(1)

Savienībai ir pienācīgi un vispusīgi jānovērš tādi digitālie riski visām finanšu vienībām, kas izriet no informācijas un komunikācijas tehnoloģiju (IKT) plašākas izmantošanas finanšu pakalpojumu sniegšanā un patērēšanā, tādējādi palīdzot īstenot digitālo finanšu potenciālu inovācijas un konkurences veicināšanas drošā digitālā vidē ziņā.

(2)

Finanšu vienības ir ļoti atkarīgas no digitālo tehnoloģiju izmantošanas savā ikdienas darbībā. Tāpēc ir ārkārtīgi svarīgi nodrošināt to digitālās darbības noturību pret IKT risku. Šī vajadzība ir kļuvusi vēl aktuālāka progresīvo tehnoloģiju tirgus izaugsmes dēļ, jo īpaši tādu tehnoloģiju, kas ļauj elektroniski pārsūtīt un uzglabāt vērtību vai tiesību digitālu attēlojumu, izmantojot sadalīto virsgrāmatu vai līdzīgu tehnoloģiju (kriptoaktīvi), kā arī ar minētajiem aktīviem saistītu pakalpojumu tirgus izaugsmes dēļ.

(3)

Savienības līmenī prasības, kas saistītas ar IKT riska pārvaldību finanšu nozarē, pašlaik ir paredzētas Eiropas Parlamenta un Padomes Direktīvās 2009/65/EK (4), 2009/138/EK (5), 2011/61/ES (6), 2013/36/ES (7), 2014/59/ES (8), 2014/65/ES (9), (ES) 2015/2366 (10) un (ES) 2016/2341 (11).

Minētās prasības ir atšķirīgas un reizēm nepilnīgas. Dažviet IKT risks ir aplūkots tikai netieši kā operacionālā riska daļa, savukārt citviet tas vispār nav aplūkots. Minētie jautājumi ir novērsti, pieņemot Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (12). Tādēļ minētās direktīvas jāgroza, lai nodrošinātu atbilstību minētajai regulai. Ar šo direktīvu ieviests vairāku tādu grozījumu kopums, kas ir nepieciešami, lai panāktu juridisko skaidrību un konsekvenci attiecībā uz to, kā finanšu vienības, kas ir pilnvarotas un tiek uzraudzītas saskaņā ar minētajām direktīvām, piemēro dažādas tādas prasības saistībā ar digitālās darbības noturību, kas nepieciešamas šo vienību darbību veikšanai un pakalpojumu sniegšanai, tādējādi garantējot netraucētu iekšējā tirgus darbību. Ir jānodrošina minēto prasību atbilstība tirgus attīstībai, vienlaikus veicinot samērīgumu, jo īpaši attiecībā uz finanšu vienību lielumu un īpašajiem režīmiem, kas uz tām attiecas, nolūkā samazināt atbilstības nodrošināšanas izmaksas.

(4)

Banku pakalpojumu jomā Direktīvā 2013/36/ES pašlaik ir paredzēti vienīgi vispārēji iekšējās pārvaldības noteikumi un noteikumi par operacionālo risku, kas ietver prasības attiecībā uz ārkārtas situāciju un darbības nepārtrauktības plāniem, kuri netieši ir pamats tam, lai pievērstos IKT riskam. Tomēr, lai IKT riskam pievērstos nepārprotami un skaidri, prasības attiecībā uz ārkārtas situāciju un darbības nepārtrauktības plāniem būtu jāgroza, lai iekļautu darbības nepārtrauktības plānus un reaģēšanas un seku novēršanas plānus arī attiecībā uz IKT risku saskaņā ar prasībām, kas noteiktas Regulā (ES) 2022/2554. Turklāt IKT risks kā daļa no operacionālā riska ir tikai netieši iekļauts uzraudzības pārbaudes un novērtēšanas procesā (SREP), ko veic kompetentās iestādes, un tā novērtēšanas kritēriji pašlaik ir noteikti Eiropas Uzraudzības iestādes (Eiropas Banku iestādes) (EBI), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1093/2010 (13), izdotajās Pamatnostādnēs par IKT riska novērtēšanu saskaņā ar Uzraudzības pārskata un novērtēšanas procesu (SREP). Lai nodrošinātu juridisko skaidrību un to, ka banku uzraudzītāji efektīvi identificē IKT risku un pārrauga, kā finanšu vienības to pārvalda, saskaņā ar jauno digitālās darbības noturības regulējumu, būtu jāgroza arī SREP darbības joma, lai skaidri atsauktos uz Regulā (ES) 2022/2554 noteiktajām prasībām un jo īpaši aptvertu riskus, kas atklāti ziņojumos par būtiskiem incidentiem, kuri saistīti ar IKT, un to digitālās darbības noturības testēšanas rezultātos, kurus finanšu vienības veikušas saskaņā ar minēto regulu.

(5)

Digitālās darbības noturība ir būtiska, lai saglabātu finanšu vienības kritiski svarīgās funkcijas un galvenos darbības virzienus noregulējuma gadījumā un tādējādi izvairītos no reālās ekonomikas un finanšu sistēmas traucējumiem. Būtiski operacionālie incidenti var kavēt finanšu vienības spēju turpināt darbību un var apdraudēt noregulējuma mērķu sasniegšanu. Būtiskas ir dažas līgumiskas vienošanās par IKT pakalpojumu izmantošanu, lai noregulējuma gadījumā nodrošinātu darbības nepārtrauktību un sniegtu nepieciešamos datus. Lai nodrošinātu saskaņotību ar Savienības darbības noturības regulējuma mērķiem, Direktīva 2014/59/ES būtu attiecīgi jāgroza nolūkā panākt, ka informācija par darbības noturību tiek ņemta vērā saistībā ar noregulējuma plānošanu un finanšu vienību noregulējamības novērtējumu.

(6)

Direktīvā 2014/65/ES attiecībā uz ieguldījumu brokeru sabiedrībām un tirdzniecības vietām, kas veic algoritmisko tirdzniecību, ir paredzēti stingrāki noteikumi saistībā ar IKT risku. Ne tik sīki izstrādātas prasības attiecas uz datu ziņošanas pakalpojumiem un darījumu reģistriem. Turklāt Direktīvā 2014/65/ES ir iekļautas tikai ierobežotas atsauces uz informācijas apstrādes sistēmu kontroles un drošības pasākumiem un uz atbilstošu sistēmu, resursu un procedūru izmantošanu, lai nodrošinātu darbības pakalpojumu nepārtrauktību un regularitāti. Bez tam minētā direktīva būtu jāsaskaņo ar Regulu (ES) 2022/2554 attiecībā uz ieguldījumu pakalpojumu sniegšanu un ieguldījumu darbību veikšanas nepārtrauktību un regularitāti, darbības noturību, tirdzniecības sistēmu veiktspēju, kā arī darbības nepārtrauktības pasākumu un riska pārvaldības efektivitāti.

(7)

Direktīvā (ES) 2015/2366 ir izklāstīti īpaši noteikumi par IKT drošības pārbaudēm un riska mazināšanas elementiem, lai saņemtu atļauju sniegt maksājumu pakalpojumus. Minētie atļauju piešķiršanas noteikumi būtu jāgroza, lai tos saskaņotu ar Regulu (ES) 2022/2554. Turklāt, lai samazinātu administratīvo slogu un izvairītos no sarežģītības un dublējošām ziņošanas prasībām, minētajā direktīvā paredzētie incidentu ziņošanas noteikumi būtu jābeidz piemērot maksājumu pakalpojumu sniedzējiem, kuri tiek regulēti saskaņā ar minēto direktīvu un uz kuriem attiecas arī Regula (ES) 2022/2554, tādejādi ļaujot minētajiem maksājumu pakalpojumu sniedzējiem gūt labumu no vienota, pilnībā saskaņota incidentu ziņošanas mehānisma attiecībā uz visiem ar maksājumiem saistītiem darbības vai drošības incidentiem neatkarīgi no tā, vai šādi incidenti ir saistīti ar IKT.

(8)

Direktīvā 2009/138/EK un Direktīvā (ES) 2016/2341 IKT risks ir daļēji aptverts vispārīgajos noteikumos par pārvaldību un riska vadību, paredzot, ka dažas prasības ir jāprecizē, pieņemot deleģētos aktus ar vai bez īpašām atsaucēm uz IKT risku. Līdzīgi, tikai ļoti vispārīgi noteikumi ir piemērojami alternatīvo ieguldījumu fondu pārvaldniekiem, uz kuriem attiecas Direktīvas 2011/61/ES, un uz pārvaldības sabiedrībām, uz kurām attiecas Direktīva 2009/65/EK. Tāpēc minētās direktīvas būtu jāsaskaņo ar Regulā (ES) 2022/2554 noteiktajām prasībām attiecībā uz IKT sistēmu un rīku pārvaldību.

(9)

Daudzos gadījumos papildu prasības attiecībā uz IKT risku jau ir noteiktas deleģētajos un īstenošanas aktos, kas pieņemti, pamatojoties uz regulatīvo tehnisko standartu projektiem un īstenošanas tehnisko standartu projektiem, kurus izstrādājusi kompetentā Eiropas Uzraudzības iestāde. Ņemot vērā to, ka turpmāk IKT riska finanšu nozarē tiesiskais regulējums ir Regulas (ES) 2022/2554 noteikumi, dažas pilnvaras pieņemt deleģētos un īstenošanas aktus Direktīvās 2009/65/EK, 2009/138/EK, 2011/61/ES un 2014/65/ES būtu jāgroza, lai minēto pilnvaru darbības jomā vairs nebūtu noteikumi attiecībā uz IKT risku.

(10)

Lai nodrošinātu jaunās digitālās darbības noturības satvara finanšu nozarē konsekventu īstenošanu, no Regulas 2022/2554 piemērošanas dienas dalībvalstīm būtu jāpiemēro to valsts tiesību aktu noteikumi, ar kuriem transponē šo direktīvu.

(11)

Direktīvas 2009/65/EK, 2009/138/EK, 2011/61/ES, 2013/36/ES, 2014/59/ES, 2014/65/ES, (ES) 2015/2366 un (ES) 2016/2341 ir pieņemtas, pamatojoties uz Līguma par Eiropas Savienības darbību (LESD) 53. panta 1. punktu vai 114. pantu, vai abiem. Šajā direktīvā noteiktie grozījumi ir iekļauti vienotā leģislatīvā aktā, ņemot vērā grozījumu priekšmeta un mērķu savstarpējo saistību. Attiecīgi šī direktīva būtu jāpieņem, pamatojoties gan uz LESD 53. panta 1. punktu, gan 114. pantu.

(12)

Ņemot vērā to, ka šīs direktīvas mērķus nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, jo tie paredz to prasību saskaņošanu, kas jau ir ietvertas direktīvās, bet gan šīs darbības mēroga un iedarbības dēļ tos var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā direktīvā paredz vienīgi tos pasākumus, kas ir vajadzīgi minēto mērķu sasniegšanai.

(13)

Saskaņā ar Dalībvalstu un Komisijas 2011. gada 28. septembra kopīgo politisko deklarāciju par skaidrojošiem dokumentiem (14) dalībvalstis ir apņēmušās, paziņojot savus transponēšanas pasākumus, pamatotos gadījumos pievienot vienu vai vairākus dokumentus, kuros paskaidrota saikne starp direktīvas sastāvdaļām un atbilstīgajām daļām valsts transponēšanas instrumentos. Attiecībā uz šo direktīvu likumdevējs uzskata, ka šādu dokumentu nosūtīšana ir pamatota,

1)

panta 1. punkta otrās daļas a) apakšpunktu aizstāj ar šādu:

(*1)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022.1.. lpp., ).”;"

2)

panta 3. punktu aizstāj ar šādu:

1)

direktīvas 41. panta 4. punktu aizstāj ar šādu:

(*2)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022.1.. lpp., ).”;"

2)

direktīvas 50. panta 1. punkta a) un b) apakšpunktu aizstāj ar šādiem:

1)

direktīvas 65. panta 3. punkta a) apakšpunkta vi) punktu aizstāj ar šādu:

(*4)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022.1.. lpp., ).”;"

2)

direktīvas 74. panta 1. punkta pirmo daļu aizstāj ar šādu:

“Iestādēm ir noturīga pārvaldības kārtība, kas ietver skaidru organizatorisko struktūru ar precīzi definētu, pārredzamu un konsekventu atbildības sadalījumu, efektīvus procesus esošo vai varbūtējo risku identificēšanai, pārvaldībai, pārraudzībai un ziņošanai par tiem, piemērotus iekšējās kontroles mehānismus, tostarp pareizas administratīvās un grāmatvedības procedūras, tīklu un informācijas sistēmas, kas ir ieviestas un tiek pārvaldītas saskaņā ar Regulu (ES) 2022/2554, un tādu atalgojuma politiku un praksi, kas atbilst pareizai un efektīvai riska pārvaldībai un veicina to.”;

3)

direktīvas 85. panta 2. punktu aizstāj ar šādu:

4)

direktīvas 97. panta 1. punktā pievieno šādu apakšpunktu:

1)

direktīvas 10. pantu groza šādi:

2)

pielikumu groza šādi:

1)

direktīvas 16. pantu groza šādi:

2)

direktīvas 17. pantu groza šādi:

3)

direktīvas 47. panta 1. punktu groza šādi:

4)

direktīvas 48. pantu groza šādi:

1)

direktīvas 3. panta j) punktu aizstāj ar šādu:

2)

direktīvas 5. panta 1. punktu groza šādi:

3)

direktīvas 19. panta 6. punkta otro daļu aizstāj ar šādu:

“Svarīgu darbības funkciju, tostarp IKT sistēmu, uzticēšanu ārpakalpojumu sniedzējiem neveic veidā, kas var būtiski pasliktināt maksājumu iestādes iekšējās kontroles kvalitāti un kompetento iestāžu spēju uzraudzīt maksājumu iestādes atbilstību visiem šajā direktīvā noteiktajiem pienākumiem un izsekot tai.”;

4)

direktīvas 95. panta 1. punktam pievieno šādu daļu:

“Pirmā daļa neskar Regulas (ES) 2022/2554 II nodaļas piemērošanu:

5)

direktīvas 96. pantā pievieno šādu punktu:

6)

direktīvas 98. panta 5. punktu aizstāj ar šādu: