OPINJONI TAL-BANK CENTRALI EWROPEW

tal-4 ta’ Ġunju 2021

dwar proposta għal regolament tal-Parlament Ewropew u tal-Kunsill dwar ir-reżiljenza operazzjonali diġitali għas-settur finanzjarju

(CON/2021/20)

(2021/C 343/01)

Introduzzjoni u bażi legali

Fit-22, it-23 u d-29 ta’ Diċembru 2020, il-Bank Ċentrali Ewropew (BĊE) irċieva talbiet mill-Kunsill tal-Unjoni Ewropea u mill-Parlament Ewropew, rispettivament, għal opinjoni dwar proposta għal regolament tal-Parlament Ewropew u tal-Kunsill dwar ir-reżiljenza operazzjonali diġitali għas-settur finanzjarju u li jemenda r-Regolamenti (KE) Nru 1060/2009, (UE) Nru 648/2012, (UE) Nru 600/2014 u (UE) Nru 909/2014 (1) (minn hawn ’il quddiem ir-“regolament propost”) u proposta għal direttiva li temenda d-Direttivi 2006/43/KE, 2009/65/KE 2009/138/KE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 u (UE) 2016/2341 (2) (minn hawn ’il quddiem id-“Direttiva emendatorja proposta”, flimkien mar-“regolament propost”, l-“atti proposti”).

Il-kompetenza tal-BĊE li jagħti opinjoni hija bbażata fuq l-Artikoli 127(4) u 282(5) tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, peress li l-atti proposti fihom dispożizzjonijiet li jaqgħu taħt l-oqsma ta’ kompetenza tal-BĊE, b’mod partikolari, id-definizzjoni u l-implimentazzjoni tal-politika monetarja, il-promozzjoni tal-funzjonament bla xkiel tas-sistemi ta’ pagament, il-kontribut għat-twettiq bla xkiel tal-politiki segwiti mill-awtoritajiet kompetenti relatati mal-istabbiltà tas-sistema tas-swieq finanzjarji, u l-kompiti tal-BĊE rigward is-superviżjoni prudenzjali tal-istituzzjonijiet ta’ kreditu skont l-ewwel u r-raba’ inċiżi tal-Artikolu 127(2), l-Artikolu 127(5) u l-Artikolu 127(6) tat-Trattat. F’konformità mal-ewwel sentenza tal-Artikolu 17.5 tar-Regoli tal-Proċedura tal-Bank Ċentrali Ewropew, il-Kunsill Governattiv adotta din l-opinjoni.

1.   Osservazzjonijiet ġenerali

1.1

Il-BĊE jilqa’ r-regolament propost, li għandu l-għan li jsaħħaħ iċ-ċibersigurtà u r-reżiljenza operazzjonali tas-settur finanzjarju. B’mod partikolari, il-BĊE jilqa’ l-għan tar-regolament propost li jneħħi l-ostakli għas-suq intern għas-servizzi finanzjarji u jtejjeb l-istabbiliment u l-funzjonament tiegħu billi jarmonizza r-regoli applikabbli fil-qasam tal-ġestjoni tar-riskji tat-teknoloġija tal-informazzjoni u l-komunikazzjoni (ICT), ir-rapportar, l-ittestjar u r-riskji tal-ICT minn terzi. Barra minn hekk, il-BĊE jilqa’ l-għan tar-regolament propost li jissimplifika u jarmonizza kwalunkwe rekwiżit regolatorju jew aspettattiva superviżorja sovrapposta li l-entitajiet finanzjarji huma attwalment soġġetti għalihom skont id-dritt tal-Unjoni.

1.2

Il-BĊE jifhem li, fir-rigward tal-entitajiet finanzjarji identifikati bħala operaturi ta’ servizzi essenzjali (3), ir-regolament propost jirrappreżenta leġiżlazzjoni speċifika għas-settur (lex specialis) f’konformità mat-tifsira kif stabbilita fl-Artikolu 1(7) tad-Direttiva (UE) 2016/1148 tal-Parlament Ewropew u tal-Kunsill (4) (minn hawn ’il quddiem id-“Direttiva NIS”); dan jimplika li r-rekwiżiti skont ir-regolament propost, fil-prinċipju, jipprevalu fuq id-Direttiva NIS. Fil-prattika, l-entitajiet finanzjarji identifikati bħala operaturi ta’ servizzi essenzjali (5), fost l-oħrajn, ikunu jridu jirrapportaw inċidenti f’konformità mar-regolament propost aktar milli mad-Direttiva NIS. Filwaqt li l-BĊE jilqa’ t-tnaqqis ta’ rekwiżiti potenzjalment sovrapposti għall-entitajiet finanzjarji fil-qasam tar-rapportar tal-inċidenti, għandha tingħata aktar kunsiderazzjoni lill-interazzjoni bejn ir-regolament propost u d-Direttiva NIS. Pereżempju, skont ir-regolament propost, fornitur terz ta’ servizzi tal-ICT (6) jista’ jkun soġġett għal rakkomandazzjonijiet maħruġa mis-sorveljant ewlieni (7). Fl-istess ħin, l-istess fornitur terz ta’ servizzi tal-ICT jista’ jiġi kklassifikat bħala operatur ta’ servizzi essenzjali skont id-Direttiva NIS u jkun soġġett għal struzzjonijiet vinkolanti maħruġa mill-awtorità kompetenti (8). F’każ bħal dan, il-fornitur terz ta’ servizzi tal-ICT jista’ jkun soġġett għal rakkomandazzjonijiet konfliġġenti maħruġa skont ir-regolament propost u struzzjonijiet vinkolanti maħruġa skont id-Direttiva NIS. Il-BĊE jissuġġerixxi li l-korpi leġiżlattivi tal-Unjoni jirriflettu aktar dwar l-inkonsistenzi potenzjali bejn ir-regolament propost u d-Direttiva NIS li jistgħu jfixklu l-armonizzazzjoni u t-tnaqqis ta’ rekwiżiti sovrapposti u konfliġġenti għall-entitajiet finanzjarji.

1.3

Il-BĊE jifhem ukoll li skont il-proposta għal direttiva tal-Parlament Ewropew u tal-Kunsill dwar miżuri għal livell għoli komuni ta’ ċibersigurtà madwar l-Unjoni kollha, li tħassar id-Direttiva (UE) 2016/1148 (9) (minn hawn ’il quddiem id-“Direttiva proposta NIS2”), il-“kważi aċċidenti” (10) se jkunu soġġetti għal obbligi ta’ rapportar (11). Filwaqt li l-Premessa (39) tad-Direttiva proposta NIS2 tirreferi għat-tifsira tat-terminu “kważi aċċidenti”, ma huwiex ċar jekk l-intenzjoni hijiex li l-entitajiet finanzjarji elenkati fl-Artikolu 2 tar-regolament propost ikunu meħtieġa li jirrapportaw il-kważi aċċidenti. F’dan ir-rigward, u b’kont meħud ukoll tal-fatt li l-kważi aċċidenti jistgħu jiġu identifikati bħala tali biss wara li jkunu seħħew, il-BĊE jkun sodisfatt jekk jirċievi notifika ta’ kważi inċidenti sinifikanti fil-ħin, kif inhu l-każ bħalissa għall-inċidenti ċibernetiċi. Il-BĊE jissuġġerixxi li għandu jkun hemm koordinazzjoni akbar bejn ir-regolament propost u d-direttiva proposta NIS2 biex jiġi ċċarat il-kamp ta’ applikazzjoni preċiż tar-rapportar li għalih kwalunkwe entità finanzjarja partikolari tista’ tkun soġġetta taħt dawn iż-żewġ biċċiet distinti iżda konnessi tal-leġiżlazzjoni tal-Unjoni. Fl-istess ħin, ikun jeħtieġ li l-“kważi aċċidenti” jiġu ddefiniti u jkun jeħtieġ li jiġu żviluppati dispożizzjonijiet li jiċċaraw is-sinifikat tagħhom.

1.4

Il-BĊE jilqa’ l-inċentivar tal-entitajiet finanzjarji biex jaqsmu bejniethom, fuq bażi volontarja, informazzjoni ta’ intelligence dwar it-theddid ċibernetiku biex itejbu u jsaħħu l-qagħdiet tagħhom tar-reżiljenza ċibernetika. Il-BĊE nnifsu għen fl-Inizjattiva għall-Kondiviżjoni ta’ Informazzjoni dwar l-Intelligence tat-Theddid Ċibernetiku(CIISI-EU) immexxija mis-suq u għamel disponibbli l-pjan dettaljat għal kull min jixtieq jibni u jrawwem inizjattiva bħal din (12).

1.5

Il-BĊE jappoġġa l-kooperazzjoni bejn l-awtoritajiet kompetenti għall-finijiet tar-regolament propost, l-Awtoritajiet Superviżorji Ewropej (ASE), u l-Iskwadri ta’ Rispons għal Inċidenti relatati mas-Sigurtà tal-Kompjuters (CSIRTs) (13). Huwa essenzjali li jsir skambju ta’ informazzjoni sabiex tiġi żgurata r-reżiljenza operazzjonali tal-Unjoni, peress li l-kondiviżjoni tal-informazzjoni u l-kooperazzjoni fost l-awtoritajiet jistgħu jikkontribwixxu għall-prevenzjoni ta’ attakki ċibernetiċi u jgħinu biex jitnaqqas it-tixrid tat-theddid tal-ICT. Għandu jiġi mħeġġeġ fehim komuni tar-riskji relatati mal-ICT u għandu jiġi żgurat li dawn ir-riskji jiġu vvalutati b’mod konsistenti madwar l-Unjoni. Huwa ta’ importanza fundamentali li l-informazzjoni tiġi kondiviża mal-punt uniku ta’ kuntatt (14) u mas-CSIRTs nazzjonali mill-awtoritajiet kompetenti (15) biss meta jkun hemm mekkaniżmi ta’ klassifikazzjoni u kondiviżjoni tal-informazzjoni stabbiliti b’mod ċar, flimkien ma’ salvagwardji adegwati biex tiġi żgurata l-kunfidenzjalità.

1.6

Fl-aħħar nett, il-BĊE jkun sodisfatt bl-introduzzjoni skont ir-regolament propost ta’ regoli dwar id-data personali u ż-żamma tad-data. It-tul tal-perjodu taż-żamma għandu jqis l-investigazzjoni, l-ispezzjoni, it-talba għall-informazzjoni, il-komunikazzjoni, il-pubblikazzjoni, l-evalwazzjoni, il-verifika, il-valutazzjoni u l-abbozzar ta’ pjanijiet ta’ sorveljanza jew pjanijiet superviżorji li l-awtoritajiet kompetenti jista’ jkollhom iwettqu bħala parti mill-obbligi u d-dmirijiet rispettivi tagħhom skont ir-regolament propost. F’dan ir-rigward, perjodu ta’ żamma għal 15-il sena ikun adegwat. Dan il-perjodu taż-żamma tad-data jista’ jitqassar jew jiġi estiż, skont kif jeħtieġu każijiet speċifiċi. F’dan ir-rigward, il-BĊE jissuġġerixxi li l-korpi leġiżlattivi tal-Unjoni, fil-formulazzjoni tagħhom tad-dispożizzjoni rilevanti dwar id-data personali u ż-żamma tad-data, iqisu wkoll il-prinċipju tal-minimizzazzjoni tad-data, kif ukoll l-ipproċessar ulterjuri għal finijiet ta’ arkivjar fl-interess pubbliku, għal finijiet ta’ riċerka xjentifika jew storika jew għal finijiet ta’ statistika (16).

2.   Osservazzjonijiet speċifiċi dwar is-sorveljanza u l-ikklerjar u s-saldu tat-titoli

2.1   Kompetenzi ta’ sorveljanza tas-SEBĊ u tal-Eurosistema

2.1.1

B’rabta mill-qrib mal-kompiti bażiċi tal-politika monetarja tagħha, it-Trattat u l-Istatut tas-Sistema Ewropea tal-Banek Ċentrali u tal-Bank Ċentrali Ewropew (minn hawn ’il quddiem l-Istatut tas-SEBĊ) jipprevedu s-sorveljanza mill-Eurosistema fuq is-sistemi tal-ikklerjar u tal-pagamenti. Skont ir-raba’ inċiż tal-Artikolu 127(2) tat-Trattat, kif rifless fl-Artikolu 3.1 tal-Istatut tas-SEBĊ, wieħed mill-kompiti bażiċi li għandhom jitwettqu permezz tas-Sistema Ewropea ta’ Banek Ċentrali (SEBĊ) huwa li jiġi promoss l-operat bla xkiel tas-sistemi ta’ pagament. Fit-twettiq ta’ dan il-kompitu bażiku, il-BĊE u l-banek ċentrali nazzjonali jistgħu jipprovdu faċilitajiet, u l-BĊE jista’ jagħmel regolamenti, biex jiżgura sistemi tal-ikklerjar u ta’ pagamenti effiċjenti u sodi fi ħdan l-Unjoni u ma’ pajjiżi oħrajn (17). Skont ir-rwol ta’ sorveljanza tiegħu, il-BĊE adotta r-Regolament (UE) Nru 795/2014 tal-Bank Ċentrali Ewropew (BĊE/2014/28) (minn hawn ’il quddiem ir-“Regolament dwar is-SIPS”) (18). Ir-Regolament dwar is-SIPS jimplimenta, f’forma preskrittiva, il-Prinċipji ta’ April 2012 għall-infrastrutturi tas-swieq finanzjarji maħruġa mill-Kumitat dwar is-Sistemi ta’ Pagament u Saldu u l-Organizzazzjoni Internazzjonali tal-Kummissjonijiet tat-Titoli (19), li huma legalment vinkolanti u jkopru kemm sistemi ta’ pagament ta’ importanza sistemika ta’ valur kbir kif ukoll bl-imnut, operati jew minn bank ċentrali tal-Eurosistema jew minn entità privata. Il-qafas ta’ politika ta’ sorveljanza tal-Eurosistema (20) jidentifika l-istrumenti ta’ pagament bħala “parti integrali mis-sistemi ta’ pagament” u għalhekk jinkludihom fil-kamp ta’ applikazzjoni tas-sorveljanza tagħha. Il-qafas ta’ sorveljanza għall-istrumenti ta’ pagament bħalissa qed jiġi rieżaminat (21). Taħt dak il-qafas, strument ta’ pagament (eż. kard, trasferiment ta’ kreditu, debitu dirett, trasferiment ta’ flus elettroniċi u token ta’ pagament diġitali (22)) huwa definit bħala apparat (jew sett ta’ apparati) personalizzat u/jew sett ta’ proċeduri miftehmin bejn l-utent u l-fornitur ta’ servizzi ta’ pagament li jintuża sabiex ikun jista’ jsir trasferiment ta’ valur (23).

2.1.2

Fid-dawl ta’ dan, il-BĊE jilqa’ l-esklużjoni mill-artikolu tal-kamp ta’ applikazzjoni tar-regolament propost tal-operaturi tas-sistema kif definit fil-punt (p) tal-Artikolu 2 tad-Direttiva 98/26/KE tal-Parlament Ewropew u tal-Kunsill (24), sistemi ta’ pagament (inklużi dawk operati minn banek ċentrali), skemi ta’ pagament u arranġamenti ta’ pagament fid-dawl tal-applikazzjoni tal-oqfsa ta’ sorveljanza msemmija hawn fuq. Għal dawn ir-raġunijiet, il-kompetenzi tas-SEBĊ skont it-Trattat u l-kompetenzi tal-Eurosistema skont ir-Regolament SIPS għandhom jiġu spjegati b’mod ċar fil-premessi tar-regolament propost.

2.1.3

Bl-istess mod, il-BĊE jilqa’ l-esklużjoni mill-applikazzjoni tal-qafas ta’ sorveljanza stabbilit fir-regolament propost ta’ fornituri terzi ta’ servizzi tal-ICT li huma soġġetti għal oqfsa ta’ sorveljanza stabbiliti insostenn tal-kompiti msemmija fl-Artikolu 127(2) tat-Trattat (25). F’dan ir-rigward, il-BĊE jixtieq jenfasizza li l-banek ċentrali tas-SEBĊ li jaġixxu fil-kapaċità tagħhom bħala awtorità monetarja (26) u l-Eurosistema meta tipprovdi servizzi permezz tat-TARGET2, it-TARGET2-Securities (T2S) (27) u s-Saldu ta’ Pagamenti Istantanji TARGET (TIPS) (28) ma humiex soġġetti għall-artikolu tal-kamp ta’ applikazzjoni tar-regolament propost, lanqas ma jistgħu jitqiesu fornituri terzi ta’ servizzi tal-ICT u għalhekk potenzjalment ikklassifikati bħala fornituri terzi ta’ servizzi kritiċi tal-ICT għall-finijiet tar-regolament propost. L-Eurosistema tissorvelja t-T2S b’rabta mal-mandat tagħha li tiżgura sistemi ta’ kklerjar u ta’ pagament effiċjenti u sodi. Barra minn hekk, l-ESMA ċċarat li t-T2S ma hijiex fornitur ta’ servizzi kritiċi (29) skont it-tifsira tar-Regolament (UE) Nru 909/2014 tal-Parlament Ewropew u tal-Kunsill (30) (minn hawn ’il quddiem ir-“Regolament dwar is-CSDs”). B’riżultat ta’ dan, is-sikurezza organizzattiva u operazzjonali, l-effiċjenza u r-reżiljenza tat-T2S huma żgurati permezz tal-qafas legali, regolatorju u operazzjonali applikabbli u l-arranġamenti ta’ governanza miftiehma jew it-T2S, minflok permezz tar-Regolament dwar is-CSDs.

2.1.4

Barra minn hekk, il-qafas tal-politika ta’ sorveljanza tal-Eurosistema (31) jkopri fornituri ta’ servizzi kritiċi bħas-Soċjetà għat-Telekomunikazzjoni Finanzjarja Interbankarja Dinjija (SWIFT). SWIFT hija kumpanija kooperattiva b’responsabbiltà limitata stabbilita fil-Belġju, li tipprovdi servizzi ta’ messaġġi siguri fuq livell internazzjonali. In-Nationale Bank van België/Banque Nationale de Belgique jaġixxi bħala s-sorveljant ewlieni ta’ SWIFT, u jwettaq, fuq il-bażi ta’ arranġament ta’ sorveljanza kooperattiva, sorveljanza fir-rigward ta’ SWIFT, f’kooperazzjoni mal-banek ċentrali l-oħra tal-G10, inkluż il-BĊE. Is-sorveljanti tal-G10 jirrikonoxxu li l-fokus ewlieni tas-sorveljanza huwa r-riskju operazzjonali ta’ SWIFT, peress li dan huwa meqjus bħala l-kategorija tar-riskju primarju li permezz tiegħu SWIFT tista’ toħloq riskju sistemiku għas-sistema finanzjarja fl-Unjoni. F’dan ir-rigward, il-Grupp ta’ Sorveljanza Kooperattiva ta’ SWIFT żviluppa sett speċifiku ta’ prinċipji u aspettattivi ta’ livell għoli li japplikaw għal SWIFT, bħall-identifikazzjoni u l-ġestjoni tar-riskju, is-sigurtà tal-informazzjoni, l-affidabbiltà u r-reżiljenza, l-ippjanar tat-teknoloġija u l-komunikazzjoni mal-utenti. Is-sorveljanti tal-G10 jistennew li SWIFT taderixxi mal-Kumitat dwar is-sistemi ta’ pagament u saldu tal-banek ċentrali tal-pajjiżi tal-Grupp tal-Għaxra (CPMI) u mal-Gwida tal-Organizzazzjoni Internazzjonali tal-Kummissjonijiet tat-Titoli (IOSCO) dwar ir-reżiljenza ċibernetika (32) kif ukoll ma’ standards internazzjonali oħra dwar is-sigurtà tal-ICT li, meta jitqiesu flimkien, jaqbżu r-rekwiżiti stabbiliti fir-regolament propost.

2.1.5

Wieħed ma jistax ikun ċert li SWIFT u forsi fornituri oħra ta’ servizzi soġġetti għall-qafas ta’ politika ta’ sorveljanza tal-Eurosistema, jistgħu jsiru soġġetti għar-regolament propost bħala fornituri terzi ta’ servizzi tal-ICT kieku kellhom jipprovdu servizzi mhux koperti taħt l-Artikolu 127(2) tat-Trattat. Il-BĊE għalhekk jilqa’ b’sodisfazzjon kbir il-fatt li l-fornituri ta’ servizzi diġà soġġetti għall-qafas ta’ politika ta’ sorveljanza tal-Eurosistema, inkluż iżda mhux limitat għal SWIFT, jiġu esklużi mill-kamp ta’ applikazzjoni tal-qafas ta’ sorveljanza stabbilit skont ir-regolament propost.

2.2   Il-kompetenzi tas-SEBĊ fil-qasam tas-saldu tat-titoli

2.2.1

Id-depożitorji ċentrali tat-titoli (CSDs) huma infrastrutturi tas-suq finanzjarju (FMIs) li huma strettament regolati u ssorveljati minn awtoritajiet differenti skont ir-Regolament dwar is-CSDs, li jistabbilixxi rekwiżiti li għandhom x’jaqsmu mas-saldu ta’ strumenti finanzjarji kif ukoll regoli dwar l-organizzazzjoni u l-kondotta tas-CSDs. Barra minn hekk, is-CSDs għandhom jieħdu nota tal-Gwida tas-CPMI-IOSCO dwar ir-reżiljenza ċibernetika, li ġiet operazzjonalizzata mill-Aspettattivi ta’ sorveljanza dwar ir-reżiljenza ċibernetika għall-infrastrutturi tas-suq finanzjarju (Diċembru 2018) (33). Minbarra l-kompetenzi superviżorji fdati lill-awtoritajiet nazzjonali kompetenti (NCAs) skont ir-Regolament dwar is-CSDs, il-membri tas-SEBĊ jaġixxu bħala “awtoritajiet rilevanti”, fil-kapaċità tagħhom bħala sorveljanti ta’ sistemi ta’ saldu tat-titoli mħaddma minn CSDs, banek ċentrali li joħorġu l-aktar muniti rilevanti li fihom isir is-saldu u banek ċentrali li fil-kotba tagħhom tiġi saldata l-parti tal-flus tat-tranżazzjonijiet (34). F’dan ir-rigward, il-premessa 8 tar-Regolament dwar is-CSDs tiddikjara li r-Regolament għandu japplika mingħajr ħsara għar-responsabbiltajiet tal-BĊE u tal-banek ċentrali nazzjonali li jiżguraw sistemi ta’ kklerjar u sistemi ta’ pagament effiċjenti u sodi fl-Unjoni u f’pajjiżi oħrajn. Il-premessa 8 tiddikjara wkoll li r-Regolament dwar is-CSDs ma għandux jipprevjeni lill-membri tas-SEBĊ milli jaċċessaw l-informazzjoni rilevanti għat-twettiq tal-kompiti tagħhom (35), inkluża s-sorveljanza tas-CSDs u ta’ FMIs oħrajn (36).

2.2.2

Barra minn hekk, il-membri tas-SEBĊ spiss jaġixxu bħala aġenti tas-saldu għall-parti tal-flus tat-tranżazzjonijiet tat-titoli u l-Eurosistema toffri lis-CSDs servizzi ta’ saldu permezz tat-T2S. Is-sorveljanza tat-T2S mill-Eurosistema hija relatata mal-mandat tagħha li tiżgura sistemi ta’ kklerjar u pagament effiċjenti u sodi, filwaqt li l-awtoritajiet kompetenti u rilevanti tas-CSDs għandhom l-għan li jiżguraw il-funzjonament bla xkiel tagħhom, is-sikurezza u l-effiċjenza tas-saldu u l-funzjonament xieraq tas-swieq finanzjarji fil-ġuriżdizzjonijiet rispettivi tagħhom.

2.2.3

Skont ir-regolament propost (37), il-banek ċentrali tas-SEBĊ ma humiex involuti fl-iżvilupp ta’ standards tekniċi fir-rigward tal-ispeċifikazzjoni tar-riskji tal-ICT. Bl-istess mod, skont ir-regolament propost (38), l-awtoritajiet rilevanti ma jiġux informati dwar kwalunkwe inċident relatat mal-ICT. Bank ċentrali tas-SEBĊ għandu jżomm l-istess livell ta’ involviment kif previst bħalissa skont ir-Regolament dwar is-CSDs u l-awtoritajiet rilevanti għandhom jiġu nnotifikati dwar inċidenti relatati mal-ICT. L-Eurosistema hija l-awtorità rilevanti għas-CSDs kollha taż-żona tal-euro u għal diversi CSDs oħra tal-UE. Ikun jeħtieġ li l-banek ċentrali tas-SEBĊ jiġu informati dwar inċidenti relatati mal-ICT li jkunu rilevanti għat-twettiq ta’ dmirijiethom, li jinkludu s-sorveljanza tas-CSDs u ta’ FMIs oħra. Ir-riskji li s-CSDs huma esposti għalihom, inklużi r-riskji tal-ICT, għandhom il-potenzjal li jheddu l-funzjonament tajjeb tas-CSDs. Għalhekk, ir-riskji tal-ICT huma importanti għall-awtoritajiet rilevanti, li għandhom jingħataw ħarsa ġenerali sħiħa u dettaljata ta’ dawn ir-riskji sabiex jivvalutawhom u jinfluwenzaw l-approċċ tal-ġestjoni tar-riskju tas-CSDs. Ir-regolament propost ma għandux jipprevedi rekwiżiti inqas restrittivi fir-rigward tar-riskji tal-ICT meta mqabbla ma’ dawk previsti fir-Regolament dwar is-CSDs u l-istandards tekniċi regolatorji attwali relatati.

2.2.4

Barra minn hekk, il-korpi leġiżlattivi tal-Unjoni għandhom jiċċaraw l-interazzjoni bejn ir-regolament propost (39) u l-istandards tekniċi regolatorji li jissupplimentaw ir-Regolament dwar is-CSDs. B’mod partikolari, ma huwiex ċar jekk CSD għandux jiġi eżentat mill-obbligu li jkollu s-sit sekondarju tiegħu stess meta l-fornitur terz tiegħu ta’ servizzi tal-ICT jżomm tali sit (40). Jekk CSD ikun eżentat minn dan l-obbligu li jżomm sit sekondarju, ma huwiex ċar x’valur legali jkollu dan ir-rekwiżit. Bl-istess mod, ir-regolament propost (41) jirreferi għal objettiv ta’ ħin ta’ rkupru u għal objettivi ta’ punt ta’ rkupru għal kull funzjoni (42), filwaqt li l-istandard tekniku regolatorju rilevanti jagħmel distinzjoni bejn il-funzjonijiet kritiċi (43) u l-operazzjonijiet kritiċi (44) fir-rigward tal-ħin ta’ rkupru stabbilit għall-operazzjonijiet kritiċi tas-CSDs. Aktar kjarifiki u riflessjoni mill-korpi leġiżlattivi tal-Unjoni dwar l-interazzjoni bejn ir-regolament propost u l-istandards tekniċi regolatorji li jissupplimentaw ir-Regolament dwar is-CSDs huma ġġustifikati sabiex jiġi evitat ir-riskju ta’ rekwiżiti konfliġġenti. Fl-aħħar nett, għandu jiġi ċċarat li l-eżenzjonijiet mogħtija lis-CSDs imħaddma minn ċerti entitajiet pubbliċi skont ir-Regolament dwar is-CSDs (45) huma estiżi skont ir-regolament propost.

2.3   Il-kompetenzi tas-SEBĊ fil-qasam tal-ikklerjar tat-titoli

2.3.1

Il-banek ċentrali tas-SEBĊ huma fdati b’kompetenzi ta’ sorveljanza fir-rigward ta’ kontropartijiet ċentrali (CCPs). F’dan ir-rigward, il-banek ċentrali nazzjonali tal-Eurosistema spiss jikkooperaw mal-awtoritajiet nazzjonali kompetenti rilevanti fil-funzjonijiet ta’ sorveljanza u dawk superviżorji tas-CCPs u jipparteċipaw fil-kulleġġ tas-CCP rispettiv stabbilit skont ir-Regolament (UE) Nru 648/2012 tal-Parlament Ewropew u tal-Kunsill (46) (minn hawn ’il quddiem l-“EMIR”). Il-membri rilevanti tal-Eurosistema (47) jipparteċipaw fil-kulleġġi tal-EMIR fil-kapaċità tagħhom ta’ sorveljanti u jirrappreżentaw l-Eurosistema bħala bank ċentrali tal-ħruġ għas-CCPs fejn l-euro hija waħda mill-aktar muniti rilevanti għall-istrumenti finanzjarji kklerjati (u għal CCPs offshore li jikklerjaw proporzjon sinifikanti ta’ strumenti finanzjarji f’euro). Il-BĊE huwa l-bank ċentrali tal-ħruġ għal CCPs mhux fiż-żona tal-euro.

2.3.2

Skont ir-regolament propost (48), il-banek ċentrali tas-SEBĊ ma humiex involuti fl-iżvilupp ta’ standards tekniċi fir-rigward tal-ispeċifikazzjoni tar-riskji tal-ICT. Barra minn hekk, ir-regolament propost (49) ma għandu l-ebda referenza għall-objettiv ta’ ħin ta’ rkupru u r-rekwiżiti ta’ objettiv ta’ punt ta’ rkupru skont l-EMIR (50). L-istruttura regolatorja proposta ma għandhiex tipprevedi rekwiżiti inqas restrittivi fir-rigward tar-riskji tal-ICT minn dawk li jeżistu bħalissa. Għalhekk, huwa kruċjali li jiġu stabbiliti objettivi ċari ta’ ħin u ta’ punt ta’ rkupru sabiex ikun hemm qafas sod ta’ ġestjoni tal-kontinwità tan-negozju. Iż-żamma ta’ objettivi speċifiċi ta’ ħin u ta’ punt ta’ rkupru hija wkoll parti mill-Prinċipji tas-CPMI-IOSCO għall-Infrastrutturi tas-Suq Finanzjarju (51). Id-dispożizzjoni attwali skont l-EMIR għandha tinżamm, u r-regolament propost għandu jiġi adattat kif xieraq. Il-banek ċentrali tas-SEBĊ għandhom ikunu involuti fit-tħejjija ta’ kwalunkwe leġiżlazzjoni ta’ livell sekondarju, u huma meħtieġa wkoll aktar kjarifika u riflessjoni mill-korpi leġiżlattivi tal-Unjoni dwar l-interazzjoni bejn ir-regolament propost u l-istandards tekniċi regolatorji supplementari, sabiex jiġi evitat ir-riskju ta’ rekwiżiti konfliġġenti jew sovrapposti.

3.   Osservazzjonijiet speċifiċi dwar aspetti superviżorji prudenzjali

3.1

Ir-Regolament tal-Kunsill (UE) Nru 1024/2013 (52) (minn hawn ’il quddiem ir-“Regolament dwar l-MSU”) jikkonferixxi kompiti speċifiċi lill-BĊE fir-rigward tas-superviżjoni prudenzjali tal-istituzzjonijiet ta’ kreditu fiż-żona tal-euro u jżomm lill-BĊE responsabbli għall-funzjonament effettiv u konsistenti tal-Mekkaniżmu Superviżorju Uniku (MSU), li fih jitqassmu responsabbiltajiet superviżorji speċifiċi bejn il-BĊE u l-NCAs parteċipanti. B’mod partikolari, il-BĊE għandu l-kompitu li jawtorizza u jirtira l-awtorizzazzjoni tal-istituzzjonijiet ta’ kreditu kollha. Il-BĊE għandu wkoll il-kompitu, fost l-oħrajn, li jiżgura konformità mal-liġijiet rilevanti tal-Unjoni li jimponu rekwiżiti prudenzjali fuq l-istituzzjonijiet ta’ kreditu, inkluż ir-rekwiżit li jkun hemm fis-seħħ arranġamenti ta’ governanza robusti, bħal proċessi sodi ta’ ġestjoni tar-riskju u mekkaniżmi ta’ kontroll intern (53). Għal dan il-għan, il-BĊE jingħata s-setgħat superviżorji kollha meħtieġa għall-eżerċitar tal-funzjonijiet tiegħu biex jintervjeni fl-attività tal-istituzzjonijiet ta’ kreditu. Il-BĊE u l-NCAs rilevanti huma għalhekk l-awtoritajiet kompetenti li jeżerċitaw setgħat superviżorji prudenzjali speċifikati skont ir-Regolament 2013/575/UE tal-Parlament Ewropew u tal-Kunsill (54) (minn hawn ’il quddiem ir-“Regolament dwar ir-Rekwiżiti ta’ Kapital”) u d-Direttiva 2013/36/UE tal-Parlament Ewropew u tal-Kunsill (55) (minn hawn ’il quddiem id-“Direttiva dwar ir-Rekwiżiti ta’ Kapital”).

3.2

Ir-regolament propost jiddikjara li l-ġabra unika tar-regoli u s-sistema unika ta’ superviżjoni għandhom jiġu żviluppati aktar biex ikopru r-reżiljenza operazzjonali diġitali u s-sigurtà tal-ICT, billi jestendu l-mandati tas-superviżuri finanzjarji inkarigati mill-monitoraġġ u l-protezzjoni tal-istabbiltà finanzjarja u l-integrità tas-suq (56). L-għan huwa li jitrawwem qafas komprensiv tar-riskju operazzjonali jew tal-ICT permezz tal-armonizzazzjoni tar-rekwiżiti ewlenin ta’ reżiljenza operazzjonali diġitali għall-entitajiet finanzjarji kollha (57). B’mod partikolari, ir-regolament propost għandu l-għan li jikkonsolida u jaġġorna r-rekwiżiti tar-riskji tal-ICT li, sal-lum, huma indirizzati separatament f’biċċiet differenti ta’ leġiżlazzjoni (58).

3.3

Ir-rekwiżiti relatati mar-riskji tal-ICT għas-settur finanzjarju bħalissa huma mifruxa fuq għadd ta’ atti tad-dritt tal-Unjoni, inkluża d-Direttiva dwar ir-Rekwiżiti ta’ Kapital, u strumenti legali nonvinkolanti (bħal-linji gwida tal-EBA), u huma varjati u kultant mhux kompluti. F’xi każijiet, ir-riskju tal-ICT ġie indirizzat biss b’mod impliċitu bħala parti mir-riskju operazzjonali, filwaqt li f’oħrajn ma ġie indirizzat xejn. Dan għandu jiġi rimedjat bl-allinjament tar-regolament propost u dawk l-atti. Għal dak il-għan, id-direttiva emendatorja proposta tressaq sett ta’ emendi li jidhru meħtieġa biex iġibu ċarezza legali u konsistenza fir-rigward tal-applikazzjoni tad-diversi rekwiżiti ta’ reżiljenza operazzjonali diġitali. Madankollu, l-emendi għad-Direttiva dwar ir-Rekwiżiti ta’ Kapital attwalment issuġġeriti mid-Direttiva emendatorja proposta (59) jirreferu biss għad-dispożizzjonijiet dwar il-pjanijiet ta’ kontinġenza u ta’ kontinwità tan-negozju (60), minħabba li, allegatament, dawn iservu b’mod impliċitu bħala bażi għall-indirizzar tal-ġestjoni tar-riskji tal-ICT.

3.4

Barra minn hekk, ir-regolament propost (61) jipprevedi li l-entitajiet finanzjarji, inklużi l-istituzzjonijiet ta’ kreditu, għandu jkollhom fis-seħħ oqfsa ta’ governanza u kontroll intern li jiżguraw ġestjoni effettiva u prudenti tar-riskji kollha tal-ICT. Ir-regolament propost (62) jipprevedi l-applikazzjoni fil-livell individwali u konsolidat tar-rekwiżiti stabbiliti fih, iżda mingħajr koordinazzjoni suffiċjenti mal-leġiżlazzjoni speċifika għas-settur imsemmija. Fl-aħħar nett, skont ir-regolament propost (63), huwa previst li mingħajr preġudizzju għad-dispożizzjonijiet dwar il-qafas ta’ sorveljanza għall-fornituri terzi kritiċi ta’ servizzi tal-ICT imsemmija fir-regolament propost (64), l-awtorità kompetenti maħtura f’konformità mal-Artikolu 4 tad-Direttiva dwar ir-Rekwiżiti ta’ Kapital, għandha tiżgura l-konformità tal-istituzzjonijiet ta’ kreditu mal-obbligi stabbiliti fih, mingħajr preġudizzju għall-kompiti speċifiċi mogħtija lill-BĊE mir-Regolament dwar l-MSU.

3.5

Fid-dawl ta’ dan li ntqal, il-BĊE jifhem li, fir-rigward tal-istituzzjonijiet ta’ kreditu, u ħlief għad-dispożizzjonijiet tar-regolament propost dwar il-qafas ta’ sorveljanza għall-fornituri terzi kritiċi ta’ servizzi tal-ICT (65), ir-regolament propost għandu l-għan li jistabbilixxi qafas ta’ governanza interna prudenzjali għall-ġestjoni tar-riskji tal-ICT li se jiġi integrat fil-qafas ta’ governanza interna ġenerali skont id-Direttiva dwar ir-Rekwiżiti ta’ Kapital. Barra minn hekk, minħabba n-natura prudenzjali tal-qafas propost, l-awtoritajiet kompetenti responsabbli għas-superviżjoni tal-konformità mal-obbligi stabbiliti skont il-qafas propost, inkluż il-BĊE, se jkunu l-awtoritajiet responsabbli għas-superviżjoni bankarja skont ir-Regolament dwar l-MSU.

3.6

Il-korpi leġiżlattivi tal-Unjoni jista’ għalhekk jogħġobhom iqisu s-suġġerimenti li ġejjin biex tiżdied iċ-ċarezza u l-koordinazzjoni bejn ir-regolament propost u d-Direttiva dwar ir-Rekwiżiti ta’ Kapital. L-ewwel, ir-rekwiżiti skont ir-regolament propost jistgħu jiġu kkwalifikati b’mod espliċitu bħala prudenzjali, kif sar, fost l-oħrajn, fir-Regolament dwar is-CSDs (66). It-tieni, il-premessi tad-direttiva emendatorja proposta (67) jistgħu jwessgħu l-formulazzjoni tagħhom ladarba r-rekwiżiti skont ir-regolament propost imorru lil hinn mill-fażi unika tal-pjanijiet ta’ kontinġenza u ta’ kontinwità tan-negozju. Il-miżuri ta’ governanza tar-riskji tal-ICT, b’mod ġenerali, jaqgħu taħt il-kamp ta’ applikazzjoni aktar ġenerali ta’ arranġamenti robusti ta’ governanza skont l-Artikolu 74 tad-Direttiva dwar ir-Rekwiżiti ta’ Kapital (68). It-tielet, ir-regolament propost (69) għandu jiġi emendat sabiex fil-premessi jfakkar il-kompetenza tal-BĊE għas-superviżjoni prudenzjali tal-istituzzjonijiet ta’ kreditu skont it-Trattat u r-Regolament dwar l-MSU. Ir-raba’, ir-referenza għall-applikazzjoni fil-livell individwali u konsolidat tar-rekwiżiti previsti fih (70) għandha tiġi riveduta peress li l-livell subkonsolidat u konsolidat ma humiex definiti fir-regolament propost, u ċerti tipi ta’ intermedjarji ma humiex soġġetti għal superviżjoni konsolidata skont il-leġiżlazzjoni rilevanti (eż. l-istituzzjonijiet ta’ pagament). Barra minn hekk, il-livell ta’ applikazzjoni tar-rekwiżiti skont ir-regolament propost għandu joħroġ biss mil-leġiżlazzjoni applikabbli għal kull tip ta’ entità finanzjarja. Fil-każ tal-istituzzjonijiet ta’ kreditu, hija prevista konnessjoni ċara bejn id-Direttiva dwar ir-Rekwiżiti ta’ Kapital u r-regolament propost, u għalhekk ir-rekwiżiti skont ir-regolament propost japplikaw awtomatikament fil-livell individwali, subkonsolidat jew konsolidat (71), skont il-każ. Fl-aħħar nett, il-korpi leġiżlattivi tal-Unjoni jistgħu jikkunsidraw li jipprovdu reġim tranżizzjonali għall-ġestjoni tal-perjodu bejn id-dħul fis-seħħ tar-regolament propost u d-dħul fis-seħħ tal-istandards tekniċi regolatorji previsti fir-regolament propost, peress li xi intermedjarji, inklużi l-istituzzjonijiet ta’ kreditu, diġà huma soġġetti għal regoli dwar ir-riskji tal-ICT li huma applikabbli għal setturi speċifiċi u huma aktar dettaljati mid-dispożizzjonijiet ġenerali tar-regolament propost.

3.7

Il-BĊE ġie fdat skont ir-Regolament dwar l-MSU bil-kompitu li jiżgura l-konformità mill-istituzzjonijiet ta’ kreditu mar-rekwiżiti tad-dritt tal-Unjoni li jeħtieġu li l-istituzzjonijiet ta’ kreditu jkollhom fis-seħħ proċessi robusti ta’ ġestjoni tar-riskji u mekkaniżmi ta’ kontroll intern (72). Dan ifisser li l-BĊE jrid jiżgura li l-istituzzjonijiet ta’ kreditu jimplimentaw politiki u proċessi għall-evalwazzjoni u l-ġestjoni tal-iskopertura tagħhom għal riskji operazzjonali, inkluż ir-riskju tal-mudell, u biex ikopru l-avvenimenti severi ħafna mhux frekwenti. L-istituzzjonijiet ta’ kreditu huma meħtieġa jfissru x’inhu li jikkostitwixxi riskju operazzjonali għall-finijiet ta’ dawk il-politiki u l-proċeduri (73).

3.8

F’Lulju 2017 il-Kunsill Governattiv tal-Bank Ċentrali Ewropew (BĊE) adotta l-Qafas ta’ Rapportar ta’ Inċidenti Ċibernetiċi tal-MSU (minn hawn ’il quddiem imsejjaħ il-“Qafas”), fuq il-bażi ta’ abbozz ta’ proposta tal-Bord Superviżorju skont l-Artikolu 26(8) u l-Artikolu 6(2) tar-Regolament dwar l-MSU u l-Artikolu 21(1) tar-Regolament (UE) Nru 468/2014 tal-Bank Ċentrali Ewropew (BĊE/2014/17) (74). Il-Qafas jikkonsisti f’talba vinkolanti (deċiżjonijiet individwali indirizzati lill-istituzzjonijiet ta’ kreditu) għal informazzjoni u/jew rapportar abbażi tal-Artikolu 10 tar-Regolament dwar l-MSU (75). Xi pajjiżi diġà għandhom stabbilit proċess ta’ rapportar tal-inċidenti, li jirrikjedi li l-istituzzjonijiet ta’ kreditu jirrapportaw l-inċidenti ċibernetiċi sinifikanti kollha lill-NCAs tagħhom. F’dawk il-pajjiżi, istituzzjonijiet ta’ kreditu sinifikanti xorta waħda se jirrapportaw l-inċidenti lill-NCAs, li mbagħad jgħadduhom mingħajr dewmien żejjed lill-BĊE f’isem l-entitajiet taħt superviżjoni. Għalhekk, id-deċiżjonijiet imsemmija hawn fuq huma indirizzati wkoll lil dawn l-awtoritajiet nazzjonali kompetenti biex jibagħtu dik l-informazzjoni lill-BĊE abbażi tal-Qafas. Il-BĊE jappoġġa l-isforz tal-korpi leġiżlattivi tal-Unjoni biex jippromwovu l-armonizzazzjoni u s-simplifikazzjoni tas-sett ta’ regoli u obbligi applikabbli għall-istituzzjonijiet ta’ kreditu dwar ir-rapportar tal-inċidenti, fost l-oħrajn. Fid-dawl ta’ dan, il-BĊE jinsab lest li jemenda (u potenzjalment jirrevoka) il-Qafas, fejn meħtieġ, fid-dawl tal-adozzjoni eventwali tar-regolament propost.

4.   Osservazzjonijiet speċifiċi dwar il-ġestjoni tar-riskji tal-ICT, ir-rapportar tal-inċidenti, l-ittestjar tar-reżiljenza operazzjonali u r-riskju tal-ICT minn terzi

4.1   Ġestjoni tar-riskji tal-ICT

4.1.1

Il-BĊE jilqa’ l-introduzzjoni mir-regolament propost ta’ qafas ta’ ġestjoni tar-riskji tal-ICT robust u komprensiv li jinkludi l-Gwida CPMI-IOSCO dwar ir-reżiljenza ċibernetika u huwa allinjat mill-qrib mal-aħjar prattiki, inklużi l-Aspettattivi tas-Sorveljanza tar-Reżiljenza Ċibernetika tal-Eurosistema għall-FMIs.

4.1.2

Il-BĊE jappoġġa l-kunċett li l-entitajiet finanzjarji għandhom iwettqu valutazzjonijiet tar-riskju ma’ kull “bidla kbira” fin-network u fl-infrastruttura tas-sistema tal-informazzjoni (76). Minkejja dan, ir-regolament propost ma fih l-ebda definizzjoni ta’ “bidla kbira”, li joħloq okkażjoni mhux mixtieqa għal interpretazzjonijiet diverġenti mill-entitajiet finanzjarji li fl-aħħar mill-aħħar jistgħu jfixklu l-għanijiet ta’ armonizzazzjoni tar-regolament propost. Għal raġunijiet ta’ ċertezza legali, il-korpi leġiżlattivi tal-Unjoni jista’ jogħġobhom jikkunsidraw l-introduzzjoni ta’ definizzjoni ta’ “bidla kbira” fir-regolament propost.

4.1.3

Il-BĊE ġeneralment jappoġġa l-idea li l-entitajiet finanzjarji li ma humiex mikrointrapriżi għandhom jirrapportaw il-kostijiet u t-telf rilevanti kkawżati mit-tfixkil fl-ICT u l-inċidenti relatati mal-ICT lill-awtoritajiet kompetenti (77). Madankollu, biex tiġi żgurata l-effettività ġenerali tas-sistema, u biex tiġi evitata l-possibbiltà li l-awtoritajiet kompetenti u l-entitajiet finanzjarji jkollhom għadd eċċessiv ta’ rapporti, il-korpi leġiżlattivi tal-Unjon jistgħu jesploraw l-introduzzjoni ta’ livelli limitu rilevanti, possibbilment ta’ natura kwantitattiva.

4.1.4

Il-BĊE jirrikonoxxi l-possibbiltà li l-entitajiet finanzjarji jiddelegaw il-kompiti ta’ verifika tal-konformità mar-rekwiżiti tal-ġestjoni tar-riskji tal-ICT lil impriżi intragrupp jew esterni, wara l-approvazzjoni tal-awtoritajiet kompetenti (78). Fl-istess ħin, huwa importanti li l-korpi leġiżlattivi tal-Unjoni jiċċaraw kif se tingħata l-approvazzjoni mill-awtoritajiet kompetenti f’każijiet fejn entità finanzjarja tkun soġġetta għal diversi awtoritajiet kompetenti. Dan jista’ jseħħ meta entità finanzjarja tkun istituzzjoni ta’ kreditu, fornitur ta’ servizzi tal-kriptoassi u/jew fornitur ta’ servizzi ta’ pagament. Fl-aħħar nett, fir-rigward tal-identifikazzjoni u l-klassifikazzjoni li għandhom iwettqu l-entitajiet finanzjarji skont ir-regolament propost (79), il-BĊE jikkunsidra prudenti, għall-finijiet tal-klassifikazzjoni tal-assi, li r-regolament propost jirrikjedi wkoll li l-entitajiet finanzjarji jqisu l-kritikalità ta’ tali assi (jiġifieri jekk jappoġġawx funzjonijiet kritiċi).

4.2   Rapportar ta’ inċidenti

4.2.1

Il-BĊE jilqa’ l-isforzi deskritti fir-regolament propost biex jiġi armonizzat ix-xenarju tar-rapportar tal-inċidenti tal-ICT fl-Unjoni u għal ħidma biex ikun hemm rapportar ċentralizzat ta’ inċidenti kbar relatati mal-ICT (80). L-introduzzjoni ta’ qafas armonizzat għar-rapportar ta’ inċidenti kbar relatati mal-ICT (81) lill-awtoritajiet kompetenti rilevanti fil-prinċipju tissimplifika u tarmonizza l-piż tar-rapportar tal-entitajiet finanzjarji, inklużi l-istituzzjonijiet ta’ kreditu. L-awtoritajiet kompetenti jibbenefikaw mill-kamp ta’ applikazzjoni usa’ tal-inċidenti koperti, li jmur lil hinn mill-inċidenti relatati maċ-ċibersigurtà li bħalissa huma koperti mill-oqfsa eżistenti (82). L-adozzjoni futura tar-regolament propost tkun teħtieġ rieżami u potenzjalment revoka ta’ oqfsa eżistenti, inkluż tal-Qafas ta’ Rapportar ta’ Inċidenti Ċibernetiċi tal-MSU. Minkejja dan, sabiex tinkiseb simplifikazzjoni vera u allinjament sħiħ fl-oqfsa kollha, huwa kruċjali li jiġi żgurat li l-kamp ta’ applikazzjoni tad-dispożizzjonijiet dwar ir-rapportar tal-inċidenti skont ir-regolament propost, inklużi d-definizzjonijiet, il-limiti u l-parametri tar-rapportar rilevanti kollha, ikun allinjat bis-sħiħ mal-oqfsa rilevanti. B’mod partikolari, huwa ta’ importanza kbira li jiġi żgurat allinjament bejn, minn naħa, ir-regolament propost, u, min-naħa l-oħra, id-Direttiva (UE) 2015/2366 tal-Parlament Ewropew u tal-Kunsill (83) (minn hawn ’il quddiem il-“PSD2”) u l-Linji Gwida tal-EBA dwar ir-rapportar ta’ inċidenti kbar (minn hawn ’il quddiem il-“Linji Gwida tal-EBA”). Id-Direttiva emendatorja proposta (84) fiha emendi għall-PSD2 fir-rigward tad-delinjazzjoni tar-rapportar tal-inċidenti bejn ir-regolament propost u l-PSD2, li jaffettwaw prinċipalment lill-fornituri ta’ servizzi ta’ pagament, li jistgħu jiġu awtorizzati wkoll bħala istituzzjonijiet ta’ kreditu, kif ukoll lill-awtoritajiet kompetenti. Hemm nuqqas ta’ ċarezza fir-rigward tal-proċess ta’ notifika tal-inċidenti, u hemm sovrapożizzjoni potenzjali bejn uħud mill-inċidenti li jridu jiġu rrapportati kemm skont ir-regolament propost kif ukoll skont il-Linji Gwida tal-EBA.

4.2.2

Il-proċessi għan-notifika ta’ inċidenti kbar skont, rispettivament, ir-regolament propost (85), il-PSD2 u l-Linji Gwida korrispondenti tal-EBA jkunu jeħtieġu li l-fornituri ta’ servizzi ta’ pagament jissottomettu rapport ta’ inċident lill-awtorità kompetenti rispettiva tagħhom ladarba l-inċident ikun ġie kklassifikat. Fil-fatt, ir-rapporti inizjali ma jaqbdux l-essenza, il-kawża jew il-qasam funzjonali affettwat mill-inċident u l-fornituri tas-servizzi ta’ pagament jistgħu jkunu biss f’pożizzjoni li jagħmlu tali distinzjonijiet fi stadju aktar tard, meta ssir disponibbli informazzjoni aktar dettaljata dwar l-inċident. B’riżultat ta’ dan, ir-rapporti inizjali dwar l-inċidenti jistgħu jiġu sottomessi kemm skont ir-regolament propost kif ukoll skont il-Linji Gwida tal-EBA, jew il-fornituri ta’ servizzi ta’ pagament jistgħu jiddeċiedu dwar qafas ta’ rapportar uniku u jikkoreġu s-sottomissjonijiet tagħhom f’data aktar tard. L-istess inċertezza (fir-rigward, pereżempju, tal-kawża ewlenija ta’ kwalunkwe inċident) tista’ tkun riflessa wkoll fir-rapporti intermedji u finali. Dan għal darba oħra jżid il-possibbiltà ta’ sottomissjoni parallela ta’ rapporti lill-awtoritajiet kompetenti skont ir-regolament propost u l-PSD2.

4.2.3

Xi inċidenti li jistgħu jiġu kkategorizzati bħala inċidenti relatati mal-ICT jista’ jkollhom ukoll impatt fuq oqsma oħra u, b’riżultat ta’ dan, ikun jeħtieġ li jiġu nnotifikati skont il-Linji Gwida tal-EBA. Dan jista’ jkun il-każ fejn inċident ikollu impatt minn perspettiva tal-ICT iżda, fl-istess ħin, ikun affettwa direttament ukoll il-forniment ta’ servizzi ta’ pagament u/jew oqsma jew mezzi funzjonali oħra li ma humiex tal-ICT. Barra minn hekk, jista’ jkun hemm każijiet fejn ma jkunx possibbli li ssir distinzjoni bejn inċidenti operazzjonali u dawk relatati mal-ICT. Barra minn hekk, fil-każ fejn l-istess entità finanzjarja tkun istituzzjoni ta’ kreditu sinifikanti u fornitur ta’ servizzi ta’ pagament, skont ir-regolament propost, l-istess entità jkollha tirrapporta l-inċident relatat mal-ICT darbtejn, ladarba tkun soġġetta għal żewġ awtoritajiet kompetenti. Fid-dawl ta’ dak li ntqal hawn fuq, ir-regolament propost għandu jispjega b’mod aktar ċar kif huwa maħsub li se taħdem fil-prattika l-interazzjoni bejn il-PSD2 u l-Linji Gwida tal-EBA. B’mod aktar sinifikanti, ikun importanti, għal raġunijiet ta’ armonizzazzjoni u simplifikazzjoni tal-obbligi ta’ rapportar, li l-korpi leġiżlattivi tal-Unjoni jirriflettu dwar kwistjonijiet residwi ta’ rapportar doppju, u li jiċċaraw jekk ir-regolament propost minn naħa, u l-Linji Gwida tal-EBA u l-PSD2 min-naħa l-oħra, humiex se jeżistu flimkien, jew jekk għandux ikun hemm sett uniku ta’ rekwiżiti ta’ rapportar tal-inċidenti.

4.2.4.

Ir-regolament propost jintroduċi r-rekwiżit għall-awtoritajiet kompetenti (86) li malli jirċievu rapport, jirrikonoxxu l-wasla tan-notifika u mill-aktar fis possibbli jipprovdu l-feedback jew il-gwida kollha meħtieġa lill-entità finanzjarja, b’mod partikolari biex jiġu diskussi r-rimedji fil-livell tal-entità jew modi kif jiġi mminimizzat l-impatt negattiv bejn is-setturi. Dan ikun ifisser li l-awtoritajiet kompetenti għandhom jikkontribwixxu b’mod attiv għall-ġestjoni u r-rimedjar ta’ inċidenti filwaqt li fl-istess ħin jivvalutaw ukoll ir-rispons ta’ entità taħt superviżjoni għal inċidenti kritiċi. Il-BĊE jenfasizza li r-responsabbiltà u s-sjieda tar-rimedju u l-konsegwenzi ta’ inċident għandhom jibqgħu unikament u b’mod ċar f’idejn l-entità finanzjarja kkonċernata. Il-BĊE għalhekk jipproponi li l-feedback u l-gwida jiġu limitati għal feedback u gwida prudenzjali ta’ livell għoli biss. Jekk il-feedback ikun usa’, ikun jeħtieġ professjonisti speċjalizzati b’għarfien tekniku konsiderevoli ħafna li tipikament ma jkunx disponibbli fir-riżerva ta’ talenti disponibbli għall-awtoritajiet prudenzjali.

4.3   L-ittestjar tar-reżiljenza operazzjonali diġitali

4.3.1

Il-BĊE jilqa’ r-rekwiżiti stabbiliti skont ir-regolament propost (87) dwar l-ittestjar tar-reżiljenza operazzjonali diġitali fl-entitajiet finanzjarji u l-ħtieġa li kull istituzzjoni jkollha l-programm ta’ ttestjar tagħha stess. Ir-regolament propost (88) jiddeskrivi tipi differenti ta’ testijiet bħala indikazzjoni għall-entitajiet finanzjarji. It-tipi ta’ testijiet ma humiex ċari ħafna u xi testijiet, bħal testijiet tal-kompatibbiltà, kwestjonarji, jew testijiet ibbażati fuq xenarji, huma miftuħa għall-interpretazzjoni mill-ASE, l-awtoritajiet kompetenti jew l-entitajiet finanzjarji. Barra minn hekk, ma hemm l-ebda gwida dwar il-frekwenza ta’ kull test. Approċċ possibbli jista’ jkun li r-regolament propost jistabbilixxi rekwiżiti ġeneriċi tal-ittestjar, filwaqt li tingħata deskrizzjoni aktar preċiża tat-tipi ta’ testijiet fi standards tekniċi regolatorji u ta’ implimentazzjoni.

4.3.2

L-ittestjar tal-penetrazzjoni ggwidat mit-theddid (TLPT) huwa għodda b’saħħitha biex jiġu ttestjati d-difiża u t-tħejjija tas-sigurtà. Il-BĊE għalhekk jinkoraġġixxi t-TLPT mill-entitajiet finanzjarji. B’din l-għodda jiġu ttestjati mhux biss il-miżuri tekniċi, iżda l-persunal u l-proċessi wkoll. Ir-riżultati ta’ dawn it-testijiet jistgħu jżidu b’mod sinifikanti l-għarfien dwar is-sigurtà tal-maniġment superjuri fl-entitajiet li jkunu qed jiġu ttestjati. Il-Qafas Ewropew għall-ħolqien ta’ Tim Aħmar Etiku Bbażat fuq l-Intelligence dwar it-Theddid (TIBER-EU) (89) u għodod oħra tat-TLPT li huma diġà disponibbli, barra mill-Unjoni, huma strumenti primarji għall-entitajiet infushom biex jivvalutaw, jittestjaw, jipprattikaw u jtejbu l-qagħda u d-difiża tar-reżiljenza ċibernetika tagħhom.

4.3.3

Fil-biċċa l-kbira tal-Istati Membri fejn ġie implimentat it-TIBER-EU, is-sorveljanti u s-superviżuri ma għandhomx rwol attiv fl-implimentazzjoni ta’ programm lokalizzat TIBER-XX u fi kważi kull każ, it-Tim Ċibernetiku tat-TIBER (TCT) huwa indipendenti minn dawn il-funzjonijiet. Għal din ir-raġuni, l-ittestjar avvanzat skont ir-regolament propost (90), permezz tat-TLPT, għandu jiġi implimentat bħala għodda biex tissaħħaħ l-ekosistema finanzjarja u titjieb l-istabbiltà finanzjarja aktar milli għodda purament superviżorja. Barra minn hekk, ma hemm l-ebda ħtieġa għall-iżvilupp ta’ qafas ta’ ttestjar avvanzat ġdid għar-reżiljenza ċibernetika peress li l-Istati Membri diġà adottaw b’mod wiesa’ TIBER-EU, l-uniku qafas bħal dan fl-UE bħalissa.

4.3.4

Ir-rekwiżiti għas-saġġaturi ma għandhomx ikunu inklużi fit-test ewlieni tar-regolament propost, peress li s-settur relatat mat-TLPT għadu qed jiżviluppa u l-innovazzjoni tista’ tiġi mfixkla mill-obbligu ta’ rekwiżiti speċifiċi. Minkejja dan, il-BĊE huwa tal-fehma li sabiex jiġi żgurat grad għoli ta’ indipendenza meta jwettqu t-testijiet, l-entitajiet finanzjarji ma għandhomx jimpjegaw jew jikkuntrattaw saġġaturi li jkunu impjegati jew ikkuntrattati minn entitajiet finanzjarji fil-grupp tagħhom stess jew li huma b’xi mod ieħor proprjetà ta’ entitajiet finanzjarji li għandhom jiġu ttestjati u/jew ikkontrollati minnhom.

4.3.5

Sabiex jitnaqqas ir-riskju ta’ frammentazzjoni u tiġi żgurata l-armonizzazzjoni, ir-regolament propost għandu jawtorizza qafas TLPT wieħed li japplika għas-settur finanzjarju madwar l-Unjoni. Il-frammentazzjoni tista’ twassal għal żidiet f’termini ta’ kostijiet u ta’ rekwiżiti tekniċi, operazzjonali u ta’ riżorsi finanzjarji, kemm għall-awtoritajiet kompetenti kif ukoll għall-istituzzjonijiet finanzjarji. Dawn il-kostijiet u r-rekwiżiti addizzjonali fl-aħħar mill-aħħar jista’ jkollhom impatt negattiv fuq ir-rikonoxximent reċiproku tat-testijiet. Dan in-nuqqas ta’ armonizzazzjoni u l-problemi li jinqalgħu bir-rikonoxximent reċiproku huma partikolarment kritiċi għall-entitajiet finanzjarji, li jista’ jkollhom liċenzji multipli u/jew joperaw f’diversi ġuriżdizzjonijiet madwar l-Unjoni. L-istandards tekniċi regolatorji u ta’ implimentazzjoni, li għandhom jiġu abbozzati għat-TLPT skont ir-regolament propost, għandhom ikunu konformi mat-TIBER-EU. Barra minn hekk, il-BĊE jilqa’ l-opportunità li jkun involut fit-tħejjija ta’ dawn l-istandards tekniċi regolatorji u ta’ implimentazzjoni f’kooperazzjoni mal-ASE.

4.3.6

L-involviment attiv tal-awtoritajiet kompetenti fit-testijiet jista’ jirriżulta f’kunflitt ta’ interess potenzjali mal-funzjoni l-oħra li jwettqu, jiġifieri l-valutazzjoni tal-qafas tal-ittestjar tal-entità finanzjarja. F’dan l-isfond, il-BĊE jipproponi li mir-regolament propost jitneħħa kwalunkwe obbligu għall-awtoritajiet kompetenti rigward il-validazzjoni tad-dokumenti u l-ħruġ ta’ attestazzjoni għal test tat-TLPT.

4.4   Riskji tal-ICT minn terzi

4.4.1

Il-BĊE jilqa’ l-introduzzjoni ta’ sett komprensiv ta’ prinċipji ewlenin u qafas ta’ sorveljanza robust biex jidentifika u jimmaniġġja r-riskji tal-ICT li jirriżultaw minn fornituri terzi ta’ servizzi tal-ICT, irrispettivament minn jekk dawn jappartjenux għall-istess grupp ta’ entitajiet finanzjarji. Minkejja dan, sabiex jinkisbu identifikazzjoni u ġestjoni effettiva tar-riskji tal-ICT, huwa importanti li jiġu identifikati u kklassifikati b’mod korrett, fost l-oħrajn, il-fornituri terzi kritiċi ta’ servizzi tal-ICT. F’dan ir-rigward, għalkemm il-BĊE jilqa’ l-introduzzjoni ta’ atti delegati (91) li se jissupplimentaw il-kriterji li għandhom jintużaw għall-finijiet ta’ klassifikazzjoni (92), għandu jiġi kkonsultat qabel l-adozzjoni ta’ tali atti delegati.

4.4.2

Fir-rigward tal-istruttura tal-qafas ta’ sorveljanza (93), hija meħtieġa kjarifika ulterjuri fir-rigward tar-rwol li għandu jassumi l-Kumitat Konġunt. Fl-istess ħin, il-BĊE jilqa’ l-inklużjoni tiegħu fil-Forum ta’ Sorveljanza bħala osservatur, peress li dan ir-rwol se jipprovdi lill-BĊE bl-istess aċċess għad-dokumentazzjoni u l-informazzjoni bħall-membri votanti (94). Il-BĊE jixtieq jiġbed l-attenzjoni tal-korpi leġiżlattivi tal-Unjoni għall-fatt li l-BĊE, fir-rwol tiegħu bħala osservatur, jikkontribwixxi għall-ħidma tal-Forum ta’ Sorveljanza kemm fil-kapaċità tiegħu bħala bank ċentrali tal-ħruġ, responsabbli għas-sorveljanza tal-infrastrutturi tas-suq, kif ukoll bħala superviżur prudenzjali tal-istituzzjonijiet ta’ kreditu. Barra minn hekk, il-BĊE jinnota li, minbarra li jkun osservatur fil-Forum ta’ Sorveljanza, il-BĊE jkun ukoll, bħala awtorità kompetenti, parti mit-tim ta’ eżami konġunt. F’dan ir-rigward, il-korpi leġiżlattivi tal-Unjoni jistgħu jirriflettu aktar fuq il-kompożizzjoni tat-timijiet ta’ eżami konġunti (95) sabiex jiġi żgurat involviment b’saħħtu kif xieraq tal-awtoritajiet kompetenti rilevanti. Bl-istess mod, il-BĊE jemmen li l-għadd massimu ta’ parteċipanti fit-timijiet ta’ eżami konġunti għandu jiżdied, filwaqt li jitqiesu l-kritikalità, il-kumplessità u l-kamp ta’ applikazzjoni tas-servizzi tal-ICT minn terzi.

4.4.3

Il-BĊE jinnota li skont ir-regolament propost, is-sorveljant ewlieni jista’ jipprevjeni lill-fornituri terzi kritiċi ta’ servizzi tal-ICT milli jidħlu f’arranġamenti ta’ sottokuntrattar ulterjuri fejn (i) is-sottokuntrattur previst ikun fornitur terz ta’ servizzi tal-ICT jew sottokuntrattur tal-ICT stabbilit f’pajjiż terz u (ii) is-sottokuntrattar jirrigwarda funzjoni kritika jew importanti tal-entità finanzjarja. Il-BĊE jixtieq jenfasizza li dawn is-setgħat jistgħu jiġu eżerċitati biss mis-sorveljant ewlieni fil-kuntest ta’ arranġamenti ta’ sottokuntrattar fejn fornitur terz kritiku ta’ servizzi tal-ICT jissottokuntratta funzjoni kritika jew importanti lil entità legali separata stabbilita f’pajjiż terz. Il-BĊE jifhem li s-sorveljant ewlieni ma jistax jeżerċita setgħat simili biex jipprevjeni lil fornitur terz kritiku ta’ servizzi tal-ICT milli jesternalizza funzjonijiet kritiċi jew importanti tal-entità finanzjarja lil faċilitajiet ta’ dak il-fornitur ta’ servizz li jinsabu f’pajjiż terz. Jista’ jkun il-każ, pereżempju, li, mil-lat operazzjonali, data u/jew informazzjoni kritika tista’ tinħażen jew tiġi pproċessata minn faċilitajiet li jinsabu barra miż-Żona Ekonomika Ewropea (ŻEE). F’dan il-każ, is-setgħat tas-sorveljant ewlieni jistgħu ma jagħtux biżżejjed setgħa lill-awtoritajiet kompetenti biex jaċċessaw l-informazzjoni, il-bini, l-infrastrutturi u l-persunal kollha rilevanti għat-twettiq tal-funzjonijiet kritiċi jew importanti kollha tal-entità finanzjarja. Sabiex jiġi żgurat li l-awtoritajiet kompetenti jkunu jistgħu jwettqu l-kompiti tagħhom mingħajr xkiel, il-BĊE jissuġġerixxi li s-sorveljant ewlieni għandu jingħata s-setgħa li jirrestrinġi wkoll l-użu minn fornituri terzi kritiċi ta’ servizzi tal-ICT ta’ faċilitajiet li jinsabu barra miż-ŻEE. Din is-setgħa tista’ tiġi eżerċitata f’dawk il-każijiet speċifiċi fejn ma jkunux stabbiliti l-arranġamenti amministrattivi mal-awtoritajiet rilevanti ta’ pajjiżi terzi, kif previst fir-regolament propost (96), jew fejn ir-rappreżentanti tal-fornituri terzi kritiċi ta’ servizzi tal-ICT jonqsu milli jipprovdu assigurazzjonijiet suffiċjenti skont il-qafas tal-pajjiż terz rilevanti dwar l-aċċess għall-informazzjoni, il-bini, l-infrastruttura u l-persunal li jkun meħtieġ biex jitwettqu kompiti ta’ sorveljanza jew superviżorji.

4.4.4

Fl-aħħar nett, ir-rekwiżit li l-awtoritajiet kompetenti jsegwu r-rakkomandazzjonijiet tas-sorveljant ewlieni (97) jista’ jirriskja li jkun ineffettiv, peress li l-awtoritajiet kompetenti jista’ ma jkollhomx stampa olistika tar-riskji ġġenerati minn kull fornitur terz kritiku ta’ servizzi tal-ICT. Barra minn hekk, l-awtoritajiet kompetenti jistgħu jkunu meħtieġa jieħdu azzjonijiet kontra l-entitajiet finanzjarji tagħhom taħt superviżjoni meta r-rakkomandazzjonijiet ma jiġux indirizzati mill-fornituri terzi kritiċi ta’ servizzi . Skont ir-regolament propost (98), l-awtoritajiet kompetenti jistgħu jitolbu lill-entitajiet finanzjarji tagħhom taħt superviżjoni jissospendu temporanjament is-servizz ta’ parti terza kritika jew jitterminaw kuntratti pendenti ma’ fornituri terzi kritiċi ta’ servizzi. Huwa diffiċli li l-proċess ta’ segwitu previst jiġi tradott f’azzjonijiet konkreti. B’mod speċifiku, ma huwiex ċar jekk entità finanzjarja taħt superviżjoni hijiex se tkun f’pożizzjoni li tissospendi jew tittermina kuntratt ma’ fornitur terz kritiku ta’ servizz. Dan minħabba li l-fornitur terz kritiku ta’ servizzi tal-ICT jista’ jkun fornitur sinifikanti għal dik l-entità finanzjarja, jew minħabba l-kostijiet u d-danni, kuntrattwali jew mod ieħor, li l-entità finanzjarja tista’ ġġarrab bħala konsegwenza ta’ tali sospensjoni jew terminazzjoni. Barra minn hekk, dan l-approċċ ma jappoġġax il-konverġenza tas-sorveljanza, peress li l-awtoritajiet kompetenti jistgħu jinterpretaw l-istess rakkomandazzjoni b’mod differenti. Dan jista’ fl-aħħar mill-aħħar ixekkel l-armonizzazzjoni prevista u l-approċċ konsistenti fil-monitoraġġ tar-riskji tal-ICT minn terzi kritiċi fil-livell tal-Unjoni. Fid-dawl ta’ dak li ntqal hawn fuq, il-korpi leġiżlattivi tal-Unjoni jista’ jogħġobhom jikkunsidraw li jagħtu setgħat ta’ infurzar speċifiċi lis-sorveljanti legali vis-à-vis fornituri terzi kritiċi ta’ servizzi tal-ICT, filwaqt li jqisu l-limiti imposti mid-duttrina Meroni, kif parzjalment mitigati mill-Qorti tal-Ġustizzja fis-sentenza tagħha fil-kawża ESMA (99).

Fejn il-BĊE jirrakkomanda li r-regolament propost jiġi emendat, il-proposti ta’ abbozzar speċifiċi huma mfassla f’dokument ta’ ħidma tekniku separat flimkien ma’ test ta’ spjegazzjoni f’dan is-sens. Id-dokument ta’ ħidma tekniku huwa disponibbli bl-Ingliż fuq EUR-Lex.

---

(1)  COM(2020) 595 final.

(2)  COM(2020) 596 final.

(3)  Ara l-Artikolu 1(2) tar-regolament propost.

(4)  Id-Direttiva (UE) 2016/1148 tal-Parlament Ewropew u tal-Kunsill tas-6 ta’ Lulju 2016 dwar miżuri għal livell għoli komuni ta’ sigurtà tan-networks u tas-sistemi tal-informazzjoni madwar l-Unjoni (ĠU L 194, 19.7.2016, p. 1).

(5)  Ara l-Artikolu 5 tad-Direttiva NIS.

(6)  Ara l-Artikolu 3(15) tar-regolament propost.

(7)  Ara l-Artikolu 31(1)(d) tar-regolament propost.

(8)  Ara l-Artikolu 15(3) tad-Direttiva NIS.

(9)  COM(2020) 823 final.

(10)  Avvenimenti li potenzjalment setgħu kkawżaw ħsara, iżda li ġie evitat b’suċċess milli jseħħu kompletament; ara l-Premessa (39) tad-Direttiva NIS2.

(11)  Ara l-Artikolu 11 tad-Direttiva NIS2.

(12)  Inizjattiva għall-Kondiviżjoni ta’ Informazzjoni dwar l-Intelligence tat-Theddid Ċibernetiku (CIISI-EU) disponibbli fuq is-sit web tal-BĊE www.ecb.europa.eu.

(13)  Ara l-Artikolu 42 tar-regolament propost.

(14)  Ara l-Artikolu 8(3) tad-Direttiva NIS.

(15)  Ara wkoll l-Artikoli 11, 26 u 27 tad-Direttiva NIS2.

(16)  Ara l-Artikoli 4(b) u 13 tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill tat-23 ta’ Ottubru 2018 dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet, korpi, uffiċċji u aġenziji tal-Unjoni u dwar il-moviment liberu ta’ tali data, u li jħassar ir-Regolament (KE) Nru 45/2001 u d-Deċiżjoni Nru 1247/2002/KE (ĠU L 295, 21.11.2018, p. 39).

(17)  Ara l-Artikolu 22 tal-Istatut tas-SEBĊ.

(18)  Ir-Regolament (UE) Nru 795/2014 tal-Bank Ċentrali Ewropew tat-3 ta’ Lulju 2014 dwar ir-rekwiżiti ta’ sorveljanza għal sistemi ta’ ħlas sistemikament importanti (BĊE/2014/28) (ĠU L 217, 23.7.2014, p. 16).

(19)  Disponibbli fuq is-sit web tal-Bank għall-Ħlasijiet Internazzjonali fuq www.bis.org.

(20)  Il-Eurosystem oversight policy framework, Verżjoni riveduta (Lulju 2016) disponibbli fuq is-sit web tal-BĊE fuq www.ecb.europa.eu.

(21)  Ara l-Eurosystem oversight framework for electronic payment instruments, schemes and arrangements (qafas PISA) ta’ Ottubru 2020, rivedut u kkonsolidat, disponibbli fuq is-sit web tal-BĊE fuq www.ecb.europa.eu.

(22)  Token ta’ pagament diġitali huwa rappreżentazzjoni diġitali ta’ valur iggarantit bi pretensjonijiet jew assi rreġistrati x’imkien ieħor u li jippermetti t-trasferiment ta’ valur bejn l-utenti finali. Skont id-disinn sottostanti, it-tokens ta’ pagament diġitali jistgħu jipprevedu trasferiment ta’ valur mingħajr ma neċessarjament jinvolvu terzi ċentrali u/jew jużaw kontijiet ta’ ħlas.

(23)  “Trasferiment ta’ valur”“L-att, mibdi minn min iħallas jew f’isem min iħallas jew minn min qed jitħallas, ta’ trasferiment ta’ fondi jew tokens ta’ pagament diġitali, jew it-tqegħid jew il-ġbid ta’ flus kontanti fuq/minn kont tal-utent, irrispettivament minn kwalunkwe obbligu sottostanti bejn min iħallas u min qed jitħallas. It-trasferiment jista’ jinvolvi fornitur wieħed jew aktar ta’ servizzi ta’ ħlas.” Din id-definizzjoni ta’ “trasferiment ta’ valur” skont il-qafas PISA titbiegħed mid-definizzjoni ta’ trasferiment ta’ “fondi” skont id-Direttiva (UE) 2015/2366 tal-Parlament Ewropew u tal-Kunsill tal-25 ta’ Novembru 2015 dwar is-servizzi ta’ pagament fis-suq intern, li temenda d-Direttivi 2002/65/KE, 2009/110/KE u 2013/36/UE u r-Regolament (UE) Nru 1093/2010, u li tħassar id-Direttiva 2007/64/KE (ĠU L 337, 23.12.2015, p. 35). “Trasferiment ta’ valur” fil-kuntest ta’ “strument ta’ pagament” kif definit f’dik id-Direttiva jista’ jirreferi biss għal trasferiment ta’ “fondi”. Taħt dik id-Direttiva, il-“fondi” ma jinkludux tokens ta’ pagament diġitali sakemm it-tokens ma jkunux jistgħu jiġu kklassifikati bħala flus elettroniċi (jew b’mod iktar ipotetiku bħala flus skritturali).

(24)  Id-Direttiva 98/26/KE tal-Parlament Ewropew u tal-Kunsill tad-19 ta’ Mejju 1998 dwar finalità ta’ settlement fis-sistemi ta’ settlement ta’ pagamenti u titoli (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 6, Vol. 3, p. 107).

(25)  Ara l-Artikolu 28(5) tar-regolament propost.

(26)  Ara l-paragrafu 1.3 tal-Opinjoni tal-Bank Ċentrali Ewropew tad-19 ta’ Frar 2021 dwar proposta għal regolament dwar is-Swieq fil-Kriptoassi, u li jemenda d-Direttiva (UE) 2019/1937 (CON/2021/4). L-Opinjonijiet kollha tal-BĊE huma ppubblikati fuq EUR-Lex.

(27)  Ara l-Anness IIa tal-Linja Gwida BĊE/2012/27 tal-Bank Ċentrali Ewropew tal-5 ta’ Diċembru 2012 dwar is-sistema Trans-European Automated Real-time Gross settlement Express Transfer (TARGET2) (ĠU L 30, 30.1.2013, p. 1). Il-Linja Gwida BĊE/2012/13 tal-Bank Ċentrali Ewropew tat-18 ta’ Lulju 2012 dwar TARGET2-Securities (ĠU L 215, 11.8.2012, p. 19); id-Deċiżjoni BĊE/2011/20 tal-Bank Ċentrali Ewropew tas-16 ta’ Novembru 2011 li tistabbilixxi regoli u proċeduri dettaljati għall-implimentazzjoni tal-kriterji ta’ eliġibbiltà biex id-depożitorji ċentrali tat-titoli jaċċessaw servizzi tat-TARGET2-Securities (ĠU L 319, 2.12.2011, p. 117). Ara wkoll il-Ftehim Qafas T2S u l-Ftehim Kollettiv.

(28)  Ara l-Anness IIb tal-Linja Gwida BĊE/2012/27.

(29)  Ara l-Artikolu 30(5) tar-Regolament (UE) Nru 909/2014 tal-Parlament Ewropew u tal-Kunsill tat-23 ta’ Lulju 2014 dwar titjib fis-saldu tat-titoli fl-Unjoni Ewropea u dwar depożitorji ċentrali tat-titoli u li jemenda d-Direttivi 98/26/KE u 2014/65/UE u r-Regolament (UE) Nru 236/2012 (ĠU L 257, 28.8.2014, p. 1) u l-Artikolu 68 tar-Regolament Delegat tal-Kummissjoni (UE) 2017/392 tal-11 ta’ Novembru 2016 li jissupplimenta r-Regolament (UE) Nru 909/2014 tal-Parlament Ewropew u tal-Kunsill fir-rigward ta’ standards tekniċi regolatorji dwar ir-rekwiżiti ta’ awtorizzazzjoni, superviżorji u operazzjonali għal depożitorji ċentrali tat-titoli (ĠU L 65, 10.3.2017, p. 48).

(30)  Ir-Regolament (UE) Nru 909/2014 tal-Parlament Ewropew u tal-Kunsill tat-23 ta’ Lulju 2014 dwar titjib fis-saldu tat-titoli fl-Unjoni Ewropea u dwar depożitorji ċentrali tat-titoli u li jemenda d-Direttivi 98/26/KE u 2014/65/UE u r-Regolament (UE) Nru 236/2012 (ĠU L 257, 28.8.2014, p. 1).

(31)  Il-Eurosystem oversight policyframework, Verżjoni riveduta (Lulju 2016) disponibbli fuq is-sit web tal-BĊE fuq www.ecb.europa.eu.

(32)  Disponibbli fuq is-sit web tal-Bank għall-Ħlasijiet Internazzjonali fuq www.bis.org.

(33)  Disponibbli fuq is-sit web tal-BĊE fuq www.ecb.europa.eu.

(34)  Ara l-Artikolu 12 tar-Regolament (UE) Nru 909/2014.

(35)  Ara wkoll l-Artikolu 13, u l-Artikoli 17(4) u 22(6) tar-Regolament (UE) Nru 909/2014.

(36)  Ara l-paragrafu 7.3 tal-Opinjoni tal-Bank Ċentrali Ewropew tas-6 ta’ April 2017 dwar l-identifikazzjoni ta’ infrastrutturi kritiċi għall-finijiet tas-sigurtà tat-teknoloġija tal-informazzjoni (CON/2017/10); il-paragrafu 7.2 tal-Opinjoni tal-Bank Ċentrali Ewropew tat-8 ta’ Novembru 2018 dwar id-deżinjazzjoni ta’ servizzi essenzjali u operaturi ta’ servizzi essenzjali għall-finijiet tas-sigurtà tan-networks u tas-sistemi tal-informazzjoni (CON/2018/47); il-paragrafu 3.5.2 tal-Opinjoni tal-Bank Ċentrali Ewropew tal-2 ta’ Mejju 2019 dwar is-sigurtà tan-networks u tas-sistemi tal-informazzjoni (CON/2019/17); u l-paragrafu 3.5.2 tal-opinjoni tal-Bank Ċentrali Ewropew tal-11 ta’ Novembru 2019 dwar is-sigurtà tan-networks u tas-sistemi tal-informazzjoni (CON/2019/38).

(37)  Ara l-Artikolu 54(5) tar-regolament propost u l-Artikolu 45(7) tar-Regolament (UE) Nru 909/2014.

(38)  Ara l-Artikolu 54(4) tar-regolament propost u l-Artikolu 45(6) tar-Regolament (UE) Nru 909/2014.

(39)  Ara l-Artikolu 11(5) tar-regolament propost.

(40)  Ara l-Artikolu 78(3) tar-Regolament Delegat tal-Kummissjoni (UE) 2017/392 tal-11 ta’ Novembru 2016 li jissupplimenta r-Regolament (UE) Nru 909/2014 tal-Parlament Ewropew u tal-Kunsill fir-rigward ta’ standards tekniċi regolatorji dwar ir-rekwiżiti ta’ awtorizzazzjoni, superviżorji u operazzjonali għal depożitarji ċentrali tat-titoli (ĠU L 65, 10.3.2017, p. 48).

(41)  Ara l-Artikolu 11(6) tar-regolament propost.

(42)  Ara l-Artikolu 3(17) tar-regolament propost.

(43)  Ara l-Artikolu 76(2)(d) u (e) tar-Regolament Delegat tal-Kummissjoni (UE) 2017/392.

(44)  Ara l-Artikolu 78(2) u (3) tar-Regolament Delegat tal-Kummissjoni (UE) 2017/392.

(45)  Ara l-Artikolu 1(4) tar-Regolament (UE) Nru 909/2014.

(46)  Ir-Regolament (UE) Nru 648/2012 tal-Parlament Ewropew u tal-Kunsill tal-4 ta’ Lulju 2012 dwar derivati OTC, kontropartijiet ċentrali u repożitorji tad-data dwar it-tranżazzjonijiet (ĠU L 201, 27.7.2012, p. 1).

(47)  Ara l-Artikolu 18(2)(g) u (h) tal-EMIR.

(48)  Ara l-Artikolu 53(2)(b) u (3) tar-regolament propost u l-Artikolu 34(3) tal-EMIR.

(49)  Ara l-Artikolu 53(2)(a) tar-regolament propost.

(50)  Ara l-Artikolu 34 tal-EMIR.

(51)  Ara l-prinċipji tas-CPMI-IOSCO għall-Infrastrutturi tas-Suq Finanzjarju disponibbli fuq is-sit web tal-Bank għall-Ħlasijiet Internazzjonali: www.bis.org.

(52)  Ir-Regolament tal-Kunsill (UE) Nru 1024/2013 tal-15 ta’ Ottubru 2013 li jikkonferixxi kompiti speċifiċi lill-Bank Ċentrali Ewropew fir-rigward ta’ politiki relatati mas-superviżjoni prudenzjali ta’ istituzzjonijiet ta’ kreditu (ĠU L 287, 29.10.2013, p. 63).

(53)  Ara l-Artikoli 4(1)(e) u 6(4) tar-Regolament (UE) Nru 1024/2013.

(54)  Ir-Regolament (UE) 575/2013 tal-Parlament Ewropew u tal-Kunsill tas-26 ta’ Ġunju 2013 dwar ir-rekwiżiti prudenzjali għall-istituzzjonijiet ta’ kreditu u d-ditti tal-investiment u li jemenda r-Regolament (UE) 648/2012 (ĠU L 176, 27.6.2013, p. 1).

(55)  Id-Direttiva 2013/36/UE tal-Parlament Ewropew u tal-Kunsill tas-26 ta’ Ġunju 2013 dwar l-aċċess għall-attività tal-istituzzjonijiet ta’ kreditu u s-superviżjoni prudenzjali tal-istituzzjonijiet ta’ kreditu u tad-ditti tal-investiment, li temenda d-Direttiva 2002/87/KE u li tħassar id-Direttivi 2006/48/KE u 2006/49/KE (ĠU L 176, 27.6.2013, p. 338).

(56)  Ara l-Premessa (8) tar-regolament propost.

(57)  Ara l-Premessa (11) tar-regolament propost.

(58)  Ara l-Premessa (12) tar-regolament propost.

(59)  Ara l-Premessi (4) u (5) tad-Direttiva emendatorja proposta.

(60)  Ara l-Artikolu 85 tad-Direttiva dwar ir-Rekwiżiti ta’ Kapital.

(61)  Ara l-Artikolu 4(1) tar-regolament propost.

(62)  Ara l-Artikolu 25(3)(4) tar-regolament propost.

(63)  Ara l-Artikolu 41 tar-regolament propost.

(64)  Ara t-Taqsima II tal-Kapitolu V tar-regolament propost.

(65)  Ara t-Taqsima II tal-Kapitolu V tar-regolament propost.

(66)  Ara t-titolu tal-Kapitolu II, Taqsima 4, “Rekwiżiti prudenzjali” tar-Regolament dwar is-CSDs.

(67)  Ara l-Premessa (4) tad-Direttiva emendatorja proposta.

(68)  L-Artikolu 85 tad-Direttiva 2013/36/UE huwa sempliċi speċifikazzjoni. F’dan ir-rigward, jekk jogħġbok ara wkoll il-paġni 4, 11 u 37 tal-Linji Gwida tal-Awtorità Bankarja Ewropea dwar l-ICT u l-ġestjoni tar-riskju tas-sigurtà tad-29 ta’ Novembru 2019 (minn hawn ’il quddiem il-“Linji Gwida tal-EBA”), fejn il-bażi ġuridika ġenerali tinsab espressament fl-Artikolu 74 tad-Direttiva 2013/36/UE.

(69)  Ara l-Artikolu 41(1) tar-regolament propost.

(70)  Ara l-Artikolu 25(3) u (4) tar-regolament propost.

(71)  Ara wkoll l-Artikolu 109 tad-Direttiva dwar ir-Rekwiżiti ta’ Kapital.

(72)  Ara l-Artikolu 4(1)(e) tar-Regolament dwar l-MSU.

(73)  Ara l-Artikolu 85 tad-Direttiva dwar ir-Rekwiżiti ta’ Kapital.

(74)  Ir-Regolament (UE) Nru 468/2014 tal-Bank Ċentrali Ewropew tas-16 ta’ April 2014 li jistabbilixxi qafas għal kooperazzjoni fi ħdan il-Mekkaniżmu Superviżorju Uniku bejn il-Bank Ċentrali Ewropew u l-awtoritajiet nazzjonali kompetenti u ma’ awtoritajiet nazzjonali nominati (Regolament Qafas tal-MSU) (BĊE/2014/17) (ĠU L 141, 14.5.2014, p. 1).

(75)  B’mod speċifiku, inċident ċibernetiku (ksur possibbli identifikat tas-sigurtà tal-informazzjoni, kemm jekk malizzjuż kif ukoll jekk aċċidentali) irid jiġi rrapportat lill-BĊE jekk tiġi ssodisfata tal-anqas waħda mill-kundizzjonijiet li ġejjin: (1) hemm impatt finanzjarju potenzjali ta’ EUR 5 miljun jew 0,1 % tas-CET1; (2) l-inċident jiġi rrapportat pubblikament jew jikkawża dannu għar-reputazzjoni; (3) l-inċident ġie eskalat fis-CIO barra mir-rapportar regolari; (4) il-bank innotifika l-inċident lis-CERT/CSIRT, lil aġenzija tas-sigurtà jew lill-pulizija; (5) ġew skattati proċeduri ta’ rkupru minn diżastri jew ta’ kontinwità tal-operat jew ġiet ippreżentata talba għal assigurazzjoni ċibernetika; (6) kien hemm ksur tar-rekwiżiti legali jew regolatorji; jew (7) il-bank juża kriterji interni u ġudizzju espert (inkluż impatt sistemiku potenzjali) u jiddeċiedi li jinforma lill-BĊE.

(76)  Ara l-Artikolu 7(3) tar-regolament propost.

(77)  Ara l-Artikolu 10(9) tar-regolament propost.

(78)  Ara l-Artikolu 5(10) tar-regolament propost.

(79)  Ara l-Artikolu 7 tar-regolament propost.

(80)  Ara l-Artikolu 19 tar-regolament propost.

(81)  Ara l-Artikoli 3(7), 17 u 18 tar-regolament propost.

(82)  Ara pereżempju l-Qafas.

(83)  Id-Direttiva (UE) 2015/2366 tal-Parlament Ewropew u tal-Kunsill tal-25 ta’ Novembru 2015 dwar is-servizzi ta’ pagament fis-suq intern, li temenda d-Direttivi 2002/65/KE, 2009/110/KE u 2013/36/UE u r-Regolament (UE) 1093/2010, u li tħassar id-Direttiva 2007/64/KE (ĠU L 337, 23.12.2015, p. 35).

(84)  Ara l-Artikolu 7(9) tad-direttiva emendatorja proposta.

(85)  Ara l-Artikolu 17(3) tar-regolament propost.

(86)  Ara l-Artikolu 20 tar-regolament propost.

(87)  Ara l-Artikoli 21 u 22 tar-regolament propost.

(88)  Ara l-Artikolu 22(1) tar-regolament propost.

(89)  Disponibbli fuq is-sit elettroniku tal-BĊE fuq www.ecb.europa.eu.

(90)  L-Artikoli 23 u 24 tar-regolament propost.

(91)  Ara l-Artikolu 28(3) tar-regolament propost.

(92)  Ara l-Artikolu 28(2) tar-regolament propost.

(93)  Ara l-Artikolu 29 tar-regolament propost.

(94)  Ara l-Artikolu 29(3) tar-regolament propost.

(95)  Ara l-Artikolu 35 tar-regolament propost.

(96)  Ara l-Artikolu 39(1) tar-regolament propost.

(97)  Ara l-Artikolu 29(4) u l-Artikolu 37 tar-regolament propost.

(98)  Ara l-Artikolu 37(3) tar-regolament propost.

(99)  Ara s-sentenza tal-Qorti tal-Ġustizzja (Awla Manja) tat-22 ta’ Jannar 2014, Ir-Renju Unit tal-Gran Brittanja u l-Irlanda ta’ Fuq vs Il-Parlament Ewropew u Il-Kunsill tal-Unjoni Ewropea Regolament (UE) Nru 236/2012 — Kawża C–270/12.