Finantssektori digitaalne tegevuskerksus

PÕHIPUNKTID

Kohaldamisala

Määruses käsitletakse järgmist:

• krediidi-, makse-, e-raha ja tööandjapensioniasutused;
• kontoteabe, krüptovarateenuse, aruandlusteenuse, ühisrahastusteenuse ja kolmandast isikust IKT-teenuse osutajad;
• investeerimisühingud, alternatiivsed investeerimisfondid, fondivalitsejad, reitinguagentuurid ja kriitilise tähtsusega võrdlusaluste haldurid;
• kauplemis- ja väärtpaberistamise registrid, väärtpaberite keskdepositooriumid, kesksed vastaspooled ja kauplemiskohad;
• kindlustusandjad, kindlustusvahendajad ja edasikindlustusvahendajad.

IKT-riski juhtimine

Finantssektori ettevõtjad, v.a mikroettevõtjad, peavad

• kehtestama sisemise juhtimis- ja kontrolliraamistiku, mis tagab IKT-riski tulemusliku ja usaldusväärse juhtimise;
• tagama, et nende juhtorgan määrab kindlaks ja kiidab heaks kõigi asjaomaste meetmete rakendamise, korraldab nende üle järelevalve ja on nende eest vastutav;
• kehtestama usaldusväärse, laiahaardelise ja hästi dokumenteeritud IKT-riski juhtimise raamistiku vajalike strateegiate, põhimõtete, menetluste, protokollide ja vahenditega, et reageerida kiiresti ja tõhusalt;
• kasutama ja hooldama ajakohastatud IKT-süsteeme, -protokolle ja -vahendeid, mis on asjakohased, usaldusväärsed, tehnoloogiliselt vastupidavad ja piisavalt võimsad;
• selgitama välja, klassifitseerima ja asjakohaselt dokumenteerima kõik IKT-põhised ärifunktsioonid, rollid ja vastutusvaldkonnad ning vaatama läbi riskistsenaariumid;
• jooksvalt jälgima IKT-süsteemide ja -vahendite turvalisust ja toimimist, et vähendada kõiki IKT-riske;
• kiiresti avastama anomaalse tegevuse ja tegema kindlaks võimalikud nõrgad lülid;
• määrama kindlaks laiahaardelised IKT talitluspidevuse põhimõtted koos asjakohaste kavade, menetluste ja mehhanismidega;
• töötama välja ja dokumenteerima varunduspõhimõtted ning ennistamise ja taastamise menetlused;
• omama suutlikkust ja personali, et koguda teavet nõrkuse, küberohtude ja IKT intsidentide, eelkõige küberrünnete kohta, ning analüüsida mõju, mida need võivad avaldada nende digitaalsele tegevuskerksusele;
• koostama kriisikommunikatsioonikavad, mis võimaldavad teha klientidele, vastaspooltele ja üldsusele teatavaks vähemalt tõsiseid IKT intsidente või nõrkust.

IKT-ga seotud haldamine, liigitamine ja aruandlus

Finantssektori ettevõtjad

• määravad kindlaks, kehtestavad ja rakendavad IKT intsidentide haldamise protsessi nende avastamiseks, haldamiseks ja nendest teatamiseks;
• liigitavad IKT intsidendid ja määravad nende mõju kindlaks selliste kriteeriumide alusel nagu mõjutatud klientide või finantssektori vastaspoolte arv, kestus, mõjutatud geograafilised piirkonnad ja andmekadu;
• teavitavad tõsistest IKT intsidentidest nende kindlaksmääratud pädevale asutusele, kes edastab teabe kõrgemalseisvale asutusele, nagu Euroopa Keskpank või Euroopa Pangandusjärelevalve.

Digitaalse tegevuskerksuse testimine

Finantssektori ettevõtjad, v.a mikroettevõtjad, peavad

• looma usaldusväärse ja tervikliku digitaalse tegevuskerksuse testimise programmi, mis hõlmab vajalikke hindamisi, teste, meetodeid, tavasid ja vahendeid, hoidma seda jõus ja vaatama selle läbi;
• tegema vähemalt iga kolme aasta tagant nende riskiprofiili põhjal ohuteabel põhineva läbistustesti, võttes arvesse operatiivseid asjaolusid, ning kasutama ainult sertifitseeritud testijaid, kes omavad vajalikke teadmisi ja sobivust ning ametialast vastutuskindlustust.

Kolmandast isikust tuleneva IKT-riski juhtimine

Finantssektori ettevõtjad

• juhivad kolmandast isikust tulenevat IKT-riski oma IKT-riski lahutamatu osana;
• kehtestavad lepingulised kokkulepped IKT-teenuste kasutamiseks oma äritegevuses, järgides täielikult asjaomaseid õigusakte;
• võtavad arvesse IKT-ga seotud probleemide ja ohtude laadi, ulatust, keerukust ja tähtsust;
• kaaluvad riskide väljaselgitamisel ja hindamisel alternatiivsete lahenduste kasutamise eeliseid ja kulusid;
• lisavad lepingusse iga lepinguosalise õigused ja kohustused ning teenuslepingu.

Kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate järelevaatamisraamistik

Raamistikuga

• usaldatakse Euroopa järelevalveasutustele (ESAd) järgmised ülesanded:
• • määrata finantssektori ettevõtjate jaoks selgete kriteeriumide alusel kriitilise tähtsusega kolmandast isikust IKT-teenuse osutajad;
  • määrata igale kriitilise tähtsusega kolmandast isikust teenuseosutajale asjakohase finantssektori ettevõtja eest vastutava ESA kui juhtiva järelevaatamisasutuse;
• asutada järelevaatamisfoorum, kes
• • arutab IKT-riski ja nõrkusega seotud muutusi ning edendab järjepidevat seiret ELi tasandil;
  • hindab igal aastal järelevaatamistegevust ning edendab meetmeid, et suurendada digitaalset tegevuskerksust ja parimaid tavasid;
  • esitab kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate põhjalikud võrdlusalused;
• volitab juhtivat järelevaatamisasutust
• • olema kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate peamine kontaktpunkt;
  • hindama, kas kõik kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad on kehtestanud põhjalikud, usaldusväärsed ja tulemuslikud reeglid, protsessid, mehhanismid ja korra;
  • taotlema kogu asjakohast teavet ja dokumente, viima läbi uurimisi ja kontrolle (sh kolmandates riikides), määrama kindlaks parandusmeetmed ja andma soovitusi;
• võimaldab Euroopa Pangandusjärelevalvel, Euroopa Kindlustus- ja Tööandjapensionide Järelevalvel ning Euroopa Väärtpaberiturujärelevalvel teha koostööd kolmandate riikide reguleerivate ja järelevalveasutustega kolmandast isikust IKT-riskide alal;
• nõuab, et järelevalveasutused esitaksid iga viie aasta järel Euroopa Parlamendile, Euroopa Liidu Nõukogule ja Euroopa Komisjonile konfidentsiaalse aruande oma suhete kohta kolmandate riikidega.

Kriitilise tähtsusega teenuseosutajate määramise kriteeriumid

Delegeeritud määruse (EL) 2024/1502 kohaselt võib IKT-teenuseid osutavatele kolmandatele isikutele määrata kriitilise tähtsuse ja võtta nad pärast kaheetapilist hindamist Euroopa järelevalveasutuste otsese järelevalve alla.

• Samm 1 – kvantitatiivsed kriteeriumid

Teenuseosutaja peab vastama mõõdetavatele läviväärtustele, näiteks järgmistele:

• teenuseosutaja teenustest sõltuvate finantssektori ettevõtjate arv või nende koguvarade osakaal;
• kas ta teenindab süsteemselt olulisi asutusi (globaalsed süsteemselt olulised asutused (G-SII-d) või muud süsteemselt olulised asutused (O-SII-d));
• kas tema teenuseid on võimalik asendada või kas teise teenuseosutaja juurde üleminek oleks keeruline või kulukas.

• Samm 2 – kvalitatiivsed kriteeriumid

Esimesele sammule vastavad teenuseosutajad hinnatakse seejärel laiemate kaalutluste alusel, sealhulgas järgmiste:

• potentsiaalne süsteemne mõju nende teenuste katkemise korral;
• sama teenuseosutajat kasutavate finantsettevõtjate vastastikuse sõltuvuse aste;
• toetatavate funktsioonide kriitilisus;
• tuginemine samadele alltöövõtjatele.

Teenuseosutajale määratakse kriitiline tähtsus vaid siis, kui ta täidab mõlema sammu kriteeriumid.

Teabe jagamise kokkulepped

Finantssektori ettevõtjad võivad omavahel vahetada küberohte käsitlevat teavet ja teadmust, kui see

• toimub nende digitaalse tegevuskerksuse suurendamise eesmärgil;
• toimub nende jaoks usaldusväärses kogukonnas;
• edendab ärisaladuse ja isikuandmete kaitset ning austab konkurentsipoliitika suuniseid.

Karistused ja parandusmeetmed

Pädevad asutused

• omavad kõiki oma ülesannete täitmiseks vajalikke järelevalve-, uurimis- ja karistuste määramise volitusi;
• kehtestavad ja avaldavad oma veebisaidil halduskaristused ja parandusmeetmed kooskõlas liikmesriigi õigusega.

ESAd töötavad välja regulatiivsete tehniliste standardite eelnõud IKT-riski juhtimise vahendite, liigitamise ning IKT intsidentidest teatamise ja järelevalvetegevuse jaoks.

Komisjon

• omab volitust delegeeritud õigusaktide vastuvõtmiseks;
• esitab Euroopa Parlamendile ja nõukogule 17. jaanuariks 2028 määruse läbivaatamise pärast Euroopa järelevalveasutuste ja Euroopa Süsteemsete Riskide Nõukoguga konsulteerimist.

Määrusega muudetakse määrust (EÜ) nr 1060/2009, määrusi (EL) nr 648/2012, 909/2014 ja 600/2014 ning määrust (EL) 2016/1011.