POGLAVJE I

Splošne določbe

Člen 1

Predmet urejanja

Za doseganje visoke skupne stopnje digitalne operativne odpornosti ta uredba določa enotne zahteve glede varnosti omrežnih in informacijskih sistemov, ki podpirajo poslovne procese finančnih subjektov, kot sledi:

(a)

zahteve, ki veljajo za finančne subjekte glede:

(i)

obvladovanja tveganj na področju informacijske in komunikacijske tehnologije (IKT);

(ii)

poročanja pristojnim organom o večjih incidentih, povezanih z IKT, in prostovoljnega obveščanja pristojnih organov o pomembnih kibernetskih grožnjah;

(iii)

poročanja finančnih subjektov iz člena 2(1), točke (a) do (d), pristojnim organom o večjih operativnih ali varnostnih incidentih, povezanih s plačili;

(iv)

testiranja digitalne operativne odpornosti;

(v)

izmenjave informacij in obveščevalnih podatkov v zvezi s kibernetskimi grožnjami in ranljivostmi;

(vi)

ukrepov za dobro obvladovanje tveganj tretjih strani na področju IKT;

(b)

zahteve v zvezi s pogodbenimi dogovori, sklenjenimi med tretjimi ponudniki storitev IKT in finančnimi subjekti;

(c)

pravila za vzpostavitev in izvajanje okvira nadzora za ključne tretje ponudnike storitev IKT, ko opravljajo storitve za finančne subjekte;

(d)

pravila o sodelovanju med pristojnimi organi in pravila o nadzoru in izvrševanju s strani pristojnih organov v zvezi z vsemi zadevami, zajetimi v tej uredbi.

V zvezi s finančnimi subjekti, opredeljenimi kot bistvenimi ali pomembnimi subjekti na podlagi nacionalnih pravil za prenos člena 3 Direktive (EU) 2022/2555, se ta uredba za namene člena 4 navedene direktive šteje za sektorski pravni akt Unije.

Ta uredba ne posega v odgovornost držav članic glede temeljnih državnih funkcij v zvezi z javno varnostjo, obrambo in nacionalno varnostjo v skladu s pravom Unije.

Člen 2

Področje uporabe

Ta uredba se brez poseganja v odstavka 3 in 4 uporablja za naslednje subjekte:

(a)

kreditne institucije;

(b)

plačilne institucije, vključno s plačilnimi institucijami, izvzetimi na podlagi Direktive (EU) 2015/2366;

(c)

ponudnike storitev zagotavljanja informacij o računih;

(d)

institucije za izdajo elektronskega denarja, vključno z institucijami za izdajo elektronskega denarja, izvzetimi na podlagi Direktive 2009/110/ES;

(e)

investicijska podjetja;

(f)

ponudnike storitev v zvezi s kriptosredstvi, pooblaščene na podlagi uredbe Evropskega parlamenta in Sveta o trgih kriptosredstev ter spremembi uredb (EU) št. 1093/2010 in (EU) št. 1095/2010 ter direktiv 2013/36/EU in (EU) 2019/1937 (v nadaljnjem besedilu: uredba o trgih kriptosredstev) in izdajatelje žetonov, vezanih na sredstva;

(g)

centralne depotne družbe;

(h)

centralne nasprotne stranke;

(i)

mesta trgovanja;

(j)

repozitorije sklenjenih poslov;

(k)

upravitelje alternativnih investicijskih skladov;

(l)

družbe za upravljanje;

(m)

izvajalce storitev sporočanja podatkov;

(n)

zavarovalnice in pozavarovalnice;

(o)

zavarovalne posrednike, pozavarovalne posrednike in posrednike dopolnilnih zavarovanj;

(p)

institucije za poklicno pokojninsko zavarovanje;

(q)

bonitetne agencije;

(r)

upravljavce ključnih referenčnih vrednosti;

(s)

ponudnike storitev množičnega financiranja;

(t)

repozitorije listinjenja;

(u)

tretje ponudnike storitev IKT.

V tej uredbi se subjekti iz odstavka 1, točke (a) do (t), skupaj imenujejo „finančni subjekti“.

Ta uredba se ne uporablja za:

(a)

upravitelje alternativnih investicijskih skladov iz člena 3(2) Direktive 2011/61/EU;

(b)

zavarovalnice in pozavarovalnice iz člena 4 Direktive 2009/138/ES;

(c)

institucije za poklicno pokojninsko zavarovanje, ki upravljajo pokojninske načrte, ki skupaj nimajo več kot 15 članov;

(d)

fizične ali pravne osebe, izvzete na podlagi členov 2 in 3 Direktive 2014/65/EU;

(e)

zavarovalne posrednike, pozavarovalne posrednike in posrednike dopolnilnih zavarovanj, ki so mikropodjetja ali mala ali srednja podjetja;

(f)

poštne institucije, ki opravljajo storitev brezgotovinskega nakazovanja, iz člena 2(5), točka 3, Direktive 2013/36/EU.

Države članice lahko s področja uporabe te uredbe izključijo subjekte iz člena 2(5), točke 4 do 23, Direktive 2013/36/EU, ki se nahajajo na njihovem ozemlju. Kadar država članica uporabi to možnost, o tem in o vseh naknadnih spremembah obvesti Komisijo. Komisija da te informacije javno na voljo na svojem spletnem mestu ali na drug lahko dostopen način.

Člen 3

Opredelitev pojmov

V tej uredbi se uporabljajo naslednje opredelitve pojmov:

(1)

„digitalna operativna odpornost“ pomeni sposobnost finančnega subjekta, da vzpostavi, zagotavlja in pregleduje svojo operativno celovitost in zanesljivost, tako da neposredno ali posredno z uporabo storitev tretjih ponudnikov storitev IKT zagotovi celoten sklop zmožnosti, povezanih z IKT, ki so potrebne za obravnavo varnosti omrežnih in informacijskih sistemov, ki jih uporablja finančni subjekt in ki omogočajo nadaljnje opravljanje in kakovost finančnih storitev, tudi v primeru motenj;

(2)

„omrežni in informacijski sistem“ pomeni omrežni in informacijski sistem, kot je opredeljen v členu 6, točka 1, Direktive (EU) 2022/2555;

(3)

„obstoječi sistem IKT“ pomeni sistem IKT, ki je dosegel konec življenjskega cikla (konec življenjske dobe), ki zaradi tehnoloških ali komercialnih razlogov ni primeren za nadgradnje ali popravke oziroma ga njegov ponudnik ali tretji ponudnik storitev IKT ne podpira več, vendar pa se še vedno uporablja in podpira funkcije finančnega subjekta;

(4)

„varnost omrežnih in informacijskih sistemov“ pomeni varnost omrežnih in informacijskih sistemov, kot je opredeljena v členu 6, točka 2, Direktive (EU) 2022/2555;

(5)

„tveganje na področju IKT“ pomeni vsako razumno določljivo okoliščino v zvezi z uporabo omrežnih in informacijskih sistemov, ki lahko, če se uresniči, ogrozi varnost omrežnih in informacijskih sistemov, vseh orodij ali postopkov, odvisnih od tehnologije, operacij in postopkov ali opravljanja storitev, tako da ima škodljive učinke v digitalnem ali fizičnem okolju;

(6)

„informacijsko sredstvo“ pomeni zbirko informacij, oprijemljivih ali neoprijemljivih, ki jih je vredno zavarovati;

(7)

„sredstvo IKT“ pomeni programsko ali strojno opremo v omrežnih in informacijskih sistemih, ki jih uporablja finančni subjekt;

(8)

„incident, povezan z IKT“ pomeni enkraten dogodek ali vrsto povezanih dogodkov, ki jih finančni subjekt ni predvidel ter ki ogrožajo varnost omrežnih in informacijskih sistemov in škodljivo vplivajo na razpoložljivost, avtentičnost, celovitost ali zaupnost podatkov ali na storitve, ki jih opravlja finančni subjekt;

(9)

„operativni ali varnostni incident, povezan s plačili“ pomeni enkraten dogodek ali vrsto povezanih dogodkov, ki jih finančni subjekti iz člena 2(1), točke (a) do (d), niso predvideli, ne glede na to, ali so povezani z IKT ali ne, in ki škodljivo vplivajo na razpoložljivost, avtentičnost, celovitost ali zaupnost podatkov, povezanih s plačili, ali na storitve, povezane s plačili, ki jih opravlja finančni subjekt;

(10)

„večji incident, povezan z IKT“ pomeni incident, povezan z IKT, ki ima velik škodljiv vpliv na omrežne in informacijske sisteme, ki podpirajo kritične ali pomembne funkcije finančnega subjekta;

(11)

„večji operativni ali varnostni incident, povezan s plačili“ pomeni operativni ali varnostni incident, povezan s plačili, ki ima velik škodljiv vpliv na opravljanje storitve, povezane s plačili;

(12)

„kibernetska grožnja“ pomeni kibernetsko grožnjo, kot je opredeljena v členu 2, točka 8, Uredbe (EU) 2019/881;

(13)

„pomembna kibernetska grožnja“ pomeni kibernetsko grožnjo, katere tehnične značilnosti kažejo na to, da bi lahko povzročila večji incident, povezan z IKT, ali večji operativni ali varnostni incident, povezan s plačili;

(14)

„kibernetski napad“ pomeni zlonamerni incident, povezan z IKT, ki ga povzroči akter grožnje, ko poskuša uničiti, razkriti, spremeniti, onemogočiti ali ukrasti sredstvo, pridobiti nepooblaščen dostop do njega ali ga nedovoljeno uporabiti;

(15)

„obveščevalni podatki o grožnjah“ pomeni informacije, ki so bile združene, preoblikovane, analizirane, razložene ali obogatene, da bi zagotovile potreben okvir za odločanje ter omogočile ustrezno in zadostno razumevanje, da bi se zmanjšal vpliv incidenta, povezanega z IKT, ali kibernetske grožnje, vključno s tehničnimi podrobnostmi kibernetskega napada ter podatki o odgovornih osebah za napad, njihovem načinu delovanja in motivih;

(16)

„ranljivost“ pomeni šibkost, dovzetnost ali napako sredstva, sistema, postopka ali nadzora, ki jo je mogoče izkoristiti;

(17)

„penetracijsko testiranje na podlagi analize groženj“ pomeni okvir, ki posnema taktike, tehnike in postopke dejanskih akterjev groženj, za katere se šteje, da predstavljajo resnično kibernetsko grožnjo, in ki zagotavlja nadzorovan, prilagojen in na podlagi obveščevalnih podatkov (rdeča ekipa) oblikovan test ključnih aktivnih produkcijskih sistemov finančnega subjekta;

(18)

„tveganje tretjih strani na področju IKT“ pomeni tveganje na področju IKT, ki lahko grozi finančnemu subjektu zaradi njegove uporabe storitev IKT, ki jih opravljajo tretji ponudniki storitev IKT ali njihovi podizvajalci, tudi z dogovori o zunanjem izvajanju;

(19)

„tretji ponudnik storitev IKT“ pomeni podjetje, ki opravlja storitve IKT;

(20)

„ponudnik storitev IKT znotraj skupine“ pomeni podjetje, ki je del finančne skupine in opravlja predvsem storitve IKT finančnim subjektom v isti skupini ali finančnim subjektom, ki spadajo v isto institucionalno shemo za zaščito vlog, vključno z obvladujočimi in odvisnimi podjetji, podružnicami ali drugimi subjekti, ki so pod skupnim lastništvom ali nadzorom;

(21)

„storitve IKT“ pomeni digitalne in podatkovne storitve, ki se prek sistemov IKT neprekinjeno opravljajo za enega ali več notranjih ali zunanjih uporabnikov, vključno s strojno opremo kot storitvijo in storitvami v zvezi s strojno opremo, kar vključuje zagotavljanje tehnične podpore s tem, da ponudnik strojne opreme posodablja programsko ali strojno programsko opremo, razen tradicionalnih analognih telefonskih storitev;

(22)

„kritična ali pomembna funkcija“ pomeni funkcijo, katere motnja bi bistveno škodovala finančni uspešnosti finančnega subjekta ali trdnosti ali neprekinjenosti njegovih storitev in dejavnosti, oziroma katere prekinjeno, pomanjkljivo ali neuspešno izvajanje bi bistveno oviralo finančni subjekt, da neprekinjeno izpolnjuje pogoje in obveznosti iz njegovega pooblastila ali druge obveznosti v skladu z veljavnim pravom o finančnih storitvah;

(23)

„ključni tretji ponudnik storitev IKT“ pomeni tretjega ponudnika storitev IKT, imenovanega kot ključnega v skladu s členom 31;

(24)

„tretji ponudnik storitev IKT s sedežem v tretji državi“ pomeni tretjega ponudnika storitev IKT, ki je pravna oseba s sedežem v tretji državi in ki je sklenil pogodbeni dogovor s finančnim subjektom za opravljanje storitev IKT;

(25)

„odvisno podjetje“ pomeni odvisno podjetje v smislu člena 2, točka 10, in člena 22 Direktive 2013/34/EU;

(26)

„skupina“ pomeni skupino, kot je opredeljena v členu 2, točka 11, Direktive 2013/34/EU;

(27)

„obvladujoče podjetje“ pomeni obvladujoče podjetje v smislu člena 2, točka 9, in člena 22 Direktive 2013/34/EU;

(28)

„podizvajalec storitev IKT s sedežem v tretji državi“ pomeni podizvajalca storitev IKT, ki je pravna oseba s sedežem v tretji državi in ki je sklenil pogodbeni dogovor bodisi s tretjim ponudnikom storitev IKT ali tretjim ponudnikom storitev IKT s sedežem v tretji državi;

(29)

„tveganje koncentracije na področju IKT“ pomeni izpostavljenost enemu ali več povezanim ključnim tretjim ponudnikom storitev IKT, ki ustvarja določeno stopnjo odvisnosti od takih ponudnikov, tako da lahko nedosegljivost, nezmožnost opravljanja storitev ali druga vrsta izpada takega ponudnika potencialno ogrozi sposobnost finančnega subjekta, da opravlja kritične ali pomembne funkcije, ali pa mu povzroči druge vrste škodljivih učinkov, vključno z velikimi izgubami, oziroma ogrozi finančno stabilnost Unije kot celote;

(30)

„upravljalni organ“ pomeni upravljalni organ, kot je opredeljen v členu 4(1), točka 36, Direktive 2014/65/EU, členu 3(1), točka 7, Direktive 2013/36/EU, členu 2(1), točka (s), Direktive 2009/65/ES Evropskega parlamenta in Sveta ( 1 ), členu 2(1), točka 45, Uredbe (EU) št. 909/2014, členu 3(1), točka 20, Uredbe (EU) 2016/1011, in v ustrezni določbi uredbe o trgih kriptosredstev ali enakovredne osebe, ki dejansko vodijo subjekt ali imajo kritične funkcije v skladu z ustreznim pravom Unije ali nacionalnim pravom;

(31)

„kreditna institucija“ pomeni kreditno institucijo, kot je opredeljena v členu 4(1), točka 1, Uredbe (EU) št. 575/2013 Evropskega parlamenta in Sveta ( 2 );

(32)

„institucija, izvzeta na podlagi Direktive 2013/36/EU“ pomeni subjekt iz člena 2(5), točke 4 do 23, Direktive 2013/36/EU;

(33)

„investicijsko podjetje“ pomeni investicijsko podjetje, kot je opredeljeno v členu 4(1), točka 1, Direktive 2014/65/EU;

(34)

„malo in nepovezano investicijsko podjetje“ pomeni investicijsko podjetje, ki izpolnjuje pogoje iz člena 12(1) Uredbe (EU) 2019/2033 Evropskega parlamenta in Sveta ( 3 );

(35)

„plačilna institucija“ pomeni plačilno institucijo, kot je opredeljena v členu 4, točka 4, Direktive (EU) 2015/2366;

(36)

„plačilna institucija, izvzeta na podlagi Direktive (EU) 2015/2366“ pomeni plačilno institucijo, ki je izvzeta na podlagi člena 32(1) Direktive (EU) 2015/2366;

(37)

„ponudnik storitev zagotavljanja informacij o računih“ pomeni ponudnika storitev zagotavljanja informacij o računih iz člena 33(1) Direktive (EU) 2015/2366;

(38)

„institucija za izdajo elektronskega denarja“ pomeni institucijo za izdajo elektronskega denarja, kot je opredeljena v členu 2, točka 1, Direktive 2009/110/ES Evropskega parlamenta in Sveta;

(39)

„institucija za izdajo elektronskega denarja, izvzeta na podlagi Direktive 2009/110/ES“ pomeni institucijo za izdajo elektronskega denarja, ki ji je bila odobrena opustitev iz člena 9(1) Direktive 2009/110/ES;

(40)

„centralna nasprotna stranka“ pomeni centralno nasprotno stranko, kot je opredeljena v členu 2, točka 1, Uredbe (EU) št. 648/2012;

(41)

„repozitorij sklenjenih poslov“ pomeni repozitorij sklenjenih poslov, kot je opredeljen v členu 2, točka 2, Uredbe (EU) št. 648/2012;

(42)

„centralna depotna družba“ pomeni centralno depotno družbo, kot je opredeljena v členu 2(1), točka 1, Uredbe (EU) št. 909/2014;

(43)

„mesto trgovanja“ pomeni mesto trgovanja, kot je opredeljeno v členu 4(1), točka 24, Direktive 2014/65/EU;

(44)

„upravitelj alternativnih investicijskih skladov“ pomeni upravitelja alternativnih investicijskih skladov, kot je opredeljen v členu 4(1), točka (b), Direktive 2011/61/EU;

(45)

„družba za upravljanje“ pomeni družbo za upravljanje, kot je opredeljena v členu 2(1), točka (b), Direktive 2009/65/ES;

(46)

„izvajalec storitev sporočanja podatkov“ pomeni izvajalca storitev sporočanja podatkov v smislu Uredbe (EU) št. 600/2014, iz člena 2(1), točke 34 do 36 navedene uredbe;

(47)

„zavarovalnica“ pomeni zavarovalnico, kot je opredeljena v členu 13, točka 1, Direktive 2009/138/ES;

(48)

„pozavarovalnica“ pomeni pozavarovalnico, kot je opredeljena v členu 13, točka 4, Direktive 2009/138/ES;

(49)

„zavarovalni posrednik“ pomeni zavarovalnega posrednika, kot je opredeljen v členu 2(1), točka 3, Direktive (EU) 2016/97 Evropskega parlamenta in Sveta ( 4 );

(50)

„posrednik dopolnilnih zavarovanj“ pomeni posrednika dopolnilnih zavarovanj, kot je opredeljen v členu 2(1), točka 4, Direktive (EU) 2016/97;

(51)

„pozavarovalni posrednik“ pomeni pozavarovalnega posrednika, kot je opredeljen v členu 2(1), točka 5, Direktive (EU) 2016/97;

(52)

„institucija za poklicno pokojninsko zavarovanje“ pomeni institucijo za poklicno pokojninsko zavarovanje, kot je opredeljena v členu 6, točka 1, Direktive (EU) 2016/2341;

(53)

„mala institucija za poklicno pokojninsko zavarovanje“ pomeni institucijo za poklicno pokojninsko zavarovanje, ki upravlja pokojninske načrte, ki imajo skupaj manj kot 100 članov;

(54)

„bonitetna agencija“ pomeni bonitetno agencijo, kot je opredeljena v členu 3(1), točka (b), Uredbe (ES) št. 1060/2009;

(55)

„ponudnik storitev v zvezi s kriptosredstvi“ pomeni ponudnika storitev v zvezi s kriptosredstvi, kot je opredeljen v ustrezni določbi uredbe o trgih kriptosredstev;

(56)

„izdajatelj žetonov, vezanih na sredstva“ pomeni izdajatelja žetonov, vezanih na sredstva, kot so opredeljeni v ustrezni določbi uredbe o trgih kriptosredstev;

(57)

„upravljavec ključnih referenčnih vrednosti“ pomeni upravljavca ključnih referenčnih vrednosti, kot so opredeljene v členu 3(1), točka 25, Uredbe (EU) 2016/1011;

(58)

„ponudnik storitev množičnega financiranja“ pomeni ponudnika storitev množičnega financiranja, kot je opredeljen v členu 2(1), točka (e), Uredbe (EU) 2020/1503 Evropskega parlamenta in Sveta ( 5 );

(59)

„repozitorij listinjenj“ pomeni repozitorij listinjenj, kot je opredeljen v členu 2, točka 23, Uredbe (EU) 2017/2402 Evropskega parlamenta in Sveta ( 6 );

(60)

„mikropodjetje“ pomeni finančni subjekt, ki ni mesto trgovanja, centralna nasprotna stranka, repozitorij sklenjenih poslov ali centralna depotna družba, ki ima manj kot 10 zaposlenih in ima letni promet in/ali letno bilančno vsoto, ki ne presega 2 milijonov EUR;

(61)

„glavni nadzornik“ pomeni evropski nadzorni organ, imenovan v skladu s členom 31(1), točka (b), te uredbe;

(62)

„Skupni odbor“ pomeni odbor iz člena 54 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010;

(63)

„malo podjetje“ pomeni finančni subjekt, ki ima 10 ali več, vendar manj kot 50 zaposlenih in ima letni promet in/ali letno bilančno vsoto, ki presega 2 milijona, vendar ne presega 10 milijonov EUR;

(64)

„srednje podjetje“ pomeni finančni subjekt, ki ni malo podjetje in ima manj kot 250 zaposlenih ter ima letni promet, ki ne presega 50 milijonov EUR, in/ali letno bilančno vsoto, ki ne presega 43 milijonov EUR;

(65)

„javni organ“ pomeni vsak vladni organ ali drug subjekt javne uprave, vključno z nacionalnimi centralnimi bankami.

Člen 4

Načelo sorazmernosti

Finančni subjekti izvajajo pravila iz poglavja II v skladu z načelom sorazmernosti, pri tem pa upoštevajo svojo velikost in splošni profil tveganja ter naravo, obseg in kompleksnost svojih storitev, dejavnosti in poslovanja.

Poleg tega finančni subjekti uporabljajo poglavja III, IV in V, oddelek I, sorazmerno s svojo velikostjo in splošnim profilom tveganja ter naravo, obsegom in kompleksnostjo svojih storitev, dejavnosti in poslovanja, kot je posebej določeno v ustreznih pravilih iz navedenih poglavij.

Pristojni organi pri pregledu skladnosti okvira za obvladovanje tveganj na področju IKT na podlagi poročil, predloženih na zahtevo pristojnih organov na podlagi člena 6(5) in člena 16(2), preučijo, ali finančni subjekti uporabljajo načelo sorazmernosti.

POGLAVJE II

Obvladovanje tveganj na področju IKT

Oddelek I

Člen 5

Upravljanje in organizacija

Finančni subjekti vzpostavijo okvir notranjega upravljanja in nadzora, ki zagotavlja učinkovito in skrbno obvladovanje tveganj na področju IKT v skladu s členom 6(4), da bi se dosegla visoka raven digitalne operativne odpornosti.

Upravljalni organ finančnega subjekta opredeli, odobri in nadzira izvajanje vseh dogovorov, povezanih z okvirom za obvladovanje tveganj na področju IKT iz člena 6(1), in je odgovoren zanj.

Za potrebe prvega pododstavka upravljalni organ:

(a)

nosi končno odgovornost za obvladovanje tveganj na področju IKT, s katerimi se sooča finančni subjekt;

(b)

uvede politike, katerih cilj je zagotoviti ohranjanje visokih standardov razpoložljivosti, avtentičnosti, celovitosti in zaupnosti podatkov;

(c)

določi jasne vloge in odgovornosti za vse funkcije, povezane z IKT, in vzpostavi ustrezno ureditev upravljanja, da se zagotovijo učinkovita in pravočasna komunikacija, sodelovanje in usklajevanje med temi funkcijami;

(d)

nosi splošno odgovornost za določitev in odobritev strategije za digitalno operativno odpornost iz člena 6(8), vključno z določitvijo ustrezne tolerančne ravni tveganja na področju IKT za finančni subjekt, kot je navedeno v členu 6(8), točka (b);

(e)

odobri, nadzira in redno pregleduje izvajanje politike neprekinjenega poslovanja na področju IKT in načrtov odzivanja in okrevanja IKT iz člena 11(1) oziroma (3), ki se lahko sprejmejo kot namenska posebna politika in kot sestavni del subjektove splošne politike neprekinjenega poslovanja ter načrta odzivanja in okrevanja;

(f)

odobri in redno pregleduje notranje revizijske načrte finančnega subjekta na področju IKT, revizije na področju IKT in njihove bistvene spremembe;

(g)

dodeli in občasno pregleda ustrezni proračun, da lahko finančni subjekt izpolnjuje potrebe po digitalni operativni odpornosti v zvezi z vsemi vrstami virov, vključno z ustreznimi programi ozaveščanja o varnosti IKT in usposabljanjem o digitalni operativni odpornosti iz člena 13(6) ter veščinami na področju IKT za vse zaposlene;

(h)

odobri in redno pregleduje politiko finančnega subjekta glede dogovorov o uporabi storitev IKT, ki jih opravljajo tretji ponudniki storitev IKT;

(i)

na ravni podjetja vzpostavi kanale poročanja, da je ustrezno obveščen o naslednjem:

(i)

dogovorih o uporabi storitev IKT, sklenjenih s tretjimi ponudniki storitev IKT;

(ii)

vseh ustreznih načrtovanih pomembnih spremembah v zvezi s tretjimi ponudniki storitev IKT;

(iii)

možnem učinku takih sprememb na kritične ali pomembne funkcije, za katere veljajo navedeni dogovori, vključno s povzetkom analize tveganja za oceno učinka teh sprememb, ter vsaj o večjih incidentih, povezanih z IKT, in njihovem učinku ter o odzivnih, sanacijskih in popravnih ukrepih.

Finančni subjekti, ki niso mikropodjetja, določijo vlogo za spremljanje dogovorov, sklenjenih s tretjimi ponudniki storitev IKT o uporabi storitev IKT, ali določijo člana višjega vodstva, ki bo odgovoren za nadzor s tem povezane izpostavljenosti tveganju in ustrezne dokumentacije.

Člani upravljalnega organa finančnega subjekta dejavno obnavljajo zadostno znanje in spretnosti, da lahko razumejo in ocenijo tveganje na področju IKT ter njegov učinek na poslovanje finančnega subjekta, tudi z rednim namenskim usposabljanjem, primernim za tveganje na področju IKT, ki ga je treba obvladovati.

Oddelek II

Člen 6

Okvir za obvladovanje tveganj na področju IKT

Finančni subjekti morajo imeti trden, celovit in dobro dokumentiran okvir za obvladovanje tveganj na področju IKT, ki je del njihovega splošnega sistema obvladovanja tveganj in jim omogoča hitro, učinkovito in celovito obravnavo tveganj na področju IKT ter zagotavljanje visoke stopnje digitalne operativne odpornosti.

Okvir za obvladovanje tveganj na področju IKT vključuje najmanj strategije, politike, postopke, protokole in orodja IKT, ki so potrebni za pravilno in ustrezno zaščito vseh informacijskih sredstev in sredstev IKT, vključno z računalniško programsko opremo, strojno opremo in strežniki, ter za zaščito vseh ustreznih fizičnih komponent in infrastrukture, kot so prostori, podatkovni centri in občutljiva namenska območja, za zagotovitev, da so vsa informacijska sredstva in sredstva IKT ustrezno zaščitena pred tveganji, vključno s škodo in nepooblaščenim dostopom ali nedovoljeno uporabo.

Finančni subjekti v skladu s svojim okvirom za obvladovanje tveganj na področju IKT zmanjšujejo vpliv tveganja na področju IKT z uporabo ustreznih strategij, politik, postopkov, protokolov in orodij IKT. Pristojnim organom na njihovo zahtevo zagotavljajo popolne in posodobljene informacije o tveganjih na področju IKT in o svojem okviru za obvladovanje tveganj na področju IKT.

Finančni subjekti, ki niso mikropodjetja, odgovornost za obvladovanje tveganj na področju IKT in nadzor nad njimi dodelijo nadzorni funkciji in poskrbijo, da ima taka nadzorna funkcija ustrezno raven neodvisnosti, da se preprečijo nasprotja interesov. Finančni subjekti zagotovijo ustrezno ločitev in neodvisnost funkcij obvladovanja tveganj na področju IKT, nadzornih funkcij in funkcij notranje revizije v skladu z modelom treh obrambnih linij ali internim modelom upravljanja in obvladovanja tveganj.

Okvir za obvladovanje tveganj na področju IKT se dokumentira in pregleda najmanj enkrat letno oziroma redno za mikropodjetja, pa tudi ob pojavu večjih incidentov, povezanih z IKT, in ob upoštevanju nadzornih navodil ali sklepov, ki izhajajo iz ustreznih postopkov testiranja ali revizije digitalne operativne odpornosti. Nenehno se izboljšuje na podlagi izkušenj, pridobljenih pri izvajanju in spremljanju. Poročilo o pregledu okvira za obvladovanje tveganj na področju IKT se posreduje pristojnemu organu na njegovo zahtevo.

Okvir za obvladovanje tveganj na področju IKT finančnih subjektov, ki niso mikropodjetja, je redno predmet notranje revizije revizorjev v skladu z revizijskim načrtom finančnih subjektov. Ti revizorji morajo imeti zadostno znanje, spretnosti in strokovno znanje v zvezi s tveganji na področju IKT, kot tudi ustrezno neodvisnost. Pogostost in osredotočenost revizij na področju IKT morata biti sorazmerni s tveganjem na področju IKT, s katerim se sooča finančni subjekt.

Finančni subjekti na podlagi sklepov notranjega revizijskega pregleda vzpostavijo formalni postopek spremljanja, vključno s pravili za pravočasno preverjanje in sanacijo na podlagi ključnih ugotovitev revizij na področju IKT.

Okvir za obvladovanje tveganj na področju IKT vključuje strategijo za digitalno operativno odpornost, ki določa, kako se okvir izvaja. V ta namen strategija za digitalno operativno odpornost vključuje metode za obravnavanje tveganj na področju IKT in doseganje določenih ciljev na področju IKT, tako da:

(a)

pojasnjuje, kako okvir za obvladovanje tveganj na področju IKT podpira poslovno strategijo in cilje finančnega subjekta;

(b)

določa tolerančno raven tveganja na področju IKT v skladu z nagnjenostjo finančnega subjekta k prevzemanju tveganja in analizira toleranco učinka za motnje na področju IKT;

(c)

določa jasne cilje glede informacijske varnosti, tudi ključne kazalnike uspešnosti in ključne metrike tveganja;

(d)

pojasnjuje referenčno arhitekturo IKT in vse spremembe, potrebne za dosego določenih poslovnih ciljev;

(e)

opisuje različne mehanizme, vzpostavljene za odkrivanje, varovanje in preprečevanje učinkov incidentov, povezanih z IKT;

(f)

dokumentira trenutno stanje digitalne operativne odpornosti na podlagi števila prijavljenih večjih incidentov, povezanih z IKT, in učinkovitosti preventivnih ukrepov;

(g)

izvaja testiranje digitalne operativne odpornosti v skladu s poglavjem IV te uredbe;

(h)

opisuje komunikacijske strategije v primeru incidentov, povezanih z IKT, ki jih je treba razkriti v skladu s členom 14.

Finančni subjekti lahko v okviru strategije za digitalno operativno odpornost iz odstavka 8 opredelijo celostno večdobaviteljsko strategijo za IKT na ravni skupine ali subjekta, ki prikazuje ključne odvisnosti od tretjih ponudnikov storitev IKT in pojasnjuje razloge za uporabo različnih tretjih ponudnikov storitev IKT.

10.

Finančni subjekti lahko v skladu s sektorskim pravom Unije in nacionalnim sektorskim pravom naloge preverjanja skladnosti z zahtevami glede obvladovanja tveganj na področju IKT oddajo v zunanje izvajanje podjetjem znotraj skupine ali zunanjim podjetjem. V primerih tovrstnega zunanjega izvajanja finančni subjekt ostane v celoti odgovoren za preverjanje skladnosti z zahtevami glede obvladovanja tveganj na področju IKT.

Člen 7

Sistemi, protokoli in orodja IKT

Finančni subjekti za reševanje in obvladovanje tveganj na področju IKT uporabljajo in vzdržujejo posodobljene sisteme, protokole in orodja IKT, ki so:

(a)

ustrezni glede na obsežnost operacij, ki podpirajo izvajanje njihovih dejavnosti, v skladu z načelom sorazmernosti iz člena 4;

(b)

zanesljivi;

(c)

opremljeni z zadostno zmogljivostjo, da pravilno obdelajo podatke, potrebne za izvajanje dejavnosti in pravočasno opravljanje storitev, ter po potrebi obravnavajo velike količine naročil, sporočil ali poslov, tudi kadar se uvede nova tehnologija;

(d)

tehnološko odporni, da se ustrezno spopadajo s potrebami po obdelavi dodatnih informacij, kot se zahteva v stresnih tržnih razmerah ali drugih neugodnih razmerah.

Člen 8

Identificiranje

Finančni subjekti v sklopu okvira za obvladovanje tveganj na področju IKT iz člena 6(1) identificirajo, razvrstijo in ustrezno dokumentirajo vse poslovne funkcije, vloge in odgovornosti, ki jih podpirajo IKT, informacijska sredstva in sredstva IKT, ki podpirajo te funkcije, ter njihove vloge in odvisnosti v povezavi s tveganjem na področju IKT. Finančni subjekti po potrebi in vsaj enkrat letno pregledajo ustreznost te razvrstitve in vse ustrezne dokumentacije.

Finančni subjekti stalno identificirajo vse vire tveganja na področju IKT, zlasti izpostavljenost tveganju, ki ogroža druge finančne subjekte ali pa ga ti povzročajo, ter ocenjujejo kibernetske grožnje in ranljivosti na področju IKT, pomembne za njihove poslovne funkcije, ki jih podpirajo IKT, ter informacijska sredstva in sredstva IKT. Finančni subjekti redno oziroma vsaj enkrat letno pregledujejo scenarije tveganj, ki vplivajo nanje.

Finančni subjekti, ki niso mikropodjetja, izvedejo oceno tveganja ob vsaki večji spremembi infrastrukture omrežnega in informacijskega sistema ter procesov ali postopkov, ki vplivajo na njihove funkcije, ki jih podpirajo IKT, ter informacijska sredstva ali sredstva IKT.

Finančni subjekti identificirajo vsa informacijska sredstva in sredstva IKT, vključno s tistimi na oddaljenih lokacijah, omrežne vire in strojno opremo ter popišejo tiste, ki se štejejo za ključne. Popišejo konfiguracijo informacijskih sredstev in sredstev IKT ter povezave in soodvisnosti med različnimi informacijskimi sredstvi in sredstvi IKT.

Finančni subjekti identificirajo in dokumentirajo vse postopke, ki so odvisni od tretjih ponudnikov storitev IKT, in identificirajo medsebojne povezave s tretjimi ponudniki storitev IKT, ki opravljajo storitve, ki podpirajo kritične ali pomembne funkcije.

Finančni subjekti za namene odstavkov 1, 4 in 5 vzdržujejo ustrezne evidence in jih posodabljajo redno in ob vsaki večji spremembi iz odstavka 3.

Finančni subjekti, ki niso mikropodjetja, redno oziroma vsaj enkrat letno izvajajo posebno oceno tveganja na področju IKT za vse obstoječe sisteme IKT, v vsakem primeru pa pred povezovanjem tehnologij, aplikacij ali sistemov in po njem.

Člen 9

Varovanje in preprečevanje

Za namene ustrezne zaščite sistemov IKT in z namenom organiziranja odzivnih ukrepov finančni subjekti stalno spremljajo in nadzirajo varnost in delovanje sistemov in orodij IKT ter z uporabo ustreznih varnostnih orodij, politik in postopkov na področju IKT na najmanjšo možno mero zmanjšujejo učinek tveganj na področju IKT na IKT sisteme.

Finančni subjekti oblikujejo, pridobijo in izvajajo varnostne strategije, politike, postopke, protokole in orodja na področju IKT, katerih cilj je zagotoviti odpornost, neprekinjenost in razpoložljivost sistemov IKT, zlasti tistih, ki podpirajo kritične ali pomembne funkcije, ter ohraniti visoke standarde razpoložljivosti, avtentičnosti, celovitosti in zaupnosti podatkov bodisi v mirovanju, uporabi ali med prenosom.

Za doseganje ciljev iz odstavka 2 finančni subjekti uporabljajo rešitve in postopke IKT, ki so ustrezni v skladu s členom 4. Te rešitve in postopki IKT:

(a)

zagotavljajo varnost sredstev za prenos podatkov;

(b)

na najmanjšo možno raven zmanjšujejo tveganje za okvaro ali izgubo podatkov, nepooblaščen dostop in tehnične napake, ki bi lahko oviralo poslovno dejavnost;

(c)

preprečujejo pomanjkanje razpoložljivosti, škodovanje avtentičnosti in celovitosti, kršitve zaupnosti in izgubo podatkov;

(d)

zagotavljajo, da so podatki zaščiteni pred tveganji, ki nastajajo pri upravljanju podatkov, vključno s slabim upravljanjem, tveganji, povezanimi z obdelavo, in človeškimi napakami.

V sklopu okvira za obvladovanje tveganj na področju IKT iz člena 6(1) finančni subjekti:

(a)

oblikujejo in dokumentirajo politiko informacijske varnosti, ki določa pravila za zaščito razpoložljivosti, avtentičnosti, celovitosti in zaupnosti podatkov, informacijskih sredstev in sredstev IKT, po potrebi tudi tistih, ki pripadajo njihovim strankam;

(b)

v skladu s pristopom, ki temelji na tveganju, vzpostavijo zanesljivo upravljanje omrežja in infrastrukture z uporabo ustreznih tehnik, metod in protokolov, ki lahko vključujejo izvajanje avtomatiziranih mehanizmov za izolacijo prizadetih informacijskih sredstev v primeru kibernetskih napadov;

(c)

izvajajo politike, ki omejujejo fizični ali logični dostop do informacijskih sredstev in sredstev IKT do tega, kar je potrebno zgolj za zakonite in odobrene funkcije in dejavnosti, ter v ta namen vzpostavijo sklop politik, postopkov in kontrol, ki obravnavajo pravice dostopa in zagotavljajo njihovo dobro upravljanje;

▼C1

(d)

izvajajo politike in protokole za mehanizme močne avtentikacije, ki temeljijo na ustreznih standardih in namenskih nadzornih sistemih, in zaščitne ukrepe kriptografskih ključev, pri čemer se podatki šifrirajo na podlagi rezultatov odobrenih postopkov za razvrščanje podatkov in oceno tveganj na področju IKT;

▼B

(e)

izvajajo dokumentirane politike, postopke in kontrole za upravljanje sprememb na področju IKT, vključno s spremembami komponent programske opreme, strojne opreme, strojne programske opreme ter sistemskih ali varnostnih parametrov, ki temeljijo na pristopu ocene tveganja in so sestavni del celotnega postopka finančnega subjekta za upravljanje sprememb, za zagotovitev, da se vse spremembe sistemov IKT nadzorovano evidentirajo, testirajo, ocenijo, odobrijo, izvajajo in preverijo;

(f)

imajo ustrezne in celovite dokumentirane politike za popravke in posodobitve.

Za namene prvega pododstavka, točka (b), finančni subjekti infrastrukturo omrežnih povezav načrtujejo na način, ki omogoča takojšnjo prekinitev ali segmentacijo, da se zmanjša na najmanjšo možno mero in prepreči širjenje negativnih učinkov, zlasti za medsebojno povezane finančne postopke.

Za namene prvega pododstavka, točka (e), postopek upravljanja sprememb na področju IKT odobrijo ustrezne ravni vodstva, pri čemer mora imeti ta postopek posebne protokole.

Člen 10

Odkrivanje

Finančni subjekti vzpostavijo mehanizme za takojšnje odkrivanje neobičajnega ravnanja v skladu s členom 17, vključno s težavami v zvezi z zmogljivostjo omrežja IKT in incidenti, povezanimi z IKT, ter za identifikacijo morebitnih pomembnih kritičnih točk odpovedi.

Vsi mehanizmi odkrivanja iz prvega pododstavka se redno testirajo v skladu s členom 25.

Mehanizmi odkrivanja iz odstavka 1 omogočajo več ravni nadzora, določajo mejne vrednosti opozarjanja in merila za sprožitev in začetek izvajanja postopkov odzivanja na incidente, povezane z IKT, vključno s samodejnimi mehanizmi opozarjanja za ustrezne zaposlene, odgovorne za odzivanje na incidente, povezane z IKT.

Finančni subjekti namenijo zadostna sredstva in zmožnosti za spremljanje dejavnosti uporabnikov, pojavov nepravilnosti na področju IKT in incidentov, povezanih z IKT, zlasti kibernetskih napadov.

Poleg tega izvajalci storitev sporočanja podatkov vzpostavijo sisteme, s katerimi lahko učinkovito preverijo popolnost poročil o trgovanju, identificirajo izpuste in očitne napake ter zahtevajo ponovni prenos teh poročil.

Člen 11

Odzivanje in okrevanje

V sklopu okvira za obvladovanje tveganj na področju IKT iz člena 6(1) in na podlagi zahtev glede identificiranja iz člena 8 finančni subjekti vzpostavijo celovito politiko neprekinjenega poslovanja na področju IKT, ki jo lahko sprejmejo kot namensko posebno politiko, ki je sestavni del splošne politike neprekinjenega poslovanja finančnega subjekta.

Finančni subjekti izvajajo politiko neprekinjenega poslovanja na področju IKT z namenskimi, ustreznimi in dokumentiranimi dogovori, načrti, postopki in mehanizmi, katerih cilj je:

(a)

zagotoviti neprekinjenost kritičnih ali pomembnih funkcij finančnega subjekta;

(b)

hitro, ustrezno in učinkovito odzvati se na vse incidente, povezane z IKT, ter jih odpraviti na način, ki omejuje škodo in daje prednost nadaljevanju dejavnosti in sanacijskim ukrepom;

(c)

brez odlašanja aktivirati namenske načrte, ki omogočajo zajezitvene ukrepe, postopke in tehnologije, primerne za vse vrste incidentov, povezanih z IKT, in preprečiti nadaljnjo škodo, ter prilagojene postopke odzivanja in okrevanja, določene v skladu s členom 12;

(d)

oceniti predhodne učinke, škodo in izgube;

(e)

določiti komunikacijske ukrepe in ukrepe za obvladovanje kriz, ki zagotavljajo, da se posodobljene informacije posredujejo vsem ustreznim internim zaposlenim in zunanjim deležnikom v skladu s členom 14, ter poročati pristojnim organom v skladu s členom 19.

V sklopu okvira za obvladovanje tveganj na področju IKT iz člena 6(1) finančni subjekti izvajajo povezane načrte odzivanja in okrevanja IKT, ki so v primeru finančnih subjektov, ki niso mikropodjetja, predmet neodvisnih notranjih revizijskih pregledov.

Finančni subjekti vzpostavijo, vzdržujejo in redno testirajo ustrezne načrte neprekinjenega poslovanja na področju IKT, zlasti v zvezi s kritičnimi ali pomembnimi funkcijami, oddanimi v zunanje izvajanje ali zagotovljenimi z dogovori s tretjimi ponudniki storitev IKT.

Finančni subjekti v okviru splošne politike neprekinjenega poslovanja izvedejo analizo vpliva na poslovanje zaradi svoje izpostavljenosti resnim motnjam poslovanja. V okviru analize vpliva na poslovanje finančni subjekti ocenijo potencialni vpliv resnih motenj poslovanja, in sicer na podlagi kvantitativnih in kvalitativnih meril, pri čemer po potrebi uporabijo notranje in zunanje podatke in analizo scenarijev. V analizi vpliva na poslovanje se upošteva kritičnost identificiranih in popisanih poslovnih funkcij, podpornih procesov, odvisnosti od tretjih strani in informacijskih sredstev ter njihove medsebojne odvisnosti. Finančni subjekti zagotovijo, da so sredstva IKT in storitve IKT zasnovani in uporabljeni popolnoma v skladu z analizo vpliva na poslovanje, zlasti kar zadeva ustrezno zagotavljanje redundantnosti vseh kritičnih komponent.

V sklopu celovitega obvladovanja tveganj na področju IKT finančni subjekti:

(a)

testirajo načrte neprekinjenega poslovanja na področju IKT ter načrte odzivanja in okrevanja IKT v povezavi s sistemi IKT, ki podpirajo vse funkcije, vsaj enkrat letno, pa tudi v primeru kakršnih koli bistvenih sprememb sistemov IKT, ki podpirajo kritične ali pomembne funkcije;

(b)

testirajo načrte obveščanja o kriznih razmerah, vzpostavljene v skladu s členom 14.

Za namene prvega pododstavka, točka (a), finančni subjekti, ki niso mikropodjetja, v načrte testiranja vključijo scenarije kibernetskih napadov in preklopov med primarno infrastrukturo IKT in redundatno zmogljivostjo, rezervnimi sistemi in redundantnimi obrati, potrebnimi za izpolnitev obveznosti iz člena 12.

Finančni subjekti redno pregledujejo svojo politiko neprekinjenega poslovanja na področju IKT ter načrte odzivanja in okrevanja IKT, pri čemer upoštevajo rezultate testov, izvedenih v skladu s prvim pododstavkom, in priporočila, ki izhajajo iz revizijskih ali nadzornih pregledov.

Finančni subjekti, ki niso mikropodjetja, imajo funkcijo obvladovanja kriz, ki v primeru aktiviranja njihovih načrtov neprekinjenega poslovanja na področju IKT ali načrtov odzivanja in okrevanja IKT med drugim določa jasne postopke za upravljanje notranjih in zunanjih obvestil o kriznih razmerah v skladu s členom 14.

Finančni subjekti vodijo lahko dostopne evidence o dejavnostih pred motnjami in med njimi, ko se aktivirajo njihovi načrti neprekinjenega poslovanja na področju IKT ter načrti odzivanja in okrevanja IKT.

Centralne depotne družbe pristojnim organom predložijo kopije rezultatov testov neprekinjenega poslovanja na področju IKT ali podobnih dejavnosti.

10.

Finančni subjekti, ki niso mikropodjetja, pristojnim organom na njihovo zahtevo poročajo o oceni skupnih letnih stroškov in izgub, ki nastanejo zaradi večjih incidentov, povezanih z IKT.

11.

Evropski nadzorni organi v skladu s členom 16 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010 prek Skupnega odbora do 17. julija 2024 pripravijo skupne smernice za oceno skupnih letnih stroškov in izgub iz odstavka 10.

Člen 12

Politike in postopki varnostnega kopiranja ter postopki in metode obnovitve in okrevanja

Da bi se zagotovila obnovitev sistemov in podatkov IKT z minimalnimi izpadi, omejenimi motnjami in izgubami, finančni subjekti v sklopu okvira za obvladovanje tveganj na področju IKT razvijejo in dokumentirajo:

(a)

politike in postopke varnostnega kopiranja, ki določajo obseg podatkov za varnostno kopiranje in najmanjšo pogostost varnostnega kopiranja na podlagi kritičnosti informacij ali stopnje zaupnosti podatkov;

(b)

postopke in metode obnovitve in okrevanja.

Finančni subjekti vzpostavijo sisteme za varnostno kopiranje, ki se lahko aktivirajo v skladu s politikami in postopki varnostnega kopiranja ter postopki in metodami obnovitve in okrevanja. Aktivacija sistemov za varnostno kopiranje ne sme ogrožati varnosti omrežnih in informacijskih sistemov oziroma razpoložljivosti, avtentičnosti, celovitosti ali zaupnosti podatkov. Postopki varnostnega kopiranja ter postopki in metode obnovitve in okrevanja se redno testirajo.

Finančni subjekti pri obnavljanju varnostnih kopij podatkov z lastnimi sistemi uporabljajo sisteme IKT, ki so fizično in logično ločeni od izvornega sistema IKT. Sistemi IKT so varno zaščiteni pred nepooblaščenim dostopom ali okvarami na področju IKT in omogočajo pravočasno obnovitev storitev, po potrebi z uporabo varnostnih kopij podatkov in sistemov.

Za centralne nasprotne stranke morajo načrti okrevanja zagotoviti obnovitev vseh transakcij, ki so bile v teku v času motnje, s čimer bo centralni nasprotni stranki omogočeno zanesljivo nadaljnje delovanje in dokončanje poravnave na predvideni datum.

Izvajalci storitev sporočanja podatkov poleg tega vzdržujejo zadostna sredstva ter imajo zmogljivosti za varnostno kopiranje in obnovitev, da lahko vedno nudijo in vzdržujejo svoje storitve.

Finančni subjekti, ki niso mikropodjetja, vzdržujejo redundantne zmogljivosti IKT, opremljene z viri, zmožnostmi in funkcijami, ki so ustrezne za zagotavljanje poslovnih potreb. Mikropodjetja na podlagi svojega profila tveganja ocenijo potrebo po ohranjanju takih redundantnih zmogljivosti IKT.

Centralne depotne družbe ohranjajo vsaj eno sekundarno lokacijo za obdelavo z ustreznimi viri, zmožnostmi, funkcijami in kadrovsko ureditvijo za zagotavljanje poslovnih potreb.

Sekundarna lokacija za obdelavo:

(a)

je na zadostni geografski razdalji od primarne lokacije za obdelavo, da se zagotovi, da ima drugačen profil tveganja, in prepreči, da bi jo prizadel dogodek, ki je prizadel primarno lokacijo;

(b)

je zmožna zagotoviti enako neprekinjenost kritičnih ali pomembnih funkcij kot na primarni lokaciji ali zagotoviti raven storitev, potrebnih za zagotovitev, da finančni subjekt opravlja svoje kritične operacije v okviru ciljev obnovitve;

(c)

je takoj dostopna zaposlenim pri finančnem subjektu, da se zagotovi neprekinjenost kritičnih ali pomembnih funkcij, če primarna lokacija za obdelavo postane nedostopna.

Finančni subjekti pri določanju ciljev glede časa in okrevanja točk obnovitve za vsako funkcijo upoštevajo, ali gre za kritično ali pomembno funkcijo in potencialni splošni učinek na učinkovitost trga. Taki cilji glede časa zagotavljajo, da so v skrajnih scenarijih dosežene dogovorjene ravni storitev.

Finančni subjekti med obnovitvijo po incidentu, povezanem z IKT, opravijo potrebna preverjanja, vključno z večkratnimi pregledi in postopki usklajevanja, da se ohrani najvišja raven celovitosti podatkov. Ta preverjanja se opravijo tudi pri rekonstrukciji podatkov zunanjih deležnikov, da se zagotovi skladnost vseh podatkov med sistemi.

Člen 13

Učenje in razvoj

Finančni subjekti imajo vzpostavljene zmožnosti in zaposlene za zbiranje informacij o ranljivostih in kibernetskih grožnjah, incidentih, povezanih z IKT, zlasti kibernetskih napadih, in analizo njihovih verjetnih vplivov na digitalno operativno odpornost finančnih subjektov.

Finančni subjekti vzpostavijo preglede po incidentih, povezanih z IKT, ki se opravijo po tem, ko večji incidenti, povezani z IKT, povzročijo motnje v njihovih osnovnih dejavnostih, in s katerimi analizirajo vzroke motnje in identificirajo potrebne izboljšave v delovanju IKT ali politiki neprekinjenega poslovanja na področju IKT iz člena 11.

Finančni subjekti, ki niso mikropodjetja, pristojnim organom na zahtevo sporočijo spremembe, ki so bile uvedene po pregledih po incidentih, povezanih z IKT, iz prvega pododstavka.

Pri pregledih po incidentih, povezanih z IKT, iz prvega pododstavka se ugotovi, ali so bili upoštevani ustaljeni postopki in ali so bili izvedeni ukrepi učinkoviti, vključno v zvezi z naslednjim:

(a)

hitrostjo pri odzivanju na varnostna opozorila ter določanju učinka incidentov, povezanih z IKT, in njihove resnosti;

(b)

kakovostjo in hitrostjo izvedbe forenzične analize, kadar je to ustrezno;

(c)

učinkovitostjo prenosa incidenta na višjo raven v finančnem subjektu;

(d)

učinkovitostjo notranje in zunanje komunikacije.

Spoznanja, pridobljena pri testiranju digitalne operativne odpornosti, izvedenem v skladu s členoma 26 in 27, in pri resničnih incidentih, povezanih z IKT, zlasti kibernetskih napadih, se skupaj z izzivi, ki se pojavljajo pri aktivaciji načrtov neprekinjenega poslovanja na področju IKT ter načrtov odzivanja in okrevanja IKT, ter ustreznimi informacijami, izmenjanimi z nasprotnimi strankami in ocenjenimi med nadzornimi pregledi, stalno vključujejo v postopek ocene tveganj na področju IKT. Te ugotovitve tvorijo podlago za ustrezne preglede zadevnih komponent okvira za obvladovanje tveganj na področju IKT iz člena 6(1).

Finančni subjekti spremljajo učinkovitost izvajanja svoje strategije za digitalno odpornost iz člena 6(8). Popišejo razvoj tveganj na področju IKT skozi čas, analizirajo pogostost, vrste, obseg in razvoj incidentov, povezanih z IKT, zlasti kibernetskih napadov in njihovih vzorcev, da bi razumeli stopnjo izpostavljenosti tveganju na področju IKT, zlasti v povezavi s kritičnimi ali pomembnimi funkcijami, ter okrepili kibernetsko zrelost in pripravljenost finančnega subjekta.

Višji uslužbenci na področju IKT vsaj enkrat letno poročajo upravljalnemu organu o ugotovitvah iz odstavka 3 in podajo priporočila.

Finančni subjekti oblikujejo programe ozaveščanja o varnosti na področju IKT in usposabljanje na področju digitalne operativne odpornosti kot obvezne module v svojih shemah za usposabljanje osebja. Ti programi in usposabljanje se uporabljajo za vse zaposlene in za višje vodstvene delavce, njihova raven zahtevnosti pa mora biti sorazmerna s pristojnostmi v okviru njihovih funkcij. Finančni subjekti v svoje ustrezne sheme usposabljanja v skladu s členom 30(2), točka (i), po potrebi vključijo tudi tretje ponudnike storitev IKT.

Finančni subjekti, ki niso mikropodjetja, stalno spremljajo ustrezen tehnološki razvoj, tudi zato, da bi razumeli možne vplive uvajanja takih novih tehnologij na zahteve za varnost IKT in digitalno operativno odpornost. Seznanjeni morajo biti z najnovejšimi postopki obvladovanja tveganj na področju IKT, tako da lahko učinkovito preprečujejo sedanje ali nove oblike kibernetskih napadov.

Člen 14

Obveščanje

V sklopu okvira za obvladovanje tveganj na področju IKT iz člena 6(1) finančni subjekti pripravijo načrte obveščanja o kriznih razmerah, ki omogočajo odgovorno razkritje vsaj večjih incidentov ali ranljivosti, povezanih z IKT, strankam in partnerjem ter javnosti, kot je ustrezno.

V sklopu okvira za obvladovanje tveganj na področju IKT finančni subjekti izvajajo politike obveščanja za notranje zaposlene in zunanje deležnike. Pri politikah obveščanja za zaposlene je treba razlikovati med zaposlenimi, ki sodelujejo pri obvladovanju tveganj na področju IKT, zlasti tistimi, ki so odgovorni za odzivanje in okrevanje, ter zaposlenimi, ki jih je treba le obvestiti.

Vsaj ena oseba pri finančnem subjektu je odgovorna za izvajanje strategije obveščanja za incidente, povezane z IKT, in zaseda funkcijo pristojnega za stike z javnostjo in mediji v ta namen.

Člen 15

Nadaljnje usklajevanje orodij, metod, postopkov in politik za obvladovanje tveganj na področju IKT

Evropski nadzorni organi prek Skupnega odbora in v posvetovanju z Agencijo Evropske unije za kibernetsko varnost (ENISA) pripravijo skupne osnutke regulativnih tehničnih standardov za:

(a)

podrobno določitev nadaljnjih elementov, ki jih je treba vključiti v varnostne politike, postopke, protokole in orodja IKT iz člena 9(2), da bi se zagotovila varnost omrežij, omogočili ustrezni zaščitni ukrepi pred vdori in zlorabo podatkov, ohranila razpoložljivost, avtentičnost, celovitost in zaupnost podatkov, vključno z uporabo kriptografskih tehnik, ter zagotovil natančen in hiter prenos podatkov brez večjih motenj in nepotrebnih zamud;

(b)

razvoj nadaljnjih komponent za nadzor pravic upravljanja dostopa iz člena 9(4), točka (c), in s tem povezane kadrovske politike, ki določajo pravice dostopa, postopke za podeljevanje in odvzem pravic ter spremljanje neobičajnega ravnanja v zvezi s tveganjem na področju IKT z ustreznimi kazalniki, tudi za vzorce uporabe omrežja, ure, dejavnost IT in neznane naprave;

(c)

nadaljnji razvoj mehanizmov iz člena 10(1), ki omogočajo takojšnje odkrivanje neobičajnega ravnanja, in meril iz člena 10(2), ki sprožijo postopke odkrivanja incidentov, povezanih z IKT, in odzivanja nanje;

(d)

nadaljnjo opredelitev komponent politike neprekinjenega poslovanja na področju IKT iz člena 11(1);

(e)

nadaljnjo opredelitev testiranja načrtov neprekinjenega poslovanja na področju IKT iz člena 11(6), da se zagotovi, da se pri takem testiranju ustrezno upoštevajo scenariji, v katerih kakovost zagotavljanja kritične ali pomembne funkcije pade na nesprejemljivo raven ali povsem odpove, in ustrezno upošteva potencialni vpliv plačilne nesposobnosti ali drugega prenehanja delovanja katerega koli zadevnega tretjega ponudnika storitev IKT in, kadar je to ustrezno, politična tveganja v jurisdikcijah teh ponudnikov;

(f)

nadaljnjo opredelitev komponent načrtov odzivanja in okrevanja na področju IKT iz člena 11(3);

(g)

nadaljnjo opredelitev vsebine in oblike poročila o pregledu okvira za obvladovanje tveganj na področju IKT iz člena 6(5).

Evropski nadzorni organi pri pripravi teh osnutkov regulativnih tehničnih standardov upoštevajo velikost in splošni profil tveganja finančnega subjekta ter naravo, obseg in kompleksnost njegovih storitev, dejavnosti in poslovanja, pri čemer ustrezno upoštevajo vse specifične značilnosti, ki izhajajo iz posebne narave dejavnosti v različnih sektorjih finančnih storitev.

Evropski nadzorni organi te osnutke regulativnih tehničnih standardov Komisiji predložijo do 17. januarja 2024.

Na Komisijo se prenese pooblastilo za dopolnitev te uredbe s sprejetjem regulativnih tehničnih standardov iz prvega odstavka v skladu s členi 10 do 14 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010.

Člen 16

Poenostavljen okvir za obvladovanje tveganj na področju IKT

Členi 5 do 15 te uredbe se ne uporabljajo za mala in nepovezana investicijska podjetja ter plačilne institucije, izvzete na podlagi Direktive (EU) 2015/2366, institucije, izvzete na podlagi Direktive 2013/36/EU, v zvezi s katerimi so se države članice odločile, da ne bodo uporabile možnosti iz člena 2(4) te uredbe, institucije za izdajo elektronskega denarja, izvzete na podlagi Direktive 2009/110/ES, ter male institucije za poklicno pokojninsko zavarovanje.

Brez poseganja v prvi pododstavek morajo finančni subjekti iz prvega pododstavka:

(a)

vzpostaviti in vzdrževati zanesljiv in dokumentiran okvir za obvladovanje tveganj na področju IKT, v katerem so podrobno določeni mehanizmi in ukrepi za hitro, učinkovito in celovito obvladovanje tveganj na področju IKT, vključno z zaščito ustreznih fizičnih komponent in infrastrukture;

(b)

stalno preverjati varnost in delovanje vseh sistemov IKT;

(c)

čim bolj zmanjšati vpliv tveganja na področju IKT z uporabo zanesljivih, odpornih in posodobljenih sistemov, protokolov in orodij IKT, ki so primerni za podporo izvajanju njihovih dejavnosti in opravljanju storitev ter ustrezno varujejo razpoložljivost, avtentičnost, celovitost in zaupnost podatkov v omrežju in informacijskih sistemih;

(d)

omogočiti hitro identifikacijo in odkrivanje virov tveganja in nepravilnosti na področju IKT v omrežnih in informacijskih sistemih ter hitro obravnavo incidentov, povezanih z IKT;

(e)

identificirati ključne odvisnosti od tretjih ponudnikov storitev IKT;

(f)

zagotavljati neprekinjenost kritičnih ali pomembnih funkcij z načrti neprekinjenega poslovanja ter ukrepi za odzivanje in okrevanje, ki vključujejo vsaj ukrepe za varnostno kopiranje in obnovitev;

(g)

redno testirati načrte in ukrepe iz točke (f) ter učinkovitost preverjanj, izvedenih v skladu s točkama (a) in (c);

(h)

po potrebi ustrezne operativne sklepe, pripravljene na podlagi testov iz točke (g) in analize po incidentu, vključiti v postopek ocene tveganja na področju IKT ter v skladu s potrebami in profilom tveganja na področju IKT razvijati programe za usposabljanje in ozaveščanje osebja in vodstva glede varnosti IKT in digitalne operativne odpornosti.

Okvir za obvladovanje tveganj na področju IKT iz odstavka 1, drugi pododstavek, točka (a), se dokumentira ter pregleduje, redno in ob pojavu večjih incidentov, povezanih z IKT, v skladu z nadzorniškimi navodili. Nenehno se izboljšuje na podlagi izkušenj, pridobljenih pri izvajanju in spremljanju. Poročilo o pregledu okvira za obvladovanje tveganj na področju IKT se posreduje pristojnemu organu na njegovo zahtevo.

Evropski nadzorni organi prek Skupnega odbora in v posvetovanju z ENISA pripravijo skupne osnutke regulativnih tehničnih standardov, da:

(a)

nadalje opredelijo elemente, ki jih je treba vključiti v okvir za obvladovanje tveganj na področju IKT iz odstavka 1, drugi pododstavek, točka (a);

(b)

nadalje opredelijo elemente v zvezi s sistemi, protokoli in orodji za zmanjšanje vpliva tveganj na področju IKT iz odstavka 1, drugi pododstavek, točka (c), da se zagotovi varnost omrežij, omogočijo ustrezni zaščitni ukrepi pred vdori in zlorabo podatkov ter ohranijo razpoložljivost, avtentičnost, celovitost in zaupnost podatkov;

(c)

nadalje opredelijo komponente načrtov neprekinjenega poslovanja na področju IKT iz odstavka 1, drugi pododstavek, točka (f);

(d)

nadalje opredelijo pravila o testiranju načrtov neprekinjenega poslovanja in zagotavljanje učinkovitosti kontrol iz odstavka 1, drugi pododstavek, točka (g), ter zagotovijo, da se pri takem testiranju ustrezno upoštevajo scenariji, v katerih kakovost zagotavljanja kritične ali pomembne funkcije pade na nesprejemljivo raven ali povsem odpove;

(e)

nadalje opredelijo vsebino in obliko poročila o pregledu okvira za obvladovanje tveganj na področju IKT iz odstavka 2.

Evropski nadzorni organi te osnutke regulativnih tehničnih standardov Komisiji predložijo do 17. januarja 2024.

Na Komisijo se prenese pooblastilo za dopolnitev te uredbe s sprejetjem regulativnih tehničnih standardov iz prvega pododstavka v skladu s členi 10 do 14 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010.

POGLAVJE III

Obvladovanje in razvrščanje incidentov, povezanih z IKT, ter poročanje o njih

Člen 17

Postopek obvladovanja incidentov, povezanih z IKT

Finančni subjekti opredelijo, vzpostavijo in izvajajo postopek obvladovanja incidentov, povezanih z IKT, za odkrivanje in obvladovanje incidentov, povezanih z IKT, ter obveščanje o njih.

Finančni subjekti evidentirajo vse incidente, povezane z IKT, in pomembne kibernetske grožnje. Finančni subjekti vzpostavijo ustrezne postopke in procese za zagotovitev doslednega in celovitega spremljanja, obravnavanja in nadaljnjega spremljanja incidentov, povezanih z IKT, da se zagotovi identificiranje, dokumentiranje in obravnavanje temeljnih vzrokov ter s tem prepreči pojavljanje tovrstnih incidentov.

V postopku obvladovanja incidentov, povezanih z IKT, iz odstavka 1 se:

(a)

vzpostavijo kazalniki za zgodnje opozarjanje;

(b)

vzpostavijo postopki za identifikacijo, sledenje, evidentiranje, kategoriziranje in razvrščanje incidentov, povezanih z IKT, glede na njihovo prioriteto in resnost ter glede na kritičnost prizadetih storitev v skladu z merili, določenimi v členu 18(1);

(c)

dodelijo vloge in odgovornosti, ki jih je treba aktivirati za različne vrste in scenarije incidentov, povezanih z IKT;

(d)

določijo načrti za obveščanje zaposlenih, zunanjih deležnikov in medijev v skladu s členom 14 ter za obveščanje strank, za postopke notranjega prenosa na višjo raven, vključno s pritožbami strank v zvezi z IKT, ter za zagotavljanje informacij finančnim subjektom, ki delujejo kot partnerji, kot je ustrezno;

(e)

zagotovi, da se vsaj o večjih incidentih, povezanih z IKT, poroča ustreznim višjim vodstvenim delavcem, in o njih obvesti upravljalni organ, pri čemer se pojasnijo vpliv, odziv in dodatne kontrole, ki jih je treba vzpostaviti zaradi tovrstnih incidentov, povezanih z IKT;

(f)

vzpostavijo postopki odzivanja na incidente, povezane z IKT, za zmanjšanje njihovih učinkov in zagotovitev, da začnejo storitve delovati pravočasno in varno.

Člen 18

Razvrščanje incidentov, povezanih z IKT, in kibernetskih groženj

Finančni subjekti razvrstijo incidente, povezane z IKT, in določijo njihov učinek na podlagi naslednjih meril:

(a)

število uporabnikov in/ali pomembnost strank ali finančnih partnerjev, ki jih je prizadela motnja zaradi incidenta, povezanega z IKT, in po potrebi količino oziroma število transakcij, na katere so ti incidenti vplivali, ter podatek, ali je incident, povezan z IKT, vplival na njihov ugled;

(b)

trajanje incidenta, povezanega z IKT, vključno z nedelovanjem storitve;

(c)

geografska razpršenost območij, ki jih je prizadel incident, povezan z IKT, zlasti če prizadene več kot dve državi članici;

(d)

izgube podatkov, ki jih povzroči incident, povezan z IKT, v smislu razpoložljivosti, avtentičnosti, celovitosti ali zaupnosti podatkov;

(e)

kritičnost prizadetih storitev, vključno s transakcijami in poslovanjem finančnega subjekta;

(f)

gospodarski učinek – zlasti neposredni in posredni stroški in izgube – incidenta, povezanega z IKT, v absolutnem in relativnem smislu.

Finančni subjekti kibernetske grožnje razvrstijo kot pomembne na podlagi kritičnosti storitev, pri katerih obstaja tveganje, vključno s transakcijami in operacijami finančnega subjekta, številom in/ali pomembnostjo ciljnih strank ali finančnih partnerjev ter geografsko razpršenostjo ogroženih območij.

Evropski nadzorni organi prek Skupnega odbora in v posvetovanju z ECB in ENISA pripravijo skupne osnutke regulativnih tehničnih standardov, v katerih se podrobneje določijo:

(a)

merila iz odstavka 1, vključno s pragovi pomembnosti za določanje večjih incidentov, povezanih z IKT, oziroma večjih operativnih ali varnostnih incidentov, povezanih s plačili, za katere velja obveznost poročanja iz člena 19(1);

(b)

merila, ki jih pristojni organi uporabijo za oceno pomena večjih incidentov, povezanih z IKT, oziroma večjih operativnih ali varnostnih incidentov, povezanih s plačili, za ustrezne pristojne organe v drugih državah članicah, in podrobnosti poročil o večjih incidentih, povezanih z IKT, oziroma večjih operativnih ali varnostnih incidentih, povezanih s plačili, ki jih je treba deliti z drugimi pristojnimi organi v skladu s členom 19(6) in (7);

(c)

merila iz odstavka 2 tega člena, vključno z visokimi pragovi pomembnosti za določanje pomembnih kibernetskih groženj.

Evropski nadzorni organi pri pripravi skupnih osnutkov regulativnih tehničnih standardov iz odstavka 3 tega člena upoštevajo merila, določena v členu 4(2), ter mednarodne standarde, smernice in specifikacije, ki jih je razvila in objavila ENISA, vključno s specifikacijami za druge gospodarske sektorje, kadar je to ustrezno. Evropski nadzorni organi za namene uporabe meril, določenih v členu 4(2), ustrezno upoštevajo, da morajo mikropodjetja ter mala in srednja podjetja mobilizirati zadostna sredstva in zmožnosti za zagotovitev hitrega obvladovanja incidentov, povezanih z IKT.

Evropski nadzorni organi te skupne osnutke regulativnih tehničnih standardov Komisiji predložijo do 17. januarja 2024.

Na Komisijo se prenese pooblastilo za dopolnitev te uredbe s sprejetjem regulativnih tehničnih standardov iz odstavka 3 v skladu s členi 10 do 14 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010.

Člen 19

Poročanje o večjih incidentih, povezanih z IKT, in prostovoljno obveščanje o pomembnih kibernetskih grožnjah

Finančni subjekti o večjih incidentih, povezanih z IKT, poročajo ustreznemu pristojnemu organu iz člena 46 v rokih v skladu z odstavkom 4 tega člena.

Kadar finančni subjekt nadzira več kot en nacionalni pristojni organ iz člena 46, države članice imenujejo en sam pristojni organ kot ustrezni pristojni organ, odgovoren za izvajanje funkcij in dolžnosti iz tega člena.

Kreditne institucije, razvrščene kot pomembne v skladu s členom 6(4) Uredbe (EU) št. 1024/2013, poročajo o večjih incidentih, povezanih z IKT, ustreznemu nacionalnemu pristojnemu organu, imenovanemu v skladu s členom 4 Direktive 2013/36/EU, ki to poročilo nemudoma posreduje ECB.

Za namene prvega pododstavka finančni subjekti po zbiranju in analizi vseh ustreznih informacij v skladu s predlogami iz člena 20 pripravijo začetno uradno obvestilo in poročila iz odstavka 4 tega člena in jih posredujejo pristojnemu organu. Če začetnega uradnega obvestila zaradi tehničnih razlogov ni mogoče predložiti v skladu s predlogo, finančni subjekti pristojni organ o njem uradno obvestijo na drug način.

Začetno uradno obvestilo in poročila iz odstavka 4 vključujejo vse informacije, ki so potrebne, da pristojni organ ugotovi pomen večjega incidenta, povezanega z IKT, in oceni možne čezmejne učinke.

Brez poseganja v poročanje finančnega subjekta ustreznemu pristojnemu organu na podlagi prvega pododstavka lahko države članice dodatno določijo, da nekateri ali vsi finančni subjekti začetno uradno obvestilo in vsako poročilo iz odstavka 4 tega člena v skladu s predlogo iz člena 20 predložijo tudi pristojnim organom ali skupinam za odzivanje na incidente na področju računalniške varnosti (CSIRT), imenovanim ali vzpostavljenim v skladu z Direktivo (EU) 2022/2555.

Finančni subjekti lahko o pomembnih kibernetskih grožnjah prostovoljno uradno obvestijo ustrezni pristojni organ, če menijo, da je grožnja relevantna za finančni sistem, uporabnike storitev ali stranke. Ustrezni pristojni organ lahko te informacije posreduje drugim ustreznim organom iz odstavka 6.

Kreditne institucije, razvrščene kot pomembne v skladu s členom 6(4) Uredbe (EU) št. 1024/2013, lahko o pomembnih kibernetskih grožnjah prostovoljno uradno obvestijo ustrezni nacionalni pristojni organ, imenovan v skladu s členom 4 Direktive 2013/36/EU, ki to obvestilo nemudoma posreduje ECB.

Države članice lahko določijo, da lahko finančni subjekti, ki prostovoljno pošljejo uradno obvestilo v skladu s prvim pododstavkom, to obvestilo posredujejo tudi skupinam CSIRT, imenovanim ali vzpostavljenim v skladu z Direktivo (EU) 2022/2555.

V primeru večjega incidenta, povezanega z IKT, ki vpliva na finančne interese strank, finančni subjekti takoj, ko izvedo za incident, brez nepotrebnega odlašanja obvestijo svoje stranke o njem in o ukrepih, ki so bili sprejeti za zmanjšanje njegovih škodljivih učinkov.

V primeru pomembne kibernetske grožnje finančni subjekti svoje stranke, ki bi lahko bile prizadete, po potrebi obvestijo o vseh ustreznih zaščitnih ukrepih, ki bi jih te lahko sprejele.

Finančni subjekti v rokih, ki se določijo v skladu s členom 20, prvi odstavek, točka (a), točka (ii), ustreznemu pristojnemu organu predložijo naslednje:

(a)

začetno uradno obvestilo;

(b)

vmesno poročilo po začetnem uradnem obvestilu iz točke (a), takoj ko se status prvotnega incidenta znatno spremeni ali ko se obravnava incidenta prilagodi glede na nove informacije, ki so na voljo, ki mu, kot je ustrezno, sledijo ustrezna posodobljena uradna obvestila vsakič, ko je na voljo ustrezna posodobitev statusa, in na posebno zahtevo pristojnega organa;

(c)

končno poročilo, ko je končana analiza osnovnega vzroka, ne glede na to, ali so bili ukrepi za ublažitev že izvedeni, in ko so na voljo podatki o dejanskem učinku, ki nadomeščajo ocene.

Finančni subjekti lahko v skladu s sektorskim pravom Unije in nacionalnim sektorskim pravom obveznosti poročanja iz tega člena oddajo v zunanje izvajanje tretjemu ponudniku storitev. V primerih tovrstnega zunanjega izvajanja finančni subjekt ostane v celoti odgovoren za izpolnjevanje zahtev glede poročanja o incidentih.

Pristojni organ po prejemu začetnega uradnega obvestila in vsakega poročila iz odstavka 4 pravočasno zagotovi podrobnosti o večjem incidentu, povezanem z IKT, naslednjim prejemnikom, in sicer na podlagi njihovih pristojnosti, kot je ustrezno:

(a)

EBA, ESMA ali EIOPA;

(b)

ECB, za finančne subjekte iz člena 2(1), točke (a), (b) in (d);

(c)

pristojnim organom, enotnim kontaktnim točkam oziroma skupinam CSIRT, imenovanim ali vzpostavljenim v skladu z Direktivo (EU) 2022/2555;

(d)

organom za reševanje iz člena 3 Direktive 2014/59/EU in enotnemu odboru za reševanje, kar zadeva subjekte iz člena 7(2) Uredbe (EU) št. 806/2014 Evropskega parlamenta in Sveta ( 7 ) ter subjekte in skupine iz člena 7(4)(b) in (5) Uredbe (EU) št. 806/2014, če se te podrobnosti nanašajo na incidente, ki predstavljajo tveganje za zagotavljanje kritičnih funkcij v smislu člena 2(1), točka 35, Direktive 2014/59/EU, in

(e)

drugim ustreznim javnim organom v skladu z nacionalnim pravom.

EBA, ESMA ali EIOPA in ECB po prejemu informacij v skladu z odstavkom 6 v posvetovanju z ENISA ter v sodelovanju z ustreznim pristojnim organom ocenijo, ali večji incident, povezan z IKT, zadeva pristojne organe v drugih državah članicah. EBA, ESMA ali EIOPA po tej oceni o tem čim prej uradno obvestijo ustrezne pristojne organe v drugih državah članicah. ECB člane Evropskega sistema centralnih bank obvesti o zadevah, pomembnih za plačilni sistem. Pristojni organi na podlagi obvestila, kadar je ustrezno, sprejmejo vse potrebne ukrepe za zagotovitev takojšnje stabilnosti finančnega sistema.

Uradno obvestilo, ki ga ESMA pošlje na podlagi odstavka 7 tega člena, ne posega v odgovornost pristojnega organa, da nemudoma posreduje podrobnosti o večjem incidentu, povezanem z IKT, ustreznemu organu v državi članici gostiteljici, kadar centralna depotna družba opravlja pomembno čezmejno dejavnost v državi članici gostiteljici, kadar bo večji incident, povezan z IKT, verjetno imel resne posledice za finančne trge države članice gostiteljice ter kadar med pristojnimi organi obstajajo dogovori o sodelovanju v zvezi z nadzorom finančnih subjektov.

Člen 20

Harmonizacija vsebine in predlog za poročanje

Evropski nadzorni organi prek Skupnega odbora in v posvetovanju z ENISA in ECB razvijejo:

(a)

skupne osnutke regulativnih tehničnih standardov, da:

(i)

določijo vsebino poročil o večjih incidentih, povezanih z IKT, da se upoštevajo merila iz člena 18(1) in vključijo dodatni elementi, kot so podrobnosti, ki omogočajo, da se ugotovi relevantnost poročanja za druge države članice in ali gre za večji operativni ali varnostni incident, povezan s plačilom, ali ne;

(ii)

določijo roke za začetno obvestilo in za vsako poročilo iz člena 19(4);

(iii)

določijo vsebino obvestila o pomembnih kibernetskih grožnjah.

Evropski nadzorni organi pri oblikovanju navedenih osnutkov regulativnih tehničnih standardov upoštevajo velikost in splošni profil tveganja finančnega subjekta ter naravo, obseg in kompleksnost njegovih storitev, dejavnosti in poslovanja, zlasti, da se za namene tega odstavka, točka (a), točka (ii), zagotovi, da lahko različni roki po potrebi odražajo posebnosti finančnih sektorjev, brez poseganja v ohranjanje doslednega pristopa k poročanju o incidentih, povezanih z IKT, v skladu s to uredbo in Direktivo (EU) 2022/2555. Evropski nadzorni organi po potrebi utemeljijo odstopanje od pristopov, sprejetih v okviru navedene direktive;

(b)

skupne osnutke izvedbenih tehničnih standardov, da vzpostavijo standardne obrazce, predloge in postopke, v okviru katerih finančni subjekti poročajo o večjem incidentu, povezanem z IKT, in uradno obveščajo o pomembni kibernetski grožnji.

Evropski nadzorni organi skupne osnutke regulativnih tehničnih standardov iz prvega odstavka, točka (a), in skupne osnutke izvedbenih tehničnih standardov iz prvega odstavka, točka (b), predložijo Komisiji do 17. julija 2024.

Na Komisijo se prenese pooblastilo za dopolnitev te uredbe s sprejetjem skupnih regulativnih tehničnih standardov iz prvega odstavka, točka (a), v skladu s členi 10 do 14 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010.

Na Komisijo se prenese pooblastilo za sprejetje skupnih izvedbenih tehničnih standardov iz prvega odstavka, točka (b), v skladu s členom 15 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010.

Člen 21

Centralizacija poročanja o večjih incidentih, povezanih z IKT

Evropski nadzorni organi prek Skupnega odbora in v posvetovanju z ECB in ENISA pripravijo skupno poročilo, v katerem ocenijo izvedljivost nadaljnje centralizacije poročanja o incidentih z vzpostavitvijo enotnega vozlišča EU, kjer lahko finančni subjekti poročajo o večjih incidentih, povezanih z IKT. V skupnem poročilu se preuči, kako olajšati pretok poročanja o incidentih, povezanih z IKT, znižati s tem povezane stroške in podpirati tematske analize za povečanje konvergence nadzora.

Skupno poročilo iz odstavka 1 vsebuje vsaj naslednje elemente:

(a)

pogoje za vzpostavitev enotnega vozlišča EU;

(b)

koristi, omejitve in tveganja, vključno s tveganji, povezanimi z visoko koncentracijo občutljivih informacij;

(c)

potrebne zmožnosti za zagotovitev interoperabilnosti glede na druge zadevne sheme poročanja;

(d)

elemente operativnega upravljanja;

(e)

pogoje članstva;

(f)

tehnične ureditve za dostop finančnih subjektov in nacionalnih pristojnih organov do enotnega vozlišča EU;

(g)

predhodno oceno finančnih stroškov, ki nastanejo zaradi vzpostavitve operativne platforme za podporo enotnega vozlišču EU, vključno z zahtevanim strokovnim znanjem.

Evropski nadzorni organi poročilo iz odstavka 1 predložijo Evropskemu parlamentu, Svetu in Komisiji do 17. januarja 2025.

Člen 22

Povratne informacije nadzornih organov

Brez poseganja v tehnične prispevke, nasvete ali popravne ukrepe ter nadaljnje ukrepe, ki jih lahko po potrebi v skladu z nacionalnim pravom skupine CSIRT zagotovijo na podlagi Direktive (EU) 2022/2555, pristojni organ po prejemu začetnega uradnega obvestila in vsakega poročila iz člena 19(4) potrdi prejem ter lahko, kadar je to mogoče, finančnemu subjektu pravočasno zagotovi ustrezne in sorazmerne povratne informacije ali smernice na visoki ravni, zlasti z omogočanjem dostopa do relevantnih anonimiziranih informacij in podatkov o podobnih grožnjah, ter lahko razpravlja o popravnih ukrepih, izvedenih na ravni finančnega subjekta, in načinih za zmanjšanje in ublažitev škodljivih vplivov v finančnem sektorju. Brez poseganja v prejete povratne informacije nadzornih organov so finančni subjekti še naprej v celoti odgovorni za obravnavo incidentov, povezanih z IKT, o katerih se poroča na podlagi člena 19(1), in za njihove posledice.

Evropski nadzorni organi prek Skupnega odbora na anonimni podlagi in združeno enkrat letno poročajo o večjih incidentih, povezanih z IKT, katerih podrobnosti zagotovijo pristojni organi v skladu s členom 19(6), pri čemer navedejo vsaj število večjih incidentov, povezanih z IKT, njihovo naravo, njihov učinek na poslovanje finančnih subjektov ali strank, izvedene popravne ukrepe in nastale stroške.

Evropski nadzorni organi izdajo opozorila in pripravijo statistične podatke na visoki ravni v podporo ocenam groženj in ranljivosti na področju IKT.

Člen 23

Operativni ali varnostni incidenti, povezani s plačili, ki zadevajo kreditne institucije, plačilne institucije, ponudnike storitev zagotavljanja informacij o računih ter institucije za izdajo elektronskega denarja

Zahteve iz tega poglavja se uporabljajo tudi za operativne ali varnostne incidente, povezane s plačili, in večje tovrstne incidente, kadar zadevajo kreditne institucije, plačilne institucije, ponudnike storitev zagotavljanja informacij o računih ter institucije za izdajo elektronskega denarja.

POGLAVJE IV

Testiranje digitalne operativne odpornosti

Člen 24

Splošne zahteve za izvajanje testiranja digitalne operativne odpornosti

Finančni subjekti, ki niso mikropodjetja, za namene ocenjevanja pripravljenosti na obvladovanje incidentov, povezanih z IKT, identificiranja slabosti, pomanjkljivosti in vrzeli v digitalni operativni odpornosti in takojšnjega izvajanja popravnih ukrepov ob upoštevanju meril iz člena 4(2) vzpostavijo, vzdržujejo in pregledujejo trden in celovit program za testiranje digitalne operativne odpornosti v sklopu okvira za obvladovanje tveganj na področju IKT iz člena 6.

V program za testiranje digitalne operativne odpornosti se vključi vrsta ocen, testov, metodologij, praks in orodij, ki se uporabljajo v skladu s členoma 25 in 26.

Finančni subjekti, ki niso mikropodjetja, pri izvajanju programa za testiranje digitalne operativne odpornosti iz odstavka 1 tega člena sledijo pristopu, ki temelji na tveganju, pri čemer upoštevajo merila, določena v členu 4(2), tako da ustrezno pozornost namenijo spreminjajoči se krajini tveganj na področju IKT, morebitnim posebnim tveganjem, ki jim je zadevni finančni subjekt izpostavljen ali bi lahko bil izpostavljen, kritičnosti informacijskih sredstev in storitev, ki se opravljajo, ter vsem drugim dejavnikom, ki se jim zdijo ustrezni.

Finančni subjekti, ki niso mikropodjetja, zagotovijo, da teste izvajajo notranje ali zunanje neodvisne strani. Kadar teste izvajajo notranji preizkuševalci, finančni subjekti temu namenijo zadostna sredstva in zagotovijo, da se v fazi zasnove in izvedbe testa preprečijo nasprotja interesov.

Finančni subjekti, ki niso mikropodjetja, vzpostavijo postopke in politike za prednostno obravnavo, razvrstitev in odpravo vseh težav, ki so se pokazale med izvajanjem testov, ter vzpostavijo notranje metodologije za validacijo, da ugotovijo, ali so v celoti obravnavane vse identificirane slabosti, pomanjkljivosti ali vrzeli.

Finančni subjekti, ki niso mikropodjetja, vsaj enkrat letno zagotovijo, da se ustrezno testirajo vsi sistemi in aplikacije IKT, ki podpirajo kritične ali pomembne funkcije.

Člen 25

Testiranje sistemov in orodij IKT

Program za testiranje digitalne operativne odpornosti iz člena 24 zagotavlja – v skladu z merili, določenimi v členu 4(2), – izvajanje ustreznih testov, kot so ocene in pregledi ranljivosti, analize odprtokodne programske opreme, ocene varnosti omrežja, analize vrzeli, pregledi fizične varnosti, vprašalniki in rešitve za preiskovanje programske opreme, pregledi izvorne kode, kadar je to mogoče, testiranja na podlagi scenarijev, testi združljivosti, testi učinkovitosti, celovita testiranja in penetracijsko testiranje.

Centralne depotne družbe in centralne nasprotne stranke izvedejo ocene ranljivosti pred kakršno koli uvedbo ali prerazporeditvijo novih ali obstoječih aplikacij in infrastruturnih komponent ter storitev IKT, ki podpirajo kritične ali pomembne funkcije finančnega subjekta.

Mikropodjetja opravijo teste iz odstavka 1 tako, da združijo pristop, ki temelji na tveganju, s strateškim načrtovanjem testiranja IKT, pri čemer ustrezno upoštevajo potrebo po ohranjanju uravnoteženega pristopa med obsegom virov in časom, ki se nameni testu IKT iz tega člena, na eni strani ter nujnostjo, vrsto tveganja, kritičnostjo informacijskih sredstev in opravljenih storitev ter kakršnimi koli drugimi ustreznimi dejavniki, vključno z zmožnostjo finančnega subjekta, da premišljeno tvega, na drugi strani.

Člen 26

Napredno testiranje orodij, sistemov in postopkov IKT na podlagi penetracijskega testiranja na podlagi analize groženj

Finančni subjekti, ki niso subjekti iz člena 16(1), prvi pododstavek, in niso mikropodjetja ter so opredeljeni v skladu z odstavkom 8, tretji pododstavek, tega člena vsaj vsaka tri leta izvedejo napredno penetracijsko testiranje na podlagi analize groženj. Na podlagi profila tveganja finančnega subjekta in ob upoštevanju operativnih okoliščin lahko pristojni organ po potrebi od finančnega subjekta zahteva, da to stori manj ali bolj pogosto.

Vsak penetracijski test na podlagi analize groženj zajema nekatere ali vse kritične ali pomembne funkcije finančnega subjekta ter se izvaja na aktivnih produkcijskih sistemih, ki podpirajo take funkcije.

Finančni subjekti identificirajo vse ustrezne osnovne sisteme, postopke in tehnologije IKT, ki podpirajo kritične ali pomembne funkcije ter storitve IKT, vključno s tistimi, ki podpirajo kritične ali pomembne funkcije, ki so oddane v zunanje izvajanje ali pogodbeno izvajanje tretjim ponudnikom storitev IKT.

Finančni subjekti ocenijo, katere kritične ali pomembne funkcije morajo biti zajete v penetracijsko testiranje na podlagi analize groženj. Rezultat te ocene določi natančen obseg penetracijskega testiranja na podlagi analize groženj, potrdijo pa ga pristojni organi.

Kadar so tretji ponudniki storitev IKT vključeni v obseg penetracijskega testiranja na podlagi analize groženj, finančni subjekt sprejme potrebne in zaščitne ukrepe, da zagotovi sodelovanje teh tretjih ponudnikov storitev IKT pri penetracijskem testiranju na podlagi analize groženj, ter je ves čas v celoti odgovoren za izpolnjevanje obveznosti iz te uredbe.

Brez poseganja v odstavek 2, prvi in drugi pododstavek, se lahko finančni subjekt in tretji ponudnik storitev IKT, kadar se razumno pričakuje, da bo sodelovanje tretjega ponudnika storitev IKT pri penetracijskem testiranju na podlagi analize groženj iz odstavka 3 škodljivo vplivalo na kakovost ali varnost storitev, ki jih tretji ponudnik storitev IKT zagotavlja strankam, ki so subjekti, ki ne spadajo na področje uporabe te uredbe, ali na zaupnost podatkov, povezanih s takimi storitvami, pisno dogovorita, da tretji ponudnik storitev IKT sklene pogodbene dogovore neposredno z zunanjim preizkuševalcem, z namenom da se pod vodstvom enega imenovanega finančnega subjekta izvede skupno penetracijsko testiranje na podlagi analize groženj, ki vključuje več finančnih subjektov (skupno testiranje), za katere tretji ponudnik storitev IKT opravlja storitve IKT.

To skupno testiranje zajema ustrezen nabor storitev IKT, ki podpirajo kritične ali pomembne funkcije, ki jih finančni subjekti v skladu s pogodbo zagotavljajo zadevnim tretjim ponudnikom storitev IKT. Skupno testiranje se šteje za penetracijsko testiranje na podlagi analize groženj, ki ga izvajajo finančni subjekti, ki sodelujejo pri skupnem testiranju.

Število finančnih subjektov, ki sodelujejo pri skupnem testiranju, se ustrezno prilagodi glede na kompleksnost in vrsto storitev, ki so v to vključene.

Finančni subjekti v sodelovanju s tretjimi ponudniki storitev IKT in udeleženimi stranmi, vključno s preizkuševalci, ne pa s pristojnimi organi, uporabljajo učinkovite kontrole za obvladovanje tveganj, da ublažijo tveganja morebitnega vpliva na podatke, škodo na sredstvih in motnje v kritičnih ali pomembnih funkcijah, storitvah ali poslovanju samega finančnega subjekta, njegovih nasprotnih strank ali v finančnem sektorju.

Na koncu testiranja, po dogovoru glede poročil in sanacijskih načrtov, finančni subjekt in po potrebi zunanji preizkuševalci organu, imenovanemu v skladu z odstavkom 9 ali 10, predložijo povzetek relevantnih ugotovitev, sanacijske načrte in dokumentacijo, ki dokazuje, da je bilo penetracijsko testiranje na podlagi analize groženj izvedeno v skladu z zahtevami.

Organi finančnim subjektom izdajo potrdilo, da je bilo testiranje izvedeno v skladu z zahtevami, kot je razvidno iz dokumentacije, da bi lahko pristojni organi penetracijske teste na podlagi analize groženj vzajemno priznali. Finančni subjekt ustrezni pristojni organ uradno obvesti o potrdilu, povzetku relevantnih ugotovitev in sanacijskih načrtih.

Brez poseganja v takšno potrdilo so finančni subjekti vedno v celoti odgovorni za vpliv testiranj iz odstavka 4.

Finančni subjekti za namene izvajanja penetracijskega testiranja na podlagi analize groženj sklenejo pogodbo s preizkuševalci v skladu s členom 27. Ko finančni subjekti uporabljajo notranje preizkuševalce za namene izvajanja penetracijskega testiranja na podlagi analize groženj, sklenejo pogodbo z zunanjim preizkuševalcem za vsak tretji test.

Kreditne institucije, ki so razvrščene kot pomembne v skladu s členom 6(4) Uredbe (EU) št. 1024/2013, uporabljajo zunanje preizkuševalce samo v skladu s členom 27(1), točke (a) do (e).

Pristojni organi finančne subjekte, ki morajo izvesti penetracijsko testiranje na podlagi analize groženj, opredelijo tako, da upoštevajo merila iz člena 4(2), ter na podlagi ocene:

(a)

dejavnikov, povezanih z učinki, zlasti v kolikšnem obsegu opravljene storitve in dejavnosti, ki jih izvaja finančni subjekt, vplivajo na finančni sektor;

(b)

morebitnih pomislekov glede finančne stabilnosti, vključno s sistemskim značajem finančnega subjekta na ravni Unije ali nacionalni ravni, kot je ustrezno;

(c)

posebnega profila tveganja na področju IKT, stopnje zrelosti finančnega subjekta na področju IKT ali značilnosti vključene tehnologije.

Države članice lahko imenujejo en sam javni organ v finančnem sektorju, ki bo na nacionalni ravni odgovoren za zadeve, povezane s penetracijskim testiranjem na podlagi analize groženj v finančnem sektorju, in mu v ta namen zaupajo vse pristojnosti in naloge.

10.

Brez imenovanja v skladu z odstavkom 9 tega člena in brez poseganja v pooblastilo za opredelitev finančnih subjektov, od katerih se zahteva, da izvedejo penetracijsko testiranje na podlagi analize groženj, lahko pristojni organ prenese izvajanje nekaterih ali vseh nalog iz tega člena in člena 27 na drug nacionalni organ v finančnem sektorju.

11.

Evropski nadzorni organi v dogovoru z ECB pripravijo skupne osnutke regulativnih tehničnih standardov v skladu z okvirom TIBER-EU, da bi podrobneje opredelili:

(a)

merila, ki veljajo za namene uporabe odstavka 8, drugi pododstavek;

(b)

zahteve in standarde, ki urejajo uporabo notranjih preizkuševalcev;

(c)

zahteve v zvezi z:

(i)

obsegom penetracijskega testiranja na podlagi analize groženj iz odstavka 2;

(ii)

metodologijo in pristopom testiranja, ki ju je treba upoštevati za vsako posamezno fazo testiranja;

(iii)

rezultati ter zaključno fazo in fazo sanacije;

(d)

vrsto sodelovanja nadzornih organov in drugega ustreznega sodelovanja, ki je potrebno za izvedbo penetracijskega testiranja na podlagi analize groženj in njegovo lažje vzajemno priznavanje, kar zadeva finančne subjekte, ki delujejo v več kot eni državi članici, da se omogoči ustrezna raven sodelovanja nadzornih organov in prilagodljivo izvajanje z upoštevanjem posebnosti finančnih podsektorjev ali lokalnih finančnih trgov.

Evropski nadzorni organi pri pripravi teh osnutkov regulativnih tehničnih standardov ustrezno upoštevajo vse specifične značilnosti, ki izhajajo iz posebne narave dejavnosti v različnih sektorjih finančnih storitev.

Evropski nadzorni organi te osnutke regulativnih tehničnih standardov Komisiji predložijo do 17. julija 2024.

Člen 27

Zahteve za preizkuševalce za izvedbo penetracijskega testiranja na podlagi analize groženj

Finančni subjekti za izvedbo penetracijskega testiranja na podlagi analize groženj uporabljajo samo preizkuševalce, ki:

(a)

so najprimernejši in uživajo največji ugled;

(b)

imajo tehnične in organizacijske zmožnosti ter posebno strokovno znanje na področjih obveščevalnih podatkov o grožnjah, penetracijskega testiranja in testiranja z rdečo ekipo;

(c)

so potrjeni s strani akreditacijskega organa v državi članici ali upoštevajo formalne kodekse ravnanja ali etične okvire;

(d)

predložijo neodvisno zagotovilo ali revizijsko poročilo v zvezi z dobrim obvladovanjem tveganj, povezanih z izvajanjem penetracijskega testiranja na podlagi analize groženj, vključno z ustrezno zaščito zaupnih podatkov finančnega subjekta in povračilom škode za poslovna tveganja finančnega subjekta;

(e)

imajo primerno in polno kritje z ustreznimi zavarovanji poklicne odgovornosti, vključno s kritjem tveganja kršitve in malomarnosti;

Kadar uporabijo notranje preizkuševalce, finančni subjekti zagotovijo, da so poleg zahtev iz odstavka 1 izpolnjeni naslednji pogoji:

(a)

takšno uporabo odobri ustrezni pristojni organ ali en sam javni organ, imenovan v skladu s členom 26(9) in (10);

(b)

ustrezni pristojni organ potrdi, da ima finančni subjekt zadostna sredstva v ta namen, in zagotovi, da se v fazi zasnove in izvedbe testiranja preprečijo nasprotja interesov, ter

(c)

ponudnik obveščevalnih podatkov o grožnjah ni del finančnega subjekta.

Finančni subjekti zagotovijo, da se v pogodbah, sklenjenih z zunanjimi preizkuševalci, zahteva dobro upravljanje rezultatov penetracijskega testiranja na podlagi analize groženj in da kakršna koli obdelava podatkov, vključno z ustvarjanjem, shranjevanjem, združevanjem, osnutki, poročanjem, obveščanjem ali uničenjem, finančnega subjekta ne izpostavlja tveganjem.

POGLAVJE V

Obvladovanje tveganj tretjih strani na področju IKT

Oddelek I

Ključna načela za dobro obvladovanje tveganj tretjih strani na področju IKT

Člen 28

Splošna načela

Finančni subjekti obvladujejo tveganja tretjih strani na področju IKT kot sestavni del tveganj na področju IKT v sklopu okvira za obvladovanje tveganj na področju IKT iz člena 6(1) v skladu z naslednjimi načeli:

(a)

finančni subjekti, ki imajo za vodenje svojih poslovnih dejavnosti sklenjene pogodbene dogovore za uporabo storitev IKT, so ves čas v celoti odgovorni za spoštovanje in izpolnjevanje vseh obveznosti iz te uredbe in veljavnega prava o finančnih storitvah;

(b)

finančni subjekti obvladujejo tveganja tretjih strani na področju IKT glede na načelo sorazmernosti, pri čemer upoštevajo:

(i)

naravo, obseg, zapletenost in pomen odvisnosti, povezanih z IKT;

(ii)

tveganja, ki izhajajo iz pogodbenih dogovorov o uporabi storitev IKT, sklenjenih s tretjimi ponudniki storitev IKT, ob upoštevanju kritičnosti ali pomena posamezne storitve, postopka ali funkcije ter možnega učinka na neprekinjenost in dostopnost finančnih storitev in dejavnosti na individualni in skupinski ravni.

Finančni subjekti, ki niso subjekti iz člena 16(1), prvi pododstavek, in niso mikropodjetja, v sklopu svojega okvira za obvladovanje tveganj na področju IKT sprejmejo in redno pregledujejo strategijo o tveganju tretjih strani na področju IKT, pri čemer upoštevajo večdobaviteljsko strategijo iz člena 6(9), kadar je ustrezno. Strategija o tveganju tretjih strani na področju IKT vključuje politiko o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, ki jih opravljajo tretji ponudniki storitev IKT, in se uporablja na posamični podlagi in, kadar je ustrezno, na subkonsolidirani in konsolidirani podlagi. Upravljalni organ na podlagi ocene splošnega profila tveganja finančnega subjekta ter obsega in kompleksnosti njegovih poslovnih storitev redno pregleduje tveganja, identificirana v zvezi s pogodbenimi dogovori o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije.

Finančni subjekti v sklopu svojega okvira za obvladovanje tveganj na področju IKT na ravni subjekta ter na subkonsolidirani in konsolidirani ravni vzdržujejo in posodabljajo register informacij v zvezi z vsemi pogodbenimi dogovori o uporabi storitev IKT, ki jih opravljajo tretji ponudniki storitev IKT.

Pogodbeni dogovori iz prvega pododstavka se ustrezno dokumentirajo, pri čemer se razlikuje med tistimi, ki zajemajo storitve IKT, ki podpirajo kritične ali pomembne funkcije, in tistimi, ki ne zajemajo takih funkcij.

Finančni subjekti pristojnim organom vsaj enkrat letno poročajo o številu novih dogovorov o uporabi storitev IKT, kategorijah tretjih ponudnikov storitev IKT, vrsti pogodbenih dogovorov ter storitvah in funkcijah IKT, ki se opravljajo.

Finančni subjekti pristojnemu organu na njegovo zahtevo predložijo celoten register informacij ali, kot se zahteva, določene oddelke registra, skupaj z vsemi informacijami, za katere se meni, da so potrebne za učinkovit nadzor finančnega subjekta.

Finančni subjekti pravočasno obvestijo pristojni organ o kakršnem koli načrtovanem pogodbenem dogovoru o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, in o tem, kdaj je funkcija postala kritična ali pomembna.

Finančni subjekti pred sklenitvijo pogodbenega dogovora o uporabi storitev IKT:

(a)

ocenijo, ali pogodbeni dogovor zajema uporabo storitev IKT, ki podpirajo kritično ali pomembno funkcijo;

(b)

ocenijo, ali so izpolnjeni nadzorni pogoji za sklenitev pogodbenega dogovora;

(c)

identificirajo in ocenijo vsa pomembna tveganja v zvezi s pogodbenim dogovorom, vključno z možnostjo, da lahko tak pogodbeni dogovor prispeva k povečanju tveganja koncentracije na področju IKT iz člena 29;

(d)

opravijo skrben pregled potencialnih tretjih ponudnikov storitev IKT in s postopki izbire in ocenjevanja zagotovijo ustreznost tretjega ponudnika storitev IKT;

(e)

identificirajo in ocenijo nasprotja interesov, ki jih lahko povzroči pogodbeni dogovor.

Finančni subjekti lahko sklepajo pogodbene dogovore samo s tretjimi ponudniki storitev IKT, ki izpolnjujejo standarde informacijske varnosti. Kadar ti pogodbeni dogovori zadevajo kritične ali pomembne funkcije, finančni subjekti pred sklenitvijo dogovorov ustrezno upoštevajo, ali tretji ponudniki storitev IKT uporabljajo najnovejše in najkakovostnejše standarde informacijske varnosti.

Finančni subjekti pri uveljavljanju pravic do dostopa, inšpekcijskih pregledov in revizij pri tretjem ponudniku storitev IKT vnaprej določijo pogostost revizij in inšpekcijskih pregledov ter področja, ki jih je treba revidirati, na podlagi pristopa, ki temelji na tveganju, in ob upoštevanju splošno sprejetih revizijskih standardov v skladu z vsemi nadzornimi navodili o uporabi in vključitvi takih revizijskih standardov.

Kadar so pogodbeni dogovori o uporabi storitev IKT, sklenjeni s tretjimi ponudniki storitev IKT, tehnično zelo zapleteni, finančni subjekt preveri, ali imajo revizorji, ne glede na to, ali so to notranji ali zunanji revizorji oziroma skupine revizorjev, ustrezne spretnosti in znanje za učinkovito izvajanje ustreznih revizij in ocen.

Finančni subjekti zagotovijo, da se pogodbeni dogovori o uporabi storitev IKT lahko prekinejo v kateri koli od naslednjih okoliščin:

(a)

znatna kršitev veljavnih zakonov, predpisov ali pogodbenih pogojev s strani tretjega ponudnika storitev IKT;

(b)

okoliščine, identificirane med spremljanjem tveganja tretjih strani na področju IKT, za katere se šteje, da lahko spremenijo izvajanje funkcij, opravljenih na podlagi pogodbenega dogovora, vključno s pomembnimi spremembami, ki vplivajo na dogovor ali položaj tretjega ponudnika storitev IKT;

(c)

dokazane šibkosti tretjega ponudnika storitev IKT v zvezi z njegovim splošnim obvladovanjem tveganj na področju IKT in zlasti v načinu, kako zagotavlja razpoložljivost, avtentičnost, celovitost in zaupnost podatkov, bodisi osebnih ali kako drugače občutljivih podatkov bodisi neosebnih podatkov;

(d)

kadar pristojni organ zaradi pogojev zadevnega pogodbenega dogovora ali okoliščin v zvezi z njim ne more več učinkovito nadzirati finančnega subjekta.

Finančni subjekti vzpostavijo izhodne strategije za storitve IKT, ki podpirajo kritične ali pomembne funkcije. V izhodnih strategijah se upoštevajo tveganja, ki se lahko pojavijo na ravni tretjih ponudnikov storitev IKT, zlasti njihovo morebitno prenehanje delovanja, poslabšanje kakovosti opravljenih storitev IKT, kakršne koli motnje v poslovanju zaradi neprimernega ali neuspešnega opravljanja storitev ali kakršno koli pomembno tveganje, ki izhaja iz ustrezne in stalne uporabe zadevne storitve IKT, ali odpoved pogodbenih dogovorov s tretjimi ponudniki storitev IKT v kateri koli od okoliščin iz odstavka 7.

Finančni subjekti zagotovijo, da lahko prekinejo pogodbene dogovore brez:

(a)

motenj svojih poslovnih dejavnosti;

(b)

omejevanja skladnosti z zakonskimi zahtevami;

(c)

škode za neprekinjenost in kakovost storitev, opravljenih za stranke.

Izhodni načrti morajo biti izčrpni, dokumentirani ter morajo biti v skladu z merili, določenimi v členu 4(2), zadostno testirani in redno pregledovani.

Finančni subjekti identificirajo alternativne rešitve in oblikujejo prehodne načrte, ki jim omogočajo, da tretjemu ponudniku storitev IKT odvzamejo pogodbene storitve IKT in ustrezne podatke ter jih varno in celovito prenesejo k alternativnim ponudnikom ali jih ponovno vključijo v lastno podjetje.

Finančni subjekti vzpostavijo ukrepe ob nepredvidljivih dogodkih za ohranitev neprekinjenosti poslovanja v primeru okoliščin iz prvega pododstavka.

Evropski nadzorni organi prek Skupnega odbora pripravijo osnutke izvedbenih tehničnih standardov za vzpostavitev standardnih predlog za namene registra informacij iz odstavka 3, vključno z informacijami, ki so skupne vsem pogodbenim dogovorom o uporabi storitev IKT. Evropski nadzorni organi te osnutke izvedbenih tehničnih standardov Komisiji predložijo do 17. januarja 2024.

Na Komisijo se prenese pooblastilo za sprejetje izvedbenih tehničnih standardov iz prvega pododstavka v skladu s členom 15 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010.

10.

Evropski nadzorni organi prek Skupnega odbora pripravijo osnutke regulativnih tehničnih standardov, da nadalje opredelijo podrobno vsebino politike iz odstavka 2 v zvezi s pogodbenimi dogovori o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, ki jih opravljajo tretji ponudniki storitev IKT.

Evropski nadzorni organi pri oblikovanju navedenih osnutkov regulativnih tehničnih standardov upoštevajo velikost in splošni profil tveganja finančnega subjekta ter naravo, obseg in kompleksnost njegovih storitev, dejavnosti in poslovanja. Evropski nadzorni organi te osnutke regulativnih tehničnih standardov Komisiji predložijo do 17. januarja 2024.

Člen 29

Predhodna ocena tveganja koncentracije na področju IKT na ravni subjekta

Finančni subjekti pri identificiranju in ocenjevanju tveganj iz člena 28(4), točka (c), upoštevajo tudi, ali bi predvidena sklenitev pogodbenega dogovora v zvezi s storitvami IKT, ki podpirajo kritične ali pomembne funkcije, povzročila:

(a)

sklenitev pogodbe s tretjim ponudnikom storitev IKT, ki ga ni enostavno nadomestiti, ali

(b)

obstoj več pogodbenih dogovorov v zvezi z opravljanjem storitev IKT, ki podpirajo kritične ali pomembne funkcije, z istim tretjim ponudnikom storitev IKT ali tesno povezanimi tretjimi ponudniki storitev IKT.

Finančni subjekti pretehtajo koristi in stroške alternativnih rešitev, kot je uporaba različnih tretjih ponudnikov storitev IKT, pri čemer upoštevajo, ali in kako predvidene rešitve ustrezajo poslovnim potrebam in ciljem iz njihove strategije za digitalno odpornost.

Kadar pogodbeni dogovori o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, vključujejo možnost, da tretji ponudnik storitev IKT kritično ali pomembno funkcijo nadalje odda v podizvajanje drugim tretjim ponudnikom storitev IKT, finančni subjekti pretehtajo koristi in tveganja, ki lahko nastanejo v povezavi s tako morebitno oddajo v podizvajanje, zlasti v primeru podizvajalca storitev IKT s sedežem v tretji državi.

Kadar pogodbeni dogovori zadevajo storitve IKT, ki podpirajo kritične ali pomembne funkcije, finančni subjekti ustrezno upoštevajo določbe insolvenčnega prava, ki bi veljale v primeru stečaja tretjega ponudnika storitev IKT ter kakršno koli omejitev, ki se lahko pojavi v zvezi z nujno obnovitvijo podatkov finančnega subjekta.

Kadar se pogodbeni dogovori o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, sklenejo s tretjim ponudnikom storitev IKT s sedežem v tretji državi, finančni subjekti poleg dejavnikov iz drugega pododstavka upoštevajo še skladnost s pravili Unije o varstvu podatkov in učinkovitost izvrševanja prava v tej tretji državi.

Kadar pogodbeni dogovori o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, vključujejo možnost podizvajanja, finančni subjekti ocenijo, ali in kako lahko potencialno dolge ali zapletene verige podizvajanja vplivajo na njihovo zmožnost popolnega spremljanja pogodbenih funkcij in na zmožnost pristojnega organa, da v zvezi s tem učinkovito nadzoruje finančni subjekt.

Člen 30

Ključne pogodbene določbe

Pravice in obveznosti finančnega subjekta in tretjega ponudnika storitev IKT se jasno dodelijo in določijo v pisni obliki. Celotna pogodba vključuje sporazume o ravni storitve in se dokumentira v enem pisnem dokumentu, ki je na voljo strankam v papirni obliki ali v dokumentu druge oblike, ki jo je mogoče prenesti in trajna in dostopna.

V pogodbene dogovore o uporabi storitev IKT se vključijo vsaj naslednji elementi:

(a)

jasen in popoln opis vseh funkcij in storitev IKT, ki jih mora opraviti tretji ponudnik storitev IKT, z navedbo, ali je dovoljeno oddajanje storitve IKT, ki podpira kritične ali pomembne funkcije, ali njenih bistvenih delov v podizvajanje in, če je dovoljeno, pogoje, ki veljajo za tako podizvajanje;

(b)

lokacije, in sicer regije in države, kjer se opravljajo pogodbene funkcije in storitve IKT, oddane v izvajanje ali podizvajanje, in obdelovali podatki, vključno z lokacijo hrambe, ter zahtevo, da tretji ponudnik storitev IKT vnaprej obvesti finančni subjekt, če namerava spremeniti te lokacije;

(c)

določbe o razpoložljivosti, avtentičnosti, celovitosti in zaupnosti v zvezi z varstvom podatkov, vključno z osebnimi podatki;

(d)

določbe o zagotavljanju dostopa, obnovitve in restavriranja osebnih in neosebnih podatkov v preprosto dostopni obliki, ki jih obdeluje finančni subjekt, v primeru insolventnosti, reševanja ali prenehanja poslovanja tretjega ponudnika storitev IKT ali v primeru odpovedi pogodbenih dogovorov;

(e)

opisi ravni storitev, vključno z njihovimi posodobitvami in popravki;

(f)

obveznost tretjega ponudnika storitev IKT, da v primeru incidenta, povezanega z IKT in s storitvijo IKT, ki se opravi za finančni subjekt, temu zagotovi pomoč brez dodatnih stroškov ali po predhodno določeni ceni;

(g)

obveznost tretjega ponudnika storitev, da v celoti sodeluje s pristojnimi organi in organi za reševanje finančnega subjekta, vključno z osebami, ki jih ti imenujejo;

(h)

pravice do odpovedi in povezani minimalni roki za odpoved pogodbenih dogovorov v skladu s pričakovanji pristojnih organov in organov za reševanje;

(i)

pogoji sodelovanja tretjih ponudnikov storitev IKT v programih ozaveščanja o varnosti na področju IKT in usposabljanju na področju digitalne operativne odpornosti finančnih subjektov, v skladu s členom 13(6).

V pogodbene dogovore o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, se poleg elementov iz odstavka 2 vključi vsaj naslednje:

(a)

celoviti opisi ravni storitev – tudi njihove posodobitve in popravki –, v katerih so določeni natančni kvantitativni in kvalitativni cilji uspešnosti znotraj dogovorjenih ravni storitev, da lahko finančni subjekt učinkovito spremlja storitve IKT in omogoči sprejetje ustreznih popravnih ukrepov brez nepotrebnega odlašanja, ko dogovorjene ravni storitev niso dosežene;

(b)

odpovedni roki in obveznosti tretjega ponudnika storitev IKT za poročanje finančnemu subjektu, vključno z obveščanjem o spremembah, ki bi lahko pomembno vplivale na zmožnost tretjega ponudnika storitev IKT, da učinkovito opravlja storitve IKT, ki podpirajo kritične ali pomembne funkcije v skladu z dogovorjenimi ravnmi storitev;

(c)

zahteve, da tretji ponudnik storitev IKT izvaja in testira poslovne načrte izrednih ukrepov ter vzpostavi varnostne ukrepe, orodja in politike na področju IKT, ki finančnemu subjektu zagotavljajo ustrezno raven varnosti za opravljanje storitev v skladu z njegovim regulativnim okvirom;

(d)

obveznost tretjega ponudnika storitev IKT, da sodeluje in se v celoti udejstvuje pri penetracijskem testu na podlagi groženj, kot je navedeno v členih 26 in 27;

(e)

pravica do stalnega spremljanja uspešnosti tretjega ponudnika storitev IKT, ki vključuje naslednje:

(i)

neomejene pravice do dostopa, inšpekcijskega pregleda in revizije s strani finančnega subjekta ali imenovane tretje strani in pristojnega organa ter pravico, da pridobijo kopije ustrezne dokumentacije na kraju samem, če so kritične za poslovanje tretjih ponudnikov storitev IKT, pri čemer drugi pogodbeni dogovori ali izvedbene politike ne ovirajo ali omejujejo učinkovitega uveljavljanja teh pravic;

(ii)

pravico, da se zahtevajo alternativne ravni zanesljivosti, če so prizadete pravice drugih strank;

(iii)

obveznost tretjega ponudnika storitev IKT, da bo v celoti sodeloval pri inšpekcijskih pregledih in revizijah na kraju samem, ki jih izvajajo pristojni organi, glavni nadzornik, finančni subjekt ali imenovana tretja stran, ter

(iv)

obveznost, da predloži podrobnosti o obsegu, zahtevanih postopkih in pogostosti teh inšpekcijskih pregledov in revizij;

(f)

izhodne strategije, zlasti določitev obveznega ustreznega prehodnega obdobja:

(i)

med katerim bo tretji ponudnik storitev IKT še naprej opravljal ustrezne funkcije ali storitve IKT, da bi zmanjšal tveganje motenj pri finančnem subjektu ali zagotovil njihovo učinkovito reševanje in prestrukturiranje;

(ii)

ki finančnemu subjektu omogoča, da preide na drugega tretjega ponudnika storitev IKT ali na rešitve v okviru lastnega podjetja, ki so skladne s kompleksnostjo opravljene storitve.

Z odstopanjem od točke (e) se lahko tretji ponudnik storitev IKT in finančni subjekt, ki je mikropodjetje, dogovorita, da se lahko pravice finančnega subjekta do dostopa, inšpekcijskega pregleda in revizije prenesejo na neodvisno tretjo stran, ki jo imenuje tretji ponudnik storitev IKT, finančni subjekt pa lahko od tretje strani kadar koli zahteva informacije in zagotovila glede uspešnosti tretjega ponudnika storitev IKT.

Pri pogajanjih o pogodbenih dogovorih finančni subjekti in tretji ponudniki storitev IKT upoštevajo uporabo standardnih pogodbenih klavzul, ki jih javni organi oblikujejo za določene storitve.

Evropski nadzorni organi prek Skupnega odbora pripravijo osnutke regulativnih tehničnih standardov, da natančneje opredelijo elemente iz odstavka 2, točka (a), ki jih mora finančni subjekt določiti in oceniti pri oddaji storitev IKT, ki podpirajo kritične ali pomembne funkcije, v podizvajanje.

Evropski nadzorni organi te osnutke regulativnih tehničnih standardov Komisiji predloži do 17. julija 2024.

Oddelek II

Okvir nadzora nad ključnimi tretjimi ponudniki storitev IKT

Člen 31

Imenovanje ključnih tretjih ponudnikov storitev IKT

Evropski nadzorni organi prek Skupnega odbora in na podlagi priporočila nadzorniškega foruma, ustanovljenega v skladu s členom 32(1):

(a)

imenujejo tretje ponudnike storitev IKT, ki so ključni za finančne subjekte, in sicer na podlagi ocene, pri kateri se upoštevajo merila iz odstavka 2;

(b)

kot glavnega nadzornika za vsakega ključnega tretjega ponudnika storitev IKT imenujejo evropski nadzorni organ, ki je v skladu z uredbami (EU) št. 1093/2010, (EU) št. 1094/2010 ali (EU) št. 1095/2010 odgovoren za finančne subjekte, ki imajo skupno največji delež celotnih sredstev glede na vrednost celotnih sredstev vseh finančnih subjektov, ki uporabljajo storitve zadevnega ključnega tretjega ponudnika storitev IKT, kar dokazuje vsota posameznih bilanc stanja navedenih finančnih subjektov.

Imenovanje iz odstavka 1, točka (a), temelji na vseh naslednjih merilih v zvezi s storitvami IKT, ki jih opravlja tretji ponudnik storitev IKT:

(a)

sistemski učinek na stabilnost, neprekinjenost ali kakovost opravljanja finančnih storitev v primeru, da bi se zadevni tretji ponudnik storitev IKT soočal z obsežno motnjo v delovanju pri opravljanju svojih storitev, ob upoštevanju števila finančnih subjektov in skupne vrednosti sredstev finančnih subjektov, za katere zadevni tretji ponudnik storitev IKT opravlja storitve;

(b)

sistemski značaj ali pomen finančnih subjektov, ki so odvisni od zadevnega tretjega ponudnika storitev IKT, ocenjen v skladu z naslednjimi parametri:

(i)

število globalnih sistemsko pomembnih institucij ali drugih sistemsko pomembnih institucij, ki so odvisne od zadevnega tretjega ponudnika storitev IKT;

(ii)

soodvisnost med globalnimi sistemsko pomembnimi institucijami ali drugimi sistemsko pomembnimi institucijami iz točke (i) in drugimi finančnimi subjekti, vključno s situacijami, ko globalne sistemsko pomembne institucije ali druge sistemsko pomembne institucije za druge finančne subjekte opravljajo storitve finančne infrastrukture;

(c)

odvisnost finančnih subjektov od storitev, ki jih opravlja zadevni tretji ponudnik storitev IKT v zvezi s kritičnimi ali pomembnimi funkcijami finančnih subjektov, ki nazadnje vključujejo istega tretjega ponudnika storitev IKT, ne glede na to, ali so finančni subjekti od teh storitev odvisni neposredno ali posredno, na podlagi dogovorov o podizvajanju;

(d)

stopnja nadomestljivosti tretjega ponudnika storitev IKT, ob upoštevanju naslednjih parametrov:

(i)

pomanjkanje resničnih alternativ, celo delnih, zaradi omejenega števila tretjih ponudnikov storitev IKT, ki delujejo na določenem trgu, ali tržnega deleža zadevnega tretjega ponudnika storitev IKT ali zaradi obstoječe tehnične zapletenosti ali izpopolnjenosti, tudi v zvezi s kakršno koli zaščiteno tehnologijo ali posebnostmi organizacije ali dejavnosti tretjega ponudnika storitev IKT;

(ii)

težave v zvezi z delno ali popolno selitvijo ustreznih podatkov in delovnih obremenitev z zadevnega tretjega ponudnika storitev IKT na drugega tretjega ponudnika storitev IKT, bodisi zaradi znatnih finančnih stroškov, časa ali drugih virov, ki jih lahko povzroči postopek selitve, bodisi zaradi povečanega tveganja na področju IKT ali drugih operativnih tveganj, ki jim je finančni subjekt lahko izpostavljen s tako selitvijo.

Kadar je tretji ponudnik storitev IKT del skupine, se merila iz odstavka 2 upoštevajo v zvezi s storitvami IKT, ki jih opravlja skupina kot celota.

Za lažjo komunikacijo z glavnim nadzornikom in zagotovitev ustrezne zastopanosti ključni tretji ponudniki storitev IKT, ki so del skupine, za svojo koordinacijsko točko imenujejo eno pravno osebo.

Glavni nadzornik obvesti tretjega ponudnika storitev IKT o rezultatih ocene, ki je podlaga za imenovanje iz odstavka 1, točka (a). Tretji ponudnik storitev IKT lahko v šestih tednih od datuma obvestila glavnemu nadzorniku predloži utemeljeno izjavo z vsemi ustreznimi informacijami za namene ocene. Glavni nadzornik preuči utemeljeno izjavo in lahko zahteva predložitev dodatnih informacij v 30 koledarskih dneh od prejema te izjave.

Potem ko evropski nadzorni organi prek Skupnega odbora tretjega ponudnika storitev IKT imenuje za ključnega ponudnika, o tem imenovanju in datumu začetka, od katerega bo dejansko predmet nadzornih dejavnosti, obvestijo tretjega ponudnika storitev IKT. Datum začetka nastopi najpozneje en mesec po obvestilu. Tretji ponudnik storitev IKT obvesti finančne subjekte, za katere opravlja storitve, da je imenovan za ključnega ponudnika.

Na Komisijo se prenese pooblastilo, da do 17. julija 2024 sprejme delegirani akt v skladu s členom 57 za dopolnitev te uredbe z nadaljnjo opredelitvijo meril iz odstavka 2 tega člena.

Imenovanje iz odstavka 1, točka (a), se ne uporablja, dokler Komisija ne sprejme delegiranega akta v skladu z odstavkom 6.

Imenovanje iz odstavka 1, točka (a), ne velja za naslednje:

(i)

finančne subjekte, ki opravljajo storitve IKT za druge finančne subjekte;

(ii)

tretje ponudnike storitev IKT, za katere veljajo okviri nadzora, vzpostavljeni za namene podpiranja nalog iz člena 127(2) Pogodbe o delovanju Evropske unije;

(iii)

tretje ponudnike storitev IKT znotraj skupine;

(iv)

tretje ponudnike storitev IKT, ki storitve IKT opravljajo samo v eni državi članici za finančne subjekte, ki so dejavni samo v tej državi članici.

Evropski nadzorni organi prek Skupnega odbora vsako leto pripravijo, objavijo in posodobijo seznam ključnih tretjih ponudnikov storitev IKT na ravni Unije.

10.

Za namene odstavka 1, točka (a), pristojni organi na letni in zbirni ravni pošljejo poročila iz člena 28(3), tretji pododstavek, nadzorniškemu forumu, ustanovljenemu na podlagi člena 32. Nadzorniški forum na podlagi informacij, ki jih prejme od pristojnih organov, oceni odvisnosti finančnih subjektov od tretjih strani na področju IKT.

11.

Tretji ponudniki storitev IKT, ki niso vključeni na seznam iz odstavka 9, lahko zaprosijo, da se jih imenuje za ključne ponudnike v skladu z odstavkom 1, točka (a).

Za namene prvega pododstavka tretji ponudnik storitev IKT predloži utemeljeno zahtevo EBA, ESMA ali EIOPA, ki se prek Skupnega odbora odloči, ali bo navedenega tretjega ponudnika storitev IKT imenoval za ključnega ponudnika v skladu z odstavkom 1, točka (a).

Odločitev iz drugega pododstavka se sprejme in sporoči tretjemu ponudniku storitev IKT v šestih mesecih po prejemu vloge.

12.

Finančni subjekti smejo uporabljati samo storitve tretjega ponudnika storitev IKT s sedežem v tretji državi, ki je bil imenovan za ključnega v skladu z odstavkom 1, točka (a), če je ta v 12 mesecih po imenovanju v Uniji ustanovil odvisno podjetje.

13.

Ključni tretji ponudnik storitev IKT iz odstavka 12 uradno obvesti glavnega nadzornika o vseh spremembah strukture upravljanja odvisnega podjetja, ustanovljenega v Uniji.

Člen 32

Struktura okvira nadzora

Skupni odbor v skladu s členom 57(1) uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010 ustanovi nadzorniški forum kot pododbor, ki podpira naloge Skupnega odbora in glavnega nadzornika iz člena 31(1), točka (b), na področju tveganj tretjih strani na področju IKT v finančnih sektorjih. Nadzorniški forum pripravi osnutke skupnih stališč in osnutke skupnih aktov Skupnega odbora na navedenem področju.

Nadzorniški forum redno razpravlja o relevantnih spremembah pri tveganjih in ranljivostih na področju IKT ter spodbuja dosleden pristop pri spremljanju tveganja tretjih strani na področju IKT na ravni Unije.

Nadzorniški forum enkrat letno opravi kolektivno oceno rezultatov in ugotovitev nadzornih dejavnosti, ki se izvajajo za vse ključne tretje ponudnike storitev IKT, in spodbuja usklajevalne ukrepe za povečanje digitalne operativne odpornosti finančnih subjektov ter spodbujanje najboljših praks pri obravnavanju tveganj koncentracije na področju IKT in raziskovanje načinov za zmanjševanje tveganja za medsektorske prenose tveganja.

Nadzorniški forum predloži izčrpne referenčne vrednosti za ključne tretje ponudnike storitev IKT, ki jih Skupni odbor sprejme kot skupna stališča evropskih nadzornih organov v skladu s členom 56(1) uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010.

Nadzorniški forum sestavljajo:

(a)

predsedniki evropskih nadzornih organov;

(b)

en predstavnik na visoki ravni, ki je izbran med osebjem, zaposlenim v ustreznem pristojnem organu iz člena 46 iz vsake države članice;

(c)

izvršni direktorji vsakega evropskega nadzornega organa in po en predstavnik Komisije ter ESRB, ECB in ENISA v vlogi opazovalcev;

(d)

po potrebi dodatni predstavnik pristojnega organa iz člena 46 iz vsake države članice v vlogi opazovalca;

(e)

kot je ustrezno, predstavnik pristojnih organov, imenovanih ali vzpostavljenih v skladu z Direktivo (EU) 2022/2555, odgovornih za nadzor nad bistvenim ali pomembnim subjektom, za katere velja navedena direktiva, ki je bil imenovan za ključnega tretjega ponudnika storitev IKT, v vlogi opazovalca.

Nadzorniški forum se lahko po potrebi posvetuje z neodvisnimi strokovnjaki, imenovanimi v skladu z odstavkom 6.

Vsaka država članica imenuje ustrezni pristojni organ, katerega član osebja je predstavnik na visoki ravni iz odstavka 4, prvi pododstavek, točka (b), in o tem obvesti glavnega nadzornika.

Evropski nadzorni organi na svojem spletnem mestu objavijo seznam predstavnikov na visoki ravni, izbranih med osebjem, zaposlenim v ustreznem pristojnem organu, ki jih imenujejo države članice.

Neodvisne strokovnjake iz odstavka 4, drugi pododstavek, imenuje nadzorniški forum, ki jih na podlagi javnega in preglednega postopka prijave izbere iz nabora strokovnjakov.

Neodvisni strokovnjaki so imenovani na podlagi strokovnega znanja o finančni stabilnosti, digitalni operativni odpornosti in varnostnih vprašanjih na področju IKT. Delujejo neodvisno in objektivno, izključno v interesu Unije kot celote ter ne zahtevajo in ne sprejemajo navodil institucij ali organov Unije, katere koli vlade države članice ali katerih koli drugih javnih ali zasebnih organov.

Evropski nadzorni organi v skladu s členom 16 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010 do 17. julija 2024 za namene tega oddelka izdajo smernice o sodelovanju med evropskimi nadzornimi organi in pristojnimi organi, ki zajemajo podrobne postopke in pogoje za razdelitev in izvajanje nalog med pristojnimi organi in evropskimi nadzornimi organi ter podrobnosti glede izmenjave informacij, ki so potrebne, da organi zagotovijo nadaljnje ukrepanje na podlagi priporočil iz člena 35(1), točka (d), naslovljeno na ključne tretje ponudnike storitev IKT.

Zahteve iz tega oddelka ne posegajo v uporabo Direktive (EU) 2022/2555 in drugih pravil Unije o nadzoru, ki veljajo za ponudnike storitev računalništva v oblaku.

Evropski nadzorni organi prek Skupnega odbora in na podlagi pripravljalnega dela, ki ga izvede nadzorniški forum, enkrat letno predložijo poročilo o uporabi tega oddelka Evropskemu parlamentu, Svetu in Komisiji.

Člen 33

Naloge glavnega nadzornika

Glavni nadzornik, imenovan v skladu s členom 31(1), točka (b), izvaja nadzor nad ključnimi tretjimi ponudniki storitev IKT, ki so mu dodeljeni, in je zanje glavna kontaktna točka za vsa vprašanja, povezana z nadzorom.

Za namene odstavka 1 glavni nadzornik oceni, ali ima vsak ključni tretji ponudnik storitev IKT vzpostavljena celovita, zanesljiva in učinkovita pravila, postopke, mehanizme in dogovore za obvladovanje tveganj na področju IKT, ki jih lahko predstavlja za finančne subjekte.

Ocena iz prvega pododstavka se osredotoči predvsem na storitve IKT, ki jih opravljajo ključni tretji ponudnik storitev IKT ter ki podpirajo kritične ali pomembne funkcije finančnih subjektov. Kadar je potrebno za obravnavanje vseh relevantnih tveganj, se ta ocena razširi na storitve IKT, ki podpirajo tudi funkcije, ki niso kritične ali pomembne funkcije.

Ocena iz odstavka 2 zajema:

(a)

zahteve v zvezi IKT, da se zagotovijo zlasti varnost, razpoložljivost, neprekinjenost, nadgradljivost in kakovost storitev, ki jih ključni tretji ponudnik storitev IKT zagotavlja finančnim subjektom, ter zmožnost stalnega ohranjanja visokih standardov glede razpoložljivosti, avtentičnosti, celovitosti ali zaupnosti podatkov;

(b)

fizično varnost, ki prispeva k zagotavljanju varnosti IKT, vključno z varnostjo prostorov, objektov in podatkovnih centrov;

(c)

postopke obvladovanja tveganj, vključno s politikami obvladovanja tveganj na področju IKT, politiko neprekinjenega poslovanja na področju IKT ter načrti odzivanja in okrevanja IKT;

(d)

ureditve upravljanja, vključno z organizacijsko strukturo z jasnimi, preglednimi in doslednimi opredelitvami pristojnosti in odgovornosti, ki omogočajo učinkovito obvladovanje tveganj na področju IKT;

(e)

identificiranje in spremljanje pomembnejših incidentov, povezanih z IKT, takojšnje poročanje finančnim subjektom o njih ter obvladovanje in reševanje teh incidentov, zlasti kibernetskih napadov;

(f)

mehanizme za prenosljivost podatkov, prenosljivost aplikacij in interoperabilnost, ki finančnim subjektom zagotavljajo učinkovito uveljavljanje pravic do odpovedi;

(g)

testiranje sistemov, infrastrukture in kontrol IKT;

(h)

revizije IKT;

(i)

uporabo ustreznih nacionalnih in mednarodnih standardov, ki se uporabljajo za opravljanje ponudnikovih storitev IKT finančnim subjektom.

Glavni nadzornik na podlagi ocene iz odstavka 2 in ob usklajevanju s skupno nadzorno mrežo iz člena 34(1) sprejme jasen, podroben in obrazložen individualni načrt nadzora za vsakega ključnega tretjega ponudnika storitev IKT z opisom letnih ciljev in glavnih načrtovanih ukrepov v zvezi z nadzorom. Ta načrt se vsako leto posreduje ključnemu tretjemu ponudniku storitev IKT.

Glavni nadzornik pred sprejetjem načrta nadzora ključnemu tretjemu ponudniku storitev IKT posreduje njegov osnutek.

Ključni tretji ponudnik storitev IKT lahko po prejemu osnutka načrta nadzora v 15 koledarskih dneh predloži utemeljeno izjavo, v kateri dokumentira pričakovani učinek na stranke, ki niso subjekti, ki spadajo na področje uporabe te uredbe, in po potrebi predstavi rešitve za zmanjšanje tveganj.

Ko so letni načrti nadzora iz odstavka 4 sprejeti in so ključni tretji ponudniki storitev IKT o njih obveščeni, lahko pristojni organi sprejmejo ukrepe v zvezi s takimi ključnimi tretjimi ponudniki storitev IKT samo v dogovoru z glavnim nadzornikom.

Člen 34

Operativno usklajevanje med glavnimi nadzorniki

Da bi se zagotovil dosleden pristop k nadzornim dejavnostim ter omogočili usklajene splošne nadzorne strategije in skladni operativni pristopi in delovne metodologije, trije glavni nadzorniki, imenovani v skladu s členom 31(1), točka (b), vzpostavijo skupno nadzorno mrežo, da se med seboj usklajujejo v pripravljalnih fazah in usklajujejo izvajanje dejavnosti nadzora nad ključnimi tretjimi ponudniki storitev IKT, za katere so pristojni, kot tudi o vseh ukrepih, ki bi lahko bili potrebni na podlagi člena 42.

Za namene odstavka 1 glavni nadzorniki pripravijo skupni protokol o nadzoru, v katerem določijo podrobne postopke, ki jih je treba upoštevati pri vsakodnevnem usklajevanju ter pri zagotavljanju hitrih izmenjav in odzivov. Protokol se redno revidira, da se upoštevajo operativne potrebe, zlasti razvoj praktičnih ureditev nadzora.

Glavni nadzorniki lahko priložnostno zaprosijo ECB in ENISA za tehnični nasvet, izmenjavo praktičnih izkušenj ali sodelovanje na posebnih usklajevalnih sestankih skupne nadzorne mreže.

Člen 35

Pooblastila glavnega nadzornika

Za namene izvajanja nalog, določenih v tem oddelku, ima glavni nadzornik v zvezi s ključnimi tretjimi ponudniki storitev IKT naslednja pooblastila:

(a)

da zahteva vse ustrezne informacije in dokumentacijo v skladu s členom 37;

(b)

da izvaja splošne preiskave in inšpekcijske preglede v skladu s členom 38 oziroma členom 39;

(c)

da po zaključku nadzornih dejavnosti zahteva poročila, v katerih so navedeni sprejeti ukrepi ali popravni ukrepi, ki so jih izvedli ključni tretji ponudniki storitev IKT v zvezi s priporočili iz točke (d) tega odstavka;

(d)

da izda priporočila na področjih iz člena 33(3), zlasti glede:

(i)

uporabe posebnih zahtev ali postopkov glede kakovosti in varnosti IKT, zlasti v zvezi z uvedbo popravkov, posodobitev, šifriranja in drugih varnostnih ukrepov, za katere glavni nadzornik meni, da so pomembni za zagotavljanje varnosti storitev na področju IKT, ki se zagotavljajo finančnim subjektom;

(ii)

uporabe pogojev, vključno z njihovo tehnično izvedbo, pod katerimi ključni tretji ponudniki storitev IKT zagotavljajo storitve IKT finančnim subjektom in za katere glavni nadzornik meni, da so pomembni za preprečevanje nastanka ali povečanja kritičnih točk odpovedi ali za zmanjšanje možnih sistemskih učinkov na finančni sektor Unije v primeru tveganja koncentracije na področju IKT;

(iii)

vsake načrtovane oddaje v podizvajanje, kadar glavni nadzornik na podlagi informacij, zbranih v skladu s členoma 37 in 38, meni, da lahko nadaljnje podizvajanje, vključno z dogovori o podizvajanju, ki jih nameravajo ključni tretji ponudniki storitev IKT skleniti z drugimi tretjimi ponudniki storitev IKT ali podizvajalci storitev IKT s sedežem v tretji državi, povzroči tveganje za opravljanje storitev s strani finančnega subjekta ali za finančno stabilnost;

(iv)

opustitve sklepanja nadaljnjih dogovorov o podizvajanju, kadar so izpolnjeni naslednji kumulativni pogoji:

—

predvideni podizvajalec je tretji ponudnik storitev IKT ali podizvajalec storitev IKT s sedežem v tretji državi;

—

oddaja v podizvajanje se nanaša na kritično ali pomembno funkcijo finančnega subjekta ter

—

glavni nadzornik meni, da taka oddaja v podizvajanje predstavlja jasno in resno tveganje za finančno stabilnost Unije ali za finančne subjekte, med drugim zmožnost finančnih subjektov, da izpolnijo zahteve v zvezi z nadzorom.

Za namene točke (iv) te točke tretji ponudniki storitev IKT glavnemu nadzorniku pošljejo informacije v zvezi z oddajo v podizvajanje, pri čemer uporabijo predlogo iz člena 41(1), točka (b).

Glavni nadzornik pri izvajanju pooblastil iz tega člena:

(a)

zagotavlja redno usklajevanje v okviru skupne nadzorne mreže in si po potrebi zlasti prizadeva za dosledne pristope pri nadzoru ključnih tretjih ponudnikov storitev IKT;

(b)

ustrezno upošteva okvir, vzpostavljen z Direktivo (EU) 2022/2555, in se po potrebi posvetuje z ustreznimi pristojnimi organi, imenovanimi ali vzpostavljenimi v skladu z navedeno direktivo, da se prepreči podvajanje tehničnih in organizacijskih ukrepov, ki bi se lahko uporabljali za ključne tretje ponudnike storitev IKT na podlagi navedene direktivo;

(c)

poskuša čim bolj zmanjšati tveganje motenj pri storitvah, ki jih ključni tretji ponudniki storitev IKT zagotavljajo strankam, ki niso subjekti, ki spadajo na področje uporabe te uredbe.

Glavni nadzornik se pred izvrševanjem pooblastil iz odstavka 1 posvetuje z nadzorniškim forumom.

Pred izdajo priporočil v skladu z odstavkom 1, točka (d), glavni nadzornik tretjemu ponudniku storitev IKT omogoči, da v 30 koledarskih dneh predloži ustrezne informacije, ki dokazujejo pričakovani učinek na stranke, ki niso subjekti, ki spadajo na področje uporabe te uredbe, in po potrebi predstavi rešitve za blažitev tveganj.

Glavni nadzornik o izidu izvrševanja pooblastil iz odstavka 1, točki (a) in (b), obvesti skupno nadzorno mrežo. Glavni nadzornik poročila iz odstavka 1, točka (c), brez nepotrebnega odlašanja posreduje skupni nadzorni mreži in pristojnim organom finančnih subjektov, ki uporabljajo storitve IKT tega ključnega tretjega ponudnika storitev IKT.

Ključni tretji ponudniki storitev IKT v dobri veri sodelujejo z glavnim nadzornikom in mu pomagajo pri izpolnjevanju njegovih nalog.

Glavni nadzornik v primeru popolnega ali delnega neizpolnjevanja ukrepov, ki jih je treba sprejeti na podlagi izvrševanja pooblastil iz odstavka 1, točke (a), (b) in (c), in po izteku najmanj 30 koledarskih dni od datuma, ko je ključni tretji ponudnik storitev IKT prejel obvestilo o zadevnih ukrepih, sprejme odločitev o periodični denarni kazni, ki jo naloži ključnemu tretjemu ponudniku storitev IKT, da ga prisili k izpolnjevanju teh ukrepov.

Periodična denarna kazen iz odstavka 6 se naloži za vsak dan, dokler ni zagotovljeno izpolnjevanje ukrepov, vendar največ za šestmesečno obdobje po tem, ko je bil ključni tretji ponudnik storitev IKT obveščen o odločitvi, da se naloži periodična denarna kazen.

Znesek periodične denarne kazni, izračunan od datuma, določenega v odločbi o naložitvi periodične denarne kazni, je največ 1 % povprečnega dnevnega svetovnega prometa ključnega tretjega ponudnika storitev IKT v prejšnjem poslovnem letu. Glavni nadzornik pri določanju zneska denarne kazni upošteva naslednja merila v zvezi z neizpolnjevanjem ukrepov iz odstavka 6:

(a)

resnost in trajanje neskladnosti;

(b)

ali je neskladnost storjena namerno ali iz malomarnosti;

(c)

raven sodelovanja tretjega ponudnika storitev IKT z glavnim nadzornikom.

Za namene prvega pododstavka in za zagotovitev doslednega pristopa se glavni nadzornik posvetuje s skupno nadzorno mrežo.

Denarna kazen je upravne narave in je izvršljiva. Izvršbo urejajo pravila civilnega postopka, ki veljajo v državi članici, na ozemlju katere se izvajajo inšpekcijski pregledi in obiski. Sodišča zadevne države članice so pristojna za pritožbe v zvezi z nepravilnim izvajanjem izvrševanja. Zneski denarnih kazni se dodelijo splošnemu proračunu Evropske unije.

10.

Glavni nadzornik javnosti razkrije vsako periodično denarno kazen, ki je bila naložena, razen če bi tako razkritje resno ogrozilo finančne trge ali povzročilo nesorazmerno škodo udeleženim stranem.

11.

Pred naložitvijo periodične denarne kazni iz odstavka 6 da glavni nadzornik predstavnikom ključnega tretjega ponudnika storitev IKT, v zvezi s katerim teče postopek, možnost, da podajo izjavo glede ugotovitev, in svoje odločitve utemelji le na ugotovitvah, na katere je imel ključni tretji ponudnik storitev IKT, ki je predmet postopke, priložnost podati pripombe.

V postopku se v celoti spoštujejo pravice do obrambe oseb, v zvezi s katerimi teče postopek. Ključni tretji ponudnik storitev IKT, v zvezi s katerim teče postopek, je upravičen do vpogleda v spis, ob upoštevanju zakonitega interesa drugih oseb za zaščito njihovih poslovnih skrivnosti. Pravica dostopa do spisa ne velja za zaupne informacije ali notranje pripravljalne dokumente glavnega nadzornika.

Člen 36

Izvrševanje pooblastil glavnega nadzornika zunaj Unije

Kadar ciljev nadzora ni mogoče doseči v sodelovanju z odvisnim podjetjem, ustanovljenim za namene člena 31(12), ali z izvajanjem nadzornih dejavnosti v prostorih, ki se nahajajo v Uniji, lahko glavni nadzornik v vseh prostorih v tretji državi, ki jih ima ključni tretji ponudnik storitev IKT v lasti ali jih na kakršen koli način uporablja za opravljanje storitev finančnim subjektom Unije, vključno z vsemi upravnimi, poslovnimi ali operativnimi uradi, prostori, zemljišči, zgradbami ali drugimi nepremičninami, v povezavi z njegovimi poslovnimi dejavnostmi, funkcijami ali storitvami izvršuje pooblastila iz naslednjih določb:

(a)

člen 35(1), točka (a), in

(b)

člen 35(1), točka (b), v skladu s členom 38(2), točke (a), (b) in (d), ter členom 39(1) in (2), točka (a).

Pooblastila iz prvega pododstavka se lahko izvršujejo ob upoštevanju vseh naslednjih pogojev:

(i)

glavni nadzornik meni, da je izvedba inšpekcijskega pregleda v tretji državi potrebna, da lahko v celoti in učinkovito izvaja svoje naloge na podlagi te uredbe;

(ii)

inšpekcijski pregled v tretji državi je neposredno povezan z opravljanjem storitev IKT za finančne subjekte v Uniji;

(iii)

zadevni ključni tretji ponudnik storitev IKT soglaša z izvedbo inšpekcijskega pregleda v tretji državi in

(iv)

ustrezni organ zadevne tretje države je bil uradno obveščen s strani glavnega nadzornika in ni nasprotoval.

EBA, ESMA ali EIOPA brez poseganja v pristojnosti institucij Unije oziroma držav članic za namene odstavka 1 sklenejo dogovore o upravnem sodelovanju z ustreznim organom tretje države, da se glavnemu nadzorniku in ekipi, imenovani za izvajanje njegovih nalog v zadevni tretji državi, omogoči nemoteno izvajanje inšpekcijskih pregledov v zadevni tretji državi. Ti dogovori o sodelovanju ne ustvarjajo pravnih obveznosti za Unijo in njene države članice niti državam članicam in njihovim pristojnim organom ne preprečujejo sklepanja dvostranskih ali večstranskih dogovorov z zadevnimi tretjimi državami in njihovimi ustreznimi organi.

V okviru teh dogovorov o sodelovanju se določijo vsaj naslednji elementi:

(a)

postopki za usklajevanje nadzornih dejavnosti, ki se izvajajo na podlagi te uredbe, in kakršno koli podobno spremljanje tveganja tretjih strani na področju IKT v finančnem sektorju, ki ga izvaja ustrezni organ zadevne tretje države, vključno s podrobnostmi o posredovanju njegovega soglasja k temu, da se glavnemu nadzorniku in njegovi imenovani ekipi omogoči izvajanje splošnih preiskav in inšpekcijskih pregledov na kraju samem iz odstavka 1, prvi pododstavek, na ozemlju pod njeno jurisdikcijo;

(b)

mehanizem za posredovanje vseh pomembnih informacij med EBA, ESMA ali EIOPA in ustreznim organom zadevne tretje države, zlasti v zvezi z informacijami, ki jih lahko zahteva glavni nadzornik na podlagi člena 37;

(c)

mehanizme, s katerimi ustrezni organ zadevne tretje države takoj obvesti EBA, ESMA ali EIOPA o primerih, v katerih se šteje, da je tretji ponudnik storitev IKT s sedežem v tretji državi, ki je imenovan kot ključni ponudnik v skladu s členom 31(1), točka (a), kršil zahteve, ki jih mora v skladu z veljavnim pravom zadevne tretje države upoštevati pri opravljanju storitev za finančne institucije v tej tretji državi, ter uporabljena pravna sredstva in sankcije;

(d)

redno posredovanje najnovejših informacij o regulativnem ali nadzornem razvoju v zvezi s spremljanjem tveganja na področju IKT, ki ga za finančne institucije v zadevni tretji državi predstavljajo tretje strani;

(e)

podrobnosti, na podlagi katerih se po potrebi omogoči sodelovanje enega predstavnika ustreznega organa tretje države pri inšpekcijskih pregledih, ki jih izvajata glavni nadzornik in imenovana ekipa.

Glavni nadzornik v primeru, da ne more izvajati nadzornih dejavnosti iz odstavkov 1 in 2 zunaj Unije:

(a)

izvaja svoja pooblastila iz člena 35 na podlagi vseh dejstev in dokumentov, ki jih ima na voljo;

(b)

dokumentira in pojasni vse posledice nezmožnosti izvajanja predvidenih nadzornih dejavnosti iz tega člena.

Morebitne posledice iz točke (b) tega odstavka se upoštevajo v priporočilih glavnega nadzornika, izdanih na podlagi člena 35(1), točka (d).

Člen 37

Zahteva po predložitvi informacij

Glavni nadzornik lahko s preprostim zahtevkom ali sklepom zahteva, da ključni tretji ponudniki storitev IKT zagotovijo vse informacije, ki jih potrebuje za opravljanje svojih nalog na podlagi te uredbe, vključno z vsemi ustreznimi poslovnimi ali operativnimi dokumenti, pogodbami, dokumentacijo o politikah, revizijskimi poročili o varnosti IKT, poročili o incidentih, povezanih z IKT, ter vse informacije v zvezi s stranmi, ki jim je ključni tretji ponudnik storitev IKT oddal operativne funkcije ali dejavnosti v zunanje izvajanje.

Pri pošiljanju preprostega zahtevka za informacije iz odstavka 1 glavni nadzornik:

(a)

navede sklic na ta člen kot pravno podlago za zahtevek;

(b)

navede namen zahtevka;

(c)

natančno opredeli, katere informacije se zahtevajo;

(d)

določi rok, do katerega je treba predložiti informacije;

(e)

obvesti predstavnika ključnega tretjega ponudnika storitev IKT, od katerega se zahtevajo informacije, da mu ni zavezan posredovati informacij, vendar v primeru prostovoljnega odgovora na zahtevek posredovane informacije ne smejo biti napačne ali zavajajoče.

Kadar s sklepom zahteva predložitev informacij iz odstavka 1, glavni nadzornik:

(a)

navede sklic na ta člen kot pravno podlago za zahtevek;

(b)

navede namen zahtevka;

(c)

natančno opredeli, katere informacije se zahtevajo;

(d)

določi rok, do katerega je treba predložiti informacije;

(e)

navede periodične denarne kazni, določene v členu 35(6), kadar so predložene zahtevane informacije nepopolne ali če niso predložene v roku iz točke (d) tega odstavka;

(f)

opozori na pravico do pritožbe zoper sklep pri odboru evropskega nadzornega organa za pritožbe ter pravico, da sklep predloži v presojo Sodišču Evropske unije (v nadaljnjem besedilu: Sodišče) v skladu s členoma 60 in 61 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010.

Predstavniki ključnih tretjih ponudnikov storitev IKT predložijo zahtevane informacije. Pooblaščeni odvetniki lahko predložijo informacije v imenu svojih strank. Ključni tretji ponudniki storitev IKT so kljub temu v celoti odgovorni, če so predložene informacije nepopolne, napačne ali zavajajoče.

Glavni nadzornik nemudoma pošlje kopijo odločitve o posredovanju informacij pristojnim organom finančnih subjektov, ki uporabljajo storitve zadevnih ključnih tretjih ponudnikov storitev IKT, in skupni nadzorni mreži.

Člen 38

Splošne preiskave

Za namene izvajanja nalog na podlagi te uredbe lahko glavni nadzornik ob pomoči skupne pregledniške ekipe iz člena 40(1) po potrebi opravi preiskave ključnih tretjih ponudnikov storitev IKT.

Glavni nadzornik ima pooblastila, da:

(a)

preuči evidence, podatke, postopke in vse drugo gradivo, relevantno za izvajanje njegovih nalog, ne glede na vrsto nosilca podatkov, na katerem so shranjeni;

(b)

izdela ali pridobi overjene kopije ali izvlečke iz takih evidenc, podatkov, dokumentiranih postopkov in kakršnega koli drugega gradiva;

(c)

pozove predstavnike ključnih tretjih ponudnikov storitev IKT, naj zagotovijo ustna ali pisna pojasnila glede dejstev ali dokumentov, povezanih s predmetom in namenom preiskave, ter zabeleži njihove odgovore;

(d)

opravi razgovor s katero koli drugo fizično ali pravno osebo, ki privoli v razgovor, za namen zbiranja informacij o predmetu preiskave;

(e)

zahteva evidence o telefonskem in podatkovnem prometu.

Uradniki in druge osebe, ki jih glavni nadzornik pooblasti za namene preiskave iz odstavka 1, svoja pooblastila izvajajo ob predložitvi pisnega pooblastila, v katerem sta navedena predmet in namen preiskave.

V pooblastilu se navedejo tudi periodične denarne kazni iz člena 35(6), ki se naložijo, kadar zahtevane evidence, podatki, dokumentirani postopki ali katero koli drugo gradivo ali odgovori na vprašanja, zastavljena predstavnikom tretjega ponudnika storitev IKT, niso posredovani ali so nepopolni.

Predstavniki ključnih tretjih ponudnikov storitev IKT morajo privoliti v preiskave, ki jih s sklepom odredi glavni nadzornik. V sklepu se navedejo predmet in namen preiskave, periodične denarne kazni iz člena 35(6), pravna sredstva, ki so na voljo na podlagi uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010, ter opozori na pravico, da se sklep predloži v presojo Sodišču.

Glavni nadzornik pred začetkom preiskave pravočasno obvesti pristojne organe finančnih subjektov, ki uporabljajo storitve IKT zadevnega ključnega tretjega ponudnika storitev IKT o predvideni preiskavi in o identiteti pooblaščenih oseb.

Glavni nadzornik sporoči skupni nadzorni mreži vse informacije, posredovane na podlagi prvega pododstavka.

Člen 39

Inšpekcijski pregledi

Glavni nadzornik lahko za opravljanje nalog iz te uredbe ob pomoči skupnih pregledniških ekip iz člena 40(1) vstopi v vse poslovne prostore, na zemljišča ali nepremičnine tretjih ponudnikov storitev IKT, kot so sedež podjetja, operativni centri ter sekundarne lokacije, in tam izvede vse potrebne inšpekcijske preglede na kraju samem ali pa inšpekcijske preglede izvede na daljavo.

Glavni nadzornik se pri izvajanju pooblastil iz prvega pododstavka posvetuje s skupno nadzorno mrežo.

Uradniki in druge osebe, ki jih glavni nadzornik pooblasti za izvedbo inšpekcijskega pregleda na kraju samem, imajo pooblastila, da:

(a)

vstopijo v vse take poslovne prostore, na zemljišča ali nepremičnine ter

(b)

zapečatijo vse take poslovne prostore, poslovne knjige ali drugo poslovno dokumentacijo za čas trajanja inšpekcijskega pregleda in v obsegu, potrebnem za njegovo izvedbo.

Uradniki in druge osebe, ki jih pooblasti glavni nadzornik, svoja pooblastila izvajajo ob predložitvi pisnega pooblastila, v katerem so podrobno določeni predmet in namen preiskave ter periodične denarne kazni iz člena 35(6), kadar predstavniki zadevnih ključnih tretjih ponudnikov storitev IKT ne privolijo v inšpekcijski pregled.

Glavni nadzornik pred začetkom inšpekcijskega pregleda o njem pravočasno obvesti pristojne organe finančnih subjektov, ki uporabljajo zadevnega tretjega ponudnika storitev IKT.

Inšpekcijski pregledi zajemajo celoten sklop pomembnih sistemov, omrežij, naprav, informacij in podatkov na področju IKT, ki se uporabljajo za opravljanje storitev IKT finančnim subjektom ali prispevajo k njihovemu zagotavljanju.

Pred načrtovanim inšpekcijskim pregledom na kraju samem glavni nadzornik v razumnem roku obvesti ključne tretje ponudnike storitev IKT, razen če tega zaradi izrednih ali kriznih razmer ne more storiti ali če zaradi takega obvestila inšpekcijski pregled ali revizija ne bi bila več učinkovita.

Ključni tretji ponudnik storitev IKT mora privoliti v inšpekcijski pregled na kraju samem, ki ga s sklepom odredi glavni nadzornik. V sklepu se navedeta predmet in namen inšpekcijskega pregleda, določi datum, ko se bo ta začel, in navedejo periodične denarne kazni iz člena 35(6), pravna sredstva, ki so na voljo na podlagi uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010, ter opozori na pravico, da se sklep predloži v presojo Sodišču.

Kadar uradniki in druge osebe, ki jih pooblasti glavni nadzornik, ugotovijo, da ključni tretji ponudnik storitev IKT nasprotuje inšpekcijskemu pregledu, ki je bil odrejen na podlagi tega člena, glavni nadzornik ključnega tretjega ponudnika storitev IKT obvesti o posledicah takega nasprotovanja, vključno z možnostjo, da pristojni organi ustreznih finančnih subjektov zahtevajo, da finančni subjekti prekinejo pogodbene dogovore, sklenjene s tem ključnim tretjim ponudnikom storitev IKT.

Člen 40

Stalni nadzor

Glavnemu nadzorniku pri izvajanju nadzornih dejavnosti, zlasti splošnih preiskav ali inšpekcijskih pregledov, pomaga skupna pregledniška ekipa, vzpostavljena za vsakega ključnega tretjega ponudnika storitev IKT.

Skupno pregledniško ekipo iz odstavka 1 je sestavljajo člani osebja:

(a)

evropskih nadzornih organov;

(b)

ustreznih pristojnih organov, ki nadzorujejo finančne subjekte, za katere ključni tretji ponudnik storitev IKT opravlja storitve IKT;

(c)

pristojnega nacionalnega organa iz člena 32(4), točka (e), na prostovoljni osnovi;

(d)

enega pristojnega nacionalnega organa iz države članice, v kateri ima sedež ključni tretji ponudnik storitev IKT, na prostovoljni osnovi.

Člani skupne pregledniške ekipe morajo imeti strokovno znanje o vprašanjih s področja IKT in operativnih tveganjih. Delovanje skupne pregledniške ekipe usklajuje član osebja glavnega nadzornika, ki je imenovan za to nalogo (v nadaljnjem besedilu: koordinator glavnega nadzornika).

Glavni nadzornik v treh mesecih po zaključku preiskave ali inšpekcijskega pregleda in po posvetovanju z nadzorniškim forumom sprejme priporočila, ki jih naslovi na ključnega tretjega ponudnika storitev IKT na podlagi pooblastil iz člena 35.

Priporočila iz odstavka 3 se nemudoma sporočijo ključnemu tretjemu ponudniku storitev IKT in pristojnim organom finančnih subjektov, za katere ta opravlja storitve IKT.

Za namene izvajanja nadzornih dejavnosti lahko glavni nadzornik upošteva vsa ustrezna certificiranja, ki jih opravijo tretje strani, in notranja ali zunanja revizijska poročila tretjih strani na področju IKT, ki jih predloži ključni tretji ponudnik storitev IKT.

Člen 41

Harmonizacija pogojev, ki omogočajo izvajanje nadzornih dejavnosti

Evropski nadzorni organi prek Skupnega odbora pripravijo osnutke regulativnih tehničnih standardov, da določijo:

(a)

informacije, ki jih mora predložiti tretji ponudnik storitev IKT v zahtevku, s katerim na podlagi člena 31(11) prostovoljno zaprosi za imenovanje za ključnega ponudnika;

(b)

vsebino, strukturo in obliko informacij, ki jih morajo tretji ponudniki storitev IKT predložiti, razkriti ali o njih poročati na podlagi člena 35(1), vključno s predlogo za predložitev informacij o dogovorih o podizvajanju;

(c)

merila za določitev sestave skupne pregledniške ekipe, ki zagotavljajo uravnoteženo udeležbo članov osebja evropskih nadzornih organov in ustreznih pristojnih organov, njihovo imenovanje, naloge in delovne dogovore;

(d)

podrobnosti ocene pristojnih organov o ukrepih, ki so jih sprejeli ključni tretji ponudniki storitev IKT na podlagi priporočil glavnega nadzornika na podlagi člena 42(3).

Evropski nadzorni organi te osnutke regulativnih tehničnih standardov Komisiji predložijo do 17. julija 2024.

Na Komisijo se prenese pooblastilo za dopolnitev te uredbe s sprejetjem regulativnih tehničnih standardov iz odstavka 1 v skladu s postopkom iz členov 10 do 14 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010.

Člen 42

Nadaljnje ukrepanje s strani pristojnih organov

V 60 koledarskih dneh po prejemu priporočil, ki jih izda glavni nadzornik na podlagi člena 31(1), točka (d), ključni tretji ponudniki storitev IKT glavnega nadzornika bodisi obvestijo, da nameravajo priporočila upoštevati, bodisi mu posredujejo utemeljeno obrazložitev, zakaj tega ne bodo storili. Glavni nadzornik te informacije takoj posreduje pristojnim organom zadevnih finančnih subjektov.

Glavni nadzornik javno razkrije primere, v katerih ključni tretji ponudnik storitev IKT ni obvestil glavnega nadzornika v skladu z odstavkom 1 ali kadar se šteje, da pojasnilo ključnega tretjega ponudnika storitev IKT ni zadostno. V objavljenih informacijah se razkrije identiteta ključnega tretjega ponudnika storitev IKT ter informacije o vrsti in naravi neskladnosti. Take informacije so omejene na to, kar je pomembno in sorazmerno za zagotavljanje ozaveščenosti javnosti, razen če bi taka objava povzročila nesorazmerno škodo vpletenim stranem ali resno ogrozila pravilno delovanje in integriteto finančnih trgov ali stabilnost celotnega finančnega sistema Unije ali njegovega dela.

Glavni nadzornik obvesti tretjega ponudnika storitev IKT o tem javnem razkritju.

Pristojni organi zadevne finančne subjekte obvestijo o tveganjih, opredeljenih v priporočilih, naslovljenih na ključne tretje ponudnike storitev IKT v skladu s členom 35(1), točka (d).

Finančni subjekti pri obvladovanju tveganja tretjih strani na področju IKT upoštevajo tveganja iz prvega pododstavka.

Kadar pristojni organ meni, da finančni subjekt pri obvladovanju tveganja tretje strani na področju IKT ne upošteva specifičnih tveganj, opredeljenih v priporočilih, oziroma jih ne obravnava v zadostni meri, finančni subjekt obvesti o možnosti, da bo v primeru, da ni ustreznih pogodbenih dogovorov za obravnavanje takih tveganj, v 60 koledarskih dneh sprejel odločitev v skladu z odstavkom 6.

Pristojni organi se lahko po prejetju poročil iz člena 35(1), točka (c), in pred sprejetjem odločitve iz odstavka 6 tega člena prostovoljno posvetujejo s pristojnimi organi, imenovanimi ali vzpostavljenimi v skladu z Direktivo (EU) 2022/2555, odgovornimi za nadzor nad bistvenim ali pomembnim subjektom, za katere velja navedena direktiva, ki je bil imenovan kot ključni tretji ponudnik storitev IKT.

Pristojni organi lahko kot skrajni ukrep po poslanem obvestilu oziroma posvetovanju iz odstavkov 4 in 5 tega člena v skladu s členom 50 sprejmejo odločitev, s katero od finančnih subjektov zahtevajo, da bodisi delno bodisi v celoti začasno ustavijo uporabo ali uvajanje storitve, ki jo opravlja ključni tretji ponudnik storitev IKT, dokler se ne obravnavajo tveganja, opredeljena v priporočilih, naslovljenih na ključne tretje ponudnike storitev IKT. Po potrebi lahko od finančnih subjektov zahtevajo, da delno ali v celoti prekinejo ustrezne pogodbene dogovore, sklenjene s ključnimi tretjimi ponudniki storitev IKT.

Kadar ključni tretji ponudnik storitev IKT na podlagi drugačnega pristopa od tistega, ki ga svetuje glavni nadzornik, zavrne potrditev priporočil in lahko tak drugačen pristop škodljivo vpliva na številne finančne subjekte ali znaten del finančnega sektorja, posamična opozorila, izdana s strani pristojnih organov, pa ne pripomorejo k doslednim pristopom, ki bi ublažili morebitno tveganje za finančno stabilnost, lahko glavni nadzornik po posvetovanju z nadzornim forumom za pristojne organe po potrebi izda nezavezujoča mnenja, ki niso javna, da bi spodbudil dosledne in usklajene nadaljnje nadzorne ukrepe.

Po prejemu poročil iz člena 35(1), točka (c), pristojni organi pri sprejemanju odločitve iz odstavka 6 tega člena upoštevajo vrsto in obseg tveganja, ki ga ključni tretji ponudnik storitev IKT ne obravnava, ter resnost neskladnosti, ob upoštevanju naslednjih meril:

(a)

resnosti in trajanja neskladnosti;

(b)

ali je neskladnost razkrila resne pomanjkljivosti v postopkih, sistemih upravljanja, obvladovanju tveganj in notranjih kontrolah ključnega tretjega ponudnika storitev IKT;

(c)

ali je neskladnost omogočila, povzročila ali drugače prispevala k finančnemu kriminalu;

(d)

ali je neskladnost storjena namerno ali iz malomarnosti;

(e)

ali začasna prekinitev ali odpoved pogodbenih dogovorov pomeni tveganje za neprekinjeno poslovanje finančnega subjekta, ne glede na njegova prizadevanja, da se izogne motnjam pri opravljanju svojih storitev;

(f)

kadar je ustrezno, mnenja, za katero se zaprosi prostovoljno v skladu z odstavkom 5 tega člena in ga izdajo pristojni organi, imenovani ali vzpostavljeni v skladu z Direktivo (EU) 2022/2555, odgovorni za nadzor bistvenega ali pomembnega subjekta, za katerega velja navedena direktiva, ki je bil imenovan kot ključni tretji ponudnik storitev IKT.

Pristojni organi finančnim subjektom odobrijo potrebno obdobje za prilagoditev pogodbenih dogovorov s ključnimi tretjimi ponudniki storitev IKT, da bi preprečili škodljive učinke na njihovo digitalno operativno odpornost ter jim omogočili uporabo izhodnih strategij in prehodnih načrtov iz člena 28.

Odločitev iz odstavka 6 tega člena se sporoči članom nadzornega foruma iz člena 32(4), točke (a), (b) in (c), in skupni nadzorni mreži.

Ključni tretji ponudniki storitev IKT, na katere vplivajo odločitve iz odstavka 6, v celoti sodelujejo z zadevnimi finančnimi subjekti, zlasti v okviru postopka začasne prekinitve ali odpovedi njihovih pogodbenih dogovorov.

10.

Pristojni organi glavnega nadzornika redno obveščajo o pristopih in ukrepih, sprejetih pri njihovih nadzornih nalogah v zvezi s finančnimi subjekti, ter o pogodbenih dogovorih, ki jih ti sprejmejo, kadar ključni tretji ponudniki storitev IKT niso delno ali v celoti sprejeli priporočil, ki jih je nanje naslovil glavni nadzornik.

11.

Glavni nadzornik lahko na zahtevo zagotovi dodatna pojasnila o izdanih priporočilih, da bi pristojne organe usmerjal pri nadaljnjih ukrepih.

Člen 43

Nadomestila za nadzor

Glavni nadzornik v skladu z delegiranim aktom iz odstavka 2 tega člena ključnim tretjim ponudnikom storitev IKT zaračuna nadomestila, ki v celoti pokrivajo izdatke, ki jih ima pri izvajanju nadzornih nalog v skladu s to uredbo, vključno s povračilom stroškov, ki lahko nastanejo zaradi dela, ki ga opravi skupna pregledniška ekipa iz člena 40, pa tudi stroškov svetovanja neodvisnih strokovnjakov, kot je navedeno v členu 32(4), drugi pododstavek, v zvezi z zadevami, ki spadajo v okvir neposrednih nadzornih dejavnosti.

Znesek nadomestila, ki se zaračuna ključnemu tretjemu ponudniku storitev IKT, krije vse stroške, ki nastanejo zaradi izvajanja nalog iz tega oddelka, in je sorazmeren z njegovim prometom.

Na Komisijo se prenese pooblastilo, da do 17. julija 2024 sprejme delegirani akt v skladu s členom 57 za dopolnitev te uredbe, v katerem določi višino nadomestil in način njihovega plačila.

Člen 44

Mednarodno sodelovanje

Brez poseganja v člen 36 lahko EBA, ESMA in EIOPA v skladu s členom 33 uredb (EU) št. 1093/2010, (EU) št. 1095/2010 oziroma (EU) št. 1094/2010 sklepajo upravne dogovore z regulativnimi in nadzornimi organi tretjih držav za spodbujanje mednarodnega sodelovanja v zvezi s tveganji tretjih strani na področju IKT v različnih finančnih sektorjih, zlasti z razvojem najboljših praks za pregled praks in kontrol za obvladovanje tveganj na področju IKT, blažilnih ukrepov in odzivov na incidente.

Evropski nadzorni organi prek Skupnega odbora Evropskemu parlamentu, Svetu in Komisiji vsakih pet let predložijo skupno zaupno poročilo, ki povzema ugotovitve ustreznih razprav z organi tretjih držav iz odstavka 1, pri čemer je poudarek na razvoju tveganj tretjih strani na področju IKT in posledicah za finančno stabilnost, celovitost trga, zaščito vlagateljev in delovanje notranjega trga.

POGLAVJE VI

Dogovori o izmenjavi informacij

Člen 45

Dogovori o izmenjavi informacij in obveščevalnih podatkov o kibernetskih grožnjah

Finančni subjekti si lahko med seboj izmenjujejo informacije in obveščevalne podatke o kibernetskih grožnjah, vključno s kazalniki ogroženosti, taktikami, tehnikami in postopki, opozorili glede kibernetske varnosti in orodji za konfiguracijo, če taka izmenjava informacij in obveščevalnih podatkov:

(a)

stremi k povečanju digitalne operativne odpornosti finančnih subjektov, zlasti z ozaveščanjem o kibernetskih grožnjah, k omejevanju ali oviranju zmožnosti širjenja kibernetskih groženj ter podpiranju obrambnih zmožnosti, tehnik odkrivanja groženj, blažilnih ukrepov ali faz odzivanja in okrevanja;

(b)

poteka v zaupanja vrednih skupnostih finančnih subjektov;

(c)

se izvaja z dogovori o izmenjavi informacij, ki ščitijo potencialno občutljivo naravo izmenjanih informacij in ki jih urejajo pravila ravnanja ob polnem spoštovanju poslovne zaupnosti, varstva osebnih podatkov v skladu z Uredbo (EU) 2016/679 in smernic o politiki konkurence.

Za namene odstavka 1, točka (c), dogovori o izmenjavi informacij opredeljujejo pogoje za sodelovanje in, kadar je ustrezno, določajo podrobnosti o sodelovanju javnih organov in vlogi, v kateri so lahko slednji povezani z dogovori o izmenjavi informacij, ter o sodelovanju tretjih ponudnikov storitev IKT in o operativnih elementih, vključno z uporabo namenskih informacijskih platform.

Finančni subjekti obvestijo pristojne organe o svojem sodelovanju pri dogovorih o izmenjavi informacij iz odstavka 1 po potrditvi njihovega članstva ali, če je ustrezno to, o prenehanju članstva, ko to začne veljati.

POGLAVJE VII

Pristojni organi

Člen 46

Pristojni organi

Brez poseganja v določbe o okviru nadzora za ključne tretje ponudnike storitev IKT iz poglavja V, oddelek II, te uredbe izpolnjevanje te uredbe zagotavljajo pristojni organi v skladu s pooblastili, podeljenimi z ustreznimi pravnimi akti, in sicer:

(a)

za kreditne institucije in institucije, izvzete na podlagi Direktive 2013/36/EU, pristojni organ, imenovan v skladu s členom 4 navedene direktive, in za kreditne institucije, razvrščene kot pomembne v skladu s členom 6(4) Uredbe (EU) št. 1024/2013, ECB v skladu s pooblastili in nalogami, prenesenimi z navedeno uredbo;

(b)

za plačilne institucije, vključno s plačilnimi institucijami, izvzetimi na podlagi Direktive (EU) 2015/2366, institucije za izdajo elektronskega denarja, vključno s tistimi, ki so izvzete na podlagi Direktive 2009/110/ES, in ponudnike storitev zagotavljanja informacij o računih iz člena 33(1) Direktive (EU) 2015/2366 pristojni organ, imenovan v skladu s členom 22 Direktive (EU) 2015/2366;

(c)

za investicijska podjetja pristojni organ, imenovan v skladu s členom 4 Direktive (EU) 2019/2034 Evropskega parlamenta in Sveta ( 8 );

(d)

za ponudnike storitev v zvezi s kriptosredstvi, pooblaščene na podlagi uredbe o trgih kriptosredstev in izdajatelje žetonov, vezanih na sredstva, pristojni organ, imenovan v skladu z ustrezno določbo navedene uredbe;

(e)

za centralne depotne družbe pristojni organ, imenovan v skladu s členom 11 Uredbe (EU) št. 909/2014;

(f)

za centralne nasprotne stranke pristojni organ, imenovan v skladu s členom 22 Uredbe (EU) št. 648/2012;

(g)

za mesta trgovanja in izvajalce storitev sporočanja podatkov pristojni organ, imenovan v skladu s členom 67 Direktive 2014/65/EU, in pristojni organ, kot je opredeljen v členu 2(1), točka 18, Uredbe (EU) št. 600/2014;

(h)

za repozitorije sklenjenih poslov pristojni organ, imenovan v skladu s členom 22 Uredbe (EU) št. 648/2012;

(i)

za upravitelje alternativnih investicijskih skladov pristojni organ, imenovan v skladu s členom 44 Direktive 2011/61/EU;

(j)

za družbe za upravljanje pristojni organ, imenovan v skladu s členom 97 Direktive 2009/65/ES;

(k)

za zavarovalnice in pozavarovalnice pristojni organ, imenovan v skladu s členom 30 Direktive 2009/138/ES;

(l)

za zavarovalne posrednike, pozavarovalne posrednike in posrednike dopolnilnih zavarovanj pristojni organ, imenovan v skladu s členom 12 Direktive (EU) 2016/97;

(m)

za institucije za zagotavljanje poklicnega pokojninskega zavarovanja pristojni organ, imenovan v skladu s členom 47 Direktive (EU) 2016/2341;

(n)

za bonitetne agencije pristojni organ, imenovan v skladu s členom 21 Uredbe (ES) št. 1060/2009;

(o)

za upravljavce ključnih referenčnih vrednosti pristojni organ, imenovan v skladu s členoma 40 in 41 Uredbe (EU) 2016/1011;

(p)

za ponudnike storitev množičnega financiranja pristojni organ, imenovan v skladu s členom 29 Uredbe (EU) 2020/1503;

(q)

za repozitorije listinjenj pristojni organ, imenovan v skladu s členoma 10 in 14(1) Uredbe (EU) 2017/2402.

Člen 47

Sodelovanje s strukturami in organi, vzpostavljenimi z Direktivo (EU) 2022/2555

Za spodbujanje sodelovanja in omogočanje nadzornih izmenjav med pristojnimi organi, imenovanimi na podlagi te uredbe, in skupino za sodelovanje, ustanovljeno s členom 14 Direktive (EU) 2022/2555, lahko evropski nadzorni organi in pristojni organi sodelujejo pri dejavnostih skupine za sodelovanje pri vprašanjih, ki zadevajo njihove nadzorne dejavnosti v zvezi s finančnimi subjekti. Evropski nadzorni organi in pristojni organi lahko zaprosijo, da jih povabijo k sodelovanju pri dejavnostih skupine za sodelovanje pri vprašanjih v zvezi z bistvenimi ali pomembnimi subjekti, za katere velja Direktiva (EU) 2022/2555, ki so bili obenem imenovani kot ključni tretji ponudniki storitev IKT na podlagi člena 31 te uredbe.

Pristojni organi se lahko po potrebi posvetujejo in si izmenjajo informacije z enotnimi kontaktnimi točkami in skupinami CSIRT, imenovanimi ali vzpostavljenimi v skladu z Direktivo (EU) 2022/2555.

Pristojni organi lahko pristojne organe, imenovane ali vzpostavljene v skladu z Direktivo (EU) 2022/2555, po potrebi zaprosijo za vse ustrezne tehnične nasvete in sklenejo dogovore o sodelovanju, ki omogočajo vzpostavitev učinkovitih in hitrih usklajevalnih mehanizmov.

Z dogovori iz odstavka 3 tega člena je mogoče med drugim določiti postopke za usklajevanje nadzornih dejavnosti v zvezi z bistvenimi ali pomembnimi subjekti, za katere velja Direktiva (EU) 2022/2555, ki so bili imenovani kot ključni tretji ponudniki storitev IKT na podlagi člena 31 te uredbe, vključno z izvajanjem preiskav in inšpekcijskih pregledov na kraju samem v skladu z nacionalnim pravom ter mehanizmi za izmenjavo informacij med pristojnimi organi na podlagi te uredbe in pristojnimi organi, imenovanimi ali vzpostavljenimi v skladu z navedeno direktivo, kar vključuje dostop do informacij, ki jih zahtevajo ti organi.

Člen 48

Sodelovanje med organi

Pristojni organi tesno sodelujejo med seboj in po potrebi z glavnim nadzornikom.

Pristojni organi in glavni nadzornik si pravočasno izmenjajo vse ustrezne informacije o ključnih tretjih ponudnikih storitev IKT, ki jih potrebujejo za izvajanje svojih nalog na podlagi te uredbe, zlasti v zvezi z ugotovljenimi tveganji, pristopi in ukrepi, sprejetimi v okviru nadzornih nalog glavnega nadzornika.

Člen 49

Finančne medsektorske vaje, obveščanje in sodelovanje

Evropski nadzorni organi lahko prek Skupnega odbora in v sodelovanju s pristojnimi organi, organi za reševanje iz člena 3 Direktive 2014/59/EU, ECB, enotnim odborom za reševanje, kar zadeva informacije o subjektih, ki spadajo na področje uporabe Uredbe (EU) št. 806/2014, ESRB oziroma ENISA vzpostavijo mehanizme, ki omogočajo izmenjavo učinkovitih praks med finančnimi sektorji za povečanje situacijskega zavedanja in prepoznavanje skupnih kibernetskih ranljivosti in tveganj med sektorji.

Oblikujejo lahko vaje za obvladovanje kriz in izrednih razmer, ki vključujejo scenarije kibernetskih napadov, da bi razvili komunikacijske kanale in postopoma omogočili učinkovit usklajen odziv na ravni Unije v primeru večjega čezmejnega incidenta, povezanega z IKT, ali s tem povezane grožnje, ki bi imela sistemski učinek na celotni finančni sektor Unije.

Z navedenimi vajami se lahko po potrebi testira tudi odvisnost finančnega sektorja od drugih gospodarskih sektorjev.

Pristojni organi, evropski nadzorni organi in ECB tesno sodelujejo in si izmenjujejo informacije za izvajanje svojih nalog na podlagi členov 47 do 54. Tesno usklajujejo svoj nadzor, da bi opredelili in odpravili kršitve te uredbe, razvili in spodbujali najboljše prakse, olajšali sodelovanje, spodbujali usklajeno razlago in zagotavljali ocene med jurisdikcijami v primeru nesoglasij.

Člen 50

Upravne sankcije in popravni ukrepi

Pristojni organi imajo vsa pooblastila za nadzor, preiskovanje in izrekanje sankcij, potrebna za izpolnjevanje njihovih nalog na podlagi te uredbe.

Pooblastila iz odstavka 1 zajemajo vsaj naslednja pooblastila za:

(a)

dostop do katerega koli dokumenta ali podatkov v kakršni koli obliki, za katerega pristojni organ meni, da bi lahko bil pomemben za izvajanje njegovih nalog, ter prejem ali izdelava njegove kopije;

(b)

opravljanje inšpekcijskih pregledov ali preiskav na kraju samem, kar vključuje, vendar ni omejeno na:

(i)

poziv predstavnikom finančnih subjektov, naj zagotovijo ustna ali pisna pojasnila glede dejstev ali dokumentov, povezanih s predmetom in namenom preiskave, ter evidentiranje njihovih odgovorov;

(ii)

razgovor s katero koli drugo fizično ali pravno osebo, ki v to privoli, za namen zbiranja informacij o predmetu preiskave;

(c)

zahtevo, da se izvedejo obnovitveni in popravni ukrepi za kršitve zahtev te uredbe.

Brez poseganja v pravico držav članic, da naložijo kazenske sankcije v skladu s členom 52, države članice vzpostavijo pravila, ki določajo ustrezne upravne sankcije in popravne ukrepe za kršitve te uredbe, ter zagotovijo njihovo učinkovito izvajanje.

Te sankcije in ukrepi morajo biti učinkoviti, sorazmerni in odvračilni.

Države članice na pristojne organe prenesejo pooblastilo, da v primeru kršitev te uredbe uporabijo vsaj naslednje upravne kazni ali popravne ukrepe:

(a)

izdajo odredbo, ki od fizične ali pravne osebe zahteva, da preneha z ravnanjem, s katerim krši to uredbo, in da tega ravnanja več ne ponovi;

(b)

zahtevajo začasno ali trajno prenehanje prakse ali ravnanja, za katerega pristojni organ meni, da je v nasprotju z določbami te uredbe, in preprečijo, da bi se taka praksa ali ravnanje ponovilo;

(c)

sprejmejo kakršni koli ukrep, tudi denarni, za zagotovitev, da finančni subjekti še naprej izpolnjujejo zakonske zahteve;

(d)

kolikor to dovoljuje nacionalno pravo, zahtevajo obstoječe evidence o podatkovnem prometu, ki jih ima telekomunikacijski operater, kadar obstaja utemeljen sum kršitve te uredbe in kadar so lahko take evidence pomembne za preiskavo kršitev te uredbe, ter

(e)

izdajajo javna obvestila, vključno z javnimi izjavami, ki navajajo identiteto fizične ali pravne osebe in naravo kršitve.

Kadar se odstavek 2, točka (c), in odstavek 4 uporabljata za pravne osebe, države članice na pristojne organe prenesejo pooblastilo, da v skladu s pogoji iz nacionalnega prava članom upravljalnega organa in drugim posameznikom, ki so v skladu z nacionalnim pravom odgovorni za kršitev, naložijo upravne sankcije in popravne ukrepe.

Države članice zagotovijo, da je vsaka odločitev o naložitvi upravnih sankcij ali popravnih ukrepov, določenih v odstavku 2, točka (c), ustrezno obrazložena in da v zvezi z njo velja pravica do pritožbe.

Člen 51

Izvajanje pooblastil za nalaganje upravnih sankcij in popravnih ukrepov

Pristojni organi izvajajo pooblastila za nalaganje upravnih sankcij in popravnih ukrepov iz člena 50 v skladu s svojim nacionalnim pravnim okvirom, kot je ustrezno:

(a)

neposredno;

(b)

v sodelovanju z drugimi organi;

(c)

v okviru svoje pristojnosti s prenosom pooblastil na druge organe ali

(d)

z vložitvijo zahtevka pri pristojnih sodnih organih.

Pristojni organi pri določitvi vrste in ravni upravne kazni ali popravnega ukrepa, naloženega na podlagi člena 50, upoštevajo, v kolikšni meri je kršitev namerna ali posledica malomarnosti ter vse druge zadevne okoliščine, po potrebi tudi:

(a)

pomen, resnost in trajanje kršitve;

(b)

stopnjo odgovornosti fizične ali pravne osebe, ki je odgovorna za kršitev;

(c)

finančno trdnost odgovorne fizične ali pravne osebe;

(d)

pomen pridobljenih dobičkov ali preprečenih izgub s strani odgovorne fizične ali pravne osebe, če jih je mogoče opredeliti;

(e)

izgube, ki so jih zaradi kršitve imele tretje strani, če jih je mogoče določiti;

(f)

raven sodelovanja odgovorne fizične ali pravne osebe s pristojnim organom, brez poseganja v potrebo po zagotovitvi povračila pridobljenega dobička ali preprečene izgube te fizične ali pravne osebe na podlagi kršitve;

(g)

prejšnje kršitve odgovorne fizične ali pravne osebe.

Člen 52

Kazenske sankcije

Države članice lahko sklenejo, da ne bodo določile pravil o upravnih sankcijah ali popravnih ukrepih za kršitve, za katere se v njihovem nacionalnem pravu uporabljajo kazenske sankcije.

Kadar države članice sklenejo določiti kazenske sankcije za kršitve te uredbe, zagotovijo, da so vzpostavljeni ustrezni ukrepi, na podlagi katerih imajo pristojni organi na voljo vsa potrebna pooblastila za sodelovanje s sodnimi organi, organi pregona ali pravosodnimi organi v njihovi jurisdikciji, da prejemajo specifične informacije, povezane s kazenskimi preiskavami ali postopki, sproženimi ob kršitvah te uredbe, in da enake informacije zagotovijo drugim pristojnim organom ter EBA, ESMA ali EIOPA, da jim omogočijo izpolnitev njihove obveznosti sodelovanja za namene te uredbe.

Člen 53

Dolžnosti uradnega obveščanja

Države članice Komisijo, ESMA, EBA in EIOPA do 17. januarja 2025 uradno obvestijo o zakonih in drugih predpisih za izvajanje tega poglavja, tudi o morebitnih ustreznih kazenskopravnih določbah. Komisijo, ESMA, EBA in EIOPA brez nepotrebnega odlašanja uradno obvestijo tudi o vseh poznejših spremembah teh zakonov in drugih predpisov.

Člen 54

Objava upravnih sankcij

Pristojni organi na svojih uradnih spletiščih brez nepotrebnega odlašanja objavijo vsako odločitev o naložitvi upravne sankcije, zoper katero ni pritožbe, potem ko je bil naslovnik sankcije obveščen o navedeni odločitvi.

V objavo iz odstavka 1 se vključijo informacije o vrsti in naravi kršitve, identiteti odgovornih oseb ter naloženih sankcij.

Kadar pristojni organ po presoji vsakega posameznega primera meni, da bi bila objava identitete v primeru pravnih oseb ali identitete in osebnih podatkov v primeru fizičnih oseb nesorazmerna, tudi kar zadeva tveganja v zvezi z varstvom osebnih podatkov, da bi ogrozila stabilnost finančnih trgov ali nadaljevanje tekoče kazenske preiskave ali da bi, kolikor je to mogoče ugotoviti, povzročila nesorazmerno škodo udeleženi osebi, sprejme eno od naslednjih rešitev v zvezi z odločitvijo o izreku upravne sankcije:

(a)

odloži objavo, dokler ni več razlogov za neobjavo;

(b)

objavo izvede na anonimni podlagi v skladu z nacionalnim pravom ali

(c)

odločitve ne objavi, kadar možnosti iz točk (a) in (b) ne zadostujejo za zagotovitev odprave kakršne koli nevarnosti za stabilnost finančnih trgov ali kadar taka objava ne bi bila sorazmerna s prizanesljivostjo izrečene sankcije.

V primeru odločitve, da se upravna sankcija objavi na anonimni podlagi v skladu z odstavkom 3, točka (b), se lahko objava ustreznih podatkov odloži.

Kadar pristojni organ objavi odločitev o naložitvi upravne sankcije, zoper katero je mogoča pritožba pred ustreznimi sodnimi organi, pristojni organi na svojem uradnem spletišču nemudoma dodajo te informacije in vse poznejše povezane informacije o izidu take pritožbe. Objavijo se tudi vse sodne odločbe, s katerimi se razveljavi odločitev o naložitvi upravne sankcije.

Pristojni organi zagotovijo, da vsaka objava iz odstavkov 1 do 4 ostane na njihovem uradnem spletišču samo za obdobje, ki je potrebno za izvajanje tega člena. To obdobje ne sme biti daljše od petih let po objavi.

Člen 55

Poslovna skrivnost

Za vse zaupne informacije, prejete, izmenjane ali posredovane v skladu s to uredbo, veljajo pogoji poslovne skrivnosti iz odstavka 2.

Obveznost varovanja poslovne skrivnosti velja za vse osebe, ki so ali so bile zaposlene pri pristojnih organih na podlagi te uredbe ali katerem koli organu ali tržnem podjetju ali fizični ali pravni osebi, na katero so ti pristojni organi prenesli svoja pooblastila, vključno z revizorji in strokovnjaki, katerih storitve so naročili.

Informacije, ki so poslovna skrivnost, vključno z izmenjavo informacij med pristojnimi organi v skladu s to uredbo in pristojnimi organi, imenovanimi ali vzpostavljenimi v skladu z Direktivo (EU) 2022/2555, se ne smejo razkriti nobeni drugi osebi ali organu, razen na podlagi določb prava Unije ali nacionalnega prava.

Vse informacije, ki si jih pristojni organi izmenjajo na podlagi te uredbe in ki zadevajo poslovne ali operativne razmere in druge gospodarske ali osebne zadeve, se štejejo za zaupne in zanje veljajo zahteve o varovanju poslovne skrivnosti, razen kadar pristojni organ v času posredovanja teh informacij navede, da se lahko razkrijejo, ali kadar je tako razkritje potrebno v sodnih postopkih.

Člen 56

Varstvo podatkov

Evropski nadzorni organi in pristojni organi lahko obdelujejo osebne podatke le, kadar je to potrebno za izpolnjevanje njihovih obveznosti in nalog na podlagi te uredbe, zlasti za preiskave, inšpekcijske preglede, zahteve za informacije, komunikacijo, objavo, evalvacija, preverjanje, ocenjevanje in pripravo načrtov nadzora. Osebni podatki se obdelujejo v skladu z Uredbo (EU) 2016/679 ali Uredbo (EU) 2018/1725, odvisno od tega, katera se uporablja.

Kadar v drugih sektorskih aktih ni določeno drugače, se osebni podatki iz odstavka 1 hranijo do izpolnitve zadevnih nadzornih nalog in v vsakem primeru največ 15 let, razen v primeru še nekončanih sodnih postopkov, zaradi katerih je treba take podatke še naprej hraniti.

POGLAVJE VIII

Delegirani akti

Člen 57

Izvajanje prenosa pooblastila

Pooblastilo za sprejemanje delegiranih aktov je preneseno na Komisijo pod pogoji, določenimi v tem členu.

Pooblastilo za sprejetje delegiranih aktov iz členov 31(6) in 43(2) se prenese na Komisijo za obdobje petih let od 17. januarja 2024. Komisija pripravi poročilo o prenosu pooblastila najpozneje devet mesecev pred koncem petletnega obdobja. Prenos pooblastila se samodejno podaljšuje za enako dolga obdobja, razen če Evropski parlament ali Svet nasprotuje temu podaljšanju najpozneje tri mesece pred koncem vsakega obdobja.

Prenos pooblastila iz členov 31(6) in 43(2) lahko kadar koli prekliče Evropski parlament ali Svet. S sklepom o preklicu preneha veljati prenos pooblastila iz navedenega sklepa. Sklep začne učinkovati dan po njegovi objavi v Uradnem listu Evropske unije ali na poznejši dan, ki je določen v navedenem sklepu. Sklep ne vpliva na veljavnost že veljavnih delegiranih aktov.

Komisija se pred sprejetjem delegiranega akta posvetuje s strokovnjaki, ki jih imenujejo države članice, v skladu z načeli, določenimi v Medinstitucionalnem sporazumu z dne 13. aprila 2016 o boljši pripravi zakonodaje.

Komisija takoj po sprejetju delegiranega akta o njem sočasno uradno obvesti Evropski parlament in Svet.

Delegirani akt, sprejet na podlagi členov 31(6) in 43(2), začne veljati le, če mu niti Evropski parlament niti Svet ne nasprotuje v roku treh mesecev od uradnega obvestila Evropskemu parlamentu in Svetu o tem aktu ali če pred iztekom tega roka tako Evropski parlament kot Svet obvestita Komisijo, da mu ne bosta nasprotovala. Ta rok se na pobudo Evropskega parlamenta ali Sveta podaljša za tri mesece.

POGLAVJE IX

Prehodne in končne določbe

Oddelek I

Člen 58

Klavzula o pregledu

Komisija do 17. januarja 2028 po posvetovanju z evropskimi nadzornimi organi in ESRB po potrebi opravi pregled ter Evropskemu parlamentu in Svetu predloži poročilo ter mu po potrebi priloži zakonodajni predlog. Pregled vključuje najmanj naslednje:

(a)

merila za imenovanje ključnih tretjih ponudnikov storitev IKT v skladu s členom 31(2);

(b)

prostovoljnost obveščanja o pomembnih kibernetskih grožnjah iz člena 19;

(c)

ureditev iz člena 31(12) in pooblastila glavnega nadzornika iz člena 35(1), točka (d), točka (iv), prva alinea, da se oceni učinkovitost navedenih določb pri zagotavljanju učinkovitega nadzora nad ključnimi tretjimi ponudniki storitev IKT s sedežem v tretji državi in potreba po ustanovitvi odvisnega podjetja v Uniji.

Za namene prvega pododstavka te točke pregled vključuje analizo ureditve iz člena 31(12), vključno s pogoji dostopa finančnih subjektov Unije do storitev iz tretjih držav in razpoložljivostjo takih storitev na trgu Unije, ter upošteva nadaljnji razvoj na trgih za storitve, ki jih zajema ta uredba, praktične izkušnje finančnih subjektov in finančnih nadzornikov v zvezi z uporabo in nadzorom te ureditve ter vse relevantne regulativne in nadzorne spremembe na mednarodni ravni;

(d)

ustreznost vključitve finančnih subjektov iz člena 2(3), točka (e), ki uporabljajo avtomatizirane prodajne sisteme, v področje uporabe te uredbe glede na prihodnji razvoj trga v zvezi z uporabo takih sistemov;

(e)

delovanje in uspešnost skupne nadzorne mreže pri podpiranju doslednosti nadzora in učinkovitosti izmenjave informacij znotraj okvira nadzora.

Komisija v okviru pregleda Direktive (EU) 2015/2366 oceni potrebo po večji kibernetski odpornosti plačilnih sistemov in dejavnosti obdelave plačil ter ustreznost razširitve področja uporabe te uredbe na upravljavce plačilnih sistemov in subjekte, vključene v dejavnosti obdelave plačil. Ob upoštevanju te ocene Komisija v okviru pregleda Direktive (EU) 2015/2366 Evropskemu parlamentu in Svetu predloži poročilo najpozneje 17. julija 2023.

Komisija lahko na podlagi tega poročila o pregledu in po posvetovanju z evropskimi nadzornimi organi, ECB in ESRB po potrebi in kot del zakonodajnega predloga, ki ga lahko sprejme na podlagi člena 108, drugi odstavek, Direktive (EU) 2015/2366, predloži predlog za zagotovitev, da so vsi upravljavci plačilnih sistemov in subjekti, vključeni v dejavnosti obdelave plačil, pod ustreznim nadzorom, pri čemer se upošteva obstoječi nadzor, ki ga izvaja centralna banka.

Komisija do 17. januarja 2026 po posvetovanju z evropskimi nadzornimi organi in Odborom evropskih organov za nadzor revizorjev opravi pregled ter Evropskemu parlamentu in Svetu predloži poročilo, po potrebi skupaj z zakonodajnim predlogom, o ustreznosti strožjih zahtev za zakonite revizorje in revizijska podjetja glede digitalne operativne odpornosti, in sicer z vključitvijo zakonitih revizorjev in revizijskih podjetij v področje uporabe te uredbe ali s spremembami Direktive 2006/43/ES Evropskega parlamenta in Sveta ( 9 ).

Oddelek II

Spremembe

Člen 59

Spremembe Uredbe (ES) št. 1060/2009

Uredba (ES) št. 1060/2009 se spremeni:

(1)

v Prilogi I, oddelek A, točka 4, se prvi pododstavek nadomesti z naslednjim:

„Bonitetna agencija mora imeti ustrezne upravne in računovodske postopke, mehanizme notranjih kontrol, učinkovite postopke za ocenjevanje tveganj ter učinkovite kontrolne in zaščitne ukrepe za upravljanje sistemov IKT v skladu z Uredbo (EU) 2022/2554 Evropskega parlamenta in Sveta ( *1 ).

(2)

v Prilogi III se točka 12 nadomesti z naslednjim:

„12.

Bonitetna agencija prekrši člen 6(2) v povezavi s točko 4 oddelka A Priloge I, če nima ustreznih upravnih ali računovodskih postopkov, mehanizmov notranjih kontrol, učinkovitih postopkov za ocenjevanje tveganj ali učinkovitih kontrolnih ali zaščitnih ukrepov za upravljanje sistemov IKT v skladu z Uredbo (EU) 2022/2554 ali če ne izvaja ali ohranja postopkov odločanja ali organizacijskih struktur kot se zahteva z navedeno točko.“.

Člen 60

Spremembe Uredbe (EU) št. 648/2012

Uredba (EU) št. 648/2012 se spremeni:

(1)

člen 26 se spremeni:

(a)

odstavek 3 se nadomesti z naslednjim:

„3.

CNS vzdržuje in upravlja organizacijsko strukturo, ki zagotavlja neprekinjenost in urejeno delovanje pri opravljanju njenih storitev in dejavnosti. Uporablja ustrezne in sorazmerne sisteme, vire in postopke, vključno s sistemi IKT, ki se upravljajo v skladu z Uredbo (EU) 2022/2554 Evropskega parlamenta in Sveta ( *2 ).

(b)

odstavek 6 se črta;

(2)

člen 34 se spremeni:

(a)

odstavek 1 se nadomesti z naslednjim:

„1.

CNS vzpostavi, izvaja in vzdržuje ustrezno politiko neprekinjenega poslovanja in načrt ponovne vzpostavitve delovanja, ki vključuje politiko neprekinjenega poslovanja ter načrte odzivanja in okrevanja IKT, vzpostavljene in izvajane v skladu z Uredbo (EU) 2022/2554, katerih cilj je zagotoviti ohranjanje njenih funkcij, pravočasno obnovitev delovanja in izpolnitev obveznosti CNS.“;

(b)

v odstavku 3 se prvi pododstavek nadomesti z naslednjim:

„3.

Da se zagotovi dosledna uporaba tega člena, ESMA po posvetovanju s članicami ESCB pripravi osnutke regulativnih tehničnih standardov, ki določajo najmanjši obseg vsebine in minimalne zahteve za politiko neprekinjenega poslovanja in načrt ponovne vzpostavitve delovanja, razen za politiko neprekinjenega poslovanja na področju IKT in načrte ponovne vzpostavitve delovanja IKT.“;

(3)

v členu 56(3) se prvi pododstavek nadomesti z naslednjim:

„3.

Da se zagotovi dosledna uporaba tega člena, ESMA pripravi osnutke regulativnih tehničnih standardov, ki določajo podrobnosti v zvezi z vlogo za registracijo iz odstavka 1, razen za zahteve, povezane z obvladovanjem tveganj na področju IKT.“;

(4)

v členu 79 se odstavka 1 in 2 nadomestita z naslednjim:

„1.

Repozitorij sklenjenih poslov identificira vire operativnega tveganja in jih zmanjša na najnižjo raven tudi z razvojem ustreznih sistemov, kontrol in postopkov, vključno s sistemi IKT, ki se upravljajo v skladu z Uredbo (EU) 2022/2554.

Repozitorij sklenjenih poslov vzpostavi, izvaja in vzdržuje ustrezno politiko neprekinjenega poslovanja in načrt ponovne vzpostavitve delovanja, vključno s politiko neprekinjenega poslovanja na področju IKT ter načrtom odzivanja in okrevanja IKT, vzpostavljenima v skladu z Uredbo (EU) 2022/2554, katerih cilj je zagotoviti ohranjanje njegovih funkcij, pravočasno obnovitev delovanja in izpolnitev obveznosti repozitorija sklenjenih poslov.“;

(5)

v členu 80 se črta odstavek 1;

(6)

Priloga I, oddelek II, se spremeni:

(a)

točki (a) in (b) se nadomestita z naslednjim:

„(a)

repozitorij sklenjenih poslov krši člen 79(1), če ne identificira virov operativnega tveganja in jih z razvojem ustreznih sistemov, kontrol in postopkov, vključno s sistemi IKT, ki se upravljajo v skladu z Uredbo (EU) 2022/2554, ne zmanjša na najnižjo možno raven;

(b)

repozitorij sklenjenih poslov krši člen 79(2), če ne vzpostavi, izvaja ali vzdržuje ustrezne politike neprekinjenega poslovanja in načrta za vnovično vzpostavitev delovanja, vzpostavljenih v skladu z Uredbo (EU) 2022/2554, katerih cilj je zagotoviti ohranjanje funkcij, pravočasno obnovitev delovanja in izpolnitev obveznosti repozitorija sklenjenih poslov;“;

(b)

točka (c) se črta;

(7)

Priloga III se spremeni:

(a)

oddelek II se spremeni:

(i)

točka (c) se nadomesti z naslednjim:

„(c)

CNS stopnje 2 krši člen 26(3), če ne ohranja ali uporablja organizacijske strukture, ki zagotavlja stalno in urejeno delovanje v zvezi z opravljanjem njenih storitev in dejavnosti ali ne uporabi ustreznih in sorazmernih sistemov, sredstev ali postopkov, vključno s sistemi IKT, ki se upravljajo v skladu z Uredbo (EU) 2022/2554;“;

(ii)

točka (f) se črta;

(b)

v oddelku III se točka (a) nadomesti z naslednjim:

„(a)

CNS stopnje 2 krši člen 34(1), če ne sprejme, uveljavi ali vzdržuje ustrezne politike neprekinjenega poslovanja in načrta ponovne vzpostavitve delovanja, vzpostavljenih v skladu z Uredbo(EU) 2022/2554, s katerima zagotovi ohranitev delovanja svojih funkcij, pravočasno ponovno vzpostavitev delovanja in izpolnitev svojih obveznosti, ki v primeru motenj zagotovi najmanj ponovno vzpostavitev vseh transakcij, s čimer CNS omogoči zanesljivo nadaljnje delovanje in dokončanje poravnave na načrtovani datum;“.

Člen 61

Spremembe Uredbe (EU) št. 909/2014

Člen 45 Uredbe (EU) št. 909/2014 se spremeni:

(1)

odstavek 1 se nadomesti z naslednjim:

„1.

CDD identificira notranje in zunanje vire operativnega tveganja in zmanjša njihov vpliv tudi z uporabo ustreznih orodij, postopkov in politik IKT, vzpostavljenih in upravljanih v skladu z Uredbo (EU) 2022/2554 Evropskega parlamenta in Sveta ( *3 ), ter z drugimi pomembnimi ustreznimi orodji, kontrolami in postopki za druge vrste operativnega tveganja, med drugim za vse sisteme poravnave vrednostnih papirjev, ki jih upravlja.

(2)

odstavek 2 se črta;

(3)

odstavka 3 in 4 se nadomestita z naslednjim:

„3.

CDD za storitve, ki jih opravlja, in vse sisteme poravnave vrednostnih papirjev, ki jih upravlja, vzpostavi, izvaja in vzdržuje ustrezno politiko neprekinjenega poslovanja in načrt za sanacijo po nesreči, vključno s politiko neprekinjenega poslovanja ter načrti odzivanja in okrevanja IKT, vzpostavljenimi v skladu z Uredbo (EU) 2022/2554, da v primeru dogodkov, za katere obstaja znatna nevarnost, da bodo povzročili motnje pri poslovanju, zagotovi ohranitev svojih storitev, pravočasno ponovno vzpostavitev poslovanja in izpolnjevanje svojih obveznosti.

Načrt iz odstavka 3 ob motnji poskrbi za obnovitev vseh poslov in pozicij udeležencev, da lahko udeleženci CDD še naprej poslujejo zanesljivo in poravnavo zaključijo na načrtovani datum, in sicer to omogoči tudi z zagotavljanjem, da lahko začnejo kritični sistemi informacijske tehnologije po motnji znova delovati, kot je določeno v členu 12(5) in (7) Uredbe (EU) 2022/2554.“;

(4)

odstavek 6 se nadomesti z naslednjim:

„6.

CDD identificira, spremlja in obvladuje tveganja, ki jih za njeno poslovanje morda pomenijo ključni udeleženci v sistemih poravnave vrednostnih papirjev, ki jih upravlja, ter izvajalci javnih in drugih storitev in druge CDD ali druge tržne infrastrukture. Pristojnim in zadevnim organom na zahtevo zagotovi informacije o vsakem takem identificiranem tveganju. Hkrati pristojni organ in zadevne organe brez odlašanja obvesti o vseh operativnih incidentih, ki so posledica takih tveganj, razen o incidentih, povezanih s tveganjem na področju IKT.“;

(5)

v odstavku 7 se prvi pododstavek nadomesti z naslednjim:

„7.

ESMA v tesnem sodelovanju s članicami ESCB pripravi osnutke regulativnih tehničnih standardov, da se določijo operativna tveganja iz odstavkov 1 in 6, razen tveganja na področju IKT, ter metode za testiranje, obravnavo ali zmanjšanje teh tveganj, vključno s politikami neprekinjenega poslovanja in načrti ponovne vzpostavitve delovanja iz odstavkov 3 in 4 ter metodami za njihovo oceno.“.

Člen 62

Spremembe Uredbe (EU) št. 600/2014

Uredba (EU) št. 600/2014 se spremeni:

(1)

člen 27g se spremeni:

(a)

odstavek 4 se nadomesti z naslednjim:

„4.

APA izpolnjuje zahteve glede varnosti omrežnih in informacijskih sistemov iz Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta ( *4 ).

(b)

v odstavku 8 se točka (c) nadomesti z naslednjim:

„(c)

konkretne organizacijske zahteve iz odstavkov 3 in 5.“;

(2)

člen 27h se spremeni:

(a)

odstavek 5 se nadomesti z naslednjim:

„5.

CTP izpolnjuje zahteve glede varnosti omrežnih in informacijskih sistemov iz Uredbe (EU) 2022/2554.“;

(b)

v odstavku 8 se točka (e) nadomesti z naslednjim:

„(e)

konkretne organizacijske zahteve iz odstavka 4.“;

(3)

člen 27i se spremeni:

(a)

odstavek 3 se nadomesti z naslednjim:

„3.

ARM izpolnjuje zahteve glede varnosti omrežnih in informacijskih sistemov iz Uredbe (EU) 2022/2554.“;

(b)

v odstavku 5 se točka (b) nadomesti z naslednjim:

„(b)

konkretne organizacijske zahteve iz odstavkov 2 in 4.“.

Člen 63

Sprememba Uredbe (EU) 2016/1011

V členu 6 Uredbe (EU) 2016/1011 se doda naslednji odstavek:

„6.

Upravljavec ima za ključne referenčne vrednosti ustrezne upravne in računovodske postopke, mehanizme notranjih kontrol, učinkovite postopke za ocenjevanje tveganj ter učinkovite kontrolne in zaščitne ukrepe za upravljanje sistemov IKT v skladu z Uredbo (EU) 2022/2554 Evropskega parlamenta in Sveta ( *5 ).

Člen 64

Začetek veljavnosti in uporaba

Ta uredba začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.

Uporablja se od 17. januarja 2025.