Digital operationel modstandsdygtighed i den finansielle sektor

(Europa-Parlamentets og Rådets direktiv (EU) 2022/2556 om ændring af en række direktiver for så vidt angår digital operationel modstandsdygtighed i den finansielle sektor)

2) Artikel 50, stk. 1, litra a) og b), affattes således:

»a) elementerne i de systemer, der er omhandlet i artikel 41, artikel 44, navnlig de områder, der er omhandlet i artikel 44, stk. 2, og artikel 46 og 47, bortset fra de elementer, der vedrører risikostyring i forbindelse med informations- og kommunikationsteknologi

b) de funktioner, der er omhandlet i artikel 44, 46, 47 og 48, bortset fra de funktioner, der vedrører risikostyring i forbindelse med informations- og kommunikationsteknologi.«

»Institutter skal have robuste ledelsesordninger, hvilket omfatter en klar organisatorisk struktur med en veldefineret, gennemsigtig og konsekvent ansvarsfordeling og effektive procedurer til at identificere, styre, overvåge og indberette de risici, som institutterne er eller kan blive eksponeret for, fyldestgørende interne kontrolmekanismer, herunder en sund administrativ og regnskabsmæssig praksis samt net- og informationssystemer, der etableres og styres i overensstemmelse med forordning (EU) 2022/2554, og en aflønningspolitik og -praksis, som er i overensstemmelse med og fremmer en forsvarlig og effektiv risikostyring.«

3) Artikel 85, stk. 2, affattes således:

»2. De kompetente myndigheder sikrer, at institutterne råder over fyldestgørende beredskabs- og kontinuitetspolitikker og planer, herunder politikker og planer for IKT-driftsstabilitet og planer for IKT-indsats- og genopretning i forbindelse med den teknologi, som de anvender til formidling af oplysninger, og at disse planer udarbejdes, forvaltes og testes i overensstemmelse med , med henblik på at gøre det muligt for institutterne at videreføre driften i tilfælde af alvorlige driftsforstyrrelser og begrænse tab som følge af sådanne forstyrrelser.«

4) I artikel 97, stk. 1, tilføjes følgende litra:

»d) de risici, som afsløres ved test af digital operationel modstandsdygtighed i overensstemmelse med kapitel IV i forordning (EU) 2022/2554.«

c) I stk. 9 tilføjes følgende afsnit:

»EBA gennemgår og ajourfører om nødvendigt de reguleringsmæssige tekniske standarder i overensstemmelse med for bl.a. at tage højde for bestemmelserne i kapitel II i forordning (EU) 2022/2554.«

2) I bilaget foretages følgende ændringer:

a) Afsnit A, punkt 16), affattes således:

»16) ordninger og foranstaltninger, som er nødvendige for at bevare den fortsatte drift af instituttets operationelle procedurer, herunder net- og informationssystemer, som oprettes og styres i overensstemmelse med forordning (EU) 2022/2554«.

b) I afsnit B foretages følgende ændringer:

i) Punkt 14) affattes således:

»14) identifikation af ejerne af de i punkt 13) anførte systemer, tilknyttede serviceleveranceaftaler og software og systemer eller licenser, herunder en oversigt pr. deres juridiske enheder, kritiske funktioner og centrale forretningsområder samt identifikation af kritiske tredjepartsudbydere af IKT-tjenester som defineret i , «.

ii) Følgende punkt indsættes:

»14a) resultaterne af institutternes test af digital operationel modstandsdygtighed i henhold til forordning (EU) 2022/2554«.

c) I afsnit C foretages følgende ændringer:

i) Punkt 4) affattes således:

»4) hvorvidt de serviceaftaler, som instituttet har indgået, herunder kontraktlige ordninger for brugen af IKT-tjenester, er robuste og kan håndhæves fuldt ud i tilfælde af afvikling af instituttet«.

ii) Følgende punkt indsættes:

»4a) den digitale operationelle modstandsdygtighed for de net- og informationssystemer, der understøtter instituttets kritiske funktioner og centrale forretningsområder, under hensyntagen til indberetninger om større IKT-relaterede hændelser og resultaterne af test af digital operationel modstandsdygtighed i henhold til forordning (EU) 2022/2554«.

b) Stk. 5, andet og tredje afsnit, affattes således:

»Et investeringsselskab skal have en sund administrativ og regnskabsmæssig praksis, interne kontrolmekanismer og effektive procedurer til risikovurdering.

Uden at det berører kompetente myndigheders mulighed for at kræve adgang til kommunikation i overensstemmelse med dette direktiv og forordning (EU) nr. 600/2014 skal et investeringsselskab have etableret forsvarlige sikkerhedsmekanismer med henblik på i overensstemmelse med kravene i forordning (EU) 2022/2554 at garantere sikring og autentificering af midlerne til overførsel af information, at minimere risikoen for dataforvanskning og uautoriseret adgang og forhindre lækage af oplysninger, således at datasikkerheden garanteres til enhver tid.«

2) I artikel 17 foretages følgende ændringer:

a) Stk. 1 affattes således:

»1. Et investeringsselskab, der benytter sig af algoritmisk handel, skal have effektive systemer og risikokontrolforanstaltninger, som svarer til den virksomhed, som selskabet driver, med henblik på at sikre, at dets handelssystemer er modstandsdygtige og har tilstrækkelig kapacitet i overensstemmelse med kravene i kapitel II i forordning (EU) 2022/2554, er underlagt passende handelstærskler og -begrænsninger og forhindrer, at der afgives fejlagtige ordrer, eller at systemerne på anden måde fungerer dårligt, så det skaber eller bidrager til forstyrrelser på markedet.

Et sådant selskab skal også have effektive systemer og risikokontrolforanstaltninger med henblik på at sikre, at handelssystemerne ikke kan anvendes til formål, som strider mod forordning (EU) nr. 596/2014 eller mod de regler, der gælder for en markedsplads, som det er knyttet til.

Investeringsselskabet skal have effektive ordninger for forretningskontinuitet med henblik på at kunne håndtere en brist i dets handelssystemer, herunder politikker og planer for IKT-driftsstabilitet og planer for IKT-indsats- og genopretning, som er udarbejdet i overensstemmelse med , og skal desuden sørge for, at dets systemer er grundigt afprøvet og underlagt behørig overvågning med henblik på at sikre, at de opfylder kravene fastsat i dette stykke og eventuelle specifikke krav fastsat i kapitel II og IV i forordning (EU) 2022/2554.«

b) Stk. 7, litra a), affattes således:

»a) enkelthederne i de i stk. 1-6 fastsatte organisatoriske krav, bortset fra de organisatorisk krav, der vedrører IKT-risikostyring, som skal opfyldes af investeringsselskaber, som udfører forskellige former for investeringsservice, investeringsaktiviteter, accessoriske tjenesteydelser eller kombinationer heraf, hvorved præciseringerne vedrørende de organisatoriske krav i stk. 5 skal fastlægge de specifikke krav for direkte markedsadgang og sponsoreret adgang, således at det sikres, at kontrolforanstaltningerne i forbindelse med sponsoreret adgang mindst svarer til dem, der anvendes i forbindelse med direkte markedsadgang«.

3) I artikel 47, stk. 1, foretages følgende ændringer:

a) Litra b) affattes således:

»b) er tilstrækkelig rustet til at styre de risici, markedet udsættes for, herunder til at styre IKT-risiko i overensstemmelse med kapitel II i forordning (EU) 2022/2554, anvender fyldestgørende ordninger og systemer med henblik på at påvise væsentlige risici for markedets drift og har indført effektive foranstaltninger til at mindske disse risici«.

b) Litra c) udgår.

4) I artikel 48 foretages følgende ændringer:

a) Stk. 1 affattes således:

»1. Medlemsstaterne stiller krav om, at et reguleret marked skal etablere og opretholde sin operationelle modstandsdygtighed i overensstemmelse med kravene i kapitel II i forordning (EU) 2022/2554 for at sikre, at dets handelssystemer er modstandsdygtige, har tilstrækkelig kapacitet til at klare spidsbelastninger med hensyn til ordrer og meddelelser, kan sikre korrekt handel i tilfælde af alvorlig markedsstress, er fuldt gennemprøvede for at sikre, at sådanne betingelser er opfyldt, og er omfattet af effektive ordninger til sikring af driftsstabilitet, herunder politikker og planer for IKT-driftsstabilitet og planer for IKT-indsats- og genopretning udarbejdet i overensstemmelse med , til at sikre opretholdelsen af markedets tjenester i tilfælde af et svigt af dets handelssystemer.«

b) Stk. 6 affattes således:

»6. Medlemsstaterne stiller krav om, at et reguleret marked skal have etableret effektive systemer, procedurer og ordninger, som bl.a. kræver, at medlemmer eller deltagere gennemfører passende test af algoritmer, og skaber rammer, der letter en sådan test i overensstemmelse med kravene i kapital II og IV i forordning (EU) 2022/2554 til at sikre, at algoritmiske handelssystemer ikke kan skabe eller bidrage til ureglementerede handelsvilkår på markedet og til at håndtere eventuelle ureglementerede handelsvilkår, der opstår på grund af sådanne algoritmiske handelssystemer, herunder systemer, der begrænser forholdet mellem ikkeudførte ordrer og transaktioner, der kan indføres i systemet af et medlem eller en deltager, således at det bliver muligt at bremse ordrestrømmen, hvis der er risiko for, at man når op på systemets maksimale kapacitet, og at den minimumskursændring (tick size), der kan anvendes på markedet, begrænses og håndhæves.«

c) I stk. 12 foretages følgende ændringer:

i) Litra a) affattes således:

»a) forpligtelserne til at sikre, at regulerede markeders handelssystemer er fleksible og har en tilstrækkelig kapacitet, med undtagelse af de forpligtelser, som vedrører digital operationel modstandsdygtighed«.

ii) Litra g) affattes således:

»g) forpligtelserne til at sikre passende test af algoritmer, bortset fra test af digital operationel modstandsdygtighed, med henblik på at sikre, at algoritmiske handelssystemer, herunder algoritmiske højfrekvenshandelssystemer, ikke kan skabe eller bidrage til ureglementerede handelsvilkår på markedet.«

ii) Litra f) affattes således:

»f) en beskrivelse af den procedure, der er indført for at håndtere og følge op på sikkerhedshændelser og sikkerhedsrelaterede kundeklager, herunder en ordning for indberetning af hændelser, hvori der er taget højde for betalingsinstituttets indberetningsforpligtelser, jf. kapitel III i forordning (EU) 2022/2554«.

iii) Litra h) affattes således:

»h) en beskrivelse af ordningerne for forretningskontinuitet, herunder en klar fastlæggelse af de kritiske funktioner, effektive politikker og planer for IKT-driftsstabilitet og planer for IKT-indsats- og genopretning og en procedure til regelmæssigt at teste og evaluere, om sådanne planer er tilstrækkelige og effektive, i overensstemmelse med forordning (EU) 2022/2554«.

b) Tredje afsnit affattes således:

»Det skal i tilknytning til de i første afsnits litra j) omhandlede sikkerhedskontrolforanstaltninger og begrænsende foranstaltninger angives, hvordan de sikrer et højt niveau af digital operationel modstandsdygtighed i overensstemmelse med kapitel II i forordning (EU) 2022/2554, navnlig med hensyn til teknisk sikkerhed og databeskyttelse, herunder vedrørende de software- og IKT-systemer, der anvendes af ansøgeren eller de virksomheder, som ansøgeren outsourcer hele eller dele af sine aktiviteter til. Disse foranstaltninger skal også omfatte de sikkerhedsforanstaltninger, der er fastsat i dette direktivs artikel 95, stk. 1. Foranstaltningerne skal tage højde for EBA's retningslinjer om sikkerhedsforanstaltninger som omhandlet i dette direktivs artikel 95, stk. 3, når de foreligger.«

3) Artikel 19, stk. 6, andet afsnit, affattes således:

»Vigtige driftsmæssige funktioner, herunder IKT-systemer, må ikke outsources på en måde, der i væsentlig grad forringer kvaliteten af betalingsinstituttets interne kontrol og de kompetente myndigheders mulighed for at kunne overvåge og spore, om betalingsinstituttet overholder alle forpligtelserne i dette direktiv.«

4) I artikel 95, stk. 1, tilføjes følgende afsnit:

»Første afsnit berører ikke anvendelsen af kapitel II i forordning (EU) 2022/2554 på:

a) betalingstjenesteudbydere som omhandlet i dette direktivs artikel 1, stk. 1, litra a), b) og d)

b) kontooplysningstjenesteudbydere, jf. dette direktivs artikel 33, stk. 1

c) betalingsinstitutter, der er undtaget i henhold til dette direktivs artikel 32, stk. 1, og

d) e-pengeinstitutter, der er omfattet af en undtagelse, som omhandlet i .«

5) I artikel 96 tilføjes følgende stykke:

»7. Medlemsstaterne sikrer, at nærværende artikels stk. 1-5 ikke finder anvendelse på:

a) betalingstjenesteudbydere som omhandlet i dette direktivs artikel 1, stk. 1, litra a), b) og d)

b) kontooplysningstjenesteudbydere, jf. dette direktivs artikel 33, stk. 1

c) betalingsinstitutter, der er undtaget i henhold til dette direktivs artikel 32, stk. 1, og

d) e-pengeinstitutter, der er omfattet af en undtagelse som omhandlet i .«

6) Artikel 98, stk. 5, affattes således:

»5. EBA gennemgår og ajourfører om nødvendigt regelmæssigt de reguleringsmæssige tekniske standarder i overensstemmelse med for bl.a. at tage højde for innovation og den teknologiske udvikling og for bestemmelserne i kapitel II i forordning (EU) 2022/2554.«

Europa-Parlamentets og Rådets direktiv 2013/36/EU af 26. juni 2013 om adgang til at udøve virksomhed som kreditinstitut og om tilsyn med kreditinstitutter og investeringsselskaber, om ændring af direktiv 2002/87/EF og om ophævelse af direktiv 2006/48/EF og 2006/49/EF (EUT L 176 af 27.6.2013, s. 338).

Europa-Parlamentets og Rådets direktiv 2014/59/EU af 15. maj 2014 om et regelsæt for genopretning og afvikling af kreditinstitutter og investeringsselskaber og om ændring af Rådets direktiv 82/891/EØF og Europa-Parlamentets og Rådets direktiv 2001/24/EF, 2002/47/EF, 2004/25/EF, 2005/56/EF, 2007/36/EF, 2011/35/EU, 2012/30/EU og 2013/36/EU samt forordning (EU) nr. 1093/2010 og (EU) nr. 648/2012 (EUT L 173 af 12.6.2014, s. 190).

Europa-Parlamentets og Rådets direktiv 2014/65/EU af 15. maj 2014 om markeder for finansielle instrumenter og om ændring af direktiv 2002/92/EF og direktiv 2011/61/EU (EUT L 173 af 12.6.2014, s. 349).

Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 af 25. november 2015 om betalingstjenester i det indre marked, og om ændring af direktiv 2002/65/EF, 2009/110/EF og 2013/36/EU og forordning (EU) nr. 1093/2010 og om ophævelse af direktiv 2007/64/EF (EUT L 337 af 23.12.2015, s. 35).

Europa-Parlamentets og Rådets direktiv (EU) 2016/2341 af 14. december 2016 om arbejdsmarkedsrelaterede pensionskassers (IORP'ers) aktiviteter og tilsynet hermed (EUT L 354 af 23.12.2016, s. 37).

Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 og (EU) 2016/1011 (se side 1 i denne EUT).

Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 af 24. november 2010 om oprettelse af en europæisk tilsynsmyndighed (Den Europæiske Banktilsynsmyndighed), om ændring af afgørelse nr. 716/2009/EF og om ophævelse af Kommissionens afgørelse 2009/78/EF (EUT L 331 af 15.12.2010, s. 12).

EUT C 369 af 17.12.2011, s. 14.