{"id":2278,"date":"2025-01-09T15:43:17","date_gmt":"2025-01-09T12:43:17","guid":{"rendered":"https:\/\/www.net-security.ro\/?p=2278"},"modified":"2025-04-28T11:03:01","modified_gmt":"2025-04-28T08:03:01","slug":"regulamentul-ue-2022-2554-al-parlamentului-european-si-al-consiliuluidin-14-decembrie-2022privind-rezilienta-operationala-digitala-a-sectorului-financiar-si-de-modificare-a-regulamentelor-ce-nr-1","status":"publish","type":"post","link":"https:\/\/www.net-security.ro\/index.php\/2025\/01\/09\/regulamentul-ue-2022-2554-al-parlamentului-european-si-al-consiliuluidin-14-decembrie-2022privind-rezilienta-operationala-digitala-a-sectorului-financiar-si-de-modificare-a-regulamentelor-ce-nr-1\/","title":{"rendered":"REGULAMENTUL (UE) 2022\/2554 AL PARLAMENTULUI EUROPEAN \u0218I AL CONSILIULUI din 14 decembrie 2022 privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 a sectorului financiar \u0219i de modificare a Regulamentelor (CE) nr. 1060\/2009, (UE) nr. 648\/2012, (UE) nr. 600\/2014, (UE) nr. 909\/2014 \u0219i (UE) 2016\/1011"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

REGULAMENTUL (UE) 2022\/2554 AL PARLAMENTULUI EUROPEAN \u0218I AL CONSILIULUI<\/strong>
din 14 decembrie 2022<\/strong>
privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 a sectorului financiar \u0219i de modificare a Regulamentelor (CE) nr. 1060\/2009, (UE) nr. 648\/2012, (UE) nr. 600\/2014, (UE) nr. 909\/2014 \u0219i (UE) 2016\/1011<\/strong>

PARLAMENTUL EUROPEAN \u0218I CONSILIUL UNIUNII EUROPENE,
av\u00e2nd \u00een vedere Tratatul privind func\u021bionarea Uniunii Europene, \u00een special articolul 114,
av\u00e2nd \u00een vedere propunerea Comisiei Europene,
dup\u0103 transmiterea proiectului de act legislativ c\u0103tre parlamentele na\u021bionale,
av\u00e2nd \u00een vedere avizul B\u0103ncii Centrale Europene(1),
av\u00e2nd \u00een vedere avizul Comitetului Economic \u0219i Social European(2),
hot\u0103r\u00e2nd \u00een conformitate cu procedura legislativ\u0103 ordinar\u0103(3),
\u00eentruc\u00e2t:
(1)
\u00cen era digital\u0103, tehnologia informa\u021biei \u0219i a comunica\u021biilor (TIC) sprijin\u0103 sistemele complexe utilizate pentru activit\u0103\u021bile de zi cu zi. Aceasta sus\u021bine activitatea economiilor noastre \u00een sectoare-cheie, inclusiv \u00een sectorul financiar, \u0219i \u00eembun\u0103t\u0103\u021be\u0219te func\u021bionarea pie\u021bei interne. Cre\u0219terea gradului de digitalizare \u0219i de interconectare amplific\u0103, de asemenea, riscurile TIC, ceea ce face ca societatea \u00een ansamblu \u2013 \u0219i sistemul financiar, \u00een special \u2013 s\u0103 fie mai vulnerabil\u0103 la amenin\u021b\u0103rile cibernetice sau la perturb\u0103rile din domeniul TIC. De\u0219i utilizarea extensiv\u0103 a sistemelor TIC \u0219i gradul ridicat de digitalizare \u0219i conectivitate sunt \u00een prezent caracteristicile de baz\u0103 ale activit\u0103\u021bilor entit\u0103\u021bilor financiare din Uniune, rezilien\u021ba digital\u0103 a acestora trebuie \u00eenc\u0103 s\u0103 fie mai bine abordat\u0103 \u0219i integrat\u0103 \u00een cadrele lor opera\u021bionale mai ample.
(2)
\u00cen ultimele decenii, utilizarea TIC a dob\u00e2ndit un rol esen\u021bial \u00een furnizarea serviciilor financiare, ajung\u00e2nd \u00een prezent s\u0103 aib\u0103 o importan\u021b\u0103 critic\u0103 \u00een ceea ce prive\u0219te operarea func\u021biilor zilnice uzuale ale tuturor entit\u0103\u021bilor financiare. Ast\u0103zi, digitalizarea acoper\u0103, de exemplu, pl\u0103\u021bile, care au trecut tot mai mult de la metodele bazate pe numerar \u0219i pe suportul de h\u00e2rtie la utilizarea solu\u021biilor digitale, precum \u0219i compensarea \u0219i decontarea titlurilor de valoare, tranzac\u021bionarea electronic\u0103 \u0219i algoritmic\u0103, opera\u021biunile de creditare \u0219i de finan\u021bare, creditarea de la persoan\u0103 la persoan\u0103, ratingul de credit, gestionarea crean\u021belor \u0219i opera\u021biunile de tip back-office. Sectorul asigur\u0103rilor a fost, de
(1)JO C 343, 26.8.2021, p. 1.
(2)JO C 155, 30.4.2021, p. 38.
(3)Pozi\u021bia Parlamentului European din 10 noiembrie 2022 (nepublicat\u0103 \u00eenc\u0103 \u00een Jurnalul Oficial) \u0219i Decizia Consiliului din 28 noiembrie 2022.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/1
asemenea, transformat prin utilizarea TIC, de la apari\u021bia intermediarilor de asigur\u0103ri care \u00ee\u0219i ofer\u0103 serviciile online folosind InsurTech, p\u00e2n\u0103 la subscrierea de asigur\u0103ri folosind mijloace digitale. Finan\u021bele nu numai c\u0103 au devenit \u00een mare parte digitale \u00een \u00eentregul sector, ci digitalizarea a aprofundat, de asemenea, interconexiunile \u0219i dependen\u021bele din interiorul sectorului financiar, precum \u0219i rela\u021bionarea cu furnizorii ter\u021bi de infrastructur\u0103 \u0219i servicii.
(3)
Comitetul european pentru risc sistemic (CERS) a reafirmat \u00eentr-un raport din 2020 care abordeaz\u0103 riscul cibernetic sistemic modul \u00een care nivelul ridicat existent de interconectare dintre entit\u0103\u021bile financiare, pie\u021bele financiare \u0219i infrastructurile pie\u021bei financiare \u0219i, \u00een special, interdependen\u021bele dintre sistemele lor TIC ar putea constitui o vulnerabilitate sistemic\u0103, deoarece incidentele cibernetice localizate s-ar putea r\u0103sp\u00e2ndi rapid de la oricare dintre cele aproximativ 22 000de entit\u0103\u021bi financiare ale Uniunii la \u00eentregul sistem financiar, nestingherite de limitele geografice. Bre\u0219ele grave de securitate a TIC care au loc \u00een sectorul financiar nu afecteaz\u0103 doar entit\u0103\u021bile financiare luate separat. Acestea faciliteaz\u0103, de asemenea, propagarea vulnerabilit\u0103\u021bilor localizate la nivelul canalelor de transmisie financiar\u0103 \u0219i pot avea consecin\u021be negative asupra stabilit\u0103\u021bii sistemului financiar al Uniunii, cum ar fi generarea de retrageri masive de lichiditate \u0219i o pierdere general\u0103 a \u00eencrederii \u00een pie\u021bele financiare.
(4)
\u00cen ultimii ani, riscurile TIC au atras aten\u021bia responsabililor de elaborarea politicilor, a organismelor de reglementare \u0219i a organismelor de standardizare de la nivel na\u021bional \u0219i interna\u021bional, precum \u0219i de la nivelul Uniunii, \u00eentr-o \u00eencercare de a spori rezilien\u021ba digital\u0103, a stabili standarde \u0219i a coordona activitatea de reglementare sau de supraveghere. La nivel interna\u021bional, Comitetul de la Basel pentru supraveghere bancar\u0103, Comitetul pentru pl\u0103\u021bi \u0219i infrastructuri de pia\u021b\u0103, Consiliul pentru Stabilitate Financiar\u0103, Institutul pentru Stabilitate Financiar\u0103, precum \u0219i G7 \u0219i G20 urm\u0103resc s\u0103 furnizeze autorit\u0103\u021bilor competente \u0219i operatorilor pe pia\u021b\u0103 din diferite jurisdic\u021bii instrumente care s\u0103 consolideze rezilien\u021ba sistemelor lor financiare. Aceast\u0103 activitate a fost determinat\u0103, de asemenea, de necesitatea de a lua \u00een considerare \u00een mod corespunz\u0103tor riscurile TIC \u00een contextul unui sistem financiar global foarte interconectat \u0219i de a urm\u0103ri o mai mare coeren\u021b\u0103 a bunelor practici relevante.
(5)
\u00cen pofida existen\u021bei unor ini\u021biative de politic\u0103 \u0219i legislative specifice la nivel na\u021bional \u0219i la nivelul Uniunii, riscurile TIC reprezint\u0103 \u00een continuare o provocare la adresa rezilien\u021bei opera\u021bionale, a performan\u021bei \u0219i a stabilit\u0103\u021bii sistemului financiar al Uniunii. Reformele care au urmat crizei financiare din 2008 au consolidat \u00een primul r\u00e2nd rezilien\u021ba financiar\u0103 a sectorului financiar al Uniunii \u0219i au vizat protejarea competitivit\u0103\u021bii \u0219i a stabilit\u0103\u021bii Uniunii din punct de vedere economic, pruden\u021bial \u0219i al comportamentului pe pia\u021b\u0103. De\u0219i securitatea TIC \u0219i rezilien\u021ba digital\u0103 fac parte din riscul opera\u021bional, acestea s-au aflat mai pu\u021bin \u00een centrul agendei de reglementare \u00een urma crizei financiare \u0219i s-au dezvoltat doar \u00een anumite domenii ale politicii \u0219i ale cadrului de reglementare al serviciilor financiare din Uniune sau numai \u00een c\u00e2teva state membre.
(6)
\u00cen Comunicarea sa din 8 martie 2018intitulat\u0103 \u201ePlanul de ac\u021biune privind FinTech: pentru un sector financiar european mai competitiv \u0219i mai inovator\u201d, Comisia a eviden\u021biat importan\u021ba capital\u0103 a cre\u0219terii rezilien\u021bei sectorului financiar al Uniunii, inclusiv din punct de vedere opera\u021bional, pentru a asigura siguran\u021ba tehnologic\u0103 \u0219i buna sa func\u021bionare, recuperarea rapid\u0103 \u00een urma unor bre\u0219e \u0219i incidente legate de TIC, permi\u021b\u00e2nd \u00een cele din urm\u0103 furnizarea eficace \u0219i f\u0103r\u0103 probleme a serviciilor financiare \u00een \u00eentreaga Uniune, inclusiv \u00een situa\u021bii de criz\u0103, \u0219i men\u021bin\u00e2nd totodat\u0103 \u00eencrederea consumatorilor \u0219i a pie\u021bei.
(7)
\u00cen aprilie 2019, Autoritatea european\u0103 de supraveghere (Autoritatea bancar\u0103 european\u0103, ABE), instituit\u0103 prin Regulamentul (UE) nr. 1093\/2010 al Parlamentului European \u0219i al Consiliului(4), Autoritatea european\u0103 de supraveghere (Autoritatea european\u0103 de asigur\u0103ri \u0219i pensii ocupa\u021bionale, EIOPA), instituit\u0103 prin Regulamentul (UE) nr. 1094\/2010 al Parlamentului European \u0219i al Consiliului(5), \u0219i Autoritatea european\u0103 de supraveghere (Autoritatea european\u0103 pentru valori mobiliare \u0219i pie\u021be, ESMA), instituit\u0103 prin Regulamentul (UE) nr. 1095\/2010 al Parlamentului
(4)Regulamentul (UE) nr. 1093\/2010 al Parlamentului European \u0219i al Consiliului din 24 noiembrie 2010 de instituire a Autorit\u0103\u021bii europene de supraveghere (Autoritatea bancar\u0103 european\u0103), de modificare a Deciziei nr. 716\/2009\/CE \u0219i de abrogare a Deciziei 2009\/78\/CE a Comisiei (JO L 331, 15.12.2010, p. 12).
(5)Regulamentul (UE) nr. 1094\/2010 al Parlamentului European \u0219i al Consiliului din 24 noiembrie 2010 de instituire a Autorit\u0103\u021bii europene de supraveghere (Autoritatea european\u0103 de asigur\u0103ri \u0219i pensii ocupa\u021bionale), de modificare a Deciziei nr. 716\/2009\/CE \u0219i de abrogare a Deciziei 2009\/79\/CE a Comisiei (JO L 331, 15.12.2010, p. 48).
L 333\/2 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
European \u0219i al Consiliului(6)(cunoscute \u00een mod colectiv drept \u201eautorit\u0103\u021bile europene de supraveghere\u201d sau \u201eAES\u201d), au emis \u00een comun un aviz tehnic solicit\u00e2nd o abordare coerent\u0103 a riscurilor TIC \u00een domeniul financiar \u0219i recomand\u00e2nd consolidarea, \u00een mod propor\u021bional, a rezilien\u021bei opera\u021bionale digitale a sectorului serviciilor financiare prin intermediul unei ini\u021biative sectoriale a Uniunii.
(8)
Sectorul financiar al Uniunii este reglementat printr-un cadru unic de reglementare \u0219i este guvernat de un sistem european de supraveghere financiar\u0103. Cu toate acestea, dispozi\u021biile privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 \u0219i securitatea TIC nu sunt \u00eenc\u0103 armonizate pe deplin sau \u00een mod consecvent, \u00een pofida faptului c\u0103 rezilien\u021ba opera\u021bional\u0103 digital\u0103 este vital\u0103 pentru asigurarea stabilit\u0103\u021bii financiare \u0219i a integrit\u0103\u021bii pie\u021bei \u00een era digital\u0103 \u0219i nu este mai pu\u021bin important\u0103 dec\u00e2t, de exemplu, standardele comune pruden\u021biale sau de conduit\u0103 pe pia\u021b\u0103. Prin urmare, cadrul unic de reglementare \u0219i sistemul de supraveghere ar trebui s\u0103 fie dezvoltate pentru a acoperi \u0219i rezilien\u021ba opera\u021bional\u0103 digital\u0103, prin consolidarea mandatelor autorit\u0103\u021bilor competente pentru a le permite s\u0103 supravegheze gestionarea riscurilor TIC \u00een sectorul financiar \u00een vederea protej\u0103rii integrit\u0103\u021bii \u0219i eficien\u021bei pie\u021bei interne \u0219i pentru facilitarea func\u021bion\u0103rii organizate a acesteia.
(9)
Disparit\u0103\u021bile legislative \u0219i abord\u0103rile na\u021bionale inegale \u00een materie de reglementare sau de supraveghere cu privire la riscurile TIC genereaz\u0103 obstacole \u00een calea func\u021bion\u0103rii pie\u021bei interne a serviciilor financiare, \u00eempiedic\u00e2nd exercitarea f\u0103r\u0103 probleme a libert\u0103\u021bii de stabilire \u0219i de prestare de servicii pentru entit\u0103\u021bile financiare care desf\u0103\u0219oar\u0103 activit\u0103\u021bi transfrontaliere. Concuren\u021ba \u00eentre entit\u0103\u021bi financiare de acela\u0219i tip care opereaz\u0103 \u00een diferite state membre ar putea, de asemenea, s\u0103 fie denaturat\u0103. Acest lucru este valabil \u00een special \u00een domeniile \u00een care armonizarea la nivelul Uniunii a fost foarte limitat\u0103, cum ar fi testarea rezilien\u021bei opera\u021bionale digitale, sau a lipsit, cum ar fi monitorizarea riscurilor TIC generate de p\u0103r\u021bi ter\u021be. Disparit\u0103\u021bile care decurg din evolu\u021biile preconizate la nivel na\u021bional ar putea genera noi obstacole \u00een calea func\u021bion\u0103rii pie\u021bei interne, \u00een detrimentul participan\u021bilor la pia\u021b\u0103 \u0219i al stabilit\u0103\u021bii financiare.
(10)
P\u00e2n\u0103 \u00een prezent, \u00eentruc\u00e2t dispozi\u021biile legate de riscurile TIC au fost abordate doar par\u021bial la nivelul Uniunii, exist\u0103 lacune sau suprapuneri \u00een domenii importante, cum ar fi raportarea incidentelor legate de TIC \u0219i testarea rezilien\u021bei opera\u021bionale digitale, precum \u0219i inconsecven\u021be ca urmare a apari\u021biei unor norme na\u021bionale divergente sau a aplic\u0103rii ineficiente din punctul de vedere al costurilor a normelor care se suprapun. Acest lucru este \u00een special \u00een detrimentul domeniilor care utilizeaz\u0103 intensiv TIC, precum sectorul financiar, deoarece riscurile legate de tehnologie nu au frontiere, iar sectorul financiar \u00ee\u0219i desf\u0103\u0219oar\u0103 serviciile pe o baz\u0103 transfrontalier\u0103 larg\u0103, \u00een interiorul \u0219i \u00een afara Uniunii. Entit\u0103\u021bile financiare individuale care desf\u0103\u0219oar\u0103 activit\u0103\u021bi transfrontaliere sau de\u021bin mai multe autoriza\u021bii (de exemplu, o entitate financiar\u0103 poate avea o autoriza\u021bie bancar\u0103, o autoriza\u021bie de firm\u0103 de investi\u021bii \u0219i o autoriza\u021bie de institu\u021bie de plat\u0103, fiecare dintre acestea fiind emis\u0103 de o alt\u0103 autoritate competent\u0103 din unul sau mai multe state membre) se confrunt\u0103 cu provoc\u0103ri opera\u021bionale \u00een ceea ce prive\u0219te abordarea riscurilor TIC \u0219i atenuarea efectelor negative ale incidentelor TIC pe cont propriu \u0219i \u00eentr-un mod coerent \u0219i eficient din punctul de vedere al costurilor.
(11)
\u00centruc\u00e2t cadrul unic de reglementare nu a fost \u00eenso\u021bit de un cadru cuprinz\u0103tor privind riscurile TIC sau riscurile opera\u021bionale, este necesar\u0103 armonizarea suplimentar\u0103 a principalelor cerin\u021be privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 a tuturor entit\u0103\u021bilor financiare. Dezvoltarea capacit\u0103\u021bilor TIC \u0219i a rezilien\u021bei generale a entit\u0103\u021bilor financiare, pe baza unor astfel de cerin\u021be principale, \u00een scopul de a rezista \u00eentreruperilor opera\u021bionale, ar contribui la men\u021binerea stabilit\u0103\u021bii \u0219i integrit\u0103\u021bii pie\u021belor financiare ale Uniunii \u0219i, astfel, la asigurarea unui nivel ridicat de protec\u021bie pentru investitorii \u0219i consumatorii din Uniune. \u00centruc\u00e2t urm\u0103re\u0219te s\u0103 contribuie la buna func\u021bionare a pie\u021bei interne, prezentul regulament ar trebui s\u0103 se bazeze pe dispozi\u021biile articolului 114 din Tratatul privind func\u021bionarea Uniunii Europene (TFUE), astfel cum au fost interpretate \u00een conformitate cu jurispruden\u021ba constant\u0103 a Cur\u021bii de Justi\u021bie a Uniunii Europene (denumit\u0103 \u00een continuare \u201eCurtea de Justi\u021bie\u201d).
(12)
Prezentul regulament urm\u0103re\u0219te s\u0103 consolideze \u0219i s\u0103 actualizeze cerin\u021bele privind riscurile TIC ca parte a cerin\u021belor privind riscurile opera\u021bionale care, p\u00e2n\u0103 \u00een prezent, au fost abordate separat \u00een diferite acte juridice ale Uniunii. De\u0219i au acoperit principalele categorii de riscuri financiare (de exemplu, riscul de credit, riscul de pia\u021b\u0103, riscul de credit al contrap\u0103r\u021bii \u0219i riscul de lichiditate, riscul de conduit\u0103 pe pia\u021b\u0103), actele respective nu au abordat \u00een mod cuprinz\u0103tor, la momentul adopt\u0103rii lor, toate componentele rezilien\u021bei opera\u021bionale. Atunci c\u00e2nd au fost dezvoltate \u00eentr-o mai mare m\u0103sur\u0103 \u00een actele juridice respective ale Uniunii, normele privind riscul opera\u021bional au favorizat, adesea, o abordare cantitativ\u0103 tradi\u021bional\u0103 a riscurilor (\u0219i anume, stabilirea unei cerin\u021be de capital pentru a acoperi riscurile TIC), mai
(6)Regulamentul (UE) nr. 1095\/2010 al Parlamentului European \u0219i al Consiliului din 24 noiembrie 2010 de instituire a Autorit\u0103\u021bii europene de supraveghere (Autoritatea european\u0103 pentru valori mobiliare \u0219i pie\u021be), de modificare a Deciziei nr. 716\/2009\/CE \u0219i de abrogare a Deciziei 2009\/77\/CE a Comisiei (JO L 331, 15.12.2010, p. 84).
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/3
degrab\u0103 dec\u00e2t norme calitative specifice pentru protec\u021bia, detectarea, limitarea, recuperarea \u0219i repararea capacit\u0103\u021bilor \u00een cazul unor incidente legate de TIC sau referitoare la capacit\u0103\u021bile de raportare \u0219i de testare digital\u0103. Actele respective erau menite, \u00een principal, s\u0103 acopere \u0219i s\u0103 actualizeze norme esen\u021biale privind supravegherea pruden\u021bial\u0103, integritatea pie\u021bei sau conduita pe pia\u021b\u0103. Prin consolidarea \u0219i actualizarea diferitelor norme privind riscurile TIC, toate dispozi\u021biile care abordeaz\u0103 riscul digital \u00een sectorul financiar ar urma s\u0103 fie reunite pentru prima dat\u0103, \u00eentr-un mod coerent, \u00eentr-un singur act legislativ. Prin urmare, prezentul regulament elimin\u0103 lacunele sau remediaz\u0103 inconsecven\u021bele din unele dintre actele juridice anterioare, inclusiv \u00een ceea ce prive\u0219te terminologia utilizat\u0103 \u00een acestea, \u0219i face trimiteri explicite la riscurile TIC prin intermediul unor norme specifice privind capacit\u0103\u021bile de gestionare a riscurilor TIC, raportarea incidentelor, testarea rezilien\u021bei opera\u021bionale \u0219i monitorizarea riscurilor TIC generate de p\u0103r\u021bi ter\u021be. Astfel, prezentul regulament ar trebui, de asemenea, s\u0103 creasc\u0103 gradul de con\u0219tientizare cu privire la riscurile TIC \u0219i s\u0103 recunoasc\u0103 faptul c\u0103 incidentele legate de TIC \u0219i o lips\u0103 de rezilien\u021b\u0103 opera\u021bional\u0103 ar putea periclita soliditatea entit\u0103\u021bilor financiare.
(13)
Entit\u0103\u021bile financiare ar trebui s\u0103 aib\u0103 aceea\u0219i abordare \u0219i s\u0103 respecte acelea\u0219i norme bazate pe principii cu privire la riscurile TIC, \u021bin\u00e2nd cont de dimensiunea \u0219i profilul lor general de risc \u0219i de natura, amploarea \u0219i complexitatea serviciilor, activit\u0103\u021bilor \u0219i opera\u021biunilor lor. Consecven\u021ba contribuie la cre\u0219terea \u00eencrederii \u00een sistemul financiar \u0219i la men\u021binerea stabilit\u0103\u021bii acestuia, \u00een special \u00een perioade de dependen\u021b\u0103 ridicat\u0103 de sisteme, platforme \u0219i infrastructuri TIC, ceea ce implic\u0103 un risc digital sporit. Respectarea unei igiene cibernetice de baz\u0103 ar trebui, de asemenea, s\u0103 permit\u0103 evitarea impunerii unor costuri semnificative asupra economiei, prin reducerea la minimum a impactului \u0219i a costurilor asociate perturb\u0103rilor TIC.
(14)
Un regulament ajut\u0103 la reducerea complexit\u0103\u021bii reglement\u0103rii, favorizeaz\u0103 convergen\u021ba supravegherii \u0219i spore\u0219te securitatea juridic\u0103, contribuind totodat\u0103 la limitarea costurilor de asigurare a conformit\u0103\u021bii, \u00een special pentru entit\u0103\u021bile financiare care desf\u0103\u0219oar\u0103 activit\u0103\u021bi transfrontaliere, precum \u0219i la reducerea denatur\u0103rilor concuren\u021bei. Prin urmare, op\u021biunea pentru un regulament \u00een vederea instituirii unui cadru comun pentru rezilien\u021ba opera\u021bional\u0103 digital\u0103 a entit\u0103\u021bilor financiare reprezint\u0103 cel mai adecvat mod de a garanta o aplicare omogen\u0103 \u0219i coerent\u0103 a tuturor componentelor gestion\u0103rii riscurilor TIC de c\u0103tre sectorul financiar al Uniunii.
(15)
Directiva (UE) 2016\/1148 a Parlamentului European \u0219i a Consiliului(7)a fost primul cadru de reglementare orizontal \u00een materie de securitate cibernetic\u0103 adoptat la nivelul Uniunii, care se aplic\u0103 \u0219i \u00een cazul a trei tipuri de entit\u0103\u021bi financiare, \u0219i anume institu\u021biile de credit, locurile de tranzac\u021bionare \u0219i contrap\u0103r\u021bile centrale. Totu\u0219i, \u00eentruc\u00e2t Directiva (UE) 2016\/1148 a stabilit un mecanism de identificare la nivel na\u021bional a operatorilor de servicii esen\u021biale, doar anumite institu\u021bii de credit, locuri de tranzac\u021bionare \u0219i contrap\u0103r\u021bi centrale care au fost identificate de statele membre au fost, \u00een practic\u0103, incluse \u00een domeniul s\u0103u de aplicare, trebuind, prin urmare, s\u0103 respecte cerin\u021bele privind securitatea TIC \u0219i notificarea incidentelor prev\u0103zute \u00een aceasta. Directiva (UE) 2022\/2555 a Parlamentului European \u0219i a Consiliului(8)stabile\u0219te un criteriu uniform pentru a determina entit\u0103\u021bile care intr\u0103 \u00een domeniul s\u0103u de aplicare (regula privind criteriul de dimensiune), men\u021bin\u00e2nd \u00een acela\u0219i timp \u00een domeniul s\u0103u de aplicare cele trei tipuri de entit\u0103\u021bi financiare.
(16)
Cu toate acestea, \u00eentruc\u00e2t prezentul regulament spore\u0219te nivelul de armonizare \u00een ceea ce prive\u0219te diferitele componente ale rezilien\u021bei digitale, prin introducerea unor cerin\u021be privind gestionarea riscurilor TIC \u0219i raportarea incidentelor legate de TIC care sunt mai stricte \u00een compara\u021bie cu cele prev\u0103zute \u00een dreptul actual al Uniunii privind serviciile financiare, acest nivel sporit constituie o armonizare sporit\u0103 \u0219i \u00een compara\u021bie cu cerin\u021bele prev\u0103zute \u00een Directiva (UE) 2022\/2555. Prin urmare, prezentul regulament constituie lex specialis \u00een raport cu Directiva (UE) 2022\/2555. \u00cen acela\u0219i timp, este esen\u021bial s\u0103 se men\u021bin\u0103 o leg\u0103tur\u0103 puternic\u0103 \u00eentre sectorul financiar \u0219i cadrul orizontal de securitate cibernetic\u0103 al Uniunii, astfel cum este prev\u0103zut \u00een prezent \u00een Directiva (UE) 2022\/2555, pentru a asigura coeren\u021ba cu strategiile de securitate cibernetic\u0103 adoptate de statele membre \u0219i pentru a permite autorit\u0103\u021bilor de supraveghere financiar\u0103 s\u0103 fie informate cu privire la incidentele cibernetice care afecteaz\u0103 alte sectoare care intr\u0103 sub inciden\u021ba directivei respective.
(7)Directiva (UE) 2016\/1148 a Parlamentului European \u0219i a Consiliului din 6 iulie 2016 privind m\u0103suri pentru un nivel comun ridicat de securitate a re\u021belelor \u0219i a sistemelor informatice \u00een Uniune (JO L 194, 19.7.2016, p. 1).
(8)Directiva (UE) 2022\/2555 a Parlamentului European \u0219i a Consiliului din 14 decembrie 2022 privind m\u0103suri pentru un nivel comun ridicat de securitate cibernetic\u0103 \u00een Uniune, de modificare a Regulamentului (UE) nr. 910\/2014 \u0219i a Directivei (UE) 2018\/1972 \u0219i de abrogare a Directivei (UE) 2016\/1148 (Directiva NIS 2) (a se vedea pagina 80 din prezentul Jurnal Oficial).
L 333\/4 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(17)
\u00cen conformitate cu articolul 4 alineatul (2) din Tratatul privind Uniunea European\u0103 \u0219i f\u0103r\u0103 a aduce atingere controlului jurisdic\u021bional exercitat de Curtea de Justi\u021bie, prezentul regulament nu ar trebui s\u0103 aduc\u0103 atingere responsabilit\u0103\u021bii statelor membre cu privire la func\u021biile esen\u021biale ale statului \u00een ceea ce prive\u0219te siguran\u021ba public\u0103, ap\u0103rarea \u0219i protejarea securit\u0103\u021bii na\u021bionale, de exemplu \u00een ceea ce prive\u0219te furnizarea de informa\u021bii care ar fi contrare protej\u0103rii securit\u0103\u021bii na\u021bionale.
(18)
Pentru a facilita procesul de \u00eenv\u0103\u021bare transsectorial\u0103 \u0219i pentru a valorifica \u00een mod eficace experien\u021bele altor sectoare \u00een abordarea amenin\u021b\u0103rilor cibernetice, entit\u0103\u021bile financiare men\u021bionate \u00een Directiva (UE) 2022\/2555 ar trebui s\u0103 r\u0103m\u00e2n\u0103 parte a \u201eecosistemului\u201d directivei respective [de exemplu, Grupul de cooperare \u0219i echipele de interven\u021bie \u00een caz de incidente de securitate informatic\u0103 (echipe CSIRT)]. AES \u0219i autorit\u0103\u021bile na\u021bionale competente ar trebui s\u0103 poat\u0103 participa la discu\u021biile de politic\u0103 strategice \u0219i la lucr\u0103rile tehnice ale Grupului de cooperare \u00een temeiul directivei respective \u0219i s\u0103 schimbe informa\u021bii, precum \u0219i s\u0103 coopereze \u00een continuare cu punctele unice de contact desemnate sau instituite \u00een conformitate cu directiva respectiv\u0103. Autorit\u0103\u021bile competente \u00een temeiul prezentului regulament ar trebui, de asemenea, s\u0103 se consulte \u0219i s\u0103 coopereze cu echipele CSIRT. Autorit\u0103\u021bile competente ar trebui, de asemenea, s\u0103 fie \u00een m\u0103sur\u0103 s\u0103 solicite consultan\u021b\u0103 tehnic\u0103 din partea autorit\u0103\u021bilor competente desemnate sau instituite \u00een conformitate cu Directiva (UE) 2022\/2555 \u0219i s\u0103 stabileasc\u0103 acorduri de cooperare menite s\u0103 asigure mecanisme eficace \u0219i rapide de coordonare a r\u0103spunsului.
(19)
Av\u00e2nd \u00een vedere leg\u0103turile puternice dintre rezilien\u021ba digital\u0103 \u0219i rezilien\u021ba fizic\u0103 a entit\u0103\u021bilor financiare, este necesar\u0103 o abordare coerent\u0103 \u00een ceea ce prive\u0219te rezilien\u021ba entit\u0103\u021bilor critice \u00een prezentul regulament \u0219i \u00een Directiva (UE) 2022\/ 2557 a Parlamentului European \u0219i a Consiliului(9). Av\u00e2nd \u00een vedere c\u0103 rezilien\u021ba fizic\u0103 a entit\u0103\u021bilor financiare este abordat\u0103 \u00een mod cuprinz\u0103tor de obliga\u021biile de gestionare a riscurilor TIC \u0219i de raportare care fac obiectul prezentului regulament, obliga\u021biile prev\u0103zute \u00een capitolele III \u0219i IV din Directiva (UE) 2022\/2557 nu ar trebui s\u0103 se aplice entit\u0103\u021bilor financiare care intr\u0103 \u00een domeniul de aplicare al directivei respective.
(20)
Furnizorii de servicii de cloud computing sunt o categorie de infrastructuri digitale care intr\u0103 sub inciden\u021ba Directivei (UE) 2022\/2555. Cadrul de supraveghere al Uniunii (denumit \u00een continuare \u201ecadrul de supraveghere\u201d) instituit prin prezentul regulament se aplic\u0103 tuturor furnizorilor ter\u021bi esen\u021biali de servicii TIC, inclusiv furnizorilor de servicii de cloud computing care furnizeaz\u0103 servicii TIC entit\u0103\u021bilor financiare, \u0219i ar trebui s\u0103 fie considerat complementar supravegherii \u00een temeiul Directivei (UE) 2022\/2555. \u00cen plus, cadrul de supraveghere instituit prin prezentul regulament ar trebui s\u0103 acopere furnizorii de servicii de cloud computing \u00een absen\u021ba unui cadru orizontal al Uniunii care s\u0103 instituie o autoritate de supraveghere digital\u0103.
(21)
Pentru a p\u0103stra controlul deplin asupra riscurilor TIC, entit\u0103\u021bile financiare trebuie s\u0103 dispun\u0103 de capacit\u0103\u021bi cuprinz\u0103toare care s\u0103 permit\u0103 o gestionare s\u0103n\u0103toas\u0103 \u0219i eficace a riscurilor TIC, precum \u0219i de mecanisme \u0219i politici specifice pentru tratarea tuturor incidentelor legate de TIC \u0219i pentru raportarea incidentelor majore legate de TIC. De asemenea, entit\u0103\u021bile financiare ar trebui s\u0103 dispun\u0103 de politici pentru testarea sistemelor, controalelor \u0219i proceselor TIC, precum \u0219i pentru gestionarea riscurilor TIC generate de p\u0103r\u021bi ter\u021be. Nivelul de referin\u021b\u0103 al rezilien\u021bei opera\u021bionale digitale pentru entit\u0103\u021bile financiare ar trebui s\u0103 fie majorat, permi\u021b\u00e2nd totodat\u0103 o aplicare propor\u021bional\u0103 a cerin\u021belor pentru anumite entit\u0103\u021bi financiare, \u00een special pentru micro\u00eentreprinderi, precum \u0219i pentru entit\u0103\u021bile financiare care fac obiectul unui cadru simplificat de gestionare a riscurilor TIC. Pentru a facilita o supraveghere eficient\u0103 a institu\u021biilor pentru furnizarea de pensii ocupa\u021bionale care s\u0103 fie propor\u021bional\u0103 \u0219i s\u0103 abordeze necesitatea de a reduce sarcinile administrative ale autorit\u0103\u021bilor competente, mecanismele na\u021bionale de supraveghere relevante cu privire la astfel de entit\u0103\u021bi financiare ar trebui s\u0103 \u021bin\u0103 seama de dimensiunea \u0219i profilul general de risc al acestora, precum \u0219i de natura, amploarea \u0219i complexitatea serviciilor, activit\u0103\u021bilor \u0219i opera\u021biunilor lor, chiar \u0219i atunci c\u00e2nd pragurile relevante stabilite la articolul 5 din Directiva (UE) 2016\/2341 a Parlamentului European \u0219i a Consiliului(10)sunt dep\u0103\u0219ite. \u00cen special, activit\u0103\u021bile de supraveghere ar trebui s\u0103 se concentreze \u00een primul r\u00e2nd asupra necesit\u0103\u021bii de a aborda riscurile grave asociate gestion\u0103rii riscurilor TIC ale unei anumite entit\u0103\u021bi.
(9)Directiva (UE) 2022\/2557 a Parlamentului European \u0219i a Consiliului din 14 decembrie 2022 privind rezilien\u021ba entit\u0103\u021bilor critice \u0219i de abrogare a Directivei 2008\/114\/CE a Consiliului (a se vedea pagina 164 din prezentul Jurnal Oficial).
(10)Directiva (UE) 2016\/2341 a Parlamentului European \u0219i a Consiliului din 14 decembrie 2016 privind activit\u0103\u021bile \u0219i supravegherea institu\u021biilor pentru furnizarea de pensii ocupa\u021bionale (IORP) (JO L 354, 23.12.2016, p. 37).
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/5
Autorit\u0103\u021bile competente ar trebui, de asemenea, s\u0103 men\u021bin\u0103 o abordare vigilent\u0103, dar propor\u021bional\u0103, \u00een ceea ce prive\u0219te supravegherea institu\u021biilor pentru furnizarea de pensii ocupa\u021bionale care, \u00een conformitate cu articolul 31 din Directiva (UE) 2016\/2341, externalizeaz\u0103 c\u0103tre furnizorii de servicii o parte semnificativ\u0103 a activit\u0103\u021bii lor principale, cum ar fi gestionarea activelor, calculele actuariale, contabilitatea \u0219i gestionarea datelor.
(22)
Pragurile de raportare a incidentelor legate de TIC \u0219i taxonomiile variaz\u0103 semnificativ la nivel na\u021bional. De\u0219i un numitor comun poate fi atins prin intermediul activit\u0103\u021bilor relevante \u00eentreprinse de Agen\u021bia Uniunii Europene pentru Securitate Cibernetic\u0103 (ENISA) instituit\u0103 prin Regulamentul (UE) 2019\/881 al Parlamentului European \u0219i al Consiliului(11)\u0219i de Grupul de cooperare \u00een temeiul Directivei (UE) 2022\/2555, \u00eenc\u0103 exist\u0103 sau pot ap\u0103rea abord\u0103ri divergente privind stabilirea pragurilor \u0219i folosirea taxonomiilor pentru restul entit\u0103\u021bilor financiare. Din cauza divergen\u021belor respective, exist\u0103 cerin\u021be multiple pe care entit\u0103\u021bile financiare trebuie s\u0103 le respecte, \u00een special atunci c\u00e2nd \u00ee\u0219i desf\u0103\u0219oar\u0103 activitatea \u00een mai multe state membre \u0219i c\u00e2nd fac parte dintr-un grup financiar. \u00cen plus, astfel de divergen\u021be pot \u00eempiedica crearea unor noi mecanisme uniforme sau centralizate ale Uniunii, care s\u0103 accelereze procesul de raportare \u0219i s\u0103 sprijine un schimb de informa\u021bii rapid \u0219i f\u0103r\u0103 probleme \u00eentre autorit\u0103\u021bile competente, care este esen\u021bial pentru abordarea riscurilor TIC \u00een cazul unor atacuri la scar\u0103 larg\u0103 cu poten\u021biale consecin\u021be sistemice.
(23)
Pentru a reduce sarcina administrativ\u0103 \u0219i eventualele obliga\u021bii de raportare redundante pentru anumite entit\u0103\u021bi financiare, cerin\u021ba de raportare a incidentelor \u00een temeiul Directivei (UE) 2015\/2366 a Parlamentului European \u0219i a Consiliului(12)ar trebui s\u0103 \u00eenceteze s\u0103 se aplice furnizorilor de servicii de plat\u0103 care intr\u0103 \u00een domeniul de aplicare al prezentului regulament. \u00cen consecin\u021b\u0103, institu\u021biile de credit, institu\u021biile emitente de moned\u0103 electronic\u0103, institu\u021biile de plat\u0103 \u0219i prestatorii de servicii de informare cu privire la conturi, astfel cum se men\u021bioneaz\u0103 la articolul 33 alineatul (1) din directiva respectiv\u0103, ar trebui, de la data aplic\u0103rii prezentului regulament, s\u0103 raporteze \u00een temeiul prezentului regulament toate incidentele opera\u021bionale sau de securitate legate de pl\u0103\u021bi care au fost raportate anterior \u00een temeiul directivei respective, indiferent dac\u0103 astfel de incidente sunt legate de TIC sau nu.
(24)
Pentru a permite autorit\u0103\u021bilor competente s\u0103 \u00eendeplineasc\u0103 roluri de supraveghere prin ob\u021binerea unei imagini de ansamblu complete asupra naturii, frecven\u021bei, importan\u021bei \u0219i impactului incidentelor legate de TIC \u0219i pentru a consolida schimbul de informa\u021bii \u00eentre autorit\u0103\u021bile publice relevante, inclusiv autorit\u0103\u021bile de aplicare a legii \u0219i autorit\u0103\u021bile de rezolu\u021bie, prezentul regulament ar trebui s\u0103 prevad\u0103 un regim solid de raportare a incidentelor legate de TIC, ale c\u0103rui cerin\u021be relevante s\u0103 remedieze lacunele actuale din dreptul privind serviciile financiare \u0219i s\u0103 elimine suprapunerile \u0219i dubl\u0103rile existente, pentru a reduce costurile. Este esen\u021bial s\u0103 se armonizeze regimul de raportare a incidentelor legate de TIC prin impunerea obliga\u021biei ca toate entit\u0103\u021bile financiare s\u0103 raporteze autorit\u0103\u021bilor lor competente printr-un cadru unic simplificat, astfel cum este prev\u0103zut \u00een prezentul regulament. \u00cen plus, AES ar trebui s\u0103 fie \u00eemputernicite s\u0103 detalieze \u00eentr-o mai mare m\u0103sur\u0103 elementele relevante pentru cadrul de raportare a incidentelor legate de TIC, cum ar fi taxonomia, intervalele de timp, seturile de date, modelele \u0219i pragurile aplicabile. Pentru a asigura coeren\u021ba deplin\u0103 cu Directiva (UE) 2022\/2555, entit\u0103\u021bilor financiare ar trebui s\u0103 li se permit\u0103, \u00een mod voluntar, s\u0103 notifice autorit\u0103\u021bii competente relevante amenin\u021b\u0103rile cibernetice semnificative, atunci c\u00e2nd consider\u0103 c\u0103 amenin\u021barea cibernetic\u0103 este relevant\u0103 pentru sistemul financiar, pentru utilizatorii serviciilor sau pentru clien\u021bi.
(25)
\u00cen anumite subsectoare financiare au fost elaborate cerin\u021be de testare a rezilien\u021bei opera\u021bionale digitale care stabilesc cadre de reglementare care nu sunt \u00eentotdeauna pe deplin aliniate. Acest lucru conduce la o eventual\u0103 duplicare a costurilor pentru entit\u0103\u021bile financiare transfrontaliere \u0219i face ca recunoa\u0219terea reciproc\u0103 a rezultatelor test\u0103rii rezilien\u021bei opera\u021bionale digitale s\u0103 devin\u0103 complex\u0103, ceea ce, la r\u00e2ndul s\u0103u, poate fragmenta pia\u021ba intern\u0103.
(11)Regulamentul (UE) 2019\/881 al Parlamentului European \u0219i al Consiliului din 17 aprilie 2019 privind ENISA (Agen\u021bia Uniunii Europene pentru Securitate Cibernetic\u0103) \u0219i privind certificarea securit\u0103\u021bii cibernetice pentru tehnologia informa\u021biei \u0219i comunica\u021biilor \u0219i de abrogare a Regulamentului (UE) nr. 526\/2013 (Regulamentul privind securitatea cibernetic\u0103) (JO L 151, 7.6.2019, p. 15).
(12)Directiva (UE) 2015\/2366 a Parlamentului European \u0219i a Consiliului din 25 noiembrie 2015 privind serviciile de plat\u0103 \u00een cadrul pie\u021bei interne, de modificare a Directivelor 2002\/65\/CE, 2009\/110\/CE \u0219i 2013\/36\/UE \u0219i a Regulamentului (UE) nr. 1093\/2010, \u0219i de abrogare a Directivei 2007\/64\/CE (JO L 337, 23.12.2015, p. 35).
L 333\/6 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(26)
\u00cen plus, \u00een cazul \u00een care nu este necesar\u0103 testarea TIC, vulnerabilit\u0103\u021bile r\u0103m\u00e2n nedetectate \u0219i conduc la expunerea unei entit\u0103\u021bi financiare la riscuri TIC \u0219i, \u00een cele din urm\u0103, creeaz\u0103 un risc mai mare pentru stabilitatea \u0219i integritatea sectorului financiar. F\u0103r\u0103 interven\u021bia Uniunii, testarea rezilien\u021bei opera\u021bionale digitale ar continua s\u0103 fie inconsecvent\u0103 \u0219i nu ar exista un sistem de recunoa\u0219tere reciproc\u0103 a rezultatelor testelor TIC \u00eentre diferite jurisdic\u021bii. \u00cen plus, \u00eentruc\u00e2t este pu\u021bin probabil ca alte subsectoare financiare s\u0103 adopte sistemele de testare la o scar\u0103 semnificativ\u0103, acestea nu s-ar bucura de beneficiile poten\u021biale ale unui cadru de testare, \u00een ceea ce prive\u0219te dezv\u0103luirea vulnerabilit\u0103\u021bilor \u0219i a riscurilor TIC, \u0219i testarea capacit\u0103\u021bilor de ap\u0103rare \u0219i a continuit\u0103\u021bii activit\u0103\u021bii, ceea ce contribuie la cre\u0219terea \u00eencrederii consumatorilor, a furnizorilor \u0219i a partenerilor de afaceri. Pentru a remedia aceste suprapuneri, divergen\u021be \u0219i lacune, este necesar s\u0103 se stabileasc\u0103 norme pentru un sistem de testare coordonat, facilit\u00e2nd astfel recunoa\u0219terea reciproc\u0103 a testelor avansate pentru entit\u0103\u021bile financiare care \u00eendeplinesc criteriile stabilite \u00een prezentul regulament.
(27)
Dependen\u021ba entit\u0103\u021bilor financiare de folosirea serviciilor TIC este determinat\u0103 par\u021bial de nevoia lor de a se adapta la o economie global\u0103 digital\u0103 competitiv\u0103 emergent\u0103, de a spori eficien\u021ba activit\u0103\u021bii lor \u0219i de a r\u0103spunde cererii consumatorilor. Natura \u0219i amploarea unei astfel de dependen\u021be au fost \u00een continu\u0103 evolu\u021bie \u00een ultimii ani, conduc\u00e2nd la o reducere a costurilor \u00een ceea ce prive\u0219te intermedierea financiar\u0103, permi\u021b\u00e2nd dezvoltarea \u0219i scalabilitatea activit\u0103\u021bilor financiare \u0219i oferind \u00een acela\u0219i timp o gam\u0103 larg\u0103 de instrumente TIC pentru gestionarea proceselor interne complexe.
(28)
Utilizarea ampl\u0103 a serviciilor TIC este demonstrat\u0103 prin acorduri contractuale complexe, \u00een cadrul c\u0103rora entit\u0103\u021bile financiare se confrunt\u0103 adesea cu dificult\u0103\u021bi \u00een ceea ce prive\u0219te negocierea unor condi\u021bii contractuale care s\u0103 fie adaptate la standardele pruden\u021biale sau la alte cerin\u021be de reglementare pe care trebuie s\u0103 le respecte, sau, pe de alt\u0103 parte, \u00een exercitarea unor drepturi specifice, cum ar fi drepturile de acces sau de audit, chiar \u0219i atunci c\u00e2nd acestea din urm\u0103 sunt consacrate \u00een acordurile contractuale. \u00cen plus, multe dintre respectivele acorduri contractuale nu ofer\u0103 garan\u021bii suficiente care s\u0103 permit\u0103 monitorizarea complet\u0103 a proceselor de subcontractare, priv\u00e2nd astfel entitatea financiar\u0103 de capacitatea sa de a evalua aceste riscuri asociate. \u00cen plus, \u00eentruc\u00e2t furnizorii ter\u021bi de servicii TIC ofer\u0103 adesea servicii standardizate diferitelor tipuri de clien\u021bi, astfel de acorduri contractuale nu r\u0103spund \u00eentotdeauna \u00een mod adecvat nevoilor individuale sau specifice ale actorilor din sectorul financiar.
(29)
Chiar dac\u0103 dreptul Uniunii privind serviciile financiare con\u021bine anumite norme generale privind externalizarea, monitorizarea dimensiunii contractuale nu este pe deplin ancorat\u0103 \u00een dreptul Uniunii. \u00cen absen\u021ba unor standarde ale Uniunii clare \u0219i specifice care s\u0103 se aplice acordurilor contractuale \u00eencheiate cu furnizorii ter\u021bi de servicii TIC, sursa extern\u0103 a riscurilor TIC nu este abordat\u0103 \u00een mod cuprinz\u0103tor. Prin urmare, este necesar s\u0103 se stabileasc\u0103 anumite principii-cheie care s\u0103 orienteze gestionarea de c\u0103tre entit\u0103\u021bile financiare a riscurilor TIC generate de p\u0103r\u021bi ter\u021be, care sunt deosebit de importante atunci c\u00e2nd entit\u0103\u021bile financiare recurg la furnizori ter\u021bi de servicii TIC care s\u0103 sprijine \u00eendeplinirea func\u021biilor critice sau importante ale entit\u0103\u021bilor financiare. Aceste principii ar trebui s\u0103 fie \u00eenso\u021bite de un set de drepturi contractuale de baz\u0103 \u00een leg\u0103tur\u0103 cu mai multe elemente legate de executarea \u0219i \u00eencetarea acordurilor contractuale, cu scopul de a oferi anumite garan\u021bii minime care s\u0103 consolideze capacitatea entit\u0103\u021bilor financiare de a monitoriza \u00een mod eficace toate riscurile TIC care apar la nivelul furnizorilor ter\u021bi de servicii TIC. Aceste principii sunt complementare legisla\u021biei sectoriale aplicabile externaliz\u0103rii.
(30)
\u00cen prezent, este evident\u0103 o anumit\u0103 lips\u0103 de omogenitate \u0219i convergen\u021b\u0103 \u00een ceea ce prive\u0219te monitorizarea riscurilor TIC generate de p\u0103r\u021bi ter\u021be \u0219i a dependen\u021belor TIC fa\u021b\u0103 de ter\u021bi. \u00cen pofida eforturilor de abordare a externaliz\u0103rii, cum ar fi Ghidul ABE din 2019 privind externalizarea \u0219i Orient\u0103rile ESMA din 2021 privind externalizarea c\u0103tre furnizorii de servicii de cloud, problema mai ampl\u0103 a contracar\u0103rii riscului sistemic care poate fi declan\u0219at de expunerea sectorului financiar la un num\u0103r limitat de furnizori ter\u021bi esen\u021biali de servicii TIC nu este abordat\u0103 \u00een mod suficient de dreptul Uniunii. Lipsa reglement\u0103rilor la nivelul Uniunii este agravat\u0103 de absen\u021ba unor norme na\u021bionale privind mandatele \u0219i instrumentele care s\u0103 permit\u0103 autorit\u0103\u021bilor de supraveghere financiar\u0103 s\u0103 dob\u00e2ndeasc\u0103 o bun\u0103 \u00een\u021belegere a dependen\u021belor TIC fa\u021b\u0103 de ter\u021bi \u0219i s\u0103 monitorizeze \u00een mod adecvat riscurile care decurg din concentrarea dependen\u021belor TIC fa\u021b\u0103 de ter\u021bi.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/7
(31)
\u021ain\u00e2nd seama de riscurile sistemice poten\u021biale implicate de practicile de externalizare sporite \u0219i de concentrarea serviciilor TIC furnizate de p\u0103r\u021bi ter\u021be \u0219i av\u00e2nd \u00een vedere insuficien\u021ba capacit\u0103\u021bii mecanismelor na\u021bionale de a oferi autorit\u0103\u021bilor de supraveghere financiar\u0103 instrumente adecvate pentru cuantificarea, calificarea \u0219i remedierea consecin\u021belor riscurilor TIC care apar la nivelul furnizorilor ter\u021bi esen\u021biali de servicii TIC, este necesar s\u0103 se instituie un cadru adecvat de supraveghere, care s\u0103 permit\u0103 o monitorizare continu\u0103 a activit\u0103\u021bilor furnizorilor ter\u021bi de servicii TIC care sunt furnizori ter\u021bi esen\u021biali de servicii TIC pentru entit\u0103\u021bile financiare, asigur\u00e2nd \u00een acela\u0219i timp p\u0103strarea confiden\u021bialit\u0103\u021bii \u0219i a securit\u0103\u021bii clien\u021bilor, al\u021bii dec\u00e2t entit\u0103\u021bile financiare. De\u0219i furnizarea de servicii TIC intragrup implic\u0103 riscuri \u0219i beneficii specifice, aceasta nu ar trebui considerat\u0103 \u00een mod automat mai pu\u021bin riscant\u0103 dec\u00e2t furnizarea de servicii TIC de c\u0103tre furnizorii din afara unui grup financiar \u0219i, prin urmare, ar trebui s\u0103 fac\u0103 obiectul aceluia\u0219i cadru de reglementare. Cu toate acestea, atunci c\u00e2nd serviciile TIC sunt furnizate \u00een interiorul aceluia\u0219i grup financiar, entit\u0103\u021bile financiare ar putea avea un nivel mai ridicat de control asupra furnizorilor intragrup, de care ar trebui s\u0103 se \u021bin\u0103 seama \u00een evaluarea global\u0103 a riscurilor.
(32)
Av\u00e2nd \u00een vedere c\u0103 riscurile TIC devin din ce \u00een ce mai complexe \u0219i mai sofisticate, m\u0103surile adecvate pentru detectarea \u0219i prevenirea riscurilor TIC depind \u00een mare m\u0103sur\u0103 de schimbul periodic \u00eentre entit\u0103\u021bile financiare de informa\u021bii privind amenin\u021b\u0103rile \u0219i vulnerabilitatea. Schimbul de informa\u021bii contribuie la crearea unui grad sporit de con\u0219tientizare cu privire la amenin\u021b\u0103rile cibernetice. La r\u00e2ndul s\u0103u, acest lucru spore\u0219te capacitatea entit\u0103\u021bilor financiare de a preveni ca amenin\u021b\u0103rile cibernetice s\u0103 devin\u0103 incidente reale legate de TIC \u0219i permite entit\u0103\u021bilor financiare s\u0103 limiteze mai eficient impactul incidentelor legate de TIC \u0219i s\u0103 se redreseze mai rapid. \u00cen absen\u021ba unor orient\u0103ri la nivelul Uniunii, mai mul\u021bi factori par s\u0103 fi \u00eempiedicat astfel de schimburi de informa\u021bii, \u00een special incertitudinea cu privire la compatibilitatea cu normele privind protec\u021bia datelor, cu normele antitrust \u0219i cu cele privind r\u0103spunderea.
(33)
\u00cen plus, incertitudinile cu privire la tipul de informa\u021bii care pot fi partajate cu al\u021bi participan\u021bi pe pia\u021b\u0103 sau cu autorit\u0103\u021bi care nu au atribu\u021bii de supraveghere (precum ENISA, pentru contribu\u021bii analitice sau Europolul, \u00een scopul asigur\u0103rii respect\u0103rii legii) conduc la nedivulgarea de informa\u021bii utile. Prin urmare, amploarea \u0219i calitatea schimbului de informa\u021bii r\u0103m\u00e2n \u00een prezent limitate \u0219i fragmentate, schimburile relevante fiind realizate \u00een cea mai mare parte la nivel local (prin ini\u021biative na\u021bionale) \u0219i f\u0103r\u0103 acorduri consecvente de schimburi de informa\u021bii la nivelul Uniunii, adaptate nevoilor unui sistem financiar integrat. Prin urmare, este important s\u0103 se consolideze aceste canale de comunicare.
(34)
Entit\u0103\u021bile financiare ar trebui s\u0103 fie \u00eencurajate s\u0103 fac\u0103 schimb de informa\u021bii \u0219i date operative privind amenin\u021b\u0103rile cibernetice \u0219i s\u0103 \u00ee\u0219i valorifice \u00een mod colectiv cuno\u0219tin\u021bele individuale \u0219i experien\u021ba practic\u0103 la nivel strategic, tactic \u0219i opera\u021bional, \u00een vederea consolid\u0103rii capacit\u0103\u021bilor lor de a evalua, a monitoriza, a ap\u0103ra \u00eempotriva amenin\u021b\u0103rilor cibernetice \u0219i a r\u0103spunde \u00een mod adecvat la acestea, prin participarea la acorduri privind schimbul de informa\u021bii. Prin urmare, este necesar s\u0103 se favorizeze apari\u021bia la nivelul Uniunii a unor mecanisme pentru acorduri voluntare privind schimbul de informa\u021bii care, atunci c\u00e2nd au loc \u00een medii de \u00eencredere, ar ajuta comunitatea industriei financiare s\u0103 previn\u0103 amenin\u021b\u0103rile cibernetice \u0219i s\u0103 r\u0103spund\u0103 \u00een mod colectiv la acestea prin limitarea rapid\u0103 a r\u0103sp\u00e2ndirii riscurilor TIC \u0219i prin \u00eempiedicarea unei contamin\u0103ri poten\u021biale prin canalele financiare. Aceste mecanisme ar trebui s\u0103 respecte normele Uniunii aplicabile \u00een domeniul concuren\u021bei din Comunicarea Comisiei din 14 ianuarie 2011intitulat\u0103 \u201eOrient\u0103ri privind aplicabilitatea articolului 101 din Tratatul privind func\u021bionarea Uniunii Europene acordurilor de cooperare orizontal\u0103\u201d, precum \u0219i normele Uniunii \u00een materie de protec\u021bie a datelor, \u00een special Regulamentul (UE) 2016\/679 al Parlamentului European \u0219i al Consiliului(13). Acestea ar trebui s\u0103 func\u021bioneze pe baza utiliz\u0103rii unuia sau a mai multor temeiuri juridice prev\u0103zute la articolul 6 din regulamentul respectiv, cum ar fi \u00een contextul prelucr\u0103rii datelor cu caracter personal care este necesar\u0103 \u00een scopul interesului legitim urm\u0103rit de operator sau de o parte ter\u021b\u0103, astfel cum se men\u021bioneaz\u0103 la articolul 6 alineatul (1) litera (f) din regulamentul respectiv, precum \u0219i \u00een contextul prelucr\u0103rii datelor cu caracter personal care este necesar\u0103 pentru \u00eendeplinirea unei obliga\u021bii legale care \u00eei revine operatorului, necesar\u0103 pentru \u00eendeplinirea unei sarcini care serve\u0219te unui interes public sau care rezult\u0103 din exercitarea autorit\u0103\u021bii publice cu care este \u00eenvestit operatorul, astfel cum se men\u021bioneaz\u0103 la articolul 6 alineatul (1) literele (c) \u0219i, respectiv, (e) din regulamentul respectiv.
(13)Regulamentul (UE) 2016\/679 al Parlamentului European \u0219i al Consiliului din 27 aprilie 2016 privind protec\u021bia persoanelor fizice \u00een ceea ce prive\u0219te prelucrarea datelor cu caracter personal \u0219i privind libera circula\u021bie a acestor date \u0219i de abrogare a Directivei 95\/46\/CE (Regulamentul general privind protec\u021bia datelor) (JO L 119, 4.5.2016, p. 1).
L 333\/8 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(35)
Pentru a men\u021bine un nivel ridicat de rezilien\u021b\u0103 opera\u021bional\u0103 digital\u0103 pentru \u00eentregul sector financiar \u0219i, \u00een acela\u0219i timp, pentru a \u021bine pasul cu evolu\u021biile tehnologice, prezentul regulament ar trebui s\u0103 abordeze riscurile care decurg din toate tipurile de servicii TIC. \u00cen acest scop, defini\u021bia serviciilor TIC \u00een contextul prezentului regulament ar trebui \u00een\u021beleas\u0103 \u00een sens larg, incluz\u00e2nd serviciile digitale \u0219i de date furnizate \u00een mod continuu prin intermediul sistemelor TIC unuia sau mai multor utilizatori interni sau externi. Aceast\u0103 defini\u021bie ar trebui, de exemplu, s\u0103 includ\u0103 a\u0219a- numitele servicii \u201eover the top\u201d, care se \u00eencadreaz\u0103 \u00een categoria serviciilor de comunica\u021bii electronice. Defini\u021bia ar trebui s\u0103 exclud\u0103 numai categoria limitat\u0103 de servicii tradi\u021bionale de telefonie analogic\u0103 care pot fi calificate drept servicii ale re\u021belei publice comutate de telefonie (PSTN), servicii care utilizeaz\u0103 linii terestre, servicii de telefonie istorice (POTS) sau servicii de linii telefonice fixe.
(36)
\u00cen pofida acoperirii largi prev\u0103zute de prezentul regulament, aplicarea normelor privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 ar trebui s\u0103 \u021bin\u0103 seama de diferen\u021bele semnificative dintre entit\u0103\u021bile financiare din punctul de vedere al dimensiunii lor \u0219i al profilului general de risc. Ca principiu general, atunci c\u00e2nd se distribuie resurse \u0219i capacit\u0103\u021bi c\u0103tre punerea \u00een aplicare a cadrului de gestionare a riscurilor TIC, entit\u0103\u021bile financiare ar trebui s\u0103 asigure un echilibru corespunz\u0103tor \u00eentre nevoile lor \u00een materie de TIC \u0219i dimensiunea \u0219i profilul lor general de risc, precum \u0219i natura, amploarea \u0219i complexitatea serviciilor, activit\u0103\u021bilor \u0219i opera\u021biunilor lor, \u00een timp ce autorit\u0103\u021bile competente ar trebui s\u0103 continue s\u0103 evalueze \u0219i s\u0103 revizuiasc\u0103 abordarea acestei distribuiri.
(37)
Prestatorii de servicii de informare cu privire la conturi, men\u021biona\u021bi la articolul 33 alineatul (1) din Directiva (UE) 2015\/2366, sunt inclu\u0219i \u00een mod explicit \u00een domeniul de aplicare al prezentului regulament, \u021bin\u00e2nd seama de natura specific\u0103 a activit\u0103\u021bilor lor \u0219i de riscurile care decurg din acestea. \u00cen plus, institu\u021biile emitente de moned\u0103 electronic\u0103 \u0219i institu\u021biile de plat\u0103 care sunt exceptate \u00een temeiul articolului 9 alineatul (1) din Directiva 2009\/110\/CE a Parlamentului European \u0219i a Consiliului(14)\u0219i al articolului 32 alineatul (1) din Directiva (UE) 2015\/2366 sunt incluse \u00een domeniul de aplicare al prezentului regulament chiar dac\u0103 nu au fost autorizate, \u00een conformitate cu Directiva 2009\/110\/CE, s\u0103 emit\u0103 moned\u0103 electronic\u0103 sau dac\u0103 nu au fost autorizate, \u00een conformitate cu Directiva (UE) 2015\/2366, s\u0103 furnizeze \u0219i s\u0103 presteze servicii de plat\u0103. Cu toate acestea, oficiile po\u0219tale care efectueaz\u0103 opera\u021biuni de virament, men\u021bionate la articolul 2 alineatul (5) punctul 3 din Directiva 2013\/36\/UE a Parlamentului European \u0219i a Consiliului(15), sunt excluse din domeniul de aplicare al prezentului regulament. Autoritatea competent\u0103 pentru institu\u021biile de plat\u0103 exceptate \u00een temeiul Directivei (UE) 2015\/2366, institu\u021biile emitente de moned\u0103 electronic\u0103 exceptate \u00een temeiul Directivei 2009\/110\/CE \u0219i prestatorii de servicii de informare cu privire la conturi men\u021biona\u021bi la articolul 33 alineatul (1) din Directiva (UE) 2015\/2366 ar trebui s\u0103 fie autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 22 din Directiva (UE) 2015\/2366.
(38)
\u00centruc\u00e2t entit\u0103\u021bile financiare mai mari s-ar putea bucura de resurse mai ample \u0219i pot mobiliza rapid fonduri pentru a dezvolta structuri de guvernan\u021b\u0103 \u0219i a institui diverse strategii corporative, numai entit\u0103\u021bile financiare care nu sunt micro\u00eentreprinderi \u00een sensul prezentului regulament ar trebui s\u0103 aib\u0103 obliga\u021bia de a institui mecanisme de guvernan\u021b\u0103 mai complexe. Astfel de entit\u0103\u021bi sunt mai bine echipate, \u00een special, pentru a institui func\u021bii de gestionare dedicate supravegherii acordurilor cu furnizorii ter\u021bi de servicii TIC sau gestion\u0103rii crizelor, pentru a-\u0219i organiza gestionarea riscurilor TIC \u00een conformitate cu modelul celor trei linii de ap\u0103rare sau pentru a institui un model intern de gestionare \u0219i control al riscurilor \u0219i pentru a supune cadrul lor de gestionare a riscurilor TIC auditurilor interne.
(39)
Unele entit\u0103\u021bi financiare beneficiaz\u0103 de derog\u0103ri sau fac obiectul unui cadru de reglementare foarte pu\u021bin strict \u00een temeiul legisla\u021biei sectoriale relevante a Uniunii. Printre aceste entit\u0103\u021bi financiare se num\u0103r\u0103 administratorii de fonduri de investi\u021bii alternative men\u021biona\u021bi la articolul 3 alineatul (2) din Directiva 2011\/61\/UE a Parlamentului European \u0219i a Consiliului(16), \u00eentreprinderile de asigurare \u0219i de reasigurare men\u021bionate la articolul 4 din Directiva 2009\/138\/CE a Parlamentului European \u0219i a Consiliului(17)\u0219i institu\u021biile pentru furnizarea de pensii ocupa\u021bionale
(14)Directiva 2009\/110\/CE a Parlamentului European \u0219i a Consiliului din 16 septembrie 2009 privind accesul la activitate, desf\u0103\u0219urarea \u0219i supravegherea pruden\u021bial\u0103 a activit\u0103\u021bii institu\u021biilor emitente de moned\u0103 electronic\u0103, de modificare a Directivelor 2005\/60\/CE \u0219i 2006\/48\/CE \u0219i de abrogare a Directivei 2000\/46\/CE (JO L 267, 10.10.2009, p. 7).
(15)Directiva 2013\/36\/UE a Parlamentului European \u0219i a Consiliului din 26 iunie 2013 cu privire la accesul la activitatea institu\u021biilor de credit \u0219i supravegherea pruden\u021bial\u0103 a institu\u021biilor de credit, de modificare a Directivei 2002\/87\/CE \u0219i de abrogare a Directivelor 2006\/48\/CE \u0219i 2006\/49\/CE (JO L 176, 27.6.2013, p. 338).
(16)Directiva 2011\/61\/UE a Parlamentului European \u0219i a Consiliului din 8 iunie 2011 privind administratorii fondurilor de investi\u021bii alternative \u0219i de modificare a Directivelor 2003\/41\/CE \u0219i 2009\/65\/CE \u0219i a Regulamentelor (CE) nr. 1060\/2009 \u0219i (UE) nr. 1095\/2010 (JO L 174, 1.7.2011, p. 1).
(17)Directiva 2009\/138\/CE a Parlamentului European \u0219i a Consiliului din 25 noiembrie 2009 privind accesul la activitate \u0219i desf\u0103\u0219urarea activit\u0103\u021bii de asigurare \u0219i de reasigurare (Solvabilitate II), (JO L 335, 17.12.2009, p. 1).
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/9
care gestioneaz\u0103 sisteme de pensii care \u00eempreun\u0103 nu au mai mult de 15 membri \u00een total. Av\u00e2nd \u00een vedere aceste derog\u0103ri, includerea unor astfel de entit\u0103\u021bi financiare \u00een domeniul de aplicare al prezentului regulament ar fi dispropor\u021bionat\u0103. \u00cen plus, prezentul regulament recunoa\u0219te particularit\u0103\u021bile structurii pie\u021bei de intermediere de asigur\u0103ri, astfel \u00eenc\u00e2t intermediarii de asigur\u0103ri, intermediarii de reasigur\u0103ri \u0219i intermediarii de asigur\u0103ri auxiliare care pot fi califica\u021bi drept micro\u00eentreprinderi sau drept \u00eentreprinderi mici sau mijlocii nu ar trebui s\u0103 fac\u0103 obiectul prezentului regulament.
(40)
\u00centruc\u00e2t entit\u0103\u021bile men\u021bionate la articolul 2 alineatul (5) punctele 4-23 din Directiva 2013\/36\/UE sunt excluse din domeniul de aplicare al directivei respective, statele membre ar trebui, prin urmare, s\u0103 poat\u0103 alege s\u0103 excepteze de la aplicarea prezentului regulament astfel de entit\u0103\u021bi situate pe teritoriile lor respective.
(41)
\u00cen mod similar, pentru a alinia prezentul regulament la domeniul de aplicare al Directivei 2014\/65\/UE a Parlamentului European \u0219i a Consiliului(18), este, de asemenea, oportun s\u0103 se exclud\u0103 din domeniul de aplicare al prezentului regulament persoanele fizice \u0219i juridice men\u021bionate la articolele 2 \u0219i 3 din directiva respectiv\u0103 care sunt autorizate s\u0103 presteze servicii de investi\u021bii f\u0103r\u0103 a trebui s\u0103 ob\u021bin\u0103 o autoriza\u021bie \u00een temeiul Directivei 2014\/65\/UE. Cu toate acestea, articolul 2 din Directiva 2014\/65\/UE exclude, de asemenea, din domeniul de aplicare al directivei respective entit\u0103\u021bi care pot fi calificate drept entit\u0103\u021bi financiare \u00een sensul prezentului regulament, cum ar fi depozitarii centrali de titluri de valoare, organismele de plasament colectiv sau \u00eentreprinderile de asigurare \u0219i de reasigurare. Excluderea din domeniul de aplicare al prezentului regulament a persoanelor \u0219i entit\u0103\u021bilor men\u021bionate la articolele 2 \u0219i 3 din directiva respectiv\u0103 nu ar trebui s\u0103 includ\u0103 depozitarii centrali de titluri de valoare, organismele de plasament colectiv sau \u00eentreprinderile de asigurare \u0219i de reasigurare.
(42)
\u00cen temeiul legisla\u021biei sectoriale a Uniunii, unele entit\u0103\u021bi financiare fac obiectul unor cerin\u021be sau except\u0103ri mai pu\u021bin stricte din motive legate de dimensiunea lor sau de serviciile pe care le furnizeaz\u0103. Categoria respectiv\u0103 de entit\u0103\u021bi financiare include firmele de investi\u021bii mici \u0219i neinterconectate, institu\u021biile mici pentru furnizarea de pensii ocupa\u021bionale care pot fi excluse din domeniul de aplicare al Directivei (UE) 2016\/2341 \u00een condi\u021biile prev\u0103zute la articolul 5 din directiva respectiv\u0103 de c\u0103tre statul membru \u00een cauz\u0103 \u0219i care gestioneaz\u0103 sisteme de pensii care \u00eempreun\u0103 nu au mai mult de 100 de membri \u00een total, precum \u0219i institu\u021biile exceptate \u00een temeiul Directivei 2013\/36\/UE. Prin urmare, \u00een conformitate cu principiul propor\u021bionalit\u0103\u021bii \u0219i pentru a p\u0103stra spiritul legisla\u021biei sectoriale a Uniunii, este, de asemenea, oportun ca aceste entit\u0103\u021bi financiare s\u0103 fac\u0103 obiectul unui cadru simplificat de gestionare a riscurilor TIC \u00een temeiul prezentului regulament. Caracterul propor\u021bional al cadrului de gestionare a riscurilor TIC care acoper\u0103 aceste entit\u0103\u021bi financiare nu ar trebui s\u0103 fie modificat de standardele tehnice de reglementare care urmeaz\u0103 s\u0103 fie elaborate de AES. \u00cen plus, \u00een conformitate cu principiul propor\u021bionalit\u0103\u021bii, este oportun, de asemenea, ca institu\u021biile de plat\u0103 men\u021bionate la articolul 32 alineatul (1) din Directiva (UE) 2015\/2366 \u0219i institu\u021biile emitente de moned\u0103 electronic\u0103 men\u021bionate la articolul 9 din Directiva 2009\/110\/CE care sunt exceptate \u00een conformitate cu dreptul intern de transpunere a respectivelor acte juridice ale Uniunii s\u0103 fac\u0103 obiectul unui cadru simplificat de gestionare a riscurilor TIC \u00een temeiul prezentului regulament, \u00een timp ce institu\u021biile de plat\u0103 \u0219i institu\u021biile emitente de moned\u0103 electronic\u0103 care nu au fost exceptate \u00een conformitate cu dreptul intern de transpunere a legisla\u021biei sectoriale a Uniunii ar trebui s\u0103 respecte cadrul general stabilit de prezentul regulament.
(43)
\u00cen mod similar, entit\u0103\u021bile financiare care pot fi calificate drept micro\u00eentreprinderi sau care fac obiectul cadrului simplificat de gestionare a riscurilor TIC \u00een temeiul prezentului regulament nu ar trebui s\u0103 fie obligate s\u0103 stabileasc\u0103 un rol de monitorizare a acordurilor \u00eencheiate cu furnizori ter\u021bi de servicii TIC cu privire la utilizarea serviciilor TIC; sau s\u0103 desemneze un membru al conducerii de nivel superior drept responsabil de supravegherea expunerii la risc aferente \u0219i a documenta\u021biei relevante; s\u0103 atribuie unei func\u021bii de control responsabilitatea pentru gestionarea \u0219i supravegherea riscurilor TIC \u0219i s\u0103 asigure un nivel adecvat de independen\u021b\u0103 acestei func\u021bii de control pentru a evita conflictele de interese; s\u0103 documenteze \u0219i s\u0103 revizuiasc\u0103 cel pu\u021bin o dat\u0103 pe an cadrul de gestionare a riscurilor TIC; s\u0103 asigure realizarea unui audit intern periodic cu privire la cadrul de gestionare a riscurilor TIC; s\u0103 efectueze evalu\u0103ri aprofundate \u00een urma unor schimb\u0103ri majore \u00een infrastructurile \u0219i procesele lor de re\u021bea \u0219i ale sistemului informatic; s\u0103 efectueze \u00een mod regulat analize de risc privind sistemele TIC mo\u0219tenite; s\u0103 supun\u0103 punerea \u00een aplicare a planurilor de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC unor audituri interne independente; s\u0103 aib\u0103 o func\u021bie de gestionare a crizelor, s\u0103 extind\u0103 testarea planurilor privind continuarea activit\u0103\u021bii \u0219i a planurilor de r\u0103spuns \u0219i de recuperare pentru a integra \u00een aceasta scenariile de transfer \u00eentre infrastructura TIC primar\u0103 \u0219i instala\u021biile redundante; s\u0103 raporteze autorit\u0103\u021bilor competente, la cererea acestora, o estimare a costurilor \u0219i
(18)Directiva 2014\/65\/UE a Parlamentului European \u0219i a Consiliului din 15 mai 2014 privind pie\u021bele instrumentelor financiare \u0219i de modificare a Directivei 2002\/92\/CE \u0219i a Directivei 2011\/61\/UE (JO L 173, 12.6.2014, p. 349).
L 333\/10 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
pierderilor anuale agregate cauzate de incidentele majore legate de TIC; s\u0103 men\u021bin\u0103 capacit\u0103\u021bi TIC redundante; s\u0103 comunice autorit\u0103\u021bilor na\u021bionale competente modific\u0103rile puse \u00een aplicare \u00een urma verific\u0103rilor ulterioare incidentelor legate de TIC; s\u0103 monitorizeze \u00een permanen\u021b\u0103 evolu\u021biile tehnologice relevante, s\u0103 instituie un program cuprinz\u0103tor de testare a rezilien\u021bei opera\u021bionale digitale ca parte integrant\u0103 a cadrului de gestionare a riscurilor TIC prev\u0103zut \u00een prezentul regulament sau s\u0103 adopte \u0219i s\u0103 revizuiasc\u0103 periodic o strategie privind riscurile TIC generate de p\u0103r\u021bi ter\u021be. \u00cen plus, micro\u00eentreprinderilor ar trebui s\u0103 li se solicite s\u0103 evalueze necesitatea men\u021binerii unor astfel de capacit\u0103\u021bi TIC redundante numai pe baza profilului lor de risc. Micro\u00eentreprinderile ar trebui s\u0103 beneficieze de un regim mai flexibil \u00een ceea ce prive\u0219te programele de testare a rezilien\u021bei opera\u021bionale digitale. Atunci c\u00e2nd analizeaz\u0103 tipul \u0219i frecven\u021ba testelor care urmeaz\u0103 s\u0103 fie efectuate, acestea ar trebui s\u0103 asigure un echilibru corespunz\u0103tor \u00eentre obiectivul de a men\u021bine un nivel ridicat de rezilien\u021b\u0103 opera\u021bional\u0103 digital\u0103, resursele disponibile \u0219i profilul general de risc al acestora. Micro\u00eentreprinderile \u0219i entit\u0103\u021bile financiare care fac obiectul cadrului simplificat de gestionare a riscurilor TIC \u00een temeiul prezentului regulament ar trebui s\u0103 fie exceptate de la obliga\u021bia de a efectua test\u0103ri avansate ale instrumentelor, sistemelor \u0219i proceselor TIC pe baza testelor de penetrare bazate pe amenin\u021b\u0103ri (TLPT), \u00eentruc\u00e2t numai entit\u0103\u021bile financiare care \u00eendeplinesc criteriile stabilite \u00een prezentul regulament ar trebui s\u0103 fie obligate s\u0103 efectueze astfel de teste. Av\u00e2nd \u00een vedere capacit\u0103\u021bile lor limitate, micro\u00eentreprinderile ar trebui s\u0103 poat\u0103 conveni cu furnizorul ter\u021b de servicii TIC s\u0103 delege drepturile de acces, inspec\u021bie \u0219i audit ale entit\u0103\u021bii financiare unei p\u0103r\u021bi ter\u021be independente, care urmeaz\u0103 s\u0103 fie desemnat\u0103 de furnizorul ter\u021b de servicii TIC, cu condi\u021bia ca entitatea financiar\u0103 s\u0103 poat\u0103 solicita \u00een orice moment toate informa\u021biile \u0219i garan\u021biile relevante cu privire la performan\u021ba furnizorului ter\u021b de servicii TIC de la partea ter\u021b\u0103 independent\u0103 respectiv\u0103.
(44)
\u00centruc\u00e2t numai acele entit\u0103\u021bi financiare care au fost identificate \u00een scopul test\u0103rii avansate a rezilien\u021bei digitale ar trebui s\u0103 aib\u0103 obliga\u021bia de a efectua teste de penetrare bazate pe amenin\u021b\u0103ri, procesele administrative \u0219i costurile financiare implicate de efectuarea unor astfel de teste ar trebui s\u0103 fie suportate de c\u0103tre un procent mic de entit\u0103\u021bi financiare.
(45)
Pentru a asigura alinierea deplin\u0103 \u0219i coeren\u021ba global\u0103 \u00eentre strategiile de afaceri ale entit\u0103\u021bilor financiare, pe de o parte, \u0219i gestionarea riscurilor TIC, pe de alt\u0103 parte, organele de conducere ale entit\u0103\u021bilor financiare ar trebui s\u0103 aib\u0103 obliga\u021bia de a \u00eendeplini un rol activ \u0219i esen\u021bial \u00een orientarea \u0219i adaptarea cadrului de gestionare a riscurilor TIC \u0219i a strategiei globale privind rezilien\u021ba opera\u021bional\u0103 digital\u0103. Abordarea care urmeaz\u0103 s\u0103 fie adoptat\u0103 de organele de conducere nu ar trebui s\u0103 se concentreze numai pe mijloacele de asigurare a rezilien\u021bei sistemelor TIC, ci ar trebui s\u0103 acopere, de asemenea, persoanele \u0219i procesele printr-un set de politici care cultiv\u0103, la fiecare nivel corporativ \u0219i pentru \u00eentregul personal, un sentiment puternic de con\u0219tientizare cu privire la riscurile cibernetice \u0219i un angajament de a respecta o igien\u0103 cibernetic\u0103 strict\u0103 la toate nivelurile. Cea mai important\u0103 responsabilitate a organului de conducere \u00een gestionarea riscurilor TIC ale unei entit\u0103\u021bi financiare ar trebui s\u0103 constea \u00eentr-un principiu general al acestei abord\u0103ri cuprinz\u0103toare, transpus \u00een continuare \u00een implicarea constant\u0103 a organului de conducere \u00een monitorizarea gestion\u0103rii riscurilor TIC.
(46)
\u00cen plus, principiul responsabilit\u0103\u021bii depline \u0219i finale a organului de conducere pentru gestionarea riscurilor TIC ale entit\u0103\u021bii financiare este \u00een str\u00e2ns\u0103 leg\u0103tur\u0103 cu necesitatea de a asigura un nivel de investi\u021bii legate de TIC \u0219i un buget general pentru entitatea financiar\u0103 care i-ar permite acesteia s\u0103 ating\u0103 un nivel ridicat de rezilien\u021b\u0103 opera\u021bional\u0103 digital\u0103.
(47)
Inspirat de bunele practici, de orient\u0103rile, recomand\u0103rile \u0219i abord\u0103rile relevante emise la nivel interna\u021bional, na\u021bional \u0219i sectorial privind gestionarea riscului cibernetic, prezentul regulament promoveaz\u0103 un set de principii care faciliteaz\u0103 structura global\u0103 a gestion\u0103rii riscurilor TIC. Prin urmare, at\u00e2t timp c\u00e2t principalele capacit\u0103\u021bi pe care entit\u0103\u021bile financiare le instituie abordeaz\u0103 diversele func\u021bii \u00een gestionarea riscurilor TIC (identificare, protec\u021bie \u0219i prevenire, detectare, r\u0103spuns \u0219i recuperare, \u00eenv\u0103\u021bare \u0219i evolu\u021bie \u0219i comunicare) stabilite \u00een prezentul regulament, entit\u0103\u021bile financiare ar trebui s\u0103 aib\u0103 \u00een continuare libertatea de a utiliza modele de gestionare a riscurilor TIC diferit formulate sau clasificate.
(48)
Pentru a \u021bine pasul cu un peisaj \u00een evolu\u021bie al amenin\u021b\u0103rilor cibernetice, entit\u0103\u021bile financiare ar trebui s\u0103 men\u021bin\u0103 sisteme TIC actualizate, care s\u0103 fie fiabile \u0219i capabile nu numai de a garanta prelucrarea datelor necesar\u0103 pentru executarea serviciilor lor, ci \u0219i de a asigura o rezilien\u021b\u0103 tehnologic\u0103 suficient\u0103 care s\u0103 le permit\u0103 s\u0103 trateze \u00een mod adecvat nevoile de prelucrare suplimentare cauzate de condi\u021bii de criz\u0103 a pie\u021bei sau de alte situa\u021bii adverse.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/11
(49)
Sunt necesare planuri eficace de continuitate a activit\u0103\u021bii \u0219i recuperare pentru a permite entit\u0103\u021bilor financiare s\u0103 solu\u021bioneze cu promptitudine \u0219i rapiditate incidentele legate de TIC, \u00een special atacurile cibernetice, prin limitarea daunelor \u0219i acord\u00e2nd prioritate relu\u0103rii activit\u0103\u021bilor \u0219i ac\u021biunilor de recuperare \u00een conformitate cu politicile lor privind copiile de rezerv\u0103. Cu toate acestea, o astfel de reluare a activit\u0103\u021bii nu ar trebui \u00een niciun caz s\u0103 pun\u0103 \u00een pericol integritatea \u0219i securitatea re\u021belelor \u0219i a sistemelor informatice sau disponibilitatea, autenticitatea, integritatea sau confiden\u021bialitatea datelor.
(50)
De\u0219i prezentul regulament permite entit\u0103\u021bilor financiare s\u0103-\u0219i stabileasc\u0103 obiectivele cu privire la intervalele de timp \u0219i momentele de la care se pot recupera datele \u00een urma unei \u00eentreruperi \u0219i intervalele maxime de recuperare \u00een urma unei \u00eentreruperi, \u00eentr-un mod flexibil \u0219i, prin urmare, s\u0103 stabileasc\u0103 astfel de obiective \u021bin\u00e2nd seama pe deplin de natura \u0219i de importan\u021ba func\u021biilor relevante \u0219i de orice nevoi func\u021bionale specifice, o evaluare a impactului global poten\u021bial asupra eficien\u021bei pie\u021bei ar trebui s\u0103 fie obligatorie atunci c\u00e2nd entit\u0103\u021bile financiare stabilesc astfel de obiective.
(51)
Propagatorii atacurilor cibernetice tind s\u0103 urm\u0103reasc\u0103 c\u00e2\u0219tiguri financiare direct la surs\u0103, expun\u00e2nd astfel entit\u0103\u021bile financiare la consecin\u021be semnificative. Pentru a preveni pierderea integrit\u0103\u021bii sistemelor TIC sau indisponibilitatea acestora \u0219i, prin urmare, pentru a evita \u00eenc\u0103lcarea securit\u0103\u021bii datelor \u0219i deteriorarea infrastructurii fizice TIC, raportarea incidentelor majore legate de TIC de c\u0103tre entit\u0103\u021bile financiare ar trebui s\u0103 fie \u00eembun\u0103t\u0103\u021bit\u0103 \u0219i ra\u021bionalizat\u0103 \u00een mod semnificativ. Raportarea incidentelor legate de TIC ar trebui armonizat\u0103 prin introducerea unei cerin\u021be pentru toate entit\u0103\u021bile financiare de a raporta direct autorit\u0103\u021bilor lor competente relevante. \u00cen cazul \u00een care o entitate financiar\u0103 face obiectul supravegherii de c\u0103tre mai multe autorit\u0103\u021bi na\u021bionale competente, statele membre ar trebui s\u0103 desemneze o singur\u0103 autoritate competent\u0103 ca destinatar al unei astfel de raport\u0103ri. Institu\u021biile de credit clasificate drept semnificative \u00een conformitate cu articolul 6 alineatul (4) din Regulamentul (UE) nr. 1024\/2013 al Consiliului(19)ar trebui s\u0103 transmit\u0103 aceste raport\u0103ri autorit\u0103\u021bilor na\u021bionale competente, care ar trebui s\u0103 transmit\u0103 ulterior raportul B\u0103ncii Centrale Europene (BCE).
(52)
Raportarea direct\u0103 ar trebui s\u0103 permit\u0103 autorit\u0103\u021bilor de supraveghere financiar\u0103 s\u0103 aib\u0103 acces imediat la informa\u021bii cu privire la incidentele majore legate de TIC. Autorit\u0103\u021bile de supraveghere financiar\u0103 ar trebui, la r\u00e2ndul lor, s\u0103 transmit\u0103 detaliile incidentelor majore legate de TIC autorit\u0103\u021bilor nefinanciare publice [cum ar fi autorit\u0103\u021bile competente \u0219i punctele unice de contact \u00een temeiul Directivei (UE) 2022\/2555, autorit\u0103\u021bile na\u021bionale de protec\u021bie a datelor \u0219i autorit\u0103\u021bile de aplicare a legii \u00een cazul incidentelor majore legate de TIC de natur\u0103 penal\u0103] pentru a spori gradul de con\u0219tientizare a acestor autorit\u0103\u021bi cu privire la astfel de incidente \u0219i, \u00een cazul echipelor CSIRT, pentru a facilita asisten\u021ba prompt\u0103 care poate fi acordat\u0103 entit\u0103\u021bilor financiare, dup\u0103 caz. \u00cen plus, statele membre ar trebui s\u0103 poat\u0103 stabili c\u0103 entit\u0103\u021bile financiare sunt cele care ar trebui s\u0103 furnizeze astfel de informa\u021bii autorit\u0103\u021bilor publice din afara domeniului serviciilor financiare. Respectivele fluxuri de informa\u021bii ar trebui s\u0103 le permit\u0103 entit\u0103\u021bilor financiare s\u0103 beneficieze rapid de orice contribu\u021bie tehnic\u0103 relevant\u0103, de consiliere cu privire la m\u0103surile corective \u0219i de m\u0103surile subsecvente luate de aceste autorit\u0103\u021bi. Informa\u021biile privind incidentele majore legate de TIC ar trebui canalizate reciproc: autorit\u0103\u021bile de supraveghere financiar\u0103 ar trebui s\u0103 ofere entit\u0103\u021bii financiare tot feedbackul sau toate orient\u0103rile necesare, \u00een timp ce AES ar trebui s\u0103 partajeze date anonimizate privind amenin\u021b\u0103rile cibernetice \u0219i vulnerabilit\u0103\u021bile legate de un incident, pentru a contribui la o ap\u0103rare colectiv\u0103 mai ampl\u0103.
(53)
De\u0219i toate entit\u0103\u021bile financiare ar trebui s\u0103 aib\u0103 obliga\u021bia de a efectua raportarea incidentelor, nu se preconizeaz\u0103 c\u0103 aceast\u0103 cerin\u021b\u0103 le va afecta pe toate \u00een aceea\u0219i m\u0103sur\u0103. \u00centr-adev\u0103r, pragurile de semnifica\u021bie relevante, precum \u0219i termenele de raportare ar trebui s\u0103 fie ajustate \u00een mod corespunz\u0103tor, \u00een contextul actelor delegate bazate pe standardele tehnice de reglementare care urmeaz\u0103 s\u0103 fie elaborate de AES, pentru a acoperi numai incidentele majore legate de TIC. \u00cen plus, la stabilirea termenelor pentru obliga\u021biile de raportare ar trebui s\u0103 se \u021bin\u0103 seama de particularit\u0103\u021bile entit\u0103\u021bilor financiare.
(54)
Prezentul regulament ar trebui s\u0103 impun\u0103 institu\u021biilor de credit, institu\u021biilor de plat\u0103, prestatorilor de servicii de informare cu privire la conturi \u0219i institu\u021biilor emitente de moned\u0103 electronic\u0103 s\u0103 raporteze toate incidentele opera\u021bionale sau de securitate legate de pl\u0103\u021bi \u2013 raportate anterior \u00een temeiul Directivei (UE) 2015\/2366 \u2013 indiferent de natura incidentului, legat\u0103 sau nu de TIC.
(19)Regulamentul (UE) nr. 1024\/2013 al Consiliului din 15 octombrie 2013 de conferire a unor atribu\u021bii specifice B\u0103ncii Centrale Europene \u00een ceea ce prive\u0219te politicile legate de supravegherea pruden\u021bial\u0103 a institu\u021biilor de credit (JO L 287, 29.10.2013, p. 63).
L 333\/12 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(55)
AES ar trebui s\u0103 aib\u0103 sarcina de a evalua fezabilitatea \u0219i condi\u021biile unei posibile centraliz\u0103ri a rapoartelor privind incidentele legate de TIC la nivelul Uniunii. O astfel de centralizare ar putea consta \u00eentr-o platform\u0103 unic\u0103 a UE pentru raportarea incidentelor majore legate de TIC, care fie s\u0103 primeasc\u0103 direct rapoartele relevante \u0219i s\u0103 notifice automat autorit\u0103\u021bile na\u021bionale competente, fie doar s\u0103 centralizeze rapoartele relevante transmise de autorit\u0103\u021bile na\u021bionale competente, \u00eendeplinind astfel un rol de coordonare. AES ar trebui s\u0103 aib\u0103 sarcina de a preg\u0103ti, \u00een consultare cu BCE \u0219i ENISA, un raport comun \u00een care s\u0103 analizeze fezabilitatea instituirii unei platforme unice la nivelul UE.
(56)
Pentru a atinge un nivel ridicat de rezilien\u021b\u0103 opera\u021bional\u0103 digital\u0103 \u0219i \u00een conformitate at\u00e2t cu standardele interna\u021bionale relevante (de exemplu, elementele fundamentale ale G7 pentru testele de penetrare bazate pe amenin\u021b\u0103ri), c\u00e2t \u0219i cu cadrele aplicate \u00een Uniune, cum ar fi TIBER-UE, entit\u0103\u021bile financiare ar trebui s\u0103 \u00ee\u0219i testeze periodic sistemele TIC \u0219i personalul care are responsabilit\u0103\u021bi legate de TIC \u00een ceea ce prive\u0219te eficacitatea capacit\u0103\u021bilor lor de prevenire, detectare, r\u0103spuns \u0219i recuperare, pentru a descoperi \u0219i a aborda poten\u021bialele vulnerabilit\u0103\u021bi TIC. Pentru a reflecta diferen\u021bele existente \u00eentre diferitele subsectoare financiare \u0219i \u00een interiorul acestora \u00een ceea ce prive\u0219te nivelul de preg\u0103tire \u00een materie de securitate cibernetic\u0103 al entit\u0103\u021bilor financiare, testarea ar trebui s\u0103 includ\u0103 o gam\u0103 larg\u0103 de instrumente \u0219i ac\u021biuni, de la evaluarea cerin\u021belor de baz\u0103 (de exemplu, evalu\u0103ri \u0219i examin\u0103ri ale vulnerabilit\u0103\u021bilor, analize ale surselor deschise, evalu\u0103ri ale securit\u0103\u021bii re\u021belelor, analize ale lacunelor, verific\u0103ri ale securit\u0103\u021bii fizice, chestionare \u0219i solu\u021bii de analiz\u0103 de tip software, evalu\u0103ri ale codului surs\u0103 unde este posibil, teste bazate pe scenarii, teste de compatibilitate, teste de performan\u021b\u0103 sau teste de la un cap\u0103t la altul) p\u00e2n\u0103 la test\u0103ri mai avansate cu ajutorul TLPT. Astfel de test\u0103ri mai avansate ar trebui s\u0103 fie obligatorii numai pentru entit\u0103\u021bile financiare care sunt suficient de mature din perspectiva TIC pentru a le efectua \u00een mod rezonabil. Prin urmare, testarea rezilien\u021bei opera\u021bionale digitale impus\u0103 prin prezentul regulament ar trebui s\u0103 fie mai riguroas\u0103 pentru entit\u0103\u021bile financiare care \u00eendeplinesc criteriile stabilite \u00een prezentul regulament (de exemplu, institu\u021biile de credit mari, sistemice \u0219i cu o TIC matur\u0103, bursele de valori, depozitarii centrali de titluri de valoare \u0219i contrap\u0103r\u021bile centrale) dec\u00e2t pentru alte entit\u0103\u021bi financiare. \u00cen acela\u0219i timp, testarea rezilien\u021bei opera\u021bionale digitale prin intermediul TLPT ar trebui s\u0103 fie mai relevant\u0103 pentru entit\u0103\u021bile financiare care opereaz\u0103 \u00een subsectoare ale serviciilor financiare esen\u021biale \u0219i care joac\u0103 un rol sistemic (de exemplu, pl\u0103\u021bi, servicii bancare \u0219i compens\u0103ri \u0219i decont\u0103ri) \u0219i mai pu\u021bin relevant\u0103 pentru alte subsectoare (de exemplu, administratorii de active \u0219i agen\u021biile de rating de credit).
(57)
Entit\u0103\u021bile financiare implicate \u00een activit\u0103\u021bi transfrontaliere \u0219i care \u00ee\u0219i exercit\u0103 libertatea de stabilire sau de prestare de servicii \u00een Uniune ar trebui s\u0103 respecte un singur set de cerin\u021be de testare avansat\u0103 (de exemplu, TLPT) \u00een statul membru de origine, care ar trebui s\u0103 includ\u0103 infrastructurile TIC din toate jurisdic\u021biile \u00een care grupul financiar transfrontalier \u00ee\u0219i desf\u0103\u0219oar\u0103 activitatea pe teritoriul Uniunii, permi\u021b\u00e2nd astfel acestor grupuri financiare transfrontaliere s\u0103 suporte costurile de testare legate de TIC \u00eentr-o singur\u0103 jurisdic\u021bie.
(58)
Pentru a fructifica expertiza deja dob\u00e2ndit\u0103 de anumite autorit\u0103\u021bi competente, \u00een special \u00een ceea ce prive\u0219te punerea \u00een aplicare a cadrului TIBER-UE, prezentul regulament ar trebui s\u0103 permit\u0103 statelor membre s\u0103 desemneze o singur\u0103 autoritate public\u0103 responsabil\u0103 \u00een sectorul financiar, la nivel na\u021bional, pentru toate aspectele legate de TLPT, sau autorit\u0103\u021bilor competente s\u0103 delege, \u00een absen\u021ba unei astfel de desemn\u0103ri, exercitarea sarcinilor legate de TLPT unei alte autorit\u0103\u021bi financiare na\u021bionale competente.
(59)
\u00centruc\u00e2t prezentul regulament nu impune entit\u0103\u021bilor financiare s\u0103 acopere toate func\u021biile critice sau importante \u00een cadrul unui singur test de penetrare bazat pe amenin\u021b\u0103ri, entit\u0103\u021bile financiare ar trebui s\u0103 aib\u0103 libertatea de a stabili care func\u021bii critice sau importante \u0219i c\u00e2te astfel de func\u021bii ar trebui incluse \u00een sfera unui astfel de test.
(60)
Testarea grupat\u0103 \u00een sensul prezentului regulament \u2013 care implic\u0103 participarea mai multor entit\u0103\u021bi financiare la un TLPT \u0219i pentru care un furnizor ter\u021b de servicii TIC poate \u00eencheia \u00een mod direct acorduri contractuale cu o entitate extern\u0103 de testare \u2013 ar trebui s\u0103 fie permis\u0103 numai \u00een cazul \u00een care se preconizeaz\u0103 \u00een mod rezonabil c\u0103 vor fi afectate \u00een mod negativ calitatea sau securitatea serviciilor furnizate de furnizorul ter\u021b de servicii TIC clien\u021bilor care sunt entit\u0103\u021bi care nu intr\u0103 \u00een domeniul de aplicare al prezentului regulament, sau confiden\u021bialitatea datelor referitoare la astfel de servicii. Testarea grupat\u0103 ar trebui, de asemenea, s\u0103 fac\u0103 obiectul unor garan\u021bii (conducerea de c\u0103tre o entitate financiar\u0103 desemnat\u0103, calibrarea num\u0103rului de entit\u0103\u021bi financiare participante) pentru a asigura un exerci\u021biu de testare riguros pentru entit\u0103\u021bile financiare implicate care \u00eendeplinesc obiectivele TLPT \u00een temeiul prezentului regulament.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/13
(61)
Pentru a profita de resursele interne disponibile la nivel corporativ, prezentul regulament ar trebui s\u0103 permit\u0103 utilizarea unor entit\u0103\u021bi interne de testare \u00een scopul efectu\u0103rii TLPT, cu condi\u021bia s\u0103 existe aprobarea autorit\u0103\u021bii de supraveghere, s\u0103 nu existe conflicte de interese \u0219i s\u0103 existe o alternare periodic\u0103 \u00eentre utilizarea entit\u0103\u021bilor interne \u0219i a celor externe de testare (la fiecare trei teste), solicit\u00e2nd, \u00een acela\u0219i timp, ca furnizorul de informa\u021bii privind amenin\u021b\u0103rile din TLPT s\u0103 fie \u00eentotdeauna extern entit\u0103\u021bii financiare. Responsabilitatea pentru desf\u0103\u0219urarea TLPT ar trebui s\u0103 revin\u0103 \u00een totalitate entit\u0103\u021bii financiare. Atest\u0103rile furnizate de autorit\u0103\u021bi ar trebui s\u0103 fie exclusiv \u00een scopul recunoa\u0219terii reciproce \u0219i nu ar trebui s\u0103 \u00eempiedice nicio ac\u021biune ulterioar\u0103 necesar\u0103 pentru a aborda riscurile TIC la care este expus\u0103 entitatea financiar\u0103 \u0219i nici nu ar trebui s\u0103 fie considerate drept o validare de c\u0103tre autorit\u0103\u021bile de supraveghere a capacit\u0103\u021bilor unei entit\u0103\u021bi financiare de gestionare \u0219i atenuare a riscurilor TIC.
(62)
Pentru a asigura o monitorizare solid\u0103 a riscurilor TIC generate de p\u0103r\u021bi ter\u021be \u00een sectorul financiar, este necesar s\u0103 se stabileasc\u0103 un set de norme bazate pe principii care s\u0103 ghideze entit\u0103\u021bile financiare atunci c\u00e2nd monitorizeaz\u0103 riscurile care apar \u00een contextul func\u021biilor externalizate c\u0103tre furnizorii ter\u021bi de servicii TIC, \u00een special cu privire la serviciile TIC care sprijin\u0103 func\u021bii critice sau importante, precum \u0219i, la un nivel mai general, \u00een contextul tuturor dependen\u021belor fa\u021b\u0103 de furnizorii ter\u021bi de servicii TIC.
(63)
Pentru a aborda complexitatea diferitelor surse de riscuri TIC, \u021bin\u00e2nd seama, \u00een acela\u0219i timp, de multitudinea \u0219i diversitatea furnizorilor de solu\u021bii tehnologice care permit furnizarea f\u0103r\u0103 probleme a serviciilor financiare, prezentul regulament ar trebui s\u0103 acopere o gam\u0103 larg\u0103 de furnizori ter\u021bi de servicii TIC, inclusiv furnizori de servicii de cloud computing, software, servicii de analiz\u0103 a datelor \u0219i furnizori de servicii de centre de date. \u00cen mod similar, \u00eentruc\u00e2t entit\u0103\u021bile financiare ar trebui s\u0103 identifice \u0219i s\u0103 gestioneze \u00een mod eficace \u0219i coerent toate tipurile de riscuri, inclusiv \u00een contextul serviciilor TIC achizi\u021bionate \u00een cadrul unui grup financiar, ar trebui s\u0103 se clarifice faptul c\u0103 \u00eentreprinderile care fac parte dintr-un grup financiar \u0219i furnizeaz\u0103 servicii TIC \u00een principal societ\u0103\u021bii-mam\u0103 sau filialelor ori sucursalelor societ\u0103\u021bii-mam\u0103 a acestora, precum \u0219i entit\u0103\u021bile financiare care furnizeaz\u0103 servicii TIC altor entit\u0103\u021bi financiare ar trebui, de asemenea, s\u0103 fie considerate furnizori ter\u021bi de servicii TIC \u00een temeiul prezentului regulament. \u00cen cele din urm\u0103, av\u00e2nd \u00een vedere evolu\u021bia pie\u021bei serviciilor de plat\u0103, care devine din ce \u00een ce mai dependent\u0103 de solu\u021bii tehnice complexe \u0219i av\u00e2nd \u00een vedere tipurile emergente de servicii de plat\u0103 \u0219i solu\u021biile legate de pl\u0103\u021bi, participan\u021bii la ecosistemul serviciilor de plat\u0103, la furnizarea de activit\u0103\u021bi de procesare a pl\u0103\u021bilor sau la exploatarea infrastructurilor de plat\u0103 ar trebui, de asemenea, s\u0103 fie considera\u021bi drept furnizori ter\u021bi de servicii TIC \u00een temeiul prezentului regulament, cu excep\u021bia b\u0103ncilor centrale atunci c\u00e2nd opereaz\u0103 sisteme de plat\u0103 sau de decontare a titlurilor de valoare, precum \u0219i a autorit\u0103\u021bilor publice atunci c\u00e2nd furnizeaz\u0103 servicii legate de TIC \u00een contextul \u00eendeplinirii func\u021biilor statului.
(64)
O entitate financiar\u0103 ar trebui s\u0103 r\u0103m\u00e2n\u0103 \u00een orice moment pe deplin responsabil\u0103 de respectarea obliga\u021biilor sale prev\u0103zute \u00een prezentul regulament. Entit\u0103\u021bile financiare ar trebui s\u0103 aplice o abordare propor\u021bional\u0103 \u00een ceea ce prive\u0219te monitorizarea riscurilor care apar la nivelul furnizorilor ter\u021bi de servicii TIC, \u021bin\u00e2nd seama \u00een mod corespunz\u0103tor de natura, amploarea, complexitatea \u0219i importan\u021ba dependen\u021belor lor legate de TIC, de caracterul critic sau de importan\u021ba serviciilor, proceselor sau func\u021biilor care fac obiectul acordurilor contractuale \u0219i, \u00een cele din urm\u0103, \u00een baza unei evalu\u0103ri atente a oric\u0103rui impact poten\u021bial asupra continuit\u0103\u021bii \u0219i calit\u0103\u021bii serviciilor financiare la nivel individual \u0219i la nivel de grup, dup\u0103 caz.
(65)
Desf\u0103\u0219urarea unei astfel de monitoriz\u0103ri ar trebui s\u0103 urmeze o abordare strategic\u0103 a riscurilor TIC generate de p\u0103r\u021bi ter\u021be, formalizat\u0103 prin adoptarea de c\u0103tre organul de conducere al entit\u0103\u021bii financiare a unei strategii dedicate privind riscurile TIC generate de p\u0103r\u021bi ter\u021be, bazate pe o verificare continu\u0103 a tuturor acestor dependen\u021be fa\u021b\u0103 de furnizorii ter\u021bi de servicii TIC. Pentru a spori gradul de con\u0219tientizare \u00een materie de supraveghere cu privire la dependen\u021bele fa\u021b\u0103 de furnizorii ter\u021bi de servicii TIC \u0219i \u00een vederea sprijinirii suplimentare a activit\u0103\u021bii \u00een contextul cadrului de supraveghere instituit prin prezentul regulament, toate entit\u0103\u021bile financiare ar trebui s\u0103 aib\u0103 obliga\u021bia de a men\u021bine un registru de informa\u021bii cu privire la toate acordurile contractuale privind utilizarea serviciilor TIC oferite de furnizori ter\u021bi de servicii TIC. Autorit\u0103\u021bile de supraveghere financiar\u0103 ar trebui s\u0103 fie \u00een m\u0103sur\u0103 s\u0103 solicite registrul complet sau s\u0103 solicite sec\u021biuni specifice din acesta \u0219i, astfel, s\u0103 ob\u021bin\u0103 informa\u021bii esen\u021biale pentru a \u00een\u021belege mai bine dependen\u021bele \u00een materie de TIC ale entit\u0103\u021bilor financiare.
(66)
O analiz\u0103 precontractual\u0103 aprofundat\u0103 ar trebui s\u0103 stea la baza \u00eencheierii formale a acordurilor contractuale, \u00een special prin axarea pe elemente precum caracterul critic sau importan\u021ba serviciilor sprijinite de contractul TIC avut \u00een vedere, aprob\u0103rile necesare din partea autorit\u0103\u021bilor de supraveghere sau alte condi\u021bii, posibilul risc de concentrare implicat, precum \u0219i aplic\u00e2nd toate diligen\u021bele necesare \u00een procesul de selec\u021bie \u0219i evaluare a furnizorilor ter\u021bi de servicii TIC \u0219i prin evaluarea poten\u021bialelor conflicte de interese. \u00cen ceea ce prive\u0219te acordurile contractuale privind func\u021biile critice sau importante, entit\u0103\u021bile financiare ar trebui s\u0103 ia \u00een considerare utilizarea de c\u0103tre furnizorii ter\u021bi de servicii TIC a celor mai recente \u0219i mai \u00eenalte standarde de securitate a informa\u021biilor. \u00cencetarea acordurilor contractuale ar putea fi determinat\u0103 de cel pu\u021bin o serie de circumstan\u021be care indic\u0103 deficien\u021be la nivelul furnizorului ter\u021b de servicii
L 333\/14 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
TIC, \u00een special \u00eenc\u0103lc\u0103ri semnificative ale legisla\u021biei sau ale clauzelor contractuale, circumstan\u021be care indic\u0103 o posibil\u0103 modificare a \u00eendeplinirii func\u021biilor prev\u0103zute \u00een acordurile contractuale, dovezi ale deficien\u021belor furnizorului ter\u021b de servicii TIC \u00een gestionarea global\u0103 a riscurilor TIC sau circumstan\u021be care indic\u0103 incapacitatea autorit\u0103\u021bii competente relevante de a supraveghea \u00een mod eficace entitatea financiar\u0103.
(67)
Pentru a aborda impactul sistemic al riscului de concentrare a serviciilor TIC furnizate de c\u0103tre p\u0103r\u021bi ter\u021be, prezentul regulament promoveaz\u0103 o solu\u021bie echilibrat\u0103 prin adoptarea unei abord\u0103ri flexibile \u0219i progresive cu privire la un astfel de risc de concentrare, deoarece impunerea unor plafoane rigide sau limit\u0103ri stricte ar putea \u00eempiedica desf\u0103\u0219urarea activit\u0103\u021bii comerciale \u0219i ar putea restr\u00e2nge libertatea contractual\u0103. Entit\u0103\u021bile financiare ar trebui s\u0103 evalueze \u00een detaliu acordurile contractuale preconizate pentru a identifica probabilitatea apari\u021biei unui astfel de risc, inclusiv prin intermediul unor analize aprofundate ale acordurilor de subcontractare, \u00een special atunci c\u00e2nd sunt \u00eencheiate cu furnizori ter\u021bi de servicii TIC stabili\u021bi \u00eentr-o \u021bar\u0103 ter\u021b\u0103. \u00cen aceast\u0103 etap\u0103 \u0219i \u00een vederea g\u0103sirii unui echilibru \u00eentre necesitatea de a men\u021bine libertatea contractual\u0103 \u0219i cea de a garanta stabilitatea financiar\u0103, nu se consider\u0103 adecvat s\u0103 se stabileasc\u0103 norme privind plafoane \u0219i limite stricte pentru expunerile la furnizorii ter\u021bi de servicii TIC. \u00cen ceea ce prive\u0219te cadrul de supraveghere, un supraveghetor principal numit \u00een temeiul prezentului regulament ar trebui, \u00een ceea ce prive\u0219te furnizorii ter\u021bi esen\u021biali de servicii TIC, s\u0103 acorde o aten\u021bie deosebit\u0103 \u00een\u021belegerii depline a amplorii interdependen\u021belor \u0219i descoperirii cazurilor specifice \u00een care un grad ridicat de concentrare a furnizorilor ter\u021bi esen\u021biali de servicii TIC din Uniune este susceptibil s\u0103 exercite o presiune asupra stabilit\u0103\u021bii \u0219i integrit\u0103\u021bii sistemului financiar al Uniunii \u0219i s\u0103 men\u021bin\u0103 un dialog cu furnizorii ter\u021bi esen\u021biali de servicii TIC, \u00een cazurile \u00een care acest risc specific este identificat.
(68)
Pentru a evalua \u0219i monitoriza \u00een mod regulat capacitatea unui furnizor ter\u021b de servicii TIC de a furniza servicii \u00een condi\u021bii de siguran\u021b\u0103 unei entit\u0103\u021bi financiare f\u0103r\u0103 efecte negative asupra rezilien\u021bei opera\u021bionale digitale a unei entit\u0103\u021bi financiare, ar trebui armonizate mai multe elemente contractuale esen\u021biale cu furnizorii ter\u021bi de servicii TIC. O astfel de armonizare ar trebui s\u0103 acopere domeniile minime care sunt esen\u021biale pentru a permite o monitorizare complet\u0103 de c\u0103tre entitatea financiar\u0103 a riscurilor care ar putea fi generate de furnizorul ter\u021b de servicii TIC, din perspectiva necesit\u0103\u021bii unei entit\u0103\u021bi financiare de a-\u0219i asigura rezilien\u021ba digital\u0103, deoarece aceasta depinde \u00een mare m\u0103sur\u0103 de stabilitatea, func\u021bionalitatea, disponibilitatea \u0219i securitatea serviciilor TIC primite.
(69)
La renegocierea acordurilor contractuale pentru a urm\u0103ri alinierea la cerin\u021bele prezentului regulament, entit\u0103\u021bile financiare \u0219i furnizorii ter\u021bi de servicii TIC ar trebui s\u0103 se asigure c\u0103 acoper\u0103 principalele dispozi\u021bii contractuale prev\u0103zute \u00een prezentul regulament.
(70)
Defini\u021bia \u201efunc\u021biei critice sau importante\u201d prev\u0103zut\u0103 \u00een prezentul regulament ar trebui s\u0103 includ\u0103 \u201efunc\u021biile critice\u201d astfel cum sunt definite la articolul 2 alineatul (1) punctul 35 din Directiva 2014\/59\/UE a Parlamentului European \u0219i a Consiliului(20). \u00cen consecin\u021b\u0103, func\u021biile considerate critice \u00een temeiul Directivei 2014\/59\/UE sunt incluse \u00een defini\u021bia func\u021biilor critice \u00een sensul prezentului regulament.
(71)
Independent de caracterul critic sau de importan\u021ba func\u021biei sprijinite de serviciile TIC, acordurile contractuale ar trebui, \u00een special, s\u0103 prevad\u0103 specifica\u021bii cu privire la descrierile complete ale func\u021biilor \u0219i serviciilor, a locurilor \u00een care sunt furnizate astfel de func\u021bii \u0219i \u00een care urmeaz\u0103 s\u0103 fie prelucrate datele, precum \u0219i o indicare a descrierilor la nivelul serviciilor. Alte elemente esen\u021biale pentru a permite unei entit\u0103\u021bi financiare s\u0103 monitorizeze riscurile TIC generate de p\u0103r\u021bi ter\u021be sunt: dispozi\u021biile contractuale care specific\u0103 modul \u00een care accesibilitatea, disponibilitatea, integritatea, securitatea \u0219i protec\u021bia datelor cu caracter personal sunt asigurate de furnizorul ter\u021b de servicii TIC, dispozi\u021biile care stabilesc garan\u021biile relevante pentru a permite accesul, recuperarea \u0219i restituirea datelor \u00een caz de insolven\u021b\u0103, rezolu\u021bie sau \u00eentrerupere a opera\u021biunilor comerciale ale furnizorului ter\u021b de servicii TIC, precum \u0219i dispozi\u021biile care impun furnizorului ter\u021b de servicii TIC s\u0103 ofere asisten\u021b\u0103 \u00een cazul unor incidente TIC \u00een leg\u0103tur\u0103 cu serviciile furnizate, f\u0103r\u0103 costuri suplimentare sau la un cost stabilit ex ante; dispozi\u021biile privind obliga\u021bia furnizorului
(20)Directiva 2014\/59\/UE a Parlamentului European \u0219i a Consiliului din 15 mai 2014 de instituire a unui cadru pentru redresarea \u0219i rezolu\u021bia institu\u021biilor de credit \u0219i a firmelor de investi\u021bii \u0219i de modificare a Directivei 82\/891\/CEE a Consiliului \u0219i a Directivelor 2001\/24\/CE, 2002\/47\/CE, 2004\/25\/CE, 2005\/56\/CE, 2007\/36\/CE, 2011\/35\/UE, 2012\/30\/UE \u0219i 2013\/36\/UE \u0219i a Regulamentelor (UE) nr. 1093\/2010 \u0219i (UE) nr. 648\/2012 ale Parlamentului European \u0219i ale Consiliului (JO L 173, 12.6.2014, p. 190).
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/15
ter\u021b de servicii TIC de a coopera pe deplin cu autorit\u0103\u021bile competente \u0219i cu autorit\u0103\u021bile de rezolu\u021bie ale entit\u0103\u021bii financiare \u0219i dispozi\u021biile privind drepturile de \u00eencetare \u0219i perioade minime de preaviz aferente \u00eencet\u0103rii acordurilor contractuale, \u00een conformitate cu a\u0219tept\u0103rile autorit\u0103\u021bilor competente \u0219i ale autorit\u0103\u021bilor de rezolu\u021bie.
(72)
\u00cen plus fa\u021b\u0103 de aceste dispozi\u021bii contractuale \u0219i pentru a se asigura c\u0103 entit\u0103\u021bile financiare p\u0103streaz\u0103 controlul deplin asupra tuturor evolu\u021biilor care au loc la nivelul ter\u021bilor \u0219i care le pot afecta securitatea TIC, contractele pentru furnizarea de servicii TIC care sprijin\u0103 func\u021bii critice sau importante ar trebui, de asemenea, s\u0103 prevad\u0103 urm\u0103toarele: specificarea descrierilor complete la nivelul serviciilor, cu obiective de performan\u021b\u0103 cantitative \u0219i calitative precise, pentru a permite, f\u0103r\u0103 \u00eent\u00e2rzieri nejustificate, luarea de m\u0103suri corective adecvate atunci c\u00e2nd nivelurile convenite ale serviciilor nu sunt atinse; perioadele de preaviz \u0219i obliga\u021biile de raportare relevante ale furnizorului ter\u021b de servicii TIC \u00een cazul unor evolu\u021bii cu un poten\u021bial impact semnificativ asupra capacit\u0103\u021bii furnizorului ter\u021b de servicii TIC de a furniza \u00een mod eficace serviciile TIC respective; o cerin\u021b\u0103 impus\u0103 furnizorului ter\u021b de servicii TIC de a pune \u00een aplicare \u0219i de a testa planuri pentru situa\u021bii neprev\u0103zute \u0219i de a dispune de m\u0103suri, instrumente \u0219i politici de securitate TIC care s\u0103 permit\u0103 furnizarea \u00een condi\u021bii de siguran\u021b\u0103 a serviciilor, precum \u0219i de a participa \u0219i de a coopera pe deplin la TLPT efectuat de entitatea financiar\u0103.
(73)
Contractele pentru furnizarea de servicii TIC care sprijin\u0103 func\u021bii critice sau importante ar trebui s\u0103 con\u021bin\u0103, de asemenea, dispozi\u021bii care s\u0103 permit\u0103 drepturile de acces, de inspec\u021bie \u0219i de audit exercitate de entitatea financiar\u0103 sau de o parte ter\u021b\u0103 desemnat\u0103, precum \u0219i dreptul de a produce copii ca instrumente esen\u021biale pentru monitorizarea continu\u0103 de c\u0103tre entit\u0103\u021bile financiare a performan\u021bei furnizorului ter\u021b de servicii TIC, al\u0103turi de deplina cooperare a furnizorului de servicii \u00een timpul inspec\u021biilor. \u00cen mod similar, autoritatea competent\u0103 a entit\u0103\u021bii financiare ar trebui s\u0103 dispun\u0103 de dreptul, pe baza unor preavize, de a inspecta \u0219i a audita furnizorul ter\u021b de servicii TIC, sub rezerva protec\u021biei informa\u021biilor confiden\u021biale.
(74)
Astfel de acorduri contractuale ar trebui, de asemenea, s\u0103 prevad\u0103 strategii de ie\u0219ire specifice pentru a asigura, \u00een special, perioade de tranzi\u021bie obligatorii \u00een cursul c\u0103rora furnizorii ter\u021bi de servicii TIC ar trebui s\u0103 continue s\u0103 furnizeze serviciile relevante \u00een vederea reducerii riscului de perturb\u0103ri la nivelul entit\u0103\u021bii financiare sau pentru a permite acesteia din urm\u0103 s\u0103 treac\u0103 efectiv la utilizarea altor furnizori ter\u021bi de servicii TIC sau, alternativ, s\u0103 treac\u0103 la utilizarea de solu\u021bii dezvoltate pe plan intern, \u00een concordan\u021b\u0103 cu complexitatea serviciului TIC furnizat. \u00cen plus, entit\u0103\u021bile financiare care intr\u0103 \u00een domeniul de aplicare al Directivei 2014\/59\/UE ar trebui s\u0103 se asigure c\u0103 contractele relevante pentru servicii TIC sunt solide \u0219i pe deplin executorii \u00een cazul rezolu\u021biei respectivelor entit\u0103\u021bi financiare. Prin urmare, \u00een conformitate cu a\u0219tept\u0103rile autorit\u0103\u021bilor de rezolu\u021bie, entit\u0103\u021bile financiare respective ar trebui s\u0103 se asigure c\u0103 contractele relevante pentru serviciile TIC sunt reziliente \u00een ceea ce prive\u0219te rezolu\u021bia. At\u00e2t timp c\u00e2t \u00ee\u0219i \u00eendeplinesc \u00een continuare obliga\u021biile de plat\u0103, entit\u0103\u021bile financiare respective ar trebui s\u0103 se asigure, printre alte cerin\u021be, c\u0103 contractele relevante pentru servicii TIC con\u021bin clauze de ne\u00eencetare, de nesuspendare \u0219i de nemodificare din motive de restructurare sau de rezolu\u021bie.
(75)
\u00cen plus, utilizarea voluntar\u0103 a clauzelor contractuale standard elaborate de autorit\u0103\u021bile publice sau de institu\u021biile Uniunii, \u00een special utilizarea clauzelor contractuale elaborate de Comisie pentru serviciile de cloud computing ar putea oferi un confort suplimentar entit\u0103\u021bilor financiare \u0219i furnizorilor lor ter\u021bi de servicii TIC, prin cre\u0219terea nivelului lor de securitate juridic\u0103 cu privire la utilizarea serviciilor de cloud computing \u00een sectorul financiar, \u00een deplin\u0103 conformitate cu cerin\u021bele \u0219i a\u0219tept\u0103rile prev\u0103zute \u00een dreptul Uniunii privind serviciile financiare. Elaborarea unor clauze contractuale standard se bazeaz\u0103 pe m\u0103surile deja prev\u0103zute \u00een Planul de ac\u021biune privind Fintech din 2018, care a anun\u021bat inten\u021bia Comisiei de a \u00eencuraja \u0219i de a facilita elaborarea unor clauze contractuale standard pentru utilizarea externaliz\u0103rii serviciilor de cloud computing de c\u0103tre entit\u0103\u021bile financiare, pe baza eforturilor depuse de p\u0103r\u021bile interesate transsectoriale \u00een domeniul serviciilor de cloud computing, pe care Comisia le-a facilitat cu ajutorul implic\u0103rii sectorului financiar.
(76)
Cu scopul de a promova convergen\u021ba \u0219i eficien\u021ba \u00een ceea ce prive\u0219te abord\u0103rile \u00een materie de supraveghere a riscurilor TIC generate de p\u0103r\u021bi ter\u021be \u00een sectorul financiar, precum \u0219i de a consolida rezilien\u021ba opera\u021bional\u0103 digital\u0103 a entit\u0103\u021bilor financiare care se bazeaz\u0103 pe furnizori ter\u021bi esen\u021biali de servicii TIC pentru furnizarea serviciilor TIC care sprijin\u0103 furnizarea de servicii financiare, contribuind astfel la men\u021binerea stabilit\u0103\u021bii sistemului financiar al Uniunii \u0219i a integrit\u0103\u021bii pie\u021bei interne a serviciilor financiare, furnizorii ter\u021bi esen\u021biali de servicii TIC ar trebui s\u0103 fac\u0103 obiectul unui cadru de supraveghere al Uniunii. De\u0219i instituirea cadrului de supraveghere este justificat\u0103 de valoarea ad\u0103ugat\u0103 a lu\u0103rii de m\u0103suri la nivelul Uniunii \u0219i de rolul inerent \u0219i particularit\u0103\u021bile utiliz\u0103rii serviciilor TIC \u00een furnizarea de
L 333\/16 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
servicii financiare, ar trebui reamintit, \u00een acela\u0219i timp, c\u0103 aceast\u0103 solu\u021bie pare adecvat\u0103 numai \u00een contextul prezentului regulament, care abordeaz\u0103 \u00een mod specific rezilien\u021ba opera\u021bional\u0103 digital\u0103 \u00een sectorul financiar. Cu toate acestea, un astfel de cadru de supraveghere nu ar trebui considerat un nou model de supraveghere la nivelul Uniunii \u00een domeniul serviciilor \u0219i activit\u0103\u021bilor financiare.
(77)
Cadrul de supraveghere ar trebui s\u0103 se aplice numai furnizorilor ter\u021bi esen\u021biali de servicii TIC. Prin urmare, ar trebui s\u0103 existe un mecanism de desemnare care s\u0103 \u021bin\u0103 seama de dimensiunea \u0219i natura dependen\u021bei sectorului financiar de astfel de furnizori ter\u021bi de servicii TIC. Mecanismul respectiv ar trebui s\u0103 implice un set de criterii cantitative \u0219i calitative pentru a stabili parametrii critici ca baz\u0103 pentru includerea \u00een cadrul de supraveghere. Pentru a asigura acurate\u021bea acestei evalu\u0103ri \u0219i indiferent de structura corporativ\u0103 a furnizorului ter\u021b de servicii TIC, astfel de criterii ar trebui, \u00een cazul unui furnizor ter\u021b de servicii TIC care face parte dintr-un grup mai larg, s\u0103 ia \u00een considerare \u00eentreaga structur\u0103 de grup a furnizorului ter\u021b de servicii TIC. Pe de o parte, furnizorii ter\u021bi esen\u021biali de servicii TIC care nu sunt desemna\u021bi \u00een mod automat \u00een temeiul aplic\u0103rii criteriilor respective ar trebui s\u0103 aib\u0103 posibilitatea de a opta s\u0103 fie parte din cadrul de supraveghere \u00een mod voluntar, pe de alt\u0103 parte, furnizorii ter\u021bi de servicii TIC care fac deja obiectul cadrelor mecanismului de supraveghere care sprijin\u0103 \u00eendeplinirea sarcinilor Sistemului European al B\u0103ncilor Centrale, astfel cum sunt men\u021bionate la articolul 127 alineatul (2) din TFUE, ar trebui s\u0103 fie excepta\u021bi.
(78)
\u00cen mod similar, entit\u0103\u021bile financiare care furnizeaz\u0103 servicii TIC altor entit\u0103\u021bi financiare, de\u0219i apar\u021bin categoriei furnizorilor ter\u021bi de servicii TIC \u00een temeiul prezentului regulament, ar trebui, de asemenea, s\u0103 fie exceptate de la cadrul de supraveghere, deoarece fac deja obiectul mecanismelor de supraveghere instituite prin dreptul relevant al Uniunii privind serviciile financiare. Dup\u0103 caz, autorit\u0103\u021bile competente ar trebui s\u0103 \u021bin\u0103 seama, \u00een contextul activit\u0103\u021bilor lor de supraveghere, de riscurile TIC pe care entit\u0103\u021bile financiare care furnizeaz\u0103 servicii TIC le prezint\u0103 pentru entit\u0103\u021bile financiare. De asemenea, av\u00e2nd \u00een vedere mecanismele existente de monitorizare a riscurilor la nivel de grup, aceea\u0219i derogare ar trebui introdus\u0103 pentru furnizorii ter\u021bi de servicii TIC care furnizeaz\u0103 servicii \u00een principal entit\u0103\u021bilor din propriul grup. Furnizorii ter\u021bi de servicii TIC care furnizeaz\u0103 servicii TIC numai \u00eentr-un stat membru entit\u0103\u021bilor financiare care \u00ee\u0219i desf\u0103\u0219oar\u0103 activitatea numai \u00een statul membru respectiv ar trebui, de asemenea, s\u0103 fie excepta\u021bi de la mecanismul de desemnare din cauza activit\u0103\u021bilor lor limitate \u0219i a lipsei impactului transfrontalier.
(79)
Transformarea digital\u0103 prin care trec serviciile financiare a generat un nivel f\u0103r\u0103 precedent de utilizare a serviciilor TIC \u0219i de dependen\u021b\u0103 de acestea. \u00centruc\u00e2t a devenit imposibil\u0103 furnizarea de servicii financiare f\u0103r\u0103 utilizarea serviciilor de cloud computing, a solu\u021biilor software \u0219i a serviciilor legate de date, ecosistemul financiar al Uniunii a devenit intrinsec codependent de anumite servicii TIC furnizate de furnizorii de servicii TIC. Unii dintre ace\u0219ti furnizori, inovatori \u00een dezvoltarea \u0219i aplicarea tehnologiilor bazate pe TIC, joac\u0103 un rol semnificativ \u00een furnizarea de servicii financiare sau au devenit integra\u021bi \u00een lan\u021bul valoric al serviciilor financiare. Prin urmare, ace\u0219tia au devenit esen\u021biali pentru stabilitatea \u0219i integritatea sistemului financiar al Uniunii. Aceast\u0103 dependen\u021b\u0103 generalizat\u0103 de serviciile oferite de furnizori ter\u021bi esen\u021biali de servicii TIC, combinat\u0103 cu interdependen\u021ba sistemelor informatice ale diferi\u021bilor operatori de pe pia\u021b\u0103, creeaz\u0103 un risc direct \u0219i poten\u021bial grav pentru sistemul de servicii financiare al Uniunii \u0219i pentru continuitatea furniz\u0103rii de servicii financiare \u00een cazul \u00een care furnizorii ter\u021bi esen\u021biali de servicii TIC ar fi afecta\u021bi de perturb\u0103ri opera\u021bionale sau de incidente cibernetice majore. Incidentele cibernetice au o capacitate distinct\u0103 de a se multiplica \u0219i de a se r\u0103sp\u00e2ndi \u00een \u00eentreg sistemul financiar \u00eentr-un ritm considerabil mai rapid dec\u00e2t alte tipuri de riscuri monitorizate \u00een sectorul financiar \u0219i se pot extinde dincolo de sectoare \u0219i dincolo de frontierele geografice. Acestea au poten\u021bialul de a evolua \u00eentr-o criz\u0103 sistemic\u0103, \u00een care \u00eencrederea \u00een sistemul financiar a fost erodat\u0103 din cauza perturb\u0103rii func\u021biilor de sprijinire a economiei reale sau a unor pierderi financiare substan\u021biale, ating\u00e2nd un nivel la care sistemul financiar nu este \u00een m\u0103sur\u0103 s\u0103 reziste sau care necesit\u0103 aplicarea unor m\u0103suri de absorb\u021bie a \u0219ocurilor majore. Pentru a preveni apari\u021bia acestor scenarii \u0219i, astfel, punerea \u00een pericol a stabilit\u0103\u021bii financiare \u0219i a integrit\u0103\u021bii Uniunii, este esen\u021bial s\u0103 se asigure convergen\u021ba practicilor de supraveghere legate de riscurile TIC generate de p\u0103r\u021bi ter\u021be \u00een domeniul financiar, \u00een special prin noi norme care s\u0103 permit\u0103 supravegherea de c\u0103tre Uniune a furnizorilor ter\u021bi esen\u021biali de servicii TIC.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/17
(80)
Cadrul de supraveghere depinde \u00een mare m\u0103sur\u0103 de gradul de colaborare dintre supraveghetorul principal \u0219i furnizorul ter\u021b esen\u021bial de servicii TIC care furnizeaz\u0103 entit\u0103\u021bilor financiare servicii care afecteaz\u0103 furnizarea de servicii financiare. Supravegherea reu\u0219it\u0103 se bazeaz\u0103, printre altele, pe capacitatea supraveghetorului principal de a efectua \u00een mod eficace misiuni de monitorizare \u0219i inspec\u021bii pentru a evalua normele, controalele \u0219i procesele utilizate de furnizorii ter\u021bi esen\u021biali de servicii TIC, precum \u0219i pe capacitatea de a evalua impactul poten\u021bial cumulativ al activit\u0103\u021bilor lor asupra stabilit\u0103\u021bii financiare \u0219i a integrit\u0103\u021bii sistemului financiar. \u00cen acela\u0219i timp, este esen\u021bial ca furnizorii ter\u021bi esen\u021biali de servicii TIC s\u0103 urmeze recomand\u0103rile supraveghetorului principal \u0219i s\u0103 r\u0103spund\u0103 preocup\u0103rilor acestuia. \u00centruc\u00e2t o lips\u0103 de cooperare din partea unui furnizor ter\u021b esen\u021bial de servicii TIC care furnizeaz\u0103 servicii care afecteaz\u0103 furnizarea de servicii financiare, cum ar fi refuzul de a acorda acces la sediul s\u0103u sau de a prezenta informa\u021bii, ar priva, \u00een cele din urm\u0103, supraveghetorul principal de instrumentele sale esen\u021biale de evaluare a riscurilor TIC generate de p\u0103r\u021bi ter\u021be \u0219i ar putea avea un impact negativ asupra stabilit\u0103\u021bii financiare \u0219i a integrit\u0103\u021bii sistemului financiar, este necesar s\u0103 se prevad\u0103, de asemenea, un regim de sanc\u021bionare propor\u021bional.
(81)
\u00cen acest context, necesitatea ca supraveghetorul principal s\u0103 impun\u0103 penalit\u0103\u021bi cu titlu cominatoriu pentru a obliga furnizorii ter\u021bi esen\u021biali de servicii TIC s\u0103 respecte obliga\u021biile \u00een materie de transparen\u021b\u0103 \u0219i de acces prev\u0103zute \u00een prezentul regulament nu ar trebui s\u0103 fie pus\u0103 \u00een pericol de dificult\u0103\u021bile generate de executarea respectivelor penalit\u0103\u021bi \u00een leg\u0103tur\u0103 cu furnizorii ter\u021bi esen\u021biali de servicii TIC stabili\u021bi \u00eentr-o \u021bar\u0103 ter\u021b\u0103. Pentru a asigura caracterul executoriu al unor astfel de penalit\u0103\u021bi \u0219i pentru a permite o punere \u00een aplicare rapid\u0103 a procedurilor care sus\u021bin dreptul la ap\u0103rare al furnizorilor ter\u021bi esen\u021biali de servicii TIC \u00een contextul mecanismului de desemnare \u0219i al emiterii de recomand\u0103ri, respectivii furnizorii ter\u021bi esen\u021biali de servicii TIC care furnizeaz\u0103 entit\u0103\u021bilor financiare servicii care afecteaz\u0103 furnizarea de servicii financiare ar trebui s\u0103 aib\u0103 obliga\u021bia de a men\u021bine o prezen\u021b\u0103 comercial\u0103 adecvat\u0103 \u00een Uniune. Av\u00e2nd \u00een vedere natura supravegherii \u0219i absen\u021ba unor mecanisme comparabile \u00een alte jurisdic\u021bii, nu exist\u0103 mecanisme alternative adecvate care s\u0103 asigure acest obiectiv prin intermediul unei cooper\u0103ri eficace cu autorit\u0103\u021bile de supraveghere financiar\u0103 din \u021b\u0103rile ter\u021be \u00een ceea ce prive\u0219te monitorizarea impactului riscurilor opera\u021bionale digitale prezentate de furnizorii ter\u021bi de servicii TIC cu impact sistemic, care pot fi califica\u021bi drept furnizori ter\u021bi esen\u021biali de servicii TIC stabili\u021bi \u00eentr-o \u021bar\u0103 ter\u021b\u0103. Prin urmare, pentru a continua furnizarea de servicii TIC c\u0103tre entit\u0103\u021bi financiare din Uniune, un furnizor ter\u021b de servicii TIC stabilit \u00eentr-o \u021bar\u0103 ter\u021b\u0103 care a fost desemnat ca fiind esen\u021bial \u00een conformitate cu prezentul regulament ar trebui s\u0103 \u00eentreprind\u0103, \u00een termen de 12 luni de la desemnarea sa, toate m\u0103surile necesare pentru a asigura stabilirea sa \u00een Uniune, prin \u00eenfiin\u021barea unei filiale, astfel cum este definit\u0103 \u00een \u00eentregul acquis al Uniunii, \u0219i anume \u00een Directiva 2013\/34\/UE a Parlamentului European \u0219i a Consiliului(21).
(82)
Cerin\u021ba de a \u00eenfiin\u021ba o filial\u0103 \u00een Uniune nu ar trebui s\u0103 \u00eempiedice furnizorul ter\u021b esen\u021bial de servicii TIC s\u0103 furnizeze servicii TIC \u0219i asisten\u021ba tehnic\u0103 aferent\u0103 de la instala\u021bii \u0219i infrastructuri situate \u00een afara Uniunii. Prezentul regulament nu impune o obliga\u021bie de localizare a datelor, deoarece nu impune stocarea sau prelucrarea datelor \u00een Uniune.
(83)
Furnizorii ter\u021bi esen\u021biali de servicii TIC ar trebui s\u0103 fie \u00een m\u0103sur\u0103 s\u0103 furnizeze servicii TIC oriunde \u00een lume, nu neap\u0103rat sau nu numai de la sedii situate \u00een Uniune. Activit\u0103\u021bile de supraveghere ar trebui s\u0103 se desf\u0103\u0219oare mai \u00eent\u00e2i la sediile situate \u00een Uniune \u0219i prin interac\u021biunea cu entit\u0103\u021bi situate \u00een Uniune, inclusiv cu filialele \u00eenfiin\u021bate de furnizori ter\u021bi esen\u021biali de servicii TIC \u00een temeiul prezentului regulament. Cu toate acestea, astfel de ac\u021biuni \u00een cadrul Uniunii ar putea fi insuficiente pentru a permite supraveghetorului principal s\u0103 \u00ee\u0219i \u00eendeplineasc\u0103 pe deplin \u0219i \u00een mod eficace sarcinile care \u00eei revin \u00een temeiul prezentului regulament. Prin urmare, supraveghetorul principal ar trebui s\u0103 fie, de asemenea, \u00een m\u0103sur\u0103 s\u0103 \u00ee\u0219i exercite competen\u021bele de supraveghere relevante \u00een \u021b\u0103ri ter\u021be. Exercitarea acestor competen\u021be \u00een \u021b\u0103ri ter\u021be ar trebui s\u0103 permit\u0103 supraveghetorului principal s\u0103 examineze instala\u021biile de la care serviciile TIC sau de asisten\u021b\u0103 tehnic\u0103 sunt efectiv furnizate sau gestionate de furnizorul ter\u021b esen\u021bial de servicii TIC \u0219i ar trebui s\u0103 ofere supraveghetorului principal o \u00een\u021belegere cuprinz\u0103toare \u0219i opera\u021bional\u0103 a gestion\u0103rii riscurilor TIC de c\u0103tre furnizorul ter\u021b esen\u021bial de servicii TIC. Posibilitatea ca supraveghetorul principal, \u00een calitate de agen\u021bie a Uniunii, s\u0103 exercite competen\u021be \u00een afara teritoriului Uniunii ar trebui s\u0103 fie \u00eencadrat\u0103 \u00een mod corespunz\u0103tor de condi\u021biile relevante, \u00een special de consim\u021b\u0103m\u00e2ntul furnizorului ter\u021b esen\u021bial de servicii TIC \u00een cauz\u0103. \u00cen mod similar, autorit\u0103\u021bile relevante din \u021bara ter\u021b\u0103 ar trebui s\u0103 fie informate cu privire la exercitarea, pe teritoriul lor, a activit\u0103\u021bilor supraveghetorului principal \u0219i nu ar trebui s\u0103 aib\u0103 obiec\u021bii la aceasta. Cu toate acestea, pentru a asigura punerea \u00een aplicare eficace \u0219i f\u0103r\u0103 a aduce atingere competen\u021belor respective ale institu\u021biilor Uniunii \u0219i ale statelor membre,
(21)Directiva 2013\/34\/UE a Parlamentului European \u0219i a Consiliului din 26 iunie 2013 privind situa\u021biile financiare anuale, situa\u021biile financiare consolidate \u0219i rapoartele conexe ale anumitor tipuri de \u00eentreprinderi, de modificare a Directivei 2006\/43\/CE a Parlamentului European \u0219i a Consiliului \u0219i de abrogare a Directivelor 78\/660\/CEE \u0219i 83\/349\/CEE ale Consiliului (JO L 182, 29.6.2013, p. 19).
L 333\/18 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
aceste competen\u021be trebuie, de asemenea, s\u0103 fie pe deplin ancorate \u00een \u00eencheierea acordurilor de cooperare administrativ\u0103 cu autorit\u0103\u021bile relevante din \u021bara ter\u021b\u0103 \u00een cauz\u0103. Prin urmare, prezentul regulament ar trebui s\u0103 permit\u0103 AES s\u0103 \u00eencheie acorduri de cooperare administrativ\u0103 cu autorit\u0103\u021bile relevante din \u021b\u0103ri ter\u021be, care nu ar trebui s\u0103 creeze obliga\u021bii juridice \u00een ceea ce prive\u0219te Uniunea \u0219i statele sale membre.
(84)
Pentru a facilita comunicarea cu supraveghetorul principal \u0219i pentru a asigura o reprezentare adecvat\u0103, furnizorii ter\u021bi esen\u021biali de servicii TIC care fac parte dintr-un grup ar trebui s\u0103 desemneze o persoan\u0103 juridic\u0103 drept punct de coordonare.
(85)
Cadrul de supraveghere nu ar trebui s\u0103 aduc\u0103 atingere competen\u021bei statelor membre de a derula propriile misiuni de supraveghere sau monitorizare cu privire la furnizorii ter\u021bi de servicii TIC care nu sunt desemna\u021bi ca fiind esen\u021biali \u00een temeiul prezentului regulament, dar care sunt considera\u021bi importan\u021bi la nivel na\u021bional.
(86)
Pentru a valorifica arhitectura institu\u021bional\u0103 multistratificat\u0103 \u00een domeniul serviciilor financiare, Comitetul comun al AES ar trebui s\u0103 asigure \u00een continuare coordonarea transsectorial\u0103 general\u0103 \u00een ceea ce prive\u0219te toate aspectele legate de riscurile TIC, \u00een conformitate cu sarcinile sale privind securitatea cibernetic\u0103. Acesta ar trebui s\u0103 fie sprijinit de un nou subcomitet (Forumul de supraveghere) care desf\u0103\u0219oar\u0103 activit\u0103\u021bi preg\u0103titoare at\u00e2t pentru deciziile individuale adresate furnizorilor ter\u021bi esen\u021biali de servicii TIC, c\u00e2t \u0219i pentru emiterea de recomand\u0103ri colective, \u00een special cu privire la analiza comparativ\u0103 a programelor de supraveghere pentru furnizorii ter\u021bi esen\u021biali de servicii TIC, precum \u0219i pentru identificarea celor mai bune practici pentru abordarea aspectelor legate de riscul de concentrare a TIC.
(87)
Pentru a se asigura c\u0103 furnizorii ter\u021bi esen\u021biali de servicii TIC sunt supraveghea\u021bi \u00een mod adecvat \u0219i eficace la nivelul Uniunii, prezentul regulament prevede c\u0103 oricare dintre cele trei AES ar putea fi desemnat\u0103 drept supraveghetor principal. Atribuirea individual\u0103 a unui furnizor ter\u021b esen\u021bial de servicii TIC uneia dintre cele trei AES ar trebui s\u0103 rezulte dintr-o evaluare a preponderen\u021bei entit\u0103\u021bilor financiare care \u00ee\u0219i desf\u0103\u0219oar\u0103 activitatea \u00een sectoarele financiare pentru care AES respectiv\u0103 are atribu\u021bii. Aceast\u0103 abordare ar trebui s\u0103 conduc\u0103 la o repartizare echilibrat\u0103 a sarcinilor \u0219i atribu\u021biilor \u00eentre cele trei AES, \u00een contextul exercit\u0103rii func\u021biilor de supraveghere, \u0219i ar trebui s\u0103 utilizeze \u00een mod optim resursele umane \u0219i expertiza tehnic\u0103 disponibile \u00een fiecare dintre cele trei AES.
(88)
Supraveghetorilor principali ar trebui s\u0103 li se acorde competen\u021bele necesare pentru a efectua investiga\u021bii, pentru a desf\u0103\u0219ura inspec\u021bii la fa\u021ba locului \u0219i \u00een afara sediului la sediile \u0219i loca\u021biile furnizorilor ter\u021bi esen\u021biali de servicii TIC \u0219i pentru a ob\u021bine informa\u021bii complete \u0219i actualizate. Aceste competen\u021be ar trebui s\u0103 \u00eei permit\u0103 supraveghetorului principal s\u0103 ob\u021bin\u0103 informa\u021bii concrete cu privire la tipul, dimensiunea \u0219i impactul riscurilor TIC generate de p\u0103r\u021bi ter\u021be pentru entit\u0103\u021bile financiare \u0219i, \u00een cele din urm\u0103, pentru sistemul financiar al Uniunii. \u00cencredin\u021barea rolului principal de supraveghere AES este o condi\u021bie prealabil\u0103 pentru \u00een\u021belegerea \u0219i abordarea dimensiunii sistemice a riscurilor TIC \u00een domeniul financiar. Impactul furnizorilor ter\u021bi esen\u021biali de servicii TIC asupra sectorului serviciilor financiare din Uniune \u0219i poten\u021bialele probleme cauzate de riscul asociat de concentrare a TIC impun adoptarea unei abord\u0103ri colective la nivelul Uniunii. Efectuarea simultan\u0103 a mai multor misiuni de audit \u0219i exercitarea simultan\u0103 a mai multor drepturi de acces, efectuate separat de numeroase autorit\u0103\u021bi competente, cu o coordonare redus\u0103 sau inexistent\u0103 \u00eentre acestea, ar \u00eempiedica supraveghetorii financiari s\u0103 ob\u021bin\u0103 o imagine de ansamblu complet\u0103 \u0219i cuprinz\u0103toare a riscurilor TIC generate de p\u0103r\u021bi ter\u021be \u00een Uniune, cre\u00e2nd \u00een acela\u0219i timp redundan\u021b\u0103, sarcini \u0219i complexitate pentru furnizorii ter\u021bi esen\u021biali de servicii TIC \u00een cazul \u00een care ace\u0219tia ar face obiectul a numeroase cereri de monitorizare \u0219i inspec\u021bie.
(89)
Av\u00e2nd \u00een vedere impactul semnificativ al desemn\u0103rii lor ca fiind esen\u021biali, prezentul regulament ar trebui s\u0103 asigure respectarea drepturilor furnizorilor ter\u021bi esen\u021biali de servicii TIC pe tot parcursul punerii \u00een aplicare a cadrului de supraveghere. \u00cenainte de a fi desemna\u021bi drept esen\u021biali, furnizorii respectivi ar trebui, de exemplu, s\u0103 aib\u0103 dreptul s\u0103 prezinte supraveghetorului principal o declara\u021bie motivat\u0103 care s\u0103 con\u021bin\u0103 orice informa\u021bii relevante \u00een scopul evalu\u0103rii legate de desemnarea lor. \u00centruc\u00e2t supraveghetorul principal ar trebui s\u0103 fie \u00eemputernicit s\u0103 prezinte recomand\u0103ri cu privire la aspecte legate de riscurile TIC \u0219i la m\u0103surile reparatorii adecvate, care includ competen\u021ba de a se opune anumitor acorduri contractuale care afecteaz\u0103 \u00een ultim\u0103 instan\u021b\u0103 stabilitatea entit\u0103\u021bii financiare sau a sistemului financiar; furnizorilor ter\u021bi esen\u021biali de servicii TIC ar trebui, de asemenea, s\u0103 li se ofere posibilitatea de a furniza, \u00eenainte de finalizarea recomand\u0103rilor respective, explica\u021bii cu privire la impactul preconizat al solu\u021biilor avute \u00een vedere \u00een recomand\u0103ri asupra clien\u021bilor care sunt entit\u0103\u021bi care nu intr\u0103 \u00een domeniul de aplicare al
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/19
prezentului regulament \u0219i s\u0103 formuleze solu\u021bii pentru atenuarea riscurilor. Furnizorii ter\u021bi esen\u021biali de servicii TIC care nu sunt de acord cu recomand\u0103rile ar trebui s\u0103 prezinte o explica\u021bie motivat\u0103 a inten\u021biei lor de a nu aproba recomandarea. \u00cen cazul \u00een care nu se prezint\u0103 o astfel de explica\u021bie motivat\u0103 sau explica\u021bia motivat\u0103 este considerat\u0103 insuficient\u0103, supraveghetorul principal ar trebui s\u0103 emit\u0103 un anun\u021b public care s\u0103 descrie succint problema neconformit\u0103\u021bii.
(90)
Autorit\u0103\u021bile competente ar trebui s\u0103 includ\u0103 \u00een mod corespunz\u0103tor sarcina de a verifica respectarea pe fond a recomand\u0103rilor emise de supraveghetorul principal \u00een func\u021biile lor cu privire la supravegherea pruden\u021bial\u0103 a entit\u0103\u021bilor financiare. Autorit\u0103\u021bile competente ar trebui s\u0103 poat\u0103 solicita entit\u0103\u021bilor financiare s\u0103 ia m\u0103suri suplimentare pentru a aborda riscurile identificate \u00een recomand\u0103rile supraveghetorului principal \u0219i ar trebui s\u0103 emit\u0103, \u00een timp util, notific\u0103ri \u00een acest sens. \u00cen cazul \u00een care supraveghetorul principal adreseaz\u0103 recomand\u0103ri furnizorilor ter\u021bi esen\u021biali de servicii TIC care sunt supraveghea\u021bi \u00een temeiul Directivei (UE) 2022\/2555, autorit\u0103\u021bile competente ar trebui s\u0103 poat\u0103 consulta, \u00een mod voluntar \u0219i \u00eenainte de a adopta m\u0103suri suplimentare, autorit\u0103\u021bile competente \u00een temeiul directivei respective pentru a promova o abordare coordonat\u0103 \u00een ceea ce prive\u0219te furnizorii ter\u021bi esen\u021biali de servicii TIC \u00een cauz\u0103.
(91)
Exercitarea supravegherii ar trebui s\u0103 fie ghidat\u0103 de trei principii opera\u021bionale menite s\u0103 asigure: (a) o coordonare str\u00e2ns\u0103 \u00eentre AES \u00een rolurile lor de supraveghetori principali, prin intermediul unei re\u021bele de supraveghere comun\u0103 (RSC), (b) coeren\u021ba cu cadrul instituit prin Directiva (UE) 2022\/2555 (printr-o consultare voluntar\u0103 a organismelor \u00een temeiul directivei respective pentru a evita duplicarea m\u0103surilor care vizeaz\u0103 furnizorii ter\u021bi esen\u021biali de servicii TIC) \u0219i (c) aplicarea diligen\u021bei pentru a reduce la minimum riscul poten\u021bial de perturbare a serviciilor furnizate de furnizorii ter\u021bi esen\u021biali de servicii TIC clien\u021bilor care sunt entit\u0103\u021bi exceptate din domeniul de aplicare al prezentului regulament.
(92)
Cadrul de supraveghere nu ar trebui s\u0103 \u00eenlocuiasc\u0103 sau s\u0103 substituie \u00een niciun fel sau par\u021bial cerin\u021ba ca entit\u0103\u021bile financiare s\u0103 gestioneze ele \u00eensele riscurile generate de utilizarea furnizorilor ter\u021bi de servicii TIC, inclusiv obliga\u021bia acestora de a men\u021bine o monitorizare continu\u0103 a acordurilor contractuale \u00eencheiate cu furnizorii ter\u021bi esen\u021biali de servicii TIC. \u00cen mod similar, cadrul de supraveghere nu ar trebui s\u0103 afecteze responsabilitatea deplin\u0103 a entit\u0103\u021bilor financiare de respectare \u0219i \u00eendeplinire a tuturor obliga\u021biilor legale prev\u0103zute \u00een prezentul regulament \u0219i \u00een dreptul relevant privind serviciile financiare.
(93)
Pentru a evita duplic\u0103rile \u0219i suprapunerile, autorit\u0103\u021bile competente ar trebui s\u0103 se ab\u021bin\u0103 de la a lua \u00een mod individual orice m\u0103suri destinate monitoriz\u0103rii riscurilor implicate de furnizorul ter\u021b esen\u021bial de servicii TIC \u0219i ar trebui, \u00een acest sens, s\u0103 se bazeze pe evaluarea relevant\u0103 a supraveghetorului principal. Orice m\u0103suri ar trebui, \u00een orice caz, s\u0103 fie coordonate \u0219i convenite \u00een prealabil cu supraveghetorul principal \u00een contextul exercit\u0103rii sarcinilor din cadrul de supraveghere.
(94)
Pentru a promova convergen\u021ba la nivel interna\u021bional \u00een ceea ce prive\u0219te utilizarea celor mai bune practici \u00een revizuirea \u0219i monitorizarea gestion\u0103rii riscurilor digitale de c\u0103tre furnizorii ter\u021bi de servicii TIC, AES ar trebui \u00eencurajate s\u0103 \u00eencheie acorduri de cooperare cu autorit\u0103\u021bile relevante de supraveghere \u0219i de reglementare din \u021b\u0103ri ter\u021be.
(95)
Pentru a valorifica competen\u021bele, aptitudinile tehnice \u0219i expertiza specifice ale personalului specializat \u00een riscurile opera\u021bionale \u0219i cele legate de TIC din cadrul autorit\u0103\u021bilor competente, din cadrul celor trei AES \u0219i, \u00een mod voluntar, din cadrul autorit\u0103\u021bilor competente \u00een temeiul Directivei (UE) 2022\/2555, supraveghetorul principal ar trebui s\u0103 se bazeze pe capacit\u0103\u021bile \u0219i cuno\u0219tin\u021bele na\u021bionale de supraveghere \u0219i s\u0103 \u00eenfiin\u021beze echipe specializate de examinare pentru fiecare furnizor ter\u021b esen\u021bial de servicii TIC, reunind echipe multidisciplinare \u00een sprijinul preg\u0103tirii \u0219i execut\u0103rii activit\u0103\u021bilor de supraveghere, inclusiv al investiga\u021biilor \u0219i inspec\u021biilor generale ale furnizorilor ter\u021bi esen\u021biali de servicii TIC, precum \u0219i pentru orice ac\u021biuni ulterioare necesare \u00een acest sens.
(96)
De\u0219i costurile care rezult\u0103 din sarcinile de supraveghere ar urma s\u0103 fie finan\u021bate integral din taxele percepute furnizorilor ter\u021bi esen\u021biali de servicii TIC, este totu\u0219i probabil ca AES s\u0103 suporte, \u00eenainte de \u00eenceperea cadrului de supraveghere, costuri pentru punerea \u00een aplicare a unor sisteme TIC specifice care s\u0103 sprijine supravegherea viitoare, deoarece sistemele TIC specifice ar trebui s\u0103 fie dezvoltate \u0219i implementate \u00een prealabil. Prin urmare, prezentul regulament prevede un model de finan\u021bare hibrid, prin care cadrul de supraveghere ar fi, ca atare, finan\u021bat integral din taxe, \u00een timp ce dezvoltarea sistemelor TIC ale AES ar fi finan\u021bat\u0103 din contribu\u021biile Uniunii \u0219i ale autorit\u0103\u021bilor na\u021bionale competente.
L 333\/20 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(97)
Autorit\u0103\u021bile competente ar trebui s\u0103 dispun\u0103 de toate competen\u021bele de supraveghere, de investigare \u0219i de sanc\u021bionare necesare pentru a asigura exercitarea corespunz\u0103toare a atribu\u021biilor care le revin \u00een temeiul prezentului regulament. Acestea ar trebui, \u00een principiu, s\u0103 publice anun\u021buri privind sanc\u021biunile administrative pe care le impun. \u00centruc\u00e2t entit\u0103\u021bile financiare \u0219i furnizorii ter\u021bi de servicii TIC pot fi stabili\u021bi \u00een state membre diferite \u0219i pot fi supraveghea\u021bi de autorit\u0103\u021bi competente diferite, aplicarea prezentului regulament ar trebui s\u0103 fie facilitat\u0103, pe de o parte, printr-o cooperare str\u00e2ns\u0103 \u00eentre autorit\u0103\u021bile competente relevante, inclusiv BCE \u00een ceea ce prive\u0219te atribu\u021biile specifice care \u00eei sunt conferite prin Regulamentul (UE) nr. 1024\/2013 al Consiliului \u0219i, pe de alt\u0103 parte, prin consultarea cu AES prin intermediul schimbului reciproc de informa\u021bii \u0219i prin furnizarea de asisten\u021b\u0103 \u00een contextul activit\u0103\u021bilor de supraveghere relevante.
(98)
Pentru a cuantifica \u0219i a califica suplimentar criteriile pentru desemnarea furnizorilor ter\u021bi de servicii TIC ca fiind esen\u021biali \u0219i pentru a armoniza taxele de supraveghere, competen\u021ba de a adopta acte \u00een conformitate cu articolul 290 din TFUE ar trebui delegat\u0103 Comisiei pentru a completa prezentul regulament, pentru a preciza mai \u00een detaliu impactul sistemic pe care l-ar putea avea o defec\u021biune sau o \u00eentrerupere opera\u021bional\u0103 a unui furnizor ter\u021b de servicii TIC asupra entit\u0103\u021bilor financiare c\u0103rora le furnizeaz\u0103 servicii TIC, num\u0103rul de institu\u021bii globale de importan\u021b\u0103 sistemic\u0103 (G-SII) sau de alte institu\u021bii de importan\u021b\u0103 sistemic\u0103 (O-SII), care se bazeaz\u0103 pe furnizorul ter\u021b de servicii TIC \u00een cauz\u0103, num\u0103rul furnizorilor ter\u021bi de servicii TIC activi pe o anumit\u0103 pia\u021b\u0103, costurile aferente migr\u0103rii datelor \u0219i sarcinilor TIC c\u0103tre al\u021bi furnizori ter\u021bi de servicii TIC, precum \u0219i cuantumul taxelor de supraveghere \u0219i modul \u00een care acestea trebuie pl\u0103tite. Este deosebit de important ca, \u00een cursul lucr\u0103rilor sale preg\u0103titoare, Comisia s\u0103 organizeze consult\u0103ri adecvate, inclusiv la nivel de exper\u021bi, \u0219i ca respectivele consult\u0103ri s\u0103 se desf\u0103\u0219oare \u00een conformitate cu principiile stabilite \u00een Acordul interinstitu\u021bional din 13 aprilie 2016privind o mai bun\u0103 legiferare(22). \u00cen special, pentru a asigura participarea egal\u0103 la preg\u0103tirea actelor delegate, Parlamentul European \u0219i Consiliul ar trebui s\u0103 primeasc\u0103 toate documentele \u00een acela\u0219i timp cu exper\u021bii din statele membre, iar exper\u021bii acestor institu\u021bii ar trebui s\u0103 aib\u0103 acces sistematic la reuniunile grupurilor de exper\u021bi ale Comisiei \u00eens\u0103rcinate cu preg\u0103tirea actelor delegate.
(99)
Standardele tehnice de reglementare ar trebui s\u0103 asigure armonizarea consecvent\u0103 a cerin\u021belor prev\u0103zute \u00een prezentul regulament. \u00cen rolurile lor de organisme care dispun de o expertiz\u0103 foarte specializat\u0103, AES ar trebui s\u0103 elaboreze proiecte de standarde tehnice de reglementare care nu implic\u0103 op\u021biuni de politic\u0103, pe care s\u0103 le prezinte Comisiei. Ar trebui elaborate standarde tehnice de reglementare \u00een domeniul gestion\u0103rii riscurilor TIC, al raport\u0103rii incidentelor majore legate de TIC, al test\u0103rii, precum \u0219i \u00een ceea ce prive\u0219te cerin\u021bele-cheie pentru o monitorizare riguroas\u0103 a riscurilor TIC generate de p\u0103r\u021bi ter\u021be. Comisia \u0219i AES ar trebui s\u0103 se asigure c\u0103 standardele \u0219i cerin\u021bele respective pot fi aplicate de toate entit\u0103\u021bile financiare \u00eentr-un mod propor\u021bional cu dimensiunea \u0219i profilul lor general de risc, precum \u0219i cu natura, amploarea \u0219i complexitatea serviciilor, activit\u0103\u021bilor \u0219i opera\u021biunilor lor. Comisia ar trebui s\u0103 fie \u00eemputernicit\u0103 s\u0103 adopte aceste standarde tehnice de reglementare prin intermediul unor acte delegate \u00een temeiul articolului 290 din TFUE \u0219i al articolelor 10-14 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
(100)
Pentru a facilita comparabilitatea rapoartelor privind incidentele majore legate de TIC \u0219i incidentele opera\u021bionale sau de securitate majore legate de pl\u0103\u021bi, precum \u0219i pentru a asigura transparen\u021ba cu privire la acordurile contractuale pentru utilizarea serviciilor TIC furnizate de furnizorii ter\u021bi de servicii TIC, AES ar trebui s\u0103 elaboreze proiecte de standarde tehnice de punere \u00een aplicare care s\u0103 stabileasc\u0103 modele, formulare \u0219i proceduri standardizate prin care entit\u0103\u021bile financiare s\u0103 raporteze un incident major legat de TIC \u0219i un incident opera\u021bional sau de securitate major legat de pl\u0103\u021bi, precum \u0219i modele standardizate pentru \u00eenregistrarea informa\u021biilor. Atunci c\u00e2nd elaboreaz\u0103 standardele respective, AES ar trebui s\u0103 ia \u00een considerare dimensiunea \u0219i profilul general de risc al entit\u0103\u021bii financiare, precum \u0219i natura, amploarea \u0219i complexitatea serviciilor, activit\u0103\u021bilor \u0219i opera\u021biunilor sale. Comisia ar trebui s\u0103 fie \u00eemputernicit\u0103 s\u0103 adopte standardele tehnice de punere \u00een aplicare respective prin intermediul unor acte de punere \u00een aplicare, \u00een temeiul articolului 291 din TFUE \u0219i \u00een conformitate cu articolul 15 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
(22)JO L 123, 12.5.2016, p. 1.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/21
(101)
\u00centruc\u00e2t au fost deja specificate cerin\u021be suplimentare prin intermediul actelor delegate \u0219i al actelor de punere \u00een aplicare, pe baza standardelor tehnice de reglementare \u0219i de punere \u00een aplicare din Regulamentele (CE) nr. 1060\/2009(23), (UE) nr. 648\/2012(24), (UE) nr. 600\/2014(25)\u0219i (UE) nr. 909\/2014(26)ale Parlamentului European \u0219i ale Consiliului, este adecvat ca AES s\u0103 fie mandatate, fie individual, fie \u00een comun, prin intermediul Comitetului comun, s\u0103 prezinte Comisiei standarde tehnice de reglementare \u0219i de punere \u00een aplicare pentru adoptarea actelor delegate \u0219i de punere \u00een aplicare care preiau \u0219i actualizeaz\u0103 normele existente privind gestionarea riscurilor TIC.
(102)
\u00centruc\u00e2t prezentul regulament, \u00eempreun\u0103 cu Directiva (UE) 2022\/2556 a Parlamentului European \u0219i a Consiliului(27), implic\u0103 o consolidare a dispozi\u021biilor privind gestionarea riscurilor TIC din mai multe regulamente \u0219i directive din acquis-ul Uniunii privind serviciile financiare, inclusiv Regulamentele (CE) nr. 1060\/2009, (UE) nr. 648\/2012, (UE) nr. 600\/2014 \u0219i (UE) nr. 909\/2014 \u0219i Regulamentul (UE) 2016\/1011 al Parlamentului European \u0219i al Consiliului(28), pentru a se asigura coeren\u021ba deplin\u0103, regulamentele respective ar trebui s\u0103 fie modificate pentru a clarifica faptul c\u0103 dispozi\u021biile aplicabile legate de riscurile TIC sunt prev\u0103zute \u00een prezentul regulament.
(103)
\u00cen consecin\u021b\u0103, domeniul de aplicare al articolelor relevante referitoare la riscul opera\u021bional, pe baza c\u0103rora deleg\u0103rile de competen\u021be prev\u0103zute \u00een Regulamentele (CE) nr. 1060\/2009, (UE) nr. 648\/2012, (UE) nr. 600\/2014, (UE) nr. 909\/2014 \u0219i (UE) 2016\/1011 au prev\u0103zut adoptarea de acte delegate \u0219i de punere \u00een aplicare, ar trebui s\u0103 fie restr\u00e2ns \u00een vederea transfer\u0103rii \u00een prezentul regulament a tuturor dispozi\u021biilor care acoper\u0103 aspectele legate de rezilien\u021ba opera\u021bional\u0103 digital\u0103 care fac parte \u00een prezent din regulamentele respective.
(104)
Riscul cibernetic sistemic poten\u021bial asociat cu utilizarea infrastructurilor TIC care permit operarea sistemelor de plat\u0103 \u0219i furnizarea de activit\u0103\u021bi de prelucrare a pl\u0103\u021bilor ar trebui s\u0103 fie abordat \u00een mod corespunz\u0103tor la nivelul Uniunii prin norme armonizate \u00een materie de rezilien\u021b\u0103 digital\u0103. \u00cen acest scop, Comisia ar trebui s\u0103 evalueze rapid necesitatea revizuirii domeniului de aplicare al prezentului regulament, aliniind \u00een acela\u0219i timp aceast\u0103 revizuire la rezultatul revizuirii cuprinz\u0103toare prev\u0103zute \u00een Directiva (UE) 2015\/2366. Numeroasele atacuri la scar\u0103 larg\u0103 din ultimul deceniu demonstreaz\u0103 m\u0103sura \u00een care sistemele de plat\u0103 au ajuns s\u0103 fie expuse \u00een fa\u021ba amenin\u021b\u0103rile cibernetice. Plasate \u00een centrul lan\u021bului de servicii de plat\u0103 \u0219i prezent\u00e2nd interconexiuni puternice cu sistemul financiar general, sistemele de plat\u0103 \u0219i activit\u0103\u021bile de procesare a pl\u0103\u021bilor au dob\u00e2ndit o importan\u021b\u0103 critic\u0103 pentru func\u021bionarea pie\u021belor financiare ale Uniunii. Atacurile cibernetice asupra unor astfel de sisteme pot provoca perturb\u0103ri opera\u021bionale grave ale activit\u0103\u021bii, cu repercusiuni directe asupra func\u021biilor economice esen\u021biale, cum ar fi facilitarea pl\u0103\u021bilor, \u0219i efecte indirecte asupra proceselor economice conexe. P\u00e2n\u0103 la instituirea la nivelul Uniunii a unui regim armonizat \u0219i a supravegherii operatorilor de sisteme de plat\u0103 \u0219i a entit\u0103\u021bilor de prelucrare, statele membre pot, \u00een vederea aplic\u0103rii unor practici de pia\u021b\u0103 similare, s\u0103 se inspire din cerin\u021bele privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 prev\u0103zute \u00een prezentul regulament, atunci c\u00e2nd aplic\u0103 norme operatorilor de sisteme de plat\u0103 \u0219i entit\u0103\u021bilor de prelucrare supravegheate \u00een jurisdic\u021biile lor.
(23)Regulamentul (CE) nr. 1060\/2009 al Parlamentului European \u0219i al Consiliului din 16 septembrie 2009 privind agen\u021biile de rating de credit (JO L 302, 17.11.2009, p. 1).
(24)Regulamentul (UE) nr. 648\/2012 al Parlamentului European \u0219i al Consiliului din 4 iulie 2012 privind instrumentele financiare derivate extrabursiere, contrap\u0103r\u021bile centrale \u0219i registrele centrale de tranzac\u021bii (JO L 201, 27.7.2012, p. 1).
(25)Regulamentul (UE) nr. 600\/2014 al Parlamentului European \u0219i al Consiliului din 15 mai 2014 privind pie\u021bele instrumentelor financiare \u0219i de modificare a Regulamentului (UE) nr. 648\/2012 (JO L 173, 12.6.2014, p. 84).
(26)Regulamentul (UE) nr. 909\/2014 al Parlamentului European \u0219i al Consiliului din 23 iulie 2014 privind \u00eembun\u0103t\u0103\u021birea decont\u0103rii titlurilor de valoare \u00een Uniunea European\u0103 \u0219i privind depozitarii centrali de titluri de valoare \u0219i de modificare a Directivelor 98\/26\/CE \u0219i 2014\/65\/UE \u0219i a Regulamentului (UE) nr. 236\/2012 (JO L 257, 28.8.2014, p. 1).
(27)Directiva (UE) 2022\/2556 a Parlamentului European \u0219i a Consiliului din 14 decembrie 2022 de modificare a Directivelor 2009\/65\/CE, 2009\/138\/CE, 2011\/61\/UE, 2013\/36\/UE, 2014\/59\/UE, 2014\/65\/UE, (UE) 2015\/2366 \u0219i (UE) 2016\/2341 \u00een ceea ce prive\u0219te rezilien\u021ba opera\u021bional\u0103 digital\u0103 pentru sectorul financiar (a se vedea pagina 153 din prezentul Jurnal Oficial).
(28)Regulamentul (UE) 2016\/1011 al Parlamentului European \u0219i al Consiliului din 8 iunie 2016 privind indicii utiliza\u021bi ca indici de referin\u021b\u0103 \u00een cadrul instrumentelor financiare \u0219i al contractelor financiare sau pentru a m\u0103sura performan\u021bele fondurilor de investi\u021bii \u0219i de modificare a Directivelor 2008\/48\/CE \u0219i 2014\/17\/UE \u0219i a Regulamentului (UE) nr. 596\/2014 (JO L 171, 29.6.2016, p. 1).
L 333\/22 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(105)
\u00centruc\u00e2t obiectivul prezentului regulament, \u0219i anume atingerea unui nivel ridicat de rezilien\u021b\u0103 opera\u021bional\u0103 digital\u0103 pentru entit\u0103\u021bile financiare reglementate, nu poate fi realizat \u00een mod satisf\u0103c\u0103tor de c\u0103tre statele membre deoarece necesit\u0103 armonizarea diferitelor norme din dreptul Uniunii \u0219i din dreptul intern, dar, av\u00e2nd \u00een vedere amploarea \u0219i efectele sale, poate fi realizat mai bine la nivelul Uniunii, aceasta poate adopta m\u0103suri \u00een conformitate cu principiul subsidiarit\u0103\u021bii, astfel cum este prev\u0103zut la articolul 5 din Tratatul privind Uniunea European\u0103. \u00cen conformitate cu principiul propor\u021bionalit\u0103\u021bii, astfel cum este prev\u0103zut la articolul respectiv, prezentul regulament nu dep\u0103\u0219e\u0219te ceea ce este necesar pentru atingerea obiectivului respectiv.
(106)
Autoritatea European\u0103 pentru Protec\u021bia Datelor a fost consultat\u0103 \u00een conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018\/1725 al Parlamentului European \u0219i al Consiliului(29)\u0219i a emis un aviz la 10 mai 2021(30),
ADOPT\u0102 PREZENTUL REGULAMENT:
CAPITOLUL I
Dispozi\u021bii generale
Articolul 1
Obiectul
(1)
Pentru a atinge un nivel comun ridicat de rezilien\u021b\u0103 opera\u021bional\u0103 digital\u0103, prezentul regulament stabile\u0219te cerin\u021be uniforme privind securitatea re\u021belelor \u0219i a sistemelor informatice care sprijin\u0103 procesele opera\u021bionale ale entit\u0103\u021bilor financiare, dup\u0103 cum urmeaz\u0103:
(a)
cerin\u021be aplicabile entit\u0103\u021bilor financiare \u00een leg\u0103tur\u0103 cu:
(i)
gestionarea riscurilor legate de tehnologia informa\u021biei \u0219i comunica\u021biilor (TIC);
(ii)
raportarea incidentelor majore legate de TIC \u0219i notificarea, \u00een mod voluntar, a amenin\u021b\u0103rilor cibernetice semnificative c\u0103tre autorit\u0103\u021bile competente;
(iii)
raportarea de c\u0103tre entit\u0103\u021bile financiare men\u021bionate la articolul 2 alineatul (1) literele (a)-(d) c\u0103tre autorit\u0103\u021bile competente a incidentelor opera\u021bionale sau de securitate majore legate de pl\u0103\u021bi;
(iv)
testarea rezilien\u021bei opera\u021bionale digitale;
(v)
schimbul de informa\u021bii \u0219i de date operative cu privire la amenin\u021b\u0103rile cibernetice \u0219i vulnerabilit\u0103\u021bi;
(vi)
m\u0103suri pentru buna gestionare a riscurilor TIC generate de p\u0103r\u021bi ter\u021be;
(b)
cerin\u021be \u00een leg\u0103tur\u0103 cu acordurile contractuale \u00eencheiate \u00eentre furnizorii ter\u021bi de servicii TIC \u0219i entit\u0103\u021bile financiare;
(c)
reguli privind instituirea \u0219i desf\u0103\u0219urarea cadrului de supraveghere pentru furnizorii ter\u021bi esen\u021biali de servicii TIC, atunci c\u00e2nd furnizeaz\u0103 servicii entit\u0103\u021bilor financiare;
(d)
reguli privind cooperarea \u00eentre autorit\u0103\u021bile competente \u0219i norme privind supravegherea \u0219i asigurarea conformit\u0103\u021bii de c\u0103tre autorit\u0103\u021bile competente \u00een leg\u0103tur\u0103 cu toate aspectele vizate de prezentul regulament.
(2)
\u00cen ceea ce prive\u0219te entit\u0103\u021bile financiare identificate drept entit\u0103\u021bi esen\u021biale sau importante \u00een temeiul normelor na\u021bionale care transpun articolul 3 din Directiva (UE) 2022\/2555, prezentul regulament este considerat un act juridic sectorial al Uniunii \u00een sensul articolului 4 din directiva respectiv\u0103.
(3)
Prezentul regulament nu aduce atingere responsabilit\u0103\u021bii statelor membre \u00een ceea ce prive\u0219te func\u021biile esen\u021biale ale statului cu privire la siguran\u021ba public\u0103, ap\u0103rarea \u0219i securitatea na\u021bional\u0103, \u00een conformitate cu dreptul Uniunii.
(29)Regulamentul (UE) 2018\/1725 al Parlamentului European \u0219i al Consiliului din 23 octombrie 2018 privind protec\u021bia persoanelor fizice \u00een ceea ce prive\u0219te prelucrarea datelor cu caracter personal de c\u0103tre institu\u021biile, organele, oficiile \u0219i agen\u021biile Uniunii \u0219i privind libera circula\u021bie a acestor date \u0219i de abrogare a Regulamentului (CE) nr. 45\/2001 \u0219i a Deciziei nr. 1247\/2002\/CE (JO L 295, 21.11.2018, p. 39).
(30)JO C 229, 15.6.2021, p. 16.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/23
Articolul 2
Domeniul de aplicare
(1)
F\u0103r\u0103 a aduce atingere alineatelor (3) \u0219i (4), prezentul regulament se aplic\u0103 urm\u0103toarelor entit\u0103\u021bi:
(a)
institu\u021biile de credit;
(b)
institu\u021biile de plat\u0103, inclusiv institu\u021biile de plat\u0103 exceptate \u00een temeiul Directivei (UE) 2015\/2366;
(c)
prestatorii de servicii de informare cu privire la conturi;
(d)
institu\u021biile emitente de moned\u0103 electronic\u0103, inclusiv institu\u021biile emitente de moned\u0103 electronic\u0103 exceptate \u00een temeiul Directivei 2009\/110\/CE;
(e)
firmele de investi\u021bii;
(f)
prestatorii de servicii de criptoactive autoriza\u021bi \u00een temeiul unui regulament al Parlamentului European \u0219i al Consiliului privind pie\u021bele criptoactivelor \u0219i de modificare a Regulamentelor (UE) nr. 1093\/2010 \u0219i (UE) nr. 1095\/2010 \u0219i a Directivelor 2013\/36\/UE \u0219i (UE) 2019\/1937 (denumit \u00een continuare \u201eRegulamentul privind pie\u021bele criptoactivelor\u201d) \u0219i emiten\u021bii de tokenuri raportate la active;
(g)
depozitarii centrali de titluri de valoare;
(h)
contrap\u0103r\u021bile centrale;
(i)
locurile de tranzac\u021bionare;
(j)
registrele centrale de tranzac\u021bii;
(k)
administratorii de fonduri de investi\u021bii alternative;
(l)
societ\u0103\u021bile de administrare;
(m)
furnizorii de servicii de raportare a datelor;
(n)
\u00eentreprinderile de asigurare \u0219i de reasigurare;
(o)
intermediarii de asigur\u0103ri, intermediarii de reasigur\u0103ri \u0219i intermediarii de asigur\u0103ri auxiliare;
(p)
institu\u021biile pentru furnizarea de pensii ocupa\u021bionale;
(q)
agen\u021biile de rating de credit;
(r)
administratorii de indici de referin\u021b\u0103 critici;
(s)
furnizorii de servicii de finan\u021bare participativ\u0103;
(t)
registrele centrale de securitiz\u0103ri;
(u)
furnizorii ter\u021bi de servicii TIC.
(2)
\u00cen sensul prezentului regulament, entit\u0103\u021bile men\u021bionate la alineatul (1) literele (a)-(t) sunt denumite colectiv \u201eentit\u0103\u021bi financiare\u201d.
(3)
Prezentul regulament nu se aplic\u0103 urm\u0103toarelor entit\u0103\u021bi:
(a)
administratorii de fonduri de investi\u021bii alternative, astfel cum sunt men\u021biona\u021bi la articolul 3 alineatul (2) din Directiva 2011\/61\/UE;
(b)
\u00eentreprinderile de asigurare \u0219i de reasigurare, astfel cum sunt men\u021bionate la articolul 4 din Directiva 2009\/138\/CE;
(c)
institu\u021biile pentru furnizarea de pensii ocupa\u021bionale care gestioneaz\u0103 sisteme de pensii care \u00eempreun\u0103 nu au mai mult de 15 membri \u00een total;
(d)
persoanele fizice sau juridice exceptate \u00een temeiul articolelor 2 \u0219i 3 din Directiva 2014\/65\/UE;
(e)
intermediarii de asigur\u0103ri, intermediarii de reasigur\u0103ri \u0219i intermediarii de asigur\u0103ri auxiliare care sunt micro\u00eentreprinderi sau \u00eentreprinderi mici sau mijlocii;
(f)
oficiile po\u0219tale care efectueaz\u0103 opera\u021biuni de virament, astfel cum sunt men\u021bionate la articolul 2 alineatul (5) punctul 3 din Directiva 2013\/36\/UE.
L 333\/24 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(4)
Statele membre pot exclude din domeniul de aplicare al prezentului regulament entit\u0103\u021bile men\u021bionate la articolul 2 alineatul (5) punctele 4-23 din Directiva 2013\/36\/UE care sunt situate pe teritoriile lor. \u00cen cazul \u00een care un stat membru face uz de aceast\u0103 op\u021biune, acesta informeaz\u0103 Comisia cu privire la aceasta, precum \u0219i cu privire la orice modificare ulterioar\u0103. Comisia pune aceste informa\u021bii la dispozi\u021bia publicului pe site-ul s\u0103u sau prin alte mijloace u\u0219or accesibile.
Articolul 3
Defini\u021bii
\u00cen sensul prezentului regulament, se aplic\u0103 urm\u0103toarele defini\u021bii:
1.
\u201erezilien\u021b\u0103 opera\u021bional\u0103 digital\u0103\u201d \u00eenseamn\u0103 capacitatea unei entit\u0103\u021bi financiare de a construi, a asigura \u0219i a reevalua integritatea \u0219i fiabilitatea sa opera\u021bional\u0103, prin asigurarea, \u00een mod direct sau indirect, utiliz\u00e2nd servicii oferite de furnizori ter\u021bi de servicii TIC, a \u00eentregii game de capacit\u0103\u021bi legate de TIC care sunt necesare pentru a aborda securitatea re\u021belelor \u0219i a sistemelor informatice utilizate de o entitate financiar\u0103 \u0219i care sprijin\u0103 furnizarea continu\u0103 de servicii financiare \u0219i calitatea acestora, inclusiv pe \u00eentreaga durat\u0103 a perturb\u0103rilor;
2.
\u201ere\u021bea \u0219i sistem informatic\u201d \u00eenseamn\u0103 re\u021bea \u0219i sistem informatic astfel cum sunt definite la articolul 6 punctul 1 din Directiva (UE) 2022\/2555;
3.
\u201esistem TIC mo\u0219tenit\u201d \u00eenseamn\u0103 un sistem TIC ajuns la sf\u00e2r\u0219itul ciclului s\u0103u de via\u021b\u0103 care nu este adecvat pentru a fi modernizat sau reparat, din motive tehnologice sau comerciale, sau pentru care furnizorul s\u0103u ori un furnizor ter\u021b de servicii TIC nu mai ofer\u0103 asisten\u021b\u0103, dar care \u00eenc\u0103 este \u00een uz \u0219i sprijin\u0103 func\u021biile entit\u0103\u021bii financiare;
4.
\u201esecuritatea re\u021belelor \u0219i a sistemelor informatice\u201d \u00eenseamn\u0103 securitatea re\u021belelor \u0219i a sistemelor informatice astfel cum sunt definite la articolul 6 punctul 2 din Directiva (UE) 2022\/2555;
5.
\u201erisc TIC\u201d \u00eenseamn\u0103 orice circumstan\u021b\u0103 care poate fi identificat\u0103 \u00een mod rezonabil \u00een leg\u0103tur\u0103 cu utilizarea re\u021belelor \u0219i a sistemelor informatice care, dac\u0103 se materializeaz\u0103, poate compromite securitatea re\u021belelor \u0219i a sistemelor informatice, a oric\u0103rui instrument sau proces dependent de tehnologie, a opera\u021biilor \u0219i a proceselor sau a furniz\u0103rii serviciilor prin crearea de efecte negative \u00een mediul digital sau fizic;
6.
\u201eactiv informa\u021bional\u201d \u00eenseamn\u0103 o colec\u021bie de informa\u021bii, material\u0103 sau imaterial\u0103, care merit\u0103 protejat\u0103;
7.
\u201eactiv TIC\u201d \u00eenseamn\u0103 un activ software sau hardware din re\u021belele \u0219i sistemele informatice utilizate de entitatea financiar\u0103;
8.
\u201eincident legat de TIC\u201d \u00eenseamn\u0103 un eveniment unic sau o serie de evenimente conexe neplanificate de entitatea financiar\u0103 care compromit securitatea re\u021belelor \u0219i a sistemelor informatice \u0219i care au un impact negativ asupra disponibilit\u0103\u021bii, autenticit\u0103\u021bii, integrit\u0103\u021bii sau confiden\u021bialit\u0103\u021bii datelor sau asupra serviciilor furnizate de entitatea financiar\u0103;
9.
\u201eincident opera\u021bional sau de securitate legat de pl\u0103\u021bi\u201d \u00eenseamn\u0103 un eveniment unic sau o serie de evenimente conexe neplanificate de entit\u0103\u021bile financiare men\u021bionate la articolul 2 alineatul (1) literele (a)-(d), legate sau nu de TIC, care au un impact negativ asupra disponibilit\u0103\u021bii, autenticit\u0103\u021bii, integrit\u0103\u021bii sau confiden\u021bialit\u0103\u021bii datelor legate de pl\u0103\u021bi sau asupra serviciilor legate de pl\u0103\u021bi furnizate de entitatea financiar\u0103;
10.
\u201eincident major legat de TIC\u201d \u00eenseamn\u0103 un incident legat de TIC care are un impact negativ puternic asupra re\u021belelor \u0219i sistemelor informatice care sprijin\u0103 func\u021biile critice sau importante ale entit\u0103\u021bii financiare;
11.
\u201eincident major opera\u021bional sau de securitate legat de pl\u0103\u021bi\u201d \u00eenseamn\u0103 un incident opera\u021bional sau de securitate legat de pl\u0103\u021bi care are un efect negativ puternic asupra serviciilor legate de pl\u0103\u021bi furnizate;
12.
\u201eamenin\u021bare cibernetic\u0103\u201d \u00eenseamn\u0103 amenin\u021bare cibernetic\u0103 astfel cum este definit\u0103 la articolul 2 punctul 8 din Regulamentul (UE) 2019\/881;
13.
\u201eamenin\u021bare cibernetic\u0103 semnificativ\u0103\u201d \u00eenseamn\u0103 o amenin\u021bare cibernetic\u0103 ale c\u0103rei caracteristici tehnice indic\u0103 faptul c\u0103 ar putea avea ca rezultat un incident major legat de TIC sau un incident major opera\u021bional sau de securitate legat de pl\u0103\u021bi;
14.
\u201eatac cibernetic\u201d \u00eenseamn\u0103 un incident r\u0103u-inten\u021bionat legat de TIC, cauzat prin intermediul unei tentative comise de un factor perturbator care genereaz\u0103 amenin\u021b\u0103ri de a distruge, a expune, a modifica, a dezactiva, a fura sau a ob\u021bine acces neautorizat la un activ ori a utiliza \u00een mod neautorizat un activ;
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/25
15.
\u201edate operative privind amenin\u021b\u0103rile\u201d \u00eenseamn\u0103 informa\u021bii care au fost agregate, transformate, analizate, interpretate sau \u00eembog\u0103\u021bite pentru a oferi contextul necesar procesului decizional \u0219i pentru a face posibil\u0103 o \u00een\u021belegere adecvat\u0103 \u0219i suficient\u0103 cu scopul de a atenua impactul unui incident legat de TIC sau al unei amenin\u021b\u0103ri cibernetice, inclusiv detaliile tehnice ale unui atac cibernetic, persoanele responsabile de atac, modul de operare \u0219i motiva\u021biile acestora;
16.
\u201evulnerabilitate\u201d \u00eenseamn\u0103 un punct slab, o sensibilitate sau un defect al unui activ, sistem, proces sau control care poate fi exploatat;
17.
\u201eteste de penetrare bazate pe amenin\u021b\u0103ri (TLPT)\u201d \u00eenseamn\u0103 un cadru care imit\u0103 tacticile, tehnicile \u0219i procedurile utilizate de actorii din via\u021ba real\u0103 care genereaz\u0103 amenin\u021b\u0103ri, percepute ca reprezent\u00e2nd o amenin\u021bare cibernetic\u0103 autentic\u0103, \u0219i care asigur\u0103 o testare controlat\u0103, personalizat\u0103, bazat\u0103 pe date operative (de tipul \u201eechipa ro\u0219ie\u201d) a sistemelor critice de produc\u021bie \u00een timp real ale entit\u0103\u021bii financiare;
18.
\u201erisc TIC generat de p\u0103r\u021bi ter\u021be\u201d \u00eenseamn\u0103 un risc TIC care poate ap\u0103rea pentru o entitate financiar\u0103 \u00een leg\u0103tur\u0103 cu utilizarea, de c\u0103tre aceasta, a serviciilor TIC oferite de furnizori ter\u021bi de servicii TIC sau de subcontractan\u021bi ai acestora din urm\u0103, inclusiv prin acorduri de externalizare;
19.
\u201efurnizor ter\u021b de servicii TIC\u201d \u00eenseamn\u0103 o \u00eentreprindere care furnizeaz\u0103 servicii TIC;
20.
\u201efurnizor de servicii TIC intragrup\u201d \u00eenseamn\u0103 o \u00eentreprindere care face parte dintr-un grup financiar \u0219i care ofer\u0103 servicii predominant TIC exclusiv entit\u0103\u021bilor financiare din acela\u0219i grup ori entit\u0103\u021bilor financiare care \u021bin de acela\u0219i sistem institu\u021bional de protec\u021bie, inclusiv societ\u0103\u021bilor-mam\u0103 ale acestora, filialelor \u0219i sucursalelor sau altor entit\u0103\u021bi care sunt \u00een proprietate comun\u0103 ori sub control comun;
21.
\u201eservicii TIC\u201d \u00eenseamn\u0103 servicii digitale \u0219i de date furnizate prin intermediul sistemelor TIC c\u0103tre unul sau mai mul\u021bi utilizatori interni sau externi \u00een mod continuu, inclusiv hardware ca serviciu \u0219i servicii hardware, care includ furnizarea de asisten\u021b\u0103 tehnic\u0103 prin actualiz\u0103ri de software sau firmware din partea furnizorului de hardware, cu excep\u021bia serviciilor de telefonie analogic\u0103 tradi\u021bionale;
22.
\u201efunc\u021bie critic\u0103 sau important\u0103\u201d \u00eenseamn\u0103 o func\u021bie a c\u0103rei \u00eentrerupere ar afecta \u00een mod semnificativ performan\u021ba financiar\u0103 a unei entit\u0103\u021bi financiare sau soliditatea ori continuitatea serviciilor \u0219i activit\u0103\u021bilor sale sau a c\u0103rei \u00eentrerupere, deficien\u021b\u0103 sau e\u0219uare \u00een executare ar afecta \u00een mod semnificativ respectarea \u00een continuare, de c\u0103tre o entitate financiar\u0103, a condi\u021biilor \u0219i obliga\u021biilor aferente autoriza\u021biei sale sau a altor obliga\u021bii care \u00eei revin \u00een temeiul dreptului aplicabil \u00een domeniul serviciilor financiare;
23.
\u201efurnizor ter\u021b esen\u021bial de servicii TIC\u201d \u00eenseamn\u0103 un furnizor ter\u021b de servicii TIC desemnat drept esen\u021bial \u00een conformitate cu articolul 31;
24.
\u201efurnizor ter\u021b de servicii TIC stabilit \u00eentr-o \u021bar\u0103 ter\u021b\u0103\u201d \u00eenseamn\u0103 un furnizor ter\u021b de servicii TIC care este o persoan\u0103 juridic\u0103 stabilit\u0103 \u00eentr-o \u021bar\u0103 ter\u021b\u0103 \u0219i care a \u00eencheiat un acord contractual cu o entitate financiar\u0103 pentru furnizarea de servicii TIC;
25.
\u201efilial\u0103\u201d \u00eenseamn\u0103 o filial\u0103 \u00een sensul articolului 2 punctul 10 \u0219i al articolului 22 din Directiva 2013\/34\/UE;
26.
\u201egrup\u201d \u00eenseamn\u0103 un grup \u00een sensul articolului 2 punctul 11 din Directiva 2013\/34\/UE;
27.
\u201esocietate-mam\u0103\u201d \u00eenseamn\u0103 o societate-mam\u0103 \u00een sensul articolului 2 punctul 9 \u0219i al articolului 22 din Directiva 2013\/34\/UE;
28.
\u201esubcontractant TIC stabilit \u00eentr-o \u021bar\u0103 ter\u021b\u0103\u201d \u00eenseamn\u0103 un subcontractant TIC care este o persoan\u0103 juridic\u0103 stabilit\u0103 \u00eentr-o \u021bar\u0103 ter\u021b\u0103 \u0219i care a \u00eencheiat un acord contractual fie cu un furnizor ter\u021b de servicii TIC, fie cu un furnizor ter\u021b de servicii TIC stabilit \u00eentr-o \u021bar\u0103 ter\u021b\u0103;
29.
\u201erisc de concentrare a serviciilor TIC\u201d \u00eenseamn\u0103 o expunere la furnizori ter\u021bi esen\u021biali de servicii TIC individuali sau multipli rela\u021biona\u021bi, care creeaz\u0103 un grad de dependen\u021b\u0103 fa\u021b\u0103 de astfel de furnizori, astfel \u00eenc\u00e2t indisponibilitatea, intrarea \u00een dificultate sau alt tip de deficien\u021b\u0103 a acestor furnizori poate pune \u00een pericol capacitatea unei entit\u0103\u021bi financiare de a oferi func\u021bii critice sau importante ori ar putea genera alte tipuri de efecte negative pentru aceasta, inclusiv pierderi mari sau poate pune \u00een pericol stabilitatea financiar\u0103 a Uniunii \u00een ansamblu;
L 333\/26 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
30.
\u201eorgan de conducere\u201d \u00eenseamn\u0103 un organ de conducere astfel cum este definit la articolul 4 alineatul (1) punctul 36 din Directiva 2014\/65\/UE, la articolul 3 alineatul (1) punctul 7 din Directiva 2013\/36\/UE, la articolul 2 alineatul (1) litera (s) din Directiva 2009\/65\/CE a Parlamentului European \u0219i al Consiliului(31), la articolul 2 alineatul (1) punctul 45 din Regulamentul (UE) nr. 909\/2014, la articolul 3 alineatul (1) punctul 20 din Regulamentul (UE) 2016\/1011 \u0219i \u00een dispozi\u021biile relevante din Regulamentul privind pie\u021bele criptoactivelor, sau persoanele echivalente care conduc efectiv entitatea sau de\u021bin func\u021bii-cheie \u00een conformitate cu dreptul Uniunii sau cu dreptul intern relevant;
31.
\u201einstitu\u021bie de credit\u201d \u00eenseamn\u0103 o institu\u021bie de credit astfel cum este definit\u0103 la articolul 4 alineatul (1) punctul 1 din Regulamentul (UE) nr. 575\/2013 al Parlamentului European \u0219i al Consiliului(32);
32.
\u201einstitu\u021bie de credit exceptat\u0103 \u00een temeiul Directivei 2013\/36\/UE\u201d \u00eenseamn\u0103 o entitate astfel cum este men\u021bionat\u0103 la articolul 2 alineatul (5) punctele 4-23 din Directiva 2013\/36\/UE;
33.
\u201efirm\u0103 de investi\u021bii\u201d \u00eenseamn\u0103 o firm\u0103 de investi\u021bii astfel cum este definit\u0103 la articolul 4 alineatul (1) punctul 1 din Directiva 2014\/65\/UE;
34.
\u201efirm\u0103 de investi\u021bii mic\u0103 \u0219i neinterconectat\u0103\u201d \u00eenseamn\u0103 o firm\u0103 de investi\u021bii care \u00eendepline\u0219te condi\u021biile prev\u0103zute la articolul 12 alineatul (1) din Regulamentul (UE) 2019\/2033 al Parlamentului European \u0219i al Consiliului(33);
35.
\u201einstitu\u021bie de plat\u0103\u201d \u00eenseamn\u0103 o institu\u021bie de plat\u0103 astfel cum este definit\u0103 la articolul 4 punctul 4 din Directiva (UE) 2015\/2366;
36.
\u201einstitu\u021bie de plat\u0103 exceptat\u0103 \u00een temeiul Directivei (UE) 2015\/2366\u201d \u00eenseamn\u0103 o institu\u021bie de plat\u0103 exceptat\u0103 \u00een temeiul articolului 32 alineatul (1) din Directiva (UE) 2015\/2366;
37.
\u201eprestator de servicii de informare cu privire la conturi\u201d \u00eenseamn\u0103 un prestator de servicii de informare cu privire la conturi astfel cum este men\u021bionat la articolul 33 alineatul (1) din Directiva (UE) 2015\/2366;
38.
\u201einstitu\u021bie emitent\u0103 de moned\u0103 electronic\u0103\u201d \u00eenseamn\u0103 o institu\u021bie emitent\u0103 de moned\u0103 electronic\u0103 astfel cum este definit\u0103 la articolul 2 punctul 1 din Directiva 2009\/110\/CE;
39.
\u201einstitu\u021bie emitent\u0103 de moned\u0103 electronic\u0103 exceptat\u0103 \u00een temeiul Directivei 2009\/110\/CE\u201d \u00eenseamn\u0103 o institu\u021bie emitent\u0103 de moned\u0103 electronic\u0103 care beneficiaz\u0103 de o exceptare astfel cum se men\u021bioneaz\u0103 la articolul 9 alineatul (1) din Directiva 2009\/110\/CE;
40.
\u201econtraparte central\u0103\u201d \u00eenseamn\u0103 o contraparte central\u0103 astfel cum este definit\u0103 la articolul 2 punctul 1 din Regulamentul (UE) nr. 648\/2012;
41.
\u201eregistru central de tranzac\u021bii\u201d \u00eenseamn\u0103 un registru central de tranzac\u021bii astfel cum este definit la articolul 2 punctul 2 din Regulamentul (UE) nr. 648\/2012;
42.
\u201edepozitar central de titluri de valoare\u201d \u00eenseamn\u0103 un depozitar central de titluri de valoare astfel cum este definit la articolul 2 alineatul (1) punctul 1 din Regulamentul (UE) nr. 909\/2014;
43.
\u201eloc de tranzac\u021bionare\u201d \u00eenseamn\u0103 un loc de tranzac\u021bionare astfel cum este definit la articolul 4 alineatul (1) punctul 24 din Directiva 2014\/65\/UE;
44.
\u201eadministrator de fonduri de investi\u021bii alternative\u201d \u00eenseamn\u0103 un administrator de fonduri de investi\u021bii alternative astfel cum este definit la articolul 4 alineatul (1) litera (b) din Directiva 2011\/61\/UE;
45.
\u201esocietate de administrare\u201d \u00eenseamn\u0103 o societate de administrare astfel cum este definit\u0103 la articolul 2 alineatul (1) litera (b) din Directiva 2009\/65\/CE;
46.
\u201efurnizor de servicii de raportare a datelor\u201d \u00eenseamn\u0103 un furnizor de servicii de raportare a datelor \u00een sensul Regulamentului (UE) nr. 600\/2014, astfel cum se men\u021bioneaz\u0103 la articolul 2 alineatul (1) punctele 34-36;
47.
\u201e\u00eentreprindere de asigurare\u201d \u00eenseamn\u0103 o \u00eentreprindere de asigurare astfel cum este definit\u0103 la articolul 13 punctul 1 din Directiva 2009\/138\/CE;
48.
\u201e\u00eentreprindere de reasigurare\u201d \u00eenseamn\u0103 o \u00eentreprindere de reasigurare astfel cum este definit\u0103 la articolul 13 punctul 4 din Directiva 2009\/138\/CE;
(31)Directiva 2009\/65\/CE a Parlamentului European \u0219i a Consiliului din 13 iulie 2009 de coordonare a actelor cu putere de lege \u0219i a actelor administrative privind organismele de plasament colectiv \u00een valori mobiliare (OPCVM) (JO L 302, 17.11.2009, p. 32).
(32)Regulamentul (UE) nr. 575\/2013 al Parlamentului European \u0219i al Consiliului din 26 iunie 2013 privind cerin\u021bele pruden\u021biale pentru institu\u021biile de credit \u0219i de modificare a Regulamentului (UE) nr. 648\/2012 (JO L 176, 27.6.2013, p. 1).
(33)Regulamentul (UE) 2019\/2033 al Parlamentului European \u0219i al Consiliului din 27 noiembrie 2019 privind cerin\u021bele pruden\u021biale ale firmelor de investi\u021bii \u0219i de modificare a Regulamentelor (UE) nr. 1093\/2010, (UE) nr. 575\/2013, (UE) nr. 600\/2014 \u0219i (UE) nr. 806\/2014 (JO L 314, 5.12.2019, p. 1).
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/27
49.
\u201eintermediar de asigur\u0103ri\u201d \u00eenseamn\u0103 un intermediar de asigur\u0103ri astfel cum este definit la articolul 2 alineatul (1) punctul 3 din Directiva (UE) 2016\/97 a Parlamentului European \u0219i a Consiliului(34);
50.
\u201eintermediar de asigur\u0103ri auxiliare\u201d \u00eenseamn\u0103 un intermediar de asigur\u0103ri auxiliare astfel cum este definit la articolul 2 alineatul (1) punctul 4 din Directiva (UE) 2016\/97;
51.
\u201eintermediar de reasigur\u0103ri\u201d \u00eenseamn\u0103 un intermediar de reasigur\u0103ri astfel cum este definit la articolul 2 alineatul (1) punctul 5 din Directiva (UE) 2016\/97;
52.
\u201einstitu\u021bie pentru furnizarea de pensii ocupa\u021bionale\u201d \u00eenseamn\u0103 o institu\u021bie pentru furnizarea de pensii ocupa\u021bionale astfel cum este definit\u0103 la articolul 6 punctul 1 din Directiva (UE) 2016\/2341;
53.
\u201einstitu\u021bie mic\u0103 pentru furnizarea de pensii ocupa\u021bionale\u201d \u00eenseamn\u0103 o institu\u021bie pentru furnizarea de pensii ocupa\u021bionale care gestioneaz\u0103 scheme de pensii care \u00eempreun\u0103 au mai pu\u021bin de 100 de membri \u00een total;
54.
\u201eagen\u021bie de rating de credit\u201d \u00eenseamn\u0103 o agen\u021bie de rating de credit astfel cum este definit\u0103 la articolul 3 alineatul (1) litera (b) din Regulamentul (CE) nr. 1060\/2009;
55.
\u201efurnizor de servicii de criptoactive\u201d \u00eenseamn\u0103 un furnizor de servicii de criptoactive astfel cum este definit \u00een dispozi\u021biile relevante din Regulamentul privind pie\u021bele criptoactivelor;
56.
\u201eemitent de tokenuri raportate la active\u201d \u00eenseamn\u0103 un emitent de tokenuri raportate la active astfel cum sunt definite \u00een dispozi\u021biile relevante din Regulamentul privind pie\u021bele criptoactivelor;
57.
\u201eadministrator de indici de referin\u021b\u0103 critici\u201d \u00eenseamn\u0103 un administrator de indici de referin\u021b\u0103 critici astfel cum sunt defini\u021bi la articolul 3 alineatul (1) punctul 25 din Regulamentul (UE) 2016\/1011;
58.
\u201efurnizor de servicii de finan\u021bare participativ\u0103\u201d \u00eenseamn\u0103 un furnizor de servicii de finan\u021bare participativ\u0103 astfel cum este definit la articolul 2 alineatul (1) litera (e) din Regulamentul (UE) 2020\/1503 al Parlamentului European \u0219i al Consiliului(35);
59.
\u201eregistru central de securitiz\u0103ri\u201d \u00eenseamn\u0103 un registru central de securitiz\u0103ri astfel cum este definit la articolul 2 punctul 23 din Regulamentul (UE) 2017\/2402 al Parlamentului European \u0219i al Consiliului(36);
60.
\u201emicro\u00eentreprindere\u201d \u00eenseamn\u0103 o entitate financiar\u0103, alta dec\u00e2t un loc de tranzac\u021bionare, o contraparte central\u0103, un registru central de tranzac\u021bii sau un depozitar central de titluri de valoare, care are mai pu\u021bin de 10 angaja\u021bi \u0219i o cifr\u0103 de afaceri anual\u0103 \u0219i\/sau un bilan\u021b anual total care nu dep\u0103\u0219e\u0219te 2 milioane EUR;
61.
\u201esupraveghetor principal\u201d \u00eenseamn\u0103 autoritatea european\u0103 de supraveghere desemnat\u0103 \u00een conformitate cu articolul 31 alineatul (1) litera (b) din prezentul regulament;
62.
\u201eComitetul comun\u201d \u00eenseamn\u0103 comitetul men\u021bionat la articolul 54 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010;
63.
\u201e\u00eentreprindere mic\u0103\u201d \u00eenseamn\u0103 o entitate financiar\u0103 care are cel pu\u021bin 10 angaja\u021bi, dar mai pu\u021bin de 50 de angaja\u021bi, \u0219i o cifr\u0103 de afaceri anual\u0103 \u0219i\/sau un bilan\u021b anual total care dep\u0103\u0219e\u0219te 2 milioane EUR, dar nu dep\u0103\u0219e\u0219te 10 milioane EUR;
64.
\u201e\u00eentreprindere mijlocie\u201d \u00eenseamn\u0103 o entitate financiar\u0103 care nu este o \u00eentreprindere mic\u0103 \u0219i care are mai pu\u021bin de 250 de angaja\u021bi \u0219i o cifr\u0103 de afaceri anual\u0103 care nu dep\u0103\u0219e\u0219te 50 de milioane EUR \u0219i\/sau un bilan\u021b anual care nu dep\u0103\u0219e\u0219te 43 de milioane EUR;
65.
\u201eautoritate public\u0103\u201d \u00eenseamn\u0103 orice entitate guvernamental\u0103 sau alt\u0103 entitate a administra\u021biei publice, inclusiv b\u0103ncile centrale na\u021bionale.
(34)Directiva (UE) 2016\/97 a Parlamentului European \u0219i a Consiliului din 20 ianuarie 2016 privind distribu\u021bia de asigur\u0103ri (JO L 26, 2.2.2016, p. 19).
(35)Regulamentul (UE) 2020\/1503 al Parlamentului European \u0219i al Consiliului din 7 octombrie 2020 privind furnizorii europeni de servicii de finan\u021bare participativ\u0103 pentru afaceri \u0219i de modificare a Regulamentului (UE) 2017\/1129 \u0219i a Directivei (UE) 2019\/1937 (JO L 347, 20.10.2020, p. 1).
(36)Regulamentul (UE) 2017\/2402 al Parlamentului European \u0219i al Consiliului din 12 decembrie 2017 de stabilire a unui cadru general privind securitizarea \u0219i de creare a unui cadru specific pentru o securitizare simpl\u0103, transparent\u0103 \u0219i standardizat\u0103, \u0219i de modificare a Directivelor 2009\/65\/CE, 2009\/138\/CE \u0219i 2011\/61\/UE, precum \u0219i a Regulamentelor (CE) nr. 1060\/2009 \u0219i (UE) nr. 648\/2012 (JO L 347, 28.12.2017, p. 35).
L 333\/28 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
Articolul 4
Principiul propor\u021bionalit\u0103\u021bii
(1)
Entit\u0103\u021bile financiare pun \u00een aplicare normele prev\u0103zute la capitolul II \u00een conformitate cu principiul propor\u021bionalit\u0103\u021bii, lu\u00e2nd \u00een considerare dimensiunea \u0219i profilul lor general de risc \u0219i natura, amploarea \u0219i complexitatea serviciilor, activit\u0103\u021bilor \u0219i opera\u021biunilor lor.
(2)
\u00cen plus, entit\u0103\u021bile financiare aplic\u0103 capitolele III \u0219i IV \u0219i capitolul V sec\u021biunea I propor\u021bional cu dimensiunea \u0219i profilul lor general de risc \u0219i cu natura, amploarea \u0219i complexitatea serviciilor, activit\u0103\u021bilor \u0219i opera\u021biunilor lor, astfel cum se prevede \u00een mod specific \u00een normele relevante din capitolele respective.
(3)
Autorit\u0103\u021bile competente iau \u00een considerare aplicarea principiului propor\u021bionalit\u0103\u021bii de c\u0103tre entit\u0103\u021bile financiare atunci c\u00e2nd revizuiesc coeren\u021ba cadrului de gestionare a riscurilor TIC pe baza rapoartelor prezentate la cererea autorit\u0103\u021bilor competente \u00een temeiul articolului 6 alineatul (5) \u0219i al articolului 16 alineatul (2).
CAPITOLUL II
Gestionarea riscurilor TIC
Sec\u021biunea I
Articolul 5
Guvernan\u021b\u0103 \u0219i organizare
(1)
Entit\u0103\u021bile financiare dispun de un cadru intern de guvernan\u021b\u0103 \u0219i control care asigur\u0103 o gestionare eficace \u0219i prudent\u0103 a riscurilor TIC, \u00een conformitate cu articolul 6 alineatul (4), cu scopul de a ob\u021bine un nivel ridicat de rezilien\u021b\u0103 opera\u021bional\u0103 digital\u0103.
(2)
Organul de conducere al entit\u0103\u021bii financiare define\u0219te, aprob\u0103, supravegheaz\u0103 \u0219i este responsabil de punerea \u00een aplicare a tuturor dispozi\u021biilor legate de cadrul de gestionare a riscurilor TIC men\u021bionat la articolul 6 alineatul (1).
\u00cen scopul aplic\u0103rii primului paragraf, organul de conducere:
(a)
poart\u0103 responsabilitatea final\u0103 pentru gestionarea riscurilor TIC ale entit\u0103\u021bii financiare;
(b)
stabile\u0219te politici menite s\u0103 asigure men\u021binerea unor standarde ridicate de disponibilitate, autenticitate, integritate \u0219i confiden\u021bialitate a datelor;
(c)
stabile\u0219te roluri \u0219i responsabilit\u0103\u021bi clare pentru toate func\u021biile legate de TIC \u0219i instituie mecanisme de guvernan\u021b\u0103 adecvate pentru a asigura comunicarea, cooperarea \u0219i coordonarea eficace \u0219i \u00een timp util \u00eentre aceste func\u021bii;
(d)
poart\u0103 responsabilitatea general\u0103 pentru stabilirea \u0219i aprobarea strategiei privind rezilien\u021ba opera\u021bional\u0103 digital\u0103, astfel cum este men\u021bionat\u0103 la articolul 6 alineatul (8), inclusiv pentru determinarea nivelul adecvat de toleran\u021b\u0103 la risc pentru riscurile TIC \u00een cazul entit\u0103\u021bii financiare, astfel cum este men\u021bionat\u0103 la articolul 6 alineatul (8) litera (b);
(e)
aprob\u0103, supravegheaz\u0103 \u0219i verific\u0103 periodic punerea \u00een aplicare a politicii de continuitate a activit\u0103\u021bii TIC \u0219i a planurilor de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC ale entit\u0103\u021bii financiare, men\u021bionate la articolul 11 alineatul (1) \u0219i, respectiv, alineatul (3), care pot fi adoptate sub forma unei politici specifice dedicate care s\u0103 fac\u0103 parte integrant\u0103 din politica general\u0103 de continuitate a activit\u0103\u021bii \u0219i planul general de r\u0103spuns \u0219i de recuperare ale entit\u0103\u021bii financiare;
(f)
aprob\u0103 \u0219i verific\u0103 periodic planurile de audit intern TIC \u0219i auditurile TIC ale entit\u0103\u021bii financiare, precum \u0219i modific\u0103rile semnificative aduse acestora;
(g)
aloc\u0103 \u0219i verific\u0103 periodic bugetul adecvat pentru a r\u0103spunde nevoilor de rezilien\u021b\u0103 opera\u021bional\u0103 digital\u0103 ale entit\u0103\u021bii financiare \u00een ceea ce prive\u0219te toate tipurile de resurse, inclusiv programe de con\u0219tientizare cu privire la securitatea TIC \u0219i cursuri de formare \u00een domeniul rezilien\u021bei opera\u021bionale digitale relevante men\u021bionate la articolul 13 alineatul (6), precum \u0219i competen\u021be TIC pentru to\u021bi membrii personalului;
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/29
(h)
aprob\u0103 \u0219i verific\u0103 periodic politica entit\u0103\u021bii financiare cu privire la acordurile privind utilizarea serviciilor TIC furnizate de furnizori ter\u021bi de servicii TIC;
(i)
instituie, la nivel corporativ, canale de raportare care s\u0103 \u00eei permit\u0103 s\u0103 fie informat \u00een mod corespunz\u0103tor cu privire la:
(i)
acordurile \u00eencheiate cu furnizorii ter\u021bi de servicii TIC privind utilizarea serviciilor TIC;
(ii)
orice modific\u0103ri semnificative planificate relevante privind furnizorii ter\u021bi de servicii TIC;
(iii)
impactul poten\u021bial al unor astfel de modific\u0103ri asupra func\u021biilor critice sau importante care fac obiectul acordurilor respective, inclusiv un rezumat al analizei de risc pentru a evalua impactul modific\u0103rilor respective, \u0219i cel pu\u021bin incidentele majore legate de TIC \u0219i impactul acestora, precum \u0219i cu privire la m\u0103surile de r\u0103spuns, de recuperare \u0219i corective.
(3)
Entit\u0103\u021bile financiare, altele dec\u00e2t micro\u00eentreprinderile, stabilesc un rol pentru a monitoriza acordurile \u00eencheiate cu furnizorii ter\u021bi de servicii TIC cu privire la utilizarea serviciilor TIC sau desemneaz\u0103 un membru al conducerii de nivel superior drept responsabil de supravegherea expunerii la risc aferente \u0219i a documenta\u021biei relevante.
(4)
Membrii organului de conducere al entit\u0103\u021bii financiare \u00ee\u0219i actualizeaz\u0103 \u00een mod activ cuno\u0219tin\u021bele \u0219i competen\u021bele pentru a \u00een\u021belege \u0219i a evalua riscurile TIC \u0219i impactul acestora asupra opera\u021biunilor entit\u0103\u021bii financiare, inclusiv prin frecventarea cu regularitate a unor cursuri de formare specifice, pe m\u0103sura riscurilor TIC gestionate.
Sec\u021biunea II
Articolul 6
Cadrul de gestionare a riscurilor TIC
(1)
Entit\u0103\u021bile financiare dispun de un cadru solid, cuprinz\u0103tor \u0219i bine documentat de gestionare a riscurilor TIC, ca parte a sistemului lor general de gestionare a riscurilor, care le permite s\u0103 abordeze riscurile TIC \u00een mod rapid, eficient \u0219i cuprinz\u0103tor \u0219i s\u0103 asigure un nivel ridicat de rezilien\u021b\u0103 opera\u021bional\u0103 digital\u0103.
(2)
Cadrul de gestionare a riscurilor TIC include cel pu\u021bin strategii, politici, proceduri, precum \u0219i protocoale \u0219i instrumente TIC care sunt necesare pentru a proteja \u00een mod corespunz\u0103tor \u0219i adecvat toate activele informa\u021bionale \u0219i toate activele TIC, inclusiv software pentru calculatoare, hardware \u0219i servere, precum \u0219i pentru a proteja toate componentele \u0219i infrastructurile fizice relevante, precum sediile, centrele de date \u0219i zonele desemnate sensibile, pentru a asigura c\u0103 toate activele informa\u021bionale \u0219i toate activele TIC sunt protejate \u00een mod adecvat \u00eempotriva riscurilor, inclusiv \u00eempotriva pagubelor \u0219i a accesului sau utiliz\u0103rii neautorizate.
(3)
\u00cen conformitate cu cadrul lor de gestionare a riscurilor TIC, entit\u0103\u021bile financiare reduc la minimum impactul riscurilor TIC prin utilizarea unor strategii, politici, proceduri, protocoale \u0219i instrumente TIC adecvate. Acestea furnizeaz\u0103 autorit\u0103\u021bilor competente, la cererea acestora, informa\u021bii complete \u0219i actualizate cu privire la riscurile TIC \u0219i la cadrul lor de gestionare a riscurilor TIC.
(4)
Entit\u0103\u021bile financiare, altele dec\u00e2t micro\u00eentreprinderile, atribuie responsabilitatea pentru gestionarea \u0219i supravegherea riscurilor TIC unei func\u021bii de control \u0219i asigur\u0103 independen\u021ba acestei func\u021bii de control la un nivel adecvat, pentru a evita conflictele de interese. Entit\u0103\u021bile financiare asigur\u0103 \u00een mod adecvat separarea \u0219i independen\u021ba a func\u021biilor de gestionare a riscurilor TIC, a func\u021biilor de control \u0219i a func\u021biilor de audit intern, \u00een conformitate cu cele trei linii ale modelului de ap\u0103rare sau cu un model intern de gestionare \u0219i control al riscurilor.
(5)
Cadrul de gestionare a riscurilor TIC se documenteaz\u0103 \u0219i se revizuie\u0219te cel pu\u021bin o dat\u0103 pe an, sau periodic \u00een cazul micro\u00eentreprinderilor, precum \u0219i \u00een cazul unor incidente majore legate de TIC \u0219i \u00een urma instruc\u021biunilor sau concluziilor \u00een materie de supraveghere care decurg din testarea relevant\u0103 a rezilien\u021bei opera\u021bionale digitale sau din procesele de audit relevante. Acesta este \u00eembun\u0103t\u0103\u021bit \u00een permanen\u021b\u0103, pe baza \u00eenv\u0103\u021b\u0103mintelor desprinse \u00een urma punerii \u00een aplicare \u0219i a monitoriz\u0103rii. Autorit\u0103\u021bii competente i se prezint\u0103, la cererea sa, un raport privind revizuirea cadrului de gestionare a riscurilor TIC.
L 333\/30 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(6)
Cadrul de gestionare a riscurilor TIC al entit\u0103\u021bilor financiare, altele dec\u00e2t micro\u00eentreprinderile, este supus auditului intern de c\u0103tre auditori \u00een mod regulat, \u00een conformitate cu planul de audit al entit\u0103\u021bilor financiare. Auditorii respectivi de\u021bin suficiente cuno\u0219tin\u021be, competen\u021be \u0219i expertiz\u0103 \u00een ceea ce prive\u0219te riscurile TIC, precum \u0219i o independen\u021b\u0103 adecvat\u0103. Frecven\u021ba \u0219i obiectivul auditurilor TIC sunt propor\u021bionale cu riscurile TIC ale entit\u0103\u021bilor financiare.
(7)
Pe baza concluziilor evalu\u0103rii de audit intern, entit\u0103\u021bile financiare stabilesc un proces formal de urm\u0103rire, care include reguli pentru verificarea \u0219i remedierea \u00een timp util a elementelor critice constatate \u00een cadrul auditurilor TIC.
(8)
Cadrul de gestionare a riscurilor TIC include o strategie privind rezilien\u021ba opera\u021bional\u0103 digital\u0103, care stabile\u0219te modul de punere \u00een aplicare a cadrului. \u00cen acest scop, strategia privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 include metode de abordare a riscurilor TIC \u0219i de realizare a obiectivelor TIC specifice, prin:
(a)
explicarea modului \u00een care cadrul de gestionare a riscurilor TIC sprijin\u0103 strategia de afaceri \u0219i obiectivele entit\u0103\u021bii financiare;
(b)
stabilirea nivelului de toleran\u021b\u0103 la risc pentru riscurile TIC, \u00een conformitate cu apetitul pentru risc al entit\u0103\u021bii financiare, \u0219i analizarea toleran\u021bei la impact pentru perturb\u0103rile TIC;
(c)
stabilirea unor obiective clare privind securitatea informa\u021biilor, inclusiv indicatori-cheie de performan\u021b\u0103 \u0219i indicatori- cheie de risc;
(d)
explicarea arhitecturii TIC de referin\u021b\u0103 \u0219i a oric\u0103ror modific\u0103ri necesare pentru atingerea obiectivelor specifice de activitate;
(e)
prezentarea diferitelor mecanisme instituite pentru a detecta incidentele legate de TIC, a preveni impactul acestora \u0219i a asigura protec\u021bie \u00eempotriva acestora;
(f)
eviden\u021bierea situa\u021biei actuale a rezilien\u021bei opera\u021bionale digitale pe baza num\u0103rului de incidente majore legate de TIC raportate \u0219i a eficacit\u0103\u021bii m\u0103surilor preventive;
(g)
implementarea test\u0103rii rezilien\u021bei opera\u021bionale digitale, \u00een conformitate cu capitolul IV din prezentul regulament;
(h)
conturarea unei strategii de comunicare \u00een cazul producerii unor incidente legate de TIC cu privire la care este necesar\u0103 informarea \u00een conformitate cu articolul 14.
(9)
Entit\u0103\u021bile financiare pot defini, \u00een contextul strategiei privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 men\u021bionate la alineatul (8), o strategie TIC cuprinz\u0103toare privind existen\u021ba mai multor furnizori, la nivel de grup sau de entitate, care s\u0103 prezinte principalele dependen\u021be fa\u021b\u0103 de furnizorii ter\u021bi de servicii TIC \u0219i s\u0103 explice ra\u021bionamentul care st\u0103 la baza mixului de achizi\u021bii de la furnizori ter\u021bi de servicii TIC.
(10)
Entit\u0103\u021bile financiare pot externaliza, \u00een conformitate cu legisla\u021bia sectorial\u0103 a Uniunii \u0219i cea na\u021bional\u0103, sarcinile de verificare a conformit\u0103\u021bii cu cerin\u021bele de gestionare a riscurilor TIC c\u0103tre entit\u0103\u021bi intragrup sau externe. \u00cen cazul unei astfel de externaliz\u0103ri, entitatea financiar\u0103 r\u0103m\u00e2ne pe deplin responsabil\u0103 de verificarea conformit\u0103\u021bii cu cerin\u021bele de gestionare a riscurilor TIC.
Articolul 7
Sisteme, protocoale \u0219i instrumente TIC
Pentru a aborda \u0219i a gestiona riscurile TIC, entit\u0103\u021bile financiare utilizeaz\u0103 \u0219i men\u021bin sisteme, protocoale \u0219i instrumente TIC actualizate care sunt:
(a)
adecvate magnitudinii opera\u021biunilor care sprijin\u0103 desf\u0103\u0219urarea activit\u0103\u021bilor lor, \u00een conformitate cu principiul propor\u021bionalit\u0103\u021bii astfel cum este men\u021bionat la articolul 4;
(b)
fiabile;
(c)
dotate cu suficient\u0103 capacitate de a prelucra cu precizie datele necesare pentru desf\u0103\u0219urarea activit\u0103\u021bilor \u0219i furnizarea serviciilor \u00een timp util, precum \u0219i pentru a face fa\u021b\u0103 volumelor ridicate de ordine, mesaje sau tranzac\u021bii, dup\u0103 caz, inclusiv \u00een cazul introducerii unor noi tehnologii;
(d)
reziliente din punct de vedere tehnologic pentru a face fa\u021b\u0103 \u00een mod adecvat nevoilor suplimentare de prelucrare a informa\u021biilor, calitate necesar\u0103 \u00een condi\u021bii de criz\u0103 a pie\u021bei sau \u00een alte situa\u021bii adverse.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/31
Articolul 8
Identificare
(1)
Ca parte a cadrului de gestionare a riscurilor TIC men\u021bionat la articolul 6 alineatul (1), entit\u0103\u021bile financiare identific\u0103, clasific\u0103 \u0219i documenteaz\u0103 \u00een mod corespunz\u0103tor toate func\u021biile opera\u021bionale \u0219i toate rolurile \u0219i responsabilit\u0103\u021bile sprijinite de TIC, activele informa\u021bionale \u0219i activele TIC care sprijin\u0103 func\u021biile respective, precum \u0219i rolurile \u0219i dependen\u021bele lor \u00een leg\u0103tur\u0103 cu riscurile TIC. Entit\u0103\u021bile financiare revizuiesc dup\u0103 caz, dar cel pu\u021bin anual, caracterul adecvat al acestei clasific\u0103ri \u0219i al oric\u0103rei document\u0103ri relevante.
(2)
Entit\u0103\u021bile financiare identific\u0103 \u00een mod constant toate sursele de riscuri TIC, \u00een special expunerea la riscuri fa\u021b\u0103 de alte entit\u0103\u021bi financiare \u0219i din partea altor entit\u0103\u021bi financiare, \u0219i evalueaz\u0103 amenin\u021b\u0103rile cibernetice \u0219i vulnerabilit\u0103\u021bile TIC relevante pentru func\u021biile lor opera\u021bionale sprijinite de TIC, activele lor informa\u021bionale \u0219i activele lor TIC. Entit\u0103\u021bile financiare revizuiesc \u00een mod regulat \u0219i cel pu\u021bin o dat\u0103 pe an scenariile de risc care au un impact asupra lor.
(3)
Entit\u0103\u021bile financiare, altele dec\u00e2t micro\u00eentreprinderile, efectueaz\u0103 o evaluare a riscurilor cu ocazia fiec\u0103rei modific\u0103ri majore aduse infrastructurii re\u021belei \u0219i a sistemului informatic \u0219i proceselor sau procedurilor care le afecteaz\u0103 func\u021biile opera\u021bionale sprijinite de TIC, activele informa\u021bionale sau activele TIC.
(4)
Entit\u0103\u021bile financiare identific\u0103 toate activele informa\u021bionale \u0219i activele TIC, inclusiv cele din loca\u021bii aflate la distan\u021b\u0103, resursele de re\u021bea \u0219i echipamentele hardware \u0219i le inventariaz\u0103 pe cele considerate esen\u021biale. Acestea cartografiaz\u0103 configura\u021bia activelor informa\u021bionale \u0219i a activelor TIC \u0219i leg\u0103turile \u0219i interdependen\u021bele dintre diferitele active informa\u021bionale \u0219i active TIC.
(5)
Entit\u0103\u021bile financiare identific\u0103 \u0219i documenteaz\u0103 toate procesele care depind de furnizori ter\u021bi de servicii TIC \u0219i identific\u0103 interconexiunile cu furnizori ter\u021bi de servicii TIC care ofer\u0103 servicii care sprijin\u0103 func\u021bii critice sau importante.
(6)
\u00cen scopul aplic\u0103rii alineatelor (1), (4) \u0219i (5), entit\u0103\u021bile financiare men\u021bin inventarele relevante \u0219i le actualizeaz\u0103 periodic \u0219i de fiecare dat\u0103 c\u00e2nd are loc orice modificare major\u0103, astfel cum este men\u021bionat\u0103 la alineatul (3).
(7)
Entit\u0103\u021bile financiare, altele dec\u00e2t micro\u00eentreprinderile, efectueaz\u0103 periodic \u0219i cel pu\u021bin o dat\u0103 pe an o evaluare specific\u0103 a riscurilor TIC viz\u00e2nd toate sistemele TIC mo\u0219tenite \u0219i, \u00een orice caz, \u00eenainte \u0219i dup\u0103 conectarea tehnologiilor, aplica\u021biilor sau sistemelor.
Articolul 9
Protec\u021bie \u0219i prevenire
(1)
\u00cen scopul protej\u0103rii adecvate a sistemelor TIC \u0219i \u00een vederea organiz\u0103rii m\u0103surilor de r\u0103spuns, entit\u0103\u021bile financiare monitorizeaz\u0103 \u0219i controleaz\u0103 \u00een mod continuu securitatea \u0219i func\u021bionarea sistemelor \u0219i a instrumentelor TIC \u0219i reduc la minimum impactul riscurilor TIC asupra sistemelor TIC prin utilizarea unor instrumente, politici \u0219i proceduri de securitate TIC adecvate.
(2)
Entit\u0103\u021bile financiare concep, achizi\u021bioneaz\u0103 \u0219i pun \u00een aplicare politici, proceduri, protocoale \u0219i instrumente \u00een domeniul securit\u0103\u021bii TIC care vizeaz\u0103 s\u0103 asigure rezilien\u021ba, continuitatea \u0219i disponibilitatea sistemelor TIC, \u00een special pentru cele care sprijin\u0103 func\u021bii critice sau importante, precum \u0219i s\u0103 men\u021bin\u0103 standarde \u00eenalte de disponibilitate, autenticitate, integritate \u0219i confiden\u021bialitate a datelor, indiferent dac\u0103 sunt \u00een repaus, \u00een uz sau \u00een tranzit.
(3)
\u00cen vederea realiz\u0103rii obiectivelor men\u021bionate la alineatul (2), entit\u0103\u021bile financiare utilizeaz\u0103 solu\u021bii \u0219i procese TIC care sunt adecvate \u00een conformitate cu articolul 4. Respectivele solu\u021bii \u0219i procese TIC:
(a)
asigur\u0103 securitatea mijloacelor de transfer al datelor;
(b)
reduc la minimum riscul de corupere sau de pierdere a datelor, de acces neautorizat \u0219i de defec\u021biuni tehnice care pot \u00eempiedica derularea activit\u0103\u021bilor;
(c)
previn lipsa disponibilit\u0103\u021bii, deteriorarea autenticit\u0103\u021bii \u0219i a integrit\u0103\u021bii, \u00eenc\u0103lcarea confiden\u021bialit\u0103\u021bii \u0219i pierderea datelor;
L 333\/32 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(d)
asigur\u0103 protec\u021bia datelor \u00eempotriva riscurilor care decurg din gestionarea datelor, inclusiv gestionarea deficitar\u0103, precum \u0219i \u00eempotriva riscurilor legate de prelucrare \u0219i a erorii umane.
(4)
Ca parte a cadrului de gestionare a riscurilor TIC men\u021bionat la articolul 6 alineatul (1), entit\u0103\u021bile financiare:
(a)
elaboreaz\u0103 \u0219i documenteaz\u0103 o politic\u0103 de securitate a informa\u021biilor care define\u0219te norme de protec\u021bie a disponibilit\u0103\u021bii, autenticit\u0103\u021bii, integrit\u0103\u021bii \u0219i confiden\u021bialit\u0103\u021bii datelor, a activelor informa\u021bionale \u0219i a activelor TIC, inclusiv a celor ale clien\u021bilor lor, dup\u0103 caz;
(b)
stabilesc, urm\u00e2nd o abordare bazat\u0103 pe riscuri, o structur\u0103 de gestionare solid\u0103 a re\u021belei \u0219i a infrastructurii care utilizeaz\u0103 tehnici, metode \u0219i protocoale adecvate ce pot include punerea \u00een aplicare a unor mecanisme automatizate pentru a izola activele informa\u021bionale afectate \u00een cazul unor atacuri cibernetice;
(c)
pun \u00een aplicare politici care limiteaz\u0103 accesul fizic sau logic la activele informa\u021bionale \u0219i activele TIC la ceea ce este necesar exclusiv pentru func\u021bii \u0219i activit\u0103\u021bi legitime \u0219i aprobate \u0219i stabilesc \u00een acest scop un set de politici, proceduri \u0219i controale care s\u0103 vizeze drepturile de acces \u0219i o bun\u0103 administrare a acestora;
(d)
pun \u00een aplicare politici \u0219i protocoale pentru mecanisme solide de autentificare, bazate pe standarde relevante \u0219i sisteme de control specifice, precum \u0219i m\u0103suri de protec\u021bie a cheilor criptografice, prin care datele sunt criptate \u00een func\u021bie de rezultatele proceselor aprobate de clasificare a datelor \u0219i de evaluare a riscurilor TIC;
(e)
pun \u00een aplicare politici, proceduri \u0219i controale documentate pentru gestionarea modific\u0103rilor la nivelul TIC, inclusiv modific\u0103ri la nivelul componentelor software, hardware, firmware, parametrii sistemelor sau de securitate, care sunt fondate pe o abordare bazat\u0103 pe evaluarea riscurilor \u0219i fac parte integrant\u0103 din procesul general de gestionare a modific\u0103rilor din cadrul entit\u0103\u021bii financiare, pentru a se asigura c\u0103 toate modific\u0103rile aduse sistemelor TIC sunt \u00eenregistrate, testate, evaluate, aprobate, puse \u00een aplicare \u0219i verificate \u00een mod controlat;
(f)
dispun de politici documentate adecvate \u0219i cuprinz\u0103toare pentru corec\u021bii \u0219i actualiz\u0103ri.
\u00cen scopul aplic\u0103rii literei (b) de la primul paragraf, entit\u0103\u021bile financiare concep infrastructura de conectare a re\u021belei \u00eentr-un mod care permite \u00eentreruperea sau segmentarea instantanee a acesteia, pentru a reduce la minimum \u0219i a preveni contagiunea, \u00een special \u00een cazul proceselor financiare interconectate.
\u00cen scopul aplic\u0103rii literei (e) de la primul paragraf, procesul de gestionare a modific\u0103rilor la nivelul TIC este aprobat de liniile de management corespunz\u0103toare \u0219i dispune de protocoale specifice.
Articolul 10
Detectare
(1)
Entit\u0103\u021bile financiare dispun de mecanisme pentru detectarea rapid\u0103 a activit\u0103\u021bilor anormale, \u00een conformitate cu articolul 17, inclusiv a problemelor legate de performan\u021ba re\u021belei TIC \u0219i a incidentelor legate de TIC, precum \u0219i pentru identificarea posibilelor puncte unice de defec\u021biune semnificative.
Toate mecanismele de detectare men\u021bionate la primul paragraf sunt testate cu regularitate \u00een conformitate cu articolul 25.
(2)
Mecanismele de detectare men\u021bionate la alineatul (1) permit niveluri multiple de control, definesc praguri de alert\u0103 \u0219i criterii de declan\u0219are \u0219i ini\u021biere a proceselor de r\u0103spuns la incidentele legate de TIC, inclusiv mecanisme de alert\u0103 automat\u0103 pentru personalul relevant responsabil de r\u0103spunsul la incidentele legate de TIC.
(3)
Entit\u0103\u021bile financiare aloc\u0103 suficiente resurse \u0219i capacit\u0103\u021bi pentru a monitoriza activitatea utilizatorilor, apari\u021bia anomaliilor TIC \u0219i a incidentelor legate de TIC, \u00een special a atacurilor cibernetice.
(4)
Furnizorii de servicii de raportare a datelor dispun, \u00een plus, de sisteme care pot verifica \u00een mod eficace integralitatea rapoartelor de tranzac\u021bionare, pot identifica omisiunile \u0219i erorile evidente \u0219i pot solicita retransmiterea rapoartelor respective.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/33
Articolul 11
R\u0103spuns \u0219i recuperare
(1)
Ca parte a cadrului de gestionare a riscurilor TIC men\u021bionat la articolul 6 alineatul (1) \u0219i pe baza cerin\u021belor de identificare prev\u0103zute la articolul 8, entit\u0103\u021bile financiare instituie o politic\u0103 cuprinz\u0103toare de continuitate a activit\u0103\u021bii TIC, care poate fi adoptat\u0103 sub forma unei politici specifice dedicate, ca parte integrant\u0103 a politicii generale de continuitate a activit\u0103\u021bii a entit\u0103\u021bii financiare.
(2)
Entit\u0103\u021bile financiare pun \u00een aplicare politica de continuitate a activit\u0103\u021bii TIC prin m\u0103suri, planuri, proceduri \u0219i mecanisme specifice, adecvate \u0219i documentate care vizeaz\u0103:
(a)
asigurarea continuit\u0103\u021bii func\u021biilor critice sau importante ale entit\u0103\u021bii financiare;
(b)
un r\u0103spuns rapid, adecvat \u0219i eficace la toate incidentele legate de TIC \u0219i solu\u021bionarea tuturor acestor incidente, \u00eentr-un mod care s\u0103 limiteze daunele \u0219i s\u0103 acorde prioritate relu\u0103rii activit\u0103\u021bilor \u0219i ac\u021biunilor de recuperare;
(c)
activarea f\u0103r\u0103 \u00eent\u00e2rziere a unor planuri specifice care permit aplicarea unor m\u0103suri, procese \u0219i tehnologii de limitare adecvate pentru fiecare tip de incident legat de TIC \u0219i previn producerea unor daune suplimentare, precum \u0219i a unor proceduri de r\u0103spuns \u0219i de recuperare adaptate, stabilite \u00een conformitate cu articolul 12;
(d)
estimarea efectelor, a daunelor \u0219i a pierderilor preliminare;
(e)
stabilirea unor m\u0103suri de comunicare \u0219i de gestionare a crizelor care s\u0103 asigure faptul c\u0103 informa\u021biile actualizate sunt transmise tuturor membrilor personalului intern relevant \u0219i p\u0103r\u021bilor interesate externe relevante, \u00een conformitate cu articolul 14, \u0219i raportarea c\u0103tre autorit\u0103\u021bile competente, \u00een conformitate cu articolul 19.
(3)
Ca parte a cadrului de gestionare a riscurilor TIC men\u021bionat la articolul 6 alineatul (1), entit\u0103\u021bile financiare pun \u00een aplicare planuri de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC asociate care, \u00een cazul altor entit\u0103\u021bi financiare dec\u00e2t micro\u00eentreprinderile, sunt supuse unor evalu\u0103ri de audit intern independente.
(4)
Entit\u0103\u021bile financiare instituie, men\u021bin \u0219i testeaz\u0103 periodic planuri de continuitate a activit\u0103\u021bii TIC adecvate, \u00een special \u00een ceea ce prive\u0219te func\u021biile critice sau importante externalizate sau contractate prin acorduri cu furnizori ter\u021bi de servicii TIC.
(5)
Ca parte a politicii generale de continuitate a activit\u0103\u021bii, entit\u0103\u021bile financiare efectueaz\u0103 o analiz\u0103 a impactului asupra activit\u0103\u021bii (AIA) al expunerilor lor la perturb\u0103ri grave ale activit\u0103\u021bii. \u00cen conformitate cu AIA, entit\u0103\u021bile financiare evalueaz\u0103 impactul poten\u021bial al perturb\u0103rilor grave ale activit\u0103\u021bii cu ajutorul unor criterii cantitative \u0219i calitative, utiliz\u00e2nd date interne \u0219i externe \u0219i analize de scenarii, dup\u0103 caz. AIA ia \u00een considerare caracterul critic al func\u021biilor opera\u021bionale identificate \u0219i cartografiate, al proceselor de sprijin, al dependen\u021belor fa\u021b\u0103 de ter\u021bi \u0219i al activelor informa\u021bionale, precum \u0219i interdependen\u021bele acestora. Entit\u0103\u021bile financiare se asigur\u0103 c\u0103 activele TIC \u0219i serviciile TIC sunt proiectate \u0219i utilizate \u00een deplin\u0103 conformitate cu AIA, \u00een special \u00een ceea ce prive\u0219te asigurarea \u00een mod adecvat a redundan\u021bei tuturor componentelor critice.
(6)
Ca parte a gestion\u0103rii lor cuprinz\u0103toare a riscurilor TIC, entit\u0103\u021bile financiare:
(a)
testeaz\u0103 planurile de continuitate a activit\u0103\u021bii TIC \u0219i planurile de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC \u00een leg\u0103tur\u0103 cu sistemele TIC care sprijin\u0103 toate func\u021biile cel pu\u021bin o dat\u0103 pe an, precum \u0219i \u00een caz de eventuale modific\u0103ri substan\u021biale ale sistemelor TIC care sprijin\u0103 func\u021bii critice sau importante;
(b)
testeaz\u0103 planurile de comunicare \u00een situa\u021bii de criz\u0103 instituite \u00een conformitate cu articolul 14.
\u00cen scopul aplic\u0103rii literei (a) de la primul paragraf, entit\u0103\u021bile financiare altele dec\u00e2t micro\u00eentreprinderile includ \u00een planurile de testare scenarii de atacuri cibernetice \u0219i transferuri \u00eentre infrastructura TIC primar\u0103 \u0219i capacit\u0103\u021bile redundante, copiile de rezerv\u0103 \u0219i instala\u021biile redundante necesare pentru a \u00eendeplini obliga\u021biile prev\u0103zute la articolul 12.
Entit\u0103\u021bile financiare \u00ee\u0219i revizuiesc periodic politica de continuitate a activit\u0103\u021bii TIC \u0219i planurile de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC, \u021bin\u00e2nd seama de rezultatele testelor efectuate \u00een conformitate cu primul paragraf, precum \u0219i de recomand\u0103rile care decurg din evalu\u0103rile de audit sau procesele de supraveghere.
L 333\/34 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(7)
Entit\u0103\u021bile financiare altele dec\u00e2t micro\u00eentreprinderile au o func\u021bie de gestionare a crizelor, care, \u00een caz de activare a planurilor lor de continuitate a activit\u0103\u021bii TIC sau a planurilor lor de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC, stabile\u0219te, printre altele, proceduri clare de gestionare a comunic\u0103rilor interne \u0219i externe \u00een situa\u021bii de criz\u0103, \u00een conformitate cu articolul 14.
(8)
Entit\u0103\u021bile financiare p\u0103streaz\u0103 o eviden\u021b\u0103 u\u0219or accesibil\u0103 a activit\u0103\u021bilor \u00eenainte \u0219i \u00een timpul evenimentelor perturbatoare atunci c\u00e2nd sunt activate planurile lor de continuitate a activit\u0103\u021bii TIC \u0219i planurile lor de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC.
(9)
Depozitarii centrali de titluri de valoare furnizeaz\u0103 autorit\u0103\u021bilor competente copii ale rezultatelor testelor privind continuitatea activit\u0103\u021bii TIC sau ale unor exerci\u021bii similare.
(10)
Entit\u0103\u021bile financiare, altele dec\u00e2t micro\u00eentreprinderile, raporteaz\u0103 autorit\u0103\u021bilor competente, la cererea acestora, o estimare a costurilor \u0219i a pierderilor anuale agregate cauzate de incidente majore legate de TIC.
(11)
\u00cen conformitate cu articolul 16 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010, AES elaboreaz\u0103, prin intermediul Comitetului comun, p\u00e2n\u0103 la 17 iulie 2024, orient\u0103ri comune privind estimarea costurilor \u0219i pierderilor anuale agregate men\u021bionate la alineatul (10).
Articolul 12
Politici \u0219i proceduri privind copiile de rezerv\u0103 \u0219i proceduri \u0219i metode de restaurare \u0219i recuperare
(1)
Pentru a asigura restaurarea sistemelor TIC \u0219i a datelor cu o perioad\u0103 de indisponibilitate minim\u0103 \u0219i o perturbare \u0219i o pierdere limitate, ca parte a cadrului lor de gestionare a riscurilor TIC, entit\u0103\u021bile financiare elaboreaz\u0103 \u0219i documenteaz\u0103:
(a)
politici \u0219i proceduri privind copiile de rezerv\u0103 care precizeaz\u0103 sfera de acoperire a datelor care fac obiectul copierii de rezerv\u0103, precum \u0219i frecven\u021ba minim\u0103 a copierii de rezerv\u0103, pe baza caracterului critic al informa\u021biilor sau al nivelului de confiden\u021bialitate al datelor;
(b)
proceduri \u0219i metode de restaurare \u0219i recuperare.
(2)
Entit\u0103\u021bile financiare instituie sisteme de rezerv\u0103 care pot fi activate \u00een conformitate cu politicile \u0219i procedurile privind copiile de rezerv\u0103, precum \u0219i cu procedurile \u0219i metodele de restaurare \u0219i recuperare. Activarea sistemelor de rezerv\u0103 nu pune \u00een pericol securitatea re\u021belelor \u0219i a sistemelor informatice sau disponibilitatea, autenticitatea, integritatea ori confiden\u021bialitatea datelor. Periodic se efectueaz\u0103 testarea procedurilor privind copiile de rezerv\u0103 \u0219i a procedurilor \u0219i metodelor de restaurare \u0219i recuperare.
(3)
Atunci c\u00e2nd restaureaz\u0103 date de rezerv\u0103 pe baza sistemelor proprii, entit\u0103\u021bile financiare utilizeaz\u0103 sisteme TIC care sunt separate fizic \u0219i logic de sistemul TIC surs\u0103. Sistemele TIC sunt securizate \u00eempotriva oric\u0103rui acces neautorizat sau a deterior\u0103rii TIC \u0219i permit restaurarea \u00een timp util a serviciilor care utilizeaz\u0103 copii de rezerv\u0103 ale datelor \u0219i sistemelor, dup\u0103 caz.
\u00cen cazul contrap\u0103r\u021bilor centrale, planurile de recuperare permit recuperarea tuturor tranzac\u021biilor \u00een momentul perturb\u0103rii, pentru a permite contrap\u0103r\u021bii centrale s\u0103 continue s\u0103 opereze \u00een condi\u021bii de siguran\u021b\u0103 \u0219i s\u0103 finalizeze decontarea la data stabilit\u0103.
\u00cen plus, furnizorii de servicii de raportare a datelor men\u021bin resurse adecvate \u0219i dispun de instala\u021bii pentru copii de rezerv\u0103 \u0219i de restaurare, cu scopul de a-\u0219i oferi \u0219i a-\u0219i men\u021bine serviciile viabile \u00een orice moment.
(4)
Entit\u0103\u021bile financiare, altele dec\u00e2t micro\u00eentreprinderile, men\u021bin capacit\u0103\u021bi TIC redundante dotate cu resurse, capacit\u0103\u021bi \u0219i func\u021bii care sunt adecvate pentru a acoperi nevoile opera\u021bionale. Micro\u00eentreprinderile evalueaz\u0103 necesitatea men\u021binerii unor astfel de capacit\u0103\u021bi TIC redundante pe baza profilului lor de risc.
(5)
Depozitarii centrali de titluri de valoare men\u021bin cel pu\u021bin o unitate de prelucrare secundar\u0103, dotat\u0103 cu resurse adecvate, capacit\u0103\u021bi, func\u021bii \u0219i resurse umane pentru a acoperi nevoile opera\u021bionale.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/35
Unitatea de prelucrare secundar\u0103:
(a)
este situat\u0103 la o distan\u021b\u0103 geografic\u0103 fa\u021b\u0103 de unitatea de prelucrare principal\u0103 pentru a se asigura c\u0103 are un profil de risc distinct \u0219i pentru a preveni afectarea acesteia de c\u0103tre evenimentul care a afectat unitatea de prelucrare principal\u0103;
(b)
este capabil\u0103 s\u0103 asigure continuitatea func\u021biilor critice sau importante \u00een mod identic cu unitatea de prelucrare principal\u0103 sau s\u0103 furnizeze serviciile la nivelul necesar pentru a se asigura c\u0103 entitatea financiar\u0103 \u00ee\u0219i desf\u0103\u0219oar\u0103 opera\u021biunile critice \u00een conformitate cu obiectivele de recuperare;
(c)
este imediat accesibil\u0103 personalului entit\u0103\u021bii financiare pentru a asigura continuitatea func\u021biilor critice sau importante \u00een cazul \u00een care unitatea de prelucrare principal\u0103 a devenit indisponibil\u0103.
(6)
Pentru a stabili obiectivele cu privire la intervalele de timp \u0219i momentele de la care se pot recupera datele \u00een urma unei \u00eentreruperi \u0219i intervalele maxime de recuperare \u00een urma unei \u00eentreruperi, pentru fiecare func\u021bie, entit\u0103\u021bile financiare iau \u00een considerare dac\u0103 este vorba de o func\u021bie critic\u0103 sau important\u0103 \u0219i impactul poten\u021bial global asupra eficien\u021bei pie\u021bei. Aceste obiective temporale asigur\u0103 c\u0103, \u00een scenarii extreme, nivelurile convenite ale serviciilor sunt respectate.
(7)
\u00cen cazul recuper\u0103rii \u00een urma unui incident legat de TIC, entit\u0103\u021bile financiare efectueaz\u0103 verific\u0103ri necesare, inclusiv verific\u0103ri \u0219i reconcilieri multiple, pentru a se asigura c\u0103 nivelul de integritate a datelor este cel mai ridicat. Aceste verific\u0103ri se efectueaz\u0103, de asemenea, atunci c\u00e2nd sunt reconstituite date de la p\u0103r\u021bile interesate externe, pentru a se asigura c\u0103 toate datele sunt coerente \u00eentre sisteme.
Articolul 13
\u00cenv\u0103\u021b\u0103minte \u0219i perspective de dezvoltare
(1)
Entit\u0103\u021bile financiare dispun de capacit\u0103\u021bi \u0219i de personal pentru a colecta informa\u021bii cu privire la vulnerabilit\u0103\u021bi, amenin\u021b\u0103ri cibernetice \u0219i incidente legate de TIC, \u00een special atacuri cibernetice, \u0219i pentru a analiza impactul pe care acestea l-ar putea avea asupra rezilien\u021bei lor opera\u021bionale digitale.
(2)
Entit\u0103\u021bile financiare instituie verific\u0103ri ulterioare incidentelor legate de TIC dup\u0103 ce un incident major legat de TIC le perturb\u0103 activit\u0103\u021bile de baz\u0103, analiz\u00e2nd cauzele perturb\u0103rii \u0219i identific\u00e2nd \u00eembun\u0103t\u0103\u021birile necesare pentru opera\u021biunile TIC sau \u00een cadrul politicii de continuitate a activit\u0103\u021bii TIC men\u021bionate la articolul 11.
Entit\u0103\u021bile financiare, altele dec\u00e2t micro\u00eentreprinderile, comunic\u0103 autorit\u0103\u021bilor competente, la cerere, modific\u0103rile care au fost operate \u00een urma verific\u0103rilor ulterioare incidentelor legate de TIC, astfel cum sunt men\u021bionate la primul paragraf.
Verific\u0103rile ulterioare incidentelor legate de TIC men\u021bionate la primul paragraf stabilesc dac\u0103 procedurile instituite au fost urmate \u0219i dac\u0103 m\u0103surile luate au fost eficace, inclusiv \u00een ceea ce prive\u0219te urm\u0103toarele:
(a)
promptitudinea reac\u021biei la alertele de securitate \u0219i determinarea impactului \u0219i a gravit\u0103\u021bii incidentelor legate de TIC;
(b)
calitatea \u0219i rapiditatea efectu\u0103rii unei analize judiciare, acolo unde se consider\u0103 necesar;
(c)
eficacitatea activ\u0103rii nivelurilor succesive de interven\u021bie (incident escalation) \u00een caz de incidente \u00een cadrul entit\u0103\u021bii financiare;
(d)
eficacitatea comunic\u0103rii interne \u0219i externe.
(3)
\u00cenv\u0103\u021b\u0103mintele desprinse \u00een urma test\u0103rii rezilien\u021bei opera\u021bionale digitale, efectuat\u0103 \u00een conformitate cu articolele 26 \u0219i 27, precum \u0219i \u00een urma incidentelor reale legate de TIC, \u00een special a atacurilor cibernetice, al\u0103turi de provoc\u0103rile \u00eent\u00e2mpinate la activarea planurilor de continuitate a activit\u0103\u021bii TIC \u0219i a planurilor de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC, \u00eempreun\u0103 cu informa\u021biile relevante schimbate cu contrap\u0103r\u021bile \u0219i evaluate \u00een timpul proceselor de supraveghere, sunt \u00eencorporate \u00een mod corespunz\u0103tor \u0219i continuu \u00een procesul de evaluare a riscurilor TIC. Constat\u0103rile respective stau la baza unor revizuiri corespunz\u0103toare ale componentelor relevante ale cadrului de gestionare a riscurilor TIC men\u021bionat la articolul 6 alineatul (1).
L 333\/36 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(4)
Entit\u0103\u021bile financiare monitorizeaz\u0103 eficacitatea punerii \u00een aplicare a strategiei lor privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 men\u021bionate la articolul 6 alineatul (8). Acestea cartografiaz\u0103 evolu\u021bia riscurilor TIC de-a lungul timpului, analizeaz\u0103 frecven\u021ba, tipurile, magnitudinea \u0219i evolu\u021bia incidentelor legate de TIC, \u00een special a atacurilor cibernetice \u0219i a modelelor lor, \u00een vederea \u00een\u021belegerii nivelului expunerii la riscurile TIC, \u00een special \u00een leg\u0103tur\u0103 cu func\u021biile critice sau importante, \u0219i a consolid\u0103rii gradului de maturitate \u0219i de preg\u0103tire cibernetic\u0103 a entit\u0103\u021bii financiare.
(5)
Personalul de nivel superior din domeniul TIC raporteaz\u0103 cel pu\u021bin o dat\u0103 pe an c\u0103tre organul de conducere cu privire la rezultatele men\u021bionate la alineatul (3) \u0219i propune recomand\u0103ri.
(6)
Entit\u0103\u021bile financiare elaboreaz\u0103 programe de con\u0219tientizare cu privire la securitatea TIC \u0219i cursuri de formare \u00een domeniul rezilien\u021bei opera\u021bionale digitale ca module obligatorii \u00een cadrul programelor lor de formare a personalului. Respectivele programe \u0219i cursuri de formare se aplic\u0103 tuturor angaja\u021bilor \u0219i personalului de conducere de nivel superior \u0219i au un nivel de complexitate propor\u021bional cu sfera de competen\u021b\u0103 a func\u021biilor lor. Dup\u0103 caz, entit\u0103\u021bile financiare includ, de asemenea, furnizorii ter\u021bi de servicii TIC \u00een programele lor de formare relevante, \u00een conformitate cu articolul 30 alineatul (2) litera (i).
(7)
Entit\u0103\u021bile financiare altele dec\u00e2t micro\u00eentreprinderile monitorizeaz\u0103 evolu\u021biile tehnologice relevante \u00een mod continuu, inclusiv pentru a \u00een\u021belege posibilul impact al implement\u0103rii unor astfel de noi tehnologii asupra cerin\u021belor \u00een materie de securitate TIC \u0219i a rezilien\u021bei opera\u021bionale digitale. Acestea trebuie s\u0103 aib\u0103 informa\u021bii actualizate cu privire la cele mai recente procese de gestionare a riscurilor TIC, cu scopul de a contracara cu eficacitate formele existente sau noi de atacuri cibernetice.
Articolul 14
Comunicare
(1)
Ca parte a cadrului de gestionare a riscurilor TIC men\u021bionat la articolul 6 alineatul (1), entit\u0103\u021bile financiare instituie planuri de comunicare \u00een situa\u021bii de criz\u0103 care permit o informare responsabil\u0103 a clien\u021bilor \u0219i a contrap\u0103r\u021bilor, precum \u0219i a publicului, dup\u0103 caz, cu privire la, cel pu\u021bin, incidentele majore sau vulnerabilit\u0103\u021bile legate de TIC.
(2)
Ca parte a cadrului de gestionare a riscurilor TIC, entit\u0103\u021bile financiare pun \u00een aplicare politici de comunicare pentru personalul intern \u0219i pentru p\u0103r\u021bile interesate externe. Politicile de comunicare pentru personal \u021bin seama de necesitatea de a face distinc\u021bia \u00eentre personalul implicat \u00een gestionarea riscurilor TIC, \u00een special personalul responsabil pentru r\u0103spuns \u0219i recuperare, \u0219i personalul care trebuie s\u0103 fie informat.
(3)
Cel pu\u021bin o persoan\u0103 din entitatea financiar\u0103 este \u00eens\u0103rcinat\u0103 cu punerea \u00een aplicare a strategiei de comunicare pentru incidentele legate de TIC \u0219i \u00eendepline\u0219te \u00een acest scop func\u021bia de leg\u0103tur\u0103 cu publicul \u0219i mass-media.
Articolul 15
Armonizarea suplimentar\u0103 a instrumentelor, metodelor, proceselor \u0219i politicilor de gestionare a riscurilor TIC
AES elaboreaz\u0103, prin intermediul Comitetului comun, \u00een consultare cu Agen\u021bia Uniunii Europene pentru Securitate Cibernetic\u0103 (ENISA), proiecte comune de standarde tehnice de reglementare \u00een urm\u0103toarele scopuri:
(a)
pentru a aduce preciz\u0103ri suplimentare privind elementele necesare a fi incluse \u00een politicile, procedurile, protocoalele \u0219i instrumentele de securitate TIC men\u021bionate la articolul 9 alineatul (2), \u00een scopul asigur\u0103rii securit\u0103\u021bii re\u021belelor, al asigur\u0103rii unor garan\u021bii adecvate \u00eempotriva intruziunilor \u0219i a utiliz\u0103rii necorespunz\u0103toare a datelor, al men\u021binerii disponibilit\u0103\u021bii, autenticit\u0103\u021bii, integrit\u0103\u021bii \u0219i confiden\u021bialit\u0103\u021bii datelor, inclusiv tehnici criptografice, \u0219i al garant\u0103rii unei transmiteri exacte \u0219i rapide a datelor f\u0103r\u0103 perturb\u0103ri majore \u0219i f\u0103r\u0103 \u00eent\u00e2rzieri nejustificate;
(b)
pentru a aduce preciz\u0103ri suplimentare privind componentele controalelor drepturilor de gestionare a accesului men\u021bionate la articolul 9 alineatul (4) litera (c) \u0219i politica privind resursele umane aferent\u0103, preciz\u00e2nd drepturile de acces, procedurile de acordare \u0219i de revocare a drepturilor, monitorizarea comportamentului anormal \u00een ceea ce prive\u0219te riscurile TIC prin intermediul unor indicatori adecva\u021bi, inclusiv pentru modelele de utilizare a re\u021belei, orele, activitatea IT \u0219i dispozitivele necunoscute;
(c)
pentru a aduce preciz\u0103ri suplimentare privind mecanismele men\u021bionate la articolul 10 alineatul (1) care permit detectarea rapid\u0103 a activit\u0103\u021bilor anormale \u0219i criteriile men\u021bionate la articolul 10 alineatul (2) care declan\u0219eaz\u0103 procesele de detectare \u0219i de r\u0103spuns la incidentele legate de TIC;
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/37
(d)
pentru a aduce preciz\u0103ri suplimentare privind componentele politicii de continuitate a activit\u0103\u021bii TIC, men\u021bionat\u0103 la articolul 11 alineatul (1);
(e)
pentru a aduce preciz\u0103ri suplimentare privind testarea planurilor de continuitate a activit\u0103\u021bii TIC men\u021bionate la articolul 11 alineatul (6), pentru a asigura faptul c\u0103 o astfel de testare \u021bine seama \u00een mod corespunz\u0103tor de scenariile \u00een care calitatea furniz\u0103rii unei func\u021bii critice sau importante se deterioreaz\u0103 p\u00e2n\u0103 la un nivel inacceptabil sau e\u0219ueaz\u0103, precum \u0219i c\u0103 ia \u00een considerare \u00een mod corespunz\u0103tor impactul poten\u021bial al insolven\u021bei sau al altor disfunc\u021bionalit\u0103\u021bi ale oric\u0103rui furnizor ter\u021b de servicii TIC relevant \u0219i, dac\u0103 este cazul, riscurile politice din jurisdic\u021biile furnizorilor respectivi;
(f)
pentru a aduce preciz\u0103ri suplimentare privind componentele planurilor de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC men\u021bionate la articolul 11 alineatul (3);
(g)
pentru a aduce preciz\u0103ri suplimentare privind con\u021binutul \u0219i formatul raportului referitor la revizuirea cadrului de gestionare a riscurilor TIC men\u021bionat la articolul 6 alineatul (5).
Atunci c\u00e2nd elaboreaz\u0103 proiectele respective de standarde tehnice de reglementare, AES iau \u00een considerare dimensiunea \u0219i profilul general de risc al entit\u0103\u021bii financiare, precum \u0219i natura, amploarea \u0219i complexitatea serviciilor, activit\u0103\u021bilor \u0219i opera\u021biunilor sale, \u021bin\u00e2nd seama \u00een mod corespunz\u0103tor de orice caracteristic\u0103 specific\u0103 care decurge din natura distinct\u0103 a activit\u0103\u021bilor din diferite sectoare de servicii financiare.
AES transmit Comisiei aceste proiecte de standarde tehnice de reglementare p\u00e2n\u0103 la 17 ianuarie 2024.
Se deleag\u0103 Comisiei competen\u021ba de a completa prezentul regulament prin adoptarea standardelor tehnice de reglementare men\u021bionate la primul paragraf, \u00een conformitate cu articolele 10-14 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
Articolul 16
Cadrul simplificat de gestionare a riscurilor TIC
(1)
Articolele 5-15 din prezentul regulament nu se aplic\u0103 firmelor de investi\u021bii mici \u0219i neinterconectate, institu\u021biilor de plat\u0103 exceptate \u00een temeiul Directivei (UE) 2015\/2366; institu\u021biilor exceptate \u00een temeiul Directivei 2013\/36\/UE \u00een cazul c\u0103rora statele membre au decis s\u0103 nu aplice op\u021biunea men\u021bionat\u0103 la articolul 2 alineatul (4) din prezentul regulament; institu\u021biilor emitente de moned\u0103 electronic\u0103 exceptate \u00een temeiul Directivei 2009\/110\/CE; \u0219i nici institu\u021biilor mici pentru furnizarea de pensii ocupa\u021bionale.
F\u0103r\u0103 a aduce atingere primului paragraf, entit\u0103\u021bile men\u021bionate la primul paragraf:
(a)
instituie \u0219i men\u021bin un cadru solid \u0219i documentat de gestionare a riscurilor TIC care detaliaz\u0103 mecanismele \u0219i m\u0103surile care vizeaz\u0103 o gestionare rapid\u0103, eficient\u0103 \u0219i cuprinz\u0103toare a riscurilor TIC, inclusiv pentru protec\u021bia componentelor \u0219i infrastructurilor fizice relevante;
(b)
monitorizeaz\u0103 \u00een permanen\u021b\u0103 securitatea \u0219i func\u021bionarea tuturor sistemelor TIC;
(c)
reduc la minimum impactul riscurilor TIC prin utilizarea unor sisteme, protocoale \u0219i instrumente TIC solide, reziliente \u0219i actualizate care sunt adecvate pentru a sprijini desf\u0103\u0219urarea activit\u0103\u021bilor lor \u0219i furnizarea serviciilor \u0219i protejeaz\u0103 \u00een mod adecvat disponibilitatea, autenticitatea, integritatea \u0219i confiden\u021bialitatea datelor din re\u021bele \u0219i sistemele informatice;
(d)
permit identificarea \u0219i detectarea rapid\u0103 a surselor de riscuri TIC \u0219i a anomaliilor din re\u021bele \u0219i sistemele informatice, precum \u0219i gestionarea rapid\u0103 a incidentelor legate de TIC;
(e)
identific\u0103 principalele dependen\u021be fa\u021b\u0103 de furnizorii ter\u021bi de servicii TIC;
(f)
asigur\u0103 continuitatea func\u021biilor critice sau importante, prin planuri de continuitate a activit\u0103\u021bii \u0219i m\u0103suri de r\u0103spuns \u0219i de recuperare, care includ, cel pu\u021bin, m\u0103suri privind copii de rezerv\u0103 \u0219i restaurarea;
(g)
testeaz\u0103 cu regularitate planurile \u0219i m\u0103surile men\u021bionate la litera (f), precum \u0219i eficacitatea controalelor puse \u00een aplicare \u00een conformitate cu literele (a) \u0219i (c);
L 333\/38 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(h)
implementeaz\u0103, dup\u0103 caz, concluziile opera\u021bionale relevante rezultate din testele men\u021bionate la litera (g) \u0219i din analiza ulterioar\u0103 incidentului \u00een procesul de evaluare a riscurilor TIC \u0219i elaboreaz\u0103, \u00een func\u021bie de nevoi \u0219i de profilul de risc TIC, programe de con\u0219tientizare cu privire la securitatea TIC \u0219i cursuri de formare \u00een domeniul rezilien\u021bei opera\u021bionale digitale destinate personalului \u0219i conducerii.
(2)
Cadrul de gestionare a riscurilor TIC men\u021bionat la alineatul (1) al doilea paragraf litera (a) se documenteaz\u0103 \u0219i se revizuie\u0219te periodic, precum \u0219i \u00een momentul producerii unor incidente majore legate de TIC, \u00een conformitate cu instruc\u021biunile de supraveghere. Acesta este \u00eembun\u0103t\u0103\u021bit \u00een permanen\u021b\u0103, pe baza \u00eenv\u0103\u021b\u0103mintelor desprinse \u00een urma punerii \u00een aplicare \u0219i a monitoriz\u0103rii. Autorit\u0103\u021bii competente i se prezint\u0103, la cererea sa, un raport privind revizuirea cadrului de gestionare a riscurilor TIC.
(3)
AES elaboreaz\u0103, prin intermediul Comitetului comun, \u00een consultare cu ENISA, proiecte comune de standarde tehnice de reglementare \u00een urm\u0103toarele scopuri:
(a)
pentru a aduce preciz\u0103ri suplimentare privind elementele care trebuie incluse \u00een cadrul de gestionare a riscurilor TIC men\u021bionat la alineatul (1) al doilea paragraf litera (a);
(b)
pentru a aduce preciz\u0103ri suplimentare privind elementele legate de sistemele, protocoalele \u0219i instrumentele destinate reducerii la minimum a impactului riscurilor TIC men\u021bionate la alineatul (1) al doilea paragraf litera (c), \u00een scopul asigur\u0103rii securit\u0103\u021bii re\u021belelor, al asigur\u0103rii unor garan\u021bii adecvate \u00eempotriva intruziunilor \u0219i a utiliz\u0103rii necorespunz\u0103toare a datelor \u0219i al men\u021binerii disponibilit\u0103\u021bii, autenticit\u0103\u021bii, integrit\u0103\u021bii \u0219i confiden\u021bialit\u0103\u021bii datelor;
(c)
pentru a aduce preciz\u0103ri suplimentare privind componentele planurilor de continuitate a activit\u0103\u021bii TIC men\u021bionate la alineatul (1) al doilea paragraf litera (f);
(d)
pentru a aduce preciz\u0103ri suplimentare privind normele referitoare la testarea planurilor de continuitate a activit\u0103\u021bii \u0219i pentru a asigura eficacitatea controalelor men\u021bionate la alineatul (1) al doilea paragraf litera (g), precum \u0219i pentru a garanta faptul c\u0103 o astfel de testare \u021bine seama \u00een mod corespunz\u0103tor de scenariile \u00een care calitatea furniz\u0103rii unei func\u021bii critice sau importante se deterioreaz\u0103 p\u00e2n\u0103 la un nivel inacceptabil sau e\u0219ueaz\u0103;
(e)
pentru a aduce preciz\u0103ri suplimentare privind con\u021binutul \u0219i formatul raportului referitor la revizuirea cadrului de gestionare a riscurilor TIC men\u021bionat la alineatul (2).
Atunci c\u00e2nd elaboreaz\u0103 proiectele respective de standarde tehnice de reglementare, AES iau \u00een considerare dimensiunea \u0219i profilul general de risc al entit\u0103\u021bii financiare, precum \u0219i natura, amploarea \u0219i complexitatea serviciilor, activit\u0103\u021bilor \u0219i opera\u021biunilor sale.
AES transmit Comisiei aceste proiecte de standarde tehnice de reglementare p\u00e2n\u0103 la 17 ianuarie 2024.
Se deleag\u0103 Comisiei competen\u021ba de a completa prezentul regulament prin adoptarea standardelor tehnice de reglementare men\u021bionate la primul paragraf, \u00een conformitate cu articolele 10-14 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
CAPITOLUL III
Gestionarea, clasificarea \u0219i raportarea incidentelor legate de TIC
Articolul 17
Procesul de gestionare a incidentelor legate de TIC
(1)
Entit\u0103\u021bile financiare definesc, instituie \u0219i pun \u00een aplicare un proces de gestionare a incidentelor legate de TIC pentru a detecta, a gestiona \u0219i a notifica incidentele legate de TIC.
(2)
Entit\u0103\u021bile financiare \u00eenregistreaz\u0103 toate incidentele legate de TIC \u0219i amenin\u021b\u0103rile cibernetice semnificative. Entit\u0103\u021bile financiare instituie proceduri \u0219i procese adecvate pentru a garanta monitorizarea, tratarea \u0219i urm\u0103rirea consecvent\u0103 \u0219i integrat\u0103 a incidentelor legate de TIC, pentru a asigura identificarea, documentarea \u0219i abordarea cauzelor lor principale, astfel \u00eenc\u00e2t s\u0103 se previn\u0103 apari\u021bia unor astfel de incidente.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/39
(3)
Procesul de gestionare a incidentelor legate de TIC men\u021bionat la alineatul (1):
(a)
instituie indicatori de avertizare timpurie;
(b)
stabile\u0219te proceduri pentru identificarea, urm\u0103rirea, \u00eenregistrarea, indicarea categoriei \u0219i clasificarea incidentelor legate de TIC \u00een func\u021bie de prioritatea \u0219i de gravitatea lor \u0219i \u00een func\u021bie de caracterul critic al serviciilor afectate, \u00een conformitate cu criteriile stabilite la articolul 18 alineatul (1);
(c)
aloc\u0103 roluri \u0219i responsabilit\u0103\u021bi care trebuie activate pentru diferite tipuri \u0219i scenarii de incidente legate de TIC;
(d)
stabile\u0219te planuri pentru comunicarea cu personalul, cu p\u0103r\u021bile interesate externe \u0219i cu mass-media, \u00een conformitate cu articolul 14, \u0219i pentru notificarea clien\u021bilor, proceduri interne de activare a nivelurilor succesive de interven\u021bie (escalation), inclusiv \u00een cazul unor pl\u00e2ngeri din partea clien\u021bilor legate de TIC, precum \u0219i pentru furnizarea de informa\u021bii entit\u0103\u021bilor financiare care ac\u021bioneaz\u0103 \u00een calitate de contrap\u0103r\u021bi, dup\u0103 caz;
(e)
asigur\u0103 c\u0103 cel pu\u021bin incidentele majore legate de TIC sunt raportate conducerii superioare relevante \u0219i informeaz\u0103 organul de conducere cu privire la cel pu\u021bin incidentele majore legate de TIC, explic\u00e2nd impactul, r\u0103spunsul \u0219i controalele suplimentare care urmeaz\u0103 s\u0103 fie instituite ca urmare a unor astfel de incidente legate de TIC;
(f)
stabile\u0219te proceduri de r\u0103spuns la incidentele legate de TIC \u00een vederea atenu\u0103rii efectelor \u0219i a asigur\u0103rii faptului c\u0103 serviciile devin opera\u021bionale \u0219i sigure \u00een timp util.
Articolul 18
Clasificarea incidentelor legate de TIC \u0219i a amenin\u021b\u0103rilor cibernetice
(1)
Entit\u0103\u021bile financiare clasific\u0103 incidentele legate de TIC \u0219i determin\u0103 impactul acestora pe baza urm\u0103toarelor criterii:
(a)
num\u0103rul \u0219i\/sau relevan\u021ba clien\u021bilor sau a contrap\u0103r\u021bilor financiare afectate \u0219i, dup\u0103 caz, cuantumul \u0219i num\u0103rul tranzac\u021biilor afectate de incidentul legat de TIC, precum \u0219i eventualul impact al incidentului legat de TIC asupra reputa\u021biei;
(b)
durata incidentului legat de TIC, inclusiv perioada de indisponibilitate a serviciului;
(c)
\u00eentinderea geografic\u0103 \u00een ceea ce prive\u0219te zonele afectate de incidentul legat de TIC, \u00een special \u00een cazul \u00een care acesta afecteaz\u0103 mai mult de dou\u0103 state membre;
(d)
pierderile de date pe care le implic\u0103 incidentul legat de TIC, \u00een ceea ce prive\u0219te disponibilitatea, autenticitatea, integritatea sau confiden\u021bialitatea datelor;
(e)
caracterul critic al serviciilor afectate, inclusiv al tranzac\u021biilor \u0219i opera\u021biunilor entit\u0103\u021bii financiare;
(f)
impactul economic, \u00een special costurile \u0219i pierderile directe \u0219i indirecte, ale incidentului legat de TIC, \u00een termeni at\u00e2t absolu\u021bi, c\u00e2t \u0219i relativi.
(2)
Entit\u0103\u021bile financiare clasific\u0103 amenin\u021b\u0103rile cibernetice ca fiind semnificative pe baza caracterului critic al serviciilor expuse riscului, inclusiv al tranzac\u021biilor \u0219i opera\u021biunilor entit\u0103\u021bii financiare, precum \u0219i pe baza num\u0103rului \u0219i\/sau relevan\u021bei clien\u021bilor sau a contrap\u0103r\u021bilor financiare vizate \u0219i a \u00eentinderii geografice a zonelor expuse riscului.
(3)
AES elaboreaz\u0103, prin intermediul Comitetului comun \u0219i \u00een consultare cu BCE \u0219i ENISA, proiecte comune de standarde tehnice de reglementare pentru a aduce preciz\u0103ri suplimentare privind urm\u0103toarele:
(a)
criteriile men\u021bionate la alineatul (1), inclusiv pragurile de semnifica\u021bie pentru determinarea incidentelor majore legate de TIC sau, dup\u0103 caz, a incidentelor majore opera\u021bionale sau de securitate legate de pl\u0103\u021bi care fac obiectul obliga\u021biei de raportare prev\u0103zute la articolul 19 alineatul (1);
(b)
criteriile care trebuie aplicate de autorit\u0103\u021bile competente \u00een scopul evalu\u0103rii relevan\u021bei incidentelor majore legate de TIC sau, dup\u0103 caz, a incidentelor majore opera\u021bionale sau de securitate legate de pl\u0103\u021bi, pentru autorit\u0103\u021bile competente relevante ale altor state membre, precum \u0219i detaliile rapoartelor referitoare la incidentele majore legate de TIC sau, dup\u0103 caz, incidentele majore opera\u021bionale sau de securitate legate de pl\u0103\u021bi care trebuie s\u0103 fie comunicate altor autorit\u0103\u021bi competente \u00een temeiul articolului 19 alineatele (6) \u0219i (7);
(c)
criteriile prev\u0103zute la alineatul (2) de la prezentul articol, inclusiv pragurile \u00eenalte de semnifica\u021bie pentru determinarea amenin\u021b\u0103rilor cibernetice semnificative.
L 333\/40 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(4)
Atunci c\u00e2nd elaboreaz\u0103 proiectele comune de standarde tehnice de reglementare men\u021bionate la alineatul (3) de la prezentul articol, AES \u021bin seama de criteriile stabilite la articolul 4 alineatul (2), precum \u0219i de standardele interna\u021bionale \u0219i de orient\u0103rile \u0219i specifica\u021biile elaborate \u0219i publicate de ENISA, inclusiv, dup\u0103 caz, de specifica\u021biile pentru alte sectoare economice. \u00cen scopul aplic\u0103rii criteriilor prev\u0103zute la articolul 4 alineatul (2), AES iau \u00een considerare \u00een mod corespunz\u0103tor necesitatea ca micro\u00eentreprinderile \u0219i \u00eentreprinderile mici \u0219i mijlocii s\u0103 mobilizeze resurse \u0219i capacit\u0103\u021bi suficiente pentru a se asigura c\u0103 incidentele legate de TIC sunt gestionate rapid.
AES transmit Comisiei aceste proiecte comune de standarde tehnice de reglementare p\u00e2n\u0103 la 17 ianuarie 2024.
Se deleag\u0103 Comisiei competen\u021ba de a completa prezentul regulament prin adoptarea standardelor tehnice de reglementare men\u021bionate la alineatul (3), \u00een conformitate cu articolele 10-14 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
Articolul 19
Raportarea incidentelor majore legate de TIC \u0219i notificarea voluntar\u0103 a amenin\u021b\u0103rilor cibernetice semnificative
(1)
Entit\u0103\u021bile financiare raporteaz\u0103 incidentele majore legate de TIC autorit\u0103\u021bii competente relevante men\u021bionate la articolul 46 \u00een conformitate cu alineatul (4) de la prezentul articol.
\u00cen cazul \u00een care o entitate financiar\u0103 face obiectul supravegherii de c\u0103tre mai mult de o autoritate na\u021bional\u0103 competent\u0103 astfel cum este men\u021bionat\u0103 la articolul 46, statele membre desemneaz\u0103 o autoritate competent\u0103 unic\u0103 drept autoritate competent\u0103 relevant\u0103 responsabil\u0103 cu \u00eendeplinirea func\u021biilor \u0219i a sarcinilor prev\u0103zute la prezentul articol.
Institu\u021biile de credit clasificate drept semnificative, \u00een conformitate cu articolul 6 alineatul (4) din Regulamentul (UE) nr. 1024\/2013, prezint\u0103 un raport referitor la incidentele majore legate de TIC autorit\u0103\u021bii na\u021bionale competente relevante desemnate \u00een conformitate cu articolul 4 din Directiva 2013\/36\/UE, care transmite imediat raportul respectiv c\u0103tre BCE.
\u00cen sensul primului paragraf, dup\u0103 colectarea \u0219i analizarea tuturor informa\u021biilor relevante, entit\u0103\u021bile financiare efectueaz\u0103 notificarea ini\u021bial\u0103 \u0219i elaboreaz\u0103 rapoartele men\u021bionate la alineatul (4) de la prezentul articol, utiliz\u00e2nd modelele men\u021bionate la articolul 20, \u0219i le transmit autorit\u0103\u021bii competente. \u00cen cazul \u00een care o imposibilitate tehnic\u0103 \u00eempiedic\u0103 transmiterea notific\u0103rii ini\u021biale utiliz\u00e2nd modelul, entit\u0103\u021bile financiare informeaz\u0103 autoritatea competent\u0103 cu privire la aceasta prin mijloace alternative.
Notificarea ini\u021bial\u0103 \u0219i rapoartele men\u021bionate la alineatul (4) includ toate informa\u021biile necesare autorit\u0103\u021bii competente pentru a determina semnifica\u021bia incidentului major legat de TIC \u0219i a evalua posibilele efecte transfrontaliere.
F\u0103r\u0103 a aduce atingere raport\u0103rii prev\u0103zute la primul paragraf de c\u0103tre entit\u0103\u021bile financiare c\u0103tre autoritatea competent\u0103 relevant\u0103, statele membre pot stabili \u00een plus ca unele entit\u0103\u021bi financiare sau toate aceste entit\u0103\u021bi s\u0103 transmit\u0103, de asemenea, notificarea ini\u021bial\u0103 \u0219i fiecare raport men\u021bionat la alineatul (4) de la prezentul articol, folosind modelele men\u021bionate la articolul 20, autorit\u0103\u021bilor competente sau echipelor de interven\u021bie \u00een caz de incidente de securitate informatic\u0103 (echipe CSIRT) desemnate sau instituite \u00een conformitate cu Directiva (UE) 2022\/2555.
(2)
Entit\u0103\u021bile financiare pot notifica, \u00een mod voluntar, amenin\u021b\u0103rile cibernetice semnificative c\u0103tre autoritatea competent\u0103 relevant\u0103 atunci c\u00e2nd consider\u0103 c\u0103 amenin\u021barea este relevant\u0103 pentru sistemul financiar, pentru utilizatorii serviciilor sau pentru clien\u021bi. Autoritatea competent\u0103 relevant\u0103 poate furniza astfel de informa\u021bii \u0219i altor autorit\u0103\u021bi relevante, men\u021bionate la alineatul (6).
Institu\u021biile de credit clasificate drept semnificative, \u00een conformitate cu articolul 6 alineatul (4) din Regulamentul (UE) nr. 1024\/2013, pot notifica, \u00een mod voluntar, amenin\u021b\u0103rile cibernetice semnificative c\u0103tre autoritatea na\u021bional\u0103 competent\u0103 relevant\u0103, desemnat\u0103 \u00een conformitate cu articolul 4 din Directiva 2013\/36\/UE, care transmite imediat notificarea c\u0103tre BCE.
Statele membre pot stabili c\u0103 entit\u0103\u021bile financiare care fac \u00een mod voluntar o notificare \u00een conformitate cu primul paragraf pot transmite, de asemenea, notificarea respectiv\u0103 c\u0103tre echipele CSIRT desemnate sau instituite \u00een conformitate cu Directiva (UE) 2022\/2555.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/41
(3)
\u00cen cazul \u00een care are loc un incident major legat de TIC care are un impact asupra intereselor financiare ale clien\u021bilor lor, entit\u0103\u021bile financiare \u00eei informeaz\u0103 pe ace\u0219tia, f\u0103r\u0103 \u00eent\u00e2rzieri nejustificate, de \u00eendat\u0103 ce afl\u0103 despre incidentul major legat de TIC, cu privire la incidentul respectiv \u0219i la m\u0103surile care au fost luate pentru a atenua efectele negative ale unui astfel de incident.
\u00cen cazul unei amenin\u021b\u0103ri cibernetice semnificative, entit\u0103\u021bile financiare \u00ee\u0219i informeaz\u0103, dup\u0103 caz, clien\u021bii care ar putea fi afecta\u021bi cu privire la eventualele m\u0103suri de protec\u021bie adecvate pe care ace\u0219tia din urm\u0103 ar putea dori s\u0103 le ia.
(4)
P\u00e2n\u0103 la termenele care urmeaz\u0103 s\u0103 fie stabilite \u00een conformitate cu articolul 20 primul paragraf litera (a) punctul (ii), entit\u0103\u021bile financiare transmit autorit\u0103\u021bii competente relevante urm\u0103toarele:
(a)
o notificare ini\u021bial\u0103;
(b)
un raport intermediar dup\u0103 notificarea ini\u021bial\u0103 men\u021bionat\u0103 la litera (a) de \u00eendat\u0103 ce starea incidentului ini\u021bial s-a schimbat \u00een mod semnificativ sau gestionarea incidentului major legat de TIC s-a schimbat pe baza noilor informa\u021bii disponibile, urmat, dup\u0103 caz, de notific\u0103ri actualizate de fiecare dat\u0103 c\u00e2nd este disponibil\u0103 o actualizare relevant\u0103 a st\u0103rii, precum \u0219i la cererea specific\u0103 a autorit\u0103\u021bii competente;
(c)
un raport final, atunci c\u00e2nd analiza cauzelor principale a fost finalizat\u0103, indiferent dac\u0103 m\u0103surile de atenuare au fost sau nu deja puse \u00een aplicare, precum \u0219i atunci c\u00e2nd cifrele efective ale impactului sunt disponibile pentru a \u00eenlocui estim\u0103rile.
(5)
Entit\u0103\u021bile financiare pot externaliza, \u00een conformitate cu legisla\u021bia sectorial\u0103 a Uniunii \u0219i cu cea na\u021bional\u0103, obliga\u021biile de raportare prev\u0103zute la prezentul articol c\u0103tre un furnizor ter\u021b de servicii. \u00cen cazul unei astfel de externaliz\u0103ri, entitatea financiar\u0103 r\u0103m\u00e2ne pe deplin responsabil\u0103 de \u00eendeplinirea cerin\u021belor legate de raportarea incidentului.
(6)
La primirea notific\u0103rii ini\u021biale \u0219i a fiec\u0103rui raport men\u021bionat la alineatul (4), autoritatea competent\u0103 furnizeaz\u0103, \u00een timp util, detalii privind incidentul major legat de TIC urm\u0103torilor destinatari, pe baza, dup\u0103 caz, a competen\u021belor lor respective:
(a)
ABE, ESMA sau EIOPA;
(b)
BCE, \u00een cazul entit\u0103\u021bilor financiare men\u021bionate la articolul 2 alineatul (1) literele (a), (b) \u0219i (d);
(c)
autorit\u0103\u021bile competente, punctele unice de contact sau echipele CSIRT desemnate sau instituite \u00een conformitate cu Directiva (UE) 2022\/2555;
(d)
autorit\u0103\u021bile de rezolu\u021bie, astfel cum sunt men\u021bionate la articolul 3 din Directiva 2014\/59\/UE, \u0219i Comitetul unic de rezolu\u021bie (SRB) \u00een ceea ce prive\u0219te entit\u0103\u021bile men\u021bionate la articolul 7 alineatul (2) din Regulamentul (UE) nr. 806\/2014 al Parlamentului European \u0219i al Consiliului(37), precum \u0219i \u00een ceea ce prive\u0219te entit\u0103\u021bile \u0219i grupurile men\u021bionate la articolul 7 alineatul (4) litera (b) \u0219i alineatul (5) din Regulamentul (UE) nr. 806\/2014 dac\u0103 aceste detalii se refer\u0103 la incidente care prezint\u0103 un risc pentru asigurarea func\u021biilor critice \u00een sensul articolului 2 alineatul (1) punctul 35 din Directiva 2014\/59\/UE; \u0219i
(e)
alte autorit\u0103\u021bi publice relevante \u00een temeiul dreptului intern.
(7)
Dup\u0103 primirea informa\u021biilor \u00een conformitate cu alineatul (6), ABE, ESMA sau EIOPA \u0219i BCE, \u00een consultare cu ENISA \u0219i \u00een cooperare cu autoritatea competent\u0103 relevant\u0103, evalueaz\u0103 dac\u0103 incidentul major legat de TIC este relevant pentru autorit\u0103\u021bile competente din alte state membre. \u00cen urma acestei evalu\u0103ri, ABE, ESMA sau EIOPA notific\u0103 \u00een consecin\u021b\u0103, c\u00e2t mai cur\u00e2nd posibil, autorit\u0103\u021bile competente relevante din alte state membre. BCE notific\u0103 membrilor Sistemului European al B\u0103ncilor Centrale aspectele relevante pentru sistemul de plat\u0103. Pe baza notific\u0103rii respective, autorit\u0103\u021bile competente iau, dup\u0103 caz, toate m\u0103surile necesare pentru protejarea stabilit\u0103\u021bii imediate a sistemului financiar.
(37)Regulamentul (UE) nr. 806\/2014 al Parlamentului European \u0219i al Consiliului din 15 iulie 2014 de stabilire a unor norme uniforme \u0219i a unei proceduri uniforme de rezolu\u021bie a institu\u021biilor de credit \u0219i a anumitor firme de investi\u021bii \u00een cadrul unui mecanism unic de rezolu\u021bie \u0219i al unui fond unic de rezolu\u021bie \u0219i de modificare a Regulamentului (UE) nr. 1093\/2010 (JO L 225, 30.7.2014, p. 1).
L 333\/42 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(8)
Notificarea care trebuie efectuat\u0103 de ESMA \u00een temeiul alineatului (7) de la prezentul articol nu aduce atingere responsabilit\u0103\u021bii autorit\u0103\u021bii competente de a transmite de urgen\u021b\u0103 detaliile incidentului major legat de TIC autorit\u0103\u021bii relevante din statul membru gazd\u0103, \u00een cazul \u00een care un depozitar central de titluri de valoare desf\u0103\u0219oar\u0103 o activitate transfrontalier\u0103 semnificativ\u0103 \u00een statul membru gazd\u0103, \u00een cazul \u00een care incidentul major legat de TIC este susceptibil s\u0103 genereze consecin\u021be grave pentru pie\u021bele financiare din statul membru gazd\u0103 \u0219i \u00een cazul \u00een care exist\u0103 acorduri de cooperare \u00eentre autorit\u0103\u021bile competente \u00een ceea ce prive\u0219te supravegherea entit\u0103\u021bilor financiare.
Articolul 20
Armonizarea con\u021binutului rapoartelor \u0219i a modelelor de rapoarte
AES, prin intermediul Comitetului comun \u0219i \u00een consultare cu ENISA \u0219i BCE, elaboreaz\u0103:
(a)
proiecte comune de standarde tehnice de reglementare av\u00e2nd ca scop urm\u0103toarele:
(i)
stabilirea con\u021binutului rapoartelor \u00een cazul incidentelor majore legate de TIC, cu scopul de a reflecta criteriile prev\u0103zute la articolul 18 alineatul (1) \u0219i de a include elemente suplimentare, precum detalii pentru a stabili dac\u0103 rapoartele sunt relevante pentru alte state membre \u0219i dac\u0103 incidentele constituie incidente majore opera\u021bionale sau de securitate legate de pl\u0103\u021bi;
(ii)
stabilirea termenelor pentru notificarea ini\u021bial\u0103 \u0219i pentru fiecare raport men\u021bionat la articolul 19 alineatul (4);
(iii)
stabilirea con\u021binutului notific\u0103rii privind amenin\u021b\u0103rile cibernetice semnificative.
Atunci c\u00e2nd elaboreaz\u0103 proiectele respective de standarde tehnice de reglementare, AES iau \u00een considerare dimensiunea \u0219i profilul general de risc al entit\u0103\u021bii financiare, precum \u0219i natura, amploarea \u0219i complexitatea serviciilor, activit\u0103\u021bilor \u0219i opera\u021biunilor sale, \u00een special pentru a se asigura c\u0103, \u00een sensul literei (a) punctul (ii) de la prezentul paragraf, existen\u021ba unor termene diferite poate reflecta, dup\u0103 caz, particularit\u0103\u021bile sectoarelor financiare, f\u0103r\u0103 a aduce atingere men\u021binerii unei abord\u0103ri coerente a raport\u0103rii incidentelor legate de TIC \u00een temeiul prezentului regulament \u0219i al Directivei (UE) 2022\/2555. AES furnizeaz\u0103, dup\u0103 caz, justific\u0103ri atunci c\u00e2nd se abat de la abord\u0103rile adoptate \u00een contextul directivei respective;
(b)
proiecte comune de standarde tehnice de punere \u00een aplicare av\u00e2nd ca scop stabilirea formularelor, modelelor \u0219i procedurilor standard pentru raportarea de c\u0103tre entit\u0103\u021bile financiare a unui incident major legat de TIC \u0219i notificarea de c\u0103tre acestea a unei amenin\u021b\u0103ri cibernetice semnificative.
AES transmit Comisiei proiectele comune de standarde tehnice de reglementare men\u021bionate la primul paragraf litera (a) \u0219i proiectele comune de standarde tehnice de punere \u00een aplicare men\u021bionate la primul paragraf litera (b), p\u00e2n\u0103 la 17 iulie 2024.
Se deleag\u0103 Comisiei competen\u021ba de a completa prezentul regulament prin adoptarea standardelor tehnice de reglementare comune men\u021bionate la primul paragraf litera (a), \u00een conformitate cu articolele 10-14 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
Se confer\u0103 Comisiei competen\u021ba de a adopta standardele tehnice de punere \u00een aplicare comune men\u021bionate la primul paragraf litera (b), \u00een conformitate cu articolul 15 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
Articolul 21
Centralizarea raport\u0103rii incidentelor majore legate de TIC
(1)
AES elaboreaz\u0103, prin intermediul Comitetului comun \u0219i \u00een consultare cu BCE \u0219i ENISA, un raport comun de evaluare a fezabilit\u0103\u021bii centraliz\u0103rii suplimentare a raport\u0103rii incidentelor prin crearea unei platforme unice la nivelul UE pentru raportarea incidentelor majore legate de TIC de c\u0103tre entit\u0103\u021bile financiare. Raportul comun analizeaz\u0103 modalit\u0103\u021bile de facilitare a fluxului raport\u0103rii incidentelor legate de TIC, de reducere a costurilor asociate \u0219i de sus\u021binere a analizelor tematice \u00een vederea consolid\u0103rii convergen\u021bei \u00een materie de supraveghere.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/43
(2)
Raportul comun men\u021bionat la alineatul (1) cuprinde cel pu\u021bin urm\u0103toarele elemente:
(a)
condi\u021biile prealabile pentru instituirea unei platforme unice la nivelul UE;
(b)
beneficiile, limit\u0103rile \u0219i riscurile, inclusiv riscurile asociate concentr\u0103rii ridicate a informa\u021biilor sensibile;
(c)
capacitatea necesar\u0103 pentru a asigura interoperabilitatea cu alte sisteme de raportare relevante;
(d)
elemente ale gestion\u0103rii opera\u021bionale;
(e)
condi\u021biile de participare;
(f)
modalit\u0103\u021bile tehnice de accesare a platformei unice la nivelul UE de c\u0103tre entit\u0103\u021bile financiare \u0219i autorit\u0103\u021bile na\u021bionale competente;
(g)
o evaluare preliminar\u0103 a costurilor suportate cu instituirea platformei opera\u021bionale care sprijin\u0103 platforma unic\u0103 la nivelul UE, inclusiv expertiza necesar\u0103.
(3)
AES transmit raportul men\u021bionat la alineatul (1) Parlamentului European, Consiliului \u0219i Comisiei p\u00e2n\u0103 la 17 ianuarie 2025.
Articolul 22
Feedback privind supravegherea
(1)
F\u0103r\u0103 a aduce atingere contribu\u021biei, consultan\u021bei sau solu\u021biilor tehnice \u0219i urm\u0103ririi ulterioare care pot fi oferite, dup\u0103 caz, \u00een conformitate cu dreptul intern, de c\u0103tre echipele CSIRT \u00een temeiul Directivei (UE) 2022\/2555, autoritatea competent\u0103, la primirea notific\u0103rii ini\u021biale \u0219i a fiec\u0103rui raport men\u021bionate la articolul 19 alineatul (4), confirm\u0103 primirea \u0219i poate furniza autorit\u0103\u021bii financiare, acolo unde este posibil, \u00een timp util, feedback relevant \u0219i propor\u021bional sau \u00eendrum\u0103ri la nivel \u00eenalt, \u00een special prin punerea la dispozi\u021bie a oric\u0103ror informa\u021bii \u0219i date operative relevante anonimizate cu privire la amenin\u021b\u0103ri similare \u0219i poate discuta m\u0103surile de remediere aplicate la nivelul entit\u0103\u021bii financiare \u0219i modalit\u0103\u021bi de reducere la minimum \u0219i de atenuare a impactului negativ la nivelul sectorului financiar. F\u0103r\u0103 a aduce atingere feedbackului privind supravegherea primit, entit\u0103\u021bile financiare r\u0103m\u00e2n pe deplin responsabile de gestionarea incidentelor legate de TIC raportate \u00een temeiul articolului 19 alineatul (1) \u0219i de consecin\u021bele acestora.
(2)
Prin intermediul Comitetului comun, AES raporteaz\u0103 anual, \u00een mod anonim \u0219i agregat, cu privire la incidentele majore legate de TIC, ale c\u0103ror detalii sunt furnizate de autorit\u0103\u021bile competente \u00een conformitate cu articolul 19 alineatul (6), men\u021bion\u00e2nd cel pu\u021bin num\u0103rul incidentelor majore legate de TIC, natura acestora \u0219i impactul lor asupra opera\u021biunilor entit\u0103\u021bilor financiare sau ale clien\u021bilor, m\u0103surile de remediere luate \u0219i costurile suportate.
AES emit avertismente \u0219i elaboreaz\u0103 statistici la nivel \u00eenalt pentru a sprijini evalu\u0103rile privind amenin\u021b\u0103rile \u0219i vulnerabilit\u0103\u021bile din perspectiva TIC.
Articolul 23
Incidente opera\u021bionale sau de securitate legate de pl\u0103\u021bi care vizeaz\u0103 institu\u021bii de credit, institu\u021bii de plat\u0103, prestatori de servicii de informare cu privire la conturi \u0219i institu\u021bii emitente de moned\u0103 electronic\u0103
Cerin\u021bele prev\u0103zute \u00een prezentul capitol se aplic\u0103, de asemenea, incidentelor opera\u021bionale sau de securitate legate de pl\u0103\u021bi \u0219i incidentelor opera\u021bionale sau de securitate majore legate de pl\u0103\u021bi, atunci c\u00e2nd acestea vizeaz\u0103 institu\u021bii de credit, institu\u021bii de plat\u0103, prestatori de servicii de informare cu privire la conturi \u0219i institu\u021bii emitente de moned\u0103 electronic\u0103.
L 333\/44 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
CAPITOLUL IV
Testarea rezilien\u021bei opera\u021bionale digitale
Articolul 24
Cerin\u021be generale pentru efectuarea test\u0103rii rezilien\u021bei opera\u021bionale digitale
(1)
\u00cen scopul evalu\u0103rii nivelului de preg\u0103tire pentru gestionarea incidentelor legate de TIC, al identific\u0103rii punctelor slabe, a deficien\u021belor \u0219i a lacunelor \u00een ceea ce prive\u0219te rezilien\u021ba opera\u021bional\u0103 digital\u0103 \u0219i al punerii \u00een aplicare prompte a m\u0103surilor corective, entit\u0103\u021bile financiare, altele dec\u00e2t micro\u00eentreprinderile, stabilesc, men\u021bin \u0219i revizuiesc, \u021bin\u00e2nd seama de criteriile prev\u0103zute la articolul 4 alineatul (2), un program solid \u0219i cuprinz\u0103tor de testare a rezilien\u021bei opera\u021bionale digitale ca parte integrant\u0103 a cadrului de gestionare a riscurilor TIC men\u021bionat la articolul 6.
(2)
Programul de testare a rezilien\u021bei opera\u021bionale digitale include o serie de evalu\u0103ri, teste, metodologii, practici \u0219i instrumente care trebuie aplicate \u00een conformitate cu articolele 25 \u0219i 26.
(3)
Atunci c\u00e2nd desf\u0103\u0219oar\u0103 programul de testare a rezilien\u021bei opera\u021bionale digitale men\u021bionat la alineatul (1) de la prezentul articol, entit\u0103\u021bile financiare, altele dec\u00e2t micro\u00eentreprinderile, urmeaz\u0103 o abordare bazat\u0103 pe riscuri, \u021bin\u00e2nd seama de criteriile prev\u0103zute la articolul 4 alineatul (2) \u0219i lu\u00e2nd \u00een considerare \u00een mod corespunz\u0103tor evolu\u021bia peisajului riscurilor TIC, orice riscuri specifice la care entitatea financiar\u0103 \u00een cauz\u0103 este sau ar putea fi expus\u0103, caracterul critic al activelor informa\u021bionale \u0219i al serviciilor furnizate, precum \u0219i orice alt factor pe care entitatea financiar\u0103 \u00eel consider\u0103 adecvat.
(4)
Entit\u0103\u021bile financiare, altele dec\u00e2t micro\u00eentreprinderile, se asigur\u0103 c\u0103 testele sunt efectuate de p\u0103r\u021bi independente, indiferent dac\u0103 sunt interne sau externe. Atunci c\u00e2nd testele sunt efectuate de o entitate intern\u0103, entit\u0103\u021bile financiare aloc\u0103 resurse suficiente \u0219i se asigur\u0103 c\u0103 sunt evitate conflictele de interese pe parcursul fazelor de proiectare \u0219i execu\u021bie ale testului.
(5)
Entit\u0103\u021bile financiare, altele dec\u00e2t \u00eentreprinderile, stabilesc proceduri \u0219i politici care s\u0103 prioritizeze, s\u0103 clasifice \u0219i s\u0103 remedieze toate chestiunile identificate pe parcursul desf\u0103\u0219ur\u0103rii testelor \u0219i stabilesc metodologii de validare intern\u0103 pentru a se asigura c\u0103 toate punctele slabe, deficien\u021bele sau lacunele identificate sunt abordate integral.
(6)
Entit\u0103\u021bile financiare, altele dec\u00e2t micro\u00eentreprinderile, se asigur\u0103 c\u0103 se efectueaz\u0103 teste adecvate cel pu\u021bin o dat\u0103 pe an asupra tuturor sistemelor \u0219i aplica\u021biilor TIC care sprijin\u0103 func\u021bii critice sau importante.
Articolul 25
Testarea instrumentelor \u0219i sistemelor TIC
(1)
Programul de testare a rezilien\u021bei opera\u021bionale digitale men\u021bionat la articolul 24 asigur\u0103, \u00een conformitate cu criteriile prev\u0103zute la articolul 4 alineatul (2), efectuarea de teste adecvate, precum evalu\u0103ri \u0219i examin\u0103ri ale vulnerabilit\u0103\u021bii, analize ale surselor deschise, evalu\u0103ri ale securit\u0103\u021bii re\u021belei, analize ale lacunelor, verific\u0103ri ale securit\u0103\u021bii fizice, chestionare \u0219i solu\u021bii de analiz\u0103 de tip software, evalu\u0103ri ale codului surs\u0103 acolo unde este posibil, teste bazate pe scenarii, teste de compatibilitate, teste de performan\u021b\u0103, teste de la un cap\u0103t la altul (end-to-end) sau teste de penetrare.
(2)
Depozitarii centrali de titluri de valoare \u0219i contrap\u0103r\u021bile centrale efectueaz\u0103 evalu\u0103ri ale vulnerabilit\u0103\u021bii \u00eenainte de utilizarea sau reutilizarea unor aplica\u021bii \u0219i componente de infrastructur\u0103 noi sau existente \u0219i servicii TIC care sprijin\u0103 func\u021bii critice sau importante ale entit\u0103\u021bii financiare.
(3)
Micro\u00eentreprinderile efectueaz\u0103 testele men\u021bionate la alineatul (1) combin\u00e2nd o abordare bazat\u0103 pe riscuri cu o planificare strategic\u0103 a test\u0103rii TIC \u0219i lu\u00e2nd \u00een considerare \u00een mod corespunz\u0103tor necesitatea de a men\u021bine o abordare echilibrat\u0103 \u00eentre amploarea resurselor \u0219i timpul care urmeaz\u0103 s\u0103 fie alocat test\u0103rii TIC prev\u0103zute la prezentul articol, pe de o parte, \u0219i urgen\u021ba, tipul de risc, caracterul critic al activelor informa\u021bionale \u0219i al serviciilor furnizate, precum \u0219i orice alt factor relevant, inclusiv capacitatea entit\u0103\u021bii financiare de a-\u0219i asuma riscuri calculate, pe de alt\u0103 parte.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/45
Articolul 26
Testarea avansat\u0103 a instrumentelor, sistemelor \u0219i proceselor TIC cu ajutorul TLPT
(1)
Entit\u0103\u021bile financiare, altele dec\u00e2t entit\u0103\u021bile men\u021bionate la articolul 16 alineatul (1) primul paragraf \u0219i altele dec\u00e2t micro\u00eentreprinderile, care sunt identificate \u00een conformitate cu alineatul (8) al treilea paragraf de la prezentul articol, efectueaz\u0103, cel pu\u021bin o dat\u0103 la trei ani, test\u0103ri avansate prin intermediul TLPT. Pe baza profilului de risc al entit\u0103\u021bii financiare \u0219i \u021bin\u00e2nd seama de circumstan\u021bele opera\u021bionale, autoritatea competent\u0103 poate s\u0103 solicite entit\u0103\u021bii financiare, dac\u0103 este necesar, s\u0103 reduc\u0103 sau s\u0103 m\u0103reasc\u0103 aceast\u0103 frecven\u021b\u0103.
(2)
Fiecare test de penetrare bazat pe amenin\u021b\u0103ri acoper\u0103 unele sau toate func\u021biile critice sau importante ale unei entit\u0103\u021bi financiare \u0219i este realizat pe sistemele de produc\u021bie \u00een timp real care sprijin\u0103 astfel de func\u021bii.
Entit\u0103\u021bile financiare identific\u0103 toate sistemele, procesele \u0219i tehnologiile TIC subiacente relevante care sprijin\u0103 func\u021biile critice sau importante \u0219i serviciile TIC, inclusiv pe cele care sprijin\u0103 func\u021biile critice sau importante care au fost externalizate sau contractate unor furnizori ter\u021bi de servicii TIC.
Entit\u0103\u021bile financiare evalueaz\u0103 ce func\u021bii critice sau importante trebuie s\u0103 fie acoperite de TLPT. Rezultatul acestei evalu\u0103ri determin\u0103 sfera de aplicare exact\u0103 a TLPT \u0219i este validat de autorit\u0103\u021bile competente.
(3)
\u00cen cazul \u00een care furnizorii ter\u021bi de servicii TIC sunt inclu\u0219i \u00een sfera de aplicare a TLPT, entitatea financiar\u0103 ia m\u0103surile \u0219i garan\u021biile necesare pentru a asigura participarea acestor furnizori ter\u021bi de servicii TIC la TLPT \u0219i r\u0103m\u00e2n \u00een orice moment pe deplin responsabile de asigurarea respect\u0103rii prezentului regulament.
(4)
F\u0103r\u0103 a aduce atingere primului \u0219i celui de al doilea paragraf de la alineatul (2), \u00een cazul \u00een care se preconizeaz\u0103 \u00een mod rezonabil c\u0103 participarea unui furnizor ter\u021b de servicii TIC la TLPT, astfel cum se men\u021bioneaz\u0103 la alineatul (3), va avea un impact negativ asupra calit\u0103\u021bii sau securit\u0103\u021bii serviciilor oferite de c\u0103tre furnizorul ter\u021b de servicii TIC c\u0103tre clien\u021bi care sunt entit\u0103\u021bi ce nu intr\u0103 \u00een domeniul de aplicare al prezentului regulament, sau asupra confiden\u021bialit\u0103\u021bii datelor legate de astfel de servicii, entitatea financiar\u0103 \u0219i furnizorul ter\u021b de servicii TIC pot conveni \u00een scris ca furnizorul ter\u021b de servicii TIC s\u0103 \u00eencheie \u00een mod direct acorduri contractuale cu o entitate extern\u0103 de testare \u00een scopul desf\u0103\u0219ur\u0103rii, sub conducerea unei entit\u0103\u021bi financiare desemnate unice, a unei TLPT grupate, \u00een care s\u0103 fie implicate mai multe entit\u0103\u021bi financiare (testare grupat\u0103) pentru care furnizorul ter\u021b de servicii TIC ofer\u0103 servicii TIC.
Testarea grupat\u0103 respectiv\u0103 acoper\u0103 gama relevant\u0103 de servicii TIC care sprijin\u0103 func\u021biile critice sau importante contractate de c\u0103tre entit\u0103\u021bile financiare respectivului furnizor ter\u021b de servicii TIC. Testarea grupat\u0103 este considerat\u0103 TLPT efectuat\u0103 de entit\u0103\u021bile financiare care particip\u0103 la testarea grupat\u0103.
Num\u0103rul entit\u0103\u021bilor financiare care particip\u0103 la testarea grupat\u0103 este calibrat \u00een mod corespunz\u0103tor, \u021bin\u00e2nd seama de complexitatea \u0219i de tipurile serviciilor implicate.
(5)
Entit\u0103\u021bile financiare efectueaz\u0103, cu cooperarea furnizorilor ter\u021bi de servicii TIC \u0219i a altor p\u0103r\u021bi implicate, inclusiv a entit\u0103\u021bilor de testare, dar excluz\u00e2nd autorit\u0103\u021bile competente, controale eficace ale gestion\u0103rii riscurilor pentru a atenua riscurile unui poten\u021bial impact asupra datelor \u0219i riscurile de deteriorare a activelor \u0219i de perturbare a func\u021biilor, a serviciilor sau a opera\u021biunilor critice sau importante la nivelul entit\u0103\u021bii financiare \u00eense\u0219i, al contrap\u0103r\u021bilor acesteia sau al sectorului financiar.
(6)
La sf\u00e2r\u0219itul test\u0103rii, dup\u0103 ce s-a convenit cu privire la rapoarte \u0219i la planurile de remediere, entitatea financiar\u0103 \u0219i, dup\u0103 caz, entit\u0103\u021bile externe de testare furnizeaz\u0103 autorit\u0103\u021bii desemnate \u00een conformitate cu alineatul (9) sau (10) un rezumat al constat\u0103rilor relevante, planurile de remediere \u0219i documenta\u021bia care demonstreaz\u0103 c\u0103 TLPT a fost efectuat\u0103 \u00een conformitate cu cerin\u021bele.
(7)
Autorit\u0103\u021bile furnizeaz\u0103 entit\u0103\u021bilor financiare o adeverin\u021b\u0103 prin care se confirm\u0103 faptul c\u0103 testul a fost efectuat \u00een conformitate cu cerin\u021bele eviden\u021biate \u00een documenta\u021bie, pentru a permite recunoa\u0219terea reciproc\u0103 \u00eentre autorit\u0103\u021bile competente a testelor de penetrare bazate pe amenin\u021b\u0103ri. Entitatea financiar\u0103 notific\u0103 autorit\u0103\u021bii competente relevante adeverin\u021ba, rezumatul constat\u0103rilor relevante \u0219i planurile de remediere.
L 333\/46 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
F\u0103r\u0103 a aduce atingere unei astfel de adeverin\u021be, entit\u0103\u021bile financiare r\u0103m\u00e2n \u00een orice moment pe deplin responsabile pentru impactul testelor men\u021bionate la alineatul (4).
(8)
Entit\u0103\u021bile financiare contracteaz\u0103 entit\u0103\u021bi de testare \u00een scopul efectu\u0103rii TLPT \u00een conformitate cu articolul 27. Atunci c\u00e2nd entit\u0103\u021bile financiare utilizeaz\u0103 entit\u0103\u021bi interne de testare \u00een scopul efectu\u0103rii TLPT, acestea contracteaz\u0103 entit\u0103\u021bi externe de testare la fiecare trei teste.
Institu\u021biile de credit care sunt clasificate drept semnificative \u00een conformitate cu articolul 6 alineatul (4) din Regulamentul (UE) nr. 1024\/2013, utilizeaz\u0103 numai entit\u0103\u021bi externe de testare \u00een conformitate cu articolul 27 alineatul (1) literele (a)-(e).
Autorit\u0103\u021bile competente identific\u0103 entit\u0103\u021bile financiare care sunt obligate s\u0103 efectueze TLPT \u021bin\u00e2nd seama de criteriile prev\u0103zute la articolul 4 alineatul (2), pe baza unei evalu\u0103ri a urm\u0103toarelor elemente:
(a)
factorii lega\u021bi de impact, \u00een special m\u0103sura \u00een care serviciile furnizate \u0219i activit\u0103\u021bile \u00eentreprinse de entitatea financiar\u0103 au impact asupra sectorului financiar;
(b)
posibile preocup\u0103ri legate de stabilitatea financiar\u0103, inclusiv caracterul sistemic al entit\u0103\u021bii financiare la nivelul Uniunii sau la nivel na\u021bional, dup\u0103 caz;
(c)
profilul de risc TIC specific, nivelul de maturitate a entit\u0103\u021bii financiare din perspectiva TIC sau caracteristicile tehnologice implicate.
(9)
Statele membre pot desemna o autoritate public\u0103 unic\u0103 \u00een sectorul financiar care s\u0103 fie responsabil\u0103 de aspectele legate de TLPT \u00een sectorul financiar la nivel na\u021bional \u0219i \u00eei \u00eencredin\u021beaz\u0103 acesteia toate competen\u021bele \u0219i sarcinile \u00een acest sens.
(10)
\u00cen absen\u021ba unei desemn\u0103ri \u00een conformitate cu alineatul (9) de la prezentul articol \u0219i f\u0103r\u0103 a aduce atingere competen\u021bei de a identifica entit\u0103\u021bile financiare care trebuie s\u0103 efectueze TLPT, o autoritate competent\u0103 poate delega exercitarea unora sau a tuturor sarcinilor men\u021bionate la prezentul articol \u0219i la articolul 27 unei alte autorit\u0103\u021bi na\u021bionale din sectorul financiar.
(11)
AES elaboreaz\u0103, \u00een acord cu BCE, proiecte comune de standarde tehnice de reglementare \u00een conformitate cu cadrul TIBER\u2013EU pentru a aduce preciz\u0103ri suplimentare privind:
(a)
criteriile utilizate \u00een scopul aplic\u0103rii alineatului (8) al doilea paragraf;
(b)
cerin\u021bele \u0219i standardele care reglementeaz\u0103 utilizarea entit\u0103\u021bilor interne de testare;
(c)
cerin\u021bele privind:
(i)
sfera de aplicare a TLPT men\u021bionat\u0103 la alineatul (2);
(ii)
metodologia de testare \u0219i abordarea de urmat pentru fiecare faz\u0103 specific\u0103 a procesului de testare;
(iii)
rezultatele, \u00eencheierea \u0219i etapele procesului de remediere aferente test\u0103rii;
(d)
tipul de cooperare \u00een materie de supraveghere \u0219i alt tip de cooperare relevant care sunt necesare pentru punerea \u00een aplicare a TLPT \u0219i pentru facilitarea recunoa\u0219terii reciproce a test\u0103rii respective, \u00een contextul entit\u0103\u021bilor financiare care opereaz\u0103 \u00een mai multe state membre, pentru a permite un nivel adecvat de implicare din perspectiva supravegherii \u0219i o aplicare flexibil\u0103, astfel \u00eenc\u00e2t s\u0103 se \u021bin\u0103 seama de specificit\u0103\u021bile subsectoarelor financiare sau ale pie\u021belor financiare locale.
Atunci c\u00e2nd elaboreaz\u0103 proiectele respective de standarde tehnice de reglementare, AES \u021bin seama \u00een mod corespunz\u0103tor de orice caracteristic\u0103 specific\u0103 care decurge din natura distinct\u0103 a activit\u0103\u021bilor din diferite sectoare de servicii financiare.
AES transmit Comisiei aceste proiecte de standarde tehnice de reglementare p\u00e2n\u0103 la 17 iulie 2024.
Se deleag\u0103 Comisiei competen\u021ba de a completa prezentul regulament prin adoptarea standardelor tehnice de reglementare men\u021bionate la primul paragraf, \u00een conformitate cu articolele 10-14 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/47
Articolul 27
Cerin\u021be pentru entit\u0103\u021bile de testare \u00een ceea ce prive\u0219te efectuarea TLPT
(1)
Entit\u0103\u021bile financiare utilizeaz\u0103, \u00een scopul efectu\u0103rii TLPT, numai entit\u0103\u021bi de testare care:
(a)
sunt cele mai adecvate \u0219i de cea mai \u00eenalt\u0103 reputa\u021bie;
(b)
de\u021bin capacit\u0103\u021bi tehnice \u0219i organizatorice \u0219i demonstreaz\u0103 expertiz\u0103 specific\u0103 \u00een ceea ce prive\u0219te datele operative privind amenin\u021b\u0103rile, testele de penetrare \u0219i testarea de tipul \u201eechipa ro\u0219ie\u201d;
(c)
sunt certificate de un organism de acreditare dintr-un stat membru sau ader\u0103 la coduri de conduit\u0103 sau cadre etice formale;
(d)
ofer\u0103 o asigurare independent\u0103 sau un raport de audit \u00een ceea ce prive\u0219te gestionarea solid\u0103 a riscurilor asociate cu efectuarea TLPT, inclusiv protec\u021bia corespunz\u0103toare a informa\u021biilor confiden\u021biale ale entit\u0103\u021bii financiare \u0219i m\u0103surile reparatorii pentru riscurile legate de activit\u0103\u021bile entit\u0103\u021bii financiare;
(e)
sunt acoperite \u00een mod corespunz\u0103tor \u0219i \u00een totalitate de asigur\u0103rile de r\u0103spundere civil\u0103 profesional\u0103 relevante, inclusiv \u00eempotriva riscurilor de abatere \u0219i neglijen\u021b\u0103.
(2)
\u00cen cazul utiliz\u0103rii entit\u0103\u021bilor interne de testare, entit\u0103\u021bile financiare se asigur\u0103 c\u0103, \u00een plus fa\u021b\u0103 de cerin\u021bele de la alineatul (1), se respect\u0103 toate condi\u021biile urm\u0103toare:
(a)
utilizarea a fost aprobat\u0103 de autoritatea competent\u0103 relevant\u0103 sau de autoritatea public\u0103 unic\u0103 desemnat\u0103 \u00een conformitate cu articolul 26 alineatele (9) \u0219i (10);
(b)
autoritatea competent\u0103 relevant\u0103 a verificat c\u0103 entitatea financiar\u0103 are suficiente resurse alocate \u0219i s-a asigurat c\u0103 sunt evitate conflictele de interese pe parcursul fazelor de proiectare \u0219i execu\u021bie ale testului; \u0219i
(c)
furnizorul de date operative privind amenin\u021b\u0103rile este extern entit\u0103\u021bii financiare.
(3)
Entit\u0103\u021bile financiare se asigur\u0103 c\u0103 contractele \u00eencheiate cu entit\u0103\u021bi externe de testare impun o gestionare solid\u0103 a rezultatelor TLPT \u0219i c\u0103 orice prelucrare de date de c\u0103tre acestea, inclusiv orice generare, stocare, agregare, elaborare, raportare, comunicare sau distrugere, nu creeaz\u0103 riscuri pentru entitatea financiar\u0103.
CAPITOLUL V
Gestionarea riscurilor TIC generate de p\u0103r\u021bi ter\u021be
Sec\u021biunea I
Principii-cheie pentru o gestionare solid\u0103 a riscurilor TIC generate de p\u0103r\u021bi ter\u021be
Articolul 28
Principii generale
(1)
Entit\u0103\u021bile financiare gestioneaz\u0103 riscurile TIC generate de p\u0103r\u021bi ter\u021be ca parte integrant\u0103 a riscurilor TIC \u00een cadrul lor de gestionare a riscurilor TIC astfel cum este men\u021bionat la articolul 6 alineatul (1) \u0219i \u00een conformitate cu urm\u0103toarele principii:
(a)
entit\u0103\u021bile financiare care au instituit acorduri contractuale pentru utilizarea serviciilor TIC \u00een scopul desf\u0103\u0219ur\u0103rii opera\u021biunilor lor r\u0103m\u00e2n \u00een orice moment pe deplin responsabile de respectarea \u0219i de \u00eendeplinirea tuturor obliga\u021biilor care decurg din prezentul regulament \u0219i din dreptul aplicabil \u00een domeniul serviciilor financiare;
L 333\/48 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(b)
gestionarea de c\u0103tre entit\u0103\u021bile financiare a riscurilor TIC generate de p\u0103r\u021bi ter\u021be este pus\u0103 \u00een aplicare din perspectiva principiului propor\u021bionalit\u0103\u021bii, lu\u00e2nd \u00een considerare:
(i)
natura, amploarea, complexitatea \u0219i importan\u021ba dependen\u021belor legate de TIC;
(ii)
riscurile care decurg din acordurile contractuale privind utilizarea serviciilor TIC \u00eencheiate cu furnizori ter\u021bi de servicii TIC, \u021bin\u00e2nd seama de caracterul critic sau importan\u021ba serviciului, procesului sau func\u021biei respective, precum \u0219i de impactul poten\u021bial asupra continuit\u0103\u021bii \u0219i disponibilit\u0103\u021bii serviciilor \u0219i activit\u0103\u021bilor financiare, la nivel individual \u0219i la nivel de grup.
(2)
Ca parte a cadrului lor de gestionare a riscurilor TIC, entit\u0103\u021bile financiare, altele dec\u00e2t entit\u0103\u021bile men\u021bionate la articolul 16 alineatul (1) primul paragraf \u0219i altele dec\u00e2t micro\u00eentreprinderile, adopt\u0103 \u0219i revizuiesc periodic o strategie privind riscurile TIC generate de p\u0103r\u021bi ter\u021be, \u021bin\u00e2nd seama de strategia privind existen\u021ba mai multor furnizori men\u021bionat\u0103 la articolul 6 alineatul (9), dup\u0103 caz. Aceast\u0103 strategie privind riscurile TIC generate de p\u0103r\u021bi ter\u021be include o politic\u0103 privind utilizarea serviciilor TIC care sprijin\u0103 func\u021bii critice sau importante oferite de furnizori ter\u021bi de servicii TIC \u0219i se aplic\u0103 pe o baz\u0103 individual\u0103 \u0219i, dup\u0103 caz, pe o baz\u0103 subconsolidat\u0103 \u0219i consolidat\u0103. Pe baza unei evalu\u0103ri a profilului general de risc al entit\u0103\u021bii financiare \u0219i a amplorii \u0219i complexit\u0103\u021bii serviciilor comerciale, organul de conducere examineaz\u0103 periodic riscurile identificate \u00een ceea ce prive\u0219te acordurile contractuale privind utilizarea serviciilor TIC care sprijin\u0103 func\u021bii critice sau importante.
(3)
Ca parte a cadrului lor de gestionare a riscurilor TIC, entit\u0103\u021bile financiare men\u021bin \u0219i actualizeaz\u0103 la nivel de entitate \u0219i la nivel subconsolidat \u0219i consolidat un registru de informa\u021bii \u00een leg\u0103tur\u0103 cu toate acordurile contractuale privind utilizarea serviciilor TIC oferite de furnizori ter\u021bi de servicii TIC.
Acordurile contractuale men\u021bionate la primul paragraf sunt documentate \u00een mod corespunz\u0103tor, f\u0103c\u00e2ndu-se distinc\u021bia \u00eentre cele care acoper\u0103 servicii TIC de sprijinire a func\u021biilor critice sau importante \u0219i cele care nu le acoper\u0103.
Entit\u0103\u021bile financiare raporteaz\u0103 cel pu\u021bin o dat\u0103 pe an autorit\u0103\u021bilor competente cu privire la num\u0103rul de noi acorduri privind utilizarea serviciilor TIC, categoriile de furnizori ter\u021bi de servicii TIC, tipurile de acorduri contractuale \u0219i serviciile \u0219i func\u021biile TIC care sunt oferite.
Entit\u0103\u021bile financiare pun la dispozi\u021bia autorit\u0103\u021bii competente, la cererea acesteia, registrul complet de informa\u021bii sau, dup\u0103 caz, sec\u021biuni specifice din acesta, \u00eempreun\u0103 cu orice informa\u021bii considerate necesare pentru a permite supravegherea eficace a entit\u0103\u021bii financiare.
Entit\u0103\u021bile financiare informeaz\u0103 autoritatea competent\u0103 \u00een timp util cu privire la orice acord contractual planificat privind utilizarea unor servicii TIC care sprijin\u0103 func\u021bii critice sau importante, precum \u0219i atunci c\u00e2nd o func\u021bie a devenit critic\u0103 sau important\u0103.
(4)
\u00cenainte de a \u00eencheia un acord contractual privind utilizarea serviciilor TIC, entit\u0103\u021bile financiare:
(a)
evalueaz\u0103 dac\u0103 acordul contractual vizeaz\u0103 utilizarea unor servicii TIC care sprijin\u0103 o func\u021bie critic\u0103 sau important\u0103;
(b)
evalueaz\u0103 dac\u0103 sunt \u00eendeplinite condi\u021biile pentru contractare din perspectiva supravegherii;
(c)
identific\u0103 \u0219i evalueaz\u0103 toate riscurile relevante legate de acordul contractual, inclusiv posibilitatea ca un astfel de acord contractual s\u0103 contribuie la consolidarea riscului de concentrare a serviciilor TIC, astfel cum este men\u021bionat la articolul 29;
(d)
efectueaz\u0103 toate diligen\u021bele necesare cu privire la poten\u021bialii furnizori ter\u021bi de servicii TIC \u0219i se asigur\u0103, pe parcursul proceselor de selec\u021bie \u0219i evaluare, c\u0103 furnizorul ter\u021b de servicii TIC este adecvat;
(e)
identific\u0103 \u0219i evalueaz\u0103 conflictele de interese pe care acordul contractual le poate cauza.
(5)
Entit\u0103\u021bile financiare pot \u00eencheia acorduri contractuale numai cu furnizori ter\u021bi de servicii TIC care respect\u0103 standarde adecvate de securitate a informa\u021biilor. \u00cen cazul \u00een care acordurile contractuale respective se refer\u0103 la func\u021bii critice sau importante, entit\u0103\u021bile financiare, \u00eenainte de \u00eencheierea acordurilor, \u021bin seama \u00een mod corespunz\u0103tor de utilizarea de c\u0103tre furnizorii ter\u021bi de servicii TIC a celor mai recente \u0219i de cea mai \u00eenalt\u0103 calitate standarde de securitate a informa\u021biilor.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/49
(6)
\u00cen exercitarea drepturilor de acces, de inspec\u021bie \u0219i de audit cu privire la furnizorul ter\u021b de servicii TIC, entit\u0103\u021bile financiare stabilesc \u00een prealabil, utiliz\u00e2nd o abordare bazat\u0103 pe riscuri, frecven\u021ba auditurilor \u0219i a inspec\u021biilor, precum \u0219i domeniile care urmeaz\u0103 s\u0103 fie auditate prin aderarea la standardele de audit acceptate de comun acord, \u00een concordan\u021b\u0103 cu instruc\u021biunile de supraveghere privind utilizarea \u0219i integrarea unor astfel de standarde de audit.
\u00cen cazul \u00een care acordurile contractuale \u00eencheiate cu furnizori ter\u021bi de servicii TIC privind utilizarea unor servicii TIC prezint\u0103 o complexitate tehnic\u0103 ridicat\u0103, entitatea financiar\u0103 verific\u0103 dac\u0103 auditorii, at\u00e2t cei interni, c\u00e2t \u0219i cei externi, sau un grup de auditori, de\u021bin competen\u021bele \u0219i cuno\u0219tin\u021bele corespunz\u0103toare pentru a efectua \u00een mod eficace auditurile \u0219i evalu\u0103rile relevante.
(7)
Entit\u0103\u021bile financiare se asigur\u0103 c\u0103 acordurile contractuale privind utilizarea serviciilor TIC pot fi reziliate \u00een oricare dintre urm\u0103toarele circumstan\u021be:
(a)
\u00eenc\u0103lcarea semnificativ\u0103 de c\u0103tre furnizorul ter\u021b de servicii TIC a actelor cu putere de lege, a reglement\u0103rilor sau a clauzelor contractuale aplicabile;
(b)
circumstan\u021be identificate pe parcursul monitoriz\u0103rii riscurilor TIC generate de p\u0103r\u021bi ter\u021be care sunt considerate capabile s\u0103 modifice \u00eendeplinirea func\u021biilor oferite prin acordul contractual, inclusiv modific\u0103rile semnificative care afecteaz\u0103 acordul sau situa\u021bia furnizorului ter\u021b de servicii TIC;
(c)
deficien\u021be demonstrate ale furnizorului ter\u021b de servicii TIC legate de gestionarea sa general\u0103 a riscurilor TIC \u0219i, \u00een special, legate de modul \u00een care asigur\u0103 disponibilitatea, autenticitatea, integritatea \u0219i confiden\u021bialitatea datelor, fie date cu caracter personal sau date sensibile din alt punct de vedere, ori a datelor f\u0103r\u0103 caracter personal;
(d)
\u00een cazul \u00een care autoritatea competent\u0103 nu mai poate supraveghea \u00een mod eficace entitatea financiar\u0103 ca urmare a condi\u021biilor acordului contractual respectiv sau a unor circumstan\u021be legate de acesta.
(8)
Pentru serviciile TIC care sprijin\u0103 func\u021bii critice sau importante, entit\u0103\u021bile financiare instituie strategii de ie\u0219ire. Strategiile de ie\u0219ire \u021bin seama de riscurile care pot ap\u0103rea la nivelul furnizorilor ter\u021bi de servicii TIC, \u00een special o posibil\u0103 deficien\u021b\u0103 din partea acestora, o deteriorare a calit\u0103\u021bii serviciilor TIC oferite, orice perturbare a activit\u0103\u021bii cauzat\u0103 de furnizarea necorespunz\u0103toare sau defectuoas\u0103 a serviciilor TIC sau orice riscuri semnificative care decurg din utilizarea adecvat\u0103 \u0219i continu\u0103 a serviciului TIC respectiv ori \u00eencetarea acordurilor contractuale cu furnizorii ter\u021bi de servicii TIC \u00een oricare dintre situa\u021biile enumerate la alineatul (7).
Entit\u0103\u021bile financiare se asigur\u0103 c\u0103 pot s\u0103 se retrag\u0103 din acordurile contractuale f\u0103r\u0103:
(a)
perturbarea activit\u0103\u021bilor lor comerciale;
(b)
limitarea respect\u0103rii cerin\u021belor \u00een materie de reglementare;
(c)
afectarea continuit\u0103\u021bii \u0219i calit\u0103\u021bii serviciilor furnizate c\u0103tre clien\u021bi.
Planurile de ie\u0219ire trebuie s\u0103 fie cuprinz\u0103toare, documentate \u0219i, \u00een conformitate cu criteriile stabilite la articolul 4 alineatul (2), trebuie s\u0103 fie testate \u00een mod suficient \u0219i revizuite periodic.
Entit\u0103\u021bile financiare identific\u0103 solu\u021bii alternative \u0219i dezvolt\u0103 planuri de tranzi\u021bie care s\u0103 le permit\u0103 s\u0103 elimine serviciile TIC contractate \u0219i datele relevante de la furnizorul ter\u021b de servicii TIC \u0219i s\u0103 le transfere \u00een condi\u021bii de siguran\u021b\u0103 \u0219i \u00een integralitatea lor c\u0103tre furnizori alternativi sau s\u0103 le reintegreze \u00een sistemul propriu.
Entit\u0103\u021bile financiare instituie m\u0103suri adecvate pentru situa\u021bii neprev\u0103zute astfel \u00eenc\u00e2t s\u0103 p\u0103streze continuitatea activit\u0103\u021bii \u00een cazul apari\u021biei situa\u021biilor men\u021bionate la primul paragraf.
(9)
AES elaboreaz\u0103, prin intermediul Comitetului comun, proiecte de standarde tehnice de punere \u00een aplicare pentru a stabili modelele standard pentru registrul de informa\u021bii men\u021bionat la alineatul (3), inclusiv informa\u021bii care sunt comune tuturor acordurilor contractuale privind utilizarea serviciilor TIC. AES transmit Comisiei aceste proiecte de standarde tehnice de punere \u00een aplicare p\u00e2n\u0103 la 17 ianuarie 2024.
Se confer\u0103 Comisiei competen\u021ba de a adopta standardele tehnice de punere \u00een aplicare men\u021bionate la primul paragraf \u00een conformitate cu articolul 15 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
L 333\/50 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(10)
AES elaboreaz\u0103, prin intermediul Comitetului comun, proiecte de standarde tehnice de reglementare pentru a aduce preciz\u0103ri suplimentare privind con\u021binutul detaliat al politicii men\u021bionate la alineatul (2) \u00een leg\u0103tur\u0103 cu acordurile contractuale privind utilizarea serviciilor TIC care sprijin\u0103 func\u021bii critice sau importante oferite de furnizori ter\u021bi de servicii TIC.
Atunci c\u00e2nd elaboreaz\u0103 proiectele respective de standarde tehnice de reglementare, AES iau \u00een considerare dimensiunea \u0219i profilul general de risc al entit\u0103\u021bii financiare, precum \u0219i natura, amploarea \u0219i complexitatea serviciilor, activit\u0103\u021bilor \u0219i opera\u021biunilor sale. AES transmit Comisiei aceste proiecte de standarde tehnice de reglementare p\u00e2n\u0103 la 17 ianuarie 2024.
Se deleag\u0103 Comisiei competen\u021ba de a completa prezentul regulament prin adoptarea standardelor tehnice de reglementare men\u021bionate la primul paragraf, \u00een conformitate cu articolele 10-14 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
Articolul 29
Evaluarea preliminar\u0103 a riscului de concentrare a serviciilor TIC
(1)
La identificarea \u0219i evaluarea riscurilor men\u021bionate la articolul 28 alineatul (4) litera (c), entit\u0103\u021bile financiare iau \u00een considerare, de asemenea, dac\u0103 \u00eencheierea preconizat\u0103 a unui acord contractual \u00een leg\u0103tur\u0103 cu servicii TIC care sprijin\u0103 func\u021bii critice sau importante ar conduce la oricare dintre urm\u0103toarele situa\u021bii:
(a)
stabilirea unei rela\u021bii contractuale cu un furnizor ter\u021b de servicii TIC care nu este u\u0219or de \u00eenlocuit; sau
(b)
instituirea unor acorduri contractuale multiple cu privire la furnizarea de servicii TIC care sprijin\u0103 func\u021bii critice sau importante cu acela\u0219i furnizor ter\u021b de servicii TIC sau cu furnizori ter\u021bi de servicii TIC str\u00e2ns conecta\u021bi.
Entit\u0103\u021bile financiare evalueaz\u0103 beneficiile \u0219i costurile solu\u021biilor alternative, cum ar fi utilizarea unor furnizori ter\u021bi de servicii TIC diferi\u021bi, lu\u00e2nd \u00een considerare dac\u0103 \u0219i \u00een ce mod solu\u021biile avute \u00een vedere corespund nevoilor \u0219i obiectivelor opera\u021bionale stabilite \u00een strategia lor privind rezilien\u021ba digital\u0103.
(2)
\u00cen cazul \u00een care acordurile contractuale privind utilizarea de servicii TIC care sprijin\u0103 func\u021bii critice sau importante includ posibilitatea ca un furnizor ter\u021b de servicii TIC s\u0103 subcontracteze \u00een continuare servicii TIC care sprijin\u0103 o func\u021bie critic\u0103 sau important\u0103 c\u0103tre al\u021bi furnizori ter\u021bi de servicii TIC, entit\u0103\u021bile financiare evalueaz\u0103 beneficiile \u0219i riscurile care pot ap\u0103rea \u00een leg\u0103tur\u0103 cu o astfel de subcontractare, \u00een special \u00een cazul unui subcontractant TIC stabilit \u00eentr-o \u021bar\u0103 ter\u021b\u0103.
\u00cen cazul \u00een care acordurile contractuale privesc servicii TIC care sprijin\u0103 func\u021bii critice sau importante, entit\u0103\u021bile financiare iau \u00een considerare \u00een mod corespunz\u0103tor dispozi\u021biile din legisla\u021bia privind insolven\u021ba care s-ar aplica \u00een eventualitatea falimentului furnizorului ter\u021b de servicii TIC, precum \u0219i orice constr\u00e2ngere care ar putea ap\u0103rea \u00een leg\u0103tur\u0103 cu recuperarea urgent\u0103 a datelor entit\u0103\u021bii financiare.
Atunci c\u00e2nd acordurile contractuale privind utilizarea serviciilor TIC care sprijin\u0103 func\u021bii critice sau importante sunt \u00eencheiate cu un furnizor ter\u021b de servicii TIC stabilit \u00eentr-o \u021bar\u0103 ter\u021b\u0103, entit\u0103\u021bile financiare iau \u00een considerare, \u00een afar\u0103 de aspectele men\u021bionate la al doilea paragraf, \u0219i conformitatea cu normele Uniunii privind protec\u021bia datelor \u0219i asigurarea efectiv\u0103 a respect\u0103rii legii \u00een respectiva \u021bar\u0103 ter\u021b\u0103.
Atunci c\u00e2nd acordurile contractuale privind utilizarea serviciilor TIC care sprijin\u0103 func\u021bii critice sau importante prev\u0103d subcontractarea, entit\u0103\u021bile financiare evalueaz\u0103 dac\u0103 \u0219i \u00een ce mod lan\u021burile de subcontractare poten\u021bial lungi sau complexe pot avea un impact asupra capacit\u0103\u021bii lor de a monitoriza pe deplin func\u021biile contractate \u0219i asupra capacit\u0103\u021bii autorit\u0103\u021bii competente de a supraveghea efectiv entitatea financiar\u0103 din acest punct de vedere.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/51
Articolul 30
Dispozi\u021bii contractuale esen\u021biale
(1)
Drepturile \u0219i obliga\u021biile care revin entit\u0103\u021bii financiare \u0219i furnizorului ter\u021b de servicii TIC sunt clar atribuite \u0219i definite \u00een scris. Contractul complet include acordurile privind nivelul serviciilor \u0219i este consemnat \u00eentr-un document scris care se afl\u0103 la dispozi\u021bia p\u0103r\u021bilor pe suport de h\u00e2rtie sau \u00eentr-un document av\u00e2nd un alt format durabil, accesibil \u0219i care poate fi desc\u0103rcat.
(2)
Acordurile contractuale privind utilizarea serviciilor TIC includ cel pu\u021bin urm\u0103toarele elemente:
(a)
o descriere clar\u0103 \u0219i complet\u0103 a tuturor func\u021biilor \u0219i serviciilor TIC care urmeaz\u0103 s\u0103 fie furnizate de furnizorul ter\u021b de servicii TIC, indic\u00e2nd dac\u0103 este permis\u0103 subcontractarea unui serviciu TIC care sprijin\u0103 o func\u021bie critic\u0103 sau important\u0103 sau p\u0103r\u021bi semnificative ale acesteia \u0219i, \u00een caz afirmativ, condi\u021biile aplicabile acestei subcontract\u0103ri;
(b)
locurile, \u0219i anume regiunile sau \u021b\u0103rile, \u00een care urmeaz\u0103 s\u0103 fie furnizate func\u021biile \u0219i serviciile TIC contractate sau subcontractate \u0219i \u00een care urmeaz\u0103 s\u0103 fie prelucrate datele, inclusiv locul stabilit pentru stocare, precum \u0219i cerin\u021ba ca furnizorul ter\u021b de servicii TIC s\u0103 informeze \u00een prealabil entitatea financiar\u0103 \u00een cazul \u00een care are \u00een vedere modificarea acestor locuri;
(c)
dispozi\u021bii privind disponibilitatea, autenticitatea, integritatea \u0219i confiden\u021bialitatea \u00een ceea ce prive\u0219te protec\u021bia datelor, inclusiv a datelor cu caracter personal;
(d)
dispozi\u021bii privind asigurarea accesului, a recuper\u0103rii \u0219i a return\u0103rii \u00eentr-un format u\u0219or accesibil a datelor cu caracter personal \u0219i a celor f\u0103r\u0103 caracter personal prelucrate de entitatea financiar\u0103 \u00een caz de insolven\u021b\u0103, de rezolu\u021bie sau de \u00eencetare a activit\u0103\u021bii furnizorului ter\u021b de servicii TIC sau \u00een cazul \u00eencet\u0103rii acordurilor contractuale;
(e)
descrieri la nivelul serviciilor, inclusiv actualiz\u0103ri \u0219i revizuiri ale acestora;
(f)
obliga\u021bia furnizorului ter\u021b de servicii TIC de a oferi asisten\u021b\u0103 entit\u0103\u021bii financiare f\u0103r\u0103 costuri suplimentare sau la un cost stabilit ex ante, atunci c\u00e2nd survine un incident TIC care este legat de serviciul TIC furnizat entit\u0103\u021bii financiare;
(g)
obliga\u021bia furnizorului ter\u021b de servicii TIC de a coopera pe deplin cu autorit\u0103\u021bile competente \u0219i cu autorit\u0103\u021bile de rezolu\u021bie ale entit\u0103\u021bii financiare, inclusiv cu persoanele numite de acestea;
(h)
drepturile de \u00eencetare \u0219i perioadele minime de preaviz aferente pentru \u00eencetarea acordurilor contractuale, \u00een conformitate cu a\u0219tept\u0103rile autorit\u0103\u021bilor competente \u0219i ale autorit\u0103\u021bilor de rezolu\u021bie;
(i)
condi\u021biile pentru participarea furnizorilor ter\u021bi de servicii TIC la programele de con\u0219tientizare cu privire la securitatea TIC ale entit\u0103\u021bilor financiare \u0219i la cursurile de formare \u00een domeniul rezilien\u021bei opera\u021bionale digitale \u00een conformitate cu articolul 13 alineatul (6).
(3)
Acordurile contractuale privind utilizarea serviciilor TIC care sprijin\u0103 func\u021bii critice sau importante includ, \u00een plus fa\u021b\u0103 de elementele men\u021bionate la alineatul (2), cel pu\u021bin urm\u0103toarele:
(a)
descrieri complete la nivelul serviciilor, inclusiv actualiz\u0103ri \u0219i revizuiri ale acestora, cu obiective cantitative \u0219i calitative precise privind performan\u021ba \u00een limitele nivelurilor convenite ale serviciilor, pentru a permite monitorizarea eficace de c\u0103tre entitatea financiar\u0103 a serviciilor TIC \u0219i adoptarea unor m\u0103suri corective adecvate, f\u0103r\u0103 \u00eent\u00e2rzieri nejustificate, atunci c\u00e2nd nu sunt asigurate nivelurile convenite ale serviciilor;
(b)
perioade de preaviz \u0219i obliga\u021bii de raportare c\u0103tre entitatea financiar\u0103 pentru furnizorul ter\u021b de servicii TIC, inclusiv notificarea oric\u0103rei evolu\u021bii care ar putea avea un impact semnificativ asupra capacit\u0103\u021bii furnizorului ter\u021b de servicii TIC de a furniza \u00een mod eficace serviciile TIC \u00een sprijinul func\u021biilor critice sau importante, \u00een concordan\u021b\u0103 cu nivelurile convenite ale serviciului;
(c)
cerin\u021be ca furnizorul ter\u021b de servicii TIC s\u0103 pun\u0103 \u00een aplicare \u0219i s\u0103 testeze planuri pentru situa\u021bii neprev\u0103zute \u0219i s\u0103 dispun\u0103 de m\u0103suri, instrumente \u0219i politici \u00een materie de securitate a TIC care s\u0103 asigure un nivel adecvat de securitate \u00een ceea ce prive\u0219te furnizarea serviciilor de c\u0103tre entitatea financiar\u0103, \u00een concordan\u021b\u0103 cu cadrul s\u0103u de reglementare;
(d)
obliga\u021bia furnizorului ter\u021b de servicii TIC de a participa la TLPT ale entit\u0103\u021bii financiare \u0219i de a coopera pe deplin \u00een cadrul realiz\u0103rii acestora, astfel cum se men\u021bioneaz\u0103 la articolele 26 \u0219i 27;
(e)
dreptul de a monitoriza, \u00een permanen\u021b\u0103, performan\u021ba furnizorului ter\u021b de servicii TIC, care presupune urm\u0103toarele:
L 333\/52 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(i)
drepturile nerestric\u021bionate de acces, de inspec\u021bie \u0219i de audit de c\u0103tre entitatea financiar\u0103 sau o parte ter\u021b\u0103 desemnat\u0103 \u0219i de c\u0103tre autoritatea competent\u0103, precum \u0219i dreptul de a produce copii ale documentelor relevante la fa\u021ba locului, dac\u0103 acestea sunt esen\u021biale pentru opera\u021biunile furnizorului ter\u021b de servicii TIC, drepturi a c\u0103ror exercitare efectiv\u0103 nu este \u00eempiedicat\u0103 sau limitat\u0103 de alte acorduri contractuale sau politici de punere \u00een aplicare;
(ii)
dreptul de a conveni asupra unor niveluri de asigurare alternative \u00een cazul \u00een care sunt afectate drepturile altor clien\u021bi;
(iii)
obliga\u021bia furnizorului ter\u021b de servicii TIC de a coopera pe deplin \u00een timpul inspec\u021biilor \u0219i auditurilor la fa\u021ba locului efectuate de autorit\u0103\u021bile competente, de supraveghetorul principal, de entitatea financiar\u0103 sau de o parte ter\u021b\u0103 desemnat\u0103; \u0219i
(iv)
obliga\u021bia de a transmite detalii privind domeniul de aplicare, procedurile care trebuie urmate \u0219i frecven\u021ba unor astfel de inspec\u021bii \u0219i audituri;
(f)
strategiile de ie\u0219ire, \u00een special stabilirea unei perioade de tranzi\u021bie adecvate obligatorii:
(i)
\u00een cursul c\u0103reia furnizorul ter\u021b de servicii TIC va continua s\u0103 furnizeze func\u021biile sau serviciile TIC respective viz\u00e2nd s\u0103 reduc\u0103 riscul de perturbare \u00een cadrul entit\u0103\u021bii financiare sau s\u0103 asigure rezolu\u021bia \u0219i restructurarea sa eficace;
(ii)
care permite entit\u0103\u021bii financiare s\u0103 migreze c\u0103tre un alt furnizor ter\u021b de servicii TIC sau s\u0103 treac\u0103 la solu\u021bii dezvoltate de aceasta pe plan intern, \u00een conformitate cu complexitatea serviciului furnizat.
Prin derogare de la litera (e), furnizorul ter\u021b de servicii TIC \u0219i entitatea financiar\u0103 care este o micro\u00eentreprindere pot conveni ca drepturile de acces, de inspec\u021bie \u0219i de audit ale entit\u0103\u021bii financiare s\u0103 poat\u0103 fi delegate unui ter\u021b independent, numit de furnizorul ter\u021b de servicii TIC, \u0219i ca entitatea financiar\u0103 s\u0103 poat\u0103 solicita \u00een orice moment din partea ter\u021bului informa\u021bii \u0219i asigur\u0103ri cu privire la performan\u021ba furnizorului ter\u021b de servicii TIC.
(4)
La negocierea acordurilor contractuale, entit\u0103\u021bile financiare \u0219i furnizorii ter\u021bi de servicii TIC \u021bin seama de utilizarea clauzelor contractuale standard elaborate de autorit\u0103\u021bile publice pentru servicii specifice.
(5)
AES elaboreaz\u0103, prin intermediul Comitetului comun, proiecte de standarde tehnice de reglementare pentru a aduce preciz\u0103ri suplimentare cu privire la elementele men\u021bionate la alineatul (2) litera (a), pe care o entitate financiar\u0103 trebuie s\u0103 le stabileasc\u0103 \u0219i s\u0103 le evalueze atunci c\u00e2nd subcontracteaz\u0103 servicii TIC care sprijin\u0103 func\u021bii critice sau importante.
Atunci c\u00e2nd elaboreaz\u0103 aceste proiecte de standarde tehnice de reglementare, AES \u021bin seama de dimensiunea \u0219i de profilul general de risc al entit\u0103\u021bii financiare, precum \u0219i de natura, amploarea \u0219i complexitatea serviciilor, activit\u0103\u021bilor \u0219i opera\u021biunilor sale.
AES transmit Comisiei aceste proiecte de standarde tehnice de reglementare p\u00e2n\u0103 la 17 iulie 2024.
Se deleag\u0103 Comisiei competen\u021ba de a completa prezentul regulament prin adoptarea standardelor tehnice de reglementare men\u021bionate la primul paragraf, \u00een conformitate cu articolele 10-14 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
Sec\u021biunea II
Cadrul de supraveghere a furnizorilor ter\u021bi esen\u021biali de servicii TIC
Articolul 31
Desemnarea furnizorilor ter\u021bi esen\u021biali de servicii TIC
(1)
AES, prin intermediul Comitetului comun \u0219i la recomandarea Forumului de supraveghere instituit \u00een temeiul articolului 32 alineatul (1):
(a)
desemneaz\u0103 furnizorii ter\u021bi de servicii TIC care sunt esen\u021biali pentru entit\u0103\u021bile financiare, \u00een urma unei evalu\u0103ri care \u021bine seama de criteriile men\u021bionate la alineatul (2);
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/53
(b)
desemneaz\u0103 drept supraveghetor principal pentru fiecare furnizor ter\u021b esen\u021bial de servicii TIC acea AES care este responsabil\u0103, \u00een conformitate cu Regulamentul (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 sau (UE) nr. 1095\/2010, de entit\u0103\u021bile financiare care de\u021bin \u00eempreun\u0103 cea mai mare parte a activelor totale din valoarea activelor totale ale tuturor entit\u0103\u021bilor financiare care utilizeaz\u0103 serviciile furnizorului ter\u021b esen\u021bial de servicii TIC relevant, astfel cum reiese din suma bilan\u021burilor individuale ale entit\u0103\u021bilor financiare respective.
(2)
Desemnarea prev\u0103zut\u0103 la alineatul (1) litera (a) se bazeaz\u0103 pe toate criteriile urm\u0103toare \u00een ceea ce prive\u0219te serviciile TIC furnizate de furnizorul ter\u021b de servicii TIC:
(a)
impactul sistemic asupra stabilit\u0103\u021bii, continuit\u0103\u021bii sau calit\u0103\u021bii furniz\u0103rii serviciilor financiare \u00een situa\u021bia \u00een care furnizorul ter\u021b de servicii TIC relevant s-ar confrunta cu o defec\u021biune opera\u021bional\u0103 la scar\u0103 larg\u0103 \u00een ceea ce prive\u0219te furnizarea serviciilor sale, \u021bin\u00e2nd seama de num\u0103rul de entit\u0103\u021bi financiare \u0219i de valoarea total\u0103 a activelor entit\u0103\u021bilor financiare c\u0103rora furnizorul ter\u021b de servicii TIC relevant le ofer\u0103 servicii;
(b)
caracterul sistemic sau importan\u021ba entit\u0103\u021bilor financiare care se bazeaz\u0103 pe furnizorul ter\u021b de servicii TIC relevant, evaluat\u0103 \u00een conformitate cu urm\u0103torii parametri:
(i)
num\u0103rul de institu\u021bii de importan\u021b\u0103 sistemic\u0103 global\u0103 (G-SII) sau de alte institu\u021bii de importan\u021b\u0103 sistemic\u0103 (O-SII) care se bazeaz\u0103 pe respectivul furnizor ter\u021b de servicii TIC;
(ii)
interdependen\u021ba dintre G-SII sau O-SII men\u021bionate la punctul (i) \u0219i alte entit\u0103\u021bi financiare, inclusiv situa\u021biile \u00een care G-SII sau O-SII furnizeaz\u0103 servicii de infrastructur\u0103 financiar\u0103 altor entit\u0103\u021bi financiare;
(c)
dependen\u021ba entit\u0103\u021bilor financiare de serviciile furnizate de furnizorul ter\u021b de servicii TIC relevant \u00een ceea ce prive\u0219te func\u021biile critice sau importante ale entit\u0103\u021bilor financiare care implic\u0103, \u00een ultim\u0103 instan\u021b\u0103, acela\u0219i furnizor ter\u021b de servicii TIC, indiferent dac\u0103 entit\u0103\u021bile financiare se bazeaz\u0103 direct sau indirect pe aceste servicii, prin intermediul unor acorduri de subcontractare;
(d)
gradul de substituibilitate a furnizorului ter\u021b de servicii TIC, \u021bin\u00e2nd seama de urm\u0103torii parametri:
(i)
lipsa unor alternative reale, chiar \u0219i par\u021biale, av\u00e2nd \u00een vedere num\u0103rul limitat de furnizori ter\u021bi de servicii TIC activi pe o anumit\u0103 pia\u021b\u0103 sau cota de pia\u021b\u0103 de\u021binut\u0103 de furnizorul ter\u021b de servicii TIC relevant sau complexitatea tehnic\u0103 ori gradul de sofisticare implicat, inclusiv \u00een ceea ce prive\u0219te orice tehnologie protejat\u0103, sau caracteristicile specifice ale modului de organizare sau ale activit\u0103\u021bii furnizorului ter\u021b de servicii TIC;
(ii)
dificult\u0103\u021bi \u00een ceea ce prive\u0219te migrarea par\u021bial\u0103 sau integral\u0103 a datelor \u0219i a volumelor de lucru relevante de la furnizorul ter\u021b de servicii TIC relevant c\u0103tre un alt furnizor ter\u021b de servicii TIC, fie ca urmare a costurilor financiare semnificative, a timpului sau a altor resurse pe care le poate implica procesul de migrare, fie din cauza unor riscuri TIC sporite sau a altor riscuri opera\u021bionale la care poate fi expus\u0103 entitatea financiar\u0103 prin intermediul unei astfel de migr\u0103ri.
(3)
\u00cen cazul \u00een care furnizorul ter\u021b de servicii TIC face parte dintr-un grup, criteriile men\u021bionate la alineatul (2) sunt examinate \u00een raport cu serviciile TIC furnizate de grup \u00een ansamblul s\u0103u.
(4)
Furnizorii ter\u021bi esen\u021biali de servicii TIC care fac parte dintr-un grup desemneaz\u0103 o persoan\u0103 juridic\u0103 drept punct de coordonare pentru a asigura \u00een mod adecvat reprezentarea \u0219i comunicarea cu supraveghetorul principal.
(5)
Supraveghetorul principal notific\u0103 furnizorului ter\u021b de servicii TIC rezultatul evalu\u0103rii care a dus la desemnarea men\u021bionat\u0103 la alineatul (1) litera (a). \u00cen termen de \u0219ase s\u0103pt\u0103m\u00e2ni de la data notific\u0103rii, furnizorul ter\u021b de servicii TIC \u00eei poate transmite supraveghetorului principal o declara\u021bie motivat\u0103 con\u021bin\u00e2nd orice informa\u021bii relevante \u00een scopul evalu\u0103rii. Supraveghetorul principal analizeaz\u0103 declara\u021bia motivat\u0103 \u0219i poate solicita s\u0103 \u00eei fie furnizate informa\u021bii suplimentare \u00een termen de 30 de zile calendaristice de la primirea unei astfel de declara\u021bii.
L 333\/54 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
Dup\u0103 ce a desemnat un furnizor ter\u021b de servicii TIC ca fiind esen\u021bial, AES, prin intermediul Comitetului comun, informeaz\u0103 furnizorul ter\u021b de servicii TIC cu privire la aceast\u0103 desemnare \u0219i cu privire la data de la care va \u00eencepe s\u0103 fac\u0103 efectiv obiectul activit\u0103\u021bilor de supraveghere. Data respectiv\u0103 trebuie s\u0103 fie la cel mult o lun\u0103 de la momentul notific\u0103rii. Furnizorul ter\u021b de servicii TIC informeaz\u0103 entit\u0103\u021bile financiare c\u0103rora le furnizeaz\u0103 servicii cu privire la desemnarea sa drept esen\u021bial.
(6)
Comisia este \u00eemputernicit\u0103 s\u0103 adopte un act delegat \u00een conformitate cu articolul 57 pentru a completa prezentul regulament prin precizarea mai \u00een detaliu a criteriilor men\u021bionate la alineatul (2) de la prezentul articol, p\u00e2n\u0103 la 17 iulie 2024.
(7)
Nu se recurge la desemnarea men\u021bionat\u0103 la alineatul (1) litera (a) dec\u00e2t dup\u0103 ce Comisia a adoptat un act delegat \u00een conformitate cu alineatul (6).
(8)
Desemnarea men\u021bionat\u0103 la alineatul (1) litera (a) nu se aplic\u0103 \u00een ceea ce prive\u0219te:
(i)
entit\u0103\u021bile financiare care furnizeaz\u0103 servicii TIC altor entit\u0103\u021bi financiare;
(ii)
furnizorii ter\u021bi de servicii TIC care fac obiectul unor cadre de supraveghere instituite cu scopul de a sprijini misiunile men\u021bionate la articolul 127 alineatul (2) din Tratatul privind func\u021bionarea Uniunii Europene;
(iii)
furnizorii de servicii TIC intragrup;
(iv)
furnizorii ter\u021bi de servicii TIC care furnizeaz\u0103 servicii TIC numai \u00eentr-un stat membru unor entit\u0103\u021bi financiare care \u00ee\u0219i desf\u0103\u0219oar\u0103 activitatea numai \u00een statul membru respectiv.
(9)
AES, prin intermediul Comitetului comun, elaboreaz\u0103, public\u0103 \u0219i actualizeaz\u0103 anual lista furnizorilor ter\u021bi esen\u021biali de servicii TIC la nivelul Uniunii.
(10)
\u00cen sensul alineatului (1) litera (a), autorit\u0103\u021bile competente transmit, anual \u0219i agregat, Forumului de supraveghere instituit \u00een temeiul articolului 32 rapoartele men\u021bionate la articolul 28 alineatul (3) al treilea paragraf. Forumul de supraveghere evalueaz\u0103 dependen\u021bele entit\u0103\u021bilor financiare fa\u021b\u0103 de furnizorii ter\u021bi de servicii TIC pe baza informa\u021biilor primite de la autorit\u0103\u021bile competente.
(11)
Furnizorii ter\u021bi de servicii TIC care nu sunt inclu\u0219i \u00een lista men\u021bionat\u0103 la alineatul (9) pot solicita s\u0103 fie desemna\u021bi ca fiind esen\u021biali \u00een conformitate cu alineatul (1) litera (a).
\u00cen scopul aplic\u0103rii primului paragraf, furnizorul ter\u021b de servicii TIC transmite o cerere motivat\u0103 c\u0103tre ABE, ESMA sau EIOPA care, prin intermediul Comitetului comun, decide dac\u0103 s\u0103 desemneze respectivul furnizor ter\u021b de servicii TIC ca fiind esen\u021bial \u00een conformitate cu alineatul (1) litera (a).
Decizia men\u021bionat\u0103 la al doilea paragraf se adopt\u0103 \u0219i se notific\u0103 furnizorului ter\u021b de servicii TIC \u00een termen de \u0219ase luni de la primirea cererii.
(12)
Entit\u0103\u021bile financiare utilizeaz\u0103 serviciile unui furnizor ter\u021b de servicii TIC stabilit \u00eentr-o \u021bar\u0103 ter\u021b\u0103 \u0219i care a fost desemnat ca fiind esen\u021bial \u00een conformitate cu alineatul (1) litera (a) numai \u00een cazul \u00een care acesta din urm\u0103 a \u00eenfiin\u021bat o filial\u0103 \u00een Uniune \u00een termen de 12 luni de la desemnare.
(13)
Furnizorul ter\u021b esen\u021bial de servicii TIC men\u021bionat la alineatul (12) informeaz\u0103 supraveghetorul principal cu privire la orice modificare a structurii conducerii filialei \u00eenfiin\u021bate \u00een Uniune.
Articolul 32
Structura cadrului de supraveghere
(1)
Comitetul comun, \u00een conformitate cu articolul 57 alineatul (1) din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010, instituie Forumul de supraveghere ca subcomitet \u00een scopul sprijinirii activit\u0103\u021bii Comitetului comun \u0219i a supraveghetorului principal men\u021bionat la articolul 31 alineatul (1) litera (b) \u00een domeniul riscurilor TIC generate de p\u0103r\u021bi ter\u021be \u00een toate sectoarele financiare. Forumul de supraveghere preg\u0103te\u0219te proiectele de pozi\u021bii comune \u0219i de acte comune ale Comitetului comun \u00een acest domeniu.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/55
Forumul de supraveghere discut\u0103 periodic despre evolu\u021biile relevante cu privire la riscurile \u0219i vulnerabilit\u0103\u021bile TIC \u0219i promoveaz\u0103 o abordare consecvent\u0103 \u00een ceea ce prive\u0219te monitorizarea riscurilor TIC generate de p\u0103r\u021bi ter\u021be la nivelul Uniunii.
(2)
Forumul de supraveghere efectueaz\u0103 anual o evaluare colectiv\u0103 a rezultatelor \u0219i a constat\u0103rilor activit\u0103\u021bilor de supraveghere desf\u0103\u0219urate pentru to\u021bi furnizorii ter\u021bi esen\u021biali de servicii TIC \u0219i promoveaz\u0103 m\u0103suri de coordonare pentru a spori rezilien\u021ba opera\u021bional\u0103 digital\u0103 a entit\u0103\u021bilor financiare, a \u00eencuraja cele mai bune practici \u00een ceea ce prive\u0219te abordarea riscurilor de concentrare a serviciilor TIC \u0219i a studia factorii de diminuare \u00een cazul transferurilor riscurilor la nivel transsectorial.
(3)
Forumul de supraveghere prezint\u0103 criterii de referin\u021b\u0103 cuprinz\u0103toare pentru furnizorii ter\u021bi esen\u021biali de servicii TIC, care urmeaz\u0103 s\u0103 fie adoptate de Comitetul comun ca pozi\u021bii comune ale AES \u00een conformitate cu articolul 56 alineatul (1) din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
(4)
Forumul de supraveghere este compus din:
(a)
pre\u0219edin\u021bii AES;
(b)
un reprezentant la nivel \u00eenalt provenind din personalul actual al autorit\u0103\u021bii competente relevante men\u021bionate la articolul 46 din fiecare stat membru;
(c)
directorii executivi ai fiec\u0103rei AES \u0219i c\u00e2te un reprezentant din partea Comisiei, CERS, BCE \u0219i ENISA, \u00een calitate de observatori;
(d)
dup\u0103 caz, un reprezentant suplimentar al unei autorit\u0103\u021bi competente men\u021bionate la articolul 46 din fiecare stat membru, \u00een calitate de observator;
(e)
dup\u0103 caz, un reprezentant al autorit\u0103\u021bilor competente desemnate sau instituite \u00een conformitate cu Directiva (UE) 2022\/ 2555 responsabile de supravegherea unei entit\u0103\u021bi esen\u021biale sau importante c\u0103reia i se aplic\u0103 directiva respectiv\u0103 \u0219i care a fost desemnat\u0103 drept furnizor ter\u021b esen\u021bial de servicii TIC, \u00een calitate de observator.
Forumul de supraveghere poate, dup\u0103 caz, s\u0103 solicite avizul unor exper\u021bi independen\u021bi numi\u021bi \u00een conformitate cu alineatul (6).
(5)
Fiecare stat membru desemneaz\u0103 autoritatea competent\u0103 relevant\u0103 din cadrul personalului c\u0103reia este numit reprezentantul la nivel \u00eenalt men\u021bionat la alineatul (4) primul paragraf litera (b) \u0219i informeaz\u0103 supraveghetorul principal \u00een acest sens.
AES public\u0103 pe site-ul lor lista reprezentan\u021bilor la nivel \u00eenalt, provenind din personalul actual al autorit\u0103\u021bii competente relevante, desemna\u021bi de statele membre.
(6)
Exper\u021bii independen\u021bi men\u021biona\u021bi la alineatul (4) al doilea paragraf sunt numi\u021bi de Forumul de supraveghere dintr-un grup de rezerv\u0103 de exper\u021bi selecta\u021bi \u00een urma unui proces de candidatur\u0103 public \u0219i transparent.
Exper\u021bii independen\u021bi sunt numi\u021bi pe baza cuno\u0219tin\u021belor \u0219i experien\u021bei lor \u00een materie de stabilitate financiar\u0103, rezilien\u021b\u0103 opera\u021bional\u0103 digital\u0103 \u0219i securitate TIC. Ace\u0219tia ac\u021bioneaz\u0103 independent \u0219i obiectiv \u00een interesul exclusiv al Uniunii \u00een ansamblul s\u0103u \u0219i nu solicit\u0103 \u0219i nu primesc instruc\u021biuni din partea institu\u021biilor sau a organelor Uniunii, din partea vreunui guvern al unui stat membru sau din partea vreunui alt organism public sau privat.
(7)
\u00cen conformitate cu articolul 16 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010, AES emit, p\u00e2n\u0103 la 17 iulie 2024, \u00een scopul aplic\u0103rii prezentei sec\u021biuni, orient\u0103ri privind cooperarea dintre AES \u0219i autorit\u0103\u021bile competente cuprinz\u00e2nd procedurile \u0219i condi\u021biile detaliate pentru alocarea \u0219i executarea sarcinilor \u00eentre autorit\u0103\u021bile competente \u0219i AES, precum \u0219i detaliile privind schimburile de informa\u021bii care sunt necesare pentru ca autorit\u0103\u021bile competente s\u0103 se asigure c\u0103 recomand\u0103rile adresate furnizorilor ter\u021bi esen\u021biali de servicii TIC \u00een temeiul articolului 35 alineatul (1) litera (d) sunt urmate.
(8)
Cerin\u021bele prev\u0103zute \u00een prezenta sec\u021biune nu aduc atingere aplic\u0103rii Directivei (UE) 2022\/2555 \u0219i a altor norme ale Uniunii privind supravegherea aplicabil\u0103 furnizorilor de servicii de cloud computing.
(9)
AES, prin intermediul Comitetului comun \u0219i pe baza lucr\u0103rilor preg\u0103titoare desf\u0103\u0219urate de Forumul de supraveghere, prezint\u0103 anual Parlamentului European, Consiliului \u0219i Comisiei un raport privind aplicarea prezentei sec\u021biuni.
L 333\/56 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
Articolul 33
Sarcinile supraveghetorului principal
(1)
Supraveghetorul principal, numit \u00een conformitate cu articolul 31 alineatul (1) litera (b), efectueaz\u0103 supravegherea furnizorilor ter\u021bi esen\u021biali de servicii TIC atribui\u021bi \u0219i este, cu privire la toate aspectele legate de supraveghere, punctul de contact principal pentru respectivii furnizori ter\u021bi esen\u021biali de servicii TIC.
(2)
\u00cen scopul aplic\u0103rii alineatului (1), supraveghetorul principal evalueaz\u0103 dac\u0103 fiecare furnizor ter\u021b esen\u021bial de servicii TIC a instituit norme, proceduri, mecanisme \u0219i m\u0103suri cuprinz\u0103toare, solide \u0219i eficace de gestionare a riscurilor TIC pe care le poate genera pentru entit\u0103\u021bile financiare.
Evaluarea men\u021bionat\u0103 la primul paragraf se axeaz\u0103 \u00een principal pe serviciile TIC furnizate de furnizorul ter\u021b esen\u021bial de servicii TIC care sprijin\u0103 func\u021biile critice sau importante ale entit\u0103\u021bilor financiare. Atunci c\u00e2nd este necesar pentru a aborda toate riscurile relevante, evaluarea respectiv\u0103 se extinde la serviciile TIC care sprijin\u0103 alte func\u021bii dec\u00e2t cele critice sau importante.
(3)
Evaluarea prev\u0103zut\u0103 la alineatul (2) cuprinde:
(a)
cerin\u021bele privind TIC pentru a asigura, \u00een special, securitatea, disponibilitatea, continuitatea, scalabilitatea \u0219i calitatea serviciilor pe care furnizorul ter\u021b esen\u021bial de servicii TIC le furnizeaz\u0103 entit\u0103\u021bilor financiare, precum \u0219i capacitatea de a men\u021bine \u00een permanen\u021b\u0103 standarde \u00eenalte de disponibilitate, autenticitate, integritate sau confiden\u021bialitate a datelor;
(b)
securitatea fizic\u0103 ce contribuie la asigurarea securit\u0103\u021bii TIC, inclusiv securitatea sediilor, a instala\u021biilor, a centrelor de date;
(c)
procesele de gestionare a riscurilor, inclusiv politicile de gestionare a riscurilor TIC, politica de continuitate a activit\u0103\u021bii TIC \u0219i planurile de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC;
(d)
mecanismele de guvernan\u021b\u0103, inclusiv o structur\u0103 organizatoric\u0103 cu arii de responsabilitate \u0219i norme privind r\u0103spunderea clare, transparente \u0219i coerente, care permit gestionarea eficace a riscurilor TIC;
(e)
identificarea, monitorizarea \u0219i raportarea prompt\u0103 a incidentelor semnificative legate de TIC c\u0103tre entit\u0103\u021bile financiare, gestionarea \u0219i solu\u021bionarea acestor incidente, \u00een special a atacurilor cibernetice;
(f)
mecanismele de portabilitate a datelor, de portabilitate a aplica\u021biilor \u0219i de interoperabilitate, care asigur\u0103 exercitarea efectiv\u0103 a drepturilor de \u00eencetare de c\u0103tre entit\u0103\u021bile financiare;
(g)
testarea sistemelor, a infrastructurii \u0219i a controalelor TIC;
(h)
auditurile privind TIC;
(i)
utilizarea standardelor na\u021bionale \u0219i interna\u021bionale relevante aplicabile furniz\u0103rii serviciilor sale TIC c\u0103tre entit\u0103\u021bile financiare.
(4)
Pe baza evalu\u0103rii prev\u0103zute la alineatul (2) \u0219i \u00een coordonare cu Re\u021beaua de supraveghere comun\u0103 (RSC) men\u021bionat\u0103 la articolul 34 alineatul (1), supraveghetorul principal adopt\u0103 un plan de supraveghere individual clar, detaliat \u0219i motivat care descrie obiectivele anuale de supraveghere \u0219i principalele ac\u021biuni de supraveghere planificate pentru fiecare furnizor ter\u021b esen\u021bial de servicii TIC. Planul respectiv este comunicat \u00een fiecare an furnizorului ter\u021b esen\u021bial de servicii TIC.
\u00cenainte de adoptarea planului de supraveghere, supraveghetorul principal comunic\u0103 proiectul planului de supraveghere furnizorului ter\u021b esen\u021bial de servicii TIC.
La primirea proiectului de plan de supraveghere, furnizorul ter\u021b esen\u021bial de servicii TIC poate prezenta, \u00een termen de 15 zile calendaristice, o declara\u021bie motivat\u0103 prin care s\u0103 demonstreze impactul preconizat asupra clien\u021bilor care sunt entit\u0103\u021bi ce nu se \u00eencadreaz\u0103 \u00een domeniul de aplicare al prezentului regulament \u0219i, dup\u0103 caz, s\u0103 formuleze solu\u021bii pentru atenuarea riscurilor.
(5)
Odat\u0103 ce planurile de supraveghere anuale men\u021bionate la alineatul (4) au fost adoptate \u0219i notificate furnizorilor ter\u021bi esen\u021biali de servicii TIC, autorit\u0103\u021bile competente pot lua m\u0103suri privind ace\u0219ti furnizori ter\u021bi esen\u021biali de servicii TIC numai \u00een acord cu supraveghetorul principal.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/57
Articolul 34
Coordonarea opera\u021bional\u0103 a supraveghetorilor principali
(1)
Pentru a asigura o abordare coerent\u0103 a activit\u0103\u021bilor de supraveghere \u0219i a permite coordonarea strategiilor generale de supraveghere \u0219i coeziunea abord\u0103rilor opera\u021bionale \u0219i a metodologiilor de lucru, cei trei supraveghetori principali numi\u021bi \u00een conformitate cu articolul 31 alineatul (1) litera (b) instituie o RSC pentru a-\u0219i coordona ac\u021biunile \u00een cursul etapelor preg\u0103titoare \u0219i al desf\u0103\u0219ur\u0103rii activit\u0103\u021bilor de supraveghere a furnizorilor ter\u021bi esen\u021biali de servicii TIC pe care \u00eei supravegheaz\u0103 fiecare dintre ei, precum \u0219i \u00een cursul oric\u0103rei ac\u021biuni care ar putea fi necesar\u0103 \u00een temeiul articolului 42.
(2)
\u00cen scopul aplic\u0103rii alineatului (1), supraveghetorii principali elaboreaz\u0103 un protocol de supraveghere comun \u00een care precizeaz\u0103 procedurile detaliate care trebuie urmate pentru realizarea coordon\u0103rii curente \u0219i pentru asigurarea unor schimburi \u0219i reac\u021bii rapide. Protocolul este revizuit periodic pentru a reflecta nevoile opera\u021bionale, \u00een special evolu\u021bia modalit\u0103\u021bilor practice de supraveghere.
(3)
Supraveghetorii principali pot solicita ad-hoc BCE \u0219i ENISA s\u0103 ofere consiliere tehnic\u0103, s\u0103 fac\u0103 schimb de experien\u021b\u0103 practic\u0103 sau s\u0103 participe la anumite reuniuni de coordonare ale RSC.
Articolul 35
Competen\u021bele supraveghetorului principal
(1)
\u00cen scopul \u00eendeplinirii atribu\u021biilor care \u00eei revin \u00een temeiul prezentei sec\u021biuni, supraveghetorul principal are urm\u0103toarele competen\u021be \u00een ceea ce prive\u0219te furnizorii ter\u021bi esen\u021biali de servicii TIC:
(a)
de a solicita toate informa\u021biile \u0219i documentele relevante \u00een conformitate cu articolul 37;
(b)
de a efectua investiga\u021bii generale \u0219i inspec\u021bii \u00een conformitate cu articolele 38 \u0219i, respectiv, 39;
(c)
de a solicita, dup\u0103 \u00eencheierea activit\u0103\u021bilor de supraveghere, rapoarte \u00een care se specific\u0103 ac\u021biunile \u00eentreprinse sau m\u0103surile de remediere care au fost puse \u00een aplicare de furnizorii ter\u021bi esen\u021biali de servicii TIC \u00een leg\u0103tur\u0103 cu recomand\u0103rile men\u021bionate la litera (d) de la prezentul alineat;
(d)
de a emite recomand\u0103ri privind domeniile men\u021bionate la articolul 33 alineatul (3), \u00een special privind:
(i)
utilizarea unor cerin\u021be sau procese specifice de securitate \u0219i calitate \u00een domeniul TIC, \u00een special \u00een ceea ce prive\u0219te introducerea de corec\u021bii, actualiz\u0103ri, cript\u0103ri \u0219i alte m\u0103suri de securitate pe care supraveghetorul principal le consider\u0103 relevante pentru asigurarea securit\u0103\u021bii din perspectiva TIC a serviciilor furnizate entit\u0103\u021bilor financiare;
(ii)
utilizarea termenelor \u0219i condi\u021biilor, inclusiv punerea \u00een aplicare tehnic\u0103 a acestora, potrivit c\u0103rora furnizorii ter\u021bi esen\u021biali de servicii TIC furnizeaz\u0103 servicii TIC entit\u0103\u021bilor financiare, pe care supraveghetorul principal le consider\u0103 relevante pentru prevenirea gener\u0103rii unor puncte unice de defec\u021biune sau a amplific\u0103rii acestora sau pentru reducerea la minimum a impactului sistemic poten\u021bial la nivelul sectorului financiar al Uniunii \u00een cazul unor riscuri de concentrare a serviciilor TIC;
(iii)
orice subcontractare planificat\u0103, \u00een cazul \u00een care supraveghetorul principal consider\u0103 c\u0103 subcontractarea \u00een continuare, inclusiv acordurile de subcontractare pe care furnizorii ter\u021bi esen\u021biali de servicii TIC inten\u021bioneaz\u0103 s\u0103 le \u00eencheie cu furnizori ter\u021bi de servicii TIC sau cu subcontractan\u021bi de servicii TIC stabili\u021bi \u00eentr-o \u021bar\u0103 ter\u021b\u0103, poate genera riscuri pentru furnizarea de servicii de c\u0103tre entitatea financiar\u0103 sau riscuri pentru stabilitatea financiar\u0103, pe baza examin\u0103rii informa\u021biilor colectate \u00een conformitate cu articolele 37 \u0219i 38;
(iv)
ab\u021binerea de la \u00eencheierea unui nou acord de subcontractare, \u00een cazul \u00een care sunt \u00eendeplinite urm\u0103toarele condi\u021bii cumulative:
\u2014 subcontractantul avut \u00een vedere este un furnizor ter\u021b de servicii TIC sau un subcontractant de servicii TIC stabilit \u00eentr-o \u021bar\u0103 ter\u021b\u0103;
\u2014 subcontractarea vizeaz\u0103 func\u021bii critice sau importante ale entit\u0103\u021bii financiare; \u0219i
L 333\/58 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
\u2014 supraveghetorul principal consider\u0103 c\u0103 utilizarea unei astfel de subcontract\u0103ri prezint\u0103 un risc clar \u0219i grav pentru stabilitatea financiar\u0103 a Uniunii sau pentru entit\u0103\u021bile financiare, inclusiv pentru capacitatea entit\u0103\u021bilor financiare de a se conforma cerin\u021belor de supraveghere.
\u00cen scopul aplic\u0103rii punctului (iv) de la prezenta liter\u0103, furnizorii ter\u021bi de servicii TIC transmit informa\u021biile privind subcontractarea supraveghetorului principal, utiliz\u00e2nd modelul prev\u0103zut la articolul 41 alineatul (1) litera (b).
(2)
Atunci c\u00e2nd exercit\u0103 competen\u021bele prev\u0103zute la prezentul articol, supraveghetorul principal:
(a)
asigur\u0103 o coordonare regulat\u0103 \u00een cadrul RSC \u0219i, \u00een special, urm\u0103re\u0219te aplicarea unor abord\u0103ri coerente, dup\u0103 caz, \u00een ceea ce prive\u0219te supravegherea furnizorilor ter\u021bi esen\u021biali de servicii TIC;
(b)
\u021bine seama \u00een mod corespunz\u0103tor de cadrul instituit prin Directiva (UE) 2022\/2555 \u0219i, atunci c\u00e2nd este necesar, consult\u0103 autorit\u0103\u021bile competente relevante desemnate sau instituite \u00een conformitate cu directiva respectiv\u0103, pentru a evita suprapunerea m\u0103surilor tehnice \u0219i organizatorice care s-ar putea aplica furnizorilor ter\u021bi esen\u021biali de servicii TIC \u00een temeiul directivei respective;
(c)
urm\u0103re\u0219te s\u0103 reduc\u0103 la minimum, \u00een m\u0103sura posibilului, riscul de perturbare a serviciilor furnizate de furnizori ter\u021bi esen\u021biali de servicii TIC unor clien\u021bi care sunt entit\u0103\u021bi ce nu se \u00eencadreaz\u0103 \u00een domeniul de aplicare al prezentului regulament.
(3)
Supraveghetorul principal consult\u0103 Forumul de supraveghere \u00eenainte de a exercita competen\u021bele men\u021bionate la alineatul (1).
\u00cenainte de a emite recomand\u0103ri \u00een conformitate cu alineatul (1) litera (d), supraveghetorul principal \u00eei ofer\u0103 furnizorului ter\u021b de servicii TIC posibilitatea de a prezenta, \u00een termen de 30 de zile calendaristice, informa\u021bii relevante care s\u0103 demonstreze impactul preconizat asupra clien\u021bilor care sunt entit\u0103\u021bi ce nu se \u00eencadreaz\u0103 \u00een domeniul de aplicare al prezentului regulament \u0219i, dup\u0103 caz, s\u0103 formuleze solu\u021bii pentru atenuarea riscurilor.
(4)
Supraveghetorul principal informeaz\u0103 RSC cu privire la rezultatul exercit\u0103rii competen\u021belor prev\u0103zute la alineatul (1) literele (a) \u0219i (b). Supraveghetorul principal transmite f\u0103r\u0103 \u00eent\u00e2rzieri nejustificate rapoartele men\u021bionate la alineatul (1) litera (c) c\u0103tre RSC \u0219i c\u0103tre autorit\u0103\u021bile competente ale entit\u0103\u021bilor financiare care utilizeaz\u0103 serviciile TIC ale respectivului furnizor ter\u021b esen\u021bial de servicii TIC.
(5)
Furnizorii ter\u021bi esen\u021biali de servicii TIC coopereaz\u0103 cu bun\u0103 credin\u021b\u0103 cu supraveghetorul principal \u0219i \u00eel asist\u0103 pe acesta \u00een \u00eendeplinirea sarcinilor sale.
(6)
\u00cen cazul nerespect\u0103rii totale sau par\u021biale a m\u0103surilor care trebuie luate ca urmare a exercit\u0103rii competen\u021belor prev\u0103zute la alineatul (1) literele (a), (b) \u0219i (c) \u0219i dup\u0103 expirarea unui termen de cel pu\u021bin 30 de zile calendaristice de la data la care furnizorul ter\u021b esen\u021bial de servicii TIC a fost notificat cu privire la m\u0103surile respective, supraveghetorul principal adopt\u0103 o decizie prin care impune o penalitate cu titlu cominatoriu pentru a obliga furnizorul ter\u021b esen\u021bial de servicii TIC s\u0103 se conformeze m\u0103surilor respective.
(7)
Penalit\u0103\u021bile cu titlu cominatoriu prev\u0103zute la alineatul (6) se impun pe zi de \u00eent\u00e2rziere p\u00e2n\u0103 c\u00e2nd conformitatea este asigurat\u0103 \u0219i pe o perioad\u0103 de maximum \u0219ase luni de la data notific\u0103rii deciziei de impunere a unei penalit\u0103\u021bi cu titlu cominatoriu furnizorului ter\u021b esen\u021bial de servicii TIC.
(8)
Cuantumul penalit\u0103\u021bii cu titlu cominatoriu, calculat de la data prev\u0103zut\u0103 \u00een decizia de impunere a penalit\u0103\u021bii cu titlu cominatoriu, este de p\u00e2n\u0103 la 1 % din cifra de afaceri zilnic\u0103 medie global\u0103 a furnizorului ter\u021b esen\u021bial de servicii TIC din exerci\u021biul financiar precedent. La stabilirea cuantumului penalit\u0103\u021bii cu titlu cominatoriu, supraveghetorul principal \u021bine seama de urm\u0103toarele criterii referitoare la nerespectarea m\u0103surilor prev\u0103zute la alineatul (6):
(a)
gravitatea \u0219i durata neconformit\u0103\u021bii;
(b)
dac\u0103 neconformitatea a fost s\u0103v\u00e2r\u0219it\u0103 \u00een mod inten\u021bionat sau din neglijen\u021b\u0103;
(c)
nivelul de cooperare al furnizorului ter\u021b de servicii TIC cu supraveghetorul principal.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/59
\u00cen scopul aplic\u0103rii primului paragraf, pentru a asigura o abordare coerent\u0103, supraveghetorul principal efectueaz\u0103 consult\u0103ri \u00een cadrul RSC.
(9)
Penalit\u0103\u021bile cu titlu cominatoriu sunt de natur\u0103 administrativ\u0103 \u0219i sunt executorii. Executarea este reglementat\u0103 de normele de procedur\u0103 civil\u0103 \u00een vigoare \u00een statul membru pe teritoriul c\u0103ruia au loc inspec\u021biile \u0219i este acordat accesul. Pl\u00e2ngerile legate de neregulile survenite \u00een cursul execut\u0103rii sunt de competen\u021ba instan\u021belor judec\u0103tore\u0219ti ale statului membru \u00een cauz\u0103. Sumele aferente penalit\u0103\u021bilor se aloc\u0103 bugetului general al Uniunii Europene.
(10)
Supraveghetorul principal face publice toate penalit\u0103\u021bile cu titlu cominatoriu aplicate, cu excep\u021bia cazurilor \u00een care publicarea lor ar perturba grav pie\u021bele financiare sau ar aduce un prejudiciu dispropor\u021bionat p\u0103r\u021bilor implicate.
(11)
\u00cenainte de a impune o penalitate cu titlu cominatoriu \u00een temeiul alineatului (6), supraveghetorul principal ofer\u0103 reprezentan\u021bilor furnizorului ter\u021b esen\u021bial de servicii TIC care face obiectul procedurii posibilitatea de a fi audiat cu privire la constat\u0103ri \u0219i \u00ee\u0219i \u00eentemeiaz\u0103 deciziile numai pe constat\u0103rile asupra c\u0103rora furnizorul ter\u021b esen\u021bial de servicii TIC care face obiectul procedurii a avut ocazia s\u0103 \u00ee\u0219i prezinte observa\u021biile.
Dreptul la ap\u0103rare al persoanelor care fac obiectul procedurii se respect\u0103 pe deplin pe durata acesteia. Furnizorul ter\u021b esen\u021bial de servicii TIC care face obiectul procedurii are dreptul de a avea acces la dosar, sub rezerva interesului legitim al altor persoane de a-\u0219i proteja secretele comerciale. Dreptul de acces la dosar nu se extinde \u0219i la informa\u021biile confiden\u021biale sau la documentele interne de lucru ale supraveghetorului principal.
Articolul 36
Exercitarea competen\u021belor supraveghetorului principal \u00een afara Uniunii
(1)
Atunci c\u00e2nd obiectivele de supraveghere nu pot fi atinse prin intermediul interac\u021biunii cu filiala \u00eenfiin\u021bat\u0103 potrivit dispozi\u021biilor articolului 31 alineatul (12) sau prin exercitarea de activit\u0103\u021bi de supraveghere la sedii situate \u00een Uniune, supraveghetorul principal poate exercita competen\u021bele men\u021bionate la urm\u0103toarele dispozi\u021bii, cu privire la orice sediu situat \u00eentr-o \u021bar\u0103 ter\u021b\u0103 care este de\u021binut sau utilizat \u00een orice mod \u00een scopul furniz\u0103rii de servicii c\u0103tre entit\u0103\u021bi financiare din Uniune de c\u0103tre un furnizor ter\u021b esen\u021bial de servicii TIC, \u00een leg\u0103tur\u0103 cu opera\u021biunile, func\u021biile sau serviciile sale comerciale, inclusiv orice birou, sediu, teren, cl\u0103dire sau alt\u0103 proprietate folosit\u0103 cu scop administrativ, comercial sau opera\u021bional:
(a)
la articolul 35 alineatul (1) litera (a); \u0219i
(b)
la articolul 35 alineatul (1) litera (b), \u00een conformitate cu articolul 38 alineatul (2) literele (a), (b) \u0219i (d) \u0219i articolul 39 alineatul (1) \u0219i alineatul (2) litera (a).
Competen\u021bele men\u021bionate la primul paragraf pot fi exercitate sub rezerva \u00eendeplinirii tuturor condi\u021biilor urm\u0103toare:
(i)
supraveghetorul principal consider\u0103 c\u0103 efectuarea unei inspec\u021bii \u00eentr-o \u021bar\u0103 ter\u021b\u0103 este necesar\u0103 pentru a-i permite s\u0103 \u00ee\u0219i \u00eendeplineasc\u0103 pe deplin \u0219i \u00een mod eficace sarcinile care \u00eei revin \u00een temeiul prezentului regulament;
(ii)
inspec\u021bia \u00eentr-o \u021bar\u0103 ter\u021b\u0103 este direct legat\u0103 de furnizarea de servicii TIC unor entit\u0103\u021bi financiare din Uniune;
(iii)
furnizorul ter\u021b esen\u021bial de servicii TIC \u00een cauz\u0103 este de acord cu efectuarea unei inspec\u021bii \u00eentr-o \u021bar\u0103 ter\u021b\u0103; \u0219i
(iv)
autoritatea relevant\u0103 din \u021bara ter\u021b\u0103 \u00een cauz\u0103 a fost notificat\u0103 oficial de supraveghetorul principal \u0219i nu a formulat nicio obiec\u021bie cu privire la aceasta.
L 333\/60 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(2)
F\u0103r\u0103 a aduce atingere competen\u021belor institu\u021biilor Uniunii \u0219i, respectiv, ale statelor membre, \u00een scopul aplic\u0103rii alineatului (1), ABE, ESMA sau EIOPA \u00eencheie acorduri de cooperare administrativ\u0103 cu autoritatea relevant\u0103 din \u021bara ter\u021b\u0103 pentru a permite buna desf\u0103\u0219urare a inspec\u021biilor \u00een \u021bara ter\u021b\u0103 \u00een cauz\u0103 de c\u0103tre supraveghetorul principal \u0219i echipa desemnat\u0103 de acesta pentru misiunea sa \u00een \u021bara ter\u021b\u0103 respectiv\u0103. Aceste acorduri de cooperare nu creeaz\u0103 obliga\u021bii juridice pentru Uniune \u0219i statele sale membre \u0219i nu \u00eempiedic\u0103 statele membre \u0219i autorit\u0103\u021bile lor competente s\u0103 \u00eencheie acorduri bilaterale sau multilaterale cu \u021b\u0103rile ter\u021be respective \u0219i cu autorit\u0103\u021bile competente ale acestora.
Aceste acorduri de cooperare specific\u0103 cel pu\u021bin urm\u0103toarele elemente:
(a)
procedurile privind coordonarea activit\u0103\u021bilor de supraveghere desf\u0103\u0219urate \u00een temeiul prezentului regulament \u0219i orice monitorizare analoag\u0103 a riscurilor TIC generate de p\u0103r\u021bi ter\u021be \u00een sectorul financiar efectuat\u0103 de autoritatea relevant\u0103 din \u021bara ter\u021b\u0103 \u00een cauz\u0103, inclusiv detaliile privind transmiterea acordului acesteia din urm\u0103 pentru a permite efectuarea, de c\u0103tre supraveghetorul principal \u0219i echipa desemnat\u0103 de acesta, a investiga\u021biilor generale \u0219i a inspec\u021biilor la fa\u021ba locului men\u021bionate la alineatul (1) primul paragraf pe teritoriul aflat sub jurisdic\u021bia sa;
(b)
mecanismul de transmitere a oric\u0103ror informa\u021bii relevante \u00eentre ABE, ESMA sau EIOPA \u0219i autoritatea relevant\u0103 din \u021bara ter\u021b\u0103 \u00een cauz\u0103, \u00een special \u00een leg\u0103tur\u0103 cu informa\u021biile care pot fi solicitate de supraveghetorul principal \u00een temeiul articolului 37;
(c)
mecanismele prin care se realizeaz\u0103 notificarea prompt\u0103 de c\u0103tre autoritatea relevant\u0103 din \u021bara ter\u021b\u0103 \u00een cauz\u0103 a ABE, ESMA sau EIOPA cu privire la cazurile \u00een care se consider\u0103 c\u0103 un furnizor ter\u021b de servicii TIC stabilit \u00eentr-o \u021bar\u0103 ter\u021b\u0103 \u0219i desemnat ca fiind esen\u021bial \u00een conformitate cu articolul 31 alineatul (1) litera (a) a \u00eenc\u0103lcat cerin\u021bele pe care este obligat s\u0103 le respecte \u00een temeiul dreptului aplicabil al \u021b\u0103rii ter\u021be \u00een cauz\u0103 atunci c\u00e2nd furnizeaz\u0103 servicii unor institu\u021bii financiare din \u021bara ter\u021b\u0103 respectiv\u0103, precum \u0219i m\u0103surile corective \u0219i sanc\u021biunile aplicate;
(d)
transmiterea periodic\u0103 de informa\u021bii actualizate privind evolu\u021biile \u00een materie de reglementare sau de supraveghere \u00een ceea ce prive\u0219te monitorizarea riscurilor TIC generate de p\u0103r\u021bi ter\u021be ale institu\u021biilor financiare din \u021bara ter\u021b\u0103 \u00een cauz\u0103;
(e)
detaliile pentru a permite, dac\u0103 este necesar, participarea unui reprezentant al autorit\u0103\u021bii competente din \u021bara ter\u021b\u0103 la inspec\u021biile efectuate de supraveghetorul principal \u0219i de echipa desemnat\u0103.
(3)
\u00cen cazul \u00een care supraveghetorul principal nu este \u00een m\u0103sur\u0103 s\u0103 desf\u0103\u0219oare activit\u0103\u021bile de supraveghere \u00een afara Uniunii men\u021bionate la alineatele (1) \u0219i (2), supraveghetorul principal:
(a)
\u00ee\u0219i exercit\u0103 competen\u021bele prev\u0103zute la articolul 35 pe baza tuturor faptelor \u0219i documentelor de care dispune;
(b)
documenteaz\u0103 \u0219i explic\u0103 orice consecin\u021b\u0103 a imposibilit\u0103\u021bii sale de a desf\u0103\u0219ura activit\u0103\u021bile de supraveghere preconizate la care se refer\u0103 prezentul articol.
Consecin\u021bele poten\u021biale men\u021bionate la litera (b) de la prezentul alineat sunt luate \u00een considerare \u00een cadrul recomand\u0103rilor emise de supraveghetorul principal \u00een temeiul articolului 35 alineatul (1) litera (d).
Articolul 37
Solicitarea de informa\u021bii
(1)
Supraveghetorul principal poate, printr-o simpl\u0103 cerere sau printr-o decizie, s\u0103 solicite furnizorilor ter\u021bi esen\u021biali de servicii TIC s\u0103 furnizeze toate informa\u021biile necesare pentru ca supraveghetorul principal s\u0103 \u00ee\u0219i \u00eendeplineasc\u0103 sarcinile care \u00eei revin \u00een temeiul prezentului regulament, inclusiv toate documentele comerciale sau opera\u021bionale relevante, contractele, documentele de politic\u0103, rapoartele de audit privind securitatea TIC, rapoartele privind incidentele legate de TIC, precum \u0219i orice informa\u021bii legate de p\u0103r\u021bile c\u0103rora furnizorul ter\u021b esen\u021bial de servicii TIC le-a externalizat func\u021bii sau activit\u0103\u021bi opera\u021bionale.
(2)
Atunci c\u00e2nd trimite o simpl\u0103 solicitare de informa\u021bii \u00een temeiul alineatului (1), supraveghetorul principal:
(a)
face trimitere la prezentul articol ca temei juridic al solicit\u0103rii sale;
(b)
men\u021bioneaz\u0103 scopul solicit\u0103rii;
(c)
specific\u0103 informa\u021biile care sunt solicitate;
(d)
stabile\u0219te un termen pentru furnizarea informa\u021biilor;
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/61
(e)
informeaz\u0103 reprezentantul furnizorului ter\u021b esen\u021bial de servicii TIC de la care sunt solicitate informa\u021biile cu privire la faptul c\u0103 acesta nu este obligat s\u0103 furnizeze informa\u021biile, dar c\u0103, \u00een cazul unui r\u0103spuns voluntar la solicitare, informa\u021biile furnizate nu trebuie s\u0103 fie incorecte sau s\u0103 induc\u0103 \u00een eroare.
(3)
Atunci c\u00e2nd solicit\u0103 printr-o decizie furnizarea de informa\u021bii \u00een temeiul alineatului (1), supraveghetorul principal:
(a)
face trimitere la prezentul articol ca temei juridic al solicit\u0103rii sale;
(b)
men\u021bioneaz\u0103 scopul solicit\u0103rii;
(c)
specific\u0103 informa\u021biile care sunt solicitate;
(d)
stabile\u0219te un termen pentru furnizarea informa\u021biilor;
(e)
indic\u0103 penalit\u0103\u021bile cu titlu cominatoriu prev\u0103zute la articolul 35 alineatul (6) \u00een cazul \u00een care informa\u021biile solicitate sunt furnizate incomplet sau dac\u0103 aceste informa\u021bii nu sunt furnizate \u00een termenul men\u021bionat la litera (d) de la prezentul alineat;
(f)
indic\u0103 dreptul de a contesta decizia \u00een fa\u021ba comisiei de apel a AES \u0219i de a solicita controlul legalit\u0103\u021bii deciziei de c\u0103tre Curtea de Justi\u021bie a Uniunii Europene (denumit\u0103 \u00een continuare \u201eCurtea de Justi\u021bie\u201d), \u00een conformitate cu articolele 60 \u0219i 61 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
(4)
Reprezentan\u021bii furnizorilor ter\u021bi esen\u021biali de servicii TIC furnizeaz\u0103 informa\u021biile solicitate. Avoca\u021bii autoriza\u021bi \u00een mod corespunz\u0103tor s\u0103 ac\u021bioneze pot furniza informa\u021biile \u00een numele clien\u021bilor lor. Furnizorii ter\u021bi esen\u021biali de servicii TIC au \u00een continuare \u00eentreaga responsabilitate \u00een cazul \u00een care informa\u021biile furnizate sunt incomplete, incorecte sau induc \u00een eroare.
(5)
Supraveghetorul principal transmite f\u0103r\u0103 \u00eent\u00e2rziere o copie a deciziei prin care se solicit\u0103 furnizarea de informa\u021bii autorit\u0103\u021bilor competente ale entit\u0103\u021bilor financiare care folosesc serviciile furnizorilor ter\u021bi esen\u021biali de servicii TIC relevan\u021bi \u0219i RSC.
Articolul 38
Investiga\u021bii generale
(1)
Pentru a-\u0219i \u00eendeplini sarcinile care \u00eei revin \u00een temeiul prezentului regulament, supraveghetorul principal, asistat de echipa de examinare comun\u0103 men\u021bionat\u0103 la articolul 40 alineatul (1), poate, atunci c\u00e2nd este necesar, s\u0103 efectueze investiga\u021bii cu privire la furnizorii ter\u021bi esen\u021biali de servicii TIC.
(2)
Supraveghetorul principal este abilitat:
(a)
s\u0103 analizeze eviden\u021bele, datele, procedurile \u0219i orice alte materiale relevante pentru executarea atribu\u021biilor sale, indiferent de suportul pe care sunt stocate;
(b)
s\u0103 fac\u0103 sau s\u0103 ob\u021bin\u0103 copii certificate ale unor astfel de eviden\u021be, date, documente care prev\u0103d proceduri \u0219i ale oric\u0103ror alte materiale, precum \u0219i extrase din acestea;
(c)
s\u0103 convoace reprezentan\u021bii furnizorului ter\u021b esen\u021bial de servicii TIC pentru explica\u021bii verbale sau scrise cu privire la fapte sau documente referitoare la obiectul \u0219i scopul investiga\u021biei \u0219i s\u0103 \u00eenregistreze r\u0103spunsurile;
(d)
s\u0103 pun\u0103 \u00eentreb\u0103ri oric\u0103rei alte persoane fizice sau juridice care accept\u0103 s\u0103 i se pun\u0103 \u00eentreb\u0103ri \u00een scopul colect\u0103rii de informa\u021bii referitoare la obiectul unei investiga\u021bii;
(e)
s\u0103 solicite \u00eenregistr\u0103ri ale convorbirilor telefonice \u0219i ale traficului de date.
(3)
Func\u021bionarii \u0219i celelalte persoane autorizate de supraveghetorul principal \u00een scopul efectu\u0103rii investiga\u021biei men\u021bionate la alineatul (1) \u00ee\u0219i exercit\u0103 competen\u021bele pe baza prezent\u0103rii unei autoriza\u021bii scrise \u00een care se specific\u0103 obiectul \u0219i scopul investiga\u021biei.
Autoriza\u021bia respectiv\u0103 indic\u0103, de asemenea, penalit\u0103\u021bile cu titlu cominatoriu prev\u0103zute la articolul 35 alineatul (6) aplicabile \u00een cazul \u00een care eviden\u021bele, datele, documentele care prev\u0103d proceduri sau orice alte materiale solicitate sau r\u0103spunsurile la \u00eentreb\u0103rile adresate reprezentan\u021bilor furnizorului ter\u021b de servicii TIC nu sunt furnizate sau sunt incomplete.
L 333\/62 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(4)
Reprezentan\u021bii furnizorilor ter\u021bi esen\u021biali de servicii TIC sunt obliga\u021bi s\u0103 se supun\u0103 investiga\u021biilor pe baza unei decizii a supraveghetorului principal. Decizia specific\u0103 obiectul \u0219i scopul investiga\u021biei, penalit\u0103\u021bile cu titlu cominatoriu prev\u0103zute la articolul 35 alineatul (6), c\u0103ile de atac disponibile \u00een temeiul Regulamentelor (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010, precum \u0219i dreptul de a solicita controlul legalit\u0103\u021bii deciziei de c\u0103tre Curtea de Justi\u021bie.
(5)
\u00cen timp util \u00eenainte de \u00eenceperea investiga\u021biei, supraveghetorul principal informeaz\u0103 autorit\u0103\u021bile competente ale entit\u0103\u021bilor financiare care utilizeaz\u0103 serviciile TIC ale respectivului furnizor ter\u021b esen\u021bial de servicii TIC cu privire la investiga\u021bia preconizat\u0103 \u0219i la identitatea persoanelor autorizate.
Supraveghetorul principal comunic\u0103 RSC toate informa\u021biile primite \u00een temeiul primului paragraf.
Articolul 39
Inspec\u021bii
(1)
Pentru a-\u0219i \u00eendeplini sarcinile care \u00eei revin \u00een temeiul prezentului regulament, supraveghetorul principal, asistat de echipele de examinare comun\u0103 men\u021bionate la articolul 40 alineatul (1), poate s\u0103 aib\u0103 acces la orice sediu comercial, teren sau proprietate a furnizorilor ter\u021bi de servicii TIC, cum ar fi sediile sociale, centrele de opera\u021biuni sau sediile secundare, \u0219i poate s\u0103 efectueze toate inspec\u021biile la fa\u021ba locului necesare, precum \u0219i s\u0103 efectueze inspec\u021bii la distan\u021b\u0103.
\u00cen scopul exercit\u0103rii competen\u021belor men\u021bionate la primul paragraf, supraveghetorul principal consult\u0103 RSC.
(2)
Func\u021bionarii \u0219i celelalte persoane autorizate de supraveghetorul principal s\u0103 efectueze o inspec\u021bie la fa\u021ba locului sunt abilita\u021bi:
(a)
s\u0103 intre \u00een orice astfel de sediu comercial, teren sau proprietate; \u0219i
(b)
s\u0103 sigileze orice astfel de sediu comercial, registre sau eviden\u021be, pe perioada inspec\u021biei \u0219i \u00een m\u0103sura \u00een care acest lucru este necesar pentru inspec\u021bie.
Func\u021bionarii \u0219i celelalte persoane autorizate de supraveghetorul principal \u00ee\u0219i exercit\u0103 competen\u021bele pe baza prezent\u0103rii unei autoriza\u021bii scrise \u00een care se specific\u0103 obiectul \u0219i scopul inspec\u021biei, precum \u0219i penalit\u0103\u021bile cu titlu cominatoriu prev\u0103zute la articolul 35 alineatul (6) \u00een cazul \u00een care reprezentan\u021bii furnizorilor ter\u021bi esen\u021biali de servicii TIC \u00een cauz\u0103 nu se supun inspec\u021biei.
(3)
\u00cen timp util \u00eenainte de \u00eenceperea inspec\u021biei, supraveghetorul principal informeaz\u0103 autorit\u0103\u021bile competente ale entit\u0103\u021bilor financiare care utilizeaz\u0103 respectivul furnizor ter\u021b de servicii TIC.
(4)
Inspec\u021biile acoper\u0103 \u00eentreaga gam\u0103 de sisteme TIC, re\u021bele, dispozitive, informa\u021bii \u0219i date relevante care sunt utilizate sau contribuie la furnizarea de servicii TIC c\u0103tre entit\u0103\u021bi financiare.
(5)
\u00cenainte de orice inspec\u021bie la fa\u021ba locului planificat\u0103, supraveghetorul principal le d\u0103 un preaviz rezonabil furnizorilor ter\u021bi esen\u021biali de servicii TIC, cu excep\u021bia cazului \u00een care un astfel de preaviz nu este posibil din cauza unei situa\u021bii de urgen\u021b\u0103 sau de criz\u0103 sau \u00een cazul \u00een care acesta ar conduce la o situa\u021bie \u00een care inspec\u021bia sau auditul nu ar mai fi eficace.
(6)
Furnizorul ter\u021b esen\u021bial de servicii TIC se supune inspec\u021biilor la fa\u021ba locului dispuse prin decizia supraveghetorului principal. Decizia specific\u0103 obiectul \u0219i scopul inspec\u021biei, stabile\u0219te data la care va \u00eencepe inspec\u021bia \u0219i indic\u0103 penalit\u0103\u021bile cu titlu cominatoriu prev\u0103zute la articolul 35 alineatul (6), c\u0103ile de atac disponibile \u00een temeiul Regulamentelor (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010, precum \u0219i dreptul de a solicita controlul legalit\u0103\u021bii deciziei de c\u0103tre Curtea de Justi\u021bie.
(7)
\u00cen cazul \u00een care func\u021bionarii \u0219i celelalte persoane autorizate de supraveghetorul principal constat\u0103 c\u0103 un furnizor ter\u021b esen\u021bial de servicii TIC se opune unei inspec\u021bii dispuse \u00een temeiul prezentului articol, supraveghetorul principal informeaz\u0103 furnizorul ter\u021b esen\u021bial de servicii TIC cu privire la consecin\u021bele unei astfel de opozi\u021bii, inclusiv cu privire la posibilitatea ca autorit\u0103\u021bile competente ale entit\u0103\u021bilor financiare relevante s\u0103 solicite entit\u0103\u021bilor financiare s\u0103 \u00eenceteze acordurile contractuale \u00eencheiate cu respectivul furnizor ter\u021b esen\u021bial de servicii TIC.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/63
Articolul 40
Supravegherea permanent\u0103
(1)
Atunci c\u00e2nd desf\u0103\u0219oar\u0103 activit\u0103\u021bi de supraveghere, \u00een special investiga\u021bii generale sau inspec\u021bii, supraveghetorul principal este asistat de o echip\u0103 de examinare comun\u0103, instituit\u0103 pentru fiecare furnizor ter\u021b esen\u021bial de servicii TIC.
(2)
Echipa de examinare comun\u0103 men\u021bionat\u0103 la alineatul (1) este format\u0103 din membri ai personalului:
(a)
AES;
(b)
autorit\u0103\u021bilor competente relevante care supravegheaz\u0103 entit\u0103\u021bile financiare c\u0103rora furnizorul ter\u021b esen\u021bial de servicii TIC le ofer\u0103 servicii TIC;
(c)
autorit\u0103\u021bii na\u021bionale competente men\u021bionate la articolul 32 alineatul (4) litera (e), pe baz\u0103 de voluntariat;
(d)
unei autorit\u0103\u021bi na\u021bionale competente din statul membru \u00een care este stabilit furnizorul ter\u021b esen\u021bial de servicii TIC, pe baz\u0103 de voluntariat.
Membrii echipei de examinare comun\u0103 au cuno\u0219tin\u021be de specialitate \u00een domeniul TIC \u0219i \u00een ceea ce prive\u0219te riscurile opera\u021bionale. Echipa de examinare comun\u0103 lucreaz\u0103 sub coordonarea unui membru desemnat al personalului supraveghetorului principal (\u201ecoordonatorul supraveghetorului principal\u201d).
(3)
\u00cen termen de trei luni de la \u00eencheierea unei investiga\u021bii sau a unei inspec\u021bii, supraveghetorul principal, dup\u0103 consultarea Forumului de supraveghere, adopt\u0103 recomand\u0103ri care urmeaz\u0103 a fi adresate furnizorului ter\u021b esen\u021bial de servicii TIC \u00een temeiul competen\u021belor men\u021bionate la articolul 35.
(4)
Recomand\u0103rile men\u021bionate la alineatul (3) se comunic\u0103 imediat furnizorului ter\u021b esen\u021bial de servicii TIC \u0219i autorit\u0103\u021bilor competente ale entit\u0103\u021bilor financiare c\u0103rora acesta le furnizeaz\u0103 servicii TIC.
\u00cen scopul execut\u0103rii activit\u0103\u021bilor de supraveghere, supraveghetorul principal poate lua \u00een considerare certific\u0103rile relevante ale unei p\u0103r\u021bi ter\u021be \u0219i rapoartele de audit TIC intern sau extern ale unei p\u0103r\u021bi ter\u021be puse la dispozi\u021bie de furnizorul ter\u021b esen\u021bial de servicii TIC.
Articolul 41
Armonizarea condi\u021biilor care permit desf\u0103\u0219urarea activit\u0103\u021bilor de supraveghere
(1)
AES elaboreaz\u0103, prin intermediul Comitetului comun, proiecte de standarde tehnice de reglementare pentru a preciza:
(a)
informa\u021biile care trebuie furnizate de un furnizor ter\u021b de servicii TIC \u00een cererea prin care solicit\u0103 \u00een mod voluntar s\u0103 fie desemna\u021bi ca fiind esen\u021biali \u00een temeiul articolului 31 alineatul (11);
(b)
con\u021binutul, structura \u0219i formatul informa\u021biilor care trebuie transmise, comunicate sau raportate de furnizorii ter\u021bi de servicii TIC \u00een temeiul articolului 35 alineatul (1), inclusiv modelul pentru furnizarea informa\u021biilor privind acordurile de subcontractare;
(c)
criteriile privind stabilirea componen\u021bei echipei de examinare comune, asigur\u00e2nd o participare echilibrat\u0103 a membrilor personalului AES \u0219i a membrilor personalului autorit\u0103\u021bilor competente relevante, precum \u0219i modul de desemnare, sarcinile \u0219i acordurile de lucru ale acestora;
(d)
detaliile evalu\u0103rii efectuate de autorit\u0103\u021bile competente cu privire la m\u0103surile luate de furnizorii ter\u021bi esen\u021biali de servicii TIC pe baza recomand\u0103rilor supraveghetorului principal \u00een conformitate cu articolul 42 alineatul (3).
(2)
AES transmit Comisiei aceste proiecte de standarde tehnice de reglementare p\u00e2n\u0103 la 17 iulie 2024.
Se deleag\u0103 Comisiei competen\u021ba de a completa prezentul regulament prin adoptarea standardelor tehnice de reglementare men\u021bionate la alineatul (1), \u00een conformitate cu procedura prev\u0103zut\u0103 la articolele 10-14 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1094\/2010 \u0219i (UE) nr. 1095\/2010.
L 333\/64 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
Articolul 42
Ac\u021biunile ulterioare \u00eentreprinse de autorit\u0103\u021bile competente
(1)
\u00cen termen de 60 de zile calendaristice de la primirea recomand\u0103rilor emise de supraveghetorul principal \u00een temeiul articolului 35 alineatul (1) litera (d), furnizorii ter\u021bi esen\u021biali de servicii TIC fie informeaz\u0103 supraveghetorul principal cu privire la inten\u021bia lor de a urma recomand\u0103rile, fie ofer\u0103 o explica\u021bie cu privire la motivele pentru care nu vor urma recomand\u0103rile respective. Supraveghetorul principal transmite imediat aceste informa\u021bii autorit\u0103\u021bilor competente ale entit\u0103\u021bilor financiare \u00een cauz\u0103.
(2)
Supraveghetorul principal face publice cazurile \u00een care un furnizor ter\u021b esen\u021bial de servicii TIC nu informeaz\u0103 supraveghetorul principal \u00een conformitate cu alineatul (1) sau cazurile \u00een care explica\u021bia furnizat\u0103 de furnizorul ter\u021b esen\u021bial de servicii TIC nu este considerat\u0103 suficient\u0103. Informa\u021biile publicate dezv\u0103luie identitatea furnizorului ter\u021b esen\u021bial de servicii TIC, precum \u0219i informa\u021bii privind tipul \u0219i natura neconformit\u0103\u021bii. Aceste informa\u021bii se limiteaz\u0103 la ceea ce este pertinent \u0219i propor\u021bional \u00een scopul asigur\u0103rii inform\u0103rii publicului, cu excep\u021bia cazului \u00een care aceast\u0103 publicare ar cauza prejudicii dispropor\u021bionate p\u0103r\u021bilor implicate sau ar putea periclita grav buna func\u021bionare \u0219i integritatea pie\u021belor financiare sau stabilitatea \u00eentregului sistem financiar al Uniunii sau a unei p\u0103r\u021bi a acestuia.
Supraveghetorul principal informeaz\u0103 furnizorul ter\u021b de servicii TIC cu privire la respectiva informare public\u0103.
(3)
Autorit\u0103\u021bile competente informeaz\u0103 entit\u0103\u021bile financiare relevante cu privire la riscurile identificate \u00een cadrul recomand\u0103rilor adresate furnizorilor ter\u021bi esen\u021biali de servicii TIC \u00een conformitate cu articolul 35 alineatul (1) litera (d).
Atunci c\u00e2nd gestioneaz\u0103 riscuri TIC generate de p\u0103r\u021bi ter\u021be, entit\u0103\u021bile financiare \u021bin seama de riscurile men\u021bionate la primul paragraf.
(4)
\u00cen cazul \u00een care o autoritate competent\u0103 consider\u0103 c\u0103 o entitate financiar\u0103, \u00een cadrul activit\u0103\u021bii sale de gestionare a riscurilor TIC generate de p\u0103r\u021bi ter\u021be, nu \u021bine seama de riscurile specifice identificate \u00een cadrul recomand\u0103rilor sau nu le contracareaz\u0103 suficient, aceasta notific\u0103 entitatea financiar\u0103 cu privire la posibilitatea adopt\u0103rii unei decizii, \u00een termen de 60 de zile calendaristice de la primirea unei astfel de notific\u0103ri, \u00een temeiul alineatului (6), \u00een lipsa unor acorduri contractuale adecvate care s\u0103 aib\u0103 drept scop contracararea acestor riscuri.
(5)
La primirea rapoartelor men\u021bionate la articolul 35 alineatul (1) litera (c) \u0219i \u00eenainte de a lua o decizie astfel cum se men\u021bioneaz\u0103 la alineatul (6) de la prezentul articol, autorit\u0103\u021bile competente pot, \u00een mod voluntar, s\u0103 consulte autorit\u0103\u021bile competente desemnate sau instituite \u00een conformitate cu Directiva (UE) 2022\/2555 responsabile de supravegherea unei entit\u0103\u021bi esen\u021biale sau importante c\u0103reia i se aplic\u0103 directiva respectiv\u0103 \u0219i care a fost desemnat\u0103 drept furnizor ter\u021b esen\u021bial de servicii TIC.
(6)
Autorit\u0103\u021bile competente pot, ca m\u0103sur\u0103 de ultim\u0103 instan\u021b\u0103, \u00een urma inform\u0103rii \u0219i, dac\u0103 este cazul, a consult\u0103rii prev\u0103zute la alineatele (4) \u0219i (5) din prezentul articol, \u00een conformitate cu articolul 50, s\u0103 adopte o decizie prin care s\u0103 solicite entit\u0103\u021bilor financiare s\u0103 suspende temporar, par\u021bial sau integral, utilizarea sau implementarea unui serviciu furnizat de furnizorul ter\u021b esen\u021bial de servicii TIC p\u00e2n\u0103 la contracararea riscurilor identificate \u00een cadrul recomand\u0103rilor adresate furnizorilor ter\u021bi esen\u021biali de servicii TIC. \u00cen cazul \u00een care este necesar, acestea pot solicita entit\u0103\u021bilor financiare s\u0103 rezilieze par\u021bial sau integral acordurile contractuale relevante \u00eencheiate cu furnizorii ter\u021bi esen\u021biali de servicii TIC.
(7)
\u00cen cazul \u00een care un furnizor ter\u021b esen\u021bial de servicii TIC refuz\u0103 s\u0103 accepte recomand\u0103rile \u00een baza unei abord\u0103ri divergente fa\u021b\u0103 de cea recomandat\u0103 de supraveghetorul principal, \u0219i o astfel de abordare divergent\u0103 ar putea avea un impact negativ asupra unui num\u0103r mare de entit\u0103\u021bi financiare sau asupra unei p\u0103r\u021bi semnificative a sectorului financiar, iar avertismentele individuale emise de autorit\u0103\u021bile competente nu au avut drept rezultat abord\u0103ri coerente care s\u0103 atenueze riscul poten\u021bial la adresa stabilit\u0103\u021bii financiare, supraveghetorul principal poate, dup\u0103 consultarea Forumului de supraveghere, s\u0103 emit\u0103 avize neobligatorii \u0219i f\u0103r\u0103 caracter public adresate autorit\u0103\u021bilor competente, pentru a promova m\u0103suri ulterioare de supraveghere coerente \u0219i convergente, dup\u0103 caz.
(8)
La primirea rapoartelor men\u021bionate la articolul 35 alineatul (1) litera (c), autorit\u0103\u021bile competente, atunci c\u00e2nd iau o decizie \u00een conformitate cu alineatul (6) de la prezentul articol, \u021bin seama de tipul \u0219i de amploarea riscului care nu a fost contracarat de furnizorul ter\u021b esen\u021bial de servicii TIC, precum \u0219i de gravitatea neconformit\u0103\u021bii, av\u00e2nd \u00een vedere urm\u0103toarele criterii:
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/65
(a)
gravitatea \u0219i durata neconformit\u0103\u021bii;
(b)
dac\u0103 neconformitatea a eviden\u021biat deficien\u021be grave \u00een ceea ce prive\u0219te procedurile, sistemele de gestionare, gestionarea riscurilor \u0219i controalele interne ale furnizorului ter\u021b esen\u021bial de servicii TIC;
(c)
dac\u0103 prin neconformitate a fost facilitat\u0103 sau ocazionat\u0103 o infrac\u021biune financiar\u0103 sau dac\u0103 aceasta este imputabil\u0103 \u00een alt mod neconformit\u0103\u021bii;
(d)
dac\u0103 neconformitatea a fost inten\u021bionat\u0103 sau este rezultatul unei neglijen\u021be;
(e)
dac\u0103 suspendarea sau \u00eencetarea acordurilor contractuale d\u0103 na\u0219tere unui risc la adresa continuit\u0103\u021bii activit\u0103\u021bilor economice ale entit\u0103\u021bii financiare \u00een pofida eforturilor acesteia de a evita perturbarea furniz\u0103rii serviciilor sale;
(f)
dup\u0103 caz, avizul autorit\u0103\u021bilor competente desemnate sau instituite \u00een conformitate cu Directiva (UE) 2022\/2555 responsabile de supravegherea unei entit\u0103\u021bi esen\u021biale sau importante c\u0103reia i se aplic\u0103 directiva respectiv\u0103 \u0219i care a fost desemnat\u0103 drept furnizor ter\u021b esen\u021bial de servicii TIC, aviz solicitat \u00een mod voluntar \u00een conformitate cu alineatul (5) de la prezentul articol.
Autorit\u0103\u021bile competente le acord\u0103 entit\u0103\u021bilor financiare perioada de timp necesar\u0103 pentru a le permite s\u0103 adapteze acordurile contractuale cu furnizorii ter\u021bi esen\u021biali de servicii TIC pentru a evita apari\u021bia unor efecte negative asupra rezilien\u021bei lor opera\u021bionale digitale \u0219i pentru a le permite s\u0103 implementeze strategiile de ie\u0219ire \u0219i planurile de tranzi\u021bie, astfel cum sunt men\u021bionate la articolul 28.
(9)
Decizia men\u021bionat\u0103 la alineatul (6) de la prezentul articol se notific\u0103 membrilor Forumului de supraveghere men\u021bionat la articolul 32 alineatul (4) literele (a), (b) \u0219i (c) \u0219i RSC.
Furnizorii ter\u021bi esen\u021biali de servicii TIC viza\u021bi de deciziile prev\u0103zute la alineatul (6) coopereaz\u0103 pe deplin cu entit\u0103\u021bile financiare afectate, \u00een special \u00een contextul procesului de suspendare sau de \u00eencetare a acordurilor lor contractuale.
(10)
Autorit\u0103\u021bile competente informeaz\u0103 periodic supraveghetorul principal cu privire la abord\u0103rile urmate \u0219i m\u0103surile luate \u00een cadrul atribu\u021biilor lor de supraveghere \u00een ceea ce prive\u0219te entit\u0103\u021bile financiare, precum \u0219i cu privire la acordurile contractuale \u00eencheiate de entit\u0103\u021bile financiare \u00een cazul \u00een care furnizorii ter\u021bi esen\u021biali de servicii TIC nu au acceptat, par\u021bial sau \u00een \u00eentregime, recomand\u0103rile adresate de supraveghetorul principal.
(11)
Supraveghetorul principal poate, la cerere, s\u0103 furnizeze clarific\u0103ri suplimentare cu privire la recomand\u0103rile emise pentru a \u00eendruma autorit\u0103\u021bile competente cu privire la m\u0103surile ulterioare.
Articolul 43
Taxele de supraveghere
(1)
\u00cen conformitate cu actul delegat men\u021bionat la alineatul (2) de la prezentul articol, supraveghetorul principal percepe de la furnizorii ter\u021bi esen\u021biali de servicii TIC taxe care acoper\u0103 integral cheltuielile necesare ale supraveghetorului principal \u00een leg\u0103tur\u0103 cu \u00eendeplinirea atribu\u021biilor de supraveghere \u00een temeiul prezentului regulament, inclusiv rambursarea oric\u0103ror costuri care ar putea fi suportate ca urmare a activit\u0103\u021bii desf\u0103\u0219urate de echipa de examinare comun\u0103 prev\u0103zut\u0103 la articolul 40, precum \u0219i a costurilor aferente consultan\u021bei furnizate de exper\u021bii independen\u021bi men\u021biona\u021bi la articolul 32 alineatul (4) al doilea paragraf, \u00een leg\u0103tur\u0103 cu aspecte care intr\u0103 \u00een sfera activit\u0103\u021bilor de supraveghere direct\u0103.
Cuantumul unei taxe percepute de la un furnizor ter\u021b esen\u021bial de servicii TIC acoper\u0103 toate costurile care decurg din efectuarea sarcinilor stabilite \u00een prezenta sec\u021biune \u0219i este propor\u021bional cu cifra sa de afaceri.
(2)
Comisia este \u00eemputernicit\u0103 s\u0103 adopte un act delegat \u00een conformitate cu articolul 57 pentru a completa prezentul regulament prin stabilirea cuantumului taxelor \u0219i a modalit\u0103\u021bii de plat\u0103 a acestora, p\u00e2n\u0103 la 17 iulie 2024.
L 333\/66 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
Articolul 44
Cooperarea interna\u021bional\u0103
(1)
F\u0103r\u0103 a aduce atingere articolului 36, ABE, ESMA \u0219i EIOPA pot, \u00een conformitate cu articolul 33 din Regulamentele (UE) nr. 1093\/2010, (UE) nr. 1095\/2010 \u0219i, respectiv, (UE) nr. 1094\/2010, s\u0103 \u00eencheie acorduri administrative cu autorit\u0103\u021bi de reglementare \u0219i de supraveghere din \u021b\u0103ri ter\u021be pentru a \u00eencuraja cooperarea interna\u021bional\u0103 cu privire la riscurile TIC generate de p\u0103r\u021bi ter\u021be \u00een diferite sectoare financiare, \u00een special prin elaborarea de bune practici pentru revizuirea practicilor de gestionare a riscurilor TIC \u0219i a controalelor aferente, a m\u0103surilor de atenuare \u0219i a r\u0103spunsurilor la incidente.
(2)
AES transmit, prin intermediul Comitetului comun, o dat\u0103 la cinci ani, un raport confiden\u021bial comun Parlamentului European, Consiliului \u0219i Comisiei, \u00een care sintetizeaz\u0103 constat\u0103rile discu\u021biilor relevante purtate cu autorit\u0103\u021bile \u021b\u0103rilor ter\u021be men\u021bionate la alineatul (1), ax\u00e2ndu-se pe evolu\u021bia riscurilor TIC generate de p\u0103r\u021bi ter\u021be \u0219i pe implica\u021biile pentru stabilitatea financiar\u0103, integritatea pie\u021bei, protec\u021bia investitorilor \u0219i func\u021bionarea pie\u021bei interne.
CAPITOLUL VI
Acorduri privind schimbul de informa\u021bii
Articolul 45
Acorduri privind schimbul de informa\u021bii referitoare la informa\u021bii \u0219i date operative privind amenin\u021b\u0103rile cibernetice
(1)
Entit\u0103\u021bile financiare pot face schimb reciproc de informa\u021bii \u0219i date operative privind amenin\u021b\u0103rile cibernetice, inclusiv de indicatori de compromitere, tactici, tehnici \u0219i proceduri, alerte de securitate cibernetic\u0103 \u0219i instrumente de configurare, \u00een m\u0103sura \u00een care aceste schimburi de informa\u021bii \u0219i date operative:
(a)
vizeaz\u0103 sporirea rezilien\u021bei opera\u021bionale digitale a entit\u0103\u021bilor financiare, \u00een special prin cre\u0219terea gradului de con\u0219tientizarea cu privire la amenin\u021b\u0103rile cibernetice, limitarea sau \u00eempiedicarea capacit\u0103\u021bii de propagare a amenin\u021b\u0103rilor cibernetice, sprijinirea capacit\u0103\u021bilor de ap\u0103rare, tehnicile de detectare a amenin\u021b\u0103rilor, strategiile de atenuare sau etapele proceselor de r\u0103spuns \u0219i de recuperare;
(b)
au loc \u00een cadrul unor comunit\u0103\u021bi de \u00eencredere ale entit\u0103\u021bilor financiare;
(c)
sunt puse \u00een aplicare prin intermediul unor acorduri privind schimbul de informa\u021bii care protejeaz\u0103 natura poten\u021bial sensibil\u0103 a informa\u021biilor partajate \u0219i care sunt reglementate de norme de conduit\u0103 care respect\u0103 pe deplin secretul comercial, protec\u021bia datelor cu caracter personal \u00een conformitate cu Regulamentul (UE) 2016\/679 \u0219i orient\u0103rile privind politica \u00een domeniul concuren\u021bei.
(2)
\u00cen scopul aplic\u0103rii alineatului (1) litera (c), acordurile privind schimbul de informa\u021bii definesc condi\u021biile de participare \u0219i, dup\u0103 caz, stabilesc detaliile privind implicarea autorit\u0103\u021bilor publice \u0219i calitatea \u00een care acestea pot fi asociate la acordurile privind schimbul de informa\u021bii, implicarea furnizorilor ter\u021bi de servicii TIC \u0219i elementele opera\u021bionale, inclusiv utilizarea platformelor informatice specifice.
(3)
Entit\u0103\u021bile financiare informeaz\u0103 autorit\u0103\u021bile competente cu privire la participarea lor la acordurile privind schimbul de informa\u021bii men\u021bionate la alineatul (1), \u00een momentul valid\u0103rii sau, dup\u0103 caz, al \u00eencet\u0103rii particip\u0103rii lor, odat\u0103 ce aceasta \u00eencepe s\u0103 produc\u0103 efecte.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/67
CAPITOLUL VII
Autorit\u0103\u021bile competente
Articolul 46
Autorit\u0103\u021bile competente
F\u0103r\u0103 a aduce atingere dispozi\u021biilor privind cadrul de supraveghere pentru furnizorii ter\u021bi esen\u021biali de servicii TIC men\u021bionat \u00een capitolul V sec\u021biunea II din prezentul regulament, respectarea prezentului regulament este asigurat\u0103 de urm\u0103toarele autorit\u0103\u021bi competente \u00een conformitate cu prerogativele conferite prin actele juridice respective:
(a)
pentru institu\u021biile de credit \u0219i pentru institu\u021biile exceptate \u00een temeiul Directivei 2013\/36\/UE, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 4 din directiva respectiv\u0103, iar pentru institu\u021biile de credit clasificate ca fiind semnificative \u00een conformitate cu articolul 6 alineatul (4) din Regulamentul (UE) nr. 1024\/2013, BCE, \u00een conformitate cu competen\u021bele \u0219i atribu\u021biile conferite prin regulamentul respectiv;
(b)
pentru institu\u021biile de plat\u0103, inclusiv institu\u021biile de plat\u0103 exceptate \u00een temeiul Directivei (UE) 2015\/2366, institu\u021biile emitente de moned\u0103 electronic\u0103, inclusiv cele exceptate \u00een temeiul Directivei 2009\/110\/CE, \u0219i prestatorii de servicii de informare cu privire la conturi men\u021biona\u021bi la articolul 33 alineatul (1) din Directiva (UE) 2015\/2366, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 22 din Directiva (UE) 2015\/2366;
(c)
pentru firmele de investi\u021bii, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 4 din Directiva (UE) 2019\/2034 a Parlamentului European \u0219i a Consiliului(38);
(d)
pentru furnizorii de servicii de criptoactive autoriza\u021bi \u00een temeiul Regulamentului privind pie\u021bele criptoactivelor \u0219i pentru emiten\u021bii de tokenuri raportate la active, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu dispozi\u021biile relevante din regulamentul respectiv;
(e)
pentru depozitarii centrali de titluri de valoare, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 11 din Regulamentul (UE) nr. 909\/2014;
(f)
pentru contrap\u0103r\u021bile centrale, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 22 din Regulamentul (UE) nr. 648\/2012;
(g)
pentru locurile de tranzac\u021bionare \u0219i furnizorii de servicii de raportare a datelor, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 67 din Directiva 2014\/65\/UE \u0219i autoritatea competent\u0103 definit\u0103 la articolul 2 alineatul (1) punctul 18 din Regulamentul (UE) nr. 600\/2014;
(h)
pentru registrele centrale de tranzac\u021bii, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 22 din Regulamentul (UE) nr. 648\/2012;
(i)
pentru administratorii de fonduri de investi\u021bii alternative, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 44 din Directiva 2011\/61\/UE;
(j)
pentru societ\u0103\u021bile de administrare, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 97 din Directiva 2009\/65\/CE;
(k)
pentru \u00eentreprinderile de asigurare \u0219i de reasigurare, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 30 din Directiva 2009\/138\/CE;
(l)
pentru intermediarii de asigur\u0103ri, intermediarii de reasigur\u0103ri \u0219i intermediarii de asigur\u0103ri auxiliare, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 12 din Directiva (UE) 2016\/97;
(m)
pentru institu\u021biile pentru furnizarea de pensii ocupa\u021bionale, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 47 din Directiva (UE) 2016\/2341;
(n)
pentru agen\u021biile de rating de credit, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 21 din Regulamentul (CE) nr. 1060\/2009;
(o)
pentru administratorii de indici de referin\u021b\u0103 critici, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolele 40 \u0219i 41 din Regulamentul (UE) 2016\/1011;
(38)Directiva (UE) 2019\/2034 a Parlamentului European \u0219i a Consiliului din 27 noiembrie 2019 privind supravegherea pruden\u021bial\u0103 a firmelor de investi\u021bii \u0219i de modificare a Directivelor 2002\/87\/CE, 2009\/65\/CE, 2011\/61\/UE, 2013\/36\/UE, 2014\/59\/UE \u0219i 2014\/65\/UE (JO L 314, 5.12.2019, p. 64).
L 333\/68 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(p)
pentru furnizorii de servicii de finan\u021bare participativ\u0103, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 29 din Regulamentul (UE) 2020\/1503;
(q)
pentru registrele centrale de securitiz\u0103ri, autoritatea competent\u0103 desemnat\u0103 \u00een conformitate cu articolul 10 \u0219i cu articolul 14 alineatul (1) din Regulamentul (UE) 2017\/2402.
Articolul 47
Cooperarea cu structurile \u0219i autorit\u0103\u021bile \u00eenfiin\u021bate prin Directiva (UE) 2022\/2555
(1)
Pentru a \u00eencuraja cooperarea \u0219i a permite schimburile de informa\u021bii \u00een scopuri de supraveghere \u00eentre autorit\u0103\u021bile competente desemnate \u00een temeiul prezentului regulament \u0219i Grupul de cooperare instituit prin articolul 14 din Directiva (UE) 2022\/2555, AES \u0219i autorit\u0103\u021bile competente pot participa la activit\u0103\u021bile Grupului de cooperare \u00een ceea ce prive\u0219te chestiuni care privesc activit\u0103\u021bile lor de supraveghere \u00een leg\u0103tur\u0103 cu entit\u0103\u021bile financiare. AES \u0219i autorit\u0103\u021bile competente pot solicita s\u0103 fie invitate s\u0103 participe la activit\u0103\u021bile Grupului de cooperare cu privire la chestiuni legate de entit\u0103\u021bile esen\u021biale sau importante c\u0103rora li se aplic\u0103 Directiva (UE) 2022\/2555 \u0219i care au fost, de asemenea, desemnate drept furnizori ter\u021bi esen\u021biali de servicii TIC \u00een temeiul articolului 31 din prezentul regulament.
(2)
Dup\u0103 caz, autorit\u0103\u021bile competente se pot consulta \u0219i pot face schimb de informa\u021bii cu punctele unice de contact \u0219i cu echipele CSIRT desemnate sau instituite \u00een conformitate cu Directiva (UE) 2022\/2555.
(3)
Dup\u0103 caz, autorit\u0103\u021bile competente pot solicita orice tip de consultan\u021b\u0103 \u0219i asisten\u021b\u0103 tehnic\u0103 relevant\u0103 din partea autorit\u0103\u021bilor competente desemnate sau stabilite \u00een conformitate cu Directiva (UE) 2022\/2555 \u0219i pot stabili acorduri de cooperare pentru a permite crearea unor mecanisme de coordonare eficace \u0219i rapide.
(4)
Acordurile men\u021bionate la alineatul (3) de la prezentul articol pot specifica, printre altele, procedurile pentru coordonarea activit\u0103\u021bilor de supraveghere \u0219i, respectiv, de control \u00een ceea ce prive\u0219te entit\u0103\u021bile esen\u021biale sau importante c\u0103rora li se aplic\u0103 Directiva (UE) 2022\/2555 \u0219i care au fost desemnate drept furnizori ter\u021bi esen\u021biali de servicii TIC \u00een temeiul articolului 31 din prezentul regulament, inclusiv pentru efectuarea, \u00een conformitate cu dreptul intern, a investiga\u021biilor \u0219i a inspec\u021biilor la fa\u021ba locului, precum \u0219i pentru mecanismele privind schimbul de informa\u021bii dintre autorit\u0103\u021bile competente \u00een temeiul prezentului regulament \u0219i autorit\u0103\u021bile competente desemnate sau stabilite \u00een conformitate cu directiva respectiv\u0103, care include accesul la informa\u021biile solicitate de autorit\u0103\u021bile din urm\u0103.
Articolul 48
Cooperarea \u00eentre autorit\u0103\u021bi
(1)
Autorit\u0103\u021bile competente coopereaz\u0103 \u00eendeaproape \u00eentre ele \u0219i, dup\u0103 caz, cu supraveghetorul principal.
(2)
Autorit\u0103\u021bile competente \u0219i supraveghetorul principal \u00ee\u0219i transmit reciproc, \u00een timp util, toate informa\u021biile relevante privind furnizorii ter\u021bi esen\u021biali de servicii TIC care sunt necesare pentru \u00eendeplinirea sarcinilor care le revin \u00een temeiul prezentului regulament, \u00een special \u00een leg\u0103tur\u0103 cu riscurile identificate, cu abord\u0103rile \u0219i cu m\u0103surile adoptate \u00een cadrul sarcinilor de supraveghere ale supraveghetorului principal.
Articolul 49
Exerci\u021bii, comunicare \u0219i cooperare transsectoriale \u00een domeniul financiar
(1)
AES, prin intermediul Comitetului comun \u0219i \u00een colaborare cu autorit\u0103\u021bile competente, cu autorit\u0103\u021bile de rezolu\u021bie men\u021bionate la articolul 3 din Directiva 2014\/59\/UE, cu BCE, cu Comitetul unic de rezolu\u021bie \u00een ceea ce prive\u0219te informa\u021biile referitoare la entit\u0103\u021bile care intr\u0103 sub inciden\u021ba Regulamentului (UE) nr. 806\/2014, cu CERS \u0219i cu ENISA, dup\u0103 caz, pot stabili mecanisme care s\u0103 permit\u0103 schimbul de practici eficace \u00eentre sectoarele financiare \u00een vederea \u00eembun\u0103t\u0103\u021birii gradului de con\u0219tientizare a situa\u021biei \u0219i a identific\u0103rii vulnerabilit\u0103\u021bilor \u0219i riscurilor cibernetice comune la nivelul tuturor sectoarelor.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/69
Acestea pot elabora exerci\u021bii de gestionare a crizelor \u0219i pentru situa\u021bii neprev\u0103zute care implic\u0103 scenarii de atacuri cibernetice, cu scopul de a dezvolta canale de comunicare \u0219i de a permite treptat un r\u0103spuns coordonat eficace la nivelul UE \u00een cazul unui incident transfrontalier major legat de TIC sau al unei amenin\u021b\u0103ri conexe cu un impact sistemic asupra sectorului financiar al Uniunii \u00een ansamblu.
Exerci\u021biile respective pot, dup\u0103 caz, s\u0103 testeze \u0219i dependen\u021bele sectorului financiar de alte sectoare economice.
(2)
Autorit\u0103\u021bile competente, AES \u0219i BCE coopereaz\u0103 str\u00e2ns \u0219i fac schimb de informa\u021bii pentru a-\u0219i \u00eendeplini atribu\u021biile prev\u0103zute la articolele 47-54. Acestea \u00ee\u0219i coordoneaz\u0103 \u00eendeaproape activit\u0103\u021bile de supraveghere pentru a identifica \u0219i a remedia cazurile de nerespectare a prezentului regulament, pentru a elabora \u0219i a promova bune practici, a facilita colaborarea, a stimula consecven\u021ba interpret\u0103rii \u0219i a furniza evalu\u0103ri interjurisdic\u021bionale \u00een cazul oric\u0103ror ne\u00een\u021belegeri.
Articolul 50
Sanc\u021biuni administrative \u0219i m\u0103suri de remediere
(1)
Autorit\u0103\u021bile competente dispun de toate competen\u021bele de supraveghere, de investigare \u0219i de sanc\u021bionare necesare pentru a-\u0219i \u00eendeplini atribu\u021biile \u00een conformitate cu prezentul regulament.
(2)
Competen\u021bele men\u021bionate la alineatul (1) includ cel pu\u021bin urm\u0103toarele:
(a)
competen\u021ba de a avea acces la orice document sau date de\u021binute sub orice form\u0103 pe care autoritatea competent\u0103 le consider\u0103 relevante pentru \u00eendeplinirea sarcinilor sale \u0219i competen\u021ba de a primi sau de a face o copie a acestora;
(b)
competen\u021ba de a efectua inspec\u021bii la fa\u021ba locului sau investiga\u021bii, incluz\u00e2nd, printre altele, urm\u0103toarele activit\u0103\u021bi:
(i)
convocarea reprezentan\u021bilor entit\u0103\u021bilor financiare pentru explica\u021bii verbale sau scrise cu privire la fapte sau documente referitoare la obiectul \u0219i scopul investiga\u021biei \u0219i \u00eenregistrarea r\u0103spunsurilor;
(ii)
punerea de \u00eentreb\u0103ri oric\u0103rei alte persoane fizice sau juridice care accept\u0103 s\u0103 i se pun\u0103 \u00eentreb\u0103ri \u00een scopul colect\u0103rii de informa\u021bii referitoare la obiectul unei investiga\u021bii;
(c)
competen\u021ba de a solicita m\u0103suri corective \u0219i de remediere pentru \u00eenc\u0103lc\u0103rile cerin\u021belor prezentului regulament.
(3)
F\u0103r\u0103 a aduce atingere dreptului statelor membre de a impune sanc\u021biuni penale \u00een conformitate cu articolul 52, statele membre prev\u0103d norme de stabilire a sanc\u021biunilor administrative \u0219i a m\u0103surilor de remediere corespunz\u0103toare pentru \u00eenc\u0103lc\u0103rile prezentului regulament \u0219i asigur\u0103 punerea lor efectiv\u0103 \u00een aplicare.
Aceste sanc\u021biuni \u0219i m\u0103suri sunt eficace, propor\u021bionale \u0219i disuasive.
(4)
Statele membre confer\u0103 autorit\u0103\u021bilor competente competen\u021ba de a aplica cel pu\u021bin urm\u0103toarele sanc\u021biuni administrative sau m\u0103suri de remediere \u00een cazul \u00eenc\u0103lc\u0103rii prezentului regulament:
(a)
emiterea unei dispozi\u021bii prin care i se cere persoanei fizice sau juridice s\u0103 \u00eenceteze comportamentul care \u00eencalc\u0103 prezentul regulament \u0219i s\u0103 se ab\u021bin\u0103 de la repetarea comportamentului respectiv;
(b)
solicitarea \u00eencet\u0103rii temporare sau permanente a oric\u0103rei practici sau a oric\u0103rui comportament \u00een leg\u0103tur\u0103 cu care autoritatea competent\u0103 consider\u0103 c\u0103 contravine dispozi\u021biilor prezentului regulament \u0219i prevenirea repet\u0103rii practicii sau a comportamentului \u00een cauz\u0103;
(c)
adoptarea oric\u0103rui tip de m\u0103sur\u0103, inclusiv de natur\u0103 pecuniar\u0103, pentru a asigura c\u0103 entit\u0103\u021bile financiare respect\u0103 \u00een continuare cerin\u021bele legale;
(d)
solicitarea, \u00een m\u0103sura \u00een care dreptul intern permite acest lucru, a unor \u00eenregistr\u0103ri existente ale schimburilor de date de\u021binute de un operator de telecomunica\u021bii, atunci c\u00e2nd exist\u0103 o suspiciune rezonabil\u0103 privind o \u00eenc\u0103lcare a prezentului regulament \u0219i atunci c\u00e2nd aceste \u00eenregistr\u0103ri pot fi relevante pentru o investiga\u021bie referitoare la \u00eenc\u0103lc\u0103ri ale prezentului regulament; \u0219i
(e)
emiterea unor anun\u021buri publice, inclusiv a unor declara\u021bii publice care indic\u0103 identitatea persoanei fizice sau juridice \u0219i natura \u00eenc\u0103lc\u0103rii.
L 333\/70 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(5)
Atunci c\u00e2nd alineatul (2) litera (c) \u0219i alineatul (4) se aplic\u0103 unor persoane juridice, statele membre confer\u0103 autorit\u0103\u021bilor competente competen\u021ba de a aplica sanc\u021biunile administrative \u0219i m\u0103surile de remediere, sub rezerva condi\u021biilor prev\u0103zute \u00een dreptul intern, membrilor organului de conducere, precum \u0219i altor persoane care, \u00een temeiul dreptului intern, sunt responsabile de \u00eenc\u0103lcare.
(6)
Statele membre se asigur\u0103 c\u0103 orice decizie de impunere a unor sanc\u021biuni administrative sau a unor m\u0103suri de remediere prev\u0103zute la alineatul (2) litera (c) este justificat\u0103 \u00een mod corespunz\u0103tor \u0219i face obiectul unei c\u0103i de atac.
Articolul 51
Exercitarea competen\u021bei de a impune sanc\u021biuni administrative \u0219i m\u0103suri de remediere
(1)
Autorit\u0103\u021bile competente \u00ee\u0219i exercit\u0103 competen\u021bele de a impune sanc\u021biunile administrative \u0219i m\u0103surile de remediere men\u021bionate la articolul 50 \u00een conformitate cu cadrele lor juridice na\u021bionale, dac\u0103 este cazul, dup\u0103 cum urmeaz\u0103:
(a)
\u00een mod direct;
(b)
\u00een colaborare cu alte autorit\u0103\u021bi;
(c)
sub responsabilitate proprie prin delegare c\u0103tre alte autorit\u0103\u021bi; sau
(d)
prin sesizarea autorit\u0103\u021bilor judiciare competente.
(2)
La stabilirea tipului \u0219i a nivelului unei sanc\u021biuni administrative sau al unei m\u0103suri de remediere care urmeaz\u0103 s\u0103 fie impuse \u00een temeiul articolului 50, autorit\u0103\u021bile competente iau \u00een considerare m\u0103sura \u00een care \u00eenc\u0103lcarea este inten\u021bionat\u0103 sau rezult\u0103 din neglijen\u021b\u0103 \u0219i toate celelalte circumstan\u021be relevante, inclusiv, dup\u0103 caz, urm\u0103toarele elemente:
(a)
importan\u021ba semnificativ\u0103, gravitatea \u0219i durata \u00eenc\u0103lc\u0103rii;
(b)
gradul de responsabilitate al persoanei fizice sau juridice responsabile de \u00eenc\u0103lcare;
(c)
soliditatea financiar\u0103 a persoanei fizice sau juridice responsabile;
(d)
importan\u021ba profiturilor ob\u021binute sau a pierderilor evitate de c\u0103tre persoana fizic\u0103 sau juridic\u0103 responsabil\u0103, \u00een m\u0103sura \u00een care acestea pot fi determinate;
(e)
pierderile suferite de ter\u021bi \u00een urma respectivei \u00eenc\u0103lc\u0103ri, \u00een m\u0103sura \u00een care acestea pot fi determinate;
(f)
nivelul de cooperare cu autoritatea competent\u0103 a persoanei fizice sau juridice responsabile, f\u0103r\u0103 a aduce atingere necesit\u0103\u021bii de a asigura confiscarea profiturilor ob\u021binute sau a pierderilor evitate de persoana fizic\u0103 sau juridic\u0103 respectiv\u0103;
(g)
\u00eenc\u0103lc\u0103rile anterioare comise de persoana fizic\u0103 sau juridic\u0103 responsabil\u0103.
Articolul 52
Sanc\u021biuni penale
(1)
Statele membre pot decide s\u0103 nu stabileasc\u0103 norme privind sanc\u021biunile administrative sau m\u0103surile de remediere \u00een cazul \u00eenc\u0103lc\u0103rilor care fac obiectul sanc\u021biunilor penale \u00een dreptul lor intern.
(2)
\u00cen cazul \u00een care statele membre au ales s\u0103 prevad\u0103 sanc\u021biuni penale pentru \u00eenc\u0103lc\u0103rile prezentului regulament, acestea se asigur\u0103 c\u0103 sunt instituite m\u0103suri adecvate astfel \u00eenc\u00e2t autorit\u0103\u021bile competente s\u0103 dispun\u0103 de toate competen\u021bele necesare pentru a asigura leg\u0103tura cu autorit\u0103\u021bile judiciare, de urm\u0103rire penal\u0103 sau autorit\u0103\u021bile judiciare penale din jurisdic\u021bia lor pentru a primi informa\u021bii specifice referitoare la anchete sau proceduri penale ini\u021biate pentru \u00eenc\u0103lcarea prezentului regulament, precum \u0219i pentru a furniza acelea\u0219i informa\u021bii altor autorit\u0103\u021bi competente, precum \u0219i ABE, ESMA sau EIOPA astfel \u00eenc\u00e2t s\u0103 \u00ee\u0219i \u00eendeplineasc\u0103 obliga\u021biile de cooperare \u00een scopul aplic\u0103rii prezentului regulament.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/71
Articolul 53
Obliga\u021bii de notificare
Statele membre notific\u0103 actele cu putere de lege \u0219i actele administrative de punere \u00een aplicare a prezentului capitol, inclusiv orice dispozi\u021bii relevante de drept penal, Comisiei, ESMA, ABE \u0219i EIOPA p\u00e2n\u0103 la 17 ianuarie 2025. Statele membre \u00een\u0219tiin\u021beaz\u0103 f\u0103r\u0103 \u00eent\u00e2rzieri nejustificate Comisia, ESMA, ABE \u0219i EIOPA cu privire la orice modificare ulterioar\u0103 a acestor acte.
Articolul 54
Publicarea sanc\u021biunilor administrative
(1)
Autorit\u0103\u021bile competente public\u0103 pe site-urile lor internet oficiale, f\u0103r\u0103 \u00eent\u00e2rzieri nejustificate, orice decizie de impunere a unei sanc\u021biuni administrative care nu face obiectul niciunei c\u0103i de atac dup\u0103 notificarea destinatarului sanc\u021biunii cu privire la decizia respectiv\u0103.
(2)
Publicarea men\u021bionat\u0103 la alineatul (1) include informa\u021bii privind tipul \u0219i natura \u00eenc\u0103lc\u0103rii, identitatea persoanelor responsabile \u0219i sanc\u021biunile impuse.
(3)
\u00cen cazul \u00een care autoritatea competent\u0103, \u00een urma unei evalu\u0103ri de la caz la caz, consider\u0103 c\u0103 publicarea identit\u0103\u021bii, \u00een cazul persoanelor juridice, sau a identit\u0103\u021bii \u0219i a datelor cu caracter personal, \u00een cazul persoanelor fizice, ar fi dispropor\u021bionat\u0103, comport\u00e2nd riscuri cu privire la protec\u021bia datelor cu caracter personal, ar pune \u00een pericol stabilitatea pie\u021belor financiare sau desf\u0103\u0219urarea unei anchete penale \u00een curs sau ar cauza, \u00een m\u0103sura \u00een care acestea pot fi determinate, prejudicii dispropor\u021bionate persoanei implicate, aceasta adopt\u0103 una dintre urm\u0103toarele solu\u021bii \u00een ceea ce prive\u0219te decizia de impunere a unei sanc\u021biuni administrative:
(a)
am\u00e2n\u0103 publicarea sa p\u00e2n\u0103 c\u00e2nd toate motivele pentru nepublicare \u00eenceteaz\u0103;
(b)
public\u0103 decizia men\u021bin\u00e2nd anonimatul persoanei \u00een cauz\u0103, \u00een conformitate cu dreptul intern; sau
(c)
se ab\u021bine de la publicarea acesteia, \u00een cazul \u00een care op\u021biunile prev\u0103zute la literele (a) \u0219i (b) sunt considerate insuficiente pentru a garanta lipsa oric\u0103rui pericol pentru stabilitatea pie\u021belor financiare sau \u00een cazul \u00een care o astfel de publicare nu ar fi propor\u021bional\u0103 cu clemen\u021ba sanc\u021biunii impuse.
(4)
\u00cen cazul unei decizii de a publica sanc\u021biunea administrativ\u0103 men\u021bin\u00e2nd anonimatul persoanei \u00een cauz\u0103 \u00een conformitate cu alineatul (3) litera (b), publicarea datelor relevante poate fi am\u00e2nat\u0103.
(5)
Dac\u0103 o autoritate competent\u0103 public\u0103 o decizie de impunere a unei sanc\u021biuni administrative care face obiectul unei c\u0103i de atac \u00een fa\u021ba autorit\u0103\u021bilor judiciare relevante, autorit\u0103\u021bile competente includ imediat pe site-ul lor internet oficial aceast\u0103 informa\u021bie \u0219i, ulterior, orice informa\u021bii conexe ulterioare cu privire la rezultatul c\u0103ii de atac. Se public\u0103, de asemenea, hot\u0103r\u00e2rile judec\u0103tore\u0219ti care anuleaz\u0103 deciziile de impunere a unei sanc\u021biuni administrative.
(6)
Autorit\u0103\u021bile competente se asigur\u0103 c\u0103 orice publicare men\u021bionat\u0103 la alineatele (1)-(4) r\u0103m\u00e2ne pe site-ul lor internet oficial numai pe perioada care este necesar\u0103 pentru ca prezentul articol s\u0103 \u00ee\u0219i produc\u0103 efectele. Aceast\u0103 perioad\u0103 nu poate dep\u0103\u0219i cinci ani de la data public\u0103rii.
Articolul 55
Secretul profesional
(1)
Informa\u021biile confiden\u021biale primite, schimbate sau transmise \u00een temeiul prezentului regulament fac obiectul condi\u021biilor privind respectarea secretului profesional prev\u0103zute la alineatul (2).
(2)
Obliga\u021bia de p\u0103strare a secretului profesional se aplic\u0103 tuturor persoanelor care lucreaz\u0103 sau care au lucrat pentru autorit\u0103\u021bile competente \u00een temeiul prezentului regulament sau pentru orice autoritate, \u00eentreprindere de pe pia\u021b\u0103 sau persoan\u0103 fizic\u0103 ori juridic\u0103 c\u0103reia respectivele autorit\u0103\u021bi competente i-au delegat competen\u021bele lor, inclusiv auditorilor \u0219i exper\u021bilor contracta\u021bi de acestea.
L 333\/72 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(3)
Informa\u021biile care fac obiectul secretului profesional, inclusiv schimbul de informa\u021bii \u00eentre autorit\u0103\u021bile competente \u00een temeiul prezentului regulament \u0219i autorit\u0103\u021bile competente desemnate sau instituite \u00een conformitate cu Directiva (UE) 2022\/ 2555, nu se comunic\u0103 niciunei alte persoane sau autorit\u0103\u021bi, cu excep\u021bia cazului \u00een care acest lucru este prev\u0103zut de dreptul Uniunii sau de dreptul intern.
(4)
Toate informa\u021biile care fac obiectul unor schimburi \u00eentre autorit\u0103\u021bile competente \u00een temeiul prezentului regulament \u0219i care privesc condi\u021biile comerciale sau opera\u021bionale \u0219i alte chestiuni economice sau personale sunt considerate confiden\u021biale \u0219i intr\u0103 sub inciden\u021ba obliga\u021biei referitoare la secretul profesional, cu excep\u021bia cazului \u00een care autoritatea competent\u0103 precizeaz\u0103, la momentul comunic\u0103rii, c\u0103 informa\u021biile respective pot fi divulgate sau a cazului \u00een care divulgarea acestora este necesar\u0103 pentru desf\u0103\u0219urarea unei proceduri judiciare.
Articolul 56
Protec\u021bia datelor
(1)
AES \u0219i autorit\u0103\u021bile competente sunt autorizate s\u0103 prelucreze date cu caracter personal numai \u00een cazul \u00een care acest lucru este necesar \u00een scopul \u00eendeplinirii obliga\u021biilor \u0219i sarcinilor care le revin \u00een temeiul prezentului regulament, \u00een special \u00een ceea ce prive\u0219te investigarea, realizarea de inspec\u021bii, solicitarea de informa\u021bii, comunicarea, publicarea, evaluarea, verificarea, evaluarea \u0219i elaborarea de planuri de supraveghere. Datele cu caracter personal se prelucreaz\u0103 \u00een conformitate cu Regulamentul (UE) 2016\/679 sau cu Regulamentul (UE) 2018\/1725, \u00een func\u021bie de care dintre acestea este aplicabil.
(2)
Cu excep\u021bia cazului \u00een care se prevede altfel \u00een alte acte sectoriale, datele cu caracter personal men\u021bionate la alineatul (1) se p\u0103streaz\u0103 p\u00e2n\u0103 la \u00eendeplinirea atribu\u021biilor de supraveghere aplicabile \u0219i, \u00een orice caz, pentru o perioad\u0103 maxim\u0103 de 15 ani, cu excep\u021bia cazului \u00een care o procedur\u0103 judiciar\u0103 \u00een curs necesit\u0103 p\u0103strarea acestor date pentru o perioad\u0103 mai lung\u0103.
CAPITOLUL VIII
Acte delegate
Articolul 57
Exercitarea deleg\u0103rii de competen\u021be
(1)
Se confer\u0103 Comisiei competen\u021ba de a adopta acte delegate, cu respectarea condi\u021biilor stabilite la prezentul articol.
(2)
Competen\u021ba de a adopta acte delegate men\u021bionat\u0103 la articolul 31 alineatul (6) \u0219i la articolul 43 alineatul (2) se confer\u0103 Comisiei pe o perioad\u0103 de cinci ani de la 17 ianuarie 2024. Comisia elaboreaz\u0103 un raport privind delegarea de competen\u021be cu cel pu\u021bin nou\u0103 luni \u00eenainte de \u00eencheierea perioadei de cinci ani. Delegarea de competen\u021be se prelunge\u0219te tacit cu perioade de timp identice, cu excep\u021bia cazului \u00een care Parlamentul European sau Consiliul se opune prelungirii respective cu cel pu\u021bin trei luni \u00eenainte de \u00eencheierea fiec\u0103rei perioade.
(3)
Delegarea de competen\u021be men\u021bionat\u0103 la articolul 31 alineatul (6) \u0219i la articolul 43 alineatul (2) poate fi revocat\u0103 oric\u00e2nd de Parlamentul European sau de Consiliu. O decizie de revocare pune cap\u0103t deleg\u0103rii competen\u021bei specificate \u00een decizia respectiv\u0103. Decizia produce efecte din ziua care urmeaz\u0103 datei public\u0103rii acesteia \u00een Jurnalul Oficial al Uniunii Europene sau de la o dat\u0103 ulterioar\u0103 men\u021bionat\u0103 \u00een decizie. Decizia nu aduce atingere actelor delegate care sunt deja \u00een vigoare.
(4)
\u00cenainte de adoptarea unui act delegat, Comisia consult\u0103 exper\u021bii desemna\u021bi de fiecare stat membru \u00een conformitate cu principiile prev\u0103zute \u00een Acordul interinstitu\u021bional din 13 aprilie 2016privind o mai bun\u0103 legiferare.
(5)
De \u00eendat\u0103 ce adopt\u0103 un act delegat, Comisia \u00eel notific\u0103 simultan Parlamentului European \u0219i Consiliului.
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/73
(6)
Un act delegat adoptat \u00een temeiul articolului 31 alineatul (6) \u0219i al articolului 43 alineatul (2) intr\u0103 \u00een vigoare numai \u00een cazul \u00een care nici Parlamentul European \u0219i nici Consiliul nu au formulat obiec\u021bii \u00een termen de trei luni de la notificarea acestuia c\u0103tre Parlamentul European \u0219i Consiliu sau \u00een cazul \u00een care, \u00eenaintea expir\u0103rii termenului respectiv, Parlamentul European \u0219i Consiliul au informat Comisia c\u0103 nu vor formula obiec\u021bii. Respectivul termen se prelunge\u0219te cu trei luni la ini\u021biativa Parlamentului European sau a Consiliului.
CAPITOLUL IX
Dispozi\u021bii tranzitorii \u0219i finale
Sec\u021biunea I
Articolul 58
Clauza de reexaminare
(1)
P\u00e2n\u0103 la 17 ianuarie 2028, dup\u0103 ce se consult\u0103 cu AES \u0219i CERS, dup\u0103 caz, Comisia efectueaz\u0103 o reexaminare \u0219i prezint\u0103 un raport Parlamentului European \u0219i Consiliului, \u00eenso\u021bit, dac\u0103 este cazul, de o propunere legislativ\u0103. Reexaminarea include cel pu\u021bin urm\u0103toarele aspecte:
(a)
criteriile pentru desemnarea furnizorilor ter\u021bi esen\u021biali de servicii TIC \u00een conformitate cu articolul 31 alineatul (2);
(b)
caracterul voluntar al notific\u0103rii amenin\u021b\u0103rilor cibernetice semnificative men\u021bionat la articolul 19;
(c)
regimul men\u021bionat la articolul 31 alineatul (12) \u0219i competen\u021bele supraveghetorului principal prev\u0103zute la articolul 35 alineatul (1) litera (d) punctul (iv) prima liniu\u021b\u0103, \u00een vederea evalu\u0103rii eficacit\u0103\u021bii dispozi\u021biilor respective \u00een ceea ce prive\u0219te asigurarea unei supravegheri eficace a furnizorilor ter\u021bi esen\u021biali de servicii TIC stabili\u021bi \u00eentr-o \u021bar\u0103 ter\u021b\u0103 \u0219i necesitatea de a \u00eenfiin\u021ba o filial\u0103 \u00een Uniune.
\u00cen scopul aplic\u0103rii primului paragraf de la prezenta liter\u0103, reexaminarea include o analiz\u0103 a regimului men\u021bionat la articolul 31 alineatul (12), inclusiv a condi\u021biilor de acces al entit\u0103\u021bilor financiare din Uniune la servicii din \u021b\u0103ri ter\u021be \u0219i a disponibilit\u0103\u021bii unor astfel de servicii pe pia\u021ba Uniunii, \u0219i \u021bine seama de evolu\u021bia pie\u021belor serviciilor care fac obiectul prezentului regulament, de experien\u021ba practic\u0103 a entit\u0103\u021bilor financiare \u0219i a supraveghetorilor financiari \u00een ceea ce prive\u0219te aplicarea \u0219i, respectiv, supravegherea regimului respectiv, precum \u0219i de orice evolu\u021bii relevante \u00een materie de reglementare \u0219i de supraveghere care au loc la nivel interna\u021bional;
(d)
oportunitatea includerii \u00een domeniul de aplicare al prezentului regulament a entit\u0103\u021bilor financiare men\u021bionate la articolul 2 alineatul (3) litera (e) care recurg la sisteme de v\u00e2nz\u0103ri automatizate, \u021bin\u00e2nd seama de evolu\u021biile viitoare ale pie\u021bei \u00een ceea ce prive\u0219te utilizarea unor astfel de sisteme;
(e)
func\u021bionarea \u0219i eficacitatea RSC \u00een ceea ce prive\u0219te sprijinirea coeren\u021bei supravegherii \u0219i a eficien\u021bei schimbului de informa\u021bii \u00een interiorul cadrului de supraveghere.
(2)
\u00cen contextul reexamin\u0103rii Directivei (UE) 2015\/2366, Comisia evalueaz\u0103 necesitatea unei mai mari rezilien\u021be cibernetice a sistemelor de pl\u0103\u021bi \u0219i a activit\u0103\u021bilor de prelucrare a pl\u0103\u021bilor, precum \u0219i oportunitatea extinderii domeniului de aplicare al prezentului regulament la operatorii sistemelor de plat\u0103 \u0219i la entit\u0103\u021bile implicate \u00een activit\u0103\u021bile de prelucrare a pl\u0103\u021bilor. \u00cen lumina acestei evalu\u0103ri, Comisia prezint\u0103 Parlamentului European \u0219i Consiliului, \u00een cadrul reexamin\u0103rii Directivei (UE) 2015\/2366, un raport p\u00e2n\u0103 cel t\u00e2rziu la 17 iulie 2023.
Pe baza respectivului raport de reexaminare \u0219i dup\u0103 consultarea AES, BCE \u0219i CERS, Comisia poate prezenta, dac\u0103 este cazul \u0219i ca parte a propunerii legislative pe care o poate adopta \u00een temeiul articolului 108 al doilea paragraf din Directiva (UE) 2015\/2366, o propunere urm\u0103rind s\u0103 asigure faptul c\u0103 to\u021bi operatorii sistemelor de plat\u0103 \u0219i entit\u0103\u021bile implicate \u00een activit\u0103\u021bile de prelucrare a pl\u0103\u021bilor fac obiectul unei supravegheri adecvate, \u021bin\u00e2nd seama \u00een acela\u0219i timp de supravegherea existent\u0103 din partea b\u0103ncilor centrale.
L 333\/74 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(3)
P\u00e2n\u0103 la 17 ianuarie 2026, dup\u0103 consultarea AES \u0219i a Comitetului Organismelor Europene de Supraveghere a Auditului, Comisia efectueaz\u0103 o reexaminare \u0219i prezint\u0103 Parlamentului European \u0219i Consiliului un raport, \u00eenso\u021bit, dup\u0103 caz, de o propunere legislativ\u0103, cu privire la oportunitatea unor cerin\u021be mai stricte pentru auditorii statutari \u0219i firmele de audit \u00een ceea ce prive\u0219te rezilien\u021ba opera\u021bional\u0103 digital\u0103, prin includerea auditorilor statutari \u0219i a firmelor de audit \u00een domeniul de aplicare al prezentului regulament sau prin intermediul unor modific\u0103ri ale Directivei 2006\/43\/CE a Parlamentului European \u0219i a Consiliului(39).
Sec\u021biunea II
Modific\u0103ri
Articolul 59
Modificarea Regulamentului (CE) nr. 1060\/2009
Regulamentul (CE) nr. 1060\/2009 se modific\u0103 dup\u0103 cum urmeaz\u0103:
1.
\u00cen anexa I sec\u021biunea A punctul 4, primul paragraf se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201eAgen\u021bia de rating de credit dispune de proceduri contabile \u0219i administrative sigure, de mecanisme de control intern, de tehnici eficiente de evaluare a riscurilor \u0219i de dispozitive eficiente de control \u0219i de salvgardare pentru gestionarea sistemelor TIC \u00een conformitate cu Regulamentul (UE) 2022\/2554 al Parlamentului European \u0219i al Consiliului (*).
_____________
(*) Regulamentul (UE) 2022\/2554 al Parlamentului European \u0219i al Consiliului din 14 decembrie 2022 privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 a sectorului financiar \u0219i de modificare a Regulamentelor (CE) nr. 1060\/2009, (UE) nr. 648\/2012, (UE) nr. 600\/2014, (UE) nr. 909\/2014 \u0219i (UE) 2016\/1011 (JO L 333, 27.12.2022, p. 1).\u201d
2.
\u00cen anexa III, punctul 12 se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e12.
Agen\u021bia de rating de credit \u00eencalc\u0103 articolul 6 alineatul (2), coroborat cu punctul 4 din anexa I sec\u021biunea A, prin faptul c\u0103 nu dispune de proceduri contabile sau administrative sigure, de mecanisme de control intern, de proceduri eficiente de evaluare a riscurilor sau de dispozitive eficiente de control \u0219i de salvgardare pentru gestionarea sistemelor TIC \u00een conformitate cu Regulamentul (UE) 2022\/2554 sau prin faptul c\u0103 nu pune \u00een aplicare sau nu men\u021bine proceduri decizionale ori structuri organiza\u021bionale \u00een conformitate cu punctul respectiv.\u201d
Articolul 60
Modificarea Regulamentului (UE) nr. 648\/2012
Regulamentul (UE) nr. 648\/2012 se modific\u0103 dup\u0103 cum urmeaz\u0103:
1.
Articolul 26 se modific\u0103 dup\u0103 cum urmeaz\u0103:
(a)
alineatul (3) se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(3)
CPC men\u021bin \u0219i utilizeaz\u0103 o structur\u0103 organizatoric\u0103 adecvat\u0103 pentru a le asigura continuitatea \u0219i func\u021bionarea corespunz\u0103toare \u00een cursul prest\u0103rii serviciilor \u0219i al desf\u0103\u0219ur\u0103rii activit\u0103\u021bilor. Ele utilizeaz\u0103 sisteme, resurse \u0219i proceduri adecvate \u0219i propor\u021bionale, inclusiv sisteme TIC gestionate \u00een conformitate cu Regulamentul (UE) 2022\/ 2554 al Parlamentului European \u0219i al Consiliului (*).
_____________
(*) Regulamentul (UE) 2022\/2554 al Parlamentului European \u0219i al Consiliului din 14 decembrie 2022 privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 a sectorului financiar \u0219i de modificare a Regulamentelor (CE) nr. 1060\/2009, (UE) nr. 648\/2012, (UE) nr. 600\/2014, (UE) nr. 909\/2014 \u0219i (UE) 2016\/1011 (JO L 333, 27.12.2022, p. 1).\u201d;
(39)Directiva 2006\/43\/CE a Parlamentului European \u0219i a Consiliului din 17 mai 2006 privind auditul legal al conturilor anuale \u0219i al conturilor consolidate, de modificare a Directivelor 78\/660\/CEE \u0219i 83\/349\/CEE ale Consiliului \u0219i de abrogare a Directivei 84\/253\/CEE a Consiliului (JO L 157, 9.6.2006, p. 87).
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/75
(b)
alineatul (6) se elimin\u0103.
2.
Articolul 34 se modific\u0103 dup\u0103 cum urmeaz\u0103:
(a)
alineatul (1) se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(1)
CPC prev\u0103d, aplic\u0103 \u0219i men\u021bin o politic\u0103 adecvat\u0103 de continuitate a activit\u0103\u021bii \u0219i un plan adecvat de recuperare \u00een caz de dezastru, care includ o politic\u0103 de continuitate a activit\u0103\u021bii TIC \u0219i planuri de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC instituite \u0219i puse \u00een aplicare \u00een conformitate cu Regulamentul (UE) 2022\/2554, cu scopul de a asigura conservarea func\u021biilor lor, reluarea rapid\u0103 a opera\u021biunilor \u0219i \u00eendeplinirea obliga\u021biilor.\u201d;
(b)
la alineatul (3), primul paragraf se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(3)
Pentru a asigura aplicarea consecvent\u0103 a prezentului articol, ESMA, dup\u0103 consultarea membrilor SEBC, elaboreaz\u0103 proiecte de standarde tehnice de reglementare \u00een care precizeaz\u0103 con\u021binutul \u0219i cerin\u021bele minime ale politicii de continuitate a activit\u0103\u021bii \u0219i ale planului de recuperare \u00een caz de dezastru, excluz\u00e2nd politica de continuitate a activit\u0103\u021bii TIC \u0219i planurile de recuperare \u00een caz de dezastru \u00een domeniul TIC.\u201d
3.
La articolul 56 alineatul (3), primul paragraf se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(3)
Pentru a asigura aplicarea consecvent\u0103 a prezentului articol, ESMA elaboreaz\u0103 proiecte de standarde tehnice de reglementare \u00een care precizeaz\u0103 detaliile, altele dec\u00e2t cele pentru cerin\u021bele legate de gestionarea riscurilor TIC, ale cererii de \u00eenregistrare men\u021bionate la alineatul (1).\u201d
4.
La articolul 79, alineatele (1) \u0219i (2) se \u00eenlocuiesc cu urm\u0103torul text:
\u201e(1)
Registrele centrale de tranzac\u021bii identific\u0103 sursele de risc opera\u021bional \u0219i le reduc la minimum \u0219i prin dezvoltarea unor sisteme, mijloace de control \u0219i proceduri adecvate, inclusiv sisteme TIC gestionate \u00een conformitate cu Regulamentul (UE) 2022\/2554.
(2)
Registrele centrale de tranzac\u021bii prev\u0103d, aplic\u0103 \u0219i men\u021bin o politic\u0103 adecvat\u0103 de continuitate a activit\u0103\u021bii \u0219i un plan adecvat de recuperare \u00een caz de dezastru, care includ o politic\u0103 de continuitate a activit\u0103\u021bii TIC \u0219i planuri de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC instituite \u00een conformitate cu Regulamentul (UE) 2022\/2554, cu scopul de a asigura men\u021binerea func\u021biilor lor, reluarea rapid\u0103 a opera\u021biunilor \u0219i \u00eendeplinirea obliga\u021biilor.\u201d
5.
La articolul 80, alineatul (1) se elimin\u0103.
6.
\u00cen anexa I, sec\u021biunea II se modific\u0103 dup\u0103 cum urmeaz\u0103:
(a)
literele (a) \u0219i (b) se \u00eenlocuiesc cu urm\u0103torul text:
\u201e(a)
un registru central de tranzac\u021bii \u00eencalc\u0103 articolul 79 alineatul (1) dac\u0103 nu identific\u0103 sursele de risc opera\u021bional \u0219i nu reduce la minimum riscurile respective prin dezvoltarea unor sisteme, mijloace de control \u0219i proceduri adecvate, inclusiv sisteme TIC gestionate \u00een conformitate cu Regulamentul (UE) 2022\/2554;
(b)
un registru central de tranzac\u021bii \u00eencalc\u0103 articolul 79 alineatul (2) dac\u0103 nu prevede, nu aplic\u0103 sau nu men\u021bine o politic\u0103 adecvat\u0103 de continuitate a activit\u0103\u021bii \u0219i un plan adecvat de redresare \u00een caz de dezastru instituite \u00een conformitate cu Regulamentul (UE) 2022\/2554, cu scopul de a asigura men\u021binerea func\u021biilor sale, reluarea rapid\u0103 a opera\u021biunilor \u0219i \u00eendeplinirea obliga\u021biilor;\u201d;
(b)
litera (c) se elimin\u0103.
7.
Anexa III se modific\u0103 dup\u0103 cum urmeaz\u0103:
(a)
sec\u021biunea II se modific\u0103 dup\u0103 cum urmeaz\u0103:
(i)
litera (c) se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(c)
CPC de nivel 2 \u00eencalc\u0103 articolul 26 alineatul (3) dac\u0103 nu men\u021bin sau nu utilizeaz\u0103 o structur\u0103 organizatoric\u0103 care s\u0103 asigure continuitatea \u0219i func\u021bionarea corespunz\u0103toare \u00een cursul prest\u0103rii serviciilor \u0219i al desf\u0103\u0219ur\u0103rii activit\u0103\u021bilor lor sau dac\u0103 nu utilizeaz\u0103 sisteme, resurse sau proceduri adecvate \u0219i propor\u021bionale, inclusiv sisteme TIC gestionate \u00een conformitate cu Regulamentul (UE) 2022\/2554\u201d;
(ii)
litera (f) se elimin\u0103;
L 333\/76 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
(b)
\u00een sec\u021biunea III, litera (a) se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(a)
CPC de nivel 2 \u00eencalc\u0103 articolul 34 alineatul (1) dac\u0103 nu prev\u0103d, aplic\u0103 sau men\u021bin o politic\u0103 adecvat\u0103 de continuitate a activit\u0103\u021bii \u0219i un plan adecvat de r\u0103spuns \u0219i de recuperare instituite \u00een conformitate cu Regulamentul (UE) 2022\/2554, cu scopul de a asigura conservarea func\u021biilor lor, reluarea rapid\u0103 a opera\u021biunilor \u0219i \u00eendeplinirea obliga\u021biilor CPC, care s\u0103 permit\u0103 cel pu\u021bin reluarea tuturor tranzac\u021biilor aflate \u00een curs \u00een momentul \u00eentreruperii, astfel \u00eenc\u00e2t CPC s\u0103 poat\u0103 continua s\u0103 func\u021bioneze \u00een condi\u021bii de certitudine \u0219i s\u0103 efectueze decontarea la data stabilit\u0103;\u201d.
Articolul 61
Modificarea Regulamentului (UE) nr. 909\/2014
Articolul 45 din Regulamentul (UE) nr. 909\/2014 se modific\u0103 dup\u0103 cum urmeaz\u0103:
1.
Alineatul (1) se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(1)
CSD-urile identific\u0103 sursele de riscuri opera\u021bionale, at\u00e2t interne, c\u00e2t \u0219i externe, \u0219i reduc la minimum impactul acestora \u0219i prin implementarea unor instrumente, procese \u0219i politici TIC adecvate, instituite \u0219i gestionate \u00een conformitate cu Regulamentul (UE) 2022\/2554 al Parlamentului European \u0219i al Consiliului (*), precum \u0219i prin orice alte instrumente, mecanisme de control \u0219i proceduri adecvate relevante pentru alte tipuri de riscuri opera\u021bionale, inclusiv pentru toate sistemele de decontare a titlurilor de valoare pe care le exploateaz\u0103.
_____________
(*) Regulamentul (UE) 2022\/2554 al Parlamentului European \u0219i al Consiliului din 14 decembrie 2022 privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 a sectorului financiar \u0219i de modificare a Regulamentelor (CE) nr. 1060\/2009, (UE) nr. 648\/2012, (UE) nr. 600\/2014, (UE) nr. 909\/2014 \u0219i (UE) 2016\/1011 (JO L 333, 27.12.2022, p. 1).\u201d
2.
Alineatul (2) se elimin\u0103.
3.
Alineatele (3) \u0219i (4) se \u00eenlocuiesc cu urm\u0103torul text:
\u201e(3)
Pentru serviciile pe care le presteaz\u0103, precum \u0219i pentru fiecare sistem de decontare a titlurilor de valoare pe care \u00eel exploateaz\u0103, CSD-urile prev\u0103d, aplic\u0103 \u0219i men\u021bin o politic\u0103 adecvat\u0103 de continuitate a activit\u0103\u021bii \u0219i un plan adecvat de recuperare \u00een caz de dezastru, care includ o politic\u0103 de continuitate a activit\u0103\u021bii TIC \u0219i planuri de r\u0103spuns \u0219i de recuperare \u00een domeniul TIC instituite \u00een conformitate cu Regulamentul (UE) 2022\/2554, cu scopul de a asigura continuitatea serviciilor lor, reluarea rapid\u0103 a opera\u021biunilor \u0219i \u00eendeplinirea obliga\u021biilor CSD-urilor \u00een cazul unor evenimente care prezint\u0103 un risc semnificativ de perturbare a opera\u021biunilor.
(4)
Planul men\u021bionat la alineatul (3) prevede reluarea tuturor tranzac\u021biilor \u0219i pozi\u021biilor participan\u021bilor \u00een momentul perturb\u0103rii, pentru a permite participan\u021bilor la un CSD s\u0103 continue s\u0103 func\u021bioneze \u00een condi\u021bii de siguran\u021b\u0103 \u0219i s\u0103 efectueze decontarea la data stabilit\u0103, inclusiv prin garantarea faptului c\u0103 sistemele IT esen\u021biale pot relua opera\u021biunile aflate \u00een curs \u00een momentul perturb\u0103rii, astfel cum se prevede la articolul 12 alineatele (5) \u0219i (7) din Regulamentul (UE) 2022\/2554.\u201d
4.
Alineatul (6) se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(6)
CSD-urile identific\u0103, monitorizeaz\u0103 \u0219i gestioneaz\u0103 riscurile pe care le pot prezenta pentru opera\u021biunile lor participan\u021bii principali la sistemele de decontare a titlurilor de valoare pe care le exploateaz\u0103, precum \u0219i furnizorii de servicii \u0219i utilit\u0103\u021bi, dar \u0219i alte CSD-uri sau alte infrastructuri ale pie\u021belor. La cerere, CSD-urile furnizeaz\u0103 autorit\u0103\u021bilor competente \u0219i relevante informa\u021bii cu privire la orice astfel de riscuri identificate. De asemenea, acestea informeaz\u0103 autoritatea competent\u0103 \u0219i autorit\u0103\u021bile relevante, f\u0103r\u0103 \u00eent\u00e2rziere, cu privire la orice incident opera\u021bional, altul dec\u00e2t cele legate de riscurile TIC, care rezult\u0103 din astfel de riscuri.\u201d
5.
La alineatul (7), primul paragraf se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(7)
ESMA elaboreaz\u0103, \u00een str\u00e2ns\u0103 cooperare cu membrii SEBC, proiecte de standarde tehnice de reglementare care s\u0103 precizeze riscurile opera\u021bionale men\u021bionate la alineatele (1) \u0219i (6), altele dec\u00e2t riscurile TIC, metodele de testare, abordare \u0219i reducere la minimum a riscurilor respective, inclusiv politicile de continuitate a activit\u0103\u021bii \u0219i planurile de recuperare \u00een caz de dezastru men\u021bionate la alineatele (3) \u0219i (4), precum \u0219i modalit\u0103\u021bile de evaluare a acestora.\u201d
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/77
Articolul 62
Modificarea Regulamentului (UE) nr. 600\/2014
Regulamentul (UE) nr. 600\/2014 se modific\u0103 dup\u0103 cum urmeaz\u0103:
1.
Articolul 27g se modific\u0103 dup\u0103 cum urmeaz\u0103:
(a)
alineatul (4) se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(4)
APA respect\u0103 cerin\u021bele privind securitatea re\u021belelor \u0219i a sistemelor informatice prev\u0103zute \u00een Regulamentul (UE) 2022\/2554 al Parlamentului European \u0219i al Consiliului (*).
_____________
(*) Regulamentul (UE) 2022\/2554 al Parlamentului European \u0219i al Consiliului din 14 decembrie 2022 privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 a sectorului financiar \u0219i de modificare a Regulamentelor (CE) nr. 1060\/2009, (UE) nr. 648\/2012, (UE) nr. 600\/2014, (UE) nr. 909\/2014 \u0219i (UE) 2016\/1011 (JO L 333, 27.12.2022, p. 1).\u201d;
(b)
la alineatul (8), litera (c) se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(c)
cerin\u021bele organizatorice concrete prev\u0103zute la alineatele (3) \u0219i (5).\u201d
2.
Articolul 27h se modific\u0103 dup\u0103 cum urmeaz\u0103:
(a)
alineatul (5) se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(5)
CTP respect\u0103 cerin\u021bele privind securitatea re\u021belelor \u0219i a sistemelor informatice prev\u0103zute \u00een Regulamentul (UE) 2022\/2554.\u201d;
(b)
la alineatul (8), litera (e) se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(e)
cerin\u021bele organizatorice concrete prev\u0103zute la alineatul (4).\u201d
3.
Articolul 27i se modific\u0103 dup\u0103 cum urmeaz\u0103:
(a)
alineatul (3) se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(3)
ARM respect\u0103 cerin\u021bele privind securitatea re\u021belelor \u0219i a sistemelor informatice prev\u0103zute \u00een Regulamentul (UE) 2022\/2554.\u201d;
(b)
la alineatul (5), litera (b) se \u00eenlocuie\u0219te cu urm\u0103torul text:
\u201e(b)
cerin\u021bele organizatorice concrete prev\u0103zute la alineatele (2) \u0219i (4).\u201d
Articolul 63
Modificarea Regulamentului (UE) 2016\/1011
La articolul 6 din Regulamentul (UE) 2016\/1011 se adaug\u0103 urm\u0103torul alineat:
\u201e(6)
Pentru indicii de referin\u021b\u0103 critici, administratorul dispune de proceduri administrative \u0219i contabile sigure, de mecanisme de control intern, de proceduri eficace de evaluare a riscurilor \u0219i de mecanisme eficiente de control \u0219i de salvgardare pentru gestionarea sistemelor TIC \u00een conformitate cu Regulamentul (UE) 2022\/2554 al Parlamentului European \u0219i al Consiliului (*).
_____________
(*) Regulamentul (UE) 2022\/2554 al Parlamentului European \u0219i al Consiliului din 14 decembrie 2022 privind rezilien\u021ba opera\u021bional\u0103 digital\u0103 a sectorului financiar \u0219i de modificare a Regulamentelor (CE) nr. 1060\/2009, (UE) nr. 648\/2012, (UE) nr. 600\/2014, (UE) nr. 909\/2014 \u0219i (UE) 2016\/1011 (JO L 333, 27.12.2022, p. 1).\u201d
L 333\/78 RO Jurnalul Oficial al Uniunii Europene 27.12.2022
Articolul 64
Intrarea \u00een vigoare \u0219i aplicarea
Prezentul regulament intr\u0103 \u00een vigoare \u00een a dou\u0103zecea zi de la data public\u0103rii \u00een Jurnalul Oficial al Uniunii Europene.
Se aplic\u0103 de la 17 ianuarie 2025.
Prezentul regulament este obligatoriu \u00een toate elementele sale \u0219i se aplic\u0103 direct \u00een toate statele membre.
Adoptat la Strasbourg, 14 decembrie 2022.
Pentru Parlamentul European
Pre\u0219edinta
R. METSOLA
Pentru Consiliu
Pre\u0219edintele
M. BEK
27.12.2022 RO Jurnalul Oficial al Uniunii Europene L 333\/79<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

PARLAMENTUL EUROPEAN \u0218I CONSILIUL UNIUNII EUROPENE,
\nav\u00e2nd \u00een vedere Tratatul privind func\u021bionarea Uniunii Europene, \u00een special articolul 114,
\nav\u00e2nd \u00een vedere propunerea Comisiei Europene,
\ndup\u0103 transmiterea proiectului de act legislativ c\u0103tre parlamentele na\u021bionale,
\nav\u00e2nd \u00een vedere avizul B\u0103ncii Centrale Europene(1),
\nav\u00e2nd \u00een vedere avizul Comitetului Economic \u0219i Social European(2),
\nhot\u0103r\u00e2nd \u00een conformitate cu procedura legislativ\u0103 ordinar\u0103(3),
\n\u00eentruc\u00e2t:<\/p>\n","protected":false},"author":1,"featured_media":2279,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[17],"tags":[],"class_list":["post-2278","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t