(1)

La Unión debe afrontar adecuada y exhaustivamente los riesgos digitales que se derivan para todas las entidades financieras de un mayor uso de las tecnologías de la información y la comunicación (TIC) en la prestación y el consumo de servicios financieros, contribuyendo así a la materialización del potencial de las finanzas digitales, desde el punto de vista del impulso de la innovación y el fomento de la competencia en un entorno digital seguro.

(2)

Las entidades financieras dependen en gran medida del uso de las tecnologías digitales en sus actividades cotidianas. Es de suma importancia garantizar la resiliencia operativa de sus operaciones digitales frente al riesgo relacionado con las TIC. Esta necesidad se ha vuelto aún más acuciante con el crecimiento en el mercado de las tecnologías de vanguardia, en particular las tecnologías que permiten transferir y almacenar electrónicamente representaciones digitales de valor o derechos utilizando tecnología de registro descentralizado o tecnologías similares («criptoactivos»), así como de los servicios relacionados con dichos activos.

(3)

A nivel de la Unión, los requisitos relacionados con la gestión de los riesgos que plantean las TIC para el sector financiero se encuentran actualmente establecidos en las Directivas 2009/65/CE (4), 2009/138/CE (5), 2011/61/UE (6), 2013/36/UE (7), 2014/59/UE (8), 2014/65/UE (9), (UE) 2015/2366 (10) y (UE) 2016/2341 (11) del Parlamento Europeo y del Consejo.

Dichos requisitos son diversos y, en ocasiones, están incompletos. En algunos casos, el riesgo relacionado con las TIC solo se ha abordado implícitamente dentro del riesgo operativo, y en otros casos no se ha abordado en absoluto. Esos problemas deben subsanarse mediante la adopción del Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo (12). Por tanto, dichas Directivas deben modificarse para garantizar la coherencia con dicho Reglamento. La presente Directiva adopta una serie de modificaciones que son necesarias para aportar claridad jurídica y coherencia en relación con la aplicación, por parte de las entidades financieras autorizadas y supervisadas de conformidad con dichas Directivas, de diversos requisitos de resiliencia operativa digital que son indispensables en el ejercicio de sus actividades y en la prestación de servicios, garantizando así el buen funcionamiento del mercado interior. Es necesario garantizar la adecuación de dichos requisitos con relación a la evolución del mercado, y al mismo tiempo fomentar la proporcionalidad, en particular por lo que respecta al tamaño de las entidades financieras y a los regímenes específicos a los que están sujetas, con el fin de reducir los costes de conformidad.

(4)

En el ámbito de los servicios bancarios, la Directiva 2013/36/UE solo establece actualmente normas generales de gobernanza interna y disposiciones sobre el riesgo operativo que requieren la elaboración de planes de emergencia y de continuidad de la actividad que sirven implícitamente de base para afrontar los riesgos relacionados con las TIC. No obstante, para afrontar los riesgos relacionados con las TIC de forma explícita y clara, deben modificarse los requisitos en materia de planes de emergencia y de continuidad de la actividad para incluir también planes de continuidad de las actividades y planes de respuesta y recuperación referidos al riesgo relacionado con las TIC, de conformidad con los requisitos establecidos en el Reglamento (UE) 2022/2554. Además, el riesgo relacionado con las TIC solo se incluye implícitamente, como parte del riesgo operativo, en el proceso de revisión y evaluación supervisora efectuado por las autoridades competentes, y los criterios para su evaluación se definen actualmente en las Directrices sobre la evaluación del riesgo de TIC en el marco del proceso de revisión y evaluación supervisora (PRES), emitidas por la Autoridad Europea de Supervisión (AES) (Autoridad Bancaria Europea o ABE), creada en virtud del Reglamento (UE) n.o 1093/2010 del Parlamento Europeo y del Consejo (13). A fin de aportar claridad jurídica y garantizar que los supervisores bancarios detecten eficazmente el riesgo relacionado con las TIC y vigilen su gestión por parte de las entidades financieras, en consonancia con el nuevo marco sobre la resiliencia operativa digital, debe modificarse también el ámbito de aplicación del proceso de revisión y evaluación supervisora a fin de hacer remisión explícita a los requisitos establecidos en el Reglamento (UE) 2022/2554 y de abarcar, en particular, los riesgos que se hayan puesto de manifiesto en los informes de incidentes graves relacionados con las TIC y en los resultados de las pruebas de resiliencia operativa digital realizadas por las entidades financieras de conformidad con dicho Reglamento.

(5)

La resiliencia operativa digital es fundamental para preservar las funciones esenciales y las ramas de actividad principales de una entidad financiera en caso de que se produzca su resolución, y evitar así perturbaciones en la economía real y en el sistema financiero. Los incidentes operativos graves pueden menoscabar la capacidad de una entidad financiera para seguir operando y pueden poner en peligro los objetivos de resolución. Algunos acuerdos contractuales sobre el uso de servicios de TIC son fundamentales para garantizar la continuidad operativa y proporcionar los datos necesarios en caso de resolución. Procede, por tanto, modificar la Directiva 2014/59/UE a fin de ajustarla a los objetivos del marco de la Unión para la resiliencia operativa, con vistas a asegurar que la información relacionada con la resiliencia operativa se tenga en cuenta en el contexto de la planificación de la resolución y la evaluación de la resolubilidad de las entidades financieras.

(6)

La Directiva 2014/65/UE establece normas más estrictas en materia del riesgo relacionado con las TIC para las empresas de servicios de inversión y los centros de negociación que están participando en una negociación algorítmica. Se imponen requisitos menos detallados a los servicios de suministro de datos y a los registros de operaciones. Asimismo, la Directiva 2014/65/UE solo hace referencia de forma limitada a los mecanismos de control y salvaguardia de los sistemas informáticos y a la utilización de sistemas, recursos y procedimientos adecuados para garantizar la continuidad y regularidad de los servicios empresariales. Además, dicha Directiva debe armonizarse con el Reglamento (UE) 2022/2554 en lo que se refiere a la continuidad y regularidad en la prestación de servicios de inversión y en la realización de actividades de inversión, la resiliencia operativa, la capacidad de los sistemas de negociación y la eficacia de los mecanismos de continuidad de la actividad y la gestión de riesgos.

(7)

La Directiva (UE) 2015/2366 establece normas específicas sobre las medidas de control de la seguridad y mitigación del riesgo relacionado con las TIC a efectos de la obtención de una autorización para prestar servicios de pago. Dichas normas de autorización deben modificarse para adaptarlas al Reglamento (UE) 2022/2554. Además, con el fin de reducir la carga administrativa y evitar la complejidad y la duplicación de los requisitos de notificación, las normas de notificación de incidentes de dicha Directiva deben dejar de aplicarse a los proveedores de servicios de pago regulados por dicha Directiva y sujetos también a lo dispuesto en el Reglamento (UE) 2022/2554, permitiendo así a dichos proveedores de servicios de pago que se beneficien de un mecanismo único, plenamente armonizado, de notificación de incidentes aplicable a todos los incidentes operativos o de seguridad relacionados con los pagos, con independencia de si tales incidentes están relacionados con las TIC.

(8)

Las Directivas 2009/138/CE y (UE) 2016/2341 tienen parcialmente en cuenta el riesgo relacionado con las TIC en sus disposiciones generales sobre gobernanza y gestión de riesgos, dejando que determinados requisitos se especifiquen mediante actos delegados, con o sin referencias específicas al riesgo relacionado con las TIC. Del mismo modo, los gestores de fondos de inversión alternativos regulados por la Directiva 2011/61/UE y las sociedades de gestión reguladas por la Directiva 2009/65/CE solo están sujetos a normas muy generales. Por consiguiente, esas Directivas deben adaptarse a los requisitos establecidos en el Reglamento (UE) 2022/2554 en lo que respecta a la gestión de los sistemas y herramientas de TIC.

(9)

En muchos casos, ya se han establecido requisitos adicionales en materia del riesgo relacionado con las TIC en actos delegados y de ejecución, adoptados a partir de los proyectos de normas técnicas de regulación y de los proyectos de normas técnicas de ejecución elaborados por la Autoridad Europea de Supervisión competente. Dado que en lo sucesivo, las disposiciones del Reglamento (UE) 2022/2554 constituyen el marco jurídico para el riesgo relacionado con las TIC en el sector financiero, deben modificarse determinadas habilitaciones para adoptar actos delegados y de ejecución contenidas en las Directivas 2009/65/CE, 2009/138/CE, 2011/61/UE y 2014/65/UE para eliminar las disposiciones relativas al riesgo relacionado con las TIC del ámbito de dichas habilitaciones.

(10)

Para garantizar una aplicación coherente del nuevo marco para la resiliencia operativa digital del sector financiero, los Estados miembros deben aplicar las disposiciones de Derecho nacional de transposición de la presente Directiva a partir de la fecha de aplicación del Reglamento (UE) 2022/2554.

(11)

Las Directivas 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 y (UE) 2016/2341 fueron adoptadas sobre la base del artículo 53, apartado 1, o del artículo 114 del Tratado de Funcionamiento de la Unión Europea (TFUE), o de ambos. Las modificaciones contenidas en la presente Directiva se han incluido en un único acto legislativo, ya que su objeto y las finalidades que persiguen están interconectados. Por consiguiente, la presente Directiva debe adoptarse sobre la base tanto del artículo 53, apartado 1, como del artículo 114 del TFUE.

(12)

Dado que los objetivos de la presente Directiva no pueden ser alcanzados de manera suficiente por los Estados miembros, al implicar una armonización de requisitos ya contenidos en otras Directivas, sino que, debido al alcance y los efectos de la acción, pueden lograrse mejor a escala de la Unión, esta puede adoptar medidas de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, la presente Directiva no excede de lo necesario para alcanzar dichos objetivos.

(13)

De conformidad con la Declaración política conjunta, de 28 de septiembre de 2011, de los Estados miembros y de la Comisión sobre los documentos explicativos (14), los Estados miembros se han comprometido a adjuntar a la notificación de las medidas de transposición, cuando esté justificado, uno o varios documentos que expliquen la relación entre los elementos de una directiva y las partes correspondientes de los instrumentos nacionales de transposición. Por lo que respecta a la presente Directiva, el legislador considera que la transmisión de tales documentos está justificada.

1)

En el apartado 1, párrafo segundo, la letra a) se sustituye por el texto siguiente:

(*1)  Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 y (UE) 2016/1011 (DO L 333 de 27.12.2022, p. 1).»."

2)

El apartado 3 se sustituye por el texto siguiente:

1)

En el artículo 41, el apartado 4 se sustituye por el texto siguiente:

(*2)  Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 y (UE) 2016/1011 (DO L 333 de 27.12.2022, p. 1).»."

2)

En el artículo 50, apartado 1, las letras a) y b) se sustituyen por el texto siguiente:

1)

En el artículo 65, apartado 3, letra a), el inciso vi) se sustituye por el texto siguiente:

(*4)  Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 y (UE) 2016/1011 (DO L 333 de 27.12.2022, p. 1).»."

2)

En el artículo 74, apartado 1, el párrafo primero se sustituye por el texto siguiente:

«Las entidades se dotarán de sólidos mecanismos de gobierno corporativo, incluida una estructura organizativa clara con líneas de responsabilidad bien definidas, transparentes y coherentes, procedimientos eficaces de detección, gestión, control y notificación de los riesgos a los que estén expuestas o puedan estarlo, mecanismos adecuados de control interno, incluidos procedimientos administrativos y contables correctos, redes y sistemas de información establecidos y gestionados de conformidad con el Reglamento (UE) 2022/2554, y políticas y prácticas de remuneración que sean compatibles con una gestión de riesgos adecuada y eficaz y la promuevan.».

3)

En el artículo 85, el apartado 2 se sustituye por el texto siguiente:

4)

En el artículo 97, apartado 1, se añade la letra siguiente:

1)

El artículo 10 se modifica como sigue:

2)

El anexo se modifica como sigue:

1)

El artículo 16 se modifica como sigue:

2)

El artículo 17 se modifica como sigue:

3)

En el artículo 47, el apartado 1 se modifica como sigue:

4)

El artículo 48 se modifica como sigue:

1)

En el artículo 3, la letra j) se sustituye por el texto siguiente:

2)

En el artículo 5, el apartado 1 se modifica como sigue:

3)

En el artículo 19, apartado 6, el párrafo segundo se sustituye por el texto siguiente:

«La externalización de funciones operativas importantes, incluidos los sistemas de TIC, deberá realizarse de modo tal que no afecte significativamente ni a la calidad del control interno de la entidad de pago ni a la capacidad de las autoridades competentes para controlar y hacer un seguimiento a posteriori del cumplimiento por la entidad de pago de todas las obligaciones que establece la presente Directiva.».

4)

En el artículo 95, apartado 1, se añade el párrafo siguiente:

«El párrafo primero se entenderá sin perjuicio de la aplicación del capítulo II del Reglamento (UE) 2022/2554 a:

5)

En el artículo 96 se añade el apartado siguiente:

6)

En el artículo 98, el apartado 5 se sustituye por el texto siguiente: