Член 5

Управление и организация

1. Финансовите субекти разполагат с вътрешна рамка за управление и контрол, която гарантира ефективно и разумно управление на риска в областта на ИКТ, в съответствие с член 6, параграф 4, с оглед постигането на високо равнище на оперативна устойчивост на цифровите технологии.

2. Ръководният орган на финансовия субект определя, одобрява, упражнява надзор върху и носи отговорност за изпълнението на всички действия във връзка с посочената в член 6, параграф 1 рамка за управление на риска в областта на ИКТ.

За целите на първа алинея ръководният орган:

а)носи крайната отговорност за управлението на риска в областта на ИКТ за финансовия субект;

б)въвежда политики, които имат за цел да осигурят поддържането на високи стандарти за наличността, автентичността, цялостността и поверителността на данните;

в)определя ясни роли и отговорности за всички свързани с ИКТ длъжности и установява подходящи правила за управление, за да се гарантират ефективна и навременна комуникация, сътрудничество и координация между тези длъжности;

г)носи цялостната отговорност за изготвянето и одобряването на стратегията за оперативна устойчивост на цифровите технологии, посочена в член 6, параграф 8, включително за определянето на подходящото ниво на толерантност към риска в областта на ИКТ за финансовия субект, както е посочено в член 6, параграф 8, буква б);

д)одобрява, упражнява надзор и периодично прави преглед на изпълнението на политиката на финансовия субект за непрекъснатост на дейността на ИКТ и на плановете му за реакция и възстановяване на ИКТ, посочени в член 11, съответно параграфи 1 и 3, които може да се приемат като целенасочена специфична политика, представляваща неразделна част от цялостната политика на финансовия субект за непрекъснатост на дейността и от плана за реакция и възстановяване;

е)одобрява и периодично прави преглед на плановете на финансовия субект за вътрешен одит на ИКТ, на одитите на ИКТ и на съществените промени в тях;

ж)разпределя и периодично прави преглед на подходящия бюджет за покриване на потребностите на финансовия субект във връзка с оперативната устойчивост на цифровите технологии по отношение на всички видове ресурси, включително съответните програми за повишаване на осведомеността за сигурността на ИКТ и обучението за оперативната устойчивост на цифровите технологии, посочени в член 13, параграф 6, както и уменията в областта на ИКТ на целия персонал;

з)одобрява и периодично прави преглед на политиката на финансовия субект относно споразуменията за използването на услуги в областта на ИКТ, предоставяни от трети страни доставчици на такива услуги;

и)въвежда канали за докладване на корпоративно равнище, които му позволяват да бъде надлежно информиран за:

i)споразуменията, сключени с трети страни доставчици на услуги в областта на ИКТ относно използването на такива услуги,

ii)всякакви относими планирани съществени промени по отношение на третите страни доставчици на услуги в областта на ИКТ,

iii)потенциалното отражение на такива промени върху критичните или важните функции, предмет на тези споразумения, включително обобщен анализ на риска, за да се оцени въздействието на тези промени, и поне съществените инциденти с ИКТ и тяхното въздействие, както и мерките за реакция и възстановяване и корективните мерки.

3. Финансовите субекти, без микропредприятията, определят функция, която да осъществява наблюдение върху сключените с третите страни доставчици на услуги в областта на ИКТ договорни споразумения за използване на услуги в областта на ИКТ или възлагат на член на висшето ръководство да упражнява надзор върху свързания с тези доставчици риск и съответната документация.

4. Членовете на ръководния орган на финансовия субект активно поддържат достатъчно актуални знания и умения, за да разбират и оценяват рисковете в областта на ИКТ и тяхното въздействие върху дейността на финансовия субект, включително като редовно преминават специално обучение, съизмеримо с управлявания риск в областта на ИКТ.

Член 6

Рамка за управление на риска в областта на ИКТ

1. Финансовите субекти разполагат с надеждна, широкообхватна и добре документирана рамка за управление на риска в областта на ИКТ като част от цялостната им система за управление на риска, която им позволява да се справят бързо, ефикасно и широкообхватно с риска в областта на ИКТ и да поддържат високо равнище на оперативна устойчивост на цифровите технологии.

2. Рамката за управление на риска в областта на ИКТ включва най-малко стратегии, политики, процедури, протоколи за ИКТ и инструменти, основани на ИКТ, които са необходими за надлежната и подходяща защита на всички информационни активи и активи на ИКТ, включително компютърен софтуер, хардуер, сървъри, както и за защитата на всички относими физически компоненти и инфраструктури, като например помещения, центрове за данни и зони, определени като чувствителни, така че да се гарантира, че всички информационни активи и активи на ИКТ са подходящо защитени от рискове, включително от увреждане и непозволен достъп или използване.

3. В съответствие със своята рамка за управление на риска в областта на ИКТ финансовите субекти свеждат до минимум въздействието на риска в областта на ИКТ чрез прилагане на подходящи стратегии, политики, процедури, протоколи за ИКТ и инструменти. При поискване те предоставят на компетентните органи пълна и актуална информация за риска в областта на ИКТ и за своята рамка за управление на риска в областта на ИКТ.

4. Финансовите субекти, без микропредприятията, възлагат на дадена контролна функция отговорността за управление и надзор на риска в областта на ИКТ и осигуряват подходящо ниво на независимост на тази контролна функция, за да се избегнат конфликти на интереси. Финансовите субекти гарантират подходящо разделяне и независимост на функциите за управление на риска в областта на ИКТ, контролните функции и функциите за вътрешен одит, според модела на трите защитни слоя или свой модел за управление и контрол на риска.

5. Рамката за управление на риска в областта на ИКТ се документира и се преразглежда поне веднъж годишно — или периодично за микропредприятията — както и при съществени инциденти с ИКТ, като това се прави съобразно инструкциите на надзорните органи или заключенията, направени в резултат от съответните тестове на оперативната устойчивост на цифровите технологии или от одитните процеси. Рамката се усъвършенства непрекъснато въз основа на натрупания при нейното прилагане и наблюдаване опит. На компетентния орган се представя доклад за прегледа на рамката за управление на риска в областта на ИКТ при поискване от негова страна.

6. Рамката за управление на риска в областта на ИКТ на финансовите субекти, без микропредприятията, подлежи на редовен вътрешен одит от одитори в съответствие с плана за одит на финансовия субект. Тези одитори притежават достатъчно знания, умения и експертен опит във връзка с риска в областта на ИКТ, както и подходящо ниво на независимост. Честотата и насочеността на одитите на ИКТ са съобразени с риска в областта на ИКТ на финансовия субект.

7. Въз основа на заключенията от вътрешния одитен преглед финансовите субекти въвеждат официален процес на последващи действия, включително правила за своевременна проверка и отстраняване на критично важните проблеми, посочени в заключенията от одита на ИКТ.

8. Рамката за управление на риска в областта на ИКТ включва стратегия за оперативна устойчивост на цифровите технологии, в която се описва нейното прилагане. За тази цел в стратегията за оперативна устойчивост на цифровите технологии се посочват методите за противодействие на риска в областта на ИКТ и за постигането на конкретни цели в областта на ИКТ, както следва:

а) обяснява се как рамката за управление на риска в областта на ИКТ подпомага стратегията и целите, които финансовият субект си е поставил за своята стопанска дейност;

б) определя се нивото на толерантност към риска в областта на ИКТ според склонността на финансовия субект за поемане на риск и се проучва допустимата степен на въздействие при смущения на ИКТ;

в) залагат се ясни цели за сигурност на информацията, включително ключови показатели за ефективност и ключови рискови показатели;

г) обяснява се референтната архитектура на ИКТ и всички промени, необходими за постигането на конкретни цели за дейността;

д) очертават се различните въведени механизми за откриване на инциденти с ИКТ, за предотвратяване на тяхното въздействие и за осигуряване на защита срещу него;

е) демонстрира се текущото състояние на оперативната устойчивост на цифровите технологии въз основа на броя на съществените инциденти с ИКТ, за които е било съобщено, и ефективността на превантивните мерки;

ж) извършва се тестване на оперативната устойчивост на цифровите технологии в съответствие с глава IV от настоящия регламент;

з) очертава се комуникационната стратегия при настъпване на инциденти с ИКТ, чието оповестяване се изисква в съответствие с член 14.

9. Финансовите субекти могат, в контекста на стратегията за оперативна устойчивост на цифровите технологии, посочена в параграф 8, да определят цялостна стратегия за прибягване до множество доставчици на ИКТ, на равнище група или субект, в която се посочват ключовите зависимости от третите страни доставчици на услуги в областта на ИКТ и се обяснява логиката зад избора на съответните трети страни доставчици на услуги в областта на ИКТ.

10. Финансовите субекти могат, в съответствие с правото на Съюза и националното секторно право, да възлагат задачите по проверка на спазването на изискванията за управление на риска в областта на ИКТ на вътрешногрупови или външни предприятия. В случай на такова възлагане на външен изпълнител финансовият субект продължава да носи цялата отговорност за проверката на спазването на изискванията за управление на риска в областта на ИКТ.

Член 7

Системи и протоколи на ИКТ и основани на ИКТ инструменти

С цел да се справят с риска в областта на ИКТ и да го управляват, финансовите субекти използват и поддържат в актуален вид системи и протоколи на ИКТ и основани на ИКТ инструменти, които са:

а)съобразени с мащаба на операциите, посредством които те провеждат дейността си, в съответствие с принципа на пропорционалност, посочен в член 4;

б)надеждни;

в)с достатъчен капацитет за точното обработване на данните, необходими за изпълнението на дейностите и за своевременното предоставяне на услуги, както и за справянето със скокове в обема на поръчките, съобщенията или обемите на операциите според нуждите, включително при въвеждането на нови технологии;

г)технологично устойчиви, така че да могат адекватно да удовлетворяват необходимостта от допълнително обработване на информация, изисквано при неблагоприятни пазарни условия или други проблематични ситуации.

Член 8

Идентифициране

1. Като част от посочената в член 6, параграф 1 рамка за управление на риска в областта на ИКТ финансовите субекти идентифицират, класифицират и документират по подходящ начин всички поддържани от ИКТ работни функции, роли и отговорности, информационните активи и активите на ИКТ, поддържащи тези функции, както и техните роли и зависимости във връзка с рисковете в областта на ИКТ. Когато е необходимо — но поне веднъж годишно — финансовите субекти правят преглед на адекватността на тази класификация и на съответната документация.

2. Финансовите субекти непрекъснато идентифицират всички източници на риск в областта на ИКТ, по-специално доколко са изложени на риск от или свързан със други финансови субекти, и оценяват киберзаплахите и уязвимите места на ИКТ, които имат отношение към техните поддържани от ИКТ работни функции, информационни активи и активи на ИКТ. Финансовите субекти редовно — и поне веднъж годишно — правят преглед на рисковите сценарии с въздействие върху тях.

3. Финансовите субекти, без микропредприятията, извършват оценка на риска при всяка съществена промяна в инфраструктурата на мрежите и информационните системи, в процесите или процедурите, засягащи техните поддържани от ИКТ работни функции, информационни активи или активи на ИКТ.

4. Финансовите субекти идентифицират всички информационни активи и активи на ИКТ, включително в отдалечените обекти, мрежови ресурси и хардуер, и правят опис на онези от тях, за които считат, че са от критично значение. Те описват конфигурацията на информационните активи и активите на ИКТ, както и връзките и взаимозависимостта между различните информационни активи и активи на ИКТ.

5. Финансовите субекти идентифицират и документират всички процеси, които зависят от трети страни доставчици на услуги в областта на ИКТ, и идентифицират взаимовръзките с онези трети страни доставчици на услуги в областта на ИКТ, които предоставят услуги, поддържащи критични или важни функции.

6. За целите на параграфи 1, 4 и 5 финансовите субекти поддържат съответните списъци и ги актуализират периодично и всеки път, когато настъпи съществена промяна по параграф 3.

7. Финансовите субекти, без микропредприятията, редовно — но поне веднъж годишно — правят специална оценка на риска в областта на ИКТ за всички наследените системи на ИКТ, и винаги преди и след свързването на технологии, приложения или системи.

Член 9

Защита и предотвратяване

1. С цел адекватна защита на системите на ИКТ и с оглед на организирането на мерките за реакция финансовите субекти неотклонно наблюдават и контролират сигурността и функционирането на системите на ИКТ и основаните на ИКТ инструменти, и свеждат до минимум въздействието на риска в областта на ИКТ чрез въвеждането на подходящи инструменти, политики и процедури за сигурност на ИКТ.

2. Финансовите субекти проектират, възлагат и прилагат политики, процедури, протоколи и инструменти за сигурност на ИКТ, които имат за цел да осигурят устойчивостта, непрекъснатостта и наличността на системите на ИКТ, и по-специално онези, които поддържат критични или важни функции, и да поддържат високи стандарти за наличността, автентичността, цялостността и поверителността на данните при тяхното съхранение, използване или предаване.

3. За постигане на целите, посочени в параграф 2, финансовите субекти използват ИКТ решения и процеси, които са подходящи в съответствие с член 4. Тези ИКТ решения и процеси:

а) гарантират сигурността на средствата за предаване на данни;

б) свеждат до минимум риска от увреждане или загуба на данните, непозволен достъп и технически недостатъци, които могат да попречат на стопанската дейност;

в) предотвратяват липсата на наличност, нарушаването на автентичността, цялостността и поверителността и загубата на данни;

г) гарантират, че данните са защитени от рискове, произтичащи от управлението на данните, включително лошо администриране, рискове, свързани с обработването им, и човешка грешка.

(4) Като част от посочената в член 6, параграф 1 рамка за управление на риска в областта на ИКТ финансовите субекти:

а) разработват и документират политика за сигурност на информацията, в която определят правила за защита на наличността, автентичността, цялостността и поверителността на данните, информационните активи и активите на ИКТ, включително тези на техните клиенти, когато е приложимо;

б) създават, следвайки подход, при който се отчита рискът, стабилна структура за управление на мрежите и инфраструктурата с помощта на подходящи техники, методи и протоколи, което може да включва използването на автоматизирани механизми за обособяване на засегнатите при кибератаки информационни активи;

в) прилагат политики, които ограничават физическия или логическия достъп до информационните активи и активите на ИКТ единствено до необходимото с оглед на законните и одобрени функции и дейности, като за тази цел създават набор от политики, процедури и механизми за контрол на правата на достъп, и гарантират разумното им управление;

г) прилагат политики и протоколи за стабилни механизми за удостоверяване на автентичността, като използват съответните стандарти и специални системи за проверки и предпазни мерки за криптографските ключове, с които данните са криптирани след одобрено тяхно класифициране и извършена оценка на риска в областта на ИКТ;

д) прилагат документирани политики, процедури и контролни механизми за управление на промените в ИКТ — включително на промените в софтуера, хардуера, компонентите на фърмуера, параметрите на системите или сигурността — които почиват на подход с оценка на риска и са неразделна част от цялостния процес на управление на промените от страна на финансовия субект с цел да се гарантира контролираното записване, тестване, оценяване, одобряване, прилагане и проверяване на всички промени в системите на ИКТ;

е) разполагат с подходящи и обстойни документирани политики за коригиране и актуализиране.

За целите на първа алинея, буква б) финансовите субекти разработват инфраструктурата за мрежова връзка така, че да бъде възможно моменталното ѝ изваждане от експлоатация или сегментиране, за да се сведе до минимум и да се предотврати разпространяването на даден проблем, особено при взаимосвързаните финансови процеси.

За целите на първа алинея, буква д) процесът на управление на промените в ИКТ се одобрява от подходяща йерархична стълбица и за него се въвеждат специални протоколи.

Член 10

Откриване

1. Както е посочено в член 17, финансовите субекти разполагат с механизми за бързо откриване на необичайните дейности — включително проблеми с функционирането на мрежата на ИКТ и инциденти с ИКТ, както и за идентифицирането на потенциалните точки, чиято повреда може да доведе до общ отказ на системите.

Механизмите по първа алинея се тестват редовно, както е посочено в член 25.

2. Механизмите за откриване по параграф 1 позволяват множество нива на контрол, определят прагове за отправяне на предупреждение и критерии за задействане и иницииране на процеси за реакция при инциденти с ИКТ, включително автоматични механизми за предупреждаване на съответните служители, отговорни за реагирането при инциденти с ИКТ.

3. Финансовите субекти отделят достатъчно ресурси и оперативен капацитет за наблюдение на активността на ползвателите, възникналите аномалии при ИКТ и инцидентите с ИКТ, особено кибератаките.

4. Доставчиците на услуги за докладване на данни разполагат наред с това и със системи, които могат да извършват надеждна проверка за пълнота на отчетите на сделките, да откриват пропуски и явни грешки и да изискват повторното предоставяне на посочените отчети.

Член 11

Реакция и възстановяване

1. Като част от посочената в член 6, параграф 1 рамка за управление на риска в областта на ИКТ и въз основа на посочените в член 8 изисквания за идентифициране, финансовите субекти въвеждат широкообхватна политика за непрекъснатост на дейността на ИКТ, която може да бъде приета като специална отделна политика, явяваща се неразделна част от цялостната политика на финансовия субект за непрекъснатост на дейността.

2. Финансовите субекти прилагат политиката за непрекъснатост на дейността на ИКТ чрез специални, подходящи и документирани правила, планове, процедури и механизми, които имат за цел:

а) да се осигури непрекъснатостта на критичните или важните функции на финансовия субект;

б) да се предприемат бързи, подходящи и ефективни ответни действия и разрешаване на всички инциденти с ИКТ, така че да се ограничават щетите и да се отдава приоритет на възобновяването на функционирането и на възстановяването на информацията;

в) след всеки вид инцидент с ИКТ да се задействат без забавяне специални планове за прилагане на мерки, процеси и технологии за овладяването му и за предотвратяването на допълнителни щети, както и специални процедури за реакция и възстановяване, установени в член 12;

г) да се прави оценка на предварителните последици, щети и загуби;

д) да се определят действията за комуникация и за управление на кризи с цел актуализираната информация да се предаде на всички имащи отношение вътрешни служители и външни заинтересовани страни — както е посочено в член 14, и да се докладва на компетентните органи — както е посочено в член 19.

3. Като част от посочената в член 6, параграф 1 рамка за управление на риска в областта на ИКТ финансовите субекти прилагат свързани с нея планове за реакция и възстановяване на ИКТ, които при всички финансови субекти освен микропредприятията подлежат на независими вътрешни одитни прегледи.

4. Финансовите субекти въвеждат, поддържат и периодично тестват подходящи планове за непрекъснатост на дейността на ИКТ, по-специално по отношение на критичните или важните функции, възложени с договори на трети страни доставчици на услуги в областта на ИКТ.

5. Като част от цялостната политика за непрекъснатост на дейността финансовите субекти извършват анализ на въздействието върху дейността (АВД) на експозициите си към сериозни смущения в дейността. В рамките на АВД финансовите субекти оценяват потенциалното въздействие на сериозните смущения в дейността въз основа на количествени и качествени критерии, като използват вътрешни и външни данни и анализ на сценарии, ако е целесъобразно. АВД разглежда доколко са критични идентифицираните и описани работни функции, поддържащи процеси, зависимости от трета страна и информационните активи, както и тяхната взаимозависимост. Финансовите субекти гарантират, че активите на ИКТ и услугите в областта на ИКТ се проектират и използват в пълно съответствие с АВД, по-специално с цел да се осигури адекватно възпроизвеждане на всички критични компоненти.

6. Като част от широкообхватното си управление на риска в областта на ИКТ финансовите субекти:

а) тестват плановете за непрекъснатост на дейността на ИКТ и плановете за реакция и възстановяване на ИКТ във връзка със системите на ИКТ, поддържащи всички функции, най-малко веднъж годишно, както и при съществени промени в системите на ИКТ, които поддържат критични или важни функции;

б) тестват изготвените в съответствие с член 14 планове за комуникация при криза.

За целите на първа алинея, буква а) финансовите субекти, без микропредприятията, предвиждат в тестовите си планове сценарии за кибератаки и преминаване от първичната инфраструктура на ИКТ към възпроизвеждащия я капацитет, резервни копия и възпроизвеждащи системи, необходими за изпълнение на задълженията по член 12.

Финансовите субекти извършват редовен преглед на своята политика за непрекъснатост на дейността на ИКТ и на плановете си за реакция и възстановяване на ИКТ, като вземат предвид резултатите тестовете, от проведени съгласно първа алинея, и препоръките от одитните проверки или надзорните прегледи.

7. Финансовите субекти, без микропредприятията, разполагат с функция за управление на кризи, която, при задействане на техните планове за непрекъснатост на дейността на ИКТ или на плановете им за реакция и възстановяване на ИКТ, наред с другото определя ясни процедури за управление на вътрешната и външната комуникация при кризи в съответствие с член 14.

8. При задействане на плановете им за непрекъснатост на дейността на ИКТ и на плановете им за реакция и възстановяване на ИКТ, финансовите субекти пазят леснодостъпни записи на действията преди и по време на събитията, нарушили обичайното функциониране.

9. Централните депозитари на ценни книжа предоставят на компетентните органи копия от резултатите от тестовете за непрекъснатост на дейността на ИКТ или от подобни упражнения.

10. Финансовите субекти, без микропредприятията, докладват на компетентните органи по тяхно искане предварителна оценка на агрегираните годишни разходи и загуби, причинени от съществени инциденти с ИКТ.

11. В съответствие с член 16 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010 ЕНО, чрез Съвместния комитет, разработват до 17 юли 2024 г. общи насоки за предварителната оценка на агрегираните годишни разходи и загуби, посочени в параграф 10.

Член 12

Политики и процедури за съхраняване на резервни копия, процедури и методи за възстановяване на информацията

1. С цел да се осигури максимално бързо възстановяване на системите на ИКТ и на данните, с ограничени смущения и загуби, финансовите субекти разработват и документират като част от рамката си за управление на риска в областта на ИКТ:

а) политики и процедури за съхраняване на резервни копия на данните, в които се определя обхватът на данните, за които се съхраняват резервни копия, както и минималната честота на това копиране, въз основа на това доколко е критично значението на данните и какво е нивото им на поверителност;

б) процедури и методи за възстановяване на информацията.

2. Финансовите субекти създават резервни системи, които могат да бъдат задействани в съответствие с политиките и процедурите за съхраняване на резервни копия, както и процедури и методи за възстановяване. Активирането на резервните системи не застрашава сигурността на мрежовите и информационните системи, нито наличността, автентичността, цялостността или поверителността на данните. Процедурите за съхраняване на резервни копия и процедурите и методите за възстановяване на информацията се тестват периодично.

3. Когато финансовите субекти използват собствени системи за възстановяване на резервните копия на данните, те използват системи на ИКТ, които са отделени физически и логически от основната им система на ИКТ. Системите на ИКТ са защитени по сигурен начин от непозволен достъп или неизправност на ИКТ и дават възможност за своевременно възстановяване на услугите, които използват данни и резервни копия на системите, когато е необходимо.

При централните контрагенти плановете за възстановяване осигуряват възможност за възстановяването на всички трансакции към момента на смущението, така че централният контрагент да може да продължи да функционира по надежден начин и да приключи сетълмента на определената дата.

Доставчиците на услуги за докладване на данни освен това поддържат достатъчно ресурси и разполагат с резервни механизми и механизми за възстановяване, за да предлагат и поддържат услугите си по всяко време.

4. Финансовите субекти, без микропредприятията, поддържат възпроизвеждащи ИКТ системи, чиито ресурси, капацитет и функции са достатъчни за задоволяване на потребностите на дейността. Микропредприятията оценяват необходимостта от поддържане на такива възпроизвеждащи ИКТ системи въз основа на рисковия си профил.

5. Централните депозитари на ценни книжа поддържат поне един допълнителен обект за обработка, разполагащ с достатъчно ресурси, капацитет, функции и правила относно персонала за задоволяване на потребностите на дейността.

Допълнителният обект за обработка:

а)се намира на физическо разстояние от основния обект за обработка, така че да има различен рисков профил и да не бъде засегнат от събитието, засегнало основния обект;

б)притежава капацитет, равен на този на основния обект, за осигуряване на непрекъснатостта на критичните или важните функции или за предоставяне на такова ниво на обслужване, което позволява на финансовия субект да извършва операциите от критично значение в рамките на заложените цели за възстановяване на информацията;

в)е непосредствено достъпен за персонала на финансовия субект, в случай че основният обект за обработка е станал недостъпен, така че да се осигури непрекъснатостта на критичните или важните функции.

6. Когато определят целите си за продължителността на възстановяване на информацията и за точката на възстановяване за всяка функция, финансовите субекти взимат предвид дали функцията е критична или важна и потенциалното общо въздействие върху пазарната ефективност. Тези срокове позволяват да се удовлетворяват договорените параметри на обслужване дори при крайно неблагоприятни сценарии.

7. Когато възстановяват информацията след инцидент с ИКТ, финансовите субекти извършват необходимите проверки, включително множествени проверки и сравнение на възстановените с оригиналните данни, за да се гарантира поддържането на най-високо ниво на пълнота на данните. Тези проверки се извършват и когато се възстановяват данни от външни заинтересовани страни, така че да се осигури съгласуваност на всички данни между отделните системи.

Член 13

Обучение и развитие

1. Финансовите субекти разполагат с оперативен капацитет и персонал, които да събират информация за уязвимите места, киберзаплахите, инцидентите с ИКТ — особено кибератаките, и да анализират вероятното им въздействие върху оперативната устойчивост на използваните от тези субекти цифрови технологии.

2. Финансовите субекти извършват прегледи на възникналите инциденти с ИКТ, след като съществен инцидент с ИКТ прекъсне основната им дейност, за да проучат причините за смущението и да установят какво е необходимо да се подобри в основаните на ИКТ операции или в посочената в член 11 политика за непрекъснатост на дейността на ИКТ.

При поискване финансовите субекти, без микропредприятията, съобщават на компетентните органи промените, които са били въведени след посочените в първа алинея прегледи на възникналите инциденти с ИКТ.

С посочените в първа алинея прегледи на възникналите инциденти с ИКТ се установява дали са били спазени въведените процедури и дали са били ефективни предприетите действия, включително по отношение на следното:

а)бързината на реагиране на предупредителните сигнали и установяване на въздействието на инцидентите с ИКТ и на тяхната сериозност;

б)качеството и бързината на техническата експертиза, когато извършването на такава е счетено за целесъобразно;

в)ефективността на процедурата на финансовия субект за пренасочване на управлението на инцидентите;

г)ефективността на вътрешната и външната комуникация.

3. В процеса на оценка на риска в областта на ИКТ надлежно и непрекъснато се добавя натрупаният опит от проведените в съответствие с членове 26 и 27 тестове на оперативната устойчивост на цифровите технологии, от реалните инциденти с ИКТ — особено кибератаките, както и от срещнатите предизвикателства при задействането на плановете за непрекъснатост на дейността на ИКТ и плановете за реакция и възстановяване на ИКТ, а така също и съответната информация, обменяна с контрагентите и оценявана при надзорните прегледи. Тези констатации съставляват основата на подходящи преразглеждания на съответните компоненти на посочената в член 6, параграф 1 рамка за управление на риска в областта на ИКТ.

4. Финансовите субекти наблюдават доколко ефективно се провежда стратегията им за оперативна устойчивост на цифровите технологии, посочена в член 6, параграф 8. С цел да определят степента, в която техните ИКТ са изложени на риск, особено във връзка с критични или важни функции, и да развият зрялостта и подготвеността си в сферата на киберсигурността, финансовите субекти картографират тенденцията при рисковете в областта на ИКТ във времето, анализират честотата, видовете и мащаба на инцидентите с ИКТ, както и начина, по който те се променят, особено що се отнася до кибератаките и техните модели.

5. Най-малко веднъж годишно висшите служители, работещи с ИКТ, представят на ръководния орган посочените в параграф 3 констатации и правят препоръки.

6. Финансовите субекти разработват и включват като задължителни модули в схемите си за обучение на персонала програми за повишаване на осведомеността за сигурността на ИКТ и обучения по оперативна устойчивост на цифровите технологии. Тези програми и обучения се прилагат за всички служители и за висшето ръководство и имат ниво на сложност, съобразено с обхвата на техните функции. Когато е целесъобразно, финансовите субекти включват и третите страни доставчици на услуги в областта на ИКТ в съответните си схеми за обучение в съответствие с член 30, параграф 2, буква и).

7. Финансовите субекти, без микропредприятията, постоянно следят развитието на съответните технологии, също и с цел да проучат потенциалното въздействие от внедряването на такива нови технологии върху изискванията за сигурност на ИКТ и оперативната устойчивост на цифровите технологии. Те се запознават с най-новите процеси за управление на риска в областта на ИКТ, за да могат ефективно да противодействат на настоящите или новите форми на кибератаки.

Член 14

Комуникация

1. Като част от посочената в член 6, параграф 1 рамка за управление на риска в областта на ИКТ финансовите субекти разполагат с планове за комуникация при криза, които предвиждат отговорно уведомяване на клиентите и контрагентите, а по необходимост — и на обществеността, поне за съществените инциденти с ИКТ или уязвими места.

2. Като част от рамката за управление на риска в областта на ИКТ финансовите субекти прилагат комуникационни политики за собствения си персонал и за външните заинтересовани страни. В комуникационната политика за персонала се взема под внимание необходимостта да се прави разлика между персонала, зает с управлението на риска в областта на ИКТ, и по-специално персонала, отговарящ за реакцията и възстановяването, и персонала, който трябва да бъде уведомяван.

3. За изпълнението на комуникационната стратегия при инциденти в областта на ИКТ отговаря поне един служител на финансовия субект, като за тази цел изпълнява и функцията връзки с обществеността и медиите.

Член 15

Допълнително хармонизиране на инструментите, методите, процесите и политиките за управление на риска в областта на ИКТ

В рамките на съвместния комитет и в консултации с Агенцията на Европейския съюз за киберсигурност (ENISA) ЕНО разработват общи проекти на регулаторни технически стандарти с оглед на следното:

а)определяне на допълнителните елементи, които да бъдат включени в посочените в член 9, параграф 2 стратегии, политики, процедури, протоколи и инструменти за сигурност на ИКТ, така че мрежите да бъдат сигурни, да се създадат подходящи механизми срещу проникване и срещу злоупотреба с данните, да се запазят, включително чрез криптиране, наличността, автентичността, цялостността и поверителността на данните, както и да се осигури точното и бързо предаване на данните, без съществени смущения и неоправдано забавяне;

б)разработване на допълнителни компоненти на посочените в член 9, параграф 4, буква в) механизми за контрол на правата на управление на достъпа и на свързаната с тях политика за човешките ресурси, в които се определят правата на достъп, процедурите за предоставяне и отнемане на права, както и за наблюдаване на необичайното поведение във връзка с риска в областта на ИКТ чрез подходящи показатели за моделите на използване на мрежата, за часовите пояси, за дейността, свързана с информационните технологии, и за неизвестните устройства;

в)доразработване на посочените в член 10, параграф 1 механизми за бързо откриване на необичайните дейности, както и на посочените в член 10, параграф 2 критерии за задействане на процесите за откриване на инциденти при ИКТ и за реакция;

г)доуточняване на компонентите на посочената в член 11, параграф 1 политика за непрекъснатост на дейността на ИКТ;

д)доуточняване на изискванията за тестване на посочените в член 11, параграф 6 планове за непрекъснатост на дейността на ИКТ с цел тестването надлежно да обхваща всички сценарии, при които критична или важна функция се предоставя с неприемливо ниско качество или не се предоставя изобщо, както и надлежно да отчита потенциалното въздействие на изпадането в несъстоятелност или възникването на други проблеми при съответните трети страни доставчици на услуги в областта на ИКТ, а когато е приложимо — и политическия риск в юрисдикциите на съответните доставчици;

е)доуточняване на компонентите на посочените в член 11, параграф 3 планове за реакция и възстановяване на ИКТ;

ж)доуточняване на съдържанието и формата на посочения в член 6, параграф 5 доклад за прегледа на рамката за управление на риска в областта на ИКТ;

Когато разработват тези проекти на регулаторни технически стандарти, ЕНО вземат предвид размера и цялостния рисков профил на финансовия субект и естеството, мащаба и сложността на неговите услуги, дейности и операции, като същевременно надлежно отчитат всяка специфична характеристика, произтичаща от различното естество на дейностите в различните сектори на финансовите услуги.

ЕНО предават на Комисията тези проекти на регулаторни технически стандарти до 17 януари 2024 г.

На Комисията се делегират правомощия да допълни настоящия регламент, като приеме посочените в първа алинея регулаторни технически стандарти в съответствие с членове 10—14 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010.

Член 16

Опростена рамка за управление на риска в областта на ИКТ

1. Членове 5—15 от настоящия регламент не се прилагат за малки и невзаимосвързани инвестиционни посредници, платежни институции, освободени съгласно Директива (ЕС) 2015/2366; институции, освободени съгласно Директива 2013/36/ЕС, по отношение на които държавите членки са решили да не прилагат възможността, посочена в член 2, параграф 4 от настоящия регламент; институции за електронни пари, освободени съгласно Директива 2009/110/ЕО; и малки институции за професионално пенсионно осигуряване.

Без да се засяга първа алинея посочените в нея субекти:

а)въвеждат и поддържат стабилна и документирана рамка за управление на риска в областта на ИКТ, в която се описват подробно механизмите и мерките, насочени към бързо, ефикасно и многоаспектно управление на риска в областта на ИКТ, включително за защита на съответните физически компоненти и инфраструктури;

б)непрекъснато наблюдават сигурността и функционирането на всички системи на ИКТ;

в)свеждат до минимум въздействието на риска в областта на ИКТ чрез използване на стабилни, устойчиви и поддържани в актуален вид системи и протоколи на ИКТ и основани на ИКТ инструменти, които са подходящи да подпомагат изпълнението на техните дейности и предоставянето на услуги, и защитават адекватно наличността, автентичността, цялостността и поверителността на данните в мрежовите и информационните системи;

г)осигуряват възможност за бързо установяване и откриване на източниците на риск в областта на ИКТ и аномалии в мрежовите и информационните системи и за бързо справяне с инциденти с ИКТ;

д)определят ключовите зависимости от третите страни доставчици на услуги в областта на ИКТ;

е)осигуряват непрекъснатостта на критичните и важните функции чрез планове за непрекъснатост на дейността и мерки за реакция и възстановяване, които включват най-малко мерки за съхраняване на резервни копия и възстановяване;

ж)редовно тестват плановете и мерките, посочени в буква е), както и ефективността на мерките за контрол, предприети в съответствие с букви а) и в);

з)прилагат, по целесъобразност, съответните оперативни заключения, произтичащи от тестовете, посочени в буква ж), и от анализа след инциденти в процеса на оценка на риска в областта на ИКТ, и разработват, в съответствие с нуждите и профила на риска в областта на ИКТ, програми за повишаване на осведомеността за сигурността на ИКТ и обучения по оперативна устойчивост на цифровите технологии за персонала и ръководството.

2. Рамката за управление на риска в областта на ИКТ, посочена в параграф 1, втора алинея, буква а), се документира и преразглежда периодично и при възникване на съществени инциденти с ИКТ в съответствие с надзорните инструкции. Рамката се усъвършенства непрекъснато въз основа на натрупания при нейното прилагане и наблюдаване опит. На компетентния орган се представя доклад за прегледа на рамката за управление на риска в областта на ИКТ при поискване от негова страна.

3. В рамите на съвместния комитет и в консултации с ENISA ЕНО разработват общи проекти на регулаторни технически стандарти с оглед на следното:

а) доуточняване на елементите, които да бъдат включени в рамката за управление на риска в областта на ИКТ, посочена в параграф 1, втора алинея, буква а);

б) доуточняване на елементите във връзка със системите, протоколите и инструментите за свеждане до минимум на въздействието на риска в областта на ИКТ, посочено в параграф 1, втора алинея, буква в), така че да се гарантира сигурността на мрежите, да се създадат подходящи защитни механизми срещу проникване и срещу злоупотреба с данните, да се запазят наличността, автентичността, цялостността и поверителността на данните;

в) доуточняване на компонентите на плановете за непрекъснатост на дейността на ИКТ, посочени в параграф 1, втора алинея, буква е);

г) доуточняване на правилата за тестване на плановете за непрекъснатост на дейността и гарантиране на ефективността на мерките за контрол, посочени в параграф 1, втора алинея, буква ж), и гарантиране това тестване надлежно да обхваща всички сценарии, при които критична или важна функция се предоставя с неприемливо ниско качество или не се предоставя изобщо;

д) доуточняване на съдържанието и формата на доклада за прегледа на рамката за управление на риска в областта на ИКТ, посочен в параграф 2.

Когато разработват тези проекти на регулаторни технически стандарти, ЕНО вземат предвид размера и цялостния рисков профил на финансовите субекти и естеството, мащаба и сложността на техните услуги, дейности и операции.

ЕНО предават на Комисията тези проекти на регулаторни технически стандарти до 17 януари 2024 г.

На Комисията се делегират правомощия да допълни настоящия регламент, като приеме посочените в първа алинея регулаторни технически стандарти в съответствие с членове 10—14 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010.

Член 28

Общи принципи

1. Финансовите субекти управляват риска в областта на ИКТ, пораждан от трети страни като неразделна част от компонента „риск в областта на ИКТ“ на своята рамка за управление на риска в областта на ИКТ, както е посочено в член 6, параграф 1 и съобразно следните принципи:

а) финансовите субекти, които с оглед на стопанската си дейност са сключили договорни споразумения за услуги в областта на ИКТ, във всеки един момент са изцяло отговорни за спазването на всички задължения по силата на настоящия регламент и на приложимото право в областта на финансовите услуги, както и за преценката, че тези задължения са изпълнени;

б) финансовите субекти управляват риска в областта на ИКТ, пораждан от трети страни, съобразно принципа на пропорционалност, като вземат предвид:

i) естеството, мащаба, сложността и значението на зависимостите във връзка с ИКТ,

ii) рисковете, свързани с договорните споразумения за услуги в областта на ИКТ, сключени с трети страни доставчици на услуги в областта на ИКТ, като отчитат критичния или важен характер на съответната услуга, процес или функция, както и потенциалното въздействие на тези рискове върху непрекъснатостта и наличността на финансовите услуги и дейности на равнището на отделния субект и на групата.

2. Като част от своята рамка за управление на риска в областта на ИКТ финансовите субекти, различни от субектите, посочени в член 16, параграф 1, първа алинея, и от микропредприятията, приемат и редовно преразглеждат стратегия за риска в областта на ИКТ, пораждан от трети страни, като вземат предвид, когато е приложимо, стратегията за прибягване до множество доставчици, посочена в член 6, параграф 9. Стратегията за риска в областта на ИКТ, пораждан от трети страни включва политика за използването на услуги в областта на ИКТ, поддържащи критичните или важните функции, предоставяни от трети страни доставчици на такива услуги, и се прилага както на индивидуална основа, така и, според случая, на подконсолидирана и консолидирана основа. Въз основа на оценка на цялостния рисков профил на финансовия субект и на мащаба и сложността на бизнес услугите ръководният орган редовно прави преглед на идентифицираните рискове по отношение на договорни споразумения за използване на услуги в областта на ИКТ, поддържащи критични или важни функции.

3. Като част от своята рамка за управление на риска в областта на ИКТ финансовите субекти поддържат и актуализират на индивидуална, подконсолидирана и консолидирана основа информационен регистър за всички договорни споразумения за услуги в областта на ИКТ, сключени с трети страни доставчици на такива услуги.

Договорните споразумения по първа алинея се документират по подходящ начин, като тези, които се отнасят до услуги на ИКТ в подкрепа на критични или важни функции, се обособяват от останалите.

Поне веднъж годишно финансовите субекти осведомяват компетентните органи за броя нови споразумения за услуги в областта на ИКТ, за категориите трети страни доставчици на такива услуги, за вида на договорните споразумения и за предоставяните услуги и функции в областта на ИКТ.

При поискване от компетентния орган финансовите субекти му предоставят пълния информационен регистър или поисканите части от него, както и всички сведения, които компетентният орган е сметнал за необходими с оглед на упражняването на ефективен надзор върху финансовия субект.

Финансовите субекти своевременно уведомяват компетентния орган за намерението си да сключат договорно споразумение за услуги в областта на ИКТ, поддържащи критични или важни функции, както и когато дадена функция се е превърнала в критична или важна.

4. Преди да сключат договорно споразумение за услуги в областта на ИКТ финансовите субекти:

а) преценяват дали договорното споразумение се отнася до услуги в областта на ИКТ, поддържащи критична или важна функция;

б) оценяват дали са изпълнени надзорните изисквания за договорно възлагане на дадените услуги;

в) идентифицират и оценяват всички съответни рискове, свързани с договорното споразумение, включително вероятността такова договорно споразумение допринесе за засилване на риска от концентрация в областта на ИКТ, както е посочено в член 29;

г) надлежно проверяват бъдещите трети страни доставчици на услуги в областта на ИКТ и неотклонно по време на процеса на подбор и оценка се уверяват, че даденият доставчик е подходящ;

д) идентифицират и оценяват конфликтите на интереси, които договорното споразумение може да породи.

5. Финансовите субекти могат да сключват договорни споразумения само с трети страни доставчици на услуги в областта на ИКТ, които удовлетворяват подходящи стандарти за сигурност на информацията. Когато договорното споразумение се отнася до критични или важни функции, преди сключването му финансовите субекти надлежно отчитат използването от третите страни доставчици на услуги в областта на ИКТ на най-актуалните и висококачествени стандарти за сигурност на информацията.

6. Когато упражняват правата си за достъп, проверка и одит на дадена трета страна доставчик на услуги в областта на ИКТ, финансовите субекти предварително определят въз основа на подход, при който е отчетен рискът, честотата на одитите и проверките, както и подлежащите на одит сфери; при това те се придържат към общоприетите одитни стандарти и към съответните указания от надзорните органи за използването и въвеждането на такива одитни стандарти.

При договорните споразумения с третите страни доставчици на услуги в областта на ИКТ, които съдържат технически аспекти със значителна сложност, финансовите субекти се уверяват, че одиторите — независимо дали са вътрешни или външни или са група от одитори, притежават подходящите знания и умения, за да извършат ефективно съответните одити и оценки.

7. Финансовите субекти правят необходимото, за да гарантират, че договорните споразумения за ползването на услуги в областта на ИКТ могат да бъдат прекратени при всяко от следните обстоятелства:

а) при съществено нарушение на приложимите законови или подзаконови актове или на разпоредбите на договора, извършено от третата страна доставчик на услуги в областта на ИКТ;

б) при наличието на обстоятелства, установени при наблюдението на риска в областта на ИКТ, пораждан от трета страна, за които се смята, че могат да променят изпълнението на предоставяните по силата на договорното споразумение функции, включително съществени промени, които засягат договора или положението на третата страна доставчик на услуги в областта на ИКТ;

в) ако са налице свидетелства за слабости в цялостното управление на риска в областта на ИКТ от третата страна доставчик на услуги в областта на ИКТ, и по-специално в начина, по който той осигурява наличността, автентичността, цялостността и поверителността на данните, независимо дали става въпрос за лични данни, други чувствителни данни, или за данни, които не са от личен характер;

г) ако условията на съответното договорно споразумение или свързани с него обстоятелства не позволяват на компетентния орган да продължи да упражнява ефективен надзор върху финансовия субект.

8. За услуги в областта на ИКТ, поддържащи критични или важни функции, финансовите субекти въвеждат изходни стратегии. В изходните стратегии се отчитат рисковете, които могат да възникнат при дадена трета страна доставчик на услуги в областта на ИКТ — прекратяване на дейността, влошаване на качеството на предоставяните услуги в областта на ИКТ, смущения в дейността на финансовия субект поради неподходящо или неуспешно предоставяне на услуги в областта на ИКТ, възникване на съществен риск, свързан с подходящото и непрекъснатото изпълнение на съответната услуга в областта на ИКТ, или прекратяване на договорните споразумения с трети страни доставчици на услуги в областта на ИКТ — при някое от обстоятелствата, изброени в параграф 7.

Финансовите субекти се уверяват, че могат да прекратят всяко договорно споразумение, без това:

а)да прекъсне стопанската им дейност,

б)да ограничи спазването на регулаторните изисквания;

в)да бъде в ущърб на непрекъснатостта и качеството на предоставяните на клиентите услуги.

Изходните планове са изчерпателни, документирани и, в съответствие с критериите, посочени в член 4, параграф 2, достатъчно се тестват и периодично се подлагат на преглед.

Финансовите субекти подготвят алтернативни решения и преходни планове за оттегляне от третата страна доставчик на услуги в областта на ИКТ на договорно възложените ѝ услуги в областта на ИКТ и на съответните данни, както и за сигурното им предаване на алтернативни доставчици или за реинтегрирането им в собствените системи.

Финансовите субекти въвеждат подходящи мерки за действие при извънредни ситуации, за да осигурят непрекъснатост на дейността при възникване на обстоятелствата, посочени в първа алинея.

9. В рамките на съвместния комитет ЕНО разработват проекти на технически стандарти за изпълнение за определяне на стандартните образци за целите на регистъра на информацията по параграф 3, включително на информацията, която е обща за всички договорни споразумения за услуги в областта на ИКТ. ЕНО представят тези проекти на технически стандарти за изпълнение на Комисията до 17 януари 2024 г.

Комисията се оправомощава да приеме посочените в първа алинея технически стандарти за изпълнение в съответствие с член 15 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010.

10. ЕНО разработват чрез съвместния комитет проекти на регулаторни технически стандарти за доуточняване на подробното съдържание на посочената в параграф 2 политика по отношение на договорните споразумения за услуги в областта на ИКТ, поддържащи критични или важни функции, предоставяни от трети страни доставчици на услуги в областта на ИКТ.

Когато разработват тези проекти на регулаторни технически стандарти, ЕНО вземат предвид размера на финансовите субекти, цялостния им рисков профил, както и естеството, мащаба и сложността на техните услуги, дейности и операции. ЕНО представят тези проекти на регулаторни технически стандарти на Комисията до 17 януари 2024 г.

На Комисията се делегира правомощието да допълни настоящия регламент, като приеме посочените в първа алинея регулаторни технически стандарти в съответствие с членове 10—14 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010.

Член 29

Предварителна оценка на риска от концентрация на ИКТ на равнището на субектите

1. При идентифицирането и оценяването на риска от концентрация на ИКТ, посочен в член 28, параграф 4, буква в), финансовите субекти преценяват също дали предвижданото договорно споразумение за услуги в областта на ИКТ, подпомагащи критични или важни функции, би довело при сключването си до някое от следните последствия:

а) договор с трета страна доставчик на услуги в областта на ИКТ, която не може да бъде лесно заменена; или

б) множество договорни споразумения за услуги в областта на ИКТ, подпомагащи критични или важни функции, сключени с една и съща трета страна доставчик на такива услуги или с тясно взаимосвързани трети страни доставчици на такива услуги.

Финансовите субекти проучват разходите и ползите от алтернативни решения — например прибягване до различни трети страни доставчици на услуги в областта на ИКТ, като преценяват дали и как разглежданите решения съответстват на потребностите и целите на тяхната дейност, както са заложени в тяхната стратегия за устойчивост на цифровите технологии.

2. Когато договорните споразумения за ползване на услуги в областта на ИКТ, поддържащи критични или важни функции, позволяват на третата страна доставчик на такива услуги да възлага на свой ред услуги в областта на ИКТ, поддържащи критични или важни функции, на други подизпълнители, които са трета страна доставчик на услуги в областта на ИКТ, финансовите субекти преценяват потенциалните ползи и рискове от такова възлагане на подизпълнители, особено когато поддоставчикът на ИКТ е установен в трета държава.

Когато договорното споразумение е за услуги в областта на ИКТ, поддържащи критични или важни функции, финансовите субекти надлежно вземат предвид приложимите правни норми при несъстоятелност на третата страна доставчик на услуги в областта на ИКТ, както и евентуалните ограничения, ако спешно им се наложи да получат обратно данните си от въпросния доставчик.

Когато договорното споразумение за услуги в областта на ИКТ, поддържащи критични или важни функции, е сключено с трета страна доставчик на услуги в областта на ИКТ, установена в трета държава, финансовите субекти, в допълнение към съображенията, посочени във втора алинея, вземат предвид също така съблюдаването на правилата на Съюза за защита на личните данни и ефективното прилагане на правото във въпросната трета държава.

Когато в договорното споразумение за услуги в областта на ИКТ, поддържащи критични или важни функции, е предвидено възлагане на дейностите на подизпълнители, финансовите субекти преценяват дали и как потенциално дългите или сложни вериги от подизпълнители могат да засегнат способността им да следят изцяло договорно възложените функции, както и способността на компетентния орган да упражнява върху тях ефективен надзор в това отношение.

Член 30

Основни договорни клаузи

1. Правата и задълженията на финансовия субект и на третата страна доставчик на услуги в областта на ИКТ се определят ясно и се посочват в писмен вид. Пълният текст на договора включва клаузи за нивото на обслужване и се оформя в писмен документ, който е на разположение на страните на хартиен носител, или в документ с друг траен и достъпен формат, който позволява документът да бъде изтеглен.

2. Договорните споразумения за услуги в областта на ИКТ съдържат най-малко следните елементи:

а) ясно и пълно описание на всички функции и услуги в областта на ИКТ, които третата страна доставчик на услуги в областта на ИКТ трябва да предостави, като се посочва дали се позволява възлагане на подизпълнители на услуга в областта на ИКТ, поддържаща критична или важна функция, или на съществени части от нея, както и, ако такава възможност е предвидена, приложимите условия при такова възлагане на подизпълнители;

б) местата, а именно регионите или държавите, където трябва да бъдат предоставяни договорно възложените функции и услуги в областта на ИКТ или тези, възложени на подизпълнители, както и мястото, на което трябва да бъдат обработвани данните, включително мястото им на съхранение, както и изискването към третата страна доставчик на услуги в областта на ИКТ да уведоми предварително финансовия субект, ако възнамерява да промени тези места;

в) разпоредби относно наличността, автентичността, цялостността и поверителността във връзка със защитата на данните, включително личните данни;

г) разпоредби за осигуряване на достъп до обработваните от финансовия субект лични данни и такива без личен характер, и за възстановяването и връщането им в лесно достъпен формат в случай на несъстоятелност, преструктуриране или прекратяване на стопанската дейност на третата страна доставчик на услуги в областта на ИКТ, или в случай на прекратяване на договорното споразумение;

д) описание на нивото на обслужване, включително на актуализиране и преглед на предоставяните услуги;

е) задължението на третата страна доставчик на услуги в областта на ИКТ да предоставя помощ на финансовия субект без допълнителни разходи или на предварително определена цена, когато възникне инцидент с ИКТ, свързан с предоставяната на финансовия субект услуга в областта на ИКТ;

ж) задължението на третата страна доставчик на услуги в областта на ИКТ да оказва пълно съдействие на компетентните органи и на органите за преструктуриране на финансовия субект, включително и на лицата, назначени от тях;

з) правото на прекратяване на договорните споразумения и свързаните с него минимални срокове за предизвестие — съобразно очакванията на компетентните органи и органите за преструктуриране;

и) условията за участие на третите страни доставчици на услуги в областта на ИКТ в програмите на финансовите субекти за повишаване на осведомеността относно сигурността на ИКТ и в обучението по оперативна устойчивост на цифровите технологии в съответствие с член 13, параграф 6.

3. В допълнение към елементите, посочени в параграф 2, договорните споразумения за услуги в областта на ИКТ, поддържащи критични или важни функции, включват най-малко следното:

а) обстойно описание на нивото на обслужване, включително на актуализиране и преглед на предоставяните услуги, с точни количествени и качествени цели за ефективност в рамките на договореното ниво на обслужване, така че финансовият субект да може ефективно да следи риска в областта на ИКТ, пораждан от трети страни и да предприеме възможно най-бързо подходящите корективни мерки, ако договореното ниво на обслужване не се спазва;

б) задълженията на третата страна доставчик на услуги в областта на ИКТ да докладва на финансовия субект, както и съответните срокове за това, включително задължението да го уведомява за всяко обстоятелство, което би могло да засегне съществено способността на третата страна доставчик на услуги в областта на ИКТ да предоставя ефективно услуги в областта на ИКТ или да изпълнява ефективно критични или важни функции в съответствие с договореното ниво на обслужване;

в) изисквания към третата страна доставчик на услуги в областта на ИКТ да прилага и тества планове за действие при извънредни ситуации, както и да разполага с мерки, инструменти и политики за сигурност на ИКТ, които осигуряват подходящо ниво на сигурност за предоставянето на услуги от финансовия субект, както е предвидено в отнасящата се до него нормативна уредба;

г) задължението на третата страна доставчик на услуги в областта на ИКТ да участва и да оказва пълно съдействие при тестването за проникване на финансовия субект, както е посочено в членове 26 и 27;

д) правото на финансовия субект текущо да наблюдава ефективността на третата страна доставчик на услуги в областта на ИКТ, което включва:

i) неограничено право на достъп, проверка и одит от страна на финансовия субект или определена за целта трета страна, както и от страна на компетентния орган, а също и право да бъдат взети копия на съответната документация на място, ако тя е от ключово значение за операциите на третата страна доставчик на услуги в областта на ИКТ, като други договорни споразумения или политики за изпълнение не възпрепятстват, нито ограничават ефективното упражняване на това право;

ii) правото да бъдат договаряни алтернативни нива на сигурност, ако са засегнати права на други клиенти на финансовия субект;

iii)

ангажимента от страна на третата страна доставчик на услуги в областта на ИКТ да сътрудничи изцяло при проверките и одитите на място, извършвани от компетентните органи, водещия надзорник, финансовия субект или от определена за целта трета страна; и

iv) задължението да предоставя подробна информация относно обхвата, процедурите, които трябва да бъдат следвани, и честотата на такива проверки и одити;

е) изходни стратегии, по-специално определяне на задължителен подходящ преходен период:

i) по време на който третата страна доставчик на услуги в областта на ИКТ продължава да предоставя съответните функции или услуги в областта на ИКТ с цел да се ограничи рискът за финансовия субект от смущение в дейността или да се гарантира ефективната му реорганизация или преструктуриране;

ii) който позволява на финансовия субект да се прехвърли към друга трета страна доставчик на услуги в областта на ИКТ или да внедри собствени решения съобразно сложността на предоставяната услуга.

Чрез дерогация от буква д) третата страна доставчик на услуги в областта на ИКТ и финансовият субект, който е микропредприятие, може да се споразумеят, че правата на финансовия субект на достъп, проверка и одит може да бъдат делегирани на независима трета страна, определена от третата страна доставчик на услуги в областта на ИКТ, както и че финансовият субект може да поиска във всеки един момент информация и гаранции относно резултатите от дейността на третата страна доставчик на услуги в областта на ИКТ.

4. Когато се договарят, финансовите субекти и третите страни доставчици на услуги в областта на ИКТ обмислят използването на стандартни договорни клаузи, разработени от публични органи, за конкретни услуги.

5. ЕНО разработват чрез съвместния комитет проекти на регулаторни технически стандарти с цел доуточняване на елементите, посочени в параграф 2, буква а), които финансовият субект трябва да определи и оцени, когато възлага на подизпълнители услуги в областта на ИКТ, поддържащи критични или важни функции.

Когато разработват тези проекти на регулаторни технически стандарти, ЕНО вземат предвид размера на финансовите субекти, цялостния им рисков профил, както и естеството, мащаба и сложността на техните услуги, дейности и операции.

ЕНО представят тези проекти на регулаторни технически стандарти на Комисията до 17 юли 2024 г.

На Комисията се делегират правомощия да допълни настоящия регламент, като приеме посочените в първа алинея регулаторни технически стандарти в съответствие с членове 10—14 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010.

Член 31

Определяне на третите страни критични доставчици на услуги в областта на ИКТ

1. В рамките на съвместния си комитет и по препоръка на създадения с член 32, параграф 1 надзорен форум ЕНО:

а) определят след оценка, при която се вземат под внимание посочените в параграф 2 критерии, критичните за финансовите субекти трети страни доставчици на услуги в областта на ИКТ;

б) определят за водещ надзорник на всяка от третите страни критични доставчици на услуги в областта на ИКТ отговорния ЕНО в съответствие с регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 или (ЕС) № 1095/2010 за финансовите субекти, които съвместно притежават най-големия дял от общите активи спрямо стойността на общите активи на всички финансови субекти, използващи услугите на съответната трета страна критичен доставчик на услуги в областта на ИКТ, в съответствие със сбора на отделните счетоводни баланси на тези финансови субекти.

2. Определянето по параграф 1, буква а) се основава на всеки от следните критерии във връзка с услугите в областта на ИКТ, предоставяни от трета страна доставчик на услуги в областта на ИКТ:

а) системното въздействие върху стабилността, непрекъснатостта или качеството на предоставяните финансови услуги, в случай че дадена трета страна доставчик на услуги в областта на ИКТ бъде изправена пред мащабна оперативна неспособност да предоставя услугите си — предвид броя финансови субекти, които се ползват от услугите ѝ, и общата стойност на техните активи;

б) системния характер или значение на финансовите субекти, които обслужва дадената трета страна доставчик на услуги в областта на ИКТ — те се оценяват по следните параметри:

i) броя глобални системно значими институции (Г-СЗИ) или други системно значими институции (Д-СЗИ), които обслужва съответната трета страна доставчик на услуги в областта на ИКТ;

ii) взаимозависимостта между посочените в точка i) Г-СЗИ или Д-СЗИ и други финансови субекти, включително ситуациите, при които Г-СЗИ или Д-СЗИ предоставят на други финансови субекти услуги, свързани с финансовата инфраструктура;

в) степента, в която критичните или важните функции на даден финансов субект зависят от услугите, предоставяни от една и съща трета страна доставчик на услуги в областта на ИКТ, без значение дали тази зависимост е пряка, непряка или възникнала поради възлагане на услугите на подизпълнители услуги;

г) степента, в която дадена трета страна доставчик на услуги в областта на ИКТ може да бъде заменена — тя се оценява по следните параметри:

i) отсъствие на реална, дори частична, алтернатива поради: ограничения брой присъстващи на съответния пазар трети страни доставчици на услуги в областта на ИКТ; пазарния дял на дадения такъв доставчик; наличието на висока техническа или друга сложност, включително използването от дадения доставчик на собствена технология; спецификата на организацията или дейността на дадения доставчик;

ii) трудности по отношение на частичното или пълно прехвърляне на съответните данни и работно натоварване от дадената трета страна доставчик на услуги в областта на ИКТ към друга трета страна доставчик на такива услуги поради значителния ресурс — финансови разходи, време или друг ресурс, който прехвърлянето може да изиска, или поради увеличаване в резултат на прехвърлянето на риска в областта на ИКТ или на други операционни рискове за финансовия субект.

3. Когато третата страна доставчик на услуги в областта на ИКТ е част от група, посочените в параграф 2 критерии се вземат под внимание по отношение на услугите в областта на ИКТ, предоставяни от групата като цяло.

4. Третите страни критични доставчици на услуги в областта на ИКТ и са част от група, определят едно юридическо лице като координационно звено, което да осигурява подходящо представителство и комуникация с водещия надзорник.

5. Водещият надзорник уведомява третата страна доставчик на услуги в областта на ИКТ за резултатите от оценката за целите на определянето, посочено в параграф 1, буква а). В срок от 6 седмици от датата на уведомлението третата страна доставчик на услуги в областта на ИКТ може да представи на водещия надзорник мотивирано становище с цялата необходима информация за целите на оценката. Водещият надзорник разглежда мотивираното становище и може да поиска да бъде представена допълнителна информация в срок от 30 календарни дни от получаването на такова становище.

След като определят дадена трета страна за критичен доставчик на услуги в областта на ИКТ, ЕНО, чрез съвместния комитет, уведомяват за това съответната трета страна доставчик на услуги в областта на ИКТ, като я информират и за началната дата, от която тя подлежи на надзор. Тази начална дата е не по-късно от един месец след уведомлението. Третата страна доставчик на услуги в областта на ИКТ уведомява финансовите субекти, на които предоставя услуги, че е определена за критичен доставчик.

6. На Комисията се предоставя правомощието да приеме делегиран акт в съответствие с член 57, за да допълни настоящия регламент, като доуточни критериите, посочени в параграф 2 от настоящия член, до 17 юли 2024 г.

7. Към определянето по параграф 1, буква а) се пристъпва само след като Комисията приеме делегиран акт съгласно параграф 6.

8. Определянето, посочено в параграф 1, буква а), не се прилага по отношение на:

i) финансови субекти, предоставящи услуги в областта на ИКТ на други финансови субекти;

ii) третите страни доставчици на услуги от областта на ИКТ, които са обхванати от надзорни рамки, създадени с оглед на задачите, посочени в член 127, параграф 2 от Договора за функционирането на Европейския съюз;

iii)

вътрешногрупови доставчици на услуги в областта на ИКТ;

iv) трети страни доставчици на услуги в областта на ИКТ, които предоставят услуги в областта на ИКТ само в една държава членка на финансови субекти, които извършват дейност само в тази държава членка.

9. Чрез съвместния си комитет ЕНО съставят, публикуват и годишно актуализират списък на третите страни критични за Съюза доставчици на услуги в областта на ИКТ.

10. За целите на параграф 1, буква а) компетентните органи ежегодно и в обобщен вид предават на създадения с член 32 надзорен форум информацията, посочена в член 28, параграф 3, трета алинея. Въз основа на получената от компетентните органи информация надзорният форум оценява зависимостта на финансовите субекти от трети страни доставчици на услуги в областта на ИКТ.

11. Третите страни доставчици на услуги в областта на ИКТ, които не са включени в посочения в параграф 9 списък, могат да поискат да бъдат определени за критични в съответствие с параграф 1, буква а).

За целите на първа алинея съответната трета страна доставчик на услуги в областта на ИКТ подава до ЕБО, ЕОЦКП или ЕОЗППО обосновано заявление, а посочените органи решават в рамките на съвместния комитет дали да я определят за критичен доставчик в съответствие с параграф 1, буква а).

Решението, посочено във втора алинея, се приема и съобщава на третата страна доставчика на услуги в областта на ИКТ в 6-месечен срок, считано от получаването на заявлението.

12. Финансовите субекти ползват услугите на трета страна доставчик на услуги в областта на ИКТ, която е определена за критичен доставчик в съответствие с параграф 1, буква а) само ако въпросната трета страна е регистрирала дъщерно предприятие в Съюза в рамките на 12 месеца след определянето.

13. Третата страна критичен доставчик на услуги в областта на ИКТ, посочена в параграф 12, уведомява водещия надзорник за всякакви промени в структурата на управление на дъщерното предприятие, регистрирано в Съюза.

Член 32

Структура на надзорната рамка

1. По силата на член 57, параграф 1 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010 съвместният комитет създава надзорен форум като свой подкомитет, който да подпомага неговата работа и тази на водещия надзорник, посочен в член 31, параграф 1, буква б), по въпросите на риска в областта на ИКТ, пораждан от трета страна за финансовите сектори. Надзорният форум подготвя проектите за съвместни позиции и проектите за общи актове на съвместния комитет в тази сфера.

В надзорния форум редовно се обсъждат съответните обстоятелства във връзка с риска в областта на ИКТ и с уязвимите места на ИКТ, като се насърчава последователен подход за наблюдаване на равнището на Съюза на риска в областта на ИКТ, пораждан от трети страни.

2. Надзорният форум ежегодно прави колективна оценка на резултатите и констатациите от надзорните действия, проведени за всички трети страни критични доставчици на услуги в областта на ИКТ, и насърчава координационни мерки за подобряване на оперативната устойчивост на цифровите технологии при финансовите субекти, за възприемане на най-добрите практики с оглед на риска от концентрация на ИКТ и за проучване на начините за ограничаване на прехвърлянето на рисковете от един сектор в друг.

3. Надзорният форум представя на съвместния комитет общи референтни показатели за третите страни критични доставчици на услуги в областта на ИКТ, които показатели съвместният комитет да приеме като съвместни позиции на ЕНО съгласно член 56, параграф 1 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010.

4. В състава на надзорния форум влизат:

а) председателите на ЕНО;

б) по един представител на високо равнище от настоящия персонал на съответния компетентен орган, посочен в член 46, от всяка държава членка;

в) изпълнителните директори на всеки ЕНО, както и по един представител от Комисията, от ЕССР, от ЕЦБ и от ENISA, като наблюдатели.

г) когато е целесъобразно, по един допълнителен представител на компетентен орган, посочен в член 46, от всяка държава членка като наблюдател;

д) ако е приложимо, по един представител на компетентните органи, определени или установени в съответствие с Директива (ЕС) 2022/2555, отговарящи за надзора на съществен или важен субект, попадащ в обхвата на посочената директива, който е определен за трета страна критичен доставчик на услуги в областта на ИКТ, като наблюдател.

Надзорният форум може, когато е целесъобразно, да потърси съвет от независими експерти, назначени в съответствие с параграф 6.

5. Всяка държава членка определя съответния компетентен орган, чийто член на персонала е представителят на високо равнище, посочен в параграф 4, първа алинея, буква б), и информира за това водещия надзорник.

ЕНО публикуват на уебсайта си списъка на представителите на високо равнище от настоящия персонал на съответния компетентен орган, определени от държавите членки.

6. Независимите експерти, посочени в параграф 4, втора алинея, се назначават от надзорния форум от група експерти, избрани след публичен и прозрачен процес на кандидатстване.

Независимите експерти се назначават въз основа на експертния им опит по въпросите на финансовата стабилност, оперативната устойчивост на цифровите технологии и по въпроси, свързани със сигурността на ИКТ. Те действат независимо и обективно единствено в интерес на Съюза като цяло, като нямат право да искат, нито да приемат указания от институциите или органите на Съюза, от правителства на държави членки или от други публични органи или частни организации.

7. В съответствие с член 16 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010, до 17 юли 2024 г. ЕНО издават за целите на настоящия раздел насоки за сътрудничеството между ЕНО и компетентните органи, които обхващат подробните процедури и условия за разпределение и изпълнение на задачите между компетентните органи и ЕНО, както и подробности относно обмена на информация, необходими на компетентните органи, за да се гарантира изпълнението на препоръките по член 35, параграф 1, буква г), отправени към трети страни критични доставчици на услуги в областта на ИКТ.

8. Изискванията в настоящия раздел не засягат прилагането на Директива (ЕС) 2022/2555, нито на другите надзорни норми на Съюза, приложими за доставчиците на компютърни услуги „в облак“.

9. ЕНО, чрез съвместния комитет и въз основа на подготвителната работа, извършена от надзорния форум, ежегодно представят на Европейския парламент, Съвета и Комисията доклад за прилагането на настоящия раздел.

Член 33

Задачи на водещия надзорник

1. Водещият надзорник, определен в съответствие с член 31, параграф 1, буква б), осъществява надзор над определените трети страни критични доставчици на услуги в областта на ИКТ, и за целите на всички въпроси, свързани с надзора, е основното звено за контакт за тези трети страни критични доставчици на услуги в областта на ИКТ.

2. За целите на параграф 1 водещият надзорник оценява дали всяка трета страна критичен доставчик на услуги в областта на ИКТ разполага с подробни, надеждни и ефективни правила, процедури, механизми и договорености за управление на риска в областта на ИКТ, който може да породи за финансовите субекти.

Оценката, посочена в първа алинея, е насочена главно към услугите в областта на ИКТ, предоставяни от третата страна критичен доставчик на услуги в областта на ИКТ, поддържащи критичните или важните функции на финансовите субекти. Когато е необходимо за справяне с всички съответни рискове, тази оценка обхваща и услуги в областта на ИКТ, поддържащи функции, които не са критични или важни.

3. Оценката, посочена в параграф 2, обхваща:

а) изискванията във връзка с ИКТ за гарантиране по-специално на сигурността, наличността, непрекъснатостта, капацитета за увеличаване и качеството на услугите, предоставяни на финансовите субекти от третата страна критичен доставчик на услуги в областта на ИКТ, както и способността неотклонно да се спазват високи стандарти за наличност, автентичност, цялостност или поверителност на данните;

б) физическата сигурност, която допринася за гарантиране на сигурността на ИКТ, включително сигурността на помещенията, оборудването, центровете за данни);

в) процесите по управление на риска, включително политиките за управление на риска в областта на ИКТ, политиката за непрекъснатост на дейността на ИКТ и плановете за реакция и възстановяване на ИКТ;

г) управленските механизми за ефективно управление на риска в областта на ИКТ, включително организационна структура с ясни, прозрачни и последователни области на отговорност и правила за отчетността;

д) идентифицирането, наблюдаването и своевременното уведомяване на финансовите субекти за съществените инциденти с ИКТ, управлението и отстраняването на такива инциденти, в частност — на кибератаките;

е) механизмите за преносимост на данните, за преносимост на приложенията и за оперативна съвместимост, чрез които се осигурява ефективно упражняване от финансовите субекти на правото на прекратяване на деловите взаимоотношения;

ж) тестването на системите, инфраструктурата и контролните механизми на ИКТ;

з) одитите на ИКТ;

и) използването на съответни национални и международни стандарти, приложими за предоставянето на услугите в областта на ИКТ на финансовите субекти.

4. Въз основа на оценката, посочена в параграф 2, и в координация със съвместната мрежа за надзор (СМН), посочена в член 34, параграф 1, водещият надзорник приема ясен, подробен и обоснован индивидуален план за надзор, в който се описват годишните цели на надзора и основните действия по надзора, планирани за всяко трета страна критичен доставчик на услуги в областта на ИКТ. Този план се предава всяка година на третата страна критичен доставчик на услуги в областта на ИКТ.

Преди приемането на плана за надзор водещият надзорник предава проекта на плана за надзор на третата страна критичен доставчик на услуги в областта на ИКТ.

При получаване на проекта на плана за надзор третата страна критичен доставчик на услуги в областта на ИКТ, може в срок от 15 календарни дни да представи мотивирано становище, в което да докаже очакваното въздействие върху клиентите, които са субекти извън обхвата на настоящия регламент, и когато е целесъобразно, да формулира решения за смекчаване на рисковете.

5. След приемането на годишните планове за надзор, посочени параграф 4, и предаването им на третите страни критични доставчици на услуги в областта на ИКТ, компетентните органи могат да приемат мерки спрямо тези критични доставчици само в съгласие с водещия надзорник.

Член 34

Оперативна координация между водещите надзорници

1. За да се осигури последователен подход към надзорните дейности и да се създадат условия за координирани общи стратегии за надзор и съгласувани оперативни подходи и работни методики, тримата водещи надзорници, определени в съответствие с член 31, параграф 1, буква б), създават СМН, така че да се координират на подготвителните етапи и да се координират при провеждането на надзорните дейности по отношение на надзираваните от тях трети страни критични доставчици на услуги в областта на ИКТ, както и в хода на всякакви действия, които може да са необходими съгласно член 42.

2. За целите на параграф 1 водещите надзорници изготвят общ протокол за надзор, в който се определят подробните процедури, които трябва да се следват за осъществяване на ежедневната координация и за осигуряване на бърза комуникация и реакции. Протоколът периодично се преразглежда, за да бъдат отразени оперативните нужди, по-специално развитието на практическите договорености за надзор.

3. Водещият надзорник може според случая да се обърне към ЕЦБ и ENISA с искане да предоставят техническо становище, да споделят практически опит или да се присъединят към конкретни координационни срещи на СМН.

Член 35

Правомощия на водещия надзорник

1. За изпълнението на предвидените в настоящия раздел задачи водещият надзорник разполага със следните правомощия по отношение на критичните трети страни доставчици на услуги в областта на ИКТ:

а) да изисква цялата имаща отношение информация и документация съгласно член 37;

б) да провежда общи разследвания и проверки съгласно съответно членове 38 и 39;

в) да изисква след приключване на надзорните действия доклади, в които да са посочени предприетите от третите страни критични доставчици на услуги в областта на ИКТ, действия или корективни мерки по посочените в буква г) от настоящия параграф препоръки;

г) да издава препоръки в областите, посочени в член 33, параграф 3, по-специално за следното:

i) използване на специфични изисквания или процеси за сигурност и качество на ИКТ, по-специално за въвеждане на софтуерни пачове, актуализиране, криптиране и други мерки за защита, които водещият надзорник счита за необходими с оглед на сигурността на услугите в областта на ИКТ, предоставяни на финансовите субекти;

ii) използване на условия и изисквания — като се отчита и техническото им изпълнение, които третите страни критични доставчици на услуги в областта на ИКТ трябва да съблюдават, когато предоставят такива услуги на финансовите субекти, и които водещият надзорник смята, че са необходими, за да се предотврати появата или разрастването на точки, повредата в които може да доведе до общ отказ на системата, или за да се сведе до минимум възможното системно въздействие върху финансовия сектор на Съюза на материализирал се риск от концентрация на ИКТ;

iii)

всяко планирано възлагане на подизпълнители, когато водещият надзорник прецени, че възлагането на подизпълнители, включително споразуменията за възлагане на подизпълнители, които третата страна критичен доставчик на услуги в областта на ИКТ възнамерява да сключи с трети страни доставчици на услуги в областта на ИКТ, или с поддоставчици на ИКТ, установени в трета държава, може да породи рискове за предоставянето на услуги от финансовия субект или рискове за финансовата стабилност въз основа на прегледа на събраната в съответствие с членове 37 и 38 информация;

iv) въздържане от възлагане на подизпълнители, ако са изпълнени кумулативно следните условия:

— предвиденият подизпълнител е трета страна доставчик на услуги в областта на ИКТ, или поддоставчик на ИКТ, установен в трета държава;

— възлагането на подизпълнители се отнася до критични или важни функции на финансовия субект; както и

— водещият надзорник счита, че използването на такова възлагане на подизпълнители представлява ясен и сериозен риск за финансовата стабилност на Съюза или за финансовите субекти, включително за способността на финансовите субекти да спазват надзорните изисквания.

За целите на точка iv) от настоящата буква третите страни доставчици на услуги в областта на ИКТ, като използват образеца, посочен в член 41, параграф 1, буква б), предават на водещия надзорник информацията относно възлагането на подизпълнители.

2. При упражняване на правомощията, посочени в настоящия член, водещият надзорник:

а) осигурява редовна координация в рамките на СМН и по-специално търси съгласувани подходи, когато е целесъобразно, по отношение на надзора над третите страни критичните доставчици на услуги в областта на ИКТ;

б) взема надлежно предвид рамката, установена с Директива (ЕС) 2022/2555, и при необходимост се консултира със съответните компетентни органи, определени и установени в съответствие с посочената директива, с цел избягване на дублиране на технически и организационни мерки, които биха могли да са приложими за третите страни критични доставчици на услуги в областта на ИКТ, съгласно посочената директива;

в) се стреми да сведе до минимум, доколкото е възможно, риска от смущение в услугите, предоставяни от третите страни критични доставчици на услуги в областта на ИКТ, на клиенти, които са субекти извън обхвата на настоящия регламент.

3. Преди да упражни свое посочено в параграф 1 правомощие водещият надзорник се допитва до надзорния форум.

Преди да издаде препоръките в съответствие с параграф 1, буква г), водещият надзорник дава възможност на третата страна доставчик на услуги в областта на ИКТ да предостави в срок от 30 календарни дни съответната информация, доказваща очакваното въздействие върху клиентите, които са субекти извън обхвата на настоящия регламент, и когато е целесъобразно, да формулира решения за намаляване на рисковете.

4. Водещият надзорник информира СМН за резултатите от упражняването на правомощията, посочени в параграф 1, букви а) и б). Водещият надзорник предава без ненужно забавяне докладите по параграф 1, буква в) на СМН и на компетентните органи на финансовите субекти, използващи услугите в областта на ИКТ на тази трета страна критичен доставчик на услуги в областта на ИКТ.

5. Третите страни критични доставчици на услуги в областта на ИКТ, сътрудничат добросъвестно на водещия надзорник и му съдействат в изпълнението на задачите му.

6. В случай на пълно или частично неспазване на мерките, които се изисква да бъдат предприети във връзка с изпълнение на правомощията по параграф 1, букви а), б) и в), и след изтичането на срок от най-малко 30 календарни дни, считано от датата, на която третата страна критичен доставчик на услуги в областта на ИКТ, е получила уведомление за съответните мерки, водещият надзорник взема решение за налагане на периодични наказателни плащания, за да принуди третата страна критичен доставчик на услуги в областта на ИКТ, да започне да спазва тези мерки.

7. Периодичните наказателни плащания, посочени в параграф 6, се начисляват ежедневно, докато разпоредбите не започнат да се спазват, но не по-дълго от шест месеца, след като дадената трета страна критичен доставчик на услуги в областта на ИКТ, е бил уведомено за решението за налагането на периодичните наказателни плащания.

8. Размерът на периодичните наказателни плащания се изчислява от датата, посочена в решението за налагането им, и представлява до 1 % от средния дневен световен оборот на третата страна критичен доставчик на услуги в областта на ИКТ, през предходната финансова година. При определяне на размера на наказателното плащане водещият надзорник взема предвид следните критерии относно неспазването на мерките, посочени в параграф 6:

а) тежестта и продължителността на неспазването;

б) дали неспазването е било умишлено или поради небрежност;

в) степента на сътрудничество на третата страна доставчик на услуги в областта на ИКТ с водещия надзорник;

За целите на първа алинея, за да се гарантира последователен подход, водещият надзорник участва в консултации в рамките на СМН.

9. Наказателните плащания са административна мярка и подлежат на принудително изпълнение. Принудителното изпълнение се урежда от действащите гражданскопроцесуални норми на държавата членка, на чиято територия се извършват проверките и достъпът. Съдилищата на съответната държава членка са компетентни да разглеждат жалбите за неправомерно правоприлагане. Събраните периодични наказателни плащания се внасят в общия бюджет на Европейския съюз.

10. Водещият надзорник оповестява публично всички периодични наказателни плащания, стига такова оповестяване да не застрашава сериозно финансовите пазари, нито да причинява несъразмерно голяма вреда на засегнатите страни.

11. Преди да наложи периодичните наказателни плащания по параграф 6, водещият надзорник дава възможност на представителите на третата страна критичен доставчик на услуги в областта на ИКТ, срещу когото е възбудено дело, да бъдат изслушани във връзка с констатациите и основава решението си само на тези констатации, които въпросният доставчик е имал възможност да коментира.

Правото на защита на страната, срещу която е възбудено дело, се съблюдава строго в хода на производството. Третата страна критичен доставчик на услуги в областта на ИКТ, срещу която е възбудено дело, има право на достъп до преписката по делото при зачитане на законния интерес на други лица от опазване на търговските им тайни. Правото на достъп до преписката не се отнася до поверителната информация, нито до вътрешните подготвителни документи на водещия надзорник.

Член 36

Упражняване на правомощията на водещия надзорник извън Съюза

1. Когато целите на надзора не могат да бъдат постигнати чрез взаимодействие с дъщерното предприятие, създадено за целите на член 31, параграф 12, или чрез упражняване на надзорни дейности в помещения, намиращи се в Съюза, водещият надзорник може да упражнява правомощията, посочени в следните разпоредби, в помещения, разположени в трета държава, които са притежавани или използвани по някакъв начин за целите на предоставянето на услуги на финансови субекти от Съюза от трета страна критичен доставчик на услуги в областта на ИКТ, във връзка с неговите стопански операции, функции или услуги, включително административни, стопански или оперативни офиси, помещения, терени, сгради или други имоти:

а) в член 35, параграф 1, буква а), и

б) в член 35, параграф 1, буква б) в съответствие с член 38, параграф 2, букви а), б) и г) и член 39, параграф 1 и параграф 2, буква а).

Правомощията, посочени в първа алинея, може да бъдат упражнявани при спазване на всяко едно от следните условия:

i)водещият надзорник счита, че извършването на проверка в трета държава е необходимо, за да може той да изпълнява изцяло и ефективно задълженията си съгласно настоящия регламент;

ii)проверката в трета държава е пряко свързана с предоставянето на услуги в областта на ИКТ на финансови субекти в Съюза;

iii)съответната трета страна критичен доставчик на услуги в областта на ИКТ, е дал съгласието си за извършване на проверка в трета държава; както и

iv)съответният орган на въпросната трета държава е бил официално уведомен от водещия надзорник и не е повдигнал възражения.

2. Без да се засяга компетентността на институциите на Съюза и на държавите членки, за целите на параграф 1 ЕБО, ЕОЦКП или ЕОЗППО сключват споразумения за административно сътрудничество със съответния орган на третата държава, за да се даде възможност за безпрепятствено провеждане на проверките на нейна територия от водещия надзорник и определения от него екип за мисията му в тази трета държава. Тези споразумения за сътрудничество не пораждат правни задължения по отношение на Съюза и неговите държави членки, нито възпрепятстват държавите членки и техните компетентни органи да сключват двустранни или многостранни споразумения с въпросните трети държави и техните органи.

В споразуменията за сътрудничество се посочват най-малко следните елементи:

а)процедурите за координиране на надзорните дейности, извършвани съгласно настоящия регламент, и всяко аналогично наблюдение на риска в областта на ИКТ, пораждан от трета страна във финансовия сектор, упражнявано от съответния орган на засегнатата трета държава, включително подробности за предаване на съгласието на този орган, което да позволи на водещия надзорник и определения от него екип да проведат общи разследвания и проверки на място, както е посочено в параграф 1, първа алинея, на територията под негова юрисдикция;

б)механизма за предаване на всяка имаща отношение информация между ЕБО, ЕОЦКП или ЕОЗППО и съответния орган на засегнатата трета държава, по-специално във връзка с информацията, която може да бъде поискана от водещия надзорник съгласно член 37;

в)механизмите за своевременно уведомяване на ЕБО, ЕОЦКП или ЕОЗППО от съответния орган на засегнатата трета държава за случаите, в които за трета страна доставчик на услуги в областта на ИКТ, установена в трета държава и определена като критична съгласно член 31, параграф 1, буква а), се счита, че е нарушила изискванията, които съгласно приложимото право на тази трета държава е длъжна да спазва при предоставянето на услуги на финансови институции на нейна територия, както и приложените корективни мерки и санкции;

г)редовното предаване на актуална информация за промените в нормативната или надзорната уредба във връзка с наблюдението на риска в областта на ИКТ, пораждан от трети страни по отношение на финансовите институции в засегнатата трета държава;

д)подробностите, позволяващи, ако е необходимо, участието на един представител на съответния орган на третата държава в проверките, извършвани от водещия надзорник и определения екип.

3. Когато водещият надзорник не е в състояние да извършва надзорни дейности извън Съюза, съгласно посоченото в параграфи 1 и 2, водещият надзорник:

а) упражнява правомощията си по член 35 въз основа на всички факти и документи, с които разполага;

б) документира и обяснява всяка последица от невъзможността си да извърши предвидените надзорни дейности, както е посочено в настоящия член.

Потенциалните последици, посочени в буква б) от настоящия параграф, се вземат предвид в препоръките на водещия надзорник, издавани съгласно член 35, параграф 1, буква г).

Член 37

Искане за информация

1. Водещият надзорник може с обикновено искане или с решение да поиска от трета страна критичен доставчик на услуги в областта на ИКТ, да му предостави всички необходими за изпълнението на задълженията му по настоящия регламент сведения, включително всички имащи отношение делови или оперативни документи, договори, документация за политиките, одиторски доклади за сигурността на ИКТ, доклади за инцидентите с ИКТ, както и всяка информация за страните, на които третата страна критичен доставчик на услуги в областта на ИКТ е възложила оперативни функции или дейности.

2. Когато по силата на параграф 1 водещият надзорник изпраща обикновено искане за информация, той:

а) се позовава на настоящия член като правно основание за искането;

б) посочва целта на искането;

в) уточнява каква информация се изисква;

г) определя срока за предоставяне на информацията;

д) уведомява представителя на третата страна критичен доставчик на услуги в областта на ИКТ, от когото се иска информация, че не е задължен да я предостави, но че ако доброволно реши да го направи, предоставената информация трябва да бъде точна и неподвеждаща.

3. Когато по силата на параграф 1 водещият надзорник изисква с решение да му се предостави дадена информация, той:

а) се позовава на настоящия член като правно основание за искането;

б) посочва целта на искането;

в) уточнява каква информация се изисква;

г) определя срока за предоставяне на информацията;

д) посочва предвидените в член 35, параграф 6 периодични наказателни плащания при предоставяне на непълна информация или когато такава информация не е предоставена в срока, посочен в буква г) от настоящия параграф;

е) посочва предвиденото в членове 60 и 61 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010 право на обжалване на решението пред апелативния съвет на ЕНО и на оспорването му пред Съда на Европейския съюз (наричан по-нататък „Съдът на ЕС“).

4. Представителите на третата страна критичен доставчик на услуги в областта на ИКТ предоставят исканата информация. Надлежно упълномощени адвокати могат да предоставят информацията от името на своите клиенти. Третата страна критичен доставчик на услуги в областта на ИКТ носи пълната отговорност за предоставена непълна, неточна или подвеждаща информация.

5. Водещият надзорник изпраща без забавяне копие от решението, с което се изисква да му се предостави информация, на компетентните органи на финансовите субекти, които ползват услугите на съответната трета страна критичен доставчик на услуги в областта на ИКТ, и на СМН.

Член 38

Общи разследвания

1. С оглед на задачите си по настоящия регламент водещият надзорник, подпомаган от посочения в член 40, параграф 1 съвместен разследващ екип, може при необходимост да извършва разследвания на трети страни критични доставчици на услуги в областта на ИКТ.

2. Водещият надзорник разполага с правомощия:

а) да проверява записи, данни, процедури и други материали с отношение към изпълнението на неговите задачи, независимо от носителя, на който се съхраняват;

б) да взима или получава заверени копия или извлечения от тези записи, данни, документирани процедури, както и от всякакви други материали;

в) да призовава представителите на трета страна критичен доставчик на услуги в областта на ИКТ да дават устно или писмено обяснение на факти или документи, свързани с предмета и целта на разследването, и да записва отговорите;

г) да задава въпроси на всяко друго физическо или юридическо лице, което даде съгласие за това, с цел да събере информация, свързана с предмета на разследването;

д) да изисква записи на телефонни разговори и регистрирани преноси на данни.

3. Служителите и другите лица, оправомощени от водещия надзорник за целите на разследванията по параграф 1, упражняват правомощията си след представяне на писмено разрешение, в което са посочени предметът и целта на даденото разследване.

В разрешението се посочват и предвидените в член 35, параграф 6 периодични наказателни плащания, в случай че изисканите записи, данни, документирани процедури или други материали, или отговорите на въпросите, зададени на представителите на третата страна доставчик на услуги в областта на ИКТ, не бъдат представени или бъдат непълни.

4. Представителите на третите страни критични доставчици на услуги в областта на ИКТ, са длъжни да се подчинят на всяко разследване, разпоредено с решение на водещия надзорник. В решението се посочват предметът и целта на разследването, предвидените в член 35, параграф 6 периодични наказателни плащания, средствата за правна защита, предвидени в регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010, както и правото на оспорване на решението пред Съда.

5. В разумен срок преди да започне разследването водещият надзорник съобщава на компетентните органи на финансовите субекти, които ползват ИКТ услугите на дадената трета страна критичен доставчик на услуги в областта на ИКТ, за предвиденото разследване, както и самоличността на оправомощените лица.

Водещият надзорник подава на СМН цялата информация, получена съгласно първа алинея.

Член 39

Проверки

1. С оглед на задачите си по настоящия регламент водещият надзорник, подпомаган от посочения в член 40, параграф 1 съвместен разследващ екип, може да влиза и извършва всички необходими проверки на място във всички търговски помещения, терени или имоти на трети страни доставчици на услуги в областта на ИКТ — седалища, оперативни центрове, допълнителни помещения, както и да извършва проверки извън работното място.

За целите на упражняването на правомощията, посочени в първа алинея, водещият надзорник се консултира със СМН.

2. Длъжностните лица и други лица, упълномощени от водещия надзорник да извършват проверка, имат право:

а) да влизат във всички тези служебни помещения, терени или имоти; и

б) да запечатват всички тези служебни помещения, счетоводни книги или документи за срока и в степента, необходими за проверката.

Ако представителите на дадено трета страна критичен доставчик на услуги в областта на ИКТ, не се подчинят на дадена проверка, длъжностните лица и други лица, упълномощени от водещия надзорник, упражняват правомощията си след представяне на писмено разрешение, в което са посочени предметът и целта на проверката, както и предвидените в член 35, параграф 6 периодични наказателни плащания.

3. В разумен срок преди да започне проверката водещият надзорник уведомява компетентните органи на финансовите субекти, които ползват услугите на дадената трета страна доставчик на услуги в областта на ИКТ.

4. Проверките обхващат изцяло съответните системи на ИКТ, мрежи, устройства, информация и данни, използвани или подпомагащи предоставянето на услуги в областта на ИКТ на финансовите субекти.

5. Преди всяка планирана проверка на място водещият надзорник предизвестява в разумен срок дадената трета страна критичен доставчик на услуги в областта на ИКТ, освен ако такова предизвестие не е възможно поради извънредна или кризисна ситуация или ако с това би се накърнила ефективността на проверката или одита.

6. Третата страна критичен доставчик на услуги в областта на ИКТ се подчинява на всяка проверка на място, наредена с решение на водещия надзорник. В решението се посочват предметът и целта на проверката, датата, на която тя ще започне, предвидените в член 35, параграф 6 периодични наказателни плащания, средствата за правна защита, предвидени в регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010, както и правото на оспорване на решението пред Съда.

7. Ако служителите на водещия надзорник и другите оправомощени от него лица установят, че дадена трета страна критичен доставчик на услуги в областта на ИКТ се противопоставя на проверка, разпоредена по реда на настоящия член, водещият надзорник уведомява третата страна критичен доставчик на услуги в областта на ИКТ за последиците от такова противопоставяне, включително за възможността компетентните органи на съответните финансови субекти да изискат от финансовите субекти да прекратят сключените с него договорни споразумения.

Член 40

Текущ надзор

1. При извършването на надзорни дейности, по-специално на общи разследвания или проверки, водещият надзорник се подпомага от съвместен разследващ екип, който се сформира за всяка трета страна критичен доставчик на услуги в областта на ИКТ.

2. Съвместният разследващ екип, посочен в параграф 1, се състои от служители от:

а) ЕНО;

б) съответните компетентни органи, упражняващи надзор на финансовите субекти, на които третата страна критичен доставчик на услуги в областта на ИКТ, предоставя услуги в областта на ИКТ;

в) националния компетентен орган, посочен в член 32, параграф 4, буква д), на доброволен принцип;

г) един национален компетентен орган от държавата членка, в която е установено третата страна критичен доставчик на услуги в областта на ИКТ, на доброволен принцип.

Членовете на съвместния разследващ екип притежават експертен опит в сферата на ИКТ и операционния риск. Работата на съвместния разследващ екип се координира от определен за целта служител на водещия надзорник („координатор на водещия надзорник“).

3. В рамките на 3 месеца след като приключи дадено разследване или проверка и след като се допита до надзорния форум, водещият надзорник приема препоръки, които отправя към третата страна критичен доставчик на услуги в областта на ИКТ, съгласно правомощията, посочени в член 35.

4. Препоръките по параграф 3 се съобщават незабавно на третата страна критичен доставчик на услуги в областта на ИКТ, и на компетентните органи на финансовите субекти, на които той предоставя услуги в областта на ИКТ.

С оглед на надзорните действия водещият надзорник може да взима под внимание съответни издадени от трета страна удостоверения и вътрешни или външни одиторски доклади за ИКТ, предоставени от трета страна критичен доставчик на услуги в областта на ИКТ.

Член 41

Хармонизиране на условията за извършване на надзорните дейности

1. В рамките на съвместния си комитет ЕНО разработват проекти на регулаторни технически стандарти за:

а) информацията, която да бъде представена от трета страна доставчик на услуги в областта на ИКТ в заявлението за доброволно искане да бъде определен като критичен по смисъла на член 31, параграф 11;

б) съдържанието, структурата и формата на информацията, която се подава, оповестява или докладва от третите страни доставчици на услуги в областта на ИКТ съгласно член 35, параграф 1, включително образеца за предоставяне на информация за споразуменията за възлагане на подизпълнители;

в) критериите за определяне състава на съвместния проверяващ екип, осигуряващи балансирано участие на служителите на ЕНО и на съответните компетентни органи, тяхното определяне, задачи и работни договорености;

г) оценяването, което по силата на член 42, параграф 3 компетентните органи извършват на мерките, предприети от трети страни критични доставчици на услуги в областта на ИКТ, вследствие на препоръките на водещия надзорник.

2. ЕНО представят тези проекти на регулаторни технически стандарти на Комисията до 17 юли 2024 г.

На Комисията се делегират правомощия да допълни настоящия регламент, като приеме посочените в параграф 1 регулаторни технически стандарти в съответствие с процедурата, предвидена в членове 10—14 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010.

Член 42

Последващи действия на компетентните органи

1. В рамките на 60 календарни дни от получаването на отправените от водещия надзорник по силата на член 35, параграф 1, буква г) препоръки трети страни критични доставчици на услуги в областта на ИКТ, го уведомяват за намерението си да последват въпросните препоръки или представят аргументирано обяснение защо няма да ги последват. Водещият надзорник незабавно предава тази информация на компетентните органи на заинтересованите финансови субекти.

2. Водещият надзорник оповестява публично случаите, когато трета страна критичен доставчик на услуги в областта на ИКТ, не уведоми водещия надзорник в съответствие с параграф 1 или когато предоставеното от третата страна критичен доставчик на услуги в областта на ИКТ, обяснение бъде сметнато за недостатъчно. В публикуваната информация се разкрива самоличността на третата страна критичен доставчик на услуги в областта на ИКТ, както и видът и естеството на неспазването. Тази информация се ограничава до това, което е съществено и пропорционално за целта да се гарантира обществената осведоменост, освен в случаите, когато такова публикуване би могло да причини несъразмерна вреда на засегнатите страни или да застраши сериозно правилното функциониране и целостта на финансовите пазари или стабилността на цялата финансова система на Съюза или на част от нея.

Водещият надзорник уведомява за това публично оповестяване третата страна доставчик на услуги в областта на ИКТ.

3. Компетентните органи информират съответните финансови субекти за рисковете, установени в препоръките, отправени към третите страни критични доставчици на услуги в областта на ИКТ в съответствие с член 35, параграф 1, буква г).

При управлението на риска при ИКТ, пораждан от трета страна финансовите субекти вземат предвид рисковете, посочени в първа алинея.

4. Когато компетентен орган прецени, че даден финансов субект не отчита или не се справя в рамките на управлението на риска при ИКТ, пораждан от трети страни в достатъчна степен със специфичните рискове, посочени в препоръките, той уведомява финансовия субект за възможността да вземе решение в срок от 60 календарни дни от получаването на уведомлението съгласно параграф 6 при липсата на подходящи договорни споразумения, насочени към преодоляване на тези рискове.

5. След получаване на докладите, посочени в член 35, параграф 1, буква в), и преди да вземат решение по параграф 6 от настоящия член, компетентните органи могат доброволно да се консултират с националните компетентни органи, определени или установени в съответствие с Директива (ЕС) 2022/2555, отговарящи за надзора на съществен или важен субект, попадащ в обхвата на посочената директива, който е определен за трета страна критичен доставчик на услуги в областта на ИКТ.

6. Компетентен орган може, като последна мярка, след уведомлението, и ако е приложимо — след консултацията, както е посочено в параграфи 4 и 5 от настоящия член, по силата на член 50 да вземе решение, с което да изиска от финансов субект временно да престане, частично или изцяло, да използва или да внедрява услуга, предоставяна от дадена трета страна критичен доставчик на услуги в областта на ИКТ, докато не бъдат отстранени рисковете, установени в отправените към същия доставчик препоръки. Когато е необходимо, той може да изиска от финансовия субект да прекрати, частично или изцяло, съответните договорни споразумения, сключени с третата страна критичен доставчик на услуги в областта на ИКТ.

7. Ако трета страна критичен доставчик на услуги в областта на ИКТ откаже да приеме препоръките, като се опира на подход, различен от препоръчания от водещия надзорник, и този различен подход може да окаже неблагоприятно въздействие върху голям брой финансови субекти или значителна част от финансовия сектор, изпълняващи критични или важни функции, и ако индивидуалните предупреждения, отправени от компетентните органи, не са довели до последователни подходи за намаляване на потенциалния риск за финансовата стабилност, водещият надзорник може, след консултация с надзорния форум, да излезе по целесъобразност с необвързващи и непублични становища към компетентните органи, за да насърчи съгласувани и конвергентни мерки, свързани с последващи надзорни действия.

8. След получаването на докладите, посочени в член 35, параграф 1, буква в), когато вземат решение съгласно параграф 6 от настоящия член, компетентните органи отчитат вида и размера на риска, на който третата страна критичен доставчик на услуги в областта на ИКТ, не е обърнала внимание, както и доколко сериозно е неспазването, като се отчитат следните критерии:

а) тежестта и продължителността на неспазването;

б) дали неспазването е разкрило сериозни слабости в процедурите, системите за управление, управлението на риска и вътрешния контрол на третата страна критичен доставчик на услуги в областта на ИКТ;

в) дали неспазването е благоприятствало, предизвикало или по друг начин довело до финансово престъпление;

г) дали неспазването е било умишлено или поради небрежност;

д) дали спирането или прекратяването на договорните споразумения поражда риск за непрекъснатостта на стопанската дейност на финансовия субект, независимо от усилията на финансовия субект да избегне смущения в предоставянето на своите услуги;

е) ако е приложимо, поисканото на доброволен принцип в съответствие с параграф 5 от настоящия член становище на компетентните органи, определени или установени в съответствие с Директива (ЕС) 2022/2555, отговарящи за съществен или важен субект, попадащ в обхвата на посочената директива, който е определен за трета страна критичен доставчик на услуги в областта на ИКТ.

Компетентните органи предоставят на финансовите субекти необходимия срок, за да могат те да адаптират договорните споразумения с третите страни критични доставчици на услуги в областта на ИКТ, за да се избегнат неблагоприятните последици за тяхната оперативна устойчивост на цифровите технологии и да им се даде възможност да приложат изходните стратегии и преходните планове, посочени в член 28.

9. Решението, посочено в параграф 6 от настоящия член, се съобщава на членовете на надзорния форум, посочен в член 32, параграф 4, букви а), б) и в), и на СМН.

Третите страни критични доставчици на услуги в областта на ИКТ, засегнати от решенията по параграф 6, оказват пълно съдействие на засегнатите финансови субекти, по-специално в процеса на спиране на действието или прекратяване на договорните им споразумения.

10. Компетентните органи редовно осведомяват водещия надзорник за предприетите в хода на надзора върху финансовите субекти подходи и мерки, както и за договорните споразумения, сключени от финансовите субекти в случай на частично или цялостно пренебрегване от страна на трети страни, които са критични доставчици на услуги в областта на ИКТ, на отправените от водещия надзорник препоръки.

11. При поискване водещият надзорник може да предостави допълнителни разяснения относно издадените препоръки, за да даде насоки на компетентните органи във връзка с последващите мерки.

Член 43

Такси за упражняване на надзор

1. В съответствие с делегирания акт, посочен в параграф 2 от настоящия член, водещият надзорник начислява на третите страни критични доставчици на услуги в областта на ИКТ, такси, които изцяло покриват необходимите разходи на водещия надзорник във връзка с изпълнението на надзорните задачи съгласно настоящия регламент, включително възстановяването на всички разходи, които могат да бъдат направени в резултат на работата, извършена от съвместния разследващ екип, посочен в член 40, както и разходите за консултации, предоставени от независимите експерти, посочени в член 32, параграф 4, втора алинея, по въпроси, попадащи в обхвата на преките надзорни дейности.

Таксата, която се начислява на трета страна критичен доставчик на услуги в областта на ИКТ, покрива всички разходи, произтичащи от изпълнението на задълженията, предвидени в настоящия раздел, и е съобразена с неговия оборот.

2. На Комисията се предоставя правомощието да приеме делегиран акт в съответствие с член 57, за да допълни настоящия регламент, като определи размера на таксите и начина на плащането им, до 17 юли 2024 г.

Член 44

Международно сътрудничество

1. Без да се засяга член 36, ЕБО, ЕОЦКП и ЕОЗППО могат, в съответствие с член 33 съответно от регламенти (ЕС) № 1093/2010, (ЕС) № 1095/2010 и (ЕС) № 1094/2010 да сключват административни споразумения с регулаторните и надзорните органи на трети държави за насърчаване на международното сътрудничество във връзка с риска в областта на ИКТ, пораждан от трети страни, в различните финансови сектори, по специално чрез разработването на най-добри практики за преглед на практиките и контролните механизми за управление на риска в областта на ИКТ, мерки за ограничаване на риска и реакция при инциденти.

2. На всеки пет години ЕНО чрез съвместния си комитет представят на Европейския парламент, Съвета и Комисията съвместен поверителен доклад, в който се обобщават резултатите от съответните обсъждания с посочените в параграф 1 органи на трети държави с акцент върху развитието на риска в областта на ИКТ, пораждан от трети страни, и последиците за финансовата стабилност, целостта на пазара, защитата на инвеститорите и функционирането на вътрешния пазар.

Член 58

Клауза за преглед

1. До 17 януари 2028 г., след като се допита, по целесъобразност, до ЕБО, ЕОЦКП, ЕОЗППО и ЕССР, Комисията извършва преглед и представя доклад на Европейския парламент и на Съвета, придружен, ако е целесъобразно, от законодателно предложение. Прегледът включва най-малко следното:

а) критериите по член 31, параграф 2 за определяне на третите страни критични доставчици на услуги в областта на ИКТ;

б) доброволния характер на уведомяването за значителни киберзаплахи, посочени в член 19;

в) режима, посочен в член 31, параграф 12, и правомощията на водещия надзорник, предвидени в член 35, параграф 1, буква г), точка iv), първо тире, с цел да се оцени ефективността на тези разпоредби по отношение на осигуряването на ефективен надзор на установените в трета държава трети страни критични доставчици на услуги в областта на ИКТ, както и необходимостта от създаване на дъщерно предприятие в Съюза.

За целите на първата алинея от настоящата буква прегледът включва анализ на режима, посочен в член 31, параграф 12, включително на условията за достъп на финансовите субекти от Съюза до услуги от трети държави и наличността на такива услуги на пазара на Съюза, и взема предвид други събития на пазарите на услугите, обхванати от настоящия регламент, практическия опит на финансовите субекти и органите за финансов надзор по отношение на прилагането и съответно надзора на този режим, както и всички съответни промени в нормативната и надзорната област, които настъпват на международно равнище.

г) целесъобразността на включването в обхвата на настоящия регламент на финансовите субекти, посочени в член 2, параграф 3, буква д), като се използват автоматизирани системи за продажба, с оглед на бъдещото развитие на пазара във връзка с използването на такива системи;

д) функционирането и ефективността на СМН в подкрепа на съгласуваността на надзора и ефикасността на обмена на информация в рамките на надзорната рамка.

2. В контекста на прегледа на Директива (ЕС) 2015/2366 Комисията оценява необходимостта от повишаване на киберустойчивостта на платежните системи и дейностите по обработване на плащания и целесъобразността от разширяването на обхвата на настоящия регламент, така че да включва операторите на платежни системи и субектите, участващи в дейности по обработване на плащания. В светлината на тази оценка Комисията представя, като част от прегледа на Директива (ЕС) 2015/2366, доклад на Европейския парламент и на Съвета не по-късно от 17 юли 2023 г.

Въз основа на посочения доклад за преглед и след консултация с ЕБО, ЕЦБ и ЕССР Комисията може да представи, ако е целесъобразно и като част от законодателното предложение, което може да приеме съгласно член 108, втори параграф от Директива (ЕС) 2015/2366, предложение, с което да се гарантира, че всички оператори на платежни системи и субекти, участващи в дейности по обработване на плащания, са обект на подходящ надзор, като същевременно се отчита съществуващият надзор от страна на централната банка.

3. До 17 януари 2026 г. Комисията, след консултация с ЕНО и Комитета на европейските органи за надзор на одита, извършва преглед и представя доклад на Европейския парламент и на Съвета, придружен, ако е целесъобразно, от законодателно предложение относно целесъобразността от засилени изисквания към регистрираните одитори и одиторските дружества по отношение на оперативната устойчивост на цифровите технологии чрез включването на регистрираните одитори и одиторските дружества в обхвата на настоящия регламент или чрез изменения на Директива 2006/43/ЕО на Европейския парламент и на Съвета .

Член 59

Изменения на Регламент (ЕО) № 1060/2009

Регламент (ЕО) № 1060/2009 се изменя, както следва:

1)В приложение I, раздел А, точка 4 първата алинея се заменя със следното:

1) „Агенциите за кредитен рейтинг разполагат с надеждни административни и счетоводни процедури, механизми за вътрешен контрол, ефективни процедури за оценка на риска и ефективни контролни и защитни механизми за управление на системите на ИКТ, както се изисква от Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета (

*1 ). 2)В приложение III точка 12 се заменя със следното:

„12.Агенцията за кредитен рейтинг нарушава член 6, параграф 2, във връзка с раздел А, точка 4 от приложение I, ако не разполага с надеждни административни или счетоводни процедури, с механизми за вътрешен контрол, с ефективни процедури за оценка на риска, или с ефективни контролни или защитни механизми за управление на системите на ИКТ в съответствие с Регламент (ЕС) 2022/2554; или ако не прилага или не поддържа процедурите за вземане на решение или организационните структури, изисквани съгласно посочената точка.“

Член 60

Изменения на Регламент (ЕС) № 648/2012

Регламент (ЕС) № 648/2012 се изменя, както следва:

1)Член 26 се изменя, както следва:

а)параграф 3 се заменя със следното:

а) „3. ЦК поддържа и прилага организационна структура, която осигурява непрекъснатост и подходящо функциониране на неговите услуги и дейности. Той използва подходящи и адекватни системи, ресурси и процедури, включително системи на ИКТ, управлявани в съответствие с Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета (

*2 ). б)параграф 6 се заличава.

2)Член 34 се изменя, както следва:

а)параграф 1 се заменя със следното:

а) „1. ЦК създава, прилага и поддържа адекватна политика за непрекъснатост на дейността и план за възстановяване от катастрофи, в които са включени политика за непрекъснатост на дейността на ИКТ и планове за реакция и възстановяване на ИКТ, въведени и изпълнявани съгласно Регламент (ЕС) 2022/2554, с цел да осигури поддържането на своите функции, своевременното възстановяване на операциите и изпълнението на задълженията на ЦК.“

б)в параграф 3 първата алинея се заменя със следното:

б) „3. С цел да се гарантира последователното прилагане на настоящия член ЕОЦКП, след консултации с членовете на ЕСЦБ, разработва проекти на регулаторни технически стандарти за определяне на минималното съдържание и минималните изисквания на политиката за непрекъснатост на дейността и на плана за възстановяване при катастрофа, като се изключват политиката за непрекъснатост на дейността на ИКТ и плановете за възстановяване на ИКТ.“

3)В член 56, параграф 3 първата алинея се заменя със следното:

3) „3. С цел осигуряване на еднообразното прилагане на настоящия член ЕОЦКП разработва проекти на регулаторни технически стандарти, в които се определят детайлите на посоченото в параграф 1 заявление за регистрация, като тези технически детайли не съдържат изисквания относно управлението на риска в областта на ИКТ.“

4)В член 79 параграфи 1 и 2 се заменят със следното:

4) „1. Регистърът на трансакции идентифицира източниците на операционен риск и ги свежда до минимум също и чрез разработването на подходящи системи, механизми за контрол и процедури, включително системи на ИКТ, управлявани в съответствие с Регламент (ЕС) 2022/2554.

4) 2. Регистърът на трансакции създава, прилага и поддържа адекватна политика за непрекъснатост на дейността и план за възстановяване от катастрофа, в които са включени политика за непрекъснатост на дейността на ИКТ и планове за реакция и възстановяване на ИКТ, създадени в съответствие с Регламент (ЕС) 2022/2554, които имат за цел да осигурят поддържането на неговите функции, своевременното възстановяване на операциите и изпълнението на задълженията на регистъра на трансакции.“

5)В член 80 параграф 1 се заличава.

6)В приложение I раздел II се изменя, както следва:

а)букви а) и б) се заменят със следното:

„а)регистър на трансакции нарушава член 79, параграф 1, ако не идентифицира източниците на операционен риск или не сведе до минимум тези рискове чрез разработването на подходящи системи, механизми за контрол и процедури, включително системи на ИКТ, управлявани в съответствие с Регламент (ЕС) 2022/2554;

б)регистър на трансакции нарушава член 79, параграф 2, ако не създаде, не прилага или не поддържа адекватна политика за непрекъснатост на дейността и план за възстановяване от катастрофа, изготвени в съответствие с Регламент (ЕС) 2022/2554, с които се цели осигуряване на поддържането на неговите функции, своевременното възобновяване на операциите и изпълнението на задълженията на регистъра на трансакции;“;

б)буква в) се заличава.

7)Приложение III се изменя, както следва:

а)раздел II се изменя, както следва:

i)буква в) се заменя със следното:

„в)ЦК от ниво 2 нарушава член 26, параграф 3, ако не поддържа или не прилага организационна структура, която осигурява непрекъснатост и нормално функциониране при изпълнението на неговите услуги и дейности, или ако не използва подходящи и пропорционални системи, ресурси или процедури, включително системи на ИКТ, управлявани в съответствие с Регламент (ЕС) 2022/2554.“;

ii)буква е) се заличава;

б)в раздел III буква а) се заменя със следното:

„а)ЦК от ниво 2 нарушава член 34, параграф 1, ако не създаде, не прилага или не поддържа адекватна политика за непрекъснатост на дейността и план за реакция и възстановяване, създадени в съответствие с Регламент (ЕС) 2022/2554, с които се цели да се осигури поддържане на неговите функции, своевременно възстановяване на операциите и изпълнение на задълженията на ЦК, и позволяват най-малко възстановяването на всички трансакции към момента на смущението, за да може ЦК да продължи по надежден начин дейността си и да приключи сетълмента на определената дата;“.

Член 61

Изменения на Регламент (ЕС) № 909/2014

Член 45 от Регламент (ЕС) № 909/2014 се изменя, както следва:

1)Параграф 1 се заменя със следното:

1) „1. ЦДЦК установява източниците на операционен риск — както вътрешни, така и външни — и свежда до минимум тяхното въздействие също и чрез внедряването на подходящи основани на ИКТ инструменти, процеси и политики за ИКТ, създадени и управлявани в съответствие с Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета (

*3 ), както и чрез всякакви други подходящи инструменти, механизми за контрол и процедури, отнасящи се до другите видове операционен риск, включително до управляваните от него системи за сетълмент на ценни книжа.

2)Параграф 2 се заличава.

3)Параграфи 3 и 4 се заменят със следното:

3) „3. С оглед на запазването на своите функции, своевременното възобновяване на операциите и изпълнението на задълженията си при събития, които крият значителен риск от прекъсване на операциите, ЦДЦК създава, прилага и поддържа, за услугите, които предоставя, както и за всяка управлявана от него система за сетълмент на ценни книжа, адекватна политика за непрекъснатост на дейността и план за възстановяване от катастрофа, в които са включени политика за непрекъснатост на дейността на ИКТ и планове за реакция и възстановяване на ИКТ, установени съгласно Регламент (ЕС) 2022/2554.

3) 4. В посочения в параграф 3 план се очертава как се възстановяват всички трансакции и позиции на участниците към момента на смущението, така че участниците в ЦДЦК да могат по надежден начин да продължат дейността си и да приключат сетълмента на определената дата; както и как след смущението се възобновява функционирането на критичните информационни системи, както е предвидено в член 12, параграфи 5 и 7 от Регламент (ЕС) 2022/2554.“

4)Параграф 6 се заменя със следното:

4) „6. ЦДЦК установява, наблюдава и управлява рисковете, които пораждат за операциите му ключовите участници в управляваните от него системи за сетълмент на ценни книжа, доставчиците на услуги и на комунални услуги, другите ЦДЦК или другите пазарни инфраструктури. При поискване от компетентните и съответните органи той им предоставя информация за всички установени рискове. ЦДЦК също така уведомява без забавяне компетентния орган и съответните органи за всички оперативни инциденти, произтичащи от такива рискове, без тук да се включват рисковете в областта на ИКТ.“;

5)В параграф 7 първата алинея се заменя със следното:

5) „7. ЕОЦКП разработва в тясно сътрудничество с членовете на ЕСЦБ проект на регулаторни технически стандарти за определяне на посочените в параграфи 1 и 6 операционни рискове, различни от рисковете в областта на ИКТ, и методите за тестване на тези рискове, както и за тяхното преодоляване или свеждане до минимум, включително политиките за непрекъснатост на дейността и плановете за възстановяване от катастрофа, посочени в параграфи 3 и 4, както и методите за тяхната оценка.“

Член 62

Изменения на Регламент (ЕС) № 600/2014

Регламент (ЕС) № 600/2014 се изменя, както следва:

1)Член 27ж се изменя, както следва:

а)параграф 4 се заменя със следното:

„4.ОМП отговаря на изискванията относно сигурността на мрежовите и информационните системи, определени в Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета (

*4 ). б)в параграф 8 буква в) се заменя със следното:

„в)конкретните организационни изисквания, посочени в параграфи 3 и 5.“

2)Член 27з се изменя, както следва:

а)параграф 5 се заменя със следното:

а) „5. ДКД отговаря на изискванията относно сигурността на мрежовите и информационните системи, определени в Регламент (ЕС) 2022/2554.“;

б)в параграф 8 буква д) се заменя със следното:

„д)конкретните организационни изисквания, посочени в параграф 4.“

3)Член 27и се изменя, както следва:

а)параграф 3 се заменя със следното:

а) „3. ОМД отговаря на изискванията относно сигурността на мрежовите и информационните системи, определени в Регламент (ЕС) 2022/2554.“;

б)в параграф 5 буква б) се заменя със следното:

„б)конкретните организационни изисквания, посочени в параграфи 2 и 4.“

Член 63

Изменение на Регламент (ЕС) 2016/1011

В член 6 от Регламент (ЕС) 2016/1011 се добавя следният параграф:

„6.Администраторите на критични бенчмаркове разполагат с надеждни административни и счетоводни процедури, механизми за вътрешен контрол, ефективни процедури за оценка на риска и ефективни контролни и защитни механизми за управление на системите на ИКТ съгласно Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета (

*5 ).

Член 64

Влизане в сила и прилагане

Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейския съюз.

Прилага се от 17 януари 2025 г.