EUROOPAN KOMISSIO

Bryssel 24.9.2020

COM(2020) 595 final

2020/0266(COD)

Ehdotus

EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS

finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) No 909/2014 muuttamisesta

(ETA:n kannalta merkityksellinen teksti)

{SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}

PERUSTELUT

1.EHDOTUKSEN TAUSTA

·Ehdotuksen perustelut ja tavoitteet

Tämä ehdotus on osa digitaalisen rahoituksen toimenpidepakettia, jolla pyritään edistämään ja tukemaan mahdollisuuksia, joita digitaalinen rahoitus tarjoaa innovoinnin ja kilpailun näkökulmasta, ja samalla lieventämään tällaisesta rahoituksesta aiheutuvia riskejä. Komission painopisteiden mukaisesti tavoitteena on kehittää Euroopan digitaalista valmiutta ja rakentaa tulevaisuuden haasteisiin valmista taloutta, joka toimii ihmisten hyväksi. Digitaalista rahoitusta koskevaan pakettiin sisältyy EU:n finanssialan uusi digitaalisen rahoituksen strategia 1 , jonka tavoitteena on varmistaa, että EU on mukana digitaalisessa muutoksessa, edistää sitä eurooppalaisten innovatiivisten yritysten johdolla ja tuo näin digitaalisen rahoituksen hyödyt kuluttajien ja yritysten saataville. Tämän ehdotuksen lisäksi pakettiin sisältyy myös ehdotus asetukseksi kryptovarojen markkinoista 2 , ehdotus asetukseksi hajautetun tilikirjan teknologiaan (DLT) perustuvien markkinainfrastruktuurien pilottijärjestelmästä 3 ja ehdotus direktiiviksi tiettyjen rahoituspalveluja koskevien EU:n sääntöjen selkeyttämiseksi tai muuttamiseksi 4 . Finanssialalla digitalisaatio ja digitaalinen häiriönsietokyky ovat saman kolikon kaksi puolta. Digitalisaatio tai tieto- ja viestintätekniikka, jäljempänä ’TVT’, luo mahdollisuuksia mutta aiheuttaa myös riskejä. Riskit on tiedostettava ja niitä on hallittava hyvin, etenkin stressikausien aikana.

Päättäjät ja valvojat ovat sen vuoksi keskittyneet entistä enemmän TVT:n käytöstä aiheutuviin riskeihin. He ovat erityisesti pyrkineet parantamaan yritysten häiriönsietokykyä laatimalla standardeja ja koordinoimalla sääntely- ja valvontatoimia. Tätä työtä on tehty kansainvälisellä ja Euroopan tasolla sekä eri teollisuudenaloilla ja useilla erityisaloilla, kuten finanssipalvelujen alalla.

TVT-riskit ovat kuitenkin edelleen haaste EU:n finanssijärjestelmän häiriönsietokyvylle, toiminnalle ja vakaudelle. Vuoden 2008 finanssikriisiä seuranneella uudistuksella vahvistettiin ensisijaisesti EU:n finanssialan finanssipoliittista häiriönsietokykyä. 5 TVT-riskeihin puututtiin vain välillisesti tietyillä osa-alueilla osana toimenpiteitä, joilla pyrittiin puuttumaan laajemmin operatiivisiin riskeihin.

Vaikka EU:n finanssipalvelulainsäädäntöön kriisin jälkeen tehdyillä muutoksilla otettiin käyttöön yhteinen sääntökirja, joka kattoi suuria finanssipalveluihin liittyvien riskien kokonaisuuksia, niissä ei puututtu täysin digitaaliseen häiriönsietokykyyn. Digitaalisen häiriönsietokyvyn osalta toteutettuihin toimenpiteisiin liittyi useita piirteitä, jotka vähensivät niiden tehokkuutta. Ne oli usein esimerkiksi muotoiltu vähimmäistason yhdenmukaistamiseen tähtääviksi direktiiveiksi tai periaatteisiin perustuviksi asetuksiksi, jotka jättivät huomattavasti tilaa eriäville lähestymistavoille sisämarkkinoiden alueella. Lisäksi operatiivisten riskien kattamisen yhteydessä TVT-riskeihin on keskitytty vain rajallisesti tai ainoastaan tietyiltä osin. Nämä toimenpiteet vaihtelevat myös alakohtaisessa finanssipalvelulainsäädännössä. Näin ollen unionin tason toimet eivät täysin vastanneet sitä, mitä eurooppalaiset finanssiyhteisöt olisivat tarvinneet operatiivisten riskien hallitsemiseksi tavalla, joka kestää TVT-poikkeamien vaikutuksia, reagoi niihin ja palautuu niistä. Ne eivät myöskään tarjonneet finanssivalvojille asianmukaisimpia välineitä, joiden avulla ne olisivat voineet hoitaa tehtäväänsä ehkäistä TVT-riskien toteutumisesta johtuvaa epävakautta.

Digitaalista häiriönsietokykyä koskevien yksityiskohtaisten ja kattavien sääntöjen puuttuminen EU:n tasolla on johtanut kansallisten sääntelyaloitteiden (esim. digitaalisen häiriönsietokyvyn testaamisen osalta) sekä valvontamenetelmien (joilla puututaan esim. riippuvuuteen TVT-palveluntarjoajina olevista kolmansista osapuolista) määrän lisääntymiseen. Jäsenvaltioiden tasolla toteutettavilla toimilla on kuitenkin vain rajallinen vaikutus TVT-riskien rajatylittävään luonteeseen. Lisäksi koordinoimattomat kansalliset aloitteet ovat johtaneet päällekkäisyyksiin, epäjohdonmukaisuuksiin, päällekkäisiin vaatimuksiin, korkeisiin hallinnollisiin ja sääntöjen noudattamisesta aiheutuviin kustannuksiin – erityisesti rajatylittävien finanssiyhteisöjen osalta – tai TVT-riskeihin, jotka ovat jäänet havaitsematta, eikä niihin näin ollen ole puututtu. Tämä tilanne pirstaloi sisämarkkinoita, heikentää EU:n finanssialan vakautta ja eheyttä ja vaarantaa kuluttajien ja sijoittajien suojelun.

Siksi on tarpeen ottaa käyttöön yksityiskohtainen ja kattava kehys EU:n finanssiyhteisöjen digitaalista häiriönsietokykyä varten. Tällä kehyksellä syvennetään yhteisen sääntökirjan digitaalisen riskinhallinnan ulottuvuutta. Sen avulla voidaan vahvistaa ja virtaviivaistaa finanssiyhteisöjen TVT-riskinhallinnan toteuttamista, ottaa käyttöön TVT-järjestelmien perusteellinen testaus, lisätä valvojien tietoa finanssiyhteisöjen kohtaamista kyberriskeistä ja TVT:hen liittyvistä poikkeamista sekä antaa finanssivalvojille valtuuksia valvoa riskejä, jotka johtuvat siitä, että finanssiyhteisöt ovat riippuvaisia TVT-palveluntarjoajina olevista kolmansista osapuolista. Ehdotuksella luodaan johdonmukainen poikkeamia koskeva raportointijärjestelmä, joka auttaa vähentämään finanssiyhteisöjen hallinnollista rasitusta ja lisäämään valvonnan tehokkuutta.

·Yhdenmukaisuus muiden alaa koskevien politiikkojen säännösten kanssa

Tämä ehdotus on osa Euroopan ja kansainvälisellä tasolla meneillään olevaa laajempaa työtä, jonka tavoitteena on vahvistaa finanssipalvelujen kyberturvallisuutta ja puuttua laajempiin operatiivisiin riskeihin. 6  

Se on myös vastaus Euroopan valvontaviranomaisten vuonna 2019 antamaan yhteiseen tekniseen lausuntoon 7 , jossa vaadittiin johdonmukaisempaa lähestymistapaa TVT-riskin torjumiseen finanssialalla ja suositettiin, että komissio vahvistaisi oikeasuhteisella tavalla finanssipalvelualan digitaalista häiriönsietokykyä alakohtaisella EU:n aloitteella. Euroopan valvontaviranomaisten lausunto oli vastaus komission vuoden 2018 FinTech-toimintasuunnitelmaan 8 . 

·Yhdenmukaisuus unionin muiden politiikkojen kanssa

Kuten puheenjohtaja Ursula von der Leyenin poliittisissa suuntaviivoissa 9 ja tiedonannossa 10 ”Euroopan digitaalista tulevaisuutta rakentamassa” todetaan, on ratkaisevan tärkeää, että Eurooppa hyödyntää kaikki digiajan edut ja vahvistaa teollista ja innovointikapasiteettiaan turvallisten ja eettisten rajojen puitteissa. Euroopan datastrategiassa 11 esitetään neljä pilaria – tietosuoja, perusoikeudet, turvallisuus ja kyberturvallisuus – datavetoisen yhteiskunnan olennaisina edellytyksinä. Euroopan parlamentti on hiljattain alkanut laatia digitaalista rahoitusta koskevaa mietintöä, jossa muun muassa vaaditaan finanssialan kyberuhkien häiriönsietokykyä koskevaa yhteistä lähestymistapaa. 12 EU:n finanssiyhteisöjen digitaalista häiriönsietokykyä vahvistava lainsäädäntökehys on yhdenmukainen näiden poliittisten tavoitteiden kanssa. Ehdotuksella tuettaisiin myös koronaviruksesta toipumiseen tähtääviä toimia, koska sillä varmistettaisiin, että digitaalinen häiriönsietokyky paranee samaa tahtia kuin riippuvuus digitaalisesta rahoituksesta kasvaa.

2.OIKEUSPERUSTA, TOISSIJAISUUSPERIAATE JA SUHTEELLISUUSPERIAATE

·Oikeusperusta

·Toissijaisuusperiaate

·Suhteellisuusperiaate

·Toimintatavan valinta

3.JÄLKIARVIOINTIEN, SIDOSRYHMIEN KUULEMISTEN JA VAIKUTUSTENARVIOINTIEN TULOKSET

·Jälkiarvioinnit/toimivuustarkastukset

·Sidosryhmien kuuleminen

i) komissio toteutti asiaa koskevan avoimen julkisen kuulemisen (19. joulukuuta 2019 – 19. maaliskuuta 2020) 15 ;

ii) komissio kuuli yleisöä alustavasta vaikutustenarvioinnista (19. joulukuuta 2019 – 16. tammikuuta 2020) 16 ;

iii) komission yksiköt kuulivat jäsenvaltioiden asiantuntijoita pankki-, maksu- ja vakuutusasioita käsittelevässä asiantuntijaryhmässä (EGBPI) kahdesti (18. toukokuuta 2020 ja 16. heinäkuuta 2020) 17 ;

iv)komission yksiköt järjestivät digitaalista häiriönsietokykyä koskevan verkkoseminaarin osana digitaalista rahoitusta käsittelevän tiedotuskampanjan vuoden 2020 tapahtumasarjaa (19. toukokuuta 2020).

·Asiantuntijatiedon keruu ja käyttö

·Vaikutustenarviointi

·Ei lisätoimia: häiriönsietokykyä koskevat säännöt vahvistettaisiin edelleen voimassa olevilla, toisistaan poikkeavien EU:n finanssipalvelusäännösten, osin verkko- ja tietoturvadirektiivin ja nykyisten tai tulevien kansallisten järjestelmien kautta;

·Vaihtoehto 1: pääomapuskureiden vahvistaminen: ylimääräisiä pääomapuskureita otettaisiin käyttöön, jotta voitaisiin parantaa finanssiyhteisöjen kykyä kattaa tappioita, joita voisi aiheutua digitaalisen häiriönsietokyvyn puutteesta;

·Vaihtoehto 2: finanssipalvelujen digitaalista häiriönsietokykyä koskevan lain käyttöönotto: sellaisen kokonaisvaltaisen EU:n tason kehyksen ja sääntöjen aktivoiminen, joilla vastataan kaikkien säänneltyjen finanssiyhteisöjen digitaalista häiriönsietokykyä koskeviin tarpeisiin, ja valvontakehyksen perustaminen kriittisiä TVT-palveluntarjoajina olevia kolmansia osapuolia varten;

·Vaihtoehto 3: finanssipalvelujen digitaalista häiriönsietokykyä koskeva laki yhdistettynä kriittisten TVT-palveluntarjoajina olevien kolmansien osapuolten keskitettyyn valvontaan: digitaalista häiriönsietokykyä koskevan lain lisäksi (vaihtoehto 2) perustetaan uusi viranomainen, jonka tehtävänä on valvoa ulkopuolisten TVT-palveluntarjoajien palvelujen tarjontaa.

·Sääntelyn toimivuus ja yksinkertaistaminen

·Perusoikeudet

Talousarviovaikutusten osalta voidaan todeta, että koska tässä asetuksessa säädetään Euroopan valvontaviranomaisten roolin vahvistamisesta antamalla niille valtuudet valvoa asianmukaisesti kriittisiä TVT-palveluntarjoajina olevia kolmansia osapuolia, ehdotus merkitsisi resurssien lisäämistä erityisesti valvontatehtävien (kuten paikalla ja verkossa tehtävien auditointien) suorittamista varten ja sellaisen henkilöstön käyttöä, jolla on TVT-turvallisuutta koskevaa erityisasiantuntemusta.

Näiden kustannusten suuruus ja jakautuminen riippuu uusien valvontavaltuuksien laajuudesta ja Euroopan valvontaviranomaisten (tarkoista) tehtävistä. Uusien henkilöstövoimavarojen hankinnan osalta, Euroopan pankkiviranomainen (EPV), Euroopan arvopaperimarkkinaviranomainen (ESMA) ja Euroopan vakuutus- ja lisäeläkeviranomainen (EIOPA) tarvitsevat 18 uutta kokoaikaista työntekijää – kuusi kutakin viranomaista kohden – kun ehdotuksen eri säännöksiä aletaan soveltaa (noin 15,71 miljoonaa euroa vuosina 2022–2027). Euroopan valvontaviranomaisille koituu myös ylimääräisiä tietotekniikkakustannuksia, paikalla tehtävistä tarkastuksista aiheutuvia virkamatkakuluja ja käännöskuluja (noin 12 miljoonaa euroa vuosina 2022–2027) sekä muita hallintomenoja (noin 2,48 miljoonaa euroa vuosina 2022–2027). Näin ollen arvioitu kokonaiskustannusvaikutus on noin 30,19 miljoonaa euroa kaudella 2022–2027.

On myös syytä todeta, että vaikka suoran valvonnan edellyttämä henkilöstömäärä (esim. uudet henkilöstön jäsenet ja muut uusiin tehtäviin liittyvät kustannukset) riippuu ajan mittaan valvonnan kohteena olevien kriittisten TVT-palveluntarjoajina olevien kolmansien osapuolten määrästä ja koosta, menot rahoitetaan kokonaisuudessaan kyseisiltä markkinatoimijoilta kerättävillä maksuilla. Näin ollen ehdotuksella ei ole vaikutusta EU:n talousarviomäärärahoihin (lisähenkilöstöä lukuun ottamatta), koska kustannukset katetaan kokonaisuudessaan maksuilla.

Ehdotuksen rahoitus- ja talousarviovaikutukset esitetään yksityiskohtaisesti tähän ehdotukseen liitetyssä rahoitusselvityksessä.

5.LISÄTIEDOT

·Toteuttamissuunnitelmat, seuranta, arviointi ja raportointijärjestelyt

·Ehdotukseen sisältyvien säännösten yksityiskohtaiset selitykset

Tämän asetuksen tarkoituksena on sovittaa paremmin yhteen finanssiyhteisöjen liiketoimintastrategiat ja TVT-riskinhallinta. Tämän vuoksi hallintoelimen on säilytettävä keskeinen ja aktiivinen rooli TVT-riskinhallintajärjestelmän ohjaamisessa ja noudatettava tiukkaa kyberhygieniaa. Hallintoelimen täysi vastuu finanssiyhteisön TVT-riskinhallinnassa on yleinen periaate, joka on siirrettävä käytäntöön erityisvaatimusten muodossa. Näitä ovat muun muassa selkeiden roolien ja vastuiden osoittaminen kaikille TVT-toiminnoille, jatkuva sitoutuminen TVT-riskinhallinnan valvontaan ja moninaisiin hyväksyntä- ja valvontaprosesseihin sekä TVT-investointien ja -koulutuksen asianmukainen kohdentaminen.

TVT-riskinhallintavaatimukset (5–14 artikla)

Digitaalinen häiriönsietokyky perustuu tiettyihin TVT-riskinhallintajärjestelmän keskeisiin periaatteisiin ja vaatimuksiin Euroopan valvontaviranomaisten yhteisen teknisen lausunnon mukaisesti. Nämä vaatimukset, jotka perustuvat asiaa koskeviin kansainvälisiin, kansallisiin ja toimialan vahvistamiin standardeihin, ohjeisiin ja suosituksiin, käsittelevät TVT-riskinhallinnan erityistoimintoja (tunnistamista, suojelua ja ennaltaehkäisyä, havaitsemista, reagointia ja toipumista, oppimista ja kehittymistä sekä viestintää). Jotta voidaan pysyä nopeasti muuttuvan kyberuhkaympäristön kehityksen tahdissa, finanssiyhteisöiltä edellytetään, että ne ottavat käyttöön ja ylläpitävät häiriönsietokykyisiä TVT-järjestelmiä ja -välineitä, joilla minimoidaan TVT-riskin vaikutusta. Lisäksi edellytetään, että ne tunnistavat jatkuvasti kaikki TVT-riskin lähteet, ottavat käyttöön suojelu- ja ennaltaehkäisytoimenpiteitä, havaitsevat poikkeavan toiminnan pikaisesti, ottavat käyttöön kohdennettuja ja kattavia liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita sekä katastrofi- ja palautumissuunnitelmia olennaisena osana liiketoiminnan jatkuvuutta koskevaa operatiivista toimintatapaa. Viimeksi mainittuja osatekijöitä tarvitaan, jotta TVT:hen liittyvistä poikkeamista, erityisesti kyberhyökkäyksistä, voidaan toipua nopeasti rajoittamalla vahinkoja ja asettamalla etusijalle toiminnan turvallisen jatkamisen. Asetus itsessään ei edellytetä erityistä standardointia, vaan se perustuu pikemminkin eurooppalaisiin ja kansainvälisesti tunnustettuihin teknisiin standardeihin tai toimialan parhaisiin käytäntöihin, siltä osin kuin ne noudattavat kaikilta osin tällaisten kansainvälisten standardien käyttöä ja sisällyttämistä koskevia valvontaohjeita. Tämä asetus kattaa myös sellaisten fyysisten infrastruktuurien ja välineiden eheyden, turvallisuuden ja häiriönsietokyvyn, joilla tuetaan teknologian käyttöä sekä asiaankuuluvia TVT-prosesseja ja niihin osallistuvia henkilöitä osana finanssiyhteisön toimintojen digitaalista jalanjälkeä.

TVT:hen liittyvien poikkeamien raportointi (15–20 artikla)

TVT:hen liittyviä poikkeamia koskevan raportoinnin yhdenmukaistaminen ja virtaviivaistaminen saavutetaan ensinnäkin siten, että asetetaan finanssiyhteisöille yleinen vaatimus ottaa käyttöön ja panna täytäntöön hallinnointiprosessi, jonka avulla ne voivat seurata TVT:hen liittyviä poikkeamia ja kirjata ne lokiin. Tämän jälkeen niiden on luokiteltava ne asetuksessa esitettyjen ja Euroopan valvontaviranomaisten edelleen kehittämien kriteerien perusteella olennaisuusrajojen määrittämiseksi. Toiseksi ainoastaan laajavaikutteisiksi katsotut TVT:hen liittyvät poikkeamat on ilmoitettava toimivaltaisille viranomaisille. Ilmoitetut tiedot olisi käsiteltävä yhteistä mallia käyttämällä ja noudattaen Euroopan valvontaviranomaisten kehittämää yhdenmukaista menettelyä. Finanssialan yhteisöjen olisi toimitettava alustavat raportit sekä väli- ja loppuraportit ja ilmoitettava käyttäjilleen ja asiakkailleen, vaikuttaako tai voiko poikkeama vaikuttaa heidän taloudellisiin etuihinsa. Toimivaltaisten viranomaisten olisi annettava olennaiset tiedot poikkeamista muille laitoksille tai viranomaisille: Euroopan valvontaviranomaisille, EKP:lle ja direktiivin (EU) 2016/1148 nojalla nimetyille keskitetyille yhteyspisteille.

Jotta voitaisiin käynnistää finanssiyhteisöjen ja toimivaltaisten viranomaisten välillä vuoropuhelu, joka auttaisi minimoimaan vaikutuksia ja määrittämään tarkoituksenmukaiset korjaustoimet, laajavaikutteisten TVT:hen liittyvien poikkeamien raportointia olisi täydennettävä valvontaa koskevalla palautteella ja ohjeistuksella.

Lisäksi Euroopan valvontaviranomaisten, EKP:n ja ENISAn yhteisessä raportissa olisi tutkittava edelleen mahdollisuutta keskittää TVT:hen liittyviä poikkeamia koskeva raportointi unionin tasolla ja arvioida siinä yhteydessä mahdollisuutta perustaa yksi EU:n keskus, jonka kautta finanssiyhteisöt voisivat ilmoittaa laajavaikutteisista TVT:hen liittyvistä poikkeamista.

Digitaalisen häiriönsietokyvyn testaus (21–24 artikla)

TVT-riskinhallintajärjestelmään sisältyviä valmiuksia ja toimintoja on testattava määräajoin, jotta voidaan varautua ja tunnistaa heikkouksia, puutteita tai aukkoja, myös korjaavien toimenpiteiden ripeän toteuttamisen osalta. Tässä asetuksessa sallitaan digitaalisen häiriönsietokyvyn testausvaatimusten oikeasuhteinen soveltaminen finanssiyhteisöjen koon, liiketoiminnan ja riskiprofiilien mukaan: vaikka kaikkien yhteisöjen olisi testattava TVT-välineitä ja -järjestelmiä, ainoastaan niiltä yhteisöiltä, jotka toimivaltaiset viranomaiset ovat määrittäneet (tämän asetuksen ja Euroopan valvontaviranomaisten edelleen kehittämien kriteerien perusteella) merkittäviksi ja kyberturvallisuutensa kannalta kypsiksi, olisi edellytettävä, että ne tekevät uhkaperusteisiin tunkeutumistesteihin perustuvaa kehittynyttä testausta. Tässä asetuksessa esitetään myös vaatimuksia, jotka koskevat testaajia ja uhkaperusteisen tunkeutumistestauksen tulosten tunnustamista kaikkialla unionissa useissa jäsenvaltioissa toimivien finanssiyhteisöjen osalta.

Kolmansiin osapuoliin liittyvä TVT-riski (25–39 artikla)

Asetuksen tarkoituksena on varmistaa kolmansiin osapuoliin liittyvä TVT-riskin asianmukainen seuranta. Tämä tavoite saavutetaan ensinnäkin noudattamalla finanssiyhteisöihin sovellettavia periaatteisiin perustuvia sääntöjä, joiden mukaan niiden on seurattava riskejä, joita aiheutuu TVT-palveluntarjoajana olevien kolmansien osapuolten toiminnasta. Toiseksi tällä asetuksella yhdenmukaistetaan keskeisiä seikkoja, jotka liittyvät TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamiin palveluihin ja näiden kanssa solmittuihin sopimussuhteisiin. Näihin seikkoihin sisältyy miniminäkökohtia, joita pidetään välttämättöminä, jotta finanssiyhteisö voi seurata kattavasti kolmansiin osapuoliin liittyvää TVT-riskiä sopimussuhteen koko elinkaaren ajan: solmimis-, toteutumis-, päättymis- ja sen jälkeisiä vaiheita.

Tätä suhdetta sääteleviltä sopimuksilta edellytetään etenkin, että niihin on sisällytetty kattava kuvaus palveluista, ilmoitus siitä, missä tietoja on määrä käsitellä, palvelutason täydet kuvaukset ja niihin liittyvät määrälliset ja laadulliset suorituskykytavoitteet, asianmukaiset säännökset henkilötietojen saatavuudesta, käytettävyydestä, eheydestä ja turvallisuudesta sekä takeet tietoihin pääsystä, niiden pelastamisesta ja palauttamisesta TVT-palveluntarjoajana olevien kolmansien osapuolten aiheuttamassa häiriötilanteessa, TVT-palveluntarjoajana olevia kolmansia osapuolia koskevista ilmoitusajoista ja raportointivelvollisuuksista, finanssiyhteisön tai nimetyn kolmannen osapuolen pääsy-, tarkastus- ja auditointioikeuksista, irtisanomisoikeuksista ja erityisistä irtautumisstrategioista. Koska jotkin näistä sopimusta koskevista osatekijöistä voidaan standardoida, asetuksessa edistetään sellaisten mallisopimuslausekkeiden vapaaehtoista käyttöä, joita komission on määrä laatia pilvipalvelujen käyttöä varten.

Asetuksella pyritään lähentämään lähestymistapoja, joita sovelletaan finanssialalla kolmansiin osapuoliin liittyvään TVT-riskiin saattamalla kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet unionin valvontakehyksen piiriin. Uuden yhdenmukaistetun lainsäädäntökehyksen ansiosta kulloisenkin tällaisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen päävalvojaksi nimetylle Euroopan valvontaviranomaiselle annetaan valtuudet varmistaa, että teknologiapalvelujen tarjoajia, jotka hoitavat finanssialan toiminnan kannalta kriittistä tehtävää, valvotaan riittävällä tavalla yleiseurooppalaisessa mittakaavassa. Tämän asetuksen mukainen valvontakehys perustuu nykyiseen finanssipalvelualan institutionaaliseen rakenteeseen, jossa Euroopan valvontaviranomaisten yhteiskomitea varmistaa kaikissa TVT-riskiin liittyvissä kysymyksissä alojen välisen koordinoinnin kyberturvallisuutta koskevien tehtäviensä mukaisesti. Tässä tehtävässä sitä avustaa asiaankuuluva alakomitea (valvontafoorumi), joka valmistelee yksittäisiä päätöksiä ja yhteisiä suosituksia kriittisille ulkopuolisille TVT-palveluntarjoajille.

Tietojenvaihto (40 artikla)

TVT-riskiä koskevan tietoisuuden lisäämiseksi, niiden leviämisen minimoimiseksi sekä finanssiyhteisöjen puolustusvalmiuksien ja uhkien paljastamistekniikoiden tukemiseksi asetus antaa finanssiyhteisöille mahdollisuuden ottaa käyttöön järjestelyjä, joiden avulla ne voivat vaihtaa keskenään kyberuhkia koskevia tietoja ja tiedustelutietoja.

2020/0266 (COD)

Ehdotus:

EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS

finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) N:o 909/2014 muuttamisesta

(ETA:n kannalta merkityksellinen teksti)

EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka

ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 114 artiklan,

ottavat huomioon Euroopan komission ehdotuksen,

sen jälkeen, kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille,

ottavat huomioon Euroopan keskuspankin lausunnon, 25

ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon, 26

noudattavat tavallista lainsäätämisjärjestystä, sekä katsovat seuraavaa:

sekä katsovat seuraavaa:

(1)Digiaikana tieto- ja viestintätekniikalla, jäljempänä ’TVT’, tuetaan monimutkaisia järjestelmiä, joita käytetään jokapäiväisissä yhteiskunnallisissa toiminnoissa. Se pitää talouden toiminnassa keskeisillä aloilla, kuten finanssialalla, ja tehostaa sisämarkkinoiden toimintaa. Lisääntyvä digitalisaatio ja yhteenliitettävyys laajentavat myös TVT-riskien mahdollisuutta, mikä tekee koko yhteiskunnasta – ja erityisesti finanssijärjestelmästä – alttiimman kyberuhkille tai TVT-häiriöille. Vaikka TVT-järjestelmien yleinen käyttö sekä pitkälle menevä digitalisointi ja yhteenliitettävyys ovat nykypäivänä unionin finanssiyhteisöjen kaiken toiminnan keskeisiä piirteitä, digitaalista häiriönsietokykyä ei ole vielä riittävällä tavalla sisällytetty osaksi niiden toimintapuitteita.

(2)TVT:n käyttö on viime vuosikymmeninä noussut keskeiseen asemaan finanssialalla, ja sen merkitys kaikkien finanssiyhteisöjen tavanomaisissa arkipäivän toiminnoissa on kriittinen. Digitalisointi kattaa esimerkiksi maksut, jotka ovat siirtyneet yhä enemmän käteis- ja paperipohjaisista menetelmistä digitaalisten ratkaisujen käyttöön, sekä arvopaperien määrityksen ja toimituksen, sähköisen ja algoritmisen kaupankäynnin, lainaus- ja rahoitustoiminnot, vertaisrahoituksen, luottokelpoisuusluokituksen, vakuutustoiminnan, saatavien hoidon ja back-office-toiminnot. Koko finanssiala on pitkälti digitalisoitunut, mutta digitalisointi on myös syventänyt finanssialan sisäisiä yhteyksiä ja keskinäistä riippuvuutta myös kolmansista infrastruktuurin ja palvelujen tarjoajista.

(3)Euroopan järjestelmäriskikomitea (EJRK) on vahvistanut vuonna 2020 antamassaan järjestelmään liittyvää kyberriskiä käsittelevässä raportissaan 27 , kuinka nykyiset finanssiyhteisöjen, -markkinoiden ja -markkinainfrastruktuurin tiiviit keskinäiset kytkökset ja etenkin niiden TVT-järjestelmien keskinäiset riippuvuussuhteet voivat olla järjestelmän kannalta haavoittuvia, sillä paikalliset kyberhäiriötilanteet voivat nopeasti levitä mistä tahansa unionin noin 22 000 finanssiyhteisöstä 28 koko finanssijärjestelmään maantieteellisten rajojen estämättä. Vakavat finanssialan TVT-rikkomukset eivät vaikuta pelkästään finanssiyhteisöihin. Ne luovat maaperää myös paikallisten haavoittuvuuksien leviämiselle rahoituksen välityskanaviin ja voivat heikentää unionin finanssijärjestelmän vakautta, aiheuttaa likviditeettipakoja ja rapauttaa yleisesti luottamusta rahoitusmarkkinoihin.

(4)Viime vuosina kansalliset, eurooppalaiset ja kansainvälisen tason poliittiset päättäjät, sääntelyviranomaiset ja standardointielimet ovat kiinnittäneet huomiota TVT-riskeihin pyrkimyksessään tehostaa häiriönsietokykyä, asettaa standardeja ja koordinoida sääntely- ja valvontatoimia. Kansainvälisellä tasolla Baselin pankkivalvontakomitea, maksujärjestelmä- ja markkinainfrastruktuurikomitea, rahoitusjärjestelmän vakautta valvova instituutti sekä G7- ja G20-maiden ryhmät pyrkivät tarjoamaan toimivaltaisille viranomaisille ja markkinatoimijoille eri lainkäyttöalueilla välineitä, joiden avulla ne voivat vahvistaa finanssijärjestelmiensä häiriönsietokykyä.

(5)Kansallisista ja eurooppalaisista kohdennetuista politiikka- ja lainsäädäntöaloitteista huolimatta, TVT-riskit muodostavat edelleen haasteen unionin finanssijärjestelmän häiriönsietokyvylle, toiminnalle ja vakaudelle. Vuoden 2008 finanssikriisiä seuranneella uudistuksella vahvistettiin ensisijaisesti unionin finanssialan finanssipoliittista häiriönsietokykyä. Näin pyrittiin turvaamaan unionin kilpailukyky ja vakaus talouden, toiminnan vakauden ja markkinakäyttäytymisen näkökulmasta. Vaikka TVT-turvallisuus ja digitaalinen häiriönsietokyky ovat osa operatiivista riskiä, ne ovat jääneet vähemmälle huomiolle kriisin jälkeisessä sääntelyohjelmassa, ja niitä on kehitetty vain joillakin unionin finanssipalvelupolitiikan ja sääntely-ympäristön osa-alueilla tai vain muutamassa jäsenvaltiossa.

(6)Komission vuonna 2018 julkaisemassa FinTech-toimintasuunnitelmassa 29 korostettiin, että on ensiarvoisen tärkeää parantaa unionin finanssialan häiriönsietokykyä myös operatiivisesta näkökulmasta, jotta voidaan varmistaa sen teknologinen turvallisuus ja toimivuus ja sen nopea toipuminen TVT-rikkomusten ja -poikkeamien jälkeen, mikä viime kädessä mahdollistaa finanssipalvelujen tehokkuuden ja niiden sujuvan tarjoamisen koko unionissa, myös stressitilanteissa, siten, että samalla säilytetään kuluttajien ja markkinoiden usko ja luottamus.

(7)Euroopan pankkiviranomainen (EPV), Euroopan arvopaperimarkkinaviranomainen (EAMV) ja Euroopan vakuutus- ja lisäeläkeviranomainen (EIOPA) (joita kutsutaan yhteisesti nimellä ”Euroopan valvontaviranomaiset”) julkaisivat yhdessä huhtikuussa 2019 kaksi teknistä lausuntoa, joissa vaadittiin johdonmukaista lähestymistapaa TVT-riskiin ja suositettiin finanssipalvelualan digitaalisen häiriönsietokyvyn vahvistamista oikeasuhteisella tavalla unionin alakohtaisen aloitteen avulla.

(8)Unionin finanssialaa säännellään yhdenmukaistetulla sääntökirjalla ja hallinnoidaan Euroopan finanssivalvontajärjestelmällä. Tästä huolimatta digitaalista häiriösietokykyä ja TVT-turvallisuutta koskevia säännöksiä ei ole vielä täysin tai johdonmukaisesti yhdenmukaistettu siitä huolimatta, että digitaalinen häiriönsietokyky on ratkaisevan tärkeä rahoitusvakauden ja markkinoiden eheyden varmistamiseksi digiaikana, minkä lisäksi se on aivan yhtä merkityksellinen kuin esimerkiksi toiminnan vakautta koskevat tai markkinakäyttäytymistä koskevat standardit. Sääntökirjaa ja valvontajärjestelmää olisi sen vuoksi kehitettävä, jotta myös tämä osatekijä saataisiin katettua, laajentamalla niiden finanssivalvojien toimivaltuuksia, joiden tehtävänä on seurata ja suojella rahoitusvakautta ja markkinoiden eheyttä.

(9)Lainsäädännölliset erot ja epätasaiset kansalliset TVT-riskin sääntelyä tai valvontaa koskevat lähestymistavat muodostavat esteitä finanssipalvelujen sisämarkkinoille ja hankaloittavat sijoittautumisvapauden sujuvaa harjoittamista sekä palvelujen tarjoamista rajatylittävää toimintaa harjoittaville finanssiyhteisöille. Eri jäsenvaltioissa toimivien samantyyppisten finanssiyhteisöjen välinen kilpailu voi myös vääristyä. Erityisesti niillä osa-alueilla, joilla unionin tason yhdenmukaistaminen on ollut hyvin rajallista, kuten digitaalisen häiriönsietokyvyn testauksessa, tai olematonta, kuten kolmansiin osapuoliin liittyvässä TVT-riskin seurannassa, kansallisella tasolla suunnitellusta kehityksestä johtuvat erot voivat muodostaa lisäesteitä sisämarkkinoiden toiminnalle markkinatoimijoiden ja rahoitusvakauden kustannuksella.

(10)Osittaisessa tavassa, jolla TVT-riskiin liittyviä säännöksiä on tähän mennessä käsitelty unionin tasolla, on puutteita tai päällekkäisyyksiä tärkeillä osa-alueilla, kuten TVT:hen liittyvien poikkeamien raportoinnissa ja digitaalisen häiriönsietokyvyn testauksessa, ja se luo epäjohdonmukaisuuksia, jotka johtuvat uusista toisistaan poikkeavista kansallisista säännöistä tai päällekkäisten sääntöjen kustannustehottomasta soveltamisesta. Tämä on erityisen haitallista TVT-intensiivisille käyttäjille, kuten finanssialalle, koska teknologiariskeillä ei ole rajoja ja finanssiala käyttää sen palveluja laajalti rajojen yli unionissa ja sen ulkopuolella.

Yksittäiset finanssiyhteisöt, jotka toimivat rajojen yli tai joilla on useita toimilupia (esim. yhdellä finanssiyhteisöllä voi olla pankki-, sijoituspalveluyritys- ja maksulaitostoimilupa, joista jokainen on eri valvojan myöntämä yhdessä tai useammassa jäsenvaltiossa), joutuvat vastaamaan operatiivisiin haasteisiin niiden torjuessa yksin TVT-riskejä ja hillitessä TVT-poikkeamia kielteisiä vaikutuksia johdonmukaisella ja kustannustehokkaalla tavalla.

(11)Koska yhteiseen sääntökirjaan ei ole liitetty kattavaa TVT- tai operatiivista riskin kehystä, keskeisiä digitaalista häiriönsietokykyä koskevia vaatimuksia on yhdenmukaistettava edelleen kaikkien finanssiyhteisöjen osalta. Valmiudet ja yleinen häiriönsietokyky, joita finanssiyhteisöt kehittäisivät tällaisten keskeisten vaatimusten pohjalta, operatiivisista käyttökeskeytyksistä selvitäkseen, auttaisivat säilyttämään unionin finanssimarkkinoiden vakauden ja eheyden. Niiden avulla myös edistettäisiin sijoittajien ja kuluttajien suojan korkean tason varmistamista unionissa. Koska tämän asetuksen tarkoituksena on edistää sisämarkkinoiden moitteetonta toimintaa, sen olisi perustuttava Euroopan unionin toiminnasta tehdyn sopimuksen 114 artiklaan, sellaisena kuin sitä tulkitaan Euroopan unionin tuomioistuimen vakiintuneessa oikeuskäytännössä.

(12)Tällä asetuksella pyritään ensinnäkin vakiinnuttamaan TVT-riskivaatimukset, joita on tähän mennessä käsitelty erikseen eri asetuksissa ja direktiiveissä, ja parantamaan niitä. Vaikka kyseiset unionin säädökset kattoivat rahoitusriskin pääluokat (esim. luotto-, markkina-, vastapuoliluotto- ja likviditeetti- sekä markkinakäyttäytymisriski), niissä ei kyetty kokonaisvaltaisesti puuttumaan, hyväksymisajankohtana, kaikkiin toiminnallisen häiriönsietokyvyn osatekijöihin. Operatiivista riskiä koskevissa vaatimuksissa, kun niitä on kehitetty edelleen edellä mainituissa unionin säädöksissä, suosittiin usein perinteistä kvantitatiivista lähestymistapaa riskeihin puuttumiseksi (eli pääomavaatimuksen asettamista TVT-riskien kattamiseksi) sen sijaan, että niihin olisi sisällytetty kohdennettuja laadullisia vaatimuksia valmiuksien parantamiseksi vaatimuksilla, joiden tavoitteena olisi ollut kehittää suojelu-, havaitsemis-, käyttöönotto-, toipumis- ja korjausvalmiuksia TVT:hen liittyvien poikkeamien torjumiseksi, tai ottamalla käyttöön raportointi- ja digitaalisia testausvalmiuksia. Kyseisten direktiivien ja asetusten ensisijainen tarkoitus oli kattaa toiminnan vakauden valvontaa, markkinoiden eheyttä tai toimintaa koskevat keskeiset säännöt.

Tällä toimenpiteellä, jolla vahvistetaan TVT-riskiä koskevia sääntöjä ja päivitetään niitä, kaikki finanssialan digitaalista riskiä koskevat säännökset koottaisiin ensimmäistä kertaa johdonmukaisella tavalla yhteen säädökseen. Tällä aloitteella olisi näin ollen korjattava joidenkin näiden säädösten puutteet tai epäjohdonmukaisuudet, myös niissä käytetyn terminologian osalta, ja siinä olisi nimenomaisesti viitattava TVT-riskiin kohdennetuilla säännöillä, jotka koskevat TVT-riskinhallintavalmiuksia, -raportointia, -testausta sekä ulkopuolisiin TVT-palveluntarjoajiin liittyvien riskien seurantaa.

(13)Finanssiyhteisöjen olisi noudatettava samaa lähestymistapaa ja samoja periaatteisiin perustuvia sääntöjä, kun ne käsittelevät TVT-riskiä. Johdonmukaisuus lisää osaltaan luottamusta finanssijärjestelmään ja auttaa sen vakauden säilyttämisessä erityisesti sellaisina aikoina, jolloin TVT-järjestelmiä, -alustoja ja -infrastruktuuria käytetään liikaa, mihin liittyy suurempi digitaalisen riskin vaara.

Peruskyberhygieniaa noudattamalla pitäisi myös voida välttää taloudelle aiheutuvia raskaita kustannuksia, kun TVT-häiriöiden vaikutukset ja kustannukset minimoidaan.

(14)Asetuksen käyttö auttaa vähentämään sääntelyn monimutkaisuutta, edistää valvontakäytäntöjen lähentymistä, lisää oikeusvarmuutta ja samalla auttaa rajoittamaan säännösten noudattamisesta aiheutuvia kustannuksia, erityisesti niiden finanssiyhteisöjen osalta, jotka toimivat rajojen yli, sekä vähentämään kilpailun vääristymisiä. Asetuksen valinta finanssiyhteisöjen digitaalista häiriönsietokykyä koskevan yhteisen kehyksen käyttöönottamiseksi vaikuttaa näin ollen asianmukaisimmalta tavalta taata, että unionin finanssialan sektorit soveltavat kaikkia TVT-riskinhallinnan osatekijöitä yhteisesti ja johdonmukaisesti.

(15)Finanssipalvelulainsäädännön ohella Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148 30 on unionin tasolla nykyään voimassa oleva kyberturvallisuuskehys. Seitsemän kriittisen alan joukossa kyseistä direktiiviä sovelletaan myös kolmeen finanssiyhteisön tyyppiin: luottolaitoksiin, kauppapaikkoihin ja keskusvastapuoliin. Koska direktiivissä (EU) 2016/1148 kuitenkin otetaan käyttöön kansallisella tasolla keskeisten palvelujen tarjoajien määrittämismekanismi, ainoastaan tietyt jäsenvaltioiden määrittämät luottolaitokset, kauppapaikat ja keskusvastapuolet kuuluvat käytännössä sen soveltamisalaan ja näin ollen niiden on noudatettava direktiivissä säädettyjä TVT-turvallisuutta ja -poikkeamien ilmoittamista koskevia vaatimuksia.

(16)Koska tällä asetuksella lisätään digitaalisen häiriönsietokyvyn osatekijöiden yhdenmukaistamisen tasoa ottamalla käyttöön TVT-riskinhallintaa ja TVT:hen liittyvien poikkeamien raportointia koskevia vaatimuksia, jotka ovat tiukempia kuin voimassa olevassa unionin finanssipalvelulainsäädännössä säädetyt vaatimukset, tuloksena on vielä pidemmälle viety yhdenmukaistaminen myös verrattuna direktiivissä (EU) 2016/1148 säädettyihin vaatimuksiin. Näin ollen tämä asetus on erityissäädös (lex specialis) suhteessa direktiiviin (EU) 2016/1148.

On tärkeää säilyttää vahva yhteys finanssialan ja unionin horisontaalisen kyberturvallisuuskehyksen välillä, sillä näin voidaan varmistaa johdonmukaisuus jäsenvaltioiden jo hyväksymien kyberturvallisuusstrategioiden kanssa, ja näin myös voidaan saattaa finanssivalvojien tietoon kyberhäiriötilanteet, jotka vaikuttavat direktiivin (EU) 2016/1148 piiriin kuuluviin aloihin.

(17)Jotta monialainen oppimisprosessi olisi mahdollinen ja voitaisiin hyödyntää muilla aloilla saatua kokemusta kyberuhkien käsittelystä, direktiivissä (EU) 2016/1148 tarkoitettujen finanssiyhteisöjen olisi pysyttävä osana kyseisen direktiivin ”ekosysteemiä” (esim. verkko- ja tietoturva-alan yhteistyöryhmä ja tietoturvaloukkauksiin reagoivat ja niitä tutkivat yksiköt, CSIRT-toimijat).

Euroopan valvontaviranomaisten ja kansallisten toimivaltaisten viranomaisten olisi voitava osallistua strategisiin toimintapoliittisiin keskusteluihin sekä verkko- ja tietoturva-alan yhteistyöryhmän tekniseen työhön ja tietojenvaihtoon ja tehdä edelleen yhteistyötä direktiivin (EU) 2016/1148 mukaan nimettyjen keskitettyjen yhteyspisteiden kanssa. Tämän asetuksen mukaisten toimivaltaisten viranomaisten olisi myös kuultava direktiivin (EU) 2016/1148 9 artiklan mukaisesti nimettyjä kansallisia CSIRT-toimijoita ja tehtävä heidän kanssaan yhteistyötä.

(18)On tärkeää myös varmistaa yhdenmukaisuus Euroopan elintärkeästä infrastruktuurista annetun direktiivin 31 kanssa. Direktiiviä tarkistetaan parhaillaan, jotta voidaan lisätä kriittisten infrastruktuurien suojelua ja niiden sietokykyä muita kuin kyberuhkia vastaan.

(19)Pilvipalvelun tarjoajat ovat yksi direktiivin (EU) 2016/1148 piiriin kuuluvista digitaalisen palvelun tarjoajien ryhmistä. Näin ollen niihin sovelletaan kyseisen direktiivin mukaisesti nimettyjen kansallisten valvontaviranomaisten suorittamaa jälkikäteisvalvontaa, joka rajoittuu kyseisessä säädöksessä vahvistettuihin TVT-turvallisuutta ja -poikkeamien ilmoittamista koskeviin vaatimuksiin. Koska tällä asetuksella perustettua valvontakehystä sovelletaan kaikkiin kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin, myös pilvipalvelun tarjoajiin, niiden tarjotessa TVT-palveluita finanssiyhteisöille, sen olisi katsottava täydentävän direktiivin (EU) 2016/1148 nojalla suoritettavaa valvontaa. Lisäksi tällä asetuksella perustettavan valvontakehyksen olisi katettava pilvipalvelujen tarjoajat, koska unionin horisontaalinen, aloista riippumattoman kehys, jolla perustetaan digitaalinen valvontaviranomainen, puuttuu.

(20)TVT-riskien täyden hallinnan säilyttämiseksi finanssiyhteisöillä on oltava käytössään kattavat valmiudet, jotka mahdollistavat vahvan ja tehokkaan TVT-riskinhallinnan, ja niiden ohella erityismekanismeja ja -toimintaperiaatteita, jotka koskevat TVT:hen liittyvien poikkeamien raportointia, TVT-järjestelmien testausta, valvontaa ja prosesseja sekä kolmansiin osapuoliin liittyvän TVT-riskin hallintaa. Finanssijärjestelmän digitaalisen häiriönsietokyvyn tasoa olisi nostettava samalla kun mahdollistetaan vaatimusten oikeasuhteinen soveltaminen sellaisille finanssiyhteisöille, jotka ovat komission suosituksessa 2003/361/EY 32 määriteltyjä mikroyrityksiä.

(21)TVT:hen liittyvien poikkeamien raportointikynnyksissä ja luokituksissa on kansallisella tasolla huomattavia eroja. Vaikka yhteinen pohja voidaan saavuttaa EU:n kyberturvallisuusviraston (ENISA) 33 ja verkko- ja tietoturva-alan yhteistyöryhmän tekemän työn avulla direktiivin (EU) 2016/1148 piiriin kuuluvien finanssiyhteisöjen osalta, kynnysarvoja ja luokituksia koskevia erilaisia lähestymistapoja on edelleen tai voi ilmetä jatkossa jäljelle jäävien finanssiyhteisöjen osalta. Tähän liittyy useita vaatimuksia, joita finanssiyhteisöjen on noudatettava erityisesti silloin, kun ne toimivat useilla unionin lainkäyttöalueilla ja ovat osa finanssiryhmittymää. Lisäksi nämä erot voivat haitata sellaisten yhdenmukaisten tai keskitettyjen unionin lisämekanismien luomista, joilla nopeutetaan raportointiprosessia ja tuetaan nopeaa ja sujuvaa toimivaltaisten viranomaisten välistä tietojenvaihtoa, joka on erittäin tärkeää TVT-riskien torjumiseksi mahdollisissa suuren mittakaavan hyökkäyksissä, joilla voi olla järjestelmätason vaikutuksia.

(22)Jotta toimivaltaiset viranomaiset voivat täyttää valvontatehtävänsä hankkimalla kattavan yleiskuvan TVT:hen liittyvien poikkeamien luonteesta, yleisyydestä, merkityksestä ja vaikutuksista ja jotta voidaan tehostaa tietojenvaihtoa asiaankuuluvien viranomaisten, myös lainvalvonta- ja kriisinratkaisuviranomaisten, välillä, on säädettävä sääntöjä, joilla voidaan täydentää TVT:hen liittyvien poikkeamien raportointijärjestelmää vaatimuksilla, jotka nykyisellään puuttuvat alasektoria koskevasta lainsäädännöstä, ja poistaa mahdolliset päällekkäisyydet kustannusten vähentämiseksi. Näin ollen on olennaista yhdenmukaistaa TVT:hen liittyvien poikkeamien raportointijärjestelmää vaatimalla, että kaikki finanssiyhteisöt raportoivat yksinomaan toimivaltaisille viranomaisilleen. Lisäksi Euroopan valvontaviranomaisille olisi annettava mahdollisuus täsmentää TVT:hen liittyvien poikkeamien raportointiin liittyviä seikkoja, kuten luokitusta, aikatauluja, datajoukkoja, malleja ja sovellettavia kynnysarvoja.

(23)Digitaalisen häiriönsietokyvyn testausvaatimukset ovat kehittyneet joillakin finanssialan alasektoreilla useissa koordinoimattomissa kansallisissa puitteissa, joissa samoja ongelmia on ratkaistu eri tavalla. Tämä johtaa rajatylittävästi toimivien finanssiyhteisöjen kustannusten kaksinkertaistumiseen ja tekee tulosten vastavuoroisesta tunnustamisesta hankalaa. Koordinoimaton testaus voi näin ollen segmentoida sisämarkkinoita.

(24)Lisäksi silloin, kun testausta ei vaadita, haavoittuvuudet jäävät havaitsematta, mikä lisää finanssiyhteisöön ja viime kädessä finanssialan vakauteen kohdistuvaa riskiä. Ilman unionin toimia digitaalisen häiriönsietokyvyn testaus olisi edelleen hajanaista eikä testituloksia tunnustettaisi vastavuoroisesti eri lainkäyttöalueilla. Lisäksi koska on epätodennäköistä, että muut finanssialan alasektorit ottaisivat tällaiset järjestelmät käyttöön mielekkäässä määrin, ne jäisivät vaille mahdollisia hyötyjä, joita ovat muun muassa haavoittuvuuksien ja riskien paljastuminen, puolustusvoimavarat ja liiketoiminnan jatkuvuuden testaus sekä asiakkaiden, toimittajien ja liikekumppaneiden luottamuksen lisääntyminen. Tällaisten päällekkäisyyksien, eroavuuksien ja aukkojen poistamiseksi on tarpeen vahvistaa säännöt, joilla pyritään koordinoituun testaukseen finanssiyhteisöjen ja toimivaltaisten viranomaisten keskuudessa ja siten helpottamaan merkittävien finanssiyhteisöjen kehittyneen testauksen vastavuoroista tunnustamista.

(25)Finanssiyhteisöjen riippuvuus TVT-palveluista johtuu osittain niiden tarpeesta mukautua kehittyvään kilpailukykyiseen digitaaliseen maailmantalouteen, edistää liiketoimintansa tehokkuutta ja vastata kuluttajien kysyntään. Riippuvuuden luonne ja laajuus ovat muuttuneet jatkuvasti viime vuosina, mikä on johtanut rahoituksen välityksen kustannusten alenemiseen, mahdollistanut liiketoiminnan laajentamisen ja skaalattavuuden rahoitustoiminnan käyttöönotossa ja tarjonnut samalla monenlaisia TVT-välineitä monimutkaisten sisäisten prosessien hallintaan.

(26)Tästä TVT-palvelujen laajasta käytöstä ovat osoituksena monimutkaiset sopimusjärjestelyt, joiden vuoksi finanssiyhteisöillä on usein vaikeuksia neuvotella sopimusehdoista, jotka on räätälöity vakavaraisuusnormien tai muiden niihin sovellettavien sääntelyvaatimusten mukaisiksi, tai muutoin panna täytäntöön erityisiä oikeuksia, kuten pääsy- tai auditointioikeuksia, kun ne on kirjattu sopimuksiin. Monet tällaiset sopimukset eivät myöskään tarjoa riittäviä takeita, jotka mahdollistaisivat alihankintaprosessien täysimittaisen seurannan, mikä poistaa finanssiyhteisöiltä mahdollisuuden arvioida niihin liittyviä riskejä. Lisäksi koska TVT-palveluntarjoajana olevat kolmannet osapuolet tarjoavat usein standardoituja palveluja erityyppisille asiakkaille, näissä sopimuksissa ei aina oteta asianmukaisesti huomioon finanssialan toimijoiden yksilöllisiä tai erityisiä tarpeita.

(27)Vaikka tietyissä finanssipalveluja koskevissa unionin säädöksissä on joitakin ulkoistamista koskevia yleisiä sääntöjä, sopimusulottuvuuden seurantaa ei ole täysin ankkuroitu unionin lainsäädäntöön. TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyihin sopimusjärjestelyihin sovellettavien selkeiden ja räätälöityjen unionin standardien puuttuessa, puuttuminen TVT-riskin ulkoiseen lähteeseen on vajavaista. Siksi on välttämätöntä vahvistaa tietyt keskeiset periaatteet, jotka ohjaavat finanssiyhteisöjen kolmansiin osapuoliin liittyvän TVT-riskin hallintaa, ja yhdistää periaatteisiin tietyt keskeiset sopimusperusteiset oikeudet, jotka liittyvät useisiin sopimusten täyttämisen ja päättämisen osatekijöihin, jotta voidaan vahvistaa tietyt vähimmäistakeet, joiden pohjalta finanssiyhteisöt voivat seurata tehokkaasti kaikkia kolmansien osapuolten TVT-toiminnan tasolla ilmeneviä riskejä.

(28)Kolmansiin osapuoliin liittyvä TVT-riski ja -riippuvuudet eivät ole yhdenmukaisia. Vaikka ulkoistamiseen on yritetty puuttua joillakin toimilla, kuten vuonna 2017 annetuilla suosituksilla ulkoistamisesta pilvipalvelujen tarjoajille, 34 unionin lainsäädännössä ei juurikaan puututa kysymykseen järjestelmäriskistä, joka voi aiheutua finanssialalle sen hyödyntämien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten vähäisestä määrästä. Tähän unionin tason puutteeseen liittyy se, että käytössä ei ole erityisiä toimeksiantoja ja välineitä, joiden avulla kansalliset valvontaviranomaiset voisivat saada selkeän kuvan riippuvuudesta, joka liittyy TVT-palveluntarjoajana oleviin kolmansiin osapuoliin, ja seurata asianmukaisesti riskejä, joita aiheutuu tällaisten riippuvuussuhteiden keskittymisestä.

(29)Kun otetaan huomioon mahdolliset järjestelmäriskit, jotka liittyvät ulkoistamiskäytäntöjen yleistymiseen sekä kolmansiin osapuoliin liittyvien TVT-riippuvuuksien keskittymiseen, ja kansallisten mekanismien riittämättömyys eli se, että finanssivalvojilla ei ole mahdollisuutta määrittää kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten toiminnasta aiheutuvien TVT-riskien seurauksien määrää ja laatua ja korjata niitä, on välttämätöntä ottaa käyttöön asianmukainen unionin valvontakehys, joka mahdollistaa sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten toiminnan seurannan, jotka ovat finanssiyhteisöjen kannalta kriittisiä.

(30)Koska TVT-uhat muuttuvat kaiken aikaa monimutkaisemmiksi ja kehittyneemmiksi, finanssiyhteisöjen välisen uhkiin ja haavoittuvuuteen liittyvän tiedustelutiedon säännöllinen vaihto on edellytyksenä sille, että havaitsemis- ja ennaltaehkäisytoimissa onnistutaan. Tietojenvaihdolla edistetään kyberuhkia koskevan tiedon karttumista, mikä puolestaan parantaa finanssiyhteisöjen valmiuksia estää uhkia kehittymästä todellisiksi häiriötilanteiksi ja mahdollistaa sen, että finanssiyhteisöt voivat hillitä paremmin TVT:hen liittyvien poikkeamien vaikutuksia ja palautua niistä tehokkaammin. Unionin tason ohjeistuksen puuttuessa, näyttää siltä, että useat seikat ovat olleet estämässä tällaista tiedustelutietojen vaihtoa, erityisesti epävarmuus tietosuoja-, kilpailu- ja vastuusääntöjen yhteensopivuudesta.

(31)Lisäksi epävarmuus siitä, minkätyyppisiä tietoja voidaan jakaa muille markkinatoimijoille tai muille kuin valvontaviranomaisille (kuten ENISAlle, analyysejä varten, tai Europolille lainvalvontatarkoituksia) on johtanut siihen, että hyödyllisiä tietoja ei ole toimitettu eteenpäin. Tietojenvaihto on edelleen suppeaa ja hajanaista. Olennaista vaihtoa tehdään lähinnä paikallisesti (kansallisten aloitteiden kautta), eikä käytössä ole yhtenäisiä unioninlaajuisia tiedonvaihtojärjestelyjä, jotka olisi räätälöity yhdentyneen finanssialan tarpeisiin.

(32)Tästä syystä finanssiyhteisöjä olisi kannustettava hyödyntämään yhdessä erikseen hankittua tietämystä ja käytännön kokemusta strategisella, taktisella ja operatiivisella tasolla, jotta voidaan parantaa niiden valmiuksia arvioida ja seurata kyberuhkia sekä puolustautua niiltä ja reagoida niihin riittävällä tavalla. Siksi on tarpeen mahdollistaa sellaisten vapaaehtoisten unionin tason tiedonvaihtojärjestelmien luominen, jotka luotettavissa toimintaympäristöissä toteutettuina, auttaisivat finanssiyhteisöä ehkäisemään uhkia ja reagoimaan yhteisesti niihin rajoittamalla nopeasti TVT-riskien leviämistä, myös laajemmalle rahoituskanaviin. Tällaiset järjestelmät olisi toteutettava noudattaen täysin sovellettavaa unionin kilpailulainsäädäntöä 35 ja tavalla, jolla taataan myös unionin tietosuojasääntöjen, erityisesti Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 36 , noudattaminen kaikilta osin, etenkin henkilötietojen käsittelyn yhteydessä, kun käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, kyseisen asetuksen 6 artiklan 1 kohdan f alakohdan mukaisesti.

(33)Tässä asetuksessa kaavaillusta laajasta kattavuudesta huolimatta digitaalista häiriönsietokykyä koskevien sääntöjen soveltamisessa olisi otettava huomioon, että finanssiyhteisöjen välillä on merkittäviä eroja, jotka liittyvät niiden kokoon, liiketoimintaprofiiliin ja siihen, kuinka alttiita ne ovat digitaaliselle riskille. Yleisenä periaatteena, kun resursseja ja valmiuksia ohjataan TVT-riskinhallintajärjestelmään, finanssiyhteisöjen olisi arvioitava TVT:hen liittyvät tarpeensa kokonsa ja liiketoimintaprofiilinsa mukaan ja samalla toimivaltaisten viranomaisten olisi edelleen arvioitava ja tarkistettava tällaiseen jakamiseen liittyvää lähestymistapaa.

(34)Kun otetaan huomioon, että suuremmilla finanssiyhteisöillä voi olla käytettävissään laajempia resursseja ja ne voivat nopeasti ottaa käyttöön varoja hallintorakenteiden kehittämiseen ja erilaisten yritysstrategioiden käyttöönottamiseen, ainoastaan sellaisilta finanssiyhteisöiltä, jotka eivät ole tässä asetuksessa tarkoitettuja mikroyrityksiä, olisi vaadittava monimutkaisempien hallintojärjestelyjen käyttöönottoa. Tallaisilla yhteisöillä on paremmat edellytykset erityisesti ottaa käyttöön kohdennettuja hallinnointitoimintoja TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa sovittujen järjestelyjen valvomista varten tai kriisinhallinnan hoitamiseksi, järjestää TVT-riskinhallintansa kolmen puolustuslinjan mallin mukaisesti tai hyväksyä henkilöresursseja koskeva asiakirja, jossa selitetään kattavasti pääsyoikeuksia koskevat toimintaperiaatteet.

Vastaavasti ainoastaan tällaisia finanssiyhteisöjä olisi kehotettava tekemään perusteellisia arviointeja verkko- ja tietojärjestelmäinfrastruktuuriin ja -prosesseihin tehtävien merkittävien muutosten jälkeen, tekemään säännöllisesti vanhoja TVT-järjestelmiä koskevia riskianalyysejä tai laajentamaan liiketoimintajatkuvuuden sekä reagointi- ja palautumissuunnitelmien testausta, jotta voidaan kattaa skenaariot, jotka koskevat vaihtoa ensisijaisen TVT-infrastruktuurin ja -varakapasiteetin välillä.

(35)Lisäksi koska ainoastaan digitaalisen häiriönsietokyvyn kehittyneen testauksen kannalta merkittäviksi määritetyiltä finanssiyhteisöiltä olisi vaadittava uhkaperusteisia tunkeutumistestejä, näiden testien suorittamiseen liittyvät hallinnolliset prosessit ja kustannukset olisi siirrettävä finanssiyhteisöjen pienelle prosenttiosuudelle. Sääntelytaakan keventämiseksi ainoastaan muita kuin mikroyrityksiä olevia finanssiyhteisöjä olisi pyydettävä ilmoittamaan toimivaltaisille yrityksille kaikki TVT-häiriöistä aiheutuneet kustannukset ja tappiot sekä merkittävien TVT-häiriöiden jälkitarkastelujen tulokset.

(36)Jotta voidaan varmistaa finanssiyhteisöjen liiketoimintastrategioiden yhdenmukaisuus kaikilta osin ja yleinen johdonmukaisuus sekä TVT-riskinhallinnan toteuttaminen, hallintoelimeltä olisi edellytettävä, että se säilyttää keskeisen ja aktiivisen roolin TVT-riskinhallintajärjestelmän ja digitaalisen häiriönsietokyvyn yleisen strategian ohjaamisessa ja mukauttamisessa. Hallintoelimen lähestymistavassa ei pitäisi keskittyä ainoastaan TVT-järjestelmien häiriönsietokyvyn varmistamiskeinoihin vaan niiden olisi katettava myös ihmiset ja prosessit sellaisten toimintaperiaatteiden kautta, joilla edistetään kaikilla yrityksen tasoilla ja koko henkilöstön osalta, vahvaa tiedostamista kyberriskeistä ja sitoutumista tiukkaan kyberhygieniaan kaikilla tasoilla.

Hallintoelimen lopullisena vastuuna finanssiyhteisön TVT-riskien hallinnassa olisi oltava tämän kokonaisvaltaisen lähestymistavan yleisperiaate, joka näkyisi hallintoelimen jatkuvana sitoutumisena TVT-riskinhallinnan valvontaan.

(37)Lisäksi ylimmän hallintoelimen täysi vastuuvelvollisuus on sidoksissa finanssiyhteisön TVT-investointien tietyn tason ja yleisen kokonaisbudjetin varmistamiseen, jotta finanssiyhteisö voi saavuttaa digitaalisen häiriönsietokykynsä perustason.

(38)Kyberriskien hallintaa koskeviin kansainvälisiin, kansallisiin ja toimialan asettamiin velvoitteisiin, suuntaviivoihin, suosituksiin tai lähestymistapoihin perustuen 37 , tällä asetuksella edistetään toimintoja, joilla helpotetaan TVT-riskinhallinnan kokonaisrakennetta. Niin kauan kuin finanssiyhteisöjen käyttöönottamilla keskeisillä valmiuksilla vastataan tarpeisiin, jotka liittyvät tämän asetuksen mukaisille toiminnoille (tunnistus, suojelu ja ennaltaehkäisy, havaitseminen, reagointi ja toipuminen, oppiminen ja kehitys sekä viestintä) asetettuihin tavoitteisiin, finanssiyhteisöt saavat vapaasti käyttää TVT-riskinhallintamalleja, jotka on määritelty tai luokiteltu eri tavoin.

(39)Jotta voidaan pysyä nopeasti muuttuvan kyberuhkaympäristön kehityksen tahdissa, finanssiyhteisöjen olisi ylläpidettävä ajantasaisia TVT-järjestelmiä, jotka ovat luotettavia ja joilla on riittävä kyky paitsi taata niiden palvelujen suorittamiseen tarvittavien tietojen käsittely myös varmistaa, että ne ovat teknisesti kestäviä selviytyäkseen asianmukaisesti tavallista suuremman tietomäärän käsittelystä, silloin kun se on tarpeen stressikausien markkinaolosuhteissa tai muissa vaikeissa tilanteissa. Koska tähän asetukseen ei sisälly tiettyjen TVT-järjestelmien, -työkalujen tai -teknologian standardointia, se perustuu siihen, että finanssiyhteisöt käyttävät sopivia eurooppalaisia ja kansainvälisesti tunnustettuja teknisiä standardeja (esim. ISO-standardeja) tai toimialan parhaita käytäntöjä siltä osin kuin tällainen käyttö on täysin kansainvälisten standardien käyttöä ja sisällyttämistä koskevien kansainvälisten valvontaohjeiden mukaista.

(40)Tehokkaita liiketoiminnan jatkuvuus- ja palautumissuunnitelmia tarvitaan, jotta finanssiyhteisöt voivat nopeasti ratkaista TVT:hen liittyvät poikkeamat, erityisesti kyberhyökkäykset, rajoittamalla vahinkoja ja antamalla etusijan toiminnan jatkamiselle ja palautustoimille. Vaikka varmuuskopiointijärjestelmien olisi aloitettava käsittely ilman aiheetonta viivytystä, tällaisen aloittamisen ei pitäisi millään tavalla vaarantaa verkko- ja tietojärjestelmien turvallisuutta tai eheyttä taikka datan luottamuksellisuutta.

(41)Vaikka tässä asetuksessa sallitaan se, että finanssiyhteisöt määrittävät toipumisaikaa koskevat tavoitteet joustavasti ja voivat näin ollen asettaa tällaiset tavoitteet ottamalla täysin huomioon asianomaisen toiminnan luonteen ja kriittisyyden sekä liiketoiminnan mahdolliset erityistarpeet, olisi tällaisia tavoitteita määritettäessä vaadittava myös arviota mahdollisesta kokonaisvaikutuksesta markkinoiden tehokkuuteen.

(42)Kyberhyökkäysten merkittävät seuraukset voimistuvat, kun ne kohdistuvat finanssialaan: finanssiala on suuremmassa vaarassa joutua sellaisten tahallisten kyberhyökkäysten levittäjien kohteeksi, jotka tavoittelevat taloudellista hyötyä suoraan lähteestä. Tällaisten riskien hillitsemiseksi ja sen estämiseksi, että TVT-järjestelmät menettävät eheytensä tai poistuvat käytöstä ja luotettavat tiedot joutuvat loukkausten kohteeksi tai fyysinen TVT-infrastruktuuri kärsii vahinkoa, finanssiyhteisöjen laajavaikutteisia TVT:hen liittyvien poikkeamien raportointia olisi parannettava huomattavasti.

TVT:hen liittyvien poikkeamien raportointi olisi yhdenmukaistettava kaikkien finanssiyhteisöjen osalta vaatimalla niitä raportoimaan ainoastaan toimivaltaisille viranomaisilleen. Vaikka tällaista raportointivelvoitetta sovellettaisiin kaikkiin finanssiyhteisöihin, sen ei pitäisi vaikuttaa kaikkiin niihin samalla tavalla, sillä keskeiset olennaisuusrajat ja aikataulut olisi mitoitettava siten, että ne kattaisivat ainoastaan laajavaikutteiset TVT:hen liittyvät poikkeamat. Suora raportointi antaisi finanssivalvojille pääsyn TVT:hen liittyviä poikkeamia koskeviin tietoihin. Finanssivalvojien olisi kuitenkin välitettävä nämä tiedot muille kuin finanssialan viranomaisille (verkko- ja tietoturva-alan viranomaisille, kansallisille tietosuojaviranomaisille sekä lainvalvontaviranomaisille rikosoikeudellisten häiriötilanteiden osalta). TVT:n liittyviä poikkeamia koskevia tietoja olisi ohjattava eteenpäin vastavuoroisesti: finanssivalvojien olisi annettava kaikki tarvittavat huomiot ja ohjeet finanssiyhteisölle ja samalla Euroopan valvontaviranomaisten olisi jaettava nimettömiksi tehtyjä tietoja tapahtumaan liittyvistä uhkista ja haavoittuvuuksista laajemman kollektiivisen puolustuksen edistämiseksi.

(43)Olisi pohdittava tarkemmin TVT:hen liittyviä poikkeamia koskevien raporttien mahdollista keskittämistä yhden EU:n keskuksen avulla, joka joko vastaanottaisi asiaankuuluvat raportit suoraan ja ilmoittaisi niistä automaattisesti kansallisille toimivaltaisille tai pelkästään keskittäisi kansallisten toimivaltaisten viranomaisten välittämät raportit ja suorittaisi koordinointitehtävää. Euroopan valvontaviranomaisia olisi pyydettävä laatimaan EKP:tä ja ENISAa kuullen tiettyyn päivämäärään mennessä yhteinen kertomus, jossa tarkasteltaisiin tällaisen EU:n keskuksen käyttöönoton toteutettavuutta.

(44)Vankan digitaalisen häiriönsietokyvyn saavuttamiseksi, kansainvälisiä standardeja noudattaen (esim. G7-työryhmän uhkaperusteisen tunkeutumistestauksen peruselementit) finanssiyhteisöjen olisi säännöllisesti testattava TVT-järjestelmiään ja -henkilöstöään ennaltaehkäisy-, havaitsemis-, reagointi- ja toipumisvalmiuksien tehokkuuden osalta, jotta mahdolliset TVT-haavoittuvuudet voitaisiin paljastaa ja niihin voitaisiin reagoida. Jotta voidaan puuttua finanssialan alasektoreiden keskinäisiin ja sisäisiin eroihin finanssiyhteisöjen kyberturvallisuutta koskevan varautumisen osalta, testaukseen olisi sisällytettävä monia erilaisia välineitä ja toimia, jotka ulottuvat perusvaatimusten arvioinnista (esim. haavoittuvuusarvioinnit ja -luotaukset, avoimen lähdekoodin analyysit, verkkoturvallisuusarvioinnit, puuteanalyysit, fyysisen turvallisuuden tarkistukset, kyselyt, luotaukseen liittyvät ohjelmistoratkaisut, lähdekooditarkistukset, mahdollisuuksien mukaan, skenaarioihin perustuvat testit, vastaavuustestaus, suorituskykytestaus tai päästä päähän -testaus) kehittyneempään testaukseen (esim. uhkaperusteinen tunkeutumistestaus niiden finanssiyhteisöjen osalta, jotka ovat TVT-näkökulmasta riittävän kypsiä tällaisten testien tekemiseen). Digitaalisen häiriönsietokyvyn testauksen olisi näin ollen oltava vaativampaa merkittävien finanssiyhteisöjen (kuten suurten luottolaitosten, arvopaperipörssien, arvopaperikeskusten, keskusvastapuolten jne.) osalta. Samalla digitaalisen häiriönsietokyvyn testauksen olisi myös oltava olennaisempaa tietyillä järjestelmän kannalta keskeisillä alasektoreilla (esim. maksut, pankkikysymykset, selvitykset ja toimitukset) ja vähemmän olennaista muilla alasektoreilla (esim. varainhoitajat, luottoluokituslaitokset jne.). Sijoittautumisvapauttaan tai palvelujen tarjoamisen vapauttaan unionissa harjoittavien rajatylittävien finanssiyhteisöjen olisi noudatettava yhtenäisiä kehittyneeseen testaukseen (esim. uhkaperusteinen tunkeutumistestaus) liittyviä vaatimuksia kotijäsenvaltiossaan, ja kyseiseen testiin olisi sisällytettävä TVT-infrastruktuurit kaikilla lainkäyttöalueilla, joilla rajatylittävä konserni toimii unionissa, mikä mahdollistaisi sen, että rajatylittäville konserneille aiheutuisi testauskustannuksia vain yhdellä lainkäyttöalueella.

(45)Kolmansiin osapuoliin liittyvän TVT-riskin asianmukaisen seurannan varmistamiseksi on vahvistettava periaatteisiin perustuvat säännöt ohjaamaan finanssiyhteisöjä sellaisten riskien seurannassa, joita aiheutuu TVT-palveluntarjoajana oleville kolmansille osapuolille ulkoistettujen toimintojen yhteydessä ja yleisemmin, kun kyse on TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvästä riippuvuudesta.

(46)Finanssiyhteisön olisi kaikissa tilanteissa oltava täysin vastuussa tämän asetuksen velvoitteiden noudattamisesta. TVT-palveluntarjoajana olevien kolmansien osapuolten tasolla olisi järjestettävä oikeasuhteinen riskin esiintymiseen liittyvä seuranta ottamalla asianmukaisesti huomioon TVT-riippuvuuksien laajuus, monitahoisuus ja merkitys sekä sopimusjärjestelyjen kohteena olevien palvelujen ja prosessien tai toimintojen kriittisyys tai merkitys ja perustamalla ne huolelliseen arviointiin siitä, millaisia mahdollisia vaikutuksia niillä voi olla finanssipalvelujen jatkuvuuteen ja laatuun yksittäisellä ja tarpeen mukaan ryhmätasolla.

(47)Tällaisen seurannan toteuttamisessa olisi noudatettava strategista lähestymistapaa, jossa otetaan huomioon kolmansiin osapuoliin liittyvä TVT-riski. Finanssiyhteisön hallintoelimen olisi virallistettava lähestymistapa kohdennetulla strategialla, joka perustuu kaikkien tällaisten TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riippuvuuksien jatkuvaan tarkasteluun. Jotta voidaan lisätä tietämystä TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riippuvuuksien valvonnasta ja tukea edelleen tällä asetuksella käyttöön otettua valvontakehystä, finanssivalvojien olisi saatava säännöllisesti tietoja rekistereistä ja voitava pyytää niistä otteita tapauskohtaisesti.

(48)Sopimusjärjestelyjen olisi perustuttava perusteelliseen etukäteen tehtävään analyysiin ja sopimusten päättämisen olisi perustuttava vähintään useampiin tilanteisiin, joissa ilmenee TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyviä puutteita.

(49)Jotta voidaan puuttua keskittymäriskiin, joka liittyy TVT-palveluntarjoajana oleviin kolmansiin osapuoliin, olisi edistettävä tasapainoista ratkaisua joustavan ja vaiheittaisen lähestymistavan avulla, sillä joustamattomat ylärajat tai tiukat rajoitukset voivat haitata liiketoiminnan harjoittamista ja sopimusvapautta. Finanssiyhteisöjen olisi arvioitava perusteellisesti sopimusjärjestelyjä, jotta voitaisiin tunnistaa tällaisen riskin aiheutumisen todennäköisyys, muun muassa analysoimalla perusteellisesti alihankintajärjestelyjä etenkin silloin, kun järjestelyjä tehdään kolmanteen maahan sijoittautuneiden TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa. Tässä vaiheessa ja oikean tasapainon löytämiseksi sopimusvapauden säilyttämisen ja rahoitusvakauden takaamisen välillä ei pidetä tarkoituksenmukaisena asettaa tiukkoja ylärajoja ja rajoja TVT-palveluntarjoajana olevien kolmansien osapuolten käytölle. Kunkin kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen valvontaa varten nimetyn Euroopan valvontaviranomaisen, jäljempänä ’päävalvojan’, olisi valvontatehtäviä suorittaessaan paneuduttava tehtävään erityisellä huolella voidakseen saada kattavan kuvan riippuvuussuhteiden laajuudesta ja löytää erityisiä tapauksia, joissa kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten keskittymä on suurta unionissa ja todennäköisesti asettaa paineita unionin finanssijärjestelmän vakaudelle ja eheydelle, ja käydä vuoropuhelua kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa, kun tällainen riski havaitaan. 38  

(50)Jotta voidaan arvioida ja seurata säännöllisesti TVT-palveluntarjoajana olevan kolmannen osapuolen kykyä tarjota palveluja turvallisesti finanssiyhteisölle ilman, että siitä aiheutuu kielteisiä vaikutuksia yhteisön häiriönsietokyvylle, kaikkien TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtävien sopimusten täyttämiseen olisi sisällytettävä keskeisiä sopimukseen liittyviä osatekijöitä, joita olisi sovellettava sopimuksen voimassaolon alusta loppuun. Nämä osatekijät kattavat ainoastaan sopimukseen liittyviä vähimmäisnäkökohdat, joita pidetään ratkaisevan tärkeinä sen kannalta, että finanssiyhteisö voi seurata tilannetta kaikilta osin ja varmistaa TVT-palvelujen vakaudesta ja turvallisuudesta riippuvan digitaalisen häiriönsietokykynsä.

(51)Sopimusjärjestelyissä olisi erityisesti eriteltävä toimintojen ja palvelujen kattavat kuvaukset, missä tällaisia toimintoja tarjotaan ja missä dataa käsitellään, sekä annettava palvelutason täydet kuvaukset ja niihin liittyvät määrälliset ja laadulliset suorituskykytavoitteet sovittujen palvelutasojen puitteissa, jotta finanssiyhteisö voi seurata tilannetta tehokkaasti. Samaan tapaan henkilötietojen saatavuutta, käytettävyyttä, eheyttä, turvallisuutta ja suojaa koskevia säännöksiä sekä takauksia tietoihin pääsystä, niiden pelastamisesta ja palauttamisesta siinä tapauksessa, että TVT-palveluntarjoajana oleva kolmas osapuoli on maksukyvytön tai kriisinratkaisun kohteena tai lopettaa liiketoiminnan, olisi pidettävä olennaisina osatekijöinä finanssiyhteisön kyvylle varmistaa kolmansiin osapuoliin liittyvän riskin seuranta.

(52)Jotta voidaan varmistaa, että finanssiyhteisöt pysyvät edelleen hallitsemaan kaikkia tilanteita, jotka saattavat heikentää niiden TVT-turvallisuutta, TVT-palveluntarjoajana olevien kolmansien osapuolten ilmoitusajat ja raportointivelvoitteet olisi määritettävä siinä tapauksessa, että tilanne vaikuttaa olennaisesti TVT-palveluntarjoajana olevan kolmannen osapuolen kykyyn suorittaa tehokkaasti kriittisiä tai tärkeitä toimintoja, mukaan lukien viimeksi mainitun tarjoama apu mahdollisessa TVT:hen liittyvässä poikkeamassa ilman lisäkustannuksia tai ennalta määritetyin kustannuksin.

(53)Finanssiyhteisön tai nimetyn kolmannen osapuolen pääsy-, tarkastus- ja auditointioikeudet ovat ratkaisevan tärkeitä välineitä käynnissä olevassa seurannassa, jota finanssiyhteisöt kohdistavat TVT-palveluntarjoajana olevan kolmannen osapuolen toimintaan, samoin kuin viimeksi mainitun täysi yhteistyö tarkastusten aikana. Myös finanssiyhteisön toimivaltaisella viranomaisella olisi oltava samat oikeudet tehdä TVT-palveluntarjoajana olevaan kolmanteen osapuoleen kohdistuvia tarkastuksia ja auditointeja, joista on ilmoitettu ennalta, salassapitovelvollisuutta noudattaen.

(54)Sopimusjärjestelyissä olisi määrättävä selkeistä irtisanomisoikeuksista ja niihin liittyvistä vähimmäisilmoituksista sekä erityisistä irtautumisstrategioista, jotka mahdollistavat erityisesti pakolliset siirtymäkaudet, joiden aikana TVT-palveluntarjoajana olevien kolmansien osapuolten olisi huolehdittava edelleen asiaankuuluvien toimintojen tarjoamisesta, jotta voidaan vähentää häiriöiden riskiä finanssiyhteisön tasolla tai antaa viimeksi mainituille mahdollisuus vaihtaa tehokkaasti toisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin tai vaihtoehtoisesti turvautua paikallisiin ratkaisuihin, jotka vastaavat tarjotun palvelun monitahoisuutta.

(55)Lisäksi komission pilvipalveluja varten laatimien mallisopimuslausekkeiden vapaaehtoinen käyttö voi antaa lisävarmuutta finanssiyhteisöille ja niiden TVT-palveluntarjoajana oleville kolmansille osapuolille lisäämällä finanssialan käyttämiin pilvipalveluihin liittyvän oikeusvarmuuden tasoa noudattaen kaikilta osin rahoituspalveluasetuksen vaatimuksia ja odotuksia. Tämä työ perustuu toimenpiteisiin, joita suunniteltiin jo vuoden 2018 FinTech-toimintasuunnitelmassa, jossa ilmoitettiin komission aikomuksesta edistää ja helpottaa sellaisten mallisopimuslausekkeiden laatimista, joita finanssiyhteisöt voivat käyttää pilvipalveluja koskevissa ulkoistuksissa, hyödyntäen monialaisia pilvipalvelujen sidosryhmien toimia, joita komissio on helpottanut rahoitusalan avustuksella.

(56)Jotta voidaan edistää niiden lähestymistapojen lähentymistä ja tehokkuutta, joita sovelletaan kolmansiin osapuoliin liittyvään TVT-riskiin finanssialalla, vahvistaa niiden finanssiyhteisöjen digitaalista häiriönsietokykyä, jotka ovat operatiivisten toimintojen suorittamisen osalta riippuvaisia kriittisistä TVT-palveluntarjoajana olevista kolmansista osapuolista ja näin edistää unionin finanssijärjestelmän vakauden sekä finanssipalvelujen sisämarkkinoiden eheyden säilyttämistä, kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin olisi sovellettava unionin valvontakehystä.

(57)Koska ainoastaan kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet edellyttävät erityiskohtelua, olisi otettava käyttöön nimeämismekanismi unionin valvontakehyksen soveltamista varten, jotta voidaan ottaa huomioon finanssialan riippuvuus tällaisista TVT-palveluntarjoajana olevista kolmansista osapuolista, mikä käytännössä merkitsisi määrällisiä ja laadullisia kriteerejä, joissa kriittisyysparametrit olisivat perustana valvonnan piiriin sisällyttämiselle. Kriittisillä TVT-palveluntarjoajana olevilla kolmansilla osapuolilla, joita ei ole automaattisesti nimetty edellä mainittujen kriteerien perusteella, olisi oltava mahdollisuus osallistua vapaaehtoisesti valvontakehykseen ja samalla ne TVT-palveluntarjoajana olevat kolmannet osapuolet, jotka ovat jo eurojärjestelmän tasolla perustettujen valvontamekanismien piirissä Euroopan unionin toiminnasta tehdyn sopimuksen 127 artiklan 2 kohdassa tarkoitettujen tehtävien tukemiseksi, olisi vapautettava tästä.

(58)Vaatimus kriittisiksi määritettyjen TVT-palveluntarjoajana olevien kolmansien osapuolten sisällyttämisestä unioniin ei ulotu datan säilyttämiseen, sillä tähän asetukseen ei sisälly unionissa toteutettavia datan tallentamista tai toimittamista koskevia lisävaatimuksia.

(59)Tämä kehys ei saisi rajoittaa jäsenvaltioiden toimivaltaa toteuttaa omia valvontaoperaatioita sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolen osalta, jotka eivät ole kriittisiä tämän asetuksen nojalla mutta jotka voitaisiin katsoa tärkeiksi kansallisella tasolla.

(60)Jotta finanssipalvelualan nykyistä monitasoista rakennetta voitaisiin parantaa, Euroopan valvontaviranomaisten yhteiskomitean olisi edelleen varmistettava yleinen monialainen koordinointi TVT-riskiin liittyvissä asioissa kyberturvallisuuteen liittyvien tehtäviensä mukaisesti käyttäen apunaan uutta alakomiteaa (valvontafoorumi), jonka tehtävänä on valmistella yksittäisiä päätöksiä ja yhteisiä suosituksia, jotka koskevat erityisesti kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten valvontaohjelmien vertailua sekä TVT-keskittymäriskiin liittyvien ongelmien ratkaisemiseen käytettyjen parhaiden käytäntöjen määrittämistä.

(61)Jotta voidaan varmistaa, että finanssialan toiminnan kannalta kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia voidaan valvoa samassa suhteessa unionin tasolla, Euroopan valvontaviranimaisten keskuudesta olisi nimettävä kutakin kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta varten yksi päävalvoja.

(62)Päävalvojilla olisi oltava tarvittavat valtuudet tehdä tutkimuksia kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten toimitiloissa ja niiden ulkopuolella, päästä kaikkiin asiaankuuluviin tiloihin ja paikkoihin ja saada kattavat ja ajantasaiset tiedot, jotta ne voisivat saada todellisen käsityksen finanssiyhteisöön ja viime kädessä unionin finanssijärjestelmään kohdistuvan kolmanteen osapuoleen liittyvän TVT-riskin tyypistä, ulottuvuudesta ja vaikutuksista.

Toimivaltuuksien antaminen Euroopan valvontaviranomaisille on ennakkoedellytys sille, että finanssialaan kohdistuvasta riskistä voidaan saada kokonaisvaltainen käsitys ja puuttua sen järjestelmää koskevaan ulottuvuuteen. TVT-palveluntarjoajana olevien kolmansien osapuolten asema unionissa ja siihen liittyvät mahdolliset TVT-keskittymäriskiä koskevat ongelmat edellyttävät unionin tasolla sovellettavaa yhteistä lähestymistapaa. Kolmansiin osapuoliin liittyvästä TVT-riskistä ei saada kattavaa yleiskuvaa, jos lukuisat toimivaltaiset viranomaiset tekevät auditointeja, pääsyoikeudet ovat useilla ja toimintaa koordinoidaan vain vähän tai ei ollenkaan. Samalla näin moneen vaatimukseen vastaaminen luo kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tasolla tarpeetonta päällekkäisyyttä, rasitetta ja monimutkaisuutta.

(63)Lisäksi päävalvojien olisi voitava antaa suosituksia TVT-riskiin liittyvistä kysymyksistä ja sopivista korjaustoimenpiteistä ja vastustaa tiettyjä sopimusjärjestelyjä, jotka viime kädessä vaikuttavat finanssiyhteisön tai -järjestelmän vakauteen. Kansallisten toimivaltaisten viranomaisten olisi otettava päävalvojien antamien sisältöä koskevien suositusten noudattaminen asianmukaisesti huomioon osana niiden tehtävää valvoa finanssiyhteisöjen toiminnan vakautta.

(64)Valvontakehys ei saa millään tavoin tai miltään osin korvata sitä, että finanssiyhteisöjen on hallittava riskiä, joka liittyy TVT-palveluntarjoajana oleviin kolmansien osapuolten käyttöön, mukaan lukien velvoite seurata jatkuvasti kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyjä sopimusjärjestelyjä. Se ei saa myöskään vaikuttaa siihen, että finanssiyhteisöillä on täysi vastuu noudattaa kaikkia tämän asetuksen ja asiaankuuluvan finanssipalvelulainsäädännön mukaisia vaatimuksia. Päällekkäisyyksien välttämiseksi toimivaltaisten viranomaisten olisi pidättäydyttävä toteuttamasta erikseen toimenpiteitä, joiden tavoitteena on kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riskien seuranta. Kaikki tällaiset toimenpiteet olisi ensin koordinoitava ja niistä olisi sovittava valvontakehyksen puitteissa.

(65)Jotta voidaan edistää TVT-palveluntarjoajana olevien kolmansien osapuolten digitaalisen riskinhallinnan uudelleentarkastelussa käytettävien parhaiden käytänteiden lähentymistä kansainvälisellä tasolla, Euroopan valvontaviranomaisia olisi kannustettava tekemään yhteistyöjärjestelyjä asiaankuuluvien kolmansien maiden toimivaltaisten valvonta- ja sääntelyviranomaisten kanssa, jotta voidaan helpottaa kolmansiin osapuoliin liittyvän TVT-riskin torjumiseen tarvittavia parhaita käytänteitä.

(66)Toimivaltaisten viranomaisten TVT-riskinhallinnan asiantuntijoiden teknisen asiantuntemuksen hyödyntämiseksi mahdollisimman tehokkaasti päävalvojien olisi hyödynnettävä kansallista valvontakokemusta ja perustettava erikoistuneita tutkintaryhmiä kutakin yksittäistä kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta varten ja yhdistettävä monialaisia ryhmiä, jotka tukevat valvontatoimien valmistelua ja varsinaista toteuttamista, mukaan lukien paikalla tehtävät kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin kohdistuvat tarkastukset, ja huolehtivat tarvittaessa niihin liittyvistä jatkotoimista.

(67)Toimivaltaisilla viranomaisilla olisi oltava kaikki tarvittavat valvonta-, tutkinta- ja seuraamusvaltuudet tämän asetuksen soveltamisen varmistamiseksi. Hallinnolliset seuraamukset olisi lähtökohtaisesti julkistettava. Koska finanssiyhteisöt ja TVT-palveluntarjoajana olevat kolmannet osapuolet voivat olla sijoittautuneet eri jäsenvaltioihin ja niitä valvovat toimivaltaiset viranomaiset voivat olla eri sektoreilta, tiivis yhteistyö asianomaisten toimivaltaisten viranomaisten välillä neuvoston asetuksessa (EU) N:o 1024/2013 39 annettujen erityistehtävien osalta, ja Euroopan valvontaviranomaisia kuullen, olisi varmistettava keskinäisellä tietojenvaihdolla ja avun antamisella valvontatehtävien yhteydessä.

(68)Jotta voitaisiin edelleen määrittää nimeämiskriteerien määrä ja laatu TVT-palveluntarjoajana olevia kolmansia osapuolia varten, komissiolle olisi siirrettävä valta hyväksyä Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, joilla täsmennetään edelleen järjestelmävaikutuksia, joita voisi aiheutua finanssiyhteisöille, jos niitä palveleva TVT-palveluntarjoajana oleva kolmas osapuoli epäonnistuisi palvelujensa tarjoamisessa, niiden maailmanlaajuisten järjestelmän kannalta merkittävien laitosten (G-SII) tai muiden järjestelmän kannalta merkittävien laitosten (O-SIIs) määrät, jotka ovat riippuvaisia TVT-palveluntarjoajana olevasta kolmannesta osapuolesta, tietyillä markkinoilla toimivien TVT-palveluntarjoajana olevien kolmansien osapuolten määrä, siirtymisestä toiseen TVT-palveluntarjoajana olevaan kolmanteen osapuoleen aiheutuvat kustannukset, niiden jäsenvaltioiden määrä, joissa asianomainen TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa palveluita, ja missä finanssiyhteisöissä asianomainen TVT-palveluntarjoajana oleva kolmas osapuoli toimii, sekä valvontamaksujen määrä ja missä muodossa ne on maksettava.

On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa vahvistettujen periaatteiden 40 mukaisesti. Delegoitujen säädösten valmistelussa Euroopan parlamentille ja neuvostolle toimitetaan yhdenvertaisen osallistumisen varmistamiseksi kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, joilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, jotka koskevat delegoitujen säädösten valmistelua.

(69)Tämä asetus sekä Euroopan parlamentin ja neuvoston direktiivi (EU) 20xx/xx 41 edellyttävät TVT-riskinhallintaa koskevien säännösten konsolidointia. Näitä säännöksiä sisältyy lukuisiin finanssipalveluja koskevan unionin säännöstön asetuksiin ja direktiiveihin, muun muassa asetuksiin (EY) N:o 1060/2009, (EU) N:o 648/2012 (EU) N:o 600/2014 ja (EU) N:o 909/2014. Jotta voidaan varmistaa yhdenmukaisuus kaikilta osin, kyseisiä asetuksia olisi muutettava sen selventämiseksi, että asiaankuuluvat TVT-riskiin liittyvät säännökset vahvistetaan tässä asetuksessa.

Teknisillä standardeilla olisi varmistettava tässä asetuksessa säädettyjen vaatimusten johdonmukainen yhdenmukaistaminen. Koska Euroopan valvontaviranomaiset ovat elimiä, joilla on pitkälle menevää erityisasiantuntemusta, niille olisi annettava tehtäväksi laatia ja toimittaa komissiolle luonnoksia teknisiksi sääntelystandardeiksi, joihin ei liity toimintapoliittisia valintoja. Teknisiä sääntelystandardeja olisi laadittava TVT-riskinhallinnan, -raportoinnin, -testauksen ja keskeisten vaatimusten osa-alueilla kolmansiin osapuoliin liittyvän TVT-riskin asianmukaista seurantaa varten.

(70)On erityisen tärkeää, että komissio toteuttaa asiaa valmistellessaan asianmukaiset kuulemiset, myös asiantuntijatasolla. Komission ja Euroopan valvontaviranomaisten olisi varmistettava, että kaikki finanssiyhteisöt voivat soveltaa näitä standardeja ja vaatimuksia oikeassa suhteessa yhteisöjen toiminnan luonteeseen, laajuuteen ja monitahoisuuteen nähden.

(71)Jotta voidaan helpottaa laajavaikutteisiin TVT:hen liittyvien poikkeamien raportointia ja varmistaa TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä koskevien sopimusjärjestelyjen avoimuus, Euroopan valvontaviranomaisille olisi annettava tehtäväksi laatia luonnoksia teknisiksi täytäntöönpanostandardeiksi, joissa vahvistetaan finanssiyhteisöjä varten vakiomuotoiset mallit, lomakkeet ja menettelyt, joilla ne voivat ilmoittaa laajavaikutteisista TVT:hen liittyvistä poikkeamista, sekä vakiomuotoiset mallit tietorekisteriä varten. Laatiessaan näitä standardeja Euroopan valvontaviranomaisten olisi otettava huomioon finanssiyhteisöjen koko ja monitahoisuus sekä niiden toiminnan luonne ja siihen liittyvän riskin taso. Komissiolle olisi siirrettävä valta hyväksyä nämä tekniset täytäntöönpanostandardit Euroopan unionin toiminnasta tehdyn sopimuksen 291 artiklan mukaisilla täytäntöönpanosäädöksillä ja asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 15 artiklan mukaisesti. Koska lisävaatimuksia on jo täsmennetty asetuksiin (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) N:o 909/2014 sisältyviin teknisiin sääntely- ja täytäntöönpanostandardeihin perustuvilla delegoiduilla säädöksillä ja täytäntöönpanosäädöksillä, on asianmukaista antaa Euroopan valvontaviranomaisten tehtäväksi, joko yksittäin tai yhteiskomitean välityksellä, toimittaa komissiolle teknisiä sääntely- ja täytäntöönpanostandardeja sellaisten delegoitujen ja täytäntöönpanosäädösten hyväksymiseksi, joilla siirretään voimassa olevia TVT-riskinhallintasääntöjä ja päivitetään niitä.

(72)Tämä edellyttää, että finanssipalvelulainsäädännön eri osa-alueilla hyväksyttyjä voimassa olevia delegoituja ja täytäntöönpanosäädöksiä on muutettava tulevaisuudessa. Operatiivista riskiä koskevia artikloja, joiden nojalla näissä säädöksissä on annettu valtuudet antaa delegoituja ja täytäntöönpanosäädöksiä, olisi muutettava, jotta tähän asetukseen voitaisiin siirtää kaikki digitaalista häiriösietokykyä koskevat säännökset, jotka nykyisellään ovat osa kyseisiä asetuksia.

(73)Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän asetuksen tavoitteitta eli saavuttaa kaikkiin finanssiyhteisöihin sovellettavan digitaalisen häiriönsietokyvyn korkeaa tasoa, koska se edellyttäisi joko joihinkin unionin säädöksiin tai eri jäsenvaltioiden oikeusjärjestyksiin nykyisellään sisältyvien lukuisten erilaisten sääntöjen yhdenmukaistamista. Se voidaan toiminnan laajuuden ja vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Kyseisessä artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen näiden tavoitteiden saavuttamiseksi.

OVAT HYVÄKSYNEET TÄMÄN ASETUKSEN:

I luku

Yleiset säännökset

1 artikla

Kohde

1.Tällä asetuksella vahvistetaan seuraavat yhdenmukaiset vaatimukset, jotka koskevat finanssiyhteisöjen liiketoimintaprosesseja tukevien verkko- ja tietojärjestelmien turvallisuutta ja jotka ovat tarpeen, jotta voidaan saavuttaa yhteinen korkeatasoinen digitaalinen häiriönsietokyky seuraavasti:

(a)vaatimukset, joita sovelletaan finanssiyhteisöihin seuraavien seikkojen osalta:

–tieto- ja viestintätekniikan, jäljempänä ’TVT’, riskinhallinta;

–laajavaikutteisista TVT:hen liittyvistä poikkeamista raportoiminen toimivaltaisille viranomaisille;

–digitaalisen häiriönsietokyvyn testaus;

–kyberuhkia ja haavoittuvuuksia koskevien tietojen ja tiedustelutietojen jakaminen;

–toimenpiteet, joilla varmistetaan kolmansiin osapuoliin liittyvän TVT-riskin moitteeton hallinta finanssiyhteisöissä;

(b)vaatimukset, jotka koskevat TVT-palveluntarjoajana olevien kolmansien osapuolten ja finanssiyhteisöjen välillä tehtyjä sopimusjärjestelyjä;

(c)valvontakehys, jota sovelletaan kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin niiden tarjotessa palveluja finanssiyhteisöille;

(d)säännöt, jotka koskevat yhteistyötä toimivaltaisten viranomaisten kesken, ja säännöt, jotka koskevat toimivaltaisten viranomaisten suorittamaa valvontaa ja täytäntöönpanoa kaikkien tämän asetuksen soveltamisalaan kuuluvien seikkojen osalta.

2.Niiden finanssiyhteisöjen osalta, jotka määritellään direktiivin (EU) 2016/1148 5 artiklan kansallisissa täytäntöönpanosäännöksissä keskeisten palvelujen tarjoajiksi, tätä asetusta pidetään alakohtaisena unionin säädöksenä mainitun direktiivin 1 artiklan 7 artiklan soveltamista varten.

2 artikla

Henkilöllinen soveltamisala

1.Tätä asetusta sovelletaan seuraaviin yhteisöihin:

(a)luottolaitokset

(b)maksulaitokset

(c)sähköisen rahan liikkeeseenlaskijalaitokset

(d)sijoituspalveluyritykset

(e)kryptovarapalvelujen tarjoajat, kryptovarojen liikkeeseenlaskijat, referenssivaratokenien liikkeeseenlaskijat ja merkittävien referenssivaratokenien liikkeeseenlaskijat

(f)arvopaperikeskukset

(g)keskusvastapuolet

(h)kauppapaikat

(i)kauppatietorekisterit

(j)vaihtoehtoisten sijoitusrahastojen hoitajat

(k)rahastoyhtiöt

(l)raportointipalvelujen tarjoajat

(m)vakuutus- ja jälleenvakuutusyritykset

(n)vakuutus- ja jälleenvakuutusedustajat sekä sivutoimiset vakuutusedustajat

(o)ammatillisia lisäeläkkeitä tarjoavat laitokset

(p)luottoluokituslaitokset

(q)tilintarkastajat ja tilintarkastusyhteisöt

(r)kriittisten vertailuarvojen hallinnoijat

(s)joukkorahoituspalvelun tarjoajat

(t)arvopaperistamisrekisterit

(u)TVT-palveluntarjoajana olevat kolmannet osapuolet.

2.Edellä a–t alakohdassa tarkoitetuista yhteisöistä käytetään tätä asetusta sovellettaessa yhteisesti nimitystä ’finanssiyhteisöt’.

3 artikla

Määritelmät

Tässä asetuksessa tarkoitetaan

(1)’digitaalisella häiriönsietokyvyllä’ finanssiyhteisön kykyä luoda ja turvata toimintavarmuutensa ja tarkastella sitä uudelleen teknologian kannalta varmistamalla joko suoraan tai epäsuorasti TVT-palveluntarjoajana olevien kolmansien osapuolten palveluja käyttäen kaikki TVT-valmiudet, jotka tarvitaan finanssiyhteisön käyttämien verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi ja jotka tukevat finanssipalvelujen tarjonnan jatkumista ja niiden laatua;

(2)’verkko- ja tietojärjestelmällä’ direktiivin (EU) 2016/1148 4 artiklan 1 kohdassa määriteltyä verkko- ja tietojärjestelmää;

(3)’verkko- ja tietojärjestelmien turvallisuudella’ direktiivin (EU) 2016/1148 4 artiklan 2 kohdassa määriteltyä verkko- ja tietojärjestelmien turvallisuutta;

(4)’TVT-riskillä’ mitä tahansa kohtuudella tunnistettavissa olevaa verkko- ja tietojärjestelmien käytön turvallisuuteen liittyvää tilannetta, mukaan lukien toimintahäiriö, kapasiteetin ylitys, vikaantuminen, toiminnan keskeytyminen tai heikkeneminen, väärinkäyttö, menetys tai muu tahallisesti tai tahattomasti aiheutettu tilanne, joka toteutuessaan voi vaarantaa verkko- ja tietojärjestelmien, teknologiasta riippuvaisen välineen tai prosessin, toiminnon tai prosessin toteuttamisen tai palvelujen tarjonnan turvallisuuden ja siten vaarantaa myös datan, ohjelmiston tai minkä tahansa muun TVT-palvelujen ja -infrastruktuurien komponentin eheyden tai käytettävyyden tai aiheuttaa luottamuksellisuuden suojan loukkaamisen, fyysisen TVT-infrastruktuurin vahingoittumisen tai muita haittavaikutuksia;

(5)’tieto-omaisuudella’ aineellista tai aineetonta tietokokonaisuutta, joka on suojattava;

(6)’TVT:hen liittyvällä poikkeamalla’ verkko- ja tietojärjestelmissä havaittua odottamatonta tilannetta, riippumatta siitä, johtuuko se haittatoiminnasta tai ei, joka vaarantaa verkko- ja tietojärjestelmien tai tällaisissa järjestelmissä käsiteltävien, talletettavien tai välitettävien tietojen turvallisuuden tai vaikuttaa haitallisesti finanssiyhteisön tarjoamien palvelujen käytettävyyteen, luottamuksellisuuteen, jatkuvuuteen tai aitouteen;

(7)’laajavaikutteisella TVT:hen liittyvällä poikkeamalla’ TVT:hen liittyvää poikkeamaa, jolla voi olla suuri haittavaikutus finanssiyhteisön kriittisiä toimintoja tukeviin verkko- ja tietojärjestelmiin;

(8)’kyberuhalla’ Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/881 42 2 artiklan 8 kohdassa määriteltyä ’kyberuhkaa’;

(9)’kyberhyökkäyksellä’ minkä tahansa uhkatoimijan tahallisesti aiheuttamaa TVT:hen liittyvää poikkeamaa, jonka tarkoituksena on tuhota, paljastaa, muuttaa, tehdä toimintakyvyttömäksi tai varastaa jokin omaisuuserä tai hankkia siihen luvaton pääsy tai käyttää sitä ilman lupaa;

(10)’uhkatiedustelutiedolla’ tietoa, joka on yhdistetty, muunnettu tai analysoitu tai jota on tulkittu tai parannettu niin, että se muodostaa päätöksenteossa tarvittavan kontekstin, ja sen avulla voidaan saada asiasta merkityksellinen ja riittävä käsitys TVT:hen liittyvän poikkeaman tai kyberuhkan vaikutusten lieventämiseksi, mukaan lukien kyberhyökkäyksen tekniset yksityiskohdat, hyökkäyksestä vastuussa olevat tahot sekä niiden toimintatavat ja toiminnan vaikuttimet;

(11)’syvyyssuuntaisella turvallisuudella’ TVT-strategiaa, jossa ihmisiä, prosesseja ja teknologiaa yhdistämällä luodaan erilaisia esteitä yhteisön eri kerrosten ja ulottuvuuksien suojaamiseksi;

(12)’haavoittuvuudella’ omaisuuserän, järjestelmän, prosessin tai valvonnan heikkoutta, herkkyyttä tai vikaa, jota uhkatoimija voi hyödyntää;

(13)’uhkaperusteisella tunkeutumistestauksella’ toimintaa, jossa jäljitellään aitona kyberuhkana pidettyjen todellisten uhkatoimijoiden taktiikoita, tekniikoita ja menettelyjä ja jonka avulla yhteisön kriittisille toiminnassa oleville tuotantojärjestelmille tehdään valvottu, räätälöity, tiedustelutietoon perustuva hyökkäystestaus (ns. red team);

(14)’TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvällä riskillä’ TVT-riskejä, joita finanssiyhteisö voi kohdata käyttäessään TVT-palveluntarjoajana olevien kolmansien osapuolten tai niiden alihankkijoiden tarjoamia TVT-palveluja;

(15)’TVT-palveluntarjoajana olevilla kolmansilla osapuolilla’ yrityksiä, jotka tarjoavat digitaalisia ja datapalveluja, mukaan lukien pilvipalvelut, ohjelmistot, data-analyysipalvelut, datakeskukset, mutta pois lukien laitteistokomponenttien toimittajat ja unionin oikeuden nojalla valtuutetut yritykset, jotka tarjoavat Euroopan parlamentin ja neuvoston direktiivin (EU) 2018/1972 43 2 artiklan 4 kohdassa määriteltyjä sähköisiä viestintäpalveluja;

(16)’TVT-palveluilla’ TVT-järjestelmien avulla yhdelle tai useammalle sisäiselle tai ulkopuoliselle käyttäjälle tarjottavia digitaalisia ja datapalveluja, mukaan lukien datan toimittaminen, tallentaminen, säilyttäminen ja käsittely, raportointipalvelut, datan seuranta sekä dataan perustuvat liiketoiminnan ja päätöksenteon tukipalvelut;

(17)’kriittisellä tai tärkeällä toiminnolla’ toimintoa, jonka keskeytyminen, vikaantuminen tai puuttuminen heikentäisi olennaisesti finanssiyhteisön kykyä noudattaa jatkuvasti toimilupansa mukaisia ehtoja ja velvoitteita tai sovellettavan finanssipalvelulainsäädännön mukaisia muita velvoitteita tai sen toiminnan taloudellista tuloksellisuutta tai sen palvelujen ja toimintojen moitteettomuutta tai jatkuvuutta;

(18)’kriittisellä TVT-palveluntarjoajana olevalla kolmannella osapuolella’ TVT-palveluntarjoajana olevaa kolmatta osapuolta, joka on nimetty 29 artiklan mukaisesti ja johon sovelletaan 30–37 artiklassa tarkoitettua valvontakehystä;

(19)’kolmanteen maahan sijoittautuneella TVT-palveluntarjoajana olevalla kolmannella osapuolella’ TVT-palveluntarjoajana olevaa kolmatta osapuolta, joka on kolmanteen maahan sijoittautunut oikeushenkilö, jolla ei ole liiketoimintapaikkaa unionissa tai joka ei ole sijoittautunut unioniin ja joka on tehnyt finanssiyhteisön kanssa TVT-palvelujen tarjoamista koskevan sopimusjärjestelyn;

(20)’kolmanteen maahan sijoittautuneella TVT-alihankkijalla’ TVT-alihankkijaa, joka on kolmanteen maahan sijoittautunut oikeushenkilö, jolla ei ole liiketoimintapaikkaa unionissa tai joka ei ole sijoittautunut unioniin ja joka on tehnyt TVT-palvelujen tarjoamista koskevan sopimusjärjestelyn joko TVT-palveluntarjoajana olevan kolmannen osapuolen tai kolmanteen maahan sijoittautuneen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa;

(21)’TVT-keskittymäriskillä’ sitä, että käytetään yhtä tai useampaa toisiinsa liittyvää kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta, mikä johtaa sellaiseen riippuvuuteen näistä palveluntarjoajista, että kun ne eivät ole käytettävissä tai kun niiden toiminta keskeytyy tai siihen liittyy muita puutteita, tämä voi vaarantaa finanssiyhteisön ja viime kädessä koko unionin rahoitusjärjestelmän kyvyn suorittaa kriittisiä toimintoja, tai aiheuttaa muita haittavaikutuksia, kuten suuria menetyksiä;

(22)’hallintoelimellä’ direktiivin 2014/65/EU 4 artiklan 1 kohdan 36 alakohdassa, direktiivin 2013/36/EU 3 artiklan 1 kohdan 7 alakohdassa, direktiivin 2009/65/EY 2 artiklan 1 kohdan s alakohdassa, asetuksen (EU) N:o 909/2014 2 artiklan 1 kohdan 45 alakohdassa, Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/1011 44 3 artiklan 1 kohdan 20 alakohdassa, Euroopan parlamentin ja neuvoston asetuksen (EU) 20xx/xx 45 [MICA] 3 artiklan 1 kohdan u alakohdassa määriteltyä hallintoelintä tai vastaavia henkilöitä, jotka tosiasiallisesti johtavat yhteisöä tai hoitavat asiaa koskevan unionin tai kansallisen lainsäädännön mukaisia keskeisiä tehtäviä;

(23)’luottolaitoksella’ Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 575/2013 46 4 artiklan 1 kohdan 1 alakohdassa määriteltyä luottolaitosta;

(24)’sijoituspalveluyrityksellä’ direktiivin 2014/65/EU 4 artiklan 1 kohdan 1 alakohdassa määriteltyä sijoituspalveluyritystä;

(25)’maksulaitoksella’ direktiivin (EU) 2015/2366 1 artiklan 1 kohdan d alakohdassa määriteltyä maksulaitosta;

(26)’sähköisen rahan liikkeeseenlaskijalaitoksella’ Euroopan parlamentin ja neuvoston direktiivin 2009/110/EY 47 2 artiklan 1 kohdassa määriteltyä sähköisen rahan liikkeeseenlaskijalaitosta;

(27)’keskusvastapuolella’ asetuksen (EU) N:o 648/2012 2 artiklan 1 kohdassa määriteltyä keskusvastapuolta;

(28)’kauppatietorekisterillä’ asetuksen (EU) N:o 648/2012 2 artiklan 2 kohdassa määriteltyä kauppatietorekisteriä;

(29)’arvopaperikeskuksella’ asetuksen (EU) N:o 909/2014 2 artiklan 1 kohdan 1 alakohdassa määriteltyä arvopaperikeskusta;

(30)’kauppapaikalla’ direktiivin 2014/65/EU 4 artiklan 1 kohdan 24 alakohdassa määriteltyä kauppapaikkaa;

(31)’vaihtoehtoisten sijoitusrahastojen hoitajalla’ direktiivin 2011/61/EU 4 artiklan 1 kohdan b alakohdassa määriteltyä vaihtoehtoisten sijoitusrahastojen hoitajaa;

(32)’rahastoyhtiöllä’ direktiivin 2009/65/EY 2 artiklan 1 kohdan b alakohdassa määriteltyä rahastoyhtiötä;

(33)’raportointipalvelujen tarjoajalla’ direktiivin (EU) 2014/65/EU 4 artiklan 1 kohdan 63 alakohdassa määriteltyä raportointipalvelujen tarjoajaa;

(34)’vakuutusyrityksellä’ direktiivin 2009/138/EY 13 artiklan 1 alakohdassa määriteltyä vakuutusyritystä;

(35)’jälleenvakuutusyrityksellä’ direktiivin 2009/138/EY 13 artiklan 4 alakohdassa määriteltyä jälleenvakuutusyritystä;

(36)’vakuutusedustajalla’ direktiivin (EU) 2016/97 2 artiklan 3 kohdassa määriteltyä vakuutusedustajaa;

(37)’sivutoimisella vakuutusedustajalla’ direktiivin (EU) 2016/97 2 artiklan 4 alakohdassa määriteltyä sivutoimista vakuutusedustajaa;

(38)’jälleenvakuutusedustajalla’ direktiivin (EU) 2016/97 2 artiklan 5 kohdassa määriteltyä jälleenvakuutusedustajaa;

(39)’ammatillisia lisäeläkkeitä tarjoavalla laitoksella’ direktiivin 2016/2341 1 artiklan 6 kohdassa määriteltyä ammatillisia lisäeläkkeitä tarjoavaa laitosta;

(40)’luottoluokituslaitoksella’ asetuksen (EY) N:o 1060/2009 3 artiklan 1 kohdan a alakohdassa määriteltyä luottoluokituslaitosta;

(41)’lakisääteisellä tilintarkastajalla’ direktiivin 2006/43/EY 2 artiklan 2 kohdassa määriteltyä lakisääteistä tilintarkastajaa;

(42)’tilintarkastusyhteisöllä’ direktiivin 2006/43/EY 2 artiklan 3 kohdassa määriteltyä tilintarkastusyhteisöä;

(43)’kryptovarapalvelun tarjoajalla’ asetuksen (EU) 202x/xx [Julkaisutoimisto lisää viittauksen MICA-asetukseen] 3 artiklan 1 kohdan n alakohdassa määriteltyä kryptovarapalvelun tarjoajaa;

(44)’kryptovarojen liikkeeseenlaskijalla’ asetuksen [Julkaisutoimisto lisää viittauksen MICA-asetukseen] 3 artiklan 1 kohdan h alakohdassa määriteltyä kryptovarojen liikkeeseenlaskijaa;

(45)’referenssivaratokenien liikkeeseenlaskijalla’ asetuksen [Julkaisutoimisto lisää viittauksen MICA-asetukseen] 3 artiklaan 1 kohdan i alakohdassa määriteltyä referenssivaratokenien liikkeeseenlaskijaa;

(46)’merkittävien referenssivaratokenien liikkeeseenlaskijalla’ asetuksen [Julkaisutoimisto lisää viittauksen MICA-asetukseen] 3 artiklaan 1 kohdan j alakohdassa määriteltyä merkittävien referenssivaratokenien liikkeeseenlaskijaa;

(47)’kriittisten vertailuarvojen hallinnoijalla’ asetuksen xx/202x [Julkaisutoimisto lisää viittauksen vertailuarvoasetukseen] x artiklan x kohdassa määriteltyä kriittisten vertailuarvojen hallinnoijaa;

(48)’joukkorahoituspalvelun tarjoajalla’ asetuksen (EU) 202x/xx [Julkaisutoimisto lisää viittauksen joukkorahoitusasetukseen] x artiklan x kohdassa määriteltyä joukkorahoituspalvelun tarjoajaa;

(49)’arvopaperistamisrekisterillä’ asetuksen (EU) 2017/2402 2 artiklan 23 kohdassa määriteltyä arvopaperistamisrekisteriä;

(50)’mikroyrityksellä’ suosituksen 2003/361/EY liitteessä olevan 2 artiklan 3 kohdassa määriteltyä rahoitusalan yhteisöä.

II LUKU

TVT-RISKINHALLINTA

I JAKSO

4 artikla

Hallinto ja organisaatio

1.Finanssiyhteisöillä on oltava sisäiset hallinto- ja valvontajärjestelmät, joilla varmistetaan kaikkien TVT-riskien tuloksellinen ja järkevä hallinnointi.

2.Finanssiyhteisön hallintoelimen on määriteltävä ja vahvistettava kaikki 5 artiklan 1 kohdassa tarkoitettuun TVT-riskinhallintajärjestelmään liittyvät järjestelyt, valvottava niiden toteuttamista ja vastattava niistä.

Ensimmäisen alakohdan soveltamiseksi hallintoelimen on

(a)kannettava lopullinen vastuu finanssiyhteisön TVT-riskeistä;

(b)asetettava kaikille TVT-toiminnoille selkeät tehtävä- ja vastuualueet;

(c)määriteltävä finanssiyhteisölle asianmukainen TVT-riskitaso 5 artiklan 9 kohdan b alakohdan mukaisesti;

(d)vahvistettava 10 artiklan 1 kohdassa tarkoitetut finanssiyhteisön TVT-toiminnan jatkuvuutta koskevat periaatteet ja 10 artiklan 3 kohdassa tarkoitettu TVT-palautumissuunnitelma ja valvottava niiden toteuttamista ja tarkasteltava sitä säännöllisesti uudelleen;

(e)vahvistettava TVT-auditointisuunnitelmat, tehdyt TVT-auditoinnit ja olennaiset muutokset sekä tarkasteltava niitä säännöllisesti uudelleen;

(f)osoitettava asianmukaiset määrärahat ja tarkasteltava niitä säännöllisesti uudelleen, jotta finanssiyhteisön digitaalisen häiriönsietokyvyn tarpeet voidaan täyttää kaikkien eri resurssityyppien osalta, mukaan lukien TVT-riskejä koskeva koulutus ja koko asianomaisen henkilöstön osaaminen;

(g)vahvistettava finanssiyhteisön toimintaperiaatteet, jotka koskevat TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöön liittyviä järjestelyjä, ja tarkasteltava niitä säännöllisesti uudelleen;

(h)hankittava asianmukaiset tiedot TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehdyistä TVT-palvelujen käyttöä koskevista sopimusjärjestelyistä, suunnitelluista TVT-palveluntarjoajana olevia kolmansia osapuolia koskevista merkittävistä muutoksista sekä tällaisten muutosten vaikutuksista kyseisten järjestelyjen kohteena oleviin kriittisiin tai tärkeisiin toimintoihin, muun muassa pyytämällä yhteenveto riskianalyysista tällaisten muutosten vaikutusten arvioimista varten;

(i)hankittava asianmukaiset tiedot TVT:hen liittyvistä poikkeamista ja niiden vaikutuksista sekä niihin reagoinnista ja toipumis- ja korjaustoimista.

3.Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on perustettava tehtävä, johon kuuluu TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyjen sopimusjärjestelyjen valvonta, tai nimettävä ylemmän johdon jäsen vastaamaan tähän liittyvän kokonaisriskin ja sitä koskevan dokumentaation valvonnasta.

4.Hallintoelimen jäsenten on osallistuttava säännöllisesti erityiskoulutukseen hankkiakseen ja pitääkseen yllä riittäviä tietoja ja osaamista, jotka ovat tarpeen TVT-riskien ja niistä finanssiyhteisön toiminnalle aiheutuvien vaikutusten ymmärtämistä ja arvioimista varten.

II JAKSO

5 artikla

TVT-riskinhallintajärjestelmä

1.Finanssiyhteisöillä on oltava vankka, kattava ja hyvin dokumentoitu TVT-riskinhallintajärjestelmä, jonka avulla ne voivat puuttua TVT-riskiin nopeasti, tehokkaasti ja kattavasti ja varmistaa korkeatasoisen digitaalisen häiriönsietokyvyn, joka vastaa niiden liiketoimintatarpeita, kokoa ja monitahoisuutta.

2.Edellä 1 kohdassa tarkoitetun TVT-riskinhallintajärjestelmän tulee sisältää strategiat, toimintaperiaatteet, menettelyt, TVT-protokollat ja välineet, jotka ovat tarpeen kaikkien asiaankuuluvien fyysisten komponenttien ja infrastruktuurien, kuten tietokonelaitteistojen ja palvelimien sekä kaikkien asiaankuuluvien tilojen, datakeskusten ja nimettyjen herkkien alueiden suojelemiseksi asianmukaisesti ja tehokkaasti niin, että voidaan varmistaa näiden fyysisten elementtien asianmukainen suojelu riskeiltä, kuten vahingoittumiselta ja luvattomalta pääsyltä tai käytöltä.

3.Finanssiyhteisöjen on minimoitava TVT-riskin vaikutus ottamalla käyttöön TVT-riskinhallintajärjestelmässä määritellyt asianmukaiset strategiat, toimintaperiaatteet, menettelyt, protokollat ja välineet. Niiden on annettava TVT-riskeistä toimivaltaisten viranomaisten vaatimat kattavat ja ajantasaiset tiedot.

4.Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on toteutettava osana 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää tunnustettuihin kansainvälisiin standardeihin perustuva tietoturvallisuuden hallintajärjestelmä valvontaohjeiden mukaisesti ja tarkasteltava sitä säännöllisesti uudelleen.

5.Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on huolehdittava siitä, että TVT-hallintotehtävät, valvontatehtävät ja sisäisen tarkastuksen tehtävät erotetaan toisistaan asianmukaisella tavalla kolmen puolustuslinjan mallin eli sisäisen riskinhallinnan ja valvonnan mallin mukaisesti.

6.Edellä 1 kohdassa tarkoitetun TVT-riskinhallintajärjestelmän on oltava dokumentoitu ja sitä on tarkasteltava uudelleen vähintään kerran vuodessa ja laajavaikutteisten TVT:hen liittyvien poikkeamien sattuessa sekä digitaalisen häiriönsietokyvyn testauksen tai auditointiprosessien perusteella annettujen valvontaohjeiden tai päätelmien pohjalta. Sitä on parannettava jatkuvasti täytäntöönpanosta ja seurannasta saatujen kokemusten perusteella.

7.Edellä 1 kohdassa tarkoitettu TVT-riskinhallintajärjestelmä on auditoitava säännöllisesti, ja auditoinnin suorittavilla TVT-auditoijilla on oltava riittävät tiedot, taidot ja asiantuntemus TVT-riskistä. TVT-auditointien tiheys ja painopisteet on määritettävä finanssiyhteisön TVT-riskien mukaan.

8.Tätä varten on laadittava virallinen seurantaprosessi, mukaan lukien säännöt kriittisten TVT-auditointihavaintojen oikea-aikaisesta todentamisesta ja korjaamisesta, ottaen asianmukaisella tavalla huomioon auditoinnin päätelmät sekä finanssiyhteisön palvelujen ja toimintojen luonne, laajuus ja monitahoisuus.

9.Edellä 1 kohdassa tarkoitetun TVT-riskinhallintajärjestelmän on sisällettävä digitaalisen häiriönsietokyvyn strategia, jossa esitetään, miten järjestelmää toteutetaan. Sitä varten järjestelmässä on esitettävä menetelmät, joiden avulla puututaan TVT-riskeihin ja saavutetaan erityiset TVT-tavoitteet siten, että

(a)kuvataan, miten TVT-riskinhallintajärjestelmä tukee finanssiyhteisön liiketoimintastrategiaa ja -tavoitteita;

(b)määritetään hyväksyttävä TVT-riskitaso finanssiyhteisön riskinottohalun mukaisesti ja analysoidaan TVT-keskeytymisten sietokyky;

(c)asetetaan selkeät tietoturvatavoitteet;

(d)kuvataan TVT-viiterakenne ja tiettyjen liiketoimintatavoitteiden saavuttamiseksi mahdollisesti tarvittavat muutokset;

(e)luetellaan käytössä olevat mekanismit TVT:hen liittyvien poikkeamien havaitsemiseksi, niiltä suojautumiseksi ja niiden haittavaikutusten estämiseksi;

(f)esitetään raportoitujen laajavaikutteisten TVT:hen liittyvien poikkeamien lukumäärä ja ehkäisevien toimien tuloksellisuus;

(g)laaditaan yhteisön tasolla kokonaisvaltainen TVT-toimitusten monipuolistamiseen tähtäävä strategia, jossa esitetään keskeiset riippuvuudet TVT-palveluntarjoajana olevista kolmansista osapuolista ja selitetään periaatteet, joiden mukaan palveluntarjoajana olevien kolmansien osapuolten yhdistelmä valitaan;

(h)toteutetaan digitaalisen häiriönsietokyvyn testaus;

(i)laaditaan viestintästrategia TVT:hen liittyvien poikkeamien varalta.

10.Finanssiyhteisöt voivat, toimivaltaisten viranomaisten hyväksynnän saatuaan, delegoida TVT-riskinhallintavaatimusten noudattamisen tarkistamista koskevat tehtävät konsernin sisäisille tai ulkopuolisille yrityksille.

6 artikla
TVT-järjestelmät, -protokollat ja -välineet

1.Finanssiyhteisöjen on käytettävä ja pidettävä yllä ajantasaisia TVT-järjestelmiä, -protokollia ja -välineitä, jotka täyttävät seuraavat edellytykset:

(a)järjestelmät ja välineet ovat niiden liiketoimintaa tukevien toimien luonteen, moninaisuuden, monitahoisuuden ja suuruusluokan kannalta tarkoituksenmukaisia;

(b)ne ovat luotettavia;

(c)niillä on riittävä kapasiteetti datan tarkkaan käsittelyyn toimintojen suorittamiseksi ja palvelujen tarjoamiseksi ajoissa sekä tarvittaessa toimeksiantojen, viestien ja liiketoimien ruuhkahuippujen käsittelyyn, myös uuden teknologian käyttöönoton yhteydessä;

(d)ne ovat teknisesti kestäviä selviytyäkseen asianmukaisesti tavallista suuremman tietomäärän käsittelystä silloin kun se on tarpeen stressikausien markkinaolosuhteissa tai muissa vaikeissa tilanteissa.

2.Silloin kun finanssiyhteisöt soveltavat tietoturvaa ja TVT-toimien sisäistä valvontaa koskevia kansainvälisesti tunnustettuja teknisiä standardeja ja toimialan johtavia käytäntöjä, niiden on sovellettava näitä standardeja ja käytäntöjä niiden noudattamisesta mahdollisesti annettujen valvontasuositusten mukaisesti.

7 artikla

Yksilöinti

1.Finanssiyhteisöjen on osana 5 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää yksilöitävä, luokiteltava ja asianmukaisesti dokumentoitava kaikki TVT-liiketoiminnot ja niitä tukeva tieto-omaisuus sekä TVT-järjestelmäkokoonpanot ja sisäisten ja ulkoisten TVT-järjestelmien liitännät. Finanssiyhteisöjen on tarkasteltava uudelleen tämän tieto-omaisuuden luokittelun ja sitä koskevan dokumentaation asianmukaisuutta tarvittaessa ja vähintään kerran vuodessa.

2.Finanssiyhteisöjen on jatkuvasti yksilöitävä kaikki TVT-riskin lähteet, erityisesti muihin finanssiyhteisöihin liittyvät riskit, ja arvioitava niiden TVT-liiketoimintoihin ja tieto-omaisuuteen liittyviä kyberuhkia ja TVT-haavoittuvuuksia. Finanssiyhteisöjen on tarkasteltava niihin vaikuttavia riskiskenaarioita säännöllisesti ja vähintään kerran vuodessa.

3.Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on tehtävä riskinarviointi aina kun verkko- ja tietojärjestelmäinfrastruktuurissa, niiden toimintaan vaikuttavissa prosesseissa tai menettelyissä, tukiprosesseissa tai tieto-omaisuudessa tapahtuu merkittäviä muutoksia.

4.Finanssiyhteisöjen on yksilöitävä kaikki TVT-tilit, myös etäkohteissa olevat, sekä verkkoresurssit ja laitteistot, ja kartoitettava kriittisinä pidetyt fyysiset laitteet. Niiden on kartoitettava TVT-omaisuuden kokoonpano ja eri TVT-omaisuuserien keskinäiset yhteydet ja riippuvuussuhteet.

5.Finanssiyhteisöjen on yksilöitävä ja dokumentoitava kaikki TVT-palveluntarjoajana olevista kolmansista osapuolista riippuvaiset prosessit ja yksilöitävä yhteenkytkennät TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa.

6.Finanssiyhteisöjen on pidettävä yllä ja päivitettävä säännöllisesti 1, 4 ja 5 kohdan soveltamista varten tarvittavia omaisuusluetteloita.

7.Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on tehtävä säännöllisesti ja vähintään kerran vuodessa erityinen TVT-riskinarviointi, joka kattaa kaikki vanhat TVT-järjestelmät, erityisesti ennen vanhan ja uuden teknologian, sovellusten tai järjestelmien yhteenliittämistä ja sen jälkeen.

8 artikla

Suojaaminen ja ehkäiseminen

1.Jotta voidaan asianmukaisesti suojata TVT-järjestelmiä ja organisoida reagointitoimet, finanssiyhteisöjen on jatkuvasti seurattava ja valvottava TVT-järjestelmien ja -välineiden toimintaa ja minimoitava tällaisten riskien vaikutus ottamalla käyttöön asianmukaiset TVT-turvallisuusvälineet, -toimintatavat ja -menettelyt.

2.Finanssiyhteisöjen on suunniteltava, hankittava ja toteutettava TVT-turvallisuutta koskevat strategiat, toimintatavat, menettelyt, protokollat ja välineet, joiden tarkoituksena on erityisesti varmistaa TVT-järjestelmien häiriönsietokyky, jatkuvuus ja käytettävyys ja säilyttää datan turvallisuus, luotettavuus ja eheys korkealla tasolla riippumatta siitä, onko kyseessä lepäävä, käytössä oleva vai siirrettävä data.

3.Edellä 2 kohdassa tarkoitettujen tavoitteiden saavuttamiseksi finanssiyhteisöjen on käytettävä uusinta TVT-teknologiaa ja -prosesseja, joilla voidaan

(a) varmistaa tiedonsiirtovälineiden suojaus;

(b)minimoida datan turmeltumisen tai menettämisen, luvattoman käytön ja liiketoimintaa haittaavien teknisten vikojen riski;

(c) estää tietojen vuotaminen;

(d)varmistaa, että data on suojattu huonoon hallintoon tai käsittelyyn liittyviltä riskeiltä, epäasianmukainen säilyttäminen mukaan lukien.

4.Finanssiyhteisöjen on osana 5 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää

(a)laadittava ja dokumentoitava tietoturvapolitiikka, jossa määritellään säännöt yhteisöjen ja niiden asiakkaiden TVT-resurssien, datan ja tieto-omaisuuden luottamuksellisuuden, eheyden ja käytettävyyden suojaamiseksi;

(b)riskiperusteista lähestymistapaa noudattaen otettava käyttöön vankka verkko- ja infrastruktuurin hallinta käyttäen asianmukaisia tekniikoita, menetelmiä ja protokollia, myös toteuttamalla automatisoidut mekanismit mahdollisen kyberhyökkäyksen yhteydessä vahingoittuneen tieto-omaisuuden eristämiseksi;

(c)otettava käyttöön toimintatavat, joilla rajoitetaan fyysinen ja virtuaalinen pääsy TVT-järjestelmän resursseihin ja dataan ainoastaan siihen, mikä on tarpeen oikeutettuja ja hyväksyttyjä toimintoja ja tehtäviä varten, ja laaditaan tätä varten toimintaperiaatteet, menettelyt ja valvontatoimet, joissa määritellään pääsyoikeudet ja niiden moitteeton hallinnointi;

(d)toteutettava vahvan todentamisen mekanismien edellyttämät toimintatavat ja protokollat asiaa koskevien standardien ja erityisten valvontajärjestelmien pohjalta, jotta voidaan estää pääsy salausavaimiin, joilla data on salattu, hyväksyttyjen, datan luokittelua ja riskinarviointia koskevien menettelyjen tulosten perusteella;

(e)toteutettava TVT-muutosten hallintaa koskevat toimet, menettelyt ja tarkastukset, joissa otetaan huomioon ohjelmistojen, laitteiden, laiteohjelmistokomponenttien, järjestelmien ja turvallisuuden muutokset ja jotka perustuvat riskinarviointiin ja ovat olennainen osa finanssiyhteisön yleistä muutoksenhallintaprosessia, jotta voidaan varmistaa, että kaikki TVT-järjestelmien muutokset tallennetaan, testataan, arvioidaan, hyväksytään, toteutetaan ja todennetaan valvotusti;

(f)otettava käyttöön ohjelmisto- ja korjauspäivityksiä koskevat asianmukaiset ja kattavat toimintaperiaatteet.

Edellä olevan b alakohdan soveltamiseksi finanssiyhteisöjen on suunniteltava verkkoyhteysinfrastruktuuri siten, että se voidaan irrottaa välittömästi, ja varmistettava sen osastointi ja segmentointi, jotta voidaan minimoida ja estää häiriöiden leviäminen erityisesti toisiinsa sidoksissa olevien rahoitusprosessien yhteydessä.

Edellä olevan e alakohdan soveltamiseksi TVT-muutoksenhallintaprosessin on saatava asianmukaisten hallintolinjojen hyväksyntä ja siinä on oltava tarvittavat protokollat hätämuutosten toteuttamiseksi.

9 artikla

Havaitseminen

1.Finanssiyhteisöillä on oltava käytössään mekanismit, joiden avulla ne voivat havaita nopeasti poikkeavan toiminnan 15 artiklan mukaisesti, mukaan lukien TVT-verkon suorituskykyyn liittyvät ongelmat ja TVT:hen liittyvät poikkeamat, ja yksilöidä kaikki potentiaaliset olennaiset vikakohdat.

Kaikki ensimmäisessä alakohdassa tarkoitetut havaitsemismekanismit on testattava säännöllisesti 22 artiklan mukaisesti.

2.Edellä 1 kohdassa tarkoitettujen havaitsemismekanismien on mahdollistettava monikerroksinen valvonta, ja niissä on voitava määritellä hälytystasot ja -kriteerit, joiden perusteella voidaan havaita TVT:hen liittyvät poikkeamat ja aloittaa tarvittavat reagointimenettelyt, ja niissä on voitava ottaa käyttöön automaattiset hälytysmekanismit TVT:hen liittyviin poikkeamiin reagoinnista vastaavaa henkilöstöä varten.

3.Finanssiyhteisöjen on osoitettava kokonsa, liiketoimintansa ja riskiprofiilinsa huomioon ottaen riittävät resurssit ja valmiudet käyttäjien toiminnan sekä TVT-anomalioiden ja TVT:hen liittyvien poikkeamien ja erityisesti kyberhyökkäysten valvontaa varten.

4.Edellä 2 artiklan 1 kohdan l alakohdassa tarkoitetuilla finanssiyhteisöillä on lisäksi oltava käytössä järjestelmät, joiden avulla voidaan tehokkaasti tarkistaa kaupankäynti-ilmoitusten kattavuus, osoittaa puutteet ja ilmeiset virheet sekä pyytää uudelleenlähettämistä virheellisten ilmoitusten tapauksessa.

10 artikla

Reagointi ja toipuminen

1.Finanssiyhteisöjen on osana 5 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää ja 7 artiklassa asetettujen yksilöintivaatimusten pohjalta otettava käyttöön erityinen kattava TVT-toiminnan jatkuvuutta koskeva toimintapolitiikka, joka on olennainen osa finanssiyhteisön liiketoiminnan jatkuvuutta koskevaa toimintapolitiikkaa.

2.Finanssiyhteisöjen on toteutettava 1 kohdassa tarkoitettu TVT-toiminnan jatkuvuutta koskeva toimintapolitiikka sellaisten erityisten, asianmukaisten ja dokumentoitujen järjestelyjen, suunnitelmien, menettelyjen ja mekanismien puitteissa, joiden avulla voidaan

(a)tallentaa kaikki TVT:hen liittyvät poikkeamat;

(b)varmistaa finanssiyhteisön kriittisten toimintojen jatkuvuus;

(c)reagoida kaikkiin TVT:hen liittyviin poikkeamiin nopeasti, asianmukaisesti ja tuloksellisesti ja ratkaista ne, erityisesti mutta ei pelkästään silloin kun kyseessä on kyberhyökkäys, siten että vahinkoja voidaan rajoittaa ja asettaa etusijalle toiminnan jatkaminen ja toipumistoimet;

(d)aktivoida viipymättä suunnitelmat, joiden nojalla voidaan ottaa käyttöön kunkin TVT:hen liittyvän poikkeaman edellyttämät rajoittamistoimet, -menettelyt ja -teknologiat ja estää lisävahinkojen syntyminen, sekä 11 artiklan mukaisesti vahvistetut räätälöidyt reagointi- ja toipumismenettelyt;

(e)arvioida alustavat vaikutukset, vahingot ja menetykset;

(f)vahvistaa viestintä- ja kriisinhallintatoimet, joilla varmistetaan, että ajantasaiset tiedot toimitetaan kaikille asianomaisille sisäisen henkilöstön jäsenille ja ulkopuolisille sidosryhmille 13 artiklan mukaisesti sekä toimivaltaisille viranomaisille 17 artiklan mukaisesti.

3.Finanssiyhteisöjen on osana 5 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää toteutettava siihen liittyvä TVT-palautumissuunnitelma, jolle on tehtävä riippumaton auditointi, jos finanssiyhteisö on muu kuin mikroyritys.

4.Finanssiyhteisöjen on laadittava asianmukainen TVT-toiminnan jatkuvuutta koskeva toimintapolitiikka, pidettävä sitä yllä ja testattava sitä määräajoin, erityisesti sellaisten kriittisten tai tärkeiden toimintojen osalta, jotka on ulkoistettu tai joiden toteuttamisesta on tehty sopimusjärjestely TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa.

5.Finanssiyhteisöjen on osana kattavaa TVT-riskinhallintajärjestelmäänsä

(a)testattava TVT-toiminnan jatkuvuutta koskevaa toimintapolitiikkaa ja TVT-palautumissuunnitelmaa ainakin kerran vuodessa ja aina kun TVT-järjestelmissä tapahtuu merkittäviä muutoksia;

(b)testattava 13 artiklan mukaisesti laadittua kriisiviestintäsuunnitelmaa.

Edellä olevan a alakohdan soveltamista varten muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on sisällytettävä testaussuunnitelmiin skenaariot, jotka koskevat kyberhyökkäyksiä ja vaihtoa ensisijaisen TVT-infrastruktuurin ja 11 artiklassa säädettyjen velvoitteiden täyttämiseksi tarvittavan varakapasiteetin, varmuuskopioiden ja varajärjestelmien välillä.

Finanssiyhteisöjen on tarkasteltava TVT-toiminnan jatkuvuutta koskevaa toimintapolitiikkaansa ja TVT-palautumissuunnitelmaansa säännöllisesti uudelleen ottaen huomioon ensimmäisen alakohdan mukaisesti suoritettujen testien tulokset ja auditointien tai valvontatarkastusten perusteella annetut suositukset.

6.Muilla kuin mikroyrityksiä olevilla finanssiyhteisöillä on oltava kriisinhallintatoiminto, jossa esitetään TVT-toiminnan jatkuvuutta koskevan toimintapolitiikan tai TVT-palautumissuunnitelman käynnistämisen varalta selkeät menettelyt sisäisen ja ulkoisen kriisiviestinnän hoitamiseksi 13 artiklan mukaisesti.

7.Finanssiyhteisöjen on pidettävä kirjaa ennen toiminnan keskeytymistä ja sen aikana toteutetuista toimista, kun niiden TVT-toiminnan jatkuvuutta koskeva toimintapolitiikka tai TVT-palautumissuunnitelma on käynnistetty. Näiden tietojen on oltava helposti saatavilla.

8.Edellä 2 artiklan 1 kohdan f alakohdassa tarkoitettujen finanssiyhteisöjen on toimitettava toimivaltaisille viranomaisille jäljennös TVT-toiminnan jatkuvuutta koskevaan toimintapolitiikkaan liittyvien testien tai tarkastelujaksolla suoritettujen vastaavien toimien tuloksista.

9.Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on raportoitava toimivaltaisille viranomaisille kaikista TVT-keskeytymisten ja -poikkeamien aiheuttamista kustannuksista ja menetyksistä.

11 artikla

Varmuuskopiointi ja toipumismenettelyt

1.Jotta TVT-järjestelmien toimintakyky voidaan palauttaa niin, että palvelukatkos jää mahdollisimman lyhyeksi ja keskeytymisten määrää rajoitetaan, finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä laadittava:

(a)varmuuskopiointikäytäntö, jossa määritellään varmuuskopioitava data ja varmuuskopioinnin vähimmäistiheys tietojen kriittisyyden tai datan arkaluonteisuuden mukaan;

(b)toipumismenettelyt.

2.Varmuuskopiointijärjestelmien on aloitettava käsittely ilman aiheetonta viivytystä, paitsi jos käsittelyn aloittaminen vaarantaisi verkko- ja tietojärjestelmien turvallisuuden tai datan eheyden tai luottamuksellisuuden.

3.Palauttaessaan varmuuskopioitua dataa omien järjestelmiensä avulla finanssiyhteisöjen on käytettävä TVT-järjestelmiä, joiden käyttöympäristö on erillään pääasiallisesta käyttöympäristöstä eikä suoraan yhteydessä siihen ja joka on suojattu luvattomalta käytöltä tai TVT-korruptoitumiselta.

Edellä 2 artiklan 1 kohdan g alakohdassa tarkoitettujen finanssiyhteisöjen osalta palautumissuunnitelman on mahdollistettava kaikkien liiketoimien palauttaminen keskeytymisen tapahtuessa, jotta keskusvastapuoli voi turvallisesti jatkaa toimintaansa ja saattaa toimituksen loppuun määräpäivänä.

4.Finanssiyhteisöjen on pidettävä yllä TVT-varakapasiteettia, jossa on riittävät ja asianmukaiset resurssit, valmiudet ja toiminnot liiketoiminnan tarpeiden täyttämiseksi.

5.Edellä 2 artiklan 1 kohdan f alakohdassa tarkoitettujen finanssiyhteisöjen on pidettävä yllä tai varmistettava, että niiden TVT-palveluntarjoajana oleva kolmas osapuoli pitää yllä ainakin yhtä toissijaista käsittelypaikkaa, jossa on riittävät ja asianmukaiset resurssit, valmiudet, toiminnot ja henkilöstöjärjestelyt liiketoiminnan tarpeiden täyttämiseksi.

Toissijaisen käsittelypaikan on

(a)sijaittava sopivalla maantieteellisellä etäisyydellä ensisijaisesta käsittelypaikasta, jotta toissijaisella käsittelypaikalla olisi erilainen riskiprofiili ja siihen ei vaikuttaisi sama tapahtuma, joka vaikuttaa ensisijaiseen käsittelypaikkaan;

(b)kyettävä turvaamaan keskeisten toimintojen jatkuvuus samalla tavalla kuin ensisijaisessa käsittelypaikassa tai tarjottava riittävän tasoiset palvelut sen varmistamiseksi, että finanssiyhteisö suorittaa keskeiset toimintonsa toipumistavoitteiden mukaisesti;

(c)oltava välittömästi finanssiyhteisön henkilöstön käytettävissä, jotta varmistetaan keskeisten toimintojen jatkuvuus silloin, kun ensisijainen käsittelypaikka ei ole käytettävissä.

6.Määrittäessään kunkin toiminnon toipumisaika- ja toipumispistetavoitetta finanssiyhteisöjen on otettava huomioon mahdollinen kokonaisvaikutus markkinoiden tehokkuuteen. Näillä aikatavoitteilla on varmistettava, että äärimmäisissä skenaarioissa saavutetaan sovitut palvelutasot.

7.Toipuessaan TVT:hen liittyvästä poikkeamasta finanssiyhteisöjen on suoritettava useita tarkistuksia, myös täsmäytyksiä, jotta voidaan varmistaa, että datan eheys on korkeimmalla tasolla. Tällaiset tarkistukset on suoritettava myös silloin kun dataa koostetaan ulkoisilta sidosryhmiltä, jotta voidaan varmistaa datan yhdenmukaisuus eri järjestelmien kesken.

12 artikla

Oppiminen ja kehitys

1.Finanssiyhteisöillä on oltava niiden koon, liiketoiminnan ja riskiprofiilin huomioon ottaen riittävät valmiudet ja henkilöstö, jotta ne voivat kerätä tietoa haavoittuvuuksista ja kyberuhkista, TVT:hen liittyvistä poikkeamista ja erityisesti kyberhyökkäyksistä, ja analysoida niiden todennäköisiä vaikutuksia digitaaliseen häiriönsietokykyynsä.

2.Finanssiyhteisöjen on toteutettava TVT:hen liittyvien poikkeamien jälkitarkastelu sen jälkeen kun niiden ydintoiminnoissa on tapahtunut merkittäviä TVT-keskeytymisiä, jotta ne voivat analysoida keskeytymisen syyt ja määrittää tarvittavat TVT-toimien tai 10 artiklassa tarkoitetun TVT-toiminnan jatkuvuutta koskevan toimintapolitiikan parannukset.

Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on muutoksia toteuttaessaan ilmoitettava niistä toimivaltaisille viranomaisille.

Ensimmäisessä alakohdassa tarkoitettujen TVT:hen liittyvien poikkeamien jälkitarkastelun yhteydessä on selvitettävä, noudatettiinko vakiintuneita menettelyjä ja olivatko toteutetut toimet tuloksellisia, muun muassa seuraavien seikkojen osalta:

(a)turvallisuusvaroituksiin reagoinnin ja TVT:hen liittyvien poikkeamien vaikutuksen ja vakavuuden määrittämisen nopeus;

(b)rikosteknisen analyysin laatu ja nopeus;

(c)poikkeaman eskaloinnin tuloksellisuus finanssiyhteisössä;

(d)sisäisen ja ulkoisen viestinnän vaikuttavuus.

3.Kokemukset, jotka on saatu 23 ja 24 artiklan mukaisesti toteutetusta digitaalisen häiriönsietokyvyn testauksesta ja todellisista TVT:hen liittyvistä poikkeamista, erityisesti kyberhyökkäyksistä, sekä toiminnan jatkuvuutta koskevien suunnitelmien tai palautumissuunnitelmien käynnistämisen yhteydessä kohdatut haasteet ja muiden osapuolten kanssa vaihdetut ja valvontatarkastusten yhteydessä arvioidut tiedot on asianmukaisesti ja jatkuvasti sisällytettävä TVT-riskinarviointiprosessiin. Näiden havaintojen perusteella on tehtävä asianmukaiset tarkastukset 5 artiklan 1 kohdassa tarkoitetun TVT-riskinhallintajärjestelmän asianomaisiin komponentteihin.

4.Finanssiyhteisöjen on seurattava 5 artiklan 9 kohdassa tarkoitetun digitaalista häiriönsietokykyä koskevan strategiansa toteutuksen tuloksellisuutta. Niiden on kartoitettava TVT-riskien kehitystä ajan mittaan, analysoitava TVT:hen liittyvien poikkeamien esiintyvyyttä, tyyppejä, laajuutta ja kehitystä, erityisesti kyberhyökkäyksiä ja niiden toteuttamistapoja, voidakseen selvittää finanssiyhteisön TVT-kokonaisriskin ja tehostaa sen kybervalmiutta ja kyberuhkiin varautumista.

5.Ylemmän TVT-henkilöstön on raportoitava hallintoelimelle ainakin vuosittain 3 kohdassa tarkoitetuista havainnoista ja esitettävä suosituksia.

6.Finanssiyhteisöjen on laadittava TVT-turvallisuutta koskevia valistusohjelmia ja digitaalista häiriönsietokykyä käsittelevää koulutusta osana henkilöstön pakollista koulutusohjelmaa. Niiden on oltava pakollisia sekä kaikille työntekijöille että ylemmälle johdolle.

Finanssiyhteisöjen on jatkuvasti seurattava teknologian kehitystä, myös voidakseen ymmärtää tällaisten uusien teknologioiden käyttöönoton mahdollisia vaikutuksia TVT-turvallisuusvaatimuksiin ja digitaaliseen häiriönsietokykyyn. Niiden on pysyteltävä ajan tasalla uusimmissa TVT-riskinhallintaprosesseissa, jotta nykyisiä ja uusia kyberhyökkäysten muotoja voidaan torjua tuloksellisesti.

13 artikla
Viestintä

1.Finanssiyhteisöjen on osana 5 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää toteutettava viestintäsuunnitelma, jonka avulla voidaan vastuullisesti tiedottaa TVT:hen liittyvistä poikkeamista tai laajavaikutteisista haavoittuvuuksista tarpeen mukaan joko asiakkaille ja vastapuolille tai suurelle yleisölle.

2.Finanssiyhteisöjen on osana 5 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää toteutettava sekä henkilöstölle että ulkoisille sidosryhmille suunnattua viestintäpolitiikkaa. Henkilöstölle suunnatussa viestintäpolitiikassa on tehtävä ero TVT-riskinhallintaan ja erityisesti reagointi- ja toipumistoimiin osallistuvan henkilöstön ja toisaalta sen henkilöstön välillä, jolle on tiedotettava näistä toimista.

3.Finanssiyhteisössä on oltava ainakin yksi henkilö, jonka tehtävänä on toteuttaa TVT:hen liittyviä poikkeamia koskeva viestintästrategia ja vastata tähän liittyvästä tiedottamisesta yleisölle ja tiedotusvälineille.

14 artikla
TVT-riskinhallintavälineiden, -menetelmien, -menettelyjen ja -politiikkatoimien yhdenmukaistaminen

Euroopan pankkiviranomaisen (EPV), Euroopan arvopaperimarkkinaviranomaisen (ESMA) ja Euroopan vakuutus- ja lisäeläkeviranomaisen (EIOPA) on Euroopan unionin kyberturvallisuusvirastoa (ENISA) kuullen laadittava teknisten sääntelystandardien luonnoksia seuraavia tarkoituksia varten:

(a)täsmennetään lisätekijät, jotka on sisällytettävä 8 artiklan 2 kohdassa tarkoitettuihin TVT-turvallisuutta koskeviin toimintatapoihin, menettelyihin, protokolliin ja välineisiin, jotta voidaan varmistaa verkkojen turvallisuus, mahdollistaa asianmukaiset suojatoimet tunkeutumisia ja tietorikoksia vastaan, säilyttää datan aitous ja eheys, salaustekniikat mukaan lukien, ja taata datan tarkka ja nopea siirto ilman laajavaikutteisia keskeytymisiä;

(b)esitetään, miten 8 artiklan 2 kohdassa tarkoitetuilla TVT-turvallisuutta koskevilla toimintatavoilla, menettelyillä ja välineillä otetaan turvallisuustarkastukset osaksi järjestelmiä jo suunnitteluvaiheessa (sisäänrakennettu turvallisuus), mahdollistetaan mukautuminen muuttuviin uhkakuviin ja varaudutaan syvyyssuuntaisen turvallisuusteknologian käyttöön;

(c)täsmennetään edelleen 8 artiklan 4 kohdassa tarkoitettuja asianmukaisia tekniikoita, menetelmiä ja protokollia;

(d)kehitetään edelleen 8 artiklan 4 kohdan c alakohdassa tarkoitettuun pääsyoikeuksien hallinnan valvontaan liittyviä elementtejä ja siihen liittyvää henkilöresurssipolitiikkaa, jonka puitteissa määritellään pääsyoikeudet, menettelyt oikeuksien myöntämistä ja peruuttamista varten, TVT-riskeihin liittyvän poikkeavan käyttäytymisen seuranta soveltaen asianmukaisia indikaattoreita, mukaan lukien verkon käyttötavat, ajankohdat, IT-toimet ja tuntemattomat laitteet;

(e)kehitetään edelleen 9 artiklan 1 kohdassa tarkoitettuja mekanismeja, joiden avulla poikkeava toiminta voidaan havaita, ja 9 artiklan 2 kohdassa tarkoitettuja kriteerejä, joiden perusteella TVT:hen liittyvien poikkeamien havaitsemis- ja reagointiprosessit käynnistyvät;

(f)täsmennetään edelleen 10 artiklan 1 kohdassa tarkoitetun TVT-toiminnan jatkuvuutta koskevan toimintapolitiikan osatekijöitä;

(g)täsmennetään edelleen 10 artiklan 5 kohdassa tarkoitettua TVT-toiminnan jatkuvuutta koskevan toimintapolitiikan testausta sen varmistamiseksi, että siinä otetaan asianmukaisesti huomioon skenaariot, joissa kriittisten tai tärkeiden toimintojen tarjonta heikkenee laadullisesti tasolle, jota ei voida hyväksyä, tai vikaantuu, ja otetaan asianmukaisesti huomioon TVT-palveluntarjoajana olevien kolmansien osapuolten maksukyvyttömyyden tai muiden häiriöiden mahdollinen vaikutus ja tarvittaessa asianomaisten palveluntarjoajien lainkäyttöalueisiin liittyvät poliittiset riskit;

(h)täsmennetään edelleen 10 artiklan 3 kohdassa tarkoitetun TVT-palautumissuunnitelman osatekijöitä.

EPV, ESMA ja EIOPA toimittavat nämä teknisten sääntelystandardien luonnokset komissiolle viimeistään [Julkaisutoimisto lisää päivämäärän, joka on 1 kuukauden kuluttua voimaantulopäivästä].

Siirretään komissiolle valta hyväksyä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

III LUKU

TVT:HEN LIITTYVÄT POIKKEAMAT –

HALLINTA, LUOKITTELU JA RAPORTOINTI

15 artikla
TVT:hen liittyvien poikkeamien hallintaprosessi

1.Finanssiyhteisöjen on laadittava ja toteutettava TVT:hen liittyvien poikkeamien hallintaprosessi, jonka avulla TVT:hen liittyviä poikkeamia voidaan havaita ja hallinnoida ja ilmoittaa niistä, ja otettava käyttöön varhaisen varoituksen indikaattoreita hälytysten tekemistä varten.

2.Finanssiyhteisöjen on laadittava asianmukaiset prosessit, joilla taataan TVT:hen liittyvien poikkeamien yhdenmukainen ja yhdennetty valvonta, käsittely ja seuranta, niin että voidaan varmistaa, että niiden perimmäiset syyt tunnistetaan ja poistetaan, jotta tällaiset poikkeamat voidaan estää.

3.Edellä 1 kohdassa tarkoitetussa TVT:hen liittyvien poikkeamien hallintaprosessissa on

(a)vahvistettava menettelyt, joiden avulla TVT:hen liittyvät poikkeamat voidaan tunnistaa, jäljittää, kirjata lokiin ja luokitella tärkeysjärjestyksessä vakavuuden ja sen palvelun kriittisyyden mukaan, johon ne vaikuttavat, 16 artiklan 1 kohdassa tarkoitettujen kriteerien mukaisesti;

(b)osoitettava tehtävät ja vastuualueet, jotka erityyppisten TVT:hen liittyvien poikkeamien ja skenaarioiden osalta on aktivoitava;

(c)esitettävä 13 artiklan mukaisesti viestintäsuunnitelmat, jotka koskevat tiedottamista henkilöstölle, ulkoisille sidosryhmille ja tiedotusvälineille sekä asiakkaille, sisäisiä eskalointimenettelyjä, myös TVT:hen liittyvien asiakasvalitusten osalta, sekä tarpeen mukaan tiedottamista vastapuolina toimiville finanssiyhteisöille;

(d)varmistettava, että laajavaikutteisista TVT:hen liittyvistä poikkeamista raportoidaan asiaankuuluvalle ylemmälle johdolle, ja tiedotettava hallintoelimelle laajavaikutteisista TVT:hen liittyvistä poikkeamista selittämällä niiden vaikutukset ja niiden vuoksi toteutettavat reagointitoimet ja lisävalvontatoimet;

(e)otettava käyttöön TVT:hen liittyviin poikkeamiin liittyvät reagointimenettelyt, jotta voidaan lieventää niiden vaikutuksia ja varmistaa oikea-aikaisesti, että palvelut alkavat jälleen toimia ja ovat turvallisia.

16 artikla

TVT:hen liittyvien poikkeamien luokittelu

1.Finanssiyhteisöjen on luokiteltava TVT:hen liittyvät poikkeamat ja määriteltävä niiden vaikutukset seuraavien kriteerien perusteella:

(a)niiden käyttäjien tai vastapuolien lukumäärä, joihin TVT:hen liittyvän poikkeaman aiheuttama keskeytyminen on vaikuttanut, ja onko TVT:hen liittyvä poikkeama aiheuttanut maineeseen liittyviä vaikutuksia;

(b)TVT:hen liittyvän poikkeaman kesto, palvelukatkos mukaan lukien;

(c)sen alueen maantieteellinen laajuus, johon TVT:hen liittyvä poikkeama vaikuttaa, varsinkin jos se vaikuttaa useampaan kuin kahteen jäsenvaltioon;

(d)TVT:hen liittyvän poikkeaman aiheuttamat datan menetykset, kuten eheyden, luottamuksellisuuden tai käytettävyyden menetykset;

(e)TVT:hen liittyvästä poikkeamasta finanssiyhteisön TVT-järjestelmille aiheutuvien vaikutusten vakavuus;

(f)vaikutusten kohteena olevien palvelujen kriittisyys, finanssiyhteisön liiketoimet ja toiminnot mukaan lukien;

(g)TVT:hen liittyvän poikkeaman taloudelliset vaikutukset sekä absoluuttisesti että suhteellisesti ilmaistuna.

2.Euroopan valvontaviranomaiset laativat Euroopan valvontaviranomaisten yhteiskomiteassa, jäljempänä ’yhteiskomitea’, ja Euroopan keskuspankkia ja ENISAa kuultuaan yhteisiä teknisten sääntelystandardien luonnoksia, joissa määritetään seuraavat:

(a)edellä 1 kohdassa tarkoitetut kriteerit, mukaan lukien olennaisuusrajat sellaisten laajavaikutteisten TVT:hen liittyvien poikkeamien määrittämiseksi, joihin sovelletaan 17 artiklan 1 kohdassa säädettyä ilmoitusvelvollisuutta;

(b)kriteerit, joita toimivaltaisten viranomaisten on sovellettava arvioidessaan laajavaikutteisten TVT:hen liittyvien poikkeamien merkitystä muiden jäsenvaltioiden lainkäyttöalueille, ja niiden TVT:hen liittyviä poikkeamia koskevien raporttien yksityiskohdat, jotka on jaettava muiden toimivaltaisten viranomaisten kanssa 17 artiklan 5 ja 6 kohdan nojalla.

3.Kun Euroopan valvontaviranomaiset laativat 2 kohdassa tarkoitettuja yhteisiä teknisten sääntelystandardien luonnoksia, niiden on otettava huomioon kansainväliset standardit sekä ENISAn laatimat ja julkaisemat eritelmät, tarpeen vaatiessa myös muita talouden aloja koskevat eritelmät.

Euroopan valvontaviranomaisten on toimitettava nämä yhteiset teknisten sääntelystandardien luonnokset komissiolle viimeistään [Julkaisutoimisto lisää päivämäärän, joka on 1 vuoden kuluttua voimaantulopäivästä].

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä 2 kohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

17 artikla

Laajavaikutteisista TVT:hen liittyvistä poikkeamista raportointi

1.Finanssiyhteisöjen on raportoitava laajavaikutteisista TVT:hen liittyvistä poikkeamista 41 artiklassa tarkoitetulle asianomaiselle toimivaltaiselle viranomaiselle 3 kohdassa säädetyssä määräajassa.

Ensimmäistä alakohtaa sovellettaessa finanssiyhteisöjen on kaikkien asiaankuuluvien tietojen keräämisen ja analysoinnin jälkeen laadittava poikkeamaraportti käyttäen 18 artiklassa tarkoitettua mallia ja toimitettava se toimivaltaiselle viranomaiselle.

Raportissa on esitettävä kaikki tiedot, jotka toimivaltainen viranomainen tarvitsee voidakseen määrittää laajavaikutteisen TVT:hen liittyvän poikkeaman merkityksen ja arvioida mahdollisia rajatylittäviä vaikutuksia.

2.Jos laajavaikutteinen TVT:hen liittyvä poikkeama on vaikuttanut tai voi vaikuttaa palvelun käyttäjien ja asiakkaiden taloudellisiin etuihin, finanssiyhteisöjen on ilman aiheetonta viivytystä ilmoitettava palvelun käyttäjille ja asiakkaille laajavaikutteisesta TVT:hen liittyvästä poikkeamasta ja mahdollisimman pian myös kaikista toimenpiteistä, joita ne ovat toteuttaneet lieventääkseen tällaisen poikkeaman haitallisia vaikutuksia.

3.Finanssiyhteisöjen on toimitettava 41 artiklassa tarkoitetuille toimivaltaisille viranomaisille:

(a)alustava ilmoitus viipymättä, mutta viimeistään työpäivän päättymiseen mennessä, tai jos kyseessä on laajavaikutteinen TVT:hen liittyvä poikkeama, joka tapahtui alle 2 tuntia ennen työpäivän päättymistä, viimeistään 4 tunnin kuluttua seuraavan työpäivän alkamisesta, tai jos raportointikanavat eivät ole käytettävissä, heti kun ne ovat käytettävissä;

(b)väliraportti viimeistään 1 viikon kuluttua a alakohdassa tarkoitetun alustavan ilmoituksen lähettämisestä, ja tarvittaessa päivitetyt ilmoitukset aina kun asiaa koskeva tilannepäivitys on saatavilla, sekä toimivaltaisen viranomaisen sitä erikseen pyytäessä;

(c)loppuraportti, kun perimmäisten syiden analysointi on saatu päätökseen, riippumatta siitä, onko lieventäviä toimenpiteitä jo toteutettu, ja kun arvioiden sijasta voidaan esittää todellisia vaikutuksia koskevat luvut, mutta viimeistään yhden kuukauden kuluttua alustavan ilmoituksen lähettämisestä.

4.Finanssiyhteisöt voivat siirtää tämän artiklan mukaiset raportointivelvollisuudet palveluntarjoajana olevalle kolmannelle osapuolelle vain jos 41 artiklassa tarkoitettu asianomainen toimivaltainen viranomainen hyväksyy siirtämisen.

5.Toimivaltaisen viranomaisen on 1 kohdassa tarkoitetun raportin saatuaan viipymättä toimitettava poikkeamaa koskevat yksityiskohtaiset tiedot seuraaville:

(a)tapauksen mukaan EPV:lle, ESMAlle tai EIOPAlle;

(b)tarvittaessa EKP:lle, jos kyseessä ovat 2 artiklan 1 kohdan a, b ja c alakohdassa tarkoitetut finanssiyhteisöt; ja

(c)direktiivin (EU) 2016/1148 8 artiklan nojalla nimetylle keskitetylle yhteyspisteelle.

6.EPV, ESMA tai EIOPA ja EKP arvioivat laajavaikutteisen TVT:hen liittyvän poikkeaman merkitystä muiden asiaankuuluvien viranomaisten kannalta ja ilmoittavat arvionsa niille mahdollisimman pian. EKP ilmoittaa Euroopan keskuspankkijärjestelmän jäsenille maksujärjestelmien kannalta merkityksellisistä seikoista. Toimivaltaisten viranomaisten on kyseisen ilmoituksen perusteella toteutettava tapauksen mukaan kaikki tarvittavat toimenpiteet suojellakseen rahoitusjärjestelmän välitöntä vakautta.

18 artikla

Raportoinnin sisällön ja muodon yhdenmukaistaminen

1.Euroopan valvontaviranomaiset laativat yhteiskomiteassa ja ENISAa ja Euroopan keskuspankkia kuultuaan

(a)yhteisiä teknisten sääntelystandardien luonnoksia, jotta voidaan

(1)määrittää laajavaikutteisia TVT:hen liittyviä poikkeamia koskevan raportoinnin sisältö;

(2)täsmentää edellytykset, joiden täyttyessä finanssiyhteisöt voivat toimivaltaisen viranomaisen ennakkohyväksynnän saatuaan siirtää tässä luvussa säädetyt raportointivelvoitteet palveluntarjoajana olevalle kolmannelle osapuolelle;

(b)yhteiset teknisten täytäntöönpanostandardien luonnokset, jotta voidaan vahvistaa vakiomuotoiset lomakkeet, mallit ja menettelyt, joiden avulla finanssiyhteisöt raportoivat laajavaikutteisista TVT:hen liittyvistä poikkeamista.

Euroopan valvontaviranomaisten on toimitettava 1 kohdan a alakohdassa tarkoitetut yhteisten teknisten sääntelystandardien luonnokset ja 1 kohdan b alakohdassa tarkoitetut yhteiset teknisten täytäntöönpanostandardien luonnokset komissiolle viimeistään xx 202x [Julkaisutoimisto lisää päivämäärän, joka on 1 vuoden kuluttua voimaantulopäivästä].

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä 1 kohdan a alakohdassa tarkoitetut yhteiset tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1095/2010 ja (EU) N:o 1094/2010 10–14 artiklan mukaisesti.

Siirretään komissiolle valta hyväksyä 1 kohdan b alakohdassa tarkoitetut tekniset täytäntöönpanostandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1095/2010 ja (EU) N:o 1094/2010 15 artiklan mukaisesti.

19 artikla

Laajavaikutteisia TVT:hen liittyviä poikkeamia koskevan raportoinnin keskittäminen

1.Euroopan valvontaviranomaiset laativat yhteiskomiteassa ja EKP:ta ja ENISAa kuullen yhteisen raportin, jossa arvioidaan mahdollisuuksia keskittää poikkeamaraportointia edelleen ottamalla finanssiyhteisöjen suorittamaa laajavaikutteisia TVT:hen liittyviä poikkeamia koskevaa raportointia varten käyttöön yksi yhteinen EU:n keskus. Raportissa on tutkittava keinoja helpottaa TVT:hen liittyviä poikkeamia koskevaa jatkuvaa raportointia, vähentää siihen liittyviä kustannuksia ja tukea aihekohtaisia analyyseja valvontakäytäntöjen lähentymisen tehostamiseksi.

2.Edellä 1 kohdassa tarkoitetussa raportissa on tarkasteltava ainakin seuraavia seikkoja:

(a)edellytykset tällaisen EU:n keskuksen perustamiselle;

(b)hyödyt, rajoitukset ja mahdolliset riskit;

(c)käytännön hallinnointiin liittyvät seikat;

(d)jäsenyyden ehdot;

(e)säännöt, joiden mukaisesti finanssiyhteisöt ja kansalliset toimivaltaiset viranomaiset voivat päästä EU:n keskukseen;

(f)alustava arvio EU:n keskusta tukevan operatiivisen alustan perustamiseen liittyvistä rahoituskustannuksista, tarvittava asiantuntemus mukaan lukien.

3.Euroopan valvontaviranomaisten on toimitettava 1 kohdassa tarkoitettu raportti komissiolle, Euroopan parlamentille ja neuvostolle viimeistään xx 202x [Julkaisutoimisto lisää päivämäärän, joka on 3 vuoden kuluttua voimaantulopäivästä].

20 artikla

Valvojan palaute

1.Toimivaltaisen viranomaisen on 17 artiklan 1 kohdassa tarkoitetun ilmoituksen saatuaan ilmoitettava sen vastaanottamisesta ja annettava finanssiyhteisölle mahdollisimman pian kaikki tarvittava palaute tai ohjeistus erityisesti jotta kyseisen yhteisön tasolla voidaan keskustella korjaustoimenpiteistä tai keinoista minimoida kielteiset vaikutukset eri aloilla.

2.Euroopan valvontaviranomaiset raportoivat yhteiskomiteassa vuosittain toimivaltaisilta viranomaisilta saaduista laajavaikutteisia TVT:hen liittyviä poikkeamia koskevista ilmoituksista anonymisoitujen ja yhdistettyjen tietojen pohjalta ja esittävät ainakin laajavaikutteisten TVT:hen liittyvien poikkeamien lukumäärän, luonteen, vaikutuksen finanssiyhteisöjen toimintoihin tai asiakkaisiin sekä niistä aiheutuneet kustannukset ja toteutetut korjaustoimenpiteet.

Euroopan valvontaviranomaiset antavat varoituksia ja tuottavat laadukkaita tilastoja TVT-uhkien ja haavoittuvuusarviointien tueksi.

IV LUKU

DIGITAALISEN HÄIRIÖNSIETOKYVYN TESTAUS

21 artikla

Digitaalisen häiriönsietokyvyn testausta koskevat yleiset vaatimukset

1.Voidakseen arvioida varautumista TVT:hen liittyviin poikkeamiin ja yksilöidä digitaalisen häiriönsietokyvyn heikkouksia, puutteita tai aukkoja ja toteuttaa korjaavia toimenpiteitä nopeasti, finanssiyhteisöjen on kokonsa, liiketoimintansa ja riskiprofiilinsa huomioon ottaen laadittava digitaalisen häiriönsietokyvyn testausohjelma, joka on olennainen osa 5 artiklassa tarkoitettua TVT-riskinhallintajärjestelmää, pidettävä sitä yllä ja tarkistettava sitä.

2.Digitaalisen häiriönsietokyvyn testausohjelman on sisällettävä erilaisia arviointeja, testejä, menetelmiä, käytäntöjä ja välineitä, joita sovelletaan 22 ja 23 artiklan säännösten mukaisesti.

3.Finanssiyhteisöjen on 1 kohdassa tarkoitettua digitaalisen häiriönsietokyvyn testausohjelmaa toteuttaessaan noudatettava riskiperusteista lähestymistapaa, ottaen huomioon muuttuvat TVT-riskit, finanssiyhteisöön mahdollisesti kohdistuvat erityiset riskit, tieto-omaisuuden ja tarjottujen palvelujen kriittisyyden sekä kaikki muut tekijät, jotka finanssiyhteisö katsoo aiheellisiksi.

4.Finanssiyhteisöjen on varmistettava, että testien suorittajat ovat riippumattomia, olivatpa ne sisäisiä tai ulkoisia osapuolia.

5.Finanssiyhteisöjen on laadittava menettelyt ja toimintaperiaatteet, joiden avulla ne voivat asettaa tärkeysjärjestykseen, luokitella ja korjata kaikki testien aikana havaitut ongelmat, ja otettava käyttöön sisäiset validointimenetelmät sen varmistamiseksi, että kaikki havaitut heikkoudet, puutteet ja aukot korjataan kaikilta osin.

6.Finanssiyhteisöjen on testattava kaikki kriittiset TVT-järjestelmät ja -sovellukset vähintään kerran vuodessa.

22 artikla

TVT-välineiden ja -järjestelmien testaus

1.Edellä 21 artiklassa tarkoitetussa digitaalisen häiriönsietokyvyn testausohjelmassa on säädettävä kaikkien tarvittavien testien suorittamisesta, mukaan lukien haavoittuvuusarvioinnit ja -kartoitukset, avoimen lähdekoodin analyysit, verkkoturvallisuusarvioinnit, kuiluanalyysit, fyysisen turvallisuuden tarkastelut, kyselylomakkeet ja ohjelmistoratkaisujen kartoittaminen, lähdekoodin tarkastelut siltä osin kuin mahdollista, skenaarioihin perustuvat testit, yhteensopivuustestaus, suorituskykytestaus, päästä päähän -testaus ja tunkeutumistestaus.

2.Edellä 2 artiklan 1 kohdan f ja g alakohdassa tarkoitettujen finanssiyhteisöjen on suoritettava haavoittuvuusarviointeja ennen kuin ne ottavat (uudelleen) käyttöön uusia tai olemassa olevia palveluja, jotka tukevat finanssiyhteisön kriittisiä toimintoja, sovelluksia ja infrastruktuurikomponentteja.

23 artikla

TVT-välineiden, -järjestelmien ja -prosessien kehittynyt testaus uhkaperusteisen tunkeutumistestauksen pohjalta

1.Jäljempänä 4 kohdassa tarkoitettujen finanssiyhteisöjen on suoritettava vähintään 3 vuoden välein kehittynyt testaus uhkaperusteisen tunkeutumistestauksen avulla.

2.Uhkaperusteisen tunkeutumistestauksen on katettava ainakin finanssiyhteisön kriittiset toiminnot ja palvelut ja se on toteutettava tällaisia toimintoja tukevilla toiminnassa olevilla tuotantojärjestelmillä. Finanssiyhteisöjen on määritettävä kriittisten toimintojen ja palvelujen arvioinnin perusteella uhkaperusteisen tunkeutumistestauksen tarkka soveltamisala, jonka toimivaltaiset viranomaiset vahvistavat.

Ensimmäistä alakohtaa sovellettaessa finanssiyhteisöjen on yksilöitävä kaikki kriittisiä toimintoja ja palveluja tukevat keskeiset TVT-prosessit, -järjestelmät ja -teknologiat, mukaan lukien toiminnot ja palvelut, jotka on ulkoistettu tai joista on tehty sopimus TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa.

Jos uhkaperusteisen tunkeutumistestauksen soveltamisalaan kuuluu TVT-palveluntarjoajana olevia kolmansia osapuolia, finanssiyhteisön on toteutettava tarvittavat toimenpiteet varmistaakseen näiden palveluntarjoajien osallistumisen.

Finanssiyhteisöjen on sovellettava vaikuttavia riskienhallinnan valvontamenetelmiä vähentääkseen datalle tai omaisuuserille aiheutuvien mahdollisten vahinkojen ja kriittisten palvelujen tai toimintojen keskeytymisen riskiä finanssiyhteisössä itsessään, sen vastapuolissa tai finanssialalla.

Testauksen lopuksi, kun raporteista ja korjaussuunnitelmista on sovittu, finanssiyhteisön ja ulkopuolisten testaajien on toimitettava toimivaltaiselle viranomaiselle asiakirjat, joissa vahvistetaan, että uhkaperusteinen tunkeutumistestaus on suoritettu vaatimusten mukaisesti. Toimivaltaisten viranomaisten on vahvistettava asiakirjat ja annettava siitä todistus.

3.Finanssiyhteisöjen on tehtävä testaajien kanssa sopimus uhkaperusteisen tunkeutumistestauksen tekemistä varten 24 artiklan mukaisesti.

Toimivaltaisten viranomaisten on yksilöitävä finanssiyhteisöt, joilta uhkaperusteisen tunkeutumistestauksen tekemistä edellytetään, ottaen oikeasuhteisella tavalla huomioon finanssiyhteisön koko, toiminnan laajuus ja luonne ja finanssiyhteisön kokonaisriskiprofiili, seuraavien seikkojen arvioinnin perusteella:

(a)vaikutuksiin liittyvät tekijät, erityisesti finanssiyhteisön tarjoamien palvelujen ja sen toimintojen kriittisyys;

(b)mahdolliset rahoitusvakauteen liittyvät ongelmat, tarvittaessa mukaan lukien finanssiyhteisön järjestelmään liittyvä luonne kansallisella tai unionin tasolla;

(c)erityinen TVT-riskiprofiili, finanssiyhteisön TVT-valmiuksien taso tai siihen liittyvät tekniset ominaisuudet.

4.EPV, ESMA ja EIOPA laativat, EKP:tä kuultuaan ja ottaen huomioon tiedusteluun perustuvaan tunkeutumistestaukseen unionissa sovellettavat asiaankuuluvat puitteet, teknisten sääntelystandardien luonnoksia, joissa täsmennetään tarkemmin:

(a)tämän artiklan 6 kohdan soveltamiseksi käytetyt kriteerit;

(b)vaatimukset, jotka koskevat

(a)tämän artiklan 2 kohdassa tarkoitetun uhkaperusteisen tunkeutumistestauksen soveltamisalaa;

(b)testausmenetelmää ja lähestymistapaa, jota kussakin testausprosessin vaiheessa on noudatettava;

(c)testauksen tulokset, sen lopettaminen ja korjaustoimenpiteiden vaiheet;

(c)valvontayhteistyö, jollaista uhkaperusteisen tunkeutumistestauksen toteuttamisessa tarvitaan finanssiyhteisöissä, jotka toimivat useammassa kuin yhdessä jäsenvaltiossa, jotta saavutetaan asianmukainen valvonnan taso ja joustava toteutus niin, että voidaan ottaa huomioon finanssialan alasektoreiden tai paikallisten finanssimarkkinoiden erityispiirteet.

Euroopan valvontaviranomaiset toimittavat nämä teknisten sääntelystandardien luonnokset komissiolle viimeistään [Julkaisutoimisto lisää päivämäärän, joka on 2 kuukauden kuluttua voimaantulosta.].

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä toisessa alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1095/2010 ja (EU) N:o 1094/2010 10–14 artiklan mukaisesti.

24 artikla

Testaajia koskevat vaatimukset

1.Finanssiyhteisöjen on käytettävä uhkaperusteisen tunkeutumistestauksen suorittamiseen vain sellaisia testaajia,

(a)joiden soveltuvuus ja maine ovat erityisen korkeaa tasoa;

(b)joilla on tarvittavat tekniset ja organisatoriset valmiudet ja näyttöä siitä, että heillä on erityistä asiantuntemusta uhkatiedustelusta, tunkeutumistestauksesta tai hyökkäystestauksesta (red team);

(c)joilla on jonkin jäsenvaltion akkreditointielimen myöntämä sertifiointi tai jotka noudattavat virallisia käytännesääntöjä tai eettisiä sääntöjä;

(d)jotka, jos kyseessä ovat ulkopuoliset testaajat, esittävät riippumattoman tahon antaman varmistuksen tai auditointikertomuksen, jonka mukaan uhkaperusteisen tunkeutumistestauksen toteuttamiseen liittyvien riskien hallinnointi on moitteetonta, finanssiyhteisön luottamukselliset tiedot on suojattu asianmukaisella tavalla ja käytössä on oikeussuojakeinot finanssiyhteisön liiketoimintariskien osalta;

(e)joilla, jos kyseessä ovat ulkopuoliset testaajat, on asianmukainen ja kattava ammatillinen vastuuvakuutus, joka kattaa myös väärinkäytöksistä ja huolimattomuudesta johtuvat riskit.

2.Finanssiyhteisöjen on varmistettava, että ulkopuolisten testaajien kanssa tehdyissä sopimuksissa edellytetään uhkaperusteisen tunkeutumistestauksen tulosten moitteetonta hallintaa ja että testitulosten käsittely, mukaan lukien tulosten generointi, luonnostelu, tallentaminen, koontaminen, raportointi, välittäminen tai tuhoaminen, eivät aiheuta finanssiyhteisölle riskejä.

V LUKU

KOLMANSIIN OSAPUOLIIN LIITTYVÄN TVT-RISKIN HALLINTA

I JAKSO

Kolmansiin osapuoliin liittyvän TVT-riskin moitteetonta hallintaa koskevat keskeiset periaatteet

25 artikla

Yleiset periaatteet

Finanssiyhteisöjen on hallinnoitava TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvää riskiä erottamattomana osana TVT-riskejä TVT-riskinhallintajärjestelmänsä puitteissa ja seuraavien periaatteiden mukaisesti:

1.Finanssiyhteisöt, jotka ovat tehneet sopimusjärjestelyjä TVT-palvelujen käytöstä liiketoimintojensa hoitamista varten, ovat aina täysin vastuussa kaikkien tästä asetuksesta ja sovellettavasta finanssipalvelulainsäädännöstä johtuvien velvoitteiden noudattamisesta ja velvollisuuksien suorittamisesta.

2.TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvän riskin hallinta on toteutettava finanssiyhteisöissä oikeasuhteisuusperiaatteen mukaisesti ottaen huomioon seuraavat:

(a)TVT:hen liittyvien riippuvuuksien laajuus, monitahoisuus ja tärkeys;

(b)TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa TVT-palvelujen käytöstä tehtyihin sopimusjärjestelyihin liittyvät riskit, ottaen huomioon kyseisen palvelun, prosessin tai toiminnon kriittisyys tai tärkeys ja sen mahdollinen vaikutus finanssipalvelujen ja -toimintojen jatkuvuuteen ja laatuun sekä yksittäisten yhteisöjen että konsernien tasolla.

3.Finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä hyväksyttävä TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyviä riskejä koskeva strategia ja tarkistettava sitä säännöllisesti, ottaen huomioon 5 artiklan 9 kohdan g alakohdassa tarkoitettu TVT-toimitusten monipuolistamiseen tähtäävä strategia. Mainitussa strategiassa on määriteltävä TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä koskevat toimintaperiaatteet, joita on sovellettava sekä yksittäisten yhteisöjen että tarvittaessa alakonsolidointiryhmien ja konsolidointiryhmien tasolla. Hallintoelimen on tarkasteltava kriittisten tai tärkeiden toimintojen ulkoistamiseen liittyviä riskejä säännöllisesti uudelleen.

4.Finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä pidettävä yllä ja päivitettävä yhteisön tasolla sekä alakonsolidointiryhmän ja konsolidointiryhmän tasolla tietorekisteriä kaikista TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehdyistä TVT-palvelujen käyttöä koskevista sopimusjärjestelyistä.

Ensimmäisessä alakohdassa tarkoitetut sopimusjärjestelyt on dokumentoitava asianmukaisesti siten, että toisistaan erotetaan järjestelyt, jotka kattavat kriittiset tai tärkeät toiminnot, ja muut toiminnot.

Finanssiyhteisöjen on ilmoitettava toimivaltaisille viranomaisille vähintään vuosittain tiedot TVT-palvelujen käyttöä koskevista uusista järjestelyistä, TVT-palveluntarjoajana olevien kolmansien osapuolten ryhmistä, sopimusjärjestelyjen tyypistä ja tarjotuista palveluista ja toiminnoista.

Finanssiyhteisöjen on toimitettava toimivaltaiselle viranomaiselle pyynnöstä tietorekisteri kokonaisuudessaan tai pyynnön mukaan sen tietyt osat sekä kaikki finanssiyhteisön tehokasta valvontaa varten tarpeellisiksi katsotut tiedot.

Finanssiyhteisöjen on ilmoitettava toimivaltaiselle viranomaiselle hyvissä ajoin suunnitelmista tehdä kriittisiä tai tärkeitä toimintoja koskeva sopimus sekä siitä, että jostakin toiminnosta on tullut kriittinen tai tärkeä.

5.Ennen kuin finanssiyhteisöt tekevät TVT-palvelujen käyttöä koskevan sopimusjärjestelyn, niiden on

(a)arvioitava, kattaako sopimusjärjestely jonkin kriittisen tai tärkeän toiminnon;

(b)arvioitava, täyttyvätkö sopimuksentekoa koskevat valvontaedellytykset;

(c)määritettävä ja arvioitava kaikki sopimusjärjestelyyn liittyvät riskit, mukaan lukien mahdollisuus, että tällaiset sopimusjärjestelyt voivat osaltaan edistää TVT-keskittymäriskin voimistumista;

(d)toteutettava mahdollisten TVT-palveluntarjoajana olevien kolmansien osapuolten suhteen kaikki asianmukaista huolellisuutta koskevat menettelyt ja varmistettava koko valinta- ja arviointiprosessin ajan, että TVT-palveluntarjoaja on sopiva;

(e)määritettävä ja arvioitava sopimusjärjestelystä mahdollisesti aiheutuvat eturistiriidat.

6.Finanssiyhteisöt voivat tehdä sopimusjärjestelyjä vain sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa, jotka noudattavat korkeita, asianmukaisia ja uusimpia tietoturvastandardeja.

7.Kun finanssiyhteisöt käyttävät TVT-palveluntarjoajana olevan kolmannen osapuolen suhteen pääsy-, tarkastus- ja auditointioikeutta, niiden on riskiperusteisen lähestymistavan mukaisesti määritettävä ennalta auditointien ja tarkastusten tiheys ja auditoitavat alueet noudattaen yleisesti hyväksyttyjä auditointistandardeja tällaisten standardien käytöstä ja niiden noudattamisesta mahdollisesti annettujen valvontaohjeiden mukaisesti.

Jos sopimusjärjestelyt ovat teknisesti hyvin monimutkaisia, finanssiyhteisön on varmistettava, että auditoijilla (sisäisillä tarkastajilla, auditointiryhmillä tai ulkopuolisilla auditoijilla) on asianmukaiset taidot ja tiedot auditointien ja arviointien tuloksellista suorittamista varten.

8.Finanssiyhteisöjen on varmistettava, että TVT-palvelujen käyttöä koskevat sopimusjärjestelyt irtisanotaan ainakin seuraavissa olosuhteissa:

(a)TVT-palveluntarjoajana oleva kolmas osapuoli rikkoo sovellettavia lakeja ja määräyksiä tai sopimusehtoja;

(b)TVT-palveluntarjoajana oleviin kolmansiin osapuoliin liittyvien riskien valvonnan yhteydessä havaitaan seikkoja, joiden katsotaan voivan muuttaa sopimusjärjestelyn puitteissa tarjottujen toimintojen suorittamista, mukaan lukien olennaiset muutokset, jotka vaikuttavat järjestelyyn tai TVT-palveluntarjoajana olevan kolmannen osapuolen tilanteeseen;

(c)todennetut heikkoudet, jotka liittyvät TVT-palveluntarjoajana olevan kolmannen osapuolen yleiseen TVT-riskinhallintaan ja erityisesti siihen, miten se varmistaa luottamuksellisten ja henkilötietojen tai muutoin arkaluonteisten tai muiden kuin henkilötietojen turvallisuuden ja eheyden;

(d)olosuhteet, joissa toimivaltainen viranomainen ei voi asianomaisen sopimusjärjestelyn seurauksena enää valvoa finanssiyhteisöä tehokkaasti.

9.Finanssialan yhteisöjen on otettava käyttöön irtautumisstrategiat, jotta ne voivat ottaa huomioon mahdolliset TVT-palveluntarjoajana olevien kolmansien osapuolten tasolla ilmenevät riskit, erityisesti niiden mahdollisen vikaantumisen, tarjottujen toimintojen laadun heikkenemisen, virheellisestä tai viallisesta palvelutarjonnasta johtuvat liiketoiminnan keskeytymiset tai toiminnon asianmukaiseen ja jatkuvaan käyttöön kohdistuvat olennaiset riskit.

Finanssiyhteisöjen on varmistettava, että ne voivat irtautua sopimusjärjestelyistä ilman, että

(a)niiden liiketoiminnot keskeytyvät;

(b)lakisääteisten vaatimusten noudattamista rajoitetaan;

(c)asiakkaille tarjottavien palvelujen jatkuvuus ja laatu kärsivät.

Irtautumissuunnitelmien on oltava kattavia, dokumentoituja ja tarvittaessa riittävästi testattuja.

Finanssiyhteisöjen on määritettävä vaihtoehtoisia ratkaisuja ja laadittava siirtymäsuunnitelmia, joiden avulla ne voivat poistaa sopimusten kattamat toiminnot ja niihin liittyvän datan TVT-palveluntarjoajana olevilta kolmansilta osapuolilta ja siirtää ne turvallisesti ja kokonaisuudessaan vaihtoehtoisille palveluntarjoajille tai integroida ne uudelleen yhteisön sisällä.

Finanssiyhteisöjen on toteutettava asianmukaiset varotoimenpiteet liiketoiminnan jatkuvuuden ylläpitämiseksi kaikissa ensimmäisessä alakohdassa tarkoitetuissa tilanteissa.

10.Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia teknisiksi täytäntöönpanostandardeiksi, joissa määritetään vakiomuotoiset mallit 4 kohdassa tarkoitettua tietorekisteriä varten.

Euroopan valvontaviranomaiset toimittavat nämä teknisten täytäntöönpanostandardien luonnokset komissiolle viimeistään [Julkaisutoimisto lisää päivämäärän, joka on 1 vuoden kuluttua tämän asetuksen voimaantulosta].

Siirretään komissiolle valta hyväksyä ensimmäisessä alakohdassa tarkoitetut tekniset täytäntöönpanostandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1095/2010 ja (EU) N:o 1094/2010 15 artiklan mukaisesti.

11.Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia teknisiksi sääntelystandardeiksi, joissa

(a)täsmennetään edellä 3 kohdassa tarkoitettujen toimintaperiaatteiden yksityiskohtainen sisältö TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käytöstä tehtyjen sopimusjärjestelyjen osalta viittaamalla asianomaisten järjestelyjen elinkaaren keskeisiin vaiheisiin;

(b)vahvistetaan, mitä tietoja 4 kohdassa tarkoitettuun tietorekisteriin on tallennettava.

Euroopan valvontaviranomaiset toimittavat nämä teknisten sääntelystandardien luonnokset komissiolle viimeistään [Julkaisutoimisto lisää päivämäärän, joka on 1 vuoden kuluttua voimaantulosta].

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä toisessa alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1095/2010 ja (EU) N:o 1094/2010 10–14 artiklan mukaisesti.

26 artikla

TVT-keskittymäriskin alustava arviointi ja edelleenulkoistamisjärjestelyt

1.Kun finanssiyhteisöt suorittavat 25 artiklan 5 kohdan c alakohdassa tarkoitettua TVT-keskittymäriskin määritystä ja arviointia, niiden on otettava huomioon, johtaisiko TVT-palveluja koskevan sopimusjärjestelyn tekeminen

(a)sopimukseen vaikeasti korvattavissa olevan TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa; tai

(b)useisiin TVT-palvelujen tarjoamista koskeviin sopimusjärjestelyihin yhden ja saman TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tai toisiinsa läheisesti yhteydessä olevien TVT-palveluntarjoajina olevien kolmansien osapuolten kanssa.

Finanssiyhteisöjen on punnittava vaihtoehtoisten ratkaisujen, kuten useampien eri TVT-palveluntarjoajina olevien kolmansien osapuolten käytön, hyötyjä ja kustannuksia ottaen huomioon, vastaavatko suunnitellut ratkaisut niiden liiketoiminnan tarpeita ja digitaalisen häiriönsietokyvyn strategiassa asetettuja tavoitteita.

2.Jos TVT-palvelujen käyttöä koskevaan sopimusjärjestelyyn sisältyy mahdollisuus, että TVT-palveluntarjoajana oleva kolmas osapuoli edelleenulkoistaa kriittisen tai tärkeän toiminnon muille TVT-palveluntarjoajina oleville kolmansille osapuolille, finanssiyhteisöjen on punnittava etuja ja riskejä, joita tällaisesta mahdollisesta edelleenulkoistamisesta voi aiheutua, erityisesti siinä tapauksessa, että on kyse kolmanteen maahan sijoittautuneesta TVT-alihankkijasta.

Jos TVT-palvelujen käyttöä koskevista sopimusjärjestelyistä sovitaan kolmanteen maahan sijoittautuneen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa, finanssiyhteisöjen on otettava huomioon ainakin seuraavat tekijät:

(a)tietosuojan noudattaminen;

(b)lainsäädännön tosiasiallinen noudattaminen;

(c)maksukyvyttömyyslainsäädännön säännökset, joita sovelletaan, jos TVT-palveluntarjoajana oleva kolmas osapuoli ajautuu konkurssiin;

(d)pakottavat tilanteet, joita voi syntyä finanssiyhteisön datan kiireelliseen takaisinsaantiin liittyen.

Finanssiyhteisöjen on arvioitava, voivatko mahdollisesti pitkät tai monimutkaiset edelleenulkoistusketjut vaikuttaa niiden kykyyn kaikilta osin seurata ulkoistettuja toimintoja ja toimivaltaisen viranomaisen kykyyn tosiasiallisesti valvoa finanssiyhteisöä tältä osin.

27 artikla

Keskeiset sopimusmääräykset

1.Finanssiyhteisön ja TVT-palveluntarjoajana olevan kolmannen osapuolen oikeudet ja velvoitteet on jaettava selkeästi ja vahvistettava kirjallisesti. Koko sopimus, joka sisältää palvelutasosopimukset, on dokumentoitava yhdessä kirjallisessa asiakirjassa, joka on osapuolten käytettävissä paperilla tai ladattavassa ja saatavilla olevassa muodossa.

2.TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin on sisällytettävä ainakin seuraavat:

(a)kaikkien TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien toimintojen ja palvelujen selkeä ja kaikenkattava kuvaus, josta käy ilmi, onko kriittisen tai tärkeän toiminnon tai sen olennaisten osien edelleenulkoistaminen sallittua, ja jos on, tällaiseen edelleenulkoistamiseen sovellettavat ehdot;

(b)paikat, joissa ulkoistetut tai edelleenulkoistetut toiminnot ja palvelut on määrä tarjota ja joissa dataa on tarkoitus käsitellä, mukaan lukien datan säilytyspaikka, ja TVT-palveluntarjoajana olevalle kolmannelle osapuolelle asetettu vaatimus ilmoittaa finanssiyhteisölle, jos se suunnittelee näiden paikkojen muuttamista;

(c)määräykset, jotka koskevat henkilötietojen saavutettavuutta, käytettävyyttä, eheyttä, turvallisuutta ja suojaa sekä sen varmistamista, että finanssiyhteisön käsittelemät henkilötiedot ja muut kuin henkilötiedot voidaan saavuttaa, pelastaa ja palauttaa helposti saatavilla olevassa muodossa siinä tapauksessa, että TVT-palvelujentarjoajana oleva kolmas osapuoli on maksukyvytön tai kriisinratkaisun kohteena tai se lopettaa liiketoimintansa;

(d)kattavat palvelutason kuvaukset, mukaan lukien niiden päivitykset ja tarkistukset, sekä täsmälliset määrälliset ja laadulliset suoritustavoitteet sovittujen palvelutasojen sisällä, jotta finanssiyhteisö voi tosiasiallisesti seurata tilannetta ja jotta asianmukaisia korjaustoimia voidaan toteuttaa ilman aiheetonta viivytystä, jos sovittuja palvelutasoja ei saavuteta;

(e)TVT-palveluntarjoajana olevan kolmannen osapuolen irtisanomisajat ja raportointivelvoitteet suhteessa finanssiyhteisöön, mukaan lukien ilmoittaminen kaikesta sellaisesta kehityksestä, jolla voi olla olennainen vaikutus TVT-palveluntarjoajana olevan kolmannen osapuolen kykyyn tosiasiallisesti suorittaa kriittisiä tai tärkeitä toimintoja sovittujen palvelutasojen mukaisesti;

(f)TVT-palveluntarjoajana olevan kolmannen osapuolen velvoite antaa apua TVT-poikkeaman tapauksessa ilman lisäkustannuksia tai ennalta määritetyin kustannuksin;

(g)TVT-palveluntarjoajana olevalle kolmannelle osapuolelle asetetut vaatimukset toteuttaa ja testata liiketoiminnan jatkuvuussuunnitelmia ja TVT:hen liittyviä turvallisuustoimenpiteitä, -välineitä ja -periaatteita, jotka riittävät takaamaan, että finanssiyhteisö tarjoaa palveluja turvallisesti sääntelykehyksensä mukaisesti;

(h)oikeus koko ajan seurata TVT-palveluntarjoajana olevan kolmannen osapuolen suoriutumista, mihin kuuluu:

i)finanssiyhteisön tai nimetyn kolmannen osapuolen oikeus tutustua asiaankuuluvaan dokumentaation ja tutkia ja auditoida sitä sekä oikeus ottaa siitä jäljennöksiä ilman, että muut sopimusjärjestelyt tai toteutusperiaatteet estävät tai rajoittavat tämän oikeuden tosiasiallista käyttöä;

ii)oikeus sopia vaihtoehtoisista varmuustasoista, jos muiden asiakkaiden oikeuksiin kohdistuu vaikutuksia;

iii)sitoutuminen täysimääräiseen yhteistyöhön finanssiyhteisön paikalla tekemien tarkastusten aikana sekä yksityiskohtaiset tiedot etäauditointien laajuudesta, yksityiskohtaisista säännöistä ja tiheydestä;

(i)TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuus tehdä täysimääräistä yhteistyötä finanssiyhteisön toimivaltaisten viranomaisten ja kriisinratkaisuviranomaisten kanssa, mukaan lukien niiden nimittämät henkilöt;

(j)irtisanomisoikeudet ja niihin liittyvä toimivaltaisten viranomaisten odotuksia vastaava sopimuksen vähimmäisirtisanomisaika;

(k)irtautumisstrategiat, erityisesti riittävän pitkä pakollinen siirtymäkausi

(a)jonka aikana TVT-palveluntarjoajana oleva kolmas osapuoli jatkaa asianomaisten toimintojen tai palvelujen tarjoamista finanssiyhteisön häiriöriskin pienentämiseksi;

(b)joka antaa finanssiyhteisölle mahdollisuuden vaihtaa toiseen TVT-palveluntarjoajana toimivaan kolmanteen osapuoleen tai vaihtaa sisäisiin ratkaisuihin tarjotun palvelun monitahoisuutta vastaavasti.

3.Sopimusjärjestelyistä neuvotellessaan finanssiyhteisöjen ja TVT-palveluntarjoajina toimivien kolmansien osapuolien on harkittava yksittäisiä palveluja varten laadittujen mallisopimuslausekkeiden käyttöä.

4.Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia teknisiksi sääntelystandardeiksi, joissa täsmennetään tarkemmin seikat, jotka finanssiyhteisön on määritettävä ja arvioitava, kun kriittisiä tai tärkeitä toimintoja edelleenulkoistetaan, jotta 2 kohdan a alakohdan säännöksiä voidaan soveltaa asianmukaisesti.

Euroopan valvontaviranomaiset toimittavat nämä teknisten täytäntöönpanostandardien luonnokset komissiolle viimeistään [julkaisutoimisto lisää päivämäärän, joka on 1 vuoden kuluttua voimaantulopäivästä].

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1095/2010 ja (EU) N:o 1094/2010 10–14 artiklan mukaisesti.

II JAKSO

Kriittisten TVT-palveluntarjoajina toimivien kolmansien osapuolten valvontakehys

28 artikla

Kriittisten TVT-palveluntarjoajina toimivien kolmansien osapuolten nimeäminen

1.Yhteiskomitean välityksellä ja 29 artiklan 1 kohdan nojalla perustetun valvontafoorumin suosituksesta Euroopan valvontaviranomaiset

(a)nimeävät finanssiyhteisöjen kannalta kriittiset TVT-palveluntarjoajina toimivat kolmannet osapuolet ottaen huomioon 2 kohdassa täsmennetyt kriteerit;

(b)nimittävät kullekin kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle päävalvojaksi joko EPV:n, EAMV:n tai EIOPAn riippuen siitä, muodostaako kyseisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen palveluja käyttävien, asetuksen (EU) N:o 1093/2010, asetuksen (EU) N:o 1094/2010 tai asetuksen (EU) N:o 1095/2010 soveltamisalaan kuuluvien finanssiyhteisöjen varojen kokonaisarvo yli puolet kaikkien kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen palveluja käyttävien finanssiyhteisöjen yhteenlaskettujen varojen kokonaisarvosta kyseisten finanssiyhteisöjen konsolidoitujen tasetietojen perusteella tai, jos tasetta ei ole konsolidoitu, erillisten taseiden perusteella;

2.Edellä 1 kohdan a alakohdassa tarkoitettu nimeäminen perustuu kaikkiin seuraaviin kriteereihin:

(a)järjestelmävaikutus finanssipalvelujen tarjoamisen vakauteen, jatkuvuuteen tai laatuun siinä tapauksessa, että asianomainen TVT-palveluntarjoajana oleva kolmas osapuoli epäonnistuisi laajamittaisesti palvelujensa tarjoamisessa, kun otetaan huomioon niiden finanssiyhteisöjen lukumäärä, joille asianomainen TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa palveluja;

(b)niiden finanssiyhteisöjen systeeminen luonne tai merkitys, jotka tukeutuvat asianomaisen TVT-palveluntarjoajana olevan kolmannen osapuolen palveluihin, seuraavilla parametreilla arvioituna:

i)niiden maailmanlaajuisten järjestelmän kannalta merkittävien laitosten (G-SII-laitokset) tai muiden järjestelmän kannalta merkittävien laitosten (O-SII-laitokset) lukumäärä, jotka tukeutuvat asianomaiseen TVT-palveluntarjoajana olevaan kolmanteen osapuoleen;

ii)edellä i alakohdassa tarkoitettujen G-SII-laitosten tai O-SII-laitosten ja muiden finanssiyhteisöjen keskinäinen riippuvuus, mukaan lukien tilanteet, joissa G-SII-laitokset tai O-SII-laitokset tarjoavat finanssi-infrastruktuuripalveluja muille finanssiyhteisöille;

(c)finanssiyhteisöjen tukeutuminen asianomaisen TVT-palveluntarjoajana olevan kolmannen osapuolen tarjoamiin palveluihin sellaisten finanssiyhteisöjen kriittisten tai tärkeiden toimintojen osalta, joissa viime kädessä on mukana sama TVT-palveluntarjoajana oleva kolmas osapuoli, riippumatta siitä, tukeutuvatko finanssiyhteisöt kyseisiin palveluihin suoraan tai välillisesti, edelleenulkoistusjärjestelyjen kautta tai niiden välityksellä;

(d)TVT-palveluntarjoajana olevan kolmannen osapuolen korvattavuus ottaen huomioon seuraavat parametrit:

i)todellisten tai edes osittaisten vaihtoehtojen puute, joka johtuu yksittäisillä markkinoilla toimivien TVT-palveluntarjoajina olevien kolmansien osapuolten vähäisestä määrästä, asianomaisen TVT-palveluntarjoajana olevan kolmannen osapuolen markkinaosuudesta, asiaan liittyvästä teknisestä monimutkaisuudesta tai kehittyneisyydestä, myös suhteessa valmistajakohtaiseen teknologiaan, tai TVT-palveluntarjoajana olevan kolmannen osapuolen organisaation tai toiminnan erityispiirteistä;

ii)vaikeudet, joita asianomaisen datan ja työn siirtäminen asianomaiselta TVT-palveluntarjoajana olevalta kolmannelta osapuolelta osittain tai kokonaan toiselle aiheuttaa siirtoprosessiin liittyvien merkittävien taloudellisten kustannusten, ajan tai muuntyyppisten resurssien vuoksi, tai lisääntyneiden TVT-riskien tai muiden sellaisten operatiivisten riskien vuoksi, joille finanssiyhteisö voi altistua tällaisessa siirrossa;

(e)niiden jäsenvaltioiden määrä, joissa asianomainen TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa palveluja;

(f)niiden jäsenvaltioiden määrä, joissa toimii asianomaista TVT-palveluntarjoajana olevaa kolmatta osapuolta käyttäviä finanssiyhteisöjä.

3.Siirretään komissiolle valta antaa 50 artiklan mukaisia delegoituja säädöksiä 2 kohdassa mainittujen kriteerien täydentämiseksi.

4.Edellä 1 kohdan a alakohdassa tarkoitettua nimeämismekanismia ei käytetä ennen kuin komissio on 3 kohdan nojalla antanut delegoidun säädöksen.

5.Edellä 1 kohdan a alakohdassa tarkoitettua nimeämismekanismia ei sovelleta sellaisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin, joihin sovelletaan Euroopan unionin toiminnasta tehdyn sopimuksen 127 artiklan 2 kohdassa tarkoitettujen tehtävien tukemiseksi perustettuja valvontakehyksiä.

6.Euroopan valvontaviranomaiset laativat, julkaisevat ja päivittävät vuosittain luettelon unionin tason kriittisistä TVT-palveluntarjoajina olevista kolmansista osapuolista.

7.Sovellettaessa 1 kohdan a alakohtaa toimivaltaisten viranomaisten on toimitettava 25 artiklan 4 kohdassa tarkoitetut kertomukset 29 artiklan nojalla perustetulle valvontafoorumille vuosittain kootusti. Valvontafoorumi arvioi toimivaltaisilta viranomaisilta saatujen tietojen perusteella finanssiyhteisöjen riippuvuutta TVT-palveluntarjoajina olevista kolmansista osapuolista.

8.TVT-palveluntarjoajina olevat kolmannet osapuolet, joita ei ole sisällytetty 6 kohdassa tarkoitettuun luetteloon, voivat pyytää saada tulla sisällytetyiksi kyseiseen luetteloon.

TVT-palveluntarjoajana olevan kolmannen osapuolen on ensimmäistä alakohtaa sovellettaessa toimitettava perusteltu hakemus EPV:lle, EAMV:lle tai EIOPAlle, joka päättää yhteiskomitean välityksellä, sisällytetäänkö kyseinen TVT-palveluntarjoajana oleva kolmas osapuoli 1 kohdan a alakohdan nojalla kyseiseen luetteloon.

Toisessa alakohdassa tarkoitettu päätös tehdään ja annetaan tiedoksi TVT-palveluntarjoajana olevalle kolmannelle osapuolelle kuuden kuukauden kuluessa hakemuksen vastaanottamisesta.

9.Finanssiyhteisöt eivät saa käyttää kolmanteen maahan sijoittautunutta TVT-palveluntarjoajana olevaa kolmatta osapuolta, joka määriteltäisiin 1 kohdan a alakohdan nojalla kriittiseksi, jos se olisi sijoittautunut unioniin.

29 artikla

Valvontakehyksen rakenne

1.Yhteiskomitea perustaa asetuksen (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 57 artiklan nojalla alakomiteakseen valvontafoorumin, joka tukee kolmansiin osapuoliin liittyviä TVT-riskejä koskevaa yhteiskomitean ja 28 artiklan 1 kohdan b alakohdassa tarkoitetun päävalvojan työtä finanssialan eri sektoreilla. Valvontafoorumi valmistelee luonnokset yhteiskomitean yhteisiksi kannoiksi ja yhteisiksi säädöksiksi tällä osa-alueella.

Valvontafoorumi keskustelee säännöllisesti TVT-riskien ja -haavoittuvuuksien kehityksestä ja edistää johdonmukaista lähestymistapaa kolmansiin osapuoliin liittyvän TVT-riskin seurantaan unionin tasolla.

2.Valvontafoorumi tekee vuosittain kollektiivisen arvioinnin kaikkien kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten osalta toteutettujen valvontatoimien tuloksista ja havainnoista ja edistää koordinointitoimenpiteitä finanssiyhteisöjen digitaalisen häiriönsietokyvyn parantamiseksi ja parhaita käytäntöjä TVT-keskittymäriskin käsittelemiseksi sekä tutkii tekijöitä, joilla voidaan hillitä riskien siirtymistä sektorilta toiseen.

3.Valvontafoorumi toimittaa kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia koskevia kattavia vertailuarvoja yhteiskomitealle, joka hyväksyy ne Euroopan valvontaviranomaisten yhteisinä kantoina asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 56 artiklan 1 kohdan nojalla.

4.Valvontafoorumi muodostuu Euroopan valvontaviranomaisten puheenjohtajista ja yhdestä kunkin jäsenvaltion asianomaisen toimivaltaisen viranomaisen kulloiseenkin henkilöstöön kuuluvasta korkean tason edustajasta. Kunkin Euroopan valvontaviranomaisen toimitusjohtaja ja yksi Euroopan komission, EJRK:n, EKP:n ja ENISAn edustaja osallistuvat valvontafoorumiin tarkkailijoina.

5.Euroopan valvontaviranomaiset antavat tämän jakson soveltamiseksi asetuksen (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 16 artiklan nojalla Euroopan valvontaviranomaisten ja toimivaltaisten viranomaisten välistä yhteistyötä koskevia ohjeita yksityiskohtaisista menettelyistä ja edellytyksistä, jotka liittyvät tehtävien suorittamiseen toimivaltaisten viranomaisten ja Euroopan valvontaviranomaisten välillä, sekä tietojenvaihdosta, jota tarvitaan toimivaltaisten viranomaisten välillä, jotta päävalvojien 31 artiklan 1 kohdan d alakohdan nojalla kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille antamien suositusten jatkotoimet voidaan varmistaa.

6.Tässä jaksossa vahvistetut vaatimukset eivät rajoita direktiivin (EU) 2016/1148 ja pilvipalvelujen tarjoajien valvontaan sovellettavien unionin muiden sääntöjen soveltamista.

7.Euroopan valvontaviranomaiset esittävät yhteiskomitean välityksellä ja valvontafoorumin tekemän valmistelutyön pohjalta vuosittain Euroopan parlamentille, neuvostolle ja komissiolle kertomuksen tämän jakson soveltamisesta.

30 artikla

Päävalvojan tehtävät

1.Päävalvoja arvioi, onko kullakin kriittisellä TVT-palveluntarjoajana olevalla kolmannella osapuolella kattavat, luotettavat ja toimivat säännöt, menettelyt, mekanismit ja järjestelyt, joilla hallita niitä TVT-riskejä, joita se voi finanssiyhteisöille aiheuttaa.

2.Edellä 1 kohdassa tarkoitettuun arviointin sisältyvät

(a)TVT-vaatimukset, joilla varmistetaan erityisesti kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen finanssiyhteisöille tarjoamien palvelujen turvallisuus, käytettävyys, jatkuvuus, skaalattavuus ja laatu sekä kyky pitää datan turvallisuus, luottamuksellisuus ja eheys jatkuvasti korkealla tasolla;

(b)fyysinen turvallisuus, joka edistää TVT-turvallisuuden varmistamista, mukaan lukien tilojen, laitteiden ja datakeskusten turvallisuus;

(c)riskinhallintaprosessit, mukaan lukien TVT-riskinhallinnan toimintaperiaatteet, TVT-toiminnan jatkuvuussuunnitelmat ja TVT-toipumissuunnitelmat;

(d)hallintojärjestelyt, mukaan lukien organisaatiorakenne, jossa on selkeät, läpinäkyvät ja johdonmukaiset vastuusuhteet ja vastuuvelvollisuutta koskevat säännöt, jotka mahdollistavat toimivan TVT-riskinhallinnan;

(e)TVT:hen liittyvien poikkeamien tunnistaminen, seuranta ja nopea raportointi finanssiyhteisöille sekä tällaisten poikkeamien, erityisesti kyberhyökkäysten, hallinta ja ratkaiseminen;

(f)datan siirrettävyyteen, sovellusten siirrettävyyteen ja yhteentoimivuuteen liittyvät mekanismit, joilla varmistetaan, että finanssiyhteisöt voivat tosiasiallisesti käyttää oikeuttaan sopimuksen purkamiseen;

(g)TVT-järjestelmien, -infrastruktuurin ja -valvonnan testaaminen;

(h)TVT-auditoinnit;

(i)sellaisten asiaankuuluvien kansallisten ja kansainvälisten standardien käyttö, joita sovelletaan sen TVT-palvelujen tarjoamiseen finanssiyhteisöille.

3.Päävalvoja hyväksyy 1 kohdassa tarkoitetun arvioinnin perusteella selkeän, yksityiskohtaisen ja perustellun yksilöllisen valvontasuunnitelman kullekin kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle. Suunnitelmasta ilmoitetaan kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle vuosittain.

4.Kun 3 kohdassa tarkoitetuista vuotuisista valvontasuunnitelmista on sovittu ja niistä on ilmoitettu kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille, toimivaltaiset viranomaiset voivat toteuttaa kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia koskevia toimenpiteitä ainoastaan yhteisymmärryksessä päävalvojan kanssa.

31 artikla

Päävalvojan valtuudet

1.Tässä jaksossa säädettyjen tehtävien hoitamiseksi päävalvojalla on valtuudet

(a)pyytää kaikkia asiaankuuluvia tietoja ja asiakirjoja 32 artiklan mukaisesti;

(b)suorittaa yleisiä tutkimuksia ja tarkastuksia 33 ja 34 artiklan mukaisesti;

(c)pyytää valvontatoimien päätyttyä raportteja, joissa eritellään kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tämän kohdan d alakohdassa tarkoitettujen suositusten perusteella toteuttamat toimet tai korjaukset;

(d)antaa suosituksia 30 artiklan 2 kohdassa tarkoitetuilla osa-alueilla, erityisesti seuraavien osalta:

i)erityisten TVT-turvallisuus- ja laatuvaatimusten tai -prosessien käyttö, erityisesti kun on kyse ohjelmistokorjauksista, päivityksistä, salauksesta ja muiden sellaisten turvallisuustoimenpiteiden käyttöönotosta, joita päävalvoja pitää merkityksellisinä finanssiyhteisöille tarjottavien palvelujen TVT-turvallisuuden varmistamiseksi;

ii)sellaisten ehtojen käyttö kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten tarjotessa palveluja finanssiyhteisöille, mukaan lukien ehtojen tekninen toteutus, joita päävalvoja pitää merkityksellisinä yksittäisten vikaantumispisteiden syntymisen tai lisääntymisen estämiseksi tai TVT-keskittymäriskin tapauksessa mahdollisen järjestelmävaikutuksen minimoimiseksi unionin finanssialalla;

iii)32 ja 33 artiklan mukaisesti suoritetun alihankintajärjestelyjen tarkastelun perusteella, mukaan lukien edelleenulkoistusjärjestelyt, joita kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet aikovat toteuttaa muiden TVT-palveluntarjoajana olevien kolmansien osapuolten tai kolmanteen maahan sijoittautuneiden TVT-alihankkijoiden kanssa, suunniteltu alihankinta, mukaan lukien edelleenulkoistus, jos päävalvoja katsoo, että edelleenulkoistus voi aiheuttaa riskejä finanssiyhteisön palvelujen tarjonnalle tai rahoitusvakaudelle;

iv)pidättäytyminen uudesta alihankintajärjestelystä, jos seuraavat kumulatiiviset edellytykset täyttyvät:

–suunniteltu alihankkija on TVT-palveluntarjoajana oleva kolmas osapuoli tai kolmanteen maahan sijoittautunut TVT-alihankkija;

–alihankinta koskee finanssiyhteisön kriittistä tai tärkeää toimintoa.

2.Päävalvoja kuulee valvontafoorumia ennen 1 kohdassa tarkoitettujen valtuuksien käyttämistä.

3.Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten on tehtävä vilpitöntä yhteistyötä päävalvojan kanssa ja avustettava päävalvojaa sen tehtävien suorittamisessa.

4.Päävalvoja voi määrätä uhkasakon pakottaakseen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen noudattamaan 1 kohdan a, b ja c alakohtaa.

5.Edellä 4 kohdassa tarkoitettu uhkasakko määrätään maksettavaksi päivittäin siihen asti, kunnes vaatimuksia noudatetaan, ja enintään kuuden kuukauden ajan siitä, kun kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle on siitä ilmoitettu.

6.Uhkasakon määrä, joka lasketaan uhkasakon määräämistä koskevassa päätöksessä säädetystä päivästä alkaen, on 1 prosentti kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen edellisen tilikauden päivittäisestä maailmanlaajuisesta keskiliikevaihdosta.

7.Uhkasakko on luonteeltaan hallinnollinen ja täytäntöönpanokelpoinen. Täytäntöönpanoon sovelletaan sen jäsenvaltion säännöksiä lainkäytöstä riita-asioissa, jonka alueella tutkimukset ja tilojen tarkastaminen tapahtuu. Asianomaisen jäsenvaltion tuomioistuimet ovat toimivaltaisia tutkimaan virheellistä täytäntöönpanoa koskevat valitukset. Uhkasakkojen määrät kohdennetaan Euroopan unionin yleiseen talousarvioon.

8.Euroopan valvontaviranomaiset julkistavat jokaisen uhkasakon, joka on määrätty, paitsi jos julkistaminen vaarantaisi vakavasti finanssimarkkinat tai aiheuttaisi kohtuutonta haittaa asianosaisille.

9.Ennen kuin päävalvoja määrää uhkasakon 4 kohdan nojalla, se antaa menettelyn kohteena olevan kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen edustajille mahdollisuuden tulla kuulluiksi havainnoistaan ja tekee päätöksensä ainoastaan sellaisten havaintojen perusteella, joista menettelyn kohteena olevalla kriittisellä TVT-palveluntarjoajana olevalla kolmannella osapuolella on ollut mahdollisuus esittää huomautuksensa. Menettelyissä on kunnioitettava täysin niiden henkilöiden puolustautumisoikeuksia, joita menettely koskee. Heillä on oikeus tutustua asiakirja-aineistoon, jollei muiden henkilöiden liikesalaisuuksien suojelemiseen liittyvistä oikeutetuista eduista muuta johdu. Oikeus tutustua asiakirja-aineistoon ei ulotu luottamuksellisiin tietoihin eikä päävalvojan sisäisiin valmisteleviin asiakirjoihin.

32 artikla
Tietojen pyytäminen

1.Päävalvoja voi pelkällä pyynnöllä tai tekemällään päätöksellä vaatia kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia toimittamaan kaikki tiedot, jotka ovat tarpeen, jotta päävalvoja voi suorittaa tämän asetuksen mukaiset tehtävänsä, mukaan lukien kaikki asiaankuuluvat liiketoimintaan liittyvät tai operatiiviset asiakirjat, sopimukset, toimintaperiaatteita koskevat asiakirjat, TVT-turvallisuusauditointiraportit, TVT:hen liittyviä poikkeamia koskevat raportit sekä tiedot osapuolista, joille kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli on ulkoistanut operatiivisia tehtäviä tai toimintaa.

2.Lähettäessään 1 kohdan nojalla tietojensaantia koskevan pyynnön päävalvoja

(a)viittaa tähän artiklaan pyynnön oikeusperustana;

(b)ilmoittaa pyynnön tarkoituksen;

(c)täsmentää, mitä tietoja pyydetään;

(d)asettaa määräajan, jonka kuluessa tiedot on toimitettava;

(e)ilmoittaa sen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen edustajalle, jolta näitä tietoja pyydetään, että se ei ole velvollinen antamaan tietoja mutta jos se vastaa pyyntöön vapaaehtoisesti, annetut tiedot eivät saa olla virheellisiä tai harhaanjohtavia;

3.Päätöksessään, jossa vaaditaan 1 kohdan nojalla toimittamaan tietoja, päävalvoja

(a)viittaa tähän artiklaan pyynnön oikeusperustana;

(b)ilmoittaa pyynnön tarkoituksen;

(c)täsmentää, mitä tietoja pyydetään;

(d)asettaa määräajan, jonka kuluessa tiedot on toimitettava;

(e)ilmoittaa uhkasakoista, joista 31 artiklan 4 kohdassa säädetään sen varalta, että toimitetut tiedot ovat puutteellisia;

(f)ilmoittaa oikeudesta hakea päätökseen muutosta Euroopan valvontaviranomaisen valituslautakunnalta ja oikeudesta saattaa päätös Euroopan unionin tuomioistuimen käsiteltäväksi asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 60 ja 61 artiklan mukaisesti.

4.Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten edustajien on toimitettava pyydetyt tiedot. Asianmukaisesti valtuutetut lakimiehet voivat antaa pyydetyt tiedot asiakkaidensa nimissä. Kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen on kannettava kuitenkin täysi vastuu, jos annetut tiedot ovat puutteellisia, virheellisiä tai harhaanjohtavia.

5.Päävalvoja lähettää tietojen toimittamista koskevasta päätöksestä viipymättä jäljennöksen kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten palveluja käyttävien finanssiyhteisöjen toimivaltaisille viranomaisille.

33 artikla
Yleiset tutkimukset

1.Voidakseen hoitaa tämän asetuksen mukaiset tehtävänsä päävalvoja, jota avustaa 34 artiklan 1 kohdassa tarkoitettu tutkintaryhmä, voi suorittaa tarvittavat TVT-palveluntarjoajana olevia kolmansia osapuolia koskevat tutkimukset.

2.Päävalvojalla on valtuudet

(a)tutkia asiakirjoja, dataa, menettelyjä ja muuta aineistoa, jolla on merkitystä sen tehtävien hoidolle, riippumatta välineestä, jolle ne on tallennettu;

(b)ottaa tai hankkia oikeaksi todistettuja jäljennöksiä tai otteita kyseisistä asiakirjoista, datasta, menettelyistä ja muusta aineistosta;

(c)pyytää TVT-palveluntarjoajana olevan kolmannen osapuolen edustajilta suullisia tai kirjallisia selvityksiä tutkimuksen kohteeseen ja tarkoitukseen liittyvistä tosiseikoista tai asiakirjoista ja tallentaa vastaukset;

(d)haastatella ketä tahansa muuta haastatteluun suostuvaa luonnollista tai oikeushenkilöä tutkimuksen kohteeseen liittyvien tietojen keräämiseksi;

(e)vaatia puhelin- ja dataliikennetietoja.

3.Päävalvojan 1 kohdassa tarkoitettua tutkimusta suorittamaan valtuuttamien virkamiesten ja muiden henkilöiden on valtuuksiaan käyttäessään esitettävä kirjallinen valtuutus, jossa yksilöidään tutkimuksen kohde ja tarkoitus.

Lisäksi valtuutuksessa on ilmoitettava uhkasakoista, joista 31 artiklan 4 kohdassa säädetään sen varalta, että pyydettyjä asiakirjoja, dataa, menettelyjä ja muuta aineistoa taikka vastauksia TVT-palveluntarjoajana olevan kolmannen osapuolen edustajille esitettyihin kysymyksiin ei anneta lainkaan tai niitä ei anneta kokonaisuudessaan.

4.TVT-palveluntarjoajana olevien kolmansien osapuolten edustajien on suostuttava tutkimuksiin päävalvojan päätöksen perusteella. Päätöksessä yksilöidään tutkimuksen kohde ja tarkoitus sekä ilmoitetaan 31 artiklan 4 kohdassa säädetyistä uhkasakoista, asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 nojalla käytettävissä olevista oikeussuojakeinoista sekä oikeudesta saattaa päätös Euroopan unionin tuomioistuimen käsiteltäväksi.

5.Päävalvojat antavat TVT-palveluntarjoajana olevaa kolmatta osapuolta käyttävien finanssiyhteisöjen toimivaltaisille viranomaisille hyvissä ajoin ennen tutkimusta tiedon tutkimuksesta ja sitä suorittamaan valtuutettujen henkilöiden henkilöllisyydestä.

34 artikla
Paikalla tehtävät tarkastukset

1.Voidakseen hoitaa tämän asetuksen mukaiset tehtävänsä päävalvoja, jota 35 artiklan 1 kohdassa tarkoitetut tutkintaryhmät avustavat, saa mennä TVT-palveluntarjoajana olevien kolmansien osapuolten liiketiloihin, maa-alueille tai kiinteistöihin, kuten päätoimitiloihin, operaatiokeskuksiin ja toissijaisiin tiloihin, ja suorittaa siellä kaikki tarvittavat paikalla tehtävät tarkastukset sekä tehdä tarkastuksia muualla kuin paikalla.

2.Virkamiehet ja muut henkilöt, jotka päävalvoja on valtuuttanut suorittamaan paikalla tehtävän tarkastuksen, saavat mennä kaikkiin tällaisiin liiketiloihin, maa-alueille tai kiinteistöihin, ja heillä on oltava kaikki valtuudet sinetöidä kaikki liiketilat ja kirjanpito tai asiakirjat tarkastuksen ajaksi siinä laajuudessa kuin tarkastuksen suorittamiseksi on tarpeen.

Heidän on valtuuksiaan käyttäessään esitettävä kirjallinen valtuutus, jossa yksilöidään tutkimuksen kohde ja tarkoitus sekä 31 artiklan 4 kohdassa säädetyt uhkasakot, jos TVT-palveluntarjoajana olevien kolmansien osapuolten edustajat eivät suostu tarkastukseen.

3.Päävalvojat antavat TVT-palveluntarjoajana olevaa kolmatta osapuolta käyttävien finanssiyhteisöjen toimivaltaisille viranomaisille hyvissä ajoin ennen tarkastusta siitä tiedon.

4.Tarkastukset kattavat kaikki asiaankuuluvat TVT-järjestelmät, verkot, laitteet, tiedot ja datan, joita käytetään tai jotka myötävaikuttavat palvelujen tarjoamiseen finanssiyhteisöille.

5.Ennen suunniteltua tarkastuskäyntiä päävalvoja ilmoittaa asiasta kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille hyvissä ajoin, jollei se hätätapauksen tai kriisitilanteen vuoksi ole mahdotonta tai jos se johtaisi tilanteeseen, jossa tarkastus tai auditointi ei enää olisi vaikuttava.

6.Kriittisen TVT-palveluntarjoajan on suostuttava päävalvojan päätöksellä määrättyihin paikalla tehtäviin tarkastuksiin. Päätöksessä yksilöidään tarkastuksen kohde ja tarkoitus sekä päivä, jona tarkastus alkaa, ja ilmoitetaan 31 artiklan 4 kohdassa säädetyistä uhkasakoista, asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 nojalla käytettävissä olevista oikeussuojakeinoista sekä oikeudesta saattaa päätös Euroopan unionin tuomioistuimen käsiteltäväksi.

7.Jos virkamiehet ja muut päävalvojan valtuuttamat henkilöt toteavat, että kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli vastustaa tämän artiklan nojalla määrättyä tarkastusta, päävalvoja ilmoittaa kriittiselle TVT-palveluntarjoajalle tällaisen vastustuksen seurauksista, mukaan lukien asianomaisten finanssiyhteisöjen toimivaltaisten viranomaisten mahdollisuus irtisanoa kyseisen kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tehdyt sopimusjärjestelyt.

35 artikla
Jatkuva valvonta

1.Päävalvojia avustaa yleisten tutkimusten tai paikalla tehtävien tarkastusten suorittamisessa kutakin kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta varten perustettu yhteinen tutkintaryhmä.

2.Edellä 1 kohdassa tarkoitettu yhteinen tutkintaryhmä koostuu enintään kymmenestä päävalvojan ja kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen palveluja käyttäviä finanssiyhteisöjä valvovien toimivaltaisten viranomaisten henkilöstön jäsenestä, jotka osallistuvat valvontatoimien valmisteluun ja toteuttamiseen. Kaikilla yhteisen tutkintaryhmän jäsenillä on oltava asiantuntemusta TVT:stä ja operatiivisista riskeistä. Yhteinen tutkintaryhmä toimii nimetyn Euroopan valvontaviranomaisen henkilöstön jäsenen, jäljempänä ’päävalvojan koordinaattori’, koordinoimana.

3.Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia yhteisiksi teknisiksi sääntelystandardeiksi, joissa asiaankuuluvista toimivaltaisista viranomaisista tulevien yhteisen tutkintaryhmän jäsenten nimeäminen sekä tutkintaryhmän tehtävät ja työjärjestelyt täsmennetään tarkemmin. Euroopan valvontaviranomaiset toimittavat kyseiset teknisten sääntelystandardien luonnokset komissiolle viimeistään [julkaisutoimisto lisää päivämäärän, joka on voimaantulopäivästä 1 vuoden kuluttua].

Siirretään komissiolle valta hyväksyä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

4.Päävalvoja antaa valvontafoorumia kuultuaan kolmen kuukauden kuluessa siitä, kun tutkimus tai paikalla tehty tarkastus on saatettu päätökseen, 31 artiklassa tarkoitettujen valtuuksien nojalla suosituksia, jotka se osoittaa kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle.

5.Edellä 4 kohdassa tarkoitetut suositukset annetaan välittömästi tiedoksi kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle ja niiden finanssiyhteisöjen toimivaltaisille viranomaisille, joille se tarjoaa palveluja.

Valvontatoimien toteuttamiseksi päävalvojat voivat ottaa huomioon kaikki asiaankuuluvat kolmannen osapuolen sertifioinnit ja TVT-palveluja tarjoavan kolmannen osapuolen sisäiset tai ulkoiset auditointiraportit, jotka kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli on asettanut saataville.

36 artikla

Valvonnan toteuttamisen mahdollistavien edellytysten yhdenmukaistaminen

1.Euroopan valvontaviranomaiset laativat yhteiskomiteassa luonnoksia teknisiksi sääntelystandardeiksi, joissa täsmennetään

(a)tiedot, jotka kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen on annettava 28 artiklan 8 kohdassa säädettyä vapaaehtoista osallistumista koskevassa hakemuksessa;

(b)niiden raporttien sisältö ja muoto, joita voidaan pyytää 31 artiklan 1 kohdan c alakohtaa sovellettaessa;

(c)niiden tietojen esitystapa, mukaan lukien rakenne, muoto ja menetelmät, jotka kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen on 31 artiklan 1 kohdan nojalla toimitettava, julkistettava tai raportoitava;

(d)yksityiskohtaiset säännöt toimivaltaisten viranomaisten 37 artiklan 2 kohdan nojalla suorittamalle arvioinnille, joka koskee päävalvojien suositusten perusteella toteutettuja kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten toteuttamia toimenpiteitä.

2.Euroopan valvontaviranomaiset toimittavat kyseiset teknisten sääntelystandardien luonnokset komissiolle viimeistään [julkaisutoimisto lisää päivämäärän, joka on voimaantulopäivästä 1 vuoden kuluttua].

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklassa säädetyn menettelyn mukaisesti.

37 artikla
Toimivaltaisten viranomaisten jatkotoimenpiteet

1.Kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten on ilmoitettava päävalvojalle 30 kalenteripäivän kuluessa siitä, kun ne ovat vastaanottaneet 31 artiklan 1 kohdan d alakohdan nojalla annetut päävalvojan suositukset, aikovatko ne noudattaa kyseisiä suosituksia. Päävalvojat toimittavat tämän tiedon toimivaltaisille viranomaisille välittömästi.

2.Toimivaltaisten viranomaisten on seurattava, ottavatko finanssiyhteisöt huomioon riskit, jotka on määritetty kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille 31 artiklan 1 kohdan d alakohdan nojalla osoitetuissa päävalvojan suosituksissa.

3.Toimivaltaiset viranomaiset voivat 44 artiklan nojalla vaatia finanssiyhteisöjä tilapäisesti joko osittain tai kokonaan keskeyttämään kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen tarjoaman palvelun käytön tai käyttöönoton, kunnes kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille osoitetuissa suosituksissa määritettyihin riskeihin on puututtu. Ne voivat tarvittaessa vaatia finanssiyhteisöjä kokonaan tai osittain irtisanomaan kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehdyt sopimusjärjestelyt.

4.Tehdessään 3 kohdassa tarkoitettuja päätöksiä toimivaltaisten viranomaisten on otettava huomioon minkätyyppinen ja kuinka suuri on riski, johon kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli ei ole puuttunut, sekä kuinka vakavasta laiminlyönnistä on kyse seuraavien kriteerien perusteella:

(a)laiminlyönnin vakavuus ja kesto;

(b)onko laiminlyönti paljastanut vakavia heikkouksia kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen menettelyissä, hallintojärjestelmissä, riskinhallinnassa ja sisäisessä valvonnassa;

(c)onko laiminlyönti helpottanut tai aiheuttanut talousrikollisuutta tai liittyykö laiminlyönti siihen muulla tavoin;

(d)onko laiminlyönti tapahtunut tahallisesti vai tuottamuksellisesti;

5.Toimivaltaisten viranomaisten on säännöllisesti tiedotettava päävalvojille lähestymistavoista ja toimenpiteistä, joita ne ovat toteuttaneet finanssiyhteisöihin liittyvissä valvontatehtävissään, sekä viimeksi mainittujen toteuttamista sopimustoimenpiteistä siinä tapauksessa, että kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet eivät ole kaikilta osin tai lainkaan hyväksyneet päävalvojien antamia suosituksia.

38 artikla
Valvontamaksut

1.Euroopan valvontaviranomaiset perivät kriittisiltä TVT-palveluntarjoajana olevilta kolmansilta osapuolilta maksuja, jotka kattavat kokonaan Euroopan valvontaviranomaisille tämän asetuksen mukaisten valvontatehtävien suorittamisesta aiheutuvat välttämättömät menot, mukaan lukien sellaisten kustannusten korvaaminen, joita voi aiheutua toimivaltaisten viranomaisten tekemästä työstä, joka liittyy 35 artiklan nojalla toteutettavaan valvontatoimintaan.

Kriittiseltä TVT-palveluntarjoajana olevalta kolmannelta osapuolelta perittävän maksun on katettava kaikki hallinnolliset kustannukset, ja sen on oltava oikeassa suhteessa sen liikevaihtoon.

2.Siirretään komissiolle valta antaa 50 artiklan mukaisesti delegoitu säädös, jolla se täydentää tätä asetusta määrittämällä maksujen suuruuden ja maksutavan.

39 artikla
Kansainvälinen yhteistyö

1.EPV, EAMV ja EIOPA voivat asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 33 artiklan nojalla sopia kolmansien maiden sääntely- ja valvontaviranomaisten kanssa hallinnollisista järjestelyistä, joilla edistetään kolmansiin osapuoliin liittyviä TVT-riskejä koskevaa kansainvälistä yhteistyötä finanssialan eri sektoreilla, erityisesti kehittämällä parhaita käytäntöjä TVT-riskinhallintakäytäntöjen ja -valvonnan, riskinvähentämistoimenpiteiden ja poikkeamiin reagoimisen uudelleentarkastelua varten.

2.Euroopan valvontaviranomaiset toimittavat yhteiskomitean välityksellä joka viides vuosi Euroopan parlamentille, neuvostolle ja komissiolle yhteisen luottamuksellisen kertomuksen, jossa esitetään yhteenveto 1 kohdassa tarkoitettujen kolmansien maiden viranomaisten kanssa käytyjen keskustelujen havainnoista ja erityisesti kolmansiin osapuoliin liittyvän TVT-riskin kehittymisestä ja vaikutuksista rahoitusvakauteen, markkinoiden eheyteen, sijoittajien suojaan tai sisämarkkinoiden toimintaan.

VI LUKU

TIETOJENVAIHTOJÄRJESTELYT

40 artikla
Järjestelyt kyberuhkaa koskevien tietojen ja tiedustelutietojen vaihtamiseksi

1.Finanssiyhteisöt voivat vaihtaa keskenään kyberuhkia koskevia tietoja ja tiedustelutietoja, mukaan lukien vaarantumisindikaattorit, taktiikat, tekniikat ja menettelyt, kyberturvallisuushälytykset ja konfigurointivälineet, siltä osin kuin tällainen tietojen ja tiedustelutietojen jakaminen

(a)pyrkii parantamaan finanssiyhteisöjen digitaalista häiriönsietokykyä erityisesti lisäämällä tietoisuutta kyberuhista, rajoittamalla tai estämällä kyberuhkien leviämiskykyä, tukemalla finanssiyhteisöjen puolustautumisvalmiuksia, uhkien havaitsemistekniikoita, riskinlieventämisstrategioita tai reagointi- ja palautumisvaiheita;

(b)toteutetaan luotettavissa finanssiyhteisöjen muodostamissa yhteisöissä;

(c)toteutetaan tietojenvaihtojärjestelyillä, joilla suojellaan jaettujen tietojen mahdollista arkaluonteisuutta ja joita säännellään käytännesäännöillä noudattaen kaikilta osin luottamuksellisuutta, henkilötietojen suojaa 48 ja kilpailupolitiikkaa koskevia suuntaviivoja 49 .

2.Edellä olevan 1 kohdan c alakohdan soveltamiseksi tietojenvaihtojärjestelyissä on määriteltävä osallistumisedellytykset ja tarvittaessa vahvistettava yksityiskohtaiset säännöt viranomaisten osallistumisesta ja siitä, missä ominaisuudessa viranomaiset voivat osallistua tietojenvaihtojärjestelyihin, sekä operatiivisista elementeistä, mukaan lukien erityisten tietoteknisten alustojen käyttö.

3.Finanssiyhteisöjen on ilmoitettava toimivaltaisille viranomaisille osallistumisestaan 1 kohdassa tarkoitettuihin tietojenvaihtojärjestelyihin, kun niiden jäsenyys on vahvistettu, tai tapauksen mukaan jäsenyytensä päättymisestä, kun se tulee voimaan.

VII LUKU

TOIMIVALTAISET VIRANOMAISET

41 artikla

Toimivaltaiset viranomaiset

Rajoittamatta tämän asetuksen V luvun II jaksossa tarkoitetun kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin sovellettavan valvontakehyksen säännösten soveltamista seuraavien toimivaltaisten viranomaisten on varmistettava tässä asetuksessa säädettyjen velvoitteiden noudattaminen asiaa koskevissa säädöksissä annettujen valtuuksien mukaisesti:

(a)luottolaitosten osalta direktiivin 2013/36/EU 4 artiklan mukaisesti nimetty toimivaltainen viranomainen, rajoittamatta EKP:lle asetuksessa (EU) N:o 1024/2013 annettuja erityistehtäviä;

(b)maksupalveluntarjoajien osalta direktiivin (EU) 2015/2366 22 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(c)sähköisen rahan liikkeeseenlaskijalaitosten osalta direktiivin 2009/110/EY 37 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(d)sijoituspalveluyritysten osalta direktiivin (EU) 2019/2034 4 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(e)kryptovarapalvelun tarjoajien, kryptovarojen liikkeeseenlaskijoiden, referenssivaratokenien liikkeeseenlaskijoiden ja merkittävien referenssivaratokenien liikkeeseenlaskijoiden osalta [asetuksen (EU) 20xx MICA-asetus] 3 artiklan 1 kohdan ee alakohdan ensimmäisen luetelmakohdan mukaisesti nimetty toimivaltainen viranomainen;

(f)arvopaperikeskusten osalta asetuksen (EU) N:o 909/2014 11 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(g)keskusvastapuolten osalta asetuksen (EU) N:o 648/2012 22 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(h)kauppapaikkojen ja raportointipalvelujen tarjoajien osalta direktiivin 2014/65/EU 67 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(i)kauppatietorekistereiden osalta asetuksen (EU) N:o 648/2012 55 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(j)vaihtoehtoisten sijoitusrahastojen hoitajien osalta direktiivin 2011/61/EU 44 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(k)rahastoyhtiöiden osalta direktiivin 2009/65/EY 97 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(l)vakuutus- ja jälleenvakuutusyritysten osalta direktiivin 2009/138/EY 30 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(m)vakuutus- ja jälleenvakuutusedustajien sekä sivutoimisten vakuutusedustajien osalta direktiivin (EU) 2016/97 12 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(n)ammatillisia lisäeläkkeitä tarjoavien laitosten osalta direktiivin (EU) 2016/2341 47 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(o)luottoluokituslaitosten osalta asetuksen (EY) N:o 1060/2009 21 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(p)tilintarkastajien ja tilintarkastusyhteisöjen osalta direktiivin 2006/43/EY 3 artiklan 2 kohdan 32 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(q)kriittisten vertailuarvojen hallinnoijien osalta asetuksen (EU) xx/202x 40 ja 41 artiklan mukaisesti nimetty toimivaltainen viranomainen;

(r)joukkorahoituspalvelun tarjoajien osalta asetuksen (EU) xx/202x x artiklan mukaisesti nimetty toimivaltainen viranomainen;

(s)arvopaperistamisrekistereiden osalta asetuksen (EU) 2017/2402 10 artiklan ja 14 artiklan 1 kohdan mukaisesti nimetty toimivaltainen viranomainen.

42 artikla

Yhteistyö direktiivillä (EU) 2016/1148 perustettujen rakenteiden ja viranomaisten kanssa

1.Jotta voitaisiin edistää yhteistyötä ja mahdollistaa valvontaa koskevien tietojen vaihto tämän asetuksen nojalla nimettyjen toimivaltaisten viranomaisten ja direktiivin (EU) 2016/1148 11 artiklalla perustetun yhteistyöryhmän välillä, Euroopan valvontaviranomaiset ja toimivaltaiset viranomaiset voivat pyytää tulla kutsutuiksi yhteistyöryhmän toimintaan.

2.Toimivaltaiset viranomaiset voivat tarvittaessa kuulla direktiivin (EU) 2016/1148 8 artiklassa tarkoitettua keskitettyä yhteyspistettä ja 9 artiklassa tarkoitettua tietoturvaloukkauksiin reagoivaa ja niitä tutkivaa yksikköä (CSIRT).

43 artikla

Finanssialan sektorien väliset harjoitukset, viestintä ja yhteistyö

1.Euroopan valvontaviranomaiset voivat yhteiskomitean välityksellä ja yhteistyössä toimivaltaisten viranomaisten, EKP:n ja EJRK:n kanssa ottaa käyttöön mekanismeja, joiden avulla voidaan jakaa toimivia käytäntöjä finanssialan eri sektoreiden välillä tilannetietoisuuden parantamiseksi ja yhteisten kyberhaavoittuvuuksien ja -riskien tunnistamiseksi eri sektoreilla.

Ne voivat kehittää kriisinhallinta- ja valmiusharjoituksia, joihin sisältyy kyberhyökkäysskenaarioita, jotta voidaan kehittää viestintäkanavia ja asteittain mahdollistaa toimiva EU:n tason koordinoitu reagointi, jos ilmenee laajavaikutteinen rajatylittävä TVT:hen liittyvä poikkeama tai siihen liittyvä uhka, jolla on järjestelmävaikutus unionin finanssialaan kokonaisuutena.

Näillä harjoituksilla voidaan tarvittaessa testata myös finanssialan riippuvuutta muista talouden aloista.

2.Toimivaltaisten viranomaisten ja EPV:n, ESMAn tai EIOPAn sekä EKP:n on tehtävä tiivistä yhteistyötä keskenään ja vaihdettava tietoja suorittaakseen 42–48 artiklassa säädetyt tehtävänsä. Niiden on koordinoitava tiiviisti valvontatoimiaan havaitakseen ja korjatakseen tämän asetuksen rikkomiset, kehittääkseen ja edistääkseen parhaita käytäntöjä, helpottaakseen yhteistyötä, parantaakseen tulkinnan johdonmukaisuutta ja antaakseen toisia oikeudenkäyttöalueita koskevia arviointeja erimielisyystilanteissa.

44 artikla

Hallinnolliset seuraamukset ja korjaavat toimenpiteet

1.Toimivaltaisilla viranomaisilla on oltava kaikki tämän asetuksen mukaisten tehtäviensä hoitamiseen tarvittavat valtuudet valvoa, tutkia ja määrätä seuraamuksia.

2.Edellä 1 kohdassa tarkoitettuihin valtuuksiin on kuuluttava vähintään valtuudet

(a)saada tutustua kaikkiin sellaisiin missä tahansa muodossa oleviin asiakirjoihin tai muuhun dataan, joilla toimivaltainen viranomainen katsoo olevan merkitystä tehtäviensä suorittamisen kannalta, ja saada tai ottaa jäljennös niistä;

(b)suorittaa paikalla tehtäviä tarkastuksia tai tutkimuksia;

(c)vaatia oikaisevia ja korjaavia toimenpiteitä, jos tämän asetuksen vaatimuksia rikotaan.

3.Jäsenvaltioiden on vahvistettava säännöt, jotka koskevat tämän asetuksen rikkomiseen liittyviä asianmukaisia hallinnollisia seuraamuksia ja korjaavia toimenpiteitä, ja varmistettava niiden tehokas täytäntöönpano, sanotun kuitenkaan rajoittamatta jäsenvaltioiden oikeutta määrätä rikosoikeudellisia seuraamuksia 46 artiklan nojalla.

Seuraamusten ja toimenpiteiden on oltava tehokkaita, oikeasuhteisia ja varoittavia.

4.Jäsenvaltioiden on annettava tämän asetuksen rikkomistapauksissa toimivaltaisille viranomaisille valtuudet soveltaa ainakin seuraavia hallinnollisia seuraamuksia tai korjaavia toimenpiteitä:

(a)antaa määräys, jossa kyseistä luonnollista henkilöä tai oikeushenkilöä vaaditaan lopettamaan rikkominen ja olemaan toistamatta sitä;

(b)vaatia sellaisen käytännön tai menettelytavan tilapäistä tai pysyvää lopettamista, jonka toimivaltainen viranomainen katsoo olevan ristiriidassa tämän asetuksen säännösten kanssa, ja estää kyseisen käytännön tai menettelytavan toistuminen;

(c)ottaa käyttöön minkä tahansa tyyppisiä toimenpiteitä, myös taloudellisia, sen varmistamiseksi, että finanssiyhteisöt jatkavat lakisääteisten vaatimusten noudattamista;

(d)vaatia, siinä määrin kuin se sallitaan kansallisessa lainsäädännössä, teleoperaattorin hallussa olevia dataliikennetietoja, jos voidaan perustellusti epäillä tämän asetuksen rikkomista ja jos tällaiset tiedot voivat olla merkityksellisiä tämän asetuksen rikkomista koskevan tutkinnan kannalta; ja

(e)antaa julkisia ilmoituksia, mukaan lukien julkiset lausumat, joissa ilmoitetaan luonnollisen henkilön tai oikeushenkilön henkilöllisyys ja rikkomisen luonne.

5.Jos 2 kohdan c alakohdassa ja 4 kohdassa tarkoitettuja säännöksiä sovelletaan oikeushenkilöihin, jäsenvaltioiden on annettava toimivaltaisille viranomaisille toimivalta soveltaa kansallisessa lainsäädännössä säädetyin edellytyksin hallinnollisia seuraamuksia ja korjaavia toimenpiteitä hallintoelimen jäseniin ja muihin luonnollisiin henkilöihin, jotka ovat kansallisen lainsäädännön mukaan vastuussa rikkomisesta.

6.Jäsenvaltioiden on varmistettava, että kaikki päätökset, joilla määrätään 2 kohdan c alakohdassa säädettyjä hallinnollisia seuraamuksia tai korjaavia toimenpiteitä, ovat asianmukaisesti perusteltuja ja niihin voidaan hakea muutosta.

45 artikla

Hallinnollisten seuraamusten ja korjaavien toimenpiteiden määräämisvaltuuksien käyttö

7.Toimivaltaisten viranomaisten on käytettävä valtuuksiaan määrätä 44 artiklassa tarkoitettuja hallinnollisia seuraamuksia ja korjaavia toimenpiteitä kansallisen oikeudellisen kehyksensä mukaisesti tapauksen mukaan

(a)suoraan;

(b)yhteistyössä muiden viranomaisten kanssa;

(c)omalla vastuullaan antamalla valtuudet muille viranomaisille;

(d)saattamalla asia toimivaltaisten oikeusviranomaisten käsiteltäväksi.

8.Kun toimivaltaiset viranomaiset määrittävät 44 artiklan mukaisesti määrättävän hallinnollisen seuraamuksen tai korjaavan toimenpiteen tyyppiä ja tasoa, niiden on otettava huomioon, missä määrin rikkominen on tahallinen tai tuottamuksellinen, ja kaikki muut asiaan vaikuttavat olosuhteet, mukaan lukien tapauksen mukaan seuraavat:

(a)rikkomisen olennaisuus, vakavuus ja kesto;

(b)rikkomuksesta vastuussa olevan luonnollisen henkilön tai oikeushenkilön vastuun aste;

(c)vastuussa olevan luonnollisen henkilön tai oikeushenkilön taloudellinen vahvuus;

(d)vastuussa olevan luonnollisen henkilön tai oikeushenkilön saamien voittojen tai näiden välttämien tappioiden suuruus, jos ne ovat määritettävissä;

(e)rikkomisen kolmansille osapuolille aiheuttamat tappiot, jos ne ovat määritettävissä;

(f)se, missä määrin vastuussa oleva luonnollinen henkilö tai oikeushenkilö on tehnyt yhteistyötä toimivaltaisen viranomaisen kanssa, sanotun kuitenkaan rajoittamatta tarvetta varmistaa, että kyseinen henkilö joutuu luopumaan saamistaan voitoista tai välttämistään tappioista;

(g)vastuussa olevan luonnollisen henkilön tai oikeushenkilön aiempi syyllistyminen rikkomiseen.

46 artikla

Rikosoikeudelliset seuraamukset

1.Jäsenvaltiot voivat päättää, että ne eivät säädä hallinnollisia seuraamuksia tai korjaavia toimenpiteitä koskevia sääntöjä sellaisten rikkomisten osalta, joihin sovelletaan niiden kansallisen lainsäädännön mukaisia rikosoikeudellisia seuraamuksia.

2.Jos jäsenvaltiot ovat päättäneet säätää rikosoikeudellisista seuraamuksista tämän asetuksen rikkomisesta, niiden on varmistettava, että on toteutettu asianmukaiset toimenpiteet, jotta toimivaltaisilla viranomaisilla on kaikki tarvittavat valtuudet olla yhteydessä oikeus- ja syyttäjäviranomaisiin tai rikosoikeusviranomaisiin niiden lainkäyttöalueella vastaanottaakseen tietoja rikosoikeudellisista tutkimuksista tai menettelyistä, jotka on käynnistetty tämän asetuksen rikkomisen vuoksi, ja antaakseen samat tiedot muille toimivaltaisille viranomaisille sekä EPV:lle, ESMAlle ja EIOPAlle, jotta ne voivat täyttää yhteistyövelvoitteensa tätä asetusta sovellettaessa.

47 artikla

Ilmoitusvelvollisuudet

Jäsenvaltioiden on ilmoitettava viimeistään [julkaisutoimisto lisää päivämäärän, joka on voimaantulopäivästä 1 vuoden kuluttua] komissiolle, ESMAlle, EPV:lle ja EIOPAlle tämän luvun täytäntöönpanoa koskevat lakinsa, asetuksensa ja hallinnolliset määräyksensä, mukaan lukien asiaa koskevat rikosoikeudelliset säännökset. Jäsenvaltioiden on ilman aiheetonta viivästystä ilmoitettava komissiolle, ESMAlle, EPV:lle ja EIOPAlle myöhemmistä muutoksista näihin säännöksiin.

48 artikla

Hallinnollisten seuraamusten julkaiseminen

1.Toimivaltaisten viranomaisten on julkaistava virallisilla verkkosivustoillaan ilman aiheetonta viivytystä kaikki hallinnollisen seuraamuksen määräämistä koskevat päätökset, joihin ei voi hakea muutosta, sen jälkeen, kun kyseinen päätös on annettu tiedoksi seuraamuksen kohteena olevalle henkilölle.

2.Edellä 1 kohdassa tarkoitetun julkaisemisen on sisällettävä tiedot rikkomisen tyypistä ja luonteesta, tiedot vastuussa olevista henkilöistä sekä määrätyt seuraamukset.

3.Jos toimivaltainen viranomainen tapauskohtaisen arvioinnin perusteella katsoo, että oikeushenkilöiden tai luonnollisten henkilöiden henkilöllisyyden ja henkilötietojen julkaiseminen olisi kohtuutonta, vaarantaisi finanssimarkkinoiden vakauden tai meneillään olevan rikostutkinnan tai aiheuttaisi asianomaiselle henkilölle kohtuutonta vahinkoa sikäli kuin vahinko on arvioitavissa, sen on valittava hallinnollisen seuraamuksen määräämistä koskevan päätöksen suhteen jokin seuraavista ratkaisuista:

(a)julkaisemisen lykkääminen siihen saakka, kunnes julkaisematta jättämiseen ei enää ole mitään syytä;

(b)julkaiseminen ilman nimiä kansallista lainsäädäntöä noudattaen; tai

(c)julkaisemisesta pidättyminen, jos a ja b alakohdassa esitetyt vaihtoehdot katsotaan joko riittämättömiksi takaamaan, ettei finanssimarkkinoiden vakaudelle aiheudu vaaraa, tai jos julkaiseminen ei olisi oikeassa suhteessa määrätyn seuraamuksen lievyyteen.

4.Jos kyseessä on päätös julkaista hallinnollinen seuraamus 3 kohdan b alakohdan mukaisesti ilman nimiä, kyseiset tiedot voidaan julkaista myöhemmin.

5.Jos toimivaltainen viranomainen julkaisee hallinnollisen seuraamuksen määräämistä koskevan päätöksen, johon haetaan muutosta asianomaisilta oikeusviranomaisilta, toimivaltaisten viranomaisten on välittömästi lisättävä viralliselle verkkosivustolleen tämä tieto ja myöhemmissä vaiheissa kaikki myöhemmät asiaan liittyvät tiedot tällaisen muutoksenhaun lopputuloksesta. Lisäksi on julkaistava kaikki tuomioistuimen päätökset, joilla kumotaan hallinnollisen seuraamuksen määräämistä koskeva päätös.

6.Toimivaltaisten viranomaisten on varmistettava, että 1–4 kohdassa tarkoitetut julkaistut tiedot pysyvät niiden virallisella verkkosivustolla vähintään viiden vuoden ajan niiden julkaisemisen jälkeen. Julkaisuun sisältyvät henkilötiedot säilytetään toimivaltaisen viranomaisen virallisella verkkosivustolla ainoastaan tarpeellisen ajan kulloinkin sovellettavien tietosuojasääntöjen mukaisesti.

49 artikla

Salassapitovelvollisuus

1.Tämän asetuksen nojalla saatuja, vaihdettuja tai toimitettuja luottamuksellisia tietoja koskee 2 kohdassa säädetty salassapitovelvollisuus.

2.Salassapitovelvollisuutta sovelletaan kaikkiin, jotka tämän asetuksen nojalla työskentelevät tai ovat työskennelleet toimivaltaisen viranomaisen tai sellaisten viranomaisten tai markkinoilla toimivien yritysten tai luonnollisen henkilön tai oikeushenkilön palveluksessa, joille kyseiset toimivaltaiset viranomaiset ovat siirtäneet valtuuksiaan, mukaan lukien niiden kanssa sopimuksen tehneet auditoijat ja asiantuntijat.

3.Salassapitovelvollisuuden piiriin kuuluvaa tietoa ei saa ilmaista toiselle henkilölle eikä toiselle viranomaiselle, jollei unionin oikeudessa tai kansallisessa laissa toisin säädetä.

4.Kaikki toimivaltaisten viranomaisten välillä tämän asetuksen mukaisesti vaihdetut tiedot, jotka koskevat liiketoiminta- tai toimintaolosuhteita ja muita taloudellisia tai henkilökohtaisia asioita, on katsottava luottamuksellisiksi ja niihin on sovellettava salassapitovelvollisuutta koskevia vaatimuksia, paitsi jos toimivaltainen viranomainen ilmoittaa tietoja toimittaessaan, että tällaiset tiedot saa luovuttaa, tai jos niiden luovuttaminen on tarpeen oikeudenkäyntiä varten.

VIII LUKU

DELEGOIDUT SÄÄDÖKSET

50 artikla

Siirretyn säädösvallan käyttäminen

1.Komissiolle siirrettyä valtaa antaa delegoituja säädöksiä koskevat tässä artiklassa säädetyt edellytykset.

2.Siirretään 28 artiklan 3 kohdassa ja 38 artiklan 2 kohdassa tarkoitettu valta antaa delegoituja säädöksiä komissiolle viideksi vuodeksi [julkaisutoimisto lisää päivämäärän, joka on tämän asetuksen voimaantulopäivästä viiden vuoden kuluttua].

3.Euroopan parlamentti tai neuvosto voi milloin tahansa peruuttaa 28 artiklan 3 kohdassa ja 38 artiklan 2 kohdassa tarkoitetun säädösvallan siirron. Peruuttamispäätöksellä lopetetaan tuossa päätöksessä mainittu säädösvallan siirto. Peruuttaminen tulee voimaan sitä päivää seuraavana päivänä, jona sitä koskeva päätös julkaistaan Euroopan unionin virallisessa lehdessä, tai jonakin myöhempänä, kyseisessä päätöksessä mainittuna päivänä. Peruuttamispäätös ei vaikuta jo voimassa olevien delegoitujen säädösten pätevyyteen.

4.Ennen kuin komissio hyväksyy delegoidun säädöksen, se kuulee kunkin jäsenvaltion nimeämiä asiantuntijoita paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa vahvistettujen periaatteiden mukaisesti.

5.Heti kun komissio on antanut delegoidun säädöksen, komissio antaa sen tiedoksi yhtäaikaisesti Euroopan parlamentille ja neuvostolle.

6.Edellä olevien 28 artiklan 3 kohdan ja 38 artiklan 2 kohdan nojalla annettu delegoitu säädös tulee voimaan ainoastaan, jos Euroopan parlamentti tai neuvosto ei ole kahden kuukauden kuluessa siitä, kun asianomainen säädös on annettu tiedoksi Euroopan parlamentille ja neuvostolle, ilmaissut vastustavansa sitä tai jos sekä Euroopan parlamentti että neuvosto ovat ennen mainitun määräajan päättymistä ilmoittaneet komissiolle, että ne eivät vastusta säädöstä. Euroopan parlamentin tai neuvoston aloitteesta tätä määräaikaa jatketaan kahdella kuukaudella.

IX LUKU

SIIRTYMÄ- JA LOPPUSÄÄNNÖKSET

I JAKSO

51 artikla

Uudelleentarkastelu

Komissio suorittaa tapauksen mukaan EPV:tä, EAMV:tä, EIOPAa ja EJRK:ta kuultuaan viimeistään [julkaisutoimisto lisää päivämäärän, joka on tämän asetuksen voimaantulopäivästä viiden vuoden kuluttua] uudelleentarkastelun ja toimittaa Euroopan parlamentille ja neuvostolle kertomuksen, johon liitetään tarvittaessa lainsäädäntöehdotus 28 artiklan 2 kohdassa tarkoitetuista kriteereistä, joiden perusteella kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet nimetään.

II JAKSO

MUUTOKSET

52 artikla

Asetuksen (EY) N:o 1060/2009 muuttaminen

Korvataan asetuksen (EY) N:o 1060/2009 liitteessä I olevan A jakson 4 kohdan ensimmäinen alakohta seuraavasti:

”Luottoluokituslaitoksella on oltava moitteettomat hallinto- ja kirjanpitomenettelyt, omat sisäiset valvontamekanismit, tehokkaat riskinarviointimenettelyt sekä tehokkaat valvonta- ja turvajärjestelyt, jotta se voi hallinnoida tieto- ja viestintäteknisiä järjestelmiä Euroopan parlamentin ja neuvoston asetuksen (EU) 2021/xx* [DORA] mukaisesti.

*    Euroopan parlamentin ja neuvoston asetus (EU) 2021/xx […] (EUVL L XX, PP.KK.VVVV, s. X).”

53 artikla

Asetuksen (EU) N:o 648/2012 muuttaminen

Muutetaan asetus (EU) N:o 648/2012 seuraavasti:

(1)muutetaan 26 artikla seuraavasti:

(a)korvataan 3 kohta seuraavasti:

”3. Keskusvastapuolen on pidettävä yllä ja käytettävä organisaatiorakennetta, jolla varmistetaan sen palvelujen tarjoamisen ja toiminnan harjoittamisen jatkuvuus ja säännönmukaisuus. Sen on käytettävä tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, resursseja ja menettelyjä, mukaan lukien Euroopan parlamentin ja neuvoston asetusta (EU) 2021/xx * [DORA] noudattaen hallinnoidut tieto- ja viestintätekniset järjestelmät.

*    Euroopan parlamentin ja neuvoston asetus (EU) 2021/xx […] (EUVL L XX, PP.KK.VVVV, s. X).”

(b) poistetaan 6 kohta;

(2)muutetaan 34 artikla seuraavasti:

(a) korvataan 1 kohta seuraavasti:

”1. Keskusvastapuolen on otettava käyttöön ja pantava täytäntöön asianmukaiset liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja palautumissuunnitelma, mukaan lukien asetusta (EU) 2021/xx [DORA] noudattaen laaditut tieto- ja viestintäteknisen toiminnan jatkuvuussuunnitelma ja palautumissuunnitelma, joiden tavoitteena on varmistaa keskusvastapuolen toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen, sekä ylläpidettävä kyseisiä suunnitelmia.”

(b)korvataan 3 kohdan ensimmäinen alakohta seuraavasti:

”Jotta voidaan varmistaa tämän artiklan yhdenmukainen soveltaminen, arvopaperimarkkinaviranomainen laatii EKPJ:n jäseniä kuultuaan luonnoksia teknisiksi sääntelystandardeiksi, joissa yksilöidään tarkemmin toiminnan jatkuvuutta koskevien toimintaperiaatteiden ja palautumissuunnitelman vähimmäissisältö ja vaatimukset, lukuun ottamatta tieto- ja viestintäteknisen toiminnan jatkuvuussuunnitelmaa ja palautumissuunnitelmaa.”

(3)korvataan 56 artiklan 3 kohdan ensimmäinen alakohta seuraavasti:

”3. Jotta voidaan varmistaa tämän artiklan yhdenmukainen soveltaminen, arvopaperimarkkinaviranomainen laatii luonnoksia teknisiksi sääntelystandardeiksi, joissa yksilöidään 1 kohdassa tarkoitetun rekisteröintihakemuksen tiedot lukuun ottamatta tieto- ja viestintätekniseen riskinhallintaan liittyviä vaatimuksia.”

(4)korvataan 79 artiklan 1 ja 2 kohta seuraavasti:

”1. Kauppatietorekisterin on tunnistettava operatiivisen riskin lähteet ja minimoitava ne, myös kehittämällä tarkoituksenmukaisia järjestelmiä, tarkastuksia ja menettelyjä, mukaan lukien asetusta (EU) 2021/xx [DORA] noudattaen hallinnoidut tieto- ja viestintätekniset järjestelmät.

2. Kauppatietorekisterin on otettava käyttöön ja pantava täytäntöön asianmukaiset liiketoiminnan jatkuvuutta koskevat toimintapolitiikka ja palautumissuunnitelma, mukaan lukien asetusta (EU) 2021/xx [DORA] noudattaen vahvistetut tieto- ja viestintäteknisen toiminnan jatkuvuussuunnitelma ja palautumissuunnitelma, joiden tavoitteena on varmistaa kauppatietorekisterin toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen, sekä ylläpidettävä kyseisiä suunnitelmia.”

(5)kumotaan 80 artiklan 1 kohta.

54 artikla

Asetuksen (EU) N:o 909/2014 muuttaminen

Muutetaan asetuksen (EU) N:o 909/2014 45 artikla seuraavasti:

(1)korvataan 1 kohta seuraavasti:

”1. Arvopaperikeskuksen on tunnistettava operatiivisen riskin lähteet – niin ulkoiset kuin sisäiset – ja minimoitava niiden vaikutus käyttämällä tarkoituksenmukaisia Euroopan parlamentin ja neuvoston asetusta (EU) 2021/xx [DORA] noudattaen luotuja ja hallinnoituja tieto- ja viestintäteknisiä välineitä, prosesseja ja periaatteita sekä muita tarkoituksenmukaisia välineitä, tarkastuksia ja menettelyjä, myös kaikkien ylläpitämiensä arvopapereiden selvitysjärjestelmien osalta.

*Euroopan parlamentin ja neuvoston asetus (EU) 2021/xx […] (EUVL L XX, PP.KK.VVVV, s. X).”

(2)poistetaan 2 kohta;

(3)korvataan 3 ja 4 kohta seuraavasti:

”3. Arvopaperikeskuksen on tarjoamiensa palvelujen sekä kunkin ylläpitämänsä arvopapereiden selvitysjärjestelmän osalta otettava käyttöön ja pantava täytäntöön asianmukaiset liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja palautumissuunnitelma, mukaan lukien asetusta (EU) 2021/xx [DORA] noudattaen vahvistetut tieto- ja viestintäteknisen toiminnan jatkuvuussuunnitelma ja palautumissuunnitelma, sekä ylläpidettävä niitä; tavoitteena on varmistaa arvopaperikeskuksen toimintojen säilyminen, toiminnan nopea palautuminen ja velvollisuuksien täyttäminen, jos jokin tapahtuma vakavasti vaarantaa toiminnan jatkuvuuden.

4. Edellä 3 kohdassa tarkoitetun suunnitelman on mahdollistettava kaikkien tapahtumien ja osallistujien positioiden palauttaminen häiriön tapahtuessa muun muassa takaamalla olennaisten tietotekniikkajärjestelmien toiminnan jatkuminen häiriön alettua, kuten asetuksen (EU) 2021/xx [DORA] 11 artiklan 5 ja 7 kohdassa säädetään, jotta arvopaperikeskuksen osallistujat voivat turvallisesti jatkaa toimintaansa ja saattaa toteutuksen loppuun määräpäivänä.

(4)korvataan 6 kohdan ensimmäinen alakohta seuraavasti:

”Arvopaperikeskuksen on tunnistettava riskit, joita sen ylläpitämän arvopapereiden selvitysjärjestelmän keskeisistä osallistujista, palveluntarjoajista, toisista arvopaperikeskuksista ja muista markkinainfrastruktuureista saattaa aiheutua sen toiminnoille, sekä seurattava ja hallittava niitä. Sen on pyynnöstä toimitettava toimivaltaisille viranomaisille ja muille asiaan liittyville viranomaisille tiedot kaikista tällaisista tunnistetuista riskeistä. Sen on myös ilmoitettava toimivaltaiselle viranomaiselle ja muille asiaan liittyville viranomaisille viipymättä kyseisistä riskeistä johtuvista toiminnan harjoittamiseen vaikuttavista tapahtumista lukuun ottamatta tieto- ja viestintäteknisiä riskejä.

(5)korvataan 7 kohdan ensimmäinen alakohta seuraavasti:

”EAMV laatii tiiviissä yhteistyössä EKPJ:n jäsenten kanssa teknisten sääntelystandardien luonnoksia tarkentaakseen 1 ja 6 kohdassa tarkoitetut operatiiviset riskit, tieto- ja viestintäteknisiä riskejä lukuun ottamatta, sekä menetelmät, joilla kyseisiä riskejä testataan ja käsitellään tai ne minimoidaan, mukaan lukien 3 ja 4 kohdassa tarkoitetut liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet ja palautumissuunnitelmat, sekä käytettävät arviointimenetelmät.”

55 artikla

Asetuksen (EU) N:o 600/2014 muuttaminen

Muutetaan asetus (EU) N:o 600/2014 seuraavasti:

(1)muutetaan 27 g artikla seuraavasti:

(a)poistetaan 4 kohta;

(b)korvataan 8 kohdan c alakohta seuraavasti:

(c)”c) 3 ja 5 kohdassa asetetut toiminnan järjestämistä koskevat käytännön vaatimukset.”

(2)muutetaan 27 h artikla seuraavasti:

(a)poistetaan 5 kohta;

(b)korvataan 8 kohdan e alakohta seuraavasti:

”e) 4 kohdassa asetetut toiminnan järjestämistä koskevat käytännön vaatimukset.”

(3)muutetaan 27 i artikla seuraavasti:

(a)poistetaan 3 kohta;

(b)korvataan 5 kohdan b alakohta seuraavasti:

”b) 2 ja 4 kohdassa asetetut toiminnan järjestämistä koskevat käytännön vaatimukset.”

56 artikla

Voimaantulo ja soveltaminen

Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Sitä sovelletaan [...] päivästä [...]kuuta [...] [julkaisutoimisto lisää päivämäärän, joka on 12 kuukautta voimaantulosta].

Asetuksen 23 ja 24 artiklaa sovelletaan kuitenkin [...] päivästä [...]kuuta [...] [lisätään päivämäärä, joka on 36 kuukautta tämän asetuksen voimaantulopäivän jälkeen].

Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa.

Tehty Brysselissä

SÄÄDÖSEHDOTUKSEEN LIITTYVÄ RAHOITUSSELVITYS

1. PERUSTIEDOT EHDOTUKSESTA/ALOITTEESTA

   1.1 Ehdotuksen/aloitteen nimi

   1.2 Toimintalohko(t)

   1.3 Ehdotus liittyy

   1.4 Tavoite (Tavoitteet)

1.5 Ehdotuksen/aloitteen perustelut

1.6 Ehdotetun toimen/aloitteen kesto ja rahoitusvaikutukset

   1.7 Hallinnointi (Hallinnointitavat)

2. HALLINNOINTI

   2.1 Seuranta- ja raportointisäännöt

   2.2 Hallinnointi- ja valvontajärjestelmä(t)

   2.3 Toimenpiteet petosten ja sääntöjenvastaisuuksien ehkäisemiseksi

3. EHDOTUKSEN/ALOITTEEN ARVIOIDUT RAHOITUSVAIKUTUKSET

   3.1 Kyseeseen tulevat monivuotisen rahoituskehyksen otsakkeet ja menopuolen budjettikohdat

   3.2 Arvioidut vaikutukset menoihin

   3.2.1 Yhteenveto arvioiduista vaikutuksista menoihin

   3.2.2 Arvioitu vaikutus määrärahoihin

   3.2.3 Arvioitu vaikutus henkilöstöön

   3.2.4 Yhteensopivuus nykyisen monivuotisen rahoituskehyksen kanssa

   3.2.5 Ulkopuolisten tahojen rahoitusosuudet

3.3 Arvioidut vaikutukset tuloihin

Liite

Yleiset oletukset

   Valvontavaltuudet

SÄÄDÖSEHDOTUKSEEN LIITTYVÄ RAHOITUSSELVITYS - VIRASTOT

1.PERUSTIEDOT EHDOTUKSESTA/ALOITTEESTA

1.1.Ehdotuksen/aloitteen nimi

1.2.Toimintalohko(t)

1.3.Ehdotus liittyy

☑ uuteen toimeen

◻ uuteen toimeen, joka perustuu pilottihankkeeseen tai valmistelutoimeen 50  

◻ käynnissä olevan toimen jatkamiseen 

◻ yhden tai useamman toimen sulauttamiseen tai uudelleen suuntaamiseen johonkin toiseen/uuteen toimeen 

1.4.Tavoite (Tavoitteet)

1.4.1.Yleistavoite (Yleistavoitteet)

1.4.2.Erityistavoite (Erityistavoitteet)

1.4.3.Odotettavissa olevat tulokset ja vaikutukset

Selvitys siitä, miten ehdotuksella/aloitteella on tarkoitus vaikuttaa edunsaajien/kohderyhmän tilanteeseen

1.4.4.Tuloksellisuusindikaattorit

Selvitys siitä, millaisin indikaattorein ehdotuksen/aloitteen etenemistä ja tuloksia seurataan.

1.5.Ehdotuksen/aloitteen perustelut

1.5.1.Tarpeet, joihin ehdotuksella/aloitteella vastataan lyhyellä tai pitkällä aikavälillä sekä aloitteen yksityiskohtainen toteutusaikataulu

1.5.2.EU:n osallistumisesta saatava lisäarvo (joka voi olla seurausta eri tekijöistä, kuten koordinoinnin paranemisesta, oikeusvarmuudesta tai toiminnan vaikuttavuuden tai täydentävyyden paranemisesta). EU:n osallistumisesta saatavalla lisäarvolla tarkoitetaan tässä kohdassa arvoa, jonka EU:n osallistuminen tuottaa sen arvon lisäksi, joka olisi saatu aikaan pelkillä jäsenvaltioiden toimilla.

1.5.3.Vastaavista toimista saadut kokemukset

1.5.4.Yhteensopivuus monivuotisen rahoituskehyksen kanssa ja mahdolliset synergiaedut suhteessa muihin kyseeseen tuleviin välineisiin

1.5.5.Arvio käytettävissä olevista rahoitusvaihtoehdoista, mukaan lukien mahdollisuudet määrärahojen uudelleenkohdentamiseen

1.6.Ehdotetun toimen/aloitteen kesto ja rahoitusvaikutukset

◻ kesto on rajattu

◻    Ehdotuksen/aloitteen mukainen toiminta alkaa [PP/KK]VVVV ja päättyy [PP/KK]VVVV.

◻    Rahoitusvaikutukset koskevat vuosia YYYY–YYYY.

☑ kestoa ei ole rajattu

Käynnistysvaihe alkaa vuonna 2021,

minkä jälkeen toteutus täydessä laajuudessa.

1.7.Hallinnointitapa (Hallinnointitavat) 51  

Suora hallinnointi, jonka komissio toteuttaa käyttämällä

◻    toimeenpanovirastoja

◻ Hallinnointi yhteistyössä jäsenvaltioiden kanssa

☑ Välillinen hallinnointi, jossa täytäntöönpanotehtäviä on siirretty

◻ kansainvälisille järjestöille ja niiden erityisjärjestöille (tarkennettava)

◻ Euroopan investointipankille tai Euroopan investointirahastolle

☑ 70 ja 71 artiklassa tarkoitetuille elimille

◻ julkisoikeudellisille yhteisöille

◻ sellaisille julkisen palvelun tehtäviä hoitaville yksityisoikeudellisille elimille, jotka antavat riittävät rahoitustakuut

◻ sellaisille jäsenvaltion yksityisoikeuden mukaisille elimille, joille on annettu tehtäväksi julkisen ja yksityisen sektorin kumppanuuden täytäntöönpano ja jotka antavat riittävät rahoitustakuut

◻ henkilöille, joille on annettu tehtäväksi toteuttaa SEU-sopimuksen V osaston mukaisia yhteisen ulko- ja turvallisuuspolitiikan erityistoimia ja jotka nimetään asiaa koskevassa perussäädöksessä.

Huomautukset:

 

2.HALLINNOINTI

2.1.Seuranta- ja raportointisäännöt

Ilmoitetaan sovellettavat aikavälit ja edellytykset.

2.2.Hallinnointi- ja valvontajärjestelmä(t)

2.2.1.Perustelut ehdotetu(i)lle hallinnointitavalle(/-tavoille), rahoituksen toteutusmekanismille(/-mekanismeille), maksujärjestelyille sekä valvontastrategialle

2.2.2.Tiedot todetuista riskeistä ja niiden vähentämiseksi käyttöön otetuista sisäisistä valvontajärjestelmistä

2.2.3.Valvonnan kustannustehokkuutta (valvontakustannusten suhde hallinnoitujen varojen arvoon) koskevat arviot ja perustelut sekä arviot maksujen suoritusajankohdan ja toimen päättämisajankohdan odotetuista virheriskitasoista

2.3.Toimenpiteet petosten ja sääntöjenvastaisuuksien ehkäisemiseksi

Ilmoitetaan käytössä olevat ja suunnitellut ehkäisy- ja suojatoimenpiteet, esimerkiksi petostentorjuntastrategian pohjalta

3.EHDOTUKSEN/ALOITTEEN ARVIOIDUT RAHOITUSVAIKUTUKSET

3.1.Kyseeseen tulevat monivuotisen rahoituskehyksen otsakkeet ja menopuolen budjettikohdat

Talousarviossa jo olevat budjettikohdat

Monivuotisen rahoituskehyksen otsakkeiden ja budjettikohtien mukaisessa järjestyksessä.

Monivuotisen rahoituskehyksen otsake	Budjettikohta	Menolaji	Rahoitusosuudet
	Numero	JM/ EI-JM 52 .	EFTA-mailta 53	ehdokasmailta 54	kolmansilta mailta	varainhoitoasetuksen 21 artiklan 2 kohdan b alakohdassa tarkoitetut rahoitusosuudet

Uudet perustettaviksi esitetyt budjettikohdat

Monivuotisen rahoituskehyksen otsakkeiden ja budjettikohtien mukaisessa järjestyksessä.

Monivuotisen rahoituskehyksen otsake	Budjettikohta	Menolaji	Rahoitusosuudet
	Numero	JM/EI-JM	EFTA-mailta	ehdokasmailta	kolmansilta mailta	Varainhoitoasetuksen 21 artiklan 2 kohdan b alakohdassa tarkoitetut rahoitusosuudet

3.2.Arvioidut vaikutukset menoihin

3.3.Yhteenveto arvioiduista vaikutuksista menoihin

milj. euroa (kolmen desimaalin tarkkuudella)

Monivuotisen rahoituskehyksen otsake

Numero

Nimike

Pääosasto: <..>			2020	2021	2022	2023	2024	2025	2026	2027	YHTEENSÄ
	Sitoumukset	(1)
	Maksut	(2)
Pääosaston <...> määrärahat YHTEENSÄ	Sitoumukset
	Maksut

Monivuotisen rahoituskehyksen otsake

milj. euroa (kolmen desimaalin tarkkuudella)

				2022	2023	2024	2025	2026	2027	YHTEENSÄ
Pääosastot:
• Henkilöresurssit
• Muut hallintomenot <>
PÄÄOSASTOT YHTEENSÄ	Määrärahat

Monivuotisen rahoituskehyksen OTSAKKEESEEN <...> kuuluvat määrärahat YHTEENSÄ

(Sitoumukset yhteensä = maksut yhteensä)

milj. euroa (kolmen desimaalin tarkkuudella) kiinteinä hintoina

			2022	2023	2024	2025		2026	2027	YHTEENSÄ
Monivuotisen rahoituskehyksen OTSAKKEESEEN 1 kuuluvat määrärahat YHTEENSÄ	Sitoumukset
	Maksut

3.3.1.Arvioitu vaikutus määrärahoihin

☑    Ehdotus/aloite ei edellytä toimintamäärärahoja.

◻    Ehdotus/aloite edellyttää toimintamäärärahoja seuraavasti:

Maksusitoumusmäärärahat, milj. euroa (kolmen desimaalin tarkkuudella) – kiinteinä hintoina

Tavoitteet ja tuotokset ⇩

2022

2023

2024

2025

2026

2027

YHTEENSÄ

TUOTOKSET

Tyyppi 55

Keskimäär. kustannukset

Lkm

Kustannus

Lkm

Kustannus

Lkm

Kustannus

Lkm

Kustannus

Lkm

Kustannus

Lkm

Kustannus

Lukumäärä yhteensä

Kustannukset yhteensä

ERITYISTAVOITE 1… 56

– Tuotos

Välisumma, erityistavoite 1

ERITYISTAVOITE 2

– Tuotos

Välisumma, erityistavoite 2

KUSTANNUKSET YHTEENSÄ

3.3.2.Arvioitu vaikutus henkilöstöön

3.3.2.1.Yhteenveto

◻    Ehdotus/aloite ei edellytä hallintomäärärahoja.

☑    Ehdotus/aloite edellyttää hallintomäärärahoja seuraavasti:

milj. euroa (kolmen desimaalin tarkkuudella) kiinteinä hintoina

EPV, EIOPA, EAMV

2022

2023

2024

2025

2026

2027

YHTEENSÄ

Väliaikaiset toimihenkilöt (AD-palkkaluokat)	1,188	2,381	2,381	2,381	2,381	2,381	13,093
Väliaikaiset toimihenkilöt (AST-palkkaluokat)	0,238	0,476	0,476	0,476	0,476	0,476	2,618
Sopimussuhteiset toimihenkilöt
Kansalliset asiantuntijat
YHTEENSÄ	1,426	2,857	2,857	2,857	2,857	2,857	15,711

Henkilöstötarpeet (kokoaikaiseksi muutettuna)

EPV, EIOPA, EAMV ja EEA

2022

2023

2024

2025

2026

2027

YHTEENSÄ

Väliaikaiset toimihenkilöt (AD-palkkaluokat) EPV=5, EIOPA=5, EAMV=5	15	15	15	15	15	15	15
Väliaikaiset toimihenkilöt (AST-palkkaluokat) EPV=1, EIOPA=1, EEA=1	3	3	3	3	3	3	3
Sopimussuhteiset toimihenkilöt
Kansalliset asiantuntijat

YHTEENSÄ

18

18

18

18

18

18

18

3.3.2.2.Henkilöresurssien arvioitu tarve vastuullisissa pääosastoissa

☑    Ehdotus/aloite ei edellytä henkilöresursseja.

◻    Ehdotus/aloite edellyttää henkilöresursseja seuraavasti:

Arvio kokonaislukuina (tai enintään yhden desimaalin tarkkuudella)

		2022	2023	2024	2025	2026		2027
·Henkilöstötaulukkoon sisältyvät virat/toimet (virkamiehet ja väliaikaiset toimihenkilöt)
• Ulkopuolinen henkilöstö: (kokoaikaiseksi muutettuna) 57
XX 01 02 01 (kokonaismäärärahoista katettavat sopimussuhteiset toimihenkilöt, kansalliset asiantuntijat ja vuokrahenkilöstö)
XX 01 02 02 (sopimussuhteiset ja paikalliset toimihenkilöt, kansalliset asiantuntijat, vuokrahenkilöstö ja nuoremmat asiantuntijat EU:n ulkopuolisissa edustustoissa)
XX 01 04 yy 58	– päätoimipaikassa 59
	– EU:n ulkopuolisissa edustustoissa
XX 01 05 02 (epäsuora tutkimustoiminta: sopimussuhteiset toimihenkilöt, kansalliset asiantuntijat ja vuokrahenkilöstö)
10 01 05 02 (suora tutkimustoiminta: sopimussuhteiset toimihenkilöt, kansalliset asiantuntijat ja vuokrahenkilöstö)
Muu budjettikohta (mikä?)
YHTEENSÄ

XX viittaa kyseessä olevaan toimintalohkoon eli talousarvion osastoon.

Henkilöresurssien tarve katetaan toimen hallinnointiin jo osoitetulla pääosaston henkilöstöllä ja/tai pääosastossa toteutettujen henkilöstön uudelleenjärjestelyjen tuloksena saadulla henkilöstöllä sekä tarvittaessa sellaisilla lisäresursseilla, jotka toimea hallinnoiva pääosasto voi saada käyttöönsä vuotuisessa määrärahojen jakomenettelyssä talousarvion puitteissa.

Kuvaus henkilöstön tehtävistä:

Virkamiehet ja väliaikaiset toimihenkilöt
Ulkopuolinen henkilöstö

Kokoaikaiseksi muunnetun henkilöstön kustannusten laskentamenetelmä olisi kuvattava liitteessä V olevassa 3 kohdassa.

3.3.3.Yhteensopivuus nykyisen monivuotisen rahoituskehyksen kanssa

☑    Ehdotus/aloite on nykyisen monivuotisen rahoituskehyksen mukainen.

◻    Ehdotus/aloite edellyttää monivuotisen rahoituskehyksen asianomaisen otsakkeen rahoitussuunnitelman muuttamista.

◻    Ehdotus/aloite edellyttää joustovälineen varojen käyttöön ottamista tai monivuotisen rahoituskehyksen tarkistamista 60 .

3.3.4.Ulkopuolisten tahojen rahoitusosuudet

◻Ehdotuksen/aloitteen rahoittamiseen ei osallistu ulkopuolisia tahoja.

☑    Ehdotuksen/aloitteen rahoittamiseen osallistuu ulkopuolisia tahoja seuraavasti (arvio):

milj. euroa (kolmen desimaalin tarkkuudella)

EPV

	2022	2023	2024	2025	2026	2027	Yhteensä
Kustannukset katetaan 100-prosenttisesti valvottavilta yhteisöiltä perittävillä maksuilla. 61	1,373	1,948	1,748	1,748	1,748	1,748	10,313
Yhteisrahoituksella katettavat määrärahat YHTEENSÄ	1,373	1,948	1,748	1,748	1,748	1,748	10,313

EIOPA

	2022	2023	2024	2025	2026	2027	Yhteensä
Kustannukset katetaan 100-prosenttisesti valvottavilta yhteisöiltä perittävillä maksuilla. 62	1,305	1,811	1,611	1,611	1,611	1,611	9,560
Yhteisrahoituksella katettavat määrärahat YHTEENSÄ	1,305	1,811	1,611	1,611	1,611	1,611	9,560

EAMV

	2022	2023	2024	2025	2026	2027	Yhteensä
Kustannukset katetaan 100-prosenttisesti valvottavilta yhteisöiltä perittävillä maksuilla. 63	1,373	1,948	1,748	1,748	1,748	1,748	10,313
Yhteisrahoituksella katettavat määrärahat YHTEENSÄ	1,373	1,948	1,748	1,748	1,748	1,748	10,313

3.4.Arvioidut vaikutukset tuloihin

☑    Ehdotuksella/aloitteella ei ole vaikutuksia tuloihin.

◻    Ehdotuksella/aloitteella on vaikutuksia tuloihin seuraavasti:

◻    vaikutukset omiin varoihin

◻    vaikutukset muihin tuloihin

◻ tulot on kohdennettu menopuolen budjettikohtiin

milj. euroa (kolmen desimaalin tarkkuudella)

Tulopuolen budjettikohta:	Käytettävissä olevat määrärahat kuluvana varainhoitovuonna	Ehdotuksen/aloitteen vaikutus 64
		Vuosi N	Vuosi N+1	Vuosi N+2	Vuosi N+3	ja näitä seuraavat vuodet (ilmoitetaan kaikki vuodet, joille ehdotuksen/aloitteen vaikutukset ulottuvat, ks. kohta 1.6)
Momentti ….

Vastaava(t) menopuolen budjettikohta (budjettikohdat) käyttötarkoitukseensa sidottujen sekalaisten tulojen tapauksessa.

Selvitys tuloihin kohdistuvan vaikutuksen laskentamenetelmästä.

LIITE

Yleiset oletukset

Osasto I – Henkilöstömenot

Henkilöstömenojen laskennassa on sovellettu seuraavia oletuksia, jotka perustuvat jäljempänä kuvattuihin henkilöstötarpeisiin:

·Vuonna 2022 palkattavan lisähenkilöstön kustannukset arvioidaan kuudelta kuukaudelta ottaen huomioon lisähenkilöstön palkkaamiseen tarvittava oletettu aika.

·Väliaikaisesta toimihenkilöstä aiheutuvat keskimääräiset vuosikustannukset ovat 150 000 euroa, mihin sisältyy 25 000 euroa ”kiinteitä” kuluja (rakennukset, tietotekniikka jne.).

·Henkilöstön palkkoihin sovellettava korjauskerroin on Pariisissa (EPV ja EAMV) 117,7 ja Frankfurtissa (EIOPA) 99,4.

·Väliaikaisten toimihenkilöiden osalta työnantajan eläkemaksut perustuvat keskimääräisiin vuosikustannuksiin sisältyvään vakioperuspalkkaan, joka on 95 660 euroa.

·Uudet väliaikaiset toimihenkilöt ovat AD5- ja AST-palkkaluokassa.

Osasto II – Infrastruktuuri- ja toimintamenot

Kustannukset perustuvat työntekijöiden määrään kerrottuna vuoden aikaisella palveluksessaoloajalla ja ”kiinteillä” vakiokustannuksilla (25 000 euroa).

Osasto III – Toimintamenot

Kustannukset arvioidaan seuraavin oletuksin:

·Euroopan valvontaviranomaisten käännöskustannukset ovat 350 000 euroa vuodessa.

·Euroopan valvontaviranomaisen kertaluonteisten tietotekniikkakustannusten (500 000 euroa) oletetaan jakautuvan vuosille 2022 ja 2023 suhteessa 50/50 prosenttia. Kunkin Euroopan valvontaviranomaisen vuotuiset ylläpitokustannukset ovat vuodesta 2024 alkaen arviolta 50 000 euroa.

·Paikan päällä suoritettavasta valvonnasta aiheutuvat kustannukset ovat kunkin Euroopan valvontaviranomaisen osalta arviolta 200 000 euroa vuodessa.

Edellä esitetyt arviot johtavat seuraaviin vuosittaisiin kustannuksiin:

Monivuotisen rahoituskehyksen otsake

Numero

Kiinteät hinnat

EPV:			2022	2023	2024	2025	2026	2027	YHTEENSÄ
Osasto 1:	Sitoumukset	(1)	0,498	0,998	0,998	0,998	0,998	0,998	5,488
	Maksut	(2)	0,498	0,998	0,998	0,998	0,998	0,998	5,488
Osasto 2:	Sitoumukset	(1a)	0,075	0,150	0,150	0,150	0,150	0,150	0,825
	Maksut	(2 a)	0,075	0,150	0,150	0,150	0,150	0,150	0,825
Osasto 3:	Sitoumukset	(3 a)	0,800	0,800	0,600	0,600	0,600	0,600	4,000
	Maksut	(3b)	0,800	0,800	0,600	0,600	0,600	0,600	4,000
EPV:n määrärahat YHTEENSÄ	Sitoumukset	=1+1a +3a	1,373	1,948	1,748	1,748	1,748	1,748	10,313
	Maksut	=2+2a +3b	1,373	1,948	1,748	1,748	1,748	1,748	10,313

EIOPA:			2022	2023	2024	2025	2026	2027	YHTEENSÄ
Osasto 1:	Sitoumukset	(1)	0,430	0,861	0,861	0,861	0,861	0,861	4,735
	Maksut	(2)	0,430	0,861	0,861	0,861	0,861	0,861	4,735
Osasto 2:	Sitoumukset	(1a)	0,075	0,150	0,150	0,150	0,150	0,150	0,825
	Maksut	(2 a)	0,075	0,150	0,150	0,150	0,150	0,150	0,825
Osasto 3:	Sitoumukset	(3 a)	0,800	0,800	0,600	0,600	0,600	0,600	4,000
	Maksut	(3b)	0,800	0,800	0,600	0,600	0,600	0,600	4,000
EIOPAn määrärahat YHTEENSÄ	Sitoumukset	=1+1a +3a	1,305	1,811	1,611	1,611	1,611	1,611	9,560
	Maksut	=2+2a +3b	1,305	1,811	1,611	1,611	1,611	1,611	9,560

EAMV:			2022	2023	2024	2025	2026	2027	YHTEENSÄ
Osasto 1:	Sitoumukset	(1)	0,498	0,998	0,998	0,998	0,998	0,998	5,488
	Maksut	(2)	0,498	0,998	0,998	0,998	0,998	0,998	5,488
Osasto 2:	Sitoumukset	(1a)	0,075	0,150	0,150	0,150	0,150	0,150	0,825
	Maksut	(2 a)	0,075	0,150	0,150	0,150	0,150	0,150	0,825
Osasto 3:	Sitoumukset	(3 a)	0,800	0,800	0,600	0,600	0,600	0,600	4,000
	Maksut	(3b)	0,800	0,800	0,600	0,600	0,600	0,600	4,000
EAMV:n määrärahat yhteensä	Sitoumukset	=1+1a +3a	1,373	1,948	1,748	1,748	1,748	1,748	10,313
	Maksut	=2+2a +3b	1,373	1,948	1,748	1,748	1,748	1,748	10,313

Ehdotus edellyttää toimintamäärärahoja seuraavasti:

Maksusitoumusmäärärahat, milj. euroa (kolmen desimaalin tarkkuudella) – kiinteinä hintoina

EPV

Tavoitteet ja tuotokset ⇩			2022		2023		2024		2025		2026		2027
	TUOTOKSET
	Tyyppi 65	Keskimär. kustannukset	Lkm	Kustannus	Lkm	Kustannus	Lkm	Kustannus	Lkm	Kustannus	Lkm	Kustannus	Lkm	Kustannus	Lukumäärä yhteensä	Kustannukset yhteensä
ERITYISTAVOITE 1 66 Kriittisten ulkopuolisten TVT-palveluntarjoajien suora valvonta
– Tuotos				0,800		0,800		0,600		0,600		0,600		0,600		4,000
Välisumma, erityistavoite 1
ERITYISTAVOITE 2
– Tuotos
Välisumma, erityistavoite 2
KUSTANNUKSET YHTEENSÄ				0,800		0,800		0,600		0,600		0,600		0,600		4,000

EIOPA

Tavoitteet ja tuotokset ⇩			2022		2023		2024		2025		2026		2027
	TUOTOKSET
	Tyyppi 67	Keskimäär. kustannukset	Lkm	Kustannus	Lkm	Kustannus	Lkm	Kustannus	Lkm	Kustannus	Lkm	Kustannus	Lkm	Kustannus	Lukumäärä yhteensä	Kustannukset yhteensä
ERITYISTAVOITE 1 68 Kriittisten ulkopuolisten TVT-palveluntarjoajien suora valvonta
– Tuotos				0,800		0,800		0,600		0,600		0,600		0,600		4,000
Välisumma, erityistavoite 1
ERITYISTAVOITE 2
– Tuotos
Välisumma, erityistavoite 2
KUSTANNUKSET YHTEENSÄ				0,800		0,800		0,600		0,600		0,600		0,600		4,000

EAMV

Tavoitteet ja tuotokset ⇩			2022		2023		2024		2025		2026		2027
	TUOTOKSET
	Tyyppi 69	Keskimäär. kustannukset	Lkm	Kustannus	Lkm	Kustannus	Lkm	Kustannus	Lkm	Kustannus	Lkm	Kustannus	Lkm	Kustannus	Lukumäärä yhteensä	Kustannukset yhteensä
ERITYISTAVOITE 1 70 Kriittisten ulkopuolisten TVT-palveluntarjoajien suora valvonta
– Tuotos				0,800		0,800		0,600		0,600		0,600		0,600		4,000
Välisumma, erityistavoite 1
ERITYISTAVOITE 2
– Tuotos
Välisumma, erityistavoite 2
KUSTANNUKSET YHTEENSÄ				0,800		0,800		0,600		0,600		0,600		0,600		4,000

Valvontatoimet rahoitetaan kokonaisuudessaan valvottavilta yhteisöiltä perittävillä maksuilla seuraavasti:

EPV

	2022	2023	2024	2025	2026	2027	Yhteensä
Kustannukset katetaan 100-prosenttisesti valvottavilta yhteisöiltä perittävillä maksuilla. 71	1,373	1,948	1,748	1,748	1,748	1,748	10,313
Yhteisrahoituksella katettavat määrärahat YHTEENSÄ	1,373	1,948	1,748	1,748	1,748	1,748	10,313

EIOPA

	2022	2023	2024	2025	2026	2027	Yhteensä
Kustannukset katetaan 100-prosenttisesti valvottavilta yhteisöiltä perittävillä maksuilla. 72	1,305	1,811	1,611	1,611	1,611	1,611	9,560
Yhteisrahoituksella katettavat määrärahat YHTEENSÄ	1,305	1,811	1,611	1,611	1,611	1,611	9,560

EAMV

	2022	2023	2024	2025	2026	2027	Yhteensä
Kustannukset katetaan 100-prosenttisesti valvottavilta yhteisöiltä perittävillä maksuilla. 73	1,373	1,948	1,748	1,748	1,748	1,748	10,313
Yhteisrahoituksella katettavat määrärahat YHTEENSÄ	1,373	1,948	1,748	1,748	1,748	1,748	10,313

ERITYISTIEDOT

Suorat valvontavaltuudet

Johdannoksi palautetaan mieliin, että yhteisöjen, joita EAMV valvoo suoraan, olisi maksettava EAMV:lle maksuja (kertakustannukset rekisteröinnistä ja toistuvat kustannukset jatkuvasta valvonnasta). Tämä koskee jo nyt luottoluokituslaitoksia (ks. komission delegoitu asetus (EU) N:o 272/2012) ja kauppatietorekistereitä (ks. komission delegoitu asetus (EU) N:o 1003/2013).

Tämän säädösehdotuksen nojalla Euroopan valvontaviranomaisille annetaan uusia tehtäviä, joiden tarkoituksena on edistää TVT-palveluntarjoajana olevien kolmansien osapuolten valvonnassa käytettävien menetelmien lähentämistä finanssialalla siten, että otetaan kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet unionin valvontakehyksen piiriin.

Ehdotuksessa kaavailtu valvontakehys perustuu finanssipalvelujen nykyiseen institutionaaliseen järjestelmään, jossa Euroopan valvontaviranomaisten yhteiskomitea huolehtii eri alojen välisestä yhteensovittamisesta kaikkien TVT-riskien osalta kyberturvallisuuteen liittyvien tehtäviensä mukaisesti. Tässä tehtävässä sitä tukee asianomainen alakomitea (valvontafoorumi), joka valmistelee kriittisille TVT-palveluntarjoajana oleville kolmansille osapuolille osoitettavat yksittäiset päätökset ja yhteiset suositukset.

Kullekin kriittiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle nimetään päävalvojaksi jokin Euroopan valvontaviranomaisista, joka saa tämän kehyksen nojalla valtuudet varmistaa, että teknologiapalvelujen tarjoajia, jotka suorittavat finanssialan toiminnan kannalta kriittisiä tehtäviä, valvotaan asianmukaisesti koko Euroopan tasolla. Valvontatehtävät on esitetty ehdotuksessa, ja niitä selvennetään perusteluissa. Tehtäviin sisältyy muun muassa oikeus    vaatia kaikki yleisten tutkimusten ja tarkastusten suorittamiseksi tarvittavat tiedot ja asiakirjat sekä antaa suosituksia ja laatia raportteja suositusten perusteella toteutetuista toimista tai korjauksista.

Ehdotuksessa esitettyjen uusien tehtävien hoitamista varten Euroopan valvontaviranomaiset ottavat palvelukseen lisää työntekijöitä, jotka ovat erikoistuneet TVT-riskien ja kolmansiin osapuoliin liittyvien riippuvuussuhteiden arviointiin.

Henkilöresurssien tarpeen arvioidaan olevan kunkin viranomaisen osalta 6 kokoaikaista työntekijää (5 AD-tointa ja niiden tueksi 1 AST-toimi). Myös Euroopan valvontaviranomaisille aiheutuu ylimääräisiä tietotekniikkakustannuksia, joiden määräksi arvioidaan 500 000 euroa (kertaluonteiset kustannukset) ja vuosittain 50 000 euroa ylläpitokustannuksiin kunkin Euroopan valvontaviranomaisen osalta. Yksi tärkeä tekijä uusien tehtävien hoitamisessa ovat paikalla tehtävät tarkastukset. Niiden kustannuksiksi arvioidaan kunkin Euroopan valvontaviranomaisen osalta 200 000 euroa vuodessa. Toimintakustannuksissa on otettu huomioon myös Euroopan valvontaviranomaisten kriittisiltä TVT-palveluntarjoajana olevilta kolmansilta osapuolilta vastaanottamien erilaisten dokumenttien käännöskustannukset, jotka olisivat 350 000 euroa vuodessa.

Kaikki edellä mainitut hallinnolliset kustannukset rahoitetaan kokonaisuudessaan vuotuisilla maksuilla, jotka Euroopan valvontaviranomaiset perivät valvonnan kohteena olevilta kriittisiltä TVT-palveluntarjoajana olevilta kolmansilta osapuolilta (ei vaikutusta EU:n talousarvioon).

(1)    Komission tiedonanto Euroopan parlamentille, Eurooppa-neuvostolle, neuvostolle, Euroopan talous- ja sosiaalikomitealle ja alueiden komitealle EU:n digitaalisen rahoituksen strategiasta, 23. syyskuuta 2020, COM(2020) 591.

(2)    Ehdotus Euroopan parlamentin ja neuvoston asetukseksi kryptovarojen markkinoista ja direktiivin (EU) 2019/1937 muuttamisesta, COM (2020) 593.

(3)    Ehdotus Euroopan parlamentin ja neuvoston asetukseksi hajautetun tilikirjan teknologiaan perustuvien markkinainfrastruktuurien pilottijärjestelmästä, COM(2020) 594.

(4)    Ehdotus Euroopan parlamentin ja neuvoston direktiiviksi direktiivien 2006/43/EY, 2009/65/EY, 2009/138/EY, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 ja (EU) 2016/2341 muuttamisesta, COM(2020) 596.

(5)    Erilaisten toimenpiteiden perimmäisenä tavoitteena oli lisätä finanssiyhteisöjen pääomavaroja ja likviditeettiä sekä vähentää markkina- ja luottoriskejä.

(6)    Baselin pankkivalvontakomitea, Cyber-resilience: Range of practices, joulukuu 2018, ja Principles for sound management of operational risk (PSMOR), lokakuu 2014.

(7)    Euroopan valvontaviranomaisten yhteinen lausunto Euroopan komissiolle tarpeesta parantaa EU:n rahoitusalan TVT-riskinhallinnan vaatimuksiin liittyvää lainsäädäntöä, JC 2019 26 (2019).

(8)

   Euroopan komissio, FinTech-toimintasuunnitelma, COM/2018/0109 final.

(9)    Puheenjohtaja Ursula von der Leyen, poliittiset suuntaviivat seuraavalle Euroopan komissiolle 2019–2024, https://ec.europa.eu/commission/sites/beta-political/files/political-guidelines-next-commission_fi.pdf .

(10)    Komission tiedonanto Euroopan parlamentille, neuvostolle, Euroopan talous- ja sosiaalikomitealle ja alueiden komitealle Euroopan digitaalista tulevaisuutta rakentamassa, COM(2020) 67 final.

(11)    Komission tiedonanto Euroopan parlamentille, neuvostolle, Euroopan talous- ja sosiaalikomitealle ja alueiden komitealle, Euroopan datastrategia, COM(2020) 66 final.

(12)    ”Report with recommendations to the Commission on Digital Finance: emerging risks in crypto-assets - regulatory and supervisory challenges in the area of financial services, institutions and markets” (2020/2034(INL)), https://oeil.secure.europarl.europa.eu/oeil/popups/ficheprocedure.do?reference=2020/2034(INL)&l=en

(13)    Komission tiedonanto Euroopan parlamentille, Eurooppa-neuvostolle, neuvostolle, Euroopan talous- ja sosiaalikomitealle ja alueiden komitealle EU:n turvallisuusunionistrategiasta, COM(2020) 605 final.

(14)    Samalla finanssiyhteisöllä voi olla pankki-, sijoituspalveluyritys- ja maksulaitostoimilupa, joista jokainen on eri valvojan myöntämä yhdessä tai useammassa jäsenvaltiossa.

(15)     https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12090-Digital-Operational-Resilience-of-Financial-Services-DORFS-Act-/public-consultation

(16)    https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12090-Digital-Operational-Resilience-of-Financial-Services-DORFS-Act-

(17)    https://ec.europa.eu/info/business-economy-euro/banking-and-finance/regulatory-process-financial-services/expert-groups-comitology-and-other-committees/expert-group-banking-payments-and-insurance_en

(18)    Komission yksiköiden valmisteluasiakirja – vaikutuksenarviointiraportti asiakirjaan finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) N:o 909/2014 muuttamisesta annettu Euroopan parlamentin ja neuvoston asetus, SWD(2020)198, 24.9.2020.

(19)    Ks. edellinen alaviite, s. 89–94. 

(20)    Ks. edellinen alaviite.

(21)    Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

(22)    Euroopan parlamentin ja neuvoston direktiivi 98/26/EY, annettu 19 päivänä toukokuuta 1998, selvityksen lopullisuudesta maksujärjestelmissä ja arvopaperien selvitysjärjestelmissä (EYVL L 166, 11.6.1998, s. 45).

(23)    Euroopan parlamentin ja neuvoston direktiivi 2003/87/EY, annettu 13 päivänä lokakuuta 2003, kasvihuonekaasujen päästöoikeuksien kaupan järjestelmän toteuttamisesta unionissa ja neuvoston direktiivin 96/61/EY muuttamisesta (EUVL L 275, 25.10.2003, s. 32).

(24)    Erityisesti Euroopan keskuspankin asetus (EU) N:o 795/2014, annettu 3 päivänä heinäkuuta 2014, systeemisesti merkittäviä maksujärjestelmiä koskevista yleisvalvontavaatimuksista.

(25)    [lisätään viite] EUVL C , , s. .

(26)    [lisätään viite] EUVL C , , s. .

(27)    EJRK:n raportti järjestelmään liittyvästä kyberriskistä ”Systemic Cyber Risk”, helmikuu 2020, https://www.esrb.europa.eu/pub/pdf/reports/esrb.report200219_systemiccyberrisk~101a09685e.en.pdf .

(28)    Euroopan valvontaviranomaisten tekemään arviointiin liittyvän vaikutustenarvioinnin (SWD (2017) 308) mukaan luottolaitoksia on noin 5 665, investointiyrityksiä 5 934, vakuutusyrityksiä 2 666, ammatillisia lisäeläkkeitä tarjoavia laitoksia 1 573, osakesalkkuja hoitavia yrityksiä 2 500, markkinainfrastruktuureja 350 (kuten keskusvastapuolia, arvopaperipörssejä, kauppojen sisäiset toteuttajat, kauppatietorekisterit ja monenkeskiset kaupankäyntijärjestelmät), luottoluokituslaitoksia 45 ja toimiluvan saaneita maksulaitoksia ja sähköisen rahan liikkeeseenlaskijalaitoksia 2 500. Yhteensä näitä yhteisöjä on 21 233 eikä tähän määrään ole laskettu mukaan joukkorahoitusyhteisöjä, tilintarkastajia ja tilintarkastusyhteisöjä, kryptovarapalvelujen tarjoajia eikä vertailuarvojen hallinnoijia.

(29)    Komission tiedonanto Euroopan parlamentille, neuvostolle, Euroopan keskuspankille, Euroopan talous- ja sosiaalikomitealle ja alueiden komitealle: FinTech-toimintasuunnitelma Euroopan rahoitusalan kilpailukyvyn ja innovatiivisuuden parantamiseksi, COM(2018) 0109 final, https://ec.europa.eu/info/publications/180308-action-plan-fintech_en .

(30)    Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148, annettu 6 päivänä heinäkuuta 2016, toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa (EUVL L 194, 19.7.2016, s. 1).

(31)    Neuvoston direktiivi 2008/114/EY, annettu 8 päivänä joulukuuta 2008, Euroopan elintärkeän infrastruktuurin määrittämisestä ja nimeämisestä sekä arvioinnista, joka koskee tarvetta parantaa sen suojaamista (EUVL L 345, 23.12.2008, s. 75).

(32)    Komission suositus, annettu 6 päivänä toukokuuta 2003, mikroyritysten sekä pienten ja keskisuurten yritysten määritelmästä (EUVL L 124, 20.5.2003, s. 36).

(33)    ENISA, Reference Incident Classification Taxonomy, https://www.enisa.europa.eu/publications/reference-incident-classification-taxonomy .

(34)    Recommendations on outsourcing to cloud service providers (EBA/REC/2017/03), korvattu ulkoistamista koskevilla EPV:n ohjeilla (EBA/GL/2019/02).

(35)    Komission tiedonanto – Suuntaviivat Euroopan unionin toiminnasta tehdyn sopimuksen 101 artiklan soveltamisesta horisontaalista yhteistyötä koskeviin sopimuksiin, 2011/C 11/01.

(36)    Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

(37)    Maksujärjestelmä- ja markkinainfrastruktuurikomitea (CPMI) ja kansainvälinen arvopaperimarkkinavalvojien yhteisö (IOSCO): Guidance on cyber resilience for financial market infrastructures, https://www.bis.org/cpmi/publ/d146.pdf G7 Fundamental Elements of Cybersecurity for the Financial Sector,  https://www.ecb.europa.eu/paym/pol/shared/pdf/G7_Fundamental_Elements_Oct_2016.pdf ; Yhdysvaltojen kansallisen standardi- ja teknologiainstituutin (National Institute of Standards and Technology, NIST) kyberturvallisuuskehys, https://www.nist.gov/cyberframework ; FSB CIRR toolkit, https://www.fsb.org/2020/04/effective-practices-for-cyber-incident-response-and-recovery-consultative-document .

(38)    Lisäksi jos ilmenee hallitsevana pidettyyn TVT-palveluntarjoajana olevaan kolmanteen osapuoleen liittyvä väärinkäytöksen riski, finanssiyhteisöillä olisi myös oltava mahdollisuus tehdä virallinen tai epävirallinen valitus Euroopan komissiolle tai kansallisille kilpailuviranomaisille.

(39)    Neuvoston asetus (EU) N:o 1024/2013, annettu 15 päivänä lokakuuta 2013, luottolaitosten vakavaraisuusvalvontaan liittyvää politiikkaa koskevien erityistehtävien antamisesta Euroopan keskuspankille (EUVL L 287, 29.10.2013, s. 63).

(40)    EUVL L 123, 12.5.2016, s. 1.

(41)    [Lisätään koko otsikko ja EUVL-viittaus]

(42)    Euroopan parlamentin ja neuvoston asetus (EU) 2019/881, annettu 17 päivänä huhtikuuta 2019, Euroopan unionin kyberturvallisuusvirasto ENISAsta ja tieto- ja viestintätekniikan kyberturvallisuussertifioinnista sekä asetuksen (EU) N:o 526/2013 kumoamisesta (kyberturvallisuusasetus) (EUVL L 151, 7.6.2019, s. 15).

(43)    Euroopan parlamentin ja neuvoston direktiivi (EU) 2018/1972, annettu 11 päivänä joulukuuta 2018, eurooppalaisesta sähköisen viestinnän säännöstöstä (EUVL L 321, 17.12.2018, s. 36).

(44)    Euroopan parlamentin ja neuvoston asetus (EU) 2016/1011, annettu 8 päivänä kesäkuuta 2016, rahoitusvälineissä ja rahoitussopimuksissa vertailuarvoina tai sijoitusrahastojen arvonkehityksen mittaamisessa käytettävistä indekseistä ja direktiivien 2008/48/EY ja 2014/17/EU sekä asetuksen (EU) N:o 596/2014 muuttamisesta (EUVL L 171, 29.6.2016, s. 1).

(45)    [Lisätään koko otsikko ja EUVL-viittaus]

(46)    Euroopan parlamentin ja neuvoston asetus (EU) N:o 575/2013, annettu 26 päivänä kesäkuuta 2013, luottolaitosten ja sijoituspalveluyritysten vakavaraisuusvaatimuksista ja asetuksen (EU) N:o 648/2012 muuttamisesta (EUVL L 176, 27.6.2013, s. 1).

(47)    Euroopan parlamentin ja neuvoston direktiivi 2009/110/EY, annettu 16 päivänä syyskuuta 2009, sähköisen rahan liikkeeseenlaskijalaitosten liiketoiminnan aloittamisesta, harjoittamisesta ja toiminnan vakauden valvonnasta, direktiivien 2005/60/EY ja 2006/48/EY muuttamisesta sekä direktiivin 2000/46/EY kumoamisesta (EUVL L 267, 10.10.2009, s. 7).

(48)    Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27 päivänä huhtikuuta 2016 annettua Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679 (yleinen tietosuoja-asetus) noudattaen (EUVL L 119, 4.5.2016, s. 1).

(49)    Komission tiedonanto – Suuntaviivat Euroopan unionin toiminnasta tehdyn sopimuksen 101 artiklan soveltamisesta horisontaalista yhteistyötä koskeviin sopimuksiin, 2011/C 11/01.

(50)    Sellaisina kuin nämä on määritelty varainhoitoasetuksen 58 artiklan 2 kohdan a ja b alakohdassa.

(51)    Kuvaukset eri hallinnointitavoista ja viittaukset varainhoitoasetukseen ovat saatavilla budjettipääosaston verkkosivuilla osoitteessa: https://myintracomm.ec.europa.eu/budgweb/EN/man/budgmanag/Pages/budgmanag.aspx .

(52)    JM = jaksotetut määrärahat; EI-JM = jaksottamattomat määrärahat.

(53)    EFTA: Euroopan vapaakauppaliitto.

(54)    Ehdokasmaat ja soveltuvin osin Länsi-Balkanin mahdolliset ehdokasmaat.

(55)    Tuotokset ovat tuloksena olevia tuotteita ja palveluita (esim. rahoitettujen opiskelijavaihtojen määrä tai rakennetut tiekilometrit).

(56)    Kuten kuvattu kohdassa 1.4.2 ”Erityistavoitteet”.

(57)    Sopimussuhteiset toimihenkilöt, paikalliset toimihenkilöt, kansalliset asiantuntijat, vuokrahenkilöstö ja nuoremmat asiantuntijat EU:n ulkopuolisissa edustustoissa.

(58)    Toimintamäärärahoista katettavan ulkopuolisen henkilöstön enimmäismäärä (entiset BA-budjettikohdat)

(59)    Etenkin rakennerahastot, Euroopan maaseudun kehittämisen maatalousrahasto (maaseuturahasto) ja Euroopan kalatalousrahasto.

(60)    Ks. vuosia 2014–2020 koskevan monivuotisen rahoituskehyksen vahvistamisesta annetun neuvoston asetuksen (EU, Euratom) N: o 1311/2013 artikla 11 ja 17.

(61)    100 prosenttia arvioiduista kokonaiskustannuksista sekä kaikki työnantajan eläkemaksut

(62)    100 prosenttia arvioiduista kokonaiskustannuksista sekä kaikki työnantajan eläkemaksut

(63)    100 prosenttia arvioiduista kokonaiskustannuksista sekä kaikki työnantajan eläkemaksut

(64)    Perinteiset omat varat (tulli- ja sokerimaksut) on ilmoitettava nettomääräisinä eli bruttomäärästä on vähennettävä kantokuluja vastaava 20 prosentin osuus

(65)    Tuotokset ovat tuloksena olevia tuotteita ja palveluita (esim. rahoitettujen opiskelijavaihtojen määrä tai rakennetut tiekilometrit).

(66)    Kuten kuvattu kohdassa 1.4.2 ”Erityistavoitteet”.

(67)    Tuotokset ovat tuloksena olevia tuotteita ja palveluita (esim. rahoitettujen opiskelijavaihtojen määrä tai rakennetut tiekilometrit).

(68)    Kuten kuvattu kohdassa 1.4.2 ”Erityistavoitteet”.

(69)    Tuotokset ovat tuloksena olevia tuotteita ja palveluita (esim. rahoitettujen opiskelijavaihtojen määrä tai rakennetut tiekilometrit).

(70)    Kuten kuvattu kohdassa 1.4.2 ”Erityistavoitteet”.

(71)    100 prosenttia arvioiduista kokonaiskustannuksista sekä kaikki työnantajan eläkemaksut

(72)    100 prosenttia arvioiduista kokonaiskustannuksista sekä kaikki työnantajan eläkemaksut

(73)    100 prosenttia arvioiduista kokonaiskustannuksista sekä kaikki työnantajan eläkemaksut