C_2021343FI.01000101.xml

EUROOPAN KESKUSPANKIN LAUSUNTO,

annettu 4 päivänä kesäkuuta 2021,

ehdotuksesta Euroopan parlamentin ja neuvoston asetukseksi finanssialan digitaalisesta häiriönsietokyvystä

(CON/2021/20)

(2021/C 343/01)

Johdanto ja oikeusperusta

Euroopan keskuspankki (EKP) vastaanotti 22, 23 ja 29 päivänä joulukuuta 2020 Euroopan unionin neuvostolta ja vastaavasti Euroopan parlamentilta pyynnöt antaa lausunto ehdotuksesta Euroopan parlamentin ja neuvoston asetukseksi finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) N:o 909/2014 muuttamisesta (1) (jäljempänä ehdotettu asetus) ja ehdotuksesta direktiiviksi direktiivien 2006/43/EY, 2009/65/EY, 2009/138/EY, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 ja (EU) 2016/2341 (2) muuttamisesta (jäljempänä ehdotettu muutosdirektiivi, yhdessä ehdotetun asetuksen kanssa ehdotetut säädökset).

EKP:n toimivalta antaa lausunto perustuu Euroopan unionin toiminnasta tehdyn sopimuksen 127 artiklan 4 kohtaan ja 282 artiklan 5 kohtaan, sillä ehdotetut säädökset sisältävät EKP:n toimivaltaan kuuluvia säännöksiä, jotka koskevat erityisesti rahapolitiikan määrittelyä ja toteuttamista, maksujärjestelmien moitteettoman toiminnan edistämistä, toimivaltaisten viranomaisten rahoitusmarkkinajärjestelmän vakauteen liittyvän politiikan moitteetonta harjoittamista sekä luottolaitosten vakavaraisuusvalvontaan liittyviä EKP:n tehtäviä perussopimuksen 127 artiklan 2 kohdan ensimmäisen ja neljännen luetelmakohdan, 127 artiklan 5 kohdan ja 127 artiklan 6 kohdan mukaisesti. Tämän lausunnon on antanut EKP:n neuvosto Euroopan keskuspankin työjärjestyksen 17.5 artiklan ensimmäisen virkkeen mukaisesti.

1. Yleiset huomautukset

1.1

EKP suhtautuu myönteisesti ehdotettuun asetukseen, jolla pyritään parantamaan rahoitusalan kyberturvallisuutta ja operatiivista häiriönsietokykyä. EKP suhtautuu erityisen myönteisesti ehdotetun asetuksen tavoitteeseen poistaa rahoituspalvelujen sisämarkkinoiden esteitä ja parantaa niiden toteuttamista ja toimintaa siten, että yhdenmukaistetaan säännöt, joita sovelletaan tieto- ja viestintätekniikan (TVT) riskienhallintaan, raportointiin, testaukseen ja kolmannesta osapuolesta johtuvaan TVT-riskiin. Lisäksi EKP suhtautuu myönteisesti ehdotetun asetuksen tavoitteeseen yksinkertaistaa ja yhdenmukaistaa päällekkäisiä sääntelyvaatimuksia tai valvontaodotuksia, joita rahoituslaitoksiin tällä hetkellä sovelletaan unionin lainsäädännön nojalla.

1.2

EKP ymmärtää, että ehdotettu asetus on suhteessa rahoitusalan yhteisöihin, jotka määritetään keskeisten palvelujen tarjoajiksi (3), alakohtainen unionin säädös (lex specialis) Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/1148 (4) (jäljempänä verkko- ja tietoturvadirektiivi) 1 artiklan 7 kohdassa tarkoitetulla tavalla; tämä merkitsee sitä, että ehdotetun asetuksen mukaiset vaatimukset ovat periaatteessa etusijalla suhteessa verkko- ja tietoturvadirektiiviin. Käytännössä keskeisten palvelujen tarjoajiksi (5) määritellyt rahoitusalan yhteisöt ilmoittaisivat muun muassa poikkeamista ehdotetun asetuksen eikä verkko- ja tietoturvadirektiivin mukaisesti. EKP suhtautuu myönteisesti rahoitusalan yhteisöjä koskevien mahdollisten päällekkäisten vaatimusten vähentämiseen poikkeamien ilmoittamisen alalla, mutta ehdotetun asetuksen ja verkko- ja tietoturvadirektiivin välistä yhteyttä olisi tarkasteltava tarkemmin. Esimerkiksi ehdotetun asetuksen nojalla TVT-palveluntarjoajana olevaan kolmanteen osapuoleen (6) voitaisiin soveltaa päävalvojan antamia suosituksia. (7) Samaan aikaan tämä sama TVT-palveluntarjoajana oleva kolmas osapuoli voidaan luokitella verkko- ja tietoturvadirektiivin mukaiseksi keskeisten palvelujen tarjoajaksi, ja siihen voidaan soveltaa toimivaltaisen viranomaisen antamia sitovia ohjeita. (8) Tällaisessa tapauksessa TVT-palveluntarjoajana olevaan kolmanteen osapuoleen voitaisiin soveltaa ehdotetun asetuksen nojalla annettuja suosituksia ja verkko- ja tietoturvadirektiivin nojalla annettuja sitovia ohjeita, jotka ovat keskenään ristiriitaisia. EKP ehdottaa, että unionin lainsäädäntöelimet pohtisivat tarkemmin ehdotetun asetuksen ja verkko- ja tietoturvadirektiivin välisiä mahdollisia epäjohdonmukaisuuksia, jotka voivat haitata rahoitusalan yhteisöjä koskevien päällekkäisten ja keskenään ristiriitaisten vaatimusten yhdenmukaistamista ja vähentämistä.

1.3

EKP ymmärtää myös, että ehdotuksessa Euroopan parlamentin ja neuvoston direktiiviksi toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi koko unionissa ja direktiivin (EU) 2016/1148 kumoamisesta (9) (jäljempänä ehdotettu NIS2-direktiivi’) säädetään läheltä piti -tilanteita (10) koskevista raportointivelvoitteista. (11) Vaikka ehdotetun NIS2-direktiivin johdanto-osan 39 kappaleessa viitataan termin ”läheltä piti -tilanteet” merkitykseen, on epäselvää, onko tarkoitus edellyttää, että ehdotetun asetuksen 2 artiklassa luetellut rahoitusalan yhteisöt raportoivat läheltä piti -tilanteista. Tältä osin ja ottaen huomioon myös, että läheltä piti -tilanteet voidaan tunnistaa sellaisiksi vasta niiden tapahduttua, EKP toivoisi saavansa ajoissa ilmoituksen merkittävistä läheltä piti -tilanteista, kuten tällä hetkellä kyberturvallisuuspoikkeamien tapauksessa tehdään. EKP ehdottaa, että ehdotetun asetuksen ja ehdotetun NIS2-direktiivin välistä koordinointia olisi parannettava, jotta selkiytettäisiin niiden raportointivelvoitteiden tarkka soveltamisala, joita rahoitusalan yhteisöihin sovelletaan näiden kahden erillisen mutta toisiinsa liittyvän unionin säädöksen nojalla. Samalla olisi määriteltävä läheltä piti -tilanteet ja kehitettävä niiden merkittävyyttä selventäviä säännöksiä.

1.4

EKP suhtautuu myönteisesti siihen, että rahoitusalan yhteisöjä kannustetaan vapaaehtoisesti jakamaan kyberuhkiin liittyviä tiedustelutietoja keskenään kyberriskien sietokyvyn parantamiseksi ja vahvistamiseksi. EKP on avustanut markkinalähtöisessä kyberuhkiin liittyvien tiedustelutietojen jakamista koskevassa aloitteessa (CIISI-EU) ja saattanut suunnitelmat yleisesti saataville kyseisen aloitteen kehittämiseksi ja edistämiseksi. (12)

1.5

EKP tukee asetusehdotuksessa tarkoitettujen toimivaltaisten viranomaisten, Euroopan valvontaviranomaisten ja tietoturvaloukkauksiin reagoivien ja niitä tutkivien yksiköiden (CSIRTS) (13) välistä yhteistyötä. Tietojenvaihto on olennaisen tärkeää unionin häiriönsietokyvyn varmistamiseksi, sillä viranomaisten välinen tietojen jakaminen ja yhteistyö voivat auttaa ehkäisemään kyberhyökkäyksiä ja vähentämään tieto- ja viestintätekniikan uhkien leviämistä. Olisi edistettävä yksimielisyyttä tieto- ja viestintätekniikkaan liittyvistä riskeistä ja varmistettava tällaisten riskien johdonmukainen arviointi kaikkialla unionissa. On äärimmäisen tärkeää, että toimivaltaiset viranomaiset jakavat tietoja keskitetyn yhteyspisteen (14) ja kansallisten CSIRTS-yksiköiden (15) kanssa vain, jos käytössä on selkeästi määritellyt luokitus- ja tietojenvaihtomekanismit yhdistettynä riittäviin suojatoimiin luottamuksellisuuden varmistamiseksi.

1.6

Lopuksi todetaan, että EKP suhtautuu myönteisesti siihen, että ehdotetussa asetuksessa otetaan käyttöön henkilötietoja ja tietojen säilyttämistä koskevat säännöt. Säilytysajan pituudessa olisi otettava huomioon tutkimusta, tarkastuksia, tietopyyntöjä, ilmoittamista, julkistamista, arviointia, todentamista ja laatimista koskevat säännöt niiden yleisvalvonta- ja valvontasuunnitelmien osalta, jotka toimivaltaisten viranomaisten on mahdollisesti toteutettava osana ehdotetun asetuksen mukaisia vastuitaan ja velvollisuuksiaan. Tältä osin 15 vuoden säilytysaika olisi riittävä. Tätä tietojen säilytysaikaa voitaisiin lyhentää tai pidentää yksittäistapausten sitä edellyttäessä. Tältä osin EKP ehdottaa, että unionin lainsäädäntöelimet ottavat henkilötietoja ja tietojen säilyttämistä koskevia säännöksiä laatiessaan huomioon myös tietojen minimoinnin periaatteen sekä tietojen muun käsittelyn yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten. (16)

2. Erityishuomioita yleisvalvonnasta ja arvopaperien selvitystoiminnasta

2.1 EKPJ:n ja eurojärjestelmän yleisvalvonnalliset toimivaltuudet

2.1.1

Perussopimuksessa ja Euroopan keskuspankkijärjestelmän ja Euroopan keskuspankin perussäännössä (jäljempänä EKPJ:n perussääntö) määrätään, että eurojärjestelmä toteuttaa osana sille kuuluvia tehtäviä selvitys- ja maksujärjestelmien yleisvalvontaa, joka liittyy läheisesti sen rahapoliittisiin perustehtäviin. Perussopimuksen 127 artiklan 2 kohdan neljännessä luetelmakohdassa ja EKPJ:n perussäännön 3 artiklan 1 kohdassa mainitaan yhtenä EKPJ:lle kuuluvana perustehtävänä maksujärjestelmien moitteettoman toiminnan edistäminen. Tämän perustehtävän hoitamisen yhteydessä EKP ja kansalliset keskuspankit voivat tarjota järjestelyjä ja EKP voi antaa asetuksia selvitys- ja maksujärjestelmien tehokkuuden ja vakauden varmistamiseksi yhteisössä ja kolmansien maiden kanssa. (17) EKP antoi yleisvalvontatehtävänsä nojalla Euroopan keskuspankin asetuksen (EU) N:o 795/2014 (EKP/2014/28) (jäljempänä SIPS-asetus) (18). SIPS-asetuksella pannaan normatiivisesti täytäntöön maksu- ja selvitysjärjestelmäkomitean ja kansainvälisen arvopaperimarkkinavalvojien yhteisön (IOSCO) julkaisemat rahoitusmarkkinoiden infrastruktuurien yleisvalvontaperiaatteet (huhtikuu 2012) (19), jotka ovat oikeudellisesti sitovia ja kattavat sekä suuria että pieniä maksuja välittävät, järjestelmän kannalta merkittävät maksujärjestelmät, joita operoi joko eurojärjestelmän keskuspankki tai yksityinen yhteisö. Eurojärjestelmän yleisvalvontaa koskevassa puiteasiakirjassa (20) maksuvälineet määritellään ”maksujärjestelmien olennaiseksi osaksi” ja näin ollen sisällytetään yleisvalvonnan piiriin. Maksuvälineiden yleisvalvontaa koskevaa puiteasiakirjaa tarkistetaan parhaillaan (21). Kyseisessä puiteasiakirjassa maksuväline (esim. kortti, tilisiirto, suoraveloitus, sähköisen rahan siirto ja digitaalinen maksuväline (22)) määritellään henkilökohtaiseksi laitteeksi (tai laitekokonaisuudeksi) ja/tai menettelykokonaisuudeksi, josta on sovittu maksupalvelun käyttäjän ja maksupalveluntarjoajan välillä arvonsiirron (23) käynnistämiseksi.

2.1.2

Edellä esitetyn perusteella EKP suhtautuu myönteisesti siihen, että ehdotetun asetuksen soveltamisalaa koskevan artiklan ulkopuolelle on jätetty järjestelmän ylläpitäjät, sellaisena kuin ne ovat määriteltyinä Euroopan parlamentin ja neuvoston direktiivin 98/26/EY (24) 2 artiklan p alakohdassa, maksujärjestelmät (mukaan lukien keskuspankkien hoitamat järjestelmät), maksuskeemat ja maksujärjestelyt, ottaen huomioon edellä mainittujen valvontakehysten soveltaminen. Edellä mainituista syistä EKPJ:n perussopimuksen mukainen toimivalta ja eurojärjestelmän SIPS-asetuksen mukainen toimivalta olisi ilmaistava selkeästi ehdotetun asetuksen johdanto-osan kappaleissa.

2.1.3

EKP suhtautuu myönteisesti myös siihen, että ehdotetussa asetuksessa säädetyn valvontakehyksen soveltamisalan ulkopuolelle suljetaan sellaiset TVT-palvelujentarjoajana olevat kolmannet osapuolet, joihin sovelletaan Euroopan unionin toiminnasta tehdyn sopimuksen 127 artiklan 2 kohdassa tarkoitettujen tehtävien tukemiseksi perustettuja valvontakehyksiä. (25) Tässä yhteydessä EKP korostaa, että ehdotetun asetuksen soveltamisalaa koskeva artikla ei koske rahapoliittisia tehtäviään hoitavia EKPJ:n keskuspankkeja (26) eikä eurojärjestelmää, kun se tarjoaa palveluja TARGET2- ja TARGET2-Securities (T2S) -palvelujen (27) ja TARGET-pikamaksupalvelun (TIPS) (28) välityksellä, eikä mainittuja tahoja voida myöskään pitää TVT-palveluntarjoajana olevina kolmansina osapuolina ja siten mahdollisesti ehdotetussa asetuksessa tarkoitettuina kriittisinä TVT-palvelujentarjoajana olevina kolmansina osapuolina. Eurojärjestelmän suorittama T2S:n valvonta liittyy tehokkaiden ja vakaiden selvitys- ja maksujärjestelmien varmistamista koskevaan eurojärjestelmän tehtävään. Lisäksi ESMA on selventänyt, ettei T2S ole kriittinen palveluntarjoaja (29) Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 909/2014 (30) (jäljempänä arvopaperikeskusasetus) mukaisessa merkityksessä. Näin ollen T2S:n organisatorinen ja toiminnallinen turvallisuus, tehokkuus ja häiriönsietokyky varmistetaan sovellettavalla oikeudellisella, sääntelyllisellä ja toimintaan liittyvällä kehyksellä sekä sopimukseen perustuvilla T2S:n hallinto- ja ohjausjärjestelyillä, ei siis arvopaperikeskusasetuksella.

2.1.4

Eurojärjestelmän yleisvalvontaa koskeva puiteasiakirja (31) kattaa myös kriittiset palveluntarjoajat, kuten Society for Worldwide Interbank Financial Telecommunicationin (SWIFT). SWIFT on Belgiaan sijoittautunut rajavastuuosuuskunta, joka tarjoaa suojattuja sanomanvälityspalveluja kansainvälisesti. Nationale Bank van België/Banque Nationale de Belgique on päävastuussa SWIFTin yleisvalvonnasta ja suorittaa valvontayhteistyöjärjestelyn perusteella SWIFTin yleisvalvontaa yhteistyössä muiden G10-maiden keskuspankkien, myös EKP:n, kanssa. G10-maiden yleisvalvojat tunnustavat sen, että valvonnan pääkohteena on SWIFTin operatiivinen riski, koska sitä pidetään ensisijaisena riskiluokkana, jonka kautta SWIFT voisi aiheuttaa järjestelmäriskin unionin rahoitusjärjestelmälle. Tätä varten SWIFT-valvontayhteistyöryhmä on kehittänyt joukon erityisiä periaatteita ja korkean tason odotuksia, joita sovelletaan SWIFTiin. Niitä ovat muun muassa riskien tunnistaminen ja hallinta, tietoturva, luotettavuus ja häiriönsietokyky, teknologian suunnittelu ja viestintä käyttäjien kanssa. G10-maiden yleisvalvojat odottavat SWIFTin noudattavan maksujärjestelmä- ja markkinainfrastruktuurikomitean (CPMI) ja kyberuhkien häiriönsietokykyä koskevia kansainvälisen arvopaperimarkkinavalvojien yhteisön (IOSCO) ohjeita (32) sekä muita TVT-turvallisuutta koskevia kansainvälisiä standardeja, jotka yhdessä ylittävät ehdotetussa asetuksessa asetetut vaatimukset.

2.1.5

Ei ole varmuutta siitä, että SWIFTiin ja mahdollisesti muihin palveluntarjoajiin, joihin sovelletaan eurojärjestelmän yleisvalvontaa koskevaa puiteasiakirjaa, voitaisiin TVT-palveluntarjoajina olevina kolmansina osapuolina soveltaa ehdotettua asetusta, jos ne tarjoaisivat palveluja, jotka eivät kuulu perussopimuksen 127 artiklan 2 kohdan soveltamisalaan. Näin ollen EKP suhtautuu erittäin myönteisesti siihen, että palveluntarjoajat, jotka jo kuuluvat eurojärjestelmän yleisvalvontaa koskevan puiteasiakirjan soveltamisalaan, mukaan lukien muun muassa SWIFT-järjestelmä, suljetaan ehdotetun asetuksen mukaisen valvontakehyksen soveltamisalan ulkopuolelle.

2.2 EKPJ:n toimivalta arvopaperitoimituksen alalla

2.2.1

Arvopaperikeskukset ovat rahoitusmarkkinoiden infrastruktuureja, joita eri viranomaiset sääntelevät ja valvovat tiukasti arvopaperikeskusasetuksen nojalla; kyseisessä asetuksessa vahvistetaan rahoitusvälineiden toimitusta koskevat vaatimukset sekä arvopaperikeskusten organisaatiota ja toimintaa koskevat säännöt. Arvopaperikeskusten olisi myös otettava huomioon CPMI:n ja IOSCO:n kyberuhkien sietokykyä koskeva ohjeistus ”Guidance on cyber resilience”, jonka noudattamiseksi on laadittu rahoitusmarkkinainfrastruktuurien kyberuhkien sietokykyä koskevat valvontaodotukset (Cyber resilience oversight expectations for financial market infrastructures, joulukuu 2018) (33). Arvopaperikeskusasetuksen nojalla kansallisille toimivaltaisille viranomaisille annettujen valvontavaltuuksien lisäksi EKPJ:n jäsenet toimivat asiaan liittyvinä viranomaisina arvopaperikeskusten ylläpitämien arvopapereiden selvitysjärjestelmien yleisvalvojan ominaisuudessa sekä yhtäältä keskuspankkeina, jotka laskevat liikkeeseen selvityksessä käytettävät tärkeimmät valuutat ja toisaalta keskuspankkeina, joiden kirjanpidossa tapahtumien maksusuoritusten kirjaaminen tapahtuu. (34) Tältä osin arvopaperikeskusasetuksen johdanto-osan 8 kappaleessa todetaan, että asetusta olisi sovellettava rajoittamatta EKP:n ja kansallisten keskuspankkien velvollisuuksia varmistaa tehokkaat ja vakaat selvitys- ja maksujärjestelmät unionissa ja muissa maissa. Lisäksi johdanto-osan 8 kappaleessa todetaan, että arvopaperikeskusasetuksella ei saisi estää EKPJ:n jäseniä pääsemästä kaikkiin tietoihin, jotka ovat niiden tehtävien hoitamisen kannalta olennaisia (35), arvopaperikeskusten ja muiden finanssimarkkinoiden infrastruktuurien yleisvalvonta mukaan luettuna. (36)

2.2.2

Lisäksi EKPJ:n jäsenet toimivat usein selvitysosapuolina arvopaperitapahtumien maksusuoritusten käsittelyssä, ja eurojärjestelmä tarjoaa selvityspalveluja T2S:n kautta arvopaperikeskuksille. TARGET2-Securities-alustan yleisvalvonta liittyy eurojärjestelmän tehtävään varmistaa tehokkaat ja vakaat selvitys- ja maksujärjestelmät, kun taas arvopaperikeskusten toimivaltaiset ja asiaan liittyvät viranomaiset pyrkivät varmistamaan niiden sujuvan toiminnan, toimituksen turvallisuuden ja tehokkuuden sekä rahoitusmarkkinoiden moitteettoman toiminnan lainkäyttöalueillaan.

2.2.3

Ehdotetun asetuksen (37) mukaan EKPJ:n keskuspankit eivät osallistu TVT-riskien määrittämistä koskevien teknisten standardien laatimiseen. Ehdotetun asetuksen (38) mukaan asiaan liittyville viranomaisille ei myöskään ilmoiteta TVT-poikkeamista. EKPJ:n keskuspankin osallistumisen olisi oltava samalla tasolla kuin arvopaperikeskusasetuksessa tällä hetkellä säädetään, ja asiaan liittyville viranomaisille olisi ilmoitettava TVT-poikkeamista. Eurojärjestelmä on asiaan liittyvä viranomainen kaikkien euroalueen arvopaperikeskusten ja useiden EU:n arvopaperikeskusten osalta. EKPJ:n keskuspankeille olisi tiedotettava TVT-poikkeamista, joilla on merkitystä niiden tehtävien, mukaan lukien arvopaperikeskusten ja muiden rahoitusmarkkinoiden infrastruktuurien yleisvalvonta, hoitamisen kannalta. Arvopaperikeskuksiin kohdistuvat riskit, kuten TVT-riskit, voivat uhata arvopaperikeskusten moitteetonta toimintaa. Sen vuoksi TVT-riskit ovat tärkeitä asiaan liittyville viranomaisille, joille olisi annettava kattava ja yksityiskohtainen yleiskuva näistä riskeistä, jotta ne voivat arvioida niitä ja vaikuttaa arvopaperikeskusten riskienhallintaan. Ehdotetussa asetuksessa ei pitäisi säätää lievemmistä TVT-riskejä koskevista vaatimuksista kuin arvopaperikeskusasetuksessa ja siihen liittyvissä nykyisissä teknisissä sääntelystandardeissa.

2.2.4

Lisäksi unionin lainsäädäntöelinten olisi selvennettävä ehdotetun asetuksen (39) ja arvopaperikeskusasetusta täydentävien teknisten sääntelystandardien vuorovaikutusta. Etenkin on todettava, ettei ole selvää, onko arvopaperikeskus vapautettava velvoitteesta pitää yllä omaa toissijaista käsittelypaikkaa, jos sen TVT-palvelujentarjoajana oleva kolmas osapuoli ylläpitää tällaista toimipaikkaa (40). Jos arvopaperikeskus vapautetaan tästä velvoitteesta pitää yllä toissijaista käsittelypaikkaa, on epäselvää, mikä oikeudellinen arvo tällä vaatimuksella olisi. Ehdotetussa asetuksessa (41) viitataan vastaavasti toipumisaika- ja toipumispistetavoitteisiin kunkin toiminnon osalta (42), kun taas asiaa koskevassa teknisessä sääntelystandardissa erotetaan toisistaan keskeiset toiminnot (critical functions) (43) ja keskeiset toiminnot (critical operations) (44) suhteessa arvopaperikeskusten keskeisille toiminnoille asetettuun toipumisaikaan. Unionin lainsäädäntöelinten olisi edelleen selkiytettävä ja pohdittava ehdotetun asetuksen ja arvopaperikeskusasetusta täydentävien teknisten sääntelystandardien välistä yhteyttä, jotta vältyttäisiin ristiriitaisilta vaatimuksilta. Lisäksi olisi selkiytettävä, että ehdotetulla asetuksella laajennetaan arvopaperikeskusasetuksen (45) nojalla tiettyjen julkisyhteisöjen ylläpitämille arvopaperikeskuksille myönnettyjä vapautuksia.

2.3 EKPJ:n toimivalta arvopaperien selvityksen alalla

2.3.1

EKPJ:n keskuspankeille on osoitettu yleisvalvontatehtävä suhteessa keskusvastapuoliin. Tältä osin eurojärjestelmän kansalliset keskuspankit tekevät usein yhteistyötä asiaankuuluvien kansallisten toimivaltaisten viranomaisten kanssa keskusvastapuolten yleisvalvonta- ja valvontatehtävissä ja osallistuvat Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 648/2012 (46) (jäljempänä EMIR-asetus) perustettuun kollegioon. Eurojärjestelmän asianomaiset jäsenet (47) osallistuvat EMIR-asetuksella perustettuihin kollegioihin yleisvalvojan ominaisuudessa ja edustavat eurojärjestelmää liikkeeseen laskevana keskuspankkina sellaisten keskusvastapuolten osalta, joissa euro on yksi selvitettävien rahoitusvälineiden tärkeimmistä valuutoista (ja sellaisten ulkomailla sijaitsevien keskusvastapuolten osalta, jotka selvittävät merkittävän osan rahoitusvälineistä euromääräisinä). EKP on euroalueen ulkopuolisten keskusvastapuolten liikkeeseen laskeva keskuspankki.

2.3.2

Ehdotetun asetuksen (48) mukaan EKPJ:n keskuspankit eivät osallistu TVT-riskien määrittämistä koskevien teknisten standardien laatimiseen. Ehdotetussa asetuksessa (49) ei myöskään viitata lainkaan EMIR-asetuksen (50) mukaisiin toipumisaika- ja toipumispistetavoitteita koskeviin vaatimuksiin. Ehdotetussa sääntelyjärjestelmässä ei pitäisi säätää nykyisiä vaatimuksia lievemmistä TVT-riskejä koskevista vaatimuksista. Näin ollen on ratkaisevan tärkeää asettaa selkeät toipumisaika- ja toipumispistetavoitteet, jotta varmistettaisiin vakaa toiminnan jatkuvuuden hallinta. Erityisten toipumisaika- ja toipumispistetavoitteiden säilyttäminen on myös osa CPMI:n ja IOSCO:n rahoitusmarkkinoiden infrastruktuurien yleisvalvontaperiaatteita (51). EMIR-asetuksen nykyinen säännös olisi säilytettävä, ja ehdotettua asetusta olisi mukautettava vastaavasti. EKPJ:n keskuspankkien olisi osallistuttava kaiken sekundaarilainsäädännön valmisteluun sekä unionin lainsäädäntöelimissä tehtäviin lisäselvennyksiin ja pohdintoihin ehdotetun asetuksen ja täydentävien teknisten sääntelystandardien välisestä yhteydestä, jotta vältetään ristiriitaisten tai päällekkäisten vaatimusten riski.

3. Vakavaraisuusvalvontaan liittyviä näkökohtia koskevat erityishuomiot

3.1

Neuvoston asetuksella (EU) N:o 1024/2013 (52) (jäljempänä YMV-asetus) annetaan EKP:lle euroalueen luottolaitosten vakavaraisuusvalvontaa koskevia erityistehtäviä ja vastuu yhteisen valvontamekanismin (YVM), jossa erityiset valvontaan liittyvät vastuut jaetaan EKP:n ja osallistuvien kansallisten toimivaltaisten viranomaisten kesken, tehokkaasta ja johdonmukaisesta toiminnasta. EKP huolehtii erityisesti kaikkien luottolaitosten toimilupien myöntämisestä ja peruuttamisesta. EKP:n tehtävänä on muun muassa varmistaa, että luottolaitokset noudattavat asiaankuuluvassa unionin lainsäädännössä asetettuja vakavaraisuusvaatimuksia, kuten vaatimusta, jonka mukaan käytössä on oltava vankat hallinto- ja ohjausjärjestelyt, kuten järkevät riskienhallintaprosessit ja sisäiset valvontamekanismit. (53) Tätä varten EKP:lle annetaan luottolaitosten toimintaan puuttumiseksi kaikki valvontavaltuudet, jotka ovat tarpeen näiden tehtävien hoitamiseksi. EKP ja asianomaiset kansalliset toimivaltaiset viranomaiset ovat siis toimivaltaisia viranomaisia, jotka käyttävät tiettyjä vakavaraisuusvalvontavaltuuksia Euroopan parlamentin ja neuvoston asetuksen 2013/575/EU (54) (jäljempänä vakavaraisuusasetus) ja Euroopan parlamentin ja neuvoston direktiivin 2013/36/EU (55) (jäljempänä vakavaraisuusdirektiivi) nojalla.

3.2

Ehdotetussa asetuksessa todetaan, että yhteistä sääntökirjaa ja valvontajärjestelmää olisi kehitettävä edelleen digitaalisen häiriönsietokyvyn ja TVT-turvallisuuden kattamiseksi siten, että laajennetaan niiden finanssivalvojien toimivaltuuksia, joiden tehtävänä on seurata ja suojella rahoitusvakautta ja markkinoiden eheyttä. (56) Tavoitteena on edistää kattavaa TVT-riskien tai operatiivisten riskien kehystä yhdenmukaistamalla keskeiset digitaalista häiriönsietokykyä koskevat vaatimukset kaikkien finanssiyhteisöjen osalta (57). Ehdotetulla asetuksella pyritään erityisesti vakiinnuttamaan TVT-riskivaatimukset, joita on tähän mennessä käsitelty erikseen eri säädöksissä, ja parantamaan niitä (58).

3.3

Rahoitusalan TVT-riskivaatimukset ovat tällä hetkellä hajallaan useissa unionin säädöksissä, muun muassa vakavaraisuusdirektiivissä ja ei-sitovissa säädöksissä (kuten EPV:n ohjeet), ja ne ovat moninaisia ja ajoittain puutteellisia. Joissakin tapauksissa TVT-riskiin on puututtu vain epäsuorasti osana operatiivista riskiä, kun taas toisissa tapauksissa siihen ei ole puututtu lainkaan. Tämä olisi korjattava yhdenmukaistamalla ehdotettu asetus ja kyseiset säädökset. Tätä varten ehdotetussa muutosdirektiivissä esitetään joukko muutoksia, jotka vaikuttavat tarpeellisilta, jotta erilaisten digitaalista häiriönsietokykyä koskevien vaatimusten soveltamiseen saadaan oikeudellista selkeyttä ja johdonmukaisuutta. Ehdotetussa muutosdirektiivissä (59) tällä hetkellä ehdotetuissa muutoksissa vakavaraisuusdirektiiviin viitataan kuitenkin vain varautumissuunnitelmia ja liiketoiminnan jatkuvuussuunnitelmia koskeviin säännöksiin (60), koska olettavasti niitä käytetään epäsuorasti TVT-riskinhallinnan perustana.

3.4

Lisäksi ehdotetussa asetuksessa (61) säädetään, että finanssiyhteisöillä, mukaan lukien luottolaitokset, on oltava sisäiset hallinto- ja valvontajärjestelmät, joilla varmistetaan kaikkien TVT-riskien tuloksellinen ja järkevä hallinnointi. Ehdotetussa asetuksessa (62) säädetään, että siinä asetettuja vaatimuksia sovelletaan yksittäisten yhteisöjen ja konsolidointiryhmien tasolla, mutta siitä puuttuu riittävä koordinointi suhteessa alakohtaiseen lainsäädäntöön, johon siinä viitataan. Edelleen ehdotetussa asetuksessa (63) säädetään, että rajoittamatta ehdotetussa asetuksessa (64) tarkoitetun kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin sovellettavan valvontakehyksen säännösten soveltamista, vakavaraisuusdirektiivin 4 artiklan mukaisesti nimettyjen toimivaltaisten viranomaisten on varmistettava ehdotetussa asetuksessa säädettyjen velvoitteiden noudattaminen luottolaitoksissa, sanotun kuitenkaan rajoittamatta EKP:lle YVM-asetuksella uskottuja erityistehtäviä.

3.5

Edellä esitetyn perusteella EKP ymmärtää, että luottolaitosten osalta ja lukuun ottamatta ehdotetun asetuksen mukaisia kriittisiin TVT-palveluntarjoajana oleviin kolmansiin osapuoliin sovellettavan valvontakehyksen säännöksiä (65), ehdotetulla asetuksella pyritään luomaan TVT-riskin hallintaa varten sisäinen valvontajärjestelmä, joka sisällytetään vakavaraisuusdirektiivin mukaiseen yleiseen sisäiseen hallintojärjestelmään. Ottaen lisäksi huomioon ehdotetun sääntelyn vakavaraisuuteen liittyvän luonteen, ehdotetun järjestelmän mukaisten velvoitteiden noudattamisen valvonnasta vastaavat toimivaltaiset viranomaiset, mukaan lukien EKP, ovat YVM-asetuksen mukaisesti pankkivalvonnasta vastaavat viranomaiset.

3.6

Unionin lainsäädäntöelimet voisivat näin ollen ottaa huomioon seuraavat ehdotukset, joilla lisätään ehdotetun asetuksen ja vakavaraisuusdirektiivin välistä selkeyttä ja koordinointia. Ensinnäkin ehdotetun asetuksen mukaiset vaatimukset voidaan nimenomaisesti luokitella vakavaraisuutta koskeviksi, kuten on tehty muun muassa arvopaperikeskusasetuksessa (66). Toiseksi ehdotetun muutosdirektiivin (67) johdanto-osan kappaleiden sanamuotoa voitaisiin laajentaa, koska ehdotetun asetuksen mukaiset vaatimukset menevät pelkkää varautumissuunnitelmien ja liiketoiminnan jatkuvuussuunnitelmien vaihetta pidemmälle. Tieto- ja viestintätekniikan riskienhallintaan liittyvät toimenpiteet kuuluvat yleisesti vakavaraisuusdirektiivin (68) 74 artiklan mukaisten vakaiden ohjaus- ja hallintojärjestelyjen piiriin. Kolmanneksi ehdotettua asetusta (69) olisi muutettava siten, että johdanto-osan kappaleissa muistutetaan perussopimuksen ja YVM-asetuksen mukaisesta luottolaitosten vakavaraisuusvalvontaa koskevasta EKP:n toimivallasta. Neljänneksi viittausta siinä säädettyjen vaatimusten soveltamisesta yksittäisten yhteisöjen ja konsolidointiryhmien tasolla (70) olisi tarkistettava, koska alakonsolidointiryhmien ja konsolidointiryhmien tasoja ei ole määritelty ehdotetussa asetuksessa, eivätkä tietyntyyppiset välittäjät kuulu konsolidoidun valvonnan piiriin asiaankuuluvan lainsäädännön nojalla (esim. maksulaitokset). Lisäksi ehdotetun asetuksen mukaisten vaatimusten soveltamisen tason olisi perustuttava yksinomaan kuhunkin finanssiyhteisötyyppiin sovellettavaan lainsäädäntöön. Luottolaitosten osalta säädetään selkeästä yhteydestä vakavaraisuusdirektiivin ja ehdotetun asetuksen välillä, joten ehdotetun asetuksen mukaisia vaatimuksia sovellettaisiin automaattisesti yksittäisten yhteisöjen, alakonsolidointiryhmien tasolla tai konsolidointiryhmien tasolla (71), tapauksesta riippuen. Lopuksi todetaan, että unionin lainsäädäntöelimet voisivat myös harkita siirtymäjärjestelyn käyttöönottoa ehdotetun asetuksen voimaantulon ja ehdotetussa asetuksessa kaavailtujen teknisten sääntelystandardien voimaantulon välisen ajanjakson hallinnoimiseksi, koska joihinkin välittäjiin, mukaan lukien luottolaitokset, sovelletaan jo tiettyihin aloihin sovellettavia TVT-riskejä koskevia sääntöjä, jotka ovat yksityiskohtaisempia kuin ehdotetun asetuksen yleiset säännökset.

3.7

YVM-asetuksen mukaan EKP:lle on annettu tehtäväksi varmistaa, että luottolaitokset noudattavat unionin lainsäädännössä asetettuja vaatimuksia, joiden mukaan luottolaitoksilla on oltava käytössä vankat riskienhallintaprosessit ja sisäisen valvonnan mekanismit. (72) Tämä tarkoittaa sitä, että EKP:n on huolehdittava siitä, että luottolaitokset ottavat käyttöön toimintatavat ja menettelyt, joilla arvioidaan ja hallitaan niiden operatiivista riskiä, mukaan lukien mallien käyttöön liittyvä riski, ja otetaan huomioon harvoin sattuvat vakavat tapahtumat. Luottolaitoksilta edellytetään, että ne ilmoittavat, miten operatiivinen riski määritellään näitä toimintatapoja ja menettelyjä sovellettaessa. (73)

3.8

Euroopan keskuspankin (EKP) neuvosto hyväksyi heinäkuussa 2017 YVM:n kyberhäiriöiden ilmoitusmenettelyn (jäljempänä ”menettely”) valvontaelimen päätösluonnoksen pohjalta YVM-asetuksen 26 artiklan 8 kohdan ja 6 artiklan 2 kohdan sekä Euroopan keskuspankin asetuksen (EU) N:o 468/2014 (EKP/2014/17) 21 artiklan 1 kohdan mukaisesti (74). Menettely koostuu luottolaitosta velvoittavasta pyynnöstä (luottolaitoksille osoitetut yksittäiset päätökset), joka koskee YVM-asetuksen 10 artiklan mukaista tietojen antamista ja/tai raportointia. (75) Joissakin maissa on jo käytössä poikkeamista raportointia koskeva menettely, jonka mukaan luottolaitosten on ilmoitettava kaikista merkittävistä kyberturvallisuushäiriöistä kansallisille toimivaltaisille viranomaisille. Näissä maissa merkittävät luottolaitokset raportoivat edelleen poikkeamista kansallisille toimivaltaisille viranomaisille, jotka toimittavat ne viipymättä EKP:lle valvottavien yhteisöjen puolesta. Edellä mainitut päätökset osoitetaan myös näille kansallisille toimivaltaisille viranomaisille, jotta kyseiset tiedot toimitettaisiin EKP:lle menettelyn perusteella. EKP tukee unionin lainsäädäntöelinten pyrkimyksiä yhdenmukaistaa ja yksinkertaistaa muun muassa luottolaitoksiin sovellettavia sääntöjä ja velvoitteita, jotka koskevat poikkeamien ilmoittamista. Tämän vuoksi EKP on valmis tarvittaessa muuttamaan menettelyä (ja tarvittaessa kumoamaan sen) ehdotetun asetuksen mahdollisen hyväksymisen perusteella.

4. Erityiset huomautukset TVT-riskinhallinnasta, poikkeamista raportoinnista, häiriönsietokyvyn testauksesta ja kolmansiin osapuoliin liittyvästä TVT-riskistä

4.1 TVT-riskinhallinta

4.1.1

EKP suhtautuu myönteisesti siihen, että ehdotetulla asetuksella otetaan käyttöön vankka ja kattava TVT-riskinhallintajärjestelmä, joka sisältää CPMI:n ja IOSCO:n kyberuhkien sietokykyä koskevan ohjeistuksen ja jossa on otettu tarkasti huomioon parhaat käytännöt, mukaan lukien eurojärjestelmän rahoitusmarkkinainfrastruktuurien kyberuhkien sietokykyä koskevat eurojärjestelmän valvontaodotukset.

4.1.2

EKP kannattaa ajatusta, jonka mukaan finanssiyhteisöjen olisi tehtävä riskiarviointeja jokaisesta verkko- ja tietojärjestelmäinfrastruktuuriin tehdystä ”merkittävästä muutoksesta”. (76) Ehdotettuun asetukseen ei kuitenkaan sisälly ”merkittävän muutoksen” määritelmää, mikä luo epätoivottavaa liikkumavaraa finanssiyhteisöjen eriäville tulkinnoille, jotka voisivat viime kädessä haitata ehdotetun asetuksen yhdenmukaistamistavoitteita. Oikeusvarmuuden vuoksi unionin lainsäädäntöelimet voisivat harkita ”merkittävän muutoksen” määritelmän sisällyttämistä ehdotettuun asetukseen.

4.1.3

EKP kannattaa yleisesti ajatusta siitä, että muiden finanssiyhteisöjen kuin mikroyritysten on raportoitava toimivaltaisille viranomaisille kaikista TVT-keskeytymisten ja -poikkeamien aiheuttamista kustannuksista ja menetyksistä. (77) Jotta kuitenkin varmistettaisiin järjestelmän yleinen tehokkuus ja vältettäisiin se, että ilmoitusmäärä aiheuttaisi toimivaltaisille viranomaisille ja finanssiyhteisöille kohtuutonta rasitetta, unionin lainsäädäntöelimet voisivat tutkia mahdollisuutta asiaankuuluvien, mahdollisesti määrällisten raja-arvojen käyttöönottoon.

4.1.4

EKP tiedostaa, että finanssiyhteisöt voivat, toimivaltaisten viranomaisten hyväksynnän saatuaan, delegoida TVT-riskinhallintavaatimusten noudattamisen tarkistamista koskevat tehtävät konsernin sisäisille tai ulkopuolisille yrityksille. (78) Samalla on tärkeää, että unionin lainsäädäntöelimet selventävät, miten toimivaltaisten viranomaisten hyväksyntä myönnettäisiin tapauksissa, joissa finanssiyhteisöön liittyy useita toimivaltaisia viranomaisia. Näin voi käydä silloin, kun finanssiyhteisö on luottolaitos, kryptovarojen palveluntarjoaja ja/tai maksupalveluntarjoaja. Mitä tulee finanssiyhteisöjen suorittamaan yksilöintiin ja luokitteluun ehdotetun asetuksen mukaisesti (79), EKP pitäisi omaisuuserien luokittelun osalta varovaisuusperiaatteen mukaisena lähestymistapaa, jonka mukaan ehdotetussa asetuksessa edellytettäisiin, että finanssiyhteisöt ottavat huomioon tällaisten omaisuuserien kriittisyyden (eli sen, tukevatko ne keskeisiä toimintoja).

4.2 Poikkeamista raportointi

4.2.1

EKP suhtautuu myönteisesti asetusehdotuksessa esitettyihin pyrkimyksiin yhdenmukaistaa TVT-poikkeamia koskevaa raportointiympäristöä unionissa ja pyrkiä keskittämään laajavaikutteisia TVT-poikkeamia koskevaa raportointia. (80) Yhdenmukaistetun järjestelmän käyttöönotto laajavaikutteisista TVT-poikkeamista raportoimiseksi (81) asiaankuuluville toimivaltaisille viranomaisille yksinkertaistaisi ja yhdenmukaistaisi finanssiyhteisöjen, myös luottolaitosten, raportointitaakkaa. Toimivaltaiset viranomaiset hyötyisivät raportoinnin piiriin kuuluvien poikkeamien laajemmasta soveltamisalasta, joka ulottuisi nykyisten menettelyjen kattamia kyberturvallisuuspoikkeamia laajemmalle. (82) Ehdotetun asetuksen tuleva hyväksyminen edellyttäisi nykyisten menettelyjen, mukaan lukien YVM:n kyberhäiriöiden ilmoitusmenettelyn, tarkistamista ja mahdollista kumoamista. On kuitenkin tärkeää varmistaa, että ehdotetun asetuksen mukaisten poikkeamista raportointia koskevien säännösten soveltamisala, mukaan lukien kaikki asiaankuuluvat määritelmät, raja-arvot ja raportointiparametrit, on täysin linjassa asiaankuuluvien menettelyjen kanssa, jotta kaikki menettelyt saadaan tosiasiassa yksinkertaistettua ja yhdenmukaistettua. Erityisesti on erittäin tärkeää varmistaa, että yhtäältä ehdotettu asetus ja toisaalta Euroopan parlamentin ja neuvoston direktiivi (EU) 2015/2366 (83) (jäljempänä PSD2-direktiivi) ja toisaalta merkittävien häiriöiden raportointia koskevat EPV:n ohjeet (jäljempänä EPV:n ohjeet), sovitetaan yhteen. Ehdotettu muutosdirektiivi (84) sisältää PSD2-direktiiviin tehtäviä muutoksia, jotka koskevat poikkeamia koskevan raportoinnin rajaamista ehdotetun asetuksen ja PSD2-direktiivin välillä. Muutokset vaikuttaisivat pääasiassa maksupalveluntarjoajiin, jotka voisivat saada toimiluvan myös luottolaitoksina, sekä toimivaltaisiin viranomaisiin. Poikkeamia koskeva raportointimenettely on epäselvä, ja joidenkin poikkeamien, joista on raportoitava sekä ehdotetun asetuksen että EPV:n ohjeiden mukaisesti, välillä saattaa esiintyä päällekkäisyyksiä.

4.2.2

Vastaavasti ehdotetun asetuksen, (85) PSD2-direktiivin ja EPV:n ohjeiden mukaiset laajavaikutteisia poikkeamia koskevat raportointimenettelyt edellyttäisivät, että maksupalveluntarjoajat toimittavat poikkeamaraportin toimivaltaiselle viranomaiselle sen jälkeen, kun poikkeama on luokiteltu. Alustavissa raporteissa ei itse asiassa mainita poikkeaman olennaista sisältöä, syytä tai toiminnallista aluetta, ja maksupalveluntarjoajat voivat ehkä tehdä tällaisia erotteluja vasta myöhemmässä vaiheessa, kun poikkeamista on saatavilla yksityiskohtaisempia tietoja. Tämän seurauksena poikkeamia koskevat alustavat raportit voitaisiin toimittaa sekä ehdotetun asetuksen että EPV:n ohjeiden mukaisesti, tai maksupalveluntarjoajat voisivat päättää yhdestä raportointimenettelystä ja korjata toimittamiaan tietoja myöhempänä ajankohtana. Sama epävarmuus (esimerkiksi minkä tahansa poikkeaman perimmäisen syyn osalta) voi heijastua myös väli- ja loppuraportteihin. Tämä lisäisi jälleen mahdollisuutta siitä, että raportteja toimitetaan toimivaltaisille viranomaisille rinnakkain asetusehdotuksen ja PSD2-direktiivin mukaisesti.

4.2.3

Jotkin poikkeamat, jotka voidaan luokitella TVT:n alaan liittyviksi poikkeamiksi, voivat vaikuttaa myös muihin aloihin, minkä vuoksi niistä olisi ilmoitettava EPV:n ohjeiden mukaisesti. Näin voi olla silloin, kun poikkeamalla on tieto- ja viestintätekniikan näkökulmasta vaikutusta, mutta se vaikuttaa samalla myös suoraan maksupalvelujen tarjoamiseen ja/tai muihin kuin TVT:hen liittyviin toiminnallisiin alueisiin tai kanaviin. Lisäksi voi olla tapauksia, joissa operatiivisia ja TVT:hen liittyviä poikkeamia ei ole mahdollista erottaa toisistaan. Lisäksi siinä tapauksessa, että sama finanssiyhteisö on merkittävä luottolaitos ja maksupalveluntarjoaja, saman yhteisön olisi ehdotetun asetuksen mukaan ilmoitettava TVT:hen liittyvästä poikkeamasta kahdesti ja kahden toimivaltaisen viranomaisen valvonnassa. Edellä esitetyn perusteella ehdotetussa asetuksessa olisi selvennettävä PSD2-direktiivin ja EPV:n ohjeiden välistä vuorovaikutusta käytännön tasolla. Merkittävämpää on, että raportointivelvoitteiden yhdenmukaistamisen ja yksinkertaistamisen vuoksi olisi tärkeää, että unionin lainsäädäntöelimet pohtivat päällekkäiseen raportointiin liittyviä jäljellä olevia kysymyksiä ja selventävät, sovelletaanko yhtäältä ehdotettua asetusta ja toisaalta PSD2-direktiiviä ja EPV:n ohjeita rinnakkain vai olisiko laadittava poikkeamien ilmoittamista koskevat yhteiset vaatimukset.

4.2.4.

Ehdotetussa asetuksessa otetaan käyttöön vaatimus, jonka mukaan toimivaltaisten viranomaisten (86) on ilmoituksen saatuaan vahvistettava sen vastaanottaminen ja annettava finanssiyhteisölle mahdollisimman pian kaikki tarvittava palaute tai ohjeistus erityisesti sitä varten, että kyseisen yhteisön tasolla voidaan keskustella korjaustoimenpiteistä tai keinoista minimoida kielteiset vaikutukset eri aloilla. Tämä merkitsisi sitä, että toimivaltaisten viranomaisten olisi aktiivisesti osallistuttava poikkeamien hallintaan ja korjaamiseen ja samalla arvioitava valvottavan yhteisön reagointia kriittisiin poikkeamiin. EKP korostaa, että vastuu ja omistajuus poikkeaman korjaamisesta ja seurauksista olisi jätettävä yksinomaan ja selkeästi asianomaiselle finanssiyhteisölle. Näin ollen EKP ehdottaa palautteen ja ohjeistuksen rajoittamista ainoastaan toiminnan vakautta koskevaan korkean tason palautteeseen ja -ohjeistukseen. Jos palaute olisi laajempaa, se edellyttäisi erikoistuneita ammattilaisia, joilla on erittäin huomattavaa teknistä tietämystä, jota ei tyypillisesti ole saatavilla vakavaraisuusviranomaisten käytettävissä olevassa osaajaverkostossa.

4.3 Digitaalisen häiriönsietokyvyn testaaminen

4.3.1

EKP suhtautuu myönteisesti ehdotetun asetuksen (87) vaatimuksiin, jotka koskevat digitaalisen häiriönsietokyvyn testaamista finanssiyhteisöissä, ja siihen, että kullakin laitoksella on oltava oma testausohjelmansa. Ehdotetussa asetuksessa (88) kuvataan erilaisia testaustyyppejä ohjeistuksena finanssiyhteisöille. Testaustyypit eivät ole kovin selkeitä, ja jotkin testaukset, kuten yhteensopivuustestaus, kyselylomakkeet tai skenaarioihin perustuvat testit, ovat avoimia Euroopan valvontaviranomaisten, toimivaltaisten viranomaisten tai finanssiyhteisöjen tulkinnalle. Kunkin testauksen toteutuksen aikaväleistä ei myöskään anneta ohjeita. Mahdollinen lähestymistapa voisi olla se, että ehdotetussa asetuksessa asetettaisiin yleiset testausvaatimukset, ja testaustyypit määriteltäisiin tarkemmin sääntelystandardeissa ja teknisissä täytäntöönpanostandardeissa.

4.3.2

Uhkaperusteinen tunkeutumistestaus (TLPT) on tehokas väline turvallisuuden ja valmiuden testaamisessa. Tämän vuoksi EKP kannustaa rahoituslaitoksia käyttämään TLPT:tä. Tällä välineellä testataan teknisten toimenpiteiden lisäksi myös henkilöstöä ja prosesseja. Näiden testien tulokset voivat lisätä merkittävästi testattavien yhteisöjen ylimmän johdon turvallisuustietoisuutta. Uhkatiedusteluun perustuva eurooppalaisen kyberresilienssin testijärjestelmä (European framework for Threat Intelligence-based Ethical Red Teaming, TIBER-EU) (89) ja muut jo saatavilla olevat, unionin ulkopuolella saatavilla olevat TLPT-välineet ovat ensisijaisia välineitä, joiden avulla yhteisöt voivat itse arvioida, testata, harjoittaa ja parantaa kyberresilienssiään ja puolustustaan.

4.3.3

Useimmissa jäsenvaltioissa, joissa TIBER-EU on pantu täytäntöön, yleisvalvojilla ja valvojilla ei ole aktiivista roolia paikallisen TIBER-XX-ohjelman täytäntöönpanossa, ja TIBER Cyber Team (TCT) on lähes kaikissa tapauksissa näistä toiminnoista riippumattomasti sijoitettu. Tästä syystä ehdotetun asetuksen (90) mukainen pitkälle viety testaus TLPT:n avulla olisi toteutettava välineenä, jolla vahvistetaan rahoitusekosysteemiä ja parannetaan rahoitusvakautta pelkän valvontavälineen sijaan. Lisäksi ei ole tarpeen kehittää uutta edistynyttä kyberresilienssin testauskehystä, koska jäsenvaltiot ovat jo laajalti hyväksyneet TIBER-EU:n, joka on tällä hetkellä ainoa tällainen kehys EU:ssa.

4.3.4

Testaajia koskevia vaatimuksia ei pitäisi sisällyttää ehdotetun asetuksen pääosaan, koska TLPT:hen liittyvä ala kehittyy edelleen ja erityisten vaatimusten asettaminen voi haitata innovointia. EKP katsoo kuitenkin, että korkeatasoisen riippumattomuuden varmistamiseksi testauksen aikana finanssiyhteisöt eivät saisi ottaa palvelukseensa tai käyttää sellaisten finanssiyhteisöjen palveluksessa olevia testaajia, jotka kuuluvat niiden omaan ryhmään tai joiden kanssa ne ovat tehneet sopimuksen tai jotka ovat muutoin testattavien finanssiyhteisöjen omistuksessa ja/tai määräysvallassa.

4.3.5

Fragmentoitumiseen liittyvän riskin vähentämiseksi ja yhdenmukaisuuden varmistamiseksi ehdotetussa asetuksessa olisi säädettävä yhdestä TLPT-kehyksestä, jota sovelletaan rahoitusalaan kaikkialla unionissa. Hajanaisuus voi lisätä sekä toimivaltaisten viranomaisten että rahoituslaitosten kustannuksia ja teknisiä, toiminnallisia ja taloudellisia resursseja koskevia vaatimuksia. Näillä lisääntyvillä kustannuksilla ja vaatimuksilla voi viime kädessä olla kielteinen vaikutus testausten vastavuoroiseen tunnustamiseen. Tämä yhdenmukaistamisen puute ja siitä johtuvat vastavuoroiseen tunnustamiseen liittyvät ongelmat ovat erityisen tärkeitä finanssiyhteisöille, joilla voi olla useita toimilupia ja/tai jotka voivat toimia useilla lainkäyttöalueilla eri puolilla unionia. Ehdotetun asetuksen mukaisesti TLPT:tä varten laadittavien sääntelystandardien ja teknisten täytäntöönpanostandardien olisi oltava TIBER-EU:n mukaisia. Lisäksi EKP suhtautuu myönteisesti mahdollisuuteen osallistua näiden sääntelystandardien ja teknisten täytäntöönpanostandardien valmisteluun yhteistyössä Euroopan valvontaviranomaisten kanssa.

4.3.6

Toimivaltaisten viranomaisten aktiivinen osallistuminen testauksiin voi aiheuttaa mahdollisen eturistiriidan niiden suorittaman muun tehtävän eli finanssiyhteisön testauskehyksen arvioinnin kanssa. Tätä taustaa vasten EKP ehdottaa, että ehdotetusta asetuksesta poistettaisiin kaikki toimivaltaisten viranomaisten velvoitteet, jotka koskevat asiakirjojen validointia ja todistuksen antamista TLPT-testauksesta.

4.4 Kolmansiin osapuoliin liittyvä TVT-riski

4.4.1

EKP suhtautuu myönteisesti siihen, että ehdotukseen on sisällytetty kattava joukko keskeisiä periaatteita ja vankka yleisvalvontakehys, jotta voidaan tunnistaa ja hallita TVT-palveluntarjoajana olevien kolmansien osapuolien aiheuttamia TVT-riskejä riippumatta siitä, kuuluvatko ne samaan rahoituslaitosten ryhmään. TVT-riskien tehokkaan tunnistamisen ja hallinnan toteuttamiseksi on kuitenkin tärkeää yksilöidä ja luokitella asianmukaisesti muun muassa kriittiset TVT-palveluntarjoajana olevat kolmannet osapuolet. Tässä yhteydessä on tervetullutta ottaa käyttöön delegoituja säädöksiä (91), joilla täydennetään luokituskriteereitä (92), mutta EKP:tä olisi kuultava ennen tällaisten delegoitujen säädösten hyväksymistä.

4.4.2

Valvontakehyksen rakenteen (93) osalta on selkiytettävä yhteiskomitean roolia. Samaan aikaan EKP suhtautuu myönteisesti osallistumiseensa valvontafoorumiin tarkkailijana, sillä tämä tehtävä antaa EKP:lle samat mahdollisuudet tutustua asiakirjoihin ja tietoihin kuin äänioikeutetuilla jäsenillä. (94) EKP haluaa kiinnittää unionin lainsäädäntöelinten huomion siihen, että tarkkailijana EKP osallistuisi valvontafoorumin työhön sekä liikkeeseen laskevana keskuspankkina, joka vastaa markkinainfrastruktuurien valvonnasta, että luottolaitosten vakavaraisuusvalvojana. Lisäksi EKP huomauttaa, että EKP toimisi tarkkailijana valvontafoorumissa, mutta sen lisäksi kuuluisi toimivaltaisena viranomaisena myös yhteiseen tutkintaryhmään. Unionin lainsäädäntöelimet voisivat tältä osin pohtia tarkemmin yhteisten tutkintaryhmien kokoonpanoa (95), jotta voidaan varmistaa asianomaisten toimivaltaisten viranomaisten riittävä osallistuminen. Vastaavasti EKP katsoo, että yhteisiin tutkintaryhmiin osallistuvien enimmäismäärää olisi lisättävä ottaen huomioon kolmannen osapuolen tarjoamien TVT-palvelujen kriittisyys, monimutkaisuus ja laajuus.

4.4.3

EKP toteaa, että ehdotetun asetuksen mukaan yleisvalvonnasta päävastuussa oleva voi estää kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia tekemästä uusia alihankintajärjestelyjä, jos i) suunniteltu alihankkija on TVT-palveluntarjoajana oleva kolmas osapuoli tai kolmanteen maahan sijoittautunut TVT-alihankkija ja ii) alihankinta koskee finanssiyhteisön kriittistä tai tärkeää toimintoa. EKP korostaa, että yleisvalvonnasta päävastuussa oleva voi käyttää näitä valtuuksia ainoastaan alihankintajärjestelyjen yhteydessä, kun kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli antaa kriittisen tai tärkeän toiminnon kolmanteen maahan sijoittautuneen erillisen oikeushenkilön tehtäväksi alihankintana. EKP:n käsityksen mukaan yleisvalvonnasta päävastuussa oleva ei voisi käyttää vastaavia valtuuksia estääkseen kriittistä TVT-palveluntarjoajana olevaa kolmatta osapuolta ulkoistamasta finanssiyksikön kriittisiä tai tärkeitä toimintoja kyseisen palveluntarjoajan kolmannessa maassa sijaitseviin tiloihin. On esimerkiksi mahdollista, että operatiiviselta kannalta kriittisiä tietoja voidaan säilyttää tai käsitellä Euroopan talousalueen (ETA) ulkopuolella sijaitsevissa laitoksissa. Tällaisessa tapauksessa yleisvalvonnasta päävastuussa olevan valtuudet eivät välttämättä anna toimivaltaisille viranomaisille riittäviä valtuuksia päästä kaikkiin tietoihin, tiloihin, infrastruktuureihin ja henkilöstöön, jotka ovat merkityksellisiä kaikkien finanssiyhteisön kriittisten tai tärkeiden toimintojen suorittamisen kannalta. Jotta voidaan varmistaa, että toimivaltaiset viranomaiset kykenevät hoitamaan tehtäviään esteettömästi, EKP ehdottaa, että yleisvalvonnasta päävastuussa olevalle olisi annettava valtuudet rajoittaa myös kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten mahdollisuuksia käyttää ETA:n ulkopuolella sijaitsevia tiloja. Tätä valtaa voitaisiin käyttää niissä erityistapauksissa, joissa ei ole käytössä ehdotetun asetuksen (96) mukaisia hallinnollisia järjestelyjä asianomaisten kolmannen maan viranomaisten kanssa tai joissa kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten edustajat eivät tarjoa asianomaisen kolmannen maan kehyksen mukaisia riittäviä takeita pääsystä sellaisiin tietoihin, tiloihin, infrastruktuuriin ja henkilöstöön, jotka ovat yleisvalvonta- tai valvontatehtävien hoitamisen kannalta tarpeen.

4.4.4

Lopuksi se, että toimivaltaisten viranomaisten edellytetään noudattavan yleisvalvonnasta päävastuussa olevan suosituksia (97), saattaisi osoittautua tehottomaksi, koska toimivaltaisilla viranomaisilla ei välttämättä ole kokonaisvaltaista näkemystä kunkin kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen aiheuttamista riskeistä. Lisäksi toimivaltaisia viranomaisia voidaan vaatia toteuttamaan toimia valvottavia finanssiyhteisöjä vastaan, jos kriittisenä palveluntarjoajana olevat kolmannet osapuolet eivät ota suosituksia huomioon. Ehdotetun asetuksen (98) mukaan toimivaltaiset viranomaiset voivat vaatia valvottavia finanssiyhteisöjä keskeyttämään tilapäisesti kriittisen kolmannen osapuolen palvelun tai irtisanomaan kriittisinä palveluntarjoajina olevien kolmansien osapuolten kanssa tehdyt voimassa olevat sopimukset. Suunniteltua seurantaprosessia on vaikea muuntaa konkreettisiksi toimiksi. Erityisesti todetaan, ettei ole selvää, onko valvottavalla finanssiyhteisöllä mahdollisuutta keskeyttää tai irtisanoa sopimus kriittisenä palveluntarjoajana olevan kolmannen osapuolen kanssa. Tämä johtuu siitä, että kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli voi olla merkittävä palveluntarjoaja kyseiselle finanssiyhteisölle, tai siitä, että finanssiyhteisölle saattaa keskeyttämisen tai irtisanomisen seurauksena aiheutua kustannuksia ja vahinkoja sopimusperusteisesti tai muulla perusteella. Tämä lähestymistapa ei myöskään tue valvonnan lähentämistä, koska toimivaltaiset viranomaiset voivat tulkita samaa suositusta eri tavoin. Tämä voisi viime kädessä haitata suunniteltua yhdenmukaistamista ja johdonmukaista lähestymistapaa kriittisiin kolmansiin osapuoliin liittyvän TVT-riskin seurannassa unionin tasolla. Edellä esitetyn perusteella unionin lainsäädäntöelimet voisivat harkita erityisten täytäntöönpanovaltuuksien myöntämistä oikeudellisille valvojille kriittisiä TVT-palveluntarjoajana olevia kolmansia osapuolia kohtaan ottaen huomioon Meroni-oikeuskäytännössä asetetut rajoitukset, joita unionin tuomioistuin on osittain lieventänyt ESMAa koskevassa tuomiossaan (99).

Niiltä osin kuin EKP suosittaa ehdotettua asetusta muutettavaksi, tarkat muutosehdotukset perusteluineen on esitetty teknisessä työasiakirjassa. Tekninen työasiakirja on luettavissa englanninkielisenä EUR-Lex- verkkosivustolla.

Tehty Frankfurt am Mainissa 4 päivänä kesäkuuta 2021.

EKP:n puheenjohtaja

Christine LAGARDE

(1) COM(2020) 595 final.

(2) COM(2020) 596 final.

(3) Ks. asetusehdotuksen 1 artiklan 2 kohta.

(4) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148, annettu 6 päivänä heinäkuuta 2016, toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa (EUVL L 194, 19.7.2016, s. 1).

(5) Ks. verkko- ja tietoturvadirektiivin 5 artikla.

(6) Ks. ehdotetun asetuksen 3 artiklan 15 kohta.

(7) Ks. ehdotetun asetuksen 31 artiklan 1 kohdan d alakohta.

(8) Ks. verkko- ja tietoturvadirektiivin 15 artiklan 3 kohta.

(9) COM(2020) 823 final.

(10) Tapahtuma, joka olisi voinut aiheuttaa vahinkoa, mutta jonka täysi toteutuminen kyettiin estämään; ks. NIS2-direktiivin johdanto-osan 39 kappale.

(11) Ks. NIS2-direktiivin 11 artikla.

(12) Tietoa kyberuhkiin liittyvien tiedustelutietojen jakamista koskevasta aloitteesta (CIISI-EU) on saatavissa EKP:n verkkosivustolla www.ecb.europa.eu.

(13) Ks. ehdotetun asetuksen 42 artikla.

(14) Ks. verkko- ja tietoturvadirektiivin 8 artiklan 3 kohta.

(15) Ks. myös NIS2-direktiivin 11, 26 ja 27 artikla.

(16) Ks. luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (EUVL L 295, 21.11.2018, s. 39) 4 artiklan 1 kohdan b alakohta ja 13 artikla.

(17) Ks. EKPJ:n perussäännön 22 artikla.

(18) Euroopan keskuspankin asetus (EU) N:o 795/2014, annettu 3 päivänä heinäkuuta 2014, systeemisesti merkittäviä maksujärjestelmiä koskevista yleisvalvontavaatimuksista (EKP/2014/28) (EUVL L 217, 23.7.2014, s. 16).

(19) Luettavissa Kansainvälisen järjestelypankin verkkosivustolla www.bis.org.

(20) Eurojärjestelmän yleisvalvontaa koskeva puiteasiakirja (Eurosystem oversight policy framework), tarkistettu versio, heinäkuu 2016, luettavissa EKP:n verkkosivustolla www.ecb.europa.eu.

(21) Ks. eurojärjestelmän sähköisten maksuvälineiden yleisvalvontaa koskeva puiteasiakirja (Eurosystem oversight framework for electronic payment instruments, ”PISA-puiteasiakirja”), lokakuu 2020, luettavissa EKP:n verkkosivustolla www.ecb.europa.eu.

(22) Digitaalinen maksutoken on sellaisen arvon digitaalinen ilmentymä, jonka taustalla on muualla kirjattuja saamisia tai omaisuuseriä, ja se mahdollistaa arvon siirtämisen loppukäyttäjien välillä. Digitaalisten maksutokenien avulla arvon siirtäminen on niiden perustana olevasta mallista riippuen mahdollista ilman, että siihen välttämättä liittyy kolmatta keskusosapuolta ja/tai maksutilien käyttöä.

(23) ”Arvon siirtäminen””Toimi, jonka käynnistää maksaja tai maksunsaaja maksajan puolesta ja jossa siirretään varoja tai digitaalisia maksutokeneita taikka jossa siirretään käteistä käyttäjätilille tai nostetaan käteistä käyttäjätililtä, riippumatta mahdollisista taustalla olevista velvoitteista maksajan ja maksunsaajan välillä. Siirtoon voi liittyä yksi tai useampi maksupalveluntarjoaja.” Tämä PISA-puiteasiakirjan mukainen arvon siirtämisen määritelmä poikkeaa maksupalveluista sisämarkkinoilla, direktiivien 2002/65/EY, 2009/110/EY ja 2013/36/EU ja asetuksen (EU) N:o 1093/2010 muuttamisesta sekä direktiivin 2007/64/EY kumoamisesta 25 päivänä marraskuuta 2015 annetussa Euroopan parlamentin ja neuvoston direktiivissä (EU) 2015/2366 (EUVL L 337, 23.12.2015, s. 35), jäljempänä ”PSD2-direktiivi”, määritellystä varojen siirrosta. Direktiivissä määritellyn ”maksuvälineen” yhteydessä ”arvon siirtämisellä” voidaan viitata ainoastaan ”varojen” siirtoon. Direktiivin mukaan ”varat” eivät sisällä digitaalisia maksutokeneja, ellei tokeneita voida luokitella sähköiseksi rahaksi (tai hypoteettisesti tilirahaksi).

(24) Euroopan parlamentin ja neuvoston direktiivi 98/26/EY, annettu 19 päivänä toukokuuta 1998, selvityksen lopullisuudesta maksujärjestelmissä ja arvopaperien selvitysjärjestelmissä (EYVL L 166, 11.6.1998, s. 45).

(25) Ks. ehdotetun asetuksen 28 artiklan 5 kohta.

(26) Ks. Euroopan keskuspankin lausunto, annettu 19 päivänä helmikuuta 2021, ehdotuksesta kryptovarojen markkinoita koskevaksi asetukseksi ja direktiivin (EU) 2019/1937 muuttamisesta (CON/2021/4), 1.3 kohta. Kaikki EKP:n lausunnot julkaistaan EUR-Lex-sivustolla.

(27) Ks. Euroopan keskuspankin suuntaviivat EKP/2012/27, annettu 5 päivänä joulukuuta 2012, Euroopan laajuisesta automatisoidusta reaaliaikaisesta bruttomaksujärjestelmästä (TARGET2) (EUVL L 30, 30.1.2013, s. 1), liite IIa. Euroopan keskuspankin suuntaviivat, annettu 18 päivänä heinäkuuta 2012, TARGET2-Securities-hankkeesta (EKP/2012/13) (EUVL L 215, 11.8.2012, s. 19); Euroopan keskuspankin päätös EKP/2011/20, annettu 16 päivänä marraskuuta 2011, yksityiskohtaisista säännöistä ja menettelyistä niiden ehtojen täytäntöönpanemiseksi, joiden perusteella arvopaperikeskus hyväksytään TARGET2-Securities-palvelujen käyttäjäksi (EUVL L 319, 2.12.2011, s. 117). Ks. myös T2S-puitesopimus ja yhteistyösopimus.

(28) Ks. suuntaviivojen EKP/2012/27 liite II b.

(29) Ks. arvopaperitoimituksen parantamisesta Euroopan unionissa sekä arvopaperikeskuksista ja direktiivien 98/26/EY ja 2014/65/EU sekä asetuksen (EU) N:o 236/2012 muuttamisesta 23 päivänä heinäkuuta 2014 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 909/2014 (EUVL L 257, 28.8.2014, s. 1) 30 artiklan 5 kohta ja Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 909/2014 täydentämisestä arvopaperikeskusten toimilupiin, valvontaan ja toimintaan liittyviä vaatimuksia koskevilla teknisillä sääntelystandardeilla 11 päivänä marraskuuta 2016 annetun komission delegoidun asetuksen (EU) 2017/392 (EUVL L 65, 10.3.2017, s. 48) 68 artikla.

(30) Euroopan parlamentin ja neuvoston asetus (EU) N:o 909/2014, annettu 23 päivänä heinäkuuta 2014, arvopaperitoimituksen parantamisesta Euroopan unionissa sekä arvopaperikeskuksista ja direktiivien 98/26/EY ja 2014/65/EU sekä asetuksen (EU) N:o 236/2012 muuttamisesta (EUVL L 257, 28.8.2014, s. 1).

(31) Eurojärjestelmän yleisvalvontaa koskeva puiteasiakirja (Eurosystem oversight policy framework), tarkistettu versio, heinäkuu 2016, luettavissa EKP:n verkkosivustolla www.ecb.europa.eu.

(32) Luettavissa kansainvälisen järjestelypankin verkkosivustolla www.bis.org.

(33) Luettavissa EKP:n verkkosivuilla www.ecb.europa.eu.

(34) Ks. asetuksen (EU) N:o 909/2014 12 artikla.

(35) Ks. myös asetuksen (EU) N:o 909/2014 13 artikla, 17 artiklan 4 kohta ja 22 artiklan 6 kohta.

(36) Ks. kriittisten infrastruktuurien identifioimisesta tietotekniikan turvallisuuden varmistamiseksi 6 päivänä huhtikuuta 2017 annetun Euroopan keskuspankin lausunnon (CON/2017/10) 7.3 kohta; keskeisten palvelujen ja keskeisten palvelujen tarjoajien nimeämisestä verkko- ja tietojärjestelmien turvallisuuteen liittyen 8 päivänä marraskuuta 2018 annetun Euroopan keskuspankin lausunnon (CON/2018/47) 7.2 kohta; verkko- ja tietojärjestelmien turvallisuudesta 2 päivänä toukokuuta 2019 annetun Euroopan keskuspankin lausunnon (CON/2019/17) 3.5.2 kohta; ja verkko- ja tietojärjestelmien turvallisuudesta 11 päivänä marraskuuta 2019 annetun Euroopan keskuspankin lausunnon (CON/2019/38) 3.5.2 kohta.

(37) Ks. ehdotetun asetuksen 54 artiklan 5 kohta ja asetuksen (EU) N:o 909/2014 45 artiklan 7 kohta.

(38) Ks. ehdotetun asetuksen 54 artiklan 4 kohta ja asetuksen (EU) N:o 909/2014 45 artiklan 6 kohta.

(39) Ks. ehdotetun asetuksen 11 artiklan 5 kohta.

(40) Ks. Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 909/2014 täydentämisestä arvopaperikeskusten toimilupiin, valvontaan ja toimintaan liittyviä vaatimuksia koskevilla teknisillä sääntelystandardeilla 11 päivänä marraskuuta 2016 annetun komission delegoidun asetuksen (EU) N:o 2017/392 (EUVL L 65, 10.3.2017, s. 48) 78 artiklan 3 kohta.

(41) Ks. ehdotetun asetuksen 11 artiklan 6 kohta.

(42) Ks. ehdotetun asetuksen 3 artiklan 17 kohta.

(43) Ks. komission delegoidun asetuksen (EU) 2017/392 76 artiklan 2 kohdan d ja e alakohta.

(44) Ks. komission delegoidun asetuksen (EU) 2017/392 78 artiklan 2 kohta ja 3 kohta.

(45) Ks. asetuksen (EU) N:o 909/2014 1 artiklan 4 kohta.

(46) Euroopan parlamentin ja neuvoston asetus (EU) N:o 648/2012, annettu 4 päivänä heinäkuuta 2012, OTC-johdannaisista, keskusvastapuolista ja kauppatietorekistereistä (EUVL L 201, 27.7.2012, s. 1).

(47) Ks. EMIR-asetuksen 18 artiklan 2 kohdan g ja h alakohta.

(48) Ks. asetusehdotuksen 53 artiklan 2 kohdan b alakohta ja 3 kohta sekä EMIR-asetuksen 34 artiklan 3 kohta.

(49) Ks. asetusehdotuksen 53 artiklan 2 kohdan a alakohta.

(50) Ks. EMIR-asetuksen 34 artikla.

(51) Ks. CPMI-IOSCO Principles for Financial Market Infrastructures, luettavissa Kansainvälisen järjestelypankin verkkosivustolla www.bis.org.

(52) Neuvoston asetus (EU) N:o 1024/2013, annettu 15 päivänä lokakuuta 2013, luottolaitosten vakavaraisuusvalvontaan liittyvää politiikkaa koskevien erityistehtävien antamisesta Euroopan keskuspankille (EUVL L 287, 29.10.2013, s. 63).

(53) Ks. asetuksen (EU) N:o 1024/2013 4 artiklan 1 kohdan e alakohta ja 6 artiklan 4 kohta.

(54) Euroopan parlamentin ja neuvoston asetus (EU) N:o 575/2013, annettu 26 päivänä kesäkuuta 2013, luottolaitosten ja sijoituspalveluyritysten vakavaraisuusvaatimuksista ja asetuksen (EU) N:o 648/2012 muuttamisesta (EUVL L 176, 27.6.2013, s. 1).

(55) Euroopan parlamentin ja neuvoston direktiivi 2013/36/EU, annettu 26 päivänä kesäkuuta 2013, oikeudesta harjoittaa luottolaitostoimintaa ja luottolaitosten ja sijoituspalveluyritysten vakavaraisuusvalvonnasta, direktiivin 2002/87/EY muuttamisesta sekä direktiivien 2006/48/EY ja 2006/49/EY kumoamisesta (EUVL L 176, 27.6.2013, s. 338).

(56) Ks. asetusehdotuksen johdanto-osan 8 kappale.

(57) Ks. asetusehdotuksen johdanto-osan 11 kappale.

(58) Ks. asetusehdotuksen johdanto-osan 12 kappale.

(59) Ks. ehdotetun muutosdirektiivin johdanto-osan 4 ja 5 perustelukappale.

(60) Ks. vakavaraisuusdirektiivin 85 artikla.

(61) Ks. ehdotetun asetuksen 4 artiklan 1 kohta.

(62) Ks. ehdotetun asetuksen 25 artiklan 3 kohdan 4 alakohta.

(63) Ks. ehdotetun asetuksen 41 artikla.

(64) Ks. ehdotetun asetuksen V luvun II jakso.

(65) Ks. ehdotetun asetuksen V luvun II jakso.

(66) Ks. arvopaperikeskusasetuksen II luvun 4 jakson otsikko ”Toiminnan vakautta koskevat vaatimukset”.

(67) Ks. ehdotetun muutosdirektiivin johdanto-osan 4 kappale.

(68) Direktiivin 2013/36/EU 85 artikla on pelkkä täsmennys. Ks. myös ICT- ja turvallisuusriskien hallinnasta 29 päivänä marraskuuta 2019 annettujen Euroopan pankkiviranomaisen ohjeiden (jäljempänä ”EPV:n ohjeet”) s. 4, 11 ja 37, joissa yleinen oikeusperusta on nimenomaisesti direktiivin 2013/36/EU 74 artiklassa.

(69) Ks. ehdotetun asetuksen 41 artiklan 1 kohta.

(70) Ks. asetusehdotuksen 25 artiklan 3 ja 4 kohta.

(71) Ks. myös vakavaraisuusasetuksen 109 artikla.

(72) Ks. YVM-asetuksen 4 artiklan 1 kohta.

(73) Ks. vakavaraisuusdirektiivin 85 artikla.

(74) Euroopan keskuspankin asetus (EU) N:o 468/2014, annettu 16 päivänä huhtikuuta 2014, kehyksen perustamisesta YVM:n puitteissa tehtävälle yhteistyölle EKP:n ja kansallisten toimivaltaisten viranomaisten välillä sekä kansallisten nimettyjen viranomaisten kanssa (YVM-kehysasetus) (EKP/2014/17) (EUVL L 141, 14.5.2014, s. 1).

(75) Erityisesti kyberhäiriöstä (tunnistettu mahdollinen tahallinen tai tahaton tietoturvaloukkaus) on ilmoitettava EKP:lle, jos vähintään yksi seuraavista edellytyksistä täyttyy: 1) mahdollinen rahoitusvaikutus on 5 miljoonaa euroa tai 0,1 prosenttia ydinpääomasta (CET1); 2) poikkeamasta ilmoitetaan julkisesti tai se aiheuttaa mainehaittaa; 3) poikkeama on eskaloitu tietohallintojohtajalle säännöllisen raportoinnin ulkopuolella; 4) pankki ilmoitti poikkeamasta CERT/CSIRT-toimijalle, turvallisuusvirastolle tai poliisille; 5) palautumismenettelyt tai liiketoiminnan jatkuvuutta koskevat menettelyt on käynnistetty tai kybervakuutushakemus on jätetty; 6) oikeudellisia tai sääntelyllisiä vaatimuksia on rikottu; 7) pankki käyttää sisäisiä kriteerejä ja asiantuntija-arvioita (mukaan lukien mahdollinen vaikutus järjestelmään) ja päättää ilmoittaa asiasta EKP:lle.

(76) Ks. ehdotetun asetuksen 7 artiklan 3 kohta.

(77) Ks. ehdotetun asetuksen 10 artiklan 9 kohta.

(78) Ks. ehdotetun asetuksen 5 artiklan 10 kohta.

(79) Ks. ehdotetun asetuksen 7 artikla.

(80) Ks. ehdotetun asetuksen 19 artikla.

(81) Ks. ehdotetun asetuksen 3 artiklan 7 kohta ja 17 ja 18 artikla.

(82) Ks. esimerkkinä menettely.

(83) Euroopan parlamentin ja neuvoston direktiivi (EU) 2015/2366, annettu 25 päivänä marraskuuta 2015, maksupalveluista sisämarkkinoilla, direktiivien 2002/65/EY, 2009/110/EY ja 2013/36/EU ja asetuksen (EU) N:o 1093/2010 muuttamisesta sekä direktiivin 2007/64/EY kumoamisesta (EUVL L 337, 23.12.2015, s. 35).

(84) Ks. ehdotetun muutosdirektiivin 7 artiklan 9 kohta.

(85) Ks. ehdotetun asetuksen 17 artiklan 3 kohta.

(86) Ks. ehdotetun asetuksen 20 artikla.

(87) Ks. ehdotetun asetuksen 21 ja 22 artikla.

(88) Ks. ehdotetun asetuksen 22 artiklan 1 kohta.

(89) Luettavissa EKP:n verkkosivuilla www.ecb.europa.eu.

(90) Ehdotetun asetuksen 23 ja 24 artikla.

(91) Ks. ehdotetun asetuksen 28 artiklan 3 kohta.

(92) Ks. ehdotetun asetuksen 28 artiklan 2 kohta.

(93) Ks. ehdotetun asetuksen 29 artikla.

(94) Ks. ehdotetun asetuksen 29 artiklan 3 kohta.

(95) Ks. ehdotetun asetuksen 35 artikla.

(96) Ks. ehdotetun asetuksen 39 artiklan 1 kohta.

(97) Ks. Ehdotetun asetuksen 29 artiklan 4 kohta ja 37 artikla.

(98) Ks. ehdotetun asetuksen 37 artiklan 3 kohta.

(99) Ks. unionin tuomioistuimen (suuri jaosto) tuomio 22. tammikuuta 2014, Yhdistynyt kuningaskunta ja Irlanti vastaan Euroopan parlamentti ja neuvosto (asetus (EU) N:o 236/2012) — Asia C-270/12.