(1)

Info- ja kommunikatsioonitehnoloogia (IKT) toetab digiajastul keerukaid süsteeme, mida kasutatakse igapäevases tegevuses. See tagab majanduse toimimise olulistes sektorites, sealhulgas finantssektoris, ja parandab siseturu toimimist. Suurem digiteerimine ja omavaheline seotus võimendavad ka IKT-riski, mis muudab ühiskonna tervikuna ja eelkõige finantssüsteemi küberohtude või IKT-katkestuste suhtes kaitsetumaks. IKT-süsteemide üldlevinud kasutus ning ulatuslik digiteerimine ja ühendatus on tänapäeval liidu finantssektori ettevõtjate tegevuse põhielemendid, kuid nende digitaalset kerksust ei ole veel hästi käsitletud ega nende laiematesse tegevusraamistikesse integreeritud.

(2)

Viimastel aastakümnetel on IKT kasutamine omandanud finantsteenuste osutamisel keskse rolli, kusjuures praegu on see kõigi finantssektori ettevõtjate tüüpiliste igapäevaste funktsioonide toimimise jaoks kriitilise tähtsusega. Digiteerimine hõlmab praegu näiteks makseid, mille puhul kasutatakse sularaha ja paberipõhiste meetodite asemel üha rohkem digilahendusi, väärtpaberite kliirimist ja arveldamist, elektroonilist ja algoritmkauplemist, laenuandmis- ja rahastamistehinguid, vastastikust laenuandmist, krediidireitinguid, kahjukäsitlust ja back office’i tegevust. IKT kasutamine on muutnud ka kindlustussektorit – alates kindlustustehnoloogia kaudu internetis teenuseid pakkuvate kindlustusvahendajate esilekerkimisest kuni kindlustuslepingute digitaalse sõlmimiseni. Kogu finantssektor on muutunud valdavalt digitaalseks, kuid digiteerimine on süvendanud ka seoseid ja sõltuvust nii finantssektori sees kui ka finantssektori ja kolmandate isikute taristu ja kolmandast isikust teenuseosutajate vahel.

(3)

Euroopa Süsteemsete Riskide Nõukogu (ESRN) kinnitas süsteemset küberriski käsitlevas 2020. aasta aruandes, et finantssektori ettevõtjate, finantsturgude ja finantsturutaristu suur omavaheline seotus ning eelkõige nende IKT-süsteemide omavaheline sõltuvus võivad kujutada endast süsteemset nõrkust, sest lokaalsed küberintsidendid võivad kanduda kiiresti liidu mis tahes ühest ligikaudu 22 000 finantssektori ettevõtjast üle kogu finantssüsteemile, olenemata geograafilistest piiridest. Finantssektoris toimuvad tõsised IKTga seotud rikkumised ei mõjuta ainult üksikuid finantssektori ettevõtjaid. Need soodustavad ka lokaalselt nõrkuse edasi kandumist finantsülekannete kanaleid pidi ja võivad avaldada negatiivset mõju liidu finantssüsteemi stabiilsusele, näiteks põhjustades likviidsuse väljavoolu ning üldiselt vähendada kindlustunnet ja usaldust finantsturgudesse.

(4)

IKT-riskile on viimastel aastatel pööranud tähelepanu rahvusvahelised, liidu ja riiklikud poliitikakujundajad, reguleerivad asutused ja standardeid kehtestavad asutused eesmärgiga suurendada digitaalset kerksust, kehtestada standardeid ja koordineerida regulatiivset või järelevalvetööd. Rahvusvahelisel tasandil püüavad Baseli pangajärelevalve komitee, makse- ja arveldussüsteemide komitee, finantsstabiilsuse nõukogu, finantsstabiilsuse instituut ning G7 ja G20 anda eri jurisdiktsioonide pädevatele asutustele ja turukorraldajatele vahendeid oma finantssüsteemi kerksuse suurendamiseks. Seda tööd on ajendanud ka vajadus võtta IKT-riski igakülgselt arvesse omavahel tihedalt seotud ülemaailmse finantssüsteemi kontekstis ning püüda saavutada asjakohaste parimate tavade suurem kooskõla.

(5)

Hoolimata sihipärasest liidu ja riiklikust poliitikast ja seadusandlikest algatustest on IKT-risk jätkuvalt probleem liidu finantssüsteemi tegevuskerksuse, suutlikkuse ja stabiilsuse jaoks. 2008. aasta finantskriisile järgnenud reformidega tugevdati peamiselt liidu finantssektori vastupanuvõimet ning sooviti kaitsta liidu konkurentsivõimet ja stabiilsust majanduse, usaldatavusnõuete ja turukäitumise seisukohast. Kuigi IKT turvalisus ja digitaalne kerksus on operatsiooniriski osa, on finantskriisijärgses regulatiivses tegevuskavas nendele vähem keskendutud ning neid on arendatud ainult mõnes liidu finantsteenuste poliitika ja regulatiivse maastiku lõigus või ainult üksikutes liikmesriikides.

(6)

Komisjoni 8. märtsi 2018. aasta teatises „Finantstehnoloogia tegevuskava: konkurentsivõimelisema ja innovatiivsema Euroopa finantssektori poole“ rõhutati, et väga oluline on muuta liidu finantssektor vastupidavamaks, sealhulgas tegevuslikust vaatenurgast, et tagada selle tehnoloogiline ohutus ja hea toimimine ning kiire taastumine IKTga seotud rikkumistest ja intsidentidest, võimaldades kokkuvõttes tulemuslikku ja sujuvat finantsteenuste osutamist kogu liidus, muu hulgas pingelistes olukordades, säilitades samal ajal tarbijate ja turu usalduse ja kindlustunde.

(7)

2019. aasta aprillis esitasid Euroopa Parlamendi ja nõukogu määrusega (EL) nr 1093/2010 (4) asutatud Euroopa Järelevalveasutus (Euroopa Pangandusjärelevalve) (EBA), Euroopa Parlamendi ja nõukogu määrusega (EL) nr 1094/2010 (5) asutatud Euroopa Järelevalveasutus (Euroopa Kindlustus- ja Tööandjapensionide Järelevalve) (EIOPA) ning Euroopa Parlamendi ja nõukogu määrusega (EL) nr 1095/2010 (6) asutatud Euroopa Järelevalveasutus (Euroopa Väärtpaberiturujärelevalve) (ESMA) (koos „Euroopa järelevalveasutused“) ühiselt tehnilise nõuande, milles kutsuti üles kasutama rahanduse valdkonnas IKT-riski puhul ühtset lähenemisviisi ja soovitati proportsionaalselt tugevdada finantsteenuste sektori digitaalset tegevuskerksust liidu valdkondliku algatuse kaudu.

(8)

Liidu finantssektorit reguleerib ühtne reeglistik ja juhib Euroopa Finantsjärelevalve Süsteem. Sätteid digitaalse tegevuskerksuse ja IKT turvalisuse kohta ei ole aga veel täielikult või järjepidevalt ühtlustatud, kuigi digitaalne tegevuskerksus on digiajastul finantsstabiilsuse ja turu usaldusväärsuse tagamiseks määrava tähtsusega ja ei ole vähem oluline kui näiteks ühised usaldatavus- või turukäitumisstandardid. Seepärast peaks ühtse reeglistiku ja järelevalvesüsteemiga hõlmama ka digitaalse tegevuskerksuse, tugevdades pädevate asutuste volitusi, et võimaldada neil teha järelevalvet IKT-riski juhtimise üle finantssektoris, eesmärgiga kaitsta siseturu usaldusväärsust ja tõhusust ning hõlbustada selle nõuetekohast toimimist.

(9)

Õigusnormide erinevused ja ebaühtlane riiklik regulatiivne või järelevalvealane lähenemine IKT-riskile takistab finantsteenuste siseturu toimimist ning pärsib asutamisvabaduse sujuvat kasutamist ja piiriüleselt tegutsevate finantssektori ettevõtjate teenuste osutamist. Moonutatud võib olla ka eri liikmesriikides tegutsevate sama tüüpi finantssektori ettevõtjate vaheline konkurents. See on nii eelkõige valdkondades, kus liidu tasandil ühtlustamine on olnud väga piiratud (näiteks digitaalse tegevuskerksuse testimine) või kus ühtlustamist ei ole toimunud (näiteks kolmandast isikust tuleneva IKT-riski seire). Erinevused, mis tulenevad riiklikul tasandil kavandatud arendustest, võivad tekitada uusi siseturu toimimist takistavaid tõkkeid ning kahjustada turuosalisi ja finantsstabiilsust.

(10)

IKT-riski puudutavate sätete üksnes osalise käsitlemise tõttu liidu tasandil esineb siiani lünki või kattuvusi olulistes valdkondades, nagu IKT intsidentidest teatamine ja digitaalse tegevuskerksuse testimine, ning ebaühtlust, mis tuleneb lisanduvatest lahknevatest riiklikest normidest või kattuvate normide mittekulutõhusast kohaldamisest. See on eriti kahjulik sellisele IKT-mahukale sektorile nagu finantssektor, sest tehnoloogiariskid ei tunne piire ja finantssektor osutab oma teenuseid piiriüleselt nii liidu sees kui ka väljaspool. Piiriüleselt tegutsevatel või mitme tegevusloaga (ühel finantssektori ettevõtjal võib näiteks olla pangandus-, investeerimisühingu ja makseasutuse litsents, millest igaühe on välja andnud erinev pädev asutus ühes või mitmes liikmesriigis) eraldiseisvatel finantssektori ettevõtjatel on operatiivselt keeruline ise järjepidevalt ja kulutõhusalt IKT-riski käsitleda ja IKT intsidentide negatiivset mõju leevendada.

(11)

Kuna ühtse reeglistikuga ei ole kaasnenud laiahaardelist IKT- või operatsiooniriski raamistikku, tuleb kõigi finantssektori ettevõtjate digitaalse tegevuskerksuse põhinõudeid rohkem ühtlustada. Kui finantssektori ettevõtjad arendavad nendele põhinõuetele tuginedes IKT-suutlikkust ja üldist kerksust, et tulla toime tegevuse katkestustega, aitaks see säilitada liidu finantsturgude stabiilsust ja usaldusväärsust ning seega tagada liidus investorite ja tarbijate kaitse kõrge taseme. Kuna käesoleva määruse eesmärk on edendada siseturu sujuvat toimimist, peaks see tuginema Euroopa Liidu toimimise lepingu (ELi toimimise leping) artikli 114 sätetele, nagu neid tõlgendab Euroopa Liidu Kohus (Euroopa Kohus) oma väljakujunenud praktikas.

(12)

Käesoleva määrusega soovitakse konsolideerida ja ajakohastada IKT-riskiga seotud nõuded osana operatsiooniriski nõuetest, mida seni on käsitletud eraldi eri liidu õigusaktides. Kuigi nendes õigusaktides käsitleti finantsriski peamisi kategooriaid (nt krediidirisk, tururisk, vastaspoole krediidirisk ja likviidsusrisk, turukäitumise risk), ei käsitletud neis nende vastuvõtmise ajal põhjalikult kõiki tegevuskerksuse komponente. Kuigi kõnealustes liidu õigusaktides käsitleti operatsiooniriski norme põhjalikumalt, keskenduti sageli traditsioonilisele kvantitatiivsele riski käsitlevale lähenemisviisile (kehtestades IKT-riski hõlmamiseks kapitalinõuded), mitte sihipärastele kvalitatiivsetele normidele, millega nähakse ette kaitsmise, avastamise, piiramise, taastamise ja parandamise suutlikkus IKT intsidentide puhul või teatamise ja digitaalse testimise suutlikkus. Nendes õigusaktides sooviti peamiselt käsitleda ja ajakohastada usaldatavusnõuete täitmise järelevalve, turu usaldusväärsuse või turukäitumise põhinorme. IKT-riski käsitlevate eri normide konsolideerimisel ja ajakohastamisel tuleks kõik finantssektori digiriski käsitlevad sätted esimest korda koondada sidusal viisil ühte õigusakti. Käesoleva määrusega kõrvaldatakse seega mõningate eelnevate õigusaktide lüngad või ebaühtlus, muu hulgas neis kasutatud terminoloogia osas, ning osutatakse sõnaselgelt IKT-riskile, kehtestades sihipärased normid IKT-riski juhtimise suutlikkuse, intsidentidest teatamise, tegevuskerksuse testimise ja kolmandast isikust tuleneva IKT-riski seire kohta. Käesoleva määrusega tuleks seetõttu ühtlasi suurendada teadlikkust IKT-riskist ning tunnistada, et IKT intsidendid ja vähene tegevuskerksus võivad ohustada finantssektori ettevõtjate usaldusväärsust.

(13)

Finantssektori ettevõtjad peaksid kasutama IKT-riski käsitlemisel sama lähenemisviisi ja samu põhimõtetel põhinevaid norme, võttes arvesse oma suurust ja üldist riskiprofiili ning oma teenuste, tegevuse ja toimingute laadi, ulatust ja keerukust. Sidusus aitab suurendada usaldust finantssüsteemi vastu ja säilitada selle stabiilsust, eelkõige ajal, mil IKT-süsteemidest, -platvormidest ja -taristust sõltutakse suurel määral, millega kaasneb suurem digirisk. Lisaks peaks esmase küberhügieeni järgimine minimeerima IKT-katkestuste mõju ja kulusid ning hoidma seega ära majandusele suurte kulude tekkimise.

(14)

Määrus aitab vähendada regulatiivset keerukust, edendab järelevalvealast ühtsust ja suurendab õiguskindlust ning aitab samuti piirata nõuete täitmisega seotud kulusid, eelkõige piiriüleselt tegutsevate finantssektori ettevõtjate puhul, ja vähendada konkurentsimoonutusi. Seepärast on finantssektori ettevõtjate digitaalse tegevuskerksuse ühtse raamistiku kehtestamine määrusega kõige asjakohasem viis tagada, et liidu finantssektor kohaldab kõiki IKT-riski juhtimise komponente ühetaoliselt ja sidusalt.

(15)

Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/1148 (7) oli esimene liidu tasandil kehtestatud horisontaalne küberturvalisuse raamistik, mida hakati kohaldama ka kolme liiki finantssektori ettevõtjate – krediidiasutused, kauplemiskohad ja kesksed vastaspooled – suhtes. Kuna direktiivis (EL) 2016/1148 sätestati mehhanism oluliste teenuste operaatorite identifitseerimiseks riiklikul tasandil, jäävad üksnes teatavad krediidiasutused, kauplemiskohad ja kesksed vastaspooled, keda liikmesriigid sellisena identifitseerisid, tegelikult direktiivi kohaldamisalasse, ja nemad on seetõttu kohustatud täitma selles sätestatud IKT turvalisuse ja intsidentidest teatamise nõudeid. Euroopa Parlamendi ja nõukogu direktiivis (EL) 2022/2555 (8) on sätestatud ühine kriteerium selle kohaldamisalasse kuuluvate üksuste kindlaksmääramiseks (suuruse ülempiiri reegel), jättes selle kohaldamisalasse ka kolme liiki finantssektori ettevõtjad.

(16)

Kuna käesoleva määrusega tõstetakse digitaalse kerksuse eri komponentide ühtlustamise taset, kehtestades IKT-riski juhtimise ja IKT intsidentidest teatamise suhtes nõuded, mis on kehtivas finantsteenuseid käsitlevas liidu õiguses sätestatud nõuetega võrreldes rangemad, on kõnealuse kõrgema taseme puhul tegemist suurema ühtlustamisega ka võrreldes direktiivis (EL) 2022/2555 sätestatud nõuetega. Sellest tulenevalt on käesolev määrus direktiivi (EL) 2022/2555 suhtes lex specialis. Samal ajal on äärmiselt oluline tagada, et finantssektor ja liidu horisontaalne küberturvalisuse raamistik, nagu see on praegu sätestatud direktiivis (EL) 2022/2555, oleksid endiselt tugevalt seotud, et tagada kooskõla liikmesriikides vastu võetud küberturvalisuse strateegiatega ning võimaldada teavitada finantsjärelevalveasutusi küberintsidentidest, mis mõjutavad teisi nimetatud direktiiviga hõlmatud sektoreid.

(17)

Vastavalt Euroopa Liidu lepingu artikli 4 lõikele 2 ja ilma et see piiraks Euroopa Kohtu tehtavat kohtulikku kontrolli, ei tohiks käesolev määrus mõjutada liikmesriikide vastutust seoses riigi põhifunktsioonidega, mis puudutavad avalikku julgeolekut, riigikaitset ja riigi julgeoleku tagamist, näiteks seoses sellise teabe esitamisega, mis oleks vastuolus riigi julgeoleku kaitsmisega.

(18)

Selleks et võimaldada sektoritevahelist õppimist ja võtta tulemuslikult arvesse muude sektorite kogemusi küberohtudega tegelemisel, peaksid direktiivis (EL) 2022/2555 osutatud finantssektori ettevõtjad jääma nimetatud direktiivi nn ökosüsteemi (näiteks koostöörühm ning küberturbe intsidentide lahendamise üksused). Euroopa järelevalveasutused ja riiklikud pädevad asutused peaksid nimetatud direktiivi raames saama osaleda strateegilise poliitika aruteludes ning koostöörühma tehnilises töös, vahetada teavet ja teha täiendavat koostööd nimetatud direktiivi kohaselt määratud või loodud ühtsete kontaktpunktidega. Käesoleva määruse kohased pädevad asutused peaksid konsulteerima ja tegema koostööd ka küberturbe intsidentide lahendamise üksustega. Samuti peaks pädevatel asutustel olema võimalik küsida tehnilist nõu direktiivi (EL) 2022/2555 kohaselt määratud või asutatud pädevatelt asutustelt ning kehtestada koostöökord, mille eesmärk on tagada tõhusad kiire reageerimise koordineerimismehhanismid.

(19)

Võttes arvesse tugevaid seoseid finantssektori ettevõtjate digitaalse ja füüsilise kerksuse vahel, on käesolevas määruses ning Euroopa Parlamendi ja nõukogu direktiivis (EL) 2022/2557 (9) vaja elutähtsate teenuste osutajate toimepidevuse ühtset käsitust. Kuna finantssektori ettevõtjate füüsilist kerksust käsitletakse terviklikult käesoleva määrusega hõlmatud IKT-riski juhtimise ja teatamiskohustuse raames, ei tuleks direktiivi (EL) 2022/2557 III ja IV peatükis sätestatud kohustusi kõnealuse direktiivi kohaldamisalasse kuuluvate finantssektori ettevõtjate suhtes kohaldada.

(20)

Pilvteenuse osutajad on üks direktiiviga (EL) 2022/2555 hõlmatud digitaristu kategooria. Käesoleva määrusega loodavat liidu järelevaatamisraamistikku (edaspidi „järelevaatamisraamistik“) kohaldatakse kõigi kriitilise tähtsusega kolmandast isikust IKT-teenuste, sealhulgas pilvteenuse osutajate suhtes, kes osutavad IKT-teenuseid finantssektori ettevõtjatele, ja seda tuleks pidada direktiivi (EL) 2022/2555 kohase järelevalve täienduseks. Käesoleva määrusega loodud järelevaatamisraamistik peaks hõlmama pilvteenuse osutajaid, kuni puudub liidu horisontaalne raamistik, millega oleks asutatud digitaalne järelevaatamisasutus.

(21)

Selleks et säilitada täielik kontroll IKT-riski üle, on finantssektori ettevõtjatel vaja laiahaardelist suutlikkust, et võimaldada tugevat ja tulemuslikku IKT-riski juhtimist, ning erimehhanisme ja -korda kõigi IKT intsidentide käsitlemiseks ja tõsistest IKT intsidentidest teavitamiseks. Samuti peaks finantssektori ettevõtjatel olema kehtestatud IKT-süsteemide, -kontrollide ja -protsesside testimise ning kolmandast isikust tuleneva IKT-riski juhtimise kord. Finantssektori ettevõtjate digitaalse tegevuskerksuse miinimumnõudeid tuleks muuta rangemaks, võimaldades samal ajal teatavatel finantssektori ettevõtjatel, eelkõige mikroettevõtjatel ja sellistel finantssektori ettevõtjatel, kelle suhtes kohaldatakse lihtsustatud IKT-riski juhtimise raamistikku, kohaldada nõudeid proportsionaalselt. Selleks et hõlbustada proportsionaalset ja tõhusat, pädevate asutuste töökoormuse vähendamise vajadusega arvestavat järelevalvet tööandja kogumispensioni asutuste üle, tuleks selliste finantssektori ettevõtjate suhtes kohaldatavas asjakohases riiklikus järelevalvekorras võtta arvesse nende suurust ja üldist riskiprofiili ning nende teenuste, tegevuse ja toimingute laadi, ulatust ja keerukust, isegi kui ületatakse Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/2341 (10) artiklis 5 sätestatud asjakohaseid lävesid. Eelkõige tuleks järelevalvetegevuses keskenduda vajadusele käsitleda tõsiseid riske, mis on seotud konkreetse üksuse IKT-riski juhtimisega.

Pädevad asutused peaksid samuti olema tähelepanelikud selliste tööandja kogumispensioni asutuste järelevalve suhtes, kes kooskõlas direktiivi (EL) 2016/2341 artikliga 31 annavad olulise osa oma põhitegevusest, nagu varade valitsemine, kindlustusmatemaatilised arvutused, raamatupidamisarvestus ja andmehaldus, edasi teenuseosutajatele, ning tegema nende üle järelevalvet proportsionaalselt.

(22)

IKT intsidentidest teatamise läved ja taksonoomia on riiklikul tasandil väga erinevad. Kuigi Euroopa Parlamendi ja nõukogu määrusega (EL) 2019/881 (11) asutatud Euroopa Liidu Küberturvalisuse Ameti (ENISA) ja direktiivi (EL) 2022/2555 kohase koostöörühma tehtava asjakohase töö kaudu võib jõuda üksmeelele, esineb lävede kehtestamise ja taksonoomia kasutamise valdkonnas jätkuvalt lahknevaid käsitusi või need võivad ülejäänud finantssektori ettevõtjate puhul tekkida. Selliste lahknevuste tõttu peavad finantssektori ettevõtjad täitma mitmeid nõudeid, eelkõige kui nad tegutsevad mitmes liikmesriigis ja kuuluvad finantskontserni. Lisaks võivad need lahknevused takistada selliste uute ühetaoliste või tsentraliseeritud liidu mehhanismide loomist, mis kiirendaksid teatamisprotsessi ja toetaksid kiiret ja sujuvat pädevate asutuste vahelist teabevahetust, mis on äärmiselt oluline IKT-riski käsitlemiseks suurte rünnete korral, millel võivad olla süsteemsed tagajärjed.

(23)

Selleks et vähendada teatavate finantssektori ettevõtjate halduskoormust ja potentsiaalselt dubleerivaid teatamiskohustusi, tuleks lõpetada Euroopa Parlamendi ja nõukogu direktiivi (EL) 2015/2366 (12) kohaste intsidentidest teatamise reeglite kohaldamine käesoleva määruse kohaldamisalasse kuuluvate makseteenuse pakkujate suhtes. Sellest tulenevalt peaksid krediidiasutused, e-raha asutused, makseasutused ja kõnealuse direktiivi artikli 33 lõikes 1 osutatud kontoteabe teenuse pakkujad käesoleva määruse kohaldamise alguskuupäevast teavitama käesoleva määruse kohaselt kõigist tegevust või turvalisust mõjutavatest maksetega seotud intsidentidest, millest on varem teatatud nimetatud direktiivi kohaselt, olenemata intsidendi seotusest IKTga.

(24)

Selleks et võimaldada pädevatel asutustel täita järelevalveülesandeid, saades täieliku ülevaate IKT intsidentide laadist, sagedusest, olulisusest ja mõjust, ning tõhustada asjaomaste avaliku sektori asutuste, sealhulgas õiguskaitse- ja kriisilahendusasutuste vahelist teabevahetust, tuleks käesolevas määruses sätestada kindel IKT intsidentidest teatamise kord, mille kohaselt käsitletakse asjakohaste nõuetega praeguseid lünki finantsteenuseid käsitlevas õiguses, ning kõrvaldada kulude vähendamiseks olemasolevad kattuvused ja dubleerimine. On oluline IKT intsidentidest teatamise korda ühtlustada, kohustades kõiki finantssektori ettevõtjaid teavitama oma pädevaid asutusi käesolevas määruses sätestatud ühtse ja ühtlustatud raamistiku abil. Lisaks peaks Euroopa järelevalveasutustel olema õigus täpsustada veelgi IKT intsidentidest teatamise raamistiku asjakohaseid elemente, nagu taksonoomia, tähtajad, andmekogumid, vormid ja kohaldatavad läved. Täieliku kooskõla tagamiseks direktiiviga (EL) 2022/2555 peaks finantssektori ettevõtjatel olema lubatud asjaomast pädevat asutust olulistest küberohtudest vabatahtlikult teatada, kui küberoht mõjutab nende arvates finantssüsteemi, teenusekasutajaid või kliente.

(25)

Finantssektori teatavates allsektorites on digitaalse tegevuskerksuse testimise nõudeid välja töötatud, kehtestades raamistikke, mis ei ole alati täielikult omavahel kooskõlas. See võib kahekordistada piiriüleste finantssektori ettevõtjate kulusid ja muudab digitaalse tegevuskerksuse testimise tulemuste vastastikuse tunnustamise keerukaks, mis omakorda võib siseturgu killustada.

(26)

Lisaks, kui IKT-testimist ei nõuta, jääb nõrkus avastamata, mis seab finantssektori ettevõtja IKT-riski ohtu ning kokkuvõttes tekitab suurema riski finantssektori stabiilsusele ja usaldusväärsusele. Ilma liidu sekkumiseta jääks digitaalse tegevuskerksuse testimine ebaühtlaseks ning puuduks süsteem IKT-testimise tulemuste vastastikuseks tunnustamiseks eri jurisdiktsioonides. Ühtlasi, kuna on ebatõenäoline, et finantssektori muudes allsektorites võetaks mõistlikus ulatuses vastu testimisskeeme, jääksid nad ilma testimisraamistiku võimalikust kasust seoses IKT nõrkuse ja -riskide avastamise ning kaitsevõime ja talitluspidevuse testimisega, mis aitavad suurendada tarbijate, tarnijate ja äripartnerite usaldust. Nende kattuvuste, lahknevuste ja lünkade kõrvaldamiseks tuleb sätestada koordineeritud testimiskorda käsitlevad normid ja seeläbi edendada selliste finantssektori ettevõtjate puhul süvatestimise vastastikust tunnustamist, kes täidavad käesoleva määruse kriteeriume.

(27)

Finantssektori ettevõtjate sõltuvus IKT-teenuste kasutamisest tuleneb osaliselt nende vajadusest kohaneda tekkiva konkurentsivõimelise digitaalse maailmamajandusega, et suurendada oma tegevuse tõhusust ja vastata tarbijate nõudlusele. Sellise sõltuvuse laad ja ulatus on viimastel aastatel pidevalt muutunud ning aidanud vähendada kulusid finantsvahenduses ja võimaldanud finantstegevuse puhul äritegevust laiendada ja skaleerida, andes samal ajal mitmesugused IKT-vahendid keerukate siseprotsesside juhtimiseks.

(28)

IKT-teenuste kõnealust laialdast kasutust näitavad keerukad lepingud, millest tulenevalt on finantssektori ettevõtjatel sageli raske leppida kokku lepingutingimustes, mis oleksid kohandatud vastavalt usaldatavusstandarditele või muudele regulatiivsetele nõuetele, mida nende suhtes kohaldatakse, või kasutada teatavaid õigusi, nagu pääsu- või auditeerimisõigused, isegi juhul, kui viimased on nende lepingutes kindlaks määratud. Lisaks ei ole paljude selliste lepingutega ette nähtud piisavaid kaitsemeetmeid, mis lubaksid tegevuse edasiandmise protsesse täies ulatuses seirata, mistõttu ei saa finantssektori ettevõtja seonduvaid riske hinnata. Peale selle, kuna kolmandast isikust IKT-teenuste osutajad osutavad sageli standardteenuseid eri tüüpi klientidele, ei ole sellised lepingud alati piisavad finantssektoris osalejate individuaalsete või erivajaduste rahuldamiseks.

(29)

Kuigi finantsteenuseid käsitlev liidu õigus sisaldab teatavaid üldiseid norme tegevuse edasiandmise kohta, ei ole lepingulise aspekti seire liidu õiguses täielikult sätestatud. Kuna puuduvad selged ja kohandatud liidu standardid, mida kohaldatakse kolmandast isikust IKT-teenuste osutajatega sõlmitud lepingute suhtes, on IKT-riski väline allikas põhjalikult käsitlemata. Sellest tulenevalt on vaja kehtestada teatavad peamised põhimõtted, mis suunavad seda, kuidas finantssektori ettevõtjad juhivad kolmandast isikust tulenevat IKT-riski, ja mis on eriti olulised, kui finantssektori ettevõtjad kasutavad kolmandast isikust IKT-teenuste osutajaid, et toetada oma kriitilise tähtsusega või olulisi funktsioone. Neid põhimõtteid peaksid toetama peamised lepingulised õigused, mis puudutavad mitut lepingute täitmise ja lõpetamisega seotud elementi, eesmärgiga tagada teatavad minimaalsed kaitsemeetmed, et toetada finantssektori ettevõtjate võimet seirata tulemuslikult kogu kolmandast isikust teenuseosutajate tasandil tekkivat IKT-riski. Kõnealused põhimõtted täiendavad tegevuse edasiandmise suhtes kohaldatavat valdkondlikku õigust.

(30)

Praegu on ilmne teatav ühtsuse ja ühtlustamise puudumine seoses kolmandast isikust tuleneva IKT-riski ja kolmandast isikust IKT-teenuste osutajatest sõltuvuse seirega. Tegevuse edasiandmise käsitlemisel on küll tehtud jõupingutusi (näiteks EBA 2019. aasta suunised tegevuse edasiandmise kohta ja ESMA 2021. aasta suunised pilvteenuse osutajatele tegevuse edasiandmise kohta), kuid laiemat probleemi, mis on seotud sellise süsteemse riski kõrvaldamisega, mille võib tekitada finantssektori seotus piiratud arvu kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatega, ei ole liidu õiguses piisavalt käsitletud. Normide puudumist liidu tasandil süvendab asjaolu, et ei ole volitusi ja vahendeid käsitlevaid riiklikke norme, mis võimaldaksid finantsjärelevalveasutustel saada hästi aru sõltuvusest kolmandast isikust IKT-teenuste osutajatest ja seirata piisaval määral riske, mis tulenevad kolmandast isikust IKT-teenuste osutajatest sõltuvuse kontsentratsioonist.

(31)

Võttes arvesse potentsiaalset süsteemset riski, mis kaasneb tegevuse ulatuslikuma edasiandmisega ja kolmandast isikust IKT-teenuste osutajate kontsentratsiooniga, ning asjaolu, et riiklikud mehhanismid ei ole piisavad, et tagada finantsjärelevalveasutustele asjakohased vahendid kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatel esineva IKT-riski tagajärgede kvantifitseerimiseks, kvalifitseerimiseks ja leevendamiseks, on vaja kehtestada asjakohane järelevaatamisraamistik, mis võimaldaks pidevalt seirata selliste kolmandast isikust IKT-teenuste osutajate tegevust, kes on finantssektori ettevõtjate jaoks kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad, tagades samal ajal, et säilib muude kui finantssektori ettevõtjatest klientide konfidentsiaalsus ja turvalisus. Kuigi kontsernisisese IKT-teenuste osutamisega kaasnevad spetsiifilised riskid ja eelised, ei tohiks seda automaatselt pidada vähem riskantseks kui IKT-teenuste osutamist väljaspool finantskontserni asuvate teenuseosutajate poolt ning seetõttu tuleks selle suhtes kohaldada sama õigusraamistikku. Kui aga IKT-teenuseid osutatakse sama finantskontserni piires, võib finantssektori ettevõtjatel olla suurem kontroll kontsernisiseste teenuseosutajate üle, mida tuleks üldises riskihindamises arvesse võtta.

(32)

Kuna IKT-risk on muutumas üha komplekssemaks ja keerukamaks, sõltuvad head IKT-riski avastamise ja ennetamise meetmed suurel määral ohte ja nõrkust puudutava teadmuse regulaarsest jagamisest finantssektori ettevõtjate vahel. Teabe jagamine aitab tekitada suuremat teadlikkust küberohtudest. See omakorda suurendab finantssektori ettevõtjate suutlikkust hoida ära küberohtude muutumist tegelikeks IKT intsidentideks ning võimaldab finantssektori ettevõtjatel tõhusamalt piirata IKT intsidentide mõju ja kiiremini taastuda. Näib, et liidu tasandi suuniste puudumisel on sellist teadmuse jagamist pärssinud mitu tegurit, eelkõige ebakindlus seoses selle kooskõlaga andmekaitse-, monopolidevastaste ja vastutusnormidega.

(33)

Lisaks takistavad kasuliku teabe jagamist kahtlused selle kohta, millist liiki teavet saab teiste turuosaliste või muude kui järelevalveasutustega (näiteks ENISAga analüütilise sisendi andmiseks või Europoliga õiguskaitse otstarbel) jagada. Seepärast on teabe jagamise ulatus ja kvaliteet praegu endiselt piiratud ja killustunud, asjakohane teabevahetus on peamiselt lokaalne (riiklike algatuste kaudu) ning puuduvad kogu liitu hõlmavad ühtsed teabe jagamise kokkulepped, mis oleks kohandatud vastavalt integreeritud finantssüsteemi vajadustele. Seepärast on oluline neid sidekanaleid tugevdada.

(34)

Finantssektori ettevõtjaid tuleks julgustada teabe jagamise kokkulepetes osalemise kaudu vahetama omavahel küberohte käsitlevat teavet ja teadmust ning kasutama kollektiivselt oma individuaalseid teadmisi ja praktilisi kogemusi strateegilisel, taktikalisel ja operatiivsel tasandil, et suurendada oma suutlikkust küberohte piisavalt hinnata ja seirata, end nende eest kaitsta ja neile reageerida. Seepärast tuleb liidu tasandil võimaldada mehhanismide loomist vabatahtlikult teabe jagamise kokkulepete jaoks, mis usaldusväärses keskkonnas sõlmimise korral aitaksid finantssektori kogukonnal ennetada küberohte ja reageerida neile ühiselt, piirates kiiresti IKT-riski levikut ja takistades võimalikku ülekandumist finantskanalite kaudu. Need mehhanismid peaksid olema kooskõlas kohaldatavate liidu konkurentsiõiguse normidega, mis on esitatud komisjoni 14. jaanuari 2011. aasta teatises „Suunised Euroopa Liidu toimimise lepingu artikli 101 kohaldatavuse kohta horisontaalkoostöö kokkulepete suhtes“, ning liidu andmekaitsenormidega, eelkõige Euroopa Parlamendi ja nõukogu määrusega (EL) 2016/679 (13). Mehhanismid peaksid toimima lähtuvalt kõnealuse määruse artiklis 6 sätestatud ühe või mitme õigusliku aluse rakendamisest näiteks olukorras, kus isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, nagu on osutatud kõnealuse määruse artikli 6 lõike 1 punktis f, ning olukorras, kus isikuandmete töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks või see on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks, nagu on osutatud vastavalt kõnealuse määruse artikli 6 lõike 1 punktides c ja e.

(35)

Selleks et säilitada kogu finantssektori digitaalne tegevuskerksus ja pidada samal ajal sammu tehnoloogia arenguga, tuleks käesolevas määruses käsitleda igat liiki IKT-teenustest tulenevaid riske. Selleks tuleks käesoleva määruse kontekstis IKT-teenuste määratlust tõlgendada laialt, hõlmates IKT-süsteemide kaudu ühele või mitmele sise- või väliskasutajale pidevalt osutatavaid digi- ja andmeteenuseid. See määratlus peaks hõlmama näiteks OTT-teenuseid (inglise keeles ‘over the top’ services), mis kuuluvad elektroonilise side teenuste kategooriasse. Määratlusest tuleks välja jätta üksnes selliste tavapäraste analoogtelefoniteenuste piiratud kategooria, mis kvalifitseeruvad kanalikommutatsiooniga üldkasutatava telefonivõrgu teenuseks, lauatelefoniteenuseks, analoogtelefonsideks või püsivõrgu liini telefoniteenuseks.

(36)

Hoolimata käesoleva määrusega ette nähtud laiast kohaldamisalast, tuleks digitaalse tegevuskerksuse normide kohaldamisel võtta arvesse finantssektori ettevõtjate suuruse ja üldise riskiprofiili märkimisväärseid erinevusi. Üldpõhimõte on see, et finantssektori ettevõtjad peaksid IKT-riski juhtimise raamistiku rakendamiseks ressursside ja suutlikkuse jaotamisel võtma oma IKTga seotud vajaduste puhul igakülgselt arvesse oma suurust ja üldist riskiprofiili ning oma teenuste, tegevuse ja toimingute laadi, ulatust ja keerukust; pädevad asutused peaksid aga jätkama sellise jaotuse hindamist ja läbivaatamist.

(37)

Direktiivi (EL) 2015/2366 artikli 33 lõikes 1 osutatud kontoteabe teenuse pakkujad kuuluvad sõnaselgelt käesoleva määruse kohaldamisalasse, võttes arvesse nende tegevuse eripära ja sellest tulenevaid riske. Lisaks kuuluvad käesoleva määruse kohaldamisalasse e-raha asutused ja makseasutused, mille suhtes kohaldatakse Euroopa Parlamendi ja nõukogu direktiivi 2009/110/EÜ (14) artikli 9 lõike 1 ning direktiivi (EL) 2015/2366 artikli 32 lõike 1 kohast erandit, isegi kui neile ei ole antud direktiivi 2009/110/EÜ kohast tegevusluba e-raha väljastamiseks või kui neile ei ole antud direktiivi (EL) 2015/2366 kohast tegevusluba makseteenuste osutamiseks ja täitmiseks. Samal ajal ei kuulu käesoleva määruse kohaldamisalasse Euroopa Parlamendi ja nõukogu direktiivi (EL) 2013/36/EL (15) artikli 2 lõike 5 punktis 3 osutatud postižiiroasutused. Makseasutuste puhul, mille suhtes kohaldatakse direktiivi (EL) 2015/2366 kohast erandit, e-raha asutuste puhul, mille suhtes kohaldatakse direktiivi 2009/110/EÜ kohast erandit, ning direktiivi (EL) 2015/2366 artikli 33 lõikes 1 osutatud kontoteabe teenuse pakkujate puhul peaks pädev asutus olema direktiivi (EL) 2015/2366 artikli 22 kohaselt määratud pädev asutus.

(38)

Kuna suurematel finantssektori ettevõtjatel võib olla rohkem ressursse ning nad saavad kiiresti eraldada vahendeid juhtimisstruktuuride arendamiseks ja luua mitmesuguseid äristrateegiaid, peaksid ainult need finantssektori ettevõtjad, kes ei ole mikroettevõtjad käesoleva määruse tähenduses, olema kohustatud kehtestama keerukama juhtimiskorra. Sellistel ettevõtjatel on paremad vahendid, et luua eelkõige spetsiaalsed juhtimisfunktsioonid kolmandast isikust IKT-teenuste osutajatega sõlmitud järelevalvekokkulepete või kriisijuhtimise jaoks, korraldada IKT-riski juhtimine vastavalt kolme kaitseliiniga mudelile või võtta kasutusele sisemine riskijuhtimis- ja kontrollimudel ning võimaldada siseauditeid oma IKT-riski juhtimise raamistiku puhul.

(39)

Mõned finantssektori ettevõtjad saavad kasu eranditest või nende suhtes kohaldatakse liidu asjaomase valdkondliku õiguse alusel väga leebet õigusraamistikku. Selliste finantssektori ettevõtjate hulka kuuluvad Euroopa Parlamendi ja nõukogu direktiivi 2011/61/EL (16) artikli 3 lõikes 2 osutatud alternatiivsete investeerimisfondide valitsejad, Euroopa Parlamendi ja nõukogu direktiivi 2009/138/EÜ (17) artiklis 4 osutatud kindlustus- ja edasikindlustusandjad ning tööandja kogumispensioni asutused, kes haldavad pensioniskeeme, millel ei ole kokku rohkem kui 15 liiget. Neid erandeid silmas pidades ei oleks selliste finantssektori ettevõtjate lisamine käesoleva määruse kohaldamisalasse proportsionaalne. Lisaks tunnistatakse käesolevas määruses kindlustusvahendusturu struktuuri eripära, mistõttu ei tohiks käesolevat määrust kohaldada kindlustusvahendajate, edasikindlustusvahendajate ja kõrvaltegevusena pakutava kindlustuse vahendajate suhtes, kes kvalifitseeruvad mikroettevõtjateks või väikesteks ja keskmise suurusega ettevõtjateks.

(40)

Kuna direktiivi 2013/36/EL artikli 2 lõike 5 punktides 4–23 osutatud üksused on kõnealuse direktiivi kohaldamisalast välja jäetud, peaks liikmesriikidel olema võimalik otsustada jätta käesoleva määruse kohaldamisalast välja kõnealused üksused, kes asuvad nende territooriumil.

(41)

Selleks, et viia käesolev määrus vastavusse Euroopa Parlamendi ja nõukogu direktiivi 2014/65/EL (18) kohaldamisalaga, on lisaks asjakohane jätta käesoleva määruse kohaldamisalast välja kõnealuse direktiivi artiklites 2 ja 3 osutatud füüsilised ja juriidilised isikud, kellel on lubatud osutada investeerimisteenuseid ilma direktiivi 2014/65/EL kohast tegevusluba saamata. Direktiivi 2014/65/EL artikliga 2 jäetakse kõnealuse direktiivi kohaldamisalast välja ka üksused, mis kvalifitseeruvad käesoleva määruse kohaldamisel finantssektori ettevõtjateks, näiteks väärtpaberite keskdepositooriumid, investeerimisfondid ning kindlustus- ja edasikindlustusandjad. Käesoleva määruse kohaldamisalast kõnealuse direktiivi artiklites 2 ja 3 osutatud isikute ja üksuste väljajätmine ei peaks hõlmama kõnealuseid väärtpaberite keskdepositooriume, investeerimisfonde ning kindlustus- ja edasikindlustusandjaid.

(42)

Liidu valdkondliku õiguse alusel kohaldatakse mõne finantssektori ettevõtja suhtes nende suuruse või osutatavate teenustega seotud põhjustel leebemaid nõudeid või erandeid. Kõnealune finantssektori ettevõtjate kategooria hõlmab väikeseid ja mitteseotud investeerimisühinguid, väikeseid tööandja kogumispensioni asutusi, mille asjaomane liikmesriik võib direktiivi (EL) 2016/2341 kohaldamisalast välja jätta kõnealuse direktiivi artiklis 5 sätestatud tingimustel, ning mis haldavad pensioniskeeme, millel ei ole kokku rohkem kui 100 liiget, ning asutusi, mille suhtes kohaldatakse direktiivi 2013/36/EL kohast erandit. Seepärast on kooskõlas proportsionaalsuse põhimõttega ja liidu valdkondliku õiguse mõtte säilitamiseks asjakohane kohaldada nende finantssektori ettevõtjate suhtes samuti käesoleva määruse kohast lihtsustatud IKT-riski juhtimise raamistikku. Neid finantssektori ettevõtjaid hõlmava IKT-riski juhtimise raamistiku proportsionaalsust ei tohiks muuta regulatiivsete tehniliste standarditega, mille töötavad välja Euroopa järelevalveasutused. Lisaks on kooskõlas proportsionaalsuse põhimõttega asjakohane kohaldada käesoleva määruse kohast lihtsustatud IKT-riski juhtimise raamistikku direktiivi (EL) 2015/2366 artikli 32 lõikes 1 osutatud makseasutuste ja direktiivi 2009/110/EÜ artiklis 9 osutatud e-raha asutuste suhtes, kellele on tehtud erand neid liidu õigusakte ülevõtvas liikmesriigi õiguses, samal ajal kui makseasutused ja e-raha asutused, kellele ei ole tehtud erandit kooskõlas liidu valdkondlikku õigust ülevõtva liikmesriigi õigusega, peaksid järgima käesolevas määruses sätestatud üldraamistikku.

(43)

Samuti ei tohiks finantssektori ettevõtjatelt, kes kvalifitseeruvad mikroettevõtjateks või kelle suhtes kohaldatakse käesoleva määruse kohast lihtsustatud IKT-riski juhtimise raamistikku, nõuda järgmist: sellise funktsiooni loomist, mille abil seiratakse kolmandast isikust IKT-teenuste osutajatega sõlmitud IKT-teenuste kasutamise kokkuleppeid; kõrgema juhtkonna liikmele vastutuse andmist seonduva riski ja asjakohaste dokumentide üle järelevaatamise eest; vastutuse panemist IKT-riski juhtimise ja järelevaatamise eest kontrollifunktsioonile ning sellise kontrollifunktsiooni asjakohase sõltumatuse taseme tagamist, millega välditakse huvide konflikti; IKT-riski juhtimise raamistiku dokumenteerimist ja selle läbivaatamist vähemalt kord aastas; IKT-riski juhtimise raamistiku regulaarsete siseauditite võimaldamist; pärast oma võrgu- ja infosüsteemide taristus ja protsessides oluliste muudatuste tegemist põhjalike hindamiste läbiviimist; korrapäraste riskianalüüside tegemist IKT pärandsüsteemide kohta; IKT reageerimis- ja taastekavade rakendamise suhtes sõltumatute siseauditite tegemise võimaldamist; kriisijuhtimisfunktsiooni rakendamist, talitluspidevuse ning reageerimis- ja taastekavade testimise laiendamist, et hõlmata esmase IKT-taristu ja varurajatiste puhul ümberlülitusstsenaariume; taotluse korral pädevate asutuste teavitamist tõsiste IKT intsidentide tekitatud hinnangulisest aastasest kogukulust ja -kahjust, et oleks olemas IKT-alane varusuutlikkus; pädevate asutuste teavitamist muudatustest, mis tehti pärast IKT intsidendi järgseid kontrolle; asjaomase tehnoloogia arengu pidevat jälgimist; käesoleva määrusega ette nähtud IKT-riski juhtimise raamistiku lahutamatu osana tervikliku digitaalse tegevuskerksuse testimise programmi loomist ning kolmandast isikust tulenevat IKT-riski käsitleva strateegia vastuvõtmist ja korrapärast läbivaatamist. Lisaks tuleks mikroettevõtjatelt üksnes nõuda, et nad hindaksid IKT-alase varusuutlikkuse vajadust üksnes oma riskiprofiili alusel. Mikroettevõtjad peaksid saama kasu paindlikumast korrast seoses digitaalse tegevuskerksuse testimise programmidega. Tehtavate testide liiki ja sagedust kaaludes peaksid nad leidma õige tasakaalu digitaalse tegevuskerksuse kõrge taseme säilitamise eesmärgi, olemasolevate ressursside ja oma üldise riskiprofiili vahel. Mikroettevõtjad ja finantssektori ettevõtjad, kelle suhtes kohaldatakse käesoleva määruse kohast lihtsustatud IKT-riski juhtimise raamistikku, tuleks vabastada nõudest teha IKT-vahendite, -süsteemide ja -protsesside süvatestimist, mis tugineb ohuteabel põhinevale läbistustestimisele, sest sellist testimist tuleks nõuda ainult finantssektori ettevõtjatelt, kes täidavad käesoleva määruse kriteeriume. Arvestades mikroettevõtjate piiratud suutlikkust, peaks neil olema võimalik leppida kolmandast isikust IKT-teenuste osutajaga kokku finantssektori ettevõtja pääsu-, kontrolli- ja auditeerimisõiguste delegeerimises kolmandast isikust IKT-teenuste osutaja poolt määratud sõltumatule kolmandale isikule tingimusel, et finantssektori ettevõtja saab asjaomaselt kolmandalt isikult igal ajal nõuda kolmandast isikust IKT-teenuste osutaja tegevuse kohta asjakohast teavet ja kinnitust.

(44)

Kuna ainult neid finantssektori ettevõtjaid, kes on digitaalse kerksuse süvatestimiseks kindlaks määratud, tuleks kohustada tegema ohuteabel põhinevaid läbistusteste, peaksid selliste testide tegemisega kaasnevaid haldusprotsesse teostama ja rahalisi kulusid kandma väike osa finantssektori ettevõtjaid.

(45)

Selleks et tagada ühest küljest finantssektori ettevõtjate äristrateegiate ja teisest küljest IKT-riski juhtimise täielik kooskõla ja üldine vastavus, tuleks finantssektori ettevõtjate juhtorganeid kohustada täitma otsustavat ja aktiivset rolli IKT-riski juhtimise raamistiku ning üldise digitaalse tegevuskerksuse strateegia suunamises ja kohandamises. Lisaks sellele, et juhtorganite kasutatav lähenemisviis peaks keskenduma IKT-süsteemide kerksuse tagamise viisidele, peaks see hõlmama inimesi ja protsesse selliste põhimõtete kaudu, mis edendab ettevõtja igal tasandil kõigi töötajate suurt teadlikkust küberriskidest ja pühendumust tagada kõigil tasanditel range küberhügieen. See, et kokkuvõttes on finantssektori ettevõtja IKT-riski juhtimise eest vastutav juhtorgan, peaks olema selle laiahaardelise lähenemisviisi üldpõhimõte, mis peaks väljenduma juhtorgani pidevas osalemises IKT-riski juhtimise seire kontrollis.

(46)

Põhimõte, et juhtorgan vastutab täielikult ja lõplikult finantssektori ettevõtja IKT-riski juhtimise eest, käib käsikäes vajadusega tagada finantssektori ettevõtja jaoks selline IKTga seotud investeeringute tase ja üldeelarve, mis võimaldab finantssektori ettevõtjal saavutada digitaalse tegevuskerksuse kõrge taseme.

(47)

Käesolevas määruses lähtutakse asjakohastest küberriski juhtimise rahvusvahelistest, riiklikest ja valdkondlikest parimatest tavadest, suunistest, soovitustest ja käsitustest ning edendatakse põhimõtteid, mis hõlbustavad IKT-riski juhtimise üldise struktuuri kujundamist. Seega, kui finantssektori ettevõtjate loodud põhisuutlikkus vastab käesolevas määruses sätestatud mitmesuguste IKT-riski juhtimise funktsioonide (kindlaksmääramine, kaitse ja ennetamine, avastamine, reageerimine ja taastamine, õppimine ja arenemine ning teabevahetus) täitmiseks vajaminevale, peaks finantssektori ettevõtjatele jääma võimalus kasutada teisiti piiritletud või kategoriseeritud IKT-riski mudeleid.

(48)

Selleks et muutuva küberohtude maastikuga sammu pidada, peaks finantssektori ettevõtjatel olema ajakohastatud IKT-süsteemid, mis on usaldusväärsed ja millel on suutlikus mitte ainult teenuste osutamiseks vajaliku andmetöötluse tagamiseks, vaid ka piisava tehnoloogilise kerksuse kindlustamiseks, mis võimaldab neil piisavalt toime tulla halvenenud turutingimustest või muudest ebasoodsatest olukordadest tuleneva täiendava töötlemisvajadusega.

(49)

Tõhusaid talitluspidevuse ja taastekavasid on vaja selleks, et finantssektori ettevõtjad saaksid kohe ja kiiresti lahendada IKT intsidendid, eelkõige tulla toime küberrünnetega, piirates kahju ja seades prioriteediks tegevuse jätkamise ja taastemeetmed kooskõlas oma varunduspõhimõtetega. Siiski ei tohiks selline tegevuse jätkamine kuidagi seada ohtu võrgu- ja infosüsteemide terviklust ja turvalisust või andmete kättesaadavust, autentsust, terviklust ja konfidentsiaalsust.

(50)

Kuigi käesoleva määrusega lubatakse finantssektori ettevõtjatel määrata oma taasteaja ja taastekünnise eesmärgid kindlaks paindlikult ja seega asjaomaste funktsioonide laadi ja kriitilist tähtsust ning konkreetseid ärivajadusi täielikult arvesse võttes, tuleks määrusega siiski nõuda, et kõnealuste eesmärkide seadmisel hinnataks võimalikku kogumõju turu tõhususele.

(51)

Küberrünnete toimepanijad kalduvad saama rahalist tulu otse allika juures, tuues seega finantssektori ettevõtjate jaoks kaasa märkimisväärseid tagajärgi. Selleks et takistada seda, et IKT-süsteemid kaotavad oma tervikluse või ei ole kasutatavad, ning seega hoida ära andmetega seotud rikkumisi ja füüsilise IKT-taristu kahjustumist, tuleks märkimisväärselt parandada ja sujuvamaks muuta seda, kuidas finantssektori ettevõtjad teavitavad tõsistest IKT intsidentidest. IKT intsidentidest teavitamist tuleks ühtlustada kõigi finantssektori ettevõtjate jaoks kehtestatava nõudega esitada raporteid vahetult ainult oma asjaomastele pädevatele asutustele. Kui finantssektori ettevõtja üle teevad järelevalvet mitu riiklikku pädevat asutust, siis peaksid liikmesriigid määrama raporti adressaadiks ühe pädeva asutuse. Nõukogu määruse (EL) nr 1024/2013 (19) artikli 6 lõike 4 kohaselt oluliseks liigitatud krediidiasutused peaksid esitama raporti riiklikele pädevatele asutustele, kes peaksid seejärel edastama raporti Euroopa Keskpangale (EKP).

(52)

Selline otsene teavitamine peaks võimaldama finantsjärelevalveasutustele kohest juurdepääsu tõsiseid IKT intsidente käsitlevale teabele. Finantsjärelevalveasutused peaksid omakorda edastama tõsiste IKT intsidentide üksikasjad avaliku sektori asutustele, kes ei ole finantssektori asutused (näiteks pädevad asutused ja ühtsed kontaktpunktid direktiivi (EL) 2022/2555 tähenduses, riiklikud andmekaitseasutused ning kuritegelikku laadi tõsiste IKT intsidentide puhul õiguskaitseasutused), et suurendada selliste asutuste teadlikkust kõnealustest intsidentidest ning küberturbe intsidentide lahendamise üksuste puhul hõlbustada kohasel viisil viivitamatu abi osutamist finantssektori ettevõtjatele. Lisaks peaks liikmesriikidel olema võimalik kindlaks määrata, et finantssektori ettevõtjad peaksid ise esitama sellist teavet avaliku sektori asutustele, mis ei kuulu finantsteenuste valdkonda. Need teabevood peaksid võimaldama finantssektori ettevõtjatel kiiresti saada kasu kõnealuste asutuste asjakohasest tehnilisest panusest, nõuannetest parandusmeetmete kohta ja edasistest järelmeetmetest. Teavet tõsiste IKT intsidentide kohta tuleks edastada vastastikku: finantsjärelevalveasutused peaksid edastama finantssektori ettevõtjale kogu vajaliku tagasiside või suunised ning Euroopa järelevalveasutused peaksid jagama anonüümitud andmeid intsidendiga seotud küberohtude ja ilmnenud nõrkuse kohta, et aidata kaasa laiemale ühisele kaitsele.

(53)

Kuigi kõigil finantssektori ettevõtjatel peaks olema intsidentidest teavitamise kohustus, ei eeldata, et see kohustus mõjutaks kõiki ettevõtjaid samamoodi. Et hõlmata üksnes tõsiseid IKT intsidente, tuleks asjakohaseid olulisuse lävesid ning teavitamise tähtaegu sobivalt kohandada Euroopa järelevalveasutuste väljatöötatavatel regulatiivsetel tehnilistel standarditel põhinevates delegeeritud õigusaktides. Lisaks tuleks teavitamiskohustuse tähtaegade kehtestamisel arvesse võtta finantssektori ettevõtjate eripära.

(54)

Käesoleva määrusega tuleks nõuda, et krediidiasutused, makseasutused, kontoteabe teenuse pakkujad ja e-raha asutused teavitaksid kõigist tegevust või turvalisust mõjutavatest maksetega seotud intsidentidest, millest on varem teatatud direktiivi (EL) 2015/2366 alusel, olenemata intsidendi seotusest IKTga.

(55)

Euroopa järelevalveasutustele tuleks teha ülesandeks hinnata IKT intsidentidest teavitamise võimaliku liidu tasandil tsentraliseerimise teostatavust ja tingimusi. Sellise tsentraliseerimise puhul kasutataks tõsistest IKT intsidentidest teavitamisel ühist ELi keskust, mis võtab asjaomased raportid vahetult vastu ja teavitab automaatselt riiklikke pädevaid asutusi või tsentraliseeriks üksnes riiklike pädevate asutuste edastatud asjaomased raportid ning täidaks seega koordineerivat rolli. Euroopa järelevalveasutustele tuleks teha ülesandeks koostada EKP ja ENISAga konsulteerides ühisaruanne, milles uuritakse ühise ELi keskuse loomise teostatavust.

(56)

Selleks et saavutada digitaalse tegevuskerksuse kõrge tase ja lähtudes nii asjaomastest rahvusvahelistest standarditest (näiteks G7 põhielemendid ohuteabel põhineva läbistustestimise jaoks) kui ka liidus rakendatavatest raamistikest, näiteks TIBER-EUst, (inglise keeles „Threat Intelligence-based Ethical Red Teaming“) peaksid finantssektori ettevõtjad oma IKT-süsteeme ja IKT ülesandeid täitvaid töötajaid korrapäraselt testima, et teha kindlaks nende tulemuslikkus ennetada, avastada, reageerida ja taastada eesmärgiga tuvastada võimalik IKT nõrkus ja sellega tegeleda. Kajastamaks finantssektori ettevõtjate küberturvalisuse alase valmisoleku taseme erinevust finantssektori eri allsektorites ja nende vahel, peaks testimine hõlmama mitmesuguseid vahendeid ja meetmeid alates põhinõuete hindamisest (näiteks nõrkuse hindamine ja skaneerimine, avatud lähtekoodiga tarkvara analüüsimine, võrgu turvalisuse hindamine, lünkade analüüsimine, füüsilise turvalisuse ülevaatamine, küsimustikud ja skaneerimistarkvara lahendused, teostatavuse korral lähtekoodi ülevaatamine, stsenaariumipõhine testimine, ühilduvuse testimine, jõudlustestid või läbivtestimine) süvatestimiseni ohuteabel põhineva läbistustestimise kaudu. Selline süvatestimine peaks olema nõutav üksnes selliste finantssektori ettevõtjate puhul, kes on IKT seisukohast piisavalt küpsed, et kõnealuseid teste mõistlikult teha. Käesoleva määruse kohaselt nõutavad digitaalse tegevuskerksuse testid peaksid seega olema käesoleva määruse kriteeriume täitvate finantssektori ettevõtjate (näiteks suured, süsteemselt olulised ja IKT seisukohast küpsed krediidiasutused, börsid, väärtpaberite keskdepositooriumid ja kesksed vastaspooled) puhul nõudlikumad kui muude finantssektori ettevõtjate puhul. Samal ajal peaks digitaalse tegevuskerksuse testimiseks ohuteabel põhinev läbistustestimine olema asjakohasem selliste finantssektori ettevõtjate puhul, kes tegutsevad põhiliste finantsteenuste allsektorites (nagu maksed, pangandus ning kliiring ja arveldus) ning kellel on süsteemne roll ja vähem asjakohane muude allsektorite puhul (nagu varahaldurid ja reitinguagentuurid).

(57)

Finantssektori ettevõtjad, kes on seotud piiriülese tegevusega ning kasutavad liidus oma asutamis- või teenuste osutamise vabadust, peaksid oma päritoluliikmesriigis vastama süvatestimise nõuetele (st ohuteabel põhinevad läbistustestid), mis peaks hõlmama IKT-taristut kõigis jurisdiktsioonides, kus piiriülene finantskontsern liidus tegutseb, võimaldades seega sellistel finantskontsernidel kanda asjaomaseid IKT testimiskulusid ainult ühes jurisdiktsioonis.

(58)

Selleks et tugineda teatavate pädevate asutuste poolt juba omandatud eksperditeadmistele, eelkõige seoses TIBER-EU raamistiku rakendamisega, peaks käesolev määrus võimaldama liikmesriikidel määrata ühe avaliku sektori asutuse, kes vastutab riiklikul tasandil kõigi ohuteabel põhinevate läbistustestidega seotud küsimuste eest finantssektoris, või pädevad asutused, kes sellise määramise puudumisel delegeeriksid ohuteabel põhinevate läbistustestidega seotud ülesannete täitmise mõnele muule riiklikule finantssektori pädevale asutusele.

(59)

Kuna käesoleva määrusega ei nõuta finantssektori ettevõtjatelt, et nad käsitleksid kõiki kriitilise tähtsusega või olulisi funktsioone ühe ohuteabel põhineva läbistustesti raames, peaks finantssektori ettevõtjatel olema vabadus otsustada, millised kriitilise tähtsusega või olulised funktsioonid ja mitu sellist funktsiooni tuleks kõnealuse testiga hõlmata.

(60)

Käesoleva määruse tähenduses peaks ühine testimine, mis hõlmab mitme finantssektori ettevõtja osalemist ohuteabel põhinevas läbistustestimises ja mille suhtes kolmandast isikust IKT-teenuste osutaja saab sõlmida otse lepingu välistestijaga, olema lubatud üksnes juhul, kui võib põhjendatult eeldada, et avaldub kahjulik mõju selliste teenuste kvaliteedile või turvalisusele või selliste teenustega seotud andmete konfidentsiaalsusele, mida kolmandast isikust IKT-teenuste osutaja osutab klientidele, kes ei kuulu käesoleva määruse kohaldamisalasse. Ühise testimise suhtes tuleks samuti kohaldada kaitsemeetmeid (juhtimine ühe määratud finantssektori ettevõtja poolt, osalevate finantssektori ettevõtjate arvu kohandamine), et tagada testimise põhjalikkus asjaomaste finantssektori ettevõtjate jaoks, kes vastavad käesoleva määruse kohaselt ohuteabel põhineva läbistustestimise eesmärkidele.

(61)

Selleks et kasutada ära ettevõtja tasandil olemasolevaid sisemisi ressursse, tuleks käesoleva määrusega lubada kasutada ohuteabel põhineva läbistustestimise tegemiseks sisetestijaid, tingimusel et järelevalveasutus on selleks loa andnud, puudub huvide konflikt ning perioodiliselt vahetatakse sise- ja välistestijaid (iga kolme testi järel), nõudes samal ajal, et ohuteabel põhineva läbistustestimise puhul oleks ohuteabe andja alati finantssektori ettevõtjast sõltumatu. Vastutus ohuteabel põhineva läbistustestimise tegemise eest peaks jääma täielikult finantssektori ettevõtja kanda. Ametiasutuste väljastatud tõendid peaksid teenima üksnes vastastikuse tunnustamise eesmärki ega tohiks välistada järelmeetmeid finantssektori ettevõtja IKT-riski taseme suhtes, samuti ei tuleks neid tõendeid käsitada järelevalvealase kinnitusena finantssektori ettevõtja IKT-riski juhtimise ja leevendamise suutlikkusele.

(62)

Selleks et tagada kolmandast isikust tuleneva IKT-riski usaldusväärne seire finantssektoris, on vaja sätestada põhimõtetel põhinevad normid, et suunata finantssektori ettevõtjaid sellise riski seirel, mis tekib seoses kolmandast isikust IKT-teenuste osutajatele edasi antud funktsioonidega, eelkõige kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenustega, ning üldisemalt igasuguse sõltuvuse puhul kolmandast isikust IKT-teenuste osutajatest.

(63)

Selleks et tulla toime IKT-riski eri allikate keerukusega, võttes samal ajal arvesse finantsteenuste sujuvat osutamist võimaldavate tehnoloogiliste lahenduste pakkujate paljusust ja mitmekesisust, peaks käesolev määrus hõlmama mitmesuguseid kolmandast isikust IKT-teenuste osutajaid, sealhulgas pilv-, tarkvara- ja andmeanalüüsiteenuste osutajaid ning andmekeskuse teenuste osutajaid. Samuti, kuna finantssektori ettevõtjad peaksid tõhusalt ja sidusalt tuvastama ja juhtima igat liiki riske, sealhulgas finantskontserni raames hangitud IKT-teenuste kontekstis, tuleks selgitada, et käesoleva määruse kohaselt tuleks kolmandast isikust IKT-teenuste osutajateks pidada ka ettevõtjaid, kes kuuluvad finantskontserni ja osutavad IKT-teenuseid peamiselt oma emaettevõtjale või oma emaettevõtja tütarettevõtjatele või filiaalidele, samuti finantssektori ettevõtjaid, kes osutavad IKT-teenuseid teistele finantssektori ettevõtjatele. Lisaks, võttes arvesse arenevat makseteenuste turgu, mis sõltub üha enam keerukatest tehnilistest lahendustest, ning pidades silmas uusi makseteenuste liike ja makselahendusi, tuleks makseteenuste ökosüsteemi osalisi, kes pakuvad maksete töötlemise toiminguid või käitavad maksetaristuid, samuti käsitada käesoleva määruse kohaselt kolmandast isikust IKT-teenuste osutajatena, välja arvatud keskpangad makse- või väärtpaberiarveldussüsteemide käitamisel ning avaliku sektori asutused, kui nad osutavad IKTga seotud teenuseid riigi funktsioonide täitmise kontekstis.

(64)

Finantssektori ettevõtjal peaks igal ajal olema täielik vastutus oma käesoleva määruse kohaste kohustuste täitmise eest. Finantssektori ettevõtjad peaksid kohaldama proportsionaalset lähenemisviisi kolmandast isikust IKT-teenuste osutaja tasandil tekkinud riski seireks, võttes igati arvesse oma IKTga seotud sõltuvuse laadi, ulatust, keerukust ja olulisust, teenuste kriitilist tähtsust või olulisust, lepingutega hõlmatud protsesse või funktsioone ja hoolika hindamise põhjal võimalikku mõju finantsteenuste jätkumisele ja kvaliteedile ettevõtja ja kontserni tasandil, nagu on asjakohane.

(65)

Sellise seire puhul tuleks kasutada kolmandast isikust tulenevat IKT-riski käsitlevat strateegilist lähenemisviisi, mille formaliseerimiseks on finantssektori ettevõtja juhtorgan võtnud vastu spetsiaalse kolmandast isikust tuleneva IKT-riski strateegia, mis rajaneb iga kolmandast isikust IKT-teenuste osutajatest sõltuvuse pideval uurimisel. Selleks et suurendada järelevalvealast teadlikkust IKT valdkonna sõltuvusest kolmandatest isikutest ning pidades silmas käesoleva määrusega loodud järelevaatamisraamistiku kontekstis tehtava töö täiendavat toetamist, tuleks kõigilt finantssektori ettevõtjatelt nõuda, et nad peaksid teaberegistrit, mis sisaldab kõiki lepinguid kolmandast isikust IKT-teenuste osutaja pakutavate IKT-teenuste kasutamise kohta. Finantsjärelevalveasutustel peaks olema võimalik nõuda täielikku registrit või paluda selle konkreetseid osi ning seega hankida olulist teavet, et saada laiem arusaam finantssektori ettevõtjate IKTga seotud sõltuvusest.

(66)

Lepingute ametlikku sõlmimist peaks toetama ja sellele peaks eelnema põhjalik lepingueelne analüüs, mille keskmes on eelkõige kavandatava IKT-lepinguga toetatavate teenuste kriitiline tähtsus või olulisus, järelevalveasutuse vajalik luba või muud tingimused ja võimalik seonduv kontsentratsioonirisk, ning kolmandast isikust IKT-teenuste osutajate valimise ja hindamise protsessis tuleks samuti rakendada hoolsusmeetmeid ning hinnata võimalikke huvide konflikte. Lepingute puhul, mis käsitlevad kriitilise tähtsusega või olulisi funktsioone, peaksid finantssektori ettevõtjad võtma arvesse seda, kas kolmandast isikust IKT-teenuste osutajad kasutavad kõige ajakohasemaid ja kõrgema tasemega infoturbestandardeid. Lepingute lõpetamise aluseks peaksid olema vähemalt sellised asjaolud, mis annavad tunnistust puudujääkidest kolmandast isikust IKT-teenuste osutaja tasandil, eelkõige õigusaktide või lepingutingimuste olulisest rikkumisest, lepingutega ette nähtud funktsioonide täitmise võimalikku muutmist tõendavatest asjaoludest, kolmandast isikust IKT-teenuste osutaja üldise IKT-riski juhtimise nõrku kohti käsitlevatest tõenditest või asjaoludest, mis viitavad asjaomase pädeva asutuse suutmatusele teha finantssektori ettevõtja üle tulemuslikku järelevalvet.

(67)

Selleks et käsitleda kolmandast isikust IKT-teenuste osutajate kontsentratsiooniriski süsteemset mõju, edendatakse käesoleva määrusega tasakaalustatud lahendust, mis seisneb kõnealuse kontsentratsiooniriski paindlikus ja järkjärgulises käsituses, sest jäikade ülempiiride või rangete piirangute kehtestamine võib pärssida äritegevust ja piirata lepinguvabadust. Finantssektori ettevõtjad peaksid oma kavandatud lepinguid põhjalikult hindama, et teha kindlaks kõnealuse riski tekkimise tõenäosus, ning analüüsima muu hulgas põhjalikult alltöövõtulepinguid, eelkõige juhul, kui need on sõlmitud kolmandas riigis asutatud kolmandast isikust IKT-teenuste osutajatega. Selles etapis ja selleks, et saavutada tasakaal lepinguvabaduse kaitsmise kohustuse ja finantsstabiilsuse tagamise kohustuse vahel, ei peeta sobivaks näha ette norme, mis käsitlevad kolmandast isikust IKT-teenuste osutajatega seotud rangeid ülempiire ja piiranguid. Järelevaatamisraamistiku kontekstis peaks käesoleva määruse kohaselt määratud juhtiv järelevaatamisasutus pöörama seoses kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatega erilist tähelepanu sellele, et mõista täielikult vastastikuse sõltuvuse ulatust ja avastada konkreetsed olukorrad, kus kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate suur kontsentratsioon liidus avaldab tõenäoliselt survet liidu finantssüsteemi stabiilsusele ja usaldusväärsusele, ning pidama dialoogi kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatega, kui selline konkreetne risk on kindlaks tehtud.

(68)

Selleks et korrapäraselt hinnata ja seirata kolmandast isikust IKT-teenuste osutaja suutlikkust osutada finantssektori ettevõtjale turvaliselt teenuseid, avaldamata negatiivset mõju ettevõtja digitaalsele tegevuskerksusele, peaksid olema ühtlustatud mitmed kolmandast isikust IKT-teenuste osutajatega sõlmitud lepingute peamised elemendid. Selline ühtlustamine peaks hõlmama minimaalselt valdkondi, mis on olulised selleks, et võimaldada finantssektori ettevõtjal täiel määral seirata riske, mis võivad tuleneda kolmandast isikust IKT-teenuste osutajast, pidades silmas finantssektori ettevõtja vajadust kindlustada oma digitaalne kerksus, sest ta sõltub suurel määral talle osutatud IKT-teenuste stabiilsusest, funktsionaalsusest, kättesaadavusest ja turvalisusest.

(69)

Käesoleva määruse nõuetega kooskõla saavutamise eesmärgil lepingute üle uusi läbirääkimisi pidades peaksid finantssektori ettevõtjad ja kolmandast isikust IKT-teenuste osutajad tagama, et oleksid hõlmatud käesoleva määrusega ette nähtud peamised lepingusätted.

(70)

Käesolevas määruses sätestatud mõiste „kriitilise tähtsusega või oluline funktsioon“ hõlmab Euroopa Parlamendi ja nõukogu direktiivi 2014/59/EL (20) artikli 2 lõike 1 punktis 35 sätestatud „kriitiliste funktsioonide“ määratlust. Seega on direktiivi 2014/59/EL kohaselt kriitilisteks funktsioonideks peetavad funktsioonid hõlmatud kriitilise tähtsusega funktsioonide määratlusega käesoleva määruse tähenduses.

(71)

Olenemata IKT-teenustega toetatava funktsiooni kriitilisest tähtsusest või olulisusest tuleks lepingutes esitada eelkõige funktsioonide ja teenuste täielik kirjeldus ning kõnealuste funktsioonide täitmise ja andmete töötlemise kohad ning teenustasemete kirjeldused. Muud hädavajalikud elemendid, mis võimaldavad finantssektori ettevõtjal seirata kolmandast isikust tulenevat IKT-riski, on järgmised: lepingusätted, milles täpsustatakse, kuidas kolmandast isikust IKT-teenuste osutaja tagab isikuandmetele ligipääsetavuse, nende kättesaadavuse, tervikluse, turvalisuse ja kaitse; sätted, milles määratakse kindlaks asjaomased tagatised, et võimaldada andmetele juurdepääs, nende taastamine ja tagastamine kolmandast isikust IKT-teenuste osutaja maksejõuetuse, kriisilahenduse või äritegevuse lõpetamise korral; sätted, millega kohustatakse kolmandast isikust IKT-teenuste osutajat andma abi osutatavate teenustega seotud IKT-intsidentide puhul ilma lisakuludeta või eelnevalt kindlaksmääratud hinnaga; sätted, mis käsitlevad kolmandast isikust IKT-teenuste osutaja kohustust teha täielikku koostööd finantssektori ettevõtja pädevate asutuste ja kriisilahendusasutustega, ning sätted, mis käsitlevad lepingu lõpetamise õigust ja sellega seonduvat lepingu lõpetamise minimaalset etteteatamistähtaega vastavalt pädevate asutuste ja kriisilahendusasutuste ootustele.

(72)

Lisaks sellistele lepingusätetele ja tagamaks, et finantssektori ettevõtjatel on täielik kontroll kõigi muudatuste üle, mis toimuvad kolmanda isiku tasandil ning võivad kahjustada nende IKT turvalisust, tuleks kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste osutamist käsitlevates lepingutes samuti kindlaks määrata järgmine: täielikud teenustasemete kirjeldused koos täpsete kvantitatiivsete ja kvalitatiivsete tulemuseesmärkidega, et võimaldada põhjendamatu viivituseta asjakohaste parandusmeetmete võtmist, kui kokkulepitud teenustasemeid ei saavutata; kolmandast isikust IKT-teenuste osutaja asjaomased etteteatamistähtajad ja teatamiskohustus selliste sündmuste puhul, mis võivad oluliselt kahjustada kolmandast isikust IKT-teenuste osutaja võimet osutada vastavaid IKT-teenuseid; kolmandast isikust IKT-teenuste osutaja suhtes kohaldatav nõue rakendada ja testida ettevõtte talitluspidevuse plaane ning kasutada IKT-turvameetmeid, -vahendeid ja -põhimõtteid, mis võimaldavad teenuseid turvaliselt osutada ning osaleda ja teha täielikku koostööd finantssektori ettevõtja tehtavas ohuteabel põhinevas läbistustestis.

(73)

Kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste osutamist käsitlevad lepingud peaksid samuti hõlmama sätteid, millega antakse finantssektori ettevõtjale või määratud kolmandale isikule pääsu-, kontrolli- ja auditeerimisõigused ja õigus teha koopiaid, mis on äärmiselt olulised vahendid finantssektori ettevõtja pidevas seires kolmandast isikust IKT-teenuste osutaja tegevuse üle ning mida täiendab kõnealuse teenuseosutaja täielik koostöö kontrollide ajal. Ka finantssektori ettevõtja pädeval asutusel peaks olema õigus teadete alusel kontrollida ja auditeerida kolmandast isikust IKT-teenuste osutajat tingimusel, et kaitstakse konfidentsiaalset teavet.

(74)

Sellistes lepingutes tuleks samuti näha ette spetsiaalsed väljumisstrateegiad, mis võimaldavad eelkõige kohustuslikke üleminekuperioode, mille jooksul kolmandast isikust IKT-teenuste osutajad peaksid jätkama asjaomaste teenuste osutamist, et vähendada katkestuste riski finantssektori ettevõtja tasandil või võimaldada viimasel lülituda tulemuslikult ümber muude kolmandast isikust IKT-teenuste osutajate teenuste kasutamisele või hakata kasutama ettevõtjasiseseid lahendusi, olenevalt osutatud IKT-teenuse keerukusest. Lisaks peaksid direktiivi 2014/59/EL kohaldamisalasse kuuluvad finantssektori ettevõtjad tagama, et asjaomased IKT-teenuste lepingud on nende finantssektori ettevõtjate kriisilahenduse korral püsivad ja täielikult täidetavad. Seega peaksid kõnealused finantssektori ettevõtjad kooskõlas kriisilahendusasutuste ootustega tagama, et asjaomased IKT-teenuste lepingud oleksid kriisilahendusele vastupidavad. Kuni need finantssektori ettevõtjad jätkavad oma maksekohustuste täitmist, peaksid nad lisaks muudele nõuetele tagama, et asjaomased IKT-teenuste lepingud sisaldavad sätteid, mis käsitlevad restruktureerimise või kriisilahenduse olukorras lepingute mittelõpetamist, mittepeatamist ja muutmata jätmist.

(75)

Lisaks võib avaliku sektori asutuste või liidu institutsioonide välja töötatud lepingu tüüptingimuste vabatahtlik kasutamine, eelkõige selliste lepingu tüüptingimuste kasutamine, mille komisjon on töötanud välja pilvteenuste jaoks, olla finantssektori ettevõtjatele ja kolmandast isikust IKT-teenuste osutajatele mugavam, suurendades täielikus kooskõlas finantsteenuseid käsitlevas liidu õiguses sätestatud nõuete ja ootustega nende õiguskindlust seoses pilvteenuste kasutamisega finantssektoris. Lepingu tüüptingimuste väljatöötamine tugineb meetmetele, mida kavandati juba 2018. aasta finantstehnoloogia tegevuskavas, mis näitas komisjoni kavatsust julgustada ja hõlbustada selliste lepingu tüüptingimuste väljatöötamist, mida finantssektori ettevõtjad saaks kasutada pilvteenuste edasiandmisel, lähtudes valdkonnaüleste pilvteenuste sidusrühmade jõupingutustest, mida komisjon on finantssektori osalusel edendanud.

(76)

Selleks et edendada järelevalvealaste käsituste ühtlustamist ja tõhusust finantssektorile kolmandatest isikutest tuleneva IKT-riski käsitlemisel ning tugevdada selliste finantssektori ettevõtjate digitaalset tegevuskerksust, kes sõltuvad finantsteenuste osutamist toetavate IKT-teenuste puhul kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatest, ning seega aidata säilitada liidu finantssüsteemi stabiilsust ja finantsteenuste siseturu usaldusväärsust, tuleks kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate suhtes kohaldada liidu järelevaatamisraamistikku. Kuigi järelevaatamisraamistiku loomine on põhjendatud liidu tasandil meetmete võtmisest saadava lisaväärtusega ning IKT-teenuste kasutamise tähtsuse ja eripäraga finantsteenuste osutamisel, tuleks samal ajal meelde tuletada, et see lahendus tundub sobiv üksnes käesoleva määruse kontekstis, mis puudutab konkreetselt finantssektori digitaalset tegevuskerksust. Sellist järelevaatamisraamistikku ei tohiks siiski pidada liidu järelevalve uueks mudeliks muus finantsteenuste ja -tegevuse valdkonnas.

(77)

Järelevaatamisraamistikku tuleks kohaldada ainult kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate suhtes. Sellepärast tuleks luua määramismehhanism, et võtta arvesse finantssektori sellistest kolmandast isikust IKT-teenuste osutajatest sõltuvuse ulatust ja laadi. See mehhanism peaks hõlmama kvantitatiivsete ja kvalitatiivsete kriteeriumide kogumit, millega kehtestatakse järelevaatamisraamistikuga hõlmamise aluseks olevad kriitilise tähtsuse parameetrid. Selle hindamise täpsuse tagamiseks ja kolmandast isikust IKT-teenuste osutaja organisatsioonilisest struktuurist olenemata peaksid sellised kriteeriumid suuremasse kontserni kuuluva kolmandast isikust IKT-teenuste osutaja puhul võtma arvesse kogu kolmandast isikust IKT-teenuste osutaja kontserni struktuuri. Ühelt poolt peaks kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatel, kes ei ole nende kriteeriumide põhjal automaatselt sellisena määratud, olema võimalik otsustada vabatahtlikult kohaldada järelevaatamisraamistikku, kuid teiselt poolt tuleks need kolmandast isikust IKT-teenuste osutajad, kelle suhtes juba kohaldatakse ELi toimimise lepingu artikli 127 lõikes 2 osutatud Euroopa keskpankade süsteemi ülesannete täitmist toetavaid järelevaatamismehhanismi raamistikke, selle kohaldamisalast välja jätta.

(78)

Sarnaselt tuleks järelevaatamisraamistiku kohaldamisalast välja jätta ka finantssektori ettevõtjad, kes osutavad IKT-teenuseid teistele finantssektori ettevõtjatele, kuuludes ise käesoleva määruse kohaselt kolmandast isikust IKT-teenuste osutajate kategooriasse, kuna nende suhtes juba kohaldatakse asjaomase finantsteenuseid käsitleva liidu õigusega kehtestatud järelevalvemehhanisme. Asjakohasel juhul peaksid pädevad asutused oma järelevalvetegevuse raames võtma arvesse IKT-riski, mida põhjustavad finantssektori ettevõtjatele IKT-teenuseid osutavad finantssektori ettevõtjad. Olemasolevate kontserni tasandi riskiseiremehhanismide tõttu tuleks sama erandit kohaldada ka nende kolmandast isikust IKT-teenuste osutajate suhtes, kes osutavad teenuseid peamiselt oma kontserni ettevõtjatele. Need kolmandast isikust IKT-teenuste osutajad, kes osutavad IKT-teenuseid ainult ühes liikmesriigis üksnes selles liikmesriigis tegutsevatele finantssektori ettevõtjatele, tuleks nende piiratud tegevuse ja piiriülese mõju puudumise tõttu samuti määramismehhanismi kohaldamisalast välja jätta.

(79)

Finantsteenuste valdkonnas toimunud digiüleminek on toonud kaasa IKT-teenuste kasutamise ja neile tuginemise enneolematul tasemel. Kuna finantsteenuste osutamine ilma pilvteenuseid, tarkvaralahendusi ja andmetega seotud teenuseid kasutamata on muutunud mõeldamatuks, on liidu finantsökosüsteem muutunud lahutamatult sõltuvaks teatavatest IKT-teenuste osutajate teenustest. Mõned neist teenuseosutajatest, kes on IKT-põhiste tehnoloogiate arendamisel ja rakendamisel novaatorid, täidavad olulist rolli finantsteenuste osutamisel või on integreeritud finantsteenuste väärtusahelasse. Seega on nad omandanud liidu finantssüsteemi stabiilsuse ja usaldusväärsuse seisukohast kriitilise tähtsuse. Selline laialdane sõltuvus kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate teenustest koos erinevate turuosaliste infosüsteemide vastastikuse sõltuvusega tekitab otsese ja potentsiaalselt tõsise riski liidu finantsteenuste süsteemile ja finantsteenuste osutamise järjepidevusele, kui kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajaid peaksid mõjutama tegevushäired või olulised küberintsidendid. Küberintsidentidele on omane võime paljuneda ja levida kogu finantssüsteemis märkimisväärselt kiiremas tempos kui muud liiki riskid, mida finantssektoris seiratakse, ning need võivad kanduda teistesse sektoritesse ja ületada geograafilisi piire. Need võivad areneda süsteemseks kriisiks, kus usaldus finantssüsteemi vastu väheneb reaalmajandust toetavate funktsioonide katkemise või suure finantskahju tõttu, saavutades taseme, millele finantssüsteem ei suuda vastu pidada või mis nõuab jõuliste šokkidega toimetuleku meetmete kasutuselevõttu. Selleks et vältida selliste stsenaariumide realiseerumist ning seeläbi liidu finantsstabiilsuse ja finantsilise usaldusväärsuse ohustamist, on oluline ühtlustada kolmandatest isikutest tuleneva IKT-riskiga seotud järelevalvetavasid, eelkõige uute normide abil, mis võimaldavad liidul korraldada järelevaatamise kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate üle.

(80)

Järelevaatamisraamistik sõltub suurel määral koostöö tasemest juhtiva järelevaatamisasutuse ja sellise kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja vahel, kes osutab finantssektori ettevõtjatele finantsteenuste osutamist mõjutavaid teenuseid. Edukas järelevaatamine eeldab muu hulgas juhtiva järelevaatamisasutuse suutlikkust viia tõhusalt läbi seiremissioone ja kontrolle, et hinnata kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate kasutatavaid reegleid, kontrolle ja protsesse ning hinnata nende tegevuse võimalikku kumulatiivset mõju finantsstabiilsusele ning finantssüsteemi usaldusväärsusele. Samal ajal on väga oluline, et kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad järgiksid juhtiva järelevaatamisasutuse soovitusi ja lahendaksid väljendatud mureküsimused. Kuna finantsteenuste pakkumist mõjutavaid teenuseid osutavate kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate poolse koostöö puudumine, nagu oma ruumidele juurdepääsu andmisest või teabe esitamisest keeldumine, jätaks juhtiva järelevaatamisasutuse lõpuks ilma olulistest vahenditest kolmandatest isikutest tuleneva IKT-riski hindamisel ning võib negatiivselt mõjutada finantsstabiilsust ja finantssüsteemi usaldusväärsust, on vaja ette näha ka proportsionaalne karistuste rakendamise kord.

(81)

Seda arvesse võttes ei tohiks raskused kolmandas riigis asutatud kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatele määratud sunniraha sissenõudmisel seada ohtu juhtiva järelevaatamisasutuse vajadust määrata sunniraha, et sundida kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajaid täitma käesolevas määruses sätestatud läbipaistvuse ja juurdepääsuga seotud kohustusi. Selleks et tagada selliste karistuste täitmisele pööramine ja võimaldada kiiresti kasutusele võtta menetlused, millega on tagatud kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate kaitseõigus määramismehhanismi ja soovituste andmise kontekstis, peaksid kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad, kes osutavad finantssektori ettevõtjatele finantsteenuste pakkumist mõjutavaid teenuseid, olema kohustatud säilitama liidus piisava äritegevuse. Tulenevalt järelevaatamise laadist ja võrreldavate korralduste puudumisest muudes jurisdiktsioonides, puuduvad sobivad alternatiivsed mehhanismid, mis tagaksid selle eesmärgi saavutamise tõhusa koostöö kaudu, mida tehakse kolmandate riikide finantsjärelevalveasutustega seoses selliste digitaalsete operatsiooniriskide mõju seirega, mis kaasnevad süsteemset laadi kolmandast isikust IKT-teenuste osutajatega, kes kvalifitseeruvad kolmandas riigis asutatud kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajateks. Selleks et jätkata IKT-teenuste osutamist liidu finantssektori ettevõtjatele, peaks kolmandas riigis asutatud kolmandast isikust IKT-teenuste osutaja, mis on kooskõlas käesoleva määrusega määratud kriitilise tähtsusega teenuseosutajaks, 12 kuu jooksul alates sellisest määramisest tegema kõik vajalikud korraldused, et tagada liidus enda registreerimine äriühinguna, asutades tütarettevõtja, nagu see on määratletud liidu õigustikus, nimelt Euroopa Parlamendi ja nõukogu direktiivis 2013/34/EL (21).

(82)

Liidus tütarettevõtja asutamise nõue ei tohiks takistada kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajal osutada IKT-teenuseid ja nendega seotud tehnilist tuge väljaspool liitu asuvate rajatiste ja taristu kaudu. Käesoleva määrusega ei kehtestata andmete lokaliseerimise kohustust, sest sellega ei nõuta, et andmeid tuleb säilitada või töödelda liidus.

(83)

Kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatel peaks olema võimalik osutada IKT-teenuseid kõikjalt maailmas, mitte tingimata või mitte ainult liidus asuvatest ruumidest. Järelevaatamistegevus peaks esmalt toimuma liidus asuvates ruumides ja suhtlemise teel liidus asuvate ettevõtjatega, sealhulgas kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate poolt käesoleva määruse kohaselt asutatud tütarettevõtjatega. Siiski ei pruugi selline liidus toimuv tegevus olla piisav selleks, et juhtival järelevaatamisasutusel oleks võimalik täielikult ja tõhusalt oma käesolevast määrusest tulenevaid ülesandeid täita. Juhtival järelevaatamisasutusel peaks seetõttu olema võimalik teostada oma asjakohaseid järelevaatamisvolitusi ka kolmandates riikides. Nende volituste teostamine kolmandates riikides peaks võimaldama juhtival järelevaatamisasutusel kontrollida rajatisi, mille kaudu kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja IKT-teenuseid või tehnilise toe teenuseid tegelikult osutab või haldab, ning peaks andma juhtivale järelevaatamisasutusele põhjalikud ja praktilised teadmised kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja IKT-riski juhtimisest. Juhtiva järelevaatamisasutuse kui liidu asutuse võimalus teostada volitusi väljaspool liidu territooriumi peaks olema igakülgselt piiritletud asjakohaste tingimustega, eelkõige asjaomase kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja nõusolekuga. Samuti tuleks kolmanda riigi asjaomaseid ametiasutusi teavitada juhtiva järelevaatamisasutuse tegevusest tema territooriumil ning neil ei tohiks olla selle suhtes vastuväiteid. Tõhusa rakendamise tagamiseks ning ilma et see piiraks liidu institutsioonide ja liikmesriikide vastavat pädevust, peavad sellised volitused ühtlasi tuginema täielikult halduskoostöö kokkulepetele, mis sõlmitakse asjaomase kolmanda riigi asjakohaste ametiasutustega. Seetõttu peaks käesolev määrus võimaldama Euroopa järelevalveasutustel sõlmida asjakohaste kolmanda riigi ametiasutustega halduskoostöö kokkuleppeid, millega ei tohiks luua muid õiguslikke kohustusi liidu ja selle liikmesriikide jaoks.

(84)

Juhtiva järelevaatamisasutusega suhtlemise hõlbustamiseks ja piisava esindatuse tagamiseks peaksid kontserni kuuluvad kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad määrama ühe juriidilise isiku oma koordineerimiskeskuseks.

(85)

Järelevaatamisraamistik ei tohiks piirata liikmesriikide pädevust teha ise järelevaatamis- või seiremissioone seoses kolmandast isikust IKT-teenuste osutajatega, kes ei ole käesoleva määruse kohaselt määratud kriitilise tähtsusega IKT-teenuste osutajaks, kuid keda võib riiklikul tasandil käsitada olulistena.

(86)

Selleks et võimendada finantsteenuste valdkonna mitmetasandilist institutsioonilist ülesehitust, peaks Euroopa järelevalveasutuste ühiskomitee jätkuvalt tagama üldise sektoritevahelise koordineerimise kõigis IKT-riskiga seotud küsimustes kooskõlas oma küberturvalisust puudutavate ülesannetega. Teda peaks toetama uus allkomitee (edaspidi „järelevaatamisfoorum”), kes valmistab ette nii kriitilise tähtsusega kolmandatest isikutest IKT-teenuste osutajatele suunatud individuaalseid otsuseid kui ka ühissoovituste tegemist – eelkõige kriitilise tähtsusega kolmandatest isikutest IKT-teenuste osutajate järelevaatamiskavade võrdlemise kohta – ning teeb kindlaks IKT kontsentratsiooniriskiga seotud probleemide lahendamise parimad tavad.

(87)

Selle tagamiseks, et kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate üle tehtaks liidu tasandil asjakohast ja tõhusat järelevaatamist, sätestatakse käesolevas määruses, et juhtivaks järelevaatamisasutuseks võib määrata ükskõik millise kolmest Euroopa järelevalveasutusest. Kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja individuaalsel määramisel ühele kolmest Euroopa järelevalveasutusest tuleks lähtuda ülekaaluka osa asjaomase Euroopa järelevalveasutuse vastutusvaldkonda kuuluvates finantssektorites tegutsevate finantssektori ettevõtjate hindamisest. Selline käsitus peaks tagama järelevaatamisfunktsioonide täitmisest johtuvate ülesannete ja kohustuste tasakaalustatud jaotuse kolme Euroopa järelevalveasutuse vahel ning kasutama parimal viisil ära kõigi kolme Euroopa järelevalveasutuse inimressursse ja tehnilisi eksperditeadmisi.

(88)

Juhtivatele järelevaatamisasutustele tuleks anda vajalikud volitused, et teha uurimisi, viia kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate ruumides ja asukohtades läbi kohapealseid ja kaugkontrolle ning saada täielikku ja ajakohastatud teavet. Need volitused peaksid võimaldama juhtival järelevaatamisasutusel saada tegeliku ülevaate finantssektori ettevõtjatele ja kokkuvõttes liidu finantssüsteemile kolmandatest isikutest tuleneva IKT-riski liigist, mõõtmest ja mõjust. Euroopa järelevalveasutustele järelevaatamises juhtiva rolli andmine on eeltingimus, et saada aru IKT-riski süsteemsest mõõtmest rahanduses ja seda käsitleda. Kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate mõju liidu finantssektorile ja kaasnevast IKT kontsentratsiooniriskist tulenevad võimalikud probleemid vajavad kollektiivset käsitlust liidu tasandil. Mitme auditi samaaegne läbiviimine ja pääsuõiguste samaaegne kasutamine eraldi paljude pädevate asutuste poolt nendevahelise vähese koordineerimisega või koordineerimiseta ei võimaldaks finantsjärelevalveasutustel saada liidus kolmandast isikust tulenevast IKT-riskist täielikku ja põhjalikku ülevaadet ning tekitaks ka liiasust, koormust ja keerukust kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatele, kui nende kohta esitataks arvukalt seire- ja kontrollitaotlusi.

(89)

Kriitilise tähtsusega teenuseosutajaks määramise olulise mõju tõttu tuleks käesoleva määrusega tagada, et kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate õigusi järgitakse kogu järelevaatamisraamistiku rakendamisel. Enne kriitilise tähtsusega teenuseosutajaks määramist peaks sellistel teenuseosutajatel olema näiteks õigus esitada juhtivale järelevaatamisasutusele põhjendatud avaldus, mis sisaldab kogu asjakohast teavet nende määramisega seotud hindamiseks. Kuna juhtival järelevaatamisasutusel peaks olema õigus esitada soovitusi IKT-riski küsimuste ja sobivate parandusmeetmete kohta, mille hulka kuulub õigus esitada vastuväiteid teatavate lepingute suhtes, mis kokkuvõttes mõjutavad finantssektori ettevõtja või finantssüsteemi stabiilsust, tuleks kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatele samuti anda võimalus esitada enne asjaomaste soovituste lõplikku vormistamist selgitusi, milles käsitletakse soovituses kavandatud lahenduste oodatavat mõju tarbijatele, kes on käesoleva määruse kohaldamisalast välja jäävad ettevõtjad, ning sõnastada lahendused riskide leevendamiseks. Kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad, kes ei nõustu soovitustega, peaksid esitama põhjendatud selgituse oma kavatsuse kohta soovitusega mitte nõustuda. Kui sellist põhjendatud selgitust ei esitata või kui seda peetakse ebapiisavaks, peaks juhtiv järelevaatamisasutus avaldama avaliku teate, milles kirjeldatakse kokkuvõtlikult nõuete täitmata jätmist.

(90)

Seoses finantssektori ettevõtjate usaldatavusnõuete täitmise järelevalvega peaks pädevate asutuste ülesannete hulka kindlasti kuuluma juhtiva järelevaatamisasutuse antud soovituste sisulise täitmise kontrollimine. Pädevatel asutustel peaks olema võimalik nõuda, et finantssektori ettevõtjad võtaksid lisameetmeid juhtiva järelevaatamisasutuse soovitustes kindlaks tehtud riskide käsitlemiseks, ning nad peaksid esitama aegsasti sellekohased teatised. Kui juhtiv järelevaatamisasutus esitab soovitusi kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatele, kelle üle tehakse järelevalvet direktiivi (EL) 2022/2555 alusel, peaks pädevatel asutustel olema vabatahtlikkuse alusel ja enne lisameetmete võtmist võimalik konsulteerida kõnealuse direktiivi kohaste pädevate asutustega, et edendada koordineeritud lähenemisviisi kõnealuste kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatega tegelemisel.

(91)

Järelevaatamise käigus tuleks juhinduda kolmest tegevuspõhimõttest, mille eesmärk on tagada: a) juhtiva järelevaatamisasutuse rolli täitvate Euroopa järelevalveasutuste vaheline tihe koordineerimine ühise järelevaatamisvõrgustiku kaudu; b) kooskõla direktiiviga (EL) 2022/2555 loodud raamistikuga (kõnealuse direktiivi kohaste organite vabatahtliku konsulteerimise kaudu, et vältida kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatele suunatud meetmete dubleerimist) ning c) hoolsusmeetmete kohaldamine, et minimeerida kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate poolt klientidele, kes on käesoleva määruse kohaldamisalast välja jäävad ettevõtjad, osutatavate teenuste katkemise võimalikku riski.

(92)

Järelevaatamisraamistik ei tohiks mingil viisil või mingis osas asendada finantssektori ettevõtjatele kehtestatud nõuet juhtida ise riske, mis kaasnevad kolmandast isikust IKT-teenuste osutajate kasutamisega, sealhulgas nende kohustust seirata pidevalt kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatega sõlmitud lepinguid. Sarnaselt ei tohiks järelevaatamisraamistik mõjutada finantssektori ettevõtjate täielikku vastutust kõigi käesolevas määruses ja asjakohastes finantsteenuseid käsitlevates õigusaktides sätestatud juriidiliste kohustuste järgimise ja täitmise eest.

(93)

Selleks et vältida dubleerimist ja kattuvust, peaksid pädevad asutused hoiduma üksi selliste meetmete võtmisest, mille eesmärk on seirata kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate riske, ning nad peaksid sellega seoses tuginema asjakohase juhtiva järelevaatamisasutuse hinnangule. Kõik meetmed tuleks igal juhul eelnevalt koordineerida ja kokku leppida juhtiva järelevaatamisasutusega järelevaatamisraamistiku kohaste ülesannete täitmise kontekstis.

(94)

Selleks et edendada ühtlustamist rahvusvahelisel tasandil seoses parimate tavade kasutamisega kolmandast isikust IKT-teenuste osutajate digiriski juhtimise läbivaatamisel ja seirel, tuleks Euroopa järelevalveasutusi julgustada sõlmima koostöökokkuleppeid kolmandate riikide asjaomaste järelevalve- ja reguleerivate asutustega.

(95)

Selleks et kasutada ära pädevates asutustes operatsiooni- ja IKT-riskile spetsialiseerunud töötajate eripädevust, tehnilisi oskusi ja eksperditeadmisi, peaksid kolm Euroopa järelevalveasutust ja vabatahtlikkuse alusel direktiivi (EL) 2022/2555 kohased pädevad asutused ning juhtiv järelevaatamisasutus toetuma riikide järelevalvealasele suutlikkusele ja järelevalvealastele teadmistele ning looma spetsiaalsed uurimisrühmad iga kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja jaoks, moodustades valdkondadevahelisi rühmi, et toetada järelevaatamistegevuse, sealhulgas kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate üldiste uurimiste ja kontrollide ning kõigi vajalike järelmeetmete ettevalmistamist ja elluviimist.

(96)

Kuigi järelevaatamisülesannetega kaasnevaid kulusid rahastataks täielikult kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatele kehtestatud tasudest, tekib Euroopa järelevalveasutustel enne järelevaatamisraamistiku tegevuse algust tõenäoliselt kulusid seoses eelseisvat järelevaatamist toetavate sihtotstarbeliste IKT-süsteemide rakendamisega, kuna selliseid sihtotstarbelisi IKT-süsteeme on vaja eelnevalt arendada ja kasutusele võtta. Käesolevas määruses sätestatakse seega hübriidrahastamise mudel, mille kohaselt järelevaatamisraamistikku kui sellist rahastataks täielikult tasudest ning Euroopa järelevalveasutuste IKT-süsteemide arendamist liidu ja riiklike pädevate asutuste osamaksetest.

(97)

Pädevatel asutustel peaksid olema kõik nõutavad järelevalve-, uurimis- ja karistuste määramise volitused, et tagada oma käesolevas määruses sätestatud kohustuste nõuetekohane täitmine. Nad peaksid põhimõtteliselt avaldama teateid määratud halduskaristuste kohta. Kuna finantssektori ettevõtjad ja kolmandast isikust IKT-teenuste osutajad võivad olla asutatud eri liikmesriikides ja nende üle võivad järelevalvet teha erinevad pädevad asutused, tuleks käesoleva määruse kohaldamist hõlbustada, tehes ühelt poolt tihedat koostööd asjakohaste pädevate asutuste vahel, sealhulgas EKPga seoses talle nõukogu määrusega (EL) nr 1024/2013 antud eriülesannetega, ning teiselt poolt konsulteerides Euroopa järelevalveasutustega vastastikuse teabevahetuse ja asjakohase järelevalvetegevuse kontekstis abistamise kaudu.

(98)

Selleks et täpsustada kolmandast isikust IKT-teenuste osutajate kriitilise tähtsusega teenuseosutajateks määramise kvantitatiivseid ja kvalitatiivseid kriteeriume ja ühtlustada järelevaatamistasusid, peaks komisjonil olema õigus võtta kooskõlas Euroopa Liidu toimimise lepingu artikliga 290 käesoleva määruse täiendamiseks vastu delegeeritud õigusakte, milles täpsustatakse veelgi süsteemset mõju, mida kolmandast isikust IKT-teenuste osutaja maksejõuetuks muutumine või tegevuse katkemine võib avaldada finantssektori ettevõtjatele, kellele ta IKT-teenuseid osutab; selliste globaalsete süsteemselt oluliste ettevõtjate või muude süsteemselt oluliste ettevõtjate arvu, kes sõltuvad asjaomasest kolmandast isikust IKT-teenuste osutajast; konkreetsel turul tegutsevate kolmandast isikust IKT-teenuste osutajate arvu; andmete teise kolmandast isikust IKT-teenuste osutajasse migreerimise ja IKT alase töömahu sinna üleviimise kulusid ning järelevaatamistasude summat ja nende maksmise viisi. On eriti oluline, et komisjon viiks oma ettevalmistava töö käigus läbi asjakohaseid konsultatsioone, sealhulgas ekspertide tasandil, ja et kõnealused konsultatsioonid viidaks läbi kooskõlas 13. aprilli 2016. aasta institutsioonidevahelises parema õigusloome kokkuleppes (22) sätestatud põhimõtetega. Eelkõige selleks, et tagada delegeeritud õigusaktide ettevalmistamises võrdne osalemine, peaksid Euroopa Parlament ja nõukogu saama kõik dokumendid liikmesriikide ekspertidega samal ajal ning nende ekspertidel peaks olema pidev juurdepääs komisjoni eksperdirühmade koosolekutele, millel arutatakse delegeeritud õigusaktide ettevalmistamist.

(99)

Regulatiivsed tehnilised standardid peaksid tagama käesolevas määruses sätestatud nõuete järjepideva ühtlustamise. Asutustena, kellel on põhjalikud eriteadmised, peaksid Euroopa järelevalveasutused töötama komisjonile esitamiseks välja regulatiivsete tehniliste standardite eelnõud, mis ei hõlma poliitilisi valikuid. Regulatiivsed tehnilised standardid tuleks töötada välja IKT-riski juhtimise, tõsistest IKT intsidentidest teatamise ja testimise valdkonnas ning seoses kolmandatest isikutest tuleneva IKT-riski usaldusväärse seire põhinõuetega. Komisjon ja Euroopa järelevalveasutused peaksid tagama, et kõik finantssektori ettevõtjad saavad kõnealuseid standardeid ja nõudeid kohaldada viisil, mis on proportsionaalne nende suuruse ja üldise riskiprofiiliga, nende teenuste, tegevuse ja toimingute laadi, ulatuse ja keerukusega. Komisjonil peaks olema õigus võtta need regulatiivsed tehnilised standardid vastu rakendusaktidega vastavalt ELi toimimise lepingu artiklile 290 ning kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artiklitega 10–14.

(100)

Selleks et soodustada tõsistest IKT intsidentidest ja tegevust või turvalisust mõjutavate maksetega seotud tõsistest intsidentidest teavitamise raportite võrreldavust ning tagada läbipaistvus seoses lepingutega, mis käsitlevad kolmandast isikust IKT-teenuste osutajate osutatavate IKT-teenuste kasutamist, peaksid Euroopa järelevalveasutused töötama välja rakenduslike tehniliste standardite eelnõud, millega kehtestatakse finantssektori ettevõtjate jaoks standardmallid, -vormid ja -menetlused tõsisest IKT intsidendist ja tegevust või turvalisust mõjutavast maksetega seotud tõsisest intsidendist teavitamiseks ning standardmallid teaberegistri jaoks. Nende standardite väljatöötamisel peaksid Euroopa järelevalveasutused võtma arvesse finantssektori ettevõtja suurust ja üldist riskiprofiili ning tema teenuste, tegevuse ja toimingute laadi, ulatust ja keerukust. Komisjonil peaks olema õigus võtta need rakenduslikud tehnilised standardid vastu rakendusaktidega vastavalt ELi toimimise lepingu artiklile 291 ning kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artikliga 15.

(101)

Kuna Euroopa Parlamendi ja nõukogu määrustes (EÜ) nr 1060/2009, (23) (EL) nr 648/2012, (24) (EL) nr 600/2014 (25) ja (EL) nr 909/2014 (26) sisalduvatel regulatiivsetel ja rakenduslikel tehnilistel standarditel põhinevate delegeeritud õigusaktide ja rakendusaktidega on juba täpsustatud täiendavaid nõudeid, on asjakohane anda Euroopa järelevalveasutustele kas individuaalsed või ühiskomitee kaudu ühised volitused esitada komisjonile regulatiivsed ja rakenduslikud tehnilised standardid selliste delegeeritud õigusaktide ja rakendusaktide vastuvõtmiseks, millega võetakse üle ja ajakohastatakse kehtivaid IKT-riski juhtimise norme.

(102)

Kuna käesoleva määrusega ning Euroopa Parlamendi ja nõukogu direktiiviga (EL) 2022/2556 (27) kaasneb täieliku kooskõla tagamiseks selliste IKT-riski juhtimist käsitlevate sätete konsolideerimine, mis sisalduvad mitmes liidu finantsteenuste õigustiku määruses ja direktiivis, sealhulgas määrustes (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014 ja (EL) nr 909/2014 ning Euroopa Parlamendi ja nõukogu määruses (EL) 2016/1011, (28) tuleks kõnealuseid määruseid muuta selgitamaks, et kohaldatavad IKT-riskiga seotud sätted on sätestatud käesolevas määruses.

(103)

Sellest tulenevalt tuleks kitsendada selliste operatsiooniriskiga seotud asjakohaste artiklite kohaldamisala, mille kohaselt võeti määrustes (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 sätestatud õiguse alusel vastu delegeeritud õigusakte ja rakendusakte, pidades silmas eesmärki tuua käesolevasse määrusesse üle kõik digitaalse tegevuskerksuse aspekte hõlmavad sätted, mis praegu sisalduvad kõnealustes määrustes.

(104)

Potentsiaalset süsteemset küberriski, mis on seotud selliste IKT-taristute kasutamisega, mis võimaldavad maksesüsteemide toimimist ja maksete töötlemise toimingute osutamist, tuleks liidu tasandil igakülgselt käsitleda digitaalse kerksuse ühtlustatud normides. Selleks peaks komisjon kiiresti hindama vajadust vaadata läbi käesoleva määruse kohaldamisala, viies sellise läbivaatamise kooskõlla direktiivis (EL) 2015/2366 ette nähtud põhjaliku läbivaatamise tulemustega. Viimasel kümnendil toimunud arvukad ulatuslikud ründed näitavad, et maksesüsteemid on muutunud avatuks küberohtudele. Maksesüsteemid ja maksete töötlemise toimingud on omandanud liidu finantsturgude toimimise jaoks kriitilise tähtsuse, olles makseteenuste ahelas kesksel kohal ja tugevalt seotud üldise finantssüsteemiga. Selliste süsteemide vastu suunatud küberründed võivad põhjustada tõsiseid äritegevuse häireid, millel on otsene mõju peamistele majandusfunktsioonidele, nagu maksete hõlbustamine, ja kaudne mõju seotud majandusprotsessidele. Kuni liidu tasandil ei ole kehtestatud ühtlustatud korda ning maksesüsteemide käitajate ja töötlevate ettevõtjate järelevalvet, võivad liikmesriigid sarnaste turutavade kohaldamiseks võtta eeskuju käesolevas määruses sätestatud digitaalse tegevuskerksuse nõuetest, kui nad kohaldavad norme selliste maksesüsteemide käitajate ja töötlevate ettevõtjate suhtes, kelle üle tehakse järelevalvet nende enda jurisdiktsioonis.

(105)

Kuna käesoleva määruse eesmärki, nimelt reguleeritud finantssektori ettevõtjate kõrge digitaalse tegevuskerksuse taseme saavutamine, ei suuda liikmesriigid piisavalt saavutada, sest see eeldab paljude erinevate liidu ja riiklike õigusnormide ühtlustamist, küll aga saab seda meetme ulatuse ja toime tõttu paremini saavutada liidu tasandil, võib liit võtta meetmeid kooskõlas Euroopa Liidu lepingu artiklis 5 sätestatud subsidiaarsuse põhimõttega. Kõnealuses artiklis sätestatud proportsionaalsuse põhimõtte kohaselt ei lähe käesolev määrus nimetatud eesmärgi saavutamiseks vajalikust kaugemale.

(106)

Euroopa Andmekaitseinspektoriga konsulteeriti kooskõlas Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (29) artikli 42 lõikega 1 ning ta esitas arvamuse 10. mail 2021, (30)

(1)

Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/1148 (4) eesmärk oli luua kogu liidus küberturvalisuse alast võimekust, leevendada ohte peamistes sektorites elutähtsate teenuste osutamiseks kasutatavatele võrgu- ja infosüsteemidele ning tagada selliste teenuste katkematu osutamine intsidentide korral, aidates seeläbi kaasa liidu julgeolekule ning majanduse ja ühiskonna tõhusale toimimisele.

(2)

Alates direktiivi (EL) 2016/1148 jõustumisest on liidu kübervastupidavusvõime suurendamisel tehtud märkimisväärseid edusamme. Kõnealuse direktiivi läbivaatamine on näidanud, et see on kannustanud liidu küberturvalisust käsitleva institutsioonilise ja regulatiivse käsituse kujunemist ning sillutanud seeläbi teed mõtteviisi oluliseks muutumiseks. Kõnealuse direktiiviga on tagatud riiklike raamistike ülesehitamine, mis on hõlmanud riiklike võrgu- ja infosüsteemide turvalisuse strateegiate koostamist, riikliku võimekuse kujundamist ning regulatiivsete meetmete kohaldamist iga liikmesriigi määratud elutähtsate taristute ja üksuste suhtes. Direktiiv (EL) 2016/1148 on aidanud ka kaasa koostöö edendamisele liidu tasandil koostöörühma ja riiklike küberturbe intsidentide lahendamise üksuste võrgustiku loomise kaudu. Vaatamata nendele saavutustele on direktiivi (EL) 2016/1148 läbivaatamisel tuvastatud olemuslikke puudusi, mis takistavad praeguste ja esilekerkivate küberturvalisuse probleemide tulemuslikku lahendamist.

(3)

Võrgu- ja infosüsteemidest on saanud igapäevaelu keskne osa ühes kiire digiülemineku ja ühiskonnaosaliste vastastikuse seotusega, mille hulka kuulub piiriülene suhtlus. See areng on viinud küberohtude suurenemiseni ning toonud kaasa uued väljakutsed, mis nõuavad kohandatud, koordineeritud ja uuenduslikke lahendusi kõigis liikmesriikides. Intsidentide arv, ulatus, keerukus, sagedus ja mõju suureneb ning see kujutab endast võrgu- ja infosüsteemide toimimisele suurt ohtu. Selle tulemusena võivad intsidendid tõkestada majandustegevust siseturul, põhjustada rahalist kahju, õõnestada kasutajate usaldust ning tekitada suurt kahju liidu majandusele ja ühiskonnale. Seetõttu on küberturvalisuse alane valmisolek ja tõhusus praegu siseturu tõrgeteta toimimiseks olulisem kui kunagi varem. Lisaks on küberturvalisus paljude kriitilise tähtsusega sektorite jaoks peamine tegur, mis võimaldab digiüleminekuga edukalt toime tulla ning digitaliseerimise majanduslikke, sotsiaalseid ja kestlikkuse eeliseid täielikult ära kasutada.

(4)

Direktiivi (EL) 2016/1148 õiguslik alus oli Euroopa Liidu toimimise lepingu (ELi toimimise leping) artikkel 114, mille eesmärk on siseturu rajamine ja toimimise tagamine riigisiseste normide ühtlustamise meetmete tõhustamise abil. Teenuseid osutavatele või majanduslikult olulist tegevust ellu viivatele üksustele kehtestatud küberturvalisuse nõuded erinevad liikmesriigiti märkimisväärselt nii nõuete liigi, üksikasjalikkuse kui ka järelevalvemeetodi poolest. Need erisused toovad kaasa lisakulusid ning põhjustavad raskusi piiriüleselt kaupu või teenuseid pakkuvatele üksustele. Ühe liikmesriigi kehtestatud nõuded, mis erinevad teise liikmesriigi kehtestatud nõuetest või on nendega lausa vastuolus, võivad sellist piiriülest tegevust oluliselt pärssida. Lisaks mõjutab küberturvalisuse nõuete ebatõhus kavandamine või rakendamine ühes liikmesriigis tõenäoliselt küberturvalisuse taset ka teistes liikmesriikides, kui piiriülene suhtlus on sedavõrd intensiivne. Direktiivi (EL) 2016/1148 läbivaatamise käigus selgus, et liikmesriigid kohaldavad seda väga erinevalt, muu hulgas seoses selle kohaldamisalaga, mille piiritlemine jäeti suuresti liikmesriikide otsustada. Direktiiviga (EL) 2016/1148 anti liikmesriikidele ka väga ulatuslik kaalutlusõigus direktiivis sätestatud turvalisuse tagamise ja intsidentidest teatamise kohustuse rakendamisel. Seega rakendati neid kohustusi liikmesriigi tasandil väga erinevalt. Sarnaseid lahknevusi oli ka direktiivi (EL) 2016/1148 järelevalve- ja täitmise tagamise sätete rakendamisel.

(5)

Kõik need erinevused põhjustavad siseturu killustumist ja võivad kahjustada selle toimimist, mõjutades eelkõige teenuste piiriülest osutamist ja kübervastupidavusvõime taset, kuna rakendatavad meetmed on erinevad. Lõppkokkuvõttes võivad need erinevused tuua kaasa selle, et mõni liikmesriik on küberohtude vastu vähem kaitstud, millel võib olla ülekanduv mõju kogu liidus. Käesoleva direktiivi eesmärk on kõrvaldada sellised suured erinevused liikmesriikide vahel, sätestades koordineeritud reguleeriva raamistiku toimimisega seotud miinimumnormid, kehtestades liikmesriikide vastutavate asutuste tulemuslikuks koostööks vajalikud mehhanismid, ajakohastades selliste sektorite ja tegevuste loetelu, mille suhtes küberturvalisusega seotud kohustusi kohaldatakse, ning nähes ette tõhusad õiguskaitsevahendid ja täitemeetmed, mis on olulised nende kohustuste tulemusliku täitmise tagamiseks. Seega tuleks direktiiv (EL) 2016/1148 kehtetuks tunnistada ja asendada käesoleva direktiiviga.

(6)

Direktiivi (EL) 2016/1148 kehtetuks tunnistamisega tuleks sektoripõhist kohaldamisala laiendada suuremale osale majandusest, et hõlmata võimalikult täielikult kõik sektorid ja teenused, mis on siseturu peamise ühiskondliku ja majandustegevuse jaoks elutähtsad. Eelkõige on käesoleva direktiivi eesmärk kõrvaldada puudused, mis on seotud elutähtsate teenuste osutajate ja digiteenuse osutajate eristamisega, mis on osutunud iganenuks, kuna ei kajasta sektorite või teenuste tähtsust siseturu ühiskondliku ja majandustegevuse jaoks.

(7)

Direktiivi (EL) 2016/1148 kohaselt oli liikmesriikidel kohustus kindlaks teha üksused, mis vastavad oluliste teenuste operaatori kriteeriumidele. Et kõrvaldada sellest tulenevad liikmesriikidevahelised suured erinevused ning tagada kõigile asjaomastele üksustele küberturvalisuse riskijuhtimismeetmete ja teatamiskohustusega seoses õiguskindlus, tuleks kehtestada ühtne kriteerium, mille alusel tehakse kindlaks käesoleva direktiivi kohaldamisalasse kuuluvad üksused. See kriteerium peaks põhinema suuruse ülempiiri reegli kohaldamisel, mille kohaselt jäävad käesoleva direktiivi kohaldamisalasse kõik üksused, mida käsitatakse komisjoni soovituse 2003/361/EÜ (5) lisa artikli 2 kohaselt keskmise suurusega ettevõtjana või mis ületavad keskmise suurusega ettevõtja ülemmäärasid, mis on esitatud kõnealuse artikli lõikes 1, ning tegutsevad käesoleva direktiiviga hõlmatud sektorites, osutavad teenuseid või viivad ellu tegevusi, mis kuuluvad selle kohaldamisalasse. Liikmesriigid peaksid samuti ette nägema, et käesoleva direktiivi kohaldamisalasse kuuluvad teatavad kõnealuse soovituse lisa artikli 2 lõigetes 2 ja 3 määratletud väikesed ettevõtjad ja mikroettevõtjad, mis vastavad konkreetsetele kriteeriumidele, mis näitavad ühiskonna, majanduse või konkreetsete sektorite või teenuseliikide võtmerolli.

(8)

Käesoleva direktiivi kohaldamisalast tuleks välja jätta avaliku halduse üksused, kes tegutsevad peamiselt riigi julgeoleku, avaliku julgeoleku, kaitse või õiguskaitse valdkonnas, sealhulgas kuritegude ennetamine, avastamine, uurimine ja nende eest vastutusele võtmine. Käesoleva direktiivi kohaldamisalast tuleks välja jätta ka sellised avaliku halduse üksused, kelle tegevus on nende valdkondadega seotud vaid vähesel määral. Regulatiivse pädevusega üksusi ei käsitata käesoleva direktiivi kohaldamisel õiguskaitse valdkonnas tegutsevate üksustena ja seetõttu ei jäeta neid ka käesoleva direktiivi kohaldamisalast välja. Käesoleva direktiivi kohaldamisalast jäetakse välja avaliku halduse üksused, mis on vastavalt rahvusvahelisele lepingule asutatud ühiselt kolmanda riigiga. Käesolevat direktiivi ei kohaldata liikmesriikide diplomaatiliste ja konsulaaresinduste suhtes kolmandates riikides ega nende võrgu- ja infosüsteemide suhtes, kui sellised süsteemid asuvad esinduse ruumides või kui neid käitatakse kolmanda riigi kasutajate jaoks.

(9)

Liikmesriikidel peaks olema võimalik võtta vajalikke meetmeid, et tagada riikliku julgeoleku oluline huvi, tagada avalik kord ja julgeolek ning võimaldada kuritegude ennetamist, uurimist, avastamist ja nende eest vastutusele võtmist. Selleks peaks liikmesriikidel olema võimalik vabastada konkreetsed üksused, kes tegutsevad riigi julgeoleku, avaliku julgeoleku, kaitse või õiguskaitse valdkonnas, sealhulgas kuritegude ennetamine, uurimine, avastamine ja nende eest vastutusele võtmine, teatavate käesolevas direktiivis sätestatud kohustuste täitmisest. Kui üksus osutab teenuseid üksnes avaliku halduse üksusele, mis on käesoleva direktiivi kohaldamisalast välja jäetud, peaks liikmesriikidel olema võimalik otsustada, et see üksus ei pea seoses nimetatud teenustega käesolevas direktiivis sätestatud kohustusi täitma. Lisaks ei tohiks liikmesriike kohustada esitama teavet, mille avalikustamine on vastuolus nende riigi julgeoleku, avaliku julgeoleku või kaitse oluliste huvidega. Kõnealuses kontekstis tuleks arvesse võtta salastatud teabe kaitset käsitlevaid riigisiseseid ja liidu norme, ametlikke ja mitteametlikke mitteavaldamise kokkuleppeid, nagu fooritulede analoogial põhinev fooriprotokoll teabe tundlikkuse märgistamiseks. Fooriprotokolli teabe tundlikkuse märgistamiseks tuleb mõista kui vahendit, millega antakse teavet teabe edasise levitamisega seotud piirangute kohta. Seda kasutatakse peaaegu kõigis küberturbe intsidentide lahendamise üksustes (CSIRTid) ning mõnes teabeanalüüsi- ja -jagamiskeskuses.

(10)

Kuigi käesolevat direktiivi kohaldatakse üksuste suhtes, kes viivad ellu tegevusi elektrienergiat tootvates tuumaelektrijaamades, võivad mõned need tegevused olla seotud riikliku julgeolekuga. Kui see on nii, peaks liikmesriigil olema võimalik täita vastavalt aluslepingutele oma kohustust kaitsta seoses kõnealuse tegevusega, sealhulgas tegevusega tuumaenergia väärtusahelas, riiklikku julgeolekut.

(11)

Mõned üksused tegutsevad riikliku julgeoleku, avaliku julgeoleku, kaitse või õiguskaitse valdkonnas, sealhulgas kuritegude ennetamine, uurimine, avastamine ja nende eest vastutusele võtmine, osutades samal ajal ka usaldusteenuseid. Usaldusteenuse osutajad, kes kuuluvad Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 (6) kohaldamisalasse, peaksid kuuluma käesoleva direktiivi kohaldamisalasse, et tagada turvanõuded ja järelevalve samal tasemel, mis oli juba eelnevalt nimetatud määruses sätestatud seoses usaldusteenuse osutajatega. Nii nagu määrust (EL) nr 910/2014 ei kohaldata teatavate konkreetsete teenuste suhtes, ei tuleks ka käesolevat direktiivi kohaldada selliste usaldusteenuste osutamise suhtes, mida kasutatakse eranditult suletud süsteemides, mis tulenevad liikmesriigi õigusest või kindlaksmääratud osalejate vahelistest kokkulepetest.

(12)

Euroopa Parlamendi ja nõukogu direktiivis 97/67/EÜ (7) määratletud postiteenuse osutajate, sealhulgas kullerpostiteenuse osutajate suhtes tuleks kohaldada käesolevat direktiivi juhul, kui nad osutavad vähemalt ühe postiteenuseahela etapi teenust, eeskätt kogumis-, sorteerimis- või jaotamisteenust, sealhulgas järeletulemise teenused, võttes arvesse nende võrgu- ja infosüsteemidest sõltuvuse määra. Transporditeenust, mida ei osutata ühegi nimetatud etapi raames, ei peaks käsitama postiteenusena.

(13)

Arvestades küberohtude intensiivistumist ja keerukamaks muutumist, peaksid liikmesriigid püüdma tagada, et käesoleva direktiivi kohaldamisalast välja jäetud üksused saavutaksid küberturvalisuse kõrge taseme, ning toetama nende üksuste tundlikku olemust kajastavate samaväärsete küberturvalisuse riskijuhtimismeetmete rakendamist.

(14)

Käesoleva direktiivi alusel toimuva isikuandmete töötlemise suhtes kohaldatakse liidu andmekaitseõigust ja eraelu puutumatuse kaitset käsitlevat liidu õigust. Eelkõige ei mõjuta käesolev direktiiv Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (8) ega Euroopa Parlamendi ja nõukogu direktiivi 2002/58/EÜ (9) kohaldamist. Seetõttu ei tohiks käesolev direktiiv muu hulgas mõjutada nende asutuste ülesandeid ja volitusi, kes on pädevad seirama kohaldatava liidu andmekaitseõiguse ja eraelu puutumatuse kaitset käsitleva õiguse järgimist.

(15)

Küberturvalisuse riskijuhtimismeetmete järgimiseks ja teatamiskohustuse täitmiseks tuleks käesoleva direktiivi kohaldamisalasse kuuluvad üksused liigitada kahte kategooriasse – elutähtsad üksused ja olulised üksused, mis näitab, mil määral on nad kriitilise tähtsusega nende sektori või osutatavate teenuste liigi, aga ka oma suuruse seisukohast. Sellega seoses tuleks igakülgselt arvesse võtta kõiki asjakohaseid valdkondlikke riskihindamisi või pädevate asutuste suuniseid, kui see on kohaldatav. Nende kahe üksuseliigi järelevalve- ja täitmise tagamise kord peaks olema erinev, et tagada õiglane tasakaal kohaldatavate riskipõhiste nõuete ja kohustuste ning nõuete täitmise järelevalvega seotud halduskoormuse vahel.

(16)

Vältimaks seda, et üksusi, millel on partnerettevõtjad või mis on sidusettevõtjad, peetaks elutähtsateks või olulisteks üksusteks, kui see oleks ebaproportsionaalne, on liikmesriikidel võimalik soovituse 2003/361/EÜ lisa artikli 6 lõike 2 kohaldamisel võtta arvesse üksuse oma partneritest või sidusettevõtjatest sõltumatuse määra. Eelkõige on liikmesriikidel võimalik võtta arvesse asjaolu, et üksus on oma partner- või sidusettevõtjatest sõltumatu teenuste osutamisel kasutatavate võrgu- ja infosüsteemide osas, ja teenuste osas, mida üksus osutab. Selle põhjal võivad liikmesriigid asjakohasel juhul leida, et nimetatud üksust ei saa käsitada 2003/361/EÜ lisa artikli 2 kohase keskmise suurusega ettevõtjana või et üksus ei ületa keskmise suurusega ettevõtja kõnealuse artikli lõikes 1 esitatud ülemmäärasid, kui pärast selle üksuse sõltumatuse määra arvestamist üksnes tema enda andmete arvesse võtmisel ei käsitataks teda keskmise suurusega ettevõtjana või neid ülemmäärasid ületavana. See ei mõjuta käesoleva direktiivi kohaldamisalasse kuuluvate partner- ja sidusettevõtjate käesolevas direktiivis sätestatud kohustusi.

(17)

Liikmesriikidel peaks olema võimalik otsustada, et üksusi, mis on direktiivi (EL) 2016/1148 kohaselt identifitseeritud kui oluliste teenuste operaatorid enne käesoleva direktiivi jõustumist, käsitatakse elutähtsate üksustena.

(18)

Selleks et tagada selge ülevaade käesoleva direktiivi kohaldamisalasse kuuluvatest üksustest, peaksid liikmesriigid koostama elutähtsate ja oluliste üksuste ning domeeninimede registreerimise teenuseid osutavate üksuste loetelu. Selleks peaksid liikmesriigid nõudma, et üksused esitaksid pädevatele asutustele vähemalt järgmise teabe: nimi, aadress ja ajakohastatud kontaktandmed, sealhulgas üksuse e-posti aadressid, IP-vahemikud ja telefoninumbrid ning, kui see on kohaldatav, lisades osutatud asjaomane sektor ja allsektor ning, kui see on kohaldatav, selliste liikmesriikide loetelu, kus nad käesoleva direktiivi kohaldamisalasse kuuluvaid teenuseid osutavad. Selleks peaks komisjon Euroopa Liidu Küberturvalisuse Ameti (ENISA) abiga kehtestama põhjendamatu viivituseta teabe esitamise kohustusega seotud suunised ja vormid. Elutähtsate ja oluliste üksuste ning domeeninimede registreerimise teenuseid osutavate üksuste loetelu koostamise ja ajakohastamise hõlbustamiseks peaks liikmesriikidel olema võimalik luua riiklikud mehhanismid, mis võimaldavad üksustel end ise registreerida. Kui registrid on riigi tasandil olemas, saavad liikmesriigid otsustada asjakohaste mehhanismide üle, mis võimaldavad käesoleva direktiivi kohaldamisalasse kuuluvaid üksusi kindlaks määrata.

(19)

Liikmesriigid peaksid esitama komisjonile vähemalt igasse lisades osutatud sektorisse ja allsektorisse kuuluvate elutähtsate ja oluliste üksuste arvu, samuti asjakohase teabe kindlaks määratud üksuste arvu kohta ja selle kohta, millise käesoleva direktiivi sätte põhjal need üksused kindlaks määrati ning millist liiki teenust nad osutavad. Liikmesriike julgustatakse vahetama komisjoniga teavet elutähtsate ja oluliste üksuste kohta ning ulatusliku küberturbeintsidendi korral asjakohast teavet (näiteks asjaomase üksuse nimi).

(20)

Komisjon peaks koostöös koostöörühmaga ja pärast konsulteerimist asjaomaste sidusrühmadega andma mikroettevõtjate ja väikeste ettevõtjate suhtes kohaldatavate kriteeriumide rakendamise suunised, et hinnata, kas nad kuuluvad käesoleva direktiivi kohaldamisalasse. Samuti peaks komisjon tagama, et asjakohaseid suuniseid antakse käesoleva direktiivi kohaldamisalasse kuuluvatele mikroettevõtjatele ja väikestele ettevõtjatele. Komisjon peaks liikmesriikide toetusel tegema sellekohase teabe mikroettevõtjatele ja väikestele ettevõtjatele kättesaadavaks.

(21)

Komisjon peaks andma suunised, mille eesmärk on abistada liikmesriike kohaldamisala käsitlevate käesoleva direktiivi sätete rakendamisel ja käesoleva direktiivi kohaselt võetavate meetmete proportsionaalsuse hindamisel, eelkõige seoses üksustega, millel on keerukad ärimudelid või tegevuskeskkonnad, mille puhul võib üksus vastata korraga nii elutähtsa kui ka olulise üksuse kriteeriumidele või viia samal ajal ellu tegevusi, millest osa kuulub käesoleva direktiivi kohaldamisalasse ja osa mitte.

(22)

Käesolevas direktiivis sätestatakse selle kohaldamisalasse kuuluvate sektorite küberturvalisuse riskijuhtimismeetmete ja teatamiskohustuse baastase. Selleks et vältida liidu õigusaktide küberturvalisuse sätete killustumist, kui küberturvalisuse kõrge taseme tagamiseks kogu liidus peetakse vajalikuks valdkondlikke lisasätteid, mis käsitlevad küberturvalisuse riskijuhtimismeetmeid ja teatamiskohustust, peaks komisjon hindama, kas sellised lisasätted võiks ette näha käesoleva direktiivi alla kuuluvas rakendusaktis. Kui sellised rakendusaktid ei ole selleks sobivad, võiksid liidu valdkondlikud õigusaktid aidata tagada kogu liitu hõlmava küberturvalisuse kõrge taseme, võttes ühtlasi täielikult arvesse asjaomaste sektorite eripära ja keerukust. Sel otstarbel ei välista käesolev direktiiv ka niisuguste küberturvalisuse riskijuhtimismeetmeid ja intsidentidest teatamist käsitlevate edasiste valdkondlike liidu õigusaktide vastuvõtmist, milles võetakse igakülgselt arvesse vajadust luua terviklik ja ühtne küberturvalisuse raamistik. Käesolev direktiiv ei piira komisjonile mitmes sektoris, sealhulgas transpordi- ja energeetikasektoris antud rakendamisvolitusi.

(23)

Kui valdkondlikes liidu õigusaktides on sätted, millega nõutakse elutähtsatelt või olulistelt üksustelt küberturvalisuse riskijuhtimismeetmete võtmist või olulistest intsidentidest teatamist, ning kui need nõuded on vähemalt samaväärsed käesolevas direktiivis sätestatud kohustustega, tuleks neid sätteid, sealhulgas järelevalve- ja täitmise tagamise sätteid, niisuguste üksuste suhtes kohaldada. Kui valdkondlik liidu õigusakt ei hõlma kõiki konkreetse sektori üksusi, mis kuuluvad käesoleva direktiivi kohaldamisalasse, tuleks nimetatud liidu õigusaktiga hõlmamata üksuste suhtes kohaldada jätkuvalt käesoleva direktiivi asjakohaseid sätteid.

(24)

Kui valdkondliku liidu õigusakti kohaselt peavad elutähtsad või olulised üksused täitma teatamise kohustust, mille mõju on vähemalt samaväärne käesolevas direktiivis sätestatud teatamiskohustusega, tuleks tagada intsidenditeadete ühtne ja tulemuslik käsitlemine. Selleks tuleks intsidenditeateid käsitleva valdkondliku liidu õigusakti sätetega anda CSIRTidele, pädevatele asutustele või käesoleva direktiivi kohastele ühtsetele küberturvalisuse kontaktpunktidele (edaspidi „ühtsed kontaktpunktid“) vastavalt valdkondlikule liidu õigusaktile esitatud intsidenditeadetele viivitamata juurdepääs. Sellise viivitamatu juurdepääsu saab tagada eelkõige juhul, kui intsidenditeated edastatakse põhjendamatu viivituseta CSIRTile, pädevale asutusele või käesoleva direktiivi kohasele ühtsele kontaktpunktile. Kui see on asjakohane, peaksid liikmesriigid looma intsidenditeadete käsitlemiseks automaatse ja otsese teavitamise mehhanismi, mis tagab süstemaatilise ja vahetu teabevahetuse CSIRTide, pädevate asutuste või ühtse kontaktpunktiga. Teatamise lihtsustamiseks ning automaatse ja otsese teatamise mehhanismi rakendamiseks võiksid liikmesriigid kooskõlas valdkondliku liidu õigusaktiga kasutada ühtset kontaktpunkti.

(25)

Valdkondlikes liidu õigusaktides, millega nähakse ette küberturvalisuse riskijuhtimismeetmed või teatamiskohustus, millel on käesolevas direktiivis sätestatuga vähemalt samaväärne mõju, võiks ette näha, et nende õigusaktide kohased pädevad asutused kasutavad selliste meetmete või kohustustega seoses oma järelevalve- ja täitmise tagamise volitusi käesoleva direktiivi kohaselt määratud pädevate asutuste abil. Asjaomased pädevad asutused võivad sel eesmärgil kehtestada koostöökorra. Sellises koostöökorras võiks muu hulgas täpsustada järelevalvetegevuse koordineerimise korra, sealhulgas liikmesriigi õiguse kohaste uurimiste ja kohapealsete kontrollide korra ning pädevate asutuste vahelise järelevalvet ja täitmise tagamist käsitleva asjakohase teabe vahetamise mehhanismi, sealhulgas juurdepääsu kübervaldkonda puudutavale teabele, mida pädevad asutused käesoleva direktiivi kohaselt taotlevad.

(26)

Kui valdkondlikes liidu õigusaktides on nõue, et üksused teataksid olulistest küberohtudest või pakutakse neile selleks stiimuleid, peaksid liikmesriigid samuti julgustama oluliste küberohtude jagamist CSIRTide, pädevate asutuste või käesoleva direktiivi kohaste ühtsete kontaktpunktidega, et tagada kõnealuste organite suurem teadlikkus küberohtudest ning võimaldada neil oluliste küberohtude realiseerumise korral tulemuslikult ja aegsasti reageerida.

(27)

Käesolevas direktiivis sätestatud mõisteid ning järelevalve- ja täitmise tagamise raamistikku tuleks tulevastes valdkondlikes liidu õigusaktides igakülgselt arvesse võtta.

(28)

Käesoleva direktiiviga seoses tuleks Euroopa Parlamendi ja nõukogu määrust (EL) 2022/2554 (10) käsitada finantssektori ettevõtjate suhtes valdkondliku liidu õigusaktina. Käesoleva direktiivi sätete asemel tuleks kohaldada määruse (EL) 2022/2554 sätteid, mis käsitlevad info- ja kommunikatsioonitehnoloogia (IKT) riskijuhtimist, IKT intsidentide haldamist ja eelkõige tõsistest IKT intsidentidest teavitamist, samuti digitaalse tegevuskerksuse testimist, teabevahetuse kokkuleppeid ja kolmandatest isikutest tulenevat IKT-riski. Seetõttu ei tohiks liikmesriigid käesoleva direktiivi sätteid, mis käsitlevad küberturvalisuse riskijuhtimist ja teatamiskohustust, järelevalvet ja täitmise tagamist, määruse (EL) 2022/2554 kohaldamisalasse jäävate finantssektori ettevõtjate suhtes kohaldada. Samal ajal on käesoleva direktiivi kohaselt oluline tihedate suhete ja teabevahetuse säilitamine finantssektoriga. Selleks võimaldab määrus (EL) 2022/2554 Euroopa järelevalveasutustel ja kõnealuse määruse kohastel pädevatel asutustel osaleda koostöörühma tegevuses ning vahetada teavet ja teha koostööd ühtsete kontaktpunktidega, samuti CSIRTidega ja käesoleva direktiivi kohaste pädevate asutustega. Määruse (EL) 2022/2554 kohased pädevad asutused peaksid edastama tõsiste IKT intsidentide ja asjakohasel juhul oluliste küberohtude üksikasjad ka CSIRTidele, pädevatele asutusele või käesoleva direktiivi kohastele ühtsetele kontaktpunktidele. See on saavutatav vahetu juurdepääsu tagamisega intsidenditeadetele ja nende otsese või intsidenditeadete ühtse kontaktpunkti edastamise kaudu. Lisaks peaksid liikmesriigid jätkuvalt kaasama finantssektori oma küberturvalisuse strateegiatesse ning CSIRTid võivad oma tegevuses hõlmata ka finantssektorit.

(29)

Selleks et vältida lennundussektori üksustele kehtestatud küberturvalisuse kohustustes lünki ja kohustuste dubleerimist, peaksid Euroopa Parlamendi ja nõukogu määruste (EÜ) nr 300/2008 (11) ja (EL) 2018/1139 (12) kohased riiklikud asutused ning käesoleva direktiivi kohased pädevad asutused tegema seoses küberturvalisuse riskijuhtimismeetmete rakendamisega ja nende meetmete järgimise järelevalvega riiklikul tasandil koostööd. Kui üksus järgib määrustes (EÜ) nr 300/2008 ja (EL) 2018/1139 ning nende määruste alusel vastu võetud asjakohastes delegeeritud õigusaktides ja rakendusaktides sätestatud turvanõudeid, võivad käesoleva direktiivi kohased pädevad asutused käsitada seda käesolevas direktiivis sätestatud vastavate nõuete järgimisena.

(30)

Üksuste küberturvalisuse ja füüsilise julgeoleku omavahelisi seoseid arvestades tuleks tagada Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2557 (13) ja käesoleva direktiivi lähenemisviiside kooskõla. Selle saavutamiseks tuleks direktiivi (EL) 2022/2557 kohaseid elutähtsa teenuse osutajaid käsitada käesoleva direktiivi kohaselt elutähtsate üksustena. Lisaks peaks iga liikmesriik tagama, et tema riikliku küberturvalisuse strateegiaga nähakse ette poliitikaraamistik, mis võimaldab kõnealuses liikmesriigis käesoleva direktiivi ja direktiivi (EL) 2022/2557 kohaste tema pädevate asutuste vahelist tõhusamat koordineerimist seoses teabevahetusega küberriskide, -ohtude ja -intsidentide ning muude kui küberriskide, -ohtude ja -intsidentide kohta ning järelevalveülesannete täitmisega. Käesoleva direktiivi ja direktiivi (EL) 2022/2022/2557 kohased pädevad asutused peaksid tegema koostööd ja vahetama põhjendamatu viivituseta teavet, eelkõige seoses sellega, mis puudutab elutähtsate üksuste, küberriskide, -ohtude ja -intsidentide tuvastamist ning elutähtsaid üksusi mõjutavaid muid kui küberriske, -ohte ja -intsidente, sealhulgas elutähtsate üksuste võetavaid küberturvalisuse ja füüsilisi meetmeid ning selliste üksustega seotud järelevalvetegevuse tulemusi.

Lisaks, et ühtlustada käesoleva direktiivi ja direktiivi (EL) 2022/2022/2557 kohaste pädevate asutuste vahelist järelevalvetegevust ja minimeerida asjaomaste üksuste halduskoormust, peaksid kõnealused pädevad asutused püüdma ühtlustada intsidenditeadete vorme ja järelevalveprotsesse. Kui see on asjakohane, peaks direktiivi (EL) 2022/2557 kohastel pädevatel asutustel olema võimalik taotleda käesoleva direktiivi kohastelt pädevatelt asutustelt, et nad kasutaksid oma järelevalve- ja täitmise tagamise volitusi seoses üksusega, mida käsitatakse direktiivi (EL) 2022/2557 kohase elutähtsa teenuse osutajana. Käesoleva direktiivi ja direktiivi (EL) 2022/2557 kohased pädevad asutused peaksid, kui see on reaalajas võimalik, sel eesmärgil koostööd tegema ja teavet vahetama.

(31)

Digitaristu sektorisse kuuluvad üksused põhinevad sisuliselt võrgu- ja infosüsteemidel ning seetõttu peaksid neile üksustele käesoleva direktiivi alusel pandud kohustused nende üksuste küberturvalisuse riskijuhtimismeetmete ja teatamiskohustuse raames hõlmama terviklikult ka selliste süsteemide füüsilist turvalisust. Kuna need küsimused on hõlmatud käesoleva direktiiviga, ei kohaldata selliste üksuste suhtes direktiivi (EL) 2022/2557 III, IV ja VI peatükis sätestatud kohustusi.

(32)

Usaldusväärse, vastupidava ja turvalise domeeninimede süsteemi (DNS) tagamine ja hoidmine on võtmetähtsusega, et säilitada interneti usaldusväärsus ning oluline, et tagada selle pidev ja stabiilne toimimine, millest sõltuvad digimajandus ja -ühiskond. Seepärast tuleks käesolevat direktiivi kohaldada tippdomeeninimede registrite ja domeeninimede süsteemi teenuse osutajate suhtes, mida tuleb käsitada üksustena, mis osutavad interneti lõppkasutajatele mõeldud üldkasutatavate domeeninimede rekursiivse teisendamise teenust või kolmandatele isikutele kasutamiseks mõeldud domeeninimede autoriteetse teisendamise teenust. Käesolevat direktiivi ei tuleks kohaldada juurnimeserverite suhtes.

(33)

Pilvandmetöötlusteenused peaksid hõlmama digiteenuseid, mis võimaldavad jagatavate andmetöötlusressursside skaleeritava ja paindliku kogumi nõudepõhist haldamist ning ulatuslikku kaugpääsu sellele kogumile, muu hulgas juhul, kui need ressursid paiknevad hajutatult erinevates kohtades. Andmetöötlusressursid on näiteks võrgud, serverid ja muu taristu, operatsioonisüsteemid, tarkvara, talletusruum, rakendused ja teenused. Pilvandmetöötluse teenusemudelid hõlmavad muu hulgas taristut teenusena (IaaS), platvormi teenusena (PaaS), tarkvara teenusena (SaaS) ja võrku teenusena (NaaS). Pilvandmetöötluse korraldusmudelid peaksid hõlmama privaat-, ühis-, avalikku ja hübriidpilve. Mõistetel „pilvandmetöötlusteenus“ ja „korraldusmudel“ on sama tähendus nagu nimetatud mõistetel standardi ISO/IEC 17788:2014 määratluses. Pilvandmetöötlusteenuse kasutaja võimekust tagada endale ühepoolselt andmetöötlusvõimekus, nagu serveriaeg või võrgu talletusruum, ilma pilvandmetöötlusteenuse osutaja inimesepoolse sekkumiseta, võiks nimetada nõudepõhiseks haldamiseks.

Mõistega „ulatuslik kaugpääs“ peetakse silmas seda, et pilvevõimalusi pakutakse võrgu kaudu ja need on kättesaadavad mehhanismide kaudu (sealhulgas mobiiltelefonid, tahvelarvutid, sülearvutid ja tööjaamad), mis toetavad heterogeensete nn kõhnade või paksude kliendiplatvormide kasutamist. Mõiste „skaleeritav“ osutab andmetöötlusressurssidele, mis on nõudluse kõikumisega toimetulekuks pilveteenuse osutaja poolt paindlikult jaotatavad olenemata ressursside geograafilisest asukohast. Mõistet „paindlik kogum“ kasutatakse andmetöötlusressursside kirjeldamiseks, mida pakutakse ja mis tehakse kättesaadavaks vastavalt nõudlusele, et kättesaadavaid ressursse suurendada või vähendada sõltuvalt töökoormusest. Mõistet „jagatav“ kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mida pakutakse paljudele kasutajatele, kellel on ühine juurdepääs teenusele, kuid mille puhul andmete töötlemine toimub iga kasutaja jaoks eraldi, olgugi et teenust osutatakse samadest elektroonilistest seadmetest. Mõistet „hajusad“ kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mis asuvad erinevates võrguga ühendatud arvutites või seadmetes ning mis suhtlevad omavahel ja kooskõlastavad omavahelist tegevust sõnumite edastamise teel.

(34)

Kuna maad võtavad uuenduslikud tehnoloogiad ja ärimudelid, tulevad eeldatavasti tarbijate muutuvate vajaduste järgi siseturule uued pilvandmetöötlusteenuse ja korraldusmudelid. Sellises kontekstis võib pilvandmetöötlusteenuseid osutada väga hajusal kujul, mille puhul töötlus toimub andmete loomise või kogumise kohale veelgi lähemal; seega liikudes nn traditsiooniliselt mudelilt väga hajusale mudelile (servtöötlus).

(35)

Andmekeskusteenuse osutajate pakutavaid teenuseid ei pakuta alati tingimata pilvandmetöötlusteenusena. Seega ei pruugi andmekeskused alati olla pilvandmetöötlustaristu osa. Kõigi võrgu- ja infosüsteemide turvalisusega seotud riskide juhtimiseks peaks seetõttu käesoleva direktiivi kohaldamisalasse kuuluma ka selliste andmekeskusteenuste pakkujad, mis ei ole pilvandmetöötlusteenused. Käesoleva direktiivi kohaldamisel peaks mõiste „andmekeskusteenus“ kätkema sellise teenuse osutamist, mis hõlmab struktuure või struktuuride rühmi, mis on ette nähtud andmete talletamiseks, töötlemiseks ja edastamiseks kasutatava infotehnoloogia- (IT) ja võrguseadmete keskseks majutamiseks, omavahel sidumiseks ja käitamiseks, võttes arvesse ka energiajaotuse ja keskkonnajuhtimisega seotud rajatisi ja taristuid. Mõiste „andmekeskusteenus“ ei tohiks hõlmata asutusesiseseid andmekeskusi, mis kuuluvad asjaomasele üksusele ja mida käitatakse üksuse enda tarbeks.

(36)

Teadusuuringutel on uute toodete ja protsesside väljatöötamisel võtmeroll. Paljusid neist tegevustest viivad ellu üksused, mis jagavad, levitavad või kasutavad oma teadusuuringute tulemusi ärilistel eesmärkidel. Need üksused võivad seega olla olulised osalejad väärtusahelates, mis muudab nende võrgu- ja infosüsteemide turvalisuse siseturu üldise küberturvalisuse lahutamatuks osaks. Teadusorganisatsioone tuleks käsitada nii, et need hõlmavad üksusi, mis pühendavad olulise osa oma tegevusest rakendusuuringutele või tootearendusele Majanduskoostöö ja Arengu Organisatsiooni 2015. aasta Frascati käsiraamatu „Guidelines for Collecting and Reporting Data on Research and Experimental Development, with a view to exploiting their results for commercial purposes, such as the manufacturing and marketing of a product, process or the provision of a service“ („Teadus- ja arendustegevuse andmete kogumise ja esitamise suunised, et kasutada nende tulemusi ärilistel eesmärkidel, näiteks toote, protsessi või teenuse tootmiseks või turustamiseks“) tähenduses.

(37)

Kasvav vastastikune sõltuvus tuleneb üha piiriülesemast ja üha enam vastastikku sõltuvast teenuste osutamise võrgustikust, mis kasutab kogu liidus selliste oluliste sektorite taristuid nagu energeetika, transport, digitaristu, joogi- ja reovesi, tervishoid, avaliku halduse teatavad harud ja ka kosmosetööstus, niivõrd kui viimase teatavate teenuste osutamine sõltub maapealsetest taristutest, mida omavad, haldavad ja käitavad kas liikmesriigid või eraõiguslikud isikud (seega ei hõlma see selliseid taristuid, mida omab, haldab või käitab liit või mida hallatakse või käitatakse liidu nimel liidu kosmoseprogrammi osana). Sellised vastastikused sõltuvussuhted tähendavad seda, et mis tahes häirel – isegi kui see puudutab algselt vaid üht üksust või sektorit – võib olla laiem astmeline mõju, mis võib avaldada kaugeleulatuvat ja pikaajalist negatiivset mõju teenuste osutamisele kogu siseturul. COVID-19 pandeemia ajal hoogustunud küberründed on näidanud, kui vähe kaitstud on meie üha enam üksteisest sõltuvad ühiskonnad väikese realiseerumisvõimalusega riskide esinemise korral.

(38)

Arvestades liikmesriikide juhtimisstruktuuride erinevusi ning selleks, et kaitsta juba kehtivat valdkondlikku korda või liidu reguleerivaid ja järelevalveasutusi, peaks liikmesriikidel olema võimalik määrata küberturvalisuse ja käesoleva direktiivi kohaste järelevalveülesannete eest vastutavaks vähemalt ühe riikliku pädeva asutuse või see asutada.

(39)

Et hõlbustada ametiasutuste piiriülest koostööd ja suhtlust ning käesolevat direktiivi tõhusalt rakendada, on vaja, et iga liikmesriik määraks ühtse kontaktpunkti, kes vastutab võrgu- ja infosüsteemide turvalisuse küsimuste koordineerimise ning liidu tasandil tehtava piiriülese koostöö eest.

(40)

Ühtsed kontaktpunktid peaksid tagama tõhusa piiriülese koostöö teiste liikmesriikide asjaomaste asutustega ning asjakohasel juhul komisjoni ja ENISAga. Seepärast tuleks ühtsetele kontaktpunktidele teha ülesandeks edastada CSIRTi või pädeva asutuse taotlusel teated piiriülese mõjuga oluliste intsidentide kohta teiste mõjutatud liikmesriikide ühtsetele kontaktpunktidele. Riiklikul tasandil peaksid ühtsed kontaktpunktid võimaldama sujuvat valdkondadevahelist koostööd teiste pädevate asutustega. Ühtsed kontaktpunktid võiksid olla ka määruse (EL) 2022/2554 kohaste pädevate asutuste edastatava, finantssektori ettevõtjatega seotud intsidente käsitleva asjakohase teabe adressaadid ning, kui see on asjakohane, peaks neil olema võimalik edastada kõnealune teave CSIRTidele või käesoleva direktiivi kohastele pädevatele asutustele.

(41)

Liikmesriigid peaksid olema nii tehniliselt kui ka töökorralduse mõttes piisavalt varustatud, et ennetada, vältida ja avastada intsidente ja riske ning neile reageerida ja nende mõju leevendada. Seepärast peaksid liikmesriigid käesoleva direktiivi alusel looma või määrama ühe või mitu CSIRTi ning tagama, et neil on piisavad vahendid ja tehniline võimekus. CSIRTid peaksid vastama käesolevas direktiivis sätestatud nõuetele, et tagada tulemuslik ja ühilduv võimekus tulla toime intsidentide ja riskidega ning tagada liidu tasandil tõhus koostöö. Liikmesriigid peaksid saama CSIRTideks määrata ka olemasolevaid infoturbeintsidentidega tegelevaid rühmi (CERTe). Et tugevdada üksuste ja CSIRTide vahelist usalduslikku suhet olukorras, kus CSIRT on pädeva asutuse osa, peaks liikmesriikidel olema võimalik kaaluda CSIRTide operatiivülesannete funktsionaalset eraldamist, eelkõige seoses sellega, mis puudutab teabevahetust ja üksuste toetamist ning pädevate asutuste järelevalvetegevust.

(42)

CSIRTide ülesandeks on intsidentide käsitlemine. See hõlmab suure hulga mõnikord tundlike andmete töötlemist. Liikmesriigid peaksid tagama, et CSIRTidel on teabevahetuse ja töötlemise taristu, samuti hästi varustatud töötajad, mis tagab nende tegevuse konfidentsiaalsuse ja usaldusväärsuse. CSIRTid võiksid sellega seoses vastu võtta ka tegevusjuhendid.

(43)

Mis puutub isikuandmetesse, siis peaks CSIRTidel olema võimalik kooskõlas määrusega (EL) 2016/679 teha elutähtsa või olulise üksuse taotlusel üksuse teenuste osutamiseks kasutatavate võrgu- ja infosüsteemide ennetavat kontrolli. Kui see on kohaldatav, peaksid liikmesriigid püüdma tagada kõikide valdkondlike CSIRTide tehnilise võimekuse võrdse taseme. Liikmesriikidel peaks olema võimalik paluda oma CSIRTide arendamisel ENISA abi.

(44)

CSIRTidel peaks üksuse taotluse alusel olema võimalik elutähtsa või olulise üksuse kõiki internetiühendusega varasid pidevalt jälgida, nii siseruumides kui ka väljaspool, et tuvastada, mõista ja hallata üksuse üldisi organisatsioonilisi riske seoses hiljuti tuvastatud tarneahela kahjustuste ja kriitilisel tasemel nõrkustega. Üksust tuleks julgustada CSIRTile teatama, kas tal on privilegeeritud juhtimisliides, kuna see võib mõjutada leevendusmeetmete võtmise kiirust.

(45)

Arvestades küberturvalisuse alase rahvusvahelise koostöö tähtsust, peaks CSIRTidel olema võimalik lisaks käesoleva direktiivi kohaselt loodud CSIRTide võrgustikule osaleda ka rahvusvaheliste koostöövõrgustike töös. Seepärast peaks CSIRTidel ja pädevatel asutustel olema oma ülesannete täitmiseks võimalik vahetada teavet, sealhulgas isikuandmeid, kolmandate riikide riiklike küberturbe intsidentide lahendamise üksuste või pädevate asutustega, kui on täidetud liidu andmekaitseõiguses sätestatud tingimused isikuandmete edastamiseks kolmandatele riikidele, muu hulgas määruse (EL) 2016/679 artiklis 49 sätestatud tingimused.

(46)

Oluline on tagada piisavad vahendid käesoleva direktiivi eesmärkide saavutamiseks ning võimaldada pädevatel asutustel ja CSIRTidel täita selles sätestatud kohustusi. Liikmesriigid võivad riiklikul tasandil kehtestada rahastamismehhanismi, et katta käesoleva direktiivi kohaselt liikmesriigis küberturvalisuse eest vastutavate avaliku sektori asutuste ülesannete täitmisega seotud vajalikud kulud. Selline mehhanism peaks olema kooskõlas liidu õigusega, proportsionaalne ja mittediskrimineeriv ning võtma arvesse erinevaid lähenemisviise turvaliste teenuste pakkumisele.

(47)

CSIRTide võrgustik peaks jätkuvalt aitama suurendada kindlustunnet ja usaldust ning edendama kiiret ja tõhusat operatiivkoostööd liikmesriikide vahel. Et tõhustada operatiivkoostööd liidu tasandil, peaks CSIRTide võrgustik kaaluma võimalust kutsuda oma töös osalema küberturvalisuse poliitika kujundamisega seotud asjaomased liidu asutused ja ametid, näiteks Europoli.

(48)

Küberturvalisuse kõrge taseme saavutamiseks ja säilitamiseks peaksid käesoleva direktiiviga nõutavad riiklikud küberturvalisuse strateegiad koosnema sidusatest raamistikest, milles on esitatud strateegilised eesmärgid ja prioriteedid küberturvalisuse valdkonnas ning nende saavutamiseks vajalik juhtimine. Need strateegiad võivad koosneda ühest või mitmest seadusandlikust või muust kui seadusandlikust aktist.

(49)

Võrgu- ja infosüsteemide taristu, riistvara, tarkvara ja veebipõhiste rakenduste turvalisuse ning selliste ettevõtjate või lõppkasutajate andmete kaitsmiseks, millest üksused sõltuvad, luuakse alus küberhügieeni poliitikameetmetega. Küberhügieeni poliitikameetmed, mis koosnevad ühistest alustavadest, sealhulgas tarkvara ja riistvara uuendamine, salasõnade muutmine, uute paigalduste haldamine, administraatori õigustega juurdepääsukontode piiramine ja andmete varundamine, võimaldavad luua intsidentide või küberohtude puhuks valmisoleku ning üldise turvalisuse ja julgeoleku ennetava raamistiku. Liikmesriikide küberhügieeni poliitikameetmeid peaks jälgima ja analüüsima ENISA.

(50)

Küberturvalisuse alane teadlikkus ja küberhügieen on liidu küberturvalisuse taseme tõstmiseks üliolulised, eelkõige seetõttu, et ühendatud seadmete arv kasvab pidevalt ja neid võetakse küberrünnete puhul üha enam sihtmärgiks. Tuleks teha pingutusi, et suurendada üldist teadlikkust selliste seadmetega seotud riskidest, samal ajal kui liidu tasandil tehtavad hindamised võiksid aidata tagada ühtse arusaama sellistest riskidest siseturul.

(51)

Liikmesriigid peaksid ergutama uuendusliku tehnoloogia, sealhulgas tehisintellekti kasutamist, mis võiks parandada küberrünnete avastamist ja ennetamist ning ressursse küberrünnete vastu paremini suunata. Seepärast peaksid liikmesriigid sellise tehnoloogia kasutamise hõlbustamiseks soodustama oma riiklikes küberturvalisuse strateegiates teadus- ja arendustegevust, eelkõige seoses küberturvalisuse automatiseeritud või poolautomaatsete vahenditega, ning, kui see on kohane, jagama sellise tehnoloogia kasutajate koolitamiseks ja tehnoloogia täiustamiseks vajalikke andmeid. Uuendusliku tehnoloogia, sealhulgas tehisintellekti kasutamine peaks olema kooskõlas liidu andmekaitseõigusega, sealhulgas andmekaitsepõhimõtetega, nagu andmete täpsus, võimalikult väheste andmete kogumine, õiglus ja läbipaistvus ning andmeturve, näiteks tipptasemel krüpteerimine. Määruses (EL) 2016/679 sätestatud lõimitud ja vaikimisi andmekaitse nõuetest tuleb täielikult kinni pidada.

(52)

Tänu avatud lähtekoodiga küberturbevahenditele ja -rakendustele võib tõusta avatuse tase ja need võivad mõjuda soodsalt tööstusinnovatsiooni tõhususele. Avatud standardid soodustavad turbevahendite koostalitlusvõimet, mis on kasulik tööstusvaldkonna sidusrühmade turvalisuse seisukohast. Avatud lähtekoodiga küberturbevahendid ja -rakendused võivad võimendada laiemat arendajate kogukonda, võimaldades tarnijate mitmekesistamist. Avatud lähtekoodiga võib kaasneda küberturvalisusega seotud vahendite kontrolliprotsessi suurem läbipaistvus ning kogukonna juhitav nõrkuste tuvastamise protsess. Seetõttu peaks liikmesriikidel olema võimalik edendada avatud lähtekoodiga tarkvara ja avatud standardite kasutuselevõttu, järgides poliitikat, mis on seotud avatud andmete ja avatud lähtekoodi kasutamisega läbipaistvusel põhineva turvalisuse osana. Avatud lähtekoodiga küberturbevahendite kasutuselevõttu ja kestlikku kasutamist edendavad tegevuskavad, on eriti olulised väikeste ja keskmise suurusega ettevõtjate jaoks, kellel on märkimisväärsed rakenduskulud, mida saaks vähendada, kui vajadust spetsiifiliste rakenduste või vahendite järele vähendataks.

(53)

Kommunaalettevõtted on üha enam ühendatud linnade digivõrkudega, et parandada linnatranspordivõrke, ajakohastada veevarustust ja jäätmekäitlust ning suurendada valgustuse ja hoonete kütmise tõhusust. Need digitaliseeritud kommunaalettevõtted on küberrünnete vastu vähe kaitstud ja edukas küberrünne võib kodanikke nende ettevõtete omavahelise seotuse tõttu ulatuslikult kahjustada. Liikmesriigid peaksid oma riikliku küberturvalisuse strateegia raames välja töötama poliitika, milles käsitletakse selliste ühendatud või arukate linnade arendamist ja nende võimalikku mõju ühiskonnale.

(54)

Viimastel aastatel on liit seisnud silmitsi lunavararünnete hüppelise kasvuga, mille puhul pahavara krüpteerib andmeid ja süsteeme ning nõuab vabastamiseks lunaraha maksmist. Lunavararünnete sagenemist ja tõsidust võivad mõjutada mitmed tegurid, nagu erinevad ründemustrid, nagu lunavara kui teenusega seotud kuritegelikud ärimudelid ja krüptoraha, lunaraha nõudmised ja tarneahela rünnete sagenemine. Liikmesriigid peaksid oma riikliku küberturvalisuse strateegia raames välja töötama poliitika, milles käsitletakse lunavararünnete sagenemist.

(55)

Sobiva raamistiku kõigi sidusrühmade vahel teadmiste vahetamiseks, parimate tavade jagamiseks ja vastastikuse mõistmise ühise taseme loomiseks võib pakkuda küberturvalisuse valdkonna avaliku ja erasektori partnerlus. Liikmesriigid peaksid edendama poliitikat, millega toetatakse küberturvalisuse valdkonna avaliku ja erasektori partnerluse loomist. Niisuguses poliitikas tuleks muu hulgas täpsustada, millised on avaliku ja erasektori partnerluse ulatus ja kaasatud sidusrühmad, juhtimismudel, olemasolevad rahastamisvõimalused ja osalevate sidusrühmade koostoime. Avaliku ja erasektori partnerluse raames saab võimendavalt kasutada erasektori üksuste eksperditeadmisi, et abistada pädevaid asutusi tänapäevaste teenuste ja protsesside arendamisel, sealhulgas teabevahetus, varajane hoiatamine, küberohtude ja intsidentidega seotud õppused, kriisiohje ning vastupanuvõime kavandamine.

(56)

Liikmesriigid peaksid oma riiklikes küberturvalisuse strateegiates käsitlema väikeste ja keskmise suurusega ettevõtjate küberturvalisuse vajadusi. Liidus on väikeste ja keskmise suurusega ettevõtjate osakaal tööstus- ja äriturul suur ning neil on sageli raske kohaneda uute äritavadega üha rohkem ühendatud maailmas ja digitaalses keskkonnas, kus töötajad on kodutööl ja äritegevus toimub järjest rohkem interneti kaudu. Mõnedel väikestel ja keskmise suurusega ettevõtjatel on küberturvalisusega seoses sellised probleemid nagu vähene küberteadlikkus, kaugtöösüsteemide IT-turvalisuse puudumine, küberturvalisuse tagamiseks kasutatavate lahenduste suured kulud ja kõrgem ohutase, näiteks lunavaraga seoses, mille lahendamiseks nad peaksid saama suuniseid ja tuge. Väikestest ja keskmise suurusega ettevõtjatest on üha enam saamas tarneahela rünnete sihtmärk, sest nende küberturvalisuse riskijuhtimismeetmed ja ründehaldamine ei ole nii ranged ning asjaolu tõttu, et neil on piiratud turberessursid. Sellised tarneahela ründed ei mõjuta üksnes väikeseid ja keskmise suurusega ettevõtjaid ja nende tegevust, vaid võivad avaldada astmelist mõju ka üksustele, kellele nad tarnivad, põhjustades ulatuslikuma ründe. Liikmesriigid peaksid oma riiklike küberturvalisuse strateegiate kaudu aitama väikestel ja keskmise suurusega ettevõtjatel tarneahelates esinevaid probleeme lahendada. Liikmesriikidel peaks olema väikeste ja keskmise suurusega ettevõtjate jaoks riiklikul või piirkondlikul tasandil kontaktpunkt, mis kas annab väikestele ja keskmise suurusega ettevõtjatele suuniseid ja abi või suunab nad küberturvalisuse küsimustes suuniste ja abi saamiseks asjakohaste asutuste juurde. Liikmesriike julgustatakse osutama ka selliseid teenuseid nagu veebisaidi konfigureerimine ja logimise võimaldamine mikroettevõtjatele ja väikestele ettevõtjatele, kellel see võimekus puudub.

(57)

Liikmesriigid peaksid oma riiklikes küberturvalisuse strateegiates laiema kaitsestrateegia osana võtma kasutusele aktiivse küberkaitse edendamise poliitika. Selle asemel et tegutseda reageerivalt, tähendab aktiivne küberkaitse võrguturbe rikkumise aktiivset ennetamist, avastamist, seiret, analüüsimist ja tagajärgede leevendamist, milleks kasutatakse nii ohvri võrgus kui ka sellest väljaspool olevaid võimalusi. See võiks hõlmata liikmesriike, kes pakuvad teatavatele üksustele tasuta teenuseid või vahendeid, sealhulgas iseteeninduskontrolle, avastamisvahendeid ja kõrvaldamisteenuseid. Võime ohuteavet ja -analüüse, kübertegevuse hoiatusi ja reageerimismeetmeid kiiresti ja automaatselt jagada ning mõista on ülioluline, et teha ühtseid pingutusi võrgu- ja infosüsteemide vastu suunatud rünnete tulemuslikuks ennetamiseks, avastamiseks ja vastumeetmete võtmiseks. Aktiivne küberkaitse põhineb kaitsestrateegial, millega välistatakse ründemeetmed.

(58)

Kuna võrgu- ja infosüsteemide nõrkuste ärakasutamine võib põhjustada suuri häireid ja olulist kahju, on selliste nõrkuste kiire tuvastamine ja kõrvaldamine riskide vähendamise tähtis tegur. Üksused, mis võrgu- ja infosüsteeme välja töötavad või haldavad, peaksid seetõttu kehtestama asjakohase korra, mille alusel nõrkuste avastamise korral neid käsitleda. Kuna nõrkusi avastavad ja avalikustavad sageli kolmandad isikud, peaks IKT-toodete või IKT-teenuste tootja või osutaja kehtestama ka vajaliku menetluskorra kolmandatelt isikutelt nõrkusi käsitleva teabe saamiseks. Suunised nõrkuste käsitlemiseks ja nende avalikustamiseks on esitatud rahvusvahelistes standardites ISO/IEC 30111 ja ISO/IEC 29147. Selleks et soodustada nõrkuste avalikustamise vabatahtlikku raamistikku, on eriti oluline tugevdada füüsiliste ja juriidiliste isikute ning IKT-toodete või IKT-teenuste tootjate või osutajate vahelise koostöö koordineerimist. Nõrkuste koordineeritud avalikustamise all peetakse silmas struktureeritud protsessi, mille käigus teatatakse potentsiaalselt nõrkade IKT-toodete või IKT-teenuste tootjale või osutajale nõrkustest viisil, mis võimaldab neil nõrkust diagnoosida ja selle kõrvaldada enne, kui nõrkusega seotud üksikasjalik teave avalikustatakse kolmandatele isikutele või üldsusele. Nõrkuste koordineeritud avalikustamise protsess peaks hõlmama ka füüsiliste ja juriidiliste isikute ning potentsiaalselt nõrkade IKT-toodete või IKT-teenuste tootja või osutaja vahelist koordineerimist nõrkuste kõrvaldamise ja avalikustamise ajastamise asjus.

(59)

Komisjon, ENISA ja liikmesriigid peaksid ka edaspidi edendama küberturvalisuse riskijuhtimise valdkonna rahvusvaheliste standardite ja tööstusvaldkonna praeguste parimate tavadega kooskõla saavutamist, näiteks tarneahela turvalisuse hindamise, teabevahetuse ja nõrkuste avalikustamise valdkonnas.

(60)

Liikmesriigid peaksid võtma koostöös ENISAga meetmeid, et nõrkuste koordineeritud avalikustamist hõlbustada, kehtestades selleks asjakohase riikliku poliitika. Oma riikliku poliitika raames peaksid liikmesriigid kooskõlas oma õigusega püüdma võimalikult suures ulatuses lahendada probleeme, millega puutuvad kokku nõrkuste valdkonnas uuringuid läbi viivad isikud, sealhulgas probleeme, mis on seotud nende võimaliku kriminaalvastutusega. Võttes arvesse, et mõnes liikmesriigis võib nõrkuste valdkonnas uuringuid läbi viivate füüsiliste ja juriidiliste isikute suhtes kohaldada kriminaal- ja tsiviilvastutust, soovitatakse liikmesriikidel võtta vastu suunised, mis käsitlevad infoturbeuurijate nende tegevuse eest vastutusele võtmisest loobumist ja tsiviilvastutusest vabastamist.

(61)

Liikmesriigid peaksid määrama ühe oma CSIRTidest koordinaatoriks, kes tegutseb vajaduse korral usaldatud vahendajana teavitavate üksuste ja IKT-toodete või IKT-teenuste tootjate või osutajate vahel, keda nõrkus tõenäoliselt mõjutab. Koordinaatoriks määratud CSIRTi ülesanneteks peaks eelkõige olema teha kindlaks asjaomased üksused ja võtta nendega ühendust, toetada nõrkusest teavitavaid füüsilisi ja juriidilisi isikuid, pidada läbirääkimisi avalikustamise tähtaegade üle ning hallata mitmeid üksusi mõjutavate nõrkustega seonduvat tegevust (mitut poolt puudutavate nõrkuste koordineeritud avalikustamine). Kui teatatud nõrkus võib oluliselt mõjutada üksusi rohkem kui ühes liikmesriigis, peaksid koordinaatoriks määratud CSIRTid tegema, kui see on kohane, koostööd CSIRTide võrgustiku raames.

(62)

Juurdepääs õigele ja õigeaegsele teabele IKT-tooteid ja IKT-teenuseid mõjutavate nõrkuste kohta aitab küberturvalisuse riskijuhtimist tõhustada. Nõrkuste kohta avalikult kättesaadava teabe allikad on üksuste ja nende teenuste kasutajate, aga ka riiklike pädevate asutuste ja CSIRTide jaoks oluline vahend. Sel põhjusel peaks ENISA looma Euroopa nõrkuste andmebaasi, kus üksused, olenemata sellest, kas nad kuuluvad käesoleva direktiivi kohaldamisalasse, ja nende võrgu- ja infosüsteemide tarnijad, ning pädevad asutused ja CSIRTid võivad üldtuntud nõrkusi vabatahtlikult avalikustada ning registreerida, mis võimaldab kasutajatel võtta asjakohaseid leevendusmeetmeid. Andmebaasi eesmärk on käsitleda ainulaadseid probleeme, mida riskid liidu üksustele tekitavad. Ühtlasi peaks ENISA kehtestama avaldamisprotsessiga seoses sobiva menetluse, millega anda üksustele aega võtta oma nõrkuste kõrvaldamiseks leevendusmeetmeid ning kasutada tänapäevaseid küberturvalisuse riskijuhtimismeetmeid ning võtta kasutusele masinloetavad andmekogud ja vastavad liidesed. Selleks et edendada nõrkuste avalikustamise kultuuri, ei tohiks avalikustamisel olla nõrkusest teatavale füüsilisele või juriidilisele isikule kahjulikke tagajärgi.

(63)

Kuigi sarnaseid nõrkuste registreid või andmebaase on ka juba loodud, majutavad ja haldavad neid üksused, mille asukoht ei ole liidus. ENISA hallatav Euroopa nõrkuste andmebaas tagaks nõrkuste ametlikule avalikustamisele eelneva avalikustamisprotsessi suurema läbipaistvuse ning suurendaks vastupidavust sarnaste teenuste osutamist mõjutava häire või katkestuse korral. Et vältida topelttööd ja püüda saavutada võimalikult suures ulatuses vastastikune täiendavus, peaks ENISA uurima võimalust sõlmida struktureeritud koostöökokkuleppeid kolmandate riikide jurisdiktsiooni alla kuuluvate sarnaste registrite või andmebaasidega. Eelkõige peaks ENISA uurima võimalust teha tihedat koostööd ühiste nõrkuste ja riskide süsteemi operaatoritega.

(64)

Koostöörühm peaks hõlbustama ja toetama strateegilist koostööd ja teabevahetust ning suurendama liikmesriikide vahelist usaldust ja kindlustunnet. Koostöörühm peaks koostama iga kahe aasta järel tööprogrammi. Tööprogramm peaks hõlmama koostöörühma poolt oma eesmärkide ja ülesannete täitmiseks võetavaid meetmeid. Käesoleva direktiivi kohase esimese tööprogrammi koostamise ajakava tuleks viia vastavusse direktiivi (EL) 2016/1148 alusel koostatud viimase tööprogrammi ajakavaga, et vältida võimalikke häireid koostöörühma töös.

(65)

Juhenddokumentide väljatöötamisel peaks koostöörühm olemasolevate reeglite tõhusamaks rakendamiseks järjepidevalt kaardistama riiklikud lahendused ja kogemused, hindama koostöörühma tegevuse tulemuste mõju riiklikele lähenemisviisidele, arutama rakendamisega seotud probleeme ning sõnastama konkreetsed soovitused olemasolevate reeglite tõhusamaks rakendamiseks, eelkõige hõlbustamaks käesoleva direktiivi ühtlast ülevõtmist liikmesriikides. Koostöörühm peaks riiklikud lahendused ka kaardistama, et edendada kogu liidus igas konkreetses sektoris kasutatavate küberturvalisuse lahenduste ühilduvust. See on eriti oluline rahvusvahelise või piiriülese olemusega sektoritele.

(66)

Koostöörühm peaks jääma paindlikuks foorumiks ning suutma reageerida muutuvatele ja uutele poliitilistele prioriteetidele ja probleemidele, võttes seejuures arvesse vahendite kättesaadavust. Ta võiks korraldada korrapäraseid ühiskohtumisi asjaomaste erasektori sidusrühmadega kogu liidust, et arutada koostöörühma tegevust ning koguda andmeid ja sisendit esilekerkivate poliitiliste probleemide kohta. Lisaks peaks koostöörühm korrapäraselt hindama küberohtude või intsidentide, näiteks lunavara olukorda. Et tõhustada koostööd liidu tasandil, peaks koostöörühm kaaluma võimalust kutsuda oma töös osalema küberturvalisuse poliitika kujundamisega seotud asjaomased liidu institutsioonid, organid ja asutused, näiteks Euroopa Parlament, Europol, Euroopa Andmekaitsenõukogu, määrusega (EL) 2018/1139 loodud Euroopa Liidu Lennundusohutusamet ning Euroopa Parlamendi ja nõukogu määrusega (EL) 2021/696 (14) loodud Euroopa Liidu Kosmoseprogrammi Amet.

(67)

Pädevatel asutustel ja CSIRTidel peaks olema võimalik liikmesriikidevahelise koostöö parandamiseks ja usalduse suurendamiseks osaleda teiste liikmesriikidega ametnike vahetamise programmis konkreetses raamistikus ja, kui see on kohaldatav, tingimusel et niisugustes vahetusprogrammides osalevad ametnikud läbivad kohustusliku julgeolekukontrolli. Pädevad asutused peaksid võtma vajalikud meetmed, et võimaldada teiste liikmesriikide ametnikel täita vastuvõtva pädeva asutuse või vastuvõtva CSIRTi tegevuses tulemuslikku rolli.

(68)

Liikmesriigid peaksid aitama kaasa komisjoni soovituses (EL) 2017/1584 (15) ette nähtud küberturvalisuse kriisidele reageerimise ELi raamistiku loomisele olemasolevate koostöövõrgustike, eelkõige Euroopa küberkriisiga tegelevate kontaktasutuste võrgustikule (EU-CyCLONe), CSIRTide võrgustiku ja koostöörühma tegevuse kaudu. EU-CyCLONe ja CSIRTide võrgustik peaksid tegema koostööd menetluskorra alusel, milles määratakse kindlaks kõnealuse koostöö üksikasjad, ning vältima ülesannete dubleerimist. EU-CyCLONe menetluskorras tuleks täpsustada võrgustiku toimimist puudutav kord, muu hulgas rollid, koostööviisid, teiste asjaomaste osalejatega suhtlemine, teabevahetuse vormid ja kommunikatsioonivahendid. Liidu tasandi kriisiohje puhul peaksid asjaomased pooled lähtuma nõukogu rakendusotsuses (EL) 2018/1993 (16) sätestatud kriisidele poliitilist reageerimist käsitlevast ELi integreeritud korrast (edaspidi „IPCRi kord“). Komisjon peaks selleks rakendama üldise kiirhoiatussüsteemi ARGUS kõrgetasemelise valdkondadevahelise kriisikoordineerimise menetlusprotsessi. Kui kriisil on oluline välispoliitiline või ühise julgeoleku- ja kaitsepoliitikaga seotud mõõde, tuleks käivitada Euroopa välisteenistuse kriisidele reageerimise mehhanism.

(69)

Soovituse (EL) 2017/1584 lisa kohaselt tuleks ulatusliku küberturbeintsidendina mõista intsidenti, mille põhjustatud häired on niivõrd laialdased, et ühe liikmesriigi suutlikkusest nendega toimetulekuks ei piisa, või millel on märkimisväärne mõju vähemalt kahele liikmesriigile. Olenevalt nende põhjusest ja mõjust võivad ulatuslikud küberturbeintsidendid eskaleeruda ning muutuda täieulatuslikuks kriisiks, mis takistab siseturu tõrgeteta toimimist või kujutab endast mitme liikmesriigi või kogu liidu üksustele või kodanikele tõsist avaliku julgeoleku- või turvalisusriski. Võttes arvesse selliste intsidentide ulatuslikku haaret ja (enamikul juhtudel) piiriülest laadi, peaksid liikmesriigid ning asjaomased liidu institutsioonid, organid ja asutused tegema koostööd nii tehnilisel, operatiiv- kui ka poliitilisel tasandil, et reageerimist liidu ulatuses nõuetekohaselt koordineerida.

(70)

Liidu tasandi ulatuslike küberturbeintsidentide ja kriiside puhul tuleb kiire ja tõhusa reageerimise tagamiseks võtta koordineeritud meetmeid, kuna sektorite ja liikmesriikide omavaheline sõltuvus on väga suur. Kübervastupidavusvõimeliste võrgu- ja infosüsteemide olemasolu ning andmete kättesaadavus, konfidentsiaalsus ja terviklus on väga olulised liidu julgeoleku ning liidu kodanike, ettevõtjate ja institutsioonide kaitsmiseks intsidentide ja küberohtude eest ning samuti selleks, et suurendada üksikisikute ja organisatsioonide usaldust liidu võimekuse vastu edendada ja kaitsta üleilmset, avatud, vaba, stabiilset ja turvalist küberruumi, mis põhineb inimõigustel, põhivabadustel, demokraatial ja õigusriigil.

(71)

EU-CyCLONe peaks ulatuslike küberturbeintsidentide ja kriiside korral toimima vahendajana tehnilise ja poliitilise tasandi vahel ning tõhustama operatiivtasandi koostööd ja toetama otsuste tegemist poliitilisel tasandil. Võttes arvesse komisjoni pädevust kriisiohje valdkonnas, peaks EU-CyCLONe koostöös komisjoniga tuginema CSIRTide võrgustiku järeldustele ja kasutama oma võimekust, et koostada ulatuslike küberturbeintsidentide ja kriiside mõjuanalüüs.

(72)

Küberründed on oma olemuselt piiriülesed ning oluline intsident võib häirida ja kahjustada elutähtsaid teabetaristuid, millest sõltub siseturu sujuv toimimine. Kõigi asjaomaste osalejate rolli käsitletakse soovituses (EL) 2017/1584. Lisaks vastutab komisjon Euroopa Parlamendi ja nõukogu otsusega nr 1313/2013/EL (17) loodud liidu elanikkonnakaitse mehhanismi raames üldiste valmisolekumeetmete eest, mis hõlmavad hädaolukordadele reageerimise koordineerimiskeskuse ning ühise hädaolukordade side- ja infosüsteemi haldamist, olukorrateadlikkuse ja analüüsivõime säilitamist ja edasiarendamist ning liikmesriigi või kolmanda riigi abitaotluse korral eksperdirühmade mobiliseerimise ja lähetamise võimekuse loomist ja haldamist. Komisjon vastutab ka rakendusotsuse (EL) 2018/1993 kohase IPCRi korra analüüsiaruannete esitamise eest, muu hulgas seoses küberturvalisuse olukorrateadlikkuse ja valmisolekuga, samuti olukorrateadlikkuse ja kriisidele reageerimisega põllumajanduse, ebasoodsate ilmastikutingimuste, konfliktide kaardistamise ja prognooside, loodusõnnetuste varajase hoiatamise süsteemide, tervisealaste hädaolukordade, nakkushaiguste seire, taimetervise, keemiliste ainetega seotud juhtumite, toidu- ja söödaohutuse, loomatervise, rände, tolli, tuumaavariide ja kiirguslike avariiolukordade ning energeetika valdkonnas.

(73)

Kui see on asjakohane, võib liit kooskõlas ELi toimimise lepingu artikliga 218 sõlmida kolmandate riikide või rahvusvaheliste organisatsioonidega rahvusvahelisi lepinguid, mis võimaldab neil osaleda ja korraldada osalust mõningates koostöörühma, CSIRTide võrgustiku ning EU-CyCLONe tegevuses. Selliste lepingutega tuleks tagada liidu huvid ja piisaval tasemel andmekaitse. See ei tohiks välistada liikmesriikide õigust teha nõrkuste haldamisel ja küberturvalisuse riskijuhtimisel koostööd kolmandate riikidega, hõlbustades liidu õiguse kohast teatamist ja üldist teabevahetust.

(74)

Selleks et hõlbustada käesoleva direktiivi tulemuslikku rakendamist muu hulgas sellistes valdkondades nagu nõrkuste haldamine, küberturvalisuse riskijuhtimismeetmed, teatamiskohustus ja küberturvalisuse alase teabevahetuse kokkulepped, võivad liikmesriigid teha koostööd kolmandate riikidega ja võtta meetmeid, mida peetakse sel eesmärgil asjakohaseks, sealhulgas küberohtude, intsidentide, nõrkuste, vahendite ja meetodite, taktika, võtete ja menetlustega seotud teabevahetus, küberturvalisuse kriiside ohjamisega seotud valmisolek ja õppused, koolitus, usalduse loomine ja struktureeritud teabevahetuse kokkulepped.

(75)

Kasutusele tuleks võtta vastastikune hindamine, et aidata õppida ühistest kogemustest, tugevdada vastastikust usaldust ja saavutada küberturvalisuse ühtlaselt kõrge tase. Vastastikune hindamine võib anda väärtuslikke teadmisi ja viia soovitusteni, mis tugevdavad üldist küberturvalisuse võimekust, luues uue funktsionaalse tee parimate tavade jagamiseks liikmesriikide vahel ning aidates tõsta liikmesriikide küberturvalisuse taset. Lisaks peaks vastastikuses hindamises võtma arvesse sarnaste mehhanismide, näiteks CSIRTide võrgustiku vastastikuse hindamise süsteemi tulemusi, looma lisaväärtust ja vältima dubleerimist. Vastastikuse hindamise rakendamine ei tohiks piirata konfidentsiaalse ja salastatud teabe kaitset käsitlevate riiklike või liidu õigusaktide kohaldamist.