1.   Siekiant užtikrinti aukšto bendro lygio skaitmeninės veiklos atsparumą, šiuo reglamentu nustatomi šie vienodi reikalavimai dėl tinklų ir informacinių sistemų, kuriomis palaikomi finansų sektoriaus subjektų veiklos procesai, saugumo:

2.   Finansų sektoriaus subjektų, kurie pagal nacionalines taisykles, kuriomis į nacionalinę teisę perkeliamas Direktyvos (ES) 2022/2555 3 straipsnis, laikomi esminiais ar svarbiais subjektais, atžvilgiu šis reglamentas laikomas konkrečiam sektoriui taikomu Sąjungos teisės aktu tos direktyvos 4 straipsnio tikslais.

3.   Šiuo reglamentu nedaromas poveikis valstybių narių atsakomybei, susijusiai su esminėmis valstybinėmis funkcijomis, susijusiomis su visuomenės saugumu, gynyba ir nacionaliniu saugumu, pagal Sąjungos teisę.

1.   Nedarant poveikio 3 ir 4 dalims, šis reglamentas taikomas šiems subjektams:

2.   Šiame reglamente 1 dalies a–t punktuose nurodyti subjektai kartu vadinami „finansų sektoriaus subjektais“.

3.   Šis reglamentas netaikomas:

4.   Valstybės narės gali šio reglamento netaikyti Direktyvos 2013/36/ES 2 straipsnio 5 dalies 4–23 punktuose nurodytais subjektais, esančiais jų atitinkamose teritorijose. Jei valstybė narė pasinaudoja tokia galimybe, ji apie tai ir visus vėlesnius jos pakeitimus praneša Komisijai. Komisija tą informaciją viešai paskelbia savo interneto svetainėje arba sudaro sąlygas visuomenei susipažinti su ja kitu lengvai prieinamu būdu.

1.   Finansų sektoriaus subjektai įgyvendina II skyriuje nustatytas taisykles laikydamiesi proporcingumo principo, atsižvelgdami į savo įmonės dydį ir bendrą rizikos profilį, taip pat paslaugų, veiklos ir operacijų pobūdį, mastą ir sudėtingumą.

2.   Be to, III, IV skyrių ir V skyriaus I skirsnio taikymas finansų sektoriaus subjektams turi būti proporcingas jų įmonės dydžiui ir bendram rizikos profiliui, taip pat jų paslaugų, veiklos ir operacijų pobūdžiui, mastui ir sudėtingumui, kaip konkrečiai numatyta atitinkamose tuose skyriuose išdėstytose taisyklėse.

3.   Kompetentingos institucijos, peržiūrėdamos IRT rizikos valdymo sistemos nuoseklumą, apsvarsto, kaip finansų sektoriaus subjektai taiko proporcingumo principą, remdamosi ataskaitomis, pateiktomis kompetentingų institucijų prašymu pagal 6 straipsnio 5 dalį ir 16 straipsnio 2 dalį.

1.   Finansų sektoriaus subjektai pagal 6 straipsnio 4 dalį įdiegia vidaus valdymo ir kontrolės sistemą, kuria užtikrinamas veiksmingas ir prudencinis IRT rizikos valdymas, kad būtų užtikrintas aukšto lygio skaitmeninės veiklos atsparumas.

2.   Finansų sektoriaus subjekto valdymo organas nustato, tvirtina, prižiūri visų priemonių, susijusių su 6 straipsnio 1 dalyje nurodyta IRT rizikos valdymo sistema, įgyvendinimą ir už jį atsako.

Taikant pirmą pastraipą, valdymo organas:

3.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, sukuria pareigybę, skirtą susitarimų, sudarytų su IRT paslaugas teikiančiomis trečiosiomis šalimis dėl IRT paslaugų naudojimo, stebėsenai, arba paskiria vyresniosios vadovybės narį, atsakingą už gresiančios susijusios rizikos ir atitinkamų dokumentų priežiūrą.

4.   Finansų sektoriaus subjekto valdymo organo nariai aktyviai siekia turėti naujausių pakankamų žinių ir įgūdžių IRT rizikai ir jos poveikiui finansų sektoriaus subjekto operacijoms suprasti ir įvertinti, be kita ko, reguliariai dalyvaudami specialiuose mokymuose, parengtuose atsižvelgiant į valdomą IRT riziką.

1.   Finansų sektoriaus subjektai kaip savo bendros rizikos valdymo sistemos dalį turi turėti patikimą, išsamią ir gerai dokumentais pagrįstą IRT rizikos valdymo sistemą, kuri jiems leistų greitai, veiksmingai ir išsamiai mažinti IRT riziką ir užtikrinti aukšto lygio skaitmeninės veiklos atsparumą.

2.   IRT rizikos valdymo sistema apima bent strategijas, politiką, procedūras, IRT protokolus ir priemones, kurie yra būtini siekiant deramai ir tinkamai apsaugoti visą informacinį turtą ir IRT turtą, įskaitant kompiuterių programinę įrangą, aparatinę įrangą, serverius, taip pat apsaugoti visus atitinkamus fizinius komponentus ir infrastruktūras, tokius kaip patalpos, duomenų centrai ir jautrios specialios zonos, kad būtų užtikrinta, kad visas informacinis turtas ir IRT turtas būtų tinkamai apsaugotas nuo rizikos, įskaitant žalą ir neteisėtą prieigą ar naudojimą.

3.   Pagal savo IRT rizikos valdymo sistemą finansų sektoriaus subjektai kuo labiau sumažina IRT rizikos poveikį įgyvendindami atitinkamas strategijas, politiką, procedūras, IRT protokolus ir priemones. Jie kompetentingoms institucijoms jų prašymu pateikia išsamią ir atnaujintą informaciją apie IRT riziką ir apie savo IRT rizikos valdymo sistemą.

4.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, priskiria atsakomybę už IRT rizikos valdymą ir priežiūrą kontrolės funkcijai ir užtikrina tinkamą tokios kontrolės funkcijos nepriklausomumo lygį, kad būtų išvengta interesų konfliktų. Finansų sektoriaus subjektai užtikrina tinkamą IRT rizikos valdymo funkcijų, kontrolės funkcijų ir vidaus audito funkcijų atskyrimą ir nepriklausomumą pagal trijų gynybos linijų modelį arba vidaus rizikos valdymo ir kontrolės modelį.

5.   IRT rizikos valdymo sistema pagrindžiama dokumentais ir peržiūrima bent kartą per metus arba – labai mažų įmonių atveju – periodiškai, taip pat įvykus dideliems su IRT susijusiems incidentams ir laikantis priežiūros nurodymų ar išvadų, padarytų atlikus atitinkamus skaitmeninės veiklos atsparumo testavimo arba audito procesus. Ji nuolat tobulinama remiantis įgyvendinimo ir stebėsenos patirtimi. Kompetentingai institucijai paprašius, jai pateikiama IRT rizikos valdymo sistemos peržiūros ataskaita.

6.   Finansų sektoriaus subjektų, išskyrus labai mažas įmones, IRT rizikos valdymo sistemai taikomas vidaus auditas, kurį reguliariai atlieka auditoriai pagal finansų sektoriaus subjektų audito planą. Tie auditoriai turi turėti pakankamai žinių, įgūdžių ir patirties IRT rizikos srityje, taip pat jų nepriklausomumas turi būti tinkamo lygio. IRT auditų dažnumas ir tikrinami aspektai turi atitikti finansų sektoriaus subjekto IRT riziką.

7.   Remdamiesi vidaus audito peržiūros išvadomis, finansų sektoriaus subjektai nustato oficialų tolesnių veiksmų procesą, įskaitant taisykles, pagal kurias laiku patikrinami ir ištaisomi svarbiausi IRT audito nustatyti trūkumai.

8.   Į IRT rizikos valdymo sistemą įtraukiama skaitmeninės veiklos atsparumo strategija, kurioje nustatoma, kaip sistema turi būti įgyvendinama. Tuo tikslu skaitmeninės veiklos atsparumo strategija apima IRT rizikos mažinimo ir konkrečių IRT tikslų įgyvendinimo metodus:

9.   Finansų sektoriaus subjektai gali skaitmeninės veiklos atsparumo strategijos, nurodytos 8 dalyje, kontekste apibrėžti holistinę IRT kelių pardavėjų strategiją grupės ar subjekto lygmeniu, parodant pagrindinę priklausomybę nuo IRT paslaugas teikiančių trečiųjų šalių ir pateikiant pirkimo iš įvairių IRT paslaugas teikiančių trečiųjų šalių loginį pagrindimą.

10.   Finansų sektoriaus subjektai gali, laikydamiesi Sąjungos ir nacionalinės sektorių teisės, perduoti grupės vidaus arba išorės įmonėms užduotis tikrinti atitiktį IRT rizikos valdymo reikalavimams. Tokio užduočių perdavimo atveju finansų sektoriaus subjektas išlieka visiškai atsakingas už atitikties IRT rizikos valdymo reikalavimams tikrinimą.

1.   Pagal 6 straipsnio 1 dalyje nurodytą IRT rizikos valdymo sistemą finansų sektoriaus subjektai nustato, klasifikuoja ir tinkamai pagrindžia dokumentais visas IRT palaikomas veiklos funkcijas, vaidmenis ir pareigas, informacinį turtą ir IRT turtą, kuriais palaikomos šios funkcijos, taip pat jų vaidmenis ir priklausomybę, kiek tai susiję su IRT rizika. Prireikus ir bent kartą per metus finansų sektoriaus subjektai peržiūri šio klasifikavimo ir atitinkamų dokumentų tinkamumą.

2.   Finansų sektoriaus subjektai nuolat nustato visus IRT rizikos, visų pirma rizikos kitų finansų sektoriaus subjektų atžvilgiu ir pastarųjų keliamos rizikos, šaltinius ir vertina kibernetines grėsmes ir IRT pažeidžiamumus, susijusius su jų IRT palaikomomis veiklos funkcijomis, informaciniu turtu ir IRT turtu. Finansų sektoriaus subjektai reguliariai ir bent kartą per metus peržiūri jiems poveikį darančius rizikos scenarijus.

3.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, atlieka rizikos vertinimą po kiekvieno svarbaus tinklų ir informacinių sistemų infrastruktūros, procesų ar procedūrų, turinčių įtakos jų IRT palaikomoms veiklos funkcijoms, informaciniam turtui ar IRT turtui, pakeitimo.

4.   Finansų sektoriaus subjektai įvardija visą informacinį turtą ir IRT turtą, įskaitant esantį nutolusiose vietose, tinklo išteklius ir aparatinę įrangą ir pažymi tuos, kurie laikomi esančiais ypatingos svarbos. Jie pažymi informacinio turto ir IRT turto konfigūraciją ir skirtingo informacinio turto ir IRT turto sąsajas ir tarpusavio priklausomybę.

5.   Finansų sektoriaus subjektai nustato ir dokumentais pagrindžia visus procesus, kurie priklauso nuo IRT paslaugas teikiančių trečiųjų šalių, ir nustato tarpusavio sąsajas su IRT paslaugas teikiančiomis trečiosiomis šalimis, kurios teikia paslaugas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos.

6.   1, 4 ir 5 dalių tikslais finansų sektoriaus subjektai tvarko atitinkamus aprašus ir juos atnaujina reguliariai ir kiekvieną kartą, kai padaromas esminis pakeitimas, kaip nurodyta 3 dalyje.

7.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, reguliariai ir bent kartą per metus atlieka specialų visų senųjų IRT sistemų IRT rizikos vertinimą; bet kuriuo atveju jis atliekamas prieš technologijų, programų ar sistemų sujungimą ir po jo.

1.   Siekdami tinkamai apsaugoti IRT sistemas ir parengti reagavimo priemones, finansų sektoriaus subjektai nuolat stebi ir kontroliuoja IRT sistemų ir priemonių saugumą ir veikimą ir kuo labiau mažina IRT rizikos poveikį IRT sistemoms, diegdami tinkamas IRT saugumo priemones, politikos priemones ir procedūras.

2.   Finansų sektoriaus subjektai rengia, įsigyja ir įgyvendina IRT saugumo politiką, procedūras, protokolus ir priemones, kuriais siekiama užtikrinti IRT sistemų, visų pirma palaikančių ypatingos svarbos arba svarbias funkcijas, atsparumą, tęstinumą ir prieinamumą, taip pat išlaikyti aukštus saugomų, naudojamų ar perduodamų duomenų prieinamumo, autentiškumo, vientisumo ir konfidencialumo standartus.

3.   Kad pasiektų 2 dalyje nurodytus tikslus, finansų sektoriaus subjektai naudoja IRT sprendimus ir procesus, kurie yra tinkami pagal 4 straipsnį. Tais IRT sprendimais ir procesais:

4.   Pagal 6 straipsnio 1 dalyje nurodytą IRT rizikos valdymo sistemą finansų sektoriaus subjektai:

Pirmos pastraipos b punkto tikslais finansų sektoriaus subjektai tinklų ryšio infrastruktūrą kuria taip, kad būtų galimybė ją skubiai atjungti ar segmentuoti, siekiant kuo labiau sumažinti plintantį neigiamą poveikį ir užkirsti jam kelią, ypač tarpusavyje susijusių finansinių procesų atveju.

Pirmos pastraipos e punkto tikslais IRT pakeitimų valdymo procesas tvirtinamas atitinkamų tiesioginių vadovų ir nustatomi konkretūs protokolai.

1.   Pagal 17 straipsnį finansų sektoriaus subjektai turi būti įdiegę mechanizmus, skirtus neįprastai veiklai, įskaitant IRT tinklo veikimo problemas ir su IRT susijusius incidentus, skubiai aptikti ir galimiems reikšmingiems bendriems gedimo taškams nustatyti.

Visi pirmoje pastraipoje nurodyti aptikimo mechanizmai reguliariai testuojami pagal 25 straipsnį.

2.   1 dalyje nurodytais aptikimo mechanizmais sudaromos sąlygos keliems kontrolės lygmenims, nustatomos įspėjimo ribos ir kriterijai, pagal kuriuos būtų galima pradėti ir inicijuoti reagavimo į su IRT susijusius incidentus procesus, įskaitant automatinius įspėjimo mechanizmus atitinkamiems darbuotojams, atsakingiems už reagavimą į su IRT susijusius incidentus.

3.   Finansų sektoriaus subjektai skiria pakankamai išteklių ir pajėgumų stebėti naudotojų veiklą, neįprastą IRT veiklą ir su IRT susijusius incidentus, visų pirma kibernetinius išpuolius.

4.   Be to, duomenų paslaugų teikėjai turi būti įdiegę sistemas, kuriomis galima veiksmingai patikrinti prekybos pranešimų išsamumą, nustatyti praleidimus bei akivaizdžias klaidas ir kuriose reikalaujama tuos pranešimus pateikti iš naujo.

1.   Pagal 6 straipsnio 1 dalyje nurodytą IRT rizikos valdymo sistemą, remdamiesi 8 straipsnyje nurodytais nustatymo reikalavimais, finansų sektoriaus subjektai įdiegia išsamią IRT veiklos tęstinumo politiką, kuri gali būti priimta kaip speciali specifinė politika, sudaranti neatsiejamą finansų sektoriaus subjekto bendros veiklos tęstinumo politikos dalį.

2.   Finansų sektoriaus subjektai įgyvendina IRT veiklos tęstinumo politiką taikydami specialius, tinkamus ir dokumentais pagrįstus susitarimus, planus, procedūras ir mechanizmus, kuriais siekiama:

3.   Pagal 6 straipsnio 1 dalyje nurodytą IRT rizikos valdymo sistemą finansų sektoriaus subjektai įgyvendina susijusius IRT reagavimo ir veiklos atkūrimo planus, kuriems finansų sektoriaus subjektų, išskyrus labai mažas įmones, atveju taikomos nepriklausomo vidaus audito peržiūros.

4.   Finansų sektoriaus subjektai nustato, taiko ir periodiškai testuoja atitinkamus IRT veiklos tęstinumo planus, visų pirma susijusius su ypatingos svarbos arba svarbiomis funkcijomis, kurių vykdymas perduotas arba pagal susitarimus patikėtas vykdyti IRT paslaugas teikiančioms trečiosioms šalims.

5.   Pagal bendrą veiklos tęstinumo politiką finansų sektoriaus subjektai atlieka didelių verslo sutrikdymų rizikos poveikio verslui analizę. Vykdydami poveikio verslui analizę finansų sektoriaus subjektai įvertina galimą didelių verslo sutrikdymų poveikį taikydami kiekybinius ir kokybinius kriterijus, atitinkamai naudodami vidaus ir išorės duomenis ir scenarijų analizę. Poveikio verslui analizėje atsižvelgiama į nustatytų ir pažymėtų veiklos funkcijų ypatingą svarbą, palaikymo procesus, priklausomybę nuo trečiųjų šalių ir informacinį turtą ir jų tarpusavio priklausomybę. Finansų sektoriaus subjektai užtikrina, kad IRT turtas ir IRT paslaugos būtų kuriamos ir naudojamos visapusiškai atsižvelgiant į poveikio verslui analizę, visų pirma siekiant tinkamai užtikrinti visų ypatingos svarbos komponentų atsarginius pajėgumus.

6.   Vykdydami visapusišką IRT rizikos valdymą, finansų sektoriaus subjektai:

Pirmos pastraipos a punkto tikslais finansų sektoriaus subjektai, išskyrus labai mažas įmones, į testavimo planus įtraukia kibernetinių išpuolių ir pirminės IRT infrastruktūros pakeitimo atsarginiais pajėgumais, atsarginėmis kopijomis ir atsarginiais įrenginiais, būtinais 12 straipsnyje nustatytoms pareigoms įvykdyti, scenarijus.

Finansų sektoriaus subjektai reguliariai peržiūri savo IRT veiklos tęstinumo politiką ir IRT reagavimo ir veiklos atkūrimo planus, atsižvelgdami į pagal pirmą pastraipą atliktų testų rezultatus ir rekomendacijas, pateiktas atlikus audito patikras arba priežiūrinį tikrinimą.

7.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, įdiegia krizių valdymo funkciją, kuri, pradėjus įgyvendinti IRT veiklos tęstinumo planus arba IRT reagavimo ir veiklos atkūrimo planus, nustato, inter alia, aiškias vidaus ir išorės pranešimų krizės atveju valdymo procedūras pagal 14 straipsnį.

8.   Kai pradedami įgyvendinti IRT veiklos tęstinumo planai arba IRT reagavimo ir veiklos atkūrimo planai, finansų sektoriaus subjektai saugo įrašus apie veiklą iki sutrikdymo įvykių ir jų metu ir šie įrašai turi būti prieinami bet kuriuo metu.

9.   Centriniai vertybinių popierių depozitoriumai pateikia kompetentingoms institucijoms IRT veiklos tęstinumo testų ar panašių tikrinimų rezultatų kopijas.

10.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, kompetentingoms institucijoms jų prašymu praneša apie preliminariai apskaičiuotas bendras metines išlaidas ir nuostolius, patirtus dėl didelių su IRT susijusių incidentų.

11.   Vadovaujantis reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 16 straipsniu, EPI Jungtiniame komitete ne vėliau kaip 2024 m. liepos 17 d. parengia bendras 10 dalyje nurodytų preliminaraus bendrų metinių išlaidų ir nuostolių apskaičiavimo gaires.

1.   Siekdami užtikrinti, kad IRT sistemos ir duomenys būtų atstatyti kuo greičiau, kuo mažiau sutrikdant ir patiriant kuo mažiau nuostolių, finansų sektoriaus subjektai, įgyvendindami savo IRT rizikos valdymo sistemą, parengia ir dokumentais pagrindžia:

2.   Finansų sektoriaus subjektai sukuria atsargines sistemas, kurios gali būti aktyvuotos pagal atsarginių kopijų politiką ir procedūras, taip pat atstatymo ir atkūrimo procedūras ir metodus. Atsarginių sistemų aktyvavimas turi nekelti pavojaus tinklų ir informacinių sistemų saugumui arba duomenų prieinamumui, autentiškumui, vientisumui ir konfidencialumui. Periodiškai atliekamas atsarginių kopijų procedūrų ir atstatymo bei atkūrimo procedūrų ir metodų testavimas.

3.   Tais atvejais, kai atstato atsarginius duomenis naudodamiesi savo pačių sistemomis, finansų sektoriaus subjektai naudoja IRT sistemas, kurios yra fiziškai ir loginiu būdu atskirtos nuo šaltinio IRT sistemos. IRT sistemos turi būti patikimai apsaugotos nuo bet kokios neteisėtos prieigos ar IRT sugadinimo ir turi leisti laiku atkurti paslaugas, prireikus panaudojant duomenų ir sistemų atsargines kopijas.

Pagrindinių sandorio šalių atveju veiklos atkūrimo planais suteikiama galimybė atkurti visus sandorius sutrikimo momentu, kad pagrindinė sandorio šalis galėtų patikimai tęsti savo veiklą ir numatytą dieną užbaigti atsiskaitymą.

Be to, duomenų paslaugų teikėjai turi turėti pakankamai išteklių ir atsarginių kopijų ir atkūrimo įrenginius, kad galėtų visada siūlyti ir teikti savo paslaugas.

4.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, turi turėti atsarginius IRT pajėgumus, kurių ištekliai, galimybės ir funkcijos būtų tinkami veiklos poreikiams užtikrinti. Labai mažos įmonės įvertina poreikį turėti tokius atsarginius IRT pajėgumus remdamosi savo rizikos profiliu.

5.   Centriniai vertybinių popierių depozitoriumai turi turėti bent vieną antrinę duomenų tvarkymo vietą, kuriai būtų skirti tinkami ištekliai, pajėgumai, funkcijos ir numatytas personalas veiklos poreikiams užtikrinti.

Antrinė duomenų tvarkymo vieta turi:

6.   Nustatydami kiekvienos funkcijos atkūrimo laiko ir taško tikslus, finansų sektoriaus subjektai atsižvelgia į tai, ar tai yra ypatingos svarbos arba svarbi funkcija, ir į galimą bendrą poveikį rinkos veiksmingumui. Tokiais atkūrimo laiko tikslais užtikrinama, kad ekstremaliais atvejais būtų užtikrinti sutarti paslaugų lygiai.

7.   Atkurdami veiklą po su IRT susijusio incidento finansų sektoriaus subjektai atlieka reikiamas patikras, įskaitant daugkartines patikras ir sutikrinimus, siekdami užtikrinti, kad būtų išlaikytas aukščiausias duomenų vientisumo lygis. Šios patikros taip pat atliekamos atkuriant išorės suinteresuotųjų šalių duomenis, siekiant užtikrinti, kad visi duomenys sistemose atitiktų.

1.   Finansų sektoriaus subjektai turi turėti pajėgumų ir darbuotojų, kurie renka informaciją apie pažeidžiamumus ir kibernetines grėsmes, su IRT susijusius incidentus, visų pirma kibernetinius išpuolius, ir analizuoja jų galimą poveikį jų skaitmeninės veiklos atsparumui.

2.   Finansų sektoriaus subjektai taiko peržiūras po su IRT susijusių incidentų, kurie vykdomi po to, kai sutrikdoma jų pagrindinė veikla dėl didelio su IRT susijusio incidento, ir kurių metu analizuojamos sutrikdymo priežastys ir nustatomi reikiami IRT operacijų ar 11 straipsnyje nurodytos IRT veiklos tęstinumo politikos patobulinimai.

Finansų sektoriaus subjektai, išskyrus labai mažas įmones, kompetentingų institucijų prašymu praneša joms apie pakeitimus, kurie buvo įgyvendinti atlikus peržiūras po su IRT susijusių incidentų, kaip nurodyta pirmoje pastraipoje.

Atliekant pirmoje pastraipoje nurodytas peržiūras po su IRT susijusių incidentų nustatoma, ar buvo laikomasi nustatytų procedūrų ir ar veiksmai, kurių imtasi, buvo veiksmingi, kiek tai susiję, be kita ko, su:

3.   Į IRT rizikos vertinimo procesą nuolat tinkamai įtraukiama patirtis, įgyta vykdant skaitmeninės veiklos atsparumo testavimą pagal 26 ir 27 straipsnius ir reaguojant į realius su IRT susijusius incidentus, visų pirma kibernetinius išpuolius, taip pat į iššūkius, kilusius pradedant įgyvendinti IRT veiklos tęstinumo planus ir IRT reagavimo ir veiklos atkūrimo planus, ir atitinkama informacija, kuria keistasi su partneriais ir kuri įvertinta priežiūrinio tikrinimo metu. Tų nustatytų pastebėjimų pagrindu tinkamai peržiūrimi atitinkami 6 straipsnio 1 dalyje nurodytos IRT rizikos valdymo sistemos komponentai.

4.   Finansų sektoriaus subjektai stebi savo skaitmeninės veiklos atsparumo strategijos, nurodytos 6 straipsnio 8 dalyje, įgyvendinimo veiksmingumą. Jie pažymi chronologinius IRT rizikos pokyčius, analizuoja su IRT susijusių incidentų, visų pirma kibernetinių išpuolių ir jų modelių, dažnumą, rūšis, mastą ir pokyčius, kad suprastų gresiančios IRT rizikos mastą, visų pirma kiek tai susiję su ypatingos svarbos arba svarbiomis funkcijomis, ir sustiprintų finansų sektoriaus subjekto kibernetinę brandą ir parengtį.

5.   Vyresniosios grandies IRT darbuotojai bent kartą per metus valdymo organui praneša apie 3 dalyje nurodytus nustatytus pastebėjimus ir teikia rekomendacijas.

6.   Finansų sektoriaus subjektai parengia ir į savo darbuotojų mokymo programas įtraukia privalomus informuotumo apie IRT saugumą programų ir skaitmeninės veiklos atsparumo mokymų modulius. Tos programos ir mokymai taikomi visiems darbuotojams ir vyresniosios vadovybės darbuotojams, o jų sudėtingumas turi būti proporcingas jų pareigas atitinkantiems įgaliojimams. Kai tinkama, finansų sektoriaus subjektai į savo atitinkamas mokymo programas taip pat įtraukia IRT paslaugas teikiančias trečiąsias šalis pagal 30 straipsnio 2 dalies i punktą.

7.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, nuolat stebi atitinkamus technologinius pokyčius, taip pat siekdami suprasti galimą tokių naujų technologijų diegimo poveikį IRT saugumo reikalavimams ir skaitmeninės veiklos atsparumui. Jie nuolat atnaujina savo žinias apie naujausius IRT rizikos valdymo procesus, kad galėtų veiksmingai kovoti su esamų ar naujų formų kibernetiniais išpuoliais.

1.   Finansų sektoriaus subjektai, įgyvendindami 6 straipsnio 1 dalyje nurodytą IRT rizikos valdymo sistemą, nustato krizių komunikacijos planus, pagal kuriuos būtų galima atsakingai atskleisti informaciją apie bent didelius su IRT susijusius incidentus arba pažeidžiamumus atitinkamai klientams ir partneriams, taip pat visuomenei.

2.   Kaip IRT rizikos valdymo sistemos dalį, finansų sektoriaus subjektai įgyvendina komunikacijos politiką, skirtą vidaus darbuotojams ir išorės suinteresuotiesiems subjektams. Darbuotojams skirtoje komunikacijos politikoje atsižvelgiama į poreikį atskirti IRT rizikos valdymo srities darbuotojus, visų pirma, atsakingus už reagavimą ir veiklos atkūrimą, ir darbuotojus, kurie turi būti informuoti.

3.   Bent vienam finansų sektoriaus subjekto darbuotojui pavedama įgyvendinti su IRT susijusių incidentų komunikacijos strategiją ir tuo tikslu vykdyti atstovo ryšiams su visuomene ir žiniasklaida funkciją.

1.   Šio reglamento 5–15 straipsniai netaikomi mažoms ir tarpusavio sąsajų neturinčioms investicinėms įmonėms, mokėjimo įstaigoms, kurioms taikoma išimtis pagal Direktyvą (ES) 2015/2366, įstaigoms, kurioms taikoma išimtis pagal Direktyvą 2013/36/ES ir kurioms valstybės narės nusprendė netaikyti šio reglamento 2 straipsnio 4 dalyje nurodytos galimybės, elektroninių pinigų įstaigoms, kurioms taikoma išimtis pagal Direktyvą 2009/110/EB ir mažoms profesinių pensijų įstaigoms.

Nedarant poveikio pirmai pastraipai subjektai, nurodyti pirmoje pastraipoje:

2.   1 dalies antros pastraipos a punkte nurodyta IRT rizikos valdymo sistema pagrindžiama dokumentais ir peržiūrima periodiškai ir įvykus dideliems su IRT susijusiems incidentams, laikantis priežiūros nurodymų. Ji nuolat tobulinama remiantis įgyvendinimo ir stebėsenos patirtimi. Kompetentingai institucijai paprašius, jai pateikiama IRT rizikos valdymo sistemos peržiūros ataskaita.

3.   EPI Jungtiniame komitete, konsultuodamosi su ENISA, parengia bendrų techninių reguliavimo standartų projektus, kuriais siekiama:

Rengdamos tų techninių reguliavimo standartų projektus, EPI atsižvelgia į finansų sektoriaus subjekto dydį ir bendrą rizikos profilį, taip pat į jo paslaugų, veiklos ir operacijų pobūdį, mastą ir sudėtingumą.

EPI tuos techninių reguliavimo standartų projektus pateikia Komisijai ne vėliau kaip 2024 m. sausio 17 d.

Komisijai pagal reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 10–14 straipsnius suteikiami įgaliojimai papildyti šį reglamentą priimant pirmoje pastraipoje nurodytus techninius reguliavimo standartus.

1.   Finansų sektoriaus subjektai apibrėžia, nustato ir įgyvendina su IRT susijusių incidentų valdymo procesą, skirtą su IRT susijusiems incidentams aptikti, valdyti ir apie juos pranešti.

2.   Finansų sektoriaus subjektai registruoja visus su IRT susijusius incidentus ir dideles kibernetines grėsmes. Finansų sektoriaus subjektai nustato tinkamas procedūras ir procesus, kad užtikrintų nuoseklią ir integruotą su IRT susijusių incidentų stebėseną, jų šalinimą ir tolesnius susijusius veiksmus ir tokiu būdu užtikrintų, kad būtų nustatytos, dokumentuotos ir pašalintos pagrindinės priežastys, siekiant užkirsti kelią tokiems incidentams.

3.   1 dalyje nurodytu su IRT susijusių incidentų valdymo procesu:

1.   Finansų sektoriaus subjektai su IRT susijusius incidentus klasifikuoja ir jų poveikį nustato remdamiesi šiais kriterijais:

2.   Finansų sektoriaus subjektai kibernetines grėsmes klasifikuoja kaip dideles atsižvelgdami į paslaugų, kurioms kyla rizika, įskaitant finansų sektoriaus subjekto sandorius ir operacijas, ypatingą svarbą, klientų arba finansų partnerių, kuriems gresia rizika, skaičių ir (arba) svarbumą ir geografinį vietovių, kurioms kyla rizika, pasiskirstymą.

3.   EPI Jungtiniame komitete, konsultuodamosi su ECB ir ENISA, parengia bendrų techninių reguliavimo standartų projektus, kuriuose patikslinami:

4.   Rengdamos šio straipsnio 3 dalyje nurodytus bendrų techninių reguliavimo standartų projektus, EPI atsižvelgia į 4 straipsnio 2 dalyje nustatytus kriterijus, taip pat į tarptautinius standartus, taip pat ENISA parengtas ir paskelbtas gaires ir specifikacijas, įskaitant, kai tinkama, kitiems ekonomikos sektoriams skirtas specifikacijas. Taikydamos 4 straipsnio 2 dalyje nustatytus kriterijus, EPI deramai atsižvelgia į labai mažų įmonių ir mažųjų bei vidutinių įmonių poreikį sutelkti pakankamai išteklių ir pajėgumų, kad būtų užtikrintas spartus su IRT susijusių incidentų valdymas.

EPI tuos bendrus techninių reguliavimo standartų projektus pateikia Komisijai ne vėliau kaip 2024 m. sausio 17 d.

Komisijai pagal reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 10–14 straipsnius suteikiami įgaliojimai papildyti šį reglamentą priimant 3 dalyje nurodytus techninius reguliavimo standartus.

1.   Pagal šio straipsnio 4 dalį finansų sektoriaus subjektai praneša apie didelius su IRT susijusius incidentus atitinkamai kompetentingai institucijai, kaip nurodyta 46 straipsnyje.

Kai finansų sektoriaus subjektą prižiūri daugiau nei viena nacionalinė kompetentinga institucija, nurodyta 46 straipsnyje, valstybės narės paskiria vieną bendrą kompetentingą instituciją atitinkama kompetentinga institucija, atsakinga už šiame straipsnyje numatytų funkcijų ir pareigų vykdymą.

Kredito įstaigos, pagal Reglamento (ES) Nr. 1024/2013 6 straipsnio 4 dalį klasifikuojamos kaip svarbios, apie didelius su IRT susijusius incidentus praneša atitinkamai nacionalinei kompetentingai institucijai, paskirtai pagal Direktyvos 2013/36/ES 4 straipsnį, o pastaroji nedelsdama perduoda tą pranešimą ECB.

Taikant pirmą pastraipą, finansų sektoriaus subjektai, surinkę ir išanalizavę visą susijusią informaciją, parengia pradinį pranešimą ir pranešimus, nurodytus šio straipsnio 4 dalyje, naudodami 20 straipsnyje nurodytus šablonus ir pateikia juos kompetentingai institucijai. Tuo atveju, kai dėl techninių priežasčių negalima pateikti pradinio pranešimo naudojant šabloną, finansų sektoriaus subjektai pateikia pranešimą kompetentingai institucijai alternatyviomis priemonėmis.

Pradiniame pranešime ir pranešimuose, nurodytuose 4 dalyje, pateikiama visa informacija, būtina kompetentingai institucijai, kad ji galėtų nustatyti didelio su IRT susijusio incidento reikšmingumą ir įvertinti galimą tarpvalstybinį poveikį.

Nedarant poveikio finansų sektoriaus subjekto vykdomam pranešimų atitinkamai kompetentingai institucijai teikimui pagal pirmą pastraipą, valstybės narės gali papildomai nustatyti, kad kai kurie ar visi finansų sektoriaus subjektai taip pat teikia pradinį pranešimą ir kiekvieną šio straipsnio 4 dalyje nurodytą pranešimą naudodami 20 straipsnyje nurodytus šablonus, nacionalinėms kompetentingoms institucijoms arba reagavimo į kompiuterių saugumo incidentus tarnyboms (CSIRT), paskirtoms arba įsteigtoms pagal Direktyvą (ES) 2022/2555.

2.   Finansų sektoriaus subjektai gali savanoriškai pranešti atitinkamai kompetentingai institucijai apie dideles kibernetines grėsmes, jeigu jie mano, kad grėsmė yra svarbi finansų sistemai, paslaugų naudotojams ar klientams. Atitinkama kompetentinga institucija gali pateikti tokią informaciją kitoms atitinkamoms institucijoms, nurodytoms 6 dalyje.

Kredito įstaigos, pagal Reglamento (ES) Nr. 1024/2013 6 straipsnio 4 dalį klasifikuojamos kaip svarbios, gali savanoriškai pranešti apie dideles kibernetines grėsmes atitinkamai nacionalinei kompetentingai institucijai, paskirtai pagal Direktyvos 2013/36/ES 4 straipsnį, o pastaroji nedelsdama perduoda tą pranešimą ECB.

Valstybės narės gali nustatyti, kad tie finansų sektoriaus subjektai, kurie savanoriškai pateikia pranešimą pagal pirmą pastraipą, taip pat gali perduoti tą pranešimą CSIRT, paskirtoms arba įsteigtoms pagal Direktyvą (ES) 2022/2555.

3.   Kai įvyksta didelis su IRT susijęs incidentas ir jis daro poveikį klientų finansiniams interesams, finansų sektoriaus subjektai nepagrįstai nedelsdami, iš karto, kai sužino apie šį incidentą, informuoja savo klientus apie didelį su IRT susijusį incidentą ir apie priemones, kurių imtasi tokio incidento neigiamam poveikiui sumažinti.

Didelės kibernetinės grėsmės atveju finansų sektoriaus subjektai, kai taikytina, informuoja savo klientus, kuriems gali būti padarytas poveikis, apie visas tinkamas apsaugos priemones, kurių pastarieji, apsvarstę, galėtų imtis.

4.   Finansų sektoriaus subjektai, laikydamiesi laiko terminų, kurie turi būti nustatyti pagal 20 straipsnio pirmos pastraipos a punkto ii papunktį, atitinkamai kompetentingai institucijai pateikia:

5.   Finansų sektoriaus subjektai gali, laikydamiesi Sąjungos ir nacionalinės sektorių teisės, paslaugas teikiančiai trečiajai šaliai perduoti pareigas pranešti pagal šį straipsnį. Tokio perdavimo atveju finansų sektoriaus subjektas išlieka visiškai atsakingas už reikalavimų pranešti apie incidentus vykdymą.

6.   Gavusi pradinį pranešimą ir kiekvieną 4 dalyje nurodytą pranešimą, kompetentinga institucija laiku pateikia duomenis apie didelį su IRT susijusį incidentą šiems gavėjams, remdamasi, kai taikytina, jų atitinkama kompetencija:

7.   Gavę informaciją pagal 6 dalį, EBI, ESMA arba EIOPA ir ECB, pasikonsultavę su ENISA ir bendradarbiaudami su atitinkama kompetentinga institucija, įvertina, ar didelis su IRT susijęs incidentas yra svarbus kompetentingoms institucijoms kitose valstybėse narėse. Atlikusios tą vertinimą, EBI, ESMA arba EIOPA kuo greičiau pateikia atitinkamą pranešimą atitinkamoms kompetentingoms institucijoms kitose valstybėse narėse. ECB informuoja Europos centrinių bankų sistemos narius apie su mokėjimo sistema susijusias problemas. Remdamosi tuo pranešimu, kompetentingos institucijos, kai tinkama, imasi visų būtinų priemonių, kad nebūtų sutrikdytas tiesioginis finansų sistemos stabilumas.

8.   Pranešimas, kurį ESMA turi pateikti pagal šio straipsnio 7 dalį, nedaro poveikio kompetentingos institucijos pareigai skubiai perduoti duomenis apie didelį su IRT susijusį incidentą atitinkamai priimančiosios valstybės narės institucijai, kai centrinis vertybinių popierių depozitoriumas priimančiojoje valstybėje narėje vykdo reikšmingą tarpvalstybinę veiklą, didelis su IRT susijęs incidentas gali turėti rimtų pasekmių priimančiosios valstybės narės finansų rinkoms ir jei kompetentingos institucijos, susijusios su finansų sektoriaus subjektų priežiūra, yra sudariusios bendradarbiavimo susitarimus.

1.   EPI Jungtiniame komitete, konsultuodamosi su ECB ir ENISA, parengia bendrą ataskaitą, kurioje įvertinama galimybė toliau centralizuoti pranešimų apie incidentus teikimą, įsteigiant vieną bendrą ES centrą, kuriam finansų sektoriaus subjektai teiktų pranešimus apie didelius su IRT susijusius incidentus. Bendroje ataskaitoje nagrinėjami būdai, kaip palengvinti pranešimų apie su IRT susijusius incidentus srautą, sumažinti susijusias išlaidas ir prisidėti prie teminių analizių, siekiant didinti priežiūros konvergenciją.

2.   1 dalyje nurodytą bendrą ataskaitą sudaro bent šie elementai:

3.   EPI pateikia 1 dalyje nurodytą ataskaitą Europos Parlamentui, Tarybai ir Komisijai ne vėliau kaip 2025 m. sausio 17 d.

1.   Nedarant poveikio techniniam indėliui, rekomendacijoms ar taisomosioms priemonėms ir tolesnei informacijai, kuriuos gali pateikti, kai taikytina, laikantis nacionalinės teisės, CSIRT, įsteigtos pagal Direktyvą (ES) 2022/2555, kompetentinga institucija, gavusi pradinį pranešimą ir kiekvieną pranešimą, nurodytą 19 straipsnio 4 dalyje, patvirtina, kad pranešimą gavo, ir gali, kai įmanoma, finansų sektoriaus subjektui laiku pateikti aktualią ir proporcingą grįžtamąją informaciją arba aukšto lygio gairių, visų pirma pasidalyti visa aktualia anonimizuota informacija ir panašia žvalgybos informacija apie grėsmes, ir gali aptarti finansų sektoriaus subjekto lygmeniu taikomas taisomąsias priemones ir būdus kuo labiau sumažinti ir sušvelninti neigiamą poveikį visame finansų sektoriuje. Nedarant poveikio gautai priežiūros grįžtamajai informacijai, finansų sektoriaus subjektai išlieka visiškai atsakingi už su IRT susijusių incidentų, apie kuriuos pranešta pagal 19 straipsnio 1 dalį, šalinimą ir pasekmes.

2.   EPI Jungtiniame komitete, remdamosi anonimizuota ir apibendrinta informacija, kasmet parengia ataskaitą apie didelius su IRT susijusius incidentus; duomenis apie šiuos incidentus pateikia kompetentingos institucijos pagal 19 straipsnio 6 dalį; ataskaitoje bent nurodoma didelių su IRT susijusių incidentų skaičius, jų pobūdis ir poveikis finansų sektoriaus subjektų ar klientų veiklai, taisomieji veiksmai, kurių buvo imtasi, ir patirtos išlaidos.

EPI skelbia įspėjimus ir rengia aukšto lygio statistinius duomenis, kuriais remiamasi vertinant IRT grėsmes ir pažeidžiamumus.

1.   Siekdami įvertinti pasirengimą spręsti su IRT susijusius incidentus, nustatyti skaitmeninės veiklos atsparumo silpnąsias vietas, trūkumus ir spragas ir skubiai įgyvendinti taisomąsias priemones, finansų sektoriaus subjektai, išskyrus labai mažas įmones, atsižvelgdami į 4 straipsnio 2 dalyje pateiktus kriterijus, parengia, taiko ir peržiūri patikimą ir išsamią skaitmeninės veiklos atsparumo testavimo programą, kaip neatsiejamą 6 straipsnyje nurodytos IRT rizikos valdymo sistemos dalį.

2.   Į skaitmeninės veiklos atsparumo testavimo programą įtraukiami įvairūs vertinimai, testai, metodikos, praktika ir priemonės, kurie turi būti taikomi pagal 25 ir 26 straipsnius.

3.   Vykdydami šio straipsnio 1 dalyje nurodytą skaitmeninės veiklos atsparumo testavimo programą, finansų sektoriaus subjektai, išskyrus labai mažas įmones, vadovaujasi rizika grindžiamu požiūriu, atsižvelgdami į 4 straipsnio 2 dalyje pateiktus kriterijus, tinkamai atsižvelgdami į besikeičiančią IRT rizikos panoramą, bet kokią konkrečią riziką, gresiančią ar galinčią grėsti atitinkamam finansų sektoriaus subjektui, informacinio turto ir teikiamų paslaugų ypatingą svarbą, taip pat į visus kitus veiksnius, į kuriuos atsižvelgti finansų sektoriaus subjektas laiko tinkama.

4.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, užtikrina, kad testus atliktų nepriklausomos vidaus ar išorės šalys. Kai testus atlieka vidaus testuotojas, finansų sektoriaus subjektai skiria pakankamai išteklių ir užtikrina, kad per visą testo rengimo ir vykdymo etapų laikotarpį būtų išvengta interesų konfliktų.

5.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, nustato procedūras ir politiką, pagal kuriuos visos problemos, nustatytos atliekant testus, suskirstomos pagal prioritetą, klasifikuojamos ir sprendžiamos, taip pat parengia vidaus patvirtinimo metodikas, pagal kurias užtikrinama, kad nustatytos silpnosios vietos, trūkumai ar spragos būtų visiškai pašalinti.

6.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, užtikrina, kad bent kartą per metus būtų atliekami tinkami visų IRT sistemų ir programų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, testai.

1.   24 straipsnyje nurodytoje skaitmeninės veiklos atsparumo testavimo programoje numatoma, laikantis 4 straipsnio 2 dalyje pateiktų kriterijų, atlikti tinkamus testus, tokius kaip pažeidžiamumo vertinimą ir skenavimą, atvirojo kodo analizę, tinklo saugumo vertinimus, spragų analizavimą, fizinio saugumo peržiūras, klausimynus ir skenavimo programinės įrangos sprendimus, jei įmanoma – pirminio kodo peržiūras, scenarijais grindžiamus testus, suderinamumo testavimą, veiklos efektyvumo testavimą, visapusį testavimą ir skverbimosi testavimą.

2.   Centriniai vertybinių popierių depozitoriumai ir pagrindinės sandorio šalys atlieka pažeidžiamumo vertinimus prieš įdiegdami ar pakartotinai įdiegdami naujas ar esamas programas ir infrastruktūros komponentus ir IRT paslaugas, kuriais palaikomos finansų sektoriaus subjekto ypatingos svarbos arba svarbios funkcijos.

3.   Labai mažos įmonės 1 dalyje nurodytus testus atlieka derindamos rizika grindžiamą požiūrį su strateginiu IRT testavimo planavimu, tinkamai atsižvelgdamos į poreikį išlaikyti požiūrį, pagal kurį nustatoma pusiausvyra tarp, viena vertus, išteklių ir laiko, kurie turi būti skiriami šiame straipsnyje numatytam IRT testavimui, masto ir, kita vertus, skubos, rizikos rūšies, informacinio turto ir teikiamų paslaugų ypatingos svarbos, taip pat visų kitų svarbių veiksnių, įskaitant finansų sektoriaus subjekto gebėjimą prisiimti apskaičiuotą riziką.

1.   Finansų sektoriaus subjektai, išskyrus subjektus, nurodytus 16 straipsnio 1 dalies pirmoje pastraipoje, ir išskyrus labai mažas įmones, nustatyti pagal šio straipsnio 8 dalies trečią pastraipą, bent kas trejus metus atlieka pažangų testavimą taikant TLPT. Remdamasi finansų sektoriaus subjekto rizikos profiliu ir atsižvelgdama į su veikla susijusias aplinkybes, kompetentinga institucija prireikus gali paprašyti finansų sektoriaus subjekto šį testavimą atlikti rečiau ar dažniau.

2.   Kiekvienas grėsmėmis grindžiamas skverbimosi testas apima kelias ar visas finansų sektoriaus subjekto ypatingos svarbos arba svarbias funkcijas ir yra atliekamas tokias funkcijas palaikančių tikralaikių produkcijos sistemų atžvilgiu.

Finansų sektoriaus subjektai nustato visas atitinkamas pagrindines IRT sistemas, procesus ir technologijas, kuriais palaikomos ypatingos svarbos arba svarbios funkcijos ir IRT paslaugos, įskaitant tas, kuriomis palaikomos ypatingos svarbos ar svarbios funkcijos, kurių vykdymas perduotas arba pagal sutartis patikėtas vykdyti IRT paslaugas teikiančioms trečiosioms šalims.

Finansų sektoriaus subjektai įvertina, kurioms ypatingos svarbos arba svarbioms funkcijoms turi būti taikomas TLPT. Pagal šį vertinimo rezultatą nustatoma tiksli TLPT aprėptis ir šį rezultatą turi patvirtinti kompetentingos institucijos.

3.   Kai IRT paslaugas teikiančios trečiosios šalys yra įtrauktos į TLPT aprėptį, finansų sektoriaus subjektas imasi būtinų priemonių ir apsaugos priemonių, kad užtikrintų tokių IRT paslaugas teikiančių trečiųjų šalių dalyvavimą TLPT, ir visada išlaiko visą atsakomybę už šio reglamento laikymosi užtikrinimą.

4.   Nedarant poveikio 2 dalies pirmai ir antrai pastraipoms, tais atvejais, kai pagrįstai manoma, kad IRT paslaugas teikiančios trečiosios šalies dalyvavimas TLPT, kaip nurodyta 3 dalyje, darys neigiamą poveikį IRT paslaugas teikiančios trečiosios šalies teikiamų paslaugų klientams, kurie yra subjektai, kuriems šis reglamentas netaikomas, kokybei ar saugumui arba su tokiomis paslaugomis susijusių duomenų konfidencialumui, finansų sektoriaus subjektas ir IRT paslaugas teikianti trečioji šalis gali raštu susitarti, kad IRT paslaugas teikianti trečioji šalis tiesiogiai sudarys sutartimi įformintą susitarimą su išorės testuotoju dėl bendro TLPT, kuriame dalyvautų keli finansų sektoriaus subjektai (toliau – bendras testavimas), kuriems IRT paslaugas teikianti trečioji šalis teikia IRT paslaugas, vykdymo vadovaujant vienam paskirtam finansų sektoriaus subjektui.

Tas bendras testavimas apima atitinkamas įvairias IRT paslaugas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, kurias finansų sektoriaus subjektai pagal sutartis patikėjo vykdyti atitinkamai IRT paslaugas teikiančiai trečiajai šaliai. Bendras testavimas laikomas TLPT, jei jį atlieka bendrame testavime dalyvaujantys finansų sektoriaus subjektai.

Bendrame testavime dalyvaujančių finansų sektoriaus subjektų skaičius tinkamai kalibruojamas atsižvelgiant į susijusių paslaugų sudėtingumą ir rūšis.

5.   Finansų sektoriaus subjektai, bendradarbiaudami su IRT paslaugas teikiančiomis trečiosiomis šalimis ir kitomis susijusiomis šalimis, įskaitant testuotojus, bet išskyrus kompetentingas institucijas, taiko veiksmingas rizikos valdymo kontrolės priemones, kad sumažintų riziką, susijusią su galimu poveikiu duomenims, žala turtui ir ypatingos svarbos arba svarbių funkcijų, paslaugų ar operacijų sutrikdymu pačiame finansų sektoriaus subjekte, jo partneriuose arba finansų sektoriuje.

6.   Testavimo pabaigoje, susitarus dėl ataskaitų ir koregavimo planų, finansų sektoriaus subjektas ir, kai taikoma, išorės testuotojai pateikia pagal 9 ar 10 dalį paskirtai institucijai atitinkamų rezultatų santrauką, koregavimo planus ir dokumentus, įrodančius, kad TLPT buvo atliktas laikantis reikalavimų.

7.   Institucijos finansų sektoriaus subjektams išduoda pažymą, kuria patvirtinama, kad tas testas buvo atliktas laikantis dokumentuose pateiktų reikalavimų, kad kompetentingos institucijos galėtų abipusiai pripažinti grėsmėmis grindžiamus skverbimosi testus. Finansų sektoriaus subjektas apie pažymą, atitinkamų rezultatų santrauką ir koregavimo planus praneša atitinkamai kompetentingai institucijai.

Nedarant poveikio tokiai pažymai, finansų sektoriaus subjektai visada išlieka visiškai atsakingi už 4 dalyje nurodytų testų poveikį.

8.   Finansų sektoriaus subjektai pagal 27 straipsnį sudaro sutartis su testuotojais dėl TLPT atlikimo. Kai finansų sektoriaus subjektai TLPT atlikti naudojasi vidaus testuotojų paslaugomis, kas trečiam testui atlikti jie sudaro sutartis su išorės testuotojais.

Kredito įstaigos, kurios yra klasifikuojamos kaip svarbios pagal Reglamento (ES) Nr. 1024/2013 6 straipsnio 4 dalį, naudojasi tik išorės testuotojų paslaugomis pagal 27 straipsnio 1 dalies a–e punktus.

Kompetentingos institucijos nustato finansų sektoriaus subjektus, kuriems būtina atlikti TLPT, atsižvelgdamos į 4 straipsnio 2 dalyje nustatytus kriterijus ir įvertinusios:

9.   Valstybės narės gali paskirti po vieną bendrą valdžios instituciją finansų sektoriuje, kuri nacionaliniu lygmeniu būtų atsakinga už su TLPT susijusius klausimus finansų sektoriuje, ir tuo tikslu jai patiki visą kompetenciją ir užduotis.

10.   Jei tokia valdžios institucija pagal šio straipsnio 9 dalį nepaskiriama, nedarant poveikio įgaliojimams nustatyti finansų sektoriaus subjektus, kuriems būtina atlikti TLPT, kompetentinga institucija gali perduoti kai kurių arba visų šiame straipsnyje ir 27 straipsnyje nurodytų užduočių vykdymą kitai nacionalinei finansų sektoriaus institucijai.

11.   EPI, susitarusios su ECB, pagal TIBER–ES sistemą parengia bendrus techninių reguliavimo standartų projektus, kuriuose patikslinama:

Rengdamos tuos techninių reguliavimo standartų projektus, EPI deramai atsižvelgia į visas konkrečias ypatybes, atsirandančias dėl skirtingo veiklos skirtinguose finansinių paslaugų sektoriuose pobūdžio.

EPI tuos techninių reguliavimo standartų projektus pateikia Komisijai ne vėliau kaip 2024 m. liepos 17 d.

Komisijai pagal reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 10–14 straipsnius suteikiami įgaliojimai papildyti šį reglamentą priimant pirmoje pastraipoje nurodytus techninius reguliavimo standartus.

1.   Finansų sektoriaus subjektai TLPT atlikti pasitelkia tik tuos testuotojus, kurie:

2.   Jeigu pasitelkiami vidaus testuotojai, finansų sektoriaus subjektai užtikrina, kad be 1 dalyje nurodytų reikalavimų dar tenkinamos visos toliau išdėstytos sąlygos:

3.   Finansų sektoriaus subjektai užtikrina, kad su išorės testuotojais sudarytose sutartyse būtų reikalaujama patikimai valdyti TLPT rezultatus ir kad dėl jokio jų duomenų tvarkymo, įskaitant bet kokį sukūrimą, saugojimą, apibendrinimą, rengimą, pranešimą, perdavimą ar sunaikinimą, nekiltų rizikos finansų sektoriaus subjektui.

1.   Finansų sektoriaus subjektai valdo trečiosios šalies keliamą IRT riziką kaip neatsiejamą IRT rizikos komponentą pagal savo IRT rizikos valdymo sistemą, kaip nurodyta 6 straipsnio 1 dalyje, laikydamiesi šių principų:

2.   Taikydami IRT rizikos valdymo sistemą, finansų sektoriaus subjektai, išskyrus subjektus, nurodytus 16 straipsnio 1 dalies pirmoje pastraipoje, ir išskyrus labai mažas įmones, priima ir reguliariai peržiūri trečiosios šalies keliamos IRT rizikos strategiją, atsižvelgdami į 6 straipsnio 9 dalyje nurodytą kelių pardavėjų strategiją, jei taikytina. Trečiosios šalies keliamos IRT rizikos strategija apima IRT paslaugas teikiančių trečiųjų šalių teikiamų IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, naudojimo politiką ir yra taikoma individualiu ir, kai aktualu, iš dalies konsoliduotu ir konsoliduotu pagrindu. Valdymo organas, remdamasis finansų sektoriaus subjekto bendro rizikos profilio ir verslo paslaugų masto ir sudėtingumo vertinimu, reguliariai peržiūri nustatytą riziką, susijusią su sutartimi įformintais susitarimais dėl IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, naudojimo.

3.   Taikydami IRT rizikos valdymo sistemą, finansų sektoriaus subjektai tvarko ir atnaujina subjektų lygmeniu ir iš dalies konsoliduotu bei konsoliduotu lygmenimis informacijos apie visus sutartimi įformintus susitarimus dėl IRT paslaugas teikiančių trečiųjų šalių teikiamų IRT paslaugų naudojimo registrą.

Pirmoje pastraipoje nurodyti sutartimi įforminti susitarimai tinkamai pagrindžiami dokumentais, atskiriant tuos, kurie taikomi IRT paslaugoms, susijusioms su ypatingos svarbos arba svarbioms funkcijomis, ir susitarimus, kurie joms netaikomi.

Finansų sektoriaus subjektai ne rečiau kaip kartą per metus kompetentingoms institucijoms praneša naujų susitarimų dėl IRT paslaugų naudojimo skaičių, taip pat apie IRT paslaugas teikiančių trečiųjų šalių kategorijas, sutartimi įformintų susitarimų rūšį ir teikiamas paslaugas bei funkcijas.

Kompetentingai institucijai paprašius, finansų sektoriaus subjektai pateikia jai visą informacijos registrą arba prašyme nurodytas jo dalis kartu su visa informacija, laikoma būtina veiksmingai finansų sektoriaus subjekto priežiūrai užtikrinti.

Finansų sektoriaus subjektai laiku informuoja kompetentingą instituciją apie bet kokį planuojamą sudaryti sutartimi įformintą susitarimą dėl IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, ir apie tai, kada funkcija tampa ypatingos svarbos ar svarbi.

4.   Prieš sudarydami sutartimi įformintą susitarimą dėl IRT paslaugų naudojimo, finansų sektoriaus subjektai:

5.   Finansų sektoriaus subjektai gali sudaryti sutartimi įformintus susitarimus tik su tomis IRT paslaugas teikiančiomis trečiosiomis šalimis, kurios laikosi tinkamų informacijos saugumo standartų. Kai tie sutartimi įforminti susitarimai yra susiję su ypatingos svarbos arba svarbiomis funkcijomis, finansų sektoriaus subjektai, prieš sudarydami susitarimus, deramai atsižvelgia į tai, ar IRT paslaugas teikiančios trečiosios šalys taiko naujausius ir aukščiausios kokybės informacijos saugumo standartus.

6.   Naudodamiesi prieigos, patikrinimo ir audito teisėmis IRT paslaugas teikiančios trečiosios šalies atžvilgiu, finansų sektoriaus subjektai, laikydamiesi rizika grindžiamo požiūrio, iš anksto nustato auditų ir patikrinimų dažnumą bei audituotinas sritis pagal visuotinai pripažintus audito standartus, atitinkančius priežiūros institucijų nurodymus dėl tokių audito standartų naudojimo ir integravimo.

Jei sutartimi įforminti susitarimai, sudaryti su IRT paslaugas teikiančiomis trečiosiomis šalimis dėl IRT paslaugų naudojimo, reiškia didelį techninį sudėtingumą, finansų sektoriaus subjektas patikrina, ar auditoriai (ar tai būtų vidaus ar išorės auditoriai, ar auditorių grupė) turi tinkamų įgūdžių ir žinių, kad galėtų veiksmingai atlikti atitinkamą auditą ir vertinimą.

7.   Finansų sektoriaus subjektai užtikrina, kad sutartimi įforminti susitarimai dėl IRT paslaugų naudojimo galėtų būti nutraukti esant bet kuriai iš toliau nurodytų aplinkybių:

8.   IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, atveju finansų sektoriaus subjektai nustato pasitraukimo strategijas. Pasitraukimo strategijomis atsižvelgiama į riziką, kuri gali kilti IRT paslaugas teikiančios trečiosios šalies lygmeniu, visų pirma į galimą jos žlugimą, teikiamų IRT paslaugų kokybės pablogėjimą, bet kokį verslo sutrikdymą dėl netinkamo paslaugų teikimo ar jų neteikimo arba bet kokios reikšmingos rizikos, kylančios tinkamo ir nuolatinio atitinkamos IRT paslaugos diegimo atžvilgiu, arba nutraukus sutartimi įformintą susitarimą su IRT paslaugas teikiančiomis trečiosiomis šalimis susiklosčius bet kuriai iš 7 dalyje išvardytų aplinkybių.

Finansų sektoriaus subjektai užtikrina, kad jie galėtų pasitraukti iš sutartimi įformintų susitarimų:

Pasitraukimo planai turi būti išsamūs, pagrįsti dokumentais ir, remiantis 4 straipsnio 2 dalyje išdėstytais kriterijais, pakankamai išbandyti bei periodiškai peržiūrimi.

Finansų sektoriaus subjektai nustato alternatyvius sprendimus ir parengia pertvarkos planus, kad galėtų perimti pagal sutartis patikėtas IRT paslaugas ir atitinkamus duomenis iš IRT paslaugas teikiančios trečiosios šalies ir saugiai bei visa apimtimi juos perduoti alternatyviems paslaugų teikėjams arba juos vėl įtraukti į savo vidaus sistemas.

Finansų sektoriaus subjektai turi būti įdiegę tinkamas nenumatytų atvejų priemones, kad užtikrintų veiklos tęstinumą susiklosčius pirmoje pastraipoje nurodytomis aplinkybėmis.

9.   EPI Jungtiniame komitete parengia techninių įgyvendinimo standartų projektus, pagal kuriuos nustatomi standartiniai šablonai, skirti 3 dalyje nurodytam informacijos registrui, įskaitant informaciją, kuri yra bendra visiems sutartimi įformintiems susitarimams dėl IRT paslaugų naudojimo. EPI tuos techninių įgyvendinimo standartų projektus pateikia Komisijai ne vėliau kaip 2024 m. sausio 17 d.

Komisijai pagal reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 15 straipsnį suteikiami įgaliojimai priimti pirmoje pastraipoje nurodytus techninius įgyvendinimo standartus.

10.   EPI per Jungtinį komitetą parengia techninių reguliavimo standartų projektus, kuriuose patikslinamas 2 dalyje nurodytos politikos, taikomos sutartimi įformintiems susitarimams dėl IRT paslaugas teikiančių trečiųjų šalių teikiamų IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, naudojimo, išsamus turinys.

Rengdamos tuos techninių reguliavimo standartų projektus, EPI atsižvelgia į finansų sektoriaus subjekto dydį ir bendrą rizikos profilį, taip pat į jo paslaugų, veiklos ir operacijų pobūdį, mastą ir sudėtingumą. EPI tuos techninių reguliavimo standartų projektus pateikia Komisijai ne vėliau kaip 2024 m. sausio 17 d.

Komisijai pagal reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 10–14 straipsnius suteikiami įgaliojimai papildyti šį reglamentą priimant pirmoje pastraipoje nurodytus techninius reguliavimo standartus.

1.   Nustatydami ir vertindami riziką, nurodytą 28 straipsnio 4 dalies c punkte, finansų sektoriaus subjektai atsižvelgia ir į tai, ar sudarius numatomą sutartimi įformintą susitarimą dėl IRT paslaugų, kuriomis palaikomos ypatingos svarbos ir svarbios funkcijos, susidarytų bent viena iš šių aplinkybių:

Finansų sektoriaus subjektai įvertina alternatyvių sprendimų, pavyzdžiui, skirtingų IRT paslaugas teikiančių trečiųjų šalių paslaugų naudojimo, naudą ir išlaidas, atsižvelgdami į tai, ar ir kaip numatyti sprendimai atitinka jų skaitmeninio atsparumo strategijoje nustatytus veiklos poreikius ir tikslus.

2.   Jei sutartimi įformintame susitarime dėl IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, naudojimo yra numatyta galimybė IRT paslaugas teikiančiai trečiajai šaliai papildomai sudaryti subrangos sutartis dėl IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, su kitomis IRT paslaugas teikiančiomis trečiosiomis šalimis, finansų sektoriaus subjektai įvertina naudą ir riziką, galinčias atsirasti dėl tokių subrangos sutarčių, visų pirma tuo atveju, kai IRT subrangovas yra įsisteigęs trečiojoje valstybėje.

Kai sutartimi įforminti susitarimai susiję su IRT paslaugomis, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, finansų sektoriaus subjektai deramai apsvarsto nemokumo teisės nuostatas, kurios būtų taikomos IRT paslaugas teikiančios trečiosios šalies bankroto atveju, taip pat visus apribojimus, kurių galėtų atsirasti skubaus finansų sektoriaus subjekto duomenų atkūrimo atžvilgiu.

Jei sutartimi įforminti susitarimai dėl IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, naudojimo sudaromi su IRT paslaugas teikiančia trečiąja šalimi, įsisteigusia trečiojoje valstybėje, finansų sektoriaus subjektai, be antroje pastraipoje nurodytų aspektų, taip pat atsižvelgia į tai, ar laikomasi Sąjungos duomenų apsaugos taisyklių ir ar veiksmingai užtikrinamas teisės aktų vykdymas toje trečiojoje valstybėje.

Jei sutartimi įforminti susitarimai dėl IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, naudojimo numato galimybę sudaryti subrangos susitarimus, finansų sektoriaus subjektai įvertina, ar ir kaip galimai ilgos ar sudėtingos subrangos grandinės gali daryti poveikį jų galimybėms visapusiškai stebėti pagal sutartį perduotas funkcijas ir kompetentingos institucijos galimybėms šiuo atžvilgiu veiksmingai prižiūrėti finansų sektoriaus subjektą.

1.   Finansų sektoriaus subjekto ir IRT paslaugas teikiančios trečiosios šalies teisės ir pareigos aiškiai paskirstomos ir išdėstomos raštu. Visa sutartis turi apimti paslaugų lygio susitarimus ir yra išdėstoma viename rašytiniame dokumente, kuris šalims yra prieinamas popierine forma, arba dokumente, kurį galima gauti kita atsisiunčiama, patvaria ir prieinama forma.

2.   Sutartimi įformintuose susitarimuose dėl IRT paslaugų naudojimo turi būti nurodyti bent šie elementai:

3.   Į sutartimi įformintus susitarimus dėl IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, naudojimo, be 2 dalyje nurodytų elementų, įtraukiami bent šie elementai:

Nukrypstant nuo e punkto, IRT paslaugas teikianti trečioji šalis ir finansų sektoriaus subjektas, kuris yra labai maža įmonė, gali susitarti, kad prieigos, patikrinimo ir audito teisės gali būti perduotos IRT paslaugas teikiančios trečiosios šalies paskirtai nepriklausomai trečiajai šaliai ir kad finansų sektoriaus subjektas bet kuriuo metu gali prašyti tos trečiosios šalies pateikti informaciją ir patikinimą apie IRT paslaugas teikiančios trečiosios šalies veiklos rezultatus.

4.   Derėdamiesi dėl sutartimi įformintų susitarimų, finansų sektoriaus subjektai ir IRT paslaugas teikiančios trečiosios šalys apsvarsto galimybę taikyti standartines sutarčių sąlygas, valdžios institucijų parengtas konkrečioms paslaugoms.

5.   EPI Jungtiniame komitete parengia techninių reguliavimo standartų projektus, kuriuose patikslinami 2 dalies a punkte nurodyti elementai, kuriuos turi nustatyti ir įvertinti finansų sektoriaus subjektas, sudarydamas subrangos sutartis dėl IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos.

Rengdamos tų techninių reguliavimo standartų projektus, EPI atsižvelgia į finansų sektoriaus subjekto dydį ir bendrą rizikos profilį, taip pat į jo paslaugų, veiklos ir operacijų pobūdį, mastą ir sudėtingumą.

EPI tuos techninių reguliavimo standartų projektus pateikia Komisijai ne vėliau kaip 2024 m. liepos 17 d.

Komisijai pagal reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 10–14 straipsnius suteikiami įgaliojimai papildyti šį reglamentą priimant pirmoje pastraipoje nurodytus techninius reguliavimo standartus.

1.   EPI per Jungtinį komitetą ir remdamosi Priežiūros forumo, įsteigto pagal 32 straipsnio 1 dalį, rekomendacija:

2.   1 dalies a punkte nurodytas pripažinimas grindžiamas visais toliau nurodytais kriterijais, susijusiais su IRT paslaugas teikiančios trečiosios šalies teikiamomis IRT paslaugomis:

3.   Jei IRT paslaugas teikianti trečioji šalis priklauso grupei, 2 dalyje nurodyti kriterijai vertinami visos grupės teikiamų paslaugų atžvilgiu.

4.   Ypatingos svarbos IRT paslaugas teikiančios trečiosios šalys, priklausančios grupei, paskiria vieną juridinį asmenį koordinavimo punktu, kad būtų užtikrintas tinkamas atstovavimas ir komunikacija su Atsakingąja priežiūros institucija.

5.   Atsakingoji priežiūros institucija praneša IRT paslaugas teikiančiai trečiajai šaliai apie vertinimo, kurio rezultatas būtų 1 dalies a punkte nurodytas pripažinimas, išvadas. Per 6 savaites nuo pranešimo dienos IRT paslaugas teikianti trečioji šalis gali pateikti Atsakingajai priežiūros institucijai pagrįstą pareiškimą su visa vertinimui reikalinga informacija. Atsakingoji priežiūros institucija apsvarsto pagrįstą pareiškimą ir gali paprašyti per 30 kalendorinių dienų pateikti papildomos informacijos nuo tokio pareiškimo gavimo dienos.

Pripažinusios IRT paslaugas teikiančią trečiąją šalį esančia ypatingos svarbos, EPI per Jungtinį komitetą praneša IRT paslaugas teikiančiai trečiajai šaliai apie tokį pripažinimą ir datą, nuo kurios ji faktiškai bus prižiūrima. Ta pradžios data turi būti ne vėlesnė kaip vienas mėnuo nuo pranešimo. IRT paslaugas teikianti trečioji šalis praneša finansų sektoriaus subjektams, kuriems ji teikia paslaugas, apie jos pripažinimą esančia ypatingos svarbos.

6.   Komisijai pagal 57 straipsnį suteikiami įgaliojimai priimti deleguotąjį aktą, kuriuo šis reglamentas būtų papildytas patikslinant šio straipsnio 2 dalyje nurodytus kriterijus, ne vėliau kaip 2024 m. liepos 17 d.

7.   1 dalies a punkte nurodytas pripažinimas taikomas tik tada, kai Komisija priima deleguotąjį aktą pagal 6 dalį.

8.   1 dalies a punkte nurodytas pripažinimas netaikomas:

9.   EPI per Jungtinį komitetą sudaro, skelbia ir kasmet atnaujina Sąjungos lygmens ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių sąrašą.

10.   1 dalies a punkto tikslais kompetentingos institucijos kasmet apibendrina ir perduoda 28 straipsnio 3 dalies trečioje pastraipoje nurodytus pranešimus Priežiūros forumui, įsteigtam pagal 32 straipsnį. Priežiūros forumas įvertina finansų sektoriaus subjektų priklausomybę nuo IRT paslaugas teikiančių trečiųjų šalių, remdamasis iš kompetentingų institucijų gauta informacija.

11.   IRT paslaugas teikiančios trečiosios šalys, neįtrauktos į 9 dalyje nurodytą sąrašą, gali prašyti, kad jas pripažintų esančiomis ypatingos svarbos pagal 1 dalies a punktą.

Pirmos pastraipos tikslais IRT paslaugas teikianti trečioji šalis pateikia pagrįstą prašymą EBI, ESMA arba EIOPA, kurios Jungtiniame komitete nusprendžia, ar pripažinti tą IRT paslaugas teikiančią trečiąją šalį esančia ypatingos svarbos pagal 1 dalies a punktą.

Antroje pastraipoje nurodytas sprendimas priimamas ir apie jį IRT paslaugas teikiančiai trečiajai šaliai pranešama per 6 mėnesius nuo prašymo gavimo dienos.

12.   Finansų sektoriaus subjektai naudojasi trečiojoje valstybėje įsteigtos IRT paslaugas teikiančios trečiosios šalies, pripažintos esančia ypatingos svarbos pagal 1 dalies a punktą, paslaugomis tik tuo atveju, jei pastaroji per 12 mėnesių nuo pripažinimo įsteigė patronuojamąją įmonę Sąjungoje.

13.   12 dalyje nurodyta ypatingos svarbos IRT paslaugas teikianti trečioji šalis praneša Atsakingajai priežiūros institucijai apie visus Sąjungoje įsteigtos patronuojamosios įmonės valdymo struktūros pasikeitimus.

1.   Pagal reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 57 straipsnio 1 dalį Jungtinis komitetas įsteigia Priežiūros forumą, kuris veikia kaip pakomitetis, padedantis Jungtiniam komitetui ir 31 straipsnio 1 dalies b punkte nurodytai Atsakingajai priežiūros institucijai dirbti trečiųjų šalių keliamos IRT rizikos finansų sektoriuose srityje. Priežiūros forumas rengia Jungtinio komiteto bendrų pozicijų ir bendrų aktų toje srityje projektus.

Priežiūros forumas reguliariai aptaria atitinkamus pokyčius, susijusius su IRT rizika ir pažeidžiamumais, ir skatina nuoseklų požiūrį į trečiųjų šalių keliamos IRT rizikos stebėseną Sąjungos lygmeniu.

2.   Priežiūros forumas kasmet atlieka kolektyvinį visų ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių priežiūros veiklos rezultatų ir nustatytų faktų vertinimą ir skatina taikyti koordinavimo priemones, kuriomis siekiama padidinti finansų sektoriaus subjektų skaitmeninės veiklos atsparumą, puoselėja geriausią IRT koncentracijos rizikos mažinimo praktiką ir tiria tarpsektorinio rizikos perleidimo mažinimo priemones.

3.   Priežiūros forumas pateikia išsamius ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių lyginamuosius standartus, kuriuos pagal reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 56 straipsnio 1 dalį Jungtinis komitetas turi priimti kaip bendras EPI pozicijas.

4.   Priežiūros forumą sudaro:

Priežiūros forumas, kai tikslinga, gali konsultuotis su nepriklausomais ekspertais, paskirtais pagal 6 dalį.

5.   Kiekviena valstybė narė paskiria atitinkamą kompetentingą instituciją, kurios darbuotojas laikomas 4 dalies pirmos pastraipos b punkte nurodytu aukšto lygio atstovu, ir apie tai informuoja Atsakingąją priežiūros instituciją.

EPI savo svetainėje skelbia valstybių narių paskirtų aukšto lygio atstovų, skiriamų iš esamų atitinkamos kompetentingos institucijos darbuotojų, sąrašą.

6.   4 dalies antroje pastraipoje nurodytus nepriklausomus ekspertus skiria Priežiūros forumas iš ekspertų, atrinktų taikant viešą ir skaidrią paraiškų teikimo procesą, grupės.

Nepriklausomi ekspertai skiriami atsižvelgiant į jų ekspertines žinias finansinio stabilumo, skaitmeninės veiklos atsparumo ir IRT saugumo klausimais. Jie veikia nepriklausomai ir nešališkai, vadovaudamiesi tik visos Sąjungos interesais, ir nesiekia gauti Sąjungos institucijų ar įstaigų, valstybės narės Vyriausybės ar kitos viešosios ar privačiosios įstaigos nurodymų ir jais nesivadovauja.

7.   Vadovaujantis reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 16 straipsniu, EPI ne vėliau kaip 2024 m. liepos 17 d. paskelbia šio skirsnio tikslais EPI ir kompetentingų institucijų bendradarbiavimo gaires, dėl išsamių procedūrų ir sąlygų, taikomų kompetentingų institucijų ir EPI užduočių pasidalinimui ir vykdymui, ir dėl išsamios informacijos apie keitimąsi informacija, kuri yra reikalinga, kad kompetentingos institucijos galėtų užtikrinti, kad būtų imtasi tolesnių veiksmų dėl rekomendacijų, teikiamų pagal 35 straipsnio 1 dalies d punktą, skirtų ypatingos svarbos IRT paslaugas teikiančioms trečiosioms šalims.

8.   Šiame skirsnyje nustatytais reikalavimais nedaromas poveikis Direktyvos (ES) 2022/2555 ir kitų Sąjungos priežiūros taisyklių, taikomų debesijos paslaugų teikėjams, taikymui.

9.   EPI per Jungtinį komitetą ir remdamosi Priežiūros forumo atliktu parengiamuoju darbu kasmet pateikia Europos Parlamentui, Tarybai ir Komisijai šio skirsnio taikymo ataskaitą.

1.   Pagal 31 straipsnio 1 dalies b punktą paskirta Atsakingoji priežiūros institucija vykdo jai priskirtų ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių priežiūrą ir visais su priežiūra susijusiais klausimais yra pagrindinis tų ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių kontaktinis punktas.

2.   1 dalies tikslais Atsakingoji priežiūros institucija įvertina, ar kiekviena ypatingos svarbos IRT paslaugas teikianti trečioji šalis yra įdiegusi išsamias, patikimas ir veiksmingas taisykles, procedūras, mechanizmus ir tvarką, skirtus IRT rizikai, kurią ji gali kelti finansų sektoriaus subjektams, valdyti.

Atliekant pirmoje pastraipoje nurodytą vertinimą daugiausia dėmesio skiriama IRT paslaugoms, kurias teikia ypatingos svarbos IRT paslaugas teikianti trečioji šalis ir kuriomis palaikomos finansų sektoriaus subjektų ypatingos svarbos arba svarbios funkcijos. Kai būtina siekiant atsižvelgti į visą atitinkamą riziką, tas vertinimas turi apimti ir IRT paslaugas, kuriomis palaikomos kitos nei ypatingos svarbos arba svarbios funkcijos.

3.   2 dalyje nurodytas vertinimas apima:

4.   Remdamasi 2 dalyje nurodytu vertinimu ir derindama veiksmus su 34 straipsnio 1 dalyje nurodytu Jungtiniu priežiūros tinklu (JPT), Atsakingoji priežiūros institucija patvirtina aiškų, išsamų ir pagrįstą individualų priežiūros planą, kuriame apibūdinami metiniai priežiūros tikslai ir pagrindiniai priežiūros veiksmai, numatyti kiekvienai ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai. Tas planas kiekvienais metais pateikiamas ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai.

Prieš patvirtindama priežiūros planą, Atsakingoji priežiūros institucija pateikia priežiūros plano projektą ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai.

Gavusi priežiūros plano projektą, ypatingos svarbos IRT paslaugas teikianti trečioji šalis gali per 15 kalendorinių dienų pateikti pagrįstą pareiškimą, kuriame būtų nurodytas tikėtinas poveikis klientams, kurie yra subjektai, nepatenkantys į šio reglamento taikymo sritį, ir, kai tikslinga, kuriame būtų suformuluoti rizikos mažinimo sprendimai.

5.   Kai 4 dalyje nurodyti metiniai priežiūros planai patvirtinami ir jie pateikiami ypatingos svarbos IRT paslaugas teikiančioms trečiosioms šalims, kompetentingos institucijos gali imtis priemonių dėl ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių tik gavusios Atsakingosios priežiūros institucijos pritarimą.

1.   Siekiant užtikrinti nuoseklų požiūrį į priežiūros veiklą ir siekiant sudaryti sąlygas suderintoms bendroms priežiūros strategijoms ir darniems veiklos metodams bei darbo metodikoms, trys pagal 31 straipsnio 1 dalies b punktą paskirtos Atsakingosios priežiūros institucijos įsteigia JPT siekdamos tarpusavyje koordinuoti veiksmus parengiamuosiuose etapuose ir koordinuoti priežiūros veiklą jų atitinkamų prižiūrimų ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių atžvilgiu, taip pat imantis bet kurių veiksmų, kurių gali prireikti pagal 42 straipsnį.

2.   1 dalies tikslais Atsakingosios priežiūros institucijos parengia bendrą priežiūros protokolą, kuriame nustatomos išsamios procedūros, kurių reikia laikytis vykdant kasdienį koordinavimą ir užtikrinant greitą keitimąsi informacija ir reagavimą. Protokolas periodiškai peržiūrimas siekiant atsižvelgti į veiklos poreikius, visų pirma į praktinės priežiūros tvarkos raidą.

3.   Atsakingosios priežiūros institucijos gali ad hoc pagrindu paprašyti ECB ir ENISA teikti technines konsultacijas, dalytis praktine patirtimi arba dalyvauti specialiuose JPT koordinavimo posėdžiuose.

1.   Vykdydama šiame skirsnyje nustatytas pareigas Atsakingoji priežiūros institucija turi šiuos įgaliojimus ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių atžvilgiu:

2.   Naudodamasi šiame straipsnyje nurodytais įgaliojimais, Atsakingoji priežiūros institucija:

3.   Prieš naudodamasi 1 dalyje nurodytais įgaliojimais Atsakingoji priežiūros institucija konsultuojasi su Priežiūros forumu.

Prieš pateikdama rekomendacijas pagal 1 dalies d punktą, Atsakingoji priežiūros institucija suteikia IRT paslaugas teikiančiai trečiajai šaliai galimybę per 30 kalendorinių dienų pateikti atitinkamą informaciją, įrodančią tikėtiną poveikį klientams, kurie yra subjektai, nepatenkantys į šio reglamento taikymo sritį, ir, kai tikslinga, suformuluoti rizikos mažinimo sprendimus.

4.   Atsakingoji priežiūros institucija informuoja JPT apie naudojimosi 1 dalies a ir b punktuose nurodytais įgaliojimais rezultatus. Atsakingoji priežiūros institucija nepagrįstai nedelsdama perduoda 1 dalies c punkte nurodytas ataskaitas JPT ir finansų sektoriaus subjektų, kurie naudojasi tos ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies IRT paslaugomis, kompetentingoms institucijoms.

5.   Ypatingos svarbos IRT paslaugas teikiančios trečiosios šalys sąžiningai bendradarbiauja su Atsakingąja priežiūros institucija ir jai padeda atlikti užduotis.

6.   Tuo atveju, kai visiškai arba iš dalies nesilaikoma priemonių, kurių reikalaujama imtis naudojantis įgaliojimais pagal 1 dalies a, b ir c punktus, ir pasibaigus ne mažiau kaip 30 kalendorinių dienų laikotarpiui nuo tos dienos, kurią ypatingos svarbos IRT paslaugas teikianti trečioji šalis gavo pranešimą apie atitinkamas priemones, Atsakingoji priežiūros institucija priima sprendimą skirti periodinę baudą, kad priverstų ypatingos svarbos IRT paslaugas teikiančią trečiąją šalį laikytis tų priemonių.

7.   6 dalyje nurodyta periodinė bauda skiriama kasdien, kol bus pradėta laikytis priemonių, ir ne ilgiau kaip šešis mėnesius nuo pranešimo apie sprendimą dėl periodinės baudos skyrimo ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai dienos.

8.   Periodinės baudos dydis, apskaičiuojamas nuo sprendime dėl periodinės baudos skyrimo nustatytos dienos, sudaro iki 1 % ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies vidutinės dienos pasaulinės apyvartos ankstesniais finansiniais metais. Nustatydama baudos dydį, Atsakingoji priežiūros institucija atsižvelgia į šiuos kriterijus, susijusius su 6 dalyje nurodytų priemonių nesilaikymu:

Pirmos pastraipos tikslais, siekdama užtikrinti nuoseklų požiūrį, Atsakingoji priežiūros institucija konsultuojasi JPT.

9.   Baudos yra administracinio pobūdžio ir jų sumokėjimas yra užtikrinamas. Sumokėjimo užtikrinimui taikomos civilinio proceso taisyklės, galiojančios valstybėje narėje, kurios teritorijoje atliekami patikrinimai ir teikiama prieiga. Atitinkamos valstybės narės teismai turi jurisdikciją nagrinėti skundus, susijusius su neteisėtu baudų sumokėjimo užtikrinimu. Baudų sumos skiriamos į Europos Sąjungos bendrąjį biudžetą.

10.   Atsakingoji priežiūros institucija viešai paskelbia apie kiekvieną skirtą periodinę baudą, išskyrus atvejus, kai toks paskelbimas sukeltų rimtą pavojų finansų rinkoms arba pernelyg pakenktų susijusioms šalims.

11.   Prieš skirdama periodinę baudą pagal 6 dalį, Atsakingoji priežiūros institucija ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies, kurios atžvilgiu vyksta procesas, atstovams suteikia galimybę būti išklausytiems dėl nustatytų faktų ir savo sprendimus grindžia tik nustatytais faktais, dėl kurių ypatingos svarbos IRT paslaugas teikianti trečioji šalis, kurios atžvilgiu vyksta procesas, turėjo galimybę pateikti pastabas.

Proceso metu visapusiškai laikomasi asmenų, kurių atžvilgiu vyksta procesas, teisių į gynybą. Ypatingos svarbos IRT paslaugas teikianti trečioji šalis, kurios atžvilgiu vyksta procesas, turi teisę susipažinti su byla, nepažeidžiant kitų asmenų teisėto intereso apsaugoti savo verslo paslaptis. Teisė susipažinti su byla netaikoma konfidencialiai informacijai ar Atsakingosios priežiūros institucijos vidaus darbiniams dokumentams.

1.   Kai priežiūros tikslų neįmanoma pasiekti bendradarbiaujant su patronuojamąja įmone, įsteigta 31 straipsnio 12 dalies tikslais, arba vykdant priežiūros veiklą Sąjungoje esančiose patalpose, Atsakingoji priežiūros institucija gali naudotis įgaliojimais, nurodytais toliau pateiktose nuostatose, bet kuriose trečiojoje valstybėje esančiose patalpose, kurios priklauso ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai arba kurios kokiu nors būdu naudojamos paslaugoms Sąjungos finansų sektoriaus subjektams teikti, kai tai susiję su jos verslo operacijomis, funkcijomis ar paslaugomis, įskaitant administracinius, verslo ar veiklos biurus, patalpas, teritoriją, pastatus ar kitą nuosavybę:

Pirmoje pastraipoje nurodytais įgaliojimais gali būti naudojamasi laikantis visų šių sąlygų:

2.   Nedarant poveikio atitinkamai Sąjungos institucijų ir valstybių narių kompetencijai, 1 dalies tikslais EBI, ESMA arba EIOPA sudaro administracinio bendradarbiavimo susitarimus su atitinkama trečiosios valstybės institucija, kad Atsakingajai priežiūros institucijai ir į tą trečiąją valstybę jos komandiruotai paskirtajai grupei būtų sudarytos sąlygos sklandžiai atlikti patikrinimus toje trečiojoje valstybėje. Tais bendradarbiavimo susitarimais Sąjungai ir jos valstybėms narėms nesukuriamos teisinės pareigos, taip pat jie nekliudo valstybėms narėms ir jų kompetentingoms institucijoms sudaryti dvišalius ar daugiašalius susitarimus su tomis trečiosiomis valstybėmis ir jų atitinkamomis institucijomis.

Tuose bendradarbiavimo susitarimuose nurodomi bent šie elementai:

3.   Kai Atsakingoji priežiūros institucija negali vykdyti priežiūros veiklos už Sąjungos ribų, kaip nurodyta 1 ir 2 dalyse, Atsakingoji priežiūros institucija:

Į šios dalies b punkte nurodytus galimus padarinius atsižvelgiama Atsakingosios priežiūros institucijos rekomendacijose, teikiamose pagal 35 straipsnio 1 dalies d punktą.

1.   Atsakingoji priežiūros institucija paprastu prašymu arba sprendimu gali pareikalauti, kad ypatingos svarbos IRT paslaugas teikiančios trečiosios šalys pateiktų visą informaciją, būtiną Atsakingajai priežiūros institucijai, kad ji galėtų vykdyti šiame reglamente nustatytas pareigas, įskaitant visus atitinkamus verslo ar veiklos dokumentus, sutartis, politikos priemones, dokumentaciją, IRT saugumo audito ataskaitas, su IRT susijusių incidentų ataskaitas, taip pat bet kurią informaciją, susijusią su šalimis, kurioms ypatingos svarbos IRT paslaugas teikianti trečioji šalis yra perdavusi operacinių funkcijų ar veiklos vykdymą.

2.   Siųsdama paprastą prašymą pateikti informaciją pagal 1 dalį, Atsakingoji priežiūros institucija:

3.   Jei informaciją pagal 1 dalį pateikti reikalaujama sprendimu, Atsakingoji priežiūros institucija:

4.   Ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių atstovai pateikia prašomą informaciją. Informaciją savo klientų vardu gali pateikti tinkamai įgalioti teisininkai. Visa atsakomybė už pateiktos informacijos išsamumą, teisingumą ir neklaidingumą tenka ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai.

5.   Atsakingoji priežiūros institucija nedelsdama perduoda sprendimo pateikti informaciją kopiją finansų sektoriaus subjektų, kurie naudojasi atitinkamų ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių paslaugomis, kompetentingoms institucijoms ir JPT.

1.   Kad įvykdytų šiame reglamente nustatytas pareigas, Atsakingoji priežiūros institucija, padedama 40 straipsnio 1 dalyje nurodytos jungtinės tyrimo grupės, prireikus gali atlikti ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių tyrimus.

2.   Atsakingoji priežiūros institucija turi įgaliojimus:

3.   Pareigūnai ir kiti asmenys, kuriems Atsakingoji priežiūros institucija yra suteikusi įgaliojimus 1 dalyje nurodyto tyrimo tikslais, savo įgaliojimais naudojasi pateikę raštišką įgaliojimą, kuriame nurodomas tyrimo dalykas ir tikslas.

Tame įgaliojime taip pat nurodomos 35 straipsnio 6 dalyje numatytos periodinės baudos, taikomos tais atvejais, jei reikalaujami įrašai, duomenys, dokumentuojamos procedūros ar bet kuri kita medžiaga, arba atsakymai į klausimus, užduotus IRT paslaugas teikiančios trečiosios šalies atstovams, nepateikti arba pateikti ne visi.

4.   Ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies atstovai turi leisti atlikti tyrimus, reikalaujamus remiantis Atsakingosios priežiūros institucijos sprendimu. Sprendime nurodomas tyrimo dalykas ir tikslas, 35 straipsnio 6 dalyje numatytos periodinės baudos, pagal reglamentus (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 taikomos teisių gynimo priemonės bei teisė prašyti, kad sprendimas būtų peržiūrėtas Teisingumo Teisme.

5.   Likus pakankamai laiko iki tyrimo pradžios, Atsakingoji priežiūros institucija praneša finansų sektoriaus subjektų, kurie naudojasi tos ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies IRT paslaugomis, kompetentingoms institucijoms apie numatomą tyrimą ir nurodo įgaliotų asmenų tapatybę.

Atsakingoji priežiūros institucija perduoda JPT visą pagal pirmą pastraipą perduotą informaciją.

1.   Kad įvykdytų šiame reglamente nustatytas pareigas, Atsakingoji priežiūros institucija, padedama 40 straipsnio 1 dalyje nurodytų jungtinių tyrimo grupių, gali patekti į IRT paslaugas teikiančių trečiųjų šalių verslo patalpas, teritoriją arba valdą, pavyzdžiui, pagrindines buveines, operacijų centrus, pagalbines patalpas, ir atlikti visus būtinus patikrinimus vietoje, taip pat atlikti patikrinimus ne vietoje.

Naudodamasi pirmoje pastraipoje nurodytais įgaliojimais Atsakingoji priežiūros institucija konsultuojasi su JPT.

2.   Pareigūnai ir kiti asmenys, Atsakingosios priežiūros institucijos įgalioti atlikti patikrinimą vietoje, turi įgaliojimus:

Atsakingosios priežiūros institucijos įgalioti pareigūnai ir kiti asmenys naudojasi savo įgaliojimais pateikę raštišką įgaliojimą, kuriame nurodomas patikrinimo dalykas bei tikslas ir 35 straipsnio 6 dalyje numatytos periodinės baudos, kurios yra taikomos, jei atitinkamų ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių atstovai neleidžia atlikti patikrinimo.

3.   Likus pakankamai laiko iki patikrinimo pradžios Atsakingoji priežiūros institucija informuoja finansų sektoriaus subjektų, kurie naudojasi tos IRT paslaugas teikiančios trečiosios šalies paslaugomis, kompetentingas institucijas.

4.   Patikrinimai apima visas susijusias IRT sistemas, tinklus, įrenginius, informaciją ir duomenis, naudojamus IRT paslaugoms finansų sektoriaus subjektams teikti arba padedančius jas teikti.

5.   Likus pakankamai laiko iki bet kurio planuojamo patikrinimo vietoje Atsakingoji priežiūros institucija apie tai įspėja ypatingos svarbos IRT paslaugas teikiančias trečiąsias šalis, išskyrus atvejus, kai tai neįmanoma dėl susidariusios ekstremalios padėties ar krizės arba jeigu dėl tokio įspėjimo patikrinimas ar auditas nebebūtų veiksmingas.

6.   Ypatingos svarbos IRT paslaugas teikianti trečioji šalis leidžia atlikti Atsakingosios priežiūros institucijos sprendimu paskirtus patikrinimus vietoje. Sprendime nurodomas patikrinimo dalykas ir tikslas, nustatoma data, kada patikrinimas turi prasidėti, ir nurodomos 35 straipsnio 6 dalyje numatytos periodinės baudos, pagal reglamentus (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 taikomos teisių gynimo priemonės bei teisė prašyti, kad sprendimas būtų peržiūrėtas Teisingumo Teisme.

7.   Jei Atsakingosios priežiūros institucijos įgalioti pareigūnai ir kiti asmenys nustato, kad ypatingos svarbos IRT paslaugas teikianti trečioji šalis nesutinka, jog būtų atliktas pagal šį straipsnį paskirtas patikrinimas, Atsakingoji priežiūros institucija informuoja ypatingos svarbos IRT paslaugas teikiančią trečiąją šalį apie tokio nesutikimo padarinius, įskaitant galimybę atitinkamų finansų sektoriaus subjektų kompetentingoms institucijoms reikalauti, kad finansų sektoriaus subjektai nutrauktų su ta ypatingos svarbos IRT paslaugas teikiančia trečiąja šalimi sudarytus sutartimi įformintus susitarimus.

1.   Vykdant priežiūros veiklą, visų pirma bendruosius tyrimus arba patikrinimus, Atsakingajai priežiūros institucijai padeda jungtinė tyrimo grupė, suburta kiekvienai ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai.

2.   1 dalyje nurodytą jungtinę tyrimo grupę sudaro darbuotojai iš:

Jungtinės tyrimo grupės nariai turi turėti ekspertinių žinių IRT klausimais ir operacinės rizikos srityje. Jungtinės tyrimo grupės darbą koordinuoja paskirtas Atsakingosios priežiūros institucijos darbuotojas (toliau – Atsakingosios priežiūros institucijos koordinatorius).

3.   Per tris mėnesius nuo tyrimo arba patikrinimo pabaigos Atsakingoji priežiūros institucija, pasikonsultavusi su Priežiūros forumu, naudodamasi 35 straipsnyje nurodytais įgaliojimais priima rekomendacijas, skirtas ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai.

4.   3 dalyje nurodytos rekomendacijos nedelsiant perduodamos ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai ir finansų sektoriaus subjektų, kuriems ji teikia IRT paslaugas, kompetentingoms institucijoms.

Vykdydama priežiūros veiklą Atsakingoji priežiūros institucija gali atsižvelgti į visus atitinkamus trečiųjų šalių sertifikatus ir IRT paslaugas teikiančių trečiųjų šalių vidaus ar išorės audito ataskaitas, pateikiamus ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies.

1.   EPI Jungtiniame komitete parengia techninių reguliavimo standartų projektus, kuriuose nurodoma:

2.   EPI tuos techninių reguliavimo standartų projektus pateikia Komisijai ne vėliau kaip 2024 m. liepos 17 d.

Komisijai pagal reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 10–14 straipsnius suteikiami įgaliojimai papildyti šį reglamentą priimant 1 dalyje nurodytus techninius reguliavimo standartus.

1.   Per 60 kalendorinių dienų nuo Atsakingosios priežiūros institucijos pagal 35 straipsnio 1 dalies d punktą pateiktų rekomendacijų gavimo ypatingos svarbos IRT paslaugas teikiančios trečiosios šalys Atsakingajai priežiūros institucijai praneša apie savo ketinimą laikytis rekomendacijų arba pateikia pagrįstą paaiškinimą, kodėl jos tokių rekomendacijų nesilaikys. Atsakingoji priežiūros institucija nedelsdama perduoda šią informaciją atitinkamų finansų sektoriaus subjektų kompetentingoms institucijoms.

2.   Atsakingoji priežiūros institucija viešai atskleidžia atvejus, kai ypatingos svarbos IRT paslaugas teikianti trečioji šalis neinformuoja Atsakingosios priežiūros institucijos pagal 1 dalį arba kai ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies pateiktas paaiškinimas laikomas nepakankamu. Paskelbtoje informacijoje atskleidžiama ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies tapatybė, taip pat informacija apie reikalavimų nesilaikymo rūšį ir pobūdį. Tokia informacija apima tik tai, kas yra aktualu ir proporcinga norint užtikrinti visuomenės informuotumą, išskyrus atvejus, kai toks paskelbimas darytų neproporcingą žalą susijusioms šalims arba galėtų rimtai pakenkti finansų rinkų tvarkingam veikimui ir vientisumui arba visos Sąjungos finansų sistemos ar jos dalies stabilumui.

Atsakingoji priežiūros institucija praneša ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai apie tą viešą atskleidimą.

3.   Kompetentingos institucijos informuoja atitinkamus finansų sektoriaus subjektus apie riziką, nustatytą ypatingos svarbos IRT paslaugas teikiančioms trečiosioms šalims skirtose rekomendacijose, pateiktose pagal 35 straipsnio 1 dalies d punktą.

Valdydami trečiosios šalies keliamą IRT riziką, finansų sektoriaus subjektai atsižvelgia į pirmoje pastraipoje nurodytą riziką.

4.   Jeigu kompetentinga institucija mano, kad finansų sektoriaus subjektas, valdydamas trečiosios šalies keliamą IRT riziką, neatsižvelgia arba nepakankamai atsižvelgia į konkrečią rekomendacijose nustatytą riziką, ji praneša finansų sektoriaus subjektui apie galimybę per 60 kalendorinių dienų nuo tokio pranešimo gavimo dienos pagal 6 dalį priimti sprendimą, jei nebus atitinkamų sutartimi įformintų susitarimų, kuriais būtų siekiama pašalinti tokią riziką.

5.   Gavusios 35 straipsnio 1 dalies c punkte nurodytas ataskaitas ir prieš priimdamos šio straipsnio 6 dalyje nurodytą sprendimą kompetentingos institucijos gali savanoriškai pasikonsultuoti su pagal Direktyvą (ES) 2022/2555 paskirtomis ar įsteigtomis kompetentingomis institucijomis, atsakingomis už esminio ar svarbaus subjekto, kuriam taikoma ta direktyva ir kuris buvo pripažintas ypatingos svarbos IRT paslaugas teikiančia trečiąja šalimi, priežiūrą.

6.   Kompetentingos institucijos gali kaip kraštutinę priemonę po to, kai pateikiamas pranešimas ir, jei tinkama, po konsultacijų, kaip nustatyta šio straipsnio 4 ir 5 dalyse, pagal 50 straipsnį priimti sprendimą, kuriuo reikalaujama, kad finansų sektoriaus subjektai laikinai iš dalies arba visiškai sustabdytų ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies teikiamos paslaugos naudojimą ar diegimą, kol bus imtasi veiksmų dėl rizikos, nustatytos ypatingos svarbos IRT paslaugas teikiančioms trečiosioms šalims skirtose rekomendacijose. Prireikus jos gali reikalauti, kad finansų sektoriaus subjektai iš dalies arba visiškai nutrauktų atitinkamus sutartimi įformintus susitarimus, sudarytus su ypatingos svarbos IRT paslaugas teikiančiomis trečiosiomis šalimis.

7.   Jeigu ypatingos svarbos IRT paslaugas teikianti trečioji šalis atsisako pritarti rekomendacijoms, remdamasi kitokiu požiūriu nei tas, kurį rekomendavo Atsakingoji priežiūros institucija, ir tas kitoks požiūris gali neigiamai paveikti daug finansų sektoriaus subjektų arba reikšmingą finansų sektoriaus dalį, o kompetentingų institucijų individualūs įspėjimai nedavė rezultatų, t. y. nuoseklių požiūrių, kuriais švelninama potenciali rizika finansų stabilumui, nebuvo nustatyta, Atsakingoji priežiūros institucija gali, pasikonsultavusi su Priežiūros forumu, pateikti kompetentingoms institucijoms neprivalomas ir neviešas nuomones, kad paskatintų, kai tinkama, imtis nuoseklių ir suderintų tolesnių priežiūros priemonių.

8.   Gavusios 35 straipsnio 1 dalies c punkte nurodytas ataskaitas, kompetentingos institucijos, priimdamos šio straipsnio 6 dalyje nurodytą sprendimą atsižvelgia į rizikos, į kurią ypatingos svarbos IRT paslaugas teikianti trečioji šalis nereaguoja, rūšį ir mastą, taip pat į reikalavimų nesilaikymo rimtumą, pagal šiuos kriterijus:

Kompetentingos institucijos suteikia finansų sektoriaus subjektams būtiną laikotarpį, kad jie galėtų pakoreguoti sutartimi įformintus susitarimus su ypatingos svarbos IRT paslaugas teikiančia trečiąja šalimi siekiant išvengti neigiamo poveikio jų skaitmeninės veiklos atsparumui ir sudaryti jiems sąlygas įgyvendinti 28 straipsnyje nurodytas pasitraukimo strategijas ir pereinamojo laikotarpio planus.

9.   Apie šio straipsnio 6 dalyje nurodytą sprendimą pranešama 32 straipsnio 4 dalies a, b ir c punktuose nurodytiems Priežiūros forumo nariams ir JPT.

Ypatingos svarbos IRT paslaugas teikiančios trečiosios šalys, kurioms 6 dalyje numatyti sprendimai daro poveikį, turi visapusiškai bendradarbiauti su paveiktais finansų sektoriaus subjektais, visų pirma jų sutartimi įformintų susitarimų sustabdymo ar nutraukimo kontekste.

10.   Kompetentingos institucijos reguliariai informuoja Atsakingąją priežiūros instituciją apie požiūrius, kurių jos laikėsi, ir priemones, kurias jos taikė vykdydamos priežiūros užduotis finansų sektoriaus subjektų atžvilgiu, taip pat apie finansų sektoriaus subjektų sudarytus sutartimi įformintus susitarimus, kai ypatingos svarbos IRT paslaugas teikiančios trečiosios šalys iš dalies ar visiškai nepritarė joms skirtoms Atsakingosios priežiūros institucijos rekomendacijoms.

11.   Atsakingoji priežiūros institucija gali gavusi prašymą papildomai paaiškinti pateiktas rekomendacijas, kuriomis kompetentingos institucijos galėtų vadovautis imdamosi tolesnių priemonių.

1.   Atsakingoji priežiūros institucija, laikydamasi šio straipsnio 2 dalyje nurodyto deleguotojo akto, ypatingos svarbos IRT paslaugas teikiančioms trečiosioms šalims taiko mokesčius, kurie visiškai padengia būtinas Atsakingosios priežiūros institucijos išlaidas, susijusias su priežiūros užduočių vykdymu pagal šį reglamentą, be kita ko, kompensuoja visas išlaidas, kurios gali būti patiriamos dėl 40 straipsnyje nurodytos jungtinės tyrimo grupės atliekamo darbo, taip pat 32 straipsnio 4 dalies antroje pastraipoje nurodytų nepriklausomų ekspertų teikiamų konsultacijų išlaidas, susijusias su klausimais, patenkančiais į tiesioginės priežiūros veiklos sritį.

Ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai taikomo mokesčio dydis padengia visas išlaidas, susidarančias dėl šiame skirsnyje numatytų pareigų vykdymo, ir yra proporcingas jos apyvartai.

2.   Komisijai pagal 57 straipsnį suteikiami įgaliojimai ne vėliau kaip 2024 m. liepos 17 d. priimti deleguotąjį aktą, kuriuo šis reglamentas būtų papildytas nustatant mokesčių dydį ir jų mokėjimo būdą.

1.   Nedarant poveikio 36 straipsniui, EBI, ESMA ir EIOPA, vadovaudamosi atitinkamai reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1095/2010 ir (ES) Nr. 1094/2010 33 straipsniu, gali su trečiųjų valstybių reguliavimo ir priežiūros institucijomis sudaryti administracinius susitarimus, kad būtų skatinamas tarptautinis bendradarbiavimas dėl trečiųjų šalių keliamos IRT rizikos įvairiuose finansų sektoriuose, visų pirma plėtojant geriausią praktiką, susijusią su IRT rizikos valdymo praktikos ir kontrolės priemonių, rizikos mažinimo priemonių ir reagavimo į incidentus peržiūra.

2.   EPI per Jungtinį komitetą kas penkerius metus pateikia Europos Parlamentui, Tarybai ir Komisijai bendrą konfidencialią ataskaitą, kurioje apibendrinamos atitinkamų diskusijų su 1 dalyje nurodytomis trečiųjų valstybių institucijomis išvados, daugiausia dėmesio skiriant trečiųjų šalių keliamos IRT rizikos raidai ir jos poveikiui finansiniam stabilumui, rinkos vientisumui, investuotojų apsaugai ir vidaus rinkos veikimui.

1.   Finansų sektoriaus subjektai gali tarpusavyje keistis informacija ir žvalgybos informacija apie kibernetines grėsmes, įskaitant užvaldymo rodiklius, taktiką, metodus ir procedūras, kibernetinio saugumo įspėjimus ir konfigūravimo priemones, tiek, kiek toks dalijamasis informacija ir žvalgybos informacija:

2.   1 dalies c punkto tikslais dalijimosi informacija schemose apibrėžiamos dalyvavimo sąlygos ir, kai tinkama, išsamiai išdėstomos valdžios institucijų dalyvavimo sąlygos ir kompetencija, pagal kurią jos gali būti įtrauktos į dalijimosi informacija schemas, IRT paslaugas teikiančių trečiųjų šalių dalyvavimo sąlygos ir operaciniai elementai, įskaitant specialių IT platformų naudojimą.

3.   Finansų sektoriaus subjektai praneša kompetentingoms institucijoms apie savo dalyvavimą 1 dalyje nurodytose dalijimosi informacija schemose, kai jų narystė patvirtinama arba, jei taikytina, nutraukiama, kai tas nutraukimas įsigalioja.

1.   Siekiant skatinti pagal šį reglamentą paskirtų kompetentingų institucijų ir pagal Direktyvos (ES) 2022/2555 14 straipsnį įsteigtos Bendradarbiavimo grupės bendradarbiavimą ir sudaryti sąlygas keistis priežiūros informacija, EPI ir kompetentingos institucijos gali dalyvauti Bendradarbiavimo grupės veikloje klausimais, aktualiais jų priežiūros veiklai, susijusiai su finansų sektoriaus subjektais. EPI ir kompetentingos institucijos gali prašyti būti pakviestos dalyvauti Bendradarbiavimo grupės darbe klausimais, susijusiais su esminiais ar svarbiais subjektais, kuriems taikoma Direktyva (ES) 2022/2555, kurie pagal šio reglamento 31 straipsnį taip pat buvo pripažinti ypatingos svarbos IRT paslaugas teikiančiomis trečiosiomis šalimis.

2.   Kai tinkama, kompetentingos institucijos gali konsultuotis ir dalytis informacija su bendraisiais informaciniais centrais ir CSIRT, paskirtais ar įsteigtais pagal Direktyvą (ES) 2022/2555.

3.   Kai tinkama, kompetentingos institucijos gali prašyti kompetentingų institucijų, paskirtų ar įsteigtų pagal Direktyvą (ES) 2022/2555 atitinkamų techninių konsultacijų bei pagalbos ir sudaryti bendradarbiavimo susitarimus, kuriais būtų sudarytos sąlygos sukurti veiksmingus ir greitą reagavimą užtikrinančius koordinavimo mechanizmus.

4.   Šio straipsnio 3 dalyje nurodytuose susitarimuose, inter alia, nurodomos priežiūros ir priežiūros veiklos koordinavimo procedūros, susijusios su esminiais ar svarbiais subjektais, kuriems taikoma Direktyva (ES) 2022/2555, kurie pagal šio reglamento 31 straipsnį pripažinti ypatingos svarbos IRT paslaugas teikiančiomis trečiosiomis šalimis, be kita ko, siekiant pagal nacionalinę teisę vykdyti tyrimus ir patikrinimus vietoje, taip pat taikyti pagal šį reglamentą nustatytų kompetentingų institucijų ir pagal tą direktyvą paskirtų ar įsteigtų kompetentingų institucijų keitimosi informacija mechanizmus, apimančius prieigą prie pastarųjų institucijų prašomos informacijos.

1.   Kompetentingos institucijos glaudžiai bendradarbiauja tarpusavyje ir, kai taikytina, su Atsakingąja priežiūros institucija.

2.   Kompetentingos institucijos ir Atsakingoji priežiūros institucija laiku tarpusavyje keičiasi visa atitinkama informacija, susijusia su ypatingos svarbos IRT paslaugas teikiančiomis trečiosiomis šalimis, kuri yra būtina tam, kad jos galėtų vykdyti savo atitinkamas pareigas pagal šį reglamentą, visų pirma susijusias su nustatyta rizika, požiūriais, kurių laikomasi, ir priemonėmis, kurių imamasi vykdant Atsakingosios priežiūros institucijos priežiūros užduotis.

1.   EPI per Jungtinį komitetą ir bendradarbiaudamos atitinkamai su kompetentingomis institucijomis, pertvarkymo institucijomis, nurodytomis Direktyvos 2014/59/ES 3 straipsnyje, ECB, Bendra pertvarkymo valdyba, jei informacija susijusi su subjektais, kuriems taikomas Reglamentas (ES) Nr. 806/2014, ESRV ir ENISA, gali nustatyti mechanizmus, kurie sudarytų sąlygas dalytis veiksminga praktika skirtinguose finansų sektoriuose, kad būtų didinamas informuotumas apie padėtį ir nustatomi bendri kibernetiniai pažeidžiamumo atvejai ir rizika įvairiuose sektoriuose.

Jos gali parengti krizių valdymo ir nenumatytų atvejų pratybas, apimančias kibernetinių išpuolių scenarijus, siekdamos plėtoti komunikacijos kanalus ir palaipsniui sudaryti sąlygas veiksmingam Sąjungos lygmens koordinuotam atsakui didelio tarpvalstybinio IRT incidento ar susijusios grėsmės, turinčios sisteminį poveikį visam Sąjungos finansų sektoriui, atveju.

Atitinkamais atvejais tos užduotys taip pat gali padėti patikrinti finansų sektoriaus priklausomybę nuo kitų ekonomikos sektorių.

2.   Kompetentingos institucijos, EPI ir ECB glaudžiai bendradarbiauja tarpusavyje ir keičiasi informacija, kad galėtų vykdyti savo pareigas pagal 47–54 straipsnius. Jie glaudžiai koordinuoja jų vykdomą priežiūros veiklą, kad būtų nustatyti ir ištaisyti šio reglamento pažeidimai, plėtojama ir skatinama geriausia praktika, palengvinamas bendradarbiavimas, skatinamas nuoseklus aiškinimas ir teikiami įvairius jurisdikciją turinčius subjektus apimantys vertinimai nesutarimų atveju.

1.   Kompetentingos institucijos turi visus priežiūros, tyrimo ir sankcijų taikymo įgaliojimus, būtinus jų pareigoms pagal šį reglamentą vykdyti.

2.   1 dalyje nurodyti įgaliojimai apima bent šiuos įgaliojimus:

3.   Nedarant poveikio valstybių narių teisei taikyti baudžiamąsias sankcijas pagal 52 straipsnį, valstybės narės nustato taisykles, pagal kurias už šio reglamento pažeidimus skiriamos atitinkamos administracinės nuobaudos ir taisomosios priemonės, ir užtikrina veiksmingą jų įgyvendinimą.

Tos nuobaudos ir priemonės turi būti veiksmingos, proporcingos ir atgrasančios.

4.   Valstybės narės suteikia kompetentingoms institucijoms įgaliojimus už šio reglamento reikalavimų pažeidimus taikyti bent šias administracines nuobaudas arba taisomąsias priemones:

5.   Kai 2 dalies c punktas ir 4 dalis taikomi juridiniams asmenims, valstybės narės suteikia kompetentingoms institucijoms įgaliojimus, laikantis nacionalinėje teisėje numatytų sąlygų, skirti administracines nuobaudas ir taisomąsias priemones valdymo organo nariams ir kitiems asmenims, kurie pagal nacionalinę teisę yra atsakingi už pažeidimą.

6.   Valstybės narės užtikrina, kad visi sprendimai, kuriais skiriamos 2 dalies c punkte nustatytos administracinės nuobaudos ar taisomosios priemonės, būtų tinkamai motyvuoti ir galėtų būti apskųsti.

1.   Kompetentingos institucijos savo įgaliojimais skirti 50 straipsnyje nurodytas administracines nuobaudas ir taisomąsias priemones naudojasi pagal savo nacionalines teisines sistemas, kai tinkama, tokiu būdu:

2.   Priimdamos sprendimą dėl administracinių nuobaudų ar taisomųjų priemonių, skiriamų pagal 50 straipsnį, rūšies ir dydžio, kompetentingos institucijos atsižvelgia į tai, kiek pažeidimas yra tyčinis ar padarytas dėl aplaidumo, ir į visas kitas atitinkamas aplinkybes, įskaitant, kai tinkama, šias:

1.   Valstybės narės gali priimti sprendimą nenustatyti taisyklių dėl administracinių nuobaudų ar taisomųjų priemonių už pažeidimus, už kuriuos pagal jų nacionalinę teisę skiriamos baudžiamosios sankcijos.

2.   Jeigu valstybės narės yra nusprendusios nustatyti baudžiamąsias sankcijas už šio reglamento pažeidimus, jos užtikrina, kad būtų nustatytos tinkamos priemonės, kad kompetentingos institucijos turėtų visus būtinus įgaliojimus palaikyti ryšius su savo jurisdikcijos teisminėmis, baudžiamojo persekiojimo ar baudžiamosios justicijos institucijomis, kad galėtų gauti konkrečią informaciją, susijusią su nusikalstamų veikų tyrimais arba procesais, pradėtais dėl šio reglamento pažeidimų, ir tą pačią informaciją teikti kitoms kompetentingoms institucijoms ir EBI, ESMA ar EIOPA, ir taip galėtų įvykdyti pareigas bendradarbiauti šio reglamento tikslais.

1.   Kompetentingos institucijos nepagrįstai nedelsdamos savo oficialiose interneto svetainėse skelbia visus sprendimus dėl administracinės nuobaudos skyrimo, jeigu jie nėra apskųsti, po to, kai apie tokį sprendimą pranešama asmeniui, kuriam nuobauda taikoma.

2.   Skelbiant 1 dalyje nurodytą informaciją nurodoma pažeidimo rūšis ir pobūdis, atsakingų asmenų tapatybė ir skirtos nuobaudos.

3.   Jeigu kompetentinga institucija, kiekvienu konkrečiu atveju atlikusi vertinimą, mano, kad juridinių asmenų tapatybės arba fizinių asmenų tapatybės ir asmens duomenų paskelbimas būtų neproporcingas, įskaitant su asmens duomenų apsauga susijusią riziką, keltų grėsmę finansų rinkų stabilumui ar vykdomam baudžiamajam tyrimui arba padarytų neproporcingą žalą atitinkamam asmeniui, kiek ją galima nustatyti, ji sprendimo dėl administracinės nuobaudos skyrimo atžvilgiu priima vieną iš toliau nurodytų sprendimų:

4.   Tuo atveju, kai pagal 3 dalies b punktą nusprendžiama paskelbti nuasmenintą sprendimą dėl administracinės nuobaudos, atitinkamų duomenų paskelbimas gali būti atidėtas.

5.   Jeigu kompetentinga institucija paskelbia sprendimą dėl administracinės nuobaudos skyrimo, kuris atitinkamose teisminėse institucijose yra apskųstas, kompetentingos institucijos nedelsdamos savo oficialioje interneto svetainėje paskelbia tą informaciją, o vėliau paskelbia ir visą paskesnę susijusią informaciją apie tokio skundo nagrinėjimo rezultatus. Taip pat paskelbiami visi teisminės institucijos sprendimai, kuriais sprendimas dėl administracinės nuobaudos skyrimo panaikinamas.

6.   Kompetentingos institucijos užtikrina, kad bet kokia pagal 1–4 dalis paskelbta informacija jų oficialioje interneto svetainėje būtų prieinama tik tokį laikotarpį, kuris yra būtinas šio straipsnio taikymo tikslais. Šis laikotarpis negali viršyti penkerių metų nuo informacijos paskelbimo.

1.   Bet kokiai konfidencialiai informacijai, kuri yra gauta, kuria keičiamasi ar kuri yra perduodama pagal šį reglamentą, taikomos 2 dalyje nustatytos profesinės paslapties sąlygos.

2.   Pareiga saugoti profesinę paslaptį taikoma visiems asmenims, kurie dirba ar dirbo kompetentingose institucijose pagal šį reglamentą arba bet kokioje kitoje institucijoje ar rinkos subjekte, arba fiziniam arba juridiniam asmeniui, kuriems tos kompetentingos institucijos delegavo savo įgaliojimus, įskaitant jų samdomus auditorius ir ekspertus.

3.   Informacija, kuriai taikomas profesinės paslapties reikalavimas, įskaitant pagal šį reglamentą nustatytų kompetentingų institucijų ir pagal Direktyvą (ES) 2022/2555 paskirtų ar įsteigtų kompetentingų institucijų keitimąsi informacija, negali būti atskleista jokiam kitam asmeniui ar institucijai, išskyrus Sąjungos arba nacionalinės teisės nuostatose nurodytais atvejais.

4.   Visa su verslo ar veiklos sąlygomis ir kitais ekonominiais ar asmeniniais reikalais susijusi informacija, kuria pagal šį reglamentą tarpusavyje keičiasi kompetentingos institucijos, laikoma konfidencialia ir jai taikomi profesinės paslapties reikalavimai, išskyrus atvejus, kai perduodama tokią informaciją kompetentinga institucija pareiškia, kad ši informacija gali būti atskleidžiama, arba kai toks atskleidimas būtinas teismo procesui.

1.   EPI ir kompetentingoms institucijoms leidžiama tvarkyti asmens duomenis tik tais atvejais, kai tai būtina jų atitinkamoms pareigoms, taip pat jų pareigoms pagal šį reglamentą vykdyti, visų pirma tyrimo, tikrinimo, prašymo pateikti informaciją, komunikacijos, skelbimo, įvertinimo, patikrinimo, vertinimo ir priežiūros planų rengimo tikslais. Asmens duomenys tvarkomi pagal Reglamentą (ES) 2016/679 arba Reglamentą (ES) 2018/1725, atsižvelgiant į tai, kuris taikomas.

2.   Išskyrus atvejus, kai sektorių teisės aktuose numatyta kitaip, 1 dalyje nurodyti asmens duomenys saugomi iki taikomų priežiūros pareigų įvykdymo ir bet kuriuo atveju ne ilgiau kaip 15 metų, išskyrus atvejus, kai vyksta teismo procesas, kuriam tokius duomenis reikia saugoti ilgiau.

1.   Įgaliojimai priimti deleguotuosius aktus Komisijai suteikiami šiame straipsnyje nustatytomis sąlygomis.

2.   31 straipsnio 6 dalyje ir 43 straipsnio 2 dalyje nurodyti įgaliojimai priimti deleguotuosius aktus Komisijai suteikiami penkerių metų laikotarpiui nuo 2024 m. sausio 17 d. Likus ne mažiau kaip devyniems mėnesiams iki penkerių metų laikotarpio pabaigos Komisija parengia naudojimosi deleguotaisiais įgaliojimais ataskaitą. Deleguotieji įgaliojimai savaime pratęsiami tokios pačios trukmės laikotarpiams, išskyrus atvejus, kai Europos Parlamentas arba Taryba pareiškia prieštaravimų dėl tokio pratęsimo likus ne mažiau kaip trims mėnesiams iki kiekvieno laikotarpio pabaigos.

3.   Europos Parlamentas arba Taryba gali bet kada atšaukti 31 straipsnio 6 dalyje ir 43 straipsnio 2 dalyje nurodytus deleguotuosius įgaliojimus. Sprendimu dėl įgaliojimų atšaukimo nutraukiami tame sprendime nurodyti įgaliojimai priimti deleguotuosius aktus. Sprendimas įsigalioja kitą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje arba vėlesnę jame nurodytą dieną. Jis nedaro poveikio jau galiojančių deleguotųjų aktų galiojimui.

4.   Prieš priimdama deleguotąjį aktą Komisija konsultuojasi su kiekvienos valstybės narės paskirtais ekspertais vadovaudamasi 2016 m. balandžio 13 d. Tarpinstituciniame susitarime dėl geresnės teisėkūros nustatytais principais.

5.   Apie priimtą deleguotąjį aktą Komisija nedelsdama vienu metu praneša Europos Parlamentui ir Tarybai.

6.   Pagal 31 straipsnio 6 dalį ir 43 straipsnio 2 dalį priimtas deleguotasis aktas įsigalioja tik tuo atveju, jeigu per tris mėnesius nuo pranešimo Europos Parlamentui ir Tarybai apie šį aktą dienos nei Europos Parlamentas, nei Taryba nepareiškia prieštaravimų arba jeigu dar nepasibaigus šiam laikotarpiui ir Europos Parlamentas, ir Taryba praneša Komisijai, kad prieštaravimų nereikš. Europos Parlamento arba Tarybos iniciatyva šis laikotarpis pratęsiamas trimis mėnesiais.

1.   Komisija ne vėliau kaip 2028 m. sausio 17 d., atitinkamai pasikonsultavusi su EPI ir ESRV, atlieka peržiūrą ir Europos Parlamentui ir Tarybai pateikia ataskaitą, prie kurios prireikus prideda pasiūlymą dėl teisėkūros procedūra priimamo akto. Peržiūra turi apimti bent šiuos aspektus:

2.   Atlikdama Direktyvos (ES) 2015/2366 peržiūrą, Komisija įvertina didesnio mokėjimo sistemų ir mokėjimų vykdymo veiklos kibernetinio atsparumo poreikį, taip pat šio reglamento taikymo srities išplėtimo įtraukiant mokėjimo sistemų operatorius ir mokėjimų vykdymo veikloje dalyvaujančius subjektus tikslingumą. Atsižvelgdama į šį vertinimą, Komisija ne vėliau kaip 2023 m. liepos 17 d., atlikdama Direktyvos (ES) 2015/2366 peržiūrą, pateikia ataskaitą Europos Parlamentui ir Tarybai.

Remdamasi ta peržiūros ataskaita ir pasikonsultavusi su EPI, ECB ir ESRV, Komisija, jei tinkama ir kaip pasiūlymo dėl teisėkūros procedūra priimamo akto, kurį ji gali priimti pagal Direktyvos (ES) 2015/2366 108 straipsnio antrą pastraipą, dalį gali patekti pasiūlymą, kuriuo būtų užtikrinta, kad visi mokėjimo sistemų operatoriai ir mokėjimų vykdymo veikloje dalyvaujantys subjektai būtų tinkamai prižiūrimi, kartu atsižvelgiant į esamą centrinio banko vykdomą priežiūrą.

3.   Ne vėliau kaip 2026 m. sausio 17 d. Komisija, pasikonsultavusi su EPI ir Europos audito priežiūros įstaigų komitetu, atlieka peržiūrą ir pateikia Europos Parlamentui ir Tarybai ataskaitą, prie kurios prireikus prideda pasiūlymą dėl teisėkūros procedūra priimamo akto dėl tikslingumo sugriežtinti teisės aktų nustatytą auditą atliekantiems auditoriams ir audito įmonėms taikomus reikalavimus, susijusius su skaitmeninės veiklos atsparumu, įtraukiant teisės aktų nustatytą auditą atliekančius auditorius ir audito įmones į šio reglamento taikymo sritį arba iš dalies pakeičiant Europos Parlamento ir Tarybos direktyvą 2006/43/EB (39).