Articolul text
Text integral
RECOMANDAREA COMITETULUI EUROPEAN PENTRU RISC SISTEMIC din 2 decembrie 2021 privind un cadru paneuropean de coordonare sistemică a incidentelor cibernetice pentru autoritățile relevante (CERS/2021/17) (2022/C 134/01) CONSILIUL GENERAL AL COMITETULUI EUROPEAN PENTRU RISC SISTEMIC, având în vedere Tratatul privind funcționarea Uniunii Europene, având în vedere Acordul privind Spațiul Economic European (1), în special anexa IX, având în vedere Regulamentul (UE) nr. 1092/2010 al Parlamentului European și al Consiliului din 24 noiembrie 2010 privind supravegherea macroprudențială la nivelul Uniunii Europene a sistemului financiar și de înființare a unui Comitet european pentru risc sistemic (2), în special articolul 3 alineatul (2) literele (b) și (d) și articolele 16 și 18, având în vedere Decizia CERS/2011/1 a Comitetului european pentru risc sistemic din 20 ianuarie 2011 de adoptare a Regulamentului de procedură al Comitetului european pentru risc sistemic (3), în special articolele 18-20, întrucât: ADOPTĂ PREZENTA RECOMANDARE: SECȚIUNEA 1 RECOMANDĂRI Recomandarea A – Instituirea unui cadru paneuropean de coordonare a incidentelor cibernetice sistemice (EU-SCICF) Recomandarea B – Stabilirea punctelor de contact ale EU-SCICF Se recomandă desemnarea de către AES, BCE și fiecare stat membru, din rândul autorităților lor naționale relevante, a unui punct principal de contact care ar trebui comunicat AES. Această listă de contacte va facilita dezvoltarea cadrului și, odată ce EU-SCICF va fi instituit, punctele de contact și CERS ar trebui să fie informate în cazul unui incident cibernetic major. De asemenea, ar trebui avută în vedere coordonarea între EU-SCICF și punctul unic de contact desemnat în temeiul Directivei (UE) 2016/1148 pe care statele membre l-au instituit cu privire la securitatea rețelelor și a sistemelor informatice pentru a asigura cooperarea transfrontalieră cu alte state membre și cu Grupul de cooperare pentru rețele și sisteme informatice. Recomandarea C – Măsuri adecvate la nivelul Uniunii Se recomandă ca, pe baza rezultatelor analizelor efectuate în conformitate cu recomandarea A, Comisia să ia în considerare măsurile adecvate necesare pentru a asigura coordonarea eficace a răspunsurilor la incidentele cibernetice sistemice. SECȚIUNEA 2 PUNERE ÎN APLICARE 1. Definiții În sensul prezentei recomandări, se aplică următoarele definiții: 2. Criterii de punere în aplicare Aplicarea prezentei recomandări trebuie să țină cont de următoarele criterii: 3. Calendar pentru măsurile aplicate ca urmare a recomandării În conformitate cu articolul 17 alineatul (1) din Regulamentul (UE) nr. 1092/2010, destinatarii trebuie să comunice Parlamentului European, Consiliului, Comisiei și CERS acțiunile întreprinse drept răspuns la prezenta recomandare sau să justifice orice lipsă de acțiune. Destinatarii trebuie să transmită o astfel de comunicare în conformitate cu următoarele termene: 4. Monitorizare și evaluare Adoptată la Frankfurt pe Main, joi, 2 decembrie 2021.. Șeful secretariatului CERS, în numele Consiliului general al CERS Francesco MAZZAFERRO (1) JO L 1, 3.1.1994, p. 3. (2) JO L 331, 15.12.2010, p. 1. (3) OJ C 58, 24.2.2011, p. 4. (4) Recomandarea CERS/2013/1 a Comitetului european pentru risc sistemic din 4 aprilie 2013 privind obiectivele intermediare și instrumentele politicii macroprudențiale (JO C 170, 15.6.2013, p. 1). (5) A se vedea „Systemic cyber risk” (Riscul cibernetic sistemic), CERS, februarie 2020, disponibil pe website-ul CERS la adresa www.esrb.europa.eu (6) A se vedea „Internet Organised Crime Threat Assessment” (Evaluarea amenințării pe care o reprezintă criminalitatea organizată pe internet), Europol, 2020, disponibil pe website-ul Europol la adresa www.europol.europa.eu (7) A se vedea „IT and cyber risk: a constant challenge” (Tehnologia informației și riscul cibernetic: o provocare constantă), BCE, 2021, disponibil pe website-ul privind supravegherea bancară al BCE, la adresa www.bankingsupervision.europa.eu (8) A se vedea „Systemic cyber risk” (Riscul cibernetic sistemic), CERS, februarie 2020, disponibil pe website-ul CERS la adresa www.esrb.europa.eu (9) A se vedea „Mitigating systemic cyber risk” (Atenuarea riscului cibernetic sistemic), CERS, 2021, (publicat ulterior). (10) COM(2020) 595 final. (11) Directiva (UE) 2016/1148 a Parlamentului European și a Consiliului din 6 iulie 2016 privind măsuri pentru un nivel comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniune (JO L 194, 19.7.2016, p. 1). (12) A se vedea proiectul de articol 43 din propunerea pentru DORA. (13) A se vedea Comisia Europeană, Grupul de cooperare NIS, disponibil pe website-ul Comisiei Europene, la adresa www.ec.europa.eu (14) A se vedea Cyber Lexicon, FSB, 12 noiembrie 2018, disponibil pe website-ul FSB la adresa www.fsb.org. (15) A se vedea articolul 3 punctul 7 din DORA . (16) Regulamentul (UE) nr. 1093/2010 al Parlamentului European și al Consiliului din 24 noiembrie 2010 de instituire a Autorității europene de supraveghere (Autoritatea bancară europeană), de modificare a Deciziei nr. 716/2009/CE și de abrogare a Deciziei 2009/78/CE a Comisiei (JO L 331, 15.12.2010, p. 12). (17) Regulamentul (UE) nr. 1094/2010 al Parlamentului European și al Consiliului din 24 noiembrie 2010 de instituire a Autorității europene de supraveghere (Autoritatea europeană de asigurări și pensii ocupaționale), de modificare a Deciziei nr. 716/2009/CE și de abrogare a Deciziei 2009/79/CE a Comisiei (JO L 331, 15.12.2010, p. 48). (18) Regulamentul (UE) nr. 1095/2010 al Parlamentului European și al Consiliului din 24 noiembrie 2010 de instituire a Autorității europene de supraveghere (Autoritatea europeană pentru valori mobiliare și piețe), de modificare a Deciziei nr. 716/2009/CE și de abrogare a Deciziei 2009/77/CE a Comisiei (JO L 331, 15.12.2010, p. 84). (19) Directiva 2013/36/UE a Parlamentului European și a Consiliului din 26 iunie 2013 cu privire la accesul la activitatea instituțiilor de credit și supravegherea prudențială a instituțiilor de credit, de modificare a Directivei 2002/87/CE și de abrogare a Directivelor 2006/48/CE și 2006/49/CE (JO L 176, 27.6.2013, p. 338). (20) Regulamentul (UE) nr. 1024/2013 al Consiliului din 15 octombrie 2013 de conferire a unor atribuții specifice Băncii Centrale Europene în ceea ce privește politicile legate de supravegherea prudențială a instituțiilor de credit (JO L 287, 29.10.2013, p. 63). (21) Directiva (UE) 2015/2366 a Parlamentului European și a Consiliului din 25 noiembrie 2015 privind serviciile de plată în cadrul pieței interne, de modificare a Directivelor 2002/65/CE, 2009/110/CE și 2013/36/UE și a Regulamentului (UE) nr. 1093/2010, și de abrogare a Directivei 2007/64/CE (JO L 337, 23.12.2015, p. 35). (22) Directiva 2009/110/CE a Parlamentului European și a Consiliului din 16 septembrie 2009 privind accesul la activitate, desfășurarea și supravegherea prudențială a activității instituțiilor emitente de monedă electronică, de modificare a Directivelor 2005/60/CE și 2006/48/CE și de abrogare a Directivei 2000/46/CE (JO L 267, 10.10.2009, p. 7). (23) Directiva (UE) 2019/2034 a Parlamentului European și a Consiliului din 27 noiembrie 2019 privind supravegherea prudențială a firmelor de investiții și de modificare a Directivelor 2002/87/CE, 2009/65/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE și 2014/65/UE (JO L 314, 5.12.2019, p. 64). (24) COM(2020) 593 final. (25) Regulamentul (UE) nr. 909/2014 al Parlamentului European și al Consiliului din 23 iulie 2014 privind îmbunătățirea decontării titlurilor de valoare în Uniunea Europeană și privind depozitarii centrali de titluri de valoare și de modificare a Directivelor 98/26/CE și 2014/65/UE și a Regulamentului (UE) nr. 236/2012 (JO L 257, 28.8.2014, p. 1). (26) Regulamentul (UE) nr. 648/2012 al Parlamentului European și al Consiliului din 4 iulie 2012 privind instrumentele financiare derivate extrabursiere, contrapărțile centrale și registrele centrale de tranzacții (JO L 201, 27.7.2012, p. 1). (27) Directiva 2014/65/UE a Parlamentului European și a Consiliului din 15 mai 2014 privind piețele instrumentelor financiare și de modificare a Directivei 2002/92/CE și a Directivei 2011/61/UE (JO L 173, 12.6.2014, p. 349). (28) Directiva 2011/61/UE a Parlamentului European și a Consiliului din 8 iunie 2011 privind administratorii fondurilor de investiții alternative și de modificare a Directivelor 2003/41/CE și 2009/65/CE și a Regulamentelor (CE) nr. 1060/2009 și (UE) 1095/2010 (JO L 174, 1.7.2011, p. 1). (29) Directiva 2009/65/CE a Parlamentului European și a Consiliului din 13 iulie 2009 de coordonare a actelor cu putere de lege și a actelor administrative privind organismele de plasament colectiv în valori mobiliare (OPCVM) (JO L 302, 17.11.2009, p. 32). (30) Directiva 2009/138/CE a Parlamentului European și a Consiliului din 25 noiembrie 2009 privind accesul la activitate și desfășurarea activității de asigurare și de reasigurare (Solvabilitate II) (JO L 335, 17.12.2009, p. 1). (31) Directiva (UE) 2016/97 a Parlamentului European și a Consiliului din 20 ianuarie 2016 privind distribuția de asigurări (JO L 26, 2.2.2016, p. 19). (32) Directiva (UE) 2016/2341 a Parlamentului European și a Consiliului din 14 decembrie 2016 privind activitățile și supravegherea instituțiilor pentru furnizarea de pensii ocupaționale (IORP) (JO L 354, 23.12.2016, p.37). (33) Regulamentul (CE) nr. 1060/2009 al Parlamentului European și al Consiliului din 16 septembrie 2009 privind agențiile de rating de credit (JO L 302, 17.11.2009, p. 1) (34) Directiva 2006/43/CE a Parlamentului European a Consiliului din 17 mai 2006 privind auditul legal al conturilor anuale și al conturilor consolidate, de modificare a Directivelor 78/660/CEE și 83/349/CEE ale Consiliului și de abrogare a Directivei 84/253/CEE a Consiliului (JO L 157, 9.6.2006, p. 87). (35) Regulamentul (UE) 2016/1011 al Parlamentului European și al Consiliului din 8 iunie 2016 privind indicii utilizați ca indici de referință în cadrul instrumentelor financiare și al contractelor financiare sau pentru a măsura performanțele fondurilor de investiții și de modificare a Directivelor 2008/48/CE și 2014/17/UE și a Regulamentului (UE) nr. 596/2014 (JO L 171, 29.6.2016, p. 1). (36) Regulamentul (UE) 2020/1503 al Parlamentului European și al Consiliului din 7 octombrie 2020 privind furnizorii europeni de servicii de finanțare participativă pentru întreprinderi și de modificare a Regulamentul (UE) 2017/1129 și a Directiva (UE) 2019/1937 (JO L 347, 20.10.2020, p. 1). (37) Regulamentul nr. 575/2013 al Parlamentului European și al Consiliului din 26 iunie 2013 privind cerințele prudențiale pentru instituțiile de credit și societățile de investiții și de modificare a Regulamentului (UE) nr. 648/2012 (JO L 176, 27.6.2013, p. 1) (38) Recomandarea CERS/2011/3 a Comitetului european pentru risc sistemic din 22 decembrie 2011 privind mandatul macroprudențial al autorităților naționale (JO C 41, 14.2.2012, p. 1). ANEXĂ PRECIZAREA CRITERIILOR DE CONFORMITATE APLICABILE RECOMANDĂRILOR Recomandarea A – Instituirea unui cadru paneuropean de coordonare a incidentelor cibernetice sistemice (EU-SCICF) Pentru subrecomandarea A(1), se prevăd următoarele criterii de conformitate. Recomandarea B – Stabilirea punctelor de contact ale EU-SCICF Pentru Recomandarea B, se prevăd următoarele criterii de conformitate. Recomandarea C — Modificarea cadrului juridic al Uniunii Pentru Recomandarea C, se stabilește următorul criteriu de conformitate. Comisia ar trebui să analizeze dacă sunt necesare măsuri, inclusiv modificări ale legislației relevante a Uniunii, ca urmare a analizei efectuate în conformitate cu Recomandarea A, pentru a se asigura că AES, prin intermediul Comitetului comun și împreună cu BCE, CERS și autoritățile naționale relevante, pot dezvolta EU-SCICF în conformitate cu subrecomandarea A(1) și pentru a se asigura că AES, BCE, CERS și autoritățile naționale relevante, precum și alte autorități se pot implica în acțiuni de coordonare și schimburi de informații suficient de detaliate și de consecvente pentru a sprijini un EU-SCICF eficace.