(1)

Kā norādīts Eiropas Sistēmisko risku kolēģijas Ieteikuma ESRK/2013/1 (4) 4. apsvērumā, makroprudenciālās uzraudzības politikas galvenais mērķis ir garantēt finanšu sistēmas stabilitāti kopumā, tai skaitā stiprinot finanšu sistēmas noturību un mazinot sistēmisko risku veidošanos, tādējādi nodrošinot finanšu sektora ieguldījumu tautsaimniecības izaugsmē. Eiropas Sistēmisko risku kolēģija (ESRK) atbild par Eiropas Savienības finanšu sistēmas makroprudenciālo uzraudzību. Īstenojot savas pilnvaras, ESRK būtu jāpalīdz novērst un mazināt sistēmiskos riskus finanšu stabilitātei, tostarp tos, kas saistīti ar kiberincidentiem, un jāierosina, kā šos riskus varētu mazināt.

(2)

Nozīmīgi kiberincidenti var radīt sistēmisku risku finanšu sistēmai, ņemot vērā to potenciālu traucēt kritiski svarīgus finanšu pakalpojumus un operācijas. Sākotnējā satricinājuma pastiprināšanās var notikt vai nu ar operacionālā vai finanšu kaitējuma izplatības palīdzību, vai arī mazinot uzticību finanšu sistēmai. Ja finanšu sistēma nespēs absorbēt šos satricinājumus, finanšu stabilitāte būs apdraudēta, un šāda situācija var izraisīt sistēmisku kiberkrīzi (5).

(3)

Pastāvīgi mainīgā kiberdraudu vide un nesenais nozīmīgu kiberincidentu pieaugums liecina par lielāku risku finanšu stabilitātei Eiropas Savienībā. Covid-19 pandēmija izgaismojusi tehnoloģiju nozīmi finanšu sistēmas darbības nodrošināšanā. Attiecīgajām varasiestādēm un institūcijām bija jāpielāgo sava tehniskā infrastruktūra un riska pārvaldības sistēmas attālinātā darba pēkšņam pieaugumam, kas palielinājis finanšu sistēmas vispārējo pakļautību kiberdraudiem un ļāvis noziedzniekiem gan izstrādāt jaunus darbības veidus, gan pielāgot esošos, lai izmantotu situāciju (6). Ņemot vērā iepriekš minēto, 2020. gadā ECB banku uzraudzībai paziņoto kiberincidentu skaits palielinājās par 54 % salīdzinājumā ar 2019. gadu (7).

(4)

Nozīmīga kiberincidenta potenciāli plašā mēroga, ātruma un izplatības dēļ attiecīgajām iestādēm efektīvi jāreaģē, lai mazinātu iespējamo negatīvo ietekmi uz finanšu stabilitāti. Ātra koordinācija un saziņa starp attiecīgajām iestādēm Savienības līmenī var palīdzēt laikus novērtēt nozīmīga kiberincidenta ietekmi uz finanšu stabilitāti, saglabājot uzticību finanšu sistēmai un ierobežojot kaitējuma izplatību uz citām finanšu iestādēm, tādējādi palīdzot novērst to, ka nozīmīgs kiberincidents kļūst par risku finanšu stabilitātei.

(5)

Satricinājumi rodas jaunā veidā, kas atšķiras no tradicionālajām finanšu un likviditātes krīzēm, ar kurām parasti saskaras attiecīgās iestādes. Papildus finansiālajiem aspektiem vispārējā riska novērtējumā jāiekļauj darbības traucējumu mērogs un ietekme, jo tie var ietekmēt makroprudenciālo instrumentu izvēli. Tāpat arī finanšu stabilitāte varētu ietekmēt kiberspeciālistu izvēli attiecībā uz operacionāliem riska mazināšanas faktoriem. Tādēļ vajadzīga cieša un ātra koordinācija un atklāta saziņa, lai cita starpā veicinātu situācijas apzināšanos.

(6)

Pastāv risks, ka iestādes nespēj nodrošināt koordināciju, un šādu risku ir jānovērš. Attiecīgajām iestādēm Savienībā būs jāsadarbojas savā starpā un ar citām iestādēm, piemēram, ar Eiropas Savienības Tīklu un informācijas drošības aģentūru (ENISA), ar kuru tās parasti iespējams nesadarbojas. Tā kā ievērojams skaits Savienības finanšu iestāžu darbojas visā pasaulē, nozīmīgs kiberincidents, visticamāk, nebūs saistīts tikai ar Savienību vai varētu tikt uzsākts ārpus Savienības, un tam varētu būt nepieciešama globāla reaģēšanas koordinācija.

(7)

Attiecīgajām iestādēm jābūt gatavām šādai mijiedarbībai. Pretējā gadījumā tās varētu riskēt veikt nekonsekventas darbības, kas ir pretrunā ar citu iestāžu atbildēm vai apdraud tās. Šāda koordinācijas kļūda varētu pastiprināt finanšu sistēmas šoku, izraisot uzticības mazināšanos finanšu sistēmas darbībai, kas sliktākajā gadījumā radītu risku finanšu stabilitātei (8). Tādēļ būtu jāveic vajadzīgie pasākumi, lai novērstu risku finanšu stabilitātei, kas izriet no koordinācijas kļūdas nozīmīga kiberincidenta gadījumā.

(8)

ESRK 2021. gada ziņojumā Sistēmiskā kiberriska mazināšana (9) konstatēta nepieciešamība izveidot sistēmisku kiberincidentu Eiropas līmeņa koordinācijas mehānismu (EU-SCICF) attiecīgajām iestādēm Savienībā. EU-SCICF mērķis būtu palielināt attiecīgo iestāžu sagatavotību, lai veicinātu koordinētu reakciju uz potenciāli nozīmīgu kiberincidentu. ESRK 2021. gada ziņojumā Sistēmiskā kiberriska mazināšana sniegts ESRK novērtējums par galvenajām iezīmēm, kas prima facie būtu vajadzīgas, lai novērstu koordinācijas kļūdas risku.

(9)

Šā ieteikuma galvenais mērķis ir balstīties uz vienu no Eiropas uzraudzības iestāžu (EUI) funkcijām, kas paredzētas priekšlikumā Eiropas Parlamenta un Padomes regulai par finanšu sektora digitālās darbības noturību (10) (turpmāk –“DORA”), proti, pakāpeniski nodrošināt efektīvu un koordinētu Savienības līmeņa reakciju gadījumā, ja rodas nozīmīgs ar informācijas un komunikācijas tehnoloģijām (IKT) saistīts incidents vai saistīts apdraudējums, kam ir sistēmiska ietekme uz Savienības finanšu nozari kopumā. Šā procesa rezultātā attiecīgajām iestādēm tiks izveidots EU-SCICF.

(10)

EU-SCICF mērķim nevajadzētu būt aizstāt esošos mehānismus, bet gan novērst jebkādas koordinācijas un saziņas nepilnības starp attiecīgajām iestādēm un citām iestādēm Savienībā, un citiem galvenajiem dalībniekiem starptautiskā līmenī. Šajā sakarā būtu jāapsver EU-SCICF vieta pašreizējā finanšu krīžu regulējumā un Savienības kiberincidentu regulējuma kontekstā. Attiecībā uz koordināciju starp pašām attiecīgajām iestādēm būtu jāapsver, bet ne tikai, Eiropas Parlamenta un Padomes Direktīvā (ES) 2016/1148 (11) paredzētās Tīkla un informācijas sistēmu (TIS) sadarbības grupas finanšu vienību jautājumos loma un darbības, kā arī koordinācijas mehānismi, kas paredzēti, izveidojot Kopīgu kibervienību līdztekus ENISA iesaistei.

(11)

Jo īpaši priekšlikuma sākt EU-SCICF sagatavošanu mērķis ir apstiprināt EUI potenciālās lomas, kā paredzēts DORA priekšlikumā. DORA ierosināts, ka “EUI ar Apvienotās komitejas starpniecību un sadarbībā ar kompetentajām iestādēm, Eiropas Centrālo banku (ECB) un ESRK var izveidot mehānismus, kas ļautu apmainīties ar efektīvu praksi starp finanšu nozarēm, lai uzlabotu situācijas apzināšanos un apzinātu kopējus kibernoturības un riskus dažādās nozarēs”, un “var izstrādāt krīzes pārvarēšanas un ārkārtas situācijas mācības, kas ietver kiberuzbrukumu scenārijus, lai attīstītu saziņas kanālus un pakāpeniski nodrošinātu efektīvu un koordinētu ES līmeņa reakciju gadījumos, kad rodas būtisks pārrobežu ar IKT saistīts incidents vai saistīts apdraudējums, kam ir sistēmiska ietekme uz Savienības finanšu nozari kopumā” (12). Tāds Eiropas līmeņa mehānisms kā EU-SCICF vēl nepastāv, un tas būtu jāizveido un jāattīsta DORA kontekstā.

(12)

Ņemot vērā risku Savienības finanšu stabilitātei, ko rada kiberrisks, sagatavošanās darbiem EU-SCICF pakāpeniskai izveidei, ciktāl tas iespējams, būtu jāsākas pat pirms tā izveidei nepieciešamā tiesiskā un politiskā regulējuma pilnīgas piemērošanas. Šis tiesiskais un politikas regulējums tiktu pilnībā pabeigts, tiklīdz būs piemērojami attiecīgie DORA un tās deleģēto aktu noteikumi.

(13)

Efektīva saziņa veicina situācijas apzināšanos starp attiecīgajām iestādēm un tādējādi ir obligāts priekšnoteikums Savienības mēroga koordinācijai nozīmīgu kiberincidentu laikā. Šajā sakarā būtu jādefinē komunikācijas infrastruktūra, kas vajadzīga, lai koordinētu reakciju uz nozīmīgu kiberincidentu. Tas nozīmētu, ka būtu jāprecizē sniegtās informācijas veids, šādas informācijas apmaiņas parastie kanāli un kontaktpunkti, kuriem informācija būtu jāsniedz. Sniedzot informāciju, jāievēro spēkā esošās juridiskās prasības. Turklāt attiecīgajām iestādēm, iespējams, būs jāizstrādā skaidrs rīcības plāns un protokoli, kas jāievēro, lai nodrošinātu pienācīgu koordināciju starp iestādēm, kas iesaistītas, plānojot koordinētu reakciju uz nozīmīgu kiberincidentu.

(14)

Sistēmiska kiberkrīze prasīs uzsākt pilnīgu sadarbību nacionālā un Savienības līmenī. Tāpēc EUI, ECB un katras dalībvalsts kontaktpunktu izraudzīšanos no to attiecīgo nacionālo iestāžu vidus, par ko būtu jāpaziņo EUI, var paredzēt, lai izveidotu tos galvenos sarunu partnerus EU-SCICF koordinācijas shēmā, kurus būtu jāinformē nozīmīga kiberincidenta gadījumā. Nepieciešamība izraudzīties kontaktpunktus būtu jāizvērtē EU-SCICF izveides laikā, ņemot vērā vienoto kontaktpunktu saskaņā ar Direktīvu (ES) 2016/1148, ko dalībvalstis izveidojušas tīklu un informācijas sistēmu drošības jomā, lai nodrošinātu pārrobežu sadarbību ar citām dalībvalstīm un TIS sadarbības grupu (13).

(15)

Krīžu pārvarēšanas un ārkārtas mācību veikšana varētu atvieglot EU-SCICF īstenošanu un ļaut iestādēm izvērtēt savu gatavību un gatavību sistēmiskai kiberkrīzei Savienības līmenī. Šādas mācības sniegtu iestādēm pieredzi un ļautu pastāvīgi uzlabot un pilnveidot EU-SCICF.

(16)

Lai attīstītu EU-SCICF, ir būtiski, ka EUI kopīgi veic attiecīgos sagatavošanas darbus, lai apsvērtu sistēmas iespējamos galvenos elementus un vajadzīgos resursus, un lai turpinātu tā izstrādi. Pēc tam EUI varētu sākt sākotnējo analīzi par jebkādiem šķēršļiem, kas varētu kavēt EUI un attiecīgo iestāžu spēju izveidot EU-SCICF un nozīmīga kiberincidenta gadījumā apmainīties ar attiecīgo informāciju izmantojot saziņas kanālus. Šāda analīze būtu svarīgs solis, lai informētu par jebkādām turpmākajām darbībām likumdošanas vai citu atbalstošo iniciatīvu veidā, ko Eiropas Komisija varētu veikt DORA īstenošanas posmā,

1.

2.

a)

“kibernētisks” ir saistīts ar savstarpēji savienotu informācijas infrastruktūru, kas ietver mijiedarbību starp personām, procesiem, datiem un informācijas sistēmām, vai iekļauts tajā vai darbojas ar tās palīdzību (14);

b)

“nozīmīgs kiberincidents” ir ar IKT saistīts incidents ar potenciāli lielu negatīvu ietekmi uz tīklu un informācijas sistēmām, kas atbalsta finanšu iestāžu kritiski svarīgās funkcijas (15);

c)

“sistēmiska kiberkrīze” ir nozīmīgs kiberincidents, kas izraisa tik lielus traucējumus Savienības finanšu sistēmā, kas var radīt nopietnas negatīvas sekas iekšējā tirgus netraucētai darbībai un reālās tautsaimniecības darbībai. Šādu krīzi varētu izraisīt nozīmīgs kiberincidents, kas izraisītu satricinājumus vairākos kanālos, tostarp operacionālajos, uzticības un finanšu kanālos;

d)

“Eiropas Uzraudzības iestādes” jeb “EUI” ir Eiropas Uzraudzības iestāde (Eiropas Banku iestāde), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1093/2010 (16), kopā ar Eiropas Uzraudzības iestādi (Eiropas Apdrošināšanas un aroda pensiju iestādi), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1094/2010 (17), un Eiropas Uzraudzības iestādi (Eiropas Vērtspapīru un tirgu iestādi), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1095/2010 (18);

e)

“Apvienotā komiteja” ir Eiropas Uzraudzības iestāžu apvienotā komiteja, kas izveidota ar Regulas (ES) Nr. 1093/2010, Regulas (ES) Nr. 1094/2010 un Regulas (ES) Nr. 1095/2010 54. pantu;

f)

“attiecīgā nacionālā iestāde” ir:

g)

“attiecīgā iestāde” ir:

a)

pienācīga vērība jāpievērš vajadzības pēc informācijas principam un proporcionalitātes principam, ņemot vērā katra ieteikuma mērķi un saturu;

b)

jāizpilda īpašie atbilstības kritēriji, kas izklāstīti pielikumā attiecībā uz katru ieteikumu.

1.

A ieteikums

2.

B ieteikums

Līdz 2023. gada 30. jūnijam, bet ne agrāk kā sešus mēnešus pēc DORA stāšanās spēkā, EUI, ECB un dalībvalstīm tiek lūgts iesniegt Eiropas Parlamentam, Padomei, Komisijai un ESRK pārskatu par B ieteikuma īstenošanu.

3.

C ieteikums

1.

ESRK Sekretariāts:

2.

ESRK Valde izvērtēs darbības un pamatojumus, par kuriem paziņojuši adresāti, un vajadzības gadījumā var lemt par to, ka šis ieteikums nav ievērots un adresāti nav pienācīgi pamatojuši savu bezdarbību.