C_2021343LT.01000101.xml

EUROPOS CENTRINIO BANKO NUOMONĖ

2021 m. birželio 4 d.

dėl pasiūlymo dėl Europos Parlamento ir Tarybos reglamento dėl skaitmeninės veiklos atsparumo finansų sektoriuje

(CON/2021/20)

(2021/C 343/01)

Įžanga ir teisinis pagrindas

2020 m. gruodžio 22, 23 ir 29 d. Europos Centrinis Bankas (toliau – ECB) gavo prašymus atitinkamai iš Europos Sąjungos Tarybos ir Europos Parlamento pateikti nuomonę dėl pasiūlymo dėl Europos Parlamento ir Tarybos reglamento dėl skaitmeninės veiklos atsparumo finansų sektoriuje ir iš dalies keičiančio reglamentus (EB) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014 ir (ES) Nr. 909/2014 (1) (toliau – pasiūlytas reglamentas) ir pasiūlymo dėl direktyvos, iš dalies keičiančios direktyvas 2006/43/EB, 2009/65/EB, 2009/138/EB, 2011/61/ES, 2013/36/ES, 2014/65/ES, (ES) 2015/2366 ir (ES) 2016/2341 (2) (toliau – pasiūlyta iš dalies keičianti direktyva) (toliau tekste abu teisės aktų pasiūlymai vadinami pasiūlytais teisės aktais).

ECB kompetencija pateikti nuomonę grindžiama Sutarties dėl Europos Sąjungos veikimo 127 straipsnio 4 dalimi ir 282 straipsnio 5 dalimi, nes pasiūlytuose teisės aktuose yra nuostatų, priklausančių ECB kompetencijos sritims, visų pirma tai yra nuostatos, susijusios su pinigų politikos apibrėžimu ir įgyvendinimu, sklandaus mokėjimo sistemų veikimo skatinimu, indėliu į sklandų kompetentingų institucijų politikos, susijusios su finansų rinkos sistemos stabilumu, vykdymu ir ECB uždaviniais kredito įstaigų prudencinės priežiūros srityje pagal Sutarties 127 straipsnio 2 dalies pirmą ir ketvirtą įtraukas, 127 straipsnio 5 dalį ir 127 straipsnio 6 dalį. Vadovaudamasi Europos Centrinio Banko darbo reglamento 17 straipsnio 5 dalies pirmuoju sakiniu, Valdančioji taryba priėmė šią nuomonę.

1. Bendros pastabos

1.1

ECB teigiamai vertina pasiūlytą reglamentą, kuriuo siekiama didinti finansų sektoriaus kibernetinį saugumą ir veiklos atsparumą. Visų pirma ECB teigiamai vertina pasiūlyto reglamento tikslą pašalinti kliūtis finansinių paslaugų vidaus rinkos kūrimui ir funkcionavimui kartu sudarant geresnes sąlygas kurti vidaus rinką ir jai funkcionuoti, šiuo tikslu suderinant taisykles, taikomas informacinių ir ryšių technologijų (IRT) rizikos valdymo, pranešimų teikimo, testavimo ir IRT trečiųjų šalių rizikos srityse. Be to, ECB teigiamai vertina pasiūlyto reglamento tikslą supaprastinti ir suderinti bet kokius sutampančius reguliavimo reikalavimus ar priežiūros lūkesčius, kurie dabar pagal Sąjungos teisę taikomi finansų sektoriaus subjektams.

1.2

ECB supranta, kad pasiūlytas reglamentas, atsižvelgiant į finansų sektoriaus subjektus, kurie yra laikomi esminių paslaugų operatoriais (3), yra konkretaus sektoriaus teisės aktas (lex specialis), kaip nustatyta Europos Parlamento ir Tarybos direktyvos (ES) 2016/1148 (4) (toliau – TIS direktyva) 1 straipsnio 7 dalyje; tai reiškia, kad pasiūlytame reglamente nustatyti reikalavimai iš esmės būtų viršesni už TIS direktyvą. Praktiškai finansų sektoriaus subjektai, kurie yra laikomi esminių paslaugų operatoriais (5), inter alia, apie incidentus praneštų pagal pasiūlytą reglamentą, o ne pagal TIS direktyvą. Nors ECB teigiamai vertina tai, kad sumažintas finansų sektoriaus subjektams pranešimo apie incidentus srityje taikomų potencialiai sutampančių reikalavimų skaičius, reikėtų toliau nagrinėti pasiūlyto reglamento ir TIS direktyvos sąveiką. Pavyzdžiui, pagal pasiūlytą reglamentą IRT paslaugas teikiančiai trečiajai šaliai (6) galėtų būti taikomos atsakingosios priežiūros institucijos priimtos rekomendacijos (7). Be to, ta pati IRT paslaugas teikianti trečioji šalis gali būti klasifikuojama kaip esminių paslaugų operatorius pagal TIS direktyvą ir jai gali būti taikomi kompetentingos institucijos priimti privalomi nurodymai (8). Tokiu atveju IRT paslaugas teikiančiai trečiajai šaliai galėtų būti taikomos prieštaringos rekomendacijos, pateiktos pagal pasiūlytą reglamentą, ir privalomi nurodymai, pateikti pagal TIS direktyvą. ECB siūlo Sąjungos teisėkūros institucijoms toliau nagrinėti galimus pasiūlyto reglamento ir TIS direktyvos neatitikimus, kurie gali trukdyti suderinti ir sumažinti sutampančius ir prieštaringus finansų sektoriaus subjektams taikomus reikalavimus.

1.3

ECB taip pat supranta, kad pagal pasiūlymą dėl Europos Parlamento ir Tarybos direktyvos dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti, kuria panaikinama Direktyva (ES) 2016/1148 (9) (toliau – pasiūlyta TIS 2 direktyva), apie „vos neįvykusių incidentus“ (10) taip pat reikės pranešti (11). Pasiūlytos TIS 2 direktyvos 39 konstatuojamojoje dalyje pateikta nuoroda į sąvokos „vos neįvykęs incidentas“ reikšmė, tačiau neaišku, ar ketinama reikalauti, kad pasiūlyto reglamento 2 straipsnyje išvardyti finansų sektoriaus subjektai praneštų apie vos neįvykusius incidentus. Šiuo atveju, kartu atsižvelgiant į tai, kad vos neįvykę incidentai gali būti nustatyti tik po to, kai jie įvyko, ECB norėtų laiku gauti pranešimą apie reikšmingus vos neįvykusius incidentus, kaip šiuo metu tai daroma dėl kibernetinių incidentų. ECB siūlo užtikrinti geresnį pasiūlyto reglamento ir pasiūlytos TIS 2 direktyvos koordinavimą siekiant paaiškinti tikslią atskaitomybės, kuri gali būti taikoma bet kuriam konkrečiam finansų sektoriaus subjektui pagal šiuos du atskirus, tačiau susijusius Sąjungos teisės aktus, taikymo sritį. Kartu reikėtų apibrėžti sąvoką „vos neįvykę incidentai“ ir parengti nuostatas, paaiškinančias jų reikšmingumą.

1.4

ECB teigiamai vertina tai, kad finansų sektoriaus subjektai skatinami savanoriškai tarpusavyje dalytis kibernetinių grėsmių žvalgybos informacija, kad būtų pagerintos ir sustiprintos jų kibernetinio atsparumo sąlygos. ECB pats prisidėjo prie rinkos veikiamos Dalijimosi kibernetinių grėsmių žvalgybos informacija iniciatyvos (CIISI-EU) ir paskelbė planus, su kuriais gali susipažinti kiekvienas subjektas, siekiantis kurti ir skatinti tokią iniciatyvą (12).

1.5

ECB remia kompetentingų institucijų, Europos priežiūros institucijų (EPI) ir reagavimo į kompiuterinius saugumo incidentus tarnybų (CSIRTS) (13) bendradarbiavimą siekiant pasiūlyto reglamento tikslų. Siekiant užtikrinti Sąjungos veiklos atsparumą, labai svarbu keistis informacija, nes valdžios institucijų dalijimasis informacija ir bendradarbiavimas gali padėti užkirsti kelią kibernetiniams išpuoliams ir sumažinti IRT grėsmių plitimą. Reikėtų skatinti bendrą supratimą apie su IRT susijusią riziką ir visoje Sąjungoje turėtų būti užtikrintas nuoseklus tokios rizikos vertinimas. Svarbiausia, kad kompetentingos institucijos su bendruoju informacijos centru (14) ir nacionaline CSIRT tarnyba (15) informacija dalytųsi tik tais atvejais, kai yra aiškiai nustatyti klasifikavimo ir dalijimosi informacija mechanizmai, kurie taikomi kartu su tinkamomis apsaugos priemonėmis konfidencialumui užtikrinti.

1.6

Galiausiai ECB pritartų, jei pasiūlytame reglamente būtų nustatytos asmens duomenų ir duomenų saugojimo taisyklės. Nustatant duomenų saugojimo trukmę, reikėtų atsižvelgti į tyrimą, patikrinimą, prašymą pateikti informaciją, pranešimą, paskelbimą, vertinimą, tikrinimą, įvertinimą ir rengiamus priežiūros ar kontrolės planus, kuriuos kompetentingoms institucijoms gali tekti vykdyti atsižvelgiant į jų atitinkamas prievoles ir pareigas pagal pasiūlytą reglamentą. Šiuo atžvilgiu būtų tinkamas 15 metų duomenų saugojimo laikotarpis. Šis duomenų saugojimo laikotarpis galėtų būti sutrumpintas arba pratęstas, jei to prireiktų konkrečiais atvejais. Šiuo atžvilgiu ECB siūlo, kad Sąjungos teisėkūros institucijos, formuluodamos atitinkamą nuostatą dėl asmens duomenų ir duomenų saugojimo, taip pat atsižvelgtų į duomenų kiekio mažinimo principą ir į tolesnį duomenų tvarkymą archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais (16).

2. Konkrečios pastabos dėl priežiūros ir vertybinių popierių tarpuskaitos bei atsiskaitymo

2.1 ECBS ir Eurosistemos priežiūros kompetencija

2.1.1

Sutartyje ir Europos centrinių bankų sistemos bei Europos centrinio banko statute (toliau – ECBS statutas), kurie yra glaudžiai susiję su Eurosistemos pagrindiniais pinigų politikos uždaviniais, numatyta, kad Eurosistema atlieka tarpuskaitos ir mokėjimo sistemų priežiūrą. Pagal Sutarties 127 straipsnio 2 dalies ketvirtą įtrauką, kuri atkartota ECBS 3 straipsnio 1 dalyje, vienas pagrindinių uždavinių, kurie turi būti vykdomi per Europos centrinių bankų sistemą (ECBS), yra skatinti sklandų mokėjimo sistemų veikimą. Atlikdamas šią pagrindinę užduotį, ECB ir nacionaliniai centriniai bankai gali sudaryti sąlygas, o ECB gali priimti reglamentus, kad būtų užtikrintas tarpuskaitos ir mokėjimų sistemų veiksmingumas ir patikimumas Sąjungoje ir su kitomis šalimis (17). Vykdydamas priežiūros funkciją, ECB priėmė Europos Centrinio Banko reglamentą (ES) Nr. 795/2014 (ECB/2014/28) (toliau – SSMS reglamentas) (18). SSMS reglamentu privalomai įgyvendinami 2012 m. balandžio mėn. Mokėjimo ir atsiskaitymo sistemų komiteto ir Tarptautinės vertybinių popierių komisijų organizacijos paskelbti finansų rinkų infrastruktūrų principai (19), kurie yra teisiškai įpareigojantys ir apima tiek didelės vertės, tiek mažmeninės sisteminės svarbos mokėjimo sistemas, valdomas Eurosistemos centrinio banko arba privataus subjekto. Eurosistemos priežiūros politikos sistemoje (20) mokėjimo priemonės apibrėžiamos kaip „integruota mokėjimo sistemų dalis“, todėl patenka į jos priežiūros sritį. Šiuo metu atliekama mokėjimo priemonių priežiūros sistemos peržiūra (21). Pagal tą sistemą mokėjimo priemonė (pvz., kortelė, kredito pervedimas, tiesioginis debetas, elektroninių pinigų pervedimas ir skaitmeninis mokėjimo žetonas (22)) apibrėžiama kaip personalizuota priemonė (arba priemonių rinkinys) ir (arba) procedūrų rinkinys, dėl kurių susitarė mokėjimo paslaugų naudotojas ir mokėjimo paslaugų teikėjas, siekdami inicijuoti vertės pervedimą (23).

2.1.2

Atsižvelgdamas į tai, kas išdėstyta pirmiau, ECB teigiamai vertina tai, kad į pasiūlyto reglamento taikymo sritį neįtrauktas sistemos operatorius, kaip apibrėžta Europos Parlamento ir Tarybos direktyvos 98/26/EB (24) 2 straipsnio p punkte, mokėjimo sistemos (įskaitant tas, kurias valdo centriniai bankai), mokėjimo schemos ir mokėjimo tvarka, atsižvelgiant į pirmiau nurodytų priežiūros sistemų taikymą. Dėl šių priežasčių pasiūlyto reglamento konstatuojamosiose dalyse turėtų būti aiškiai nurodyta ECBS kompetencija pagal Sutartį ir Eurosistemos kompetencija pagal SSMS reglamentą.

2.1.3

Be to, ECB teigiamai vertina tai, kad pasiūlytame reglamente nustatyta priežiūros sistema netaikoma IRT paslaugas teikiančioms trečiosioms šalims, kurioms negalioja priežiūros sistemos, skirtos padėti vykdyti Sutarties 127 straipsnio 2 dalyje nurodytas užduotis (25). Šiuo atžvilgiu ECB norėtų pabrėžti, kad ECBS centriniams bankams, kurie veikia kaip pinigų institucijos (26), ir Eurosistemai, kai ji teikia paslaugas per TARGET2, TARGET2-Securites (T2S) (27) ir TARGET momentinių mokėjimų atsiskaitymus (TIPS) (28), pasiūlyto reglamento straipsnis dėl taikymo srities negalioja ir jie taip pat negali būti laikomi IRT paslaugas teikiančiomis trečiosiomis šalimis, taigi, gali būti klasifikuojami kaip ypatingos svarbos IRT paslaugas teikiančios trečiosios šalys pagal pasiūlytą reglamentą. Eurosistema prižiūri T2S vykdydama savo įgaliojimus užtikrinti veiksmingas ir patikimas tarpuskaitos ir mokėjimo sistemas. Be to, ESMA paaiškino, kad T2S nėra ypatingos svarbos paslaugų teikėja (29), kaip apibrėžta Europos Parlamento ir Tarybos reglamente (ES) Nr. 909/2014 (30) (toliau – CVPD reglamentas). Todėl T2S organizacinis ir veiklos saugumas, veiksmingumas ir atsparumas užtikrinamas taikant taikytiną teisinę, reguliavimo ir veiklos sistemą ir sutartą valdymo tvarką arba T2S, o ne pagal CVPD reglamentą.

2.1.4

Be to, Eurosistemos priežiūros politikos sistema (31) apima ypatingos svarbos paslaugų teikėjus, kaip antai Pasaulinę tarpbankinių finansinių telekomunikacijų draugiją (SWIFT). SWIFT yra Belgijoje įsteigta ribotos atsakomybės kooperatinė bendrovė, teikianti saugaus keitimosi pranešimais paslaugas tarptautiniu mastu. Nationale Bank van Belgiė/Banque Nationale de Belgique veikia kaip pagrindinis SWIFT prižiūrėtojas ir, remdamasis kooperatyvų priežiūros susitarimu, vykdo SWIFT priežiūrą bendradarbiaudamas su kitais G10 centriniais bankais, įskaitant ECB. G10 prižiūrėtojai pripažįsta, kad pagrindinis priežiūros objektas yra SWIFT veiklos rizika, nes tai laikoma pirmine rizikos kategorija, pagal kurią SWIFT galėtų kelti sisteminę riziką Sąjungos finansų sistemai. Šiuo atžvilgiu SWIFT kooperacinės priežiūros grupė parengė konkrečių SWIFT taikomų principų rinkinį ir aukšto lygio lūkesčius, pvz., rizikos identifikavimą ir valdymą, informacijos saugumą, patikimumą ir atsparumą, technologijų planavimą ir bendravimą su naudotojais. G10 prižiūrėtojai tikisi, kad SWIFT laikysis Mokėjimo ir rinkos infrastruktūrų komiteto (CPMI) ir Tarptautinės vertybinių popierių komisijų organizacijos (IOSCO) kibernetinio atsparumo gairių (32), taip pat kitų tarptautinių IRT saugumo standartų, kurie kartu viršija pasiūlytu reglamentu nustatytus reikalavimus.

2.1.5

Negalima tvirtai teigti, kad SWIFT ir galbūt kitiems paslaugų teikėjams, kuriems galioja Eurosistemos priežiūros politikos sistema, pasiūlytas reglamentas galėtų būti taikomas taip, kaip tai daroma IRT paslaugas teikiančių trečiųjų šalių atžvilgiu, jei jie teiktų paslaugas, kurioms netaikoma Sutarties 127 straipsnio 2 dalis. Todėl ECB ypač teigiamai vertina tai, kad paslaugų teikėjai, kuriems jau taikoma Eurosistemos priežiūros politikos sistema, įskaitant SWIFT, bet ja neapsiribojant, nepatenka į priežiūros sistemos, nustatytos pasiūlytame reglamente, taikymo sritį.

2.2 ECBS kompetencija vertybinių popierių atsiskaitymo srityje

2.2.1

Centriniai vertybinių popierių depozitoriumai (CVPD) yra finansų rinkos infrastruktūros (FRI), kurias griežtai reguliuoja ir prižiūri įvairios institucijos pagal CVPD reglamentą, kuriame nustatomi atsiskaitymo už finansines priemones reikalavimai ir CVPD organizavimo bei veiklos taisyklės. Be to, CVPD turėtų atsižvelgti į CPMI-IOSCO gaires dėl kibernetinio atsparumo, kurios įgyvendintos parengus Finansų rinkų infrastruktūrų kibernetinio atsparumo priežiūros lūkesčius (2018 m. gruodžio mėn.) (33). Be priežiūros kompetencijos, pavestos nacionalinėms kompetentingoms institucijoms (NKI) pagal CVPD reglamentą, ECBS nariai veikia kaip „atitinkamos institucijos“, vykdančios CVPD valdomų vertybinių popierių atsiskaitymo sistemų prižiūrėtojų, centrinių bankų, leidžiančių svarbiausias valiutas, kuriomis vykdomi atsiskaitymai, ir centrinių bankų, kurių apskaitos knygose atsiskaitoma piniginėmis lėšomis pagal sandorius, funkcijas (34). Šiuo atžvilgiu CVPD reglamento 8 konstatuojamojoje dalyje nustatyta, kad reglamentas turėtų būti taikomas nedarant poveikio ECB ir nacionalinių centrinių bankų pareigoms užtikrinti veiksmingas ir patikimas tarpuskaitos sistemas ir mokėjimo sistemas Sąjungoje ir kitose šalyse. 8 konstatuojamojoje dalyje taip pat nurodyta, kad CVPD reglamentas neturėtų trukdyti ECBS nariams gauti informaciją, susijusią su jų pareigų vykdymu (35), įskaitant CVPD ir kitų FRI priežiūrą (36).

2.2.2

Be to, ECBS nariai dažnai veikia kaip atsiskaitymo tarpininkai, vykdantys atsiskaitymą piniginėmis lėšomis pagal vertybinių popierių sandorius , o Eurosistema per T2S teikia atsiskaitymo paslaugas CVPD. Eurosistemos vykdoma T2S priežiūra yra susijusi su jos įgaliojimais užtikrinti veiksmingas ir patikimas tarpuskaitos ir mokėjimo sistemas, o CVPD kompetentingos ir atitinkamos institucijos siekia užtikrinti sklandų jų veikimą, atsiskaitymų saugą bei veiksmingumą ir tinkamą finansų rinkų veikimą savo atitinkamose jurisdikcijose.

2.2.3

Pagal pasiūlytą reglamentą (37) ECBS centriniai bankai nedalyvauja rengiant techninius standartus, susijusius su IRT rizikos nustatymu. Be to, pagal pasiūlytą reglamentą (38) atitinkamos institucijos nėra informuojamos apie jokius su IRT susijusius incidentus. ECBS centrinis bankas turėtų išlaikyti tokį pat dalyvavimo lygį, koks šiuo metu numatytas pagal CVPD reglamentą, o atitinkamoms institucijoms turėtų būti pranešama apie su IRT susijusius incidentus. Eurosistema yra svarbi institucija visiems euro zonos CVPD ir keliems kitiems ES CVPD. ECBS centriniai bankai turėtų būti informuojami apie incidentus, susijusius su IRT, kurie yra svarbūs jiems vykdant savo pareigas, įskaitant CVPD ir kitų FRI priežiūrą. CVPD kylanti rizika, įskaitant IRT riziką, gali kelti grėsmę patikimam CVPD veikimui. Todėl IRT rizika yra svarbi atitinkamoms institucijoms, kurioms turėtų būti pateikta visapusiška ir išsami šios rizikos apžvalga, kad būtų galima ją įvertinti ir daryti įtaką CVPD rizikos valdymo metodui. Pasiūlytame reglamente neturėtų būti numatyti mažiau ribojantys reikalavimai, susiję su IRT rizika, palyginti su reikalavimais, nustatytais CVPD reglamente ir dabartiniuose susijusiuose techniniuose reguliavimo standartuose.

2.2.4

Be to, Sąjungos teisėkūros institucijos turėtų patikslinti pasiūlyto reglamento (39) ir CVPD reglamentą papildančių techninių reguliavimo standartų sąveiką. Visų pirma neaišku, ar CVPD turi būti atleistas nuo pareigos turėti savo antrinę buveinę, kai jo IRT paslaugas teikianti trečioji šalis turi tokią buveinę (40). Jei CVPD būtų atleistas nuo šios pareigos turėti antrinę buveinę, neaišku, kokia būtų šio reikalavimo teisinė vertė. Be to, pasiūlytame reglamente (41) daroma nuoroda į kiekvienos funkcijos atkūrimo laiko tikslą ir atkūrimo taško tikslus (42), o atitinkamame techniniame reguliavimo standarte ypatingos svarbos funkcijos (43) atskiriamos nuo ypatingos svarbos operacijų (44), atsižvelgiant į CVPD ypatingos svarbos operacijoms nustatytą atkūrimo laiką. Sąjungos teisėkūros institucijos turėtų išsamiau paaiškinti ir apsvarstyti pasiūlyto reglamento ir CVPD reglamentą papildančių techninių reguliavimo standartų sąveiką, kad būtų išvengta prieštaringų reikalavimų rizikos. Galiausiai reikėtų paaiškinti, kad pagal pasiūlytą reglamentą tam tikrų viešųjų subjektų valdomiems CVPD taikomų išimčių pagal CVPD reglamentą (45) galiojimas pratęsiamas.

2.3 ECBS kompetencija vertybinių popierių tarpuskaitos srityje

2.3.1

ECBS centriniams bankams yra suteikti priežiūros įgaliojimai, susiję su pagrindinėmis sandorio šalimis (PSŠ). Šiuo atžvilgiu Eurosistemos nacionaliniai centriniai bankai dažnai bendradarbiauja su atitinkamomis nacionalinėmis kompetentingomis institucijomis vykdant PSŠ priežiūros funkcijas ir dalyvauja atitinkamoje PSŠ kolegijoje, įsteigtoje pagal Europos Parlamento ir Tarybos reglamentą (ES) Nr. 648/2012 (46) (toliau – ERIR). Atitinkami Eurosistemos nariai (47) dalyvauja ERIR kolegijose vykdydami priežiūros funkcijas ir atstovauja Eurosistemai kaip PSŠ emisijos centrinis bankas, kai euras yra viena iš svarbiausių valiutų finansinėms priemonėms, kurių tarpuskaita atliekama (ir užsienio PSŠ, atliekančioms didelės dalies finansinių priemonių tarpuskaitą eurais). Ne euro zonos PSŠ atžvilgiu ECB yra emisijos centrinis bankas.

2.3.2

Pagal pasiūlytą reglamentą (48) ECBS centriniai bankai nedalyvauja rengiant techninius standartus, susijusius su konkrečios IRT rizikos nustatymu. Be to, pasiūlytame reglamente (49) nėra jokios nuorodos į susigrąžinimo laiko tikslą ir susigrąžinimo taško objektyvius reikalavimus pagal ERIR (50). Pasiūlytoje reglamentavimo sąrangoje neturėtų būti numatyti mažiau ribojantys reikalavimai dėl IRT rizikos nei tie, kurie galioja dabar. Todėl labai svarbu nustatyti aiškius atkūrimo terminus ir atkūrimo taško tikslus, kad būtų sukurta patikima veiklos tęstinumo valdymo sistema. Konkrečių atkūrimo terminų ir atkūrimo taško tikslų išlaikymas taip pat yra CPMI ir IOSCO finansų rinkos infrastruktūrų principų dalis (51). Dabartinė ERIR nuostata turėtų būti išlaikyta, o pasiūlytas reglamentas turėtų būti atitinkamai pritaikytas. ECBS centriniai bankai turėtų dalyvauti rengiant bet kokius antrinės teisės aktus, taip pat Sąjungos teisėkūros institucijoms toliau aiškinant ir svarstant pasiūlyto reglamento ir papildomų techninių reguliavimo standartų sąveiką, kad būtų išvengta prieštaringų ar besidubliuojančių reikalavimų rizikos.

3. Konkrečios pastabos dėl prudencinės priežiūros aspektų

3.1

Tarybos reglamentu (ES) Nr. 1024/2013 (52) (toliau – BPM reglamentas) ECB pavedami specialūs uždaviniai, susiję su kredito įstaigų prudencine priežiūra euro zonoje, o ECB įpareigojamas užtikrinti veiksmingą ir nuoseklų Bendro priežiūros mechanizmo (BPM) veikimą, kuriame ECB ir dalyvaujančioms NKI paskirstomos konkrečios priežiūros pareigos. Visų pirma ECB pavesta užduotis suteikti leidimus visoms kredito įstaigoms ir juos panaikinti. ECB, be kita ko, pavesta užduotis užtikrinti, kad būtų laikomasi atitinkamų Sąjungos teisės aktų, kuriais kredito įstaigoms nustatomi prudenciniai reikalavimai, įskaitant reikalavimą turėti patikimas valdymo priemones, pvz., patikimo rizikos valdymo procesus ir vidaus kontrolės mechanizmus (53). Šiuo tikslu ECB suteikiami visi priežiūros įgaliojimai kištis į kredito įstaigų veiklą, kurie yra būtini jo funkcijoms vykdyti. Taigi ECB ir atitinkamos NKI yra kompetentingos institucijos, vykdančios konkrečius prudencinės priežiūros įgaliojimus pagal Europos Parlamento ir Tarybos reglamentą 2013/575/ES (54) (toliau – Kapitalo reikalavimų reglamentas) ir Europos Parlamento ir Tarybos direktyvą 2013/36/ES (55) (toliau – Kapitalo reikalavimų direktyva).

3.2

Pasiūlytame reglamente nurodyta, kad bendras taisyklių sąvadas ir priežiūros sistema turėtų būti tobulinami toliau, kad apimtų skaitmeninį operacijų atsparumą ir IRT saugumą, išplečiant finansų priežiūros institucijų, kurioms pavesta stebėti ir saugoti finansinį stabilumą ir rinkos vientisumą, įgaliojimus (56). Taip siekiama skatinti visapusišką IRT arba veiklos rizikos sistemą šiuo tikslu suderinant pagrindinius skaitmeninio veiklos atsparumo reikalavimus visiems finansų sektoriaus subjektams (57). Visų pirma pasiūlytu reglamentu siekiama konsoliduoti ir atnaujinti IRT rizikos reikalavimus, kurie iki šiol atskirai nagrinėjami įvairiuose teisės aktuose (58).

3.3

Su IRT rizika finansų sektoriuje susiję reikalavimai šiuo metu yra išdėstyti keliuose Sąjungos teisės aktuose, įskaitant Kapitalo reikalavimų direktyvą, ir privalomos teisinės galios neturinčiuose teisės aktuose (pvz., EBI gaires), be to, šie reikalavimai yra įvairūs ir kartais neišsamūs. Kai kuriais atvejais IRT rizika buvo šalinama tik netiesiogiai kaip veiklos rizikos dalis, o kitais atvejais ji apskritai nebuvo pašalinta. Ši padėtis turėtų būti ištaisyta suderinant pasiūlytą reglamentą su tais aktais. Tuo tikslu pasiūlytoje iš dalies keičiančioje direktyvoje pateikiami pakeitimai, kurie atrodo būtini siekiant teisinio aiškumo ir nuoseklumo įvairių skaitmeninio veikimo atsparumo reikalavimų taikymo srityje. Tačiau Kapitalo reikalavimų direktyvos pakeitimai, kurie šiuo metu pateikiami pasiūlytoje iš dalies keičiančioje direktyvoje (59), yra susiję tik su nuostatomis dėl nenumatytų atvejų ir veiklos tęstinumo planų (60), atsižvelgiant į tai, kad tariamai jais netiesiogiai remiamasi sprendžiant IRT rizikos valdymo klausimus.

3.4

Be to, pasiūlytame reglamente (61) nustatyta, kad finansų sektoriaus subjektai, įskaitant kredito įstaigas, turi turėti vidaus valdymo ir kontrolės sistemas, kurios padėtų užtikrinti veiksmingą ir apdairų visos IRT rizikos valdymą. Pasiūlytame reglamente (62) nustatyta, kad jame išdėstyti reikalavimai turi būti taikomi individualiu ir konsoliduotu lygmeniu, tačiau jie nėra pakankamai koordinuojami su nurodytais konkretiems sektoriams skirtais teisės aktais. Galiausiai pasiūlytame reglamente (63) numatyta, kad, nedarant poveikio pasiūlyto reglamento nuostatoms dėl ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių priežiūros sistemos (64), kredito įstaigoms pagal Kapitalo reikalavimų direktyvos 4 straipsnį paskirta kompetentinga institucija užtikrina, kad būtų laikomasi jame nustatytų įpareigojimų, nedarant poveikio BPM reglamentu ECB pavestoms konkrečioms užduotims.

3.5

Atsižvelgdamas į tai, kas išdėstyta pirmiau, ECB supranta, kad, kalbant apie kredito įstaigas, išskyrus pasiūlyto reglamento nuostatas, susijusias su ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių priežiūros sistema (65), pasiūlytu reglamentu siekiama nustatyti prudencinę vidaus valdymo sistemą, skirtą IRT rizikai valdyti, kuri bus integruota į bendrąją vidaus valdymo sistemą pagal Kapitalo reikalavimų direktyvą. Be to, atsižvelgiant į pasiūlytos sistemos prudencinį pobūdį, už pasiūlytoje sistemoje nustatytų įpareigojimų laikymosi priežiūrą atsakingos kompetentingos institucijos, įskaitant ECB, bus institucijos, atsakingos už bankų priežiūrą pagal BPM reglamentą.

3.6

Todėl Sąjungos teisėkūros institucijos gali pageidauti atsižvelgti į toliau pateiktus pasiūlymus, kaip padidinti pasiūlyto reglamento ir Kapitalo reikalavimų direktyvos aiškumą ir koordinavimą. Pirma, pasiūlyto reglamento reikalavimai gali būti aiškiai laikomi prudenciniais, kaip tai padaryta, inter alia, CVPD reglamente (66). Antra, pasiūlytos iš dalies keičiančios direktyvos (67) konstatuojamosiose dalyse galėtų būti praplėstos jų formuluotės, atsižvelgiant į tai, kad pasiūlyto reglamento reikalavimai apima daugiau nei vienintelį nenumatytų atvejų ir veiklos tęstinumo planų etapą. Apskritai IRT rizikos valdymo priemonės pagal Kapitalo reikalavimų direktyvos 74 straipsnį patenka į bendresnę griežtų valdymo priemonių taikymo sritį (68). Trečia, pasiūlytas reglamentas (69) turėtų būti iš dalies pakeistas siekiant konstatuojamosiose dalyse priminti ECB kompetenciją vykdyti kredito įstaigų prudencinę priežiūrą pagal Sutartį ir BPM reglamentą. Ketvirta, nuoroda į jame numatytų reikalavimų (70) taikymą individualiu ir konsoliduotu lygmeniu turėtų būti peržiūrėta, nes pasiūlytame reglamente neapibrėžti iš dalies konsoliduoti ir konsoliduoti lygiai, o tam tikrų rūšių tarpininkams (pvz., mokėjimo įstaigoms) netaikoma konsoliduota priežiūra pagal atitinkamus teisės aktus. Be to, pasiūlyto reglamento reikalavimų taikymo lygis turėtų priklausyti tik nuo teisės aktų, taikomų kiekvienos rūšies finansų sektoriaus subjektams. Kredito įstaigų atveju numatytas aiškus ryšys tarp Kapitalo reikalavimų direktyvos ir pasiūlyto reglamento, todėl pasiūlyto reglamento reikalavimai automatiškai būtų taikomi individualiu, iš dalies konsoliduotu arba konsoliduotu lygmeniu (71), priklausomai nuo konkretaus atvejo. Galiausiai Sąjungos teisėkūros institucijos galėtų apsvarstyti galimybę numatyti pereinamojo laikotarpio režimą, siekiant valdyti laikotarpį nuo pasiūlyto reglamento įsigaliojimo iki pasiūlytame reglamente numatytų techninių reguliavimo standartų įsigaliojimo, atsižvelgiant į tai, kad kai kuriems tarpininkams, įskaitant kredito įstaigas, jau taikomos konkrečiuose sektoriuose galiojančios taisyklės dėl IRT rizikos, kurios yra išsamesnės nei bendrosios pasiūlyto reglamento nuostatos.

3.7

Pagal BPM reglamentą ECB pavesta užduotis užtikrinti, kad kredito įstaigos laikytųsi Sąjungos teisės reikalavimų, pagal kuriuos reikalaujama, kad kredito įstaigos taikytų patikimus rizikos valdymo procesus ir vidaus kontrolės mechanizmus (72). Tai reiškia, kad ECB privalo užtikrinti, jog kredito įstaigos įgyvendintų politiką ir procesus, skirtus veiklos rizikai, įskaitant modelio riziką ir apsaugą nuo retai pasitaikančių didelio poveikio įvykių, vertinti ir valdyti. Reikalaujama, kad kredito įstaigos aiškiai nurodytų, kas pagal tą politiką ir procedūras yra veiklos rizika (73).

3.8

2017 m. liepos mėn. Europos Centrinio Banko (ECB) valdančioji taryba, remdamasi Priežiūros valdybos pasiūlymo projektu pagal BPM reglamento 26 straipsnio 8 dalį ir 6 straipsnio 2 dalį bei Europos Centrinio Banko reglamento (ES) Nr. 468/2014 (ECB/2014/17) (74) 21 straipsnio 1 dalį, patvirtino BPM pranešimų apie kibernetinius incidentus sistemą (toliau – Sistema). Sistemą sudaro privalomas prašymas (individualūs kredito įstaigoms skirti sprendimai) dėl informacijos ir (arba) pranešimų teikimo pagal BPM reglamento 10 straipsnį (75). Kai kurios šalys jau yra nustačiusios pranešimo apie incidentus procesą, pagal kurį reikalaujama, kad kredito įstaigos praneštų savo NKI apie visus svarbius kibernetinius incidentus. Tose šalyse svarbios kredito įstaigos vis tiek praneš apie incidentus NKI, kurios tuomet nepagrįstai nedelsdamos perduos pranešimus ECB prižiūrimų subjektų vardu. Todėl pirmiau nurodyti sprendimai taip pat adresuojami šioms nacionalinėms kompetentingoms institucijoms, kad jos tą informaciją perduotų ECB remdamosi Sistema. ECB remia Sąjungos teisėkūros institucijų pastangas skatinti derinti ir racionalizuoti, inter alia, kredito įstaigoms taikomas taisykles ir pareigas, susijusias su pranešimu apie incidentus. Atsižvelgdamas į tai, ECB yra pasirengęs prireikus iš dalies pakeisti (ir galbūt panaikinti) Sistemą, atsižvelgdamas į galimą pasiūlyto reglamento priėmimą.

4. Konkrečios pastabos dėl IRT rizikos valdymo, pranešimų apie incidentus teikimo, veiklos atsparumo testavimo ir IRT paslaugas teikiančių trečiųjų šalių

4.1 IRT rizikos valdymas

4.1.1

ECB teigiamai vertina tai, kad pasiūlytu reglamentu nustatoma patikima ir išsami IRT rizikos valdymo sistema, kuri apima CPMI ir IOSCO gaires dėl kibernetinio atsparumo ir yra glaudžiai suderinta su geriausia praktika, įskaitant FRI taikomas Eurosistemos kibernetinio atsparumo priežiūros prognozes.

4.1.2

ECB pritaria požiūriui, kad finansų sektoriaus subjektai turėtų atlikti rizikos vertinimus kiekvieno „esminio“ tinklo ir informacinės sistemos infrastruktūros pakeitimo atveju (76). Atsižvelgiant į tai, pažymėtina, kad pasiūlytame reglamente sąvoka „esminis pakeitimas“ neapibrėžta, todėl atsiranda nepageidautini ir skirtingi finansų sektoriaus subjektų aiškinimai, o tai galiausiai galėtų trukdyti siekti pasiūlyto reglamento suderinimo tikslų. Didesnio teisinio tikrumo dėlei Sąjungos teisėkūros institucijos gali pageidauti apsvarstyti galimybę į pasiūlytą reglamentą įtraukti sąvokos „esminis pakeitimas“ apibrėžtį.

4.1.3

ECB iš esmės pritaria minčiai, kad finansų sektoriaus subjektai, išskyrus labai mažas įmones, kompetentingoms institucijoms turi pranešti apie atitinkamas išlaidas ir nuostolius, patirtus dėl IRT sutrikdymo ir su IRT susijusių incidentų (77). Tačiau, siekiant užtikrinti bendrą sistemos veiksmingumą ir išvengti galimo pernelyg didelio kompetentingų institucijų ir finansų sektoriaus subjektų skaičiaus susidarymo, Sąjungos teisėkūros institucijos galėtų išnagrinėti naudingą galimybę nustatyti atitinkamas, galbūt kiekybinio pobūdžio, ribas.

4.1.4

ECB pripažįsta, kad finansų sektoriaus subjektai, gavę kompetentingų institucijų pritarimą, grupės viduje arba išorės įmonėms gali pavesti užduotis tikrinti, ar laikomasi IRT rizikos valdymo reikalavimų (78). Tuo pat metu svarbu, kad Sąjungos teisėkūros institucijos paaiškintų, kaip kompetentingų institucijų patvirtinimas būtų suteiktas tais atvejais, kai dėl finansų sektoriaus subjekto kompetenciją imtis veiksmų turėtų kelios kompetentingos institucijos. Taip gali atsitikti, kai finansų sektoriaus subjektas yra kredito įstaiga, kriptoturto paslaugų teikėjas ir (arba) mokėjimo paslaugų teikėjas. Galiausiai, kiek tai susiję su finansų sektoriaus subjektų nustatymu ir klasifikavimu pagal pasiūlytą reglamentą (79), ECB manytų, kad turto klasifikavimo tikslais pasiūlytame reglamente būtų protinga reikalauti, kad finansų sektoriaus subjektai atsižvelgtų į tokio turto svarbą (t. y. ar tokiu turtu remiamos ypatingos svarbos funkcijos).

4.2 Pranešimas apie incidentus

4.2.1

ECB teigiamai vertina pasiūlyme dėl reglamento išdėstytus veiksmus, kuriais siekiama suderinti pranešimų apie IRT incidentus teikimo sistemą Sąjungoje ir centralizuotai teikti pranešimus apie didelius su IRT susijusius incidentus (80). Įdiegus suderintą sistemą, skirtą pranešti atitinkamoms kompetentingoms institucijoms apie didelius su IRT susijusius incidentus (81), iš esmės būtų sumažinta ir suvienodinta finansų sektoriaus subjektų, įskaitant kredito įstaigas, pranešimų teikimo našta. Kompetentingoms institucijoms būtų naudinga platesnė incidentų aprėptis, apimanti daugiau nei su kibernetiniais nusikaltimais susijusius incidentus, kuriems dabar taikomos esamos sistemos (82). Ateityje priimant pasiūlytą reglamentą reikėtų peržiūrėti ir galbūt panaikinti esamas sistemas, įskaitant BPM pranešimų apie kibernetinius incidentus sistemą. Atsižvelgiant į tai ir siekiant tikro supaprastinimo ir visiško suderinimo visose sistemose, labai svarbu užtikrinti, kad pranešimo apie incidentus nuostatų pagal pasiūlytą reglamentą taikymo sritis, įskaitant visas susijusias apibrėžtis, ribines vertes ir pranešimo parametrus, būtų visiškai suderinta su atitinkamomis sistemomis. Visų pirma itin svarbu užtikrinti, viena vertus, pasiūlyto reglamento ir, antra vertus, Europos Parlamento ir Tarybos direktyvos (ES) 2015/2366 (83) (toliau – VPD 2) ir EBI gairių dėl pranešimo apie didelius incidentus (toliau – EBI gairės) suderinimą. Pasiūlytoje iš dalies keičiančioje direktyvoje (84) pateikti MPD 2 pakeitimai, susiję su pranešimų apie incidentus atskyrimu pagal pasiūlytą reglamentą ir MPD 2, kurie iš esmės darytų poveikį mokėjimo paslaugų teikėjams, kurie taip pat galėtų turėti leidimą veikti kaip kredito įstaigos, taip pat kompetentingoms institucijoms. Pranešimo apie incidentus procesas ne iki galo aiškus, be to, kai kurie incidentai, apie kuriuos reikia pranešti pagal pasiūlytą reglamentą ir EBI gaires, gali sutapti.

4.2.2

Pagal pranešimo apie didelius incidentus procesus pagal atitinkamai pasiūlytą reglamentą (85), MPD 2 ir atitinkamas EBI gaires mokėjimo paslaugų teikėjai, suklasifikavę incidentą, turėtų pateikti pranešimą apie incidentą savo atitinkamai kompetentingai institucijai. Iš tiesų pirminiuose pranešimuose nepateikiama informacija apie incidento esmę, priežastį ar funkcinę sritį, o mokėjimo paslaugų teikėjai tokią atskirą informaciją gali pateikti tik vėlesniame etape, kai tampa prieinama išsamesnė informacija apie incidentą. Todėl pirminiai pranešimai apie incidentus galėtų būti teikiamos tiek pagal pasiūlytą reglamentą, tiek pagal EBI gaires, arba mokėjimo paslaugų teikėjai gali priimti sprendimą dėl bendros pranešimų teikimo sistemos ir vėliau pataisyti savo pateiktus duomenis. Tas pats neužtikrintumas (pvz., dėl pagrindinės bet kurio incidento priežasties) taip pat gali atsispindėti tarpiniuose ir galutiniuose pranešimuose. Taip dar kartą padidėtų galimybė lygiagrečiai teikti pranešimus kompetentingoms institucijoms pagal pasiūlytą reglamentą ir MPD 2.

4.2.3

Kai kurie incidentai, kurie gali būti priskiriami su IRT susijusių incidentų kategorijai, taip pat gali turėti įtakos kitoms sritims, todėl apie juos reikėtų pranešti pagal EBI gaires. Taip gali būti tuo atveju, kai incidentas daro poveikį IRT požiūriu, tačiau kartu turėjo įtakos ir mokėjimo paslaugų teikimui tiesiogiai ir (arba) kitoms ne IRT funkcinėms sritims ar kanalams. Be to, gali pasitaikyti atvejų, kai neįmanoma daryti skirtumo tarp veiklos incidentų ir su IRT susijusių incidentų. Be to, tuo atveju, kai tas pats finansų sektoriaus subjektas yra svarbi kredito įstaiga ir mokėjimo paslaugų teikėjas, pagal pasiūlytą reglamentą tas pats subjektas turėtų du kartus pranešti apie su IRT susijusį incidentą, ir tai reikštų, kad jis turi prievolę dviem kompetentingoms institucijoms. Atsižvelgiant į tai, kas išdėstyta pirmiau, pasiūlytame reglamente turėtų būti išsamiau paaiškinta, kaip praktiškai turėtų sąveikauti MPD 2 ir EBI gairės. Dar svarbiau, siekiant suderinti ir supaprastinti pranešimų teikimo prievoles, būtų svarbu, kad Sąjungos teisėkūros institucijos apsvarstytų likusius dvigubo pranešimų teikimo klausimus ir paaiškintų, ar pasiūlytas reglamentas ir MPD 2 bei EBI gairės būtų taikomi kartu, ar turėtų būti nustatyti bendri pranešimo apie incidentus reikalavimai.

4.2.4.

Pasiūlytame reglamente nustatytas reikalavimas, kad kompetentingos institucijos (86), gavusios pranešimą, patvirtintų, kad gavo pranešimą, ir kuo greičiau finansų sektoriaus subjektui pateiktų visą būtiną grįžtamąją informaciją ar rekomendacijas, visų pirma siekiant apsvarstyti taisomąsias priemones subjekto lygmeniu arba būdus, kaip kuo labiau sumažinti neigiamą poveikį įvairiuose sektoriuose. Tai reikštų, kad kompetentingos institucijos turėtų aktyviai prisidėti prie incidentų valdymo ir ištaisymo, kartu įvertindamos prižiūrimo subjekto atsaką į kritinius incidentus. ECB pabrėžia, kad pareiga ir atsakomybė, susijusi su incidento ištaisymu ir pasekmėmis, turėtų aiškiai tekti tik atitinkamam finansų sektoriaus subjektui. Todėl ECB siūlytų, kad grįžtamoji informacija ir rekomendacijos apimtų tik aukšto lygio prudencinę grįžtamąją informaciją ir rekomendacijas. Jei grįžtamoji informacija būtų platesnio pobūdžio, reikėtų specialistų, turinčių labai daug techninių žinių, kurių paprastai negali gauti prudencinę priežiūrą vykdančiose institucijose dirbantys specialistai.

4.3 Skaitmeninio veiklos atsparumo testavimas

4.3.1

ECB teigiamai vertina pasiūlytame reglamente (87) dėl skaitmeninio veiklos atsparumo testavimo finansų įstaigose nustatytus reikalavimus ir tai, kad kiekviena įstaiga turi turėti savo testavimo programą. Pasiūlytame reglamente (88) įvairių rūšių testavimai apibūdinami kaip finansų sektoriaus subjektų indikaciniai rodikliai. Testavimo rūšys nėra labai aiškios, o kai kuriuos testus, pvz., suderinamumo testus, klausimynus arba scenarijumi grindžiamus testus, gali aiškinti EPI, kompetentingos institucijos arba finansų sektoriaus subjektai. Be to, taip pat nėra gairių, kaip dažnai reikėtų atlikti kiekvieną testą. Galima būtų laikytis požiūrio, kad pasiūlytame reglamente būtų nustatyti bendrieji testavimo reikalavimai, o tikslesnis testų rūšių aprašymas būtų išdėstytas techniniuose reguliavimo ir įgyvendinimo standartuose.

4.3.2

Grėsmėmis grindžiamo skverbimosi testavimas (angl. TLPT) yra veiksminga saugumo gynybos ir pasirengimo testavimo priemonė. Todėl ECB ragina finansų sektoriaus subjektus atlikti TLPT. Taikant šią priemonę testuojamos ne tik techninės priemonės, bet ir darbuotojai bei procesai. Šių testų rezultatai gali gerokai padidinti tikrinamų subjektų vyresniosios vadovybės informuotumą saugumo klausimais. Europos grėsmių žvalgyba grindžiamo etiško raudonojo vaizdo sistema (TIBER-EU) (89) ir kitos jau turimos TLPT priemonės už Sąjungos ribų yra pagrindinės priemonės, kurias naudodami subjektai gali patys įvertinti, testuoti, praktiškai išbandyti ir gerinti savo kibernetinio atsparumo būklę ir gynybą.

4.3.3

Daugumoje valstybių narių, kuriose įgyvendinta TIBER-EU, prižiūrėtojai ir priežiūros institucijos neatlieka aktyvaus vaidmens įgyvendinant lokalizuotą TIBER-XX programą, o TIBER kibernetinė grupė (TCT) beveik visais atvejais veikia nepriklausomai nuo šių funkcijų. Todėl pažangus testavimas pagal pasiūlytą reglamentą (90), pasitelkiant TLPT, turėtų būti įgyvendinamas kaip priemonė finansų ekosistemai stiprinti ir finansiniam stabilumui didinti, o ne vien tik kaip priežiūros priemonė. Be to, nereikia kurti naujos pažangios kibernetinio atsparumo testavimo sistemos, nes valstybės narės jau plačiai priėmė TIBER-EU, kuri šiuo metu yra vienintelė tokia sistema ES.

4.3.4

Testuotojams keliami reikalavimai neturėtų būti įtraukti į pagrindinį pasiūlyto reglamento tekstą, nes su TLPT susijęs sektorius dar vystosi, o nustačius konkrečius reikalavimus gali būti trukdoma diegti inovacijas. Atsižvelgdamas į tai, ECB laikosi nuomonės, kad, siekiant užtikrinti didelį nepriklausomumą atliekant testavimą, finansų sektoriaus subjektai neturėtų įdarbinti ar samdyti testuotojų, kuriuos savo grupėje įdarbino ar pasamdė finansų sektoriaus subjektai arba kurie yra kitaip priklausomi ir (arba) kontroliuojami finansų sektoriaus subjektų, kurie turi būti testuojami.

4.3.5

Siekiant sumažinti susiskaidymo riziką ir užtikrinti suderinimą, pasiūlytame reglamente turėtų būti nustatyta viena TLPT sistema, kuri būtų taikoma finansų sektoriui visoje Sąjungoje. Dėl susiskaidymo gali padidėti tiek kompetentingų institucijų, tiek finansų įstaigų išlaidos ir techniniai, veiklos bei finansinių išteklių poreikiai. Šios padidėjusios išlaidos ir reikalavimai galiausiai gali turėti neigiamą poveikį abipusiam testų pripažinimui. Šis suderinimo trūkumas ir dėl jo atsirandančios abipusio pripažinimo problemos yra ypač nenaudingos ypatingos svarbos finansų sektoriaus subjektams, kurie gali turėti kelias licencijas ir (arba) veikti keliose Sąjungos jurisdikcijose. Techniniai reguliavimo ir įgyvendinimo standartai, kurie pagal pasiūlytą reglamentą turi būti parengti TLPT, turėtų atitikti TIBER-EU nuostatas. Be to, ECB teigiamai vertina galimybę bendradarbiaujant su EPI dalyvauti rengiant šiuos techninius reguliavimo ir įgyvendinimo standartus.

4.3.6

Aktyvus kompetentingų institucijų dalyvavimas testavimo veikloje galėtų sukelti interesų konfliktą su kita jų atliekama funkcija, t. y. finansų sektoriaus subjekto testavimo sistemos vertinimu. Atsižvelgdamas į tai, ECB siūlo iš pasiūlyto reglamento išbraukti visas kompetentingų institucijų prievoles, susijusias su dokumentų patvirtinimu ir TLPT testavimo atestacijos išdavimu.

4.4 IRT paslaugas teikiančių trečiųjų šalių rizika

4.4.1

ECB teigiamai vertina tai, kad pradėtas taikyti išsamus pagrindinių principų rinkinys ir tvirta priežiūros sistema, skirta IRT rizikai, kylančiai iš trečiųjų šalių paslaugų teikėjų, nustatyti ir valdyti, neatsižvelgiant į tai, ar jie priklauso tai pačiai finansų sektoriaus subjektų grupei. Atsižvelgiant į tai ir siekiant veiksmingai nustatyti ir valdyti IRT riziką, svarbu teisingai nustatyti ir klasifikuoti, inter alia, ypatingos svarbos IRT paslaugas teikiančias trečiąsias šalis. Šiuo atžvilgiu teigiamai vertinamas deleguotųjų aktų (91), papildančių klasifikavimo tikslais (92) naudojamus kriterijus, priėmimas, tačiau prieš priimant tokius deleguotuosius aktus reikėtų konsultuotis su ECB.

4.4.2

Kalbant apie priežiūros sistemos struktūrą (93), reikia išsamiau paaiškinti vaidmenį, kurį turi atlikti Jungtinis komitetas. Be to, ECB teigiamai vertina tai, kad jis įtrauktas į Priežiūros forumą stebėtojo teisėmis, nes šis vaidmuo suteiks ECB tokią pat galimybę susipažinti su dokumentais ir informacija kaip ir balsavimo teisę turintiems nariams (94). ECB norėtų atkreipti Sąjungos teisėkūros institucijų dėmesį į tai, kad ECB, atlikdamas stebėtojo vaidmenį, prisidėtų prie priežiūros forumo darbo tiek kaip emisijos centrinis bankas, atsakingas už rinkos infrastruktūrų priežiūrą, tiek kaip kredito įstaigų prudencinės priežiūros institucija. Be to, ECB pažymi, kad jis, būdamas stebėtoju priežiūros forume, kaip kompetentinga institucija taip pat turėtų dalyvauti bendroje tyrimo grupėje. Šiuo atžvilgiu Sąjungos teisėkūros institucijos galėtų toliau svarstyti jungtinių tyrimo grupių sudėtį (95), kad būtų užtikrintas tinkamas atitinkamų kompetentingų institucijų dalyvavimas. ECB taip pat mano, kad, atsižvelgiant į IRT trečiųjų šalių teikiamų paslaugų svarbą, sudėtingumą ir apimtį, turėtų būti padidintas didžiausias jungtinių tyrimo grupių dalyvių skaičius.

4.4.3

ECB pažymi, kad pagal pasiūlytą reglamentą atsakingoji priežiūros institucija gali užkirsti kelią svarbioms IRT paslaugas teikiančioms trečiosioms šalims sudaryti papildomus subrangos susitarimus, kai i) numatomas subrangovas yra IRT paslaugas teikianti trečioji šalis arba IRT subrangovas, įsisteigęs trečiojoje šalyje, ir ii) subranga yra susijusi su ypatingos svarbos arba svarbia finansų sektoriaus subjekto funkcija. ECB nori pabrėžti, kad šiais įgaliojimais gali naudotis tik atsakingoji priežiūros institucija subrangos susitarimų atveju, kai ypatingos svarbos IRT paslaugas teikianti trečioji šalis ypatingos svarbos arba svarbią funkciją subrangovams paveda atskiram trečiojoje šalyje įsteigtam juridiniam asmeniui. ECB supranta, kad atsakingoji priežiūros institucija negalėtų naudotis panašiais įgaliojimais, kad užkirstų kelią ypatingos svarbos IRT paslaugas teikiančiai trečiajai šaliai perduoti esmines arba svarbias finansų sektoriaus subjekto funkcijas vykdyti naudojant trečiojoje šalyje esančią to paslaugų teikėjo infrastruktūrą. Pavyzdžiui, gali būti, kad veiklos požiūriu ypatingos svarbos duomenis ir (arba) informacija gali būti saugoma arba tvarkoma naudojant už Europos ekonominės erdvės (EEE) ribų esančią infrastruktūrą. Tokiu atveju atsakingosios priežiūros institucijos įgaliojimais kompetentingoms institucijoms gali būti nesuteikiami tinkami įgaliojimai susipažinti su visa informacija, patekti į patalpas, naudotis infrastruktūra ir personalu, kurie yra svarbūs visoms finansų sektoriaus subjekto esminėms ar svarbioms funkcijoms atlikti. Siekdamas užtikrinti, kad kompetentingos institucijos galėtų netrukdomai vykdyti savo užduotis, ECB siūlo, kad atsakingajai priežiūros institucijai būtų suteikti įgaliojimai taip pat apriboti ypatingos svarbos IRT trečiųjų šalių paslaugų teikėjų naudojimąsi infrastruktūra, esančia už EEE ribų. Šiais įgaliojimais galėtų būti naudojamasi tais konkrečiais atvejais, kai nėra administracinių susitarimų su atitinkamomis trečiųjų šalių institucijomis, kaip numatyta pasiūlytame reglamente (96), arba ypatingos svarbos IRT trečiųjų šalių paslaugų teikėjų atstovai nepateikia pakankamų garantijų pagal atitinkamos trečiosios šalies sistemą dėl prieigos prie informacijos, patalpų, infrastruktūros ir darbuotojų, reikalingų priežiūros ar priežiūros užduotims atlikti.

4.4.4

Galiausiai, reikalavimas, kad kompetentingos institucijos atsižvelgtų į atsakingosios priežiūros institucijos (97) rekomendacijas, gali pasirodyti neveiksmingas, nes kompetentingos institucijos gali nesilaikyti holistinio požiūrio į kiekvienos ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies keliamą riziką. Be to, gali būti reikalaujama, kad kompetentingos institucijos imtųsi veiksmų prieš jų prižiūrimus finansų sektoriaus subjektus, jei ypatingos svarbos paslaugas teikiančios trečiosios šalys nepaiso rekomendacijų. Pagal pasiūlytą reglamentą (98) kompetentingos institucijos gali reikalauti, kad jų prižiūrimi finansų sektoriaus subjektai laikinai sustabdytų ypatingos svarbos trečiųjų šalių teikiamas paslaugas arba nutrauktų galiojančias sutartis su ypatingos svarbos trečiųjų šalių paslaugų teikėjais. Numatytą tolesnių veiksmų procesą sunku paversti konkrečiais veiksmais. Konkrečiai tariant, neaišku, ar prižiūrimas finansų sektoriaus subjektas galės sustabdyti ar nutraukti sutartį su ypatingos svarbos paslaugas teikiančia trečiąja šalimi. Taip yra todėl, kad ypatingos svarbos IRT trečiosios šalies paslaugų teikėjas galėtų būti svarbus to finansų sektoriaus subjekto paslaugų teikėjas arba dėl sutartyje numatytų ar kitokių išlaidų ir nuostolių, kuriuos finansų sektoriaus subjektas gali patirti dėl tokio sustabdymo ar nutraukimo. Be to, laikantis šio požiūrio, nepalaikoma priežiūros konvergencija, nes kompetentingos institucijos tą pačią rekomendaciją gali aiškinti skirtingai. Tai galiausiai galėtų trukdyti numatytam derinimui ir nuosekliam požiūriui į ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių rizikos stebėseną Sąjungos lygmeniu. Atsižvelgiant į tai, kas išdėstyta pirmiau, Sąjungos teisėkūros institucijos gali pageidauti apsvarstyti galimybę teisės priežiūros institucijoms suteikti specialius vykdymo užtikrinimo įgaliojimus ypatingos svarbos IRT trečiųjų šalių paslaugų teikėjų atžvilgiu, atsižvelgiant į Meroni doktrinos nustatytas ribas, kurias Teisingumo Teismas iš dalies sušvelnino savo sprendime EVPRI byloje (99).

Kai ECB rekomenduoja iš dalies keisti pasiūlytą reglamentą, konkretūs redagavimo pasiūlymai kartu su aiškinamuoju tekstu pateikiami techniniame darbo dokumente. Techninis darbo dokumentas anglų kalba paskelbtas „EUR-Lex“ interneto svetainėje.

Priimta Frankfurte prie Maino 2021 m. birželio 4 d.

ECB Pirmininkė

Christine LAGARDE

(1) COM(2020) 595 final.

(2) COM (2020) 596 final.

(3) Žr. pasiūlyto reglamento 1 straipsnio 2 dalį.

(4) 2016 m. liepos 6 d. Europos Parlamento ir Tarybos direktyva (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti (OL L 194, 2016 7 19, p. 1).

(5) Žr. TIS direktyvos 5 straipsnį.

(6) Žr. pasiūlyto reglamento 3 straipsnio 15 dalį.

(7) Žr. pasiūlyto reglamento 31 straipsnio 1 dalies d punktą.

(8) Žr. TIS direktyvos 15 straipsnio 3 dalį.

(9) COM (2020) 823 final.

(10) Incidentai, kurie galėjo padaryti žalos, tačiau jiems buvo sėkmingai užkirstas kelias visiškai įvykti; žr. TIS 2 direktyvos 39 konstatuojamą dalį.

(11) Žr. TIS 2 direktyvos 11 straipsnį.

(12) Dalijimosi kibernetinių grėsmių žvalgybos informacija iniciatyva (CIISI-EU), paskelbta ECB interneto svetainėje www.ecb.europa.eu.

(13) Žr. pasiūlyto reglamento 42 straipsnį.

(14) Žr. TIS direktyvos 8 straipsnio 3 dalį.

(15) Taip pat žr. pasiūlytos direktyvos 11, 26 ir 27 straipsnius.

(16) Žr. 2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB, 4 straipsnio b punktą ir 13 straipsnį (OL L 295, 2018 11 21, p. 39).

(17) Žr. ECBS 22 straipsnį.

(18) 2014 m. liepos 3 d. Europos Centrinio Banko reglamentas (ES) Nr. 795/2014 dėl priežiūros reikalavimų sistemiškai svarbioms mokėjimo sistemoms (ECB/2014/28) (OL L 217, 2014 7 23, p. 16).

(19) Paskelbta Tarptautinių atsiskaitymų banko interneto svetainėje www.bis.org.

(20) Eurosistemos priežiūros politikos sistema, peržiūrėta redakcija (2016 m. liepos mėn.), paskelbta ECB interneto svetainėje www.ecb.europa.eu.

(21) Žr. 2020 m. spalio mėn. peržiūrėtą ir konsoliduotą Eurosistemos elektroninių mokėjimo priemonių, schemų ir priemonių priežiūros sistemą (PISA sistema), kurią galima rasti ECB interneto svetainėje www.ecb.europa.eu.

(22) Skaitmeninis mokėjimo žetonas – tai skaitmeninis vertės, užtikrintos kitur užregistruotais reikalavimais arba turtu, pateikimas, sudarantis sąlygas galutiniams vartotojams tarpusavyje pervesti vertę. Priklausomai nuo pagrindinio modelio, naudojant skaitmeninius mokėjimo žetonus gali būti numatoma pervesti vertę nebūtinai dalyvaujant centrinei trečiajai šaliai ir (arba) naudojant mokėjimo sąskaitas.

(23) „Vertės pervedimas – mokėtojo arba mokėtojo vardu arba gavėjo inicijuotas veiksmas pervedant lėšas arba skaitmeninius mokėjimo žetonus arba pateikiant ar išimant grynuosius pinigus naudotojo sąskaitoje, neatsižvelgiant į mokėtojo ir gavėjo įsipareigojimus, kuriais grindžiama operacija. Pervedime gali dalyvauti vienas ar keli mokėjimo paslaugų teikėjai.“ Šia „vertės pervedimo“ apibrėžtimi pagal PISA sistemą nukrypstama nuo „lėšų“ pervedimo apibrėžties, pateiktos 2015 m. lapkričio 25 d. Europos Parlamento ir Tarybos direktyvoje (ES) 2015/2366 dėl mokėjimo paslaugų vidaus rinkoje, kuria iš dalies keičiamos direktyvos 2002/65/EB, 2009/110/EB ir 2013/36/ES bei Reglamentas (ES) Nr. 1093/2010 ir panaikinama Direktyva 2007/64/EB (OL L 337, 2015 12 23, p. 35). „Vertės perleidimas“ naudojant „mokėjimo priemonę“, kaip apibrėžta toje direktyvoje, gali reikšti tik „lėšų“ pervedimą. Pagal tą direktyvą „lėšos“ neapima skaitmeninių mokėjimo žetonų, išskyrus atvejus, kai žetonus galima laikyti elektroniniais pinigais (arba hipotetiškai – pinigų pakaitalais).

(24) 1998 m. gegužės 19 d. Europos Parlamento ir Tarybos direktyva 98/26/EB dėl atsiskaitymų baigtinumo mokėjimų ir vertybinių popierių atsiskaitymų sistemose (OL L 166, 1998 6 11, p. 45).

(25) Žr. pasiūlyto reglamento 28 straipsnio 5 dalį.

(26) Žr. 2021 m. vasario 19 d. Europos Centrinio Banko nuomonės dėl pasiūlymo dėl reglamento dėl kriptoturto rinkų, kuriuo iš dalies keičiama Direktyva (ES) 2019/1937 (CON/2021/4), 1.3 punktą. Visos ECB nuomonės skelbiamos „EUR-Lex“.

(27) Žr. 2012 m. gruodžio 5 d. Europos Centrinio Banko gairių ECB/2012/27 dėl Transeuropinės automatizuotos realaus laiko atskirųjų atsiskaitymų skubių pervedimų sistemos (TARGET2) (OL L 30, 2013 1 30, p. 1) IIa priedą. 2012 m. liepos 18 d. Europos Centrinio Banko gairės ECB/2012/13 dėl TARGET2-Securities (OL L 215, 2012 8 11, p. 19); 2011 m. lapkričio 16 d. Europos Centrinio Banko sprendimas ECB/2011/20, kuriuo nustatomos centrinių vertybinių popierių depozitoriumų tinkamumo gauti prieigą prie TARGET2-Securities paslaugų kriterijų įgyvendinimo išsamios taisyklės ir tvarka (OL L 319, 2011 12 2, p. 117). Taip pat žr. T2S bendrąjį susitarimą ir kolektyvinę sutartį.

(28) Žr. Gairių ECB/2012/27 IIb priedą.

(29) Žr. 2014 m. liepos 23 d. Europos Parlamento ir Tarybos reglamento (ES) Nr. 909/2014 dėl atsiskaitymo už vertybinius popierius gerinimo Europos Sąjungoje ir centrinių vertybinių popierių depozitoriumų, kuriuo iš dalies keičiamos direktyvos 98/26/EB ir 2014/65/ES bei Reglamentas (ES) Nr. 236/2012, 30 straipsnio 5 dalį (OL L 257, 2014 8 28, p. 1) ir 2016 m. lapkričio 11 d. Komisijos deleguotojo reglamento (ES) 2017/392, kuriuo Europos Parlamento ir Tarybos reglamentas (ES) Nr. 909/2014 papildomas centrinių vertybinių popierių depozitoriumų veiklos leidimų išdavimo, priežiūros ir veiklos reikalavimų techniniais reguliavimo standartais, 68 straipsnį (OL L 65, 2017 3 10, p. 48).

(30) 2014 m. liepos 23 d. Europos Parlamento ir Tarybos reglamentas (ES) Nr. 909/2014 dėl atsiskaitymo už vertybinius popierius gerinimo Europos Sąjungoje ir centrinių vertybinių popierių depozitoriumų, kuriuo iš dalies keičiamos direktyvos 98/26/EB ir 2014/65/ES bei Reglamentas (ES) Nr. 236/2012 (OL L 257, 2014 8 28, p. 1).

(31) Eurosistemos priežiūros politikos sistema, peržiūrėta redakcija (2016 m. liepos mėn.), paskelbta ECB interneto svetainėje www.ecb.europa.eu.

(32) Paskelbta Tarptautinių atsiskaitymų banko interneto svetainėje www.bis.org.

(33) Paskelbta ECB interneto svetainėje www.ecb.europa.eu.

(34) Žr. Reglamento (ES) Nr. 909/2014 12 straipsnį.

(35) Taip pat žr. Reglamento (ES) Nr. 909/2014 13 straipsnį ir 17 straipsnio 4 dalį ir 22 straipsnio 6 dalį.

(36) Žr. 2017 m. balandžio 6 d. Europos Centrinio Banko nuomonės dėl ypatingos svarbos infrastruktūros objektų nustatymo informacinių technologijų saugumo tikslais (CON/2017/10) 7.3 dalį; 2018 m. lapkričio 8 d. Europos Centrinio Banko nuomonės dėl esminių paslaugų ir esminių paslaugų operatorių paskyrimo tinklo ir informacinių sistemų saugumo tikslais (CON/2018/47) 7.2 dalį; 2019 m. gegužės 2 d. Europos Centrinio Banko nuomonės dėl tinklo ir informacinių sistemų saugumo (CON/2019/17) 3.5.2 dalį ir 2019 m. lapkričio 11 d. Europos Centrinio Banko nuomonės dėl tinklo ir informacinių sistemų saugumo (CON/2019/38) 3.5.2 dalį.

(37) Žr. pasiūlyto reglamento 54 straipsnio 5 dalį ir Reglamento (ES) Nr. 909/2014 45 straipsnio 7 dalį.

(38) Žr. pasiūlyto reglamento 54 straipsnio 4 dalį ir Reglamento (ES) Nr. 909/2014 45 straipsnio 6 dalį.

(39) Žr. pasiūlyto reglamento 11 straipsnio 5 dalį.

(40) Žr. 2016 m. lapkričio 11 d. Komisijos deleguotojo reglamento (ES) 2017/392, kuriuo Europos Parlamento ir Tarybos reglamentas (ES) Nr. 909/2014 papildomas centrinių vertybinių popierių depozitoriumų veiklos leidimų išdavimo, priežiūros ir veiklos reikalavimų techniniais reguliavimo standartais, 78 straipsnio 3 dalį (OL L 65, 2017 3 10, p. 48).

(41) Žr. pasiūlyto reglamento 11 straipsnio 6 dalį.

(42) Žr. pasiūlyto reglamento 3 straipsnio 17 dalį.

(43) Žr. Komisijos deleguotojo reglamento (ES) 2017/392 76 straipsnio 2 dalies d ir e punktus.

(44) Žr. Komisijos deleguotojo reglamento (ES) 2017/392 78 straipsnio 2 ir 3 dalis.

(45) Žr. Reglamento (ES) Nr. 909/2014 1 straipsnio 4 dalį.

(46) 2012 m. liepos 4 d. Europos Parlamento ir Tarybos reglamentas (ES) Nr. 648/2012 dėl ne biržos išvestinių finansinių priemonių, pagrindinių sandorio šalių ir sandorių duomenų saugyklų (OL L 201, 2012 7 27, p. 1).

(47) Žr. ERIR 18 straipsnio 2 dalies g ir h punktus.

(48) Žr. pasiūlyto reglamento 53 straipsnio 2 dalie b punktą ir 3 dalį ir ERIR 34 straipsnio 3 dalį.

(49) Žr. pasiūlyto reglamento 53 straipsnio 2 dalies a punktą.

(50) Žr. ERIR 34 straipsnį.

(51) Žr. CPMI ir IOSCO finansų rinkos infrastruktūrų principus, paskelbta Tarptautinių atsiskaitymų banko interneto svetainėje www.bis.org.

(52) 2013 m. spalio 15 d. Tarybos reglamentas (ES) Nr. 1024/2013, kuriuo Europos Centriniam Bankui pavedami specialūs uždaviniai, susiję su rizikos ribojimu pagrįstos kredito įstaigų priežiūros politika (OL L 287, 2013 10 29, p. 63).

(53) Žr. Reglamento (ES) Nr. 1024/2013 4 straipsnio 1 dalies e punktą ir 6 straipsnio 4 dalį.

(54) 2013 m. birželio 26 d. Europos Parlamento ir Tarybos reglamentas (ES) Nr. 575/2013 dėl prudencinių reikalavimų kredito įstaigoms ir investicinėms įmonėms ir kuriuo iš dalies keičiamas Reglamentas (ES) Nr. 648/2012 (OL L 176, 2013 6 27, p. 1).

(55) 2013 m. birželio 26 d. Europos Parlamento ir Tarybos direktyva 2013/36/ES dėl galimybės verstis kredito įstaigų veikla ir dėl riziką ribojančios kredito įstaigų ir investicinių įmonių priežiūros, kuria iš dalies keičiama Direktyva 2002/87/EB ir panaikinamos direktyvos 2006/48/EB bei 2006/49/EB (OL L 176, 2013 6 27, p. 338).

(56) Žr. pasiūlyto reglamento 8 konstatuojamąją dalį.

(57) Žr. pasiūlyto reglamento 11 konstatuojamąją dalį.

(58) Žr. pasiūlyto reglamento 12 konstatuojamąją dalį.

(59) Žr. pasiūlytos iš dalies keičiančios direktyvos 4 ir 5 konstatuojamąsias dalis.

(60) Žr. Kapitalo reikalavimų direktyvos 85 straipsnį.

(61) Žr. pasiūlyto reglamento 4 straipsnio 1 dalį.

(62) Žr. pasiūlyto reglamento 25 straipsnio 3 ir 4 dalis.

(63) Žr. pasiūlyto reglamento 41 straipsnį.

(64) Žr. pasiūlyto reglamento V skyriaus II skirsnį.

(65) Žr. pasiūlyto reglamento V skyriaus II skirsnį.

(66) Žr. CVPD reglamento II skyriaus 4 skirsnio „Rizikos ribojimo reikalavimai“ antraštę.

(67) Žr. iš dalies keičiančios direktyvos 4 konstatuojamąją dalį.

(68) Direktyvos 2013/36/ES 85 straipsnis yra paprasčiausias patikslinimas. Šiuo klausimu taip pat žr. 2019 m. lapkričio 29 d. Europos bankininkystės institucijos gairių dėl IRT ir saugumo rizikos valdymo (toliau – EBI gairės) 4, 11 ir 37 puslapius, kuriuose bendrasis teisinis pagrindas aiškiai nustatytas Direktyvos 2013/36/ES 74 straipsnyje.

(69) Žr. pasiūlyto reglamento 41 straipsnio 1 dalį.

(70) Žr. pasiūlyto reglamento 25 straipsnio 3 ir 4 dalis.

(71) Taip pat žr. Kapitalo reikalavimų direktyvos 109 straipsnį.

(72) Žr. BPM reglamento 4 straipsnio 1 dalies e punktą.

(73) Žr. Kapitalo reikalavimų direktyvos 85 straipsnį.

(74) 2014 m. balandžio 16 d. Europos Centrinio Banko reglamentas (ES) Nr. 468/2014, kuriuo sukuriama Europos Centrinio Banko, nacionalinių kompetentingų institucijų ir nacionalinių paskirtųjų institucijų bendradarbiavimo Bendrame priežiūros mechanizme struktūra (BPM pagrindų reglamentas) (ECB/2014/17) (OL L 141, 2014 5 14, p. 1).

(75) Konkrečiai, apie kibernetinį incidentą (nustatytą galimą informacijos saugumo pažeidimą – tyčinį ar atsitiktinį) turi būti pranešta ECB, jeigu įvykdoma bent viena iš šių sąlygų: 1) galimas finansinis poveikis – 5 mln. EUR arba 0,1 % bendro 1 lygio nuosavo kapitalo; 2) apie incidentą pranešama viešai arba jis daro žalą reputacijai; 3) incidentas buvo perduotas vyriausiajam už informaciją atsakingam pareigūnui ne reguliariai teikiant pranešimus; 4) bankas apie incidentą pranešė CERT/CSIRT, saugumo agentūrai arba policijai; 5) buvo pradėtos veiklos atkūrimo arba veiklos tęstinumo procedūros arba pateiktas prašymas dėl kibernetinio draudimo; 6) buvo pažeisti teisiniai ar norminiai reikalavimai, arba 7) bankas naudoja vidaus kriterijus ir ekspertų nuomonę (įskaitant galimą sisteminį poveikį) ir nusprendžia informuoti ECB.

(76) Žr. pasiūlyto reglamento 7 straipsnio 3 dalį.

(77) Žr. pasiūlyto reglamento 10 straipsnio 9 dalį.

(78) Žr. pasiūlyto reglamento 5 straipsnio 10 dalį.

(79) Žr. pasiūlyto reglamento 7 straipsnį.

(80) Žr. pasiūlyto reglamento 19 straipsnį.

(81) Žr. pasiūlyto reglamento 3 straipsnio 7 dalį, 17 ir 18 straipsnius.

(82) Žr., pvz., Sistemą.

(83) 2015 m. lapkričio 25 d. Europos Parlamento ir Tarybos direktyva (ES) 2015/2366 dėl mokėjimo paslaugų vidaus rinkoje, kuria iš dalies keičiamos direktyvos 2002/65/EB, 2009/110/EB ir 2013/36/ES bei Reglamentas (ES) Nr. 1093/2010 ir panaikinama Direktyva 2007/64/EB (OL L 337, 2015 12 23, p. 35).

(84) Žr. pasiūlytos iš dalies keičiančios direktyvos 7 straipsnio 9 dalį.

(85) Žr. pasiūlyto reglamento 17 straipsnio 3 dalį.

(86) Žr. pasiūlyto reglamento 20 straipsnį.

(87) Žr. pasiūlyto reglamento 21 ir 22 straipsnius.

(88) Žr. pasiūlyto reglamento 22 straipsnio 1 dalį.

(89) Paskelbta ECB svetainėje www.ecb.europa.eu.

(90) Pasiūlyto reglamento 23 ir 24 straipsniai.

(91) Žr. pasiūlyto reglamento 28 straipsnio 3 dalį.

(92) Žr. pasiūlyto reglamento 28 straipsnio 2 dalį.

(93) Žr. pasiūlyto reglamento 29 straipsnį.

(94) Žr. pasiūlyto reglamento 29 straipsnio 3 dalį.

(95) Žr. pasiūlyto reglamento 35 straipsnį.

(96) Žr. pasiūlyto reglamento 39 straipsnio 1 dalį.

(97) Žr. pasiūlyto reglamento 29 straipsnio 4 dalį ir 37 straipsnį.

(98) Žr. pasiūlyto reglamento 37 straipsnio 3 dalį.

(99) Žr. 2014 m. sausio 22 d. Teismo (Didžioji kolegija) sprendimą Jungtinės Didžiosios Britanijos ir Šiaurės Airijos Karalystė prieš Europos Parlamentą ir Europos Sąjungos Tarybą Reglamentas (ES) Nr. 236/2012, C-270/12.