IL-KUMMISSJONI EWROPEA

Brussell, 24.9.2020

COM(2020) 595 final

2020/0266(COD)

Proposta għal

REGOLAMENT TAL-PARLAMENT EWROPEW U TAL-KUNSILL

dwar ir-reżiljenza operazzjonali diġitali għas-settur finanzjarju u li jemenda r-Regolamenti (KE) Nru 1060/2009, (UE) Nru 648/2012, (UE) Nru 600/2014 u (UE) Nru 909/2014

(Test b’rilevanza għaż-ŻEE)

{SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}

MEMORANDUM TA’ SPJEGAZZJONI

1.KUNTEST TAL-PROPOSTA

·Raġunijiet għall-proposta u l-objettivi tagħha

Din il-proposta hija parti mill-pakkett dwar il-finanzi diġitali, pakkett ta’ miżuri maħsuba biex ikomplu jippermettu u jappoġġjaw il-potenzjal tal-finanzi diġitali f’termini ta’ innovazzjoni u kompetizzjoni, filwaqt li jimmitigaw ir-riskji li jirriżultaw minnu. Tali pakkett huwa konformi mal-prijoritajiet tal-Kummissjoni sabiex l-Ewropa tkun adattata għall-era diġitali u sabiex tinbena ekonomija lesta għall-ġejjieni li taħdem għan-nies. Il-pakkett dwar il-finanzi diġitali jinkludi Strateġija ġdida dwar il-finanzi diġitali għas-settur finanzjarju tal-UE 1 bl-għan li jiġi żgurat li l-UE tħaddan ir-rivoluzzjoni diġitali u tmexxiha, b’ditti innovattivi Ewropej fuq quddiem, sabiex b’hekk il-benefiċċji tal-finanzi diġitali jkunu disponibbli għall-konsumaturi u għan-negozji. Minbarra din il-proposta, il-pakkett jinkludi wkoll proposta għal regolament dwar is-swieq fil-kriptoassi 2 , proposta għal regolament dwar reġim pilota dwar l-infrastruttura tas-suq tat-teknoloġija ta' reġistru 3 distribwit (DLT), u proposta għal direttiva biex tikkjarifika jew temenda ċerti regoli relatati tas-servizzi finanzjarji tal-UE 4 . Id-diġitalizzazzjoni u r-reżiljenza operazzjonali fis-settur finanzjarju huma żewġ uċuh tal-istess munita. It-Teknoloġiji Diġitali, jew tal-Informazzjoni u tal-Komunikazzjoni (ICT), jagħtu lok kemm għal opportunitajiet kif ukoll għal riskji. Jeħtieġ li dawn jinftiehmu u jiġu ġestiti tajjeb, speċjalment fi żminijiet ta’ stress.

Għalhekk, dawk li jfasslu l-politika u s-superviżuri ffokaw dejjem aktar fuq ir-riskji li jirriżultaw mid-dipendenza fuq l-ICT. Huma pprovaw notevolment isaħħu r-reżiljenza tad-ditti permezz tal-iffissar ta’ standards u permezz tal-koordinazzjoni ta’ ħidma regolatorja jew superviżorja. Din il-ħidma twettqet kemm fil-livell internazzjonali kif ukoll f’dak Ewropew, u kemm fl-industriji kollha kif ukoll għal għadd ta’ setturi speċifiċi, inklużi s-servizzi finanzjarji.

Madankollu, ir-riskji tal-ICT ikomplu joħolqu sfida għar-reżiljenza operazzjonali, il-prestazzjoni u l-istabbiltà tas-sistema finanzjarja tal-UE. Ir-riforma li saret wara l-kriżi finanzjarja tal-2008 saħħet primarjament ir-reżiljenza finanzjarja 5 tas-settur finanzjarju tal-UE, u indirizzat biss ir-riskji tal-ICT indirettament f’xi oqsma, bħala parti mill-miżuri biex ir-riskji operazzjonali jiġu indirizzati b’mod aktar wiesa’.

Filwaqt li l-bidliet ta’ wara l-kriżi fil-leġiżlazzjoni tal-UE dwar is-servizzi finanzjarji daħħlu fis-seħħ Ġabra Unika tar-Regoli li jirregolaw partijiet kbar mir-riskji finanzjarji assoċjati mas-servizzi finanzjarji, dawn ma indirizzawx għal kollox ir-reżiljenza operazzjonali diġitali. Il-miżuri meħuda b’rabta ma’ tal-aħħar kienu kkaratterizzati minn għadd ta’ karatteristiċi li llimitaw l-effettività tagħhom. Pereżempju, huma sikwit tfasslu bħala direttivi ta’ armonizzazzjoni minima jew regolamenti bbażati fuq prinċipji, b’mod li jħallu lok sostanzjali għal approċċi diverġenti madwar is-Suq Uniku. Barra minn hekk, kien hemm biss enfasi limitata jew inkompleta fuq ir-riskji tal-ICT fil-kuntest tal-kopertura tar-riskji operazzjonali. Fl-aħħar nett, dawn il-miżuri jvarjaw bejn il-leġiżlazzjonijiet settorjali dwar is-servizzi finanzjarji. B’hekk, l-intervent fil-livell tal-Unjoni ma kienx jaqbel għal kollox ma’ dak li kienu jeħtieġu l-entitajiet finanzjarji Ewropej biex jimmaniġġjaw ir-riskji operazzjonali b’mod li jirreżistu, jirrispondu u jirkupraw mill-impatti tal-inċidenti tal-ICT. Lanqas ma pprovda lis-superviżuri finanzjarji bl-aktar għodod adegwati biex jissodisfaw il-mandati tagħhom biex jipprevjenu l-instabbiltà finanzjarja li tirriżulta mill-materjalizzazzjoni ta’ dawk ir-riskji tal-ICT.

In-nuqqas ta’ regoli dettaljati u komprensivi dwar ir-reżiljenza operazzjonali diġitali fil-livell tal-UE wassal għall-proliferazzjoni ta’ inizjattivi regolatorji nazzjonali (pereż. dwar l-ittestjar tar-reżiljenza operazzjonali diġitali) u approċċi superviżorji (pereż. l-indirizzar tad-dipendenzi tal-ICT fuq partijiet terzi). Madankollu, l-azzjoni fil-livell tal-Istati Membri għandha biss effett limitat minħabba n-natura transfruntiera tar-riskji tal-ICT. Barra minn hekk, l-inizjattivi nazzjonali mhux ikkoordinati rriżultaw f’sovrapożizzjonijiet, inkonsistenzi, rekwiżiti duplikati, kostijiet amministrattivi u ta’ konformità għoljin - speċjalment għall-entitajiet finanzjarji transfruntiera - jew f’li xi riskji tal-ICT baqgħu ma ġewx individwati u b’hekk mhux indirizzati. Din is-sitwazzjoni tifframmenta s-suq uniku, iddgħajjef l-istabbiltà u l-integrità tas-settur finanzjarju tal-UE u tipperikola l-protezzjoni tal-konsumaturi u tal-investituri.

Huwa għalhekk meħtieġ li jiddaħħal fis-seħħ qafas dettaljat u komprensiv dwar ir-reżiljenza operazzjonali diġitali għall-entitajiet finanzjarji tal-UE. Dan il-qafas se japprofondixxi d-dimensjoni tal-ġestjoni tar-riskji diġitali tal-Ġabra Unika tar-Regoli. B’mod partikolari, dan se jtejjeb u jissimplifika l-imġiba tal-ġestjoni tar-riskji tal-ICT mill-entitajiet finanzjarji, jistabbilixxi ttestjar bir-reqqa tas-sistemi tal-ICT, iżid l-għarfien tas-superviżuri dwar ir-riskji ċibernetiċi u dwar l-inċidenti relatati mal-ICT li jiffaċċjaw l-entitajiet finanzjarji, kif ukoll jintroduċi setgħat għas-superviżuri finanzjarji biex jissorveljaw ir-riskji li jirriżultaw mid-dipendenza tal-entitajiet finanzjarji fuq fornituri terzi ta’ servizzi tal-ICT. Il-proposta se toħloq mekkaniżmu konsistenti għar-rapportar tal-inċidenti li se jgħin biex jitnaqqsu l-piżijiet amministrattivi għall-entitajiet finanzjarji, u biex tissaħħaħ l-effettività superviżorja.

·Konsistenza mad-dispożizzjonijiet eżistenti fil-qasam ta’ politika

Din il-proposta hija parti minn ħidma usa’ li għaddejja fil-livell Ewropew u internazzjonali biex tissaħħaħ iċ-ċibersigurtà fis-servizzi finanzjarji u jiġu indirizzati riskji operazzjonali usa’. 6  

Hija twieġeb ukoll għall-parir tekniku konġunt tal-2019 7 tal-Awtoritajiet Superviżorji Ewropej (ASE) li talab approċċ aktar koerenti fl-indirizzar tar-riskju tal-ICT fil-finanzi u rrakkomanda lill-Kummissjoni biex issaħħaħ, b’mod proporzjonat, ir-reżiljenza operazzjonali diġitali tal-industrija tas-servizzi finanzjarji permezz ta’ inizjattiva tal-UE speċifika għas-settur. Il-parir tal-ASE kien reazzjoni għall-pjan ta’ azzjoni tal-2018 tal-Kummissjoni dwar il-Fintech. 8  

·Konsistenza ma’ politiki oħrajn tal-Unjoni

Kif ġie ddikjarat mill-President von der Leyen fil-Linji Gwida Politiċi tagħha 9 u kif stabbilit fil-Komunikazzjoni “Insawru l-futur diġitali tal-Ewropa”, 10 huwa kruċjali għall-Ewropa li taħsad il-benefiċċji kollha tal-era diġitali u li ssaħħaħ l-industrija u l-kapaċità tal-innovazzjoni tagħha, fi ħdan limiti sikuri u etiċi. L-istrateġija Ewropea għad-data 11 tistabbilixxi erba’ pilastri - il-protezzjoni tad-data, id-drittijiet fundamentali, is-sikurezza u ċ-ċibersigurtà - bħala prerekwiżiti essenzjali għal soċjetà mmexxija mill-użu tad-data. Aktar reċentement, il-Parlament Ewropew qed jaħdem fuq rapport dwar il-finanzi diġitali, li fost l-oħrajn jitlob approċċ komuni dwar ir-reżiljenza ċibernetika tas-settur finanzjarju 12 . Qafas leġiżlattiv li jsaħħaħ ir-reżiljenza operazzjonali diġitali tal-entitajiet finanzjarji tal-UE huwa konsistenti ma’ dawn l-objettivi ta’ politika. Il-proposta tappoġġja wkoll politiki mmirati lejn l-irkupru mill-coronavirus, billi din għandha tiżgura li dipendenza akbar fuq il-finanzi diġitali timxi id f’id mar-reżiljenza operazzjonali.

2.BAŻI ĠURIDIKA, SUSSIDJARJETÀ U PROPORZJONALITÀ

·Bażi ġuridika

·Sussidjarjetà

·Proporzjonalità

·L-għażla tal-istrument

3.RIŻULTATI TAL-EVALWAZZJONIJIET EX POST, TAL-KONSULTAZZJONIJIET MAL-PARTIJIET IKKONĊERNATI U TAL-VALUTAZZJONIJIET TAL-IMPATT

·L-evalwazzjonijiet ex post/kontrolli tal-idoneità tal-leġiżlazzjoni eżistenti

·Konsultazzjonijiet mal-partijiet ikkonċernati

i) Il-Kummissjoni wettqet konsultazzjoni pubblika miftuħa ddedikata (bejn id-19 ta’ Diċembru 2019 u d-19 ta’ Marzu 2020) 15 ;

ii) Il-Kummissjoni kkonsultat mal-pubbliku permezz ta’ valutazzjoni tal-impatt tal-bidu (bejn id-19 ta’ Diċembru 2019 u s-16 ta’ Jannar 2020); 16  

iii) Is-servizzi tal-Kummissjoni kkonsultaw mal-esperti tal-Istati Membri fil-Grupp ta’ Esperti dwar is-Settur Bankarju, il-Pagamenti u l-Assigurazzjoni (EGBPI) f’żewġ okkażjonijiet (fit-18 ta’ Mejju 2020 u fis-16 ta’ Lulju 2020); 17  

iv)Is-servizzi tal-Kummissjoni kellhom webinar iddedikat dwar ir-reżiljenza operazzjonali diġitali, bħala parti mis-serje ta’ avvenimenti tas-Sensibilizzazzjoni dwar il-Finanzi Diġitali tal-2020 (id-19 ta’ Mejju 2020).

·Il-ġbir u l-użu tal-għarfien espert

·Valutazzjoni tal-impatt

·“Ma jsir xejn”: ikomplu jiġu stabbiliti regoli dwar ir-reżiljenza operazzjonali mis-sett attwali u diverġenti ta’ dispożizzjonijiet dwar is-servizzi finanzjarji tal-UE, parzjalment mid-Direttiva NIS, u mir-reġimi nazzjonali eżistenti jew futuri;

·Għażla 1: it-tisħiħ tal-bafers kapitali: jiġu introdotti bafers kapitali addizzjonali sabiex tiżdied il-kapaċità tal-entitajiet finanzjarji li jassorbu t-telf li jista’ jinħoloq minħabba nuqqas ta’ reżiljenza operazzjonali diġitali;

·Għażla 2: l-introduzzjoni ta’ att dwar ir-reżiljenza operazzjonali diġitali tas-servizzi finanzjarji: l-iffaċilitar ta’ qafas komprensiv fil-livell tal-UE b’regoli konsistenti li jindirizzaw il-ħtiġijiet ta’ reżiljenza operazzjonali diġitali tal-entitajiet finanzjarji rregolati kollha u li jistabbilixxu qafas ta’ Sorveljanza għall-fornituri terzi kritiċi tal-ICT;

·Għażla 3: att dwar ir-reżiljenza operazzjonali diġitali tas-servizzi finanzjarji kkombinat ma’ superviżjoni ċentralizzata tal-fornituri terzi kritiċi tal-ICT: minbarra att dwar ir-reżiljenza operazzjonali diġitali (għażla 2), tiġi stabbilita awtorità ġdida ta’ superviżjoni tas-servizzi mogħtija minn fornituri terzi ta’ servizzi tal-ICT.

·Idoneità regolatorja u simplifikazzjoni

·Drittijiet fundamentali

F’termini ta’ implikazzjonijiet baġitarji, billi r-Regolament attwali jipprevedi rwol imsaħħaħ għall-ASE permezz ta’ setgħat mogħtija lilhom biex jissorveljaw b’mod adegwat lil fornituri terzi kritiċi tal-ICT, il-proposta tinvolvi l-iskjerament ta’ riżorsi miżjuda, b’mod partikolari biex jiġu ssodisfati l-missjonijiet ta’ sorveljanza (bħal spezzjonijiet u eżerċizzji ta’ verifiki fuq il-post u online) u l-użu ta’ membri tal-persunal li għandhom għarfien espert speċifiku dwar is-sigurtà tal-ICT.

L-iskala u d-distribuzzjoni ta’ dawn il-kostijiet se jiddependu fuq il-firxa tas-setgħat ta’ sorveljanza ġodda u l-kompiti (preċiżi) li se jitwettqu mill-ASE. F’termini ta’ riżorsi ġodda tal-persunal, l-EBA, l-ESMA u l-EIOPA se jkunu jeħtieġu 18-il impjegat full-time (FTE) b’kollox - 6 FTEs għal kull awtorità - meta jibdew japplikaw id-dispożizzjonijiet differenti tal-proposta (stmati għal EUR 15,71 miljun għall-perjodu 2022-2027). L-ASE se jġarrbu wkoll kostijiet tal-IT addizzjonali, spejjeż tal-missjonijiet għall-ispezzjonijiet fuq il-post u kostijiet tat-traduzzjoni (stmati għal EUR 12-il miljun għall-perjodu 2022-2027), kif ukoll nefqa amministrattiva oħra (stmata għal EUR 2,48 miljun għall-perjodu 2022-2027). Għalhekk, l-impatt tal-kost totali stmat huwa ta’ madwar EUR 30,19 miljun għall-perjodu 2022-2027.

Għandu jiġi nnotat li, filwaqt li l-għadd ta’ impjegati (pereżempju, membri tal-persunal ġodda u nfiq ieħor relatat mal-kompiti l-ġodda) meħtieġa għas-sorveljanza diretta se jiddependi, matul iż-żmien, fuq l-iżvilupp tal-għadd u tad-daqs ta’ fornituri terzi kritiċi tas-servizzi tal-ICT li se jiġu ssorveljati, in-nefqa rispettiva se tkun iffinanzjata kompletament mit-tariffi li jinġabru minn dawk il-parteċipanti fis-suq. Għalhekk, ma huwa previst l-ebda impatt fuq l-approprjazzjonijiet tal-baġit tal-UE (ħlief għall-persunal addizzjonali), billi dawn il-kostijiet se jkunu ffinanzjati kompletament mit-tariffi.

L-impatti finanzjarji u baġitarji ta’ din il-proposta huma spjegati fid-dettall fid-dikjarazzjoni finanzjarja leġiżlattiva annessa ma’ din il-proposta.

5.ELEMENTI OĦRAJN

·Il-pjanijiet għall-implimentazzjoni u l-arranġamenti ta’ monitoraġġ, evalwazzjoni u rapportar

·Spjegazzjoni dettaljata tad-dispożizzjonijiet speċifiċi tal-proposta

Dan ir-regolament huwa mfassal biex jallinja aħjar l-istrateġiji kummerċjali tal-entitajiet finanzjarji u l-imġiba tal-ġestjoni tar-riskji tal-ICT. Għal dak l-għan, il-korp maniġerjali se jkun meħtieġ iżomm rwol kruċjali u attiv fit-tmexxija tal-qafas tal-ġestjoni tar-riskji tal-ICT u jenħtieġ li jsegwi r-rispett ta’ iġjene ċibernetika stretta. Ir-responsabbiltà sħiħa tal-korp maniġerjali fil-ġestjoni tar-riskju tal-ICT tal-entità finanzjarja se tkun prinċipju ġenerali li għandu jkompli jiġi ttrasformat f’sett ta’ rekwiżiti speċifiċi, bħall-assenjazzjoni ta’ rwoli u responsabbiltajiet ċari għall-funzjonijiet kollha relatati mal-ICT, impenn kontinwu fil-kontroll tal-monitoraġġ tal-ġestjoni tar-riskji tal-ICT, kif ukoll fil-firxa sħiħa ta’ proċessi ta’ approvazzjoni u kontroll u allokazzjoni xierqa ta’ investimenti u taħriġ fl-ICT.

Rekwiżiti relatati mal-ġestjoni tar-riskji tal-ICT (l-Artikoli 5 sa 14)

Ir-reżiljenza operazzjonali diġitali għandha l-għeruq tagħha f’sett ta’ prinċipji u rekwiżiti ewlenin dwar il-qafas tal-ġestjoni tar-riskji tal-ICT, f’konformità mal-parir tekniku konġunt tal-ASE. Dawn ir-rekwiżiti, ispirati mill-istandards, il-linji gwida u r-rakkomandazzjonijiet nazzjonali u internazzjonali rilevanti, kif ukoll dawk stabbiliti mill-industrija, iduru madwar funzjonijiet speċifiċi fil-ġestjoni tar-riskji tal-ICT (l-identifikazzjoni, il-protezzjoni u l-prevenzjoni, l-individwazzjoni, ir-rispons u l-irkupru, it-tagħlim li jevolvi u l-komunikazzjoni). Sabiex iżommu l-pass mal-pajsaġġ tat-theddid ċibernetiku li qed jevolvi malajr, l-entitajiet finanzjarji huma meħtieġa jistabbilixxu u jżommu sistemi u għodod tal-ICT reżiljenti li jimminimizzaw l-impatt tar-riskju tal-ICT, jidentifikaw fuq bażi kontinwa s-sorsi kollha ta’ riskju tal-ICT, jistabbilixxu miżuri ta’ protezzjoni u prevenzjoni, jindividwaw fil-pront attivitajiet anomali, jimplimentaw politiki ta’ kontinwità tal-operat u pjanijiet ta’ rkupru minn diżastri ddedikati u komprensivi bħala parti integrali mill-politika ta’ kontinwità tal-operat operazzjonali. Dawn il-komponenti msemmija l-aħħar huma meħtieġa għal irkupru fil-pront wara inċidenti relatati mal-ICT, b’mod partikolari attakki ċibernetiċi, billi jillimitaw il-ħsara u jagħtu prijorità lit-tkomplija sikura tal-attivitajiet. Ir-regolament innifsu ma jimponix standardizzazzjoni speċifika, iżda pjuttost jibni fuq standards tekniċi Ewropej u rikonoxxuti internazzjonalment jew l-aħjar prattiki tal-industrija, sakemm dawn ikunu konformi bis-sħiħ mal-istruzzjonijiet superviżorji dwar l-użu u l-inkorporazzjoni ta’ tali standards internazzjonali. Dan ir-regolament ikopri wkoll l-integrità, is-sikurezza u r-reżiljenza tal-infrastrutturi u l-faċilitajiet fiżiċi li jappoġġjaw l-użu tat-teknoloġija u l-proċessi u n-nies rilevanti relatati mal-ICT, bħala parti mill-impronta diġitali tal-operazzjonijiet ta’ entità finanzjarja.

Rapportar ta’ inċidenti relatati mal-ICT (l-Artikoli 15 sa 20)

L-armonizzazzjoni u s-simplifikazzjoni tar-rapportar ta’ inċidenti relatati mal-ICT jinkisbu permezz ta’, l-ewwel nett, rekwiżit ġenerali għall-entitajiet finanzjarji biex jistabbilixxu u jimplimentaw proċess ta’ ġestjoni biex jimmonitorjaw u jirreġistraw l-inċidenti relatati mal-ICT, segwit minn obbligu li jikklassifikawhom abbażi ta’ kriterji spjegati fid-dettall fir-Regolament u żviluppati aktar mill-ASE biex jispeċifikaw il-livelli limiti tal-materjalità. It-tieni, huma biss l-inċidenti relatati mal-ICT li jitqiesu bħala maġġuri li jridu jiġu rrapportati lill-awtoritajiet kompetenti. Ir-rapportar għandu jiġi pproċessat bl-użu ta’ formola komuni u skont proċedura armonizzata kif żviluppata mill-ASE. L-entitajiet finanzjarji għandhom jissottomettu rapporti inizjali, intermedji u finali u jinformaw lill-utenti u lill-klijenti tagħhom fejn l-inċident ikollu jew jista’ jkollu impatt fuq l-interessi finanzjarji tagħhom. L-awtoritajiet kompetenti għandhom jipprovdu dettalji pertinenti tal-inċidenti lil istituzzjonijiet jew awtoritajiet oħrajn: lill-ASE, lill-BĊE u lill-punti uniċi ta’ kuntatt innominati skont id-Direttiva (UE) 2016/1148.

Sabiex jinbeda djalogu bejn l-entitajiet finanzjarji u l-awtoritajiet kompetenti li għandu jgħin biex jitnaqqas l-impatt u jiġu identifikati rimedji xierqa, ir-rapportar ta’ inċidenti kbar relatati mal-ICT jenħtieġ li jkun ikkomplementat minn rispons u gwida superviżorji.

Fl-aħħar, il-possibbiltà ta’ ċentralizzazzjoni fil-livell tal-Unjoni tar-rapportar ta’ inċidenti relatati mal-ICT jenħtieġ li tiġi esplorata aktar f’rapport konġunt mill-ASE, mill-BĊE u mill-ENISA li jivvaluta l-fattibbiltà li jiġi stabbilit Ċentru uniku tal-UE għar-rapportar ta’ inċidenti kbar relatati mal-ICT minn entitajiet finanzjarji.

Ittestjar tar-reżiljenza operazzjonali diġitali (l-Artikoli 21 sa 24)

Il-kapaċitajiet u l-funzjonijiet inklużi fil-qafas tal-ġestjoni tar-riskji tal-ICT jeħtieġ li jiġu ttestjati perjodikament għat-tħejjija u għall-identifikazzjoni ta’ dgħufijiet, nuqqasijiet jew lakuni, kif ukoll l-implimentazzjoni fil-pront ta’ miżuri korrettivi. Dan ir-regolament jippermetti applikazzjoni proporzjonata tar-rekwiżiti tal-ittestjar tar-reżiljenza operazzjonali diġitali skont id-daqs, in-negozju u l-profili ta’ riskju tal-entitajiet finanzjarji: filwaqt li l-entitajiet kollha jenħtieġ li jwettqu ttestjar tal-għodod u s-sistemi tal-ICT, huma biss dawk identifikati mill-awtoritajiet kompetenti (abbażi tal-kriterji f’dan ir-Regolament u żviluppati aktar mill-ASE) bħala sinifikanti u maturi ċibernetikament li jenħtieġ li jkunu meħtieġa jwettqu ttestjar avvanzat ibbażat fuq it-TLPTs. Dan ir-regolament jistabbilixxi wkoll ir-rekwiżiti għat-testers u r-rikonoxximent tar-riżultati tat-TLPT fl-Unjoni kollha għall-entitajiet finanzjarji li joperaw f’diversi Stati Membri.

Riskju ta’ partijiet terzi tal-ICT (l-Artikoli 25 sa 39)

Ir-regolament huwa mfassal biex jiżgura monitoraġġ tajjeb tar-riskju ta’ partijiet terzi tal-ICT. Dan l-objettiv se jintlaħaq l-ewwel permezz tar-rispett tar-regoli bbażati fuq prinċipji li japplikaw għall-monitoraġġ mill-entitajiet finanzjarji tar-riskju li jirriżulta minn fornituri terzi tal-ICT. It-tieni, dan ir-regolament jarmonizza l-elementi ewlenin tas-servizz u r-relazzjoni mal-fornituri terzi tal-ICT. Dawn l-elementi jkopru aspetti minimi meqjusa bħala kruċjali biex jippermettu monitoraġġ sħiħ, mill-entità finanzjarja, tar-riskju ta’ partijiet terzi tal-ICT matul l-istadji tal-konklużjoni, tal-prestazzjoni, tat-terminazzjoni u postkuntrattwali tar-relazzjoni tagħhom.

B’mod l-aktar notevoli, se jkun meħtieġ li l-kuntratti li jirregolaw dik ir-relazzjoni jkunu jinkludu deskrizzjoni sħiħa tas-servizzi, indikazzjoni tal-postijiet fejn għandha tiġi pproċessata d-data, deskrizzjonijiet sħaħ tal-livell tas-servizz akkumpanjati minn miri kwantitattivi u kwalitattivi tal-prestazzjoni, dispożizzjonijiet rilevanti dwar l-aċċessibbiltà, id-disponibbiltà, l-integrità, is-sigurtà u l-protezzjoni tad-data personali, u garanziji għall-aċċess, l-irkupru u r-ritorn fil-każ ta’ fallimenti tal-fornituri terzi ta’ servizzi tal-ICT, il-perjodi ta’ avviż u l-obbligi ta’ rapportar tal-fornituri terzi ta’ servizzi tal-ICT, id-drittijiet ta’ aċċess, spezzjoni u awditjar mill-entità finanzjarja jew minn parti terza maħtura, drittijiet ċari ta’ terminazzjoni u strateġiji ta’ ħruġ iddedikati. Barra minn hekk, billi wħud minn dawn l-elementi kuntrattwali jistgħu jiġu standardizzati, ir-regolament jippromwovi użu volontarju ta’ klawżoli kuntrattwali standard li għandhom jiġu żviluppati għall-użu ta’ servizz ta’ cloud computing mill-Kummissjoni.

Fl-aħħar, ir-regolament ifittex li jippromwovi konverġenza fl-approċċi superviżorji għar-riskju ta’ partijiet terzi tal-ICT fis-settur finanzjarju billi jagħmel lill-fornituri terzi kritiċi ta’ servizzi tal-ICT soġġetti għal qafas ta’ sorveljanza tal-Unjoni. Permezz ta’ qafas leġiżlattiv armonizzat ġdid, l-ASE maħtura bħala s-sorveljant ewlieni għal kull wieħed minn tali fornituri terzi kritiċi ta’ servizzi tal-ICT tirċievi setgħat biex tiżgura li l-fornituri ta’ servizzi tat-teknoloġija li jwettqu rwol kritiku għall-funzjonament tas-settur finanzjarju jiġu mmonitorjati b’mod adegwat fuq skala Pan-Ewropea. Il-qafas ta’ sorveljanza previst minn dan ir-Regolament jibni fuq l-arkitettura istituzzjonali eżistenti fil-qasam tas-servizzi finanzjarji, fejn il-Kumitat Konġunt tal-ASE jiżgura koordinazzjoni transsettorjali b’rabta mal-materji kollha dwar ir-riskju tal-ICT, f’konformità mal-kompiti tiegħu dwar iċ-ċibersigurtà, appoġġjati mis-sottokumitat rilevanti (Forum ta’ Sorveljanza) li jwettaq ħidma preparatorja għal deċiżjonijiet individwali u rakkomandazzjonijiet kollettivi lis-CTPPs.

Kondiviżjoni tal-informazzjoni (l-Artikolu 40)

Sabiex jissensibilizza dwar ir-riskju tal-ICT, jimminimizza t-tixrid tiegħu, u jiġu appoġġjati l-kapaċitajiet difensivi tal-entitajiet finanzjarji u t-tekniki ta’ individwazzjoni tat-theddid, ir-Regolament jippermetti lill-entitajiet finanzjarji jistabbilixxu arranġamenti biex jiskambjaw bejniethom l-informazzjoni u l-intelliġenza dwar it-theddid ċibernetiku.

2020/0266 (COD)

Proposta għal

REGOLAMENT TAL-PARLAMENT EWROPEW U TAL-KUNSILL

dwar ir-reżiljenza operazzjonali diġitali għas-settur finanzjarju u li jemenda r-Regolamenti (KE) Nru 1060/2009, (UE) Nru 648/2012, (UE) Nru 600/2014 u (UE) Nru 909/2014

(Test b’rilevanza għaż-ŻEE)

IL-PARLAMENT EWROPEW U L-KUNSILL TAL-UNJONI EWROPEA,

Wara li kkunsidraw it-Trattat dwar il-Funzjonament tal-Unjoni Ewropea u, b’mod partikolari, l-Artikolu 114 tiegħu,

Wara li kkunsidraw il-proposta mill-Kummissjoni Ewropea,

Wara t-trażmissjoni tal-abbozz tal-att leġiżlattiv lill-parlamenti nazzjonali,

Wara li kkunsidraw l-opinjoni tal-Bank Ċentrali Ewropew, 25

Wara li kkunsidraw l-opinjoni tal-Kumitat Ekonomiku u Soċjali Ewropew, 26

Filwaqt li aġixxew f’konformità mal-proċedura leġiżlattiva ordinarja,

Billi:

(1)Fl-era diġitali, it-teknoloġija tal-informazzjoni u tal-komunikazzjoni (ICT) tappoġġja s-sistemi kumplessi użati għall-attivitajiet ta' kuljum tas-soċjetà. Din it-teknoloġija żżomm l-ekonomiji tagħna għaddejjin f’setturi ewlenin, inklużi l-finanzi, u ttejjeb il-funzjonament tas-suq uniku. Id-diġitalizzazzjoni u l-interkonnettività miżjuda jamplifikaw ukoll ir-riskji tal-ICT li jagħmlu lis-soċjetà kollha kemm hi - u s-sistema finanzjarja b’mod partikolari - aktar vulnerabbli għat-theddid ċibernetiku jew għat-tfixkil fis-settur tal-ICT. Filwaqt li l-użu kullimkien tas-sistemi tal-ICT u d-diġitalizzazzjoni u l-konnettività għolja llum il-ġurnata huma karatteristiċi ewlenin tal-attivitajiet kollha tal-entitajiet finanzjarji tal-Unjoni, ir-reżiljenza diġitali għadha mhijiex mibnija biżżejjed fl-oqfsa operattivi tagħhom.

(2)F’dawn l-aħħar għexieren ta’ snin, l-użu tal-ICT kiseb rwol kruċjali fil-finanzi, tant li llum jassumi rilevanza kritika fl-operat tal-funzjonijiet tipiċi ta’ kuljum tal-entitajiet finanzjarji kollha. Id-diġitalizzazzjoni tkopri, pereżempju, pagamenti, li aktar ma għadda żmien aktar imxew minn metodi bbażati fuq il-flus u l-karti għall-użu ta’ soluzzjonijiet diġitali, kif ukoll l-ikklerjar u s-saldu ta’ titoli, kummerċ elettroniku u algoritmiku, operazzjonijiet ta’ self u finanzjament, finanzjament bejn il-pari, klassifikazzjoni tal-kreditu, sottoskrizzjoni tal-assigurazzjoni, ġestjoni tal-pretensjonijiet u operazzjonijiet tal-back-office. Il-finanzi mhux biss saru fil-biċċa l-kbira diġitali fis-settur kollu, iżda d-diġitalizzazzjoni approfondiet ukoll l-interkonnessjonijiet u d-dipendenzi fis-settur finanzjarju u ma’ fornituri terzi ta’ servizzi u infrastruttura.

(3)Il-Bord Ewropew dwar ir-Riskju Sistemiku (BERS) irriafferma f’rapport tal-2020 li jindirizza r-riskju ċibernetiku sistemiku 27 kif il-livell għoli eżistenti ta’ interkonnettività bejn l-entitajiet finanzjarji, is-swieq finanzjarji u l-infrastrutturi tas-swieq finanzjarji u, b’mod partikolari, l-interdipendenzi tas-sistemi tal-ICT tagħhom, jistgħu potenzjalment jikkostitwixxu vulnerabbiltà sistemika minħabba li l-inċidenti ċibernetiċi lokalizzati jistgħu jinxterdu malajr minn kwalunkwe waħda mill-madwar 22 000 entità finanzjarja tal-Unjoni 28 għas-sistema finanzjarja kollha kemm hi, mingħajr ma jiġu mxekkla mill-fruntieri ġeografiċi. Ksur serju tal-ICT li jseħħ fil-finanzi ma jaffettwax biss lill-entitajiet finanzjarji b’mod iżolat. Tali ksur iwitti wkoll it-triq għall-propagazzjoni ta’ vulnerabbiltajiet lokalizzati fil-mezzi kollha ta’ trażmissjoni finanzjarja u potenzjalment iwassal għal konsegwenzi negattivi għall-istabbiltà tas-sistema finanzjarja tal-Unjoni, billi jiġġenera nuqqas ta’ likwidità u telf ġenerali ta’ fiduċja fis-swieq finanzjarji.

(4)F’dawn l-aħħar snin, ir-riskji tal-ICT ġibdu l-attenzjoni ta’ dawk li jfasslu l-politika, tar-regolaturi u tal-korpi li jiffissaw l-istandards nazzjonali, Ewropej u internazzjonali, f’tentattiv biex itejbu r-reżiljenza, jiffissaw l-istandards u jikkoordinaw ix-xogħol regolatorju jew superviżorju. Fil-livell internazzjonali, il-Kumitat ta’ Basel dwar is-Superviżjoni Bankarja, il-Kumitat dwar l-Infrastrutturi tal-Pagamenti u tas-Swieq, il-Bord għall-Istabbiltà Finanzjarja, l-Istitut għall-Istabbiltà Finanzjarja, kif ukoll il-gruppi ta’ pajjiżi tal-G7 u tal-G20 jimmiraw lejn li jipprovdu lill-awtoritajiet kompetenti u lill-operaturi tas-suq f’ġuriżdizzjonijiet differenti b’għodod maħsuba biex isaħħu r-reżiljenza tas-sistemi finanzjarji tagħhom.

(5)Minkejja l-inizjattivi politiċi u leġiżlattivi nazzjonali u Ewropej immirati, ir-riskji tal-ICT ikomplu jippreżentaw sfida għar-reżiljenza operazzjonali, il-prestazzjoni u l-istabbiltà tas-sistema finanzjarja tal-Unjoni. Ir-riforma li segwiet il-kriżi finanzjarja tal-2008 saħħet primarjament ir-reżiljenza finanzjarja tas-settur finanzjarju tal-Unjoni u kellha l-għan li tissalvagwardja l-kompetittività u l-istabbiltà tal-Unjoni minn perspettivi ekonomiċi, prudenzjali u ta’ kondotta fis-suq. Għalkemm is-sigurtà tal-ICT u r-reżiljenza diġitali huma parti mir-riskju operazzjonali, dawn kienu inqas fl-attenzjoni tal-aġenda regolatorja ta’ wara l-kriżi, u żviluppaw biss f’xi oqsma tal-politika tas-servizzi finanzjarji u tax-xenarju regolatorju tal-Unjoni, jew fi ftit Stati Membri biss.

(6)Il-pjan ta’ azzjoni tal-Fintech tal-2018 tal-Kummissjoni 29 enfasizza l-importanza fundamentali li s-settur finanzjarju tal-Unjoni jsir aktar reżiljenti minn perspettiva operattiva wkoll biex jiġu żgurati s-sikurezza teknoloġika u l-funzjonament tajjeb tiegħu, l-irkupru rapidu tiegħu minn vjolazzjonijiet u inċidenti tal-ICT, li fl-aħħar mill-aħħar jippermettu li s-servizzi finanzjarji jkunu jistgħu jingħataw b’mod effettiv u mingħajr xkiel madwar l-Unjoni kollha, inkluż f’sitwazzjonijiet ta’ stress, filwaqt li jiġu ppreservati wkoll il-fiduċja u l-kunfidenza tal-konsumaturi u tas-suq.

(7)F’April 2019, l-Awtorità Bankarja Ewropea (EBA), l-Awtorità Ewropea tat-Titoli u s-Swieq (ESMA) u l-Awtorità Ewropea tal-Assigurazzjoni u l-Pensjonijiet tax-Xogħol (EIOPA) (flimkien imsejħa “Awtoritajiet Superviżorji Ewropej” jew “ASE”) ħarġu b’mod konġunt żewġ pariri tekniċi li jitolbu approċċ koerenti għar-riskju tal-ICT fil-finanzi u li jirrakkomandaw li tissaħħaħ, b’mod proporzjonat, ir-reżiljenza operazzjonali diġitali tal-industrija tas-servizzi finanzjarji permezz ta’ inizjattiva tal-Unjoni speċifika għas-settur.

(8)Is-settur finanzjarju tal-Unjoni huwa rregolat minn Ġabra Unika tar-Regoli armonizzata u rregolat minn sistema Ewropea ta’ superviżjoni finanzjarja. Madankollu, id-dispożizzjonijiet li jindirizzaw ir-reżiljenza operazzjonali diġitali u s-sigurtà tal-ICT għadhom mhumiex armonizzati għal kollox jew b’mod konsistenti, minkejja li r-reżiljenza operazzjonali diġitali hija vitali biex jiġu żgurati l-istabbiltà finanzjarja u l-integrità tas-suq fl-era diġitali, u mhux inqas importanti minn, pereżempju, standards ta’ kondotta fis-suq jew prudenzjali komuni. Għalhekk, jenħtieġ li l-Ġabra Unika tar-Regoli u s-sistema ta’ superviżjoni jiġu żviluppati biex ikopru wkoll dan il-komponent, billi jestendu l-mandati tas-superviżuri finanzjarji inkarigati li jimmonitorjaw u jipproteġu l-istabbiltà finanzjarja u l-integrità tas-suq.

(9)Id-disparitajiet leġiżlattivi u l-approċċi regolatorji jew superviżorji nazzjonali mhux uniformi dwar l-ICT jirriskjaw li joħolqu ostakoli għas-suq uniku fis-servizzi finanzjarji, li jxekklu l-eżerċitar bla xkiel tal-libertà ta’ stabbiliment u l-għoti ta’ servizzi għal entitajiet finanzjarji bi preżenza transfruntiera. Il-kompetizzjoni bejn l-istess tip ta’ entitajiet finanzjarji fi Stati Membri differenti tista’ wkoll tiġi distorta. Għalhekk, għal oqsma speċifiċi fejn l-armonizzazzjoni tal-UE hija limitata - bħall-ittestjar tar-reżiljenza operazzjonali diġitali - jew hija nieqsa - bħal monitoraġġ komprensiv tar-riskju ta’ parti terza tal-ICT - id-disparitajiet li jirriżultaw mill-iżviluppi previsti fil-livell nazzjonali jistgħu jiġġeneraw aktar ostakoli għall-funzjonament tas-suq uniku għad-detriment tal-parteċipanti fis-suq u tal-istabbiltà finanzjarja.

(10)Il-mod parzjali li bih ġew indirizzati sa issa d-dispożizzjonijiet relatati mar-riskju tal-ICT fil-livell tal-Unjoni juri lakuni jew sovrapożizzjonijiet f’oqsma importanti, bħar-rapportar ta’ inċidenti relatati mal-ICT u l-ittestjar tar-reżiljenza operazzjonali diġitali, u joħloq inkonsistenzi minħabba r-regoli nazzjonali diverġenti emerġenti jew l-applikazzjoni kostineffettiva ta’ regoli li sovraposti. Dan huwa partikolarment detrimentali għal settur li jagħmel użu intensiv mill-ICT, bħall-finanzi, billi r-riskji tat-teknoloġija ma għandhomx fruntieri u s-settur finanzjarju juża s-servizzi tiegħu fuq bażi transfruntiera wiesgħa fl-Unjoni u barra minnha.

L-entitajiet finanzjarji individwali li joperaw fuq bażi transfruntiera jew li għandhom diversi awtorizzazzjonijiet (pereżempju, entità finanzjarja waħda jista’ jkollha liċenzja biex topera bħala entità bankarja, liċenzja ta’ ditta ta’ investiment, u liċenzja ta’ istituzzjoni ta’ pagament, kull waħda maħruġa minn awtorità kompetenti differenti fi Stat Membru wieħed jew f’diversi Stati Membri) jiffaċċjaw sfidi operattivi biex jindirizzaw weħidhom u b’mod koerenti u kosteffettiv ir-riskji tal-ICT u biex jimmitigaw l-impatti avversi tal-inċidenti tal-ICT.

(11)Peress li l-Ġabra Unika tar-Regoli ma kinitx akkumpanjata minn qafas komprensiv tal-ICT jew tar-riskju operazzjonali, hija meħtieġa aktar armonizzazzjoni tar-rekwiżiti ewlenin tar-reżiljenza operazzjonali diġitali għall-entitajiet finanzjarji kollha. Il-kapaċitajiet u r-reżiljenza kumplessivi li l-entitajiet finanzjarji, abbażi ta’ tali rekwiżiti ewlenin, jiżviluppaw bil-ħsieb li jifilħu għal qtugħ operazzjonali, jgħinu biex jippreservaw l-istabbiltà u l-integrità tas-swieq finanzjarji tal-Unjoni u b’hekk jikkontribwixxu għall-iżgurar ta’ livell għoli ta’ protezzjoni tal-investituri u tal-konsumaturi fl-Unjoni. Billi dan ir-Regolament jimmira lejn li jikkontribwixxi għall-funzjonament bla xkiel tas-suq uniku, jenħtieġ li huwa jkun ibbażat fuq id-dispożizzjonijiet tal-Artikolu 114 tat-TFUE kif interpretati f’konformità mal-każistika konsistenti tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea.

(12)Dan ir-Regolament jimmira l-ewwel li jikkonsolida u jtejjeb ir-rekwiżiti tar-riskju tal-ICT, li sa issa huma indirizzati separatament f’Regolamenti u f’Direttivi differenti. Filwaqt li dawk l-atti legali tal-Unjoni koprew il-kategoriji ewlenin tar-riskju finanzjarju (pereż. ir-riskju tal-kreditu, ir-riskju tas-suq, ir-riskju tal-kreditu tal-kontroparti u r-riskju tal-likwidità, ir-riskju tal-imġiba tas-suq) iżda ma setgħux jindirizzaw b’mod komprensiv, fil-mument tal-adozzjoni tagħhom, il-komponenti kollha tar-reżiljenza operazzjonali. Ir-rekwiżiti tar-riskju operazzjonali, meta żviluppati aktar fl-atti legali tal-Unjoni msemmija hawn fuq, sikwit kienu jiffavorixxu approċċ kwantitattiv tradizzjonali biex jiġi indirizzat ir-riskju (jiġifieri l-iffissar ta’ rekwiżit kapitali biex ikopri r-riskji tal-ICT) minflok ma jinkludu rekwiżiti kwalitattivi mmirati biex jagħtu spinta lill-kapaċitajiet permezz ta’ rekwiżiti li jimmiraw lejn il-kapaċitajiet ta’ protezzjoni, individwazzjoni, trażżin, irkupru u tiswija kontra inċidenti relatati mal-ICT jew permezz tal-istabbiliment ta’ kapaċitajiet ta’ rapportar u ttestjar diġitali. Dawk id-Direttivi u r-Regolamenti kienu primarjament maħsuba biex ikopru regoli essenzjali dwar is-superviżjoni prudenzjali, l-integrità tas-suq jew l-imġiba.

Permezz ta’ dan l-eżerċizzju li jikkonsolida u jtejjeb ir-regoli dwar ir-riskju tal-ICT, id-dispożizzjonijiet kollha li jindirizzaw ir-riskju diġitali fil-finanzi għall-ewwel darba jinġabru flimkien b’mod konsistenti f’att leġiżlattiv wieħed. Din l-inizjattiva jenħtieġ għalhekk li timla l-lakuni jew issewwi l-inkonsistenzi fi wħud minn dawk l-atti legali, inkluż b’rabta mat-terminoloġija użata fihom, u jenħtieġ li tagħmel referenzi espliċiti għar-riskju tal-ICT permezz ta’ regoli mmirati dwar il-kapaċitajiet tal-ġestjoni tar-riskju tal-ICT, ir-rapportar u l-ittestjar u l-monitoraġġ tar-riskju tal-partijiet terzi.

(13)L-entitajiet finanzjarji jenħtieġ li jsegwu l-istess approċċ u l-istess regoli bbażati fuq il-prinċipji meta jindirizzaw ir-riskju tal-ICT. Il-konsistenza tikkontribwixxi biex tiżdied il-fiduċja fis-sistema finanzjarja u tippreserva l-istabbiltà tagħha speċjalment fi żminijiet ta’ użu eċċessiv tas-sistemi, tal-pjattaformi u tal-infrastrutturi tal-ICT li jinvolvu riskju diġitali akbar.

Ir-rispett tal-iġjene ċibernetika bażika jenħtieġ ukoll li jevita l-impożizzjoni ta’ kostijiet kbar fuq l-ekonomija billi jimminimizza l-impatt u l-kostijiet tal-interruzzjonijiet tal-ICT.

(14)L-użu ta’ regolament jgħin biex titnaqqas il-kumplessità regolatorja, titrawwem il-konverġenza superviżorja, tiżdied iċ-ċertezza tad-dritt, filwaqt li jikkontribwixxi wkoll għal-limitazzjoni tal-kostijiet tal-konformità, speċjalment għall-entitajiet finanzjarji li joperaw b’mod transfruntier, u għat-tnaqqis tad-distorsjonijiet tal-kompetizzjoni. L-għażla ta’ Regolament għall-istabbiliment ta’ qafas komuni għar-reżiljenza operazzjonali diġitali tal-entitajiet finanzjarji għalhekk tidher l-aktar mod xieraq biex tiġi ggarantita applikazzjoni omoġenja u koerenti tal-komponenti kollha tal-ġestjoni tar-riskju tal-ICT mis-setturi finanzjarji tal-Unjoni.

(15)Minbarra l-leġiżlazzjoni dwar is-servizzi finanzjarji, id-Direttiva (UE) 2016/1148 tal-Parlament Ewropew u tal-Kunsill 30 hija l-qafas ġenerali attwali taċ-ċibersigurtà fil-livell tal-Unjoni. Fost is-seba’ setturi kritiċi, dik id-Direttiva tapplika wkoll għal tliet tipi ta’ entitajiet finanzjarji, jiġifieri istituzzjonijiet ta’ kreditu, ċentri tan-negozjar u kontropartijiet ċentrali. Madankollu, billi d-Direttiva (UE) 2016/1148 tistabbilixxi mekkaniżmu ta’ identifikazzjoni, fil-livell nazzjonali, ta’ operaturi ta’ servizzi essenzjali, fil-prattika jiddaħħlu fil-kamp ta’ applikazzjoni tagħha ċerti istituzzjonijiet ta’ kreditu, ċentri tan-negozjar u kontropartijiet ċentrali biss identifikati mill-Istati Membri u li b’hekk ikunu meħtieġa jikkonformaw mar-rekwiżiti ta’ notifika tal-inċidenti u tas-sigurtà tal-ICT stipulati fiha.

(16)Billi dan ir-Regolament jgħolli l-livell ta’ armonizzazzjoni dwar il-komponenti ta’ reżiljenza diġitali, billi jintroduċi rekwiżiti dwar il-ġestjoni tar-riskju tal-ICT u r-rapportar ta’ inċidenti relatati mal-ICT li huma aktar stretti fir-rigward ta’ dawk stipulati fil-leġiżlazzjoni attwali tal-Unjoni dwar is-servizzi finanzjarji, dan jikkostitwixxi żieda fl-armonizzazzjoni wkoll meta mqabbel mar-rekwiżiti stipulati fid-Direttiva (UE) 2016/1148. Konsegwentement, dan ir-Regolament jikkostitwixxi lex specialis għad-Direttiva (UE) 2016/1148.

Huwa kruċjali li tinżamm relazzjoni b’saħħitha mas-settur finanzjarju u l-qafas orizzontali taċ-ċibersigurtà tal-Unjoni jiżgura l-konsistenza mal-istrateġiji taċ-ċibersigurtà diġà adottati mill-Istati Membri, u jippermetti lis-superviżuri finanzjarji jsiru konxji mill-inċidenti ċibernetiċi li jaffettwaw setturi oħra koperti mid-Direttiva (UE) 2016/1148.

(17)Sabiex ikun jista’ jsir proċess ta’ tagħlim transsettorjali u jintużaw b’mod effettiv l-esperjenzi ta’ setturi oħra fl-indirizzar tat-theddid ċibernetiku, l-entitajiet finanzjarji msemmija fid-Direttiva (UE) 2016/1148 jenħtieġ li jibqgħu parti mill-“ekosistema” ta’ dik id-Direttiva (pereż. il-Grupp ta’ Kooperazzjoni tal-NIS u s-CSIRTs).

L-ASE u l-awtoritajiet nazzjonali kompetenti, rispettivament, jenħtieġ li jkunu jistgħu jipparteċipaw fid-diskussjonijiet ta’ politika strateġika u fil-funzjonament tekniku tal-Grupp ta’ Kooperazzjoni tal-NIS, rispettivament, jiskambjaw informazzjoni u jikkooperaw aktar mal-punti uniċi ta’ kuntatt maħtura skont id-Direttiva (UE) 2016/1148. Jenħtieġ li l-awtoritajiet kompetenti skont dan ir-Regolament jikkonsultaw u jikkooperaw ukoll mas-CSIRTs nazzjonali maħtura f’konformità mal-Artikolu 9 tad-Direttiva (UE) 2016/1148.

(18)Huwa importanti wkoll li tiġi żgurata l-konsistenza mad-Direttiva dwar l-Infrastruttura Kritika Ewropea (ECI), li bħalissa qed tiġi riveduta sabiex jissaħħu l-protezzjoni u r-reżiljenza tal-infrastrutturi kritiċi kontra theddid mhux relatat maċ-ċibernetika, b’implikazzjonijiet possibbli għas-settur finanzjarju 31 .

(19)Il-fornituri ta’ servizzi ta’ cloud computing huma waħda mill-kategoriji ta’ fornituri ta’ servizzi diġitali koperti mid-Direttiva (UE) 2016/1148. Bħala tali, huma soġġetti għas-superviżjoni ex post imwettqa mill-awtoritajiet nazzjonali maħtura skont dik id-Direttiva, li hija limitata għar-rekwiżiti dwar in-notifika tal-inċidenti u s-sigurtà tal-ICT stipulati f’dak l-att. Billi l-Qafas ta’ Sorveljanza stabbilit minn dan ir-Regolament japplika għall-fornituri kritiċi kollha tas-servizzi ta’ partijiet terzi tal-ICT, inklużi l-fornituri ta’ servizzi ta’ cloud computing, meta jipprovdu servizzi tal-ICT lil entitajiet finanzjarji, jenħtieġ li dan jitqies bħala komplimentari għas-superviżjoni li qed isseħħ skont id-Direttiva (UE) 2016/1148. Barra minn hekk, jenħtieġ li l-Qafas ta’ Sorveljanza stabbilit minn dan ir-Regolament ikopri lill-fornituri ta’ servizzi ta’ cloud computing fin-nuqqas ta’ qafas orizzontali tal-Unjoni anjostiku għas-settur li jistabbilixxi Awtorità ta’ Sorveljanza Diġitali.

(20)Sabiex jibqgħu fil-kontroll sħiħ tar-riskji tal-ICT, l-entitajiet finanzjarji jeħtieġ li jkollhom fis-seħħ kapaċitajiet komprensivi li jippermettu ġestjoni tar-riskju tal-ICT b’saħħitha u effettiva, flimkien ma’ mekkaniżmi u politiki speċifiċi għar-rapportar ta’ inċidenti relatati mal-ICT, għall-ittestjar tas-sistemi, il-kontrolli u l-proċessi tal-ICT, kif ukoll għall-ġestjoni tar-riskju ta’ partijiet terzi tal-ICT. Il-livell tar-reżiljenza operazzjonali diġitali għas-sistema finanzjarja jenħtieġ li jgħola filwaqt li tiġi permessa applikazzjoni proporzjonata tar-rekwiżiti għall-entitajiet finanzjarji li huma mikrointrapriżi kif definit fir-Rakkomandazzjoni tal-Kummissjoni 2003/361/KE 32 .

(21)Il-livelli limitu ta’ rappurtar tal-inċidenti relatati mal-ICT u t-tassonomiji jvarjaw b’mod sinifikanti fil-livell nazzjonali. Filwaqt li tista’ tinkiseb bażi komuni permezz tal-ħidma rilevanti mwettqa mill-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà (ENISA) 33 u l-Grupp ta’ Kooperazzjoni tan-NIS għall-entitajiet finanzjarji skont id-Direttiva (UE) 2016/1148, għadhom jeżistu jew jistgħu jitfaċċaw approċċi diverġenti dwar il-limiti u t-tassonomiji għall-bqija tal-entitajiet finanzjarji. Dan jinvolvi bosta rekwiżiti li l-entitajiet finanzjarji jridu jirrispettaw, speċjalment meta joperaw f’diversi ġurisdizzjonijiet tal-Unjoni u meta jkunu jagħmlu parti minn grupp finanzjarju. Barra minn hekk, dawn id-diverġenzi jistgħu jxekklu l-ħolqien ta’ aktar mekkaniżmi uniformi jew ċentralizzati tal-Unjoni li jħaffu l-proċess ta’ rapportar u jappoġġjaw skambju rapidu u bla xkiel ta’ informazzjoni bejn l-awtoritajiet kompetenti, li huwa kruċjali biex jiġu indirizzati r-riskji tal-ICT f’każ ta’ attakki fuq skala kbira b’konsegwenzi potenzjalment sistemiċi.

(22)Sabiex l-awtoritajiet kompetenti jkunu jistgħu jaqdu r-rwoli superviżorji tagħhom billi jiksbu ħarsa ġenerali kompleta lejn in-natura, il-frekwenza, is-sinifikat u l-impatt tal-inċidenti relatati mal-ICT u jtejbu l-iskambju ta’ informazzjoni bejn l-awtoritajiet pubbliċi rilevanti, inklużi l-awtoritajiet tal-infurzar tal-liġi u l-awtoritajiet tar-riżoluzzjoni, jeħtieġ li jiġu stabbiliti regoli sabiex jitlesta r-reġim tar-rapportar ta’ inċidenti relatati mal-ICT bir-rekwiżiti li bħalissa huma neqsin fil-leġiżlazzjoni dwar is-subsettur finanzjarju u li jitneħħew kwalunkwe sovrapożizzjonijiet u duplikazzjonijiet eżistenti biex jittaffew il-kostijiet. Għalhekk, huwa essenzjali li r-reġim tar-rapportar tal-inċidenti relatati mal-ICT jiġi armonizzat billi l-entitajiet finanzjarji kollha jintalbu jirrapportaw lill-awtoritajiet kompetenti tagħhom biss. Barra minn hekk, jenħtieġ li l-ASE jkollhom is-setgħa li jispeċifikaw aktar l-elementi tar-rapportar tal-inċidenti relatati mal-ICT, bħat-tassonomija, l-iskedi taż-żmien, is-settijiet tad-data, il-formoli u l-limiti applikabbli.

(23)Rekwiżiti tal-ittestjar tar-reżiljenza operazzjonali diġitali żviluppaw f’xi sottosetturi finanzjarji fi ħdan oqfsa nazzjonali diversi u mhux koordinati li jindirizzaw l-istess kwistjonijiet b’mod differenti. Dan iwassal għal duplikazzjoni tal-kostijiet għall-entitajiet finanzjarji transfruntiera u jagħmel ir-rikonoxximent reċiproku tar-riżultati diffiċli. Għalhekk l-ittestjar mhux ikkoordinat jista’ jissegmenta s-suq uniku.

(24)Barra minn hekk, meta ma jkunx meħtieġ ttestjar, il-vulnerabbiltajiet jibqgħu mhux individwati, u dan ipoġġi lill-entità finanzjarja u, fl-aħħar mill-aħħar, l-istabbiltà u l-integrità tas-settur finanzjarju f’riskju akbar. Mingħajr l-intervent tal-Unjoni, l-ittestjar tar-reżiljenza operazzjonali diġitali jibqa’ mhux uniformi u ma jkun hemm l-ebda rikonoxximent reċiproku tar-riżultati tal-ittestjar f’ġurisdizzjonijiet differenti. Barra minn hekk, billi mhuwiex probabbli li subsetturi finanzjarji oħrajn jadottaw skemi bħal dawn fuq skala sinifikanti, dawn jitilfu l-benefiċċji potenzjali, bħall-iżvelar ta’ vulnerabbiltajiet u riskji, l-ittestjar tal-kapaċitajiet ta’ difiża u l-kontinwità tal-operat, u fiduċja akbar tal-klijenti, tal-fornituri u tas-sħab fin-negozju. Sabiex jiġu rrimedjati tali sovrapożizzjonijiet, diverġenzi u lakuni, huwa meħtieġ li jiġu stipulati regoli mmirati lejn l-ittestjar ikkoordinat minn entitajiet finanzjarji u awtoritajiet kompetenti, biex b’hekk jiġi ffaċilitat ir-rikonoxximent reċiproku tal-ittestjar avvanzat għal entitajiet finanzjarji sinifikanti.

(25)Id-dipendenza tal-entitajiet finanzjarji fuq is-servizzi tal-ICT hija parzjalment xprunata mill-ħtieġa tagħhom li jadattaw għal ekonomija globali diġitali kompetittiva emerġenti, li jagħtu spinta lill-effiċjenza tan-negozju tagħhom u li jissodisfaw id-domanda tal-konsumaturi. In-natura u l-firxa ta’ tali dipendenza kienu qed jevolvu kontinwament fis-snin li għaddew, u dan wassal għal tnaqqis tal-kostijiet fl-intermedjazzjoni finanzjarja, ippermetta l-espansjoni u l-iskalabbiltà tan-negozju fl-iskjerament ta’ attivitajiet finanzjarji, filwaqt li offra firxa wiesgħa ta’ għodod tal-ICT għall-ġestjoni ta’ proċessi interni kumplessi.

(26)Dan l-użu estensiv tas-servizzi tal-ICT huwa evidenzjat minn arranġamenti kuntrattwali kumplessi, fejn l-entitajiet finanzjarji ħafna drabi jiltaqgħu ma’ diffikultajiet biex jinnegozjaw it-termini kuntrattwali li huma mfassla għall-istandards prudenzjali jew għal rekwiżiti regolatorji oħrajn li huma soġġetti għalihom, jew inkella biex jinfurzaw drittijiet speċifiċi, bħal drittijiet ta’ aċċess jew awditjar, meta dawn tal-aħħar ikunu stabbiliti fil-ftehimiet. Minbarra dan, ħafna minn dawn il-kuntratti ma jipprevedux salvagwardji suffiċjenti li jippermettu monitoraġġ komprensiv tal-proċessi ta’ sottokuntrattar, biex b’hekk iċaħħdu lill-entità finanzjarja mill-kapaċità tagħha li tivvaluta dawn ir-riskji assoċjati. Barra minn hekk, billi l-fornituri terzi ta’ servizzi tal-ICT spiss jipprovdu servizzi standardizzati lil tipi differenti ta’ klijenti, tali kuntratti mhux bilfors dejjem jilqgħu b’mod adegwat għall-ħtiġijiet individwali jew speċifiċi tal-atturi tal-industrija finanzjarja.

(27)Minkejja xi regoli ġenerali dwar l-esternalizzazzjoni f’xi biċċiet ta’ leġiżlazzjoni dwar is-servizzi finanzjarji tal-Unjoni, il-monitoraġġ tad-dimensjoni kuntrattwali mhuwiex stabbilit bis-sħiħ fil-leġiżlazzjoni tal-Unjoni. Fin-nuqqas ta’ standards ċari tal-Unjoni u mfassla apposta li japplikaw għall-arranġamenti kuntrattwali konklużi ma’ fornituri terzi ta’ servizzi tal-ICT, is-sors estern tar-riskju tal-ICT mhuwiex indirizzat b’mod komprensiv. Konsegwentement, jeħtieġ li jiġu stabbiliti ċerti prinċipji ewlenin li jiggwidaw il-ġestjoni mill-entitajiet finanzjarji tar-riskju ta’ parti terza tal-ICT, akkumpanjati minn sett ta’ drittijiet kuntrattwali ewlenin b’rabta ma’ diversi elementi fl-eżekuzzjoni u t-terminazzjoni tal-kuntratti bl-għan li jiġu stabbiliti ċerti salvagwardji minimi li jirfdu l-kapaċità tal-entitajiet finanzjarji li jimmonitorjaw b’mod effettiv ir-riskju kollu li jinħoloq fil-livell tal-parti terza tal-ICT.

(28)Jeżisti nuqqas ta’ omoġeneità u konverġenza dwar ir-riskju ta’ parti terza tal-ICT u d-dipendenzi fuq partijiet terzi tal-ICT. Minkejja xi sforzi biex jiġi indirizzat il-qasam speċifiku tal-esternalizzazzjoni bħar-rakkomandazzjonijiet tal-2017 dwar l-esternalizzazzjoni lill-fornituri tas-servizzi tal-cloud 34 , il-kwistjoni tar-riskju sistemiku li jista’ jiġi skattat mill-iskopertura tas-settur finanzjarju għal għadd limitat ta’ fornituri terzi kritiċi ta’ servizzi tal-ICT bilkemm hija indirizzata fil-leġiżlazzjoni tal-Unjoni. Dan in-nuqqas fil-livell tal-Unjoni huwa aggravat min-nuqqas ta’ mandati u għodod speċifiċi li jippermettu lis-superviżuri nazzjonali jiksbu fehim tajjeb tad-dipendenzi fuq partijiet terzi tal-ICT u jimmonitorjaw b’mod adegwat ir-riskji li jirriżultaw mill-konċentrazzjoni ta’ tali dipendenzi fuq partijiet terzi tal-ICT.

(29)Meta jitqiesu r-riskji sistemiċi potenzjali li jirriżultaw minn żieda fil-prassi ta’ esternalizzazzjoni u mill-konċentrazzjoni ta’ partijiet terzi tal-ICT, u minħabba l-insuffiċjenza tal-mekkaniżmi nazzjonali li jippermettu lis-superjuri finanzjarji jikkwantifikaw, jikkwalifikaw u jirrimedjaw il-konsegwenzi tar-riskji tal-ICT li jeżistu fil-fornituri terzi kritiċi ta’ servizzi tal-ICT, huwa meħtieġ li jiġi stabbilit qafas ta’ sorveljanza tal-Unjoni xieraq li jippermetti monitoraġġ kontinwu tal-attivitajiet tal-fornituri terzi ta’ servizzi tal-ICT li huma fornituri kritiċi għal entitajiet finanzjarji.

(30)Bit-theddid tal-ICT isir aktar kumpless u sofistikat, il-miżuri tajbin ta’ individwazzjoni u prevenzjoni jiddependu ħafna fuq il-kondiviżjoni regolari tal-intelligence dwar it-theddid u l-vulnerabbiltà bejn l-entitajiet finanzjarji. Il-kondiviżjoni tal-informazzjoni tikkontribwixxi għal aktar sensibilizzazzjoni dwar it-theddid ċibernetiku, li, min-naħa tagħha, issaħħaħ il-kapaċità tal-entitajiet finanzjarji li jipprevjenu t-theddid milli jimmaterjalizza f’inċidenti reali u tippermetti lill-entitajiet finanzjarji jrażżnu aħjar l-effetti ta’ inċidenti relatati mal-ICT u jirkupraw b’mod aktar effiċjenti. Fin-nuqqas ta’ gwida fil-livell tal-Unjoni, jidher li bosta fatturi impedew tali kondiviżjoni tal-intelligence, b’mod partikolari l-inċertezza fuq il-kompatibbiltà mar-regoli dwar il-protezzjoni tad-data, l-antitrust u r-responsabbiltà.

(31)Barra minhekk, l-eżitazzjonijiet dwar it-tip ta’ informazzjoni li tista’ tiġi kondiviża ma’ parteċipanti oħrajn fis-suq, jew ma’ awtoritajiet mhux superviżorji (bħall-ENISA, għal input analitiku, jew l-Europol, għall-finijiet ta’ infurzar tal-liġi) jwasslu biex ma tiġix kondiviża informazzjoni utli. Il-firxa u l-kwalità tal-kondiviżjoni tal-informazzjoni jibqgħu limitati, frammentati, fejn l-iskambji rilevanti jsiru l-aktar lokalment (permezz ta’ inizjattivi nazzjonali) u mingħajr arranġamenti konsistenti għall-kondiviżjoni ta’ informazzjoni mal-Unjoni kollha mfassla għall-ħtiġijiet ta’ settur finanzjarju integrat.

(32)Jenħtieġ għalhekk li l-entitajiet finanzjarji jiġu mħeġġa jużaw b’mod kollettiv l-għarfien u l-esperjenza prattika individwali tagħhom fil-livell strateġiku, tattiku u operazzjonali bl-għan li jtejbu l-kapaċitajiet tagħhom li jivvalutaw, jimmonitorjaw, jiddefendu kontra, u jirrispondu b’mod adegwat għat-theddid ċibernetiku. Għalhekk, huwa meħtieġ li tkun possibbli l-ħolqien fil-livell tal-Unjoni ta’ mekkaniżmi għal arranġamenti volontarji għall-kondiviżjoni tal-informazzjoni li, meta jitwettqu f’ambjenti ta’ fiduċja, jgħinu lill-komunità finanzjarja tipprevjeni u tirrispondi b’mod kollettiv għat-theddid billi tillimita malajr it-tixrid tar-riskji tal-ICT u timpedixxi l-kontaġju potenzjali fil-mezzi finanzjarji kollha. Jenħtieġ li dawk il-mekkaniżmi jitmexxew f’konformità sħiħa mar-regoli applikabbli tal-liġi tal-kompetizzjoni tal-Unjoni, 35 kif ukoll b’mod li jiggarantixxi r-rispett sħiħ tar-regoli tal-Unjoni dwar il-protezzjoni tad-data, prinċipalment ir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill, 36 b’mod partikolari fil-kuntest tal-ipproċessar ta’ data personali li hija neċessarja għall-finijiet tal-interess leġittimu segwit mill-kontrollur jew minn parti terza, kif imsemmi fil-punt (f) tal-Artikolu 6(1) ta’ dak ir-Regolament.

(33)Minkejja l-kopertura wiesgħa prevista minn dan ir-Regolament, l-applikazzjoni tar-regoli dwar ir-reżiljenza operazzjonali diġitali jenħtieġ li tqis differenzi sinifikanti bejn l-entitajiet finanzjarji f’termini ta’ daqs, profili tan-negozju jew skopertura għar-riskju diġitali. Bħala prinċipju ġenerali, meta jidderieġu r-riżorsi u l-kapaċitajiet għall-implimentazzjoni tal-qafas tal-ġestjoni tar-riskju tal-ICT, jenħtieġ li l-entitajiet finanzjarji jibbilanċjaw kif xieraq il-ħtiġijiet tagħhom relatati mal-ICT mad-daqs u l-profil tan-negozju tagħhom, filwaqt li l-awtoritajiet kompetenti jkomplu jivvalutaw u jirrieżaminaw l-approċċ ta’ din id-distribuzzjoni.

(34)Billi entitajiet finanzjarji akbar jistgħu jgawdu minn riżorsi usa’ u jistgħu jużaw fondi b’ħeffa biex jiżviluppaw strutturi ta’ governanza u jistabbilixxu diversi strateġiji korporattivi, huma biss l-entitajiet finanzjarji li mhumiex mikrointrapriżi fis-sens ta’ dan ir-Regolament li jenħtieġ li jkunu meħtieġa jistabbilixxu arranġamenti ta’ governanza aktar kumplessi. Entitajiet bħal dawn huma mgħammra aħjar, b’mod partikolari biex jistabbilixxu funzjonijiet ta’ ġestjoni ddedikati biex iwettqu superviżjoni tal-arranġamenti ma’ fornituri terzi ta’ servizzi tal-ICT jew biex jittrattaw l-immaniġġjar tal-kriżijiet, biex jorganizzaw il-ġestjoni tar-riskju tal-ICT tagħhom skont it-tliet linji tal-mudell ta’ difiża, jew biex jadottaw dokument tar-riżorsi umani li jispjega b’mod komprensiv il-politiki dwar id-drittijiet tal-aċċess.

Bl-istess mod, huma biss entitajiet finanzjarji bħal dawn li jenħtieġ li jintalbu jwettqu valutazzjonijiet fil-fond wara bidliet kbar fl-infrastrutturi u l-proċessi tan-netwerk u tas-sistema tal-informazzjoni, iwettqu regolarment analiżijiet tar-riskju fuq is-sistemi tal-ICT miruta, jew jespandu l-ittestjar tal-pjanijiet ta’ kontinwità tal-operat u ta’ rispons u rkupru biex ikopru x-xenarji ta’ qlib tal-infrastruttura primarja tal-ICT u l-faċilitajiet addizzjonali.

(35)Barra minn hekk, minħabba li dawk l-entitajiet finanzjarji identifikati bħala sinifikanti għall-finijiet tal-ittestjar avvanzat tar-reżiljenza diġitali jenħtieġ li jkunu meħtieġa jwettqu testijiet tal-penetrazzjoni mmexxija mit-theddid, il-proċessi amministrattivi u l-kostijiet finanzjarji li jinvolvi t-twettiq ta’ tali testijiet jenħtieġ li jiġu devoluti lil persentaġġ żgħir ta’ entitajiet finanzjarji. Fl-aħħar nett, bl-għan li jitnaqqsu l-piżijiet regolatorji, huma biss l-entitajiet finanzjarji li mhumiex mikrointrapriżi li jenħtieġ li jintalbu jirrapportaw regolarment lill-awtoritajiet kompetenti l-kostijiet u t-telf kollha kkawżati mit-tfixkil fl-ICT u r-riżultati tar-rieżamijiet ta’ wara l-inċidenti wara li jkun seħħ tfixkil sinifikanti fl-ICT.

(36)Sabiex jiġu żgurati allinjament sħiħ u konsistenza ġenerali bejn l-istrateġiji tan-negozju tal-entitajiet finanzjarji, minn naħa waħda, u t-twettiq tal-ġestjoni tar-riskju tal-ICT, min-naħa l-oħra, il-korp maniġerjali jenħtieġ ikun meħtieġ li jżomm rwol kruċjali u attiv fit-tmexxija u l-adattament tal-qafas tal-ġestjoni tar-riskju tal-ICT u l-istrateġija ġenerali tar-reżiljenza diġitali. L-approċċ li jrid jittieħed mill-korp maniġerjali ma għandux jiffoka biss fuq il-mezzi biex tiġi żgurata r-reżiljenza tas-sistemi tal-ICT, iżda jenħtieġ li jkopri wkoll in-nies u l-proċessi permezz ta’ sett ta’ politiki li jikkultivaw, f’kull livell korporattiv, u għall-membri tal-persunal kollha, sens qawwi ta’ sensibilizzazzjoni tar-riskji ċibernetiċi u impenn li tiġi rrispettata iġene ċibernetika stretta fil-livelli kollha.

Ir-responsabbiltà aħħarija tal-korp maniġerjali fil-ġestjoni tar-riskji tal-ICT ta’ entità finanzjarja għandha tkun prinċipju ġenerali ta’ dak l-approċċ komprensiv, li jkompli jissarraf fl-involviment kontinwu tal-korp maniġerjali fil-kontroll tal-monitoraġġ tal-ġestjoni tar-riskju tal-ICT.

(37)Barra minn hekk, l-obbligu ta’ rendikont sħiħ tal-korp maniġerjali jmur id f’id mal-iżgurar ta’ livell ta’ investimenti fl-ICT u baġit kumplessiv għall-entità finanzjarja biex tkun tista’ tikseb il-linja bażi ta’ reżiljenza operazzjonali diġitali tagħha.

(38)Ispirat mill-istandards, il-linji gwida, ir-rakkomandazzjonijiet jew l-approċċi rilevanti nazzjonali, internazzjonali u stabbiliti mill-industrija lejn il-ġestjoni tar-riskju ċibernetiku, 37 dan ir-Regolament jippromwovi sett ta’ funzjonijiet li jiffaċilitaw l-istrutturar kumplessiv tal-ġestjoni tar-riskju tal-ICT. Sakemm il-kapaċitajiet ewlenin li jistabbilixxu l-entitajiet finanzjarji jissodisfaw il-ħtiġijiet tal-objettivi previsti mill-funzjonijiet (l-identifikazzjoni, il-protezzjoni u l-prevenzjoni, l-individwazzjoni, ir-rispons u l-irkupru, it-tagħlim u l-evoluzzjoni u l-komunikazzjoni) stabbiliti f’dan ir-Regolament, l-entitajiet finanzjarji jibqgħu liberi li jużaw mudelli ta’ ġestjoni tar-riskju tal-ICT li huma inkwadrati jew kategorizzati b’mod differenti.

(39)Sabiex iżommu l-pass ma’ xenarju tat-theddid ċibernetiku li qed jevolvi, jenħtieġ li l-entitajiet finanzjarji jżommu sistemi tal-ICT aġġornati li jkunu affidabbli u mogħnija b’kapaċità suffiċjenti mhux biss biex jiggarantixxu l-ipproċessar tad-data kif meħtieġ għall-prestazzjoni tas-servizzi tagħhom, iżda wkoll biex tiġi żgurata r-reżiljenza teknoloġika li tippermetti lill-entitajiet finanzjarji jittrattaw b’mod adegwat il-ħtiġijiet ta’ pproċessar addizzjonali li jistgħu jiġġeneraw kundizzjonijiet tas-suq taħt stress jew sitwazzjonijiet avversi oħrajn. Filwaqt li dan ir-Regolament ma jinvolvi l-ebda standardizzazzjoni ta’ sistemi, għodod jew teknoloġiji speċifiċi tal-ICT, huwa jiddependi fuq l-użu xieraq mill-entitajiet finanzjarji ta’ standards tekniċi Ewropej u rikonoxxuti internazzjonalment (pereżempju ISO) jew l-aħjar prassi tal-industrija, sakemm tali użu jkun kompletament konformi mal-istruzzjonijiet superviżorji speċifiċi dwar l-użu u l-inkorporazzjoni ta’ standards internazzjonali.

(40)Huma meħtieġa pjanijiet effiċjenti ta’ kontinwità tal-operat u ta’ rkupru biex jippermettu lill-entitajiet finanzjarji jsolvu minnufih u malajr inċidenti relatati mal-ICT, b’mod partikolari attakki ċibernetiċi, billi jillimitaw id-dannu u jagħtu prijorità lit-tkomplija tal-attivitajiet u tal-azzjonijiet ta’ rkupru. Madankollu, filwaqt li jenħtieġ li s-sistemi ta’ backup jibdew jipproċessaw mingħajr dewmien żejjed, dan il-bidu bl-ebda mod ma għandu jipperikola l-integrità u s-sigurtà tan-netwerk u tas-sistemi ta’ informazzjoni jew il-kunfidenzjalità tad-data.

(41)Filwaqt li dan ir-Regolament jippermetti lill-entitajiet finanzjarji jiddeterminaw l-objettivi tal-ħin ta’ rkupru b’mod flessibbli u b’hekk jistabbilixxu tali objettivi billi jqisu bis-sħiħ in-natura u l-kritikalità tal-funzjoni rilevanti u kwalunkwe ħtieġa kummerċjali speċifika, jenħtieġ li tkun meħtieġa wkoll valutazzjoni tal-impatt ġenerali potenzjali fuq l-effiċjenza tas-suq meta jiġu ddeterminati tali objettivi.

(42)Il-konsegwenzi sinifikanti tal-attakki ċibernetiċi huma amplifikati meta jseħħu fis-settur finanzjarju, qasam li jinsab ferm aktar f’riskju li jkun il-mira ta’ propogaturi malizzjużi li jfittxu qligħ finanzjarju direttament fis-sors. Sabiex jiġi mitigati dawn ir-riskji u jiġi evitat li s-sistemi tal-ICT jitilfu l-integrità jew ma jibqgħux disponibbli u li d-data kunfidenzjali tinkiser jew li l-infrastruttura fiżika tal-ICT issofri dannu, jenħtieġ li r-rapportar ta’ inċidenti kbar relatati mal-ICT minn entitajiet finanzjarji jittejjeb b’mod sinifikanti.

Jenħtieġ li r-rapportar ta’ inċidenti relatati mal-ICT ikun armonizzat għall-entitajiet finanzjarji kollha billi dawn jintalbu jirrapportaw lill-awtoritajiet kompetenti tagħhom biss. Filwaqt li l-entitajiet finanzjarji kollha jkunu soġġetti għal dan ir-rapportar, mhux kollha għandhom jiġu affettwati bl-istess mod, billi jenħtieġ li l-limiti ta’ materjalità u l-iskedi ta’ żmien rilevanti jiġu kkalibrati biex ikopru biss inċidenti kbar relatati mal-ICT. Ir-rapportar dirett jippermetti l-aċċess tas-superviżuri finanzjarji għal informazzjoni dwar inċidenti relatati mal-ICT. Madankollu, jenħtieġ li s-superviżuri finanzjarji jgħaddu din l-informazzjoni lill-awtoritajiet pubbliċi mhux finanzjarji (l-awtoritajiet kompetenti tan-NIS, l-awtoritajiet nazzjonali tal-protezzjoni tad-data u l-awtoritajiet tal-infurzar tal-liġi għal inċidenti ta’ natura kriminali). Jenħtieġ li l-informazzjoni dwar l-inċidenti relatati mal-ICT titwassal b’mod reċiproku: jenħtieġ li s-superviżuri finanzjarji jipprovdu l-feedback jew il-gwida kollha meħtieġa lill-entità finanzjarja, filwaqt li jenħtieġ li l-ASE jikkondividu data anonimizzata dwar it-theddid u l-vulnerabbiltajiet relatati ma’ eventi ħalli tingħata għajnuna lid-difiża kollettiva usa’.

(43)Jenħtieġ li tiġi prevista riflessjoni ulterjuri dwar iċ-ċentralizzazzjoni possibbli ta’ rapporti dwar inċidenti relatati mal-ICT, permezz ta’ Ċentru tal-UE ċentrali uniku li jew jirċievi direttament ir-rapporti rilevanti u jinnotifika awtomatikament lill-awtoritajiet nazzjonali kompetenti, jew inkella sempliċement jiċċentralizza r-rapporti mibgħuta mill-awtoritajiet nazzjonali kompetenti u jaqdi rwol ta’ koordinazzjoni. L-ASE għandhom ikunu meħtieġa jħejju, f’konsultazzjoni mal-BĊE u mal-ENISA, sa data partikolari, rapport konġunt li jesplora l-fattibbiltà li jitwaqqaf Ċentru tal-UE ċentrali bħal dan.

(44)Sabiex tinkiseb reżiljenza operazzjonali diġitali robusta, u f’konformità mal-istandards internazzjonali (pereżempju, l-Elementi Fundamentali tal-G7 għall-Ittestjar tal-Penetrazzjoni mmexxi mit-Theddid, jenħtieġ li l-entitajiet finanzjarji jittestjaw regolarment is-sistemi u l-persunal tal-ICT tagħhom fir-rigward tal-effettività tal-kapaċitajiet ta’ prevenzjoni, individwazzjoni, rispons u rkupru tagħhom, biex jikxfu u jindirizzaw vulnerabbiltajiet potenzjali tal-ICT. Sabiex jirrispondi għad-differenzi bejn u fis-subsetturi finanzjarji fir-rigward tal-istat ta’ tħejjija taċ-ċibersigurtà tal-entitajiet finanzjarji, jenħtieġ li l-ittestjar jinkludi varjetà wiesgħa ta’ għodod u azzjonijiet, li jvarjaw minn valutazzjoni tar-rekwiżiti bażiċi (pereżempju, valutazzjonijiet tal-vulnerabbiltà u skennjar, analiżijiet tas-sors miftuħ, valutazzjonijiet tas-sigurtà tan-netwerk, analiżijiet tal-lakuni, rieżamijiet tas-sigurtà fiżika, kwestjonarji u soluzzjonijiet tas-softwer tal-iskennjar, rieżamijiet tal-kodiċi tas-sors, fejn ikunu fattibbli, testijiet ibbażati fuq ix-xenarji, ittestjar tal-kompatibbiltà, ittestjar tal-prestazzjoni jew ittestjar minn tarf sa tarf) għal ittestjar aktar avvanzat (pereżempju, TLPT għal dawk l-entitajiet finanzjarji maturi biżżejjed minn perspettiva tal-ICT biex ikunu jistgħu jwettqu testijiet bħal dawn). B’hekk, jenħtieġ li l-ittestjar tar-reżiljenza operazzjonali diġitali jkun aktar esiġenti għal entitajiet finanzjarji sinifikanti (bħal istituzzjonijiet ta’ kreditu kbar, boroż, depożitarji ċentrali tat-titoli, kontropartijiet ċentrali, eċċ.). Fl-istess ħin, jenħtieġ li l-ittestjar tar-reżiljenza operazzjonali diġitali jkun ukoll aktar rilevanti għal xi subsetturi li jkollhom rwol sistemiku ewlieni (pereżempju, pagamenti, operazzjonijiet bankarji, ikklerjar u saldu), u inqas rilevanti għal subsetturi oħrajn (pereżempju, maniġers tal-assi, aġenziji ta’ klassifikazzjoni tal-kreditu, eċċ.). Jenħtieġ li l-entitajiet finanzjarji transfruntiera li jeżerċitaw il-libertà tagħhom ta’ stabbiliment jew ta’ forniment ta’ servizzi fl-Unjoni jikkonformaw ma’ sett wieħed ta’ rekwiżiti ta’ ttestjar avvanzat (pereżempju, it-TLPT) fl-Istat Membru ta’ domiċilju tagħhom, u jenħtieġ li dak it-test jinkludi l-infrastrutturi tal-ICT fil-ġurisdizzjonijiet kollha fejn il-grupp transfruntier jopera fl-Unjoni, biex b’hekk il-gruppi transfruntiera jkunu jistgħu jġarrbu l-kostijiet tal-ittestjar f’ġurisdizzjoni waħda biss.

(45)Sabiex jiġi żgurat monitoraġġ tajjeb tar-riskju ta’ parti terza tal-ICT, jeħtieġ li jiġi stabbilit sett ta’ regoli bbażati fuq il-prinċipji biex jiggwidaw il-monitoraġġ mill-entitajiet finanzjarji tar-riskju li jirriżulta fil-kuntest tal-funzjonijiet esternalizzati lil fornituri terzi ta’ servizzi tal-ICT u, b’mod aktar ġenerali, fil-kuntest tad-dipendenzi fuq partijiet terzi tal-ICT.

(46)Entità finanzjarja jenħtieġ li f’kull ħin tibqa’ kompletament responsabbli għall-konformità mal-obbligi skont dan ir-Regolament. Jenħtieġ li jiġi organizzat monitoraġġ proporzjonat tar-riskju li jinħoloq fil-livell tal-fornitur terz ta’ servizzi tal-ICT billi jitqiesu debitament l-iskala, il-kumplessità u l-importanza tad-dipendenzi relatati mal-ICT, il-kritikalità jew l-importanza tas-servizzi, tal-proċessi jew tal-funzjonijiet soġġetti għall-arranġamenti kuntrattwali u, fl-aħħar mill-aħħar, abbażi ta’ valutazzjoni bir-reqqa ta’ kwalunkwe impatt potenzjali fuq il-kontinwità u l-kwalità tas-servizzi finanzjarji fil-livell individwali u fil-livell ta’ grupp, kif xieraq.

(47)Jenħtieġ li t-twettiq ta’ tali monitoraġġ isegwi approċċ strateġiku għar-riskju ta’ parti terza tal-ICT formalizzat permezz tal-adozzjoni mill-korp maniġerjali tal-entità finanzjarja ta’ strateġija ddedikata, imsejsa fi skrinjar kontinwu ta’ tali dipendenzi kollha fuq partijiet terzi tal-ICT. Sabiex tiżdied is-sensibilizzazzjoni superviżorja fuq id-dipendenzi fuq partijiet terzi tal-ICT, u bl-għan li jiġi appoġġjat aktar il-Qafas ta’ Sorveljanza stabbilit minn dan ir-Regolament, jenħtieġ li s-superviżuri finanzjarji jirċievu regolarment informazzjoni essenzjali mir-Reġistri u jenħtieġ li jkunu jistgħu jitolbu siltiet minnha fuq bażi ad hoc.

(48)Analiżi bir-reqqa qabel l-ikkuntrattar jenħtieġ li tirfed u tippreċedi l-konklużjoni formali tal-arranġamenti kuntrattwali, filwaqt li t-terminazzjoni tal-kuntratti jenħtieġ li tkun imqanqla minn mill-inqas sett ta’ ċirkostanzi li juru nuqqasijiet fil-fornitur terz ta’ servizzi tal-ICT.

(49)Sabiex jiġi indirizzat l-impatt sistemiku tar-riskju tal-konċentrazzjoni ta’ partijiet terzi tal-ICT, jenħtieġ li tiġi promossa soluzzjoni bbilanċjata permezz ta’ approċċ flessibbli u gradwali peress li limiti riġidi jew limitazzjonijiet stretti jistgħu jfixklu l-imġiba kummerċjali u l-libertà kuntrattwali. Jenħtieġ li l-entitajiet finanzjarji jivvalutaw bir-reqqa l-arranġamenti kuntrattwali biex jidentifikaw il-probabbiltà li jinħoloq tali riskju, inkluż permezz ta’ analiżi fil-fond tal-arranġamenti ta’ subesternalizzazzjoni, b’mod partikolari meta jiġu konklużi ma’ fornituri terzi ta’ servizzi tal-ICT stabbiliti f’pajjiż terz. F’dan l-istadju, u bl-għan li jintlaħaq bilanċ ġust bejn l-imperattiv tal-preservazzjoni tal-libertà kuntrattwali u dak li tiġi ggarantita l-istabbiltà finanzjarja, mhuwiex meqjus xieraq li jiġu previsti limiti massimi u limiti stretti għall-iskoperturi tal-partijiet terzi tal-ICT. L-ASE maħtura biex twettaq is-sorveljanza għal kull fornitur kritiku ta’ parti terza tal-ICT (“is-Sorveljant Ewlieni”) jenħtieġ li, fl-eżerċizzju tal-kompiti ta’ sorveljanza, tagħti attenzjoni partikolari biex tifhem bis-sħiħ il-kobor tal-interdipendenzi u tiskopri każijiet speċifiċi fejn grad għoli ta’ konċentrazzjoni ta’ fornituri terzi ta’ servizzi kritiċi tal-ICT fl-Unjoni x’aktarx li jpoġġi pressjoni fuq l-istabbiltà u l-integrità tas-sistema finanzjarja tal-Unjoni u jenħtieġ li minflok tipprovdi għal djalogu ma’ fornituri terzi kritiċi ta’ servizzi tal-ICT fejn jiġi identifikat dak ir-riskju 38 .

(50)Sabiex tkun tista’ tiġi evalwata u mmonitorjata fuq bażi regolari l-kapaċità tal-fornitur terz ta’ servizzi tal-ICT li jipprovdi servizzi b’mod sigur lill-entità finanzjarja mingħajr effetti avversi fuq ir-reżiljenza ta’ din tal-aħħar, jenħtieġ li jkun hemm armonizzazzjoni tal-elementi kuntrattwali ewlenin matul l-eżekuzzjoni tal-kuntratti ma’ fornituri terzi tal-ICT. Dawk l-elementi jkopru biss aspetti kuntrattwali minimi meqjusa bħala kruċjali biex jippermettu monitoraġġ sħiħ mill-entità finanzjarja mill-perspettiva li tiġi żgurata r-reżiljenza diġitali tagħha li tiddependi fuq l-istabbiltà u s-sigurtà tas-servizz tal-ICT.

(51)B’mod partikolari, jenħtieġ li l-arranġamenti kuntrattwali jipprevedu speċifikazzjoni ta’ deskrizzjonijiet kompleti ta’ funzjonijiet u servizzi, ta’ postijiet fejn jiġu pprovduti tali funzjonijiet u fejn tiġi pproċessata d-data, kif ukoll indikazzjoni ta’ deskrizzjonijiet sħaħ fil-livell tas-servizz akkumpanjati minn miri ta’ prestazzjoni kwantitattivi u kwalitattivi fil-livelli ta’ servizz miftiehma biex jippermettu monitoraġġ effettiv mill-entità finanzjarja. Bl-istess mod, id-dispożizzjonijiet dwar l-aċċessibbiltà, id-disponibbiltà, l-integrità, is-sigurtà u l-protezzjoni tad-data personali, kif ukoll il-garanziji għall-aċċess, l-irkupru u r-ritorn fil-każ ta’ insolvenza, riżoluzzjoni jew waqfien tal-operazzjonijiet kummerċjali tal-fornitur terz ta’ servizzi tal-ICT jenħtieġ li jitqiesu wkoll bħala elementi essenzjali għall-kapaċità ta’ entità finanzjarja li tiżgura l-monitoraġġ tar-riskju ta’ parti terza.

(52)Sabiex jiġi żgurat li l-entitajiet finanzjarji jibqgħu fil-kontroll sħiħ tal-iżviluppi kollha li jistgħu jfixklu s-sigurtà tal-ICT tagħhom, il-perjodi ta’ avviż u l-obbligi ta’ rapportar tal-fornitur terz ta’ servizzi tal-ICT jenħtieġ li jiġu stabbiliti fil-każ ta’ żviluppi b’impatt materjali potenzjali fuq il-kapaċità tal-fornitur terz ta’ servizzi tal-ICT li jwettaq b’mod effettiv funzjonijiet kritiċi jew importanti, inkluż l-għoti ta’ assistenza minn dan tal-aħħar fil-każ ta’ inċident relatat mal-ICT mingħajr ebda kost addizzjonali jew b’kost li jiġi ddeterminat ex ante.

(53)Drittijiet mhux ristretti ta’ aċċess, spezzjoni u awditjar mill-entità finanzjarja jew minn parti terza maħtura huma strumenti kruċjali fil-monitoraġġ kontinwu mill-entitajiet finanzjarji tal-prestazzjoni tal-fornitur terz ta’ servizzi tal-ICT, flimkien mal-kooperazzjoni sħiħa ta’ dan tal-aħħar waqt l-ispezzjonijiet. Bl-istess mod, jenħtieġ li l-awtorità kompetenti tal-entità finanzjarja tingħata drittijiet mhux ristretti, ibbażati fuq avviżi, biex tispezzjona u tawditja l-fornitur terz ta’ servizzi tal-ICT, soġġetta għall-kunfidenzjalità.

(54)L-arranġamenti kuntrattwali għandhom jipprevedu drittijiet ta’ terminazzjoni ċari u avviżi minimi relatati konformi mal-aspettattivi tal-awtoritajiet kompetenti, kif ukoll strateġiji ta’ ħruġ iddedikati li jippermettu, b’mod partikolari, il-perjodi ta’ tranżizzjoni obbligatorji li matulhom il-fornituri terzi ta’ servizzi tal-ICT jenħtieġ li jkomplu jipprovdu l-funzjonijiet rilevanti bl-għan li jitnaqqas ir-riskju ta’ tfixkil fil-livell tal-entità finanzjarja jew jippermettu lil din tal-aħħar taqleb b’mod effettiv għal fornituri terzi oħrajn ta’ servizzi tal-ICT, jew inkella tirrikorri għall-użu ta’ soluzzjonijiet fuq il-post, konsistenti mal-kumplessità tas-servizz ipprovdut.

(55)Barra minn hekk, l-użu volontarju ta’ klawżoli kuntrattwali standard żviluppati mill-Kummissjoni għal servizzi ta’ cloud computing jista’ jipprovdi aktar kumdità lill-entitajiet finanzjarji u lill-fornituri terzi tal-ICT tagħhom, billi jtejjeb il-livell ta’ ċertezza legali fuq l-użu ta’ servizzi ta’ cloud computing mis-settur finanzjarju, f’allinjament sħiħ mar-rekwiżiti u l-aspettattivi stabbiliti mir-regolament dwar is-servizzi finanzjarji. Din il-ħidma tibni fuq il-miżuri diġà previsti fil-Pjan ta’ Azzjoni tal-FinTech tal-2018, li ħabbar l-intenzjoni tal-Kummissjoni li tinkoraġġixxi u tiffaċilita l-iżvilupp ta’ klawżoli kuntrattwali standard għall-użu tal-esternalizzazzjoni tas-servizzi ta’ cloud computing minn entitajiet finanzjarji, billi tibbaża fuq l-isforzi tal-partijiet ikkonċernati tas-servizzi ta’ cloud computing transsettorjali, li l-Kummissjoni ffaċilitat bl-għajnuna tal-involviment tas-settur finanzjarju.

(56)Bl-għan li jiġu promossi l-konverġenza u l-effiċjenza b’rabta mal-approċċi superviżorji għar-riskju ta’ parti terza tal-ICT għas-settur finanzjarju, tissaħħaħ ir-reżiljenza operazzjonali diġitali tal-entitajiet finanzjarji li jiddependu fuq fornituri terzi kritiċi ta’ servizzi tal-ICT għat-twettiq ta’ funzjonijiet operattivi u, b’hekk, biex jikkontribwixxu għall-preservazzjoni tal-istabbiltà tas-sistema finanzjarja tal-Unjoni, l-integrità tas-suq uniku għas-servizzi finanzjarji, jenħtieġ li l-fornituri terzi kritiċi ta’ servizzi tal-ICT ikunu soġġetti għal Qafas ta’ Sorveljanza tal-Unjoni.

(57)Peress li l-fornituri terzi kritiċi ta’ servizzi biss jiġġustifikaw trattament speċjali, jenħtieġ li jiġi stabbilit mekkaniżmu ta’ deżinjazzjoni għall-finijiet tal-applikazzjoni tal-Qafas ta’ Sorveljanza tal-Unjoni biex jitqiesu d-dimensjoni u n-natura tad-dipendenza tas-settur finanzjarju fuq tali fornituri terzi ta’ servizzi tal-ICT, li jissarraf f’sett ta’ kriterji kwantitattivi u kwalitattivi li jistabbilixxu l-parametri ta’ kritiċità bħala bażi għall-inklużjoni fis-Sorveljanza. Fornituri terzi kritiċi ta’ servizzi tal-ICT li ma jkunux maħtura awtomatikament bis-saħħa tal-applikazzjoni tal-kriterji msemmija hawn fuq għandu jkollhom il-possibbiltà li jipparteċipaw b’mod volontarju fil-Qafas ta’ Sorveljanza, filwaqt li, konsegwentement, jenħtieġ li dawk il-fornituri terzi tal-ICT li huma diġà soġġetti għal oqfsa ta’ mekkaniżmi ta’ sorveljanza stabbiliti fil-livell tal-Eurosistema bl-għan li jappoġġjaw il-kompiti msemmija fl-Artikolu 127(2) tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea jiġu eżentati.

(58)Ir-rekwiżit tal-inkorporazzjoni legali fl-Unjoni ta’ fornituri terzi ta’ servizzi tal-ICT li nħatru bħala kritiċi ma jammontax għal lokalizzazzjoni tad-data, billi dan ir-Regolament ma jinvolvi l-ebda rekwiżit ulterjuri dwar il-ħażna jew l-ipproċessar tad-data li jridu isiru fl-Unjoni.

(59)Dan il-qafas jenħtieġ li jkun mingħajr preġudizzju għall-kompetenza tal-Istati Membri li jwettqu missjonijiet ta’ sorveljanza tagħhom stess fir-rigward ta’ fornituri terzi ta’ servizzi tal-ICT li mhumiex kritiċi skont dan ir-Regolament iżda jistgħu jitqiesu importanti fil-livell nazzjonali.

(60)Sabiex jimmassimizza l-arkitettura istituzzjonali attwali b’diversi livelli fil-qasam tas-servizzi finanzjarji, jenħtieġ li l-Kumitat Konġunt tal-ASE jkompli jiżgura l-koordinazzjoni transsettorjali kumplessiva b’rabta mal-kwistjonijiet kollha li jappartjenu għar-riskju tal-ICT, f’konformità mal-kompiti tiegħu dwar iċ-ċibersigurtà, appoġġjat minn Sottokumitat ġdid (il-Forum ta’ Sorveljanza) li jwettaq ħidma preparatorja kemm għad-deċiżjonijiet individwali indirizzati lill-fornituri terzi kritiċi ta’ servizzi tal-ICT, kif ukoll għar-rakkomandazzjonijiet kollettivi, notevolment dwar il-parametraġġ referenzjarju tal-programmi ta’ sorveljanza ta’ fornituri terzi kritiċi ta’ servizzi tal-ICT, u l-identifikazzjoni tal-aħjar prassi għall-indirizzar tal-kwistjonijiet tar-riskju ta’ konċentrazzjoni tal-ICT.

(61)Sabiex jiġi żgurat li l-fornituri terzi ta’ servizzi tal-ICT li jissodisfaw rwol kritiku għall-funzjonament tas-settur finanzjarju jiġu ssorveljati b’mod proporzjonat fuq skala tal-Unjoni, waħda mill-ASE jenħtieġ li tinħatar bħala Sorveljant Ewlieni għal kull fornitur terz kritiku tal-ICT.

(62)Jenħtieġ li s-Sorveljanti Ewlenin igawdu mis-setgħat neċessarji biex iwettqu investigazzjonijiet, spezzjonijiet fuq il-post u mhux fuq il-post ta’ fornituri terzi kritiċi ta’ servizzi tal-ICT, jaċċessaw il-binjiet u l-postijiet rilevanti kollha u jiksbu informazzjoni kompleta u aġġornata biex ikunu jistgħu jiksbu għarfien reali dwar it-tip, id-dimensjoni u l-impatt tar-riskju ta’ parti terza tal-ICT għall-entitajiet finanzjarji u, fl-aħħar mill-aħħar, għas-sistema finanzjarja tal-Unjoni.

Li l-ASE jiġu fdati bis-sorveljanza ewlenija huwa prerekwiżit biex tinftiehem sewwa u tiġi indirizzata d-dimensjoni sistemika tar-riskju tal-ICT fil-finanzi. L-impronta tal-Unjoni ta’ fornituri terzi kritiċi ta’ servizzi tal-ICT u l-kwistjonijiet potenzjali tar-riskju ta’ konċentrazzjoni tal-ICT marbuta magħha jitolbu li jittieħed approċċ kollettiv eżerċitat fil-livell tal-Unjoni. L-eżerċitar ta’ diversi drittijiet ta’ awditjar u aċċess, imwettaq minn bosta awtoritajiet kompetenti għal rashom bi ftit jew l-ebda koordinazzjoni ma jwassalx għal ħarsa ġenerali kompleta lejn ir-riskju tal-partijiet terzi tal-ICT, filwaqt li joħloq ridondanza, piż u kumplessità bla bżonn fil-livell tal-fornituri terzi kritiċi tal-ICT li jiffaċċjaw tali talbiet numerużi.

(63)Barra minn hekk, is-Sorveljanti Ewlenin jeħtieġ li jkunu jistgħu jissottomettu rakkomandazzjonijiet dwar kwistjonijiet ta’ riskju tal-ICT u rimedji xierqa, inkluża l-oppożizzjoni ta’ ċerti arranġamenti kuntrattwali li, fl-aħħar mill-aħħar, jaffettwaw l-istabbiltà tal-entità finanzjarja jew tas-sistema finanzjarja. Il-konformità ma’ tali rakkomandazzjonijiet sostantivi stabbiliti mis-Sorveljanti Ewlenin jenħtieġ li titqies kif xieraq mill-awtoritajiet kompetenti nazzjonali bħala parti mill-funzjoni tagħhom relatata mas-superviżjoni prudenzjali tal-entitajiet finanzjarji.

(64)Il-Qafas ta’ Sorveljanza jenħtieġ li ma jiħux post jew b’xi mod jissostitwixxi kwalunkwe parti tal-ġestjoni mill-entitajiet finanzjarji tar-riskju li jġib miegħu l-użu ta’ fornituri terzi ta’ servizzi tal-ICT, inkluż l-obbligu ta’ monitoraġġ kontinwu tal-arranġamenti kuntrattwali tagħhom konklużi ma’ fornituri terzi kritiċi ta’ servizzi tal-ICT, u ma għandux jaffettwa r-responsabbiltà sħiħa tal-entitajiet finanzjarji biex jikkonformaw ma’, u jwettqu, ir-rekwiżiti kollha skont dan ir-Regolament u l-leġiżlazzjoni rilevanti dwar is-servizzi finanzjarji. Sabiex jiġu evitati duplikazzjonijiet u sorvapożizzjonijiet, jenħtieġ li l-awtoritajiet kompetenti joqogħdu lura milli jieħdu individwalment kwalunkwe miżura mmirata lejn il-monitoraġġ tar-riskji tal-fornituri terzi kritiċi ta’ servizzi tal-ICT. Kwalunkwe miżura bħal jenħtieġ li tkun ikkoordinata minn qabel u maqbula fil-kuntest tal-Qafas ta’ Sorveljanza.

(65)Biex jippromwovu l-konverġenza fil-livell internazzjonali dwar l-aħjar prassi li jridu jintużaw fir-rieżami tal-ġestjoni tar-riskju diġitali tal-fornituri terzi ta’ servizzi tal-ICT, jenħtieġ li l-ASE jiġu mħeġġa jikkonkludu arranġamenti ta’ kooperazzjoni mal-awtoritajiet superviżorji u regolatorji kompetenti rilevanti ta’ pajjiżi terzi biex jiffaċilitaw l-iżvilupp tal-aħjar prassi li jindirizzaw ir-riskju ta’ partijiet terzi tal-ICT.

(66)Sabiex jimmassimizzaw l-għarfien espert tekniku tal-esperti tal-awtoritajiet kompetenti dwar il-ġestjoni tar-riskju operazzjonali u tal-ICT, jenħtieġ li s-Sorveljanti Ewlenin jibbażaw fuq l-esperjenza superviżorja nazzjonali u jwaqqfu timijiet ta’ eżami ddedikati għal kull fornitur terz kritiku individwali ta’ servizzi tal-ICT, billi jiġbru flimkien timijiet multidixxiplinarji biex jappoġġjaw kemm it-tħejjija kif ukoll l-eżekuzzjoni attwali tal-attivitajiet ta’ sorveljanza, inklużi spezzjonijiet fuq il-post ta’ fornituri terzi kritiċi ta’ servizzi tal-ICT, kif ukoll is-segwitu meħtieġ tagħhom.

(67)Jenħtieġ li l-awtoritajiet kompetenti jkollhom is-setgħat superviżorji, investigattivi u sanzjonarji kollha meħtieġa biex jiżguraw l-applikazzjoni ta’ dan ir-Regolament. Fil-prinċipju, jenħtieġ li l-penali amministrattivi jiġu ppubblikati. Billi l-entitajiet finanzjarji u l-fornituri terzi ta’ servizzi tal-ICT jistgħu jkunu stabbiliti fi Stati Membri differenti u b’superviżjoni minn awtoritajiet kompetenti settorjali differenti, jenħtieġ li jiġu żgurati kooperazzjoni mill-qrib bejn l-awtoritajiet kompetenti rilevanti, inkluż il-BĊE fir-rigward tal-kompiti speċifiċi mogħtija lilu bir-Regolament tal-Kunsill (UE) Nru 1024/2013 39 , kif ukoll konsultazzjoni mal-ASE permezz tal-iskambju reċiproku ta’ informazzjoni u l-għoti ta’ assistenza fil-kuntest tal-attivitajiet superviżorji.

(68)Sabiex jiġu kkwantifikati u kkwalifikati aktar il-kriterji ta’ deżinjazzjoni għal fornituri terzi ta’ servizzi kritiċi tal-ICT u biex jiġu armonizzati t-tariffi ta’ sorveljanza, is-setgħa li jiġu adottati atti skont l-Artikolu 290 tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea jenħtieġ li tiġi ddelegata lill-Kummissjoni fir-rigward ta’: speċifikazzjoni ulterjuri tal-impatt sistemiku li falliment ta’ fornitur terz tal-ICT jista’ jkollu fuq l-entitajiet finanzjarji li jservi, l-għadd ta’ istituzzjonijiet globali sistemikament importanti (G-SIIs) jew istituzzjonijiet oħra sistemikament importanti (O-SIIs) li jiddependu fuq il-fornitur terz ta’ servizzi tal-ICT rispettiv, l-għadd ta’ fornituri terzi ta’ servizzi tal-ICT attivi f’suq speċifiku, il-kostijiet tal-migrazzjoni lejn fornitur terz ta’ servizzi tal-ICT ieħor, l-għadd ta’ Stati Membri li fihom il-fornitur terz ta’ servizzi tal-ICT rilevanti jipprovdi servizzi u li fihom entitajiet finanzjarji li jużaw il-fornitur terz tal-ICT rilevanti qed joperaw, kif ukoll l-ammont tat-tariffi tas-sorveljanza u l-mod li dawn jitħallsu.

Huwa partikolarment importanti li l-Kummissjoni twettaq konsultazzjonijiet xierqa matul ix-xogħol tagħha ta’ tħejjija, ukoll fil-livell ta’ esperti, u li dawk il-konsultazzjonijiet jiġu mwettqa f’konformità mal-prinċipji stipulati fil-Ftehim Interistituzzjonali tat-13 ta’ April 2016 dwar it-Tfassil Aħjar tal-Liġijiet 40 . B’mod partikolari, biex tiġi żgurata parteċipazzjoni ugwali fit-tħejjija tal-atti delegati, il-Parlament Ewropew u l-Kunsill jirċievu d-dokumenti kollha fl-istess ħin li jirċevuhom l-esperti tal-Istati Membri, u l-esperti tagħhom ikollhom aċċess sistematiku għal-laqgħat tal-gruppi tal-esperti tal-Kummissjoni li jittrattaw it-tħejjija tal-atti delegati.

(69)Billi dan ir-Regolament, flimkien mad-Direttiva (UE) 20xx/xx tal-Parlament Ewropew u tal-Kunsill, 41 jinvolvi konsolidazzjoni tad-dispożizzjonijiet dwar il-ġestjoni tar-riskju tal-ICT li jkopru diversi regolamenti u direttivi tal-acquis tal-Unjoni dwar is-servizzi finanzjarji, inklużi r-Regolamenti (KE) Nru 1060/2009, (UE) Nru 648/2012, (UE) Nru 600/2014 u (UE) Nru 909/2014, sabiex tiġi żgurata konsistenza sħiħa, jenħtieġ li dawk ir-Regolamenti jiġu emendati biex jiġi ċċarat li d-dispożizzjonijiet rilevanti relatati mar-riskju tal-ICT huma stipulati f’dan ir-Regolament.

L-istandards tekniċi jenħtieġ li jiżguraw armonizzazzjoni konsistenti tar-rekwiżiti stabbiliti f’dan ir-Regolament. Bħala korpi b’kompetenza esperta speċjalizzata ħafna, l-ASE għandhom jingħataw il-mandat li jiżviluppaw abbozzi ta’ standards tekniċi regolatorji li ma jinvolvux għażliet ta’ politika, biex jiġu ppreżentati lill-Kummissjoni. Jenħtieġ li jiġu żviluppati standards tekniċi regolatorji fl-oqsma tal-ġestjoni tar-riskju tal-ICT, ir-rappurtar, l-ittestjar u r-rekwiżiti ewlenin għal monitoraġġ tajjeb tar-riskju ta’ partijiet terzi tal-ICT.

(70)Huwa partikolarment importanti li l-Kummissjoni twettaq konsultazzjonijiet xierqa matul ix-xogħol ta’ tħejjija tagħha, inkluż fil-livell tal-esperti. Jenħtieġ li l-Kummissjoni u l-ASE jiżguraw li dawk l-istandards u r-rekwiżiti jkunu jistgħu jiġu applikati mill-entitajiet finanzjarji kollha b’mod li jkun proporzjonat man-natura, l-iskala u l-kumplessità ta’ dawk l-entitajiet u l-attivitajiet tagħhom.

(71)Sabiex tiġi ffaċilitata l-komparabbiltà tar-rapporti dwar inċidenti kbar relatati mal-ICT u biex tiġi żgurata t-trasparenza dwar l-arranġamenti kuntrattwali għall-użu tas-servizzi tal-ICT ipprovduti minn fornituri terzi ta’ servizzi tal-ICT, jenħtieġ li l-ASE jingħataw il-mandat jiżviluppaw abbozz ta’ standards tekniċi ta’ implimentazzjoni li jistabbilixxu mudelli, formoli u proċeduri standardizzati għall-entitajiet finanzjarji biex jirrapportaw inċident kbir relatat mal-ICT, kif ukoll mudelli standardizzati għar-reġistrazzjoni ta’ informazzjoni. Meta jkunu qed jiżviluppaw dawk l-istandards, l-ASE jenħtieġ li jqisu d-daqs u l-kumplessità tal-entitajiet finanzjarji, kif ukoll in-natura u l-livell ta’ riskju tal-attivitajiet tagħhom. Il-Kummissjoni jenħtieġ li tingħata s-setgħa tadotta dawk l-istandards tekniċi ta’ implimentazzjoni permezz ta’ atti ta’ implimentazzjoni skont l-Artikolu 291 tat-TFUE u skont l-Artikolu 15 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010, rispettivament. Peress li diġà ġew speċifikati aktar rekwiżiti permezz ta’ atti delegati u ta’ implimentazzjoni bbażati fuq standards tekniċi regolatorji u tekniċi ta’ implimentazzjoni fir-Regolamenti (KE) Nru 1060/2009, (UE) Nru 648/2012, (UE) Nru 600/2014 u (UE) Nru 909/2014, rispettivament, huwa xieraq li l-ASE jingħataw mandat, individwalment jew b’mod konġunt permezz tal-Kumitat Konġunt, biex jissottomettu standards tekniċi regolatorji u ta’ implimentazzjoni lill-Kummissjoni għall-adozzjoni ta’ atti delegati u ta’ implimentazzjoni li jittrasferixxu u jaġġornaw ir-regoli eżistenti tal-ġestjoni tar-riskju tal-ICT.

(72)Dan l-eżerċizzju se jinvolvi l-emenda sussegwenti tal-atti delegati u ta’ implimentazzjoni eżistenti adottati f’oqsma differenti tal-leġiżlazzjoni dwar is-servizzi finanzjarji. Il-kamp ta’ applikazzjoni tal-artikoli dwar ir-riskju operazzjonali li fuqhom is-setgħat mogħtija f’dawk l-atti kienu taw il-mandat għall-adozzjoni ta’ atti delegati u ta’ implimentazzjoni jenħtieġ li jiġi mmodifikat bl-għan li d-dispożizzjonijiet kollha li jkopru r-reżiljenza operazzjonali diġitali li llum huma parti minn dawk ir-regolamenti jiġu ttrasferiti f’dan ir-Regolament.

(73)Billi l-objettiv ta’ dan ir-Regolament, jiġifieri li jinkiseb livell għoli ta’ reżiljenza operazzjonali diġitali applikabbli għall-entitajiet finanzjarji kollha, ma jistax jintlaħaq b’mod suffiċjenti mill-Istati Membri minħabba li jirrikjedi l-armonizzazzjoni ta’ ammont kbir ta’ regoli differenti, li bħalissa jeżistu jew f’xi atti tal-Unjoni, jew inkella fis-sistemi legali tad-diversi Stati Membri, iżda minflok jista’, minħabba l-iskala u l-effetti tiegħu, jintlaħaq aħjar fil-livell tal-Unjoni, din tal-aħħar tista’ tadotta miżuri f’konformità mal-prinċipju ta’ sussidjarjetà kif stabbilit fl-Artikolu 5 tat-Trattat dwar l-Unjoni Ewropea. F’konformità mal-prinċipju tal-proporzjonalità, kif stabbilit f’dak l-Artikolu, dan ir-Regolament ma jmurx lil hinn minn dak li huwa neċessarju sabiex jintlaħaq dak l-objettiv.

ADOTTAW DAN IR-REGOLAMENT:

KAPITOLU I

Dispożizzjonijiet ġenerali

Artikolu 1

Suġġett

1.Dan ir-Regolament jistabbilixxi r-rekwiżiti uniformi li ġejjin dwar is-sigurtà tan-netwerks u tas-sistemi ta’ informazzjoni li jappoġġjaw il-proċessi tan-negozju tal-entitajiet finanzjarji meħtieġa biex jinkiseb livell komuni għoli ta’ reżiljenza operazzjonali diġitali, kif ġej:

(a)ir-rekwiżiti applikabbli għall-entitajiet finanzjarji b’rabta ma’:

–il-ġestjoni tar-riskju tat-Teknoloġija tal-Informazzjoni u tal-Komunikazzjoni (ICT);

–ir-rapportar ta’ inċidenti kbar relatati mal-ICT lill-awtoritajiet kompetenti;

–l-ittestjar tar-reżiljenza operazzjonali diġitali;

–il-kondiviżjoni tal-informazzjoni u tal-intelliġenza b’rabta mat-theddid ċibernetiku u l-vulnerabbiltajiet;

–il-miżuri mill-entitajiet finanzjarji għal ġestjoni tajba tar-riskju ta’ parti terza tal-ICT;

(b)ir-rekwiżiti fir-rigward tal-arranġamenti kuntrattwali konklużi bejn il-fornituri terzi ta’ servizzi tal-ICT u l-entitajiet finanzjarji;

(c)il-qafas ta’ sorveljanza għall-fornituri terzi kritiċi ta’ servizzi tal-ICT meta jipprovdu servizzi lill-entitajiet finanzjarji;

(d)ir-regoli dwar il-kooperazzjoni bejn l-awtoritajiet kompetenti u r-regoli dwar is-superviżjoni u l-infurzar mill-awtoritajiet kompetenti b’rabta mal-kwistjonijiet kollha koperti minn dan ir-Regolament.

2.B’rabta mal-entitajiet finanzjarji identifikati bħala operaturi ta’ servizzi essenzjali skont ir-regoli nazzjonali li jittrasponu l-Artikolu 5 tad-Direttiva (UE) 2016/1148, dan ir-Regolament għandu jitqies bħala att legali tal-Unjoni speċifiku għas-settur għall-finijiet tal-Artikolu 1(7) ta’ dik id-Direttiva.

Artikolu 2

Kamp ta’ applikazzjoni personali

1.Dan ir-Regolament japplika għall-entitajiet li ġejjin:

(a)istituzzjonijiet ta’ kreditu,

(b)istituzzjonijiet ta’ pagament,

(c)istituzzjonijiet tal-flus elettroniċi,

(d)ditti ta’ investiment,

(e)fornituri ta’ servizzi ta’ kriptoassi, emittenti ta’ kriptoassi, emittenti ta’ tokens irreferenzjati ma’ assi u emittenti ta’ tokens irreferenzjati ma’ assi sinifikanti,

(f)depożitorji ċentrali tat-titoli,

(g)kontropartijiet ċentrali,

(h)ċentri tan-negozjar,

(i)repożitorju tat-tranżazzjonijiet,

(j)maniġers ta’ fondi ta’ investiment alternattivi,

(k)kumpaniji tal-immaniġġjar,

(l)fornituri ta’ servizzi ta’ rapportar tad-data,

(m)impriżi tal-assigurazzjoni u tar-riassigurazzjoni,

(n)intermedjarji tal-assigurazzjoni, intermedjarji tar-riassigurazzjoni u intermedjarji tal-assigurazzjoni anċillari,

(o)istituzzjonijiet għall-provvista ta’ rtirar okkupazzjonali,

(p)aġenziji ta’ klassifikazzjoni tal-kreditu,

(q)awdituri statutorji u ditti tal-awditjar,

(r)amministraturi ta’ parametri referenzjarji kritiċi,

(s)fornituri ta’ servizzi ta’ finanzjament kollettiv,

(t)repożitorji tat-titolizzazzjoni,

(u)fornituri terzi ta’ servizzi tal-ICT.

2.Għall-finijiet ta’ dan ir-Regolament, l-entitajiet imsemmija fil-paragrafu (a) sa (t) għandhom kollettivament jissejħu “entitajiet finanzjarji”.

Artikolu 3

Definizzjonijiet

Għall-finijiet ta’ dan ir-Regolament, għandhom japplikaw id-definizzjonijiet li ġejjin:

(1)“reżiljenza operazzjonali diġitali” tfisser il-kapaċità ta’ entità finanzjarja li tibni, tiggarantixxi u tirrieżamina l-integrità operazzjonali tagħha minn perspettiva teknoloġika billi tiżgura direttament, jew indirettament permezz tal-użu ta’ servizzi ta’ fornituri terzi tal-ICT, il-firxa sħiħa ta’ kapaċitajiet relatati mal-ICT meħtieġa biex tiġi indirizzata s-sigurtà tan-netwerks u tas-sistemi tal-informazzjoni li l-entità finanzjarja tagħmel użu minnhom, u li jsostnu l-forniment kontinwu ta’ servizzi finanzjarji u l-kwalità tagħhom;

(2)“netwerk u sistema ta’ informazzjoni” tfisser netwerk u sistema ta’ informazzjoni kif definiti fil-punt (1) tal-Artikolu 4 tad-Direttiva (UE) Nru 2016/1148;

(3)“sigurtà tan-netwerks u tas-sistemi tal-informazzjoni” tfisser is-sigurtà tan-netwerks u tas-sistemi ta’ informazzjoni kif definit fil-punt (2) tal-Artikolu 4 tad-Direttiva (UE) Nru 2016/1148;

(4)“riskju tal-ICT” tfisser kwalunkwe ċirkostanza identifikabbli b’mod raġonevoli b’rabta mal-użu ta’ netwerks u sistemi ta’ informazzjoni, - inklużi ħsara, eċċess tal-kapaċità, falliment, tfixkil, indeboliment, użu ħażin, telf jew tip ieħor ta’ event malizzjuż jew mhux malizzjuż - li, jekk timmaterjalizza, tista’ tikkomprometti s-sigurtà tan-netwerks u tas-sistemi ta’ informazzjoni, ta’ kwalunkwe għodda jew proċess dipendenti fuq it-teknoloġija, tal-operat u tal-funzjonament tal-proċess, jew tal-forniment ta’ servizzi u, b’hekk, tikkomprometti l-integrità jew id-disponibbiltà ta’ data, softwer jew kwalunkwe komponent ieħor ta’ servizzi u infrastruttura tal-ICT, jew tikkawża ksur tal-kunfidenzjalità, ħsara lill-infrastruttura fiżika tal-ICT jew effetti avversi oħrajn;

(5)“assi ta’ informazzjoni” tfisser ġabra ta’ informazzjoni, tanġibbli jew intanġibbli, li timmerita protezzjoni;

(6)“inċident relatat mal-ICT” tfisser okkorrenza identifikata mhux prevista fin-netwerk u fis-sistemi ta’ informazzjoni, kemm jekk tirriżulta minn attività malizzjuża kif ukoll jekk le, li tikkomprometti s-sigurtà tan-netwerk u tas-sistemi ta’ informazzjoni, tal-informazzjoni li tali sistemi jipproċessaw, jaħżnu jew jittrażmettu, jew li jkollha effetti avversi fuq id-disponibbiltà, il-kunfidenzjalità, il-kontinwità jew l-awtentiċità tas-servizzi finanzjarji pprovduti mill-entità finanzjarja;

(7)“inċident kbir relatat mal-ICT” tfisser inċident relatat mal-ICT b’impatt avvers potenzjalment għoli fuq in-netwerk u s-sistemi ta’ informazzjoni li jsostnu funzjonijiet kritiċi tal-entità finanzjarja;

(8)“theddida ċibernetika” tfisser “theddida ċibernetika” kif definit fil-punt (8) tal-Artikolu 2 tar-Regolament (UE) 2019/881 tal-Parlament Ewropew u tal-Kunsill 42 ;

(9)“attakk ċibernetiku” tfisser inċident malizzjuż relatat mal-ICT permezz ta’ tentattiv biex jinqered, jiġi espost, jinbidel, jiġi ddiżattivat, jinsteraq jew jinkiseb aċċess mhux awtorizzat għal, jew isir użu mhux awtorizzat minn assi, imwettaq minn kwalunkwe attur ta’ theddida;

(10)“intelligence dwar it-theddid” tfisser informazzjoni li tkun ġiet aggregata, ittrasformata, analizzata, interpretata jew arrikkita biex tipprovdi l-kuntest meħtieġ għat-teħid tad-deċiżjonijiet u li twassal għal fehim rilevanti u suffiċjenti biex jiġi mitigat l-impatt ta’ inċident relatat mal-ICT jew ta’ theddida ċibernetika, inklużi d-dettalji tekniċi tal-attakk ċibernetiku, dawk responsabbli għall-attakk u l-modus operandi u l-motivazzjonijiet tagħhom;

(11)“difiża profonda” tfisser strateġija relatata mal-ICT li tintegra n-nies, il-proċessi u t-teknoloġija biex tistabbilixxi varjetà ta’ protezzjonijiet mifruxa fuq bosta saffi u dimensjonijiet tal-entità;

(12)“vulnerabbiltà” tfisser dgħufija, suxxettibbiltà jew difett ta’ assi, sistema, proċess jew kontroll li jistgħu jiġu sfruttati minn theddida;

(13)“ittestjar tal-penetrazzjoni mmexxi mit-theddid” tfisser qafas li jimita t-tattiċi, it-tekniki u l-proċeduri ta’ atturi ta’ theddid fil-ħajja reali perċepiti bħala li jippreżentaw theddida ċibernetika ġenwina, u li jwettaq test ikkontrollat, personalizzat u mmexxi mill-intelligencea (it-tim l-aħmar) tas-sistemi kritiċi ta’ produzzjoni waqt l-operat, tal-istituzzjoni;

(14)“riskju ta’ parti terza tal-ICT” tfisser riskju tal-ICT li jista’ jinħoloq għal entità finanzjarja b’rabta mal-użu minnha ta’ servizzi tal-ICT ipprovduti minn fornituri terzi ta’ servizzi tal-ICT jew minn sottokuntratturi ulterjuri ta’ dawn tal-aħħar;

(15)“fornitur terz ta’ servizzi tal-ICT” tfisser impriża li tipprovdi servizzi diġitali u tad-data, inklużi fornituri ta’ servizzi ta’ cloud computing, softwer, servizzi ta’ analiżi tad-data, ċentri tad-data, iżda esklużi fornituri ta’ komponenti ta’ ħardwer u impriżi awtorizzati skont il-liġi tal-Unjoni li jipprovdu servizzi ta’ komunikazzjoni elettronika kif definit fil-punt (4) tal-Artikolu 2 tad-Direttiva (UE) 2018/1972 tal-Parlament Ewropew u tal-Kunsill 43 ;

(16)“Servizzi tal-ICT” tfisser servizzi diġitali u tad-data pprovduti permezz tas-sistemi tal-ICT lil utent intern jew estern wieħed jew aktar, inklużi s-servizzi ta’ forniment tad-data, dħul tad-data, ħażna tad-data, ipproċessar u rapportar tad-data, monitoraġġ tad-data, kif ukoll is-servizzi ta’ appoġġ għad-deċiżjonijiet u n-negozju abbażi tad-data;

(17)“funzjoni kritika jew importanti” tfisser funzjoni li jekk tieqaf, tkun difettuża jew tfalli tfixkel materjalment il-konformità kontinwa ta’ entità finanzjarja mal-kundizzjonijiet u l-obbligi tal-awtorizzazzjoni tagħha, jew mal-obbligi l-oħrajn tagħha skont il-leġiżlazzjoni applikabbli dwar is-servizzi finanzjarji, jew il-prestazzjoni finanzjarja tagħha, jew inkella s-solidità jew il-kontinwità tas-servizzi u tal-attivitajiet tagħha;

(18)“fornitur terz kritiku ta’ servizzi tal-ICT” tfisser fornitur terz ta’ servizzi tal-ICT maħtur f’konformità mal-Artikolu 29 u soġġett għall-Qafas ta’ Sorveljanza msemmi fl-Artikoli minn 30 sa 37;

(19)“fornitur terz ta’ servizzi tal-ICT stabbilit f’pajjiż terz” tfisser fornitur terz ta’ servizzi tal-ICT li jkun persuna ġuridika stabbilita f’pajjiż terz, li ma jkunx waqqaf negozju/preżenza fl-Unjoni, u li jkun daħal f’arranġament kuntrattwali ma’ entità finanzjarja għall-forniment ta’ servizzi tal-ICT;

(20)“sottokuntrattur tal-ICT stabbilit f’pajjiż terz” tfisser sottokuntrattur tal-ICT li jkun persuna ġuridika stabbilita f’pajjiż terz, li ma jkunx waqqaf negozju/preżenza fl-Unjoni u li jkun daħal f’arranġament kuntrattwali ma’ fornitur terz ta’ servizzi tal-ICT, jew ma’ fornitur terz ta’ servizzi tal-ICT stabbilit f’pajjiż terz;

(21)“riskju ta’ konċentrazzjoni tal-ICT” tfisser skopertura għal fornituri terzi kritiċi ta’ servizzi tal-ICT individwali jew multipli li toħloq grad ta’ dipendenza fuq tali fornituri b’mod li n-nuqqas ta’ disponibbiltà, il-falliment jew tip ieħor ta’ nuqqas ta’ dawn tal-aħħar jistgħu potenzjalment jipperikolaw il-kapaċità ta’ entità finanzjarja u, fl-aħħar mill-aħħar, tas-sistema finanzjarja tal-Unjoni kollha kemm hi, milli twettaq funzjonijiet kritiċi, jew iwassluha biex iġġarrab tipi oħrajn ta’ effetti avversi, inkluż telf kbir;

(22)“korp maniġerjali” tfisser korp maniġerjali kif definit fil-punt (36) tal-Artikolu 4(1) tad-Direttiva 2014/65/UE, fil-punt (7) tal-Artikolu 3(1) tad-Direttiva 2013/36/UE, fil-punt (s) tal-Artikolu 2(1) tad-Direttiva 2009/65/KE, fil-punt (45) tal-Artikolu 2(1) tar-Regolament (UE) Nru 909/2014, fil-punt (20) tal-Artikolu 3(1) tar-Regolament (UE) 2016/1011 tal-Parlament Ewropew u tal-Kunsill 44 , fil-punt (u) tal-Artikolu 3(1) tar-Regolament (UE) 20xx/xx tal-Parlament Ewropew u tal-Kunsill 45 [MICA] jew il-persuni ekwivalenti li effettivament imexxu l-entità jew għandhom funzjonijiet ewlenin f’konformità mal-leġiżlazzjoni nazzjonali jew tal-Unjoni rilevanti;

(23)‘istituzzjoni ta’ kreditu’ tfisser istituzzjoni tal-kreditu kif definit fil-punt (1) tal-Artikolu 4(1) tar-Regolament (UE) Nru 575/2013 tal-Parlament Ewropew u tal-Kunsill 46 ;

(24)“ditta tal-investiment” tfisser ditta ta’ investiment kif definit fil-punt (1) tal-Artikolu 4(1) tad-Direttiva 2014/65/UE;

(25)“istituzzjoni ta’ pagament” tfisser istituzzjoni ta’ pagament kif definit fil-punt (d) tal-Artikolu 1(1) tad-Direttiva (UE) 2015/2366;

(26)‘istituzzjoni tal-flus elettroniċi’ tfisser istituzzjoni tal-flus elettroniċi kif definit fil-punt (1) tal-Artikolu 2 tad-Direttiva 2009/110/KE tal-Parlament Ewropew u tal-Kunsill 47 ;

(27)“kontroparti ċentrali” tfisser kontroparti ċentrali kif definit fil-punt (1) tal-Artikolu 2 tar-Regolament (UE) Nru 648/2012;

(28)“repożitorju tat-tranżazzjonijiet” tfisser repożitorju tad-data dwar it-tranżazzjonijiet kif definit fil-punt (2) tal-Artikolu 2 tar-Regolament (UE) Nru 648/2012;

(29)“depożitorju ċentrali tat-titoli” tfisser depożitorju ċentrali tat-titoli kif definit fil-punt (1) tal-Artikolu 2(1) tar-Regolament 909/2014;

(30)“ċentru tan-negozjar” ifisser ċentru ta’ negozjar kif definit fil-punt (24) tal-Artikolu 4(1) tad-Direttiva 2014/65/UE;

(31)“maniġer ta’ fondi ta’ investiment alternattiv” tfisser AIFM kif definit fil-punt (b) tal-Artikolu 4(1) tad-Direttiva 2011/61/UE;

(32)“kumpanija tal-immaniġġjar” tfisser kumpanija tal-maniġment kif definit fil-punt (b) tal-Artikolu 2(1) tad-Direttiva 2009/65/KE;

(33)“fornitur ta’ servizz ta’ rapportar tad-data” tfisser fornitur ta’ servizz ta’ rapportar tad-data kif definit fil-punt (63) tal-Artikolu (4)(1) tad-Direttiva 2014/65/UE;

(34)“impriża tal-assigurazzjoni” tfisser impriża tal-assigurazzjoni kif definit fil-punt (1) tal-Artikolu 13 tad-Direttiva 2009/138/KE;

(35)“impriża tar-riassigurazzjoni” tfisser impriża tar-riassigurazzjoni kif definit fil-punt (4) tal-Artikolu 13 tad-Direttiva 2009/138/KE;

(36)“intermedjarju tal-assigurazzjoni” tfisser intermedjarju tal-assigurazzjoni kif definit fil-punt (3) tal-Artikolu 2 tad-Direttiva (UE) 2016/97;

(37)“intermedjarju tal-assigurazzjoni anċillari” tfisser intermedjarju tal-assigurazzjoni anċillari kif definit fil-punt (4) tal-Artikolu 2 tad-Direttiva (UE) 2016/97;

(38)“intermedjarju tar-riassigurazzjoni” tfisser intermedjarju tar-riassigurazzjoni kif definit fil-punt (5) tal-Artikolu 2 tad-Direttiva (UE) 2016/97;

(39)“istituzzjoni għall-provvista ta’ rtirar okkupazzjonali” tfisser istituzzjoni għall-provvista ta’ rtirar okkupazzjonali kif definit fil-punt (6) tal-Artikolu 1 tad-Direttiva 2016/2341;

(40)“aġenzija ta’ klassifikazzjoni tal-kreditu” tfisser aġenzija ta’ gradazzjoni tal-kreditu kif definit fil-punt (a) tal-Artikolu 3(1) tar-Regolament (KE) Nru 1060/2009;

(41)“awditur statutorju” tfisser awditur statutorju kif definit fil-punt (2) tal-Artikolu 2 tad-Direttiva 2006/43/KE;

(42)“ditta tal-awditjar” tfisser kumpanija tal-verifika kif definita fil-punt (3) tal-Artikolu 2 tad-Direttiva 2006/43/KE;

(43)“fornitur ta’ servizzi ta’ kriptoassi” tfisser fornitur ta’ servizzi ta’ kriptoassi kif definit fil-punt (n) tal-Artikolu 3(1) tar-Regolament (UE) 202x/xx [PO: daħħal ir-referenza għar-Regolament MICA];

(44)“emittent ta’ kriptoassi” tfisser emittent ta’ kriptoassi kif definit fil-punt (h) tal-Artikolu 3(1) ta’ [ĠU: daħħal ir-referenza għar-Regolament MICA];

(45)“emittent ta’ tokens irreferenzjati ma’ assi” tfisser emittent ta’ tokens irreferenzjati ma’ assi kif definit fil-punt (i) tal-Artikolu 3(1) ta’ [ĠU: daħħal ir-referenza għar-Regolament MICA];

(46)“emittent ta’ tokens irreferenzjati ma’ assi sinifikanti” tfisser emittent ta’ tokens irreferenzjati ma’ assi sinifikanti kif definit fil-punt (j) tal-Artikolu 3(1) ta’ [ĠU: daħħal ir-referenza għar-Regolament MICA];

(47)“amministratur ta’ parametri referenzjarji kritiċi” tfisser amministratur ta’ parametri referenzjarji kritiċi kif definit fil-punt (x) tal-Artikolu x tar-Regolament xx/202x [ĠU: daħħal ir-referenza għar-Regolament dwar il-Parametri Referenzjarji];

(48)“fornitur ta’ servizzi ta’ finanzjament kollettiv” tfisser fornitur ta’ servizzi ta’ finanzjament kollettiv kif definit fil-punt (x) tal-Artikolu x tar-Regolament (UE) 202x/xx [PO: daħħal ir-referenza għar-Regolament dwar il-Finanzjament Kollettiv];

(49)“repożitorju tat-titolizzazzjoni” tfisser repożitorju tat-titolizzazzjoni kif definit fil-punt (23) tal-Artikolu 2 tar-Regolament (UE) 2017/2402;

(50)“mikrointrapriża” tfisser entità finanzjarja kif definit fl-Artikolu 2(3) tal-Anness tar-Rakkomandazzjoni 2003/361/KE.

KAPITOLU II

ĠESTJONI TAR-RISKJU TAL-ICT

TAQSIMA I

Artikolu 4

Governanza u organizzazzjoni

1.L-entitajiet finanzjarji għandu jkollhom fis-seħħ oqfsa interni ta’ governanza u kontroll li jiżguraw ġestjoni effettiva u prudenti tar-riskji kollha tal-ICT.

2.Il-korp maniġerjali tal-entità finanzjarja għandu jiddefinixxi, japprova, jissorvelja u jkun akkontabbli għall-implimentazzjoni tal-arranġamenti kollha relatati mal-qafas ta’ ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 5(1):

Għall-finijiet tal-ewwel subparagrafu, il-korp maniġerjali għandu:

(a)jerfa’ r-responsabbiltà finali għall-ġestjoni tar-riskji tal-ICT tal-entità finanzjarja;

(b)jistabbilixxi rwoli u responsabbiltajiet ċari għall-funzjonijiet kollha relatati mal-ICT;

(c)jiddetermina l-livell ta’ tolleranza tar-riskju xieraq tar-riskju tal-ICT tal-entità finanzjarja, kif imsemmi fil-punt (b) tal-Artikolu 5(9);

(d)japprova, jissorvelja u jirrevedi perjodikament l-implimentazzjoni tal-Politika dwar il-Kontinwità tal-Operat tal-ICT u l-Pjan ta’ Rkupru minn Diżastri tal-ICT tal-entità finanzjarja msemmija, rispettivament, fil-paragrafi 1 u 3 tal-Artikolu 10;

(e)japprova u jirrieżamina perjodikament il-pjanijiet tal-awditi tal-ICT, l-awditi tal-ICT u l-modifiki materjali għalihom;

(f)jalloka u jirrevedi perjodikament baġit xieraq biex jissodisfa l-ħtiġijiet ta’ reżiljenza operazzjonali diġitali tal-entità finanzjarja fir-rigward tat-tipi kollha ta’ riżorsi, inkluż taħriġ dwar ir-riskji u l-ħiliet tal-ICT għall-persunal rilevanti kollu;

(g)japprova u jirrieżamina perjodikament il-politika tal-entità finanzjarja dwar l-arranġamenti rigward l-użu tas-servizzi tal-ICT ipprovduti minn fornituri terzi ta’ servizzi tal-ICT;

(h)ikun debitament informat dwar l-arranġamenti konklużi ma’ fornituri terzi ta’ servizzi tal-ICT dwar l-użu tas-servizzi tal-ICT, dwar kwalunkwe bidla materjali ppjanata rilevanti fir-rigward tal-fornituri terzi ta’ servizzi tal-ICT, u dwar l-impatt potenzjali ta’ tali bidliet fuq il-funzjonijiet kritiċi jew importanti soġġetti għal dawk l-arranġamenti, inkluż ir-riċeviment ta’ sommarju tal-analiżi tar-riskju biex jiġi vvalutat l-impatt ta’ dawn il-bidliet;

(i)ikun infurmat kif xieraq dwar inċidenti relatati mal-ICT u l-impatt tagħhom u dwar ir-rispons, l-irkupru u l-miżuri korrettivi.

3.L-entitajiet finanzjarji għajr il-mikrointrapriżi għandhom jistabbilixxu rwol biex jimmonitorjaw l-arranġamenti konklużi mal-fornituri terzi ta’ servizzi tal-ICT dwar l-użu tas-servizzi tal-ICT, jew għandhom jaħtru membru tal-maniġment superjuri bħala responsabbli biex jissorvelja l-iskopertura għar-riskju relatata u d-dokumentazzjoni rilevanti.

4.Il-membri tal-korp maniġerjali għandhom, fuq bażi regolari, isegwu taħriġ speċifiku biex jiksbu u jżommu aġġornati b’għarfien u ħiliet suffiċjenti biex jifhmu u jivvalutaw ir-riskji tal-ICT u l-impatt tagħhom fuq l-operazzjonijiet tal-entità finanzjarja.

TAQSIMA II

Artikolu 5

Qafas tal-ġestjoni tar-riskju tal-ICT

1.L-entitajiet finanzjarji għandu jkollhom qafas ta’ ġestjoni tar-riskju tal-ICT sod, komprensiv u ddokumentat sewwa, li jippermettilhom jindirizzaw ir-riskju tal-ICT malajr, b’mod effiċjenti u komprensiv, u jiżguraw livell għoli ta’ reżiljenza operazzjonali diġitali li taqbel mad-daqs u mal-kumplessità tal-ħtiġijiet tan-negozju tagħhom.

2.Il-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fil-paragrafu 1 għandu jinkludi strateġiji, politiki, proċeduri, protokolli u għodod tal-ICT li huma meħtieġa biex jipproteġu kif dovut u b’mod effettiv il-komponenti fiżiċi u l-infrastrutturi rilevanti kollha, inklużi l-ħardwer tal-kompjuter, is-servers, kif ukoll il-bini rilevanti kollu, iċ-ċentri tad-data u ż-żoni sensittivi magħżula, biex jiġi żgurat li dawk l-elementi fiżiċi kollha jkunu protetti b’mod adegwat mir-riskji inklużi l-ħsara u l-aċċess jew l-użu mhux awtorizzat.

3.L-entitajiet finanzjarji għandhom jimminimizzaw l-impatt tar-riskju tal-ICT billi jużaw strateġiji, politiki, proċeduri, protokolli u għodod xierqa kif determinat fil-qafas tal-ġestjoni tar-riskju tal-ICT. Huma għandhom jipprovdu informazzjoni kompleta u aġġornata dwar ir-riskji tal-ICT, kif meħtieġ mill-awtoritajiet kompetenti.

4.Bħala parti mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fil-paragrafu 1, l-entitajiet finanzjarji għajr il-mikrointrapriżi għandhom jimplimentaw sistema ta’ ġestjoni tas-sigurtà tal-informazzjoni bbażata fuq standards internazzjonali rikonoxxuti u f’konformità mal-gwida superviżorja u għandhom jirreveduha regolarment.

5.L-entitajiet finanzjarji għajr il-mikrointrapriżi għandhom jiżguraw segregazzjoni xierqa tal-funzjonijiet tal-ġestjoni tal-ICT, tal-funzjonijiet ta’ kontroll u tal-funzjonijiet tal-awditjar intern, skont it-tliet linji tal-mudell ta’ difiża, jew mudell intern ta’ kontroll u tal-ġestjoni tar-riskji.

6.Il-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fil-paragrafu 1 għandu jiġi ddokumentat u rivedut mill-inqas darba fis-sena, kif ukoll mal-okkorrenza ta’ inċidenti kbar relatati mal-ICT, u wara struzzjonijiet superviżorji jew konklużjonijiet derivati mill-ittestjar tar-reżiljenza operazzjonali diġitali jew il-proċessi tal-awditjar rilevanti. Huwa għandu jittejjeb kontinwament abbażi tal-lezzjonijiet miksuba mill-implimentazzjoni u l-monitoraġġ.

7.Il-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fil-paragrafu 1 għandu jiġi awditjat fuq bażi regolari minn awdituri tal-ICT li jkollhom għarfien, ħiliet u għarfien espert suffiċjenti fir-riskju tal-ICT. Il-frekwenza u l-enfasi tal-awditi tal-ICT għandhom ikunu proporzjonati mar-riskji tal-ICT tal-entità finanzjarja.

8.Għandu jiġi stabbilit proċess ta’ segwitu formali, inklużi regoli għall-verifika u r-rimedju f’waqthom ta’ sejbiet kritiċi tal-awditjar tal-ICT, b’kont meħud tal-konklużjonijiet mir-rieżami tal-awditi, filwaqt li jitqiesu kif xieraq in-natura, l-iskala u l-kumplessità tas-servizzi u l-attivitajiet tal-entitajiet finanzjarji.

9.Il-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fil-paragrafu 1 għandu jinkludi strateġija ta’ reżiljenza diġitali li tistabbilixxi kif jiġi implimentat il-qafas. Għal dak l-għan, huwa għandu jinkludi l-metodi biex jiġi indirizzat ir-riskju tal-ICT u biex jintlaħqu l-objettivi speċifiċi tal-ICT, billi:

(a)jiġi spjegat kif il-qafas tal-ġestjoni tar-riskju tal-ICT jappoġġja l-istrateġija u l-objettivi tan-negozju tal-entità finanzjarja;

(b)jiġi stabbilit il-livell ta’ tolleranza tar-riskju għar-riskju tal-ICT, f’konformità mal-predispożizzjoni għar-riskju tal-entità finanzjarja, u tiġi analizzata t-tolleranza tal-impatt tat-tfixkil fl-ICT;

(c)jiġu stabbiliti objettivi ċari għas-sigurtà tal-informazzjoni;

(d)jiġu spjegati l-arkitettura ta’ referenza tal-ICT u kwalunkwe bidla meħtieġa biex jintlaħqu objettivi speċifiċi tan-negozju;

(e)jiġu deskritti l-mekkaniżmi differenti implimentati biex jindividwaw, jipproteġu u jipprevjenu l-impatti ta’ inċidenti relatati mal-ICT;

(f)jingħata l-għadd ta’ inċidenti kbar relatati mal-ICT irrapportati u tal-effettività tal-miżuri preventivi

(g)tiġi definita strateġija olistika b’diversi bejjiegħa tal-ICT fil-livell ta’ entità li turi d-dipendenzi ewlenin fuq il-fornituri terzi ta’ servizzi tal-ICT u tingħata spjegazzjoni tal-motiv wara t-taħlita tal-akkwist mingħand il-fornituri terzi ta’ servizzi

(h)l-implimentazzjoni tal-ittestjar tar-reżiljenza operazzjonali diġitali;

(i)id-deskrizzjoni ta’ strateġija ta’ komunikazzjoni f’każ ta’ inċidenti relatati mal-ICT.

10.Wara l-approvazzjoni tal-awtoritajiet kompetenti, l-entitajiet finanzjarji jistgħu jiddelegaw il-kompiti ta’ verifika tal-konformità mar-rekwiżiti tal-ġestjoni tar-riskju tal-ICT lil impriżi intragrupp jew esterni.

Artikolu 6
Sistemi, protokolli u għodod tal-ICT

1.L-entitajiet finanzjarji għandhom jużaw u jżommu sistemi, protokolli u għodod aġġornati tal-ICT, li jissodisfaw il-kundizzjonijiet li ġejjin:

(a)is-sistemi u l-għodod ikunu xierqa għan-natura, il-varjetà, il-kumplessità u d-daqs tal-operazzjonijiet li jappoġġjaw it-twettiq tal-attivitajiet tagħhom;

(b)ikunu affidabbli;

(c)ikollhom kapaċità suffiċjenti biex jipproċessaw b’mod preċiż id-data meħtieġa għat-twettiq tal-attivitajiet u l-forniment ta’ servizzi fil-ħin, u biex jittrattaw il-peak orders, il-messaġġi jew il-volumi tat-tranżazzjonijiet, kif meħtieġ, inkluż fil-każ tal-introduzzjoni ta’ teknoloġija ġdida;

(d)ikunu teknoloġikament reżiljenti biex jittrattaw b’mod adegwat il-ħtiġijiet addizzjonali tal-ipproċessar tal-informazzjoni kif meħtieġ f’kundizzjonijiet tas-suq taħt stress jew f’sitwazzjonijiet avversi oħrajn.

2.Meta l-entitajiet finanzjarji jużaw standards tekniċi rikonoxxuti internazzjonalment u prassi ewlenin tal-industrija dwar is-sigurtà tal-informazzjoni u l-kontrolli interni tal-ICT, huma għandhom jużaw dawk l-istandards u dawk il-prassi f’konformità ma’ kwalunkwe rakkomandazzjoni superviżorja rilevanti dwar l-inkorporazzjoni tagħhom.

Artikolu 7

Identifikazzjoni

1.Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 5(1), l-entitajiet finanzjarji għandhom jidentifikaw, jikklassifikaw u jiddokumentaw b’mod adegwat il-funzjonijiet tan-negozju kollha relatati mal-ICT, l-assi tal-informazzjoni li jappoġġjaw dawn il-funzjonijiet, u l-konfigurazzjonijiet tas-sistema tal-ICT u l-interkonnessjonijiet ma’ sistemi interni u esterni tal-ICT. L-entitajiet finanzjarji għandhom jirrieżaminaw kif meħtieġ, u mill-inqas darba fis-sena, l-adegwatezza tal-klassifikazzjoni tal-assi tal-informazzjoni u ta’ kwalunkwe dokumentazzjoni rilevanti.

2.L-entitajiet finanzjarji għandhom jidentifikaw, fuq bażi kontinwa, is-sorsi kollha tar-riskju tal-ICT, b’mod partikolari l-iskopertura għar-riskju għal u minn entitajiet finanzjarji oħrajn, u jivvalutaw it-theddid ċibernetiku u l-vulnerabbiltajiet tal-ICT rilevanti għall-funzjonijiet tan-negozju u l-assi tal-informazzjoni tagħhom relatati mal-ICT. L-entitajiet finanzjarji għandhom jirrieżaminaw fuq bażi regolari, u mill-inqas darba fis-sena, ix-xenarji tar-riskju li jħallu impatt fuqhom.

3.L-entitajiet finanzjarji għajr il-mikrointrapriżi għandhom iwettqu valutazzjoni tar-riskju fuq kull bidla kbira fin-netwerk u fl-infrastruttura tas-sistema ta’ informazzjoni, fil-proċessi jew fil-proċeduri li jaffettwaw il-funzjonijiet tagħhom, fil-proċessi ta’ appoġġ jew fl-assi tal-informazzjoni.

4.L-entitajiet finanzjarji għandhom jidentifikaw il-kontijiet kollha tas-sistemi tal-ICT, inklużi dawk fuq siti remoti, ir-riżorsi tan-netwerk u t-tagħmir tal-ħardwer, u għandhom jimmappjaw it-tagħmir fiżiku meqjus bħala kritiku. Huma għandhom jimmappjaw il-konfigurazzjoni tal-assi tal-ICT u r-rabtiet u l-interdipendenzi bejn l-assi differenti tal-ICT.

5.L-entitajiet finanzjarji għandhom jidentifikaw u jiddokumentaw il-proċessi kollha li jiddependu fuq fornituri terzi ta’ servizzi tal-ICT, u għandhom jidentifikaw l-interkonnessjonijiet ma’ fornituri terzi ta’ servizzi tal-ICT.

6.Għall-finijiet tal-paragrafi 1, 4 u 5, l-entitajiet finanzjarji għandhom iżommu u jaġġornaw regolarment l-inventarji rilevanti.

7.L-entitajiet finanzjarji għajr il-mikrointrapriżi għandhom fuq bażi regolari, u mill-inqas darba fis-sena, iwettqu valutazzjoni tar-riskju tal-ICT speċifika fuq is-sistemi tal-ICT miruta kollha, speċjalment qabel u wara l-konnessjoni ta’ teknoloġiji, applikazzjonijiet jew sistemi qodma u ġodda.

Artikolu 8

Protezzjoni u Prevenzjoni

1.Għall-finijiet ta’protezzjoni adegwata tas-sistemi tal-ICT u bl-għan li jiġu organizzati miżuri ta’ rispons, l-entitajiet finanzjarji għandhom jimmonitorjaw u jikkontrollaw kontinwament il-funzjonament tas-sistemi u tal-għodod tal-ICT u għandhom jimminimizzaw l-impatt ta’ dawn ir-riskji billi jużaw għodod, politiki u proċeduri xierqa tas-sigurtà tal-ICT.

2.L-entitajiet finanzjarji għandhom ifasslu, jakkwistaw u jimplimentaw strateġiji, politiki, proċeduri, protokolli u għodod tas-sigurtà tal-ICT li għandhom l-għan, b’mod partikolari, li jiżguraw ir-reżiljenza, il-kontinwità u d-disponibbiltà tas-sistemi tal-ICT, u jżommu standards għoljin ta’ sigurtà, kunfidenzjalità u integrità tad-data, kemm jekk tkun wieqfa, użata jew fi tranżitu.

3.Sabiex jintlaħqu l-objettivi msemmija fil-paragrafu 2, l-entitajiet finanzjarji għandhom jużaw teknoloġija u proċessi l-ogħla livell tal-ICT li:

(a) jiggarantixxu s-sigurtà tal-mezzi tat-trasferiment tal-informazzjoni;

(b)jimminimizzaw ir-riskju ta’ korruzzjoni jew telf ta’ data, aċċess mhux awtorizzat u tad-difetti tekniċi li jistgħu jfixklu l-attività tan-negozju;

(c) jipprevjenu t-tnixxija ta’ informazzjoni;

(d)jiżguraw li d-data tkun protetta minn amministrazzjoni ħażina jew riskji relatati mal-ipproċessar, inkluż żamma inadegwata ta’ rekords.

4.Bħala parti mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 5(1), l-entitajiet finanzjarji għandhom:

(a)jiżviluppaw u jiddokumentaw politika dwar is-sigurtà tal-informazzjoni li tiddefinixxi regoli li jipproteġu l-kunfidenzjalità, l-integrità u d-disponibbiltà tar-riżorsi tal-ICT, tad-data u tal-assi tal-informazzjoni tagħhom u tal-klijenti tagħhom;

(b)billi jsegwu approċċ ibbażat fuq ir-riskju, jistabbilixxu ġestjoni tajba tan-netwerk u tal-infrastruttura bl-użu ta’ tekniki, metodi u protokolli xierqa, inkluż billi jimplimentaw mekkaniżmi awtomatizzati biex jiżolaw l-assi tal-informazzjoni affettwati f’każ ta’ attakki ċibernetiċi;

(c)jimplimentaw politiki li jillimitaw l-aċċess fiżiku u virtwali għar-riżorsi u għad-data fis-sistema tal-ICT għal dak li huwa meħtieġ biss għall-funzjonijiet u l-attivitajiet leġittimi u approvati, u jistabbilixxu, għal dak l-għan, sett ta’ politiki, proċeduri u kontrolli li jindirizzaw il-privileġġi tal-aċċess u l-amministrazzjoni tajba tagħhom;

(d)jimplimentaw politiki u protokolli għal mekkaniżmi ta’ awtentikazzjoni b’saħħithom, ibbażati fuq standards rilevanti u sistemi ta’ kontroll dedikati biex jipprevjenu l-aċċess għal ċwievet kriptografiċi li bihom id-data tiġi kriptata abbażi tar-riżultati ta’ proċessi approvati ta’ klassifikazzjoni tad-data u ta’ valutazzjoni tar-riskju;

(e)jimplimentaw politiki, proċeduri u kontrolli għall-ġestjoni tal-bidliet fl-ICT, inklużi bidliet fis-softwer, fil-ħardwer, fil-komponenti tal-firmware, fis-sistema tas-sigurtà jew tal-bidliet fiha, li jkunu bbażati fuq approċċ ta’ valutazzjoni tar-riskju u bħala parti integrali mill-proċess kumplessiv ta’ ġestjoni tat-tibdil tal-entità finanzjarja, sabiex jiżguraw li l-bidliet kollha fis-sistemi tal-ICT jiġu rreġistrati, ittestjati, ivvalutati, approvati, implimentati u vverifikati b’mod ikkontrollat;

(f)ikollhom politiki xierqa u komprensivi għal patches u aġġornamenti.

Għall-finijiet tal-punt (b), l-entitajiet finanzjarji għandhom ifasslu l-infrastruttura tal-konnessjoni tan-netwerk b’tali mod li din tkun tista’ tinqata’ b’mod istantanju u għandhom jiżguraw il-kompartimentalizzazzjoni u s-segmentazzjoni tagħha, sabiex jimminimizzaw u jipprevjenu l-kontaġju, speċjalment tal-proċessi finanzjarji interkonnessi.

Għall-finijiet tal-punt (e), il-proċess ta’ ġestjoni tat-tibdil fl-ICT għandu jiġi approvat mil-linji xierqa tal-maniġment u għandu jkollu protokolli speċifiċi abilitati għal bidliet ta’ emerġenza.

Artikolu 9

Individwazzjoni

1.L-entitajiet finanzjarji għandu jkollhom fis-seħħ mekkaniżmi biex jidentifikaw fil-pront attivitajiet anomali, skont l-Artikolu 15, inklużi kwistjonijiet ta’ prestazzjoni tan-netwerk tal-ICT u inċidenti relatati mal-ICT, u biex jidentifikaw il-punti uniċi materjali potenzjali kollha ta’ falliment.

Il-mekkaniżmi ta’ individwazzjoni kollha msemmija fl-ewwel subparagrafu għandhom jiġu ttestjati regolarment f’konformità mal-Artikolu 22.

2.Il-mekkaniżmi ta’ individwazzjoni msemmija fil-paragrafu 1 għandhom jippermettu diversi saffi ta’ kontroll, jiddefinixxu limiti ta’ twissija u kriterji għall-iskattar tal-proċessi ta’ individwazzjoni u rispons għal inċidenti relatati mal-ICT, u għandhom jistabbilixxu mekkaniżmi ta’ twissija awtomatiċi għall-persunal rilevanti responsabbli mir-rispons għal inċidenti relatati mal-ICT.

3.L-entitajiet finanzjarji għandhom jiddedikaw riżorsi u kapaċitajiet suffiċjenti, b’kunsiderazzjoni xierqa għad-daqs, in-negozju u l-profili tar-riskju tagħhom, biex jimmonitorjaw l-attività tal-utenti, l-okkorrenza ta’ anomaliji tal-ICT u inċidenti relatati mal-ICT, b’mod partikolari attakki ċibernetiċi.

4.Barra minn hekk, l-intitolamenti finanzjarji msemmija fil-punt (l) tal-Artikolu 2(1) għandu jkollhom fis-seħħ sistemi li jistgħu jivverifikaw b’mod effettiv ir-rapporti kummerċjali għall-kompletezza, jidentifikaw omissjonijiet u żbalji ovvji u jitolbu ritrasmissjoni ta’ kwalunkwe tali rapporti żbaljati.

Artikolu 10

Rispons u rkupru

1.Bħala parti mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 5(1) u abbażi tar-rekwiżiti ta’ identifikazzjoni stabbiliti fl-Artikolu 7, l-entitajiet finanzjarji għandhom jistabbilixxu Politika tal-Kontinwità tal-Operat tal-ICT apposta u komprensiva bħala parti integrali mill-politika tal-kontinwità tal-operat operazzjonali tal-entità finanzjarja.

2.L-entitajiet finanzjarji għandhom jimplimentaw il-Politika tal-Kontinwità tal-Operat tal-ICT imsemmija fil-paragrafu 1 permezz ta’ arranġamenti, pjanijiet, proċeduri u mekkaniżmi ddedikati, xierqa u ddokumentati mmirati lejn:

(a)ir-reġistrazzjoni tal-inċidenti kollha relatati mal-ICT;

(b)l-iżgurar tal-kontinwità tal-funzjonijiet kritiċi tal-entità finanzjarja;

(c)ir-rispons malajr, b’mod xieraq u b’mod effettiv għall-inċidenti kollha relatati mal-ICT, u r-riżoluzzjoni tagħhom, b’mod partikolari iżda mhux limitat għal attakki ċibernetiċi, b’mod li jillimita l-ħsara u jagħti prijorità lit-tkomplija tal-attivitajiet u tal-azzjonijiet ta’ rkupru;

(d)l-attivazzjoni mingħajr dewmien ta’ pjanijiet iddedikati li jippermettu miżuri ta’ trażżin, proċessi u teknoloġiji adatti għal kull tip ta’ inċident relatat mal-ICT u l-prevenzjoni ta’ aktar ħsara, kif ukoll proċeduri ta’ rispons u rkupru mfasslin apposta stabbiliti f’konformità mal-Artikolu 11;

(e)l-istima preliminari tal-impatti, il-ħsarat u t-telf;

(f)l-istabbiliment ta’ azzjonijiet ta’ komunikazzjoni u ta’ mmaniġġjar ta’ kriżijiet li jiżguraw li l-informazzjoni aġġornata tiġi trażmessa lill-persunal intern u lill-partijiet konċernati esterni rilevanti kollha f’konformità mal-Artikolu 13, u li tiġi rrapportata lill-awtoritajiet kompetenti f’konformità mal-Artikolu 17.

3.Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 5(1), l-entitajiet finanzjarji għandhom jimplimentaw Pjan ta’ Rkupru minn Diżastri tal-ICT assoċjat, li, fil-każ ta’ entitajiet finanzjarji għajr il-mikrointrapriżi, għandu jkun soġġett għal rieżamijiet ta’ awditjar indipendenti.

4.L-entitajiet finanzjarji għandhom jistabbilixxu, iżommu u jittestjaw perjodikament il-pjanijiet xierqa tal-kontinwità tal-operat tal-ICT, b’mod partikolari fir-rigward ta’ funzjonijiet kritiċi jew importanti esternalizzati jew ikkuntrattati permezz ta’ arranġamenti ma’ fornituri terzi ta’ partijiet tal-ICT.

5.Bħala parti mill-ġestjoni komprensiva tar-riskju tal-ICT tagħhom, l-entitajiet finanzjarji għandhom:

(a)jittestjaw il-Politika tal-Kontinwità tan-Negozju tal-ICT u l-Pjan ta’ Rkupru minn Diżastri tal-ICT mill-inqas darba fis-sena u wara bidliet sostantivi fis-sistemi tal-ICT;

(b)jittestjaw il-pjanijiet ta’ komunikazzjoni tal-kriżijiet stabbiliti f’konformità mal-Artikolu 13.

Għall-finijiet tal-punt (a), l-entitajiet finanzjarji għajr il-mikrointrapriżi għandhom jinkludu fil-pjanijiet tal-ittestjar xenarji ta’ attakki ċibernetiċi u l-qlib minn infrastruttura primarja tal-ICT għall-oħra u l-kapaċità żejda, il-backups u l-faċilitajiet żejda meħtieġa biex jiġu ssodisfati l-obbligi stabbiliti fl-Artikolu 11.

L-entitajiet finanzjarji għandhom jirrevedu regolarment il-Politika tal-Kontinwità tal-Operat tal-ICT u l-Pjan ta’ Rkupru minn Diżastri tal-ICT tagħhom, filwaqt li jqisu r-riżultati tat-testijiet imwettqa f’konformità mal-ewwel subparagrafu u mar-rakkomandazzjonijiet li jirriżultaw minn kontrolli tal-awditjar jew rieżamijiet superviżorji.

6.L-entitajiet finanzjarji għajr il-mikrointrapriżi għandu jkollhom funzjoni ta’ ġestjoni tal-kriżijiet, li, f’każ ta’ attivazzjoni tal-Politika tal-Kontinwità tal-Operat tal-ICT jew tal-Pjan ta’ Rkupru minn Diżastri tal-ICT tagħhom, għandha tistabbilixxi proċeduri ċari għall-ġestjoni tal-komunikazzjonijiet interni u esterni għall-kriżijiet f’konformità mal-Artikolu 13.

7.L-entitajiet finanzjarji għandhom iżommu rekords tal-attivitajiet qabel u waqt event ta’ tfixkil meta jiġu attivati l-Politika tal-Kontinwità tal-Operat tal-ICT jew il-Pjan ta’ Rkupru minn Diżastri tal-ICT tagħhom. Dawn ir-rekords għandhom ikunu disponibbli fis.

8.L-entitajiet finanzjarji msemmija fil-punt (f) tal-Artikolu 2(1) għandhom jipprovdu lill-awtoritajiet kompetenti kopji tar-riżultati tat-testijiet tal-kontinwità tan-negozju tal-ICT jew eżerċizzji simili mwettqa matul il-perjodu taħt rieżami.

9.L-entitajiet finanzjarji għajr il-mikrointrapriżi għandhom jirrapportaw lill-awtoritajiet kompetenti l-kostijiet u t-telf kollha kkawżati minn tfixkil fl-ICT u minn inċidenti relatati mal-ICT.

Artikolu 11

Politiki ta’ back up u metodi ta’ rkupru

1.Għall-fini tal-iżgurar tar-restawr tas-sistemi tal-ICT b’perjodu ta’ qtugħ minimu u tfixkil limitat, bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT, l-entitajiet finanzjarji għandhom jiżviluppaw:

(a)politika ta’ backup li tispeċifika l-ambitu tad-data li tkun soġġetta għal backup u l-frekwenza minima tal-backup, abbażi tal-kritikalità tal-informazzjoni jew tas-sensittività tad-data;

(b)metodi ta’ rkupru.

2.Is-sistemi ta’ backup għandhom jibdew l-ipproċessar mingħajr dewmien żejjed, sakemm tali bidu ma jipperikolax is-sigurtà tan-netwerk u tas-sistemi ta’ informazzjoni jew l-integrità jew il-kunfidenzjalità tad-data.

3.Meta jirrestawraw id-data ta’ backup bl-użu ta’ sistemi proprji, l-entitajiet finanzjarji għandhom jużaw sistemi tal-ICT li jkollhom ambjent operattiv differenti minn dak prinċipali, li ma jkunx direttament konness ma’ dan tal-aħħar u li jkun protett b’mod sigur minn kwalunkwe aċċess mhux awtorizzat jew korruzzjoni fl-ICT.

Għall-entitajiet finanzjarji msemmija fil-punt (g) tal-Artikolu 2(1), il-pjanijiet ta’ rkupru għandhom jippermettu l-irkupru tat-tranżazzjonijiet kollha li kienu qed isiru meta seħħ it-tfixkil sabiex jippermettu lill-kontroparti ċentrali tkompli topera b’ċertezza u tlesti s-saldu fid-data skedata.

4.L-entitajiet finanzjarji għandhom iżommu kapaċitajiet tal-ICT żejda mgħammra b’kapaċitajiet u funzjonalitajiet tar-riżorsi li huma suffiċjenti u adegwati biex jiżguraw il-ħtiġijiet tan-negozju.

5.L-entitajiet finanzjarji msemmija fil-punt (f) tal-Artikolu 2(1) għandhom iżommu jew jiżguraw li l-fornituri terzi tal-ICT tagħhom iżommu mill-inqas sit wieħed tal-ipproċessar sekondarju mogħni b’riżorsi, kapaċitajiet, funzjonalitajiet u arranġamenti ta’ persunal suffiċjenti u xierqa biex jiżguraw il-ħtiġijiet tan-negozju.

Is-sit tal-ipproċessar sekondarju għandu jkun:

(a)jinsab f’distanza ġeografika mis-sit tal-ipproċessar primarju biex jiġi żgurat li jkollu profil ta’ riskju distint u biex ikun evitat li jiġi affettwat mill-event li affettwa s-sit primarju;

(b)kapaċi jiżgura l-kontinwità tas-servizzi kritiċi b’mod identiku għas-sit primarju, jew jipprovdi l-livell ta’ servizzi meħtieġa biex ikun żgurat li l-entità finanzjarja twettaq l-operazzjonijiet kritiċi tagħha skont l-objettivi tal-irkupru;

(c)immedjatament aċċessibbli għall-persunal tal-entità finanzjarja biex tiġi żgurata l-kontinwità tas-servizzi kritiċi f’każ li s-sit tal-ipproċessar primarju ma jkunx għadu disponibbli.

6.Meta jiġu biex jiddeterminaw il-ħin ta’ rkupru u jindikaw l-objettivi għal kull funzjoni, l-entitajiet finanzjarji għandhom iqisu l-impatt kumplessiv potenzjali fuq l-effiċjenza tas-suq. Tali objettivi tal-ħin għandhom jiżguraw li, f’xenarji estremi, jintlaħqu l-livelli ta’ servizz miftiehma.

7.Meta jirkupraw minn inċident relatat mal-ICT, l-entitajiet finanzjarji għandhom iwettqu kontrolli multipli, inklużi rikonċiljazzjonijiet, sabiex jiżguraw li l-livell tal-integrità tad-data jkun tal-ogħla livell. Dawn il-kontrolli għandhom isiru wkoll meta ssir ir-rikostruzzjoni tad-data minn partijiet interessati esterni, sabiex jiġi żgurat li d-data kollha tkun konsistenti bejn is-sistemi.

Artikolu 12

Tagħlim u evoluzzjoni

1.L-entitajiet finanzjarji għandu jkollhom fis-seħħ kapaċitajiet u persunal, adatti għad-daqs, in-negozju u l-profili tar-riskju tagħhom, biex jiġbru informazzjoni dwar il-vulnerabbiltajiet u t-theddid ċibernetiku, l-inċidenti relatati mal-ICT, b’mod partikolari attakki ċibernetiċi, u janalizzaw l-impatti probabbli tagħhom fuq ir-reżiljenza operazzjonali diġitali tagħhom.

2.L-entitajiet finanzjarji għandhom jistabbilixxu rieżamijiet ta’ inċidenti relatati mal-ICT wara tfixkil sinifikanti fl-ICT tal-attivitajiet ewlenin tagħhom, billi janalizzaw il-kawżi tat-tfixkil u jidentifikaw it-titjib meħtieġ fl-operazzjonijiet tal-ICT jew fi ħdan il-Politika tal-Kontinwità tal-Operat tal-ICT imsemmija fl-Artikolu 10.

Meta jimplimentaw il-bidliet, l-entitajiet finanzjarji għajr il-mikrointrapriżi għandhom jikkomunikaw dawk il-bidliet lill-awtoritajiet kompetenti.

Ir-rieżamijiet li jsiru wara l-inċidenti relatati mal-ICT imsemmija fl-ewwel subparagrafu għandhom jiddeterminaw jekk il-proċeduri stabbiliti ġewx segwiti u jekk l-azzjonijiet meħuda kinux effettivi, inkluż b’rabta ma’:

(a)il-prontezza fir-rispons għall-allerti tas-sigurtà u d-determinazzjoni tal-impatt tal-inċidenti relatati mal-ICT u s-severità tagħhom;

(b)il-kwalità u l-veloċità fit-twettiq tal-analiżi forensika;

(c)l-effettività tal-eskalazzjoni tal-inċidenti fl-entità finanzjarja;

(d)l-effettività tal-komunikazzjoni interna u esterna.

3.It-tagħlimiet miksuba mill-ittestjar tar-reżiljenza operazzjonali diġitali mwettaq f’konformità mal-Artikoli 23 u 24 u minn inċidenti relatati mal-ICT fil-ħajja reali, b’mod partikolari attakki ċibernetiċi, flimkien mal-isfidi ffaċċjati mal-attivazzjoni tal-pjanijiet tal-kontinwità tal-operat jew tal-irkupru, flimkien mal-informazzjoni rilevanti skambjata mal-kontropartijiet u vvalutata matul ir-rieżamijiet superviżorji, għandhom jiġu inkorporati kif xieraq fuq bażi kontinwa fil-proċess tal-valutazzjoni tar-riskju tal-ICT. Dawn is-sejbiet għandhom jissarrfu f’rieżamijiet xierqa tal-komponenti rilevanti tal-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 5(1).

4.L-entitajiet finanzjarji għandhom jimmonitorjaw l-effettività tal-implimentazzjoni tal-istrateġija ta’ reżiljenza diġitali tagħhom stabbilita fl-Artikolu 5(9). Huma għandhom jidentifikaw l-evoluzzjoni tar-riskji tal-ICT matul iż-żmien, janalizzaw il-frekwenza, it-tipi, il-kobor u l-evoluzzjoni tal-inċidenti relatati mal-ICT, b’mod partikolari l-attakki ċibernetiċi u x-xejriet tagħhom, bl-għan li jifhmu l-livell ta’ skopertura għar-riskju tal-ICT u jtejbu l-maturità ċibernetika u t-tħejjija tal-entità finanzjarja.

5.Il-persunal għoli tal-ICT għandu jirrapporta mill-inqas darba fis-sena lill-korp maniġerjali dwar is-sejbiet imsemmija fil-paragrafu 3 u jressaq rakkomandazzjonijiet.

6.L-entitajiet finanzjarji għandhom jiżviluppaw programmi ta’ sensibilizzazzjoni dwar is-sigurtà tal-ICT u sessjonijiet ta’ taħriġ fir-reżiljenza operazzjonali diġitali bħala moduli obbligatorji fl-iskemi tat-taħriġ tal-persunal tagħhom. Dawn għandhom ikunu applikabbli għall-impjegati u għall-persunal tal-maniġment superjuri kollha.

L-entitajiet finanzjarji għandhom jimmonitorjaw l-iżviluppi teknoloġiċi rilevanti fuq bażi kontinwa, anki bil-ħsieb li jifhmu l-impatti possibbli tal-użu ta’ tali teknoloġiji ġodda fuq ir-rekwiżiti tas-sigurtà tal-ICT u fuq ir-reżiljenza operazzjonali diġitali. Huma għandhom iżommu ruħhom aġġornati dwar l-aħħar proċessi tal-ġestjoni tar-riskju tal-ICT, sabiex jiġġieldu b’mod effettiv kontra l-forom attwali jew ġodda ta’ attakki ċibernetiċi.

Artikolu 13
Komunikazzjoni

1.Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 5(1), l-entitajiet finanzjarji għandu jkollhom fis-seħħ pjanijiet ta’ komunikazzjoni li jippermettu divulgazzjoni responsabbli ta’ inċidenti relatati mal-ICT jew vulnerabbiltajiet kbar mal-klijenti u mal-kontropartijiet, kif ukoll mal-pubbliku, kif xieraq.

2.Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 5(1), l-entitajiet finanzjarji għandhom jimplimentaw politiki ta’ komunikazzjoni għall-persunal u għall-partijiet konċernati esterni. Il-politiki ta’ komunikazzjoni għall-persunal għandhom iqisu l-ħtieġa li ssir distinzjoni bejn il-persunal involut fil-ġestjoni tar-riskju tal-ICT, b’mod partikolari r-rispons u l-irkupru, u l-persunal li jeħtieġ li jiġi informat.

3.Mill-inqas persuna waħda fl-entità għandha tingħata l-kompitu li timplimenta l-istrateġija ta’ komunikazzjoni għal inċidenti relatati mal-ICT u taqdi r-rwol ta’ kelliem pubbliku u għall-midja għal dak l-iskop.

Artikolu 14
Aktar armonizzazzjoni tal-għodod, tal-metodi, tal-proċessi u tal-politiki tal-ġestjoni tar-riskju tal-ICT

L-Awtorità Bankarja Ewropea (EBA), l-Awtorità Ewropea tat-Titoli u s-Swieq (ESMA) u l-Awtorità Ewropea tal-Assigurazzjoni u l-Pensjonijiet tax-Xogħol (EIOPA) għandhom, f’konsultazzjoni mal-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà (ENISA), jiżviluppaw abbozzi ta’ standards tekniċi regolatorji għall-finijiet li ġejjin:

(a)jispeċifikaw aktar elementi li jridu jiġu inklużi fil-politiki, il-proċeduri, il-protokolli u l-għodod tas-sigurtà tal-ICT imsemmija fl-Artikolu 8(2), bil-ħsieb li jiżguraw is-sigurtà tan-netwerks, jippermettu salvagwardji adegwati kontra l-intrużjonijiet u l-użu ħażin tad-data, jippreservaw l-awtentiċità u l-integrità tad-data, inklużi tekniki kriptografiċi, u jiggarantixxu trażmissjoni preċiża u fil-pront tad-data mingħajr interruzzjonijiet kbar;

(b)jippreskrivu kif il-politiki, il-proċeduri u l-għodod tas-sigurtà tal-ICT imsemmija fl-Artikolu 8(2) għandhom jinkorporaw il-kontrolli tas-sigurtà fis-sistemi mill-bidu (sigurtà skont id-disinn), jippermettu aġġustamenti għax-xenarju tat-theddid li qed jevolvi, u jipprevedu l-użu ta’ teknoloġija ta’ difiża profonda;

(c)jispeċifikaw aktar it-tekniki, il-metodi u l-protokolli xierqa msemmija fil-punt (b) tal-Artikolu 8(4);

(d)jiżviluppaw aktar komponenti tal-kontrolli tad-drittijiet ta’ ġestjoni tal-aċċess imsemmija fil-punt (c) tal-Artikolu 8(4) u l-politika assoċjata tar-riżorsi umani li tispeċifika d-drittijiet tal-aċċess, il-proċeduri għall-għoti u r-revoka tad-drittijiet, il-monitoraġġ tal-imġiba anomala b’rabta mar-riskji tal-ICT permezz ta’ indikaturi xierqa, inkluż għax-xejriet tal-użu, għas-sigħat, għall-attività tal-IT u għall-apparat mhux magħruf tan-netwerk;

(e)jiżviluppaw aktar l-elementi speċifikati fl-Artikolu 9(1) li jippermettu individwazzjoni fil-pront ta’ attivitajiet anomali u l-kriterji msemmija fl-Artikolu 9(2) li jwasslu għall-proċessi ta’ individwazzjoni u rispons tal-inċidenti relatati mal-ICT;

(f)jispeċifikaw aktar il-komponenti tal-Politika tal-Kontinwità tal-Operat tal-ICT imsemmija fl-Artikolu 10(1);

(g)jispeċifikaw aktar l-ittestjar tal-pjanijiet ta’ kontinwità tal-operat tal-ICT imsemmija fl-Artikolu 10(5) biex jiżguraw li dan iqis debitament ix-xenarji li fihom il-kwalità tal-forniment ta’ funzjoni kritika jew importanti tiddeterjora għal livell inaċċettabbli jew tfalli, u jikkunsidra debitament l-impatt potenzjali tal-insolvenza jew nuqqasijiet oħrajn ta’ kwalunkwe fornitur terz ta’ servizzi tal-ICT rilevanti u, fejn rilevanti, ir-riskji politiċi fil-ġurisdizzjonijiet tal-fornituri rispettivi;

(h)jispeċifikaw aktar il-komponenti tal-Pjan ta' Rkupru minn Diżastri msemmi fl-Artikolu 10(3).

L-EBA, l-ESMA u l-EIOPA għandhom jissottomettu dawk l-abbozzi ta’ standards tekniċi regolatorji lill-Kummissjoni sa [ĠU: daħħal id-data sena wara d-data tad-dħul fis-seħħ].

Il-Kummissjoni tingħata s-setgħa tadotta l-istandards tekniċi regolatorji msemmija fl-ewwel subparagrafu f’konformità mal-Artikoli minn 10 sa 14 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010, rispettivament.

KAPITOLU III

INĊIDENTI RELATATI MAL-ICT

ĠESTJONI, KLASSIFIKAZZJONI U RAPPORTAR

Artikolu 15
Proċess ta’ ġestjoni tal-inċidenti relatat mal-ICT

1.L-entitajiet finanzjarji għandhom jistabbilixxu u jimplimentaw proċess ta’ ġestjoni tal-inċidenti relatati mal-ICT biex jindividwaw, jiġġestixxu u jinnotifikaw l-inċidenti relatati mal-ICT u għandhom jistabbilixxu indikaturi ta’ twissija bikrija bħala allerti.

2.L-entitajiet finanzjarji għandhom jistabbilixxu proċessi xierqa biex jiżguraw monitoraġġ, maniġġ u segwitu konsistenti u integrati tal-inċidenti relatati mal-ICT u biex jiżguraw li l-kawżi ewlenin jiġu identifikati u eradikati, sabiex b’hekk jipprevjenu l-okkorrenza ta’ inċidenti bħal dawn.

3.Il-proċess ta’ ġestjoni tal-inċidenti relatati mal-ICT imsemmi fil-paragrafu 1 għandu:

(a)jistabbilixxi proċeduri maħsuba biex jidentifikaw, jittraċċaw, jirreġistraw, jikkategorizzaw u jikklassifikaw inċidenti relatati mal-ICT skont il-prijorità tagħhom u s-severità u l-kritikalità tas-servizzi milquta, f’konformità mal-kriterji msemmija fl-Artikolu 16(1);

(b)jassenja rwoli u responsabbiltajiet li jeħtieġ li jiġu attivati għal tipi u xenarji differenti ta’ inċidenti relatati mal-ICT;

(c)jistabbilixxi pjanijiet għall-komunikazzjoni mal-persunal, mal-partijiet interessati esterni u mal-midja f’konformità mal-Artikolu 13, u għan-notifika lill-klijenti, il-proċeduri interni ta’ eskalazzjoni, inklużi lmenti tal-klijenti relatati mal-ICT, kif ukoll għall-għoti ta’ informazzjoni lill-entitajiet finanzjarji li jaġixxu bħala kontropartijiet, kif xieraq;

(d)jiżgura li inċidenti kbar relatati mal-ICT jiġu rrapportati lill-maniġment superjuri rilevanti u li l-korp maniġerjali jiġi informat dwar inċidenti kbar relatati mal-ICT, filwaqt li jiġu spjegati l-impatt, ir-rispons u l-kontrolli addizzjonali li għandhom jiġu stabbiliti bħala riżultat ta’ inċidenti relatati mal-ICT;

(e)jistabbilixxi proċeduri ta’ rispons għal inċidenti relatati mal-ICT biex jiġu mitigati l-impatti u jiġi żgurat li s-servizzi jsiru operattivi u siguri fil-pront.

Artikolu 16

Klassifikazzjoni ta’ inċidenti relatati mal-ICT

1.L-entitajiet finanzjarji għandhom jikklassifikaw l-inċidenti relatati mal-ICT u għandhom jiddeterminaw l-impatt tagħhom abbażi tal-kriterji li ġejjin:

(a)l-għadd ta’ utenti jew kontropartijiet finanzjarji affettwati mit-tfixkil ikkawżat mill-inċident relatat mal-ICT, u jekk l-inċident relatat mal-ICT ikkawżax impatt fuq ir-reputazzjoni;

(b)kemm dam l-inċident relatat mal-ICT, inkluż il-ħin li dam maqtugħ is-servizz;

(c)il-firxa ġeografika fir-rigward taż-żoni affettwati mill-inċident relatat mal-ICT, b’mod partikolari jekk taffettwa aktar minn żewġ Stati Membri;

(d)it-telf tad-data li ġie kkawżat mill-inċident relatat mal-ICT, bħal telf ta’ integrità, telf ta’ kunfidenzjalità jew telf ta’ disponibbiltà;

(e)is-severità tal-impatt tal-inċident relatat mal-ICT fuq is-sistemi tal-ICT tal-entità finanzjarja;

(f)il-kritikalità tas-servizzi affettwati, inklużi t-tranżazzjonijiet u l-operazzjonijiet tal-entità finanzjarja;

(g)l-impatt ekonomiku tal-inċident relatat mal-ICT f’termini kemm assoluti kif ukoll relattivi.

2.L-ASE għandhom, permezz tal-Kumitat Konġunt tal-ASE (il-“Kumitat Konġunt”) u wara konsultazzjoni mal-Bank Ċentrali Ewropew (BĊE) u mal-ENISA, jiżviluppaw abbozz ta’ standards tekniċi regolatorji komuni li jispeċifikaw aktar dan li ġej:

(a)il-kriterji stabbiliti fil-paragrafu 1, inklużi l-limiti ta’ materjalità għad-determinazzjoni ta’ inċidenti kbar relatati mal-ICT li huma soġġetti għall-obbligu ta’ rapportar stabbilit fl-Artikolu 17(1);

(b)il-kriterji li għandhom jiġu applikati mill-awtoritajiet kompetenti għall-fini tal-valutazzjoni tar-rilevanza ta’ inċidenti kbar relatati mal-ICT għall-ġurisdizzjonijiet ta’ Stati Membri oħra, u d-dettalji tar-rapporti dwar inċidenti relatati mal-ICT li għandhom jiġu kondiviżi ma’ awtoritajiet kompetenti oħra skont il-punti (5) u (6) tal-Artikolu 17.

3.Meta jiżviluppaw l-abbozzi ta’ standards tekniċi regolatorji komuni msemmija fil-paragrafu 2, l-ASE għandhom iqisu l-istandards internazzjonali, kif ukoll l-ispeċifikazzjonijiet żviluppati u ppubblikati mill-ENISA, inklużi, fejn xieraq, speċifikazzjonijiet għal setturi ekonomiċi oħrajn.

L-ASE għandhom jissottomettu dawk l-abbozzi ta’ standards tekniċi regolatorji komuni lill-Kummissjoni sa [PO: daħħal id-data sena wara d-data tad-dħul fis-seħħ].

Il-Kummissjoni tingħata s-setgħa li tissupplimenta dan ir-Regolament billi tadotta l-istandards tekniċi regolatorji msemmija fil-paragrafu 2 f’konformità mal-Artikoli minn 10 sa 14 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010, rispettivament.

Artikolu 17

Rapportar ta’ inċidenti kbar relatati mal-ICT

1.L-entitajiet finanzjarji għandhom jirrapportaw inċidenti kbar relatati mal-ICT lill-awtorità kompetenti rilevanti kif imsemmi fl-Artikolu 41, fil-limiti ta’ żmien stabbiliti fil-paragrafu 3.

Għall-fini tal-ewwel subparagrafu, l-entitajiet finanzjarji għandhom jipproduċu, wara li jiġbru u janalizzaw l-informazzjoni rilevanti kollha, rapport tal-inċident bl-użu tal-mudell imsemmi fl-Artikolu 18 u jippreżentawh lill-awtorità kompetenti.

Ir-rapport għandu jinkludi l-informazzjoni kollha meħtieġa sabiex l-awtorità kompetenti tkun tista’ tiddetermina s-sinifikat tal-inċident kbir relatat mal-ICT u tivvaluta l-impatti transfruntiera possibbli.

2.Meta inċident kbir relatat mal-ICT ikollu jew jista’ jkollu impatt fuq l-interessi finanzjarji tal-utenti u l-klijenti tas-servizzi, l-entitajiet finanzjarji għandhom, mingħajr dewmien żejjed, jinformaw lill-utenti u l-klijenti tas-servizzi tagħhom dwar l-inċident kbir relatat mal-ICT u għandhom, mill-aktar fis possibbli, jinformawhom dwar il-miżuri kollha li jkunu ttieħdu biex jimmitigaw l-effetti negattivi ta’ dan l-inċident.

3.L-entitajiet finanzjarji għandhom jissottomettu lill-awtorità kompetenti kif imsemmi fl-Artikolu 41:

(a)notifika inizjali, mingħajr dewmien, iżda mhux aktar tard minn tmiem il-jum tan-negozju, jew, f’każ ta’ inċident kbir relatat mal-ICT li seħħ aktar tard minn sagħtejn qabel tmiem il-jum tan-negozju, mhux aktar tard minn 4 sigħat mill-bidu tal-jum tan-negozju li jmiss, jew, meta l-mezzi ta’ rapportar ma jkunux disponibbli, hekk kif isiru disponibbli;

(b)rapport intermedju, mhux aktar tard minn ġimgħa wara n-notifika inizjali msemmija fil-punt (a), segwit kif xieraq minn notifiki aġġornati kull darba li jkun disponibbli aġġornament tal-istatus rilevanti, kif ukoll fuq talba speċifika tal-awtorità kompetenti;

(c)rapport finali, meta l-analiżi tal-kawża ewlenija tkun tlestiet, irrispettivament minn jekk il-miżuri ta’ mitigazzjoni jkunux diġà ġew implimentati jew le, u meta ċ-ċifri tal-impatt attwali jkunu disponibbli biex jissostitwixxu l-estimi, iżda mhux aktar tard minn xahar mill-mument li jintbagħat ir-rapport inizjali

4.L-entitajiet finanzjarji jistgħu jiddelegaw biss l-obbligi ta’ rappurtar skont dan l-Artikolu lil fornitur terz ta’ servizzi bl-approvazzjoni tad-delega mill-awtorità kompetenti rilevanti msemmija fl-Artikolu 41.

5.Malli tirċievi r-rapport imsemmi fil-paragrafu 1, l-awtorità kompetenti għandha, mingħajr dewmien żejjed, tipprovdi d-dettalji tal-inċident lil:

(a)l-EBA, l-ESMA jew l-EIOPA, kif xieraq;

(b)il-BĊE, kif xieraq, fil-każ tal-entitajiet finanzjarji msemmija fil-punti (a), (b) u (c) tal-Artikolu 2(1); u

(c)l-punt uniku ta’ kuntatt maħtur skont l-Artikolu 8 tad-Direttiva (UE) 2016/1148.

6.l-EBA, l-ESMA jew l-EIOPA u l-BĊE għandhom jivvalutaw ir-rilevanza tal-inċident kbir relatat mal-ICT għal awtoritajiet pubbliċi rilevanti oħrajn u jinnotifikawhom kif xieraq mill-aktar fis possibbli. Il-BĊE għandu jinnotifika lill-membri tas-Sistema Ewropea ta’ Banek Ċentrali dwar kwistjonijiet rilevanti għas-sistema ta’ pagament. Abbażi ta’ dik in-notifika, l-awtoritajiet kompetenti għandhom, fejn xieraq, jieħdu l-miżuri kollha meħtieġa biex jipproteġu l-istabbiltà immedjata tas-sistema finanzjarja.

Artikolu 18

Armonizzazzjoni tal-kontenut u tal-formoli tar-rapportar

1.L-ASE, permezz tal-Kumitat Konġunt u wara konsultazzjoni mal-ENISA u mal-BĊE, għandhom jiżviluppaw:

(a)abbozzi ta’ standards tekniċi regolatorji komuni sabiex:

(1)jistabbilixxu l-kontenut tar-rapportar għal inċidenti kbar relatati mal-ICT;

(2)jispeċifikaw aktar il-kundizzjonijiet li taħthom l-entitajiet finanzjarji jistgħu jiddelegaw lil fornitur terz ta’ servizz, wara l-approvazzjoni minn qabel mill-awtorità kompetenti, l-obbligi ta’ rapportar stabbiliti f’dan il-Kapitolu;

(b)abbozzi ta’ standards tekniċi ta’ implimentazzjoni komuni sabiex jistabbilixxu l-formoli u l-proċeduri standard għall-entitajiet finanzjarji biex jirrapportaw inċident kbir relatat mal-ICT.

L-ASE għandhom jippreżentaw l-abbozz komuni ta’ standards tekniċi regolatorji msemmi fil-punt (a) tal-paragrafu 1 u l-abbozz komuni tal-istandards tekniċi ta’ implimentazzjoni msemmi fil-punt (b) tal-paragrafu 1 lill-Kummissjoni sa xx 202x [ PO: daħħal id-data sena wara d-data tad-dħul fis-seħħ].

Il-Kummissjoni tingħata s-setgħa li tissupplimenta dan ir-Regolament billi tadotta l-istandards tekniċi regolatorji komuni msemmija fil-punt (a) tal-paragrafu 1 f’konformità mal-Artikoli minn 10 sa 14 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1095/2010 jew (UE) Nru 1094/2010, rispettivament.

Il-Kummissjoni tingħata s-setgħa tadotta l-istandards tekniċi ta’ implimentazzjoni komuni msemmija fil-punt (b) tal-paragrafu 1 f’konformità mal-Artikolu 15 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1095/2010 u (UE) Nru 1094/2010, rispettivament.

Artikolu 19

Ċentralizzazzjoni tar-rapportar ta’ inċidenti kbar relatati mal-ICT

1.L-ASE, permezz tal-Kumitat Konġunt u f’konsultazzjoni mal-BĊE u mal-ENISA, għandha tħejji rapport konġunt li jivvaluta l-fattibbiltà ta’ ċentralizzazzjoni ulterjuri tar-rapportar tal-inċidenti permezz tal-istabbiliment ta’ Ċentru uniku tal-UE għar-rapportar ta’ inċidenti kbar relatati mal-ICT minn entitajiet finanzjarji. Ir-rapport għandu jesplora modi kif jiġi ffaċilitat il-fluss tar-rapportar tal-inċidenti relatati mal-ICT, jitnaqqsu l-kostijiet assoċjati u jiġu sostnuti l-analiżijiet tematiċi bl-għan li tittejjeb il-konverġenza superviżorja.

2.Ir-rapport imsemmi fil-paragrafu 1 għandu jinkludi mill-inqas l-elementi li ġejjin:

(a)il-prerekwiżiti għall-istabbiliment ta’ tali Ċentru tal-UE;

(b)il-benefiċċji, il-limitazzjonijiet u r-riskji possibbli;

(c)l-elementi tal-immaniġġjar operazzjonali;

(d)il-kundizzjonijiet tas-sħubija;

(e)il-modalitajiet għall-entitajiet finanzjarji u għall-awtoritajiet nazzjonali kompetenti biex jaċċessaw iċ-Ċentru tal-UE;

(f)valutazzjoni preliminari tal-kostijiet finanzjarji li jinvolvi t-twaqqif tal-pjattaforma operattiva li tappoġġja ċ-Ċentru tal-UE, inkluż l-għarfien espert meħtieġ

3.L-ASE għandhom jissottomettu r-rapport imsemmi fil-paragrafu 1 lill-Kummissjoni, lill-Parlament Ewropew u lill-Kunsill sa xx 202x [ĠU: daħħal id-data 3 snin wara d-data tad-dħul fis-seħħ].

Artikolu 20

Feedback superviżorju

1.Malli tirċievi rapport kif imsemmi fl-Artikolu 17(1), l-awtorità kompetenti għandha tirrikonoxxi li tkun irċeviet in-notifika u għandha tipprovdi l-feedback jew il-gwida kollha meħtieġa mill-aktar fis possibbli lill-entità finanzjarja, b’mod partikolari biex jiġu diskussi r-rimedji fil-livell tal-entità jew modi biex jiġi mminimizzat l-impatt negattiv bejn is-setturi.

2.L-ASE għandhom, permezz tal-Kumitat Konġunt, jirrapportaw kull sena fuq bażi anonimizzata u aggregata dwar in-notifiki tal-inċidenti relatati mal-ICT li jaslu mingħand l-awtoritajiet kompetenti, filwaqt li jistabbilixxu mill-inqas l-għadd ta’ inċidenti kbar relatati mal-ICT, in-natura tagħhom, l-impatt fuq l-operazzjonijiet tal-entitajiet finanzjarji jew tal-klijenti, il-kostijiet u l-azzjonijiet ta’ rimedju meħuda.

L-ASE għandhom joħorġu twissijiet u jipproduċu statistika ta’ livell għoli biex jappoġġjaw il-valutazzjonijiet tat-theddid u tal-vulnerabbiltà tal-ICT.

KAPITOLU IV

ITTESTJAR TAR-REŻILJENZA OPERAZZJONALI DIĠITALI

Artikolu 21

Rekwiżiti ġenerali għat-twettiq tal-ittestjar tar-reżiljenza operazzjonali diġitali

1.Għall-fini tal-valutazzjoni tat-tħejjija għal inċidenti relatati mal-ICT, tal-identifikazzjoni ta’ dgħufijiet, nuqqasijiet jew lakuni fir-reżiljenza operazzjonali diġitali u tal-implimentazzjoni fil-pront ta’ miżuri korrettivi, l-entitajiet finanzjarji għandhom jistabbilixxu, iżommu u jirrevedu, b’kunsiderazzjoni dovuta għad-daqs, in-negozju u l-profili tar-riskju tagħhom, programm tajjeb u komprensiv ta’ ttestjar tar-reżiljenza operazzjonali diġitali bħala parti integrali mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 5.

2.Il-programm tal-ittestjar tar-reżiljenza operazzjonali diġitali għandu jinkludi firxa ta’ valutazzjonijiet, testijiet, metodoloġiji, prattiki u għodod li għandhom jiġu applikati f’konformità mad-dispożizzjonijiet tal-Artikoli 22 u 23.

3.L-entitajiet finanzjarji għandhom isegwu approċċ ibbażat fuq ir-riskju meta jwettqu l-programm tal-ittestjar tar-reżiljenza operazzjonali diġitali msemmi fil-paragrafu 1, b’kont meħud tax-xenarju dejjem jevolvi tar-riskji tal-ICT, kwalunkwe riskju speċifiku li għalih hija esposta l-entità finanzjarja jew tista’ tkun għalih, il-kritikalità tal-assi tal-informazzjoni u tas-servizzi pprovduti, kif ukoll kwalunkwe fattur ieħor li l-entità finanzjarja tqis li huwa xieraq.

4.L-entitajiet finanzjarji għandhom jiżguraw li t-testijiet jitwettqu minn partijiet indipendenti, kemm jekk ikunu interni kif ukoll jekk ikunu esterni.

5.L-entitajiet finanzjarji għandhom jistabbilixxu proċeduri u politiki biex jipprijoritizzaw, jikklassifikaw u jirrimedjaw il-kwistjonijiet kollha rikonoxxuti matul it-twettiq tat-testijiet u għandhom jistabbilixxu metodoloġiji ta’ validazzjoni interna biex jaċċertaw li d-dgħufijiet, in-nuqqasijiet jew il-lakuni kollha identifikati jiġu indirizzati bis-sħiħ.

6.L-entitajiet finanzjarji għandhom jittestjaw is-sistemi u l-applikazzjonijiet kritiċi kollha tal-ICT mill-inqas darba fis-sena.

Artikolu 22

Ittestjar ta’ għodod u sistemi tal-ICT

1.Il-programm tal-ittestjar tar-reżiljenza operazzjonali diġitali msemmi fl-Artikolu 21 għandu jipprevedi t-twettiq ta’ firxa sħiħa ta’ testijiet xierqa, inklużi valutazzjonijiet tal-vulnerabbiltà u skens, analiżijiet ta’ sorsi miftuħa, valutazzjonijiet tas-sigurtà tan-netwerk, analiżijiet tan-nuqqasijiet, rieżamijiet tas-sigurtà fiżika, kwestjonarji u soluzzjonijiet ta’ softwer għall-iskennjar, rieżamijiet tal-kodiċi tas-sors fejn fattibbli, testijiet ibbażati fuq xenarji, ittestjar tal-kompatibbiltà, ittestjar tal-prestazzjoni, ittestjar minn tarf sa tarf jew ittestjar tal-penetrazzjoni.

2.L-entitajiet finanzjarji msemmija fil-punti (f) u (g) tal-Artikolu 2(1) għandhom iwettqu valutazzjonijiet tal-vulnerabbiltà qabel kwalunkwe skjerament jew riskjerament ta’ servizzi ġodda jew eżistenti li jappoġġaw il-funzjonijiet kritiċi, l-applikazzjonijiet u l-komponenti tal-infrastruttura tal-entità finanzjarja.

Artikolu 23

Ittestjar avvanzat tal-għodod, tas-sistemi u tal-proċessi tal-ICT abbażi tal-ittestjar tal-penetrazzjoni mmexxi mit-theddid

1.L-entitajiet finanzjarji identifikati skont il-paragrafu 4 għandhom iwettqu mill-inqas kull tliet snin ittestjar avvanzat permezz ta’ ttestjar tal-penetrazzjoni mmexxija mit-theddid.

2.L-ittestjar tal-penetrazzjoni mmexxi mit-theddid għandu jkopri mill-inqas il-funzjonijiet u s-servizzi kritiċi ta’ entità finanzjarja, u għandu jitwettaq, waqt l-operat, fuq sistemi ta’ produzzjoni li jappoġġjaw tali funzjonijiet. L-ambitu preċiż tal-ittestjar tal-penetrazzjoni mmexxi mit-theddid, ibbażat fuq il-valutazzjoni tal-funzjonijiet u s-servizzi kritiċi, għandu jiġi ddeterminat mill-entitajiet finanzjarji u għandu jiġi vvalidat mill-awtoritajiet kompetenti.

Għall-fini tal-ewwel subparagrafu, l-entitajiet finanzjarji għandhom jidentifikaw il-proċessi, is-sistemi u t-teknoloġiji sottostanti rilevanti kollha tal-ICT li jappoġġjaw funzjonijiet u servizzi kritiċi, inklużi funzjonijiet u servizzi esternalizzati jew ikkuntrattati lil fornituri terzi ta’ servizzi tal-ICT.

Meta jkunu inklużi fornituri terzi ta’ servizzi tal-ICT fil-mandat tal-ittestjar tal-penetrazzjoni mmexxi mit-theddid, l-entità finanzjarja għandha tieħu l-miżuri meħtieġa biex tiżgura l-parteċipazzjoni ta’ dawn il-fornituri.

L-entitajiet finanzjarji għandhom japplikaw kontrolli effettivi ta’ ġestjoni tar-riskju biex inaqqsu r-riskji ta’ kwalunkwe impatt potenzjali fuq id-data, ħsara lill-assi u tfixkil għal servizzi jew operazzjonijiet kritiċi fl-entità finanzjarja nnifisha, fil-kontropartijiet tagħha jew għas-settur finanzjarju.

Fi tmiem it-test, wara li jkun intlaħaq qbil fuq ir-rapporti u l-pjanijiet ta’ rimedju, l-entità finanzjarja u s-saġġaturi esterni għandhom jipprovdu lill-awtorità kompetenti d-dokumentazzjoni li tikkonferma li l-ittestjar tal-penetrazzjoni mmexxi mit-theddid sar f’konformità mar-rekwiżiti. L-awtoritajiet kompetenti għandhom jivvalidaw id-dokumentazzjoni u joħorġu attestazzjoni.

3.L-entitajiet finanzjarji għandhom jikkuntrattaw is-saġġaturi f’konformità mal-Artikolu 24 għall-finijiet tat-twettiq tal-ittestjar tal-penetrazzjoni mmexxi mit-theddid.

L-awtoritajiet kompetenti għandhom jidentifikaw l-entitajiet finanzjarji biex iwettqu ttestjar tal-penetrazzjoni mmexxi mit-theddid b’mod li jkun proporzjonat mad-daqs, l-iskala, l-attività u l-profil tar-riskju kumplessiv tal-entità finanzjarja, abbażi tal-valutazzjoni ta’ dawn li ġejjin:

(a)fatturi relatati mal-impatt, b’mod partikolari l-kritikalità tas-servizzi pprovduti u l-attivitajiet imwettqa mill-entità finanzjarja;

(b)it-tħassib possibbli dwar l-istabbiltà finanzjarja, inkluż il-karattru sistemiku tal-entità finanzjarja fil-livell nazzjonali jew tal-Unjoni, kif xieraq;

(c)il-profil speċifiku tar-riskju tal-ICT, il-livell ta’ maturità tal-ICT tal-entità finanzjarja jew il-karatteristiċi tat-teknoloġija li huma involuti.

4.L-EBA, l-ESMA u l-EIOPA għandhom, wara li jikkonsultaw lill-BĊE u b’kont meħud tal-oqfsa rilevanti fl-Unjoni li japplikaw għat-testijiet tal-penetrazzjoni bbażati fuq l-intelligence, jiżviluppaw abbozz ta’ standards tekniċi regolatorji biex jispeċifikaw aktar:

(a)il-kriterji użati għall-fini tal-applikazzjoni tal-paragrafu 6 ta’ dan l-Artikolu;

(b)ir-rekwiżiti fir-rigward ta’:

(a)l-ambitu tal-ittestjar tal-penetrazzjoni mmexxi mit-theddid imsemmi fil-paragrafu 2 ta’ dan l-Artikolu;

(b)il-metodoloġija u l-approċċ tal-ittestjar li għandhom jiġu segwiti għal kull fażi speċifika tal-proċess tal-ittestjar;

(c)ir-riżultati, l-istadji tal-għeluq u tar-rimedju tal-ittestjar;

(c)it-tip ta’ kooperazzjoni superviżorja meħtieġa għall-implimentazzjoni tal-ittestjar tal-penetrazzjoni mmexxi mit-theddid fil-kuntest ta’ entitajiet finanzjarji li joperaw f’aktar minn Stat Membru wieħed, biex ikun permess livell xieraq ta’ involviment superviżorju u implimentazzjoni flessibbli biex jiġu koperti l-ispeċifiċitajiet tas-sottosetturi finanzjarji jew tas-swieq finanzjarji lokali.

L-ASE għandhom jissottomettu dawk l-abbozzi ta’ standards tekniċi regolatorji lill-Kummissjoni sa [ĠU: daħħal id-data xahrejn qabel id-data tad-dħul fis-seħħ].

Il-Kummissjoni tingħata s-setgħa li tissupplimenta dan ir-Regolament billi tadotta l-istandards tekniċi regolatorji msemmija fit-tieni subparagrafu f’konformità mal-Artikoli minn 10 sa 14 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1095/2010 u (UE) Nru 1094/2010, rispettivament.

Artikolu 24

Rekwiżiti għas-saġġaturi

1.L-entitajiet finanzjarji għandhom jużaw biss testers għall-użu tal-ittestjar tal-penetrazzjoni mmexxi mit-theddid, li:

(a)ikunu tal-ogħla adattabilità u reputabbiltà;

(b)ikollhom kapaċitajiet tekniċi u organizzazzjonali u juru għarfien espert speċifiku fl-intelligence tat-theddid, l-ittestjar tal-penetrazzjoni jew l-ittestjar tat-tim l-aħmar;

(c)huma ċċertifikati minn korp ta’ akkreditazzjoni fi Stat Membru jew jaderixxu ma’ kodiċijiet ta’ kondotta formali jew oqfsa etiċi;

(d)fil-każ ta’ saġġaturi esterni, jipprovdu aċċertament indipendenti jew rapport tal-awditjar b’rabta mal-ġestjoni tajba tar-riskji assoċjati mal-eżekuzzjoni tal-ittestjar tal-penetrazzjoni mmexxi mit-theddid, inkluża l-protezzjoni xierqa tal-informazzjoni kunfidenzjali tal-entità finanzjarja u r-rimedju għar-riskji tan-negozju tal-entità finanzjarja;

(e)fil-każ ta’ saġġaturi esterni, ikunu debitament jew kompletament koperti minn assigurazzjonijiet ta’ indennizz professjonali rilevanti, inkluż kontra r-riskji ta’ mġiba ħażina u negliġenza.

2.L-entitajiet finanzjarji għandhom jiżguraw li l-ftehimiet konklużi mas-saġġaturi esterni jirrikjedu ġestjoni tajba tar-riżultati tal-ittestjar tal-penetrazzjoni mmexxi mit-theddid u li kwalunkwe pproċessar tagħhom, inklużi kwalunkwe ġenerazzjoni, abbozz, ħażna, aggregazzjoni, rapport, komunikazzjoni jew qerda, ma joħolqux riskji għall-entità finanzjarja.

KAPITOLU V

ĠESTJONI TAR-RISKJU TA’ PARTIJIET TERZI TAL-ICT

TAQSIMA I

Prinċipji ewlenin għal ġestjoni tajba tar-riskju ta’ parti terza tal-ICT

Artikolu 25

Prinċipji ġenerali

L-entitajiet finanzjarji għandhom jiġġestixxu r-riskju ta’ parti terza tal-ICT bħala komponent integrali tar-riskju tal-ICT fil-qafas tal-ġestjoni tar-riskju tal-ICT tagħhom u f’konformità mal-prinċipji li ġejjin:

1.L-entitajiet finanzjarji li għandhom fis-seħħ arranġamenti kuntrattwali għall-użu tas-servizzi tal-ICT biex imexxu l-operazzjonijiet tan-negozju tagħhom għandhom f’kull ħin jibqgħu kompletament responsabbli biex jikkonformaw ma’ l-obbligi kollha u jwettquhom, skont dan ir-Regolament u l-leġiżlazzjoni applikabbli dwar is-servizzi finanzjarji.

2.Il-ġestjoni mill-entitajiet finanzjarji tar-riskju ta’ parti terza tal-ICT għandha tiġi implimentata fid-dawl tal-prinċipju tal-proporzjonalità, filwaqt li jitqiesu:

(a)l-iskala, il-kumplessità u l-importanza tad-dipendenzi relatati mal-ICT,

(b)ir-riskji li jirriżultaw minn arranġamenti kuntrattwali dwar l-użu ta’ servizzi tal-ICT konklużi ma’ fornituri terzi ta’ servizzi tal-ICT, b’kont meħud tal-kritikalità jew tal-importanza tas-servizz, il-proċess jew il-funzjoni rispettivi, u għall-impatt potenzjali fuq il-kontinwità u fuq il-kwalità tas-servizzi u l-attivitajiet finanzjarji, fil-livell individwali u fil-livell ta’ grupp.

3.Bħala parti mill-qafas ta’ ġestjoni tagħhom tar-riskju tal-ICT, l-entitajiet finanzjarji għandhom jadottaw u jirrieżaminaw regolarment strateġija dwar ir-riskju ta’ partijiet terzi tal-ICT, filwaqt li jqisu l-istrateġija ta’ diversi bejjiegħa msemmija fil-punt (g) tal-Artikolu 5(9). Dik l-istrateġija għandha tinkludi politika dwar l-użu ta’ servizzi tal-ICT ipprovduti minn fornituri terzi ta’ servizzi tal-ICT u għandha tapplika fuq bażi individwali u, kif rilevanti, fuq bażi subkonsolidata u konsolidata. Il-korp maniġerjali għandu jirrieżamina regolarment ir-riskji identifikati fir-rigward tal-esternalizzazzjoni ta’ funzjonijiet kritiċi jew importanti.

4.Bħala parti mill-qafas ta’ ġestjoni tagħhom tar-riskju tal-ICT, l-entitajiet finanzjarji għandhom iżommu u jaġġornaw fil-livell tal-entità u, fil-livelli subkonsolidati u kkonsolidati, Reġistru ta’ Informazzjoni fir-rigward tal-arranġamenti kuntrattwali kollha dwar l-użu ta’ servizzi tal-ICT ipprovduti minn fornituri terzi ta’ servizzi tal-ICT.

L-arranġamenti kuntrattwali msemmija fl-ewwel subparagrafu għandhom jiġu ddokumentati b’mod xieraq, filwaqt li ssir distinzjoni bejn dawk li jkopru funzjonijiet kritiċi jew importanti u dawk li le.

L-entitajiet finanzjarji għandhom jirrappurtaw mill-inqas darba fis-sena lill-awtoritajiet kompetenti l-informazzjoni dwar l-għadd ta’ arranġamenti ġodda dwar l-użu tas-servizzi tal-ICT, il-kategoriji tal-fornituri terzi ta’ servizzi tal-ICT, it-tip ta’ arranġamenti kuntrattwali u s-servizzi u l-funzjonijiet li qed jiġu pprovduti.

L-entitajiet finanzjarji għandhom jagħmlu disponibbli għall-awtorità kompetenti, fuq talba, ir-Reġistru sħiħ tal-Informazzjoni jew kif mitlub, taqsimiet speċifikati tiegħu, flimkien ma’ kwalunkwe informazzjoni meqjusa bħala neċessarja biex tkun tista’ ssir is-superviżjoni effettiva tal-entità finanzjarja.

L-entitajiet finanzjarji għandhom jinformaw lill-awtorità kompetenti fil-ħin dwar l-ikkuntrattar ippjanat ta’ funzjonijiet kritiċi jew importanti u meta funzjoni tkun saret kritika jew importanti.

5.Qabel ma jidħlu f’arranġament kuntrattwali dwar l-użu tas-servizzi tal-ICT, l-entitajiet finanzjarji għandhom:

(a)jivvalutaw jekk l-arranġament kuntrattwali jkoprix funzjoni kritika jew importanti;

(b)tivvaluta jekk il-kundizzjonijiet superviżorji għall-ikkuntrattar humiex issodisfati;

(c)jidentifikaw u jivvalutaw ir-riskji rilevanti kollha b’rabta mal-arranġament kuntrattwali, inkluża l-possibbiltà li tali arranġamenti kuntrattwali jistgħu jikkontribwixxu biex jiżdied ir-riskju ta’ konċentrazzjoni tal-ICT;

(d)twettaq id-diliġenza dovuta kollha fuq fornituri terzi prospettivi ta’ servizzi tal-ICT u tiżgura matul il-proċessi tal-għażla u tal-valutazzjoni li l-fornitur terz ta’ servizzi tal-ICT ikun adattat;

(e)jidentifikaw u jivvalutaw il-kunflitti ta’ interess li jista’ jikkawża l-arranġament kuntrattwali.

6.L-entitajiet finanzjarji jistgħu jidħlu biss f’arranġamenti kuntrattwali ma’ fornituri terzi ta’ servizzi tal-ICT li jikkonformaw ma’ standards tas-sigurtà tal-informazzjoni għoljin, xierqa u l-aktar reċenti.

7.Fl-eżerċizzju tad-drittijiet tal-aċċess, tal-ispezzjoni u tal-awditjar fuq il-fornitur terz tas-servizzi tal-ICT, l-entitajiet finanzjarji għandhom, fuq approċċ ibbażat fuq ir-riskju, jiddeterminaw minn qabel il-frekwenza tal-awditi u tal-ispezzjonijiet u tal-oqsma li għandhom jiġu awditjati billi jaderixxu ma’ standards tal-awditjar aċċettati b’mod komuni f’konformità ma’ kwalunkwe struzzjoni superviżorja dwar l-użu u l-inkorporazzjoni ta’ tali standards tal-awditjar.

Għal arranġamenti kuntrattwali li jinvolvu livell għoli ta’ kumplessità teknoloġika, l-entità finanzjarja għandha tivverifika li l-awdituri, kemm jekk ikunu interni, gruppi ta’ awdituri jew awdituri esterni, ikollhom il-ħiliet u l-għarfien xierqa biex iwettqu l-awditi u l-valutazzjonijiet rilevanti b’mod effettiv.

8.L-entitajiet finanzjarji għandhom jiżguraw li l-arranġamenti kuntrattwali dwar l-użu tas-servizzi tal-ICT jiġu tterminati mill-inqas fiċ-ċirkostanzi li ġejjin:

(a)ksur mill-fornitur terz ta’ servizzi tal-ICT tal-liġijiet, tar-regolamenti jew tat-termini kuntrattwali applikabbli;

(b)iċ-ċirkostanzi identifikati matul il-monitoraġġ tar-riskju ta’ parti terza tal-ICT li jitqiesu li jistgħu jbiddlu t-twettiq tal-funzjonijiet ipprovduti permezz tal-arranġament kuntrattwali, inklużi bidliet materjali li jaffettwaw l-arranġament jew is-sitwazzjoni tal-fornitur terz ta’ servizzi tal-ICT;

(c)Id-dgħufijiet evidenzjati tal-fornitur terz ta' servizzi tal-ICT fil-ġestjoni kumplessiva tiegħu tar-riskju tal-ICT u, b’mod partikolari, fil-mod kif jiżgura s-sigurtà u l-integrità ta’ data kunfidenzjali, personali jew sensittiva b’mod ieħor jew informazzjoni mhux personali;

(d)ċirkostanzi fejn l-awtorità kompetenti ma tkunx tista’ twettaq superviżjoni b’mod effettiv tal-entità finanzjarja minħabba l-arranġament kuntrattwali rispettiv.

9.L-entitajiet finanzjarji għandhom jimplimentaw strateġiji ta’ ħruġ sabiex iqisu r-riskji li jistgħu jitfaċċaw fil-livell ta’ fornitur terz ta’ servizzi tal-ICT, b’mod partikolari l-falliment possibbli ta’ dan tal-aħħar, deterjorament tal-kwalità tal-funzjonijiet ipprovduti, kwalunkwe tfixkil fl-operat minħabba forniment mhux xieraq jew li ma sarx ta’ servizzi jew riskju materjali li jirriżulta b’rabta mal-użu xieraq u kontinwu tal-funzjoni.

L-entitajiet finanzjarji għandhom jiżguraw li jkunu jistgħu joħorġu mill-arranġamenti kuntrattwali mingħajr:

(a)tfixkil fl-attivitajiet tan-negozju tagħhom,

(b)limitazzjoni tal-konformità mar-rekwiżiti regolatorji,

(c)detriment għall-kontinwità u l-kwalità tal-forniment tas-servizzi tagħhom lill-klijenti.

Il-pjanijiet ta’ ħruġ għandhom ikunu komprensivi, iddokumentati u, fejn xieraq, ittestjati b’mod suffiċjenti.

L-entitajiet finanzjarji għandhom jidentifikaw soluzzjonijiet alternattivi u jiżviluppaw pjanijiet ta’ tranżizzjoni li jippermettulhom ineħħu l-funzjonijiet ikkuntrattati u d-data rilevanti mingħand il-fornitur terz ta’ servizzi tal-ICT u jittrasferuhom b’mod sigur u integrali lil fornituri alternattivi jew jinkorporawhom mill-ġdid internament.

L-entitajiet finanzjarji għandhom jieħdu miżuri ta’ kontinġenza xierqa biex iżommu l-kontinwità tan-negozju fiċ-ċirkostanzi kollha msemmija fl-ewwel subparagrafu.

10.L-ASE għandhom, permezz tal-Kumitat Konġunt, jiżviluppaw abbozz ta’ standards tekniċi ta’ implimentazzjoni biex jistabbilixxu l-formuli standard għall-finijiet tar-Reġistru tal-informazzjoni msemmi fil-paragrafu 4.

L-ASE għandhom jissottomettu dawk l-abbozzi ta’ standards tekniċi ta’ implimentazzjoni lill-Kummissjoni sa [ĠU: daħħal id-data sena wara d-data tad-dħul fis-seħħ ta’ dan ir-Regolament].

Il-Kummissjoni tingħata s-setgħa li tadotta l-istandards tekniċi ta’ implimentazzjoni msemmija fl-ewwel subparagrafu f’konformità mal-Artikolu 15 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1095/2010 u (UE) Nru 1094/2010, rispettivament.

11.L-ASE għandhom, permezz tal-Kumitat Konġunt, jiżviluppaw abbozzi ta’ standards regolatorji:

(a)tispeċifika aktar il-kontenut dettaljat tal-politika msemmija fil-paragrafu 3 fir-rigward tal-arranġamenti kuntrattwali dwar l-użu ta’ servizzi tal-ICT ipprovduti minn fornituri terzi ta’ servizzi tal-ICT, b’referenza għall-fażijiet ewlenin taċ-ċiklu tal-ħajja tal-arranġamenti rispettivi dwar l-użu tas-servizzi tal-ICT;

(b)it-tipi ta’ informazzjoni li għandhom jiġu inklużi fir-Reġistru ta’ Informazzjoni msemmi fil-paragrafu 4.

L-ASE għandhom jissottomettu dawk l-abbozzi ta’ standards tekniċi regolatorji lill-Kummissjoni sa [PO: daħħal id-data sena wara d-data tad-dħul fis-seħħ].

Il-Kummissjoni tingħata s-setgħa li tissupplimenta dan ir-Regolament billi tadotta l-istandards tekniċi regolatorji msemmija fit-tieni subparagrafu f’konformità mal-Artikoli minn 10 sa 14 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1095/2010 u (UE) Nru 1094/2010, rispettivament.

Artikolu 26

Valutazzjoni preliminari tar-riskju ta’ konċentrazzjoni tal-ICT u arranġamenti ta’ subesternalizzazzjoni ulterjuri

1.Meta jwettqu l-identifikazzjoni u l-valutazzjoni tar-riskju tal-konċentrazzjoni tal-ICT imsemmi fil-punt (c) tal-Artikolu 25(5), l-entitajiet finanzjarji għandhom iqisu jekk il-konklużjoni ta’ arranġament kuntrattwali fir-rigward tas-servizzi tal-ICT twassalx għal xi waħda minn dawn li ġejjin:

(a)l-ikkuntrattar ma’ fornitur terz ta’ servizzi tal-ICT li mhuwiex faċilment sostitwibbli; jew

(b)l-implimentazzjoni ta’ bosta arranġamenti kuntrattwali b’rabta mal-forniment ta’ servizzi tal-ICT mal-istess fornitur terz ta’ servizzi tal-ICT jew ma’ fornituri terzi ta’ servizzi tal-ICT konnessi mill-qrib.

L-entitajiet finanzjarji għandhom jiżnu l-benefiċċji u l-kostijiet ta’ soluzzjonijiet alternattivi, bħall-użu ta’ fornituri terzi ta’ servizzi tal-ICT differenti, filwaqt li jqisu jekk is-soluzzjonijiet previsti jaqblux mal-ħtiġijiet u l-objettivi tan-negozju stabbiliti fl-istrateġija ta’ reżiljenza diġitali tagħhom u kif.

2.Meta l-arranġament kuntrattwali dwar l-użu tas-servizzi tal-ICT ikun jinkludi l-possibbiltà li fornitur terz ta’ servizzi tal-ICT ikompli jissottokuntratta funzjoni kritika jew importanti lil fornituri terzi oħrajn ta’ servizzi tal-ICT, l-entitajiet finanzjarji għandhom jiżnu l-benefiċċji u r-riskji li jistgħu jinħolqu b’konnessjoni ma’ tali sottokuntrattar possibbli, b’mod partikolari fil-każ ta’ sottokuntrattur tal-ICT stabbilit f’pajjiż terz.

Meta jiġu konklużi arranġamenti kuntrattwali dwar l-użu ta’ servizzi tal-ICT ma’ fornitur terz ta’ servizzi tal-ICT stabbilit f’pajjiż terz, l-entitajiet finanzjarji għandhom jikkunsidraw rilevanti tal-inqas il-fatturi li ġejjin:

(a)ir-rispett tal-protezzjoni tad-data;

(b)l-infurzar effettiv tal-liġi;

(c)dispożizzjonijiet tal-liġi dwar l-insolvenza li jkunu japplikaw f’każ ta’ falliment tal-fornitur terz tas-servizzi tal-ICT;

(d)kwalunkwe restrizzjoni li tista’ tinqala’ fir-rigward tal-irkupru urġenti tad-data tal-entità finanzjarja.

L-entitajiet finanzjarji għandhom jivvalutaw jekk il-ktajjen potenzjalment twal jew kumplessi ta’ sottokuntrattar jistgħux ikollhom impatt fuq il-kapaċità tagħhom li jimmonitorjaw bis-sħiħ il-funzjonijiet ikkuntrattati u l-kapaċità tal-awtorità kompetenti li twettaq superviżjoni b’mod effettiv l-entità finanzjarja f’dak ir-rigward u, jekk iva, kif.

Artikolu 27

Dispożizzjonijiet kuntrattwali ewlenin

1.Id-drittijiet u l-obbligi tal-entità finanzjarja u tal-fornitur terzi ta’ servizzi tal-ICT għandhom jiġu allokati b’mod ċar u stabbiliti bil-miktub. Il-kuntratt sħiħ, li jinkludi l-ftehimiet dwar il-livell ta’ servizzi, għandu jiġi ddokumentat f’dokument bil-miktub wieħed disponibbli għall-partijiet fuq karta jew f’format li jista’ jitniżżel u aċċessibbli.

2.L-arranġamenti kuntrattwali dwar l-użu ta’ servizzi tal-ICT għandhom jinkludu mill-inqas dawn li ġejjin:

(a)deskrizzjoni ċara u kompleta tal-funzjonijiet u s-servizzi kollha li għandhom jiġu pprovduti mill-fornitur terz ta’ servizzi tal-ICT, li tindika jekk huwiex permess is-sottokuntrattar ta’ funzjoni kritika jew importanti, jew partijiet materjali tiegħu u, jekk iva, il-kundizzjonijiet li japplikaw għal tali sottokuntrattar;

(b)il-postijiet fejn iridu jiġu pprovduti l-funzjonijiet u s-servizzi kuntrattati jew sottokuntrattati u fejn id-data trid tiġi pproċessata, inkluż il-post tal-ħżin, u r-rekwiżit li l-fornitur terz ta’ servizzi tal-ICT jinnotifika lill-entità finanzjarja jekk ikun biħsiebu jibdel dawn il-postijiet;

(c)dispożizzjonijiet dwar l-aċċessibbiltà, id-disponibbiltà, l-integrità, is-sigurtà u l-protezzjoni tad-data personali u dwar l-iżgurar tal-aċċess, l-irkupru u r-ritorn f’format faċilment aċċessibbli tad-data personali u mhux personali pproċessata mill-entità finanzjarja f’każ ta’ insolvenza, riżoluzzjoni jew waqfien tal-operazzjonijiet tan-negozju tal-fornitur terz ta’ servizzi tal-ICT;

(d)deskrizzjonijiet sħaħ tal-livell tas-servizz, inklużi aġġornamenti u reviżjonijiet tagħhom, u l-miri tal-prestazzjoni kwantitattivi u kwalitattivi preċiżi fil-livelli tas-servizz miftiehma biex jippermettu monitoraġġ effettiv mill-entità finanzjarja u jippermettu mingħajr dewmien żejjed azzjonijiet korrettivi xierqa meta l-livelli tas-servizz miftiehma ma jintlaħqux;

(e)il-perjodi ta’ notifika u l-obbligi ta’ rappurtar tal-fornitur terz ta’ servizzi tal-ICT lill-entità finanzjarja, inkluża n-notifika ta’ kwalunkwe żvilupp li jista’ jkollu impatt materjali fuq il-kapaċità tal-fornitur terz ta’ servizzi tal-ICT li jwettaq funzjonijiet kritiċi jew importanti b’mod effettiv f’konformità mal-livelli tas-servizz miftiehma;

(f)l-obbligu tal-fornitur terz ta’ servizzi tal-ICT li jipprovdi assistenza f’każ ta’ inċident tal-ICT mingħajr kost addizzjonali jew b’kost li jkun ġie determinat ex ante;

(g)rekwiżiti għall-fornitur terz ta’ servizzi tal-ICT biex jimplimenta u jittestja pjanijiet ta’ kontinġenza tan-negozju u biex ikollu fis-seħħ miżuri, għodod u politiki ta’ sigurtà tal-ICT li jiggarantixxu b’mod adegwat provvista sigura ta’ servizzi mill-entità finanzjarja f’konformità mal-qafas regolatorju tagħha;

(h)id-dritt ta’ monitoraġġ fuq bażi kontinwa tal-prestazzjoni tal-fornitur terz ta’ servizzi tal-ICT, li jinkludi:

i)drittijiet ta’ aċċess, spezzjoni u awditjar mill-entità finanzjarja jew minn parti terza maħtura, u d-dritt li jittieħdu kopji tad-dokumentazzjoni rilevanti, li l-eżerċizzju effettiv tagħhom mhuwiex imfixkel jew limitat minn arranġamenti kuntrattwali jew politiki ta’ implimentazzjoni oħrajn;

ii)id-dritt li jintlaħaq qbil fuq il-livelli alternattivi ta’ aċċertament jekk jiġu affettwati d-drittijiet ta’ klijenti oħrajn;

iii)l-impenn li jkun hemm kooperazzjoni sħiħa matul l-ispezzjonijiet fuq il-post imwettqa mill-entità finanzjarja u dettalji dwar il-firxa, il-modalitajiet u l-frekwenza tal-awditi mill-bogħod;

(i)l-obbligu tal-fornitur terz ta’ servizzi ta’ tal-ICT li jikkoopera bis-sħiħ mal-awtoritajiet kompetenti u mal-awtoritajiet ta’ riżoluzzjoni tal-entità finanzjarja, inklużi l-persuni maħtura minnhom;

(j)id-drittijiet ta’ terminazzjoni u perjodu minimu ta’ avviżi relatati mat-terminazzjoni tal-kuntratt, f’konformità mal-aspettattivi tal-awtoritajiet kompetenti;

(k)strateġiji ta’ ħruġ, b’mod partikolari l-istabbiliment ta’ perjodu ta’ tranżizzjoni adegwat obbligatorju:

(a)li matulu l-fornitur terz ta’ servizzi tal-ICT ikompli jipprovdi l-funzjonijiet jew is-servizzi rispettivi bil-ħsieb li jitnaqqas ir-riskju ta’ tfixkil fl-entità finanzjarja;

(b)li jippermetti lill-entità finanzjarja taqleb għal fornitur terz ieħor ta’ servizzi tal-ICT jew taqleb għal soluzzjonijiet fuq il-post konsistenti mal-kumplessità tas-servizz ipprovdut.

3.Meta jinnegozjaw arranġamenti kuntrattwali, l-entitajiet finanzjarji u l-fornituri terzi ta’ servizzi tal-ICT għandhom jikkunsidraw l-użu ta’ klawżoli kuntrattwali standard żviluppati għal servizzi speċifiċi.

4.L-ASE għandhom, permezz tal-Kumitat Konġunt, jiżviluppaw abbozzi ta’ standards tekniċi regolatorji biex jispeċifikaw aktar l-elementi li jeħtieġ li tiddetermina u tivvaluta entità finanzjarja meta tissottokuntratta funzjonijiet kritiċi jew importanti biex twettaq sew id-dispożizzjonijiet tal-punt (a) tal-paragrafu 2.

L-ASE għandhom jissottomettu dawk l-abbozzi ta’ standards tekniċi regolatorji lill-Kummissjoni sa [ĠU: daħħal id-data sena wara d-data tad-dħul fis-seħħ].

Il-Kummissjoni tingħata s-setgħa li tissupplimenta dan ir-Regolament billi tadotta l-istandards tekniċi regolatorji msemmija fl-ewwel subparagrafu f’konformità mal-Artikoli minn 10 sa 14 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1095/2010 u (UE) Nru 1094/2010, rispettivament.

TAQSIMA II

Qafas tas-sorveljanza tal-fornituri terzi kritiċi ta’ servizzi tal-ICT

Artikolu 28

Ħatra ta’ fornituri terzi kritiċi ta’ servizzi tal-ICT

1.L-ASE, permezz tal-Kumitat Konġunt u fuq rakkomandazzjoni mill-Forum ta’ Sorveljanza stabbilit skont l-Artikolu 29(1) għandhom:

(a)jaħtru l-fornituri terzi ta’ servizzi tal-ICT li huma kritiċi għall-entitajiet finanzjarji, b’kont meħud tal-kriterji speċifikati fil-paragrafu 2;

(b)jaħtru jew lill-EBA, l-ESMA jew l-EIOPA bħala Solverjant Ewlieni għal kull fornitur terz kritiku ta’ servizzi tal-ICT, skont jekk il-valur totali tal-assi tal-entitajiet finanzjarji li jagħmlu użu mis-servizzi ta’ dak il-fornitur kritiku ta’ servizzi tal-ICT u li huma koperti minn wieħed mir-Regolamenti (UE) Nru 1093/2010 (UE), Nru 1094/2010 jew (UE) Nru 1095/2010 rispettivament, jirrappreżentax aktar minn nofs il-valur tal-assi totali tal-entitajiet finanzjarji kollha li jagħmlu użu mis-servizzi tal-fornitur terz kritiku ta’ servizzi tal-ICT, kif evidenzjat mill-karti bilanċjali konsolidati ta’ dawk l-entitajiet finanzjarji, jew mill-karti bilanċjali individwali meta l-karti bilanċjali ma jkunux konsolidati.

2.Il-ħatra msemmija fil-punt (a) tal-paragrafu 1 għandha tkun ibbażata fuq il-kriterji kollha li ġejjin:

(a)l-impatt sistemiku fuq l-istabbiltà, il-kontinwità jew il-kwalità tal-forniment ta’ servizzi finanzjarji f’każ li l-fornitur terz rilevanti tal-ICT ikun affrontat minn nuqqas operattiv fuq skala kbira li jipprovdi s-servizzi tiegħu, b’kont meħud tal-għadd ta’ entitajiet finanzjarji li lilhom jipprovdi servizzi l-fornitur terz rilevanti ta’ servizzi tal-ICT;

(b)in-natura sistemika jew l-importanza tal-entitajiet finanzjarji li jiddependu fuq il-fornitur terz rilevanti tal-ICT, ivvalutata skont il-parametri li ġejjin:

i)l-għadd ta’ istituzzjonijiet globali sistemikament importanti (G-SIIs) jew istituzzjonijiet sistemikament importanti oħrajn (O-SIIs) li jiddependu fuq il-fornitur terz rispettiv ta’ servizzi tal-ICT;

ii)l-interdipendenza bejn il-G-SIIs jew l-O-SIIs imsemmija fil-punt (i) u entitajiet finanzjarji oħrajn, inklużi sitwazzjonijiet fejn il-G-SIIs jew l-O-SIIs jipprovdu servizzi ta’ infrastruttura finanzjarja lil entitajiet finanzjarji oħrajn;

(c)id-dipendenza tal-entitajiet finanzjarji fuq is-servizzi pprovduti mill-fornitur terz ta’ servizzi tal-ICT b’rabta mal-funzjonijiet kritiċi jew importanti ta’ entitajiet finanzjarji li fl-aħħar mill-aħħar jinvolvu l-istess fornitur terz ta’ servizzi tal-ICT, irrispettivament minn jekk l-entitajiet finanzjarji jiddependux fuq dawk is-servizzi direttament jew indirettament, bis-saħħa jew permezz ta’ arranġamenti ta’ sottokuntrattar;

(d)il-grad ta’ sostitwibbiltà tal-fornitur terz ta’ servizzi tal-ICT, filwaqt li jitqiesu l-parametri li ġejjin:

i)in-nuqqas ta’ alternattivi reali, anki parzjali, minħabba l-għadd limitat ta’ fornituri terzi ta’ servizzi tal-ICT attivi f’suq speċifiku, jew is-sehem mis-suq tal-fornitur terz rilevanti ta’ servizzi tal-ICT, jew il-kumplessità teknika jew is-sofistikazzjoni involuta, inkluż b’rabta ma’ kwalunkwe teknoloġija proprjetarja, jew il-karatteristiċi speċifiċi tal-organizzazzjoni jew l-attività tal-fornitur terz ta’ servizzi tal-ICT;

ii)diffikultajiet għall-migrazzjoni parzjali jew sħiħa tad-data u t-tagħbijiet tax-xogħol rilevanti mill-fornitur terz rilevanti ta’ servizzi tal-ICT lil fornitur ieħor ta’ tali servizzi, minħabba l-kostijiet finanzjarji sinifikanti, iż-żmien jew tip ieħor ta’ riżorsi li jista’ jinvolvi l-proċess ta’ migrazzjoni, jew minħabba żieda fir-riskji tal-ICT jew ta’ riskji operazzjonali oħrajn li għalihom tista’ tkun esposta l-entità finanzjarja permezz ta’ tali migrazzjoni;

(e)l-għadd ta’ Stati Membri li fihom jipprovdi servizzi l-fornitur terz rilevanti ta’ servizzi tal-ICT;

(f)l-għadd ta’ Stati Membri li fihom ikunu qegħdin joperaw l-entitajiet finanzjarji li jużaw il-fornitur terz rilevanti ta’ servizzi tal-ICT.

3.Il-Kummissjoni qed tingħata s-setgħa li tadotta atti delegati f’konformità mal-Artikolu 50 sabiex tissupplimenta l-kriterji msemmija fil-paragrafu 2.

4.Il-mekkaniżmu ta’ ħatra msemmi fil-punt (a) tal-paragrafu 1 ma għandux jintuża qabel ma l-Kummissjoni tkun adottat att delegat f’konformità mal-paragrafu 3.

5.Il-mekkaniżmu ta’ ħatra msemmi fil-punt (a) tal-paragrafu 1 ma għandux japplika b’rabta mal-fornituri terzi ta’ servizzi tal-ICT li huma soġġetti għal oqfsa ta’ sorveljanza stabbiliti għall-finijiet ta’ appoġġ għall-kompiti msemmija fl-Artikolu 127(2) tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea.

6.L-ASE, permezz tal-Kumitat Konġunt, għandhom jistabbilixxu, jippubblikaw u jaġġornaw kull sena l-lista ta’ fornituri terzi kritiċi ta’ servizzi tal-ICT fil-livell tal-Unjoni.

7.Għall-finijiet tal-punt (a) tal-paragrafu 1, l-awtoritajiet kompetenti għandhom jittrażmettu, fuq bażi annwali u aggregata, ir-rapporti msemmija fl-Artikolu 25(4) lill-Forum ta’ Sorveljanza stabbilit skont l-Artikolu 29. Il-Forum ta’ Sorveljanza għandu jivvaluta d-dipendenzi ta’ entitajiet finanzjarji fuq partijiet terzi tal-ICT abbażi tal-informazzjoni li jirċievu mill-awtoritajiet kompetenti.

8.Il-fornituri terz ta’ servizzi tal-ICT li mhumiex fil-lista msemmija fil-paragrafu 6 jistgħu jitolbu li jiġu inklużi f’dik il-lista.

Għall-fini tal-ewwel subparagrafu, il-fornitur terz ta’ servizzi tal-ICT għandu jissottometti applikazzjoni motivata lill-ABE, lill-AETS jew lill-AEAPX, li, permezz tal-Kumitat Konġunt, għandhom jiddeċiedu jekk jinkludix lil dak il-fornitur terz ta’ servizzi tal-ICT f’dik il-lista skont il-punt (a) tal-paragrafu 1.

Id-deċiżjoni msemmija fit-tieni subparagrafu għandha tiġi adottata u nnotifikata lill-fornitur terz ta’ servizzi tal-ICT fi żmien 6 xhur minn meta tasal l-applikazzjoni.

9.L-entitajiet finanzjarji ma għandhomx jagħmlu użu minn fornitur terz ta’ servizzi tal-ICT stabbilit f’pajjiż terz li kien jinħatar bħala kritiku skont il-punt (a) tal-paragrafu 1 kieku kien stabbilit fl-Unjoni.

Artikolu 29

Struttura tal-Qafas ta’ Sorveljanza

1.Il-Kumitat Konġunt, f’konformità mal-Artikolu 57 tar-Regolament (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010, għandu jistabbilixxi l-Forum ta’ Sorveljanza bħala sottokumitat għall-finijiet ta’ appoġġ għall-ħidma tal-Kumitat Konġunt u s-Sorveljant Ewlieni msemmi fil-punt (b) tal-Artikolu 28(1) fil-qasam tar-riskju ta’ partijiet terzi tal-ICT fis-setturi finanzjarji kollha. Il-Forum ta’ Sorveljanza għandu jħejji l-abbozzi tal-pożizzjonijiet konġunti u tal-atti komuni tal-Kumitat Konġunt f’dak il-qasam.

Il-Forum ta’ Sorveljanza għandu jiddiskuti regolarment l-iżviluppi rilevanti dwar ir-riskji u l-vulnerabbiltajiet tal-ICT u jippromwovi approċċ konsistenti fil-monitoraġġ tar-riskju tal-partijiet terzi tal-ICT fuq skala tal-Unjoni.

2.Il-Forum ta’ Sorveljanza għandu fuq bażi annwali jwettaq valutazzjoni kollettiva tar-riżultati u s-sejbiet tal-attivitajiet ta’ Sorveljanza mwettqa għall-fornituri terzi kritiċi kollha tal-ICT u jippromwovi miżuri ta’ koordinazzjoni biex tiżdied ir-reżiljenza operazzjonali diġitali tal-entitajiet finanzjarji, jitrawmu l-aħjar prattiki dwar l-indirizzar tar-riskju tal-konċentrazzjoni tal-ICT u jiġu esplorati mitiganti għal tar-riskju li jiġu trasferiti minn settur għall-ieħor.

3.Il-Forum ta’ Sorveljanza għandu jippreżenta parametri referenzjarji komprensivi ta’ fornituri terzi kritiċi ta’ servizzi tal-ICT li għandhom jiġu adottati mill-Kumitat Konġunt bħala pożizzjonijiet konġunti tal-ASE skont l-Artikoli 56(1) tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010.

4.Il-Forum ta’ Sorveljanza għandu jkun magħmul mill-Presidenti tal-ASE, u minn rappreżentant wieħed ta’ livell għoli mill-persunal attwali tal-awtorità kompetenti rilevanti minn kull Stat Membru. Id-Diretturi Eżekuttivi ta’ kull ASE u rappreżentant wieħed mill-Kummissjoni Ewropea, mill-BERS, mill-BĊE u mill-ENISA għandhom jipparteċipaw fil-Forum ta’ Sorveljanza bħala osservaturi.

5.F’konformità mal-Artikolu 16 tar-Regolament (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010, l-ASE għandhom joħorġu linji gwida dwar il-kooperazzjoni bejn l-ASE u l-awtoritajiet kompetenti għall-finijiet ta’ din it-Taqsima dwar il-proċeduri u l-kundizzjonijiet dettaljati relatati mat-twettiq tal-kompiti bejn l-awtoritajiet kompetenti u l-ASE u dettalji dwar l-iskambji ta’ informazzjoni meħtieġa mill-awtoritajiet kompetenti biex jiġi żgurat is-segwitu tar-rakkomandazzjonijiet indirizzati mis-Sorveljanti ewlenin skont il-punt (d) tal-Artikolu 31(1) lil fornituri terzi kritiċi tal-ICT.

6.Ir-rekwiżiti stabbiliti f’din it-Taqsima għandhom ikunu mingħajr preġudizzju għall-applikazzjoni tad-Direttiva (UE) 2016/1148 u ta’ regoli oħrajn tal-Unjoni dwar is-sorveljanza applikabbli għall-fornituri ta’ servizzi ta’ cloud computing.

7.L-ASE, permezz tal-Kumitat Konġunt u abbażi tal-ħidma preparatorja mwettqa mill-Forum ta’ Sorveljanza, għandhom jippreżentaw kull sena lill-Parlament Ewropew, lill-Kunsill u lill-Kummissjoni rapport dwar l-applikazzjoni ta’ din it-Taqsima.

Artikolu 30

Kompiti tas-Sorveljant Ewlieni

1.Is-Sorveljant Ewlieni għandu jivvaluta jekk kull fornitur terz kritiku ta’ servizz tal-ICT għandux fis-seħħ regoli, proċeduri, mekkaniżmi u arranġamenti komprensivi, sodi u effettivi għall-ġestjoni tar-riskji tal-ICT li jista’ joħloq għall-entitajiet finanzjarji.

2.Il-valutazzjoni msemmija fil-paragrafu 1 għandha tinkludi:

(a)ir-rekwiżiti tal-ICT biex jiġu żgurati, b’mod partikolari, is-sigurtà, id-disponibbiltà, il-kontinwità, l-iskalabbiltà u l-kwalità tas-servizzi li jipprovdi l-fornitur terz kritiku ta’ servizzi tal-ICT lill-entitajiet finanzjarji, kif ukoll il-kapaċità li jinżammu f’kull ħin standards għoljin ta’ sigurtà, kunfidenzjalità u integrità tad-data;

(b)is-sigurtà fiżika li tikkontribwixxi għall-iżgurar tas-sigurtà tal-ICT, inkluża s-sigurtà tal-bini, tal-faċilitajiet u taċ-ċentri tad-data;

(c)il-proċessi tal-ġestjoni tar-riskju, inklużi l-politiki tal-ġestjoni tar-riskju tal-ICT, il-kontinwità tal-operat tal-ICT u l-pjanijiet ta’ rkupru minn diżastri tal-ICT;

(d)l-arranġamenti ta’ governanza, inkluża struttura organizzazzjonali b’linji ċari, trasparenti u konsistenti ta’ responsabbiltà u akkontabbiltà li jippermettu ġestjoni effettiva tar-riskju tal-ICT;

(e)l-identifikazzjoni, il-monitoraġġ u r-rapportar fil-pront ta’ inċidenti relatati mal-ICT lill-entitajiet finanzjarji, il-ġestjoni u r-riżoluzzjoni ta’ dawk l-inċidenti, b’mod partikolari l-attakki ċibernetiċi;

(f)il-mekkaniżmi għall-portabbiltà tad-data, il-portabbiltà u l-interoperabbiltà tal-applikazzjonijiet, li jiżguraw eżerċitar effettiv tad-drittijiet ta’ terminazzjoni mill-entitajiet finanzjarji;

(g)l-ittestjar tas-sistemi, tal-infrastruttura u tal-kontrolli tal-ICT;

(h)l-awditi tal-ICT;

(i)l-użu ta’ standards nazzjonali u internazzjonali rilevanti applikabbli għall-forniment tas-servizzi tal-ICT lill-entitajiet finanzjarji.

3.Abbażi tal-valutazzjoni msemmija fil-paragrafu 1, is-Sorveljant Ewlieni għandu jadotta pjan ta’ Sorveljanza individwali ċar, dettaljat u motivat għal kull fornitur terz kritiku ta’ servizzi tal-ICT. Dak il-pjan għandu jiġi kkomunikat kull sena lill-fornitur terz kritiku ta’ servizzi tal-ICT.

4.Ladarba l-pjanijiet annwali ta’ Sorveljanza msemmija fil-paragrafu 3 ikunu ġew miftiehma u nnotifikati lill-fornituri terzi kritiċi ta’ servizzi tal-ICT, l-awtoritajiet kompetenti jistgħu jieħdu biss miżuri li jikkonċernaw fornituri terzi kritiċi ta’ servizzi tal-ICT bi qbil mas-Sorveljant Ewlieni.

Artikolu 31

Setgħat tas-Sorveljant Ewlieni

1.Għall-finijiet tat-twettiq tad-dmirijiet stabbiliti f’din it-Taqsima, is-Sorveljant Ewlieni għandu jkollu s-setgħat li ġejjin:

(a)li jitlob l-informazzjoni u d-dokumentazzjoni rilevanti kollha f’konformità mal-Artikolu 32;

(b)li jwettaq investigazzjonijiet u spezzjonijiet ġenerali f’konformità mal-Artikoli 33 u 34;

(c)li jitlob rapporti wara t-tlestija tal-attivitajiet ta’ Sorveljanza li jispeċifikaw l-azzjonijiet li ttieħdu jew ir-rimedji li ġew implimentati mill-fornituri terzi kritiċi tal-ICT fir-rigward tar-rakkomandazzjonijiet imsemmija fil-punt (d) ta’ dan il-paragrafu;

(d)li jindirizza rakkomandazzjonijiet dwar l-oqsma msemmija fl-Artikolu 30(2), b’mod partikolari dwar dan li ġej:

(i)l-użu ta’ rekwiżiti jew proċessi speċifiċi ta’ sigurtà u kwalità tal-ICT, b’mod partikolari fir-rigward tal-introduzzjoni ta’ patches, aġġornamenti, kriptaġġ u miżuri oħra ta’ sigurtà li s-Sorveljatur Ewlieni jqis rilevanti biex tiġi żgurata s-sigurtà tal-ICT tas-servizzi pprovduti lill-entitajiet finanzjarji;

(ii)l-użu ta’ kundizzjonijiet u termini, inkluża l-implimentazzjoni teknika tagħhom, li skonthom il-fornituri terzi kritiċi ta’ servizzi tal-ICT jipprovdu servizzi lil entitajiet finanzjarji, li s-Sorveljant Ewlieni jqis rilevanti għall-prevenzjoni tal-ġenerazzjoni ta’ punti uniċi ta’ falliment, jew l-amplifikazzjoni tagħhom, jew biex jiġi minimizzat l-impatt sistemiku possibbli fis-settur finanzjarju tal-Unjoni f’każ ta’ riskju ta’ konċentrazzjoni tal-ICT;

(iii)mal-eżaminazzjoni li ssir skont l-Artikoli 32 u 33 tal-arranġamenti ta’ sottokuntrattar, inklużi arranġamenti ta’ subesternalizzazzjoni li l-fornituri terzi kritiċi ta’ servizzi tal-ICT jippjanaw li jwettqu ma’ fornituri terzi oħra ta’ servizzi tal-ICT jew ma’ sottokuntratturi tal-ICT stabbiliti f’pajjiż terz, kwalunkwe sottokuntrattar ippjanat, inkluż is-sottokuntrattar, fejn is-Sorveljant Ewlieni jqis li aktar sottokuntrattar jista’ jiskatta riskji għall-forniment ta’ servizzi mill-entità finanzjarja, jew riskji għall-istabbiltà finanzjarja;

(iv)toqgħod lura milli tidħol f’arranġament ta’ sottokuntrattar ulterjuri, meta jiġu ssodisfati l-kundizzjonijiet kumulattivi li ġejjin:

–is-sottokuntrattur previst ikun fornitur terz ta’ servizzi tal-ICT jew sottokuntrattur tal-ICT stabbilit f’pajjiż terz;

–is-sottokuntrattar jikkonċerna funzjoni kritika jew importanti tal-entità finanzjarja.

2.Is-Sorveljant Ewlieni għandu jikkonsulta mal-Forum ta’ Sorveljanza qabel ma jeżerċita s-setgħat imsemmija fil-paragrafu 1.

3.Il-fornituri terzi kritiċi ta’ servizzi tal-ICT għandhom jikkooperaw in bona fide mas-Sorveljant Ewlieni u jassistu lis-Sorveljant Ewlieni fit-twettiq tal-kompiti tiegħu.

4.Is-Sorveljant Ewlieni jista’ jimponi ħlas perjodiku ta’ penali biex iġiegħel lill-fornitur terz kritiku ta’ servizzi tal-ICT jikkonforma mal-punti (a), (b) u (c) tal-paragrafu 1.

5.Il-pagament perjodiku ta’ penali msemmi fil-paragrafu 4 għandu jiġi impost fuq bażi ta’ kuljum sakemm tinkiseb il-konformità u għal mhux aktar minn perjodu ta’ sitt xhur wara n-notifika lill-fornitur terz kritiku ta’ servizzi tal-ICT.

6.L-ammont tal-ħlas perjodiku ta’ penali, ikkalkulat mid-data stipulata fid-deċiżjoni li timponi l-ħlas perjodiku ta’ penali, għandu jkun ta’ 1 % tal-fatturat medju globali ta’ kuljum tal-fornitur terz kritiku ta’ servizzi tal-ICT fis-sena kummerċjali preċedenti.

7.Il-ħlasijiet ta’ penali għandhom ikunu ta’ natura amministrattiva u għandhom ikunu infurzabbli. L-infurzar għandu jkun irregolat mir-regoli ta’ proċedura ċivili fis-seħħ fl-Istat Membru li fit-territorju tiegħu għandhom jitwettqu l-ispezzjonijiet u l-aċċess. Il-qrati tal-Istat Membru kkonċernat għandu jkollhom ġurisdizzjoni fuq l-ilmenti relatati mat-twettiq irregolari tal-infurzar. L-ammonti tal-ħlasijiet ta’ penali għandhom jiġu allokati lill-baġit ġenerali tal-Unjoni Ewropea.

8.L-ASE għandhom jiżvelaw lill-pubbliku kull ħlas perjodiku ta’ penali li jkun ġie impost, sakemm tali divulgazzjoni lill-pubbliku ma tipperikolax serjament is-swieq finanzjarji jew tikkawża dannu sproporzjonat lill-partijiet involuti.

9.Qabel ma jimponi ħlas perjodiku ta’ penali skont il-paragrafu 4, is-Sorveljant Ewlieni għandu jagħti lir-rappreżentanti tal-fornitur terz kritiku tal-ICT soġġett għall-proċedimenti l-opportunità li jinstema’ dwar is-sejbiet u għandu jibbaża d-deċiżjonijiet tiegħu biss fuq sejbiet li dwarhom il-fornitur terz kritiku tal-ICT soġġett għall-proċedimenti kellu l-opportunità li jikkummenta. Id-drittijiet tad-difiża tal-persuni soġġetti għall-proċedimenti għandhom jiġu rrispettati bis-sħiħ fil-proċedimenti. Huma għandhom ikunu intitolati jkollhom aċċess għall-fajl, soġġett għall-interess leġittimu ta’ persuni oħrajn li jipproteġu s-sigrieti kummerċjali tagħhom. Id-dritt ta’ aċċess għall-fajl ma għandux jestendi għal informazzjoni kunfidenzjali jew għad-dokumenti preparatorji interni tas-Sorveljant Ewlieni.

Artikolu 32
Talba għal informazzjoni

1.Is-Sorveljant Ewlieni jista’, permezz ta’ talba sempliċi jew b’deċiżjoni, jitlob lill-fornituri terzi kritiċi tal-ICT jipprovdu l-informazzjoni kollha li hija meħtieġa biex is-Sorveljant Ewlieni jwettaq dmirijietu skont dan ir-Regolament, inklużi d-dokumenti operazzjonali jew tan-negozju rilevanti kollha, il-kuntratti, id-dokumentazzjoni tal-politiki, ir-rapporti tal-awditjar tas-sigurtà tal-ICT, ir-rapporti tal-inċidenti relatati mal-ICT, kif ukoll kwalunkwe informazzjoni relatata mal-partijiet li lilhom il-fornitur terz kritiku tal-ICT ikun esternalizza funzjonijiet jew attivitajiet operazzjonali.

2.Meta jibgħat talba sempliċi għall-informazzjoni skont il-paragrafu 1, is-Sorveljant Ewlieni għandu:

(a)jirreferi għal dan l-Artikolu bħala l-bażi ġuridika tat-talba;

(b)jiddikjara l-iskop tat-talba;

(c)jispeċifika x’informazzjoni hija meħtieġa;

(d)jistabbilixxi limitu ta’ żmien li fih għandha tiġi pprovduta l-informazzjoni;

(e)jinforma lir-rappreżentant tal-fornitur terz kritiku ta’ servizzi tal-ICT li mingħandu tintalab l-informazzjoni li huwa mhuwiex obbligat li jipprovdi l-informazzjoni, iżda li f’każ ta’ tweġiba volontarja għat-talba, l-informazzjoni pprovduta ma tridx tkun skorretta jew qarrieqa.

3.Meta jitlob li tiġi fornuta l-informazzjoni skont il-paragrafu 1, is-Sorveljant Ewlieni għandu:

(a)jirreferi għal dan l-Artikolu bħala l-bażi ġuridika tat-talba;

(b)jiddikjara l-iskop tat-talba;

(c)jispeċifika x’informazzjoni hija meħtieġa;

(d)jistabbilixxi limitu ta’ żmien li fih għandha tiġi pprovduta l-informazzjoni;

(e)jindika l-ħlasijiet perjodiċi ta’ penali previsti fl-Artikolu 31(4) meta tal-informazzjoni meħtieġa mogħtija ma tkunx kompluta;

(f)jindika d-dritt għal appell tad-deċiżjoni quddiem il-Bord tal-Appell tal-ASE u għad-dritt li d-deċiżjoni tiġi rieżaminata mill-Qorti tal-Ġustizzja tal-Unjoni Ewropea (“il-Qorti tal-Ġustizzja”) f’konformità mal-Artikoli 60 u 61 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010, rispettivament.

4.Ir-rappreżentanti ta’ fornituri terzi kritiċi ta’ servizzi tal-ICT għandhom jipprovdu l-informazzjoni mitluba. L-avukati debitament awtorizzati biex jaġixxu jistgħu jfornu l-informazzjoni f’isem il-klijenti tagħhom. Il-fornitur terz kritiku ta’ servizzi tal-ICT għandu jibqa’ kompletament responsabbli jekk l-informazzjoni mogħtija ma tkunx kompleta, jew tkun skorretta jew qarrieqa.

5.Is-Sorveljant Ewlieni għandu, mingħajr dewmien, jibgħat kopja tad-deċiżjoni biex jipprovdi informazzjoni lill-awtoritajiet kompetenti tal-entitajiet finanzjarji li jużaw is-servizzi ta’ fornituri terzi kritiċi tal-ICT.

Artikolu 33
Investigazzjonijiet ġenerali

1.Sabiex iwettaq dmirijietu skont dan ir-Regolament, id-Sorveljant Ewlieni, assistit mit-tim tal-eżaminazzjoni msemmi fl-Artikolu 34(1), jista’ jwettaq l-investigazzjonijiet meħtieġa tal-fornituri terzi ta’ servizzi tal-ICT:

2.Is-Sorveljant Ewlieni għandu jkollu s-setgħa li:

(a)jeżamina r-rekords, id-data, il-proċeduri u kwalunkwe materjal ieħor rilevanti għat-twettiq tal-kompiti tiegħu, irrispettivament mill-mezz li fuqu jkunu maħżuna;

(b)jieħu jew jikseb kopji ċċertifikati ta’, jew siltiet minn, tali rekords, data, proċeduri u materjal ieħor;

(c)isejjaħ għar-rappreżentanti tal-fornitur terz ta’ servizzi tal-ICT għal spjegazzjonijiet bil-fomm jew bil-miktub dwar fatti jew dokumenti relatati mas-suġġett u mal-fini tal-investigazzjoni u biex jirreġistra t-tweġibiet;

(d)jintervista lil kwalunkwe persuna fiżika jew ġuridika oħra li tagħti l-kunsens tagħha sabiex tiġi intervistata għall-fini tal-ġbir ta’ informazzjoni relatata mas-suġġett ta’ investigazzjoni;

(e)jitlob rekords tat-traffiku tat-telefon u tad-data.

3.L-uffiċjali u persuni oħrajn awtorizzati mis-Sorveljant Ewlieni għall-finijiet tal-investigazzjoni msemmija fil-paragrafu 1 għandhom jeżerċitaw is-setgħat tagħhom billi jippreżentaw awtorizzazzjoni bil-miktub li tispeċifika s-suġġett u l-fini tal-investigazzjoni.

Dik l-awtorizzazzjoni għandha tindika wkoll il-ħlasijiet perjodiċi ta’ penali previsti fl-Artikolu 31(4) meta r-rekords, id-data, il-proċeduri jew kwalunkwe materjal ieħor meħtieġ, jew it-tweġibiet għall-mistoqsijiet li jsiru lir-rappreżentanti tal-fornitur terz tas-servizzi tal-ICT ma jiġux ipprovduti jew ma jkunux kompluti.

4.Ir-rappreżentanti tal-fornituri terzi ta’ servizzi tal-ICT huma meħtieġa jissottomettu ruħhom għall-investigazzjonijiet abbażi ta’ deċiżjoni tas-Sorveljant Ewlieni. Id-Deċiżjoni għandha tispeċifika s-suġġett u l-fini tal-investigazzjoni, il-ħlasijiet perjodiċi ta’ penali previsti fl-Artikolu 31(4), ir-rimedji legali disponibbli skont ir-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010 u d-dritt għal rieżami tad-deċiżjoni mill-Qorti tal-Ġustizzja.

5.Fi żmien xieraq qabel l-investigazzjoni, is-Sorveljanti Ewlenin għandhom jinformaw lill-awtoritajiet kompetenti tal-entitajiet finanzjarji li jużaw dak il-fornitur terz ta’ servizzi tal-ICT dwar l-investigazzjoni u dwar l-identità tal-persuni awtorizzati.

Artikolu 34
Spezzjonijiet fuq il-post

1.Sabiex iwettaq dmirijietu skont dan ir-Regolament, is-Sorveljant Ewlieni, assistit mit-timijiet tal-eżaminazzjonijiet msemmija fl-Artikolu 35(1), jista’ jidħol u jwettaq l-ispezzjonijiet kollha meħtieġa fuq il-post fi kwalunkwe bini tan-negozju, art jew proprjetà tal-fornituri terzi tal-ICT, bħall-uffiċċji prinċipali, iċ-ċentri tal-operazzjonijiet, il-bini sekondarju, kif ukoll biex iwettaq spezzjonijiet offline.

2.L-uffiċjali u persuni oħra awtorizzati mis-Sorveljant Ewlieni biex iwettqu spezzjoni fuq il-post, jistgħu jidħlu fi kwalunkwe bini tan-negozju, art jew proprjetà bħal dawn u għandu jkollhom is-setgħat kollha biex jissiġillaw kwalunkwe bini tan-negozju u kotba jew reġistri għall-perjodu tal-ispezzjoni u sal-limitu meħtieġ għaliha.

Huma għandhom jeżerċitaw is-setgħat tagħhom billi jipproduċu awtorizzazzjoni bil-miktub li tispeċifika s-suġġett u l-fini tal-ispezzjoni u l-ħlasijiet perjodiċi ta’ penali previsti fl-Artikolu 31(4) meta r-rappreżentanti tal-fornituri terzi ta’ servizzi tal-ICT ikkonċernati ma jissottomettux ruħhom għall-ispezzjoni.

3.Fi żmien xieraq qabel l-ispezzjoni, is-Sorveljanti Ewlenin għandhom jinformaw lill-awtoritajiet kompetenti dwar l-entitajiet finanzjarji li jużaw dak il-fornitur terz tal-ICT.

4.L-ispezzjonijiet għandhom ikopru l-firxa sħiħa ta’ sistemi, netwerks, apparat, informazzjoni u data rilevanti tal-ICT li jintużaw jew jikkontribwixxu għall-forniment ta’ servizzi lil entitajiet finanzjarji.

5.Qabel kwalunkwe żjara ppjanata fuq il-post, is-Sorveljanti Ewlenin għandhom jagħtu avviż raġonevoli lill-fornituri terzi kritiċi ta’ servizzi tal-ICT, sakemm tali avviż ma jkunx mhux possibbli minħabba sitwazzjoni ta’ emerġenza jew kriżi, jew jekk dan iwassal għal sitwazzjoni fejn l-ispezzjoni jew l-awditu ma jibqgħux effettivi.

6.Il-fornitur terz kritiku ta’ servizzi tal-ICT għandu jissottometti ruħu għall-ispezzjonijiet fuq il-post ordnati b’deċiżjoni tas-Sorveljant Ewlieni. Id-Deċiżjoni għandha tispeċifika s-suġġett u l-fini tal-ispezzjoni, tagħżel id-data ta’ meta se tibda’ u tindika il-ħlasijiet perjodiċi ta’ penali previsti fl-Artikolu 31(4), ir-rimedji legali disponibbli skont ir-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010 u d-dritt għal rieżami tad-deċiżjoni mill-Qorti tal-Ġustizzja.

7.Meta l-uffiċjali u persuni oħrajn awtorizzati mis-Sorveljant Ewlieni jsibu li fornitur terz kritiku ta’ servizzi tal-ICT jopponi spezzjoni ordnata skont dan l-Artikolu, is-Sorveljant Ewlieni għandu jinforma lill-fornitur kritiku tal-ICT dwar il-konsegwenzi ta’ tali oppożizzjoni, inkluża l-possibbiltà li l-awtoritajiet kompetenti tal-entitajiet finanzjarji rilevanti jtemmu l-arranġamenti kuntrattwali konklużi ma’ dak il-fornitur terz kritiku ta’ servizzi tal-ICT.

Artikolu 35
Sorveljanza Kontinwa

1.Meta jwettqu investigazzjonijiet ġenerali jew spezzjonijiet fuq il-post, is-Sorveljanti Ewlenin għandhom ikunu assistiti minn tim tal-eżaminazzjonijiet stabbilit għal kull fornitur terz kritiku ta’ servizz tal-ICT.

2.It-tim tal-eżaminazzjoni konġunt imsemmi fil-paragrafu 1 għandu jkun magħmul minn membri tal-persunal mis-Sorveljant Ewlieni u mill-awtoritajiet kompetenti rilevanti li jwettqu s-superviżjoni tal-entitajiet finanzjarji li lilhom il-fornitur terz kritiku ta’ servizzi tal-ICT jipprovdi servizzi, li se jingħaqdu fit-tħejjija u fl-eżekuzzjoni tal-attivitajiet ta’ Sorveljanza, b’massimu ta’ 10 membri. Il-membri kollha tal-eżaminazzjoni konġunta għandu jkollhom għarfien espert fl-ICT u fir-riskju operazzjonali. It-tim konġunt ta’ eżami għandu jaħdem taħt il-koordinazzjoni ta’ membru tal-persunal maħtur tal-ASE (il-“koordinatur tas-Sorveljant Ewlieni”).

3.L-ASE, permezz tal-Kumitat Konġunt, għandhom jiżviluppaw abbozz ta’ standards tekniċi regolatorji komuni biex jispeċifikaw aktar il-ħatra tal-membri tat-tim tal-eżaminazzjoni konġunt li jkun ġej mill-awtoritajiet kompetenti rilevanti, kif ukoll il-kompiti u l-arranġamenti ta’ ħidma tat-tim tal-eżaminazzjoni. L-ASE għandhom jissottomettu dawk l-abbozzi ta’ standards tekniċi regolatorji lill-Kummissjoni sa [ĠU: daħħal id-data sena wara d-data tad-dħul fis-seħħ].

Il-Kummissjoni tingħata s-setgħa tadotta l-istandards tekniċi regolatorji msemmija fl-ewwel subparagrafu f’konformità mal-Artikoli minn 10 sa 14 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010, rispettivament.

4.Fi żmien tliet xhur wara t-tlestija ta’ investigazzjoni jew spezzjoni fuq il-post, is-Sorveljant Ewlieni, wara konsultazzjoni mal-Forum ta’ Sorveljanza, għandu jadotta rakkomandazzjonijiet li s-Sorveljant Ewlieni għandu jindirizza lill-fornitur terz kritiku ta’ servizzi tal-ICT skont is-setgħat imsemmija fl-Artikolu 31.

5.Ir-rakkomandazzjonijiet imsemmija fil-paragrafu 4 għandhom jiġu kkomunikati minnufih lill-fornitur terz kritiku ta’ servizzi tal-ICT u lill-awtoritajiet kompetenti tal-entitajiet finanzjarji li lilhom jipprovdi s-servizzi.

Għall-finijiet tat-twettiq tal-attivitajiet tas-Sorveljanza, is-Sorveljanti Ewlenin jistgħu jqisu kwalunkwe ċertifikazzjoni terza rilevanti u rapporti tal-awditjar interni jew esterni tal-partijiet terzi tal-ICT li jkunu disponibbli mill-fornitur terz kritiku ta’ servizzi tal-ICT.

Artikolu 36

Armonizzazzjoni tal-kundizzjonijiet li jippermettu t-twettiq tas-Sorveljanza

1.L-ASE għandhom, permezz tal-Kumitat Konġunt, jiżviluppaw abbozzi ta’ standards tekniċi regolatorji biex jispeċifikaw:

(a)l-informazzjoni li trid tiġi pprovduta minn fornitur terz kritiku ta’ servizzi tal-ICT fl-applikazzjoni għal inklużjoni fakultattiva volontarja stabbilita fl-Artikolu 28(8);

(b)il-kontenut u l-format tar-rapporti li jistgħu jintalbu għall-finijiet tal-punt (c) tal-Artikolu 31(1);

(c)il-preżentazzjoni tal-informazzjoni, inklużi l-istruttura, il-formati u l-metodi li fornitur terz kritiku ta’ servizzi tal-ICT għandu jkun meħtieġ jissottometti, jiddivulga jew jirrapporta skont l-Artikolu 31(1);

(d)id-dettalji tal-valutazzjoni mill-awtoritajiet kompetenti tal-miżuri meħuda minn fornituri terzi kritiċi ta’ servizzi tal-ICT abbażi tar-rakkomandazzjonijiet tas-Sorveljanti Ewlenin skont l-Artikolu 37(2).

2.L-ASE għandhom jissottomettu dawk l-abbozzi ta’ standards tekniċi regolatorji lill-Kummissjoni sal-1 ta’ Jannar 20xx [ĠU: daħħal id-data sena wara d-data tad-dħul fis-seħħ].

Il-Kummissjoni tingħata s-setgħa li tissupplimenta dan ir-Regolament billi tadotta l-istandards tekniċi regolatorji msemmija fl-ewwel subparagrafu f’konformità mal-proċedura stipulata fl-Artikoli minn 10 sa 14 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010, rispettivament.

Artikolu 37
Segwitu mill-awtoritajiet kompetenti

1.Fi żmien 30 jum tal-kalendarju wara li jirċievu r-rakkomandazzjonijiet maħruġa mis-Sorveljanti Ewlenien skont il-punt (d) tal-Artikolu 31(1), il-fornituri terzi kritiċi ta’ servizzi tal-ICT għandhom jinnotifikaw lis-Sorveljant Ewlieni jekk għandhomx il-ħsieb isegwu dawk ir-rakkomandazzjonijiet. Is-Sorveljanti Ewlenin għandhom jibagħtu din l-informazzjoni minnufih lill-awtoritajiet kompetenti.

2.L-awtoritajiet kompetenti għandhom jimmonitorjaw jekk l-entitajiet finanzjarji jqisux ir-riskji identifikati fir-rakkomandazzjonijiet indirizzati lill-fornituri terzi kritiċi tal-ICT mis-Sorveljant Ewlieni skont il-punti (d) tal-Artikolu 31(1).

3.L-awtoritajiet kompetenti jistgħu, f’konformità mal-Artikolu 44, jitolbu lill-entitajiet finanzjarji jissospendu temporanjament, parzjalment jew kompletament, l-użu jew l-iskjerament ta’ servizz ipprovdut mill-fornitur terz kritiku tal-ICT, sakemm ikunu ġew indirizzati r-riskji identifikati fir-rakkomandazzjonijiet indirizzati lill-fornituri terzi kritiċi tal-ICT. Fejn meħtieġ, huma jistgħu jitolbu lill-entitajiet finanzjarji jtemmu, parzjalment jew kompletament, l-arranġamenti kuntrattwali rilevanti konklużi mal-fornituri terzi kritiċi ta’ servizzi tal-ICT.

4.Meta jieħdu d-deċiżjonijiet imsemmija fil-paragrafu 3, l-awtoritajiet kompetenti għandhom iqisu t-tip u l-kobor tar-riskju li ma jkunx indirizzat mill-fornitur terz kritiku ta’ servizzi tal-ICT, kif ukoll is-serjetà tan-nuqqas ta’ konformità, filwaqt li jikkunsidraw il-kriterji li ġejjin:

(a)il-gravità u t-tul ta’ żmien tan-nuqqas ta’ konformità;

(b)jekk in-nuqqas ta’ konformità żvelax dgħufijiet serji fil-proċeduri, fis-sistemi ta’ ġestjoni, fil-ġestjoni tar-riskji u fil-kontrolli interni ta’ fornitur terz kritiku ta’ servizzi tal-ICT;

(c)jekk ir-reat finanzjarju kienx iffaċilitat, ikkaġunat jew inkella attribwibbli għan-nuqqas ta’ konformità;

(d)jekk in-nuqqas ta’ konformità twettaqx intenzjonalment jew b’negliġenza.

5.L-awtoritajiet kompetenti għandhom jinformaw regolarment lill-Sorveljanti Ewlenin dwar l-approċċi u l-miżuri meħuda fil-kompiti superviżorji tagħhom b’rabta mal-entitajiet finanzjarji, kif ukoll dwar il-miżuri kuntrattwali meħuda minn dawn tal-aħħar fejn fornitur terz kritiku ta’ servizzi tal-ICT ma jkunx ħaddan parzjalment jew kompletament ir-rakkomandazzjonijiet indirizzati mis-Sorveljanti Ewlenin.

Artikolu 38
Tariffi tas-sorveljanza

1.L-ASE għandhom jiddebitaw tariffi lill-fornituri terzi ta’ servizzi tal-ICT li jkopru b’mod sħiħ in-nefqa meħtieġa tal-ASE b’rabta mat-twettiq tal-kompiti ta’ Sorveljanza skont dan ir-Regolament, inkluż ir-rimborż ta’ kwalunkwe spejjeż li jistgħu jġarrbu b’riżultat tax-xogħol imwettaq mill-awtoritajiet kompetenti li jingħaqdu fl-attivitajiet ta’ Sorveljanza f’konformità mal-Artikolu 35.

L-ammont ta’ tariffa ddebitata lil fornitur terz kritiku ta’ servizzi tal-ICT għandu jkopri l-kostijiet amministrattivi kollha u għandu jkun proporzjonat mal-fatturat tagħhom.

2.Il-Kummissjoni qed tingħata s-setgħa tadotta att delegat f’konformità mal-Artikolu 50 sabiex tissupplimenta dan ir-Regolament billi tiddetermina l-ammont tat-tariffi u l-mod li bih jitħallsu.

Artikolu 39
Kooperazzjoni internazzjonali

1.L-EBA, l-ESMA u l-EIOPA jistgħu, f’konformità mal-Artikolu 33 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010, rispettivament, jikkonkludu arranġamenti amministrattivi ma’ awtoritajiet regolatorji u superviżorji ta’ pajjiżi terzi biex irawmu l-kooperazzjoni internazzjonali fuq ir-riskju ta’ parti terza tal-ICT fis-setturi finanzjarji differenti kollha, notevolment billi jiżviluppaw l-aħjar prattiki għar-rieżami tal-prattiki u l-kontrolli tal-ġestjoni tar-riskju tal-ICT, tal-miżuri ta’ mitigazzjoni u tar-rispons għal inċidenti.

2.L-ASE għandhom, permezz tal-Kumitat Konġunt, jissottomettu kull ħames snin rapport kunfidenzjali konġunt lill-Parlament Ewropew, lill-Kunsill u lill-Kummissjoni li jiġbor fil-qosor is-sejbiet tad-diskussjonijiet rilevanti li jsiru mal-awtoritajiet tal-pajjiżi terzi msemmija fil-paragrafu 1 u jiffokaw fuq l-evoluzzjoni tar-riskju tal-partijiet terzi tal-ICT u l-implikazzjonijiet għall-istabbiltà finanzjarja, għall-integrità tas-suq, għall-protezzjoni tal-investituri jew għall-funzjonament tas-suq uniku.

KAPITOLU VI

ARRANĠAMENTI GĦALL-KONDIVIŻJONI TAL-INFORMAZZJONI

Artikolu 40
Arranġamenti ta’ kondiviżjoni ta’ informazzjoni u l-intelligence dwar it-theddid ċibernetiku

1.L-entitajiet finanzjarji jistgħu jiskambjaw bejniethom informazzjoni u intelligence dwar theddid ċibernetiku, inklużi indikaturi ta’ kompromess, tattiċi, tekniki, u proċeduri, allerti dwar is-sigurtà ċibernetika u għodod ta’ konfigurazzjoni, sa fejn tali kondiviżjoni ta’ informazzjoni u intelligence:

(a)timmira li ttejjeb ir-reżiljenza operazzjonali diġitali tal-entitajiet finanzjarji, b’mod partikolari billi żżid is-sensibilizzazzjoni b’rabta mat-theddid ċibernetiku, tillimita jew timpedixxi l-kapaċità tat-theddid ċibernetiku milli jinxtered, u tappoġġja l-firxa ta’ kapaċitajiet difensivi, tekniki ta’ individwazzjoni tat-theddid, strateġiji ta’ mitigazzjoni jew stadji ta’ rispons u rkupru tal-entitajiet finanzjarji;

(b)isseħħ fi ħdan komunitajiet fdati ta’ entitajiet finanzjarji;

(c)tkun implimentata permezz ta’ arranġamenti ta’ kondiviżjoni ta’ informazzjoni li jipproteġu n-natura potenzjalment sensittiva tal-informazzjoni kondiviża, u li jkunu rregolati minn regoli ta’ kondotta b’rispett sħiħ tal-kunfidenzjalità tan-negozju, tal-protezzjoni tad-data 48 personali u tal-linji gwida dwar il-politika tal-kompetizzjoni 49 .

2.Għall-fini tal-punt (c) tal-paragrafu 1, l-arranġamenti għall-kondiviżjoni tal-informazzjoni għandhom jiddefinixxu l-kundizzjonijiet għall-parteċipazzjoni u, fejn xieraq, għandhom jistabbilixxu d-dettalji dwar l-involviment tal-awtoritajiet pubbliċi u l-kapaċità li fiha dawn tal-aħħar jistgħu jkunu assoċjati mal-arranġamenti tal-kondiviżjoni tal-informazzjoni, kif ukoll dwar l-elementi operazzjonali, inkluż l-użu ta’ pjattaformi tal-IT dedikati.

3.L-entitajiet finanzjarji għandhom jinnotifikaw lill-awtoritajiet kompetenti bil-parteċipazzjoni tagħhom fl-arranġamenti għall-kondiviżjoni tal-informazzjoni msemmija fil-paragrafu 1, mal-validazzjoni tas-sħubija tagħhom, jew, kif applikabbli, bil-waqfien tas-sħubija tagħhom, ladarba din tal-aħħar tidħol fis-seħħ.

KAPITOLU VII

AWTORITAJIET KOMPETENTI

Artikolu 41

Awtoritajiet kompetenti

Mingħajr preġudizzju għad-dispożizzjonijiet dwar il-Qafas ta’ Sorveljanza għal fornituri terzi kritiċi ta’ servizzi tal-ICT imsemmija fit-Taqsima II tal-Kapitolu V ta’ dan ir-Regolament, il-konformità mal-obbligi stabbiliti f’dan ir-Regolament għandha tiġi żgurata mill-awtoritajiet kompetenti li ġejjin skont is-setgħat mogħtija mill-atti legali rispettivi:

(a)għall-istituzzjonijiet ta’ kreditu, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 4 tad-Direttiva 2013/36/UE, mingħajr preġudizzju għall-kompiti speċifiċi mogħtija lill-BĊE bir-Regolament (UE) Nru 1024/2013;

(b)għall-fornituri ta’ servizzi ta’ pagament, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 22 tad-Direttiva (UE) 2015/2366;

(c)għall-istituzzjonijiet ta’ pagamenti elettroniċi, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 37 tad-Direttiva 2009/110/KE;

(d)għad-ditti ta’ investiment, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 4 tad-Direttiva (UE) 2019/2034;

(e)għall-fornituri ta’ servizzi ta’ kriptoassi, l-emittenti ta’ kriptoassi, l-emittenti ta’ tokens irreferenzjati ma’ assi u l-emittenti ta’ tokens irreferenzjati ma’ assi sinifikanti, l-awtorità kompetenti maħtura f’konformità mal-ewwel inċiż tal-punt (ee) tal-Artikolu 3(1) tar-Regolament (UE) 20xx [ir-Regolament MICA];

(f)għad-depożitorji ċentrali tat-titoli, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 11 tar-Regolament (UE) Nru 909/2014;

(g)għall-kontropartijiet ċentrali, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 22 tar-Regolament (UE) Nru 648/2012;

(h)għaċ-ċentri tan-negozjar u l-fornituri ta’ servizzi ta’ rapportar tad-data, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 67 tad-Direttiva 2014/65/UE;

(i)għar-repożitorji tat-tranżazzjonijiet, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 55 tar-Regolament (UE) Nru 648/2012;

(j)għall-maniġers ta’ fondi ta’ investiment alternattivi, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 44 tad-Direttiva 2011/61/UE;

(k)għall-kumpaniji tal-immaniġġjar, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 97 tad-Direttiva 2009/65/KE;

(l)għall-impriżi tal-assigurazzjoni u tar-riassigurazzjoni, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 30 tad-Direttiva 2009/138/KE;

(m)għall-intermedjarji tal-assigurazzjoni, l-intermedjarji tar-riassigurazzjoni u l-intermedjarji tal-assigurazzjoni anċillari, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 12 tad-Direttiva (UE) 2016/97;

(n)għall-istituzzjonijiet għall-pensjonijiet tal-irtirar okkupazzjonali, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 47 tad-Direttiva 2016/2341;

(o)għall-aġenziji ta’ klassifikazzjoni tal-kreditu, l-awtorità kompetenti maħtura f’konformità mal-Artikolu 21 tar-Regolament (KE) Nru 1060/2009;

(p)għall-awdituri statutorji u d-ditti tal-awditjar, l-awtorità kompetenti maħtura f’konformità mal-Artikoli 3(2) u 32 tad-Direttiva 2006/43/KE;

(q)għall-amministraturi tal-parametri referenzjarji kritiċi, l-awtorità kompetenti maħtura f’konformità mal-Artikoli 40 u 41 tar-Regolament xx/202x.

(r)għall-fornitur ta’ servizzi ta’ finanzjament kollettiv, l-awtorità kompetenti maħtura f’konformità mal-Artikolu x tar-Regolament xx/202x;

(s)għar-repożitorji tat-titolizzazzjonijiet, l-awtorità kompetenti maħtura f’konformità mal-Artikoli 10 u 14(1) tar-Regolament (UE) 2017/2402.

Artikolu 42

Kooperazzjoni ma’ strutturi u awtoritajiet stabbiliti bid-Direttiva (UE) 2016/1148

1.Sabiex titrawwem il-kooperazzjoni u jkunu jistgħu jsiru skambji superviżorji bejn l-awtoritajiet kompetenti maħtura skont dan ir-Regolament u l-Grupp ta’ Kooperazzjoni stabbilit bl-Artikolu 11 tad-Direttiva (UE) 2016/1148, l-ASE u l-awtoritajiet kompetenti jistgħu jitolbu li jiġu mistiedna għall-ħidma tal-Grupp ta’ Kooperazzjoni.

2.L-awtoritajiet kompetenti jistgħu jikkonsultaw fejn xieraq mal-punt uniku ta’ kuntatt u mal-Iskwadri ta’ Rispons għal Inċidenti relatati mas-Sigurtà tal-Kompjuters imsemmija rispettivament fl-Artikoli 8 u 9 tad-Direttiva (UE) 2016/1148.

Artikolu 43

Eżerċizzji finanzjarji transsettorjali, komunikazzjoni u kooperazzjoni

1.L-ASE, permezz tal-Kumitat Konġunt u f’kollaborazzjoni mal-awtoritajiet kompetenti, il-BĊE u l-BERS, jistgħu jistabbilixxu mekkaniżmi li jippermettu l-kondiviżjoni ta’ prattiki effettivi fis-setturi finanzjarji biex itejbu s-sensibilizzazzjoni dwar is-sitwazzjoni u jidentifikaw vulnerabbiltajiet u riskji ċibernetiċi komuni fis-setturi kollha.

Huma jistgħu jiżviluppaw eżerċizzji ta’ ġestjoni tal-kriżijiet u ta’ kontinġenza li jinvolvu xenarji ta’ attakki ċibernetiċi bl-għan li jiżviluppaw mezzi ta’ komunikazzjoni u gradwalment jippermettu rispons ikkoordinat effettiv fil-livell tal-UE fil-każ ta’ inċident transfruntier kbir relatat mal-ICT jew theddida relatata li jkollha impatt sistemiku fuq is-settur finanzjarju tal-Unjoni b’mod ġenerali.

Dawn l-eżerċizzji jistgħu, kif xieraq, jittestjaw ukoll id-dipendenzi tas-settur finanzjarju fuq setturi ekonomiċi oħrajn.

2.L-awtoritajiet kompetenti, l-EBA, l-ESMA jew l-EIOPA u l-BĊE għandhom jikkooperaw mill-qrib ma’ xulxin u jiskambjaw informazzjoni biex iwettqu dmirijiethom skont l-Artikoli 42 sa 48. Huma għandhom jikkoordinaw mill-qrib is-superviżjoni tagħhom sabiex jidentifikaw u jirrimedjaw il-ksur ta’ dan ir-Regolament, jiżviluppaw u jippromwovu l-aħjar prattiki, jiffaċilitaw il-kollaborazzjoni, irawmu l-konsistenza fl-interpretazzjoni u jipprovdu valutazzjonijiet transġuriżdizzjonali fil-każ ta’ kwalunkwe nuqqas ta’ qbil.

Artikolu 44

Penali amministrattivi u miżuri ta’ rimedju

1.L-awtoritajiet kompetenti għandu jkollhom is-setgħat superviżorji, investigattivi u sanzjonarji kollha meħtieġa biex jaqdu dmirijiethom skont dan ir-Regolament.

2.Is-setgħat imsemmija fil-paragrafu 1 għandhom jinkludu mill-inqas is-setgħat li:

(a)ikollhom aċċess għal kwalunkwe dokument jew data miżmuma fi kwalunkwe forma li l-awtoritajiet kompetenti jqisu bħala rilevanti għall-qadi ta’ dmirijiethom u jirċievu jew jieħdu kopja tagħhom;

(b)iwettqu spezzjonijiet jew investigazzjonijiet fuq il-post;

(c)jirrikjedu miżuri korrettivi u ta’ rimedju għal ksur tar-rekwiżiti ta’ dan ir-Regolament.

3.Mingħajr preġudizzju għad-dritt tal-Istati Membri li jimponu pieni kriminali skont l-Artikolu 46, l-Istati Membri għandhom jippreskrivu regoli li jistabbilixxu penali amministrattivi u miżuri ta’ rimedju xierqa għal ksur ta’ dan ir-Regolament u għandhom jiżguraw l-implimentazzjoni effettiva tagħhom.

Dawk il-penali u l-miżuri għandhom ikunu effettivi, proporzjonati u dissważivi.

4.L-Istati Membri għandhom jagħtu lill-awtoritajiet kompetenti s-setgħa li japplikaw mill-inqas il-penali amministrattivi jew il-miżuri ta’ rimedju li ġejjin għall-ksur ta’ dan ir-Regolament:

(a)joħrġu ordni li tirrikjedi li l-persuna fiżika jew ġuridika twaqqaf l-imġiba u ma tirrepetix dik l-imġiba;

(b)jirrikjedu l-waqfien temporanju jew permanenti ta’ kwalunkwe prattika jew imġiba li l-awtorità kompetenti tqis li tmur kontra d-dispożizzjonijiet ta’ dan ir-Regolament u jipprevjenu r-repetizzjoni ta’ dik il-prattika jew l-imġiba;

(c)jadottaw kwalunkwe tip ta’ miżura, inkluż ta’ natura pekunarja, biex jiżguraw li l-entitajiet finanzjarji jkomplu jikkonformaw mar-rekwiżiti legali;

(d)jirrkjedu, sa fejn huwa permess mil-liġi nazzjonali, rekords eżistenti tat-traffiku tad-data miżmuma minn operatur tat-telekomunikazzjoni, fejn ikun hemm suspett raġonevoli ta’ ksur ta’ dan ir-Regolament, u fejn tali rekords jistgħu jkunu rilevanti għal investigazzjoni dwar il-ksur ta’ dan ir-Regolament; u

(e)joħorġu avviżi pubbliċi, inklużi dikjarazzjonijiet pubbliċi li jindikaw l-identità tal-persuna fiżika jew ġuridika u n-natura tal-ksur.

5.Meta d-dispożizzjonijiet imsemmija fil-punt (c) tal-paragrafu 2 u fil-paragrafu 4 japplikaw għal persuni ġuridiċi, l-Istati Membri għandhom jagħtu lill-awtoritajiet kompetenti s-setgħa li japplikaw il-penali amministrattivi u l-miżuri ta’ rimedju, soġġetti għall-kundizzjonijiet previsti fil-liġi nazzjonali, għal membri tal-korp maniġerjali, u għal individwi oħrajn li huma responsabbli għall-ksur skont il-liġi nazzjonali.

6.L-Istati Membri għandhom jiżguraw li kwalunkwe deċiżjoni li timponi penali amministrattivi jew miżuri ta’ rimedju stabbiliti fil-punt (c) tal-paragrafu 2 tkun motivata kif suppost u tkun soġġetta għal dritt ta’ appell.

Artikolu 45

Eżerċitar tas-setgħa li jiġu imposti penali amministrattivi u miżuri ta’ rimedju

1.L-awtoritajiet kompetenti għandhom jeżerċitaw is-setgħat li jimponu l-penali amministrattivi u l-miżuri ta’ rimedju msemmija fl-Artikolu 44 f’konformità mal-oqfsa legali nazzjonali tagħhom, kif xieraq:

(a)direttament;

(b)b’kollaborazzjoni ma’ awtoritajiet oħrajn;

(c)taħt ir-responsabbiltà tagħhom b’delega lil awtoritajiet oħrajn;

(d)b’applikazzjoni lill-awtoritajiet ġudizzjarji kompetenti.

2.L-awtoritajiet kompetenti, meta jiddeterminaw it-tip u l-livell ta’ penali amministrattiva jew miżura ta’ rimedju li trid tiġi imposta skont l-Artikolu 44, għandhom iqisu l-punt sa fejn il-ksur ikun intenzjonat jew jirriżulta minn negliġenza u ċ-ċirkostanzi rilevanti l-oħra kollha, inkluż, fejn xieraq:

(a)il-materjalità, il-gravità u t-tul ta’ żmien tal-ksur;

(b)il-grad ta’ responsabbiltà tal-persuna fiżika jew ġuridika responsabbli għall-ksur;

(c)is-saħħa finanzjarja tal-persuna fiżika jew ġuridika responsabbli;

(d)l-importanza tal-profitti miksuba jew tat-telf li jkun ġie evitat mill-persuna fiżika jew ġuridika responsabbli, sa fejn dawn ikunu jistgħu jiġu ddeterminati;

(e)it-telf għal partijiet terzi kkawżat mill-ksur, sa fejn dan ikun jista’ jiġi ddeterminat;

(f)il-livell ta’ kooperazzjoni tal-persuna fiżika jew ġuridika responsabbli mal-awtorità kompetenti, mingħajr preġudizzju għall-bżonn li jiġi żgurat li jiġu ċeduti l-profitti miksubin jew it-telf evitat minn dik il-persuna;

(g)ksur preċedenti mill-persuna fiżika jew ġuridika responsabbli.

Artikolu 46

Pieni kriminali

1.L-Istati Membri jistgħu jiddeċiedu li ma jistabbilixxux regoli għall-penali amministrattivi jew għall-miżuri ta’ rimedju għal ksur li jkun soġġett għal pieni kriminali skont il-liġi nazzjonali tagħhom.

2.Fejn l-Istati Membri jkunu għażlu li jippreskrivu pieni kriminali għall-ksur ta’ dan ir-Regolament, huma għandhom jiżguraw li jkun hemm fis-seħħ il-miżuri xierqa sabiex l-awtoritajiet kompetenti jkollhom is-setgħat kollha meħtieġa biex iżommu kuntatt mal-awtoritajiet ġudizzjarji, mal-prosekuzzjoni jew mal-ġustizzja kriminali fi ħdan il-ġurisdizzjoni tagħhom biex jirċievu informazzjoni speċifika relatata ma’ investigazzjonijiet jew proċedimenti kriminali mibdija għal ksur ta’ dan ir-Regolament, u biex jipprovdu l-istess informazzjoni lil awtoritajiet kompetenti oħrajn, kif ukoll lill-EBA, lill-ESMA jew lill-EIOPA biex jissodisfaw l-obbligi tagħhom li jikkooperaw għall-finijiet ta’ dan ir-Regolament.

Artikolu 47

Dmirijiet ta’ notifika

L-Istati Membri għandhom jinnotifikaw il-liġijiet, ir-regolamenti u d-dispożizzjonijiet amministrattivi li jimplimentaw dan il-Kapitolu, inkluża kwalunkwe dispożizzjoni rilevanti tal-liġi kriminali, lill-Kummissjoni, lill-ESMA, lill-EBA u lill-EIOPA sa [ĠU: daħħal id-data snin wara d-data tad-dħul fis-seħħ]. L-Istati Membri għandhom jinnotifikaw lill-Kummissjoni, lill-ESMA, lill-EBA u lill-EIOPA mingħajr dewmien żejjed bi kwalunkwe emenda sussegwenti għalihom.

Artikolu 48

Pubblikazzjoni tal-penali amministrattivi

1.L-awtoritajiet kompetenti għandhom jippubblikaw fuq is-siti web uffiċjali tagħhom, mingħajr dewmien żejjed, kwalunkwe deċiżjoni li timponi penali amministrattiva li kontriha ma jkun hemm l-ebda appell wara li d-destinatarju tas-sanzjoni jkun ġie nnotifikat b’dik id-deċiżjoni.

2.Il-pubblikazzjoni msemmija fil-paragrafu 1 għandha tinkludi informazzjoni dwar it-tip u n-natura tal-ksur, l-identità tal-persuni responsabbli u l-penali imposti.

3.Fejn l-awtorità kompetenti, wara valutazzjoni każ b’każ, tqis li l-pubblikazzjoni tal-identità, fil-każ ta’ persuni ġuridiċi, jew tal-identità u ta’ data personali, fil-każ ta’ persuni fiżiċi, tkun sproporzjonata, tipperikola l-istabbiltà tas-swieq finanzjarji jew l-insegwiment ta’ investigazzjoni kriminali li tkun għaddejja, jew inkella tikkawża, sakemm dawn ikunu jistgħu jiġu ddeterminati, danni sproporzjonati lill-persuna involuta, hija għandha tadotta waħda mis-soluzzjonijiet li ġejjin fir-rigward tad-deċiżjoni li timponi sanzjoni amministrattiva:

(a)tiddifferixxi l-pubblikazzjoni tagħha sal-mument meta r-raġunijiet kollha kontra l-pubblikazzjoni ma jibqgħux jeżistu;

(b)tippubblikaha fuq bażi anonima, f’konformità mal-liġi nazzjonali; jew

(c)iżżomm lura milli tippubblikaha, fejn l-għażliet stabbiliti fil-punti (a) u (b) jitqiesu li huma insuffiċjenti biex jiggarantixxu li ma jkun hemm l-ebda periklu għall-istabbiltà tas-swieq finanzjarji, jew inkella fejn tali pubblikazzjoni ma tkunx proporzjonali mal-klemenza tas-sanzjoni imposta.

4.Fil-każ ta’ deċiżjoni li tiġi ppubblikata penali amministrattiva fuq bażi anonima f’konformità mal-punt (b) tal-paragrafu 3, il-pubblikazzjoni tad-data rilevanti tista’ tiġi posposta.

5.Meta awtorità kompetenti tippubblika deċiżjoni li timponi penali amministrattiva li kontriha jkun hemm appell quddiem l-awtoritajiet ġudizzjarji rilevanti, l-awtoritajiet kompetenti għandhom iżidu minnufih fuq is-sit web uffiċjali tagħhom dik l-informazzjoni u, fi stadji aktar tard, kwalunkwe informazzjoni relatata sussegwenti dwar l-eżitu ta’ tali appell. Kwalunkwe deċiżjoni ġudizzjarja li tannulla deċiżjoni li timponi penali amministrattiva għandha tiġi ppubblikata wkoll.

6.L-awtoritajiet kompetenti għandhom jiżguraw li kwalunkwe pubblikazzjoni msemmija fil-paragrafi minn 1 sa 4 għandha tibqa’ fuq is-sit web uffiċjali tagħhom għal mill-inqas ħames snin wara li tiġi ppubblikata. Kwalunkwe data personali fil-pubblikazzjoni għandha tinżamm biss fuq is-sit web uffiċjali tal-awtorità kompetenti għall-perjodu li huwa neċessarju f’konformità mar-regoli applikabbli dwar il-protezzjoni tad-data.

Artikolu 49

Segretezza professjonali

1.Kwalunkwe informazzjoni kunfidenzjali li tasal, tiġi skambjata jew trażmessa skont dan ir-Regolament għandha tkun soġġetta għall-kundizzjonijiet tas-segretezza professjonali stabbiliti fil-paragrafu 2.

2.L-obbligu tas-segretezza professjonali japplika għall-persuni kollha li jaħdmu jew li ħadmu mal-awtoritajiet kompetenti skont dan ir-Regolament, jew għal kwalunkwe awtorità jew impriża tas-suq jew persuna fiżika jew ġuridika li lilhom dawk l-awtoritajiet kompetenti ddelegaw is-setgħat tagħhom, inklużi awdituri u esperti kkuntrattati minnhom.

3.L-informazzjoni koperta bis-segretezza professjonali ma tistax tiġi żvelata lill-ebda persuna jew awtorità oħra ħlief permezz tad-dispożizzjonijiet stabbiliti bil-liġi tal-Unjoni jew dik nazzjonali.

4.L-informazzjoni kollha skambjata bejn l-awtoritajiet kompetenti skont dan ir-Regolament li tikkonċerna l-operat jew il-kundizzjonijiet operazzjonali u kwistjonijiet ekonomiċi jew personali oħra għandha titqies kunfidenzjali u tkun soġġetta għar-rekwiżiti tas-segretezza professjonali, ħlief fejn l-awtorità kompetenti tiddikjara, meta ssir il-komunikazzjoni, li din l-informazzjoni tista’ tiġi divulgata jew fejn din id-divulgazzjoni hija meħtieġa fi proċedimenti legali.

KAPITOLU VIII

ATTI DELEGATI

Artikolu 50

Eżerċitar tad-delega

1.Il-Kummissjoni tingħata s-setgħa li tadotta atti delegati soġġetta għall-kundizzjonijiet stipulati f’dan l-Artikolu.

2.Is-setgħa ta’ adozzjoni ta’ atti delegati msemmija fl-Artikoli 28(3) u 38(2) għandha tingħata lill-Kummissjoni għal perjodu ta’ ħames snin minn [UP: daħħal id-data ħames snin wara d-data tad-dħul fis-seħħ ta’ dan ir-Regolament].

3.Id-delega tas-setgħa msemmija fl-Artikoli 28(3) u 38(2) tista’ tiġi rrevokata fi kwalunkwe ħin mill-Parlament Ewropew jew mill-Kunsill. Deċiżjoni ta’ revoka għandha ġġib fi tmiemha d-delega tas-setgħa speċifikata f’dik id-deċiżjoni. Hija għandha tidħol fis-seħħ l-għada tal-pubblikazzjoni tad-deċiżjoni f’Il-Ġurnal Uffiċjali tal-Unjoni Ewropea jew f’data aktar tard speċifikata hemmhekk. Hija ma għandha taffettwa l-validità tal-ebda delegat diġà fis-seħħ.

4.Qabel ma tadotta att delegat, il-Kummissjoni għandha tikkonsulta mal-esperti maħtura minn kull Stat Membru f’konformità mal-prinċipji stipulati fil-Ftehim Interistituzzjonali tat-13 ta’ April 2016 dwar it-Tfassil Aħjar tal-Liġijiet.

5.Hekk kif tadotta att delegat, il-Kummissjoni għandha tinnotifikah fl-istess ħin lill-Parlament Ewropew u lill-Kunsill.

6.Att delegat adottat skont l-Artikolu 28 (3) u l-Artikolu 38 (2) għandu jidħol fis-seħħ biss jekk l-ebda oġġezzjoni ma tkun ġiet espressa jew min-naħa tal-Parlament Ewropew jew tal-Kunsill fi żmien xahrejn min-notifika ta’ dak l-att lill-Parlament Ewropew u lill-Kunsill jew jekk, qabel jiskadi dak il-perjodu, il-Parlament Ewropew u l-Kunsill it-tnejn ikunu informaw lill-Kummissjoni li ma kinux se joġġezzjonaw. Dak il-perjodu għandu jiġi estiż b’xahrejn fuq l-inizjattiva tal-Parlament Ewropew jew tal-Kunsill.

KAPITOLU IX

DISPOŻIZZJONIJIET TRANŻIZZJONALI U FINALI

TAQSIMA I

Artikolu 51

Klawsola ta’ rieżami

Sa [UP: daħħal id-data ħames snin wara d-data tad-dħul fis-seħħ ta’ dan ir-Regolament], il-Kummissjoni għandha, wara li tikkonsulta mal-ABE, mal-AETS, mal-AEAPX, u mal-BERS, kif xieraq, twettaq rieżami u tippreżenta rapport lill-Parlament Ewropew u lill-Kunsill, akkumpanjat, jekk xieraq, minn proposta leġiżlattiva, rigward il-kriterji għad-deżinjazzjoni ta’ fornituri terzi kritiċi ta’ servizzi tal-ICT fl-Artikolu 28(2).

TAQSIMA II

EMENDI

Artikolu 52

Emendi għar-Regolament (KE) Nru 1060/2009

Fl-Anness I tar-Regolament (KE) Nru 1060/2009, l-ewwel subparagrafu tal-punt 4 tat-Taqsima A jiġi sostitwit b’dan li ġej:

“Aġenzija li tiggrada l-kreditu għandu jkollha proċeduri amministrattivi u tal-kontabilità tajbin, mekkaniżmi ta’ kontroll intern, proċeduri effettivi għall-valutazzjoni tar-riskju, u arranġamenti effettivi ta’ kontroll u salvagwardja għall-ġestjoni tas-sistemi tal-ICT f’konformità mar-Regolament (UE) 2021/xx tal-Parlament Ewropew u tal-Kunsill* [DORA].

*    Ir-Regolament (UE) 2021/xx tal-Parlament Ewropew u tal-Kunsill […] (ĠU L XX, JJ.XX.SSSS, p. X).”.

Artikolu 53

Emendi għar-Regolament (UE) Nru 648/2012

Ir-Regolament (UE) Nru 648/2012 jiġi emendat kif ġej:

(1)l-Artikolu 26 jiġi emendat kif ġej:

(a)il-paragrafu 3 jiġi sostitwit b’dan li ġej:

“3. Kontroparti ċentrali (CCP) għandha żżomm u topera struttura organizzazzjonali li tiżgura l-kontinwità u l-funzjonament tajjeb fit-twettiq tas-servizzi u l-attivitajiet tagħha. Hija għandha tuża sistemi, riżorsi u proċeduri xierqa u proporzjonati, inklużi sistemi tal-ICT ġestiti f’konformità mar-Regolament (UE) 2021/xx tal-Parlament Ewropew u tal-Kunsill* [DORA].

*    Ir-Regolament (UE) 2021/xx tal-Parlament Ewropew u tal-Kunsill […](ĠU L XX, JJ.XX.SSSS, p. X).”;

(b) jitħassar il-paragrafu 6;

(2)l-Artikolu 34 jiġi emendat kif ġej:

(a) il-paragrafu 1 jiġi sostitwit b’dan li ġej:

“1. Kontroparti ċentrali għandha tistabbilixxi, timplimenta u żżomm politika adegwata ta’ kontinwità tal-operat u pjan ta’ rkupru minn diżastri, li għandhom jinkludu pjanijiet ta’ kontinwità tal-operat tal-ICT u pjanijiet ta’ rkupru minn diżastri stabbiliti f’konformità mar-Regolament (UE) 2021/xx [DORA], bl-għan li jiġu żgurati l-preservazzjoni tal-funzjonijiet tagħha, l-irkupru bla dewmien tal-operazzjonijiet u l-issodisfar tal-obbligi tas-CCP.”;

(b)fil-paragrafu 3, l-ewwel subparagrafu jiġi sostitwit b’dan li ġej:

“Sabiex tiġi żgurata l-applikazzjoni konsistenti ta’ dan l-Artikolu, l-ESMA għandha, wara li tikkonsulta mal-membri tas-SEBĊ, tiżviluppa abbozzi ta’ standards tekniċi regolatorji li jispeċifikaw il-kontenut minimu u r-rekwiżiti tal-politika ta’ kontinwità tal-operat u tal-pjan ta’ rkupru minn diżastri, bl-esklużjoni ta’ pjanijiet tal-kontinwità tal-operat tal-ICT u tal-irkupru minn diżastri.”;

(3)fl-Artikolu 56, l-ewwel subparagrafu tal-paragrafu 3 jiġi sostitwit b’dan li ġej:

“3. Sabiex tiġi żgurata l-applikazzjoni konsistenti ta’ dan l-Artikolu, l-ESMA għandha tiżviluppa abbozzi ta’ standards tekniċi regolatorji li jispeċifikaw id-dettalji, għajr għar-rekwiżiti relatati mal-ġestjoni tar-riskju tal-ICT, tal-applikazzjoni għar-reġistrazzjoni msemmija fil-paragrafu 1.”;

(4)fl-Artikolu 79, il-paragrafi 1 u 2 jiġu sostitwiti b’dawn li ġejjin:

“1. Repożitorju tat-tranżazzjonijiet għandu jidentifika s-sorsi ta’ riskju operazzjonali u jimminimizzahom ukoll permezz tal-iżvilupp ta’ sistemi, kontrolli u proċeduri xierqa, inklużi sistemi tal-ICT ġestiti f’konformità mar-Regolament (UE) 2021/xx [DORA].

2. Repożitorju tat-tranżazzjonijiet għandu jistabbilixxi, jimplimenta u jżomm politika adegwata ta’ kontinwità tal-operat u pjan tal-irkupru minn diżastri, inklużi pjanijiet ta’ kontinwità tal-operat tal-ICT u pjanijiet ta’ rkupru minn diżastri stabbiliti f’konformità mar-Regolament (UE) 2021/xx [DORA], bl-għan li jiżgura ż-żamma tal-funzjonijiet tiegħu, l-irkupru bla dewmien tal-operazzjonijiet u l-issodisfar tal-obbligi tar-repożitorju tat-tranżazzjonijiet.”;

(5)fl-Artikolu 80, jitħassar il-paragrafu 1.

Artikolu 54

Emendi għar-Regolament (UE) Nru 909/2014

L-Artikolu 45 tar-Regolament (UE) Nru 909/2014 jiġi emendat kif ġej:

(1)il-paragrafu 1 jiġi sostitwit b’dan li ġej:

“1. CSD għandu jidentifika s-sorsi ta’ riskju operazzjonali, kemm interni kif ukoll esterni, u jimminimizza l-impatt tagħhom ukoll permezz tal-iskjerament ta’ għodod, proċessi u politiki tal-ICT xierqa stabbiliti u ġestiti f’konformità mar-Regolament (UE) 2021/xx tal-Parlament Ewropew u tal-Kunsill* [DORA], kif ukoll permezz ta’ kwalunkwe għodod, kontrolli u proċeduri rilevanti oħrajn xierqa għal tipi oħrajn ta’ riskju operazzjonali, inkluż għas-sistemi kollha ta’ saldu tat-titoli li huwa jopera.

*Ir-Regolament (UE) 2021/xx tal-Parlament Ewropew u tal-Kunsill […](ĠU L XX, JJ.XX.SSSS, p. X).”;

(2)jitħassar il-paragrafu 2;

(3)il-paragrafi 3 u 4 jiġu sostitwiti b’dawn li ġejjin:

“3. Għas-servizzi li jipprovdi kif ukoll għal kull sistema ta’ saldu tat-titoli li jħaddem, CSD għandu jistabbilixxi, jimplimenta u jżomm pjan adegwat ta’ kontinwità tal-operat u ta’ rkupru minn diżastri, inklużi pjanijiet ta’ kontinwità tal-operat u ta’ rkupru minn diżastri tal-ICT stabbiliti f’konformità mar-Regolament (UE) 2021/xx [DORA], biex jiġu żgurati l-preservazzjoni tas-servizzi tiegħu, l-irkupru bla dewmien tal-operazzjonijiet u t-twettiq tal-obbligi tas-CSD fil-każ ta’ eventi li jippreżentaw riskju sinifikanti ta’ tfixkil tal-operazzjonijiet.

4. Il-pjan imsemmi fil-paragrafu 3 għandu jipprevedi l-irkupru tat-tranżazzjonijiet u l-pożizzjonijiet tal-parteċipanti kollha fil-ħin tal-interruzzjoni sabiex il-parteċipanti ta’ CSD ikunu jistgħu jkomplu joperaw b’ċertezza u jlestu s-saldu fid-data skedata, inkluż billi jiġi żgurat li s-sistemi kritiċi tal-IT ikunu jistgħu jerġgħu jibdew l-operazzjonijiet mill-ħin tal-interruzzjoni kif previst fil-paragrafi (5) u (7) tal-Artikolu 11 tar-Regolament (UE) 2021/xx [DORA].”;

(4)fil-paragrafu 6, l-ewwel subparagrafu jiġi sostitwit b’dan li ġej:

“CSD għandu jidentifika, jimmonitorja u jiġġestixxi r-riskji li l-parteċipanti ewlenin fis-sistemi ta’ saldu tat-titoli li jħaddem, kif ukoll il-fornituri ta’ servizzi u utilitajiet, u CSDs oħrajn jew infrastrutturi tas-suq oħrajn jistgħu jippreżentaw għall-operazzjonijiet tiegħu. Huwa għandu, fuq talba, jipprovdi lill-awtoritajiet kompetenti u rilevanti b’informazzjoni dwar kwalunkwe riskju bħal dan identifikat. Huwa għandu wkoll jinforma mingħajr dewmien lill-awtorità kompetenti u lill-awtoritajiet rilevanti bi kwalunkwe inċident operazzjonali, għajr b’rabta ma’ riskju tal-ICT, li jirriżulta minn tali riskji.”;

(5)fil-paragrafu 7, l-ewwel subparagrafu jiġi sostitwit b’dan li ġej:

“L-ESMA għandha, b’kooperazzjoni mill-qrib mal-membri tas-SEBĊ, tiżviluppa abbozzi ta’ standards tekniċi regolatorji biex tispeċifika r-riskji operazzjonali msemmija fil-paragrafi 1 u 6, għajr ir-riskji tal-ICT, u l-metodi biex tittestja, tindirizza jew timminimizza dawk ir-riskji, inklużi l-politiki ta’ kontinwità tal-operat u l-pjanijiet ta’ rkupru minn diżastri msemmija fil-paragrafi 3 u 4 u l-metodi ta’ valutazzjoni tagħhom.”.

Artikolu 55

Emendi għar-Regolament (UE) Nru 600/2014

Ir-Regolament (UE) Nru 600/2014 jiġi emendat kif ġej:

(1)l-Artikolu 27g jiġi emendat kif ġej:

(a)jitħassar il-paragrafu 4;

(b)fil-paragrafu 8, il-punt (c) jiġi sostitwit b’dan li ġej:

(c)“(c) ir-rekwiżiti organizzazzjonali konkreti stipulati fil-paragrafi 3 u 5.”;

(2)l-Artikolu 27h jiġi emendat kif ġej:

(a)jitħassar il-paragrafu 5;

(b)fil-paragrafu 8, il-punt (e) jiġi sostitwit b’dan li ġej:

“(e) ir-rekwiżiti organizzazzjonali konkreti stipulati fil-paragrafu 4.”;

(3)l-Artikolu 27i jiġi emendat kif ġej:

(a)jitħassar il-paragrafu 3;

(b)fil-paragrafu 5, il-punt (b) jiġi sostitwit b’dan li ġej:

“(b) ir-rekwiżiti organizzazzjonali konkreti stipulati fil-paragrafi 2 u 4.”.

Artikolu 56

Dħul fis-seħħ u applikazzjoni

Dan ir-Regolament għandu jidħol fis-seħħ fl-għoxrin jum wara dak tal-pubblikazzjoni tiegħu f’Il-Ġurnal Uffiċjali tal-Unjoni Ewropea.

Huwa għandu japplika minn [PO: daħħal id-data 12-il xahar wara d-data tad-dħul fis-seħħ].

Madankollu, l-Artikoli 23 u 24 għandhom japplikaw minn [UP: daħħal data 36 xahar wara d-data tad-dħul fis-seħħ ta’ dan ir-Regolament].

Dan ir-Regolament għandu jorbot fl-intier tiegħu u jkun direttament applikabbli fl-Istati Membri kollha.

Magħmul fi Brussell,

DIKJARAZZJONI FINANZJARJA LEĠIŻLATTIVA

1. QAFAS TAL-PROPOSTA/INIZJATTIVA

1.1. Titolu tal-proposta/inizjattiva

1.2. Qasam/oqsma tal-politika kkonċernat(i)

1.3. Natura tal-proposta/inizjattiva

1.4. Objettiv(i)

1.5. Raġunijiet għall-proposta/inizjattiva

1.6. Durata u l-impatt finanzjarju tal-proposta/inizjattiva

1.7. Mod(i) ta’ ġestjoni ppjanat(i)

2. MIŻURI TA’ ĠESTJONI

2.1. Regoli dwar il-monitoraġġ u r-rapportar

2.2. Sistema/i ta’ ġestjoni u kontroll

2.3. Miżuri għall-prevenzjoni ta’ frodi u irregolaritajiet

3. IMPATT FINANZJARJU STMAT TAL-PROPOSTA/INIZJATTIVA

3.1. Intestatura/i tal-qafas finanzjarju pluriennali u l-linja/i baġitarja/i tan-nefqa affettwata/i

3.2. Impatt stmat fuq in-nefqa

3.2.1. Sommarju tal-impatt stmat fuq in-nefqa

3.2.2. Impatt stmat fuq l-approprjazzjonijiet

3.2.3. Impatt stmat fuq ir-riżorsi umani

3.2.4. Kompatibbiltà mal-qafas finanzjarju pluriennali attwali

3.2.5. Kontribuzzjonijiet minn partijiet terzi

3.3. Impatt stmat fuq id-dħul

Anness

Suppożizzjonijiet Ġenerali

Setgħat ta’ Sorveljanza

DIKJARAZZJONI FINANZJARJA LEĠIŻLATTIVA - “AĠENZIJI”

1.QAFAS TAL-PROPOSTA/INIZJATTIVA

1.1.Titolu tal-proposta/inizjattiva

1.2.Qasam/oqsma tal-politika kkonċernat(i)

1.3.Proposta tirrigwardja

☑ azzjoni ġdida

◻ azzjoni ġdida li ssegwi proġett pilota/azzjoni preparatorja 50  

◻ l-estensjoni ta’ azzjoni eżistenti 

◻ fużjoni ta’ azzjoni waħda jew aktar f’azzjoni oħra/ġdida 

1.4.Objettiv(i)

1.4.1.Objettiv(i) ġenerali

1.4.2.Objettiv(i) speċifiku/speċifiċi

1.4.3.Riżultat(i) u impatt mistennija

Speċifika l-effetti li għandu jkollha l-proposta/inizjattiva fuq il-benefiċjarji/gruppi fil-mira.

1.4.4.Indikaturi tal-prestazzjoni

Speċifika l-indikaturi għall-monitoraġġ tal-progress u tal-kisbiet.

1.5.Raġunijiet għall-proposta/inizjattiva

1.5.1.Rekwiżit(i) li għandu/għandhom jiġi/u ssodisfat(i) fuq terminu qasir jew twil, inkluża kronoloġija dettaljata għat-tnedija tal-implimentazzjoni tal-inizjattiva

1.5.2.Il-valur miżjud tal-involviment tal-Unjoni (dan jista’ jirriżulta minn fatturi differenti, pereż. kisbiet fil-koordinazzjoni, ċertezza legali, effettività akbar jew komplementarjetajiet). Għall-finijiet ta’ dan il-punt, “valur miżjud tal-involviment tal-Unjoni” huwa l-valur li jirriżulta mill-intervent tal-Unjoni li huwa addizzjonali għall-valur li altrimenti kien jinħoloq mill-Istati Membri weħidhom.

1.5.3.Lezzjonijiet miksuba minn esperjenzi simili fil-passat

1.5.4.Il-kompatibbiltà mal-Qafas Finanzjarju Pluriennali u sinerġiji possibbli ma’ strumenti xierqa oħrajn

1.5.5.Valutazzjoni tal-għażliet differenti ta’ finanzjament disponibbli, inkluż il-possibbiltà ta’ riallokazzjoni

1.6.Durata u l-impatt finanzjarju tal-proposta/inizjattiva

◻ durata limitata

◻    Proposta/inizjattiva b’effett minn [JJ/XX]SSSS sa [JJ/XX]SSSS

◻    Impatt finanzjarju minn SSSS sa SSSS

☑ durata mhux limitata

Implimentazzjoni b’perjodu ta’ bidu mill-2021

segwita minn operat fuq skala sħiħa.

1.7.Mod(i) ta’ ġestjoni ppjanat(i) 51  

Ġestjoni diretta mill-Kummissjoni permezz ta’

◻    aġenziji eżekuttivi

◻ Ġestjoni kondiviża mal-Istati Membri

☑ Ġestjoni indiretta billi l-kompiti tal-implimentazzjoni tal-baġit jiġu fdati lil:

◻ organizzazzjonijiet internazzjonali u l-aġenziji tagħhom (li għadhom iridu jiġu speċifikati);

◻il-BEI u l-Fond Ewropew tal-Investiment;

☑ il-korpi msemmija fl-Artikoli 70 u 71;

◻ korpi rregolati bil-liġi pubblika;

◻ korpi rregolati bil-liġi privata b’missjoni ta’ servizz pubbliku sal-punt li jipprovdu garanziji finanzjarji adegwati;

◻ korpi rregolati bil-liġi privata ta’ Stat Membru li jkunu fdati bl-implimentazzjoni ta’ sħubija pubblikaprivata u li jipprovdu garanziji finanzjarji adegwati;

◻ persuni fdati bl-implimentazzjoni ta’ azzjonijiet speċifiċi fil-PESK skont it-Titolu V tat-TUE u li huma identifikati fl-att bażiku rilevanti.

Kummenti

 

2.MIŻURI TA’ ĠESTJONI

2.1.Regoli dwar il-monitoraġġ u r-rapportar

Speċifika l-frekwenza u l-kundizzjonijiet.

2.2.Sistema/i ta’ ġestjoni u kontroll

2.2.1.Ġustifikazzjoni tal-mod(i) ta’ ġestjoni, il-mekkaniżmu/i għall-implimentazzjoni tal-finanzjament, il-modalitajiet ta’ pagament u l-istrateġija ta’ kontroll proposti

2.2.2.Informazzjoni dwar ir-riskji identifikati u s-sistema/i ta’ kontroll intern stabbilita/i għall-mitigazzjoni tagħhom

2.2.3.Stima u ġustifikazzjoni tal-kosteffettività tal-kontrolli (proporzjon tal-“kostijiet ta’ kontroll ÷ il-valur tal-fondi relatati ġestiti”), u valutazzjoni tal-livelli mistennija tar-riskju ta’ errur (mal-ħlas u fl-għeluq)

2.3.Miżuri għall-prevenzjoni ta’ frodi u irregolaritajiet

Speċifika l-miżuri ta’ prevenzjoni u ta’ protezzjoni eżistenti jew previsti, pereż. mill-Istrateġija Kontra l-Frodi.

3.IMPATT FINANZJARJU STMAT TAL-PROPOSTA/INIZJATTIVA

3.1.Intestatura/i tal-qafas finanzjarju pluriennali u l-linja/i baġitarja/i tan-nefqa affettwata/i

Linji baġitarji eżistenti

Fl-ordni tal-intestaturi tal-qafas finanzjarju pluriennali u tal-linji baġitarji.

Intestatura tal-qafas finanzjarju pluriennali	Linja baġitarja	Tip ta’  nefqa	Kontribuzzjoni
	Numru	Diff./mhux diff. 52 .	mill-pajjiżi tal-EFTA 53	minn pajjiżi kandidati 54	minn pajjiżi terzi	skont it-tifsira tal-Artikolu 21(2)(b) tar-Regolament Finanzjarju

Linji baġitarji ġodda mitluba

Fl-ordni tal-intestaturi tal-qafas finanzjarju pluriennali u tal-linji baġitarji.

Intestatura tal-qafas finanzjarju pluriennali	Linja baġitarja	Tip ta’  nefqa	Kontribuzzjoni
	Numru	Diff./mhux diff.	mill-pajjiżi tal-EFTA	minn pajjiżi kandidati	minn pajjiżi terzi	skont it-tifsira tal-Artikolu 21(2)(b) tar-Regolament Finanzjarju

3.2.Impatt stmat fuq in-nefqa

3.3.Sommarju tal-impatt stmat fuq in-nefqa

EUR miljun (sa tliet pożizzjonijiet deċimali)

Intestatura tal-qafas finanzjarju pluriennali

Numru

Intestatura

DĠ: <..>			2020	2021	2022	2023	2024	2025	2026	2027	TOTAL
	Impenji	(1)
	Pagamenti	(2)
TOTAL tal-approprjazzjonijiet  għal DĠ <>	Impenji
	Pagamenti

Intestatura tal-qafas finanzjarju pluriennali

EUR miljun (sa tliet pożizzjonijiet deċimali)

				2022	2023	2024	2025	2026	2027	TOTAL
DĠ:
• Riżorsi Umani
• Nefqa amministrattiva oħra <>
DĠ TOTALI	Approprjazzjonijiet

TOTAL tal-approprjazzjonijiet  taħt l-INTESTATURA  tal-qafas finanzjarju pluriennali

(Impenji totali = Pagamenti totali)

EUR miljun (sa tliet pożizzjonijiet deċimali) fi prezzijiet kostanti

			2022	2023	2024	2025		2026	2027	TOTAL
Approprjazzjonijiet TOTALI  taħt l-INTESTATURA 1  tal-qafas finanzjarju pluriennali	Impenji
	Pagamenti

3.3.1.Impatt stmat fuq l-approprjazzjonijiet

☑    Il-proposta/l-inizjattiva ma tirrikjedix l-użu ta’ approprjazzjonijiet operattivi

◻    Il-proposta/l-inizjattiva tirrikjedi l-użu ta’ approprjazzjonijiet operattivi, kif spjegat hawn taħt:

Approprjazzjonijiet ta’ impenn f’EUR miljun (sa tliet pożizzjonijiet deċimali) fi prezzijiet kostanti

Indika l-objettivi u l-outputs ⇩

2022

2023

2024

2025

2026

2027

TOTAL

OUTPUTS

Tip 55

Kost medju

Nru

Kost

Nru

Kost

Nru

Kost

Nru

Kost

Nru

Kost

Nru

Kost

Nru totali

Kost totali

OBJETTIV SPEĊIFIKU Nru 1 56 …

- Output

Subtotal għall-objettiv speċifiku Nru 1

OBJETTIV SPEĊIFIKU Nru 2 ...

- Output

Subtotal għall-objettiv speċifiku Nru 2

KOST TOTALI

3.3.2.Impatt stmat fuq ir-riżorsi umani

3.3.2.1.Sommarju

◻    Il-proposta/l-inizjattiva ma tirrikjedix l-użu ta’ approprjazzjonijiet ta’ natura amministrattiva

☑    Il-proposta/l-inizjattiva tirrikjedi l-użu ta’ approprjazzjonijiet ta’ natura amministrattiva, kif spjegat hawn taħt:

EUR miljun (sa tliet pożizzjonijiet deċimali) fi prezzijiet kostanti

EBA, EIOPA, ESMA

2022

2023

2024

2025

2026

2027

TOTAL

Aġenti temporanji (Gradi ta’ AD)	1,188	2,381	2,381	2,381	2,381	2,381	13,093
Aġenti temporanji (Gradi ta’ AST)	0,238	0,476	0,476	0,476	0,476	0,476	2,618
Persunal b’kuntratt
Esperti Nazzjonali Ssekondati
TOTAL	1,426	2,857	2,857	2,857	2,857	2,857	15,711

Rekwiżiti tal-persunal (FTE):

EBA, EIOPA, ESMA u EEA

2022

2023

2024

2025

2026

2027

TOTAL

Aġenti temporanji (Gradi ta’ AD) EBA=5, EIOPA=5, ESMA=5	15	15	15	15	15	15	15
Aġenti temporanji (Gradi ta’ AST) EBA=1, EIOPA=1, EEA=1	3	3	3	3	3	3	3
Persunal b’kuntratt
Esperti Nazzjonali Ssekondati

TOTAL

18

18

18

18

18

18

18

3.3.2.2.Ir-rekwiżiti stmati ta’ riżorsi umani għad-DĠ (prinċipali)

☑ Il-proposta/l-inizjattiva ma tirrikjedix l-użu tar-riżorsi umani.

◻    Il-proposta/l-inizjattiva tirrikjedi l-użu tar-riżorsi umani, kif spjegat hawn taħt:

L-istima trid tiġi espressa f’ammonti sħaħ (jew sa massimu ta’ punt deċimali wieħed)

		2022	2023	2024	2025	2026		2027
·Karigi fil-pjan ta’ stabbiliment (uffiċjali u persunal temporanju)
• Persunal estern (f’unità Ekwivalenti għal Full Time: FTE) 57
XX 01 02 01 (AC, END, INT mill-“pakkett globali”)
XX 01 02 02 (AC, AL, END, INT u JPD fid-Delegazzjonijiet)
XX 01 04 yy 58	- fil-Kwartieri ġenerali 59
	- fid-Delegazzjonijiet
XX 01 05 02 (AC, END, INT – Riċerka indiretta)
10 01 05 02 (AC, END, INT – Riċerka diretta)
Linji baġitarji oħrajn (speċifika)
TOTAL

XX huwa l-qasam ta’ politika jew it-titolu baġitarju kkonċernat.

Ir-riżorsi umani meħtieġa se jiġu ssodisfati minn membri tal-persunal mid-DĠ li diġà huma assenjati għall-ġestjoni tal-azzjoni u/jew li ġew riallokati fid-DĠ, flimkien ma’, jekk meħtieġ, kwalunkwe allokazzjoni addizzjonali li tista’ tingħata lid-DĠ maniġerjali skont il-proċedura ta’ allokazzjoni annwali u fid-dawl tal-limitazzjonijiet baġitarji.

Deskrizzjoni tal-kompiti li għandhom jitwettqu:

Uffiċjali u persunal temporanju
Persunal estern

Jenħtieġ li d-deskrizzjoni tal-kalkolu tal-kost għall-unitajiet ta’ FTE tiġi inkluża fit-Taqsima 3 tal-Anness V.

3.3.3.Kompatibbiltà mal-qafas finanzjarju pluriennali attwali

☑ Il-proposta/l-inizjattiva hija kompatibbli mal-qafas finanzjarju pluriennali attwali.

◻    Il-proposta/l-inizjattiva se tinvolvi programmazzjoni mill-ġdid tal-intestatura rilevanti fil-qafas finanzjarju pluriennali.

◻    Il-proposta/inizjattiva teħtieġ l-applikazzjoni tal-istrument ta’ flessibbiltà jew ir-reviżjoni tal-qafas finanzjarju pluriennali 60 .

3.3.4.Kontribuzzjonijiet minn partijiet terzi

◻    Il-proposta/l-inizjattiva ma tipprevedix kofinanzjament minn partijiet terzi.

☑    Il-proposta/l-inizjattiva tipprevedi l-kofinanzjament stmat hawn taħt:

EUR miljun (sa tliet pożizzjonijiet deċimali)

EBA

	2022	2023	2024	2025	2026	2027	Total
Il-kostijiet għandhom ikunu koperti 100 % mit-tariffi imposti fuq l-entitajiet taħt superviżjoni 61 .	1,373	1,948	1,748	1,748	1,748	1,748	10,313
TOTAL tal-approprjazzjonijiet kofinanzjati	1,373	1,948	1,748	1,748	1,748	1,748	10,313

EIOPA

	2022	2023	2024	2025	2026	2027	Total
Il-kostijiet għandhom ikunu koperti 100 % mit-tariffi imposti fuq l-entitajiet taħt superviżjoni 62 .	1,305	1,811	1,611	1,611	1,611	1,611	9,560
TOTAL tal-approprjazzjonijiet kofinanzjati	1,305	1,811	1,611	1,611	1,611	1,611	9,560

ESMA

	2022	2023	2024	2025	2026	2027	Total
Il-kostijiet għandhom ikunu koperti 100 % mit-tariffi imposti fuq l-entitajiet taħt superviżjoni 63 .	1,373	1,948	1,748	1,748	1,748	1,748	10,313
TOTAL tal-approprjazzjonijiet kofinanzjati	1,373	1,948	1,748	1,748	1,748	1,748	10,313

3.4.Impatt stmat fuq id-dħul

☑    Il-proposta/l-inizjattiva ma għandha l-ebda impatt finanzjarju fuq id-dħul.

◻    Il-proposta/l-inizjattiva għandha l-impatt finanzjarju li ġej:

◻    fuq ir-riżorsi proprji

◻    fuq dħul ieħor

◻ jekk jogħġbok indika, jekk id-dħul ikun assenjat għal-linji tan-nefqa

EUR miljun (sa tliet pożizzjonijiet deċimali)

Linja baġitarja tad-dħul:	Approprjazzjonijiet disponibbli għas-sena finanzjarja attwali	Impatt tal-proposta/inizjattiva 64
		Sena  N	Sena  N+1	Sena  N+2	Sena  N+3	Daħħal snin kemm hemm bżonn biex turi d-durata tal-impatt (ara l-punt 1.6)
Artikolu ………….

Għad-dħul mixxellanju “assenjat”, speċifika l-linja/i baġitarja/i tan-nefqa affettwata/i.

Speċifika l-metodu għall-kalkolu tal-impatt fuq id-dħul.

ANNESS

Suppożizzjonijiet Ġenerali

Titolu I – Nefqa fuq il-Persunal

Is-suppożizzjonijiet speċifiċi li ġejjin ġew applikati fil-kalkolu tan-nefqa tal-persunal abbażi tal-ħtiġijiet tal-persunal identifikati spjegati hawn taħt:

·Il-membri tal-persunal addizzjonali ingaġġati fl-2022 jiġu kkalkolati għal 6 xhur minħabba ż-żmien preżunt li huwa meħtieġ għar-reklutaġġ tal-persunal addizzjonali

·Il-kost medju annwali ta’ Aġent Temporanju huwa ta’ EUR 150 000, li jinkludi EUR 25 000 ta’ kostijiet ta’ ‘habillage’ (Bini, IT, eċċ.)

·Il-koeffiċjenti tal-korrezzjoni applikabbli għas-salarji tal-persunal f’Pariġi (EBA u ESMA) u fi Frankfurt (EIOPA) huma 117.7 u 99.4, rispettivament

·Il-kontribuzzjonijiet tal-pensjoni ta’ min iħaddem għall-Aġenti Temporanji kienu bbażati fuq is-salarji bażiċi standard inklużi fil-kostijiet medji annwali standard, jiġifieri EUR 95 660

·L-Aġenti Temporanji addizzjonali huma AD5s u ASTs.

Titolu II – Nefqa infrastrutturali u amministrattiva

Il-kostijiet huma bbażati fuq il-multiplikazzjoni tan-numru ta’ persunal bil-proporzjon tas-sena impjegat bil-kost standard għal ‘habillage’, jiġifieri EUR 25 000.

Titolu III – Nefqa operazzjonali

Il-kostijiet jiġu stmati soġġetti għas-suppożizzjonijiet li ġejjin:

·Il-kostijiet tat-traduzzjoni huma stabbiliti għal EUR 350 000 fis-sena għal kull waħda mill-ASE

·Il-kostijiet tal-IT ta’ darba ta’ EUR 500 000 għal kull ASE huma preżunti li jiġu implimentati matul is-sentejn 2022 u 2023 abbażi ta’ qasma ta’ 50 % - 50 %. Il-kostijiet tal-manutenzjoni annwali mill-2024 huma stmati għal EUR 50 000 għal kull ASE

·Il-kostijiet tas-superviżjoni annwali fuq il-post huma stmati għal EUR 200 000 għal kull ASE.

L-estimi ppreżentati hawn fuq jirriżultaw fil-kostijiet li ġejjin kull sena:

Intestatura tal-qafas finanzjarju pluriennali

Numru

Prezzijiet Kostanti

EBA:			2022	2023	2024	2025	2026	2027	TOTAL
Titolu 1:	Impenji	(1)	0,498	0,998	0,998	0,998	0,998	0,998	5,488
	Pagamenti	(2)	0,498	0,998	0,998	0,998	0,998	0,998	5,488
Titolu 2:	Impenji	(1a)	0,075	0,150	0,150	0,150	0,150	0,150	0,825
	Pagamenti	(2a)	0,075	0,150	0,150	0,150	0,150	0,150	0,825
Titolu 3:	Impenji	(3a)	0,800	0,800	0,600	0,600	0,600	0,600	4,000
	Pagamenti	(3b)	0,800	0,800	0,600	0,600	0,600	0,600	4,000
TOTAL tal-approprjazzjonijiet  għall-EBA	Impenji	=1+1a +3a	1,373	1,948	1,748	1,748	1,748	1,748	10,313
	Pagamenti	=2+2a +3b	1,373	1,948	1,748	1,748	1,748	1,748	10,313

EIOPA:			2022	2023	2024	2025	2026	2027	TOTAL
Titolu 1:	Impenji	(1)	0,430	0,861	0,861	0,861	0,861	0,861	4,735
	Pagamenti	(2)	0,430	0,861	0,861	0,861	0,861	0,861	4,735
Titolu 2:	Impenji	(1a)	0,075	0,150	0,150	0,150	0,150	0,150	0,825
	Pagamenti	(2a)	0,075	0,150	0,150	0,150	0,150	0,150	0,825
Titolu 3:	Impenji	(3a)	0,800	0,800	0,600	0,600	0,600	0,600	4,000
	Pagamenti	(3b)	0,800	0,800	0,600	0,600	0,600	0,600	4,000
TOTAL tal-approprjazzjonijiet  għall-EIOPA	Impenji	=1+1a +3a	1,305	1,811	1,611	1,611	1,611	1,611	9,560
	Pagamenti	=2+2a +3b	1,305	1,811	1,611	1,611	1,611	1,611	9,560

ESMA:			2022	2023	2024	2025	2026	2027	TOTAL
Titolu 1:	Impenji	(1)	0,498	0,998	0,998	0,998	0,998	0,998	5,488
	Pagamenti	(2)	0,498	0,998	0,998	0,998	0,998	0,998	5,488
Titolu 2:	Impenji	(1a)	0,075	0,150	0,150	0,150	0,150	0,150	0,825
	Pagamenti	(2a)	0,075	0,150	0,150	0,150	0,150	0,150	0,825
Titolu 3:	Impenji	(3a)	0,800	0,800	0,600	0,600	0,600	0,600	4,000
	Pagamenti	(3b)	0,800	0,800	0,600	0,600	0,600	0,600	4,000
TOTAL tal-approprjazzjonijiet  għall-ESMA	Impenji	=1+1a +3a	1,373	1,948	1,748	1,748	1,748	1,748	10,313
	Pagamenti	=2+2a +3b	1,373	1,948	1,748	1,748	1,748	1,748	10,313

Il-proposta tirrikjedi l-użu ta’ approprjazzjonijiet operazzjonali, kif spjegat hawn taħt:

Approprjazzjonijiet ta’ impenn f’EUR miljun (sa tliet pożizzjonijiet deċimali) fi prezzijiet kostanti

EBA

Indika l-objettivi u l-outputs ⇩			2022		2023		2024		2025		2026		2027
	OUTPUTS
	Tip 65	Kost medju	Nru	Kost	Nru	Kost	Nru	Kost	Nru	Kost	Nru	Kost	Nru	Kost	Nru totali	Kost totali
OBJETTIV SPEĊIFIKU Nru 1 66 Sorveljanza diretta tat-TPPs kritiċi tal-ICT
- Output				0,800		0,800		0,600		0,600		0,600		0,600		4,000
Subtotal għall-objettiv speċifiku Nru 1
OBJETTIV SPEĊIFIKU Nru 2 ...
- Output
Subtotal għall-objettiv speċifiku Nru 2
KOST TOTALI				0,800		0,800		0,600		0,600		0,600		0,600		4,000

EIOPA

Indika l-objettivi u l-outputs ⇩			2022		2023		2024		2025		2026		2027
	OUTPUTS
	Tip 67	Kost medju	Nru	Kost	Nru	Kost	Nru	Kost	Nru	Kost	Nru	Kost	Nru	Kost	Nru totali	Kost totali
OBJETTIV SPEĊIFIKU Nru 1 68 Sorveljanza diretta tat-TPPs kritiċi tal-ICT
- Output				0,800		0,800		0,600		0,600		0,600		0,600		4,000
Subtotal għall-objettiv speċifiku Nru 1
OBJETTIV SPEĊIFIKU Nru 2 ...
- Output
Subtotal għall-objettiv speċifiku Nru 2
KOST TOTALI				0,800		0,800		0,600		0,600		0,600		0,600		4,000

ESMA

Indika l-objettivi u l-outputs ⇩			2022		2023		2024		2025		2026		2027
	OUTPUTS
	Tip 69	Kost medju	Nru	Kost	Nru	Kost	Nru	Kost	Nru	Kost	Nru	Kost	Nru	Kost	Nru totali	Kost totali
OBJETTIV SPEĊIFIKU Nru 1 70 Sorveljanza diretta tat-TPPs kritiċi tal-ICT
- Output				0,800		0,800		0,600		0,600		0,600		0,600		4,000
Subtotal għall-objettiv speċifiku Nru 1
OBJETTIV SPEĊIFIKU Nru 2 ...
- Output
Subtotal għall-objettiv speċifiku Nru 2
KOST TOTALI				0,800		0,800		0,600		0,600		0,600		0,600		4,000

L-attivitajiet ta’ sorveljanza għandhom jiġu ffinanzjati kompletament mit-tariffi imposti mill-entitajiet issorveljati kif ġej:

EBA

	2022	2023	2024	2025	2026	2027	Total
Il-kostijiet għandhom ikunu koperti 100 % mit-tariffi imposti fuq l-entitajiet sorveljati 71 .	1,373	1,948	1,748	1,748	1,748	1,748	10,313
TOTAL tal-approprjazzjonijiet kofinanzjati	1,373	1,948	1,748	1,748	1,748	1,748	10,313

EIOPA

	2022	2023	2024	2025	2026	2027	Total
Il-kostijiet għandhom ikunu koperti 100 % mit-tariffi imposti fuq l-entitajiet sorveljati 72 .	1,305	1,811	1,611	1,611	1,611	1,611	9,560
TOTAL tal-approprjazzjonijiet kofinanzjati	1,305	1,811	1,611	1,611	1,611	1,611	9,560

ESMA

	2022	2023	2024	2025	2026	2027	Total
Il-kostijiet għandhom ikunu koperti 100 % mit-tariffi imposti fuq l-entitajiet sorveljati 73 .	1,373	1,948	1,748	1,748	1,748	1,748	10,313
TOTAL tal-approprjazzjonijiet kofinanzjati	1,373	1,948	1,748	1,748	1,748	1,748	10,313

INFORMAZZJONI SPEĊIFIKA

Setgħat ta’ Sorveljanza diretta

Bħala introduzzjoni, għandu jiġi mfakkar li l-entitajiet soġġetti għal superviżjoni diretta mill-ESMA għandhom iħallsu tariffi lill-ESMA (kostijiet ta’ darba għar-reġistrazzjoni u kostijiet rikorrenti għas-superviżjoni kontinwa). Dan huwa l-każ għall-aġenziji ta’ klassifikazzjoni tal-kreditu (ara r-Regolament Delegat tal-Kummissjoni (UE) Nru 272/2012) u għar-repożitorji tat-tranżazzjonijiet (ir-Regolament Delegat tal-Kummissjoni (UE) Nru 1003/2013).

Skont din il-proposta leġiżlattiva, l-ASE se jiġu fdati b’kompiti ġodda mmirati biex jippromwovu l-konverġenza tal-approċċi superviżorji għar-riskju ta’ parti terza tal-ICT fis-settur finanzjarju billi l-fornituri terzi kritiċi ta’ servizzi tal-ICT jiġu soġġetti għal Qafas ta’ Sorveljanza tal-Unjoni.

Il-Qafas ta’ Sorveljanza previst minn din il-proposta jibni fuq l-arkitettura istituzzjonali eżistenti fil-qasam tas-servizzi finanzjarji, fejn il-Kumitat Konġunt tal-ASE jiżgura koordinazzjoni transsettorjali b’rabta mal-materji kollha dwar ir-riskju tal-ICT, f’konformità mal-kompiti tiegħu dwar iċ-ċibersigurtà, appoġġjat mis-Sottokumitat rilevanti (Forum ta’ Sorveljanza) li jwettaq ħidma preparatorja għal deċiżjonijiet individwali u rakkomandazzjonijiet kollettivi indirizzati lil fornituri terzi kritiċi ta’ servizzi tal-ICT.

Permezz ta’ dan il-qafas, l-ASE maħtura bħala Sorveljanti Ewlenin għal kull fornitur terzi kritiku ta’ servizzi tal-ICT jirċievu setgħat biex jiżguraw li l-fornituri ta’ servizzi tat-teknoloġija li jaqdu rwol kritiku għall-funzjonament tas-settur finanzjarju jiġu mmonitorjati b’mod adegwat fuq skala Pan-Ewropea. Id-doveri ta’ sorveljanza huma stabbiliti fil-proposta u ċċarati aktar fil-memorandum ta’ spjegazzjoni. Dawn jinkludu d-drittijiet    li jintalbu l-informazzjoni u d-dokumentazzjoni rilevanti kollha biex jitwettqu investigazzjonijiet u spezzjonijiet ġenerali, li jiġu indirizzati rakkomandazzjonijiet u sussegwentement jiġu ppreżentati rapporti dwar l-azzjonijiet meħuda jew ir-rimedji implimentati biex jiġu indirizzati dawk ir-rakkomandazzjonijiet.

Għalhekk, sabiex jitwettqu l-kompiti l-ġodda previsti minn din il-proposta, għandhom jiġu ingaġġati mill-ASE membri tal-persunal addizzjonali speċjalizzati fir-riskju tal-ICT u li jiffokaw fuq il-valutazzjoni tad-dipendenzi ta’ partijiet terzi.

Il-ħtiġijiet tar-riżorsi umani jistgħu jiġu stmati għal 6 FTEs għal kull awtorità (5 ADs u 1 AST biex jappoġġaw l-ADs). L-ASE se jġarrbu wkoll kostijiet addizzjonali tal-IT, stmati għal EUR 500 000 (kostijiet ta’ darba), kif ukoll EUR 50 000 fis-sena għal kull waħda mit-tliet ASE għall-kostijiet tal-manutenzjoni. Element wieħed importanti fit-twettiq tal-kompiti l-ġodda huwa l-missjonijiet biex jitwettqu spezzjonijiet u awditi fuq il-post, li jistgħu jiġu stmati għal EUR 200 000 fis-sena għal kull ASE. Il-kostijiet tat-traduzzjoni tad-dokumenti differenti li jirċievu l-ASE mingħand il-fornituri terzi kritiċi ta’ servizzi tal-ICT huma inklużi wkoll fir-ringiela dwar il-kostijiet operatorji u jikkonsistu f’EUR 350,000 fis-sena.

Il-kostijiet amministrattivi kollha msemmija hawn fuq se jiġu ffinanzjati kompletament mit-tariffi annwali debitati mill-ASE lill-fornituri terzi kritiċi ta’ servizzi tal-ICT li jkunu qed jiġu ssorveljati (l-ebda impatt fuq il-Baġit tal-UE).

(1)    Il-Komunikazzoni tal-Kummissjoni lill-Parlament Ewropew, lill-Kunsill, lill-Kumitat Ekonomiku u Soċjali Ewropew u lill-Kumitat tar-Reġjuni dwar Strateġija għall-Finanzi Diġitali għall-UE, it-23 ta’ Settembru 2020, COM(2020)591.

(2)    Il-Proposta għal Regolament tal-Parlament Ewropew u tal-Kunsill dwar is-Swieq fil-Kriptoassi, u li jemenda d-Direttiva (UE) 2019/1937, COM(2020) 593.

(3)    Il-Proposta għal Regolament tal-Parlament Ewropew u tal-Kunsill dwar reġim pilota għall-infrastrutturi tas-suq ibbażati fuq it-teknoloġija ta’ reġistru distribwit, COM(2020) 594.

(4)    Il-Proposta għal Direttiva tal-Parlament Ewropew u tal-Kunsill li temenda d-Direttivi 2006/43/KE, 2009/65/KE, 2009/138/UE, 2011/61/UE, UE/2013/36, 2014/65/UE, (UE) 2015/2366 u UE/2016/2341, COM(2020) 596.

(5)    Il-miżuri differenti adottati kellhom fundamentalment l-għan li jżidu r-riżorsi kapitali u l-likwidità tal-entitajiet finanzjarji, kif ukoll li jnaqqsu r-riskji tas-suq u tal-kreditu.

(6)    Il-Kumitat ta’ Basel dwar is-Superviżjoni Bankarja, Cyber-resilience: Range of practices, Diċembru 2018 u Principles for sound management of operational risk (PSMOR), Ottubru 2014.

(7)    Il-Parir Konġunt tal-Awtoritajiet Superviżorji Ewropej lill-Kummissjoni Ewropea dwar il-ħtieġa għal titjib leġiżlattiv fir-rigward tar-rekwiżiti tal-ġestjoni tar-riskji tal-ICT fis-settur finanzjarju tal-UE, JC 2019 26 (2019).

(8)

   Il-Kummissjoni Ewropea, Pjan ta’ Azzjoni tal-Fintech, COM/2018/0109 finali.

(9)    Il-President Ursula Von Der Leyen, Linji Gwida Politiċi għall-Kummissjoni Ewropea li jmiss, 2019-2024, https://ec.europa.eu/commission/sites/beta-political/files/political-guidelines-next-commission_mt.pdf .

(10)    Il-Komunikazzjoni tal-Kummissjoni lill-Parlament Ewropew, lill-Kunsill, lill-Kumitat Ekonomiku u Soċjali Ewropew u lill-Kumitat tar-Reġjuni, Insawru l-Futur Diġitali tal-Ewropa, COM(2020) 67 finali.

(11)    Il-Komunikazzjoni tal-Kummissjoni lill-Parlament Ewropew, lill-Kunsill, lill-Kumitat Ekonomiku u Soċjali Ewropew u lill-Kumitat tar-Reġjuni, Strateġija Ewropea għad-data, COM(2020) 66 finali.

(12)    ‘Report with recommendations to the Commission on Digital Finance: emerging risks in crypto-assets - regulatory and supervisory challenges in the area of financial services, institutions and markets (2020/2034(INL)), https://oeil.secure.europarl.europa.eu/oeil/popups/ficheprocedure.do?reference=2020/2034(INL)&l=mt

(13)    Il-Komunikazzjoni tal-Kummissjoni lill-Parlament Ewropew, lill-Kunsill Ewropew, lill-Kunsill, lill-Kumitat Ekonomiku u Soċjali Ewropew u lill-Kumitat tar-Reġjuni dwar l-Istrateġija tal-UE dwar l-Unjoni tas-Sigurtà, COM(2020) 605 final.

(14)    L-istess entità finanzjarja jista’ jkollha liċenzja bankarja, liċenzja ta’ ditta tal-investiment, u liċenzja ta’ istituzzjoni ta’ pagament, kull waħda maħruġa minn superviżur differenti fi Stat Membru wieħed jew f’diversi Stati Membri.

(15)     https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12090-Digital-Operational-Resilience-of-Financial-Services-DORFS-Act-/public-consultation

(16)    https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12090-Digital-Operational-Resilience-of-Financial-Services-DORFS-Act-

(17)    https://ec.europa.eu/info/business-economy-euro/banking-and-finance/regulatory-process-financial-services/expert-groups-comitology-and-other-committees/expert-group-banking-payments-and-insurance_mt

(18)    Id-Dokument ta’ Ħidma tal-Persunal tal-Kummissjoni — Rapport dwar il-Valutazzjoni tal-Impatt li jakkumpanja d-dokument Regolament tal-Parlament Ewropew u tal-Kunsill dwar ir-reżiljenza operazzjonali diġitali għas-settur finanzjarju u li jemenda r-Regolamenti (KE) Nru 1060/2009, (UE) Nru 648/2012, (UE) Nru 600/2014 u (UE) Nru 909/2014, SWD (2020) 198 tat-24.09.2020.

(19)    Ibid, p 89-94. 

(20)    Ibid.

(21)    Ir-Regolament (EU) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU L 119, 4.5.2016, p. 1).

(22)    Id-Direttiva 98/26/KE tal-Parlament Ewropew u tal-Kunsill tad-19 ta’ Mejju 1998 dwar finalità ta’ settlement fis-sistemi ta’ settlement ta’ pagamenti u titoli (ĠU L 166, 11.6.1998, p. 45).

(23)    Id-Direttiva 2003/87/KE tal-Parlament Ewropew u tal-Kunsill tat-13 ta’ Ottubru 2003 li tistabbilixxi skema għall-iskambju ta’ kwoti ta’ emissjonijiet ta’ gassijiet serra ġewwa l-Komunità u li temenda d-Direttiva tal-Kunsill 96/61/KE (ĠU L 275, 25.10.2003, p. 32).

(24)    B’mod partikolari, ir-Regolament tal-Bank Ċentrali Ewropew (UE) Nru 795/2014 tat-3 ta’ Lulju 2014 dwar ir-rekwiżiti ta’ sorveljanza għal sistemi ta’ ħlas sistemikament importanti.

(25)    [żid referenza] ĠU C , , p. .

(26)    [żid referenza] ĠU C , , p. .

(27)    Ir-Rapport tal-BERS dwar ir-Riskju Ċibernetiku Sistemiku ta' Frar 2020, https://www.esrb.europa.eu/pub/pdf/reports/esrb.report200219_systemiccyberrisk~101a09685e.en.pdf .

(28)    Skont il-valutazzjoni tal-impatt li takkumpanja r-rieżami tal-Awtoritajiet Superviżorji Ewropej, (SWD(2017) 308, hemm madwar 5 665 istituzzjoni tal-kreditu, 5 934 ditta tal-investiment, 2 666 impriża tal-assigurazzjoni, 1 573 IORPS, 2 500 kumpaniji tal-immaniġġjar tal-investiment, 350 infrastruttura tas-suq (bħal CCPs, boroż, internalizzaturi sistemiċi, repożitorji tat-tranżazzjonijiet u MTFs), 45 CRA u 2 500 istituzzjoni tal-pagament awtorizzati u istituzzjonijiet tal-flus elettroniċi. Dan jammonta għal madwar 21 233 entità, li ma jinkludux entitajiet ta’ finanzjament kollettiv, awdituri statutorji u ditti tal-awditjar, fornituri ta’ servizzi ta’ kriptoassi u amministraturi tal-parametri referenzjarji.

(29)    Il-Komunikazzjoni tal-Kummissjoni lill-Parlament Ewropew, lill-Kunsill, lill-Bank Ċentrali Ewropew, lill-Kumitat Ekonomiku u Soċjali Ewropew u lill-Kumitat tar-Reġjuni, Pjan ta’ Azzjoni tal-FinTech: Għal settur finanzjarju Ewropew iktar kompetittiv u innovattiv, COM/2018/0109 final, https://ec.europa.eu/info/publications/180308-action-plan-fintech_en .

(30)    Id-Direttiva (UE) 2016/1148 tal-Parlament Ewropew u tal-Kunsill tas-6 ta’ Lulju 2016 dwar miżuri għal livell għoli komuni ta’ sigurtà tan-netwerks u tas-sistemi tal-informazzjoni madwar l-Unjoni (ĠU L 194, 19.7.2016, p. 1).

(31)    Id-Direttiva tal-Kunsill2008/114/KE tat-8 ta’ Diċembru 2008 dwar l-identifikazzjoni u l-indikazzjoni tal-Infrastruttura Kritika Ewropea u l-valutazzjoni tal-ħtieġa għat-titjib tal-ħarsien tagħhom (ĠU L 345, 23.12.2008, p. 75).

(32)    Ir-Rakkomandazzjoni tal-Kummissjoni tas-6 ta’ Mejju 2003 dwar id-definizzjoni ta’ intrapriżi mikro, żgħar u ta’ daqs medju (ĠU L 124, 20.5.2003, p. 36).

(33)    It-Tassonomija ta’ Referenza tal-Klassifikazzjoni tal-Inċidenti tal-ENISA, https://www.enisa.europa.eu/publications/reference-incident-classification-taxonomy .

(34)    Ir-Rakkomandazzjonijiet dwar l-esternalizzazzjoni lill-fornituri tas-servizzi ta’ cloud (EBA/REC/2017/03), issa mħassra mil-Linji Gwida tal-EBA dwar l-esternalizzazzjoni (EBA/GL/2019/02).

(35)    Il-Komunikazzjoni tal-Kummissjoni – Linji Gwida dwar l-applikabbiltà tal-Artikolu 101 tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea għall-akkordji dwar kooperazzjoni orizzontali, 2011/C 11/01.

(36)    Ir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta' data personali u dwar il-moviment liberu ta' tali data, u li jħassar id-Direttiva 95/46/KE (ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU L 119, 4.5.2016, p. 1).

(37)    CPMI-IOSCO, Guidance on cyber resilience for financial market infrastructures, https://www.bis.org/cpmi/publ/d146.pdf G7 Fundamental Elements of Cybersecurity for the Financial Sector,  https://www.ecb.europa.eu/paym/pol/shared/pdf/G7_Fundamental_Elements_Oct_2016.pdf ; Il-Qafas taċ-Ċibersigurtà ta’ NIST, https://www.nist.gov/cyberframework ; CIRR toolkit tal-FSB, https://www.fsb.org/2020/04/effective-practices-for-cyber-incident-response-and-recovery-consultative-document .

(38)    Barra minn hekk, jekk jinħoloq ir-riskju ta’ abbuż minn fornitur terz ta’ servizzi tal-ICT meqjus bħala dominanti, jenħtieġ li l-entitajiet finanzjarji jkollhom ukoll il-possibbiltà li jressqu lment formali jew informali mal-Kummissjoni Ewropea jew mal-awtoritajiet nazzjonali tal-liġi tal-kompetizzjoni.

(39)    Ir-Regolament tal-Kunsill (UE) Nru 1024/2013 tal-15 ta’ Ottubru 2013 li jikkonferixxi kompiti speċifiċi lill-Bank Ċentrali Ewropew fir-rigward ta’ politiki relatati mas-superviżjoni prudenzjali ta’ istituzzjonijiet ta’ kreditu (ĠU L 287, 29.10.2013, p. 63).

(40)    ĠU L 123, 12.5.2016, p. 1.

(41)    [Jekk jogħġbok daħħal ir-referenza sħiħa]

(42)    Ir-Regolament (UE) 2019/881 tal-Parlament Ewropew u tal-Kunsill tas-17 ta’ April 2019 dwar l-ENISA (l-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà) u dwar iċ-ċertifikazzjoni taċ-ċibersigurtà tat-teknoloġija tal-informazzjoni u tal-komunikazzjoni u li jħassar ir-Regolament (UE) Nru 526/2013 (l-Att dwar iċ-Ċibersigurtà) (ĠU L 151, 7.6.2019, p. 15).

(43)    Id-Direttiva (UE) 2018/1972 tal-Parlament Ewropew u tal-Kunsill tal-11 ta’ Diċembru 2018 li tistabbilixxi l-Kodiċi Ewropew għall-Komunikazzjonijiet Elettroniċi (Riformulazzjoni) (ĠU L 321, 17.12.2018, p. 36).

(44)    Ir-Regolament (UE) 2016/1011 tal-Parlament Ewropew u tal-Kunsill tat-8 ta’ Ġunju 2016 dwar l-indiċi użati bħala parametri referenzjarji fi strumenti finanzjarji u kuntratti finanzjarji jew dwar il-kejl tal-prestazzjoni ta’ fondi ta’ investiment u li jemenda d-Direttivi 2008/48/KE u 2014/17/UE u r-Regolament (UE) Nru 596/2014 (ĠU L 171, 29.6.2016, p. 1).

(45)    [jekk jogħġbok daħħal it-titolu sħiħ u d-dettalji tal-ĠU]

(46)    Ir-Regolament (UE) Nru 575/2013 tal-Parlament Ewropew u tal-Kunsill tas-26 ta’ Ġunju 2013 dwar ir-rekwiżiti prudenzjali għall-istituzzjonijiet ta’ kreditu u d-ditti tal-investiment u li jemenda r-Regolament (UE) Nru 648/2012 (ĠU L 176, 27.6.2013, p. 1).

(47)    Id-Direttiva 2009/110/KE tal-Parlament Ewropew u tal-Kunsill tas-16 ta’ Settembru 2009 dwar il-bidu, l-eżerċizzju u s-superviżjoni prudenzjali tan-negozju tal-istituzzjonijiet tal-flus elettroniċi li temenda d-Direttivi 2005/60/KE u 2006/48/KE u li tħassar id-Direttiva 2000/46/KE (ĠU L 267, 10.10.2009, p. 7).

(48)    F'konformità mar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta' data personali u dwar il-moviment liberu ta' tali data, u li jħassar id-Direttiva 95/46/KE (ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU L 119, 4.5.2016, p. 1).

(49)    Il-Komunikazzjoni tal-Kummissjoni – Linji Gwida dwar l-applikabbiltà tal-Artikolu 101 tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea għall-akkordji dwar kooperazzjoni orizzontali, 2011/C 11/01.

(50)    Kif imsemmi fl-Artikolu 58(2)(a) jew (b) tar-Regolament Finanzjarju.

(51)    Dettalji tal-modi ta’ ġestjoni u r-referenzi għar-Regolament Finanzjarju jinsabu fis-sit BudgWeb: https://myintracomm.ec.europa.eu/budgweb/MT/man/budgmanag/Pages/budgmanag.aspx .

(52)    Diff. = Approprazzjonijiet differenzjati / mhux diff. = Approprazzjonijiet mhux differenzjati.

(53)    EFTA: Assoċjazzjoni Ewropea tal-Kummerċ Ħieles.

(54)    Pajjiżi kandidati u, fejn applikabbli, kandidati potenzjali mill-Balkani tal-Punent.

(55)    L-outputs huma prodotti u servizzi li jkunu jridu jiġu pprovduti (pereżempju: l-għadd ta’ skambji tal-istudenti ffinanzjati, l-għadd ta’ km ta’ toroq mibnija, eċċ.).

(56)    Kif deskritt fil-punt 1.4.2. “Objettiv(i) speċifiku/speċifiċi…”

(57)    AC = Persunal b’kuntratt; AL = Persunal Lokali; END = Espert Nazzjonali Ssekondat; INT = persunal tal-aġenzija; JPD =    Professjonisti Żgħażagħ f’Delegazzjoni.

(58)    Sottolimitu għall-persunal estern kopert mill-approprjazzjonijiet operazzjonali (li qabel kienu l-linji “BA”).

(59)    Prinċipalment għal Fondi Strutturali, il-Fond Agrikolu Ewropew għall-Iżvilupp Rurali (EAFRD) u l-Fond Ewropew għas-Sajd (EFF).

(60)    Ara l-Artikoli 11 u 17 tar-Regolament tal-Kunsill (UE, Euratom) Nru 1311/2013 li jistabbilixxi l-qafas finanzjarju pluriennali għas-snin 2014–2020.

(61)    100% tal-kost totali stmata flimkien mal-kontribuzzjonijiet sħaħ tal-pensjoni minn min iħaddem

(62)    100% tal-kost totali stmata flimkien mal-kontribuzzjonijiet sħaħ tal-pensjoni minn min iħaddem

(63)    100% tal-kost totali stmata flimkien mal-kontribuzzjonijiet sħaħ tal-pensjoni minn min iħaddem

(64)    Fir-rigward tar-riżorsi proprji tradizzjonali (id-dazji doganali, l-imposti fuq iz-zokkor), l-ammonti indikati jridu jkunu l-ammonti netti, jiġifieri l-ammonti grossi wara t-tnaqqis ta’ 20 % tal-kostijiet tal-ġbir.

(65)    L-outputs huma prodotti u servizzi li jkunu jridu jiġu pprovduti (pereżempju: l-għadd ta’ skambji tal-istudenti ffinanzjati, l-għadd ta’ km ta’ toroq mibnija, eċċ.).

(66)    Kif deskritt fil-punt 1.4.2. “Objettiv(i) speċifiku/speċifiċi…”

(67)    L-outputs huma prodotti u servizzi li jkunu jridu jiġu pprovduti (pereżempju: l-għadd ta’ skambji tal-istudenti ffinanzjati, l-għadd ta’ km ta’ toroq mibnija, eċċ.).

(68)    Kif deskritt fil-punt 1.4.2. “Objettiv(i) speċifiku/speċifiċi…”

(69)    L-outputs huma prodotti u servizzi li jkunu jridu jiġu pprovduti (pereżempju: l-għadd ta’ skambji tal-istudenti ffinanzjati, l-għadd ta’ km ta’ toroq mibnija, eċċ.).

(70)    Kif deskritt fil-punt 1.4.2. “Objettiv(i) speċifiku/speċifiċi…”

(71)    100% tal-kost totali stmata flimkien mal-kontribuzzjonijiet sħaħ tal-pensjoni minn min iħaddem

(72)    100% tal-kost totali stmat flimkien mal-kontribuzzjonijiet sħaħ tal-pensjoni minn min iħaddem

(73)    100% tal-kost totali stmat flimkien mal-kontribuzzjonijiet sħaħ tal-pensjoni minn min iħaddem