(1)

Únia musí primerane a komplexne riešiť digitálne riziká, ktorým sú vystavené všetky finančné subjekty v dôsledku toho, že pri poskytovaní a využívaní finančných služieb v zvýšenej miere používajú informačné a komunikačné technológie (IKT), a prispieť tak k realizácii potenciálu digitálnych financií pokiaľ ide o podporu inovácií a hospodárskej súťaže v bezpečnom digitálnom prostredí.

(2)

Finančné subjekty sa pri svojej každodennej činnosti vo veľkej miere spoliehajú na používanie digitálnych technológií. Je preto mimoriadne dôležité zabezpečiť prevádzkovú odolnosť ich digitálnych operácií voči IKT riziku. Táto potreba sa stala ešte naliehavejšou z dôvodu rastu prelomových technológií na trhu, najmä technológií, ktoré umožňujú elektronické prevádzanie a uchovávanie digitálneho vyjadrenia hodnoty alebo práv s použitím technológie distribuovanej databázy transakcií alebo podobnej technológie (kryptoaktíva), ako aj z dôvodu rastu trhu so službami súvisiacimi s týmito aktívami.

(3)

Požiadavky týkajúce sa riadenia IKT rizika vo finančnom sektore sa na úrovni Únie v súčasnosti stanovujú v smerniciach Európskeho parlamentu a Rady 2009/65/ES (4), 2009/138/ES (5), 2011/61/EÚ (6), 2013/36/EÚ (7), 2014/59/EÚ (8), 2014/65/EÚ (9), (EÚ) 2015/2366 (10) a (EÚ) 2016/2341 (11).

Uvedené požiadavky sa medzi sebou líšia a sú niekedy neúplné. V niektorých prípadoch sa IKT riziko rieši len nepriamo ako súčasť operačného rizika, a v ostatných prípadoch sa nerieši vôbec. Tieto záležitosti sú napravené prijatím nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554 (12). Uvedené smernice by sa preto mali zmeniť, aby sa zabezpečila konzistentnosť s uvedeným nariadením. V tejto smernici sa stanovuje súbor zmien, ktoré sú potrebné na zabezpečenie právnej zrozumiteľnosti a konzistentnosti v súvislosti s uplatňovaním rôznych požiadaviek na digitálnu prevádzkovú odolnosť finančnými subjektmi, ktorým bolo udelené povolenie a nad ktorými sa vykonáva dohľad v súlade s uvedenými smernicami, pričom ide o požiadavky, ktoré sú nevyhnutné na vykonávanie ich činností a poskytovanie služieb, čím sa zaručí hladké fungovanie vnútorného trhu. Je potrebné zabezpečiť primeranosť týchto požiadaviek vzhľadom na vývoj na trhu a zároveň podporovať proporcionalitu, najmä pokiaľ ide o veľkosť finančných subjektov a osobitné režimy, ktorým podliehajú, s cieľom znížiť náklady na dodržiavanie predpisov.

(4)

Pokiaľ ide o oblasť bankových služieb, v smernici 2013/36/EÚ sa v súčasnosti uvádzajú len všeobecné vnútorné pravidlá riadenia a ustanovenia o operačnom riziku, ktoré obsahujú požiadavky na plány pre nepredvídané udalosti a plány na zabezpečenie kontinuity obchodných činností, ktoré nepriamo slúžia ako základ pre riešenie problematiky riadenia IKT rizika. Aby sa však IKT riziko riešilo výslovne a jasne, požiadavky na plány pre nepredvídané udalosti a plány na zabezpečenie kontinuity činností by sa mali zmeniť tak, aby zahŕňali plány na zabezpečenie kontinuity činností a plány reakcie a obnovy aj pre IKT riziko, a to v súlade s požiadavkami stanovenými v nariadení (EÚ) 2022/2554. Okrem toho IKT riziko je len nepriamo zahrnuté, ako súčasť operačného rizika, do postupu preskúmania a hodnotenia orgánmi dohľadu (SREP), ktorý vykonávajú príslušné orgány a kritériá na jeho posúdenie sú v súčasnosti vymedzené v Usmerneniach pre posudzovanie rizika súvisiaceho s informačnými a komunikačnými technológiami v rámci postupu preskúmania a hodnotenia orgánmi dohľadu (SREP), ktoré vydal európsky orgán dohľadu (Európsky orgán pre bankovníctvo) (ďalej len „EBA“) zriadený nariadením Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (13). S cieľom zabezpečiť právnu zrozumiteľnosť a zaistiť, aby orgány bankového dohľadu účinne identifikovali IKT riziko a monitorovali jeho riadenie finančnými subjektmi v súlade s novým rámcom pre digitálnu prevádzkovú odolnosť, by sa mal rozsah postupu preskúmania a hodnotenia orgánmi dohľadu zmeniť tak, aby výslovne odkazoval na požiadavky stanovené v nariadení (EÚ) 2022/2554 a vzťahoval sa najmä na riziká zistené na základe oznámení o závažných incidentoch súvisiacich s IKT a na základe výsledkov testov digitálnej prevádzkovej odolnosti, ktoré finančné subjekty vykonávajú v súlade s uvedeným nariadením.

(5)

Digitálna prevádzková odolnosť je základnou podmienkou toho, aby sa v prípade riešenia krízovej situácie finančného subjektu zachovali jeho zásadné funkcie a hlavné oblasti obchodnej činnosti, a tým aby sa zabránilo narušeniu reálnej ekonomiky a finančného systému. Závažné prevádzkové incidenty môžu oslabovať schopnosť finančného subjektu pokračovať v činnosti a môžu ohroziť ciele riešenia krízovej situácie. V prípade riešenia krízovej situácie majú pre zabezpečenie prevádzkovej kontinuity a poskytnutie potrebných údajov zásadný význam aj určité zmluvné dojednania o využívaní IKT služieb. V záujme zosúladenia s cieľmi rámca Únie pre prevádzkovú odolnosť by sa smernica 2014/59/EÚ mala zodpovedajúcim spôsobom zmeniť s cieľom zabezpečiť, aby sa informácie o prevádzkovej odolnosti zohľadňovali v kontexte plánovania riešenia krízovej situácie a posudzovania riešiteľnosti krízovej situácie finančných subjektov.

(6)

V smernici 2014/65/EÚ sa stanovujú prísnejšie pravidlá v oblasti IKT rizika pre investičné spoločnosti a obchodné miesta, ktoré vykonávajú algoritmické obchodovanie. Menej podrobné požiadavky sa vzťahujú na služby vykazovania údajov a na archívy obchodných údajov. Smernica 2014/65/EÚ obsahuje takisto len obmedzené odkazy na opatrenia na kontrolu a ochranu systémov spracovania informácií a na používanie vhodných systémov, zdrojov a postupov na zabezpečenie kontinuity a regulárnosti služieb súvisiacich s podnikaním. Uvedená smernica by sa mala ďalej zosúladiť s nariadením (EÚ) 2022/2554, pokiaľ ide o kontinuitu a regulárnosť poskytovania investičných služieb a vykonávania investičných činností, prevádzkovú odolnosť, kapacitu obchodných systémov a účinnosť opatrení na zabezpečenie kontinuity činností a riadenia rizík.

(7)

V smernici (EÚ) 2015/2366 sa stanovujú osobitné pravidlá týkajúce sa bezpečnostných kontrol IKT a zmierňujúcich prvkov na účely udelenia povolenia na poskytovanie platobných služieb. Uvedené pravidlá udeľovania povolení by sa mali zmeniť s cieľom zosúladiť ich s nariadením (EÚ) 2022/2554. Okrem toho s cieľom znížiť administratívne zaťaženie a vyhnúť sa zložitosti a duplicitným požiadavkám na oznamovanie by sa pravidlá oznamovania incidentov stanovené v uvedenej smernici mali prestať uplatňovať na poskytovateľov platobných služieb, ktorí sú regulovaní podľa uvedenej smernice a na ktorých sa vzťahuje aj nariadenie (EÚ) 2022/2554, čím by sa týmto poskytovateľom platobných služieb umožnilo využívať jednotný, plne harmonizovaný mechanizmus oznamovania incidentov, pokiaľ ide o všetky prevádzkové alebo bezpečnostné incidenty súvisiace s platbami, bez ohľadu na to, či takéto incidenty súvisia s IKT.

(8)

Smernice 2009/138/ES a (EÚ) 2016/2341 čiastočne zachytávajú IKT riziko v rámci svojich všeobecných ustanovení o správe a riadení rizík, pričom určité požiadavky sa majú špecifikovať prostredníctvom delegovaných aktov, či už s osobitnými odkazmi na IKT riziko, alebo bez nich. Podobne sa na správcov alternatívnych investičných fondov, ktorí podliehajú smernici 2011/61/EÚ a na správcovské spoločnosti, ktoré podliehajú smernici 2009/65/ES, vzťahujú len veľmi všeobecné pravidlá. Uvedené smernice by sa preto mali zosúladiť s požiadavkami stanovenými v nariadení (EÚ) 2022/2554, pokiaľ ide o riadenie systémov a nástrojov IKT.

(9)

Ďalšie požiadavky na IKT riziko už boli v mnohých prípadoch stanovené v delegovaných a vykonávacích aktoch prijatých na základe návrhu regulačných technických predpisov a návrhu vykonávacích technických predpisov vypracovaných príslušným európskym orgánom dohľadu. Keďže ustanovenia nariadenia (EÚ) 2022/2554 predstavujú právny rámec pre IKT riziko vo finančnom sektore, určité splnomocnenia na prijatie delegovaných a vykonávacích aktov v smerniciach 2009/65/ES, 2009/138/ES, 2011/61/EÚ a 2014/65/EÚ by sa mali zmeniť s cieľom odstrániť ustanovenia o IKT riziku z rozsahu pôsobnosti uvedených splnomocnení.

(10)

S cieľom zabezpečiť jednotné vykonávanie nového rámca pre digitálnu prevádzkovú odolnosť finančného sektora, členské štáty by mali uplatňovať ustanovenia vnútroštátneho práva, ktorými sa transponuje táto smernica, od dátumu začatia uplatňovania nariadenia (EÚ) 2022/2554.

(11)

Smernice 2009/65/ES, 2009/138/ES, 2011/61/EÚ, 2013/36/EÚ, 2014/59/EÚ, 2014/65/EÚ, (EÚ) 2015/2366 a (EÚ) 2016/2341 boli prijaté na základe článku 53 ods. 1 alebo článku 114 Zmluvy o fungovaní Európskej únie (ďalej len „ZFEÚ“) alebo oboch. Zmeny v tejto smernici boli zahrnuté do jediného aktu vzhľadom na prepojenosť predmetu úpravy a cieľov zmien. V dôsledku toho by sa táto smernica mala prijať na základe článku 53 ods. 1 aj článku 114 ZFEÚ.

(12)

Keďže ciele tejto smernice nie je možné uspokojivo dosiahnuť na úrovni členských štátov, pretože si vyžadujú harmonizáciu požiadaviek, ktoré sú už obsiahnuté v smerniciach, ale z dôvodov rozsahu aj účinkov danej činnosti ich možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku táto smernica neprekračuje rámec nevyhnutný na dosiahnutie týchto cieľov.

(13)

V súlade so spoločným politickým vyhlásením členských štátov a Komisie z 28. septembra 2011 o vysvetľujúcich dokumentoch (14) sa členské štáty zaviazali, že v odôvodnených prípadoch k svojim oznámeniam o transpozičných opatreniach pripoja jeden alebo viacero dokumentov vysvetľujúcich vzťah medzi prvkami smernice a zodpovedajúcimi časťami vnútroštátnych transpozičných nástrojov. Pokiaľ ide o túto smernicu, zákonodarca považuje predloženie takýchto dokumentov za opodstatnené,

1.

V odseku 1 druhom pododseku sa písmeno a) nahrádza takto:

(*1)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1).“ "

2.

Odsek 3 sa nahrádza takto:

1.

V článku 41 sa odsek 4 nahrádza takto:

(*2)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27. 12.2022, s. 1).“ "

2.

V článku 50 ods. 1 sa písmená a) a b) nahrádzajú takto:

1.

V článku 65 ods. 3 písm. a) sa bod vi) nahrádza takto:

(*4)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1).“ "

2.

V článku 74 ods. 1 sa prvý pododsek nahrádza takto:

„Inštitúcie musia mať dôkladné mechanizmy v oblasti riadenia, ktoré zahŕňajú jasnú organizačnú štruktúru s riadne definovanými, transparentnými a konzistentnými líniami zodpovednosti, účinné postupy na identifikáciu, riadenie, monitorovanie a vykazovanie rizík, ktorým sú alebo by mohli byť vystavené, primerané mechanizmy vnútornej kontroly vrátane riadnych administratívnych a účtovných postupov, sietí a informačných systémov, ktoré sú zriadené a spravované v súlade s nariadením (EÚ) 2022/2554, ako aj politiky a postupy odmeňovania, ktoré sú v súlade s riadnym a účinným riadením rizík a podporujú ho.“

3.

V článku 85 sa odsek 2 nahrádza takto:

4.

V článku 97 ods. 1 sa dopĺňa toto písmeno:

1.

Článok 10 sa mení takto:

2.

Príloha sa mení takto:

1.

Článok 16 sa mení takto:

2.

Článok 17 sa mení takto:

3.

V článku 47 sa odsek 1 mení takto:

4.

Článok 48 sa mení takto:

1.

V článku 3 sa písmeno j nahrádza takto:

2.

Článok 5 ods. 1 sa mení takto:

3.

V článku 19 ods. 6 sa druhý pododsek nahrádza takto:

„Externé vykonávanie činností sa nesmie v prípade významných prevádzkových úloh vrátane IKT systémov uskutočniť spôsobom, ktorým by sa podstatne narušila kvalita vnútornej kontroly platobnej inštitúcie a schopnosť príslušných orgánov monitorovať a vysledovať dodržiavanie všetkých povinností stanovených v tejto smernici zo strany platobnej inštitúcie.“

4.

V článku 95 ods. 1 sa dopĺňa tento pododsek:

„Povinnosťou uvedenou v prvom pododseku nie je dotknuté uplatňovanie kapitoly II nariadenia (EÚ) 2022/2554 na:

5.

V článku 96 sa dopĺňa tento odsek:

6.

V článku 98 sa odsek 5 nahrádza takto: