EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 02022R2554-20221227
Consolidated text: Euroopa Parlamendi ja nõukogu määrus (EL) 2022/2554, 14. detsember 2022, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (EMPs kohaldatav tekst)EMPs kohaldatav tekst
Euroopa Parlamendi ja nõukogu määrus (EL) 2022/2554, 14. detsember 2022, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (EMPs kohaldatav tekst)EMPs kohaldatav tekst
In force
02022R2554 — ET — 27.12.2022 — 000.002
Käesolev tekst on üksnes dokumenteerimisvahend ning sel ei ole mingit õiguslikku mõju. Liidu institutsioonid ei vastuta selle teksti sisu eest. Asjakohaste õigusaktide autentsed versioonid, sealhulgas nende preambulid, on avaldatud Euroopa Liidu Teatajas ning on kättesaadavad EUR-Lexi veebisaidil. Need ametlikud tekstid on vahetult kättesaadavad käesolevasse dokumenti lisatud linkide kaudu
EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS (EL) 2022/2554, 14. detsember 2022, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333 27.12.2022, lk 1) |
Parandatud:
EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS (EL) 2022/2554,
14. detsember 2022,
mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011
(EMPs kohaldatav tekst)
I PEATÜKK
Üldsätted
Artikkel 1
Reguleerimisese
Digitaalse tegevuskerksuse ühtlaselt kõrge taseme saavutamiseks sätestatakse käesolevas määruses ühetaolised nõuded, mis käsitlevad finantssektori ettevõtjate äriprotsesse toetavate võrgu- ja infosüsteemide turvalisust:
finantssektori ettevõtjate suhtes kohaldatavad nõuded, mis puudutavad
info- ja kommunikatsioonitehnoloogia (IKT) riskide juhtimist;
pädevate asutuste teavitamist tõsistest IKT intsidentidest ja vabatahtlikkuse alusel olulistest küberohtudest;
artikli 2 lõike 1 punktides a–d osutatud finantssektori ettevõtjate poolt pädevate asutuste teavitamist tegevust või turvalisust mõjutavatest maksetega seotud tõsistest intsidentidest;
digitaalse tegevuskerksuse testimist;
küberohte ja -nõrkust puudutava teabe ja teadmuse jagamist;
meetmeid kolmandast isikust tuleneva IKT-riski usaldusväärseks juhtimiseks;
kolmandast isikust IKT-teenuste osutajate ja finantssektori ettevõtjate vahel sõlmitud lepinguid käsitlevad nõuded;
normid järelevaatamisraamistiku loomiseks ja toimimiseks selliste kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate jaoks, kes osutavad teenuseid finantssektori ettevõtjatele;
normid, mis käsitlevad pädevate asutuste koostööd ning pädevate asutuste poolset järelevalvet ja nõuete täitmise tagamist kõigis käesoleva määrusega hõlmatud küsimustes.
Artikkel 2
Kohaldamisala
Ilma et see piiraks lõigete 3 ja 4 kohaldamist, kohaldatakse käesolevat määrust järgmiste üksuste suhtes:
krediidiasutused;
makseasutused, sealhulgas sellised makseasutused, mille suhtes kohaldatakse direktiivi (EL) 2015/2366 kohast erandit;
kontoteabe teenuse pakkujad;
e-raha asutused, sealhulgas sellised e-raha asutused, mille suhtes kohaldatakse direktiivi 2009/110/EÜ kohast erandit;
investeerimisühingud;
krüptovarateenuse osutajad, kes on saanud tegevusloa vastavalt Euroopa Parlamendi ja nõukogu määrusele, mis käsitleb krüptovaraturge ning millega muudetakse määruseid (EL) nr 1093/2010 ja (EL) nr 1095/2010 ja direktiive 2013/36/EL ja (EL) 2019/1937 (edaspidi „krüptovaraturgude määrus“), ja varapõhiste tokenite emitendid;
väärtpaberite keskdepositooriumid;
kesksed vastaspooled;
kauplemiskohad;
kauplemisteabehoidlad;
alternatiivsete investeerimisfondide valitsejad;
fondivalitsejad;
aruandlusteenuste pakkujad;
kindlustus- ja edasikindlustusandjad;
kindlustusvahendajad, edasikindlustusvahendajad ja kõrvaltegevusena pakutava kindlustuse vahendajad;
tööandja kogumispensioni asutused;
reitinguagentuurid;
kriitilise tähtsusega võrdlusaluste haldurid;
ühisrahastusteenuse osutajad;
väärtpaberistamise registrid;
kolmandast isikust IKT-teenuste osutajad.
Käesolevat määrust ei kohaldata järgmiste suhtes:
direktiivi 2011/61/EL artikli 3 lõikes 2 osutatud alternatiivsete investeerimisfondide valitsejad;
direktiivi 2009/138/EÜ artiklis 4 osutatud kindlustus- ja edasikindlustusandjad;
tööandja kogumispensioni asutused, mis haldavad pensioniskeeme, millel ei ole kokku rohkem kui 15 liiget;
füüsilised või juriidilised isikud, kelle suhtes kohaldatakse direktiivi 2014/65/EL artiklite 2 ja 3 kohast erandit;
kindlustusvahendajad, edasikindlustusvahendajad ja kõrvaltegevusena pakutava kindlustuse vahendajad, kes on mikroettevõtjad või väikesed või keskmise suurusega ettevõtjad;
direktiivi 2013/36/EL artikli 2 lõike 5 punktis 3 osutatud postižiiroasutused.
Artikkel 3
Mõisted
Käesolevas määruses kasutatakse järgmisi mõisteid:
„digitaalne tegevuskerksus“ – finantssektori ettevõtja suutlikkus luua, tagada ja vaadata läbi oma tegevuse terviklikkust ja usaldusväärsust, tagades kas otseselt või kaudselt kolmandast isikust IKT-teenuste osutajate pakutavate teenuste kasutamise kaudu kogu IKTga seotud suutlikkuse, mida on vaja selliste võrgu- ja infosüsteemide turvalisuse käsitlemiseks, mida finantssektori ettevõtja kasutab ning mis toetavad finantsteenuste jätkuvat osutamist ja nende kvaliteeti, sealhulgas katkestuste vältel;
„võrgu- ja infosüsteem“ – direktiivi (EL) 2022/2555 artikli 6 punktis 1 määratletud võrgu- ja infosüsteem;
„IKT pärandsüsteem“ – IKT-süsteem, mis on jõudnud oma elutsükli lõppu (ealõpp), mis tehnoloogilistel või ärilistel põhjustel ei sobi uuendusteks või parandusteks või mida selle tarnija või kolmandast isikust IKT-teenuste osutaja enam ei toeta, kuid mis on endiselt kasutusel ja toetab finantssektori ettevõtja funktsioone;
„võrgu- ja infosüsteemide turvalisus“ – direktiivi (EL) 2022/2555 artikli 6 punktis 2 määratletud võrgu- ja infosüsteemide turvalisus;
„IKT-risk“ – mõistlikult tuvastatav asjaolu võrgu- ja infosüsteemide kasutamisel, mis realiseerumise korral võib seada ohtu võrgu- ja infosüsteemide, tehnoloogiast sõltuva vahendi või protsessi, operatsioonide ja protsesside või teenuste osutamise turvalisuse, avaldades negatiivset mõju digitaalsele või füüsilisele keskkonnale;
„teabevara“ – materiaalne või mittemateriaalne teabekogu, mida tasub kaitsta;
„IKT-vara“ – finantssektori ettevõtja kasutatavates võrgu- ja infosüsteemides sisalduva tark- või riistvara komponent;
„IKT intsident“ – finantssektori ettevõtja poolt planeerimata üksiksündmus või omavahel seotud sündmuste jada, mis seab ohtu võrgu- ja infosüsteemide turvalisuse ning mis avaldab negatiivset mõju andmete kättesaadavusele, autentsusele, terviklusele või konfidentsiaalsusele või finantssektori ettevõtja osutatavatele teenustele;
„tegevust või turvalisust mõjutav maksetega seotud intsident“ – artikli 2 lõike 1 punktides a–d osutatud finantssektori ettevõtjate poolt planeerimata üksiksündmus või omavahel seotud sündmuste jada, mis avaldab negatiivset mõju maksete andmete kättesaadavusele, autentsusele, terviklusele või konfidentsiaalsusele või finantssektori ettevõtja osutatud maksetega seotud teenustele, olenemata sellest, kas need sündmused on IKTga seotud;
„tõsine IKT intsident“ – IKT intsident, millel on suur negatiivne mõju võrgu- ja infosüsteemidele, mis toetavad finantssektori ettevõtja kriitilise tähtsusega või olulisi funktsioone;
„tegevust või turvalisust mõjutav maksetega seotud tõsine intsident“ – tegevust või turvalisust mõjutav maksetega seotud intsident, mis avaldab suurt negatiivset mõju osutatud maksetega seotud teenustele;
„küberoht“ –määruse (EL) 2019/881 artikli 2 punktis 8 määratletud küberoht;
„oluline küberoht“ – küberoht, mille tehnilised tunnused näitavad, et selle tulemuseks võib olla tõsine IKT intsident või tegevust või turvalisust mõjutav maksetega seotud tõsine intsident;
„küberrünne“ – IKTga seotud pahatahtlik intsident, mille on põhjustanud ohusubjekti katse hävitada, paljastada, muuta, desaktiveerida või varastada vara, saada varale loata juurdepääs või kasutada vara ilma loata;
„ohuteadmus“ – teave, mida on agregeeritud, teisendatud, analüüsitud, tõlgendatud või rikastatud, et anda otsuste tegemiseks vajalik kontekst ning tagada asjakohane ja piisav arusaamine IKT intsidendi või küberohu mõju leevendamiseks, sealhulgas küberründe tehnilised üksikasjad, ründe eest vastutavad isikud ning nende töömeetodid ja ajendid;
„nõrkus“ – vara, süsteemi, protsessi või kontrolli nõrkus, tundlikkus või viga, mida võidakse ära kasutada;
„ohuteabel põhinev läbistustestimine“ – tingimused, mis matkivad taktikat, võtteid ja menetlusi, mida kasutavad tegelikud ohusubjektid, keda tajutakse tegeliku küberohu tekitajatena, ning mis võimaldavad teha finantssektori ettevõtja kriitilise tähtsusega töötavate tarbesüsteemide kontrollitud, kohandatud, teadmuspõhise (punane tiim) testi;
„kolmandast isikust tulenev IKT-risk“ – IKT-risk, mis võib finantssektori ettevõtjat ohustada, kui ta kasutab kolmandast isikust IKT-teenuste osutajate või nende alltöövõtjate IKT-teenuseid, sealhulgas tegevuse edasiandmise lepingute kaudu;
„kolmandast isikust IKT-teenuste osutaja“ – ettevõtja, kes osutab IKT-teenuseid;
„kontsernisisene IKT-teenuste osutaja“ – finantskontserni kuuluv ettevõtja, kes osutab peamiselt IKT-teenuseid samasse kontserni kuuluvatele finantssektori ettevõtjatele või samasse finantsinstitutsioonide kaitseskeemi kuuluvatele finantssektori ettevõtjatele, sealhulgas nende emaettevõtjatele, tütarettevõtjatele, filiaalidele või muudele üksustele, mis on ühises omandis või ühise kontrolli all;
„IKT-teenused“ – digi- ja andmeteenused, mida osutatakse pidevalt IKT-süsteemide kaudu ühele või mitmele sise- või väliskasutajale, sealhulgas riistvara teenusena ja riistvarateenused, mis hõlmab tehnilise toe pakkumist riistvara pakkuja tarkvara- või püsivarauuenduste kaudu, välja arvatud tavapärased analoogtelefoniteenused;
„kriitilise tähtsusega või oluline funktsioon“ – funktsioon, mille katkestus kahjustaks oluliselt finantssektori ettevõtja finantstulemusi või tema teenuste ja tegevuse usaldusväärsust või jätkuvust, või selle funktsiooni häiritud, vigane või ebaõnnestunud täitmine kahjustaks oluliselt finantssektori ettevõtja tegevusloast tulenevate tingimuste ja kohustuste või tema muude, kohaldatava finantsteenuseid käsitleva õiguse kohaste kohustuste jätkuvat täitmist;
„kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja“ – kolmandast isikust IKT-teenuste osutaja, kes määratakse kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajaks vastavalt artiklile 31;
„kolmandas riigis asutatud kolmandast isikust IKT-teenuste osutaja“ – kolmandast isikust IKT-teenuste osutaja, kes on kolmandas riigis asutatud juriidiline isik, kes on sõlminud finantssektori ettevõtjaga IKT-teenuste osutamiseks lepingu;
„tütarettevõtja“ – tütarettevõtja direktiivi 2013/34/EL artikli 2 punkti 10 ja artikli 22 tähenduses;
„kontsern“ – direktiivi 2013/34/EL artikli 2 punktis 11 määratletud kontsern;
„emaettevõtja“ – emaettevõtja direktiivi 2013/34/EL artikli 2 punkti 9 ja artikli 22 tähenduses;
„kolmandas riigis asutatud IKT alltöövõtja“ – IKT alltöövõtja, kes on kolmandas riigis asutatud juriidiline isik, kes on sõlminud lepingu kolmandast isikust IKT-teenuste osutajaga või kolmandas riigis asutatud kolmandast isikust IKT-teenuste osutajaga;
„IKT kontsentratsioonirisk“ – suhe ühe või mitme seotud kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajaga, mis tekitab nendest teenuseosutajatest teatava sõltuvuse, nii et juhul, kui kõnealused teenuseosutajad ei ole kättesaadavad, muutuvad maksejõuetuks või omavad muid puudusi, võib sattuda ohtu finantssektori ettevõtja suutlikkus täita kriitilise tähtsusega või olulisi funktsioone või tulla toime muud liiki negatiivse mõju, sealhulgas suure kahjuga, või võib sattuda ohtu liidu kui terviku finantsstabiilsus;
„juhtorgan“ – direktiivi 2014/65/EL artikli 4 lõike 1 punktis 36, direktiivi 2013/36/EL artikli 3 lõike 1 punktis 7, Euroopa Parlamendi ja nõukogu direktiivi 2009/65/EÜ ( 1 ) artikli 2 lõike 1 punktis s, määruse (EL) nr 909/2014 artikli 2 lõike 1 punktis 45, määruse (EL) 2016/1011 artikli 3 lõike 1 punktis 20 ning krüptovaraturgude määruse asjakohases sättes määratletud juhtorgan või vastavad isikud, kes tegelikult juhivad üksust või täidavad põhifunktsioone kooskõlas liidu või liikmesriikide asjakohase õigusega;
„krediidiasutus“ – Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013 ( 2 ) artikli 4 lõike 1 punktis 1 määratletud krediidiasutus;
„asutus, mille suhtes kohaldatakse direktiivi 2013/36/EL kohast erandit“ – direktiivi 2013/36/EL artikli 2 lõike 5 punktides 4–23 osutatud üksused;
„investeerimisühing“ – direktiivi 2014/65/EL artikli 4 lõike 1 punktis 1 määratletud investeerimisühing;
„väike ja mitteseotud investeerimisühing“ – investeerimisühing, mis vastab Euroopa Parlamendi ja nõukogu määruse (EL) 2019/2033 ( 3 ) artikli 12 lõikes 1 sätestatud tingimustele;
„makseasutus“ – direktiivi (EL) 2015/2366 artikli 4 punktis 4 määratletud makseasutus;
„makseasutus, mille suhtes kohaldatakse direktiivi (EL) 2015/2366 kohast erandit“ – makseasutus, mille suhtes kohaldatakse direktiivi (EL) 2015/2366 artikli 32 lõike 1 kohast erandit;
„kontoteabe teenuse pakkuja“ – direktiivi (EL) 2015/2366 artikli 33 lõikes 1 osutatud kontoteabe teenuse pakkuja;
„e-raha asutus“ – direktiivi 2009/110/EÜ artikli 2 punktis 1 määratletud e-raha asutus;
„e-raha asutus, mille suhtes kohaldatakse direktiivi 2009/110/EÜ kohast erandit“ – e-raha asutus, mille suhtes kohaldatakse direktiivi 2009/110/EÜ artikli 9 lõike 1 kohast erandit;
„keskne vastaspool“ – määruse (EL) nr 648/2012 artikli 2 punktis 1 määratletud keskne vastaspool;
„kauplemisteabehoidla“ – määruse (EL) nr 648/2012 artikli 2 punktis 2 määratletud kauplemisteabehoidla;
„väärtpaberite keskdepositoorium“ – määruse (EL) nr 909/2014 artikli 2 lõike 1 punktis 1 määratletud väärtpaberite keskdepositoorium;
„kauplemiskoht“ – direktiivi 2014/65/EL artikli 4 lõike 1 punktis 24 määratletud kauplemiskoht;
„alternatiivse investeerimisfondi valitseja“ – direktiivi 2011/61/EL artikli 4 lõike 1 punktis b määratletud alternatiivse investeerimisfondi valitseja;
„fondivalitseja“ – direktiivi 2009/65/EÜ artikli 2 lõike 1 punktis b määratletud fondivalitseja;
„aruandlusteenuse pakkuja“ – aruandlusteenuse pakkuja määruse (EL) nr 600/2014 tähenduses, nagu on osutatud selle artikli 2 lõike 1 punktides 34–36;
„kindlustusandja“ – direktiivi 2009/138/EÜ artikli 13 punktis 1 määratletud kindlustusandja;
„edasikindlustusandja“ – direktiivi 2009/138/EÜ artikli 13 punktis 4 määratletud edasikindlustusandja;
„kindlustusvahendaja“ – Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/97 ( 4 ) artikli 2 lõike 1 punktis 3 määratletud kindlustusvahendaja;
„kõrvaltegevusena pakutava kindlustuse vahendaja“ – direktiivi (EL) 2016/97 artikli 2 lõike 1 punktis 4 määratletud kõrvaltegevusena pakutava kindlustuse vahendaja;
„edasikindlustusvahendaja“ – direktiivi (EL) 2016/97 artikli 2 lõike 1 punktis 5 määratletud edasikindlustusvahendaja;
„tööandja kogumispensioni asutus“ – direktiivi (EL) 2016/2341 artikli 6 punktis 1 määratletud tööandja kogumispensioni asutus;
„väike tööandja kogumispensioni asutus“ – tööandja kogumispensioni asutus, mis haldab pensioniskeeme, millel on kokku vähem kui 100 liiget;
„reitinguagentuur“ – määruse (EÜ) nr 1060/2009 artikli 3 lõike 1 punktis b määratletud reitinguagentuur;
„krüptovarateenuse osutaja“ – krüptovaraturgude määruse asjakohases sättes määratletud krüptovarateenuse osutaja;
„varapõhiste tokenite emitent“ – krüptovaraturgude määruse asjakohases sättes määratletud varapõhiste tokenite emitent;
„kriitilise tähtsusega võrdlusaluse haldur“ – määruse (EL) 2016/1011 artikli 3 lõike 1 punktis 25 määratletud kriitilise tähtsusega võrdlusaluse haldur;
„ühisrahastusteenuse osutaja“ – Euroopa Parlamendi ja nõukogu määruse (EL) 2020/1503 ( 5 ) artikli 2 lõike 1 punktis e määratletud ühisrahastusteenuse osutaja;
„väärtpaberistamise register“ – Euroopa Parlamendi ja nõukogu määruse (EL) 2017/2402 ( 6 ) artikli 2 punktis 23 määratletud väärtpaberistamise register;
„mikroettevõtja“ – finantssektori ettevõtja, kes ei ole kauplemiskoht, keskne vastaspool, kauplemisteabehoidla ega väärtpaberite keskdepositoorium, kus töötab vähem kui 10 inimest ning kelle aastakäive ja/või aastabilansi kogumaht ei ületa 2 miljonit eurot;
„juhtiv järelevaatamisasutus“ – käesoleva määruse artikli 31 lõike 1 punkti b kohaselt määratud Euroopa järelevalveasutus;
„ühiskomitee“ – määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artiklis 54 osutatud komitee;
„väikeettevõtja“ – finantssektori ettevõtja, kus töötab 10 või rohkem inimest, kuid vähem kui 50 inimest ja kelle aastakäive ja/või aastabilansi kogumaht ületab 2 miljonit eurot, kuid ei ületa 10 miljonit eurot;
„keskmise suurusega ettevõtja“ – finantssektori ettevõtja, kes ei ole väikeettevõtja ja kus töötab vähem kui 250 inimest ning kelle aastakäive ei ületa 50 miljonit eurot ja/või aastabilanss ei ületa 43 miljonit eurot;
„avaliku sektori asutus“ – valitsusüksus või muu avaliku halduse üksus, sealhulgas riikide keskpangad.
Artikkel 4
Proportsionaalsuse põhimõte
II PEATÜKK
IKT-riski juhtimine
Artikkel 5
Juhtimine ja organisatsioon
Esimese lõigu kohaldamisel juhtorgan
vastutab lõplikult finantssektori ettevõtja IKT-riski juhtimise eest;
kehtestab põhimõtted, mille eesmärk on tagada igal ajal andmete kättesaadavuse, autentsuse, tervikluse ja konfidentsiaalsuse säilitamise ranged standardid;
määrab kõigi IKTga seotud funktsioonide puhul kindlaks selged rollid ja vastutusvaldkonnad ning kehtestab asjakohase juhtimiskorra, et tagada tõhus ja õigeaegne teabevahetus, koostöö ja koordineerimine nende funktsioonide vahel;
vastutab üldiselt artikli 6 lõikes 8 osutatud digitaalse tegevuskerksuse strateegia kehtestamise ja heakskiitmise eest, sealhulgas IKT-riski puhul finantssektori ettevõtjale sobiva riskitaluvustaseme kindlaksmääramise eest, nagu on osutatud artikli 6 lõike 8 punktis b;
kiidab heaks finantssektori ettevõtja IKT talitluspidevuse põhimõtted ja IKT reageerimis- ja taastekavad, millele on osutatud vastavalt artikli 11 lõigetes 1 ja 3 ja mille võib vastu võtta eriomase korrana, mis on finantssektori ettevõtja üldiste talitluspidevuse põhimõtete ja reageerimis- ja taastekava lahutamatu osa, korraldab nende üle järelevaatamist ja vaatab nende rakendamise perioodiliselt läbi;
kiidab heaks ja vaatab perioodiliselt läbi finantssektori ettevõtja IKT siseauditikavad, IKT auditid ja nende olulised muudatused;
näeb ette ja vaatab perioodiliselt läbi sobiva eelarve finantssektori ettevõtja digitaalse tegevuskerksuse vajaduste rahuldamiseks, pidades silmas igat liiki ressursse, sealhulgas artikli 13 lõikes 6 osutatud asjakohased IKT-turbe teadlikkuse suurendamise programmid ja digitaalse tegevuskerksuse koolitused ning kõigi töötajate IKT-oskused;
kiidab heaks ja vaatab perioodiliselt läbi finantssektori ettevõtja põhimõtted kokkulepete kohta, mis käsitlevad kolmandast isikust IKT-teenuste osutajate osutatavate IKT-teenuste kasutamist;
loob organisatsiooni tasandil aruandluskanalid, et olla kõigiti teavitatud järgmisest:
kolmandast isikust IKT-teenuste osutajatega sõlmitud kokkulepped, mis käsitlevad IKT-teenuste kasutamist;
kõik asjakohased kavandatud olulised muudatused, mis on seotud kolmandast isikust IKT-teenuste osutajatega;
kõnealuste muudatuste võimalik mõju kriitilise tähtsusega või olulistele funktsioonidele, mille suhtes kohaldatakse kõnealuseid kokkuleppeid, sealhulgas riskianalüüside kokkuvõte, et hinnata nende muudatuste mõju, ning vähemalt tõsised IKT intsidendid ja nende mõju ning reageerimis-, taaste- ja parandusmeetmed.
Artikkel 6
IKT-riski juhtimise raamistik
IKT-riski juhtimise raamistik sisaldab digitaalse tegevuskerksuse strateegiat, milles on kindlaks määratud, kuidas raamistikku rakendatakse. Selleks sisaldab digitaalse tegevuskerksuse strateegia meetodeid IKT-riski käsitlemiseks ja konkreetsete IKT eesmärkide saavutamiseks,
selgitades, kuidas toetab IKT-riski juhtimise raamistik finantssektori ettevõtja äristrateegiat ja eesmärke;
määrates kooskõlas finantssektori ettevõtja riskivalmidusega kindlaks IKT-riski taluvuse taseme ning analüüsides IKT-katkestuste mõju taluvust;
seades selged infoturbe-eesmärgid, sealhulgas peamised tulemusnäitajad ja peamised riskinäitajad;
selgitades IKT etalonarhitektuuri ja konkreetsete ärieesmärkide saavutamiseks vajalikke muudatusi;
koostades ülevaate mitmesugustest mehhanismidest, mis on võetud kasutusele IKT intsidentide avastamiseks, nende mõju ennetamiseks ja selle eest kaitsmiseks;
näidates digitaalse tegevuskerksuse praegust olukorda, võttes aluseks teatatud tõsiste IKT intsidentide arvu ja ennetusmeetmete tulemuslikkuse;
tehes digitaalse tegevuskerksuse teste kooskõlas käesoleva määruse IV peatükiga;
koostades kommunikatsioonistrateegia selliste IKT intsidentide jaoks, mis tuleb artikli 14 kohaselt avalikustada.
Artikkel 7
IKT-süsteemid, -protokollid ja -vahendid
Selleks et käsitleda ja juhtida IKT-riski, kasutavad ja hoiavad finantssektori ettevõtjad ajakohasena IKT-süsteeme, -protokolle ja -vahendeid, mis:
vastavad nende tegevuse elluviimist toetavate operatsioonide ulatusele kooskõlas artiklis 4 osutatud proportsionaalsuse põhimõttega;
on usaldusväärsed;
on piisavalt võimsad, et töödelda täpselt andmeid, mida on vaja tegevuse elluviimiseks ja teenuste õigeaegseks osutamiseks ning tellimuste, sõnumite või tehingumahtude tipptasemega toimetulekuks vastavalt vajadusele, muu hulgas uue tehnoloogia kasutuselevõtu korral;
on tehnoloogiliselt kerksad, et tulla asjakohaselt toime täiendava teabe töötlemise vajadustega vastavalt sellele, mida on vaja halvenenud turutingimuste korral või muus ebasoodsas olukorras.
Artikkel 8
Kindlaksmääramine
Artikkel 9
Kaitse ja ennetus
Lõikes 2 osutatud eesmärkide saavutamiseks kasutavad finantssektori ettevõtjad IKT-lahendusi ja -protsesse, mis on vastavalt artiklile 4 asjakohased. Need IKT-lahendused ja -protsessid:
tagavad andmeedastusvahendite turvalisuse;
minimeerivad andmelaostuse või -kao riski, loata juurdepääsu võimaluse ja tehnilised puudused, mis võivad takistada äritegevust;
hoiavad ära kättesaadavuse puudumise, autentsuse ja tervikluse kahjustamise, konfidentsiaalsusnõuete rikkumise ja andmekao;
tagavad, et andmed on kaitstud andmehaldusest tulenevate riskide, sealhulgas halva haldamise, töötlemisega seotud riskide ja inimlike eksimuste eest.
Finantssektori ettevõtjad teevad artikli 6 lõikes 1 osutatud IKT-riski juhtimise raamistiku osana järgmist:
töötavad välja ja dokumenteerivad infoturbe korra, milles määratakse kindlaks reeglid andmete, teabevarade ja IKT-varade (sealhulgas asjakohasel juhul nende klientide andmete, teabevarade ja IKT-varade) kättesaadavuse, autentsuse, tervikluse ja konfidentsiaalsuse kaitsmiseks;
kasutavad riskipõhist käsitust, loovad usaldusväärse võrgu- ja taristuhalduse struktuuri, kasutades sobivaid võtteid, meetodeid ja protokolle, mis võivad hõlmata automatiseeritud mehhanismide rakendamist, et isoleerida küberrünnete korral nendest mõjutatud teabevarad;
rakendavad põhimõtteid, mille kohaselt antakse füüsiline või loogiline juurdepääs teabevaradele ja IKT-varadele ainult siis, kui seda on vaja õiguspäraste ja heakskiidetud funktsioonide ja toimingute jaoks, ning kehtestavad sel eesmärgil põhimõtted, menetlused ja kontrollid, mis käsitlevad pääsuõigusi ja tagavad nende usaldusväärse juhtimise;
rakendavad põhimõtteid ja protokolle tugeva autentimismehhanismi jaoks, lähtudes asjakohastest standarditest ja spetsiaalsetest kontrollisüsteemidest ning krüptovõtmete kaitsmise meetmetest, mille puhul andmed krüptitakse heakskiidetud andmete liigitamise tulemuste ja IKT-riski hindamise protsesside põhjal;
rakendavad IKT-muudatuste (sealhulgas tark-, riist- ja püsivara komponentide muudatused, süsteemi- või turvaparameetrid) juhtimise valdkonnas dokumenteeritud põhimõtteid, menetlusi ja kontrolle, mis põhinevad riskihindamisel ja on lahutamatu osa finantssektori ettevõtja üldisest muudatuste juhtimise protsessist, eesmärgiga tagada, et kõik IKT-süsteemide muudatused on kontrollitud viisil registreeritud, testitud, hinnatud, heakskiidetud, rakendatud ja kinnitatud;
omavad sobivaid ja laiahaardelisi dokumenteeritud põhimõtteid paikade ja uuenduste jaoks.
Esimese lõigu punkti b kohaldamisel kujundavad finantssektori ettevõtjad võrguühenduste taristu viisil, mis võimaldab need silmapilkselt katkestada või segmentida, et minimeerida ja takistada ülekandumist, eelkõige omavahel seotud finantsprotsesside puhul.
Esimese lõigu punkti e kohaldamisel kiidavad asjaomased juhtimisliinid IKT-muudatuste juhtimise protsessi heaks ja on olemas konkreetsed protokollid.
Artikkel 10
Avastamine
Kõiki esimeses lõigus osutatud avastamismehhanisme testitakse korrapäraselt kooskõlas artikliga 25.
Artikkel 11
Reageerimine ja taastamine
Finantssektori ettevõtjad rakendavad IKT talitluspidevuse põhimõtteid, kasutades spetsiaalseid, asjakohaseid ja dokumenteeritud kokkuleppeid, kavasid, menetlusi ja mehhanisme, mille eesmärk on
tagada finantssektori ettevõtja kriitilise tähtsusega või oluliste funktsioonide jätkumine;
reageerida kõigile IKT intsidentidele ja lahendada need kiiresti, asjakohaselt ja tulemuslikult viisil, mis piirab kahju ning prioriseerib tegevuse jätkamist ja taastemeetmeid;
aktiveerida viivitamata spetsiaalsed kavad, et võimaldada piiramismeetmeid, -protsesse ja -tehnoloogiaid, mis vastavad igale IKT intsidendi liigile ning hoiavad ära suurema kahju, samuti kohandatud reageerimis- ja taastamismenetlused, mis on kehtestatud kooskõlas artikliga 12;
hinnata esialgset mõju, kahjustust ja kahju;
näha ette kommunikatsiooni- ja kriisijuhtimismeetmed, millega tagatakse, et ajakohastatud teave edastatakse kooskõlas artikliga 14 kõigile asjaomastele asutusesisestele töötajatele ja välistele sidusrühmadele, ning anda kooskõlas artikliga 19 aru pädevatele asutustele.
Finantssektori ettevõtjad teevad oma laiahaardelise IKT-riski juhtimise raames järgmist:
testivad kõiki funktsioone toetavate IKT-süsteemide IKT talitluspidevuse kavasid ning IKT reageerimis- ja taastekavasid vähemalt kord aastas ja kriitilise tähtsusega või olulisi funktsioone toetavate IKT-süsteemide oluliste muudatuste korral;
testivad kooskõlas artikliga 14 koostatud kriisikommunikatsioonikavasid.
Esimese lõigu punkti a kohaldamisel lisavad finantssektori ettevõtjad, kes ei ole mikroettevõtjad, testimiskavadesse stsenaariumid, mis käsitlevad küberründeid ja esmase IKT-taristu ja varuvõimsuse vahelist ümberlülitust, varundamist ja varurajatisi, mida on vaja artiklis 12 sätestatud kohustuste täitmiseks.
Finantssektori ettevõtjad vaatavad oma IKT talitluspidevuse põhimõtted ning IKT reageerimis- ja taastekavad korrapäraselt läbi, võttes arvesse kooskõlas esimese lõiguga tehtud testide tulemusi ja soovitusi, mis tulenevad auditikontrollidest või järelevalvest.
Artikkel 12
Varunduspõhimõtted ja -menetlused, ennistamise ja taastamise menetlused ja meetodid
Selleks et tagada IKT-süsteemide ja andmete ennistamine minimaalse seisuaja, piiratud katkestuse ja kaoga, töötab finantssektori ettevõtja IKT-riski juhtimise raamistiku osana välja ja dokumenteerib
varunduspõhimõtted ja -menetlused, milles täpsustatakse varundatavate andmete maht ja minimaalne varundamissagedus, lähtudes teabe kriitilisest tähtsusest või andmete konfidentsiaalsuse tasemest;
ennistamise ja taastamise menetlused ja meetodid.
Kesksete vastaspoolte puhul võimaldavad sellised kavad taastada katkestuse ajal kõik tehingud, et keskne vastaspool saaks oma tegevust kindlalt jätkata ja viia arveldamine lõpule kavandatud kuupäeval.
Aruandlusteenuse pakkujatel on lisaks piisavad vahendid ning varu- ja ennistamisseadmed, mis võimaldavad neil igal ajal oma teenuseid pakkuda ja nende osutamist jätkata.
Varutöötluskoht:
asub peamisest töötluskohast geograafiliselt eemal, et tagada nende erinev riskiprofiil ja vältida, et varutöötluskohta kahjustab peamisele töötluskohale mõju avaldanud sündmus;
suudab sarnaselt peamise töötluskohaga tagada kriitilise tähtsusega või oluliste funktsioonide järjepidevuse või sellise teenuste taseme, mida on vaja, et finantssektori ettevõtja täidaks oma kriitilise tähtsusega funktsioone vastavalt taaste-eesmärkidele;
on finantssektori ettevõtja töötajatele kohe ligipääsetav, et tagada kriitilise tähtsusega või oluliste funktsioonide jätkumine juhul, kui peamist töötluskohta ei saa enam kasutada.
Artikkel 13
Õppimine ja areng
Finantssektori ettevõtjad, kes ei ole mikroettevõtjad, teavitavad taotluse korral pädevaid asutusi muudatustest, mis tehti pärast esimeses lõigus osutatud IKT intsidentide järgseid kontrolle.
Esimeses lõigus osutatud IKT intsidentide järgse kontrolli käigus tehakse kindlaks, kas järgiti kehtestatud korda ja kas võetud meetmed olid tulemuslikud, sealhulgas seoses järgmisega:
turvahoiatustele reageerimise ning IKT intsidentide mõju ja nende tõsiduse kindlakstegemise kiirus;
kriminalistika-analüüsi (kui seda peetakse asjakohaseks) kvaliteet ja kiirus;
intsidendi eskaleerimise tulemuslikkus finantssektori ettevõtjas;
sise- ja välissuhtluse tulemuslikkus.
Artikkel 14
Kommunikatsioon
Artikkel 15
IKT-riski juhtimise vahendite, meetodite, protsesside ja põhimõtete edasine ühtlustamine
Euroopa järelevalveasutused töötavad ühiskomitee kaudu ja Euroopa Liidu Küberturvalisuse Ametiga (ENISA) konsulteerides välja ühiste regulatiivsete tehniliste standardite eelnõud, et:
täpsustada artikli 9 lõikes 2 osutatud IKT turvalisuse põhimõtetesse, menetlustesse, protokollidesse ja vahenditesse lisatavaid elemente, et tagada võrkude turvalisus, võimaldada piisavaid kaitsemeetmeid sissetungide ja andmete väärkasutamise vastu, säilitada andmete kättesaadavus, autentsus, terviklus ja konfidentsiaalsus, sealhulgas krüptomeetodeid kasutades, ning tagada andmete täpne ja kiire ning ilma suuremate häirete ja põhjendamatute viivitusteta ülekandmine;
töötada välja artikli 9 lõike 4 punktis c osutatud pääsuhalduse õiguste kontrolli täiendavad komponendid ja nendega seotud personalipoliitika, milles määratakse kindlaks pääsuõigused, õiguste andmise ja tühistamise menetlused, IKT-riskiga seotud anomaalse käitumise seire asjakohaste näitajate alusel, sealhulgas võrgu kasutamise mustrite, tundide, IT-tegevuse ja tundmatute seadmete alusel;
arendada edasi artikli 10 lõikes 1 sätestatud mehhanisme, mis võimaldavad kõrvalekaldeid kiiresti avastada, ning artikli 10 lõikes 2 sätestatud kriteeriume, mis käivitavad IKT intsidentide tuvastamise ja neile reageerimise protsessid;
täpsustada artikli 11 lõikes 1 osutatud IKT talitluspidevuse põhimõtete komponente;
täpsustada artikli 11 lõikes 6 osutatud IKT talitluspidevuse kavade testimist tagamaks, et sellisel testimisel võetakse igakülgselt arvesse stsenaariume, mille korral kriitilise tähtsusega või olulise funktsiooni täitmise kvaliteet halveneb vastuvõetamatu tasemeni või funktsiooni täitmine ebaõnnestub, ning võetakse igakülgselt arvesse asjaomase kolmandast isikust IKT-teenuse osutaja maksejõuetuse või muude tõrgete võimalikku mõju ja poliitilisi riske (kui neid on) vastavate teenuseosutajate jurisdiktsioonides;
täpsustada artikli 11 lõikes 3 osutatud IKT reageerimis- ja taastekavade komponente;
täpsustada artikli 6 lõikes 5 osutatud IKT-riski juhtimise raamistiku läbivaatamist käsitleva aruande sisu ja vormi.
Kõnealuste regulatiivsete tehniliste standardite eelnõude väljatöötamisel võtavad Euroopa järelevalveasutused arvesse finantssektori ettevõtja suurust ja üldist riskiprofiili ning tema teenuste, tegevuse ja toimingute laadi, ulatust ja keerukust, võttes igati arvesse spetsiifilisi omadusi, mis tulenevad eri finantsteenuste sektorite tegevuse eripärast.
Euroopa järelevalveasutused esitavad kõnealused regulatiivsete tehniliste standardite eelnõud komisjonile hiljemalt 17. jaanuariks 2024.
Komisjonile antakse õigus käesolevat määrust täiendada, võttes vastu esimeses lõigus osutatud regulatiivsed tehnilised standardid kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artiklitega 10–14.
Artikkel 16
Lihtsustatud IKT-riski juhtimise raamistik
Ilma et see piiraks esimest lõiku teevad selles nimetatud üksused järgmist:
kehtestavad usaldusväärse ja dokumenteeritud IKT-riski juhtimise raamistiku, milles kirjeldatakse üksikasjalikult mehhanisme ja meetmeid, mille eesmärk on IKT-riski kiire, tõhus ja terviklik juhtimine, muu hulgas asjakohaste füüsiliste komponentide ja taristute kaitseks, ning hoiavad seda jõus;
seiravad pidevalt kõigi IKT-süsteemide turvalisust ja toimimist;
minimeerivad IKT-riski mõju, kasutades selleks usaldusväärseid, vastupidavaid ja ajakohastatud IKT-süsteeme, -protokolle ja -vahendeid, mis on nende tegevuse ja teenuste osutamise toetamiseks asjakohased ning mis kaitsevad piisavalt võrgu- ja infosüsteemides olevate andmete kättesaadavust, autentsust, terviklust ja konfidentsiaalsust;
võimaldavad võrgu- ja infosüsteemide IKT-riski ja -anomaaliate allikate kiiret tuvastamist ja avastamist ning IKT intsidentide kiiret käsitlemist;
teevad kindlaks peamise sõltuvuse kolmandast isikust IKT-teenuste osutajatest;
tagavad kriitilise tähtsusega või oluliste funktsioonide järjepidevuse, kasutades selleks talitluspidevuse kavasid ning reageerimis- ja taastemeetmeid, mis sisaldavad vähemalt varundus- ja ennistamismeetmeid;
testivad korrapäraselt punktis f osutatud kavasid ja meetmeid ning punktide a ja c kohaselt rakendatud kontrollide tulemuslikkust;
rakendavad punktis g osutatud testidest ja intsidendijärgsest analüüsist tulenevaid asjakohaseid tegevusjäreldusi kohasel määral IKT-riski hindamise protsessis ning kavandavad vajadustest ja IKT-riski profiilist lähtuvalt töötajatele ja juhtkonnale suunatud IKT-turbe teadlikkuse suurendamise programme ning digitaalse tegevuskerksuse koolitust.
Euroopa järelevalveasutused töötavad ühiskomitee kaudu ja ENISAga konsulteerides välja ühiste regulatiivsete tehniliste standardite eelnõud, et:
täpsustada lõike 1 teise lõigu punktis a osutatud IKT-riski juhtimise raamistikku lisatavaid elemente;
täpsustada elemente seoses lõike 1 teise lõigu punktis c osutatud IKT-riski mõju minimeerimise süsteemide, protokollide ja vahenditega, et tagada võrkude turvalisus, võimaldada piisavaid kaitsemeetmeid sissetungide ja andmete väärkasutamise vastu ning säilitada andmete kättesaadavus, autentsus, terviklus ja konfidentsiaalsus;
täpsustada lõike 1 teise lõigu punktis f osutatud IKT talitluspidevuse kavade komponente;
täpsustada talitluspidevuse kavade testimise reegleid ja tagada lõike 1 teise lõigu punktis g osutatud kontrollide tulemuslikkus ning tagada, et sellisel testimisel võetakse igakülgselt arvesse stsenaariume, mille korral kriitilise tähtsusega või olulise funktsiooni täitmise kvaliteet halveneb vastuvõetamatu tasemeni või funktsiooni täitmine ebaõnnestub;
täpsustada lõikes 2 osutatud IKT-riski juhtimise raamistiku läbivaatamist käsitleva aruande sisu ja vormi.
Kõnealuste regulatiivsete tehniliste standardite eelnõude väljatöötamisel võtavad Euroopa järelevalveasutused arvesse finantssektori ettevõtja suurust ja üldist riskiprofiili ning tema teenuste, tegevuse ja toimingute laadi, ulatust ja keerukust.
Euroopa järelevalveasutused esitavad kõnealused regulatiivsete tehniliste standardite eelnõud komisjonile hiljemalt 17. jaanuariks 2024.
Komisjonile antakse õigus käesolevat määrust täiendada, võttes vastu esimeses lõigus osutatud regulatiivsed tehnilised standardid kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artiklitega 10–14.
III PEATÜKK
IKT intsidentide haldamine ja liigitamine ning nendest teavitamine
Artikkel 17
IKT intsidentide haldamise protsess
Lõikes 1 osutatud IKT intsidentide haldamise protsess hõlmab järgmist:
varajase hoiatamise näitajate kehtestamine;
menetluste kehtestamine IKT intsidentide tuvastamiseks, jälgimiseks, logimiseks, kategoriseerimiseks ja liigitamiseks vastavalt nende prioriteetsusele ja tõsidusele ning mõjutatud teenuste kriitilisele tähtsusele kooskõlas artikli 18 lõikes 1 sätestatud kriteeriumidega;
selliste rollide ja ülesannete määramine, mis tuleb aktiveerida eri liiki IKT intsidentide ja stsenaariumide puhul;
kavade koostamine artikli 14 kohaseks töötajate, väliste sidusrühmade ja meedia teavitamiseks ning klientide teavitamiseks sellise asutusesisese intsidentidest teavitamise korra kehtestamine, mis hõlmab IKTga seotud klientide kaebusi, ning kohasel viisil teabe andmiseks vastaspooltena tegutsevatele finantssektori ettevõtjatele;
selle tagamine, et vähemalt tõsistest IKT intsidentidest teavitatakse asjaomast kõrgemat juhtkonda, ning vähemalt tõsistest IKT intsidentidest teatatakse juhtorganile, selgitades selliste tõsiste IKT intsidentide mõju, neile reageerimist ja nende tõttu kehtestatud lisakontrolle;
IKT intsidentidele reageerimise menetluste kehtestamine, et leevendada mõju ja tagada teenuste õigeaegne taastamine ja turvalisus.
Artikkel 18
IKT intsidentide ja küberohtude liigitamine
Finantssektori ettevõtjad liigitavad IKT intsidendid ja määravad nende mõju kindlaks järgmiste kriteeriumide alusel:
IKT intsidendist mõjutatud klientide või finantssektori vastaspoolte arv ja/või olulisus ning, kui see on asjakohane, mõjutatud tehingute kogus või arv ning see, kas IKT intsident on kahjustanud mainet;
IKT intsidendi kestus, sealhulgas teenuse seisaku aeg;
IKT intsidendist mõjutatud geograafilised piirkonnad, eriti kui see mõjutab rohkem kui kahte liikmesriiki;
IKT intsidendiga kaasnev andmekadu seoses andmete kättesaadavuse, autentsuse, tervikluse või konfidentsiaalsusega;
mõjutatud teenuste, sealhulgas finantssektori ettevõtja tehingute ja toimingute kriitiline tähtsus;
IKT intsidendi nii absoluutne kui ka suhteline majanduslik mõju, eeskätt otsene ja kaudne kulu ja kahju.
Euroopa järelevalveasutused töötavad ühiskomitee kaudu ning EKP ja ENISAga konsulteerides välja ühiste regulatiivsete tehniliste standardite eelnõud, milles täpsustatakse järgmist:
lõikes 1 sätestatud kriteeriumid, sealhulgas olulisuse läved selliste tõsiste IKT intsidentide või, kui see on asjakohane, selliste oluliste tegevust või turvalisust mõjutavate maksetega seotud intsidentide kindlaksmääramiseks, mille suhtes kohaldatakse artikli 19 lõikes 1 sätestatud teavitamiskohustust;
kriteeriumid, mida pädevad asutused peavad kohaldama, et hinnata tõsiste IKT intsidentide või, kui see on asjakohane, tegevust või turvalisust mõjutavate maksetega seotud intsidentide olulisust teiste liikmesriikide pädevate asutuste jaoks, ning tõsistest IKT intsidentidest või, kui see on asjakohane, tegevust või turvalisust mõjutavate maksetega seotud intsidentidest teavitamise raportite üksikasjad, mida jagatakse teiste pädevate asutustega vastavalt artikli 19 lõigetele 6 ja 7;
käesoleva artikli lõikes 2 sätestatud kriteeriumid, sealhulgas kõrged olulisuse läved oluliste küberohtude kindlaksmääramiseks.
Euroopa järelevalveasutused esitavad kõnealused ühiste regulatiivsete tehniliste standardite eelnõud komisjonile hiljemalt 17. jaanuariks 2024.
Komisjonile antakse õigus käesolevat määrust täiendada, võttes vastu lõikes 3 osutatud regulatiivsed tehnilised standardid kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artiklitega 10–14.
Artikkel 19
Tõsistest IKT intsidentidest teavitamine ja vabatahtlik teavitamine olulistest küberohtudest
Kui finantssektori ettevõtja üle teevad järelevalvet mitu artiklis 46 osutatud riiklikku pädevat asutust, määravad liikmesriigid ühe pädeva asutuse selliseks asjaomaseks pädevaks asutuseks, kes vastutab käesolevas artiklis sätestatud ülesannete ja kohustuste täitmise eest.
Määruse (EL) nr 1024/2013 artikli 6 lõike 4 kohaselt oluliseks liigitatud krediidiasutused teavitavad tõsistest IKT intsidentidest direktiivi 2013/36/EL artikli 4 kohaselt määratud asjaomasele riiklikule pädevale asutusele, kes edastab selle raporti viivitamata EKP-le.
Esimese lõigu kohaldamisel koostavad finantssektori ettevõtjad pärast kogu asjakohase teabe kogumist ja analüüsimist esialgse teate ja raportid, millele on osutatud käesoleva artikli lõikes 4, kasutades artiklis 20 osutatud vorme, ning esitavad need pädevale asutusele. Kui on tehniliselt võimatu esitada esialgne teade asjakohast vormi kasutades, teatavad finantssektori ettevõtjad sellest pädevale asutusele muul viisil.
Esialgne teade ja raportid, millele on osutatud lõikes 4, sisaldavad kogu teavet, mida pädev asutus vajab, et teha kindlaks tõsise IKT intsidendi tähtsus ja hinnata võimalikku piiriülest mõju.
Ilma et see piiraks finantssektori ettevõtja poolset esimese lõigu kohast asjaomase pädeva asutuse teavitamist, võivad liikmesriigid lisaks otsustada, et mõned või kõik finantssektori ettevõtjad esitavad pädevale asutusele või küberturbe intsidentide lahendamise üksustele, mis on määratud või loodud direktiivi (EL) 2022/2555 kohaselt, ka esialgse teate ja kõik raportid, millele on osutatud käesoleva artikli lõikes 4, kasutades artiklis 20 osutatud vorme.
Määruse (EL) nr 1024/2013 artikli 6 lõike 4 kohaselt oluliseks liigitatud krediidiasutused võivad vabatahtlikult teatada olulistest küberohtudest direktiivi 2013/36/EL artikli 4 kohaselt määratud asjaomasele riiklikule pädevale asutusele, kes edastab teate viivitamata EKP-le.
Liikmesriigid võivad otsustada, et need finantssektori ettevõtjad, kes teatavad vabatahtlikult esimese lõigu kohaselt, võivad kõnealuse teate edastada ka direktiivi (EL) 2022/2555 kohaselt määratud või loodud küberturbe intsidentide lahendamise üksustele.
Olulise küberohu korral teavitavad finantssektori ettevõtjad kohasel juhul oma kliente, keda see võib mõjutada, kõigist asjakohastest kaitsemeetmetest, mille võtmist viimased võivad kaaluda.
Finantssektori ettevõtjad esitavad asjaomasele pädevale asutusele artikli 20 esimese lõigu punkti a alapunkti ii kohaselt kehtestatavateks tähtaegadeks järgmise teabe:
esialgse teate;
vaheraporti pärast punktis a osutatud esialgset teadet niipea, kui algse intsidendi staatus on oluliselt muutunud või tõsise IKT intsidendi käsitlemine on uue kättesaadava teabe põhjal muutunud, mille järel saadetakse kohasel viisil ajakohastatud teated iga kord, kui on uut teavet, samuti pädeva asutuse konkreetse taotluse korral;
lõppraporti, kui algpõhjuste analüüs on lõpule viidud, olenemata sellest, kas leevendusmeetmeid on juba rakendatud või mitte, ja kui hinnangud saab asendada tegelike mõjunäitajatega.
Pärast esialgse teate ja iga lõikes 4 osutatud raporti kättesaamist esitab pädev asutus aegsasti tõsise IKT intsidendi üksikasjad järgmistele adressaatidele, lähtudes nende vastavast pädevusest:
EBA-le, ESMA-le või EIOPA-le;
EKP-le artikli 2 lõike 1 punktides a, b ja d osutatud finantssektori ettevõtjate puhul;
riiklikele pädevatele asutustele, ühtsele kontaktpunktile või küberturbe intsidentide lahendamise üksustele, mis on määratud või loodud direktiivi (EL) 2022/2555 kohaselt;
direktiivi 2014/59/EL artiklis 3 osutatud kriisilahendusasutustele ja Ühtsele Kriisilahendusnõukogule seoses Euroopa Parlamendi ja nõukogu määruse (EL) nr 806/2014 ( 7 ) artikli 7 lõikes 2 osutatud üksustega ning määruse (EL) nr 806/2014 artikli 7 lõike 4 punktis b ja lõikes 5 osutatud üksuste ja kontsernidega, kui sellised üksikasjad on seotud intsidentidega, mis kujutavad endast ohtu kriitiliste funktsioonide tagamisele direktiivi 2014/59/EL artikli 2 lõike 1 punkti 35 tähenduses, ning
muudele liikmesriigi õiguse kohastele avaliku sektori asutustele.
Artikkel 20
Teavitamise sisu ja vormide ühtlustamine
Euroopa järelevalveasutused töötavad ühiskomitee kaudu ENISA ja EKPga konsulteerides välja
ühiste regulatiivsete tehniliste standardite eelnõud, et:
määrata kindlaks tõsiseid IKT intsidente käsitlevate raportite sisu, et kajastada artikli 18 lõikes 1 sätestatud kriteeriume ja lisada täiendavaid elemente, näiteks üksikasju, mis võimaldavad kindlaks teha, kas teavitamine on teiste liikmesriikide jaoks oluline ja kas see kujutab endast tegevust või turvalisust mõjutavate maksetega seotud tõsist intsidenti või mitte;
määrata kindlaks esialgse teate ja kõigi artikli 19 lõikes 4 osutatud raportite esitamise tähtajad;
kehtestada olulisi küberohtusid käsitleva teate sisu.
Kõnealuste regulatiivsete tehniliste standardite eelnõude väljatöötamisel võtavad Euroopa järelevalveasutused arvesse finantssektori ettevõtja suurust ja üldist riskiprofiili ning tema teenuste, tegevuse ja toimingute laadi, ulatust ja keerukust ning seda, et eelkõige käesoleva lõigu punkti a alapunkti ii kohaldamise tagamiseks võivad erinevad tähtajad kajastada kohasel määral finantssektori eripära, ilma et see mõjutaks järjepideva lähenemisviisi säilitamist käesoleva määruse ja direktiivi (EL) 2022/2555 kohaselt IKT intsidentidest teavitamise suhtes. Kui Euroopa järelevalveasutused kalduvad kõrvale kõnealuse direktiivi kontekstis võetud lähenemisviisidest, esitavad nad põhjenduse, kui see on asjakohane;
ühiste rakenduslike tehniliste standardite eelnõud, et kehtestada standardvormid, mallid ja menetlused, mida finantssektori ettevõtjad kasutavad tõsisest IKT intsidendist teavitamiseks ning olulisest küberohust teatamiseks.
Euroopa järelevalveasutused esitavad esimese lõigu punktis a osutatud ühiste regulatiivsete tehniliste standardite eelnõud ja esimese lõigu punktis b osutatud ühiste rakenduslike tehniliste standardite eelnõud komisjonile hiljemalt 17. juuliks 2024.
Komisjonile antakse õigus käesolevat määrust täiendada, võttes vastu esimese lõigu punktis a osutatud ühised regulatiivsed tehnilised standardid kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artiklitega 10–14.
Komisjonile antakse õigus võtta vastu esimese lõigu punktis b osutatud ühised rakenduslikud tehnilised standardid kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artikliga 15.
Artikkel 21
Tõsistest IKT intsidentidest teavitamise tsentraliseerimine
Lõikes 1 osutatud ühisaruandes käsitletakse vähemalt järgmisi teemasid:
ühise ELi keskuse loomise eeltingimused;
kasu, takistused ja riskid, sealhulgas tundliku teabe suure kontsentratsiooniga seotud riskid;
koostalitlusvõime tagamiseks vajalik suutlikkus seoses muude asjakohaste teavitamissüsteemidega;
tegevuse juhtimise elemendid;
liikmesuse tingimused;
tehniline kord, sealhulgas finantssektori ettevõtjate ja riiklike pädevate asutuste ühisele ELi keskusele juurdepääsu üksikasjad;
selliste finantskulude esialgne hinnang, mis kaasnevad ühist ELi keskust toetava tegevusplatvormi loomisega (sealhulgas nõutavad eksperditeadmised).
Artikkel 22
Järelevalveasutuste tagasiside
Euroopa järelevalveasutused annavad hoiatusi ja koostavad kvaliteetset statistikat, et toetada IKT-ohtude ja nõrkuse hindamist.
Artikkel 23
Krediidiasutuste, makseasutuste, kontoteabe teenuse pakkujate ja e-raha asutuste tegevust või turvalisust mõjutavate maksetega seotud intsidendid
Käesolevas peatükis sätestatud nõudeid kohaldatakse ka tegevust või turvalisust mõjutavate maksetega seotud intsidentide ning tegevust või turvalisust mõjutavate maksetega seotud tõsiste intsidentide suhtes, kui need puudutavad krediidiasutusi, makseasutusi, kontoteabe teenuse pakkujaid ning e-raha asutusi.
IV PEATÜKK
Digitaalse tegevuskerksuse testimine
Artikkel 24
Digitaalse tegevuskerksuse testimise üldnõuded
Artikkel 25
IKT-vahendite ja -süsteemide testimine
Artikkel 26
IKT-vahendite, -süsteemide ja -protsesside süvatestimine, mis tugineb ohuteabel põhinevale läbistustestimisele
Finantssektori ettevõtjad teevad kindlaks kõik asjassepuutuvad IKT-süsteemid, -protsessid ja -tehnoloogiad, mis toetavad kriitilise tähtsusega või olulisi funktsioone ja IKT-teenuseid, sealhulgas sellised, mis toetavad kriitilise tähtsusega või olulisi funktsioone, mis on edasi antud kolmandast isikust IKT-teenuste osutajatele või nendelt alltöövõtulepingu alusel ostetud.
Finantssektori ettevõtjad hindavad, milliseid kriitilise tähtsusega või olulisi funktsioone tuleb ohuteabel põhineva läbistustestimisega hõlmata. Selle hindamise tulemusega määratakse kindlaks ohuteabel põhineva läbistustestimise täpne kohaldamisala ja pädevad asutused kinnitavad selle.
Ühine testimine hõlmab asjakohast hulka IKT-teenuseid, mis toetavad finantssektori ettevõtjate poolt asjaomaselt kolmandast isikust IKT-teenuste osutajalt lepingu alusel ostetud kriitilise tähtsusega või olulisi funktsioone. Ühist testimist käsitatakse ohuteabel põhineva läbistustestimisena, mille teevad ühises testimises osalevad finantssektori ettevõtjad.
Ühistes testimistes osalevate finantssektori ettevõtjate arvu kohandatakse sobivalt, võttes arvesse asjaomaste teenuste keerukust ja liike.
Ilma et see piiraks sellist tõendamist, vastutavad finantssektori ettevõtjad alati täielikult lõikes 4 osutatud testide mõju eest.
Krediidiasutused, kes on määruse (EL) nr 1024/2013 artikli 6 lõike 4 kohaselt liigitatud oluliseks, kasutavad kooskõlas artikli 27 lõike 1 punktidega a–e üksnes välistestijaid.
Pädevad asutused määravad kindlaks finantssektori ettevõtjad, kellelt nõutakse ohuteabel põhineva läbistustestimise tegemist, võttes arvesse artikli 4 lõikes 2 sätestatud kriteeriume, hinnates järgmisi asjaolusid:
mõjuga seotud tegurid, eelkõige mil määral mõjutavad finantssektori ettevõtja osutatavad teenused ja tema tegevus finantssektorit;
võimalikud finantsstabiilsusega seotud probleemid, sealhulgas finantssektori ettevõtja süsteemne olulisus riigi või liidu tasandil, vastavalt kohaldatavusele;
konkreetne IKT-riski profiil, finantssektori ettevõtja IKT küpsus või hõlmatud tehnoloogilised omadused.
Euroopa järelevalveasutused töötavad kokkuleppel EKPga välja ühiste regulatiivsete tehniliste standardite eelnõud kooskõlas TIBER-EU raamistikuga, et täpsustada järgmist:
lõike 8 teise lõigu kohaldamisel kasutatud kriteeriumid;
sisetestijate kasutamist reguleerivad nõuded ja standardid;
nõuded, mis käsitlevad järgmist:
lõikes 2 osutatud ohuteabel põhineva läbistustestimise kohaldamisala;
testimismetoodika ja meetodid, mida tuleb igas konkreetses testimisprotsessi etapis järgida;
testimise tulemused, lõpetamise ja parandamise etapid;
milline peab järelevalvealane ja muu asjaomane koostöö olema ohuteabel põhineva läbistustestimise ja selle testimise vastastikuse tunnustamise hõlbustamise korral finantssektori ettevõtjate puhul, kes tegutsevad rohkem kui ühes liikmesriigis, et võimaldada piisavat järelevalvealast kaasatust ja paindlikku rakendamist, et võtta arvesse finantssektori allsektorite või kohalike finantsturgude eripära.
Kõnealuste regulatiivsete tehniliste standardite eelnõude väljatöötamisel võtavad Euroopa järelevalveasutused igakülgselt arvesse spetsiifilisi omadusi, mis tulenevad eri finantsteenuste sektorite tegevuse eripärast.
Euroopa järelevalveasutused esitavad kõnealused regulatiivsete tehniliste standardite eelnõud komisjonile hiljemalt 17. juuliks 2024.
Komisjonile antakse õigus käesolevat määrust täiendada, võttes vastu esimeses lõigus osutatud regulatiivsed tehnilised standardid kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artiklitega 10–14.
Artikkel 27
Testijatele esitatavad nõuded ohuteabel põhineva läbistustestimise tegemiseks
Finantssektori ettevõtjad kasutavad ohuteabel põhinevaks läbistustestimiseks üksnes testijaid, kes:
on kõige sobivamad ja parima mainega;
omavad tehnilist ja organisatsioonilist suutlikkust ning tõendavad, et neil on eriteadmised ohuteadmuse, läbistustestimise ja punase tiimi testimise alal;
on sertifitseeritud liikmesriigi akrediteerimisasutuse poolt või järgivad ametlikke tegevusjuhendeid või eetikaraamistikke;
esitavad sõltumatu kinnituse või auditiaruande ohuteabel põhineva läbistustestimisega seotud riskide usaldusväärse juhtimise kohta, sealhulgas finantssektori ettevõtja konfidentsiaalse teabe nõuetekohase kaitse kohta ja õiguskaitsevahendite kohta finantssektori ettevõtja äririskide puhul;
on nõuetekohaselt ja täielikult kaetud asjakohase ametialase vastutuskindlustusega, sealhulgas väärkäitumise ja hooletuse riskide vastu.
Sisetestijate kasutamisel peavad finantssektori ettevõtjad tagama, et lisaks lõike 1 nõuetele täidetakse kõik järgmised tingimused:
kasutamise on heaks kiitnud asjaomane pädev asutus või artikli 26 lõigete 9 ja 10 kohaselt määratud üks avaliku sektori asutus;
asjaomane pädev asutus on teinud kindlaks, et finantssektori ettevõtjal on piisavalt asjakohaseid vahendeid ja ta on taganud huvide konflikti vältimise testi kavandamis- ja läbiviimisetapis, ning
ohuteadmuse pakkuja on finantssektori ettevõtja väline.
V PEATÜKK
Kolmandast isikust tuleneva IKT-riski juhtimine
Artikkel 28
Üldpõhimõtted
Finantssektori ettevõtjad juhivad kolmandast isikust tulenevat IKT-riski oma artikli 6 lõikes 1 osutatud IKT-riski juhtimise raamistikus IKT-riski lahutamatu osana ja kooskõlas järgmiste põhimõtetega:
finantssektori ettevõtjad, kellel on lepingud IKT-teenuste kasutamiseks oma äritegevuses, jäävad alati täielikult vastutavaks kõigi kohustuste järgimise ja täitmise eest, mis tulenevad käesolevast määrusest ja kohaldatavast finantsteenuseid käsitlevast õigusest;
finantssektori ettevõtjad juhivad kolmandast isikust tulenevat IKT-riski proportsionaalsuse põhimõtet järgides, võttes arvesse järgmist:
IKTga seotud sõltuvuse laad, ulatus, keerukus ja tähtsus;
riskid, mis tulenevad IKT-teenuste kasutamise lepingust, mis on sõlmitud kolmandast isikust IKT-teenuste osutajatega, võttes arvesse vastava teenuse, protsessi või funktsiooni kriitilist tähtsust või olulisust ning võimalikku mõju finantsteenuste ja -tegevuse järjepidevusele ja kättesaadavusele nii individuaalsel kui ka kontserni tasandil.
Esimeses lõigus osutatud lepingud dokumenteeritakse asjakohaselt, eristades kriitilise tähtsusega või olulisi funktsioone toetavaid IKT-teenuseid käsitlevaid lepinguid muudest lepingutest.
Finantssektori ettevõtjad esitavad pädevatele asutustele vähemalt kord aastas teabe IKT-teenuste kasutamist käsitlevate uute lepingute arvu, kolmandast isikust IKT-teenuste osutajate kategooriate, lepingute liigi ning pakutavate teenuste ja funktsioonide kohta.
Finantssektori ettevõtjad teevad taotluse korral pädevale asutusele kättesaadavaks kogu teaberegistri või vastavalt taotlusele selle teatavad osad koos teabega, mida peetakse finantssektori ettevõtja tõhusa järelevalve seisukohast vajalikuks.
Finantssektori ettevõtjad teavitavad pädevat asutust aegsasti kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste kasutamist käsitlevatest igasugustest kavandatud lepingutest ning sellest, kui funktsioon on muutunud kriitiliseks või oluliseks.
Enne IKT-teenuste kasutamist käsitlevate lepingute sõlmimist teevad finantssektori ettevõtjad järgmist:
hindavad, kas leping hõlmab kriitilise tähtsusega või olulist funktsiooni toetavate IKT-teenuste kasutamist;
hindavad, kas lepingu sõlmimise järelevalvealased tingimused on täidetud;
teevad kindlaks ja hindavad kõiki lepinguga seotud asjakohaseid riske, sealhulgas võimalust, et sellised lepingud võivad suurendada IKT kontsentratsiooniriski, nagu on osutatud artiklis 29;
võtavad kõik hoolsusmeetmed võimalike kolmandast isikust IKT-teenuste osutajate suhtes ning tagavad kogu valiku- ja hindamisprotsessi jooksul, et kolmandast isikust IKT-teenuste osutaja oleks sobiv;
tuvastavad ja hindavad huvide konflikte, mida leping võib põhjustada.
Kui kolmandast isikust IKT-teenuste osutajatega sõlmitud IKT-teenuste kasutamise lepingud on tehniliselt väga keerukad, kontrollib finantssektori ettevõtja, kas audiitoritel (siseaudiitorid või välisaudiitorid või audiitorite rühm) on piisavad oskused ja teadmised asjaomaste auditite ja hindamiste tõhusaks läbiviimiseks.
Finantssektori ettevõtjad tagavad, et IKT-teenuste kasutamise lepingud võidakse lõpetada mis tahes järgmisel asjaolul:
kolmandast isikust IKT-teenuste osutaja rikub oluliselt kohaldatavaid õigusakte või lepingutingimusi;
kolmandast isikust tuleneva IKT-riski seire käigus on tuvastatud asjaolud, mis võivad muuta lepingutega reguleeritud funktsioonide täitmist, sealhulgas olulised muutused, mis mõjutavad kolmandast isikust IKT-teenuste osutaja töökorraldust või olukorda;
kolmandast isikust IKT-teenuste osutaja puhul on tõendatud nõrgad kohad, mis on seotud tema üldise IKT-riski juhtimisega, ja eelkõige puudused, mis puudutavad seda, kuidas ta tagab andmete kättesaadavuse, autentsuse, tervikluse ja konfidentsiaalsuse isiku- või muude tundlike või isikustamata andmete puhul;
kui pädev asutus ei saa asjaomase lepingu tingimuste või sellega seotud olude tõttu enam finantssektori ettevõtja üle tõhusat järelevalvet teha.
Finantssektori ettevõtjad tagavad, et neil on võimalik loobuda lepingutest,
häirimata oma äritegevust;
takistamata õigusnormide järgimist;
kahjustamata klientidele osutatavate teenuste järjepidevust ja kvaliteeti.
Väljumiskavad on põhjalikud, dokumenteeritud ja kooskõlas artikli 4 lõikes 2 sätestatud kriteeriumidega piisavalt testitud ja neid vaadatakse perioodiliselt läbi.
Finantssektori ettevõtjad määravad kindlaks alternatiivsed lahendused ja töötavad välja üleminekukavad, mis võimaldavad neil võtta ära lepingupõhised IKT-teenused ja asjaomased andmed kolmandast isikust IKT-teenuste osutajalt ning kanda need turvaliselt ja terviklikult üle alternatiivsetele teenuseosutajatele või inkorporeerida need uuesti ettevõttesiseselt.
Finantssektori ettevõtjad on kehtestanud asjakohased erandolukorra meetmed, et säilitada talitluspidevus kõigi esimeses lõigus osutatud asjaolude korral.
Komisjonile antakse õigus võtta vastu esimeses lõigus osutatud rakenduslikud tehnilised standardid kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artikliga 15.
Kõnealuste regulatiivsete tehniliste standardite eelnõude väljatöötamisel võtavad Euroopa järelevalveasutused arvesse finantssektori ettevõtja suurust ja üldist riskiprofiili ning tema teenuste, tegevuse ja toimingute laadi, ulatust ja keerukust. Euroopa järelevalveasutused esitavad kõnealused regulatiivsete tehniliste standardite eelnõud komisjonile hiljemalt 17. jaanuariks 2024.
Komisjonile antakse õigus käesolevat määrust täiendada, võttes vastu esimeses lõigus osutatud regulatiivsed tehnilised standardid kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artiklitega 10–14.
Artikkel 29
IKT kontsentratsiooniriski esialgne hindamine ettevõtjate tasandil
Artikli 28 lõike 4 punktis c osutatud riskide kindlakstegemisel ja hindamisel võtavad finantssektori ettevõtjad arvesse ka seda, kas kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenustega seotud lepingu kavandatav sõlmimine tooks kaasa mõne järgmise asjaolu:
lepingu sõlmimine kolmandast isikust IKT-teenuste osutajaga, keda ei saa hõlpsasti asendada, või
mitu kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste osutamist käsitlevat lepingut sama kolmandast isikust IKT-teenuste osutajaga või omavahel tihedalt seotud kolmandast isikust IKT-teenuste osutajatega.
Finantssektori ettevõtjad kaaluvad alternatiivsete lahenduste, näiteks erinevate kolmandast isikust IKT-teenuste osutajate kasutamise eeliseid ja kulusid, võttes arvesse seda, kas ja kuidas kavandatud lahendused vastavad nende digitaalse kerksuse strateegias kindlaks määratud ärivajadustele ja -eesmärkidele.
Kui lepingud puudutavad kriitilise tähtsusega või olulisi funktsioone toetavaid IKT-teenuseid, võtavad finantssektori ettevõtjad igakülgselt arvesse maksejõuetusõiguse sätteid, mida kohaldataks kolmandast isikust IKT-teenuste osutaja pankroti korral, ning ka takistusi, mis võivad tekkida seoses finantssektori ettevõtja andmete kiire taastamisega.
Kui kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste kasutamist käsitlevad lepingud sõlmitakse kolmandas riigis asutatud kolmandast isikust IKT-teenuste osutajaga, võtavad finantssektori ettevõtjad lisaks esimeses ja teises lõigus osutatud kaalutlustele arvesse ka liidu andmekaitsenormide järgimist ning õiguse tulemuslikku jõustamist kõnealuses kolmandas riigis.
Kui kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste kasutamist käsitlevad lepingud sisaldavad sätteid alltöövõtu kohta, hindavad finantssektori ettevõtjad, kas ja kuidas pikad või keerukad alltöövõtuahelad võivad mõjutada nende võimet täielikult seirata lepingupõhiseid funktsioone ja pädeva asutuse suutlikkust teha selles osas finantssektori ettevõtja üle tulemuslikku järelevalvet.
Artikkel 30
Peamised lepingusätted
IKT-teenuste kasutamist käsitlevad lepingud sisaldavad vähemalt järgmisi elemente:
kolmandast isikust IKT-teenuste osutaja kõigi funktsioonide ja IKT-teenuste selge ja täielik kirjeldus, märkides ära, kas kriitilise tähtsusega või olulist funktsiooni toetava IKT-teenuse või selle oluliste osade edasiandmine on lubatud, ja kui on, siis sellise alltöövõtu suhtes kohaldatavad tingimused;
asukohad, täpsemalt piirkonnad ja riigid, kus täidetakse või pakutakse lepingupõhiseid või alltöövõtu korras osutatavaid funktsioone ja IKT-teenuseid ning kus andmeid töödeldakse, sealhulgas andmete säilitamise asukoht, ning nõue, et kolmandast isikust IKT-teenuste osutaja teavitaks finantssektori ettevõtjat ette, kui ta kavatseb sellist asukohta muuta;
sätted andmete kohta, sealhulgas isikuandmete kaitse kättesaadavus, autentsus, terviklus ja konfidentsiaalsus;
sätted, mis käsitlevad ligipääsu finantssektori ettevõtja poolt töödeldavatele kergesti kättesaadavas vormis isikuandmetele ja isikustamata andmetele, samuti nende taastamist ja tagastamist kolmandast isikust IKT-teenuste osutaja maksejõuetuse, kriisilahenduse või äritegevuse lõpetamise korral või lepingute lõpetamise korral;
teenustaseme kirjeldused, sealhulgas nende muutmised ja läbivaatamised;
kolmandast isikust IKT-teenuste osutaja kohustus osutada finantssektori ettevõtjale abi ilma lisakuludeta või eelnevalt kindlaksmääratud hinnaga, kui leiab aset finantssektori ettevõtjale osutatava IKT-teenusega seotud IKT intsident;
kolmandast isikust IKT-teenuste osutaja kohustus teha täielikku koostööd finantssektori ettevõtja pädevate asutuste ja kriisilahendusasutustega, sealhulgas nimetatud asutuste määratud isikutega;
lepingu lõpetamise õigused ja sellega seotud minimaalne lepingu lõpetamisest etteteatamise aeg, vastavalt pädevate asutuste ja kriisilahendusasutuste ootustele;
kolmandast isikust IKT-teenuste osutajate osalemise tingimused finantssektori ettevõtjate IKT-turbe teadlikkuse suurendamise programmides ja digitaalse tegevuskerksuse koolitusel kooskõlas artikli 13 lõikega 6.
Kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste kasutamise lepingud sisaldavad lisaks lõikes 2 osutatud elementidele vähemalt järgmist:
täielikud teenustasemete kirjeldused, sealhulgas nende muutmised ja läbivaatamised koos täpsete kvantitatiivsete ja kvalitatiivsete tulemuseesmärkidega kokkulepitud teenustasemete piires, et finantssektori ettevõtja saaks teha tõhusat seiret IKT-teenuste üle ja võtta põhjendamatu viivituseta asjakohaseid parandusmeetmeid, kui kokkulepitud teenustasemeid ei saavutata;
kolmandast isikust IKT-teenuste osutaja poolsete teadete esitamise tähtajad ja aruandluskohustus finantssektori ettevõtja ees, hõlmates teavitamist kõigist muutustest, mis võivad oluliselt mõjutada kolmandast isikust IKT-teenuste osutaja suutlikkust tulemuslikult osutada kriitilise tähtsusega või olulisi funktsioone toetavaid IKT-teenuseid kooskõlas kokkulepitud teenustasemetega;
kolmandast isikust IKT-teenuste osutajale esitatavad nõuded rakendada ja testida ettevõtte talitluspidevuse plaane ning kehtestada IKT-turvameetmed, -vahendid ja -põhimõtted, mis tagavad piisaval tasemel, et finantssektori ettevõtja osutab teenuseid turvaliselt kooskõlas oma õigusraamistikuga;
kolmandast isikust IKT-teenuste osutaja kohustus osaleda finantssektori ettevõtja ohuteabel põhinevas läbistustestimises ja teha selle raames täielikku koostööd, nagu on osutatud artiklites 26 ja 27;
õigus pidevalt seirata kolmandast isikust IKT-teenuste osutaja tegevust, mis hõlmab järgmist:
finantssektori ettevõtja või määratud kolmanda isiku ning pädeva asutuse piiramatud pääsu-, kontrolli- ja auditeerimisõigused ning õigus teha kohapeal koopiaid asjaomastest dokumentidest, kui need on kolmandast isikust IKT-teenuste osutaja toimingute seisukohast kriitilise tähtsusega; nende õiguste tegelikku kasutamist ei takista ega piira muud lepingud ega rakenduspõhimõtted;
õigus leppida kokku alternatiivsed usaldusväärsuse tasemed, kui teiste klientide õigused on mõjutatud;
kolmandast isikust IKT-teenuste osutaja kohustus teha pädevate asutuste, juhtiva järelevaatamisasutuse, finantssektori ettevõtja või määratud kolmanda isiku tehtavate kohapealsete kontrollide ja auditite ajal täielikku koostööd ning
kohustus esitada selliste kontrollide ja auditite ulatuse, järgitavate menetluste korra ja sageduse üksikasjad;
väljumisstrateegiad, eelkõige piisava kohustusliku üleminekuperioodi kehtestamine,
mille jooksul kolmandast isikust IKT-teenuste osutaja jätkab vastavate funktsioonide täitmist või IKT-teenuste osutamist, et vähendada häirete riski finantssektori ettevõtjas või tagada selle tõhus lahendamine ja restruktureerimine;
mis võimaldab finantssektori ettevõtjal migreerida teisele kolmandast isikust IKT-teenuste osutajale või hakata kasutama ettevõtja siseseid lahendusi, mis on kooskõlas osutatud teenuse keerukusega.
Erandina punktist e võivad kolmandast isikust IKT-teenuste osutaja ja finantssektori ettevõtja, kes on mikroettevõtja, kokku leppida, et finantssektori ettevõtja pääsu-, kontrolli- ja auditeerimisõigused võib delegeerida kolmandast isikust IKT-teenuste osutaja määratud sõltumatule kolmandale isikule ning et finantssektori ettevõtja saab asjaomaselt kolmandalt isikult igal ajal nõuda kolmandast isikust IKT-teenuste osutaja tegevuse kohta teavet ja kinnitust.
Kõnealuste regulatiivsete tehniliste standardite eelnõude väljatöötamisel võtavad Euroopa järelevalveasutused arvesse finantssektori ettevõtja suurust ja üldist riskiprofiili ning tema teenuste, tegevuse ja toimingute laadi, ulatust ja keerukust.
Euroopa järelevalveasutused esitavad kõnealused regulatiivsete tehniliste standardite eelnõud komisjonile hiljemalt 17. juuliks 2024.
Komisjonile antakse õigus käesolevat määrust täiendada, võttes vastu esimeses lõigus osutatud regulatiivsed tehnilised standardid kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artiklitega 10–14.
Artikkel 31
Kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate määramine
Euroopa järelevalveasutused teevad ühiskomitee kaudu ja artikli 32 lõike 1 kohaselt loodud järelevalvefoorumi soovitusel järgmist:
määravad finantssektori ettevõtjate jaoks kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad pärast hindamist, milles võetakse arvesse lõikes 2 sätestatud kriteeriume;
määravad igale kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajale juhtivaks järelevaatamisasutuseks Euroopa järelevalveasutuse, kes on vastavalt määrusele (EL) nr 1093/2010, (EL) nr 1094/2010 või (EL) nr 1095/2010 vastutav finantssektori ettevõtjate eest, kellele ühiselt kuulub suurim osa kõigi selliste finantssektori ettevõtjate varade koguväärtusest, kes kasutavad asjaomase kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja teenuseid, lähtudes nende finantssektori ettevõtjate individuaalsete bilansside summast.
Lõike 1 punktis a osutatud määramine põhineb kõigil järgmistel kriteeriumidel, mis on seotud kolmandast isikust IKT-teenuste osutaja osutatavate IKT-teenustega:
süsteemne mõju finantsteenuste pakkumise stabiilsusele, järjepidevusele või kvaliteedile juhul, kui asjaomast kolmandast isikust IKT-teenuste osutajat tabaks laiaulatuslik teenuste osutamise katkemine, võttes arvesse nende finantssektori ettevõtjate arvu ja nende finantssektori ettevõtjate varade koguväärtust, kellele asjaomane kolmandast isikust IKT-teenuste osutaja teenuseid osutab;
asjaomasest kolmandast isikust IKT-teenuste osutajast sõltuvate finantssektori ettevõtjate süsteemne olemus või olulisus, mida hinnatakse järgmiste parameetrite alusel:
nende globaalsete süsteemselt oluliste ettevõtjate või muude süsteemselt oluliste ettevõtjate arv, kes sõltuvad asjaomasest kolmandast isikust IKT-teenuste osutajast;
punktis i osutatud globaalsete süsteemselt oluliste ettevõtjate või muude süsteemselt oluliste ettevõtjate ja muude finantssektori ettevõtjate vastastikune sõltuvus, sealhulgas olukorrad, kus globaalsed või muud süsteemselt olulised ettevõtjad osutavad finantstaristu teenuseid teistele finantssektori ettevõtjatele;
finantssektori ettevõtjate tuginemine teenustele, mida osutab asjaomane kolmandast isikust IKT-teenuste osutaja seoses finantssektori ettevõtja kriitilise tähtsusega või oluliste funktsioonidega, mis lõpuks hõlmavad sama kolmandast isikust IKT-teenuste osutajat, olenemata sellest, kas finantssektori ettevõtjad sõltuvad nendest teenustest otseselt või kaudselt alltöövõtulepingute kaudu;
kolmandast isikust IKT-teenuste osutaja asendatavus, võttes arvesse järgmisi parameetreid:
tõeliste alternatiivide (isegi osaliselt) puudumine, mis on tingitud konkreetsel turul tegutsevate kolmandast isikust IKT-teenuste osutajate vähesusest või asjaomase kolmandast isikust IKT-teenuste osutaja turuosast või tegevuse tehnilisest keerukusest (sealhulgas seoses patenditud tehnoloogiaga) või kolmandast isikust IKT-teenuste osutaja organisatsiooni või tegevuse eripärast;
raskused seoses asjaomaste andmete ja töökoormuse osalise või täieliku migreerimisega asjaomaselt kolmandast isikust IKT-teenuste osutajalt teisele kolmandast isikust IKT-teenuste osutajale, mis on tingitud kas märkimisväärsetest rahalistest kuludest, ajakulust või muudest ressurssidest, mida migratsioon võib hõlmata, või suurenenud IKT-riskist või muudest operatsiooniriskidest, millega finantssektori ettevõtja võib sellise migratsiooni tõttu kokku puutuda;
Pärast kolmandast isikust IKT-teenuste osutaja kriitilise tähtsusega teenuseosutajaks määramist teatavad Euroopa järelevalveasutused ühiskomitee kaudu kolmandast isikust IKT-teenuste osutajale sellisest määramisest ja kuupäevast, millest alates tema üle tegelikult järelevaatamist tehakse. See alguskuupäev ei tohi olla hilisem kui üks kuu pärast teatamist. Kolmandast isikust IKT-teenuste osutaja teavitab finantssektori ettevõtjaid, kellele nad teenuseid osutavad, oma kriitilise tähtsusega teenuseosutajaks määramisest.
Lõike 1 punktis a osutatud määramist ei kohaldata järgmise suhtes:
finantssektori ettevõtjad, kes osutavad IKT-teenuseid teistele finantssektori ettevõtjatele;
kolmandast isikust IKT-teenuste osutajad, kelle suhtes kohaldatakse järelevaatamisraamistikke, mis on kehtestatud Euroopa Liidu toimimise lepingu artikli 127 lõikes 2 osutatud ülesannete täitmise toetamiseks;
kontsernisisesed IKT-teenuste osutajad;
kolmandast isikust IKT-teenuste osutajad, kes osutavad IKT-teenuseid üksnes ühes liikmesriigis ainult selles liikmesriigis tegutsevatele finantssektori ettevõtjatele.
Esimese lõigu kohaldamisel esitab kolmandast isikust IKT-teenuste osutaja põhjendatud taotluse EBA-le, ESMA-le või EIOPA-le, kes otsustab ühiskomitee kaudu, kas määrata see kolmandast isikust IKT-teenuste osutaja kriitilise tähtsusega ettevõtjaks vastavalt lõike 1 punktile a.
Teises lõigus osutatud otsus võetakse vastu ja sellest teatatakse kolmandast isikust IKT-teenuste osutajale kuue kuu jooksul alates taotluse saamisest.
Artikkel 32
Järelevaatamisraamistiku struktuur
Järelevaatamisfoorum arutab korrapäraselt IKT-riski ja nõrkusega seotud muutusi ning edendab kolmandast isikust tuleneva IKT-riski järjepidevat seiret liidu tasandil.
Järelevaatamisfoorumisse kuuluvad:
Euroopa järelevalveasutuste eesistujad;
igast liikmesriigist üks kõrgetasemeline esindaja artiklis 46 osutatud asjaomase pädeva asutuse praeguste töötajate hulgast;
vaatlejatena kõigi Euroopa järelevalveasutuste tegevdirektorid ning üks komisjoni, Euroopa Süsteemsete Riskide Nõukogu, EKP ja ENISA esindaja;
asjakohasel juhul vaatlejana artiklis 46 osutatud pädeva asutuse üks täiendav esindaja igast liikmesriigist;
asjakohasel juhul vaatlejana nende direktiivi (EL) 2022/2555 kohaselt määratud või asutatud pädevate asutuste üks esindaja, kes vastutavad nimetatud direktiivi kohaldamisalasse jääva elutähtsa või olulise üksuse järelevalve eest.
Järelevaatamisfoorum võib kohasel juhul küsida nõu lõike 6 kohaselt ametisse nimetatud sõltumatutelt ekspertidelt.
Euroopa järelevalveasutused avaldavad oma veebisaidil liikmesriikide asjaomase pädeva asutuse praeguste töötajate hulgast määratud kõrgetasemeliste esindajate nimekirja.
Sõltumatud eksperdid nimetatakse ametisse, arvestades nende eksperditeadmisi finantsstabiilsuse, digitaalse tegevuskerksuse ja IKT turvalisuse alal. Nad täidavad oma ülesandeid sõltumatult ja objektiivselt üksnes liidu kui terviku huvides ning ei küsi ega võta vastu juhiseid liidu institutsioonidelt ega asutustelt, liikmesriikide valitsustelt ega muudelt avaliku või erasektori asutustelt.
Artikkel 33
Juhtiva järelevaatamisasutuse ülesanded
Esimeses lõigus osutatud hindamisel keskendutakse peamiselt IKT-teenustele, mida osutab kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja finantssektori ettevõtja kriitilise tähtsusega või oluliste funktsioonide toetamiseks. Kui see on vajalik kõigi asjakohaste riskide käsitlemiseks, hõlmab kõnealune hindamine ka muid kui kriitilise tähtsusega või olulisi funktsioone toetavaid IKT-teenuseid.
Lõikes 2 osutatud hindamine hõlmab järgmist:
IKT-nõuded, et tagada eelkõige selliste teenuste turvalisus, kättesaadavus, järjepidevus, skaleeritavus ja kvaliteet, mida kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja osutab finantssektori ettevõtjatele, samuti suutlikkus säilitada igal ajal andmete kättesaadavuse, autentsuse, tervikluse ja konfidentsiaalsuse ranged standardid;
füüsiline julgeolek, mis aitab tagada IKT turvalisust, sealhulgas ruumide, rajatiste ja andmekeskuste turvalisus;
riskijuhtimisprotsessid, sealhulgas IKT-riski juhtimise põhimõtted, IKT talitluspidevuse põhimõtted ning IKT reageerimis- ja taastekavad;
juhtimiskord, sealhulgas organisatsiooniline struktuur, millel on selged, läbipaistvad ja järjepidevad vastutusliinid, ning IKT-riski tõhusalt juhtida võimaldavad vastutusreeglid;
tõsiste IKT intsidentide tuvastamine, seire ja neist finantssektori ettevõtjatele kiire teatamine ning selliste intsidentide, eelkõige küberrünnete käsitlemine ja lahendamine;
andmete ja rakenduste porditavuse ja koostalitlusvõime mehhanismid, mis tagavad, et finantssektori ettevõtjad saavad lõpetamisõigust tulemuslikult kasutada;
IKT-süsteemide, -taristu ja -kontrollide testimine;
IKT-auditid;
selliste asjakohaste riiklike ja rahvusvaheliste standardite kasutamine, mida kohaldatakse IKT-teenuste osutamisel finantssektori ettevõtjatele.
Enne järelevaatamiskava vastuvõtmist edastab juhtiv järelevaatamisasutus järelevaatamiskava projekti kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajale.
Pärast järelevaatamiskava projekti kättesaamist võib kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja esitada 15 kalendripäeva jooksul põhjendatud avalduse, milles tõendatakse eeldatavat mõju klientidele, kes on käesoleva määruse kohaldamisalast välja jäävad üksused, ning sõnastatakse lahendused riskide maandamiseks, kui see on asjakohane.
Artikkel 34
Tegevuse koordineerimine juhtivate järelevaatamisasutuste vahel
Artikkel 35
Juhtiva järelevaatamisasutuse volitused
Käesolevas jaos sätestatud ülesannete täitmiseks on juhtival järelevaatamisasutusel seoses kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajaga järgmised volitused:
nõuda vastavalt artiklile 37 kogu asjakohast teavet ja dokumentatsiooni;
viia läbi üldisi uurimisi ja kontrolle kooskõlas kas artikliga 38 või artikliga 39;
nõuda pärast järelevalvetoimingute lõpuleviimist aruandeid, milles täpsustatakse meetmed või parandusmeetmed, mida kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad on võtnud seoses käesoleva lõike punktis d osutatud soovitustega;
anda soovitusi artikli 33 lõikes 3 osutatud valdkondades, eelkõige seoses järgmisega:
konkreetsete IKT turva- ja kvaliteedinõuete või -protsesside kasutamine, eelkõige seoses paikade, uuenduste, krüpteerimise ja muude turvameetmete kasutuselevõtuga, mida juhtiv järelevaatamisasutus peab vajalikuks, et tagada finantssektori ettevõtjatele osutatavate IKT-teenuste turvalisus;
selliste tingimuste kasutamine (sealhulgas tehniline rakendamine), mille alusel kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad osutavad teenuseid finantssektori ettevõtjatele, mida juhtiv järelevaatamisasutus peab oluliseks, et hoida ära nõrkade lülide tekitamist või nende võimendamist või et minimeerida võimalikku süsteemset mõju kogu liidu finantssektoris IKT kontsentratsiooniriski korral;
mis tahes kavandatud alltöövõtt, kui juhtiv järelevaatamisasutus leiab, et tegevuse täiendav edasiandmine, sealhulgas alltöövõtulepingud, mida kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad kavatsevad sõlmida kolmandas riigis asutatud kolmandast isikust IKT-teenuste osutajatega või IKT alltöövõtjaga, võib põhjustada riske finantssektori ettevõtja teenuste osutamisel või ohustada finantsstabiilsust, lähtudes artiklite 37 ja 38 kohaselt kogutud teabe läbivaatamisest;
täiendavate alltöövõtulepingute sõlmimisest hoidumine, kui on täidetud järgmised kumulatiivsed tingimused:
Käesoleva punkti alapunkti iv kohaldamisel edastavad kolmandast isikust IKT-teenuste osutajad, kasutades artikli 41 lõike 1 punktis b osutatud vormi, juhtivale järelevaatamisasutusele alltöövõttu käsitleva teabe.
Käesolevas artiklis osutatud volituste kasutamisel teeb juhtiv järelevaatamisasutus järgmist:
tagab korrapärase koordineerimise ühise järelevaatamisvõrgustiku raames ja püüab kohasel viisil eelkõige jõuda järjepideva lähenemisviisini seoses kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate järele vaatamisega;
võtab täielikult arvesse direktiiviga (EL) 2022/2555 kehtestatud raamistikku ning konsulteerib vajaduse korral nimetatud direktiivi kohaselt määratud või asutatud pädevate asutustega, et vältida selliste tehniliste ja korralduslike meetmete tarbetut dubleerimist, mida võidakse kõnealuse direktiivi kohaselt kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate suhtes kohaldada;
püüab nii palju kui võimalik minimeerida selliste teenuste katkemise riski, mida kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad osutavad klientidele, kes on käesoleva määruse kohaldamisalast välja jäävad üksused.
Enne lõike 1 punkti d kohaste soovituste esitamist annab juhtiv järelevaatamisasutus kolmandast isikust IKT-teenuste osutajale võimaluse esitada 30 kalendripäeva jooksul asjakohast teavet, millega tõendatakse eeldatavat mõju klientidele, kes on käesoleva määruse kohaldamisalast välja jäävad üksused, ning sõnastatakse lahendused riskide maandamiseks, kui see on asjakohane.
Sunniraha summa, mis arvutatakse alates sunniraha määramise otsuses kindlaks määratud kuupäevast, on kuni 1 % kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja eelmise majandusaasta ülemaailmsest keskmisest päevakäibest. Sunniraha summa kindlaksmääramisel võtab juhtiv järelevaatamisasutus seoses lõikes 6 osutatud meetmete täitmatajätmisega arvesse järgmisi kriteeriume:
täitmatajätmise raskusaste ja kestus;
kas täitmatajätmine pandi toime tahtlikult või hooletuse tõttu;
kolmandast isikust IKT-teenuste osutaja koostöö ulatus juhtiva järelevaatamisasutusega.
Esimese lõigu kohaldamisel konsulteerib juhtiv järelevaatamisasutus järjepideva lähenemisviisi tagamiseks ühise järelevaatamisvõrgustikuga.
Menetluse käigus tagatakse täielikult uurimisaluste isikute õigus kaitsele. Kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajal, kelle suhtes on algatatud menetlus, on õigus tutvuda toimikuga tingimusel, et võetakse arvesse teiste isikute õigustatud huvi kaitsta oma ärisaladusi. Toimikuga tutvumise õigus ei hõlma konfidentsiaalset teavet ega juhtiva järelevaatamisasutuse asutusesiseseks kasutuseks ette nähtud ettevalmistavaid dokumente.
Artikkel 36
Juhtiva järelevaatamisasutuse volituste kasutamine väljaspool liitu
Kui järelevaatamise eesmärke ei ole võimalik saavutada suheldes artikli 31 lõike 12 kohaselt asutatud tütarettevõtjaga või tehes järelevaatamist liidus asuvates ruumides, võib juhtiv järelevaatamisasutus kasutada kolmandas riigis asuvates ruumides, mis on kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja omandis või mida ta mis tahes viisil kasutab liidu finantssektori ettevõtjatele teenuste osutamiseks, kõnealuse IKT-teenuste osutaja äritegevuse, funktsioonide või teenuste, sealhulgas haldus-, äri- või tegevbüroode, ruumide, maa, hoonete või muu varaga seoses järgnevates sätetes osutatud volitusi:
artikli 35 lõike 1 punkt a ning
artikli 35 lõike 1 punkt b kooskõlas artikli 38 lõike 2 punktidega a, b ja d ning artikli 39 lõikega 1 ja lõike 2 punktiga a.
Esimeses lõigus osutatud volitusi võib kasutada, kui on täidetud kõik järgnevad tingimused:
juhtiva järelevaatamisasutuse hinnangul on vajalik kontrolli tegemine kolmandas riigis, et tal oleks võimalik täielikult ja tõhusalt täita oma käesolevast määrusest tulenevaid ülesandeid;
kolmandas riigis tehtav kontroll on otseselt seotud IKT-teenuste osutamisega liidu finantssektori ettevõtjatele;
asjaomane kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja nõustub kontrolli tegemisega kolmandas riigis ning
juhtiv järelevaatamisasutus on asjaomase kolmanda riigi asjakohast asutust ametlikult teavitanud ja viimane ei ole kontrolli suhtes vastuväiteid esitanud.
Nendes koostöökokkulepetes määratakse kindlaks vähemalt järgmised elemendid:
käesoleva määruse kohase järelevaatamistegevuse koordineerimise kord ja asjaomase kolmanda riigi asjakohase asutuse tehtav analoogne kolmandast isikust tuleneva IKT-riski seire finantssektoris, sealhulgas asjakohase asutuse nõusoleku edastamise üksikasjad, millega lubatakse juhtival järelevaatamisasutusel ja tema määratud töörühmal korraldada asjakohase asutuse jurisdiktsiooni alla kuuluval territooriumil üldisi uurimisi ja kohapealseid kontrolle, millele on osutatud lõike 1 esimeses lõigus;
asjakohase teabe edastamise kord EBA, ESMA või EIOPA ning asjaomase kolmanda riigi asjakohase asutuse vahel, eelkõige seoses teabega, mida juhtiv järelevaatamisasutus võib artikli 37 kohaselt nõuda;
mehhanismid, mille abil asjaomase kolmanda riigi asjakohane asutus teavitab viivitamata EBAd, ESMAd või EIOPAd juhtumitest, mille puhul kolmandas riigis asutatud ja artikli 31 lõike 1 punkti a kohaselt kriitilise tähtsusega ettevõtjaks määratud kolmandast isikust IKT-teenuste osutaja on rikkunud nõudeid, mida ta on kohustatud asjaomase kolmanda riigi kohaldatava õiguse kohaselt järgima kui ta osutab teenuseid kõnealuses kolmandas riigis asutatud finantsasutustele, ning kohaldatud õiguskaitsevahenditest ja karistustest;
asjaomase kolmanda riigi finantsasutuste kolmandast isikust tuleneva IKT-riski seiret käsitlevate regulatiivsete või järelevalvealaste suundumuste kohta ajakohastatud teabe korrapärane edastamine;
üksikasjad, mis võimaldavad vajaduse korral ühe asjaomase kolmanda riigi asutuse esindaja osalemist juhtiva järelevaatamisasutuse ja määratud rühma tehtavates kontrollides.
Kui juhtiv järelevaatamisasutus ei saa teha lõigetes 1 ja 2 osutatud järelevaatamist väljaspool liitu, teeb juhtiv järelevaatamisasutus järgmist:
kasutab oma artikli 35 kohaseid volitusi kõigi talle kättesaadavate faktide ja dokumentide alusel;
dokumenteerib ja selgitab kõiki tagajärgi, mis tulenevad asjaolust, et ta ei saanud teha järelevaatamist käesolevas artiklis osutatud viisil.
Käesoleva lõike punktis b osutatud võimalikke tagajärgi võetakse arvesse juhtiva järelevaatamisasutuse soovitustes, mis esitatakse artikli 35 lõike 1 punkti d kohaselt.
Artikkel 37
Teabenõue
Kui juhtiv järelevaatamisasutus saadab lõike 1 kohase lihtteabenõude, peab ta:
viitama nõude õigusliku alusena käesolevale artiklile;
nimetama teabenõude eesmärgi;
täpsustama, millise teabe esitamist nõutakse;
määrama tähtaja, mille jooksul teave tuleb esitada;
teavitama kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja esindajat, kellelt teavet taotletakse, et teabe andmine ei ole kohustuslik, kuid et teabenõude alusel vabatahtlikult esitatav teave ei tohi olla ebaõige ega eksitav.
Kui juhtiv järelevaatamisasutus nõuab otsuse alusel teabe esitamist vastavalt lõikele 1, peab ta:
viitama nõude õigusliku alusena käesolevale artiklile;
nimetama teabenõude eesmärgi;
täpsustama, millise teabe esitamist nõutakse;
määrama tähtaja, mille jooksul teave tuleb esitada;
märkima artikli 35 lõikes 6 ette nähtud sunniraha, mida kohaldatakse, kui nõutav teave esitatakse mittetäielikult või kui teavet ei esitata käesoleva lõike punktis d osutatud tähtaja jooksul;
viitama õigusele kaevata otsus edasi Euroopa järelevalveasutuse apellatsiooninõukogule ja õigusele vaidlustada otsus Euroopa Liidu Kohtus (edaspidi „Euroopa Kohus“) vastavalt määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artiklitele 60 ja 61.
Artikkel 38
Üldised uurimised
Juhtival järelevaatamisasutusel on volitus:
kontrollida dokumente, andmeid, protseduure ja muid tema ülesannete täitmisega seonduvaid materjale, sõltumata nende säilitamiseks kasutatud andmekandjast;
teha või saada nendest dokumentidest, andmetest, dokumenteeritud protseduuridest ja mis tahes muudest materjalidest tõendatud koopiaid või väljavõtteid;
kutsuda kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja esindajaid välja ja paluda neil anda suulisi või kirjalikke selgitusi uurimise sisu ja eesmärgiga seotud asjaolude või dokumentide kohta ning dokumenteerida vastuseid;
küsitleda teisi küsitlemisega nõustuvaid füüsilisi või juriidilisi isikuid, et koguda teavet uurimise sisu kohta;
nõuda andmeid telefonikõnede ja andmeedastuse kohta.
Nimetatud volitusse märgitakse ka artikli 35 lõikes 6 sätestatud sunniraha, mida kohaldatakse juhul, kui nõutud dokumente, andmeid, teavet dokumenteeritud protseduuride kohta ja muid materjale või vastuseid kolmandast isikust IKT-teenuste osutaja esindajatele esitatud küsimustele ei esitata või kui need esitatakse mittetäielikult.
Juhtiv järelevaatamisasutus edastab ühisele järelevalvevõrgustikule kogu esimese lõigu kohaselt edastatud teabe.
Artikkel 39
Kontroll
Esimeses lõigus osutatud volituste kasutamisel konsulteerib juhtiv järelevaatamisasutus ühise järelevaatamisvõrgustikuga.
Juhtiva järelevaatamisasutuse poolt kohapealse kontrolli tegemiseks volitatud ametnikel ja teistel isikutel on õigus:
siseneda sellistesse äriruumidesse ja valdustesse ning
pitseerida selliseid äriruume, raamatupidamis- ja muid dokumente selliseks ajavahemikuks ja sellises ulatuses, mida on kontrolli tegemiseks vaja.
Juhtiva järelevaatamisasutuse volitatud ametnikud ja teised isikud kasutavad oma õigusi, esitades kirjaliku volituse, milles täpsustatakse kontrolli sisu ja eesmärk ning artikli 35 lõikes 6 sätestatud sunniraha, mida kohaldatakse juhul, kui asjaomaste kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate esindajad ei nõustu kontrolliga.
Artikkel 40
Pidev järelevaatamine
Lõikes 1 osutatud ühine kontrollirühm koosneb järgmiste asutuste töötajatest:
Euroopa järelevalveasutused;
sellised asjaomased pädevad asutused, kes teevad järelevalvet nende finantssektori ettevõtjate üle, kellele kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja osutab IKT-teenuseid;
artikli 32 lõike 4 punktis e osutatud riiklik pädev asutus, vabatahtlikkuse alusel;
üks pädev asutus liikmesriigist, kus kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja on asutatud, vabatahtlikkuse alusel.
Ühise kontrollirühma liikmetel peavad olema IKT- ja operatsiooniriskialased teadmised. Ühine kontrollirühm töötab juhtiva järelevaatamiseasutuse määratud töötaja (edaspidi „juhtiv järelevaatamiskoordinaator“) koordineerimisel.
Järelevaatamise käigus võib juhtiv järelevaatamisasutus võtta arvesse asjakohaseid kolmandate isikute sertifikaate ning kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja kättesaadavaks tehtud sise- või välisauditi aruandeid.
Artikkel 41
Järelevaatamist võimaldavate tingimuste ühtlustamine
Euroopa järelevalveasutused töötavad ühiskomitee kaudu välja regulatiivsete tehniliste standardite eelnõud, et täpsustada järgmist:
teave, mille kolmandast isikust IKT-teenuste osutaja peab esitama taotluses, kui ta soovib artikli 31 lõike 11 kohaselt taotleda vabatahtlikku kriitilise tähtsusega ettevõtjaks määramist;
sellise teabe sisu, struktuur ja vorm, mille kolmandast isikust IKT-teenuste osutajad peavad artikli 35 lõike 1 kohaselt esitama või avalikustama või mida nad peavad aruannetes käsitlema, sealhulgas alltöövõtulepinguid käsitleva teabe esitamise vorm;
kriteeriumid, mille alusel määratakse kindlaks ühise kontrollirühma koosseis, tagades Euroopa järelevalveasutuste ja asjaomaste pädevate asutuste töötajate tasakaalustatud osalemise, nimetatakse ametisse kontrollirühma liikmed, määratakse kindlaks ülesanded ja töökorraldus;
pädevate asutuste üksikasjalik hinnang meetmetele, mida kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad on võtnud artikli 42 lõike 3 kohaste juhtiva järelevaatamisasutuse soovituste alusel.
Komisjonile antakse õigus käesolevat määrust täiendada, võttes vastu lõikes 1 osutatud regulatiivsed tehnilised standardid vastavalt menetlusele, mis on sätestatud kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artiklitega 10–14.
Artikkel 42
Pädevate asutuste järelmeetmed
Juhtiv järelevaatamisasutus teavitab kolmandast isikust IKT-teenuste osutajat kõnealusest avalikustamisest.
Kolmandast isikust tuleneva IKT-riski juhtimisel võtavad finantssektori ettevõtjad arvesse esimeses lõigus osutatud riske.
Pärast artikli 35 lõike 1 punktis c osutatud aruannete saamist võtavad pädevad asutused käesoleva artikli lõikes 6 osutatud otsuste tegemisel arvesse kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja poolt käsitlemata riski liiki ja ulatust ning nõuete täitmata jätmise tõsidust, võttes arvesse järgmisi kriteeriume:
nõuete täitmata jätmise raskusaste ja kestus;
kas nõuete täitmata jätmine on paljastanud tõsiseid nõrku kohti kolmandast isikust IKT-teenuste osutaja menetlustes, juhtimissüsteemides, riskijuhtimises ja sisekontrollis;
kas nõuete täitmata jätmine hõlbustas finantskuritegu, põhjustas selle või on muul viisil sellega seostatav;
kas nõuete täitmata jätmine pandi toime tahtlikult või hooletuse tõttu;
kas lepingute peatamine või lõpetamine ohustab finantssektori ettevõtja äritegevuse järjepidevust, olenemata finantssektori ettevõtja jõupingutustest vältida häireid oma teenuste pakkumisel;
asjakohasel juhul nende direktiivi (EL) 2022/2555 kohaselt. määratud või asutatud pädevate asutuste arvamus, kes vastutavad nimetatud direktiivi kohaldamisalasse jääva sellise elutähtsa või olulise üksuse järelevalve eest, mis on määratud kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajaks, on taotletud vabatahtlikkuse alusel kooskõlas käesoleva artikli lõikega 5.
Pädevad asutused annavad finantssektori ettevõtjatele vajaliku aja, et nad saaksid kohandada kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatega sõlmitud lepinguid, et vältida negatiivset mõju nende digitaalsele tegevuskerksusele ning võimaldada neil rakendada artiklis 28 osutatud väljumisstrateegiaid ja üleminekukavasid.
Kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad, keda lõikes 6 sätestatud otsused mõjutavad, teevad mõjutatud finantssektori ettevõtjatega täielikku koostööd, eelkõige seoses nende lepingute peatamise või lõpetamisega.
Artikkel 43
Järelevaatamistasud
Kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajalt võetav tasu katab kõik käesolevas jaos ette nähtud ülesannete täitmisega seotud kulud ja on proportsionaalne tema käibega.
Artikkel 44
Rahvusvaheline koostöö
VI PEATÜKK
Teabe jagamise kokkulepped
Artikkel 45
Küberohte käsitleva teabe ja teadmuse jagamise kokkulepped
Finantssektori ettevõtjad võivad omavahel vahetada küberohte käsitlevat teavet ja teadmust, sealhulgas ohunäitajaid, taktikat, võtteid ja menetlusi, küberturbehoiatusi ja konfigureerimisvahendeid, kui sellise teabe ja teadmuse jagamine:
aitab suurendada finantssektori ettevõtjate digitaalset tegevuskerksust ning eelkõige suurendab küberohtudest teadlikkust, piirab või takistab küberohtude levikut, toetab kaitsevõimeid, ohu avastamise meetodeid, leevendusstrateegiaid või reageerimis- ja taastamisetappe;
toimub finantssektori ettevõtjate jaoks usaldusväärses kogukonnas;
toimub selliste teabejagamise kokkulepete alusel, mis kaitsevad jagatava teabe potentsiaalselt tundlikku laadi ning mille suhtes kohaldatakse tegevusreegleid, austades täielikult ärisaladuse ja isikuandmete kaitse põhimõtteid kooskõlas määrusega (EL) 2016/679 ning konkurentsipoliitika suuniseid.
VII PEATÜKK
Pädevad asutused
Artikkel 46
Pädevad asutused
Ilma et see piiraks käesoleva määruse V peatüki II jaos osutatud kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate järelevaatamisraamistikku käsitlevate sätete kohaldamist, tagavad käesoleva määruse järgimise kooskõlas vastavates õigusaktides sätestatud volitustega järgmised pädevad asutused:
krediidiasutuste ja nende asutuste puhul, mille suhtes kohaldatakse direktiivi 2013/36/EL kohast erandit, kõnealuse direktiivi artikli 4 kohaselt määratud pädev asutus ning määruse (EL) nr 1024/2013 artikli 6 lõike 4 kohaselt oluliseks liigitatud krediidiasutuste puhul EKP vastavalt kõnealuse määrusega antud volitustele ja ülesannetele;
makseasutuste puhul, sealhulgas nende makseasutuste puhul, mille suhtes kohaldatakse direktiivi (EL) 2015/2366 kohast erandit, e-raha asutuste puhul, sealhulgas nende puhul, mille suhtes kohaldatakse direktiivi 2009/110/EÜ kohast erandit, ning direktiivi (EL) 2015/2366 artikli 33 lõikes 1 osutatud kontoteabe teenuse pakkujate puhul direktiivi (EL) 2015/2366 artikli 22 kohaselt määratud pädev asutus;
investeerimisühingute puhul Euroopa Parlamendi ja nõukogu direktiivi (EL) 2019/2034 artikli 4 kohaselt määratud pädev asutus ( 8 );
krüptovarateenuse osutajate, kes on tegevusloa saanud krüptovaraturgude määruse alusel, ja varapõhiste tokenite emitentide puhul kõnealuse määruse asjakohase sätte kohaselt määratud pädev asutus;
väärtpaberite keskdepositooriumide puhul määruse (EL) nr 909/2014 artikli 11 kohaselt määratud pädev asutus;
kesksete vastaspoolte puhul määruse (EL) nr 648/2012 artikli 22 kohaselt määratud pädev asutus;
kauplemiskohtade ja aruandlusteenuse pakkujate puhul direktiivi 2014/65/EL artikli 67 kohaselt määratud pädev asutus ja määruse (EL) nr 600/2014 artikli 2 lõike 1 punktis 18 määratletud pädev asutus;
kauplemisteabehoidlate puhul määruse (EL) nr 648/2012 artikli 22 kohaselt määratud pädev asutus;
alternatiivsete investeerimisfondide valitsejate puhul direktiivi 2011/61/EL artikli 44 kohaselt määratud pädev asutus;
fondivalitsejate puhul direktiivi 2009/65/EÜ artikli 97 kohaselt määratud pädev asutus;
kindlustus- ja edasikindlustusandjate puhul direktiivi 2009/138/EÜ artikli 30 kohaselt määratud pädev asutus;
kindlustus- ja edasikindlustusvahendajate ja kõrvaltegevusena pakutava kindlustuse vahendajate puhul direktiivi (EL) 2016/97 artikli 12 kohaselt määratud pädev asutus;
tööandja kogumispensioni asutuste puhul direktiivi (EL) 2016/2341 artikli 47 kohaselt määratud pädev asutus;
reitinguagentuuride puhul määruse (EÜ) nr 1060/2009 artikli 21 kohaselt määratud pädev asutus;
kriitilise tähtsusega võrdlusaluste haldurite puhul määruse (EL) 2016/1011 artiklite 40 ja 41 kohaselt määratud pädev asutus;
ühisrahastusteenuse osutajate puhul määruse (EL) 2020/1503 artikli 29 kohaselt määratud pädev asutus;
väärtpaberistamise registrite puhul määruse (EL) 2017/2402 artikli 10 ja artikli 14 lõike 1 kohaselt määratud pädev asutus.
Artikkel 47
Koostöö direktiiviga (EL) 2022/2555 loodud struktuuride ja asutustega
Artikkel 48
Asutustevaheline koostöö
Artikkel 49
Finantssektoriteülesed simulatsioonid, teabevahetus ja koostöö
Nad võivad välja töötada kriisijuhtimis- ja erandolukorra simulatsioone, mis hõlmavad küberrünnete stsenaariume, et töötada välja sidekanalid ja võimaldada järk-järgult tõhusat koordineeritud reageerimist liidu tasandil IKTga seotud olulise piiriülese intsidendi või seonduva ohu korral, millel on süsteemne mõju liidu finantssektorile tervikuna.
Nende simulatsioonide käigus võib kohasel määral testida ka finantssektori sõltuvust muudest majandussektoritest.
Artikkel 50
Halduskaristused ja parandusmeetmed
Lõike 1 kohased volitused peavad hõlmama vähemalt järgmisi volitusi:
tutvuda kõigi dokumentidega või mis tahes vormis muude andmetega, mis pädeva asutuse arvates võiksid olla tema ülesannete täitmiseks olulised, ja saada või teha nende dokumentide koopiaid;
teha kohapeal kontrolle või uurimisi, mis hõlmavad muu hulgas järgmist, kuid ei piirdu sellega:
kutsuda finantssektori ettevõtjate esindajaid välja ja paluda neil anda suulisi või kirjalikke selgitusi uurimise sisu ja eesmärgiga seotud asjaolude või dokumentide kohta ning salvestada vastuseid;
küsitleda teisi küsitlemisega nõustuvaid füüsilisi või juriidilisi isikuid, et koguda teavet uurimise sisu kohta;
nõuda käesoleva määruse nõuete rikkumise korral parandus- ja ennetusmeetmete võtmist.
Sellised karistused ja meetmed peavad olema tulemuslikud, proportsionaalsed ja hoiatavad.
Liikmesriigid annavad pädevatele asutustele õiguse kohaldada käesoleva määruse rikkumise korral vähemalt järgmisi halduskaristusi või parandusmeetmeid:
teha ettekirjutus, et füüsiline või juriidiline isik lõpetaks käesolevat määrust rikkuva tegevuse ja hoiduks selle tegevuse kordamisest;
nõuda sellise tegevuse või tava ajutist või alalist peatamist, mis pädeva asutuse arvates on vastuolus käesoleva määruse sätetega, ning hoida ära sellise tegevuse või tava kordumine;
võtta mis tahes liiki meetmeid, sealhulgas rahalisi meetmeid, tagamaks, et finantssektori ettevõtjad jätkavad õigusnormide järgimist;
nõuda liikmesriigi õigusega lubatud ulatuses sideoperaatorite valduses olevaid andmeliiklusandmeid, kui on piisav alus kahtlustada käesoleva määruse nõuete rikkumist ja kui sellised andmed võivad olla olulised käesoleva määruse rikkumiste uurimisel, ning
väljastada avalikke teadaandeid, mis sisaldavad füüsilise või juriidilise isiku identiteeti ja rikkumise laadi.
Artikkel 51
Halduskaristuste ja parandusmeetmete määramise õiguse kasutamine
Vajaduse korral kasutavad pädevad asutused oma volitusi artiklis 50 osutatud halduskaristuste ja parandusmeetmete määramisel kooskõlas oma riigi õigusraamistikuga kas
otse;
koostöös teiste ametiasutustega;
omal vastutusel, delegeerides küsimuse teistele ametiasutustele, või
suunates küsimuse pädevatele õigusasutustele.
Kui pädevad asutused määravad kindlaks artikli 50 kohase halduskaristuse või parandusmeetme liiki ja ulatust, võtavad nad seejuures arvesse, mil määral on rikkumine tahtlik või tuleneb hooletusest, ja kõiki muid asjakohaseid asjaolusid, sealhulgas kohasel juhul järgmist:
rikkumise olulisus, raskusaste ja kestus;
rikkumise toime pannud füüsilise või juriidilise isiku vastutuse ulatus;
vastutava füüsilise või juriidilise isiku finantsseisundi tugevus;
vastutava füüsilise või juriidilise isiku saadud kasu või välditud kahju suurus, kui seda on võimalik kindlaks määrata;
kolmandate isikute kahju, mis tulenes rikkumisest, kui seda on võimalik kindlaks määrata;
vastutava füüsilise või juriidilise isiku ja pädeva asutuse koostöö tase, ilma et see piiraks vajadust tagada kõnealuse füüsilise või juriidilise isiku saadud kasumi tagastamine või välditud kahjumi sissenõudmine;
vastutava füüsilise või juriidilise isiku varasemad rikkumised.
Artikkel 52
Kriminaalkaristused
Artikkel 53
Teatamiskohustus
Liikmesriigid teavitavad komisjoni, ESMAt, EBAt ja EIOPAt oma õigus- ja haldusnormidest, millega võetakse üle käesolev peatükk, sealhulgas asjaomastest kriminaalõiguse sätetest hiljemalt 17. jaanuariks 2025. Liikmesriigid teatavad komisjonile, ESMA-le, EBA-le ja EIOPA-le kõigist nende õigusnormide hilisematest muudatustest ilma põhjendamatu viivituseta.
Artikkel 54
Halduskaristuste avaldamine
Kui pädev asutus leiab pärast juhtumipõhist hindamist, et juriidilise isiku identiteedi või füüsilise isiku identiteedi ja isikuandmete avaldamine oleks ebaproportsionaalne, hõlmates isikuandmete kaitsega seotud riske, ohustaks finantsturgude stabiilsust või käimasolevat kriminaaluurimist või põhjustaks asjaomasele isikule ebaproportsionaalselt suurt kahju, niivõrd kui seda on võimalik kindlaks teha, võtab ta halduskaristuse määramise otsuse suhtes vastu ühe järgmistest võimalustest:
lükata otsuse avaldamine edasi seni, kuni kõik mitteavaldamise põhjused langevad ära;
avaldada see anonüümselt kooskõlas liikmesriigi õigusega või
hoiduda selle avaldamisest, kui punktides a ja b sätestatud võimalusi peetakse kas ebapiisavaks, et tagada ohu puudumine finantsturgude stabiilsusele, või kui selline avaldamine ei oleks proportsionaalne karistuse määramisel rakendatud leebema kohtlemisega.
Artikkel 55
Ametisaladus
Artikkel 56
Andmekaitse
VIII PEATÜKK
Delegeeritud õigusaktid
Artikkel 57
Delegeeritud volituste rakendamine
IX PEATÜKK
Ülemineku- ja lõppsätted
Artikkel 58
Läbivaatamisklausel
Komisjon teeb hiljemalt 17. jaanuariks 2028 ning pärast kohasel viisil Euroopa järelevalveasutuste ja Euroopa Süsteemsete Riskide Nõukoguga konsulteerimist läbivaatamise ning esitab Euroopa Parlamendile ja nõukogule aruande, millele lisatakse seadusandlik ettepanek, kui see on asjakohane. Läbivaatamine hõlmab vähemalt järgmist:
artikli 31 lõikes 2 sätestatud kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajateks määramise kriteeriumid;
artiklis 19 osutatud olulistest küberohtudest teavitamise vabatahtlikkus;
artikli 31 lõikes 12 osutatud kord ja artikli 35 lõike 1 punkti d alapunkti iv esimeses taandes sätestatud juhtiva järelevaatamisasutuse volitused, et hinnata nende sätete tõhusust kolmandas riigis asutatud kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate tõhusa järelevaatamise tagamisel ning vajadust asutada liidus tütarettevõtja.
Käesoleva punkti esimese lõigu kohaldamisel hõlmab läbivaatamine artikli 31 lõikes 12 osutatud korra analüüsi, sealhulgas liidu finantssektori ettevõtjate juurdepääsu tingimusi kolmandatest riikidest pärit teenustele ja teenuste kättesaadavust liidu turul, ning selles võetakse arvesse käesoleva määrusega hõlmatud teenuste turgude edasist arengut, finantssektori ettevõtjate ja finantsjärelevalveasutuste praktilisi kogemusi vastavalt kõnealuse korra kohaldamise ja järelevalvega seoses ning kõiki rahvusvahelisel tasandil toimuvaid asjakohaseid regulatiivseid ja järelevalvealaseid suundumusi;
käesoleva määruse kohaldamisalasse nende artikli 2 lõike 3 punktis e osutatud finantssektori ettevõtjate lisamise asjakohasus, kes kasutavad automatiseeritud müügisüsteeme, võttes arvesse selliste süsteemide kasutamisega seotud tulevasi turusuundumusi;
ühise järelevaatamisvõrgustiku toimimine ja tõhusus järelevaatamisraamistiku raames toimuva järelevaatamise järjepidevuse ja teabevahetuse tõhususe toetamisel.
Kõnealuse läbivaatamisaruande põhjal ja pärast konsulteerimist Euroopa järelevalveasutustega, EKP ja Euroopa Süsteemsete Riskide Nõukoguga võib komisjon asjakohasel juhul ja osana seadusandlikust ettepanekust, mille ta võib direktiivi (EL) 2015/2366 artikli 108 teise lõigu kohaselt vastu võtta, esitada ettepaneku, millega tagatakse, et kõigi maksesüsteemide käitajate ja makseid töötlevate ettevõtjate suhtes kohaldatakse asjakohast järelevaatamist, võttes samal ajal arvesse olemasolevat keskpangapoolset järelevaatamist.
Artikkel 59
Määruse (EÜ) nr 1060/2009 muutmine
Määrust (EÜ) nr 1060/2009 muudetakse järgmiselt.
I lisa A jao punkti 4 esimene lõik asendatakse järgmisega:
„Reitinguagentuuril on usaldusväärne haldus- ja raamatupidamiskord, sisekontrollimehhanism, tõhusad riskianalüüsi menetlused ning tõhus kontrolli- ja kaitsekord IKT-süsteemide haldamiseks kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) 2022/2554 ( *1 ).“
III lisa punkt 12 asendatakse järgmisega:
Reitinguagentuur rikub artikli 6 lõiget 2 koostoimes I lisa A jao punktiga 4, kui tal ei ole usaldusväärset haldus- või raamatupidamiskorda, sisekontrollimehhanismi, tõhusaid riskianalüüsi menetlusi ning tõhusat kontrolli- ja kaitsekorda IKT-süsteemide haldamiseks kooskõlas määrusega (EL) 2022/2554, või kui ta ei rakenda ega hoia jõus kõnealuses punktis nõutud otsuste tegemise menetlusi või organisatsioonilist struktuuri.“
Artikkel 60
Määruse (EL) nr 648/2012 muutmine
Määrust (EL) nr 648/2012 muudetakse järgmiselt.
Artiklit 26 muudetakse järgmiselt:
lõige 3 asendatakse järgmisega:
lõige 6 jäetakse välja.
Artiklit 34 muudetakse järgmiselt:
lõige 1 asendatakse järgmisega:
lõike 3 esimene lõik asendatakse järgmisega:
Artikli 56 lõike 3 esimene lõik asendatakse järgmisega:
Artikli 79 lõiked 1 ja 2 asendatakse järgmisega:
Artikli 80 lõige 1 jäetakse välja.
I lisa II jagu muudetakse järgmiselt:
punktid a ja b asendatakse järgmisega:
kauplemisteabehoidla rikub artikli 79 lõiget 1, kui ta ei tee kindlaks operatsiooniriski allikaid ega tööta nende minimeerimiseks välja asjakohaseid süsteeme, kontrolle ega protseduure, sealhulgas kooskõlas määrusega (EL) 2022/2554 hallatavaid IKT-süsteeme;
kauplemisteabehoidla rikub artikli 79 lõiget 2, kui ta ei kehtesta kooskõlas määrusega (EL) 2022/2554 asjakohaseid talitluspidevuse põhimõtteid ja avariitaastekava ning ei rakenda ega hoia neid jõus, et tagada kauplemisteabehoidla funktsioonide säilimine, tema tegevuse kiire taastamine ja kohustuste täitmine;“;
punkt c jäetakse välja.
III lisa muudetakse järgmiselt:
II jagu muudetakse järgmiselt:
punkt c asendatakse järgmisega:
teise taseme keskne vastaspool rikub artikli 26 lõiget 3, kui ta ei hoia jõus ega rakenda sellist organisatsioonilist struktuuri, millega tagatakse, et teenuseid osutatakse ja tegevusi sooritatakse järjepidevalt ja korrektselt, või kui ta ei kasuta asjakohaseid ja proportsionaalseid süsteeme, ressursse ja protseduure, sealhulgas kooskõlas määrusega (EL) 2022/2554 hallatavaid IKT-süsteeme;“;
punkt f jäetakse välja;
III jao punkt a asendatakse järgmisega:
teise taseme keskne vastaspool rikub artikli 34 lõiget 1, kui ta ei kehtesta kooskõlas määrusega (EL) 2022/2554 asjakohaseid talitluspidevuse põhimõtteid ja avariitaastekava, ning ei rakenda ega hoia neid jõus, et tagada keskse vastaspoole funktsioonide säilitamine, tema tegevuse kiire taastamine ja kohustuste täitmine, võimaldades vähemalt taastada katkestuse korral kõik tehingud, et keskne vastaspool saaks jätkata toimimist kindlalt ja viia arveldamise lõpule kavandatud kuupäeval;“.
Artikkel 61
Määruse (EL) nr 909/2014 muutmine
Määruse (EL) nr 909/2014 artiklit 45 muudetakse järgmiselt:
lõige 1 asendatakse järgmisega:
lõige 2 jäetakse välja;
lõiked 3 ja 4 asendatakse järgmisega:
lõige 6 asendatakse järgmisega:
lõike 7 esimene lõik asendatakse järgmisega:
Artikkel 62
Määruse (EL) nr 600/2014 muutmine
Määrust (EL) nr 600/2014 muudetakse järgmiselt.
Artiklit 27g muudetakse järgmiselt:
lõige 4 asendatakse järgmisega:
Tunnustatud kauplemisteabearuandluse avalikustaja peab täitma Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 ( *4 ) sätestatud võrgu- ja infosüsteemide turvalisuse nõudeid.
lõike 8 punkt c asendatakse järgmisega:
lõigetes 3 ja 5 sätestatud konkreetsed organisatsioonilised nõuded.“
Artiklit 27h muudetakse järgmiselt:
lõige 5 asendatakse järgmisega:
lõike 8 punkt e asendatakse järgmisega:
lõikes 4 sätestatud konkreetsed organisatsioonilised nõuded.“
Artiklit 27i muudetakse järgmiselt:
lõige 3 asendatakse järgmisega:
lõike 5 punkt b asendatakse järgmisega:
lõigetes 2 ja 4 sätestatud konkreetsed organisatsioonilised nõuded.“
Artikkel 63
Määruse (EL) 2016/1011 muutmine
Määruse (EL) 2016/1011 artiklisse 6 lisatakse järgmine lõige:
„Kriitilise tähtsusega võrdlusaluste puhul peab halduril olema usaldusväärne haldus- ja arvestuskord, sisekontrollimehhanism, tõhusad riskianalüüsi menetlused ning tõhus kontrolli- ja kaitsekord IKT-süsteemide haldamiseks kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) 2022/2554 ( *5 ).
Artikkel 64
Jõustumine ja kohaldamine
Käesolev määrus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas.
Seda kohaldatakse alates 17. jaanuarist 2025.
Käesolev määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides.
( 1 ) Euroopa Parlamendi ja nõukogu 13. juuli 2009. aasta direktiiv 2009/65/EÜ vabalt võõrandatavatesse väärtpaberitesse ühiseks investeeringuks loodud ettevõtjaid (eurofondid) käsitlevate õigus- ja haldusnormide kooskõlastamise kohta (ELT L 302, 17.11.2009, lk 32).
( 2 ) Euroopa Parlamendi ja nõukogu 26. juuni 2013. aasta määrus (EL) nr 575/2013, mis käsitleb krediidiasutuste suhtes kohaldatavaid usaldatavusnõudeid ja millega muudetakse määrust (EL) nr 648/2012 (ELT L 176, 27.6.2013, lk 1).
( 3 ) Euroopa Parlamendi ja nõukogu 27. novembri 2019. aasta määrus (EL) 2019/2033, mis käsitleb investeerimisühingute suhtes kohaldatavaid usaldatavusnõudeid ning millega muudetakse määrusi (EL) nr 1093/2010, (EL) nr 575/2013, (EL) nr 600/2014 ja (EL) nr 806/2014 (ELT L 314, 5.12.2019, lk 1).
( 4 ) Euroopa Parlamendi ja nõukogu 20. jaanuari 2016. aasta direktiiv (EL) 2016/97, mis käsitleb kindlustustoodete turustamist (ELT L 26, 2.2.2016, lk 19).
( 5 ) Euroopa Parlamendi ja nõukogu 7. oktoobri 2020. aasta määrus (EL) 2020/1503, mis käsitleb ettevõtjatele Euroopa ühisrahastusteenuse osutajaid ning millega muudetakse määrust (EL) 2017/1129 ja direktiivi (EL) 2019/1937 (ELT L 347, 20.10.2020, lk 1).
( 6 ) Euroopa Parlamendi ja nõukogu 12. detsembri 2017. aasta määrus (EL) 2017/2402, millega kehtestatakse väärtpaberistamise üldnormid ning luuakse lihtsa, läbipaistva ja standarditud väärtpaberistamise erinormid ning millega muudetakse direktiive 2009/65/EÜ, 2009/138/EÜ ja 2011/61/EL ning määrusi (EÜ) nr 1060/2009 ja (EL) nr 648/2012 (ELT L 347, 28.12.2017, lk 35).
( 7 ) Euroopa Parlamendi ja nõukogu 15. juuli 2014. aasta määrus (EL) nr 806/2014, millega kehtestatakse ühtsed eeskirjad ja ühtne menetlus krediidiasutuste ja teatavate investeerimisühingute kriisilahenduseks ühtse kriisilahenduskorra ja ühtse kriisilahendusfondi raames ning millega muudetakse määrust (EL) nr 1093/2010 (ELT L 225, 30.7.2014, lk 1).
( 8 ) Euroopa Parlamendi ja nõukogu 27. november 2019. aasta direktiiv (EL) 2019/2034, mis käsitleb investeerimisühingute usaldatavusnõuete täitmise järelevalvet ning millega muudetakse direktiive 2002/87/EÜ, 2009/65/EÜ, 2011/61/EL, 2013/36/EL, 2014/59/EL ja 2014/65/EL (ELT L 314, 5.12.2019, lk 64).
( 9 ) Euroopa Parlamendi ja nõukogu 17. mai 2006. aasta direktiiv 2006/43/EÜ, mis käsitleb raamatupidamise aastaaruannete ja konsolideeritud aruannete kohustuslikku auditit ning millega muudetakse nõukogu direktiive 78/660/EMÜ ja 83/349/EMÜ ning tunnistatakse kehtetuks nõukogu direktiiv 84/253/EMÜ (ELT L 157, 9.6.2006, lk 87).
( *1 ) Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta määrus (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1).“
( *2 ) Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta määrus (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1).“;
( *3 ) Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta määrus (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1).“;
( *4 ) Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta määrus (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1).“;
( *5 ) Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta määrus (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1).“