και τους στόχους που καθορίζονται στην οικεία στρατηγική ψηφιακής ανθεκτικότητας.

2.   Όταν οι συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες περιλαμβάνουν την πιθανότητα ένας τρίτος πάροχος υπηρεσιών ΤΠΕ να αναθέσει περαιτέρω με υπεργολαβία υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμη ή σημαντική λειτουργία σε άλλους τρίτους παρόχους υπηρεσιών ΤΠΕ, οι χρηματοοικονομικές οντότητες σταθμίζουν τα οφέλη και τους κινδύνους που ενδέχεται να προκύψουν σε σχέση με την εν λόγω πιθανή υπεργολαβία, ιδίως σε περίπτωση υπεργολάβου ΤΠΕ εγκατεστημένου σε τρίτη χώρα.

Όταν οι συμβατικές ρυθμίσεις αφορούν υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, οι χρηματοοικονομικές οντότητες λαμβάνουν δεόντως υπόψη τις διατάξεις της νομοθεσίας περί αφερεγγυότητας που θα ίσχυαν σε περίπτωση πτώχευσης του τρίτου παρόχου υπηρεσιών ΤΠΕ, καθώς και κάθε περιορισμό που ενδέχεται να ανακύψει σε σχέση με την επείγουσα ανάκτηση των δεδομένων της χρηματοοικονομικής οντότητας.

Όταν συνάπτονται συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες με τρίτο πάροχο υπηρεσιών ΤΠΕ εγκατεστημένο σε τρίτη χώρα, οι χρηματοοικονομικές οντότητες, πέραν των εκτιμήσεων που αναφέρονται στο δεύτερο εδάφιο, εξετάζουν επίσης τη συμμόρφωση με τους κανόνες της Ένωσης για την προστασία των δεδομένων και την αποτελεσματική επιβολή του δικαίου στην εν λόγω τρίτη χώρα.

Όταν οι συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες προβλέπουν υπεργολαβική ανάθεση, οι χρηματοοικονομικές οντότητες αξιολογούν αν και με ποιον τρόπο μπορούν οι δυνητικά μεγάλες και πολύπλοκες αλυσίδες υπεργολαβικής ανάθεσης να επηρεάσουν την ικανότητά τους να παρακολουθούν πλήρως τις λειτουργίες που αποτελούν αντικείμενο ανάθεσης, καθώς και την ικανότητα της αρμόδιας αρχής να εποπτεύει αποτελεσματικά τη χρηματοοικονομική οντότητα στο πλαίσιο αυτό.

1.   Τα δικαιώματα και οι υποχρεώσεις της χρηματοοικονομικής οντότητας και του τρίτου παρόχου υπηρεσιών ΤΠΕ επιμερίζονται με σαφήνεια και καθορίζονται εγγράφως. Η πλήρης σύμβαση περιλαμβάνει τις συμφωνίες επιπέδου εξυπηρέτησης και τεκμηριώνεται με έγγραφο το οποίο τίθεται στη διάθεση των συμβαλλομένων σε έντυπη μορφή, ή με έγγραφο σε άλλο τηλεφορτώσιμο, σταθερό και προσβάσιμο μορφότυπο.

2.   Οι συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ περιλαμβάνουν τουλάχιστον τα ακόλουθα στοιχεία:

3.   Οι συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες περιλαμβάνουν, επιπλέον των στοιχείων που αναφέρονται στην παράγραφο 2, τουλάχιστον τα ακόλουθα:

Κατά παρέκκλιση από το στοιχείο ε), ο τρίτος πάροχος υπηρεσιών ΤΠΕ και η χρηματοοικονομική οντότητα που αποτελεί πολύ μικρή επιχείρηση μπορούν να συμφωνήσουν ότι τα δικαιώματα πρόσβασης, επιθεώρησης και ελέγχου της χρηματοοικονομικής οντότητας μπορούν να ανατεθούν σε ανεξάρτητο τρίτο μέρος, το οποίο ορίζεται από τον τρίτο πάροχο υπηρεσιών ΤΠΕ, και ότι η χρηματοοικονομική οντότητα είναι σε θέση να ζητήσει από το τρίτο μέρος ανά πάσα στιγμή πληροφορίες και διαβεβαιώσεις σχετικά με τις επιδόσεις του τρίτου παρόχου υπηρεσιών ΤΠΕ.

4.   Κατά τη διαπραγμάτευση των συμβατικών ρυθμίσεων, οι χρηματοοικονομικές οντότητες και οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ λαμβάνουν υπόψη τη χρήση τυποποιημένων συμβατικών ρητρών που έχουν καταρτισθεί από τις αρμόδιες αρχές για συγκεκριμένες υπηρεσίες.

5.   Οι ΕΕΑ καταρτίζουν, μέσω της μεικτής επιτροπής, σχέδια ρυθμιστικών τεχνικών προτύπων για τον περαιτέρω προσδιορισμό των στοιχείων της παραγράφου 2 στοιχείο α) τα οποία πρέπει να καθορίζει και να αξιολογεί η χρηματοοικονομική οντότητα κατά την υπεργολαβική ανάθεση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες.

Κατά την κατάρτιση των εν λόγω σχεδίων ρυθμιστικών τεχνικών προτύπων, οι ΕΕΑ λαμβάνουν υπόψη το μέγεθος και το συνολικό προφίλ κινδύνου της χρηματοοικονομικής οντότητας και τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών, των δραστηριοτήτων και των λειτουργιών της.

Οι ΕΕΑ υποβάλλουν τα εν λόγω σχέδια ρυθμιστικών τεχνικών προτύπων στην Επιτροπή έως τις 17 Ιουλίου 2024.

Ανατίθεται στην Επιτροπή η εξουσία να συμπληρώνει τον παρόντα κανονισμό εκδίδοντας τα ρυθμιστικά τεχνικά πρότυπα που αναφέρονται στο πρώτο εδάφιο, σύμφωνα με τα άρθρα 10 έως 14 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010.

1.   Οι ΕΕΑ, μέσω της μεικτής επιτροπής και κατόπιν σύστασης του φόρουμ εποπτείας που συγκροτείται βάσει του άρθρου 32 παράγραφος 1:

2.   Ο ορισμός που αναφέρεται στην παράγραφο 1 στοιχείο α) βασίζεται σε όλα τα ακόλουθα κριτήρια σε σχέση με τις υπηρεσίες ΤΠΕ που παρέχονται από τρίτο πάροχο υπηρεσιών ΤΠΕ:

3.   Όταν ο τρίτος πάροχος υπηρεσιών ΤΠΕ ανήκει σε όμιλο, τα κριτήρια που αναφέρονται στην παράγραφο 2 λαμβάνονται υπόψη σε σχέση με τις υπηρεσίες ΤΠΕ που παρέχονται από τον όμιλο στο σύνολό του.

4.   Οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ που αποτελούν μέρος ομίλου ορίζουν ένα νομικό πρόσωπο ως σημείο συντονισμού για τη διασφάλιση επαρκούς εκπροσώπησης και επικοινωνίας με τον κύριο εποπτικό φορέα.

5.   Ο κύριος εποπτικός φορέας κοινοποιεί στον τρίτο πάροχο υπηρεσιών ΤΠΕ το αποτέλεσμα της αξιολόγησης που οδηγεί στον ορισμό που αναφέρεται στην παράγραφο 1 στοιχείο α). Εντός 6 εβδομάδων από την ημερομηνία της κοινοποίησης, ο τρίτος πάροχος υπηρεσιών ΤΠΕ μπορεί να υποβάλει στον κύριο εποπτικό φορέα αιτιολογημένη δήλωση με κάθε σχετική πληροφορία για τους σκοπούς της αξιολόγησης. Ο κύριος εποπτικός φορέας εξετάζει την αιτιολογημένη δήλωση και μπορεί να ζητήσει την υποβολή πρόσθετων πληροφοριών εντός 30 ημερολογιακών ημερών από την παραλαβή της εν λόγω δήλωσης.

Μετά τον ορισμό τρίτου παρόχου υπηρεσιών ΤΠΕ ως κρίσιμου, οι ΕΕΑ, μέσω της μεικτής επιτροπής, κοινοποιούν στον τρίτο πάροχο υπηρεσιών ΤΠΕ τον εν λόγω ορισμό και την ημερομηνία έναρξης από την οποία θα υπόκεινται ουσιαστικά σε δραστηριότητες εποπτείας. Η εν λόγω ημερομηνία έναρξης δεν υπερβαίνει τον ένα μήνα μετά την κοινοποίηση. Ο τρίτος πάροχος υπηρεσιών ΤΠΕ κοινοποιεί στις χρηματοοικονομικές οντότητες στις οποίες παρέχει υπηρεσίες τον χαρακτηρισμό τους ως κρίσιμων.

6.   Ανατίθεται στην Επιτροπή η εξουσία να εκδώσει κατ’ εξουσιοδότηση πράξη, σύμφωνα με το άρθρο 57, για τη συμπλήρωση του παρόντος κανονισμού, προσδιορίζοντας περαιτέρω τα κριτήρια που προβλέπονται στην παράγραφο 2 του παρόντος άρθρου έως τις 17 Ιουλίου 2024.

7.   Ο ορισμός που αναφέρεται στην παράγραφο 1 στοιχείο α) δεν χρησιμοποιείται έως ότου η Επιτροπή εκδώσει κατ’ εξουσιοδότηση πράξη σύμφωνα με την παράγραφο 6.

8.   Ο ορισμός που αναφέρεται στην παράγραφο 1 στοιχείο α) δεν εφαρμόζεται στα ακόλουθα:

9.   Οι ΕΕΑ, μέσω της μεικτής επιτροπής, καταρτίζουν, δημοσιεύουν και επικαιροποιούν ετησίως τον κατάλογο των κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ σε επίπεδο Ένωσης.

10.   Για τους σκοπούς της παραγράφου 1 στοιχείο α), οι αρμόδιες αρχές διαβιβάζουν, σε ετήσια και συγκεντρωτική βάση, τις εκθέσεις που αναφέρονται στο άρθρο 28 παράγραφος 3 τρίτο εδάφιο στο φόρουμ εποπτείας, το οποίο συγκροτείται σύμφωνα με το άρθρο 32. Το φόρουμ εποπτείας αξιολογεί τις εξαρτήσεις των τρίτων παρόχων ΤΠΕ από χρηματοοικονομικές οντότητες βάσει των πληροφοριών που λαμβάνει από τις αρμόδιες αρχές.

11.   Οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ που δεν περιλαμβάνονται στον κατάλογο που αναφέρεται στην παράγραφο 9 μπορούν να ζητήσουν να οριστούν ως κρίσιμοι σύμφωνα με την παράγραφο 1 στοιχείο α).

Για τους σκοπούς του πρώτου εδαφίου, ο τρίτος πάροχος υπηρεσιών ΤΠΕ υποβάλλει αιτιολογημένη αίτηση στην ΕΑΤ, την ΕΑΚΑΑ ή την ΕΑΑΕΣ, οι οποίες αποφασίζουν, μέσω της μεικτής επιτροπής, αν ο εν λόγω τρίτος πάροχος υπηρεσιών ΤΠΕ θα οριστεί ως κρίσιμος σύμφωνα με την παράγραφο 1 στοιχείο α).

Η απόφαση που αναφέρεται στο δεύτερο εδάφιο εκδίδεται και κοινοποιείται στον τρίτο πάροχο υπηρεσιών ΤΠΕ εντός 6 μηνών από την παραλαβή της αίτησης.

12.   Οι χρηματοοικονομικές οντότητες χρησιμοποιούν τις υπηρεσίες τρίτου παρόχου υπηρεσιών ΤΠΕ που είναι εγκατεστημένος σε τρίτη χώρα και έχει οριστεί ως κρίσιμος, σύμφωνα με την παράγραφο 1 στοιχείο α) μόνο εφόσον ο εν λόγω πάροχος έχει εγκαταστήσει θυγατρική στην Ένωση εντός των 12 μηνών μετά τον ορισμό.

13.   Ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ που αναφέρεται στην παράγραφο 12 κοινοποιεί στον κύριο εποπτικό φορέα τυχόν αλλαγές στη δομή της διοίκησης της θυγατρικής που είναι εγκατεστημένη στην Ένωση.

1.   Η μεικτή επιτροπή συγκροτεί, σύμφωνα με το άρθρο 57 παράγραφος 1 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010, το φόρουμ εποπτείας ως υποεπιτροπή για τους σκοπούς της υποστήριξης των εργασιών της μεικτής επιτροπής και του κύριου εποπτικού φορέα που αναφέρεται στο άρθρο 31 παράγραφος 1 στοιχείο β) όσον αφορά τους κινδύνους τρίτων παρόχων ΤΠΕ σε όλους τους χρηματοοικονομικούς τομείς. Το φόρουμ εποπτείας καταρτίζει τα σχέδια κοινών θέσεων και τα σχέδια κοινών πράξεων της μεικτής επιτροπής στο πεδίο αυτό.

Το φόρουμ εποπτείας συζητά τακτικά τις σχετικές εξελίξεις όσον αφορά τους κινδύνους και τις ευπάθειες των ΤΠΕ και προωθεί την υιοθέτηση συνεκτικής προσέγγισης για την παρακολούθηση των κινδύνων τρίτων παρόχων ΤΠΕ στο επίπεδο της Ένωσης.

2.   Το φόρουμ εποπτείας προβαίνει ετησίως σε συλλογική αξιολόγηση των αποτελεσμάτων και των ευρημάτων των εποπτικών δραστηριοτήτων που διεξάγονται για όλους τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ και προωθεί μέτρα συντονισμού με σκοπό την αύξηση της ψηφιακής επιχειρησιακής ανθεκτικότητας των χρηματοοικονομικών οντοτήτων, την προώθηση βέλτιστων πρακτικών αντιμετώπισης του κινδύνου συγκέντρωσης ΤΠΕ και τη διερεύνηση μέσων μετριασμού σε περιπτώσεις διατομεακής μεταφοράς κινδύνων.

3.   Το φόρουμ εποπτείας υποβάλλει γενικούς δείκτες αναφοράς για κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ προς έγκριση από τη μεικτή επιτροπή ως κοινές θέσεις των ΕΕΑ, σύμφωνα με το άρθρο 56 παράγραφος 1 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010.

4.   Το φόρουμ εποπτείας απαρτίζεται από:

Το φόρουμ εποπτείας μπορεί, κατά περίπτωση, να ζητεί τη γνώμη ανεξάρτητων εμπειρογνωμόνων που διορίζονται σύμφωνα με την παράγραφο 6.

5.   Κάθε κράτος μέλος ορίζει τη σχετική αρμόδια αρχή της οποίας το μέλος του προσωπικού είναι ο υψηλόβαθμος εκπρόσωπος που αναφέρεται στην παράγραφο 4 πρώτο εδάφιο στοιχείο β), και ενημερώνει σχετικά τον κύριο εποπτικό φορέα.

Οι ΕΕΑ δημοσιεύουν στον ιστότοπό τους τον κατάλογο των υψηλόβαθμων εκπροσώπων προερχόμενων από το εν ενεργεία προσωπικό της σχετικής αρμόδιας αρχής που ορίζονται από τα κράτη μέλη.

6.   Το φόρουμ εποπτείας ορίζει τους αναφερόμενους στην παράγραφο 4 δεύτερο εδάφιο ανεξάρτητους εμπειρογνώμονες από ομάδα εμπειρογνωμόνων που επιλέγονται με δημόσια και διαφανή διαδικασία υποβολής αιτήσεων.

Οι ανεξάρτητοι εμπειρογνώμονες διορίζονται με βάση την εμπειρογνωσία τους σε θέματα χρηματοοικονομικής σταθερότητας, ψηφιακής επιχειρησιακής ανθεκτικότητας και ασφάλειας. Ενεργούν ανεξάρτητα και αντικειμενικά αποκλειστικά προς το συμφέρον της Ένωσης συνολικά και ούτε ζητούν ούτε δέχονται οδηγίες από θεσμικά όργανα ή οργανισμούς της Ένωσης, από οποιαδήποτε κυβέρνηση κράτους μέλους ή από οποιονδήποτε άλλον δημόσιο ή ιδιωτικό φορέα.

7.   Σύμφωνα με το άρθρο 16 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010, οι ΕΕΑ έως τις 17 Ιουλίου 2024 εκδίδουν, για τους σκοπούς του παρόντος τμήματος, κατευθυντήριες γραμμές σχετικά με τη συνεργασία μεταξύ των ΕΕΑ και των αρμόδιων αρχών οι οποίες καλύπτουν τις λεπτομερείς διαδικασίες και προϋποθέσεις για την κατανομή και την εκτέλεση των καθηκόντων μεταξύ των αρμόδιων αρχών και των ΕΕΑ, καθώς και τις λεπτομέρειες σχετικά με την ανταλλαγή των πληροφοριών οι οποίες είναι απαραίτητες για τις αρμόδιες αρχές, προκειμένου να διασφαλιστεί ότι δίνεται συνέχεια στις συστάσεις που απευθύνονται σύμφωνα με το άρθρο 35 παράγραφος 1 στοιχείο δ) σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ.

8.   Οι απαιτήσεις που ορίζονται στο παρόν τμήμα δεν θίγουν την εφαρμογή της οδηγίας (ΕΕ) 2022/2555 και άλλων κανόνων της Ένωσης για την εποπτεία που εφαρμόζεται σε παρόχους υπηρεσιών υπολογιστικού νέφους.

9.   Οι ΕΕΑ, μέσω της μεικτής επιτροπής και βάσει των προπαρασκευαστικών εργασιών που διεξάγονται από το φόρουμ εποπτείας, υποβάλλουν ετησίως στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο και την Επιτροπή έκθεση σχετικά με την εφαρμογή του παρόντος τμήματος.

1.   Ο κύριος εποπτικός φορέας, ο οποίος διορίζεται σύμφωνα με το άρθρο 31 παράγραφος 1 στοιχείο β), ασκεί την εποπτεία των τρίτων παρόχων υπηρεσιών ΤΠΕ που του έχουν ανατεθεί, και είναι, για τους σκοπούς όλων των θεμάτων που σχετίζονται με την εποπτεία, το κύριο σημείο επαφής για τους εν λόγω κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ.

2.   Για τους σκοπούς της παραγράφου 1, ο κύριος εποπτικός φορέας αξιολογεί αν κάθε κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ διαθέτει εμπεριστατωμένους, ορθούς και αποτελεσματικούς κανόνες, διαδικασίες, μηχανισμούς και ρυθμίσεις για τη διαχείριση του κινδύνου ΤΠΕ στον οποίο ενδέχεται να εκθέτει τις χρηματοοικονομικές οντότητες.

Η αξιολόγηση που αναφέρεται στο πρώτο εδάφιο επικεντρώνεται κυρίως στις υπηρεσίες ΤΠΕ που παρέχονται από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και υποστηρίζουν τις κρίσιμες ή σημαντικές λειτουργίες των χρηματοοικονομικών οντοτήτων. Όταν είναι αναγκαίο για την αντιμετώπιση όλων των σχετικών κινδύνων, η εν λόγω αξιολόγηση επεκτείνεται σε υπηρεσίες ΤΠΕ που υποστηρίζουν λειτουργίες πέραν των κρίσιμων ή σημαντικών.

3.   Η αξιολόγηση που αναφέρεται στην παράγραφο 2 καλύπτει:

4.   Με βάση την αξιολόγηση που αναφέρεται στην παράγραφο 2 και σε συντονισμό με το δίκτυο κοινής εποπτείας (ΔΚΕ) που αναφέρεται στο άρθρο 34 παράγραφος 1, ο κύριος εποπτικός φορέας εγκρίνει σαφές, λεπτομερές και τεκμηριωμένο εξατομικευμένο σχέδιο εποπτείας στο οποίο περιγράφονται οι ετήσιοι στόχοι εποπτείας και οι κύριες δράσεις εποπτείας που σχεδιάζονται για κάθε κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ. Το σχέδιο αυτό κοινοποιείται ετησίως στον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ.

Πριν από την έγκριση του σχεδίου εποπτείας, ο κύριος εποπτικός φορέας κοινοποιεί το προσχέδιο εποπτείας στον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ.

Μετά την παραλαβή του προσχεδίου εποπτείας, ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ μπορεί να υποβάλει αιτιολογημένη δήλωση εντός 15 ημερολογιακών ημερών, αποδεικνύοντας τον αναμενόμενο αντίκτυπο στους πελάτες που είναι οντότητες οι οποίες δεν εμπίπτουν στο πεδίο εφαρμογής του παρόντος κανονισμού και, κατά περίπτωση, διατυπώνοντας λύσεις για τον μετριασμό των κινδύνων.

5.   Μόλις εγκριθούν τα ετήσια σχέδια εποπτείας που αναφέρονται στην παράγραφο 4 και κοινοποιηθούν στους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, οι αρμόδιες αρχές δύνανται να λάβουν μέτρα για τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ μόνο κατόπιν συμφωνίας με τον κύριο εποπτικό φορέα.

1.   Για να εξασφαλιστεί συνεπής προσέγγιση των δραστηριοτήτων εποπτείας και με σκοπό να καταστούν δυνατές συντονισμένες στρατηγικές γενικής εποπτείας και συνεκτικές επιχειρησιακές προσεγγίσεις και μεθοδολογίες εργασίας, οι τρεις κύριοι εποπτικοί φορείς, οι οποίοι διορίζονται σύμφωνα με το άρθρο 31 παράγραφος 1 στοιχείο β), συγκροτούν ΔΚΕ, ώστε να συντονίζονται μεταξύ τους κατά τα προπαρασκευαστικά στάδια και να συντονίζουν τη διεξαγωγή των δραστηριοτήτων εποπτείας επί των κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ τους οποίους επιβλέπουν αντίστοιχα, καθώς και σχετικά με κάθε τρόπο δράσης που ενδέχεται να απαιτείται σύμφωνα με το άρθρο 42.

2.   Για τους σκοπούς της παραγράφου 1, οι κύριοι εποπτικοί φορείς καταρτίζουν κοινό πρωτόκολλο εποπτείας στο οποίο καθορίζονται οι λεπτομερείς διαδικασίες που πρέπει να ακολουθούνται για τη διεξαγωγή του καθημερινού συντονισμού και για τη διασφάλιση ταχειών ανταλλαγών και αντιδράσεων. Το πρωτόκολλο αναθεωρείται περιοδικά ώστε να αντικατοπτρίζει τις επιχειρησιακές ανάγκες, ιδίως την εξέλιξη των πρακτικών ρυθμίσεων εποπτείας.

3.   Οι κύριοι εποπτικοί φορείς μπορούν, σε ad hoc βάση, να καλούν την ΕΚΤ και τον ENISA να παρέχουν τεχνικές συμβουλές, να ανταλλάσσουν πρακτικές εμπειρίες ή να συμμετέχουν σε ειδικές συντονιστικές συνεδριάσεις του ΔΚΕ.

1.   Για τους σκοπούς της εκτέλεσης των καθηκόντων που προβλέπονται στο παρόν τμήμα, ο κύριος εποπτικός φορέας διαθέτει τις ακόλουθες εξουσίες όσον αφορά τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ:

2.   Κατά την άσκηση των εξουσιών που αναφέρονται στο παρόν άρθρο, ο κύριος εποπτικός φορέας:

3.   Ο κύριος εποπτικός φορέας ζητεί τη γνώμη του φόρουμ εποπτείας πριν από την άσκηση των εξουσιών που αναφέρονται στην παράγραφο 1.

Πριν από τη διατύπωση συστάσεων σύμφωνα με την παράγραφο 1 στοιχείο δ), ο κύριος εποπτικός φορέας δίνει στον τρίτο πάροχο υπηρεσιών ΤΠΕ την ευκαιρία να παράσχει, εντός 30 ημερολογιακών ημερών, σχετικές πληροφορίες που αποδεικνύουν τον αναμενόμενο αντίκτυπο στους πελάτες που είναι οντότητες οι οποίες δεν εμπίπτουν στο πεδίο εφαρμογής του παρόντος κανονισμού, διατυπώνοντας, κατά περίπτωση, λύσεις για τον μετριασμό των κινδύνων.

4.   Ο κύριος εποπτικός φορέας ενημερώνει το ΔΚΕ για το αποτέλεσμα της άσκησης των εξουσιών που αναφέρονται στην παράγραφο 1 στοιχεία α) και β). Ο κύριος εποπτικός φορέας διαβιβάζει, χωρίς αδικαιολόγητη καθυστέρηση, τις εκθέσεις που αναφέρονται στην παράγραφο 1 στοιχείο γ), στο ΔΚΕ και στις αρμόδιες αρχές των χρηματοοικονομικών οντοτήτων που χρησιμοποιούν τις υπηρεσίες ΤΠΕ του εν λόγω κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ.

5.   Οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ συνεργάζονται καλόπιστα με τον κύριο εποπτικό φορέα και του παρέχουν τη συνδρομή τους κατά την εκπλήρωση των καθηκόντων του.

6.   Σε περίπτωση ολικής ή μερικής μη συμμόρφωσης με τα μέτρα που απαιτείται να ληφθούν σύμφωνα με την εκτέλεση των εξουσιών δυνάμει της παραγράφου 1 στοιχεία α), β) και γ), και μετά την εκπνοή περιόδου τουλάχιστον 30 ημερολογιακών ημερών από την ημερομηνία κατά την οποία ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ έλαβε κοινοποίηση των αντίστοιχων μέτρων, ο κύριος εποπτικός φορέας εκδίδει απόφαση με την οποία επιβάλλει περιοδική χρηματική ποινή για να υποχρεώσει τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ να συμμορφωθεί με τα εν λόγω μέτρα.

7.   Η περιοδική χρηματική ποινή που αναφέρεται στην παράγραφο 6 επιβάλλεται σε ημερήσια βάση έως ότου επιτευχθεί συμμόρφωση και για μέγιστο διάστημα έξι μηνών από την κοινοποίηση της απόφασης επιβολής περιοδικής χρηματικής ποινής στον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ.

8.   Το ύψος της περιοδικής χρηματικής ποινής, το οποίο υπολογίζεται από την ημερομηνία που ορίζεται στην απόφαση επιβολής της περιοδικής χρηματικής ποινής, ανέρχεται έως το 1 % του μέσου ημερήσιου κύκλου εργασιών που πραγματοποίησε παγκοσμίως ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ κατά την προηγούμενη χρήση. Κατά τον καθορισμό του ποσού της χρηματικής ποινής, ο κύριος εποπτικός φορέας λαμβάνει υπόψη τα ακόλουθα κριτήρια όσον αφορά τη μη συμμόρφωση με τα μέτρα που αναφέρονται στην παράγραφο 6:

Για τους σκοπούς του πρώτου εδαφίου, προκειμένου να διασφαλιστεί συνεκτική προσέγγιση, ο κύριος εποπτικός φορέας προβαίνει σε διαβούλευση στο πλαίσιο του ΔΚΕ.

9.   Οι χρηματικές ποινές έχουν διοικητικό χαρακτήρα και είναι εκτελεστές. Η εκτέλεση διέπεται από τους κανόνες της πολιτικής δικονομίας που ισχύουν στο κράτος μέλος στο οποίο πραγματοποιούνται οι επιθεωρήσεις και η πρόσβαση. Τα δικαστήρια του οικείου κράτους μέλους είναι αρμόδια για καταγγελίες που αφορούν την παράτυπη διενέργεια της εκτέλεσης. Τα ποσά των χρηματικών ποινών διοχετεύονται στον γενικό προϋπολογισμό της Ευρωπαϊκής Ένωσης.

10.   Ο κύριος εποπτικός φορέας δημοσιοποιεί κάθε περιοδική χρηματική ποινή που έχει επιβληθεί, εκτός εάν η εν λόγω δημοσιοποίηση θέτει σε σοβαρό κίνδυνο τις χρηματοοικονομικές αγορές ή προκαλεί δυσανάλογη ζημία στα εμπλεκόμενα μέρη.

11.   Πριν από την επιβολή περιοδικής χρηματικής ποινής σύμφωνα με την παράγραφο 6, ο κύριος εποπτικός φορέας παρέχει στους εκπροσώπους του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ που υπόκειται στην πειθαρχική διαδικασία, τη δυνατότητα να εκθέσουν την άποψή τους σχετικά με τα ευρήματα και στηρίζει τις αποφάσεις του μόνο σε ευρήματα για τα οποία είχε την ευκαιρία να διατυπώσει παρατηρήσεις ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ που υπόκειται στην πειθαρχική διαδικασία.

Κατά τη διεξαγωγή της διαδικασίας διασφαλίζονται πλήρως τα δικαιώματα υπεράσπισης των προσώπων που υπόκεινται σε πειθαρχικές διαδικασίες. Ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ που υπόκειται στην εν λόγω διαδικασία έχει δικαίωμα πρόσβασης στον φάκελο, με την επιφύλαξη του έννομου συμφέροντος άλλων προσώπων για την προστασία του επιχειρηματικού απορρήτου τους. Το δικαίωμα πρόσβασης στον φάκελο δεν καλύπτει τις εμπιστευτικές πληροφορίες ή τα προπαρασκευαστικά έγγραφα εσωτερικής χρήσης του κύριου εποπτικού φορέα.

1.   Όταν οι στόχοι εποπτείας δεν μπορούν να επιτευχθούν μέσω αλληλεπίδρασης με τη θυγατρική που έχει συσταθεί για τους σκοπούς του άρθρου 31 παράγραφος 12 ή μέσω άσκησης δραστηριοτήτων εποπτείας σε εγκαταστάσεις που βρίσκονται στην Ένωση, ο κύριος εποπτικός φορέας μπορεί να ασκεί τις εξουσίες που αναφέρονται στις ακόλουθες διατάξεις σε κάθε χώρο που βρίσκεται σε τρίτη χώρα και ανήκει ή χρησιμοποιείται με οποιονδήποτε τρόπο, με σκοπό την παροχή υπηρεσιών σε χρηματοοικονομικές οντότητες της Ένωσης, από κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ, σε σχέση με τις οικείες επιχειρηματικές δραστηριότητες, τις λειτουργίες ή τις υπηρεσίες, μεταξύ άλλων, τυχόν διοικητικές, τις επιχειρήσεις ή τα επιχειρησιακά γραφεία, τις εγκαταστάσεις, τις εκτάσεις, τα κτίρια ή άλλα ακίνητα:

Οι εξουσίες που αναφέρονται στο πρώτο εδάφιο μπορούν να ασκούνται υπό όλες τις ακόλουθες προϋποθέσεις:

2.   Με την επιφύλαξη των αντίστοιχων αρμοδιοτήτων των θεσμικών οργάνων της Ένωσης και των κρατών μελών, για τους σκοπούς της παραγράφου 1, η ΕΑΤ, η ΕΑΚΑΑ ή η ΕΑΑΕΣ, συνάπτουν συμφωνίες διοικητικής συνεργασίας με την αρμόδια αρχή της τρίτης χώρας, προκειμένου να καταστεί δυνατή η ομαλή διεξαγωγή των επιθεωρήσεων στη συγκεκριμένη τρίτη χώρα από τον κύριο εποπτικό φορέα και την ομάδα του που έχει οριστεί για την αποστολή στην εν λόγω τρίτη χώρα. Οι εν λόγω ρυθμίσεις συνεργασίας δεν δημιουργούν νομικές υποχρεώσεις έναντι της Ένωσης και των κρατών μελών της ούτε εμποδίζουν τα κράτη μέλη και τις αρμόδιες αρχές τους να συνάπτουν διμερείς ή πολυμερείς ρυθμίσεις με τις εν λόγω τρίτες χώρες και τις οικείες αρχές τους.

Οι εν λόγω ρυθμίσεις συνεργασίας προσδιορίζουν τουλάχιστον τα ακόλουθα στοιχεία:

3.   Όταν ο κύριος εποπτικός φορέας δεν είναι σε θέση να διεξάγει εποπτικές δραστηριότητες, που αναφέρονται στις παραγράφους 1 και 2, ο κύριος εποπτικός φορέας:

Οι πιθανές συνέπειες που αναφέρονται στο στοιχείο β) του παρόντος εδαφίου λαμβάνονται υπόψη στις συστάσεις του κύριου εποπτικού φορέα που εκδίδονται σύμφωνα με το άρθρο 35 παράγραφος 1 στοιχείο δ).

1.   Ο κύριος εποπτικός φορέας δύναται να ζητήσει από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ, με απλό αίτημα ή με απόφαση, να παράσχει όλες τις απαραίτητες πληροφορίες ώστε ο κύριος εποπτικός φορέας να είναι σε θέση να εκτελέσει τα καθήκοντά του σύμφωνα με τον παρόντα κανονισμό, συμπεριλαμβανομένων όλων των σχετικών επιχειρηματικών ή επιχειρησιακών εγγράφων, των συμβολαίων, των εγγράφων τεκμηρίωσης πολιτικών, των εκθέσεων ελέγχου της ασφάλειας ΤΠΕ, των αναφορών συμβάντων που σχετίζονται με τις ΤΠΕ, καθώς και κάθε πληροφορία σε σχέση με συμβαλλόμενα μέρη στα οποία ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ έχει αναθέσει εξωτερικά επιχειρησιακές λειτουργίες ή δραστηριότητες.

2.   Κατά τη διαβίβαση απλού αιτήματος παροχής πληροφοριών δυνάμει της παραγράφου 1, ο κύριος εποπτικός φορέας:

3.   Κατά την υποβολή, κατόπιν αποφάσεως, αιτήματος παροχής πληροφοριών σύμφωνα με την παράγραφο 1, ο κύριος εποπτικός φορέας:

4.   Οι εκπρόσωποι των κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ παρέχουν τις ζητούμενες πληροφορίες. Οι πληροφορίες μπορούν να παρέχονται από δεόντως εξουσιοδοτημένους δικηγόρους εξ ονόματος των πελατών τους. Ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ εξακολουθεί να ευθύνεται πλήρως για την παροχή ελλιπών, ανακριβών ή παραπλανητικών πληροφοριών.

5.   Ο κύριος εποπτικός φορέας διαβιβάζει αμελλητί αντίγραφο της απόφασης για την παροχή πληροφοριών στις αρμόδιες αρχές των χρηματοοικονομικών οντοτήτων που χρησιμοποιούν τις υπηρεσίες των σχετικών κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ και στο ΔΚΕ.

1.   Για την εκτέλεση των καθηκόντων του σύμφωνα με τον παρόντα κανονισμό, ο κύριος εποπτικός φορέας, επικουρούμενος από την κοινή εξεταστική ομάδα που αναφέρεται στο άρθρο 40 παράγραφος 1, μπορεί, εφόσον απαιτείται, να διεξαγάγει τις απαραίτητες έρευνες σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ:

2.   Ο κύριος εποπτικός φορέας έχει την εξουσία:

3.   Οι υπάλληλοι και άλλα πρόσωπα που εξουσιοδοτούνται από τον κύριο εποπτικό φορέα για τους σκοπούς της έρευνας, κατά τα οριζόμενα στην παράγραφο 1, ασκούν τις εξουσίες τους επιδεικνύοντας έγγραφη εξουσιοδότηση που ορίζει το αντικείμενο και τον σκοπό της έρευνας.

Στην εν λόγω εξουσιοδότηση επισημαίνονται επίσης οι περιοδικές χρηματικές ποινές που προβλέπονται στο άρθρο 35 παράγραφος 6, όταν τα απαιτούμενα αρχεία, τα δεδομένα, οι τεκμηριωμένες διαδικασίες ή οποιοδήποτε άλλο υλικό, ή οι απαντήσεις σε ερωτήσεις που υποβάλλονται σε εκπροσώπους του τρίτου παρόχου υπηρεσιών ΤΠΕ, δεν παρέχονται ή παρουσιάζουν ελλείψεις.

4.   Οι εκπρόσωποι των κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ υποχρεούνται να αποδέχονται τις έρευνες βάσει απόφασης του κύριου εποπτικού φορέα. Η απόφαση προσδιορίζει το αντικείμενο και τον σκοπό της έρευνας, τις περιοδικές χρηματικές ποινές που προβλέπονται στο άρθρο 35 παράγραφος 6, τα ένδικα μέσα που διατίθενται δυνάμει των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010, καθώς και το δικαίωμα επανεξέτασης της απόφασης από το Δικαστήριο.

5.   Πριν από την έναρξη της έρευνας, ο κύριος εποπτικός φορέας ενημερώνει εγκαίρως την αρμόδια αρχή της χρηματοοικονομικής οντότητας που χρησιμοποιεί τις υπηρεσίες ΤΠΕ του εν λόγω κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ σχετικά με την έρευνα και την ταυτότητα των εξουσιοδοτημένων προσώπων.

Ο κύριος εποπτικός φορέας κοινοποιεί στο ΔΚΕ όλες τις πληροφορίες που μεταβιβάζονται σύμφωνα με το πρώτο εδάφιο.

1.   Για την εκπλήρωση των καθηκόντων του σύμφωνα με τον παρόντα κανονισμό, ο κύριος εποπτικός φορέας, επικουρούμενος από τις κοινές εξεταστικές ομάδες που αναφέρονται στο άρθρο 40 παράγραφος 1, μπορεί να εισέλθει και να διενεργήσει όλες τις απαραίτητες επιτόπιες επιθεωρήσεις σε κάθε επιχειρηματικό χώρο, έκταση ή ιδιοκτησία των τρίτων παρόχων υπηρεσιών ΤΠΕ, όπως κεντρικά γραφεία, επιχειρησιακά κέντρα, δευτερεύοντες χώροι, καθώς και να διενεργεί επιθεωρήσεις εξ αποστάσεως.

Για τους σκοπούς της άσκησης των εξουσιών που αναφέρονται στο πρώτο εδάφιο, ο κύριος εποπτικός φορέας συμβουλεύεται το ΔΚΕ.

2.   Οι υπάλληλοι και τα λοιπά άτομα που έχουν εξουσιοδοτηθεί από τον κύριο εποπτικό φορέα για τη διενέργεια επιτόπιας επιθεώρησης έχουν την εξουσία:

Οι υπάλληλοι και τα λοιπά άτομα που έχουν εξουσιοδοτηθεί από τον κύριο εποπτικό φορέα ασκούν τις εξουσίες τους επιδεικνύοντας έγγραφη εξουσιοδότηση που ορίζει το αντικείμενο και τον σκοπό της επιθεώρησης και τις περιοδικές χρηματικές ποινές που προβλέπονται στο άρθρο 35 παράγραφος 6, σε περίπτωση που οι εκπρόσωποι των εν λόγω κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ δεν αποδέχονται την επιθεώρηση.

3.   Πριν από την έναρξη της επιθεώρησης, ο κύριος εποπτικός φορέας ενημερώνει εγκαίρως τις αρμόδιες αρχές των χρηματοοικονομικών οντοτήτων που χρησιμοποιούν τον εν λόγω τρίτο πάροχο υπηρεσιών ΤΠΕ.

4.   Οι επιθεωρήσεις καλύπτουν το πλήρες φάσμα των σχετικών συστημάτων, δικτύων, συσκευών, πληροφοριών και δεδομένων ΤΠΕ που χρησιμοποιούνται ή συμβάλλουν στην παροχή υπηρεσιών ΤΠΕ προς χρηματοοικονομικές οντότητες.

5.   Πριν από κάθε προγραμματισμένη επιτόπια επιθεώρηση, ο κύριος εποπτικός φορέας ειδοποιεί ευλόγως τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, εκτός εάν η ειδοποίηση αυτή δεν είναι δυνατή λόγω καταστάσεων έκτακτης ανάγκης ή κρίσης, ή εάν δημιουργεί κατάσταση κατά την οποία η επιθεώρηση ή ο έλεγχος δεν συνιστούν πλέον αποτελεσματική ενέργεια.

6.   Ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ αποδέχεται τις επιτόπιες επιθεωρήσεις που έχουν διαταχθεί με απόφαση του κύριου εποπτικού φορέα. Η απόφαση προσδιορίζει το αντικείμενο και τον σκοπό της επιθεώρησης, καθορίζει την ημερομηνία έναρξης της επιθεώρησης και αναφέρει τις περιοδικές χρηματικές ποινές που προβλέπονται στο άρθρο 35 παράγραφος 6, τα ένδικα βοηθήματα που είναι διαθέσιμα βάσει των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010, καθώς και το δικαίωμα επανεξέτασης της απόφασης από το Δικαστήριο.

7.   Όταν οι υπάλληλοι και άλλα πρόσωπα που εξουσιοδοτούνται από τον κύριο εποπτικό φορέα διαπιστώσουν ότι ένας κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ προβάλει αντίρρηση για τη διεξαγωγή επιθεώρησης που έχει διαταχθεί σύμφωνα με το παρόν άρθρο, ο κύριος εποπτικός φορέας ενημερώνει τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ σχετικά με τις συνέπειες της αντίρρησης, συμπεριλαμβανομένης της δυνατότητας των αρμόδιων αρχών των σχετικών χρηματοοικονομικών οντοτήτων να απαιτήσουν από τις χρηματοοικονομικές οντότητες να καταγγείλουν τις συμβατικές ρυθμίσεις που έχουν συναφθεί με τον εν λόγω κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ.

1.   Κατά τη διεξαγωγή εποπτικών δραστηριοτήτων, ιδίως γενικών ερευνών ή επιθεωρήσεων, ο κύριος εποπτικός φορέας επικουρείται από την κοινή εξεταστική ομάδα που έχει συγκροτηθεί για κάθε κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ.

2.   Η κοινή εξεταστική ομάδα που αναφέρεται στην παράγραφο 1 απαρτίζεται από μέλη του προσωπικού:

Τα μέλη της κοινής εξεταστικής ομάδας διαθέτουν εμπειρογνωσία όσον αφορά θέματα ΤΠΕ και τον λειτουργικό κίνδυνο. Η κοινή εξεταστική ομάδα εκτελεί τις εργασίες της υπό τον συντονισμό ενός μέλους του προσωπικού που ορίζεται κύριος εποπτικός φορέας (στο εξής: συντονιστής κύριου εποπτικού φορέα).

3.   Εντός 3 μηνών από την ολοκλήρωση μιας έρευνας ή επιθεώρησης, ο κύριος εποπτικός φορέας, κατόπιν διαβούλευσης με το φόρουμ εποπτείας, εγκρίνει συστάσεις τις οποίες πρέπει να απευθύνει στον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ σύμφωνα με τις εξουσίες που αναφέρονται στο άρθρο 35.

4.   Οι συστάσεις που αναφέρονται στην παράγραφο 3 κοινοποιούνται αμέσως στον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και στις αρμόδιες αρχές των χρηματοοικονομικών οντοτήτων στις οποίες παρέχει υπηρεσίες ΤΠΕ.

Για την εκπλήρωση των δραστηριοτήτων εποπτείας, ο κύριος εποπτικός φορέας μπορεί να λαμβάνει υπόψη τυχόν σχετικές πιστοποιήσεις τρίτων και εσωτερικές ή εξωτερικές εκθέσεις ελέγχου τρίτων παρόχων ΤΠΕ, τις οποίες θέτει στη διάθεσή του ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ.

1.   Οι ΕΕΑ, μέσω της μεικτής επιτροπής, καταρτίζουν σχέδια ρυθμιστικών τεχνικών προτύπων με σκοπό να προσδιορίσουν:

2.   Οι ΕΕΑ υποβάλλουν τα εν λόγω σχέδια ρυθμιστικών τεχνικών προτύπων στην Επιτροπή έως τις 17 Ιουλίου 2024.

Ανατίθεται στην Επιτροπή η εξουσία να συμπληρώνει τον παρόντα κανονισμό εκδίδοντας τα ρυθμιστικά τεχνικά πρότυπα που αναφέρονται στην παράγραφο 1, σύμφωνα με τη διαδικασία που ορίζεται στα άρθρα 10 έως 14 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010.

1.   Εντός 60 ημερολογιακών ημερών από την παραλαβή των συστάσεων που εκδίδει ο κύριος εποπτικός φορέας σύμφωνα με το άρθρο 35 παράγραφος 1 στοιχείο δ), οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ είτε ενημερώνουν τον κύριο εποπτικό φορέα για την πρόθεσή τους να ακολουθήσουν τις συστάσεις είτε παρέχουν αιτιολογημένη εξήγηση για τη μη τήρηση των εν λόγω συστάσεων. Ο κύριος εποπτικός φορέας διαβιβάζει αμέσως τις πληροφορίες αυτές στις αρμόδιες αρχές των σχετικών χρηματοοικονομικών οντοτήτων.

2.   Ο κύριος εποπτικός φορέας δημοσιοποιεί το γεγονός ότι ένας κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ δεν ενημερώνει τον κύριο εποπτικό φορέα σύμφωνα με την παράγραφο 1 ή ότι η εξήγηση που παρέχεται από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ δεν κρίνεται επαρκής. Οι πληροφορίες που δημοσιεύονται αποκαλύπτουν την ταυτότητα του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, καθώς και πληροφορίες σχετικά με το είδος και τη φύση της μη συμμόρφωσης. Οι πληροφορίες αυτές περιορίζονται σε ό,τι είναι σημαντικό και αναλογικό για τη διασφάλιση της ευαισθητοποίησης του κοινού, εκτός εάν η δημοσιοποίηση αυτή θα προκαλούσε δυσανάλογη ζημία στα εμπλεκόμενα μέρη ή θα μπορούσε να θέσει σε σοβαρό κίνδυνο την εύρυθμη λειτουργία και την ακεραιότητα των χρηματοοικονομικών αγορών ή τη σταθερότητα ολόκληρου ή μέρους του χρηματοοικονομικού συστήματος της Ένωσης.

Ο κύριος εποπτικός φορέας ενημερώνει τον τρίτο πάροχο υπηρεσιών ΤΠΕ σχετικά με την εν λόγω δημοσιοποίηση.

3.   Οι αρμόδιες αρχές ενημερώνουν τις σχετικές χρηματοοικονομικές οντότητες για τους κινδύνους που προσδιορίζονται στις συστάσεις που απευθύνονται σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ σύμφωνα με το άρθρο 35 παράγραφος 1 στοιχείο δ).

Κατά τη διαχείριση του κινδύνου τρίτων μερών ΤΠΕ, οι χρηματοοικονομικές οντότητες λαμβάνουν υπόψη τους κινδύνους που αναφέρονται στο πρώτο εδάφιο.

4.   Όταν μια αρμόδια αρχή κρίνει ότι μια χρηματοοικονομική οντότητα δεν λαμβάνει υπόψη ή δεν αντιμετωπίζει επαρκώς στο πλαίσιο της διαχείρισης του κινδύνου τρίτων μερών ΤΠΕ τους συγκεκριμένους κινδύνους που προσδιορίζονται στις συστάσεις, κοινοποιεί στη χρηματοοικονομική οντότητα την πιθανότητα να ληφθεί απόφαση, εντός 60 ημερολογιακών ημερών από την παραλαβή της εν λόγω κοινοποίησης, σύμφωνα με την παράγραφο 6, ελλείψει κατάλληλων συμβατικών ρυθμίσεων με στόχο την αντιμετώπιση των εν λόγω κινδύνων.

5.   Μετά την παραλαβή των αναφορών που προβλέπονται στο άρθρο 35 παράγραφος 1 στοιχείο γ) και πριν από τη λήψη της απόφασης όπως αναφέρεται στην παράγραφο 6 του παρόντος άρθρου, οι αρμόδιες αρχές μπορούν, σε προαιρετική βάση, να διαβουλεύονται με τις αρμόδιες αρχές οι οποίες έχουν οριστεί ή συσταθεί σύμφωνα με την οδηγία (ΕΕ) 2022/2555 και είναι υπεύθυνες για την εποπτεία μιας βασικής ή σημαντικής οντότητας που υπόκειται στις διατάξεις της εν λόγω οδηγίας και η οποία έχει οριστεί ως κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ.

6.   Οι αρμόδιες αρχές δύνανται, ως μέτρο έσχατης ανάγκης, μετά την κοινοποίηση και, κατά περίπτωση, τη διαβούλευση κατά τα οριζόμενα στις παραγράφους 4 και 5 του παρόντος άρθρου, σύμφωνα με το άρθρο 50, να λάβουν απόφαση με την οποία απαιτούν από τις χρηματοοικονομικές οντότητες να αναστείλουν προσωρινά, εν μέρει ή πλήρως, τη χρήση ή την ανάπτυξη μιας υπηρεσίας που παρέχεται από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ, έως ότου αντιμετωπιστούν οι κίνδυνοι που προσδιορίζονται στις συστάσεις που απευθύνονται σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ. Εάν κρίνεται σκόπιμο, μπορούν να ζητήσουν από τις χρηματοοικονομικές οντότητες να προβούν σε μερική ή ολική καταγγελία των σχετικών ρυθμίσεων που έχουν συναφθεί με τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ.

7.   Όταν ένας κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ αρνείται να εγκρίνει συστάσεις βασιζόμενος σε αποκλίνουσα προσέγγιση από εκείνη που συνιστά ο κύριος εποπτικός φορέας, και η εν λόγω αποκλίνουσα προσέγγιση μπορεί να επηρεάσει αρνητικά μεγάλο αριθμό χρηματοοικονομικών οντοτήτων ή σημαντικό μέρος του χρηματοοικονομικό τομέα, και οι μεμονωμένες προειδοποιήσεις που εκδίδονται από αρμόδιες αρχές δεν έχουν οδηγήσει σε συνεπείς προσεγγίσεις για τον μετριασμό του δυνητικού κινδύνου για τη χρηματοοικονομική σταθερότητα, ο κύριος εποπτικός φορέας μπορεί, κατόπιν διαβούλευσης με το φόρουμ εποπτείας, να εκδίδει μη δεσμευτικές και μη δημόσιες γνώμες προς τις αρμόδιες αρχές, προκειμένου να προωθήσει συνεπή και συγκλίνοντα εποπτικά μέτρα παρακολούθησης, κατά περίπτωση.

8.   Μετά την παραλαβή των εκθέσεων που αναφέρονται στο άρθρο 35 παράγραφος 1 στοιχείο γ), οι αρμόδιες αρχές, κατά τη λήψη απόφασης που προβλέπεται στην παράγραφο 6 του παρόντος άρθρου, λαμβάνουν υπόψη το είδος και το μέγεθος του κινδύνου που δεν αντιμετωπίστηκε από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ, καθώς και τη σοβαρότητα της μη συμμόρφωσης, λαμβάνοντας υπόψη τα ακόλουθα κριτήρια:

Οι αρμόδιες αρχές παρέχουν στις χρηματοοικονομικές οντότητες το αναγκαίο χρονικό διάστημα, ώστε να μπορέσουν να προσαρμόσουν τις συμβατικές ρυθμίσεις με κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, προκειμένου να αποφευχθούν οι αρνητικές επιπτώσεις στην ψηφιακή επιχειρησιακή ανθεκτικότητά τους και να μπορέσουν να αναπτύξουν στρατηγικές εξόδου και σχέδια μετάβασης όπως αναφέρονται στο άρθρο 28.

9.   Η απόφαση που αναφέρεται στην παράγραφο 6 του παρόντος άρθρου κοινοποιείται στα μέλη του φόρουμ εποπτείας που αναφέρεται στο άρθρο 32 παράγραφος 4 στοιχεία α), β) και γ) και στο ΔΚΕ.

Οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ που επηρεάζονται από τις αποφάσεις της παραγράφου 6 συνεργάζονται πλήρως με τις θιγόμενες χρηματοοικονομικές οντότητες, ιδίως στο πλαίσιο της διαδικασίας αναστολής ή καταγγελίας των συμβατικών τους ρυθμίσεων.

10.   Οι αρμόδιες αρχές ενημερώνουν τακτικά τον κύριο εποπτικό φορέα σχετικά με τις προσεγγίσεις και τα μέτρα που λαμβάνονται κατά την εκτέλεση των εποπτικών καθηκόντων τους σε σχέση με τις χρηματοοικονομικές οντότητες, καθώς και σε σχέση με τις συμβατικές ρυθμίσεις που έχουν συνάψει, σε περίπτωση που οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ δεν έχουν εγκρίνει εν μέρει ή πλήρως τις συστάσεις που τους απηύθυνε ο κύριος εποπτικός φορέας.

11.   Ο κύριος εποπτικός φορέας μπορεί, κατόπιν αιτήματος, να παράσχει περαιτέρω διευκρινίσεις σχετικά με τις εκδοθείσες συστάσεις για να καθοδηγήσει τις αρμόδιες αρχές σχετικά με τα μέτρα παρακολούθησης.

1.   Ο κύριος εποπτικός φορέας χρεώνει, σύμφωνα με την κατ’ εξουσιοδότηση πράξη που αναφέρεται στην παράγραφο 2 του παρόντος άρθρου, κρίσιμες αμοιβές τρίτων παρόχων υπηρεσιών ΤΠΕ που καλύπτουν πλήρως τις αναγκαίες δαπάνες του κύριου εποπτικού φορέα σε σχέση με την εκτέλεση των καθηκόντων εποπτείας σύμφωνα με τον παρόντα κανονισμό, συμπεριλαμβανομένης της επιστροφής τυχόν δαπανών που ενδέχεται να προκύψουν ως αποτέλεσμα των εργασιών της κοινής εξεταστικής ομάδας που αναφέρεται στο άρθρο 40, καθώς και των δαπανών για συμβουλές που παρέχονται από τους ανεξάρτητους εμπειρογνώμονες, όπως αναφέρεται στο άρθρο 32 δεύτερο εδάφιο παράγραφος 4, σε σχέση με θέματα που εμπίπτουν στην αρμοδιότητα των δραστηριοτήτων άμεσης εποπτείας.

Το ύψος των τελών που χρεώνονται σε κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ καλύπτει όλες τις δαπάνες που προκύπτουν ως αποτέλεσμα της εκτέλεσης των καθηκόντων που προβλέπονται στην παρούσα ενότητα και είναι ανάλογο προς τον κύκλο εργασιών του.

2.   Ανατίθεται στην Επιτροπή η εξουσία να εκδώσει κατ’ εξουσιοδότηση πράξη, σύμφωνα με το άρθρο 57, για τη συμπλήρωση του παρόντος κανονισμού με τον προσδιορισμό του ύψους των τελών και του τρόπου καταβολής τους έως τις 17 Ιουλίου 2024.

1.   Με την επιφύλαξη του άρθρου 36, η ΕΑΤ, η ΕΑΚΑΑ και η ΕΑΑΕΣ δύνανται, σύμφωνα με το άρθρο 33 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1095/2010 και (ΕΕ) αριθ. 1094/2010, αντίστοιχα, να συνάπτουν διοικητικές ρυθμίσεις με κανονιστικές και εποπτικές αρχές τρίτων χωρών, με σκοπό την προώθηση της διεθνούς συνεργασίας όσον αφορά τους κινδύνους τρίτων παρόχων ΤΠΕ σε διάφορους χρηματοοικονομικούς τομείς, ιδίως με την ανάπτυξη βέλτιστων πρακτικών για την επανεξέταση των πρακτικών και των ελέγχων διαχείρισης κινδύνων ΤΠΕ, των μέτρων μετριασμού και της αντιμετώπισης συμβάντων.

2.   Οι ΕΕΑ, μέσω της μεικτής επιτροπής, υποβάλλουν ανά πενταετία στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο και την Επιτροπή κοινή εμπιστευτική έκθεση, στην οποία συνοψίζονται τα ευρήματα των σχετικών συζητήσεων που διεξάγονται με τις αρχές τρίτων χωρών που αναφέρονται στην παράγραφο 1, εστιάζοντας στην εξέλιξη των κινδύνων τρίτων παρόχων ΤΠΕ και στις συνέπειες που έχει για τη χρηματοοικονομική σταθερότητα, την ακεραιότητα της αγοράς, την προστασία των επενδυτών ή τη λειτουργία της εσωτερικής αγοράς.

1.   Οι χρηματοοικονομικές οντότητες μπορούν να ανταλλάσσουν μεταξύ τους στοιχεία και πληροφορίες για κυβερνοαπειλές, συμπεριλαμβανομένων των δεικτών έκθεσης σε κίνδυνο, τακτικών, τεχνικών και διαδικασιών, ειδοποιήσεων κυβερνοασφάλειας και εργαλείων παραμετροποίησης, στον βαθμό που η εν λόγω ανταλλαγή στοιχείων και πληροφοριών:

2.   Για τους σκοπούς της παραγράφου 1 στοιχείο γ), οι ρυθμίσεις ανταλλαγής πληροφοριών καθορίζουν τους όρους συμμετοχής και, ανάλογα με την περίπτωση, τις λεπτομέρειες σχετικά με την εξασφάλιση της συμμετοχής των δημόσιων αρχών και την ιδιότητα με την οποία μπορούν να συνδέονται με τις ρυθμίσεις ανταλλαγής πληροφοριών, σχετικά με τη συμμετοχή των τρίτων παρόχων υπηρεσιών ΤΠΕ, καθώς και σχετικά με τα επιχειρησιακά στοιχεία, συμπεριλαμβανομένης της χρήσης ειδικών πλατφορμών ΤΠ.

3.   Οι χρηματοοικονομικές οντότητες κοινοποιούν στις αρμόδιες αρχές τη συμμετοχή τους στις ρυθμίσεις ανταλλαγής πληροφοριών που αναφέρονται στην παράγραφο 1, κατά την επικύρωση της συμμετοχής τους ως μελών ή, κατά περίπτωση, της παύσης της συμμετοχής τους ως μελών, αμέσως μετά την έναρξη ισχύος της.

1.   Για την ενίσχυση της συνεργασίας και τη διευκόλυνση των ανταλλαγών εποπτικών πληροφοριών μεταξύ των αρμόδιων αρχών, που ορίζονται σύμφωνα με τον παρόντα κανονισμό, και της ομάδας συνεργασίας, που έχει συγκροτηθεί σύμφωνα με το άρθρο 14 της οδηγίας (ΕΕ) 2022/2555 οι ΕΕΑ και οι αρμόδιες αρχές μπορούν να συμμετέχουν στις δραστηριότητες της ομάδας συνεργασίας για θέματα που αφορούν τις εποπτικές δραστηριότητές τους σε σχέση με χρηματοοικονομικές οντότητες. Οι ΕΕΑ και οι αρμόδιες αρχές μπορούν να ζητήσουν να κληθούν να συμμετάσχουν στις δραστηριότητες της ομάδας συνεργασίας για θέματα που αφορούν βασικές ή σημαντικές οντότητες που υπόκεινται στις διατάξεις της οδηγίας (ΕΕ) 2022/2555 οι οποίες έχουν επίσης οριστεί ως κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ σύμφωνα με το άρθρο 31 του παρόντος κανονισμού.

2.   Κατά περίπτωση, οι αρμόδιες αρχές μπορούν να συμβουλεύονται και να ανταλλάσσουν πληροφορίες με τα ενιαία σημεία επαφής και τις CSIRT που έχουν οριστεί ή συσταθεί σύμφωνα με την οδηγία (ΕΕ) 2022/2555

3.   Κατά περίπτωση, οι αρμόδιες αρχές μπορούν να ζητούν κάθε σχετική τεχνική συμβουλή και βοήθεια από τις αρμόδιες αρχές που ορίζονται ή συστήνονται σύμφωνα με την οδηγία (ΕΕ) 2022/2555 και να θεσπίζουν ρυθμίσεις συνεργασίας για τη δημιουργία αποτελεσματικών μηχανισμών συντονισμού ταχείας απόκρισης.

4.   Οι ρυθμίσεις που αναφέρονται στην παράγραφο 3 του παρόντος άρθρου μπορούν, μεταξύ άλλων, να προσδιορίζουν τις διαδικασίες για τον συντονισμό των δραστηριοτήτων εποπτείας, αντίστοιχα, σε σχέση με τις βασικές ή σημαντικές οντότητες που υπόκεινται στις διατάξεις της οδηγίας (ΕΕ) 2022/2555 οι οποίοι έχουν οριστεί ως κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ σύμφωνα με το άρθρο 31 του παρόντος κανονισμού, μεταξύ άλλων για τη διεξαγωγή, σύμφωνα με το εθνικό δίκαιο, ερευνών και επιτόπιων επιθεωρήσεων, καθώς και για μηχανισμούς ανταλλαγής πληροφοριών μεταξύ των αρμόδιων αρχών δυνάμει του παρόντος κανονισμού και των αρμόδιων αρχών που ορίζονται ή συστήνονται σύμφωνα με την εν λόγω οδηγία, συμπεριλαμβανομένης της πρόσβασης σε πληροφορίες που ζητούν οι τελευταίες αυτές αρχές.

1.   Οι αρμόδιες αρχές συνεργάζονται στενά μεταξύ τους και, κατά περίπτωση, με τον κύριο εποπτικό φορέα.

2.   Οι αρμόδιες αρχές και ο κύριος εποπτικός φορέας ανταλλάσσουν εγκαίρως όλες τις σχετικές πληροφορίες που αφορούν κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ και είναι απαραίτητες για την εκτέλεση των αντίστοιχων καθηκόντων τους δυνάμει του παρόντος κανονισμού, ιδίως σε σχέση με προσδιορισμένους κινδύνους, προσεγγίσεις και μέτρα που λαμβάνονται στο πλαίσιο των εποπτικών καθηκόντων του κύριου εποπτικού φορέα.

1.   Οι ΕΕΑ, μέσω της μεικτής επιτροπής και σε συνεργασία με τις αρμόδιες αρχές, τις αρχές εξυγίανσης που αναφέρονται στο άρθρο 3 της οδηγίας 2014/59/ΕΕ, την ΕΚΤ, το Ενιαίο Συμβούλιο Εξυγίανσης όσον αφορά πληροφορίες σχετικά με οντότητες που εμπίπτουν στο πεδίο εφαρμογής του κανονισμού (ΕΕ) αριθ. 806/2014, το ΕΣΣΚ και τον ENISA, κατά περίπτωση, μπορούν να θεσπίσουν μηχανισμούς ώστε να είναι δυνατή η ανταλλαγή αποτελεσματικών πρακτικών μεταξύ των χρηματοοικονομικών τομέων για την ενίσχυση της επίγνωσης των καταστάσεων και τον εντοπισμό κοινών ευπαθειών στον κυβερνοχώρο και κινδύνων μεταξύ των τομέων.

Μπορούν να αναπτύξουν ασκήσεις διαχείρισης κρίσεων και έκτακτης ανάγκης που περιλαμβάνουν σενάρια κυβερνοεπιθέσεων, με σκοπό την ανάπτυξη διαύλων επικοινωνίας και τη σταδιακή εξασφάλιση της δυνατότητας αποτελεσματικής συντονισμένης απόκρισης σε επίπεδο ΕΕ, σε περίπτωση μείζονος διασυνοριακού συμβάντος που σχετίζεται με τις ΤΠΕ ή σχετικής απειλής με συστημικές επιπτώσεις στον χρηματοοικονομικό τομέα της Ένωσης συνολικά.

Στο πλαίσιο των ασκήσεων αυτών παρέχεται, κατά περίπτωση, η δυνατότητα ελέγχου των εξαρτήσεων του χρηματοοικονομικού τομέα από άλλους οικονομικούς τομείς.

2.   Οι αρμόδιες αρχές, οι ΕΕΑ και η ΕΚΤ συνεργάζονται στενά μεταξύ τους και ανταλλάσσουν πληροφορίες στο πλαίσιο της εκτέλεσης των καθηκόντων τους, σύμφωνα με τα άρθρα 47 έως 54. Συντονίζουν στενά την εποπτεία τους ώστε να εντοπίζουν και να διορθώνουν παραβιάσεις του παρόντος κανονισμού, να αναπτύσσουν και να προωθούν βέλτιστες πρακτικές, να διευκολύνουν τη συνεργασία, να προάγουν τη συνεπή ερμηνεία και να παρέχουν αξιολογήσεις σε περισσότερες από μία περιοχές δικαιοδοσίας σε περίπτωση διαφωνίας.

1.   Οι αρμόδιες αρχές διαθέτουν όλες τις εξουσίες εποπτείας, έρευνας και επιβολής κυρώσεων που απαιτούνται για την εκπλήρωση των καθηκόντων τους σύμφωνα με τον παρόντα κανονισμό.

2.   Οι εξουσίες που αναφέρονται στην παράγραφο 1 περιλαμβάνουν τουλάχιστον τις ακόλουθες εξουσίες:

3.   Με την επιφύλαξη του δικαιώματος των κρατών μελών να επιβάλλουν ποινικές κυρώσεις σύμφωνα με το άρθρο 52, τα κράτη μέλη θεσπίζουν κανόνες για τη θέσπιση κατάλληλων διοικητικών κυρώσεων και διορθωτικών μέτρων σε περιπτώσεις παραβίασης του παρόντος κανονισμού και διασφαλίζουν την αποτελεσματική εφαρμογή τους.

Ο χαρακτήρας των εν λόγω κυρώσεων και μέτρων είναι αποτελεσματικός, αναλογικός και αποτρεπτικός.

4.   Τα κράτη μέλη αναθέτουν στις αρμόδιες αρχές την εξουσία να εφαρμόζουν τουλάχιστον τις ακόλουθες διοικητικές κυρώσεις ή διορθωτικά μέτρα σε περιπτώσεις παραβίασης του παρόντος κανονισμού:

5.   Σε περίπτωση που η παράγραφος 2 στοιχείο γ) και η παράγραφος 4 εφαρμόζονται σε νομικά πρόσωπα, τα κράτη μέλη αναθέτουν στις αρμόδιες αρχές την εξουσία επιβολής των διοικητικών κυρώσεων και των διορθωτικών μέτρων, με την επιφύλαξη των προϋποθέσεων που προβλέπονται στο εθνικό δίκαιο, σε μέλη του διοικητικού οργάνου, καθώς και σε οποιοδήποτε άλλο φυσικό πρόσωπο το οποίο θεωρείται υπαίτιο για την παραβίαση δυνάμει του εθνικού δικαίου.

6.   Τα κράτη μέλη διασφαλίζουν ότι οποιαδήποτε απόφαση επιβολής διοικητικών κυρώσεων ή διορθωτικών μέτρων που προβλέπεται από την παράγραφο 2 στοιχείο γ) αιτιολογείται δεόντως και υπόκειται σε δικαίωμα προσφυγής.

1.   Οι αρμόδιες αρχές ασκούν την εξουσία επιβολής των διοικητικών κυρώσεων και των διορθωτικών μέτρων του άρθρου 50 σύμφωνα με το εκάστοτε εθνικό νομικό πλαίσιο, ανάλογα με την περίπτωση, ως εξής:

2.   Οι αρμόδιες αρχές, όταν καθορίζουν το είδος και το επίπεδο διοικητικών κυρώσεων ή διορθωτικών μέτρων που πρέπει να επιβληθούν δυνάμει του άρθρου 50, λαμβάνουν υπόψη αν η παραβίαση τελέστηκε εκ προθέσεως ή εξ αμελείας, καθώς και όλες τις άλλες σχετικές περιστάσεις, μεταξύ των οποίων τα ακόλουθα, κατά περίπτωση:

1.   Τα κράτη μέλη δύνανται να αποφασίζουν να μην θεσπίσουν κανόνες σχετικά με τις διοικητικές κυρώσεις ή τα διορθωτικά μέτρα για παραβιάσεις που υπόκεινται σε ποινικές κυρώσεις βάσει του εθνικού τους δικαίου.

2.   Σε περίπτωση που τα κράτη μέλη έχουν επιλέξει να θεσπίσουν ποινικές κυρώσεις σε περιπτώσεις παραβίασης του παρόντος κανονισμού, διασφαλίζουν ότι εφαρμόζονται κατάλληλα μέτρα ώστε οι αρμόδιες αρχές να διαθέτουν όλες τις απαραίτητες εξουσίες για να συνεργάζονται με τις δικαστικές, εισαγγελικές αρχές και τις αρχές ποινικής δικαιοσύνης εντός της δικαιοδοσίας τους, προκειμένου να λαμβάνουν συγκεκριμένες πληροφορίες σχετικά με ποινικές έρευνες ή κινηθείσες διαδικασίες σε σχέση με περιπτώσεις παραβίασης του παρόντος κανονισμού και να παρέχουν τις ίδιες πληροφορίες σε άλλες αρμόδιες αρχές, καθώς και στην ΕΑΤ, την ΕΑΚΑΑ και την ΕΑΑΕΣ, στο πλαίσιο της τήρησης των υποχρεώσεών τους όσον αφορά τη συνεργασία για τους σκοπούς του παρόντος κανονισμού.

1.   Οι αρμόδιες αρχές δημοσιεύουν, χωρίς αδικαιολόγητη καθυστέρηση, στους επίσημους δικτυακούς τους τόπους κάθε απόφαση που επιβάλλει διοικητική κύρωση η οποία δεν επιδέχεται άσκηση προσφυγής, μόλις η απόφαση αυτή κοινοποιηθεί στο πρόσωπο στο οποίο επιβλήθηκε η κύρωση.

2.   Η δημοσίευση που αναφέρεται στην παράγραφο 1 περιλαμβάνει πληροφορίες σχετικά με το είδος και τον χαρακτήρα της παραβίασης, την ταυτότητα των υπαίτιων προσώπων και τις επιβληθείσες κυρώσεις.

3.   Όταν η αρμόδια αρχή, κατόπιν αξιολόγησης βάσει κατά περίπτωση εξέτασης, κρίνει ότι η δημοσίευση της ταυτότητας, στην περίπτωση νομικών προσώπων, ή της ταυτότητας και των δεδομένων προσωπικού χαρακτήρα, στην περίπτωση φυσικών προσώπων, θα ήταν δυσανάλογη, μεταξύ άλλων ενέχοντας κινδύνους σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα, θα έθετε σε κίνδυνο τη σταθερότητα των χρηματοοικονομικών αγορών ή τη διενέργεια υπό εξέλιξη ποινικής έρευνας, ή θα προξενούσε, στον βαθμό που μπορεί να προσδιοριστεί, δυσανάλογη ζημία στο συγκεκριμένο πρόσωπο, εγκρίνει μία από τις ακόλουθες λύσεις σε σχέση με την απόφαση επιβολής διοικητικής κύρωσης:

4.   Σε περίπτωση απόφασης για δημοσίευση διοικητικής κύρωσης σε ανώνυμη βάση σύμφωνα με την παράγραφο 3 στοιχείο β), η δημοσίευση των σχετικών δεδομένων μπορεί να αναβληθεί.

5.   Όταν αρμόδια αρχή δημοσιεύει απόφαση επιβολής διοικητικής κύρωσης κατά της οποίας ασκήθηκε προσφυγή ενώπιον των αρμόδιων δικαστικών αρχών, οι αρμόδιες αρχές προσθέτουν πάραυτα στον επίσημο δικτυακό τους τόπο τα στοιχεία αυτά και, σε μεταγενέστερο στάδιο, τυχόν επακόλουθες πληροφορίες σχετικά με την έκβαση της προσφυγής. Δημοσιεύεται επίσης κάθε δικαστική απόφαση που ακυρώνει απόφαση επιβολής διοικητικής κύρωσης.

6.   Οι αρμόδιες αρχές διασφαλίζουν ότι τυχόν δημοσίευση σύμφωνα με τις παραγράφους 1 έως 4 θα παραμείνει στον επίσημο δικτυακό τόπο τους μόνο κατά το χρονικό διάστημα που απαιτείται για την προβολή του παρόντος άρθρου. Το διάστημα αυτό δεν υπερβαίνει τα πέντε έτη από τη δημοσίευση.

1.   Τυχόν εμπιστευτικές πληροφορίες που λαμβάνονται, ανταλλάσσονται ή διαβιβάζονται βάσει του παρόντος κανονισμού υπόκεινται στους όρους της παραγράφου 2 περί επαγγελματικού απορρήτου.

2.   Η υποχρέωση τήρησης του επαγγελματικού απορρήτου ισχύει για όλα τα πρόσωπα που εργάζονται ή έχουν εργαστεί για τις αρμόδιες αρχές σύμφωνα με τον παρόντα κανονισμό ή για οποιαδήποτε αρχή ή επιχείρηση της αγοράς ή για οποιοδήποτε άλλο φυσικό ή νομικό πρόσωπο στο οποίο οι αρμόδιες αρχές έχουν αναθέσει τις εξουσίες τους, συμπεριλαμβανομένων των ελεγκτών και εμπειρογνωμόνων που προσλαμβάνονται από αυτές.

3.   Απαγορεύεται η κοινοποίηση των πληροφοριών που καλύπτονται από το επαγγελματικό απόρρητο, συμπεριλαμβανομένης της ανταλλαγής πληροφοριών μεταξύ των αρμόδιων αρχών δυνάμει του παρόντος κανονισμού και των αρμόδιων αρχών που ορίζονται ή συστήνονται σύμφωνα την οδηγία (ΕΕ) 2022/2555 σε οποιοδήποτε άλλο πρόσωπο ή αρχή, εκτός εάν προβλέπεται από τις διατάξεις του ενωσιακού ή εθνικού δικαίου.·

4.   Όλες οι πληροφορίες που ανταλλάσσονται μεταξύ των αρμόδιων αρχών δυνάμει του παρόντος κανονισμού και αφορούν επιχειρηματικές ή επιχειρησιακές συνθήκες και άλλες οικονομικές ή προσωπικές υποθέσεις θεωρούνται εμπιστευτικές και υπόκεινται στις απαιτήσεις τήρησης του επαγγελματικού απορρήτου, εκτός εάν η αρμόδια αρχή δηλώσει κατά τον χρόνο επικοινωνίας ότι η συγκεκριμένη πληροφορία δύναται να γνωστοποιηθεί ή εκτός εάν η γνωστοποίηση είναι αναγκαία στο πλαίσιο νομικών διαδικασιών.

1.   Οι ΕΕΑ και οι αρμόδιες αρχές επιτρέπεται να επεξεργάζονται δεδομένα προσωπικού χαρακτήρα μόνον όταν αυτό είναι αναγκαίο για την εκπλήρωση των αντίστοιχων υποχρεώσεων και καθηκόντων τους δυνάμει του παρόντος κανονισμού, ιδίως όσον αφορά την έρευνα, την επιθεώρηση, το αίτημα παροχής πληροφοριών, την κοινοποίηση, τη δημοσίευση, την αξιολόγηση, την εξακρίβωση, την εκτίμηση και την κατάρτιση σχεδίων εποπτείας. Τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 ή τον κανονισμό (ΕΕ) 2018/1725, ανάλογα με την περίπτωση.

2.   Εκτός εάν προβλέπεται διαφορετικά σε άλλες τομεακές πράξεις, τα δεδομένα προσωπικού χαρακτήρα που αναφέρονται στην παράγραφο 1 διατηρούνται μέχρι την εκπλήρωση των εφαρμοστέων εποπτικών καθηκόντων και, σε κάθε περίπτωση, για μέγιστο χρονικό διάστημα 15 ετών, εκτός από την περίπτωση εκκρεμών δικαστικών διαδικασιών που απαιτούν περαιτέρω διατήρηση των δεδομένων αυτών.

1.   Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει κατ’ εξουσιοδότηση πράξεις υπό τους όρους του παρόντος άρθρου.

2.   Η προβλεπόμενη στο άρθρο 31 παράγραφος 6 και στο άρθρο 43 παράγραφος 2 εξουσία έκδοσης κατ’ εξουσιοδότηση πράξεων ανατίθεται στην Επιτροπή για περίοδο πέντε ετών από τις 17 Ιανουαρίου 2024. Η Επιτροπή υποβάλλει έκθεση σχετικά με τις εξουσίες που της έχουν ανατεθεί το αργότερο εννέα μήνες πριν από τη λήξη της περιόδου των πέντε ετών. Η εξουσιοδότηση ανανεώνεται σιωπηρά για περιόδους ίδιας διάρκειας, εκτός αν το Ευρωπαϊκό Κοινοβούλιο ή το Συμβούλιο προβάλουν αντιρρήσεις το αργότερο τρεις μήνες πριν από τη λήξη της κάθε περιόδου.

3.   Η εξουσιοδότηση που προβλέπεται στο άρθρο 31 παράγραφος 6 και στο άρθρο 43 παράγραφος 2 μπορεί να ανακληθεί ανά πάσα στιγμή από το Ευρωπαϊκό Κοινοβούλιο ή το Συμβούλιο. Η απόφαση ανάκλησης περατώνει την εξουσιοδότηση που προσδιορίζεται στην εν λόγω απόφαση. Αρχίζει να ισχύει την επομένη της δημοσίευσης της απόφασης στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης ή σε μεταγενέστερη ημερομηνία που ορίζεται σε αυτήν. Δεν θίγει το κύρος των κατ’ εξουσιοδότηση πράξεων που ισχύουν ήδη.

4.   Πριν από την έκδοση μιας κατ’ εξουσιοδότηση πράξης, η Επιτροπή διεξάγει διαβουλεύσεις με εμπειρογνώμονες που ορίζουν τα κράτη μέλη σύμφωνα με τις αρχές της διοργανικής συμφωνίας της 13ης Απριλίου 2016 για τη βελτίωση του νομοθετικού έργου.

5.   Μόλις εκδώσει μια κατ’ εξουσιοδότηση πράξη, η Επιτροπή την κοινοποιεί ταυτόχρονα στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο.

6.   Οι κατ’ εξουσιοδότηση πράξεις που εκδίδονται σύμφωνα με το άρθρο 31 παράγραφος 6 και το άρθρο 43 παράγραφος 2 τίθενται σε ισχύ μόνον εάν δεν διατυπωθούν αντιρρήσεις είτε από το Ευρωπαϊκό Κοινοβούλιο είτε από το Συμβούλιο εντός προθεσμίας τριών μηνών από την κοινοποίηση της πράξης αυτής στο Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο ή εάν, πριν από τη λήξη της προθεσμίας αυτής, το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο ενημερώσουν και τα δύο την Επιτροπή ότι δεν πρόκειται να προβάλουν αντιρρήσεις. Η προθεσμία αυτή παρατείνεται κατά τρεις μήνες κατόπιν πρωτοβουλίας του Ευρωπαϊκού Κοινοβουλίου ή του Συμβουλίου.

1.   Έως τις 17 Ιανουαρίου 2028, η Επιτροπή, κατόπιν διαβούλευσης με τις ΕΕΑ και το ΕΣΣΚ, ανάλογα με την περίπτωση, επανεξετάζει και υποβάλλει στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο έκθεση, συνοδευόμενη από νομοθετική πρόταση. Η επανεξέταση περιλαμβάνει τουλάχιστον τα ακόλουθα:

2.   Στο πλαίσιο της επανεξέτασης της οδηγίας (ΕΕ) 2015/2366, η Επιτροπή αξιολογεί την ανάγκη για αυξημένη κυβερνοανθεκτικότητα των συστημάτων πληρωμών και των δραστηριοτήτων επεξεργασίας πληρωμών, καθώς και τη σκοπιμότητα της επέκτασης του πεδίου εφαρμογής του παρόντος κανονισμού στους διαχειριστές συστημάτων πληρωμών και στις οντότητες που συμμετέχουν σε δραστηριότητες επεξεργασίας πληρωμών. Υπό το πρίσμα της αξιολόγησης αυτής, η Επιτροπή υποβάλλει, στο πλαίσιο της επανεξέτασης της οδηγίας (ΕΕ) 2015/2366, έκθεση στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο το αργότερο έως τις 17 Ιουλίου 2023.

Με βάση την εν λόγω έκθεση επανεξέτασης και κατόπιν διαβούλευσης με τις ΕΕΑ, την ΕΚΤ και το ΕΣΣΚ, η Επιτροπή μπορεί να υποβάλει, κατά περίπτωση και στο πλαίσιο της νομοθετικής πρότασης που μπορεί να εγκρίνει σύμφωνα με το άρθρο 108 δεύτερο εδάφιο της οδηγίας (ΕΕ) 2015/2366, πρόταση για να εξασφαλιστεί ότι όλοι οι φορείς εκμετάλλευσης συστημάτων πληρωμών και οι οντότητες που συμμετέχουν σε δραστηριότητες επεξεργασίας πληρωμών υπόκεινται σε κατάλληλη εποπτεία, λαμβάνοντας παράλληλα υπόψη την υφιστάμενη εποπτεία της κεντρικής τράπεζας.

3.   Έως τις 17 Ιανουαρίου 2026, η Επιτροπή, κατόπιν διαβούλευσης με τις ΕΕΑ και την Επιτροπή Ευρωπαϊκών Φορέων Εποπτείας των Ελεγκτών, επανεξετάζει και υποβάλλει στο Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο έκθεση, συνοδευόμενη, κατά περίπτωση, από νομοθετική πρόταση, σχετικά με την καταλληλότητα των ενισχυμένων απαιτήσεων για τους νόμιμους ελεγκτές και τα ελεγκτικά γραφεία όσον αφορά την ψηφιακή επιχειρησιακή ανθεκτικότητα, μέσω της συμπερίληψης νόμιμων ελεγκτών και ελεγκτικών γραφείων στο πεδίο εφαρμογής του παρόντος κανονισμού ή μέσω τροποποιήσεων της οδηγίας 2006/43/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (39).