OPINJONI TAL-BANK ĊENTRALI EWROPEW

tal-11 ta’ April 2022

Opinjoni tal-BĊE dwar proposta għal direttiva tal-Parlament Ewropew u l-Kunsill dwar miżuri għal livell għoli komuni ta’ ċibersigurtà madwar l-Unjoni kollha, li tħassar id-Direttiva (UE) 2016/1148

(CON/2022/14)

(2022/C 233/03)

Introduzzjoni u bażi legali

Fis-16 ta’ Diċembru 2020 il-Kummissjoni Ewropea adottat proposta għal direttiva tal-Parlament Ewropew u l-Kunsill dwar miżuri għal livell għoli komuni ta’ ċibersigurtà fl-Unjoni Ewropea, li tħassar id-Direttiva (UE) 2016/1148 (1) (iktar ‘il quddiem id-“direttiva proposta”). Fit-3 ta’ Diċembru 2021, il-Kunsill tal-Unjoni Ewropea qabel fuq l-approċċ ġenerali tiegħu dwar id-direttiva proposta (2). Il-kompetenza tal-BĊE li jagħti opinjoni hija bbażata fuq it-tieni subparagrafu tal-Artikolu 127(4) tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, peress li d-direttiva proposta fiha dispożizzjonijiet li jaqgħu taħt l-oqsma ta’ kompetenza tal-BĊE, b’mod partikolari, id-definizzjoni u l-implimentazzjoni tal-politika monetarja, il-promozzjoni tal-funzjonament bla xkiel tas-sistemi ta’ ħlas, il-kontribut għat-twettiq bla xkiel tal-politiki segwiti mill-awtoritajiet kompetenti relatati mal-istabbiltà tas-sistema tas-swieq finanzjarji, u l-kompiti tal-BĊE rigward is-superviżjoni prudenzjali ta’ istituzzjonijiet ta’ kreditu skont l-ewwel u r-raba’ inċiżi tal-Artikolu 127(2), l-Artikoli 127(5) u l-Artikolu 127(6) tat-Trattat. Skont l-ewwel sentenza tal-Artikolu 17.5 tar-Regoli ta’ Proċedura tal-Bank Ċentrali Ewropew, il-Kunsill Governattiv adotta din l-opinjoni.

Osservazzjonijiet Ġenerali

Il-BĊE jappoġġa bis-sħiħ l-objettivi tad-direttiva proposta biex jiżdied il-livell ta’ reżiljenza ċibernetika fis-setturi rilevanti kollha, jitnaqqsu l-inkonsistenzi fis-suq intern u jittejjeb il-livell ta’ għarfien tas-sitwazzjoni u l-kapaċità kollettiva ta’ tħejjija u rispons billi tiġi żgurata kooperazzjoni effiċjenti fl-Unjoni.

Il-BĊE jirrikonoxxi l-importanza li jinżammu rabtiet b’saħħithom bejn id-direttiva proposta u s-settur finanzjarju, li għandu jibqa’ parti mill-ekosistema tan-netwerks u tas-sistemi tal-informazzjoni (NIS) biex tiġi promossa l-valutazzjoni konsistenti tar-riskji relatati mat-teknoloġija tal-informazzjoni u tal-komunikazzjoni (ICT) madwar l-Unjoni u jitrawmu skambju u kollaborazzjoni transsettorjali effettivi tal-informazzjoni meta jiġi indirizzat it-theddid ċibernetiku. Għal dak il-għan, għandu jkun possibbli għall-awtoritajiet kompetenti skont ir-regolament propost tal-Parlament Ewropew u tal-Kunsill dwar ir-reżiljenza operazzjonali diġitali għas-settur finanzjarju (3) (iktar ’il quddiem “DORA”) li jipparteċipaw fid-diskussjonijiet ta’ politika strateġika u fil-ħidma teknika tal-Grupp ta’ Kooperazzjoni tal-NIS, kif ukoll li jiskambjaw informazzjoni u jikkooperaw aktar mal-punti uniċi ta’ kuntatt u l-Iskwadri ta’ Rispons għal Inċidenti relatati mas-Sigurtà tal-Kompjuters nazzjonali msemmija fid-direttiva proposta (4).

1. Kamp ta’ applikazzjoni tad-direttiva proposta

1.1

Il-BĊE jifhem li, fir-rigward tal-entitajiet tas-settur finanzjarju, id-DORA se titqies bħala leġiżlazzjoni speċifika għas-settur li tintroduċi rekwiżiti dwar il-ġestjoni tar-riskju taċ-ċibersigurtà u n-notifika tal-inċidenti li tal-inqas ikollhom effett ekwivalenti bħal dawk stabbiliti fid-direttiva proposta (5). Għalhekk, id-dispożizzjonijiet tad-direttiva proposta li huma relatati mal-ġestjoni tar-riskju taċ-ċibersigurtà, l-obbligi ta’ rappurtar, il-kondiviżjoni tal-informazzjoni, u s-superviżjoni u l-infurzar mhux se japplikaw għal kwalunkwe entità finanzjarja koperta mid-DORA (6). Kif iċċarat fil-premessi tad-direttiva proposta, id-dispożizzjonijiet tad-DORA li huma relatati mal-miżuri ta’ ġestjoni tar-riskju tal-ICT, il-ġestjoni ta’ inċidenti relatati mal-ICT u r-rappurtar tal-inċidenti, l-ittestjar tar-reżiljenza operazzjonali diġitali, l-arranġamenti għall-kondiviżjoni tal-informazzjoni u r-riskju ta’ partijiet terzi tal-ICT għandhom japplikaw minflok dawk tad-direttiva proposta (7).

1.2

Il-BĊE jinnota wkoll li l-Kunsill, fl-approċċ ġenerali tiegħu dwar id-direttiva proposta, iressaq emenda biex jeskludi “entitajiet li jwettqu attivitajiet fl-oqsma tal-ġudikatura, il-parlamenti jew il-banek ċentrali” (8) mill-applikazzjoni tad-direttiva proposta. Il-BĊE jifhem li l-emenda proposta testendi għall-kompiti u l-kompetenzi bażiċi kollha tas-Sistema Ewropea ta’ Banek Ċentrali (SEBĊ), kif stabbilit fl-Artikolu 127(2) tat-Trattat u fl-Artikolu 3.1 tal-Istatut tas-Sistema Ewropea ta’ Banek Ċentrali u tal-Bank Ċentrali Ewropew (iktar ’il quddiem l- “Istatut tas-SEBĊ”), bħall-promozzjoni tat-tħaddim bla xkiel tas-sistemi ta’ ħlas. F’dan ir-rigward, l-infrastrutturi tas-suq finanzjarju li huma proprjetà tal-Eurosystem u operati minnha, bħal TARGET2 u TARGET2-Securities, huma kkunsidrati li jaqgħu taħt l-esklużjoni proposta mill-Kunsill tal-banek ċentrali mill-applikazzjoni tad-direttiva proposta.

2. Kompetenzi ta’ sorveljanza tas-SEBĊ u tal-Eurosistema

2.1

Flimkien mal-objettiv primarju tas-SEBĊ li tinżamm l-istabbiltà tal-prezzijiet, u skont l-Artikolu 127(2) tat-Trattat, wieħed mill-kompiti bażiċi li għandu jitwettaq permezz tas-SEBĊ huwa li jiġi promoss it-tħaddim bla xkiel tas-sistemi ta’ ħlas (9). Fit-twettiq ta’ dan il-kompitu bażiku, il-BĊE u l-banek ċentrali nazzjonali jistgħu jipprovdu faċilitajiet, u l-BĊE jista’ jagħmel regolamenti, biex jiżgura sistemi tal-ikklerjar u ta’ pagamenti effiċjenti u sodi fi ħdan l-Unjoni u ma’ pajjiżi oħrajn (10). Fl-eżerċizzju tar-rwol ta’ sorveljanza tiegħu, il-BĊE adotta r-Regolament tal-Bank Ċentrali Ewropew (UE) Nru 795/2014 (ECB/2014/28) (11) (iktar ’il quddiem ir- “Regolament SIPS”), li jittraduċi l-Prinċipji CPSS-IOSCO għall-Infrastrutturi tas-Swieq Finanzjarji (12) fi dritt applikabbli direttament. Ir-Regolament SIPS jistabbilixxi rekwiżiti kemm għal sistemi ta’ pagament ta’ valur kbir kif ukoll għal dawk bl-imnut ta’ importanza sistemika, kemm jekk proprjetà pubblika kif ukoll privata. Ir-rekwiżiti skont ir-Regolament SIPS diġà jinkludu, fost l-oħrajn, il-ġestjoni tar-riskju operazzjonali u l-istabbiliment ta’ qafas ta’ reżiljenza ċibernetika (13).

2.2

Minbarra s-sistemi ta’ ħlas sistemikament importanti, is-sorveljanza tal-Eurosistema tkopri sistemi ta’ ħlas mhux sistemikament importanti, strumenti, skemi u arranġamenti ta’ ħlasijiet elettroniċi, u infrastrutturi oħra u fornituri ta’ servizzi kritiċi, kif stabbilit fil-qafas tal-politika ta’ sorveljanza tal-Eurosistema (14). Sistemi ta’ ħlas u arranġamenti oħra soġġetti għas-sorveljanza tal-Eurosistema mhumiex inklużi espressament fil-kap ta’ applikazzjoni tad-direttiva proposta (15). Fl-istess ħin, minħabba li d-direttiva proposta hija strument ta’ armonizzazzjoni minima (16), il-leġiżlazzjoni ta’ implimentazzjoni adottata mill-Istati Membri tista’ eventwalment tikkoinċidi mal-kompetenza ta’ sorveljanza tal-Eurosistema. Sabiex dan jiġi evitat, il-kompetenzi tas-SEBĊ skont it-Trattat u l-Istatut tas-SEBĊ, u l-kompetenzi tal-Eurosistema taħt ir-Regolament SIPS u ġeneralment taħt il-qafas tal-politika ta’ sorveljanza tal-Eurosistema, għandhom jiġu rrikonoxxuti b’mod espliċitu fil-premessi tad-direttiva proposta.

3. Riskju ta’ partijiet terzi tal-ICT, ġestjoni ta’ inċidenti u kriżijiet fuq skala kbira, kondiviżjoni tal-informazzjoni u strateġija nazzjonali taċ-ċibersigurtà

3.1 Ġestjoni tar-riskju ta’ partijiet terzi tal-ICT

3.1.1

Id-direttiva proposta tagħti s-setgħa lill-awtoritajiet kompetenti, meta jeżerċitaw is-setgħat ta’ infurzar tagħhom fir-rigward tal-entitajiet essenzjali, biex joħorġu struzzjonijiet vinkolanti jew ordni li tirrikjedi li dawk l-entitajiet jirrimedjaw in-nuqqasijiet identifikati jew il-ksur tal-obbligi tad-direttiva proposta (17). Fl-istess ħin, is- “Sorveljant Ewlieni” maħtur taħt id-DORA jista’ jindirizza rakkomandazzjonijiet lil fornituri terzi kritiċi ta’ servizzi tal-ICT biex jiġġestixxu r-riskji sistemiċi potenzjali involuti mill-esternalizzazzjoni tal-prattiki u l-konċentrazzjoni ta’ partijiet terzi tal-ICT (18).

3.1.2

Meta jitqies li entità essenzjali skont id-direttiva proposta tista’ wkoll tinħatar bħala fornitur terz kritiku ta’ servizzi tal-ICT skont id-DORA, il-BĊE jtenni (19) li l-ħruġ ta’ rakkomandazzjonijiet konfliġġenti u struzzjonijiet vinkolanti għandhom jiġu evitati. F’dan ir-rigward, il-BĊE jilqa’ l-approċċ ġenerali tal-Kunsill dwar id-direttiva proposta. Skont dak l-approċċ, l-awtoritajiet kompetenti għandhom jinfurmaw lill-“Forum ta’ Sorveljanza”, stabbilit skont id-DORA, meta jeżerċitaw is-setgħat superviżorji u ta’ infurzar tagħhom fir-rigward ta’ entità essenzjali maħtura bħala fornitur terz kritiku ta’ servizzi tal-ICT taħt DORA (20).

3.2 Ġestjoni ta’ inċidenti u kriżijiet fuq skala kbira

3.2.1

F’konformità mad-direttiva proposta (21), l-Istati Membri għandhom jaħtru awtorità kompetenti waħda jew aktar responsabbli għall-ġestjoni ta’ inċidenti u kriżijiet fuq skala kbira. Kif jiċċaraw il-premessi tad-direttiva proposta, inċident fuq skala kbira għandu jfisser inċident b’impatt sinifikanti fuq mill-inqas żewġ Stati Membri jew li t-tfixkil tiegħu jaqbeż il-kapaċità ta’ Stat Membru li jirreaġixxi għalih. Inċidenti fuq skala kbira jistgħu jinbidlu fi kriżijiet sħaħ, li jfixklu l-funzjonament tajjeb tas-suq intern (22).

3.2.2

Filwaqt li l-awtoritajiet kompetenti maħtura skont DORA jibqgħu responsabbli għall-ġestjoni tal-inċidenti taċ-ċibersigurtà li jikkonċernaw l-entitajiet finanzjarji, il-kooperazzjoni mal-istrutturi u l-awtoritajiet stabbiliti bis-saħħa tad-direttiva proposta se tkun kruċjali biex jiġi żgurat rispons koordinat madwar l-Unjoni. Għal dan il-għan, il-BĊE jilqa’ l-parteċipazzjoni tal-awtoritajiet kompetenti maħtura taħt id-DORA, inkluż il-BĊE, fin-Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (EU-CyCLONe) (23), meta inċidenti u kriżijiet taċ-ċibersigurtà fuq skala kbira jaffettwaw is-settur finanzjarju.

3.3 Kondiviżjoni ta’ informazzjoni

3.3.1

Kif indikat hawn fuq, il-BĊE jappoġġa bis-sħiħ il-kooperazzjoni bejn l-awtoritajiet kompetenti maħtura skont id-DORA mal-istrutturi u l-awtoritajiet stabbiliti skont id-direttiva proposta. B’mod partikolari, il-kondiviżjoni tal-informazzjoni fost l-awtoritajiet tista’ tippermetti tagħlim transsettorjali, tikkontribwixxi għall-prevenzjoni u l-ġestjoni effettiva taċ-ċiberattakki, u tippromwovi l-valutazzjoni konsistenti tar-riskji relatati mal-ICT madwar l-Unjoni. Madankollu, il-BĊE jenfasizza li l-iskambju ta’ informazzjoni għandu jseħħ fejn ikun hemm mekkaniżmi ta’ klassifikazzjoni u kondiviżjoni ta’ informazzjoni stabbiliti b’mod ċar, flimkien ma’ salvagwardji adegwati biex tiġi żgurata l-kunfidenzjalità (24). Il-BĊE jilqa’ l-approċċ ġenerali tal-Kunsill dwar id-direttiva proposta, li tipproponi l-iskambju regolari ta’ informazzjoni rilevanti bejn l-awtoritajiet (25), l-istabbiliment ta’ arranġamenti ta’ kooperazzjoni li jispeċifikaw mekkaniżmu għall-iskambju ta’ informazzjoni (26), u t-trasmissjoni awtomatika u diretta ta’ notifiki ta’ inċidenti (27). F’dan ir-rigward, għandu jiġi żgurat li l-informazzjoni li hija kunfidenzjali skont id-dispożizzjonijiet dwar is-segretezza professjonali skont DORA (28) jew il-leġislazzjoni rilevanti speċifika għas-settur (29) tista’ tiġi skambjata mal-awtoritajiet kompetenti msemmija fid-direttiva proposta biss meta dak l-iskambju jkun meħtieġ għall-awtoritajiet kompetenti biex japplikaw id-dispożizzjonijiet tad-direttiva proposta (30).

3.4 Strateġija nazzjonali taċ-ċibersigurtà

3.4.1

Skont id-direttiva proposta, l-Istati Membri huma meħtieġa jadottaw strateġiji nazzjonali taċ-ċibersigurtà biex jiddefinixxu l-objettivi strateġiċi u l-miżuri ta’ politika u regolatorji xierqa bil-għan li jinkiseb u jinżamm livell għoli ta’ ċibersigurtà (31). Kif iċċarat fil-premessi tad-direttiva proposta, jenħtieġ li l-Istati Membri jkomplu jinkludu s-settur finanzjarju fl-istrateġiji taċ-ċibersigurtà rispettivi tagħhom (32). B’mod indikattiv, bħala parti mill-istrateġiji nazzjonali taċ-ċibersigurtà tagħhom, l-Istati Membri jenħtieġ li jadottaw politiki li jindirizzaw iċ-ċibersigurtà fil-katina tal-provvista għall-prodotti u s-servizzi tal-ICT użati mill-entitajiet għall-forniment tas-servizzi tagħhom. F’dak li għandu x’jaqsam mas-settur finanzjarju, l-istrateġiji nazzjonali taċ-ċibersigurtà jenħtieġ li jkunu konsistenti mal-qafas regolatorju li joħroġ mid-DORA. F’dan ir-rigward, il-BĊE jqis li huma meħtieġa aktar kjarifiki biex jiġi żgurat li l-istrateġiji nazzjonali taċ-ċibersigurtà jkunu konsistenti mal-leġiżlazzjoni speċifika għas-settur.

Fejn il-BĊE jirrakkomanda li d-direttiva proposta tiġi emendata, qed tiġi prevista proposta ta’ abbozzar speċifika f’dokument ta’ ħidma tekniku separat flimkien ma’ test spjegattiv għal dan il-għan. Id-dokument ta’ ħidma tekniku huwa disponibbli bl-Ingliż fuq EUR-Lex.

Magħmul fi Frankfurt am Main, 11 ta’ April 2022.

Il-President tal-BĊE

Christine LAGARDE

(1) COM(2020) 823 final.

(2) Disponibbli fuq is-sit web tal-Kunsill fi www.consilium.europa.eu

(3) COM(2020) 595 final.

(4) Ara l-paragrafu 1.5 tal-Opinjoni CON/2021/20 tal-Bank Ċentrali Ewropew tal-4 ta’ Ġunju 2021 dwar il-proposta għal regolament tal-Parlament Ewropew u tal-Kunsill dwar ir-reżiljenza operazzjonali diġitali għas-settur finanzjarju (ĠU C 343, 26.8.2021, p. 1). L-opinjonijiet kollha tal-BĊE huma ppubblikati fuq EUR-Lex. L-Artikoli 17(5) u 42 ta’ DORA; l-Artikolu 11 tad-direttiva proposta.

(5) L-Artikolu 2(6) tad-direttiva proposta.

(6) Il-Premessa 13 tal-Artikolu 2(6) tad-direttiva proposta.

(7) Il-Premessa 13 tad-direttiva proposta.

(8) L-Artikolu 2(3a), l-ewwel subparagrafu, punt (b) tal-approċċ ġenerali tal-Kunsill dwar id-direttiva proposta.

(9) L-Artikolu 127(2) TFUE, kif rifless fl-Artikolu 3.1 tal-Istatut tas-SEBĊ.

(10) L-Artikolu 22 tal-Istatut tas-SEBĊ

(11) Ir-Regolament tal-Bank Ċentrali Ewropew (UE) Nru 795/2014 tat-3 ta’ Lulju 2014 dwar ir-rekwiżiti ta’ sorveljanza għal sistemi ta’ ħlas sistemikament importanti (BĊE/2014/28) (ĠU L 217, 23.7.2014, p. 16).

(12) Ara l-Kumitat dwar is-Sistemi ta’ Pagament u Saldu (CPSS)u l-Kumitat Tekniku tal-Organizzazzjoni Internazzjonali tal-Kummissjonijiet tat-Titoli (IOSCO), Prinċipji għall-Infrastrutturi tas-Suq Finanzjarju, April 2012, disponibbli fuq is-sit web tal-Bank għall-Ħlas Internazzjonali fuq www.bis.org. Ir-responsabbiltà D tiegħu tiddikjara li “l-membri kollha tas-CPSS u tal-IOSCO huma mistennija li japplikaw il-prinċipji għall-FMIs rilevanti fil-ġurisdizzjonijiet tagħhom sal-limitu massimu permess mill-qafas legali fil-ġurisdizzjoni tagħhom”.

(13) L-Artikolu 15 tar-Regolament (UE) Nru 795/2014 (BĊE/2014/28)

(14) Il-Eurosystem oversight policy framework, Verżjoni riveduta (Lulju 2016) disponibbli fuq is-sit web tal-BĊE fuq www.ecb.europa.eu.

(15) L-Artikolu 2 tad-direttiva proposta u l-Annessi I u II tad-direttiva proposta.

(16) L-Artikolu 3 tad-direttiva proposta.

(17) L-Artikolu 29(4)(b) tad-direttiva proposta

(18) L-Artikolu 31 tal-DORA.

(19) Ara l-paragrafu 1.2 tal-Opinjoni CON/2021/20.

(20) L-Artikolu 29(10) tal-approċċ ġenerali tal-Kunsill dwar id-direttiva proposta.

(21) L-Artikolu 7(1) tad-direttiva proposta.

(22) Il-Premessa 27 tad-direttiva proposta.

(23) L-Artikolu 14 tad-direttiva proposta.

(24) Ara l-paragrafu 1.5 tal-Opinjoni CON/2021/20.

(25) L-Artikolu 11(5) tal-approċċ ġenerali tal-Kunsill dwar id-direttiva proposta.

(26) Il-Premessa 23a tal-approċċ ġenerali tal-Kunsill dwar id-direttiva proposta.

(27) Il-Premessa 23a tal-approċċ ġenerali tal-Kunsill dwar id-direttiva proposta.

(28) L-Artikolu 49 tal-DORA.

(29) L-Artikoli 53 sa 62 tad-Direttiva 2013/36/UE tal-Parlament Ewropew u tal-Kunsill tas-26 ta’ Ġunju 2013 dwar l-aċċess għall-attività tal-istituzzjonijiet ta’ kreditu u s-superviżjoni prudenzjali tal-istituzzjonijiet ta’ kreditu, li temenda d-Direttiva 2002/87/KE u li tħassar id-Direttivi 2006/48/KE u 2006/49/KE (ĠU L 176, 27.6.2013, p. 338).

(30) Ara l-Artikolu 2(5) u (4) tad-direttiva proposta.

(31) L-Artikolu 5 tad-direttiva proposta.

(32) Il-Premessa 13 tad-direttiva proposta.