Reżiljenxa operazzjonali diġitali għas-settur finanzjarju.

 

SOMMARJU TA’:

Ir-Regolament (UE) 2022/2554 dwar reżiljenxa operazzjonali diġitali għas-settur finanzjarju.

X’INHU L-GĦAN TAR-REGOLAMENT?

Dan jistipula regoli uniformi dwar is-sigurtà tas-sistemi tan-network u tal-informazzjoni ta’ entitajiet finanzjarji, bħal banek, kumpaniji tal-assigurazzjoni u kumpaniji ta’ investiment.

Dan ikopri firxa wiesgħa ta’ entitajiet finanzjarji regolati tal-Unjoni Ewropea (UE), li jeħtieġu li jirreżistu, jirrispondu u jirkupraw minn kull tfixkil jew theddid li jinvolvi teknoloġiji tal-informazzjoni u tal-komunikazzjoni.(ICT)

PUNTI EWLENIN

Kamp ta’ applikazzjoni

Ir-regolament ikopri:

• kreditu, pagament, flus elettroniku u istituzzjonijiet ta’ skemi ta’ pensjoni;
• fornituri tal-aċċess għall-internet għal informazzjoni dwar il-kont, assi kripto, rapportar ta’ data, crowdfunding u partijiet terzi tal-ICT;
• kumpaniji ta’ investiment, fondi ta’ investiment alternattiv, kumpaniji maniġerjali tal-assi, aġenziji tal-klassifikazzjoni tal-kreditu u amministraturi ta’ punti ta’ riferiment kritiku;
• repożitorji tal-kummerċ u ta’ sekuritizzazzjoni, depożitarji ċentrali ta’ titoli u kontropartijiet ċentrali u ċentri ta’ negozjar;
• negozji tal-assigurazzjoni, intermedji tal-assigurazzjoni u riassigurazzjoni.

Ġestjoni tar-riskju tal-ICT

Entitajiet finanzjarji, barra minn mikrointrapriżi ser:

• ikollhom fis-seħħ miżuri ta’ governanza interna u ta’ kontroll li jiżguraw il-ġestjoni effettiva u prudenti tar-rskju tal-ICT;
• jiżguraw li l-korp tal-ġestjoni tagħhom jiddefinixxi, japprova, jissuperviżjona u jkun responsabbli għall-arranġamenti rilevanti kollha;
• ikollhom fis-seħħ qafas tal-ġestjoni tar-riskju tal-ICT sod, komprensiv u ddokumentat tajjeb bl-istrateġiji, politiki, proċeduri, protokoll u għodda bżonnjużi biex jirrispondu malajr u b’mod effiċjenti;
• jużaw u jżommu sistemi, protokolli u għodda tal-ICT aġġornati,li huma xierqa, affidabbli, teknoloġikament reżiljenti u li jkollhom kapaċità suffiċjenti;
• jidentifikaw, jikklassifikaw u jiddokumentaw adegwatament il-funzjonjiet, rwoli u responsabbiltajiet appoġġjati tan-negozji u jirrevedu xenarji ta’ riskju;
• jimmonitorjaw kontinwament is-sigurtà u l-operazzjoni tas-sistemi u għodda tal-ICT biex inaqqsu kull impatt ta’ riskju tal-ICT;
• jikxfu anomaliji malajr u jidentifikaw punti ta’ lakuni;
• jkollhom fis-seħħ politika komprensiva tal-kontinwità tal-operat tal-ICT bi pjanijiet, proċeduri u mekkaniżmi xierqa,;
• jiżviluppw u jiddokumentaw politiki u restawrazzjoni u irkupru ta’ backup;
• jiskjeraw riżorsi u persunal biex jassessja vulnerabbiltajiet u theddid ċibernetiku, inċidenti relatati mal-ICT, speċjalment attakki ċibernetiċi u janalizzaw l-impatt potenzjali tagħhom fuq ir-reżiljenza operazzjonali diġitali tal-entità;
• jiffurmaw pjanijiet tal-komunikazzjoni tal-kriżi biex tal-inqas jikxfu inċidenti maġġuri relatati mal-ICT jew vulnerabbiltajiet għal klijenti, kontropartijiet u l-pubbliku.

Ġestjoni, klassifikazzjoni u rapportar relatat mal-ICT

Entitajiet finanzjarji għandhom

• jiddefinixxu, jistabbilixxu u jimplimentaw miżuri biex isibu, jiġġestjonaw, jirrekordjaw u jgħarrfu inċidenti relatati mal-ICT;
• jikklassifikaw inċidenti u jiddeterminaw l-impatt tagħhom billi jużaw kriterji bħan-numru ta’ klijenti u kontropartijiet affettwati, durata, firxa ġeografika u telfiet ta’ data.
• jirrappurtaw inċidenti maġġuri relatati mal-ICT lill-awtorità kompetenti maħtura li tgħaddiha lil entità ogħla bħall-Bank Ċentral Ewropew jew l-Awtorità Bankarja Ewropea.

Ittestjar ta’ reżiljenza operazzjonali diġitali

Entitajiet finanzjarji, barra minn mikrointrapriżi, ser:

• jistabbilixxu, iżommu u jirrevedu programm operazzjonali tal-ittestjar sod u komprensiv mgħammar bil-valutazzjonijiet, eżamijiet, metodoloġiji, prattiċi u għodda bżonnjużi;
• jwettqu, tal-inqas kull 3 snin, ittestjar tal-penetrazzjoni tal-livell tat-theddid ibbażat fuq il-profil tar-riskju tagħhom u jqisu iċ-ċirkostanzi operazzjonali — u jużaw biss testers li huma ċertifikati, jkollhom l-għarfien espert u idoneità bżonnjuża u jkollhom assigurazzjoni ta’ indennizz professjonali.

Ġestjoni ta’ riskju ta’ parti terza tal-ICT

Entitajiet finanzjarji għandhom

• jiġġestjonaw riskju minn parti terza bħala komponent integriali tar-riskju kumplessiv tal-ICT tagħhom;
• jkollhom fis-seħħ arranġamenti kuntrattwali għal servizzi tal-ICT biex jiġġestjonaw l-operazzjonijiet tan-negozji tagħhom b’konformità sħiħa mal-leġiżlazzjoni rilevanti;
• jqisu n-natura, l-iskala, il-kumplessità u l-importanza ta’ dipendenzi relatati mal-ICT u kull riskju potenzjali;
• jqisu l-benefiċċji u l-ispejjeż ta’ soluzzjonijiet alternattivi meta jidentifikaw u jassessjaw kull riskju involut;
• jinkludu fil-kuntratt id-drittijiet u obbligazzjonijiet ta’ kull parti u l-ftehim dwar is-servizz.

Qafas ta’ sorveljanza ta’ fornituri ta’ servizz kritiku ta’ parti terza tal-ICT

Il-qafas:

• jafda lis-Setgħat ta’ Sorveljanza Ewropej (ESAs) biex
  • jaħtru, abbażi ta’ kriterji ċari, il-fornituri ta’ servizz ta’ parti terza tal-ICT meqjusa kritiċi għal entitajiet finanzjarji;
  • jappuntaw, bħala superviżur mexxej għal kull fornitur tas-servizz kritiku ta’ parti terza tal-ICT, l-ESA responsabbli għall-entità finanzjarja kkonċernata;
• jistabbilixxu Forum tas-Sorveljanza biex:
  • jiddiskuti żviluppi rilevanti fuq ir-riskju u vulnerabbiltajiet tal-ICT u jippromwovi approċċ ta’ monitoraġġ konsistenti tal-UE;
  • jassessja attivitajiet fuq sorveljanza kull sena, jippromwovi movimenti biex iżidu r-reżiljenza operazzjonali diġitali u jippromwovi l-aħjar prattika;
  • jissottometti oqfsa ta’ sorveljanza ta’ fornituri ta’ servizz kritiku ta’ parti terza tal-ICT;
• jagħti mandat lil superviżur mexxej biex:
  • ikun l-punt primarju ta’ kuntatt għal fornituri ta’ servizz kritiku ta’ parti terza tal-ICT;
  • jassessja jekk kull fornitur kritiku għandux regoli, proċeduri, mekkaniżmi u arranġamenti sodi u effettivi fis-seħħ;
  • jitlob informazzjoni u dokumentazzjoni rilevanti, jwettaq investigazzjonijiet u spezzjonijiet (inklużi f’pajjiżi mhux tal-UE), jispeċifika azzjoni rimedjali u joħroġ rakkomandazzjonijiet;
• Iħalli lill-Awtorità Bankarja Ewropea, l-Awtorità Ewropea tal-Assigurazzjoni u l-Pensjonijiet tax-Xogħol u l-Awtorità Ewropea tat-Titoli u s-Swieq biex jaħdmu ma’ awtoritajiet regolatorji u superviżorji mhux tal-UE fuq riskju ta’ parti terza tal-ICT;
• jitlob li ESAs jissottomettu rapport kritiku kull 5 snin lill-Parliament Ewropew, lill-Kunsill tal-Unjoni Ewropea u l-Kummissjoni Ewropea dwar negozjar ma’ awtoritajiet mhux tal-UE.

Arranġamenti ta’ kondiviżjoni ta’ informazzjoni

Entitajiet finanzjarji jistgħu jikkondividu ma’ xulxin informazzjoni u intelliġenza dwar theddid ċibernetiku, diment li dan:

• għandu l-għan li jsaħħaħ ir-reżiljenza operazzjonali diġitali:
• jiġri fi ħdan il-komunitajiet affidabbli tagħhom;
• jipproteġi l-kunfidenzjalità kummerċjali u d-data personali, u jirrispetta r-regoli tal-politika tal-kompetizzjoni.

Penali u miżuri rimedjali

Awtoritajiet kompetenti:

• għandhom il-poteri superviżorji, investigattivi u ta’ sanzjonijiet meħtieġa biex iwettqu l-kompiti tagħhom;
• jimponu, u jippubblikaw fuq il-websites tagħhom, il-penali amministrattivi u miżuri rimedjali determinati mil-liġi nazzjonali.

Abbozzi ta’ standards tekniċi regolatorji ta’ ESA tal-għodda tal-ġestjoni tar-riskju tal-ICT, għall-klassifikazzjoni u rapportar ta’ inċidenti relatati mal-ICT u twettiq ta’ attivitajiet ta’ sorveljanza.

Il-Kummissjoni:

• għandha s-setgħa li tadotta atti delegati;
• tissottometti, sas-17 ta’ Jannar 2028, rieżami tar-regolament, wara li tikkonsulta l-ESA u l-Bord Ewropew tar-Riskju Sistematiku, lill-Parlament Ewropew u lill-Kunsill.

Ir-regolament jemenda r-Regolamenti (KE) Nru 1060/2009, (UE) Nru 648/2012, (UE) Nru 909/2014, (UE) Nru 600/2014 u (UE) 2016/1011.

MINN META BEDA JAPPLIKA R-REGOLAMENT?

Dan japplika mis-17 ta’ Jannar 2025

SFOND

Ir-riformi li segwew il-kriżi finanzjarja tal-2008 primarjament saħħew l-istabbiltà finanzjarja tas-settur. Riskji tal-ICT kienu indirizzati indirettament f’ċerti oqsma u komplew ikunu sfida għar-reżiljenza, prestazzjoni u stabbiltà tas-sistema finanzjarja tal-UE.

Ir-regolament, magħruf bħala DORA, hu parti minn pakkett dwar il-finanzi diġitali akbar bil-għan li jsaħħaħ l-iżvilupp teknoloġiku u jassikura l-istabbiltà finanzjarja u l-protezzjoni tal-konsumatur. L-elementi oħra jkopru strateġija finanzjarja diġitali, swieq fl-assi kripto u jqassmu teknoloġija ta’ reġistru distribwit.

Għal aktar informazzjoni, ara:

• Pakkett dwar finanzi diġitali (il-Kummissjoni Ewropea).

DOKUMENT PRINĊIPALI

Ir-Regolament (UE) 2022/2554 tal-Parlament Ewropew u tal-Kunsill tal-14 ta’ Diċembru 2022 dwar ir-reżiljenza operazzjonali diġitali għas-settur finanzjarju u li jemenda r-Regolamenti (KE) Nru 1060/2009, (UE) Nru 648/2012, (UE) Nru 600/2014, (UE) Nru 909/2014 u (UE) 2016/1011 (ĠU L 333, 27.12.2022, pp. 1–79).

DOKUMENTI RELATATI

Il-Komunikazzjoni tal-Kummissjoni lill-Parlament Ewropew, lill-Kunsill, lill-Kumitat Ekonomiku u Soċjali Ewropew u lill-Kumitat tar-Reġjuni dwar Strateġija għall-Finanzi Diġitali għall-UE (COM(2020) 591 final, 24.9.2020).

Ir-Regolament (UE) 2016/1011 tal-Parlament Ewropew u tal-Kunsill tat-8 ta’ Ġunju 2016 dwar l-indiċi użati bħala parametri referenzjarji fi strumenti finanzjarji u kuntratti finanzjarji jew dwar il-kejl tal-prestazzjoni ta’ fondi ta’ investiment u li jemenda d-Direttivi 2008/48/KE u 2014/17/UE u r-Regolament (UE) Nru 596/2014 (ĠU L 171, 29.6.2016, pp. 1–65).

L-emendi suċċessivi għar-Regolament (UE) 2016/1011 ġew inkorporati fit-test oriġinali. Din il-verżjoni konsolidata għandha valur dokumentarju biss.

Ir-Regolament (UE) Nru 909/2014 tal-Parlament Ewropew u tal-Kunsill tat-23 ta’ Lulju 2014 dwar titjib fis-saldu tat-titoli fl-Unjoni Ewropea u dwar depożitorji ċentrali tat-titoli u li jemenda d-Direttivi 98/26/KE u 2014/65/UE u r-Regolament (UE) Nru 236/2012 (ĠU L 257, 28.8.2014, pp. 1–72).

Ara l-verżjoni konsolidata.

Ir-Regolament (UE) Nru 600/2014 tal-Parlament Ewropew u tal-Kunsill tal-15 ta’ Mejju 2014 dwar is-swieq tal-istrumenti finanzjarji u li jemenda r-Regolament (UE) Nru 648/2012 (ĠU L 173, 12.6.2014, pp. 84–148).

Ara l-verżjoni konsolidata.

Ir-Regolament (UE) Nru 648/2012 tal-Parlament Ewropew u tal-Kunsill tal-4 ta’ Lulju 2012 dwar derivati OTC, kontropartijiet ċentrali u repożitorji tad-data dwar it-tranżazzjonijiet (ĠU L 201, 27.7.2012, pp. 1–59).

Ara l-verżjoni konsolidata.

Ir-Regolament (KE) Nru 1060/2009 tal-Parlament Ewropew u tal-Kunsill tas-16 ta’ Settembru 2009 dwar aġenziji li jiggradaw il-kreditu (ĠU L 302, 17.11.2009, pp. 1–31)

Ara l-verżjoni konsolidata.

l-aħħar aġġornament 10.01.2024