1.   Yhteisen digitaalisen häiriönsietokyvyn korkean tason saavuttamiseksi tässä asetuksessa vahvistetaan yhdenmukaiset vaatimukset, jotka koskevat finanssiyhteisöjen liiketoimintaprosesseja tukevien verkko- ja tietojärjestelmien turvallisuutta, seuraavasti:

2.   Niiden finanssiyhteisöjen osalta, jotka määritellään direktiivin (EU) 2022/2555 3 artiklan kansalliseen lainsäädäntöön sisällyttävissä kansallisissa säännöissä keskeisiksi ja tärkeiksi toimijoiksi, tätä asetusta pidetään alakohtaisena unionin säädöksenä mainitun direktiivin 4 artiklan soveltamista varten.

3.   Tämä asetus ei vaikuta jäsenvaltioiden vastuuseen keskeisistä valtion tehtävistä yleisen turvallisuuden, puolustuksen ja kansallisen turvallisuuden alalla unionin oikeuden mukaisesti.

1.   Tätä asetusta sovelletaan seuraaviin yhteisöihin, sanotun kuitenkaan rajoittamatta 3 ja 4 kohdan soveltamista:

2.   Edellä 1 kohdan a–t alakohdassa tarkoitetuista yhteisöistä käytetään tätä asetusta sovellettaessa yhteisesti nimitystä ’finanssiyhteisöt’.

3.   Tätä asetusta ei sovelleta

4.   Jäsenvaltiot voivat jättää tämän asetuksen soveltamisalan ulkopuolelle direktiivin 2013/36/EU 2 artiklan 5 kohdan 4–23 alakohdassa tarkoitetut yhteisöt, jotka sijaitsevat niiden alueella. Jos jäsenvaltio käyttää tällaista mahdollisuutta, sen on ilmoitettava komissiolle siitä ja soveltamisalan ulkopuolelle jättämisen mahdollisista myöhemmistä muutoksista. Komissio asettaa kyseiset tiedot julkisesti saataville verkkosivustollaan tai muilla helposti saatavilla olevilla keinoilla.

1.   Finanssiyhteisöjen on pantava täytäntöön II luvussa säädetyt säännöt suhteellisuusperiaatteen mukaisesti ottaen huomioon kokonsa ja yleinen riskiprofiilinsa sekä palvelujensa, toimintansa ja toimintojensa luonne, laajuus ja monitahoisuus.

2.   Lisäksi sen, että finanssiyhteisöt soveltavat III, IV ja V luvun I jaksoa, on oltava oikeassa suhteessa niiden kokoon ja yleiseen riskiprofiiliin sekä niiden palvelujen, toiminnan ja toimintojen luonteeseen, laajuuteen ja monitahoisuuteen, kuten kyseisten lukujen asiaa koskevissa säännöissä nimenomaisesti säädetään.

3.   Toimivaltaisten viranomaisten on otettava huomioon, miten finanssiyhteisöt soveltavat suhteellisuusperiaatetta, kun ne tarkastelevat TVT-riskinhallintajärjestelmän johdonmukaisuutta toimivaltaisten viranomaisten pyynnöstä toimitettujen kertomusten perusteella 6 artiklan 5 kohdan ja 16 artiklan 2 kohdan nojalla.

1.   Finanssiyhteisöillä on oltava sisäinen hallinto- ja valvontakehys, jolla varmistetaan TVT-riskin tehokas ja järkevä hallinnointi 6 artiklan 4 kohdan mukaisesti, jotta voidaan saavuttaa digitaalisen häiriönsietokyvyn korkea taso.

2.   Finanssiyhteisön ylimmän hallintoelimen on määriteltävä ja vahvistettava kaikki 6 artiklan 1 kohdassa tarkoitettuun TVT-riskinhallintajärjestelmään liittyvät järjestelyt, valvottava niiden toteuttamista ja vastattava niistä.

Ensimmäisen alakohdan soveltamiseksi ylimmän hallintoelimen on

3.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on perustettava tehtävä, johon kuuluu TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyjen TVT-palvelujen käyttöä koskevien järjestelyjen valvonta, tai nimettävä ylemmän johdon jäsen vastaamaan niihin liittyvän kokonaisriskin ja niitä koskevan dokumentaation valvonnasta.

4.   Finanssiyhteisön ylimmän hallintoelimen jäsenten on aktiivisesti ylläpidettävä riittäviä tietoja ja osaamista, jotka ovat tarpeen TVT-riskin ja siitä finanssiyhteisön toiminnalle aiheutuvien vaikutusten ymmärtämistä ja arvioimista varten, mukaan lukien säännöllinen osallistuminen erityiskoulutukseen, joka vastaa hallittavaa TVT-riskiä.

1.   Finanssiyhteisöillä on oltava osana yleistä riskinhallintajärjestelmäänsä vankka, kattava ja hyvin dokumentoitu TVT-riskinhallintajärjestelmä, jonka avulla ne voivat puuttua TVT-riskiin nopeasti, tehokkaasti ja kattavasti ja varmistaa korkeatasoisen digitaalisen häiriönsietokyvyn.

2.   TVT-riskinhallintajärjestelmän tulee sisältää ainakin strategiat, toimintaperiaatteet, menettelyt, TVT-protokollat ja välineet, jotka ovat tarpeen kaiken tieto-omaisuuden ja TVT-omaisuuden, myös ohjelmistojen, tietokonelaitteistojen ja palvelimien, asianmukaiseksi ja riittäväksi suojelemiseksi, sekä kaikkien asiaankuuluvien fyysisten komponenttien ja infrastruktuurien, kuten tilojen, datakeskusten ja nimettyjen herkkien alueiden suojelemiseksi niin, että voidaan varmistaa kaiken tieto-omaisuuden ja TVT-omaisuuden tarkoituksenmukainen suojelu riskeiltä, myös vahingoittumiselta ja luvattomalta pääsyltä tai käytöltä.

3.   Finanssiyhteisöjen on TVT-riskinhallintajärjestelmänsä mukaisesti minimoitava TVT-riskin vaikutus ottamalla käyttöön asianmukaisia strategioita, toimintaperiaatteita, menettelyjä, TVT-protokollia ja välineitä. Niiden on toimitettava toimivaltaisille viranomaisille näiden pyynnöstä TVT-riskiä ja TVT-riskinhallintajärjestelmäänsä koskevat kattavat ja ajantasaiset tiedot.

4.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on annettava vastuu TVT-riskin hallinnasta ja valvonnasta valvontatoiminnolle ja varmistettava tällaisen valvontatoiminnon asianmukainen riippumattomuuden taso eturistiriitojen välttämiseksi. Finanssiyhteisöjen on huolehdittava siitä, että TVT-riskinhallintotehtävät, valvontatehtävät ja sisäisen tarkastuksen tehtävät ovat asianmukaisella tavalla eroteltuja ja riippumattomia kolmen puolustuslinjan mallin tai sisäisen riskinhallinnan ja valvonnan mallin mukaisesti.

5.   TVT-riskinhallintajärjestelmän on oltava dokumentoitu ja sitä on tarkasteltava uudelleen vähintään kerran vuodessa, tai mikroyritysten osalta määräajoin, ja laajavaikutteisten TVT:hen liittyvien poikkeamien sattuessa sekä digitaalisen häiriönsietokyvyn testauksen tai auditointiprosessien perusteella annettujen valvontaohjeiden tai päätelmien pohjalta. Sitä on parannettava jatkuvasti täytäntöönpanosta ja seurannasta saatujen kokemusten perusteella. Toimivaltaiselle viranomaiselle on toimitettava sen pyynnöstä kertomus TVT-riskinhallintajärjestelmän uudelleentarkastelusta.

6.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen TVT-riskinhallintajärjestelmä on otettava säännöllisesti sisäisten tarkastajien toimesta sisäisen tarkastuksen piiriin finanssiyhteisöjen tarkastussuunnitelman mukaisesti. Kyseisillä tarkastajilla on oltava riittävät tiedot, taidot ja asiantuntemus TVT-riskistä ja heidän on oltava asianmukaisesti riippumattomia. TVT-auditointien tiheys ja painopisteet on määritettävä finanssiyhteisön TVT-riskiä vastaavasti.

7.   Finanssiyhteisöjen on otettava käyttöön sisäisen tarkastuksen päätelmien perusteella virallinen seurantaprosessi, johon sisältyvät säännöt kriittisten TVT-tarkastushavaintojen oikea-aikaisesta todentamisesta ja korjaamisesta.

8.   TVT-riskinhallintajärjestelmän on sisällettävä digitaalisen häiriönsietokyvyn strategia, jossa esitetään, miten järjestelmä pannaan täytäntöön. Sitä varten digitaalisen häiriösietokyvyn strategiaan on sisällyttävä menetelmät, joiden avulla puututaan TVT-riskiin ja saavutetaan erityiset TVT-tavoitteet siten, että

9.   Finanssiyhteisöt voivat 8 kohdassa tarkoitetun digitaalisen häiriönsietokyvyn strategian yhteydessä määritellä konsernin tai yhteisön tasolla kokonaisvaltaisen usean toimittajan tarjoamien TVT-toimitusten strategian, jossa esitetään keskeiset riippuvuudet TVT-palveluntarjoajana olevista kolmansista osapuolista ja selitetään periaatteet, joiden mukaan TVT-palveluntarjoajana olevien kolmansien osapuolten yhdistelmä valitaan.

10.   Finanssiyhteisöt voivat unionin oikeuden ja kansallisen alakohtaisen lainsäädännön mukaisesti ulkoistaa TVT-riskinhallintavaatimusten noudattamisen todentamistehtävät konsernin sisäisille tai ulkopuolisille yrityksille. Tällaisen ulkoistamisen tapauksessa finanssiyhteisö on edelleen täysin vastuussa TVT-riskinhallintavaatimusten noudattamisen todentamisesta.

1.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää yksilöitävä, luokiteltava ja asianmukaisesti dokumentoitava kaikki TVT:n tukemat liiketoiminnot, tehtävät ja vastuut, kyseisiä toimintoja tukevat tieto-omaisuus ja TVT-omaisuus sekä tehtävänsä ja riippuvuutensa suhteessa TVT-riskiin. Finanssiyhteisöjen on tarkasteltava uudelleen tämän luokittelun ja sitä koskevan dokumentaation asianmukaisuutta tarvittaessa ja vähintään kerran vuodessa.

2.   Finanssiyhteisöjen on jatkuvasti yksilöitävä kaikki TVT-riskin lähteet, erityisesti muihin finanssiyhteisöihin liittyvät riskit, ja arvioitava niiden TVT:n tukemiin liiketoimintoihin, tieto-omaisuuteen ja TVT-omaisuuteen liittyviä kyberuhkia ja TVT-haavoittuvuuksia. Finanssiyhteisöjen on tarkasteltava niihin vaikuttavia riskiskenaarioita säännöllisesti ja vähintään kerran vuodessa.

3.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on tehtävä riskinarviointi aina kun verkko- ja tietojärjestelmäinfrastruktuurissa tai niiden TVT:n tukemiin liiketoimintoihin, tieto-omaisuuteen tai TVT-omaisuuteen vaikuttavissa prosesseissa tai menettelyissä tapahtuu merkittäviä muutoksia.

4.   Finanssiyhteisöjen on yksilöitävä kaikki tieto-omaisuus ja TVT-omaisuus, myös etäkohteissa oleva, sekä verkkoresurssit ja laitteistot, ja kartoitettava ne, joita pidetään kriittisinä. Niiden on kartoitettava tieto-omaisuuden ja TVT-omaisuuden kokoonpano ja erilaisten tieto-omaisuus- ja TVT-omaisuustyyppien keskinäiset yhteydet ja riippuvuussuhteet.

5.   Finanssiyhteisöjen on yksilöitävä ja dokumentoitava kaikki TVT-palveluntarjoajana olevista kolmansista osapuolista riippuvaiset prosessit ja yksilöitävä yhteenkytkennät sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa, jotka tarjoavat kriittisiä tai tärkeitä toimintoja tukevia palveluja.

6.   Finanssiyhteisöjen on pidettävä yllä ja päivitettävä säännöllisesti 1, 4 ja 5 kohdan soveltamista varten tarvittavia omaisuusluetteloita ja päivitettävä ne säännöllisesti ja aina, kun 3 kohdassa tarkoitettuja merkittäviä muutoksia tapahtuu.

7.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on tehtävä säännöllisesti ja vähintään kerran vuodessa erityinen TVT-riskinarviointi, joka kattaa kaikki aiemman sukupolven TVT-järjestelmät, joka tapauksessa ennen teknologian, sovellusten tai järjestelmien yhteenliittämistä ja sen jälkeen.

1.   Jotta voidaan asianmukaisesti suojata TVT-järjestelmiä ja organisoida reagointitoimet, finanssiyhteisöjen on jatkuvasti seurattava ja valvottava TVT-järjestelmien ja -välineiden turvallisuutta ja toimintaa ja minimoitava TVT-riskin vaikutus TVT-järjestelmiin ottamalla käyttöön asianmukaiset TVT-turvallisuutta koskevat välineet, toimintatavat ja menettelyt.

2.   Finanssiyhteisöjen on suunniteltava, hankittava ja toteutettava TVT-turvallisuutta koskevat toimintatavat, menettelyt, protokollat ja välineet, joiden tarkoituksena on varmistaa TVT-järjestelmien ja erityisesti kriittisiä tai tärkeitä toimintoja tukevien TVT-järjestelmien häiriönsietokyky, jatkuvuus ja käytettävyys ja säilyttää datan saatavuus, aitous, eheys ja luottamuksellisuus korkealla tasolla riippumatta siitä, onko kyseessä lepäävä, käytössä oleva vai siirrettävä data.

3.   Edellä 2 kohdassa tarkoitettujen tavoitteiden saavuttamiseksi finanssiyhteisöjen on käytettävä 4 artiklan mukaisesti asianmukaisia TVT-ratkaisuja ja -prosesseja. Kyseisten TVT-ratkaisujen ja -prosessien on

4.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää

Ensimmäisen alakohdan b alakohdan soveltamiseksi finanssiyhteisöjen on suunniteltava verkkoyhteysinfrastruktuuri siten, että se voidaan irrottaa tai segmentoida välittömästi, jotta voidaan minimoida ja estää häiriöiden leviäminen erityisesti toisiinsa sidoksissa olevien rahoitusprosessien yhteydessä.

Ensimmäisen alakohdan e alakohdan soveltamiseksi TVT-muutoksenhallintaprosessin on saatava asianmukaisten hallintolinjojen hyväksyntä ja siinä on oltava erityiset protokollat.

1.   Finanssiyhteisöillä on oltava käytössään mekanismit, joiden avulla ne voivat nopeasti havaita poikkeavan toiminnan 17 artiklan mukaisesti, mukaan lukien TVT-verkon suorituskykyyn liittyvät ongelmat ja TVT:hen liittyvät poikkeamat, ja yksilöidä potentiaaliset olennaiset vikakohdat.

Kaikki ensimmäisessä alakohdassa tarkoitetut havaitsemismekanismit on testattava säännöllisesti 25 artiklan mukaisesti.

2.   Edellä 1 kohdassa tarkoitettujen havaitsemismekanismien on mahdollistettava monikerroksinen valvonta, ja niissä on määriteltävä hälytystasot ja -kriteerit, joiden perusteella käynnistetään menettelyt TVT:hen liittyviin poikkeamiin reagoimiseksi, mukaan lukien automaattiset hälytysmekanismit TVT:hen liittyviin poikkeamiin reagoinnista vastaavaa asiaankuuluvaa henkilöstöä varten.

3.   Finanssiyhteisöjen on osoitettava riittävät resurssit ja valmiudet käyttäjien toiminnan, TVT-anomalioiden ja TVT:hen liittyvien poikkeamien ja erityisesti kyberhyökkäysten valvontaa varten.

4.   Raportointipalvelujen tarjoajilla on lisäksi oltava käytössä järjestelmät, joiden avulla voidaan tehokkaasti tarkistaa kaupankäynti-ilmoitusten kattavuus, osoittaa puutteet ja ilmeiset virheet sekä pyytää kyseisten ilmoitusten uudelleenlähettämistä.

1.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää ja 8 artiklassa vahvistettujen yksilöintivaatimusten pohjalta otettava käyttöön kattavat TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet, jotka voidaan hyväksyä erillisinä erityisinä toimintaperiaatteina ja jotka ovat olennainen osa finanssiyhteisön yleisiä liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita.

2.   Finanssiyhteisöjen on toteutettava TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet sellaisten erityisten, asianmukaisten ja dokumentoitujen järjestelyjen, suunnitelmien, menettelyjen ja mekanismien avulla, joiden tavoitteena on

3.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää toteutettava siihen liittyvät TVT-reagointi- ja palautumissuunnitelmat, joille on tehtävä riippumaton sisäinen auditointi, jos finanssiyhteisö on muu kuin mikroyritys.

4.   Finanssiyhteisöjen on laadittava asianmukainen TVT-liiketoiminnan jatkuvuutta koskevat suunnitelmat, pidettävä niitä yllä ja testattava niitä määräajoin, erityisesti sellaisten kriittisten tai tärkeiden toimintojen osalta, jotka on ulkoistettu tai joiden toteuttamisesta on tehty sopimusjärjestely TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa.

5.   Finanssiyhteisöjen on osana yleisiä liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita tehtävä liiketoimintaan kohdistuvien vaikutusten analyysi (liiketoiminnan vaikutusanalyysi) altistumisestaan vakaville liiketoiminnan häiriöille. Finanssiyhteisöjen on liiketoiminnan vaikutusanalyysin mukaisesti arvioitava vakavien liiketoiminnan häiriöiden mahdolliset vaikutukset määrällisin ja laadullisin perustein käyttäen tapauksen mukaan sisäistä ja ulkoista dataa ja skenaarioanalyysejä. Liiketoiminnan vaikutusanalyysissä on otettava huomioon yksilöityjen ja kartoitettujen liiketoimintojen, tukiprosessien, kolmansista osapuolista riippuvuuden ja tieto-omaisuuden kriittisyys sekä niiden keskinäiset riippuvuussuhteet. Finanssiyhteisöjen on varmistettava, että TVT-omaisuus ja TVT-palvelut suunnitellaan ja niitä käytetään täysin liiketoiminnan vaikutusanalyysin mukaisesti, erityisesti siten, että varmistetaan asianmukaisesti kaikkien kriittisten komponenttien varakapasiteetti.

6.   Finanssiyhteisöjen on osana kattavaa TVT-riskinhallintajärjestelmäänsä

Ensimmäisen alakohdan a alakohdan soveltamista varten muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on sisällytettävä testaussuunnitelmiin skenaariot, jotka koskevat kyberhyökkäyksiä ja vaihtoa ensisijaisen TVT-infrastruktuurin ja 12 artiklassa säädettyjen velvoitteiden täyttämiseksi tarvittavan varakapasiteetin, varmuuskopioiden ja varajärjestelmien välillä.

Finanssiyhteisöjen on tarkasteltava TVT-liiketoiminnan jatkuvuutta koskevia toimintaperiaatteitaan ja TVT-reagointi- ja palautumissuunnitelmiansa säännöllisesti uudelleen ottaen huomioon ensimmäisen alakohdan mukaisesti suoritettujen testien tulokset ja auditointien tai valvontatarkastusten perusteella annetut suositukset.

7.   Muilla kuin mikroyrityksiä olevilla finanssiyhteisöillä on oltava kriisinhallintatoiminto, jossa muun muassa esitetään niiden TVT-liiketoiminnan jatkuvuutta koskevien suunnitelmien tai TVT-reagointi- ja palautumissuunnitelmien käynnistämisen varalta selkeät menettelyt sisäisen ja ulkoisen kriisiviestinnän hoitamiseksi 14 artiklan mukaisesti.

8.   Finanssiyhteisöjen on pidettävä kirjaa helposti saatavilla olevassa muodossa ennen toiminnan keskeytymistä ja sen aikana toteutetuista toimista, kun niiden TVT-liiketoiminnan jatkuvuutta koskevat suunnitelmat ja TVT-reagointi- ja palautumissuunnitelmat on käynnistetty.

9.   Arvopaperikeskusten on toimitettava toimivaltaisille viranomaisille jäljennökset TVT-liiketoiminnan jatkuvuutta koskevien testien tai vastaavien toimenpiteiden tuloksista.

10.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on toimitettava toimivaltaisille viranomaisille näiden pyynnöstä arvio laajavaikutteisten TVT:hen liittyvien poikkeamien aiheuttamista vuotuisista kokonaiskustannuksista ja -tappioista.

11.   Euroopan valvontaviranomaiset laativat asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 16 artiklan mukaisesti yhteiskomiteassa viimeistään 17 päivänä heinäkuuta 2024 yhteiset suuntaviivat 10 kohdassa tarkoitettujen vuotuisten kokonaiskustannusten ja -tappioiden arvioimiseksi.

1.   Jotta TVT-järjestelmät ja data voidaan palauttaa niin, että palvelukatkos jää mahdollisimman lyhyeksi ja keskeytymisten ja menetysten määrää rajoitetaan, finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä laadittava ja dokumentoitava:

2.   Finanssiyhteisöjen on perustettava varmuuskopiointijärjestelmiä, jotka voidaan aktivoida varmuuskopiointikäytäntöjen ja -menettelyjen sekä palautus- ja toipumismenettelyjen ja -menetelmien mukaisesti. Varmuuskopiointijärjestelmien aktivointi ei saa vaarantaa verkko- ja tietojärjestelmien turvallisuutta eikä datan saatavuutta, aitoutta, eheyttä tai luottamuksellisuutta. Varmuuskopiointimenettelyjen sekä palautus- ja toipumismenettelyjen ja -menetelmien testaus on suoritettava säännöllisin väliajoin.

3.   Palauttaessaan varmuuskopioitua dataa omien järjestelmiensä avulla finanssiyhteisöjen on käytettävä TVT-järjestelmiä, jotka on fyysisesti ja loogisesti erotettu lähteenä olevasta TVT-järjestelmästä. TVT-järjestelmät on suojattava turvallisesti kaikelta luvattomalta pääsyltä tai TVT:hen liittyvältä korruptoitumiselta, ja niiden on tarpeen mukaan mahdollistettava dataa ja järjestelmien varmuuskopioita käyttävien palvelujen oikea-aikainen palauttaminen.

Keskusvastapuolten osalta toipumissuunnitelmien on mahdollistettava kaikkien liiketoimien toipuminen keskeytymisen tapahtuessa, jotta keskusvastapuoli voi turvallisesti jatkaa toimintaansa ja saattaa toimituksen loppuun määräpäivänä.

Raportointipalvelujen tarjoajien on lisäksi pidettävä yllä riittävät resurssit, ja niillä on oltava varmuuskopiointi- ja palautusjärjestelyt käytössä palvelujensa tarjoamiseksi ja ylläpitämiseksi kaikkina aikoina.

4.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on pidettävä yllä TVT-varakapasiteettia, jossa on riittävät resurssit, valmiudet ja toiminnot liiketoiminnan tarpeiden täyttämiseksi. Mikroyritysten on arvioitava tarve pitää yllä tällaista TVT-varakapasiteettia riskiprofiilinsa perusteella.

5.   Arvopaperikeskusten on pidettävä yllä ainakin yhtä toissijaista käsittelypaikkaa, jossa on riittävät resurssit, valmiudet, toiminnot ja henkilöstöjärjestelyt liiketoiminnan tarpeiden täyttämiseksi.

Toissijaisen käsittelypaikan on

6.   Määrittäessään kunkin toiminnon toipumisaika- ja toipumispistetavoitetta finanssiyhteisöjen on otettava huomioon, onko kyseessä kriittinen tai tärkeä toiminto, sekä mahdollinen kokonaisvaikutus markkinoiden tehokkuuteen. Tällaisilla aikatavoitteilla on varmistettava, että äärimmäisissä skenaarioissa saavutetaan sovitut palvelutasot.

7.   Toipuessaan TVT:hen liittyvästä poikkeamasta finanssiyhteisöjen on suoritettava tarvittavat tarkistukset, myös mahdollisesti useita tarkistuksia ja täsmäytyksiä, jotta voidaan varmistaa, että datan eheys säilyy korkeimmalla tasolla. Nämä tarkistukset on suoritettava myös silloin, kun dataa koostetaan ulkoisilta sidosryhmiltä, jotta voidaan varmistaa kaiken datan yhdenmukaisuus eri järjestelmien kesken.

1.   Finanssiyhteisöillä on oltava valmiudet ja henkilöstö, jotta ne voivat kerätä tietoa haavoittuvuuksista ja kyberuhkista, TVT:hen liittyvistä poikkeamista ja erityisesti kyberhyökkäyksistä, ja analysoida niiden todennäköistä vaikutusta digitaaliseen häiriönsietokykyynsä.

2.   Finanssiyhteisöjen on toteutettava sellainen TVT:hen liittyvien poikkeamien jälkitarkastelu sen jälkeen kun laajavaikutteinen TVT:hen liittyvä poikkeama aiheuttaa keskeytymisiä niiden ydintoiminnoissa, jossa analysoidaan keskeytymisen syyt ja määritetään tarvittavat TVT-toimien tai 11 artiklassa tarkoitettujen TVT-liiketoiminnan jatkuvuutta koskevien toimintaperiaatteiden parannukset.

Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on pyynnöstä ilmoitettava toimivaltaisille viranomaisille muutoksista, jotka on toteutettu ensimmäisessä alakohdassa tarkoitettujen TVT:hen liittyvien poikkeamien jälkiarviointien seurauksena.

Ensimmäisessä alakohdassa tarkoitettujen TVT:hen liittyvien poikkeamien jälkitarkastelussa on selvitettävä, noudatettiinko vakiintuneita menettelyjä ja olivatko toteutetut toimet tuloksellisia, muun muassa seuraavien seikkojen osalta:

3.   Kokemukset, jotka on saatu 26 ja 27 artiklan mukaisesti toteutetusta digitaalisen häiriönsietokyvyn testauksesta sekä todellisista TVT:hen liittyvistä poikkeamista, erityisesti kyberhyökkäyksistä, sekä TVT-liiketoiminnan jatkuvuutta koskevien suunnitelmien ja TVT-reagointi- ja -toipumissuunnitelmien käynnistämisen yhteydessä kohdatut haasteet ja vastapuolten kanssa vaihdetut ja valvontatarkastusten yhteydessä arvioidut tiedot on asianmukaisesti ja jatkuvasti sisällytettävä TVT-riskinarviointiprosessiin. Kyseisten havaintojen perusteella on tehtävä asianmukaiset tarkastukset 6 artiklan 1 kohdassa tarkoitetun TVT-riskinhallintajärjestelmän asianomaisiin komponentteihin.

4.   Finanssiyhteisöjen on seurattava 6 artiklan 8 kohdassa tarkoitetun digitaalista häiriönsietokykyä koskevan strategiansa toteutuksen tuloksellisuutta. Niiden on kartoitettava TVT-riskin kehitystä ajan mittaan, analysoitava TVT:hen liittyvien poikkeamien esiintymistiheyttä, tyyppejä, laajuutta ja kehitystä, erityisesti kyberhyökkäyksiä ja niiden toteuttamistapoja, voidakseen selvittää finanssiyhteisön TVT-riskille altistumisen tason, erityisesti kriittisten tai tärkeiden toimintojen osalta, ja tehostaa sen kybervalmiutta ja kyberuhkiin varautumista.

5.   Ylemmän TVT-henkilöstön on raportoitava ylimmälle hallintoelimelle ainakin vuosittain 3 kohdassa tarkoitetuista havainnoista ja esitettävä suosituksia.

6.   Finanssiyhteisöjen on laadittava TVT-turvallisuutta koskevia valistusohjelmia ja digitaalista häiriönsietokykyä käsittelevää koulutusta osana henkilöstön pakollista koulutusohjelmaa. Kyseisten ohjelmien ja koulutuksen on oltava pakollisia sekä kaikille työntekijöille että ylemmälle johdolle, ja niiden monimuotoisuuden on oltava suhteessa osallistujien tehtäviin. Finanssiyhteisöjen on tarvittaessa otettava TVT-palveluntarjoajana olevat kolmannet osapuolet mukaan asiaankuuluviin koulutusohjelmiinsa 30 artiklan 2 kohdan i alakohdan mukaisesti.

7.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on jatkuvasti seurattava teknologian kehitystä, myös voidakseen ymmärtää tällaisten uusien teknologioiden käyttöönoton mahdollisia vaikutuksia TVT-turvallisuusvaatimuksiin ja digitaaliseen häiriönsietokykyyn. Niiden on pysyteltävä ajan tasalla uusimmissa TVT-riskinhallintaprosesseissa, jotta nykyisiä tai uusia kyberhyökkäysten muotoja voidaan torjua tuloksellisesti.

1.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää toteutettava kriisiviestintäsuunnitelmia, joidenka avulla voidaan vastuullisesti tiedottaa ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista tai haavoittuvuuksista tarpeen mukaan asiakkaille ja vastapuolille sekä suurelle yleisölle.

2.   Finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmää toteutettava sekä sisäisen henkilöstön jäsenille että ulkoisille sidosryhmille suunnattua viestintäpolitiikkaa. Henkilöstölle suunnatussa viestintäpolitiikassa on tehtävä ero TVT-riskinhallintaan ja erityisesti reagointi- ja toipumistoimiin osallistuvan henkilöstön ja toisaalta sen henkilöstön välillä, jolle on tiedotettava kyseisistä toimista.

3.   Finanssiyhteisössä on oltava ainakin yksi henkilö, jonka tehtävänä on toteuttaa TVT:hen liittyviä poikkeamia koskeva viestintästrategia ja vastata tähän liittyvästä tiedottamisesta yleisölle ja tiedotusvälineille.

1.   Tämän asetuksen 5–15 artiklaa ei sovelleta pieniin ja ilman sidossuhteita oleviin sijoituspalveluyrityksiin eikä maksulaitoksiin, joihin sovelletaan vapautusta direktiivin (EU) 2015/2366 nojalla; laitoksiin, joihin sovelletaan vapautusta direktiivin 2013/36/EU nojalla ja joiden osalta jäsenvaltiot ovat päättäneet olla soveltamatta tämän asetuksen 2 artiklan 4 kohdassa tarkoitettua vaihtoehtoa; sähköisen rahan liikkeeseenlaskijalaitoksiin, joihin sovelletaan vapautusta direktiivin 2009/110/EY nojalla; eikä pieniin ammatillisia lisäeläkkeitä tarjoaviin laitoksiin.

Ensimmäisen alakohdan soveltamista rajoittamatta ensimmäisessä alakohdassa lueteltujen finanssiyhteisöjen on

2.   Edellä 1 kohdan toisen alakohdan a alakohdassa tarkoitettu TVT-riskinhallintajärjestelmä on dokumentoitava ja sitä on tarkistettava säännöllisesti ja laajavaikutteisten TVT:hen liittyvien poikkeamien yhteydessä valvontaohjeiden mukaisesti. Sitä on parannettava jatkuvasti täytäntöönpanosta ja seurannasta saatujen kokemusten perusteella. Toimivaltaiselle viranomaiselle on sen pyynnöstä toimitettava kertomus TVT-riskinhallintajärjestelmän uudelleentarkastelusta.

3.   Euroopan valvontaviranomaisten on yhteiskomitean välityksellä ja ENISAa kuullen laadittava yhteisten teknisten sääntelystandardien luonnoksia, jotta voidaan

Kyseisiä teknisten sääntelystandardien luonnoksia laatiessaan Euroopan valvontaviranomaisten on otettava huomioon finanssiyhteisön koko ja yleinen riskiprofiili sekä sen palvelujen, toiminnan ja toimintojen luonne, laajuus ja monitahoisuus.

Euroopan valvontaviranomaisten on toimitettava kyseisten teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä tammikuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

1.   Finanssiyhteisöjen on määriteltävä, laadittava ja toteutettava TVT:hen liittyvien poikkeamien hallintaprosessi, jonka avulla TVT:hen liittyviä poikkeamia voidaan havaita ja hallinnoida ja niistä voidaan ilmoittaa.

2.   Finanssiyhteisöjen on kirjattava kaikki TVT:hen liittyvät poikkeamat ja merkittävät kyberuhat. Finanssiyhteisöjen on laadittava asianmukaiset menettelyt ja prosessit, joilla taataan TVT:hen liittyvien poikkeamien yhdenmukainen ja yhdennetty valvonta, käsittely ja seuranta sen varmistamiseksi, että niiden perimmäiset syyt tunnistetaan, dokumentoidaan ja niihin puututaan, jotta tällaiset poikkeamat voidaan estää.

3.   Edellä 1 kohdassa tarkoitetussa TVT:hen liittyvien poikkeamien hallintaprosessissa on

1.   Finanssiyhteisöjen on luokiteltava TVT:hen liittyvät poikkeamat ja määriteltävä niiden vaikutukset seuraavien kriteerien perusteella:

2.   Finanssiyhteisöjen on luokiteltava kyberuhat merkittäviksi riskinalaisten palvelujen, mukaan lukien finanssiyhteisön liiketoimet ja toiminnot, kriittisyyden, kohteena olevien asiakkaiden tai finanssialan vastapuolten lukumäärän ja/tai merkityksellisyyden sekä riskialueiden maantieteellisen jakautumisen perusteella.

3.   Euroopan valvontaviranomaiset laativat yhteiskomiteassa ja EKP:tä ja ENISAa kuultuaan yhteisten teknisten sääntelystandardien luonnoksia, joissa määritetään seuraavat:

4.   Kun Euroopan valvontaviranomaiset laativat tämän artiklan 3 kohdassa tarkoitettuja yhteisten teknisten sääntelystandardien luonnoksia, niiden on otettava huomioon 4 artiklan 2 kohdassa vahvistetut kriteerit sekä kansainväliset standardit, ohjaus ja ENISAn laatimat ja julkaisemat eritelmät, tarpeen vaatiessa myös muita talouden aloja koskevat eritelmät. Sovellettaessa 4 artiklan 2 kohdassa vahvistettuja kriteerejä Euroopan valvontaviranomaisten on otettava asianmukaisesti huomioon mikroyritysten sekä pienten ja keskisuurten yritysten tarve ottaa käyttöön riittävät resurssit ja valmiudet sen varmistamiseksi, että TVT:hen liittyviä poikkeamia hallitaan nopeasti.

Euroopan valvontaviranomaiset toimittavat kyseiset yhteisten teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä tammikuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä 3 kohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

1.   Finanssiyhteisöjen on raportoitava laajavaikutteisista TVT:hen liittyvistä poikkeamista 46 artiklassa tarkoitetulle asianomaiselle toimivaltaiselle viranomaiselle tämän artiklan 4 kohdan mukaisesti.

Jos finanssiyhteisöä valvoo useampi kuin yksi 46 artiklassa tarkoitettu kansallinen toimivaltainen viranomainen, jäsenvaltioiden on nimettävä yksi toimivaltainen viranomainen asianomaiseksi toimivaltaiseksi viranomaiseksi, joka vastaa tässä artiklassa säädettyjen tehtävien ja velvollisuuksien suorittamisesta.

Luottolaitosten, jotka on luokiteltu merkittäviksi asetuksen (EU) N:o 1024/2013 6 artiklan 4 kohdan mukaisesti, on raportoitava laajavaikutteisista TVT:hen liittyvistä poikkeamista direktiivin 2013/36/EU 4 artiklan mukaisesti nimetylle asianomaiselle kansalliselle toimivaltaiselle viranomaiselle, jonka on välitettävä kyseinen raportti välittömästi EKP:lle.

Ensimmäistä alakohtaa sovellettaessa finanssiyhteisöjen on kaikkien asiaankuuluvien tietojen keräämisen ja analysoinnin jälkeen laadittava tämän artiklan 4 kohdassa tarkoitetut alustava ilmoitus ja raportit 20 artiklassa tarkoitettuja malleja käyttäen ja toimitettava ne toimivaltaiselle viranomaiselle. Jos tekninen mahdottomuus estää alustavan ilmoituksen toimittamisen mallia käyttäen, finanssiyhteisöjen on ilmoitettava siitä toimivaltaiselle viranomaiselle vaihtoehtoisin keinoin.

Jäljempänä 4 kohdassa tarkoitetuissa alustavassa ilmoituksessa ja raporteissa on esitettävä kaikki tiedot, jotka toimivaltainen viranomainen tarvitsee voidakseen määrittää laajavaikutteisen TVT:hen liittyvän poikkeaman merkityksen ja arvioida mahdollisia rajatylittäviä vaikutuksia.

Rajoittamatta ensimmäisen alakohdan mukaista raportointia, jonka finanssiyhteisö suorittaa asianomaiselle toimivaltaiselle viranomaiselle, jäsenvaltiot voivat lisäksi päättää, että joidenkin tai kaikkien finanssiyhteisöjen on myös toimitettava alustava ilmoitus ja kaikki tämän artiklan 4 kohdassa tarkoitetut raportit 20 artiklassa tarkoitettuja malleja käyttäen toimivaltaisille viranomaisille tai direktiivin (EU) 2022/2555 mukaisesti nimetyille tai perustetuille tietoturvaloukkauksiin reagoiville ja niitä tutkiville yksiköille, jäljempänä ’CSIRT-yksiköt’.

2.   Finanssiyhteisöt voivat vapaaehtoisesti ilmoittaa merkittävistä kyberuhkista asianomaiselle toimivaltaiselle viranomaiselle, jos ne pitävät uhkaa merkittävänä rahoitusjärjestelmän, palvelujen käyttäjien tai asiakkaiden kannalta. Asianomainen toimivaltainen viranomainen voi toimittaa tällaisia tietoja 6 kohdassa tarkoitetuille muille asianomaisille viranomaisille.

Luottolaitokset, jotka on luokiteltu merkittäviksi asetuksen (EU) N:o 1024/2013 6 artiklan 4 kohdan mukaisesti, voivat vapaaehtoisesti ilmoittaa merkittävistä kyberuhkista direktiivin 2013/36/EU 4 artiklan mukaisesti nimetylle asianomaiselle kansalliselle toimivaltaiselle viranomaiselle, jonka on välitettävä ilmoitus välittömästi EKP:lle.

Jäsenvaltiot voivat päättää, että ne finanssiyhteisöt, jotka ensimmäisen alakohdan mukaisesti suorittavat ilmoittamisen vapaaehtoisesti, voivat toimittaa kyseisen ilmoituksen myös direktiivin (EU) 2022/2555 mukaisesti nimetyille tai perustetuille CSIRT-yksiköille.

3.   Jos laajavaikutteinen TVT:hen liittyvä poikkeama ilmenee ja vaikuttaa asiakkaiden taloudellisiin etuihin, finanssiyhteisöjen on ilman aiheetonta viivytystä välittömästi tultuaan asiasta tietoisiksi ilmoitettava asiakkailleen laajavaikutteisesta TVT:hen liittyvästä poikkeamasta ja toimenpiteistä, joita on toteutettu tällaisen poikkeaman haitallisten vaikutusten lieventämiseksi.

Jos kyseessä on merkittävä kyberuhka, finanssiyhteisöjen on tarvittaessa ilmoitettava asiakkailleen, joihin asia mahdollisesti vaikuttaa, kaikista asianmukaisista suojatoimenpiteistä, joiden toteuttamista nämä voivat harkita.

4.   Finanssiyhteisöjen on 20 artiklan ensimmäisen kohdan a alakohdan ii alakohdan mukaisesti vahvistettavissa määräajoissa toimitettava asianomaiselle toimivaltaiselle viranomaiselle seuraavat:

5.   Finanssiyhteisöt voivat ulkoistaa unionin ja kansallisen alakohtaisen lainsäädännön mukaisesti tämän artiklan mukaiset raportointivelvollisuudet palveluntarjoajana olevalle kolmannelle osapuolelle. Tällaisen ulkoistamisen tapauksessa finanssiyhteisö on edelleen täysin vastuussa poikkeamien raportointia koskevien vaatimusten täyttämisestä.

6.   Toimivaltaisen viranomaisen on 4 kohdassa tarkoitetun alustavan ilmoituksen ja kunkin raportin saatuaan hyvissä ajoin toimitettava laajavaikutteista TVT:hen liittyvää poikkeamaa koskevat yksityiskohtaiset tiedot seuraaville vastaanottajille soveltuvin osin näiden toimivallan perusteella:

7.   Saatuaan tiedot 6 kohdan mukaisesti EPV, ESMA tai EIOPA ja EKP arvioivat ENISAa kuullen ja yhteistyössä asianomaisen toimivaltaisen viranomaisen kanssa, onko laajavaikutteinen TVT:hen liittyvä poikkeama merkityksellinen muiden jäsenvaltioiden toimivaltaisten viranomaisten kannalta. Kyseisen arvioinnin jälkeen EPV, ESMA tai EIOPA ilmoittavat asiasta mahdollisimman pian muiden jäsenvaltioiden asianomaisille toimivaltaisille viranomaisille. EKP ilmoittaa Euroopan keskuspankkijärjestelmän jäsenille maksujärjestelmien kannalta merkityksellisistä seikoista. Toimivaltaisten viranomaisten on kyseisen ilmoituksen perusteella toteutettava tapauksen mukaan kaikki tarvittavat toimenpiteet suojellakseen rahoitusjärjestelmän välitöntä vakautta.

8.   ESMAn tämän artiklan 7 kohdan nojalla tekemä ilmoitus ei rajoita toimivaltaisen viranomaisen velvollisuutta toimittaa kiireellisesti yksityiskohtaiset tiedot laajavaikutteisesta TVT:hen liittyvästä poikkeamasta vastaanottavan jäsenvaltion asianomaiselle viranomaiselle, kun arvopaperikeskuksella on merkittävää rajatylittävää toimintaa vastaanottavassa jäsenvaltiossa, laajavaikutteisesta TVT:hen liittyvästä poikkeamasta todennäköisesti aiheutuu vakavia seurauksia vastaanottavan jäsenvaltion finanssimarkkinoille ja kun toimivaltaisten viranomaisten keskuudessa on finanssiyhteisöjen valvontaan liittyviä yhteistyöjärjestelyjä.

1.   Euroopan valvontaviranomaiset laativat yhteiskomiteassa ja EKP:tä ja ENISAa kuullen yhteisen raportin, jossa arvioidaan mahdollisuuksia keskittää poikkeamia koskevaa raportointia edelleen perustamalla yksi yhteinen EU:n keskus finanssiyhteisöjen suorittamaa laajavaikutteisia TVT:hen liittyviä poikkeamia koskevaa raportointia varten. Yhteisessä raportissa on tutkittava keinoja helpottaa TVT:hen liittyviä poikkeamia koskevaa jatkuvaa raportointia, vähentää siihen liittyviä kustannuksia ja tukea aihekohtaisia analyyseja valvontakäytäntöjen lähentymisen tehostamiseksi.

2.   Edellä 1 kohdassa tarkoitetussa yhteisessä raportissa on tarkasteltava ainakin seuraavia seikkoja:

3.   Euroopan valvontaviranomaisten on toimitettava 1 kohdassa tarkoitettu raportti Euroopan parlamentille, neuvostolle ja komissiolle viimeistään 17 päivänä tammikuuta 2025.

1.   Rajoittamatta CSIRT-yksiköiden direktiivin (EU) 2022/2555 nojalla tapauksen mukaan kansallisen lainsäädännön mukaisesti mahdollisesti toimittamaa teknistä asiantuntemusta, ohjeistusta tai korjaustoimenpiteitä sekä niihin perustuvia jatkotoimia toimivaltaisen viranomaisen on 19 artiklan 4 kohdassa tarkoitetut alustavan ilmoituksen ja kunkin raportin vastaanottaessaan annettava vahvistus vastaanottamisesta; lisäksi se voi mahdollisuuksien mukaan antaa hyvissä ajoin asiaankuuluvaa ja oikeasuhteista palautetta tai korkeatasoista ohjeistusta finanssiyhteisölle, erityisesti asettamalla saataville samankaltaisia uhkia koskevia asiaankuuluvia anonymisoituja tietoja ja tiedustelutietoja, ja se voi keskustella finanssiyhteisön tasolla sovellettavista korjaustoimenpiteistä ja keinoista minimoida kielteiset vaikutukset ja lieventää niitä koko finanssialalla. Finanssiyhteisöt ovat edelleen täysin vastuussa 19 artiklan 1 kohdan mukaisesti raportoitujen TVT:hen liittyvien poikkeamien käsittelystä ja seurauksista, sanotun kuitenkaan rajoittamatta vastaanotettua valvojan palautetta.

2.   Euroopan valvontaviranomaiset raportoivat anonymisoitujen ja yhdistettyjen tietojen pohjalta vuosittain yhteiskomiteassa laajavaikutteisista TVT:hen liittyvistä poikkeamista, joista toimivaltaiset viranomaiset antavat yksityiskohtaiset tiedot 19 artiklan 6 kohdan mukaisesti, ja esittävät ainakin laajavaikutteisten TVT:hen liittyvien poikkeamien lukumäärän, niiden luonteen ja vaikutuksen finanssiyhteisöjen tai asiakkaiden toimintoihin sekä toteutetut korjaustoimenpiteet ja aiheutuneet kustannukset.

Euroopan valvontaviranomaiset antavat varoituksia ja tuottavat laadukkaita tilastoja TVT-uhkia ja -haavoittuvuuksia koskevien arviointien tueksi.

1.   Voidakseen arvioida varautumista TVT:hen liittyvien poikkeamien käsittelyyn ja yksilöidä digitaalisen häiriönsietokyvyn heikkouksia, puutteita ja aukkoja ja toteuttaa korjaavia toimenpiteitä nopeasti, muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on 4 artiklan 2 kohdassa vahvistetut kriteerit huomioon ottaen laadittava vankka ja kattava digitaalisen häiriönsietokyvyn testausohjelma, joka on olennainen osa 6 artiklassa tarkoitettua TVT-riskinhallintajärjestelmää, pidettävä sitä yllä ja tarkistettava sitä.

2.   Digitaalisen häiriönsietokyvyn testausohjelman on sisällettävä erilaisia arviointeja, testejä, menetelmiä, käytäntöjä ja välineitä, joita sovelletaan 25 ja 26 artiklan mukaisesti.

3.   Tämän artiklan 1 kohdassa tarkoitettua digitaalisen häiriönsietokyvyn testausohjelmaa toteuttaessaan muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on 4 artiklan 2 kohdassa vahvistetut kriteerit huomioon ottaen noudatettava riskiperusteista lähestymistapaa ottamalla asianmukaisesti huomioon muuttuva TVT-riski, asianomaiseen finanssiyhteisöön kohdistuvat tai mahdollisesti kohdistuvat erityiset riskit, tieto-omaisuuden ja tarjottujen palvelujen kriittisyys sekä kaikki muut tekijät, jotka finanssiyhteisö katsoo aiheellisiksi.

4.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on varmistettava, että testien suorittajat ovat riippumattomia, olivatpa ne sisäisiä tai ulkoisia osapuolia. Jos testit suorittaa sisäinen testaaja, finanssiyhteisöjen on osoitettava riittävästi resursseja ja varmistettava, että eturistiriidat vältetään testin suunnittelu- ja toteutusvaiheissa.

5.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on laadittava menettelyt ja toimintaperiaatteet, joiden avulla ne voivat asettaa tärkeysjärjestykseen, luokitella ja korjata kaikki testien aikana paljastuneet ongelmat, ja otettava käyttöön sisäiset validointimenetelmät sen varmistamiseksi, että kaikki havaitut heikkoudet, puutteet ja aukot korjataan kaikilta osin.

6.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on vähintään kerran vuodessa varmistettava, että kaikille kriittisiä tai tärkeitä toimintoja tukeville TVT-järjestelmille ja -sovelluksille tehdään asianmukaiset testit.

1.   Edellä 24 artiklassa tarkoitetussa digitaalisen häiriönsietokyvyn testausohjelmassa on määrättävä 4 artiklan 2 kohdassa esitettyjen kriteerien mukaisesti aiheellisten testien, kuten haavoittuvuusarviointien ja -kartoitusten, avoimen lähdekoodin analyysien, verkkoturvallisuusarviointien, kuiluanalyysien, fyysisen turvallisuuden tarkastelujen, kyselylomakkeiden ja ohjelmistoratkaisujen kartoittamisen, lähdekoodin tarkastelujen siltä osin kuin mahdollista, skenaarioihin perustuvien testien, yhteensopivuustestauksen, suorituskykytestauksen, päästä päähän -testauksen ja tunkeutumistestauksen, toteuttamisesta.

2.   Arvopaperikeskusten ja keskusvastapuolten on suoritettava haavoittuvuusarviointeja ennen kuin ne ottavat käyttöön tai ottavat uudelleen käyttöön uusia tai olemassa olevia sovelluksia ja infrastruktuurikomponentteja sekä TVT-palveluja, jotka tukevat finanssiyhteisön kriittisiä tai tärkeitä toimintoja.

3.   Mikroyritysten on suoritettava 1 kohdassa tarkoitetut testit yhdistämällä riskiperusteinen lähestymistapa TVT-testauksen strategiseen suunnitteluun ja ottamalla asianmukaisesti huomioon tarve säilyttää tasapainoinen lähestymistapa yhtäältä resurssien laajuuden ja tässä artiklassa säädettyyn TVT-testaukseen osoitettavan ajan ja toisaalta kiireellisyyden, riskin tyypin, tieto-omaisuuden ja tarjottujen palvelujen kriittisyyden sekä muiden merkityksellisten tekijöiden, mukaan lukien finanssiyhteisön kyky ottaa laskelmoituja riskejä, välillä.

1.   Finanssiyhteisöjen, jotka ovat muita kuin 16 artiklan 1 kohdan ensimmäisessä alakohdassa tarkoitettuja yhteisöjä sekä muita kuin mikroyrityksiä ja jotka yksilöidään tämän artiklan 8 kohdan kolmannen alakohdan mukaisesti, on suoritettava vähintään kolmen vuoden välein kehittynyt testaus uhkaperusteisen tunkeutumistestauksen avulla. Toimivaltainen viranomainen voi tarvittaessa pyytää finanssiyhteisöä harventamaan tai tiuhentamaan tätä testausväliä finanssiyhteisön riskiprofiilin perusteella ja ottaen huomioon toimintaolosuhteet.

2.   Kunkin uhkaperusteisen tunkeutumistestin on katettava finanssiyhteisön useat tai kaikki kriittiset tai tärkeät toiminnot, ja se on toteutettava tällaisia toimintoja tukevilla toiminnassa olevilla tuotantojärjestelmillä.

Finanssiyhteisöjen on yksilöitävä kaikki kriittisiä tai tärkeitä toimintoja ja TVT-palveluja tukevat asiaankuuluvat TVT-järjestelmät, -prosessit ja -teknologiat, mukaan lukien ne, jotka tukevat kriittisiä tai tärkeitä toimintoja, jotka on ulkoistettu tai joista on tehty sopimus TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa.

Finanssiyhteisöjen on arvioitava, mitkä kriittiset tai tärkeät toiminnot on sisällytettävä uhkaperusteisen tunkeutumistestauksen piiriin. Tämän arvioinnin tulos määrittää uhkaperusteisen tunkeutumistestauksen tarkan soveltamisalan, ja toimivaltaiset viranomaiset vahvistavat sen.

3.   Jos uhkaperusteisen tunkeutumistestauksen soveltamisalaan kuuluu TVT-palveluntarjoajana olevia kolmansia osapuolia, finanssiyhteisön on toteutettava tarvittavat toimenpiteet ja suojatoimet varmistaakseen tällaisten TVT-palveluntarjoajina olevien kolmansien osapuolten osallistumisen uhkaperusteiseen tunkeutumistestaukseen ja se on koko ajan täysin vastuussa tämän asetuksen noudattamisen varmistamisesta.

4.   Rajoittamatta 2 kohdan ensimmäisen ja toisen alakohdan soveltamista kun voidaan kohtuudella odottaa, että 3 kohdassa tarkoitettu TVT-palveluntarjoajana olevan kolmannen osapuolen osallistuminen uhkaperusteiseen tunkeutumistestaukseen vaikuttaa kielteisesti niiden palvelujen laatuun tai turvallisuuteen, joita TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa asiakkaille, jotka ovat tämän asetuksen soveltamisalan ulkopuolisia yhteisöjä, taikka tällaisiin palveluihin liittyvien tietojen luottamuksellisuuteen, finanssiyhteisö ja TVT-palveluntarjoajana oleva kolmas osapuoli voivat sopia kirjallisesti, että TVT-palveluntarjoajana oleva kolmas osapuoli tekee suoraan sopimusjärjestelyjä ulkopuolisen testaajan kanssa yhdistetyn uhkaperusteisen tunkeutumistestauksen toteuttamiseksi yhden nimetyn finanssiyhteisön johdolla siten, että siihen osallistuu useita sellaisia finanssiyhteisöjä (yhdistetty testaus), joille TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa TVT-palveluja.

Kyseisen yhdistetyn testauksen on katettava asiaankuuluvat TVT-palvelut, jotka tukevat kriittisiä tai tärkeitä toimintoja, joista finanssiyhteisöt ovat tehneet sopimuksen kyseisen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa. Yhdistettyä testausta on pidettävä yhdistettyyn testaukseen osallistuvien finanssiyhteisöjen suorittamana uhkaperusteisena tunkeutumistestauksena.

Yhdistettyyn testaukseen osallistuvien finanssiyhteisöjen lukumäärä on kalibroitava asianmukaisesti ottaen huomioon asiaan liittyvien palvelujen monimutkaisuus ja tyypit.

5.   Finanssiyhteisöjen on sovellettava yhteistyössä TVT-palveluntarjoajina olevien kolmansien osapuolten ja muiden asiaan liittyvien osapuolten kanssa, mukaan lukien testaajat mutta lukuun ottamatta toimivaltaisia viranomaisia, vaikuttavia riskienhallinnan valvontamenetelmiä lieventääkseen mahdollisten dataan kohdistuvien vaikutusten, omaisuuserille koituvien vahinkojen ja kriittisten tai tärkeiden toimintojen, palvelujen tai toimintojen keskeytymisten riskejä finanssiyhteisössä itsessään, sen vastapuolissa tai finanssialalla.

6.   Testauksen lopuksi, kun raporteista ja korjaussuunnitelmista on sovittu, finanssiyhteisön ja tapauksen mukaan ulkopuolisten testaajien on toimitettava 9 tai 10 kohdan mukaisesti nimetylle viranomaiselle yhteenveto asiaankuuluvista havainnoista, korjaussuunnitelmat ja asiakirjat osoituksena siitä, että uhkaperusteinen tunkeutumistestaus on suoritettu vaatimusten mukaisesti.

7.   Viranomaisten on annettava finanssiyhteisöille todistus, jossa vahvistetaan, että testi on suoritettu asiakirjoissa osoitetun mukaisesti vaatimuksia noudattaen, jotta toimivaltaiset viranomaiset voivat vastavuoroisesti tunnustaa uhkaperusteiset tunkeutumistestit. Finanssiyhteisön on toimitettava todistus, yhteenveto asiaankuuluvista havainnoista ja korjaussuunnitelmat asianomaiselle toimivaltaiselle viranomaiselle.

Tällaisesta todistuksesta huolimatta finanssiyhteisöt ovat edelleen koko ajan täysin vastuussa 4 kohdassa tarkoitetuista testien vaikutuksista.

8.   Finanssiyhteisöjen on tehtävä testaajien kanssa sopimuksia 27 artiklan mukaisen uhkaperusteisen tunkeutumistestauksen toteuttamiseksi. Kun finanssiyhteisöt käyttävät sisäisiä testaajia uhkaperusteisen tunkeutumistestauksen toteuttamisessa, niiden on teetettävä joka kolmas testi ulkopuolisilla testaajilla.

Luottolaitokset, jotka on luokiteltu merkittäviksi asetuksen (EU) N:o 1024/2013 6 artiklan 4 kohdan mukaisesti, saavat käyttää ainoastaan 27 artiklan 1 kohdan a–e alakohdan mukaisia ulkopuolisia testaajia.

Toimivaltaisten viranomaisten on yksilöitävä finanssiyhteisöt, joilta vaaditaan 4 artiklan 2 kohdassa vahvistetut kriteerit huomioon ottaen uhkaperusteisen tunkeutumistestauksen tekemistä seuraavien seikkojen arvioinnin perusteella:

9.   Jäsenvaltiot voivat nimetä rahoitusalan yhden viranomaisen, joka vastaa rahoitusalalla uhkaperusteiseen tunkeutumistestaukseen kansallisella tasolla liittyvistä asioista, ja antaa sille kaikki tätä koskevat toimivaltuudet ja tehtävät.

10.   Jos tämän artiklan 9 kohdan mukaista nimeämistä ei ole tehty ja rajoittamatta valtuuksia yksilöidä finanssiyhteisöt, joiden on suoritettava uhkaperusteinen tunkeutumistestaus, toimivaltainen viranomainen voi siirtää joidenkin tai kaikkien tässä artiklassa ja 27 artiklassa tarkoitettujen tehtävien hoitamisen toiselle finanssialan kansalliselle viranomaiselle.

11.   Euroopan valvontaviranomaiset laativat yhdessä EKP:n kanssa yhteisten teknisten sääntelystandardien luonnoksia TIBER–EU-kehyksen mukaisesti tarkoituksena täsmentää tarkemmin:

Laatiessaan kyseisiä teknisten sääntelystandardien luonnoksia Euroopan valvontaviranomaiset ottavat asianmukaisesti huomioon eri rahoituspalvelusektoreilla harjoitettavan toiminnan erilaisesta luonteesta johtuvat erityispiirteet.

Euroopan valvontaviranomaiset toimittavat kyseiset teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä heinäkuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

1.   Finanssiyhteisöjen on käytettävä uhkaperusteisen tunkeutumistestauksen suorittamiseen vain testaajia,

2.   Jos käytetään sisäisiä testaajia, finanssiyhteisöjen on varmistettava, että 1 kohdan vaatimusten lisäksi noudatetaan seuraavia edellytyksiä:

3.   Finanssiyhteisöjen on varmistettava, että ulkopuolisten testaajien kanssa tehdyissä sopimuksissa edellytetään uhkaperusteisen tunkeutumistestauksen tulosten moitteetonta hallintaa ja että niihin liittyvien tietojen käsittely, mukaan lukien tulosten generointi, tallentaminen, koontaminen, luonnostelu, raportointi, välittäminen tai tuhoaminen, eivät aiheuta finanssiyhteisölle riskejä.

1.   Finanssiyhteisöjen on hallinnoitava kolmansiin osapuoliin liittyvää TVT-riskiä erottamattomana osana TVT-riskiä 6 artiklan 1 kohdassa tarkoitetun TVT-riskinhallintajärjestelmänsä puitteissa ja seuraavien periaatteiden mukaisesti:

2.   Finanssiyhteisöjen, jotka ovat muita kuin 16 artiklan 1 kohdan ensimmäisessä alakohdassa tarkoitettuja yhteisöjä sekä muita kuin mikroyrityksiä, on osana TVT-riskinhallintajärjestelmäänsä hyväksyttävä kolmansiin osapuoliin liittyvää TVT-riskiä koskeva strategia ja tarkistettava sitä säännöllisesti, ottaen tapauksen mukaan huomioon 6 artiklan 9 kohdassa tarkoitettu usean toimittajan tarjoamien TVT-toimitusten strategia. Kolmansiin osapuoliin liittyvää TVT-riskiä koskevassa strategiassa on määriteltävä TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevat toimintaperiaatteet, joita on sovellettava sekä yksittäisten yhteisöjen että tarvittaessa alakonsolidointiryhmien ja konsolidointiryhmien tasolla. Ylimmän hallintoelimen on finanssiyhteisön kokonaisriskiprofiilin sekä liike-elämän palvelujen laajuuden ja monitahoisuuden arvioinnin perusteella tarkasteltava säännöllisesti uudelleen havaittuja riskejä, jotka liittyvät kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin.

3.   Finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä pidettävä yllä ja päivitettävä yhteisön tasolla sekä alakonsolidointiryhmien ja konsolidointiryhmien tasolla tietorekisteriä kaikista TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä koskevista sopimusjärjestelyistä.

Ensimmäisessä alakohdassa tarkoitetut sopimusjärjestelyt on dokumentoitava asianmukaisesti siten, että toisistaan erotetaan järjestelyt, jotka kattavat kriittisiä tai tärkeitä toimintoja tukevat TVT-palvelut, ja ne, jotka eivät kata näitä.

Finanssiyhteisöjen on raportoitava toimivaltaisille viranomaisille vähintään vuosittain TVT-palvelujen käyttöä koskevien uusien järjestelyjen määrästä, TVT-palveluntarjoajana olevien kolmansien osapuolten ryhmistä, sopimusjärjestelyjen tyypistä ja tarjotuista TVT-palveluista ja toiminnoista.

Finanssiyhteisöjen on toimitettava toimivaltaiselle viranomaiselle sen pyynnöstä tietorekisteri kokonaisuudessaan tai pyynnön mukaan sen tietyt osat sekä kaikki finanssiyhteisön tehokasta valvontaa varten tarpeellisiksi katsotut tiedot.

Finanssiyhteisöjen on ilmoitettava toimivaltaiselle viranomaiselle hyvissä ajoin kaikista kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevista suunnitelluista sopimusjärjestelyistä sekä siitä, että jostakin toiminnosta on tullut kriittinen tai tärkeä.

4.   Ennen kuin finanssiyhteisöt tekevät TVT-palvelujen käyttöä koskevan sopimusjärjestelyn, niiden on

5.   Finanssiyhteisöt voivat tehdä sopimusjärjestelyjä vain sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa, jotka noudattavat asianmukaisia tietoturvastandardeja. Kun kyseiset sopimusjärjestelyt koskevat kriittisiä tai tärkeitä toimintoja, finanssiyhteisöjen on ennen järjestelyjen tekemistä otettava asianmukaisesti huomioon se, miten TVT-palveluntarjoajana olevat kolmannet osapuolet käyttävät uusimpia ja korkealaatuisimpia tietoturvastandardeja.

6.   Kun finanssiyhteisöt käyttävät TVT-palveluntarjoajana olevan kolmannen osapuolen suhteen pääsy-, tarkastus- ja auditointioikeutta, niiden on riskiperusteisen lähestymistavan perusteella määritettävä ennalta auditointien ja tarkastusten tiheys samoin kuin auditoitavat alueet noudattaen yleisesti hyväksyttyjä auditointistandardeja tällaisten auditointistandardien käytöstä ja niiden noudattamisesta mahdollisesti annettujen valvontaohjeiden mukaisesti.

Jos TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tehdyt TVT-palvelujen käyttöä koskevat sopimusjärjestelyt ovat teknisesti hyvin monimutkaisia, finanssiyhteisön on varmistettava, että auditoijilla, joko sisäisillä tai ulkopuolisilla taikka auditointiryhmillä, on asianmukaiset taidot ja tiedot asiaankuuluvien auditointien ja arviointien tuloksellista suorittamista varten.

7.   Finanssiyhteisöjen on varmistettava, että TVT-palvelujen käyttöä koskevat sopimusjärjestelyt voidaan irtisanoa missä tahansa seuraavista olosuhteista:

8.   Kun kyseessä ovat kriittisiä tai tärkeitä toimintoja tukevat TVT-palvelut, finanssiyhteisöjen on otettava käyttöön irtautumisstrategiat. Irtautumisstrategioissa on otettava huomioon mahdolliset TVT-palveluntarjoajana olevien kolmansien osapuolten tasolla ilmenevät riskit, erityisesti niiden mahdollinen vikaantuminen, tarjottujen TVT-palvelujen laadun heikkeneminen, virheellisestä tai viallisesta TVT-palvelujen tarjonnasta johtuvat liiketoiminnan keskeytymiset tai kaikki olennaiset riskit, jotka aiheutuvat asianomaisen TVT-palvelun asianmukaisesta ja jatkuvasta käytöstä tai TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tehtyjen sopimusjärjestelyjen päättymisestä jossakin 7 kohdassa tarkoitetuista tilanteista.

Finanssiyhteisöjen on varmistettava, että ne voivat irtautua sopimusjärjestelyistä ilman, että

Irtautumissuunnitelmien on oltava kattavia, dokumentoituja, ja niiden on 4 artiklan 2 kohdassa vahvistettujen kriteerien mukaisesti oltava riittävästi testattuja ja säännöllisesti uudelleen tarkasteltuja.

Finanssiyhteisöjen on määritettävä vaihtoehtoisia ratkaisuja ja laadittava siirtymäsuunnitelmia, joiden avulla ne voivat poistaa sopimusten kattamat TVT-palvelut ja niihin liittyvän datan TVT-palveluntarjoajana olevilta kolmansilta osapuolilta ja siirtää ne turvallisesti ja kokonaisuudessaan vaihtoehtoisille palveluntarjoajille tai integroida ne uudelleen yhteisön sisällä.

Finanssiyhteisöillä on oltava käytössään asianmukaiset varotoimenpiteet liiketoiminnan jatkuvuuden ylläpitämiseksi ensimmäisessä alakohdassa tarkoitetuissa tilanteissa.

9.   Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia teknisiksi täytäntöönpanostandardeiksi, joissa määritetään vakiomuotoiset mallit 3 kohdassa tarkoitettua tietorekisteriä varten, mukaan lukien yhteiset tiedot kaikille TVT-palvelujen käyttöä koskeville sopimusjärjestelyille. Euroopan valvontaviranomaiset toimittavat kyseisten teknisten täytäntöönpanostandardien luonnokset komissiolle viimeistään 17 päivänä tammikuuta 2024.

Siirretään komissiolle valta hyväksyä ensimmäisessä alakohdassa tarkoitetut tekniset täytäntöönpanostandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 15 artiklan mukaisesti.

10.   Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia teknisiksi sääntelystandardeiksi, joissa täsmennetään 2 kohdassa tarkoitettujen toimintaperiaatteiden yksityiskohtainen sisältö TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käytöstä tehtyjen sopimusjärjestelyjen osalta.

Laatiessaan kyseisiä teknisten sääntelystandardien luonnoksia Euroopan valvontaviranomaisten on otettava huomioon finanssiyhteisön koko ja yleinen riskiprofiili sekä sen palvelujen, toiminnan ja toimintojen luonne, laajuus ja monitahoisuus. Euroopan valvontaviranomaiset toimittavat kyseisten teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä tammikuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

1.   Kun finanssiyhteisöt suorittavat 28 artiklan 4 kohdan c alakohdassa tarkoitettua riskien määritystä ja arviointia, niiden on myös otettava huomioon, johtaisiko kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja koskevan sopimusjärjestelyn suunniteltu tekeminen johonkin seuraavista:

Finanssiyhteisöjen on punnittava vaihtoehtoisten ratkaisujen, kuten useampien eri TVT-palveluntarjoajina olevien kolmansien osapuolten käytön, hyötyjä ja kustannuksia ottaen huomioon, vastaavatko suunnitellut ratkaisut niiden liiketoiminnan tarpeita ja digitaalisen häiriönsietokyvyn strategiassa asetettuja tavoitteita.

2.   Jos kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin sisältyy mahdollisuus, että TVT-palveluntarjoajana oleva kolmas osapuoli edelleenulkoistaa kriittistä tai tärkeää toimintoa tukevia TVT-palveluja muille TVT-palveluntarjoajina oleville kolmansille osapuolille, finanssiyhteisöjen on punnittava etuja ja riskejä, joita tällaisesta edelleenulkoistamisesta voi aiheutua, erityisesti siinä tapauksessa, että on kyse kolmanteen maahan sijoittautuneesta TVT-alihankkijasta.

Jos sopimusjärjestelyt koskevat kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja, finanssiyhteisöjen on otettava asianmukaisesti huomioon maksukyvyttömyyslainsäädännön säännökset, joita sovelletaan, jos TVT-palveluntarjoajana oleva kolmas osapuoli ajautuu konkurssiin, sekä pakottavat tilanteet, joita voi syntyä finanssiyhteisön datan kiireelliseen pelastamiseen liittyen.

Jos kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevista sopimusjärjestelyistä sovitaan kolmanteen maahan sijoittautuneen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa, finanssiyhteisöjen on toisessa alakohdassa tarkoitettujen näkökohtien lisäksi otettava huomioon myös unionin tietosuojasääntöjen noudattaminen ja lainsäädännön tehokas täytäntöönpano kyseisessä kolmannessa maassa.

Jos kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevissa sopimusjärjestelyissä sallitaan edelleenulkoistaminen, finanssiyhteisöjen on arvioitava, voivatko mahdollisesti pitkät tai monimutkaiset edelleenulkoistusketjut vaikuttaa niiden kykyyn kaikilta osin seurata ulkoistettuja toimintoja ja toimivaltaisen viranomaisen kykyyn tosiasiallisesti valvoa finanssiyhteisöä tältä osin.

1.   Finanssiyhteisön ja TVT-palveluntarjoajana olevan kolmannen osapuolen oikeudet ja velvoitteet on jaettava selkeästi ja vahvistettava kirjallisesti. Koko sopimuksen on sisällettävä palvelutasosopimukset, ja se on dokumentoitava yhdessä kirjallisessa asiakirjassa, joka on osapuolten käytettävissä paperilla, tai muussa ladattavassa, kestävässä ja saatavilla olevassa muodossa.

2.   TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin on sisällytettävä ainakin seuraavat seikat:

3.   Kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin on sisällyttävä 2 kohdassa tarkoitettujen seikkojen lisäksi ainakin seuraavat:

Poiketen siitä, mitä e alakohdassa säädetään, TVT-palveluntarjoajana oleva kolmas osapuoli ja finanssiyhteisö, joka on mikroyritys, voivat sopia, että finanssiyhteisön pääsy-, tarkastus- ja auditointioikeudet voidaan siirtää riippumattomalle kolmannelle osapuolelle, jonka TVT-palveluntarjoajana oleva kolmas osapuoli nimittää, ja että finanssiyhteisö voi milloin tahansa pyytää kolmannelta osapuolelta tietoja ja vakuutuksen TVT-palveluntarjoajana olevan kolmannen osapuolen suoriutumisesta.

4.   Sopimusjärjestelyistä neuvotellessaan finanssiyhteisöjen ja TVT-palveluntarjoajina toimivien kolmansien osapuolien on harkittava viranomaisten yksittäisiä palveluja varten laatimien mallisopimuslausekkeiden käyttöä.

5.   Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia teknisiksi sääntelystandardeiksi, joissa täsmennetään tarkemmin 2 kohdan a alakohdassa tarkoitetut seikat, jotka finanssiyhteisön on määritettävä ja arvioitava, kun kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja edelleenulkoistetaan.

Laatiessaan kyseisiä luonnoksia teknisiksi sääntelystandardeiksi Euroopan valvontaviranomaisten on otettava huomioon finanssiyhteisön koko ja yleinen riskiprofiili sekä sen palvelujen, toiminnan ja toimintojen luonne, laajuus ja monitahoisuus.

Euroopan valvontaviranomaiset toimittavat kyseiset teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä heinäkuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

1.   Yhteiskomitean välityksellä ja 32 artiklan 1 kohdan nojalla perustetun valvontafoorumin suosituksesta Euroopan valvontaviranomaiset

2.   Edellä 1 kohdan a alakohdassa tarkoitettu nimeäminen perustuu kaikkiin seuraaviin, TVT-palveluntarjoajana olevan kolmannen osapuolen tarjoamia TVT-palveluja koskeviin kriteereihin:

3.   Jos TVT-palveluntarjoajana oleva kolmas osapuoli kuuluu johonkin konserniin, 2 kohdassa tarkoitetut kriteerit on otettava huomioon koko konsernin tarjoamien TVT-palvelujen yhteydessä.

4.   Konserniin kuuluvien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten on nimettävä koordinointipisteeksi yksi oikeushenkilö, jotta varmistetaan riittävä edustus ja helpotetaan viestintää päävalvojan kanssa.

5.   Päävalvojan on ilmoitettava TVT-palveluntarjoajana olevalle kolmannelle osapuolelle 1 kohdan a alakohdassa tarkoitettuun nimeämiseen johtavan arvioinnin tuloksesta. TVT-palveluntarjoajana oleva kolmas osapuoli voi kuuden viikon kuluessa ilmoituspäivästä toimittaa päävalvojalle perustellun lausunnon, joka sisältää kaikki merkitykselliset tiedot arviointia varten. Päävalvojan on tarkasteltava perusteltua lausuntoa, ja se voi pyytää lisätietoja, jotka on toimitettava 30 kalenteripäivän kuluessa tällaisen lausunnon vastaanottamisesta.

Nimettyään jonkin TVT-palveluntarjoajana olevan kolmannen osapuolen kriittiseksi Euroopan valvontaviranomaiset antavat yhteiskomitean välityksellä kyseiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle tiedon kyseisestä nimeämisestä ja ilmoittavat päivän, josta alkaen siihen tosiasiallisesti sovelletaan valvontatoimia. Kyseinen alkamispäivä voi olla enintään yhden kuukauden kuluttua ilmoituksesta. TVT-palveluntarjoajana olevan kolmannen osapuolen on ilmoitettava kriittiseksi nimeämisestään finanssiyhteisöille, joille ne tarjoavat palveluja.

6.   Siirretään komissiolle valta antaa viimeistään 17 päivänä heinäkuuta 2024 57 artiklan mukaisesti delegoitu säädös, jolla täydennetään tätä asetusta täsmentämällä tarkemmin tämän artiklan 2 kohdassa tarkoitetut perusteet.

7.   Edellä 1 kohdan a alakohdassa tarkoitettua nimeämistä ei käytetä ennen kuin komissio on antanut delegoidun säädöksen 6 kohdan mukaisesti.

8.   Edellä 1 kohdan a alakohdassa tarkoitettua nimeämistä ei sovelleta seuraaviin:

9.   Euroopan valvontaviranomaisten on yhteiskomitean välityksellä laadittava, julkaistava ja päivitettävä vuosittain luettelo unionin tason kriittisistä TVT-palveluntarjoajina olevista kolmansista osapuolista.

10.   Sovellettaessa 1 kohdan a alakohtaa toimivaltaisten viranomaisten on toimitettava 28 artiklan 3 kohdan kolmannessa alakohdassa tarkoitetut kertomukset 32 artiklan nojalla perustetulle valvontafoorumille vuosittain kootusti. Valvontafoorumi arvioi toimivaltaisilta viranomaisilta saatujen tietojen perusteella finanssiyhteisöjen riippuvuutta TVT-palveluntarjoajina olevista kolmansista osapuolista.

11.   TVT-palveluntarjoajina olevat kolmannet osapuolet, joita ei ole sisällytetty 9 kohdassa tarkoitettuun luetteloon, voivat pyytää, että ne nimetään 1 kohdan a alakohdan mukaisesti kriittisiksi.

TVT-palveluntarjoajana olevan kolmannen osapuolen on ensimmäistä alakohtaa sovellettaessa toimitettava perusteltu hakemus EPV:lle, ESMAlle tai EIOPAlle, joka päättää yhteiskomitean välityksellä, nimetäänkö kyseinen TVT-palveluntarjoajana oleva kolmas osapuoli 1 kohdan a alakohdan mukaisesti kriittiseksi.

Toisessa alakohdassa tarkoitettu päätös tehdään ja annetaan tiedoksi TVT-palveluntarjoajana olevalle kolmannelle osapuolelle kuuden kuukauden kuluessa hakemuksen vastaanottamisesta.

12.   Finanssiyhteisöt saavat käyttää kolmanteen maahan sijoittautuneen ja 1 kohdan a alakohdan mukaisesti kriittiseksi nimetyn TVT-palveluntarjoajana olevan kolmannen osapuolen palveluja ainoastaan, jos viimeksi mainittu on perustanut unioniin tytäryhtiön 12 kuukauden kuluessa nimeämisestä.

13.   Edellä 12 kohdassa tarkoitetun kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen on ilmoitettava päävalvojalle kaikista muutoksista unioniin perustetun tytäryhtiön johdon rakenteessa.

1.   Yhteiskomitea perustaa asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 57 artiklan 1 kohdan nojalla alakomiteakseen valvontafoorumin, joka tukee yhteiskomitean ja 31 artiklan 1 kohdan b alakohdassa tarkoitetun päävalvojan työtä kolmansiin osapuoliin liittyvän TVT-riskin alalla finanssialan eri sektoreilla. Valvontafoorumi valmistelee luonnokset yhteiskomitean yhteisiksi kannoiksi ja yhteisiksi säädöksiksi kyseisellä osa-alueella.

Valvontafoorumi keskustelee säännöllisesti TVT-riskin ja -haavoittuvuuksien kehityksestä ja edistää johdonmukaista lähestymistapaa kolmansiin osapuoliin liittyvän TVT-riskin seurannassa unionin tasolla.

2.   Valvontafoorumi tekee vuosittain kollektiivisen arvioinnin kaikkien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten osalta toteutettujen valvontatoimien tuloksista ja havainnoista ja edistää koordinointitoimenpiteitä finanssiyhteisöjen digitaalisen häiriönsietokyvyn parantamiseksi ja parhaita käytäntöjä TVT-keskittymäriskin käsittelemiseksi sekä tutkii tekijöitä, joilla voidaan hillitä riskien siirtymistä sektorilta toiseen.

3.   Valvontafoorumi toimittaa kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia koskevia kattavia vertailuarvoja yhteiskomitealle, joka hyväksyy ne Euroopan valvontaviranomaisten yhteisinä kantoina asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 56 artiklan 1 kohdan nojalla.

4.   Valvontafoorumi muodostuu seuraavista:

Valvontafoorumi voi tarvittaessa pyytää neuvoa 6 kohdan mukaisesti nimitetyiltä riippumattomilta asiantuntijoilta.

5.   Kunkin jäsenvaltion on nimettävä asianomainen toimivaltainen viranomainen, jonka henkilöstön jäsen on 4 kohdan ensimmäisen alakohdan b alakohdassa tarkoitettu korkean tason edustaja, ja sen on ilmoitettava asiasta päävalvojalle.

Euroopan valvontaviranomaiset julkaisevat verkkosivustollaan luettelon jäsenvaltioiden nimeämistä asianomaisen toimivaltaisen viranomaisen nykyiseen henkilöstöön kuuluvista korkean tason edustajista.

6.   Valvontafoorumi nimittää 4 kohdan toisessa alakohdassa tarkoitetut riippumattomat asiantuntijat asiantuntijaryhmästä, joka on valittu julkista ja avointa hakumenettelyä noudattaen.

Riippumattomat asiantuntijat nimitetään heidän rahoitusvakautta, digitaalista häiriönsietokykyä ja tieto- ja viestintätekniikan turvallisuuskysymyksiä koskevan asiantuntemuksensa perusteella. Heidän on toimittava riippumattomasti, puolueettomasti ja yksinomaan koko unionin edun mukaisesti pyytämättä tai ottamatta vastaan ohjeita unionin toimielimiltä tai elimiltä, minkään jäsenvaltion hallitukselta tai muulta julkiselta tai yksityiseltä elimeltä.

7.   Tämän jakson soveltamiseksi Euroopan valvontaviranomaiset antavat asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 16 artiklan mukaisesti viimeistään 17 päivänä heinäkuuta 2024 Euroopan valvontaviranomaisten ja toimivaltaisten viranomaisten välistä yhteistyötä koskevia ohjeita, jotka kattavat yksityiskohtaiset menettelyt ja edellytykset tehtävien jakamiseksi toimivaltaisten viranomaisten ja Euroopan valvontaviranomaisten välillä ja kyseisten tehtävien suorittamiseksi sekä yksityiskohtaiset tiedot tietojenvaihdosta, jota tarvitaan toimivaltaisten viranomaisten välillä, jotta voidaan varmistaa kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille 35 artiklan 1 kohdan d alakohdan mukaisesti osoitettujen suositusten jatkotoimet.

8.   Tässä jaksossa vahvistetut vaatimukset eivät rajoita direktiivin (EU) 2022/2555 ja pilvipalvelujen tarjoajien valvontaa koskevien unionin muiden sääntöjen soveltamista.

9.   Euroopan valvontaviranomaiset toimittavat yhteiskomitean välityksellä ja valvontafoorumin tekemän valmistelutyön pohjalta vuosittain Euroopan parlamentille, neuvostolle ja komissiolle kertomuksen tämän jakson soveltamisesta.

1.   Edellä olevan 31 artiklan 1 kohdan b alakohdan mukaisesti nimitetty päävalvoja valvoo nimettyjä kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia ja on kyseisten kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten ensisijainen yhteyspiste kaikissa valvontaan liittyvissä asioissa.

2.   Edellä olevan 1 kohdan soveltamiseksi päävalvoja arvioi, onko kullakin kriittisellä TVT-palveluntarjoajana olevalla kolmannella osapuolella kattavat, luotettavat ja toimivat säännöt, menettelyt, mekanismit ja järjestelyt, joilla hallita TVT-riskiä, jonka se voi finanssiyhteisöille aiheuttaa.

Ensimmäisessä alakohdassa tarkoitetussa arvioinnissa on keskityttävä pääasiassa kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen tarjoamiin, finanssiyhteisöjen kriittisiä tai tärkeitä toimintoja tukeviin TVT-palveluihin. Kaikkien merkityksellisten riskien käsittelemiseksi kyseinen arviointi on tarvittaessa laajennettava muita kuin kriittisiä tai tärkeitä toimintoja tukeviin TVT-palveluihin.

3.   Edellä 2 kohdassa tarkoitettu arviointi kattaa

4.   Päävalvoja hyväksyy 2 kohdassa tarkoitetun arvioinnin perusteella ja koordinoidusti 34 artiklan 1 kohdassa tarkoitetun yhteisen valvontaverkoston kanssa selkeän, yksityiskohtaisen ja perustellun yksilöllisen valvontasuunnitelman, jossa kuvaillaan kunkin kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen osalta suunnitellut vuosittaiset valvontatavoitteet ja tärkeimmät valvontatoimet. Kyseinen suunnitelma toimitetaan kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle vuosittain.

Ennen valvontasuunnitelman hyväksymistä päävalvoja toimittaa valvontasuunnitelman luonnoksen kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle.

Valvontasuunnitelman luonnoksen saatuaan kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli voi toimittaa 15 kalenteripäivän kuluessa perustellun lausunnon, jossa osoitetaan odotettavissa oleva vaikutus asiakkaisiin, jotka ovat tämän asetuksen soveltamisalaan kuulumattomia yhteisöjä, ja esitetään tarvittaessa ratkaisuja riskien lieventämiseksi.

5.   Kun 4 kohdassa tarkoitetut vuotuiset valvontasuunnitelmat on hyväksytty ja niistä on ilmoitettu kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille, toimivaltaiset viranomaiset voivat toteuttaa tällaisia kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia koskevia toimenpiteitä ainoastaan yhteisymmärryksessä päävalvojan kanssa.

1.   Valvontatoimiin liittyvän johdonmukaisen toimintatavan varmistamiseksi sekä koordinoitujen yleisten valvontastrategioiden, yhtenäisten operatiivisten toimintatapojen ja työskentelymenetelmien mahdollistamiseksi 31 artiklan 1 kohdan b alakohdan mukaisesti nimitetyt kolme päävalvojaa perustavat yhteisen valvontaverkoston koordinoidakseen toimintaansa keskenään valmisteluvaiheissa ja koordinoidakseen kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin kohdistamiensa valvontatoimien toteuttamista sekä kaikissa toimissa, jotka saattavat olla tarpeen 42 artiklan nojalla.

2.   Edellä olevan 1 kohdan soveltamiseksi päävalvojat laativat yhteisen valvontaprotokollan, jossa täsmennetään yksityiskohtaiset menettelyt, joita on noudatettava päivittäisen koordinoinnin toteuttamiseksi sekä nopean tietojenvaihdon ja reagoinnin varmistamiseksi. Protokollaa tarkistetaan säännöllisesti operatiivisten tarpeiden, erityisesti käytännön valvontajärjestelyjen kehityksen huomioon ottamiseksi.

3.   Päävalvojat voivat pyytää tapauskohtaisesti EKP:tä ja ENISAa antamaan teknistä neuvontaa, jakamaan käytännön kokemuksia tai osallistumaan tiettyihin yhteisen valvontaverkoston koordinointikokouksiin.

1.   Tässä jaksossa säädettyjen tehtävien hoitamiseksi päävalvojalla on valtuudet kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten osalta

2.   Tässä artiklassa tarkoitettuja valtuuksia käyttäessään päävalvojan on

3.   Päävalvoja kuulee valvontafoorumia ennen 1 kohdassa tarkoitettujen valtuuksien käyttämistä.

Ennen suositusten antamista 1 kohdan d alakohdan mukaisesti päävalvojan on annettava TVT-palveluntarjoajana oleville kolmansille osapuolille mahdollisuus toimittaa 30 kalenteripäivän kuluessa asiaankuuluvat tiedot, joissa osoitetaan odotettavissa oleva vaikutus asiakkaisiin, jotka ovat tämän asetuksen soveltamisalaan kuulumattomia yhteisöjä, ja esitetään tarvittaessa ratkaisuja riskien lieventämiseksi.

4.   Päävalvojan on ilmoitettava yhteiselle valvontaverkostolle 1 kohdan a ja b alakohdassa tarkoitettujen valtuuksien käyttämisen tuloksesta. Päävalvojan on ilman aiheetonta viivytystä toimitettava yhteiselle valvontaverkostolle ja kyseisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen TVT-palveluja käyttävien finanssiyhteisöjen toimivaltaisille viranomaisille 1 kohdan c alakohdassa tarkoitetut raportit.

5.   Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten on tehtävä vilpitöntä yhteistyötä päävalvojan kanssa ja avustettava sitä sen tehtävien suorittamisessa.

6.   Jos 1 kohdan a, b ja c alakohdan mukaisten valtuuksien käyttämisen nojalla toteutettaviksi vaadittuja toimenpiteitä ei noudateta kokonaan tai osittain ja sen jälkeen, kun on kulunut vähintään 30 kalenteripäivää siitä, kun kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli sai ilmoituksen asianomaisista toimenpiteistä, päävalvojan on tehtävä päätös, jossa määrätään uhkasakko, pakottaakseen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen noudattamaan kyseisiä toimenpiteitä.

7.   Edellä 6 kohdassa tarkoitettu uhkasakko määrätään maksettavaksi päivittäin, kunnes vaatimuksia noudatetaan, ja enintään kuuden kuukauden ajan siitä, kun kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle on ilmoitettu uhkasakon määräävästä päätöksestä.

8.   Uhkasakon määrä, joka lasketaan uhkasakon määräämistä koskevassa päätöksessä säädetystä päivästä alkaen, on enintään 1 prosentti kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen edellisen tilikauden päivittäisestä maailmanlaajuisesta keskiliikevaihdosta. Uhkasakon määrää määrittäessään päävalvojan on otettava huomioon seuraavat kriteerit, jotka koskevat 6 kohdassa tarkoitettujen toimenpiteiden laiminlyöntiä:

Ensimmäisen alakohdan soveltamiseksi päävalvojan on kuultava yhteistä valvontaverkostoa johdonmukaisen toimintatavan varmistamiseksi.

9.   Uhkasakko on luonteeltaan hallinnollinen ja täytäntöönpanokelpoinen. Täytäntöönpanoon sovelletaan sen jäsenvaltion säännöksiä lainkäytöstä riita-asioissa, jonka alueella tutkimukset ja tilojen tarkastaminen tapahtuu. Asianomaisen jäsenvaltion tuomioistuimet ovat toimivaltaisia tutkimaan virheellistä täytäntöönpanoa koskevat valitukset. Uhkasakkojen määrät kohdennetaan Euroopan unionin yleiseen talousarvioon.

10.   Päävalvojan on julkistettava jokainen uhkasakko, joka on määrätty, paitsi jos tällainen julkistaminen vaarantaisi vakavasti finanssimarkkinat tai aiheuttaisi kohtuutonta haittaa asianosaisille.

11.   Ennen kuin päävalvoja määrää uhkasakon 6 kohdan nojalla, se antaa menettelyn kohteena olevan kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen edustajille mahdollisuuden tulla kuulluiksi havainnoistaan ja tekee päätöksensä ainoastaan sellaisten havaintojen perusteella, joista menettelyn kohteena olevalla kriittisellä TVT-palveluntarjoajana olevalla kolmannella osapuolella on ollut mahdollisuus esittää huomautuksensa.

Menettelyssä on kunnioitettava täysin niiden henkilöiden puolustautumisoikeuksia, joita menettely koskee. Menettelyn kohteena olevalla kriittisellä TVT-palveluntarjoajana olevalla kolmannella osapuolella on oikeus tutustua asiakirja-aineistoon, jollei muiden henkilöiden liikesalaisuuksien suojelemiseen liittyvistä oikeutetuista eduista muuta johdu. Oikeus tutustua asiakirja-aineistoon ei ulotu luottamuksellisiin tietoihin eikä päävalvojan sisäisiin valmisteleviin asiakirjoihin.

1.   Kun valvontatavoitteita ei voida saavuttaa toimimalla vuorovaikutuksessa 31 artiklan 12 kohdan soveltamiseksi perustetun tytäryhtiön kanssa tai toteuttamalla valvontatoimia unionissa sijaitsevissa tiloissa, päävalvoja voi käyttää seuraavissa säännöksissä tarkoitettuja valtuuksia kaikissa kolmannessa maassa sijaitsevissa tiloissa, jotka ovat kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen omistuksessa tai millä tahansa tavalla niiden käytössä palvelujen tarjoamiseksi unionin finanssiyhteisöille ja jotka ovat yhteydessä sen liiketoimintaan, toimintoihin, palveluihin, mukaan lukien kaikki hallinnolliset, liiketoiminnan ja operatiiviset toimipisteet, tilat, maa-alat, rakennukset tai muut kiinteistöt:

Ensimmäisessä alakohdassa tarkoitettuja valtuuksia voi käyttää, jos kaikki seuraavat edellytykset täyttyvät:

2.   Edellä olevan 1 kohdan soveltamiseksi EPV:n, ESMAn tai EIOPAn on sovittava kolmannen maan asiaankuuluvien viranomaisten kanssa hallinnollisista yhteistyöjärjestelyistä mahdollistaakseen niiden tarkastusten sujuvuuden asianomaisessa kolmannessa maassa, joita päävalvoja ja sen tehtävää varten kyseiseen kolmanteen maahan nimetty ryhmä suorittaa, sanotun kuitenkaan rajoittamatta unionin toimielinten ja jäsenvaltioiden toimivaltaa. Kyseisistä järjestelyistä ei saa seurata oikeudellisia velvoitteita unionille ja sen jäsenvaltioille, eivätkä ne saa estää jäsenvaltioita ja niiden toimivaltaisia viranomaisia tekemästä kahden- tai monenvälisiä järjestelyjä kyseisten kolmansien maiden ja näiden asiaankuuluvien viranomaisten kanssa.

Kyseisissä yhteistyöjärjestelyissä täsmennetään vähintään seuraavat seikat:

3.   Kun päävalvoja ei kykene toteuttamaan 1 ja 2 kohdassa tarkoitettuja valvontatoimia unionin ulkopuolella, sen on

Tämän kohdan b alakohdassa tarkoitetut mahdolliset seuraukset on otettava huomioon päävalvojan 35 artiklan 1 kohdan d alakohdan mukaisesti antamissa suosituksissa.

1.   Päävalvoja voi pelkällä pyynnöllä tai tekemällään päätöksellä vaatia kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia toimittamaan kaikki tiedot, jotka ovat tarpeen, jotta päävalvoja voi suorittaa tämän asetuksen mukaiset tehtävänsä, mukaan lukien kaikki asiaankuuluvat liiketoimintaan liittyvät tai operatiiviset asiakirjat, sopimukset, toimintaperiaatteita koskevat asiakirjat, TVT-turvallisuusauditointiraportit, TVT:hen liittyviä poikkeamia koskevat raportit sekä tiedot osapuolista, joille kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli on ulkoistanut operatiivisia tehtäviä tai toimintaa.

2.   Lähettäessään 1 kohdan nojalla tietojensaantia koskevan pyynnön päävalvoja

3.   Päätöksessään, jossa vaaditaan 1 kohdan nojalla toimittamaan tietoja, päävalvoja

4.   Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten edustajien on toimitettava pyydetyt tiedot. Asianmukaisesti valtuutetut lakimiehet voivat antaa pyydetyt tiedot asiakkaidensa nimissä. Kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen on kannettava kuitenkin täysi vastuu, jos annetut tiedot ovat puutteellisia, virheellisiä tai harhaanjohtavia.

5.   Päävalvoja välittää tietojen toimittamista koskevasta päätöksestä viipymättä jäljennöksen asianomaisten kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten palveluja käyttävien finanssiyhteisöjen toimivaltaisille viranomaisille ja yhteiselle valvontaverkostolle.

1.   Voidakseen hoitaa tämän asetuksen mukaiset tehtävänsä päävalvoja, jota avustaa 40 artiklan 1 kohdassa tarkoitettu yhteinen tutkintaryhmä, voi tarvittaessa suorittaa kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia koskevia tutkimuksia.

2.   Päävalvojalla on valtuudet

3.   Päävalvojan 1 kohdassa tarkoitettua tutkimusta suorittamaan valtuuttamien virkamiesten ja muiden henkilöiden on valtuuksiaan käyttäessään esitettävä kirjallinen valtuutus, jossa yksilöidään tutkimuksen kohde ja tarkoitus.

Lisäksi kyseisessä valtuutuksessa on ilmoitettava uhkasakoista, joista 35 artiklan 6 kohdassa säädetään sen varalta, että pyydettyjä asiakirjoja, dataa, dokumentoituja menettelyjä tai mitä tahansa muuta aineistoa taikka vastauksia TVT-palveluntarjoajana olevan kolmannen osapuolen edustajille esitettyihin kysymyksiin ei anneta lainkaan tai niitä ei anneta kokonaisuudessaan.

4.   Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten edustajien on suostuttava tutkimuksiin päävalvojan päätöksen perusteella. Päätöksessä yksilöidään tutkimuksen kohde ja tarkoitus sekä ilmoitetaan 35 artiklan 6 kohdassa säädetyistä uhkasakoista, asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 nojalla käytettävissä olevista oikeussuojakeinoista sekä oikeudesta saattaa päätös Euroopan unionin tuomioistuimen käsiteltäväksi.

5.   Päävalvoja antaa kyseisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen TVT-palveluja käyttävien finanssiyhteisöjen toimivaltaisille viranomaisille hyvissä ajoin ennen tutkimuksen aloittamista tiedon suunnitellusta tutkimuksesta ja sitä suorittamaan valtuutettujen henkilöiden henkilöllisyydestä.

Päävalvoja ilmoittaa yhteiselle valvontaverkostolle kaikki ensimmäisen alakohdan nojalla toimitetut tiedot.

1.   Voidakseen hoitaa tämän asetuksen mukaiset tehtävänsä päävalvoja, jota 40 artiklan 1 kohdassa tarkoitetut yhteiset tutkintaryhmät avustavat, saa mennä TVT-palveluntarjoajana olevien kolmansien osapuolten liiketiloihin, maa-alueille tai kiinteistöihin, kuten päätoimitiloihin, operaatiokeskuksiin ja toissijaisiin tiloihin, ja suorittaa siellä kaikki tarvittavat paikalla tehtävät tarkastukset sekä tehdä tarkastuksia muualla kuin paikalla.

Ensimmäisessä alakohdassa tarkoitettujen valtuuksien käyttämistä varten päävalvojan on kuultava yhteistä valvontaverkostoa.

2.   Virkamiehillä ja muilla henkilöillä, jotka päävalvoja on valtuuttanut tekemään tarkastuksen paikalla, on valtuudet

Virkamiesten ja muiden päävalvojan valtuuttamien henkilöiden on valtuuksiaan käyttäessään esitettävä kirjallinen valtuutus, jossa yksilöidään tutkimuksen kohde ja tarkoitus sekä 35 artiklan 6 kohdassa säädetyt uhkasakot, jos kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten edustajat eivät suostu tarkastukseen.

3.   Päävalvoja antaa kyseistä TVT-palveluntarjoajana olevaa kolmatta osapuolta käyttävien finanssiyhteisöjen toimivaltaisille viranomaisille hyvissä ajoin ennen tarkastusta siitä tiedon.

4.   Tarkastukset kattavat kaikki asiaankuuluvat TVT-järjestelmät, verkot, laitteet, tiedot ja datan, joita käytetään tai jotka myötävaikuttavat TVT-palvelujen tarjoamiseen finanssiyhteisöille.

5.   Ennen suunniteltua paikalla tehtävää tarkastusta päävalvoja ilmoittaa asiasta kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille hyvissä ajoin, jollei se hätätapauksen tai kriisitilanteen vuoksi ole mahdotonta tai jos se johtaisi tilanteeseen, jossa tarkastus tai auditointi ei enää olisi vaikuttava.

6.   Kriittisen TVT-palveluntarjoajan on suostuttava päävalvojan päätöksellä määrättyihin paikalla tehtäviin tarkastuksiin. Päätöksessä yksilöidään tarkastuksen kohde ja tarkoitus, vahvistetaan päivä, jona tarkastus alkaa, ja ilmoitetaan 35 artiklan 6 kohdassa säädetyistä uhkasakoista, asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 nojalla käytettävissä olevista oikeussuojakeinoista sekä oikeudesta saattaa päätös Euroopan unionin tuomioistuimen käsiteltäväksi.

7.   Jos virkamiehet ja muut päävalvojan valtuuttamat henkilöt toteavat, että kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli vastustaa tämän artiklan nojalla määrättyä tarkastusta, päävalvoja ilmoittaa kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle tällaisen vastustuksen seurauksista, mukaan lukien asianomaisten finanssiyhteisöjen toimivaltaisten viranomaisten mahdollisuus vaatia finanssiyhteisöjä irtisanomaan kyseisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tehdyt sopimusjärjestelyt.

1.   Päävalvojaa avustaa valvontatoimien, erityisesti yleisten tutkimusten tai tarkastusten, suorittamisessa kutakin kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta varten perustettu yhteinen tutkintaryhmä.

2.   Edellä 1 kohdassa tarkoitetun yhteisen tutkintaryhmän kokoonpanoon kuuluu seuraavien viranomaisten henkilöstön jäseniä:

Yhteisen tutkintaryhmän jäsenillä on oltava asiantuntemusta TVT-asioista ja operatiivisista riskeistä. Yhteinen tutkintaryhmä toimii nimetyn päävalvojan henkilöstön jäsenen, jäljempänä ’päävalvojan koordinaattori’, koordinoimana.

3.   Päävalvoja antaa valvontafoorumia kuultuaan kolmen kuukauden kuluessa siitä, kun tutkimus tai tarkastus on saatettu päätökseen, 35 artiklassa tarkoitettujen valtuuksien nojalla suosituksia, jotka osoitetaan kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle.

4.   Edellä 3 kohdassa tarkoitetut suositukset annetaan välittömästi tiedoksi kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle ja niiden finanssiyhteisöjen toimivaltaisille viranomaisille, joille se tarjoaa TVT-palveluja.

Valvontatoimien toteuttamiseksi päävalvoja voi ottaa huomioon kaikki asiaankuuluvat kolmannen osapuolen sertifioinnit ja TVT-palveluja tarjoavan kolmannen osapuolen sisäiset tai ulkoiset auditointiraportit, jotka kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli on asettanut saataville.

1.   Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia teknisiksi sääntelystandardeiksi, joissa täsmennetään

2.   Euroopan valvontaviranomaiset toimittavat kyseiset teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä heinäkuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä 1 kohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklassa säädetyn menettelyn mukaisesti.

1.   Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten on 60 kalenteripäivän kuluessa siitä, kun ne ovat vastaanottaneet 35 artiklan 1 kohdan d alakohdan nojalla annetut päävalvojan suositukset, joko ilmoitettava päävalvojalle aikovansa noudattaa suosituksia tai annettava perusteltu selitys tällaisten suositusten noudattamatta jättämiselle. Päävalvoja toimittaa tämän tiedon välittömästi asianomaisten finanssiyhteisöjen toimivaltaisille viranomaisille.

2.   Jos jokin kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli jättää antamatta päävalvojalle 1 kohdan mukaisen ilmoituksen tai jos kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen antamaa selitystä ei pidetä riittävänä, päävalvoja julkistaa tiedon siitä. Julkaistavissa tiedoissa kerrotaan kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen henkilöllisyys sekä tiedot siitä, minkä tyyppisestä ja luonteisesta noudattamatta jättämisestä on kyse. Tällaisten tietojen sisältö rajataan siihen, mikä on merkityksellistä ja suhteellista yleisen tietoisuuden varmistamiseksi, paitsi jos tällainen julkistaminen aiheuttaisi suhteetonta vahinkoa asiaankuuluville osapuolille tai vaarantaa vakavalla tavalla finanssimarkkinoiden asianmukaisen toiminnan ja eheyden tai unionin rahoitusjärjestelmän vakauden kokonaisuudessaan tai osittain.

Päävalvoja ilmoittaa TVT-palveluntarjoajana olevalle kolmannelle osapuolelle kyseisestä tietojen julkistamisesta.

3.   Toimivaltaiset viranomaiset tiedottavat asiaankuuluville finanssiyhteisöille riskeistä, jotka on yksilöity kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille 35 artiklan 1 kohdan d alakohdan mukaisesti osoitetuissa suosituksissa.

Finanssiyhteisöjen on otettava kolmansiin osapuoliin liittyvän TVT-riskin hallinnassa huomioon ensimmäisessä alakohdassa tarkoitetut riskit.

4.   Kun toimivaltainen viranomainen katsoo, ettei finanssiyhteisö ole TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvän riskin hallinnassa ottanut lainkaan tai ei riittävästi huomioon suosituksissa yksilöityjä erityisiä riskejä, se ilmoittaa finanssiyhteisölle siitä mahdollisuudesta, että 60 kalenteripäivän kuluessa tällaisen ilmoituksen vastaanottamisesta tehdään 6 kohdan mukainen päätös, ellei tällaisten riskien hallitsemiseen tarkoitettuja asianmukaisia sopimusjärjestelyjä ole tehty.

5.   Toimivaltaiset viranomaiset voivat 35 artiklan 1 kohdan c alakohdassa tarkoitetut raportit saatuaan ja ennen tämän artiklan 6 kohdassa tarkoitetun päätöksen tekemistä kuulla vapaaehtoispohjalta direktiivin (EU) 2022/2555 mukaisesti nimettyjä tai perustettuja toimivaltaisia viranomaisia, jotka vastaavat kriittiseksi TVT-palveluntarjoajana olevaksi kolmanneksi osapuoleksi nimetyn keskeisen tai tärkeän toimijan, johon sovelletaan kyseistä direktiiviä, valvonnasta.

6.   Toimivaltaiset viranomaiset voivat tämän artiklan 4 ja 5 kohdan mukaisen ilmoittamisen ja tarvittaessa suoritetun kuulemisen jälkeen kaikkein viimeisimpänä toimenpiteenä tehdä 50 artiklan mukaisesti päätöksen, jonka mukaan finanssiyhteisöjä vaaditaan tilapäisesti joko osittain tai kokonaan keskeyttämään kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen tarjoaman palvelun käyttö tai käyttöönotto, kunnes kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille osoitetuissa suosituksissa yksilöityihin riskeihin on puututtu. Ne voivat tarvittaessa vaatia finanssiyhteisöjä kokonaan tai osittain irtisanomaan kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehdyt asiaankuuluvat sopimusjärjestelyt.

7.   Jos kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli kieltäytyy hyväksymästä suosituksia perustuen päävalvojan suosittelemasta poikkeavaan toimintatapaan ja jos tällainen suositellusta poikkeava toimintatapa voi vaikuttaa kielteisesti suureen määrään finanssiyhteisöjä tai merkittävään osaan finanssialaa ja jos toimivaltaisten viranomaisten antamat yksittäiset varoitukset eivät ole johtaneet johdonmukaisiin toimintatapoihin, joilla lievennettäisiin rahoitusjärjestelmän vakauteen kohdistuvaa potentiaalista riskiä, päävalvoja voi valvontafoorumia kuultuaan antaa toimivaltaisille viranomaisille lausuntoja, jotka eivät ole sitovia eivätkä julkisia, tarkoituksena edistää tarvittaessa yhdenmukaisten ja yhtenäisten valvonnan jatkotoimien toteuttamista.

8.   Saatuaan 35 artiklan 1 kohdan c alakohdassa tarkoitetut raportit toimivaltaisten viranomaisten on tämän artiklan 6 kohdassa tarkoitettua päätöstä tehdessään otettava huomioon, minkä tyyppinen ja kuinka suuri on riski, johon kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli ei ole puuttunut, sekä se, kuinka vakavasta laiminlyönnistä on kyse, tarkastellen asiaa seuraavien kriteerien perusteella:

Toimivaltaiset viranomaiset antavat finanssiyhteisöille tarvittavan ajan siihen, että ne voivat mukauttaa kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyjä sopimusjärjestelyjä siten, että vältetään haitalliset vaikutukset niiden digitaaliseen häiriönsietokykyyn, ja ne voivat ottaa käyttöön 28 artiklassa tarkoitetut irtautumisstrategiat ja siirtymäsuunnitelmat.

9.   Tämän artiklan 6 kohdassa tarkoitettu päätös annetaan tiedoksi 32 artiklan 4 kohdan a, b ja c alakohdassa tarkoitetun valvontafoorumin jäsenille ja yhteiselle valvontaverkostolle.

Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten, joita 6 kohdassa säädetyt päätökset koskevat, on tehtävä täysimääräisesti yhteistyötä niiden finanssiyhteisöjen kanssa, joihin asia vaikuttaa, erityisesti niiden sopimusjärjestelyjen keskeyttämisen tai irtisanomisen yhteydessä.

10.   Toimivaltaiset viranomaiset tiedottavat säännöllisesti päävalvojalle noudattamistaan toimintatavoista ja toimenpiteistä, joita ne ovat toteuttaneet finanssiyhteisöihin liittyvissä valvontatehtävissään, sekä finanssiyhteisöjen tekemistä sopimusjärjestelyistä, siinä tapauksessa, että kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet eivät ole kaikilta osin tai lainkaan hyväksyneet päävalvojan niille antamia suosituksia.

11.   Päävalvoja voi antaa pyynnöstä lisäselvityksiä annetuista suosituksista ohjeeksi toimivaltaisille viranomaisille jatkotoimien toteuttamiseen.

1.   Päävalvoja perii tämän artiklan 2 kohdassa tarkoitetun delegoidun säädöksen mukaisesti kriittisiltä TVT-palveluntarjoajana olevilta kolmansilta osapuolilta maksuja, jotka kattavat kokonaan päävalvojan tämän asetuksen mukaisten valvontatehtävien suorittamisesta aiheutuvat välttämättömät menot, mukaan lukien sellaisten kustannusten korvaaminen, joita voi aiheutua 40 artiklassa tarkoitetun yhteisen tutkintaryhmän tekemästä työstä sekä 32 artiklan 4 kohdan toisessa alakohdassa tarkoitettujen riippumattomien asiantuntijoiden antamasta neuvonnasta asioissa, jotka kuuluvat suoraa valvontatoimintaa koskevan toimeksiannon piiriin.

Kriittiseltä TVT-palveluntarjoajana olevalta kolmannelta osapuolelta perittävän maksun on katettava kaikki tässä jaksossa säädettyjen tehtävien suorittamisesta aiheutuvat kustannukset, ja sen on oltava oikeassa suhteessa sen liikevaihtoon.

2.   Siirretään komissiolle valta antaa 57 artiklan mukaisesti delegoitu säädös, jolla täydennetään tätä asetusta määrittämällä maksujen suuruus ja maksutapa, viimeistään 17 päivänä heinäkuuta 2024.

1.   EPV, ESMA ja EIOPA voivat asetusten (EU) N:o 1093/2010, (EU) N:o 1095/2010 ja (EU) N:o 1094/2010 33 artiklan nojalla sopia kolmansien maiden sääntely- ja valvontaviranomaisten kanssa hallinnollisista järjestelyistä, joilla edistetään kolmansiin osapuoliin liittyviä TVT-riskejä koskevaa kansainvälistä yhteistyötä finanssialan eri sektoreilla, erityisesti kehittämällä parhaita käytäntöjä TVT-riskinhallintakäytäntöjen ja -valvonnan, riskinlieventämistoimenpiteiden ja poikkeamiin reagoimisen uudelleentarkastelua varten, sanotun kuitenkaan rajoittamatta tämän asetuksen 36 artiklan soveltamista.

2.   Euroopan valvontaviranomaiset toimittavat yhteiskomitean välityksellä joka viides vuosi Euroopan parlamentille, neuvostolle ja komissiolle yhteisen luottamuksellisen selvityksen, jossa esitetään yhteenveto 1 kohdassa tarkoitettujen kolmansien maiden viranomaisten kanssa käytyjen asiaankuuluvien keskustelujen havainnoista ja erityisesti kolmansiin osapuoliin liittyvän TVT-riskin kehittymisestä ja vaikutuksista rahoitusvakauteen, markkinoiden eheyteen, sijoittajien suojaan ja sisämarkkinoiden toimintaan.

1.   Finanssiyhteisöt voivat vaihtaa keskenään kyberuhkia koskevia tietoja ja tiedustelutietoja, mukaan lukien vaarantumisindikaattorit, taktiikat, tekniikat ja menettelyt, kyberturvallisuushälytykset ja konfigurointivälineet, siltä osin kuin tällainen tietojen ja tiedustelutietojen vaihto

2.   Edellä olevan 1 kohdan c alakohdan soveltamiseksi tietojenvaihtojärjestelyissä on määriteltävä osallistumisedellytykset ja tarvittaessa vahvistettava yksityiskohtaiset säännöt viranomaisten osallistumisesta ja siitä, missä ominaisuudessa viranomaiset voivat osallistua tietojenvaihtojärjestelyihin, TVT-palveluntarjoajana olevien kolmansien osapuolten osallistumisesta sekä operatiivisista elementeistä, mukaan lukien erityisten tietoteknisten alustojen käyttö.

3.   Finanssiyhteisöjen on ilmoitettava toimivaltaisille viranomaisille osallistumisestaan 1 kohdassa tarkoitettuihin tietojenvaihtojärjestelyihin, kun niiden jäsenyys on vahvistettu, tai tapauksen mukaan jäsenyytensä päättymisestä, kun se tulee voimaan.

1.   Jotta voitaisiin edistää yhteistyötä ja mahdollistaa valvontaa koskevien tietojen vaihto tämän asetuksen nojalla nimettyjen toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 14 artiklalla perustetun yhteistyöryhmän välillä, Euroopan valvontaviranomaiset ja toimivaltaiset viranomaiset voivat osallistua yhteistyöryhmän toimintaan asioissa, jotka koskevat niiden valvontatoimia finanssilaitosten osalta. Euroopan valvontaviranomaiset ja toimivaltaiset viranomaiset voivat pyytää, että ne kutsutaan osallistumaan yhteistyöryhmän toimintaan asioissa, jotka koskevat keskeisiä tai tärkeitä toimijoita, joihin sovelletaan direktiiviä (EU) 2022/2555 ja jotka on myös nimetty tämän asetuksen 31 artiklan mukaisesti kriittisiksi TVT-palveluntarjoajana oleviksi kolmansiksi osapuoliksi.

2.   Toimivaltaiset viranomaiset voivat tarvittaessa kuulla direktiivin (EU) 2022/2555 mukaisesti nimettyjä tai perustettuja keskitettyjä yhteyspisteitä ja CSIRT-yksiköitä sekä vaihtaa tietoja niiden kanssa.

3.   Toimivaltaiset viranomaiset voivat tarvittaessa pyytää asiaankuuluvaa teknistä neuvontaa ja apua direktiivin (EU) 2022/2555 mukaisesti nimetyiltä tai perustetuilta toimivaltaisilta viranomaisilta ja sopia yhteistyöjärjestelyistä, joiden perusteella voidaan ottaa käyttöön tehokkaita ja nopeaan reagointiin pystyviä koordinointimekanismeja.

4.   Tämän artiklan 3 kohdassa tarkoitetuissa järjestelyissä voidaan muun muassa täsmentää koordinointimenettelyt valvontatoimille, jotka koskevat tämän asetuksen 31 artiklan nojalla kriittisiksi TVT-palveluntarjoajana oleviksi kolmansiksi osapuoliksi nimettyjä keskeisiä tai tärkeitä toimijoita, joihin sovelletaan direktiiviä (EU) 2022/2555, mukaan lukien menettelyt tutkimusten ja paikalla suoritettavien tarkastusten suorittamiseen kansallisen lainsäädännön mukaisesti sekä menettelyt tämän asetuksen mukaisten toimivaltaisten viranomaisten ja kyseisen direktiivin mukaisesti nimettyjen tai perustettujen toimivaltaisten viranomaisten välisen tiedonvaihdon mekanismeille, mihin sisältyy myös oikeus saada käyttöön viimeksi mainittujen viranomaisten pyytämät tiedot.

1.   Toimivaltaiset viranomaiset tekevät läheistä yhteistyötä keskenään ja tarvittaessa päävalvojan kanssa.

2.   Toimivaltaiset viranomaiset ja päävalvoja vaihtavat hyvissä ajoin keskenään kaikkia kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia koskevia asiaankuuluvia tietoja, joita ne tarvitsevat hoitaakseen tämän asetuksen mukaiset tehtävänsä, erityisesti tietoja päävalvojan valvontatehtävien yhteydessä määritellyistä riskeistä, toimintatavoista ja toimenpiteistä.

1.   Euroopan valvontaviranomaiset voivat yhteiskomitean välityksellä ja yhteistyössä toimivaltaisten viranomaisten, direktiivin 2014/59/EU 3 artiklassa tarkoitettujen kriisinratkaisuviranomaisten, EKP:n, asetuksen (EU) N:o 806/2014 soveltamisalaan kuuluviin yhteisöihin liittyvien tietojen osalta yhteisen kriisinratkaisuneuvoston, EJRK:n ja ENISAn kanssa ottaa tarvittaessa käyttöön mekanismeja, joiden avulla voidaan jakaa toimivia käytäntöjä finanssialan eri sektoreiden välillä tilannetietoisuuden parantamiseksi ja yhteisten kyberhaavoittuvuuksien ja -riskien tunnistamiseksi eri sektoreilla.

Ne voivat kehittää kriisinhallinta- ja valmiusharjoituksia, joihin sisältyy kyberhyökkäysskenaarioita, jotta voidaan kehittää viestintäkanavia ja asteittain mahdollistaa toimiva koordinoitu reagointi unionin tasolla, jos ilmenee laajavaikutteinen rajatylittävä TVT:hen liittyvä poikkeama tai siihen liittyvä uhka, jolla on järjestelmävaikutuksia unionin finanssialaan kokonaisuutena.

Kyseisillä harjoituksilla voidaan tarvittaessa testata myös finanssialan riippuvuutta muista talouden aloista.

2.   Toimivaltaisten viranomaisten, Euroopan valvontaviranomaisten ja EKP:n on tehtävä tiivistä yhteistyötä keskenään ja vaihdettava tietoja suorittaakseen 47–54 artiklassa säädetyt tehtävänsä. Niiden on koordinoitava tiiviisti valvontatoimiaan havaitakseen ja korjatakseen tämän asetuksen rikkomiset, kehittääkseen ja edistääkseen parhaita käytäntöjä, helpottaakseen yhteistyötä, parantaakseen tulkinnan johdonmukaisuutta ja antaakseen toisia oikeudenkäyttöalueita koskevia arviointeja erimielisyystilanteissa.

1.   Toimivaltaisilla viranomaisilla on oltava kaikki tämän asetuksen mukaisten tehtäviensä hoitamiseen tarvittavat valtuudet valvoa, tutkia ja määrätä seuraamuksia.

2.   Edellä 1 kohdassa tarkoitettuihin valtuuksiin on kuuluttava ainakin seuraavat valtuudet:

3.   Jäsenvaltioiden on vahvistettava säännöt, jotka koskevat tämän asetuksen rikkomiseen liittyviä asianmukaisia hallinnollisia seuraamuksia ja korjaavia toimenpiteitä, ja varmistettava niiden tehokas täytäntöönpano, sanotun kuitenkaan rajoittamatta jäsenvaltioiden oikeutta määrätä rikosoikeudellisia seuraamuksia 52 artiklan mukaisesti.

Kyseisten seuraamusten ja toimenpiteiden on oltava tehokkaita, oikeasuhteisia ja varoittavia.

4.   Jäsenvaltioiden on annettava tämän asetuksen rikkomistapauksissa toimivaltaisille viranomaisille valtuudet soveltaa ainakin seuraavia hallinnollisia seuraamuksia tai korjaavia toimenpiteitä:

5.   Jos 2 kohdan c alakohtaa ja 4 kohtaa sovelletaan oikeushenkilöihin, jäsenvaltioiden on annettava toimivaltaisille viranomaisille toimivalta soveltaa kansallisessa lainsäädännössä säädetyin edellytyksin hallinnollisia seuraamuksia ja korjaavia toimenpiteitä ylimmän hallintoelimen jäseniin ja muihin luonnollisiin henkilöihin, jotka ovat kansallisen lainsäädännön mukaan vastuussa rikkomisesta.

6.   Jäsenvaltioiden on varmistettava, että kaikki päätökset, joilla määrätään 2 kohdan c alakohdassa säädettyjä hallinnollisia seuraamuksia tai korjaavia toimenpiteitä, ovat asianmukaisesti perusteltuja ja että niihin voidaan hakea muutosta.

1.   Toimivaltaisten viranomaisten on käytettävä valtuuksiaan määrätä 50 artiklassa tarkoitettuja hallinnollisia seuraamuksia ja korjaavia toimenpiteitä kansallisen oikeudellisen kehyksensä mukaisesti tapauksen mukaan

2.   Kun toimivaltaiset viranomaiset määrittävät 50 artiklan mukaisesti määrättävän hallinnollisen seuraamuksen tai korjaavan toimenpiteen tyyppiä ja tasoa, niiden on otettava huomioon, missä määrin rikkominen on tahallinen tai tuottamuksellinen, ja kaikki muut asiaan vaikuttavat olosuhteet, mukaan lukien tapauksen mukaan seuraavat:

1.   Jäsenvaltiot voivat päättää, että ne eivät säädä hallinnollisia seuraamuksia tai korjaavia toimenpiteitä koskevia sääntöjä sellaisten rikkomisten osalta, joihin sovelletaan niiden kansallisen lainsäädännön mukaisia rikosoikeudellisia seuraamuksia.

2.   Jos jäsenvaltiot ovat päättäneet säätää rikosoikeudellisista seuraamuksista tämän asetuksen rikkomisesta, niiden on varmistettava, että on toteutettu asianmukaiset toimenpiteet, jotta toimivaltaisilla viranomaisilla on kaikki tarvittavat valtuudet olla yhteydessä oikeus- ja syyttäjäviranomaisiin tai rikosoikeusviranomaisiin niiden lainkäyttöalueella vastaanottaakseen tietoja rikosoikeudellisista tutkimuksista tai menettelyistä, jotka on käynnistetty tämän asetuksen rikkomisen vuoksi, ja antaakseen samat tiedot muille toimivaltaisille viranomaisille sekä EPV:lle, ESMAlle tai EIOPAlle, jotta ne voivat täyttää yhteistyövelvoitteensa tätä asetusta sovellettaessa.

1.   Toimivaltaisten viranomaisten on julkaistava virallisilla verkkosivustoillaan ilman aiheetonta viivytystä kaikki hallinnollisen seuraamuksen määräämistä koskevat päätökset, joihin ei voi hakea muutosta, sen jälkeen, kun kyseinen päätös on annettu tiedoksi seuraamuksen kohteena olevalle henkilölle.

2.   Edellä 1 kohdassa tarkoitetun julkaisemisen on sisällettävä tiedot rikkomisen tyypistä ja luonteesta, tiedot vastuussa olevista henkilöistä sekä määrätyt seuraamukset.

3.   Jos toimivaltainen viranomainen tapauskohtaisen arvioinnin perusteella katsoo, että oikeushenkilöiden henkilöllisyyden tai luonnollisten henkilöiden henkilöllisyyden ja henkilötietojen julkaiseminen olisi kohtuutonta, mukaan lukien henkilötietojen suojaan liittyvät riskit, tai vaarantaisi finanssimarkkinoiden vakauden tai meneillään olevan rikostutkinnan tai aiheuttaisi asianomaiselle henkilölle kohtuutonta vahinkoa sikäli kuin vahinko on arvioitavissa, sen on valittava hallinnollisen seuraamuksen määräämistä koskevan päätöksen suhteen jokin seuraavista ratkaisuista:

4.   Jos kyseessä on päätös julkaista hallinnollinen seuraamus 3 kohdan b alakohdan mukaisesti ilman nimiä, kyseiset tiedot voidaan julkaista myöhemmin.

5.   Jos toimivaltainen viranomainen julkaisee hallinnollisen seuraamuksen määräämistä koskevan päätöksen, johon haetaan muutosta asianomaisilta oikeusviranomaisilta, toimivaltaisten viranomaisten on välittömästi lisättävä viralliselle verkkosivustolleen tämä tieto ja myöhemmissä vaiheissa kaikki myöhemmät asiaan liittyvät tiedot tällaisen muutoksenhaun lopputuloksesta. Lisäksi on julkaistava kaikki tuomioistuimen päätökset, joilla kumotaan hallinnollisen seuraamuksen määräämistä koskeva päätös.

6.   Toimivaltaisten viranomaisten on varmistettava, että 1–4 kohdassa tarkoitetut julkaistut tiedot pysyvät niiden virallisella verkkosivustolla vain sen ajan, joka on tarpeen tämän artiklan tarkoituksen täyttämiseksi. Kyseinen ajanjakso saa olla korkeintaan viisi vuotta tietojen julkaisemisesta.

1.   Tämän asetuksen nojalla saatuja, vaihdettuja tai toimitettuja luottamuksellisia tietoja koskee 2 kohdassa säädetty salassapitovelvollisuus.

2.   Salassapitovelvollisuutta sovelletaan kaikkiin, jotka tämän asetuksen nojalla työskentelevät tai ovat työskennelleet toimivaltaisen viranomaisen tai sellaisten viranomaisten tai markkinoilla toimivien yritysten tai luonnollisen henkilön tai oikeushenkilön palveluksessa, joille toimivaltaiset viranomaiset ovat siirtäneet valtuuksiaan, mukaan lukien niiden kanssa sopimuksen tehneet auditoijat ja asiantuntijat.

3.   Salassapitovelvollisuuden piiriin kuuluvaa tietoa, mukaan lukien tämän asetuksen mukaisten toimivaltaisten viranomaisten ja direktiivin (EU) 2022/2555 mukaisesti nimettyjen tai perustettujen toimivaltaisten viranomaisten välinen tiedonvaihto, ei saa ilmaista toiselle henkilölle eikä toiselle viranomaiselle, jollei unionin oikeudessa tai kansallisessa lainsäädännössä toisin säädetä.

4.   Kaikki toimivaltaisten viranomaisten välillä tämän asetuksen nojalla vaihdetut tiedot, jotka koskevat liiketoiminta- tai toimintaolosuhteita ja muita taloudellisia tai henkilökohtaisia asioita, on katsottava luottamuksellisiksi ja niihin on sovellettava salassapitovelvollisuutta koskevia vaatimuksia, paitsi jos toimivaltainen viranomainen ilmoittaa tietoja toimittaessaan, että tällaiset tiedot saa luovuttaa, tai jos niiden luovuttaminen on tarpeen oikeudenkäyntiä varten.

1.   Euroopan valvontaviranomaisilla ja toimivaltaisilla viranomaisilla on lupa käsitellä henkilötietoja vain siltä osin, mikä on tarpeen niille tämän asetuksen nojalla kuuluvien velvoitteiden ja tehtävien täyttämiseksi erityisesti tutkintojen, tarkastusten, tietopyyntöjen, viestinnän, tietojen julkistamisen, arviointien, todentamisten, arvioinnin ja valvontasuunnitelmien laatimisen yhteydessä. Henkilötietoja on käsiteltävä tapauksen mukaan asetuksen (EU) 2016/679 tai asetuksen (EU) 2018/1725 mukaisesti.

2.   Jollei muissa alakohtaisissa säädöksissä toisin säädetä, 1 kohdassa tarkoitettuja henkilötietoja säilytetään siihen saakka, kunnes sovellettavat valvontatehtävät on suoritettu, ja joka tapauksessa enintään 15 vuoden ajan, ellei vireillä ole tuomioistuinkäsittelyä, joka edellyttää tällaisten tietojen säilyttämistä tuota pidemmän ajan.

1.   Komissiolle siirrettyä valtaa antaa delegoituja säädöksiä koskevat tässä artiklassa säädetyt edellytykset.

2.   Siirretään komissiolle 17 päivästä tammikuuta 2024 viiden vuoden ajaksi 31 artiklan 6 kohdassa ja 43 artiklan 2 kohdassa tarkoitettu valta antaa delegoituja säädöksiä. Komissio laatii siirrettyä säädösvaltaa koskevan kertomuksen viimeistään yhdeksän kuukautta ennen tämän viiden vuoden kauden päättymistä. Säädösvallan siirtoa jatketaan ilman eri toimenpiteitä samanpituisiksi kausiksi, jollei Euroopan parlamentti tai neuvosto vastusta tällaista jatkamista viimeistään kolme kuukautta ennen kunkin kauden päättymistä.

3.   Euroopan parlamentti tai neuvosto voi milloin tahansa peruuttaa 31 artiklan 6 kohdassa ja 43 artiklan 2 kohdassa tarkoitetun säädösvallan siirron. Peruuttamispäätöksellä lopetetaan tuossa päätöksessä mainittu säädösvallan siirto. Peruuttaminen tulee voimaan sitä päivää seuraavana päivänä, jona sitä koskeva päätös julkaistaan Euroopan unionin virallisessa lehdessä, tai jonakin myöhempänä, kyseisessä päätöksessä mainittuna päivänä. Peruuttamispäätös ei vaikuta jo voimassa olevien delegoitujen säädösten pätevyyteen.

4.   Ennen kuin komissio hyväksyy delegoidun säädöksen, se kuulee kunkin jäsenvaltion nimeämiä asiantuntijoita paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa vahvistettujen periaatteiden mukaisesti.

5.   Heti kun komissio on antanut delegoidun säädöksen, komissio antaa sen tiedoksi yhtäaikaisesti Euroopan parlamentille ja neuvostolle.

6.   Edellä olevien 31 artiklan 6 kohdan ja 43 artiklan 2 kohdan nojalla annettu delegoitu säädös tulee voimaan ainoastaan, jos Euroopan parlamentti tai neuvosto ei ole kolmen kuukauden kuluessa siitä, kun asianomainen säädös on annettu tiedoksi Euroopan parlamentille ja neuvostolle, ilmaissut vastustavansa sitä tai jos sekä Euroopan parlamentti että neuvosto ovat ennen mainitun määräajan päättymistä ilmoittaneet komissiolle, että ne eivät vastusta säädöstä. Euroopan parlamentin tai neuvoston aloitteesta tätä määräaikaa jatketaan kolmella kuukaudella.

1.   Komissio toteuttaa, tarvittaessa Euroopan valvontaviranomaisia ja EJRK:ta kuultuaan, viimeistään 17 päivänä tammikuuta 2028 uudelleentarkastelun ja toimittaa Euroopan parlamentille ja neuvostolle kertomuksen, tarvittaessa yhdessä lainsäädäntöehdotuksen kanssa. Uudelleentarkastelun on katettava vähintään seuraavat osa-alueet:

2.   Komissio arvioi direktiivin (EU) 2015/2366 uudelleentarkastelun yhteydessä tarvetta vahvistaa maksujärjestelmien ja maksunkäsittelytoimintojen häiriönsietokykyä kyberuhkien varalta sekä sitä, onko aiheellista laajentaa tämän asetuksen soveltamisala koskemaan maksujärjestelmien ylläpitäjiä ja maksunkäsittelytoimintojen alalla toimivia yhteisöjä. Komissio antaa tämän arvioinnin pohjalta osana direktiivin (EU) 2015/2366 uudelleentarkastelua kertomuksen Euroopan parlamentille ja neuvostolle viimeistään 17 päivänä heinäkuuta 2023.

Komissio voi kyseisen uudelleentarkastelukertomuksen pohjalta ja Euroopan valvontaviranomaisia, EKP:tä ja EJRK:ta kuultuaan antaa tarvittaessa ja osana säädösehdotusta, jonka se voi antaa direktiivin (EU) 2015/2366 108 artiklan toisen kohdan mukaisesti, ehdotuksen sen varmistamiseksi, että kaikki maksujärjestelmien ylläpitäjät ja maksunkäsittelytoimintojen alalla toimivat yhteisöt kuuluvat asianmukaisen valvonnan piiriin, ottaen samalla huomioon olemassa olevan keskuspankin suorittaman valvonnan.

3.   Komissio toteuttaa Euroopan valvontaviranomaisia ja Euroopan tilintarkastajien valvontaelinten komiteaa kuultuaan viimeistään 17 päivänä tammikuuta 2026 uudelleentarkastelun ja toimittaa Euroopan parlamentille ja neuvostolle kertomuksen, tarvittaessa yhdessä lainsäädäntöehdotuksen kanssa, sen aiheellisuudesta, että lakisääteisiä tilintarkastajia ja tilintarkastusyrityksiä koskevia vaatimuksia tiukennetaan digitaalisen häiriönsietokyvyn osalta sisällyttämällä lakisääteiset tilintarkastajat ja tilintarkastusyritykset tämän asetuksen soveltamisalaan tai muuttamalla Euroopan parlamentin ja neuvoston direktiiviä 2006/43/EY (39).