title: Opinion of the European Central Bank of 14 May 2021 on the obligation to accept cash payments (CON/2021/18)

text: OPINION OF THE EUROPEAN CENTRAL BANK of 14 May 2021 on the obligation to accept cash payments (

text: ) Introduction and legal basis

text: On 21 April 2021 the European Central Bank (ECB) received a request from the President of Narodowy Bank Polski (NBP), acting on behalf of the President of the Republic of Poland, for an opinion on a draft law amending the Law on payment services (hereinafter the ‘draft law’). The ECB’s competence to deliver an opinion is based on Articles 127(4) and 282(5) of the Treaty on the Functioning of the European Union and the first and second indents of

text: Article 2(1) of Council Decision 98/415/EC

text: , as the draft law relates to currency matters and means of payment. In accordance with the first sentence of Article 17.5 of the Rules of Procedure of the European Central Bank, the Governing Council has adopted this opinion.

text: 1. Purpose of the draft law

text: 1.1 The purpose of the draft law, which amends the Law on payment services , is to make the acceptance of banknotes and coins issued by NBP mandatory in transactions for the provision of services and the sale of goods by merchants to consumers. As noted in the explanatory memorandum accompanying the draft law, the objective of the draft law is to take into consideration the payment habits of all social groups and the need to enable them to use the preferred form of payment, including cash payments, in Poland. In a crisis, such as the current COVID-19 pandemic, the non-acceptance of cash in retail and service outlets could have great repercussions, mainly for elderly and disabled people paying only in cash, who may suffer considerable problems satisfying basic living needs such as the purchase of food and medicine. With the development of the pandemic the non-acceptance of cash by merchants is becoming increasingly commonplace, and a study on payment practices in Poland conducted by NBP in September and October 2020 showed that around 8 % of respondents had encountered a refusal by merchants to accept legal tender cash during the pandemic. 1.2 According to the explanatory memorandum, the Polish legislator has, to date, not obliged commercial entities operating in Poland to accept cash payments. The provisions of the Law on

text: Council Decision 98/415/EC of 29 June 1998

text: on the consultation of the European Central Bank by national authorities regarding draft legislative provisions (OJ L 189, 3.7.1998, p. 42).

text: 2 The Law of 19 August 2011 on payment services (Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (Dziennik Ustaw z 2020 r., poz. 794). Narodowy Bank Polski , which provide that banknotes and coins issued by NBP are legal tender in Poland, cannot be interpreted as laying down an unconditional obligation to accept banknotes and coins, notwithstanding the fact that they have the status of legal tender . The consequences of a currency being legal tender are not specifically set out by law in Poland. Hence, the principle of freedom of contract laid down in the Polish Civil Code allows merchants to set up their activities in such a way that they conclude contracts with consumers only if the consumers agree to use only cashless payments; this could be achieved, e.g., by simply posting information about their non-acceptance of cash payments in a visible place, such as in the shop window. This is a question of including relevant provisions in a contractual relationship, rather than of the legal status of banknotes and coins . 1.3 To achieve the purpose of obligating merchants to accept payments in legal tender cash despite the principle of freedom of contract, the draft law prohibits merchants from making a contract for the provision of services or for the sale of goods dependent on the payment being cashless and from refusing payment from a consumer in legal tender banknotes and coins issued by NBP. For this purpose, the concept of a ‘merchant’ means a payee other than the consumer to whom the acquirer provides a payment service. The draft law provides the following exemptions in respect of which the obligation to accept cash does not apply: (a) business activities conducted on the internet; (b) at a business establishment where no staff is present; and (c) during a mass event (e.g. a mass entertainment or sporting event) provided that information to that effect is included in the event rules. According to the explanatory memorandum, these exemptions from the obligation to accept cash payments strike a balance between the interests of individual economic agents: on one hand, they offer merchants discretion in specific cases where non-acceptance of cash payments may be necessary, and, on the other hand, they protect consumer interests without distorting the essence of the draft law. 1.5 Finally, the draft law prohibits merchants from making surcharges or charging any additional fees for accepting payment in banknotes and coins issued by NBP or differentiating the price depending on the form of payment. As pointed out in the explanatory memorandum, the aim of this provision is to protect consumers who want to pay in cash against any additional costs of this kind.

text: 2. General observations

text: Role and importance of cash payments in society

text: 3 Law of 29 August 1997 on Narodowy Bank Polski (Ustawa z dnia 29 sierpnia 1997 r. o Narodowym Banku Polskim (Dziennik Usta

text: 4 See Article 32 of the Law of 29 August 1997 on Narodowy Bank Polski (Ustawa z dnia 29 sierpnia 1997 r. o Narodowym Banku Polskim (Dziennik Ustaw z 2020 r., poz. 2027)) and the explanatory memorandum to the draft law.

text: 5 Law of 23 April 1964 – the Civil Code (Ustawa z dnia 23 kwietnia 1964 r. – Kodeks cywilny (Dziennik Ustaw z 2020 r., poz.1740)).

text: 6 See Article 3531 of the Law of 23 April 1964 – the Civil Code (Ustawa z dnia 23 kwietnia 1964 r. – Kodeks cywilny (Dziennik Ustaw z 2020 r., poz.1740)).

text: 7 Within the meaning of Article 3(1) of the Law of 20 March 2009 on Safety at Mass Events (Ustawa z dnia 20 marca 2009 r. o bezpieczeństwie imprez masowych ((Dziennik Ustaw z 2019 r., poz.2171)). 2.1 Although electronic payment instruments are increasingly used as the preferred form for retail payments in a number of Member States, the ECB notes that cash continues to play an important role in society. The ability to pay in cash remains particularly important for certain groups in society that, for various legitimate reasons, prefer to use cash rather than other payment instruments. Cash is generally also useful as a payment instrument because it is widely accepted, fast and facilitates control over the payer’s spending. Moreover, it is the only payment instrument that allows citizens to settle a transaction in central bank money instantly . 2.2 The ECB understands that electronic payment instruments are increasingly used as a method of payment in Poland . However, the use of cash in payment transactions remains dominant in Poland, and according to the latest publicly available data the use of cash in retail payments in 2019 accounted for 54 % of the total number of payments made . A part of Polish society can be considered to be outside the banking system, including persons who do not yet, or anymore, have a bank or payment account; this excludes them from access to non-cash payment instruments. As noted in the explanatory memorandum, in line with the initial results of a survey which was carried out by NBP in September and October 2020, this group is currently estimated to be around 14 % of Polish citizens above the age of 15. 2.3 While the ECB holds a positive view of further innovation and development in the field of electronic payment instruments, the ECB also considers that cash has a unique role, as certain groups in society are unable to use electronic payment methods and other innovative payment solutions. As such, cash is a crucial payment method, especially for the elderly, young people, immigrants, the disabled, socially vulnerable citizens and anyone with limited access to digital services . There are other legitimate reasons why consumers might prefer to use cash. It is the only means of payment that can be used to settle a debt immediately and finally without an intermediary, and which is available to anyone at any given time. Additionally, cash facilitates the inclusion of the entire population in the economy by allowing financial transactions to be settled in this way; Furthermore, cash could play an important role in the event of a disturbance in the payment system . 2.4 In a crisis situation, such as the ongoing COVID-19 pandemic, the non-acceptance of cash at physical points of sale may indeed be of particular significance to the elderly and people with disabilities, or anyone unable to access cashless means of payment, and who as a consequence could face serious difficulties meeting their essential needs. 2.5 Against this background, the ECB strongly welcomes that the draft law strengthens citizens' right to pay in cash as a rule, especially in those cases where staff is present at the business

text: 8 See paragraph 2.4 of Opinion

text: ; paragraph 2.1 of Opinion

text: ; paragraph 9.2.1 of Opinion

text: ; paragraph 2.3 of Opinion

text: ; paragraph 7.2.1 of Opinion

text: . All ECB opinions are published on EUR-Lex.

text: 9 See Narodowy Bank Polski, System płatniczy w Polsce (Payment system in Poland ), p. 42, available on the NBP website at www.nbp.pl.

text: 10 See Narodowy Bank Polski, Ocena funkcjonowania polskiego systemu płatniczego w II półroczu 2020 roku System płatniczy w Polsce (Assessment of the functioning of the Polish payment system in the second half of 2020)Payment system in Poland), p. 145, available on the NBP website at www.nbp.pl.

text: 11 See paragraph 2.4 of Opinion

text: 12 See paragraph 2.1 of Opinion

text: and 9.2.1 of Opinion

text: . establishment, thus preserving the role of cash as a generally accepted means of payment. However, the ECB would like to emphasize that there may be situations, such as in the area of public transportation services or other public services, where citizens should be able to have the option to pay in cash, even if the service would be paid for through automated means. The ECB understands that alternatives to cashless payment are currently offered to a sufficient standard e.g. in case of public transport, by having nearby alternative options for purchasing a ticket in addition to the use of a cashless vending machine. The ECB also welcomes the draft law’s introduction of a provision ensuring that, to the extent that a merchant accepts cash, no surcharges may be imposed on cash payments and the monetary debt is to be settled with legal tender notes and coins at nominal value. Status of euro banknotes and coins as a legal tender 2.6 Poland is a Member State with a derogation from participating in the third stage of economic and monetary union. Although Union law only regulates the legal tender status of euro banknotes and coins, the Union framework applicable to the legal tender status of euro banknotes and coins would become directly applicable in Poland if and when the euro is introduced in Poland. Against this specific institutional backdrop, the ECB has prepared an assessment of the draft law’s provisions compared with relevant practices in the euro area, in particular as concerns the legal tender status of euro banknotes. 2.7 Under the Treaty, the European System of Central Banks (ESCB) has the basic task of promoting the smooth operation of payment systems , and the ECB has the exclusive right to authorise the issue of euro banknotes within the Union . The euro banknotes issued by the ECB and the national central banks of the euro area are the only banknotes with legal tender status within the euro area . 2.8 The concept of ‘legal tender’ has been considered by the Court of Justice of the European Union. In particular, the Court has clarified that the concept of ‘legal tender’ of a means of payment denominated in a currency unit signifies that this means of payment cannot generally be refused in settlement of a debt denominated in the same currency unit, at its full face value, with the effect of discharging the debt. In clarifying the concept of ‘legal tender’ under Union law, the Court has taken into consideration Commission Recommendation 2010/191 of 22 March 2010 on the scope and effects of legal tender of euro banknotes and coins , which provides useful guidance for the interpretation of the relevant provisions of EU law. Point 1 of Recommendation 2010/191 states that, where a payment obligation exists, the legal tender of euro banknotes and coins should imply, (a) mandatory acceptance of those banknotes and coins; (b) their acceptance at full face value; and (c) their power to discharge from payment obligations. According to the Court, this

text: 16 OJ L 83, 30.3.2010, p. 70. shows that the concept of ‘legal tender’ encompasses, inter alia, an obligation in principle to accept banknotes and coins denominated in euro for payment purposes . 2.9 Insofar as it allows the EU legislature to lay down the measures necessary for the use of the euro as the single currency, the Court clarified that Article 133 of the Treaty empowers the EU legislature alone to specify the legal rules governing the status of legal tender accorded to banknotes and coins denominated in euro, insofar as that is necessary for the use of the euro as the single currency. Such exclusive competence precludes any competence on the part of the Member States in the matter, unless they have been empowered by the European Union to do so or for the implementation of Union acts . 2.10 However, the Court further clarified that the status of legal tender calls only for acceptance in principle of banknotes and coins denominated in euro as a means of payment, not for absolute acceptance. The European Union’s exclusive competence in matters of monetary policy is without prejudice to the competence of the Member States whose currency is the euro to regulate the procedures for settling pecuniary obligations, which do not affect the principle that, as a general rule, it must be possible to discharge a payment obligation in cash. Thus, that exclusive competence does not prevent a Member State from adopting a measure which supports the legal tender status of cash payment instruments; for instance, a Member State can oblige the public administration to accept cash payments from citizens. Neither does it prevent a Member State, in the exercise of its own powers, from introducing, on legitimate public interest grounds, a derogation from that obligation for statutorily imposed payments, subject to compliance with certain conditions. In particular, the obligation to accept euro banknotes and coins could, in principle, be restricted by the Member States for reasons of public interest and subject to the principle of proportionality. This means that any such restrictions need to be proportionate to the public interest objective pursued. When limiting the possibility, recognised by EU law, of generally discharging a payment obligation in banknotes and coins denominated in euro, Member States must ensure that any measures comply with the principle of proportionality, which requires in particular that they are appropriate for achieving the legitimate objectives pursued by the legislation at issue and do not go beyond what is necessary in order to achieve those objectives . 2.11 The ECB has provided additional guidance in its opinions with respect to whether limitations may be considered to be proportionate. In particular, the ECB has noted that the broader and more general a limitation is, the stricter should be the interpretation of the requirement for the limitation to be proportionate to the objective pursued. When considering whether a limitation is proportionate, the adverse impact of the limitation in question and whether alternative measures

text: 17 See judgment of the Court of Justice of 26 January 2021, Hessischer Rundfunk, joint cases

text: and C- 423/19, ECLI:EU:C:2021:63, paragraphs 46 to 49.

text: 18 See judgment of the Court of Justice of 26 January 2021, Hessischer Rundfunk, joint cases

text: and C- 423/19, ECLI:EU:C:2021:63, paragraphs 50 to 52.

text: 19 See judgment of the Court of Justice of 26 January 2021, Hessischer Rundfunk, joint cases

text: and C- 423/19, ECLI:EU:C:2021:63, paragraphs 55 to 56 and 67 to 70. could be adopted that would fulfil the relevant objective with a less adverse impact should always be considered . 2.12 Finally, Recommendation 2010/191, as referenced by the Court, states that no surcharges should be imposed on payments with euro banknotes and coins . 2.13 Taking into account the foregoing considerations, the ECB considers the draft law to be in line with the legal tender status of euro banknotes and coins under Union law. Moreover, the ECB considers that the exceptions provided under the draft law to the general rule requiring merchants to accept payments in banknotes and coins issued by the NBP are clearly defined, not excessive and in general proportionate in view of the overall assessment of the situation, provided that the citizens in Poland are in general able to pay for basic public services, such as public transportation, with cash e.g. by using a nearby alternative point of sale in addition to a cashless vending machine. The draft law’s prohibition on surcharges on payments with banknotes and coins is also consistent with the legal tender status of euro banknotes and coins under Union law. This opinion will be published on EUR-Lex. Done at Frankfurt am Main, 14 May 2021. [signed] The President of the ECB Christine LAGARDE

text: 20 See paragraph 2.7 of Opinion

text: 21 See judgment of the Court of Justice of 26 January 2021, Hessischer Rundfunk, joint cases

text: and C- 423/19, ECLI:EU:C:2021:63, paragraph 8.


publisher: Europeiska centralbanken

sprak: en

title: Opinion of the European Central Bank of 25 May 2021 on the establishment of a register for basic enterprise data (CON/2021/19)

serie: con

text: EN ECB-PUBLIC

type: stycke

text: Introduction and legal basis

text: On 4 May 2021 the European Central Bank (ECB) received a request from the German Federal Ministry for Economic Affairs and Energy for an opinion on a draft law on the establishment and management of a register on basic enterprise data and the introduction of a national business identification number for enterprises (hereinafter the ‘draft law’). The ECB’s competence to deliver an opinion is based on Articles 127(4) and 282(5) of the Treaty on the Functioning of the European Union (TFEU) and the third and fourth indents of

text: Article 2(1) of Council Decision 98/415/EC

text: 1 , as the draft law relates to Deutsche Bundesbank and the collection, compilation and distribution of monetary, financial, banking, payment systems and balance of payments statistics. In accordance with the first sentence of Article 17.5 of the Rules of Procedure of the European Central Bank, the Governing Council has adopted this opinion.

text: The main purpose of the draft law is it to establish a central register on basic enterprise data (hereinafter, the ‘basic register’) and to introduce a national, i.e. Germany-wide, business identification number for enterprises. The basic register and the business identification number supplement the various existing registries and identification numbers which currently exist in Germany. Under the draft law, information on economic operators is made centrally available for different public authorities for the performance of various public tasks. The establishment of the basic register is an infrastructural prerequisite for a comprehensive digitalisation of administrative services in Germany and considered an important element in establishing the so-called ‘once-only’ principle according to which an enterprise only needs to register once in order to be subject to any administrative measure. The basic register aims to not only reduce the administrative burdens for businesses but also improve the quality of register data and increase the efficiency of the public administration by connecting the various existing registries.

text: Basic register and national business identification number for enterprises

text: Under the draft law, the Statistisches Bundesamt (the Federal Statistical Office) is designated as the registration authority, which is responsible for the establishment and management of the basic register 2 . The draft law also provides that the basic register is geographically and organisationally

text: Council Decision 98/415/EC of 29 June 1998

text: on the consultation of the European Central Bank by national authorities regarding draft legislative provisions (OJ L 189, 3.7.1998, p. 42).

text: Section 1, paragraph 1 of the draft law.

text: separated from the areas that assume responsibilities in federal statistics 3 . In addition, the draft law introduces a national business identification number for enterprises, which will be used to identify the enterprises recorded in the basic register unequivocally across all registers 4 . The data-receiving public authorities are entitled to store and use the national business identification number for the performance of their tasks 5 .

text: The basic register must produce consistent, complete and up-to-date data from existing data in the registries or other public data files and the Global Legal Entity Identifier Foundation. 6 Any economic unit that pursues an economic activity is covered by the basic register. 7 Basic enterprise data comprises master data, identification numbers and metadata 8 . The master data concerns information such as the name, address and legal form of the economic unit. The identification numbers to be stored range from the newly introduced national business identification number for enterprises to commercial register numbers and the Legal Entity Identifier (LEI) 9 . The metadata covers information such as the name of the register from which the data for the basic register was retrieved and the entry date in the basic register.

text: Transmission to and by the registration authority

text: For the purpose of establishing and operating the basic register, specifically nominated public authorities, such as judicial authorities or the Bundeszentralamt für Steuern (Federal Central Tax Office), transmit data to the registration authority 10 . The data must be reported in the event that an undertaking is newly created, modified or closed 11 . Additionally, the registration authority is entitled to use data from the Global Legal Entity Foundation for the purposes of establishing and maintaining the register. The Federal Statistical Office itself does not transmit any data but acts as registration authority only.

text: The registration authority may transmit data to designated public authorities provided that the transmission serves the respective purpose stipulated in the draft law 12 . The data may be transmitted to specifically designated authorities either once, when the basic register is established, or regularly and on a recurring basis in the event of the establishment, modification or closing of an undertaking 13 . Other specifically designated public authorities may receive data upon request from the registration authority in an automated procedure provided that such data is necessary for the fulfilment of the public tasks of this public authority 14 . The registration authority is to check the admissibility of the

text: Ibid.

text: Section 2 of the draft law

text: Section 2, paragraph 3 of the draft law.

text: Section 1, paragraph 2 of the draft law.

text: Section 3, paragraph 1 of the draft law.

text: Section 1, paragraph 3 of the draft law.

text: For obligations of Member States in relation to the development, attribution and maintenance of LEIs, see, in particular, Article 13(1) of Commission Delegated

text: Regulation (EU) 2017/590 of 28 July 2016

text: supplementing

text: Regulation (EU) No 600/2014

text: of the European Parliament and of the Council with regard to regulatory technical standards for the reporting of transactions to competent authorities (OJ L 87, 31.3.2017, p. 449).

text: Section 4, paragraph 1 of the draft law.

text: Section 4, paragraph 2 of the draft law.

text: Section 5, paragraph 1 of the draft law.

text: Section 5, paragraph 2 of the draft law.

text: Section 5, paragraph 3 of the draft law.

text: receipt of data by means of appropriate sampling procedures, whenever there are indications for the necessity of such checks 15 .

text: The draft law provides that Deutsche Bundesbank is one of the designated public authorities which receives data from the registration authority automatically, both at the time of establishment of the basic register and regularly and recurrently when an enterprise is newly established, modified or closed. Deutsche Bundesbank may receive the data for the purpose of storing and using the data in the ECB Register of Institutions and Affiliates Data (RIAD 16 ) 17 . As Deutsche Bundesbank is to receive data automatically under the draft law, it is not necessary for it to submit a request to the registration authority to receive data.

text: Technical measures

text: Any data transmission must be recorded and stored for two years, without prejudice to reasons that may require a longer storage or deviating statutory provisions, and non-natural persons may seek access to their transmission records 18 .

text: The registration authority is responsible for the quality assurance of the basic data in terms of completeness, accuracy, consistency and timeliness. In order to fulfil this obligation, the registration authority must introduce a procedure to clarify inconsistencies in the data 19 .

text: The registration authority must take appropriate technical and organisational security measures for the management of the basic register, the transmission of data to and by the registration authority and for the recording of data transmissions 20 . For the purpose of further defining these measures, the Federal Ministry of Finance, the Federal Ministry for Economic Affairs and Energy and the Federal Ministry of Justice and Consumer Protection are authorised to issue a joint ordinance 21 .

text: The draft law and the effectiveness of the adopted measures will be reviewed five years after the draft law enters into force 22 .

text: The ECB welcomes the introduction of a national business identification number for enterprises. The availability of a single registration number to identify enterprises promises to significantly improve the quality of master data on German entities in RIAD and thus for the European System of Central Banks (ESCB) including the ECB. Quality master data on German entities and a national business identification number supports the clear identification of individual entities and connections between them. Quality master data is a key requirement for drawing a reliable map of the global economic and financial landscape. The global economy is based on an intricate, tightly knit and extremely complex network of financial transactions that are created by a vast number of cross-border contracts

text: Ibid, final sentence.

text: Guideline

text: (EU) 2018/876

text: of the European Central Bank of 1 June 2018 on the Register of Institutions and Affiliates Data (ECB/2018/16) (OJ L 154, 18.6.2018, p. 3).

text: Section 5, paragraph 1, point 8 of the draft law.

text: Section 7 of the draft law.

text: Section 8 of the draft law.

text: Section 9 of the draft law.

text: Section 10 of the draft law.

text: Section 11 of the draft law.

text: with effects reaching across the world. This network comprises not only financial institutions, but all entities that have relationships with each other and with financial markets. Breakage of any single crucial node in this network has the potential to cause large parts of the network to unravel, with significant global implications. 23

text: A single registration number that remains valid at all times and in all locations in Germany is a very welcome development and will significantly reduce the amount of potentially erroneous register entries. Switches by an economic unit from one geographically-defined register to another are prone to generate erroneous entries in the registries, e.g. by double entries. Switches between registers may also hamper the possibility to follow a given enterprise over its lifecycle. An important precondition for the effective functioning of the system is that the proposed single registration number is unique and exclusive to each enterprise, and that it is not reused for two distinct entities though they may be active at different points in time. The completion of the envisaged ‘once-only’ principle and the timely registration and forwarding of any modifications will further contribute to these improvements. While the basic register will be very important, it will not remain the only source for basic enterprise information. The ECB understands that the draft law entitles Deutsche Bundesbank to also store and use the content of the basic register in RIAD.

text: It is of utmost importance that the ECB’s competence to use and store information that it receives from Deutsche Bundesbank is not impaired by limiting its use for ESCB purposes. In this regard, it is noted that RIAD contains the shared, multi-purpose master dataset on institutional units. It facilitates the integration of various databases operated and collected by the ECB, ESCB and the Single Supervisory Mechanism (SSM). Moreover, RIAD supports business processes across the Eurosystem and the performance of the tasks of the ESCB and the SSM. 24 It is also understood that the draft law supports the Deutsche Bundesbank’s ability to use all information available at national level to ensure that the reference information in RIAD is complete, accurate and up-to-date 25 . Furthermore, the draft law should not affect the Deutsche Bundesbank’s competence to collect the information necessary for the fulfilment of its ESCB tasks and its national law tasks 26 . The competence of the ESCB to collect information is a necessary element for assuring the fulfilment of its tasks under the TFEU and the Statute of the ESCB and the ECB. For statistical information, for instance, that competence derives directly from Article 5.1 of the Statute and from

text: Council Regulation (EC) No 2533/98

text: . 27

text: It is equally understood that the reference in the draft law to RIAD, and the draft law in general, do not impose any restrictions on the use and transmission of information within the ESCB, including any exacting restrictions on the onward transmission of information by the Deutsche Bundesbank,

text: Recommendation of the European Systemic Risk Board of 24 September 2020 on identifying legal entities (

text: ) (OJ C 403, 26.11.2020, p.1) elaborates further on the importance of having a unique identification.

text: See recital 1 of Guideline

text: (EU) 2018/876

text: Ibid.,

text: Article 4(4)

text: At the national level, the competence of the Deutsche Bundesbank to collect statistical data derives from section 18 of the Law on the Deutsche Bundesbank (Bundesbankgesetz). The competence of the Deutsche Bundesbank to collect information in general is necessary in order to carry out its tasks within the ESCB, and at national level in accordance with section 3 of the Law on the Deutsche Bundesbank.

text: Council Regulation (EC) No 2533/98 of 23 November 1998

text: concerning the collection of statistical information by the European Central Bank (OJ L 318, 27.11.1998, p. 8).

text: the ECB or the ESCB for the purpose of fulfilling the tasks of the ESCB and the SSM and for any other legitimate purposes. This includes, for example, the exchange of information for cooperative purposes with the European Statistical System, authorities responsible for supervision or financial stability, and other parties with which the ECB agrees to share information stored in RIAD in accordance with Union law and the relevant confidentiality requirements.

text: It is also important that the part of the basic register which is related to the identification of entities and respective basic classification variables 28 should be available, at a minimum, to the registered entities – e.g. banks and other financial institutions – to support their reporting activities, and ideally should also be available to the public at large. This approach would support digitalisation initiatives both at national and at European level. 29

text: This opinion will be published on EUR-Lex.

text: Done at Frankfurt am Main, 25 May 2021.

text: [signed]

text: The President of the ECB

text: Christine LAGARDE

text: This includes master data, such as national business identification number, name, address, legal status, economic sector classification, and data regarding the lifecycle of the entities.

text: One such initiative is the Integrated Reporting Framework (IReF) which is part of the broader ESCB integrated reporting strategy; further information on the IReF is available on the ECB’s website at www.ecb.europa.eu .

type: vagledning

utgivare: ecb


text: COM (2020) 595 final.

text: COM(2020) 596 final.

text: Se artikel 1.2 i förslaget till förordning.

text: Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016

text: om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen (EUT L 194, 19.7.2016, s. 1).

text: Se

text: artikel 5 i direktivet

text: om nätverks- och informationssystem.

text: Se artikel 3.15 i förslaget till förordning.

text: Se artikel 31.1 d i förslaget till förordning.

text: Se

text: artikel 15.3 i direktivet

text: om nätverks- och informationssystem.

text: COM(2020) 823 final.

text: Händelser som potentiellt skulle ha kunnat orsaka skada, men som framgångsrikt hindrades från att utvecklas fullt ut; se skäl 39 i det andra direktivet om nätverks- och informationssystem.

text: Se artikel 11 i det andra direktivet om nätverks- och informationssystem.

text: Cyber threat Intelligence Information Sharing Initiative (CIISI-EU), finns på ECB:s webbplats www.ecb.europa.eu.

text: Se artikel 42 i förslaget till förordning.

text: Se

text: artikel 8.3 i direktivet

text: om nätverks- och informationssystem.

text: Se även artiklarna 11, 26 och 27 i det andra direktivet om nätverks- och informationssystem.

text: Se artiklarna

text: 4 b

text: och

text: i Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning

text: (EG) nr 45/2001

text: och beslut nr

text: (EUT L 295, 21.11.2018, s. 39).

text: Se artikel 22 i ECBS-stadgan.

text: Europeiska centralbankens förordning

text: (EU) nr 795/2014

text: av den 3 juli 2014 om krav på övervakning av systemviktiga betalningssystem (ECB/2014/28) (EUT L 217, 23.7.2014, s. 16).

text: Finns på webbplatsen för Banken för internationell betalningsutjämning, www.bis.org.

text: Eurosystemets tillsynsram, reviderad version (juli 2016), finns på ECB:s webbplats www.ecb.europa.eu.

text: Se Eurosystemets reviderade och konsoliderade tillsynsram för elektroniska betalningsinstrument, betalningsordningar och betalningsarrangemang (PISA-ramverket), finns på ECB:s webbplats www.ecb.europa.eu.

text: En digital betalningstoken är en digital värderepresentation som har bakomliggande fordringar eller tillgångar som bokförs på annat håll och gör det möjligt att överföra värde mellan slutanvändarna. Beroende på den underliggande utformningen för digitala betalningstoken kan värde överföras utan att detta nödvändigtvis behöver involvera en central tredje part och/eller betalningskonton.

text: Överföring av värde: Åtgärd som initieras av betalaren eller på dennes vägnar eller av betalningsmottagaren och som består i överföring av medel eller digitala betalningstoken, placering eller uttag av medel till/på/från ett användarkonto, oberoende av eventuella underliggande förpliktelser mellan betalaren och betalningsmottagaren. Överföringen kan omfatta en eller flera betaltjänstleverantörer. Denna definition av överföring av värde enligt PISA-ramverket skiljer sig dessutom från det som definieras som överföring av medel enligt

text: Europaparlamentets och rådets direktiv (EU) 2015/2366 av den 25 november 2015

text: om betaltjänster på den inre marknaden, om ändring av direktiven

text: och

text: samt förordning

text: (EU) nr 1093/2010

text: och om upphävande av direktiv

text: (EUT L 337, 23.12.2015, s. 35). Såsom betalningsinstrument definieras i det direktivet kan överföring av värde enbart avse överföring av medel. Enligt det direktivet omfattar medel inte digitala betalningstoken om inte dessa token kan klassificeras som elektroniska pengar (eller mer hypotetiskt som kontotillgodohavanden).

text: Europaparlamentets och rådets direktiv 98/26/EG av den 19 maj 1998

text: om slutgiltig avveckling i system för överföring av betalningar och värdepapper (EGT L 166, 11.6.1998, s. 45).

text: Se artikel 28.5 i förslaget till förordning.

text: Se punkt 1.3 i Europeiska centralbanken yttrande av 19 februari 2021 om ett förslag till förordning om marknader för kryptotillgångar och om ändring av

text: direktiv (EU) 2019/1937

text: ). Alla ECB:s yttranden publiceras i EUR-Lex.

text: Se bilaga IIa till Europeiska centralbankens riktlinje ECB/2012/27 av den 5 december 2012 om ett transeuropeiskt automatiserat system för bruttoavveckling av betalningar i realtid (TARGET2) (EUT L 30, 30.1.2013, s. 1). Europeiska centralbankens riktlinje ECB/2012/13 av den 18 juli 2012 om TARGET2-Securities (EUT L 215, 11.8.2012, s. 19) och Europeiska centralbankens beslut ECB/2011/20 av den 16 november 2011 om detaljerade regler och förfaranden för att genomföra de kriterier enligt vilka värdepapperscentraler ges tillträde till de tjänster som TARGET2-Securities erbjuder (EUT L 319, 2.12.2011, s. 117). Se även ramavtalet för T2S och det kollektiva avtalet.

text: Se bilaga IIb till riktlinje ECB/2012/27.

text: Se

text: artikel 30.5 i Europaparlamentets och rådets förordning (EU) nr 909/2014 av den 23 juli 2014

text: om förbättrad värdepappersavveckling i Europeiska unionen och om värdepapperscentraler samt ändring av direktiv

text: och

text: och förordning

text: (EU) nr 236/2012

text: (EUT L 257, 28.8.2014. s. 1) och artikel 68 i kommissionens delegerade förordning

text: (EU) 2017/392

text: av den 11 november 2016 om komplettering av

text: Europaparlamentets och rådets förordning (EU) nr 909/2014

text: med avseende på tekniska tillsynsstandarder för auktorisationskrav, tillsynskrav och operativa krav för värdepapperscentraler (EUT L 65, 10.3.2017, s. 48).

text: Europaparlamentets och rådets förordning (EU) nr 909/2014 av den 23 juli 2014

text: och

text: och förordning

text: (EU) nr 236/2012

text: (EUT L 257, 28.8.2014, s. 1).

text: Finns på ECB:s webbplats www.ecb.europa.eu.

text: Se

text: artikel 12 i förordning (EU) nr 909/2014

text: Se även

text: artikel 13

text: och artiklarna

text: och

text: i förordning (EU) nr 909/2014.

text: Se punkt 7.3 i Europeiska centralbankens yttrande av den 6 april 2017 om identifiering av kritiska infrastrukturer för IT-säkerhet (

text: ), punkt 7.2 i Europeiska centralbankens yttrande av den 8 november 2018 om att utse samhällsviktiga tjänster och leverantörer av samhällsviktiga tjänster inom ramen för säkerhet i nätverks- och informationssystem (

text: ), punkt 3.5.2 i Europeiska centralbankens yttrande av den 2 maj 2019 om säkerhet i nätverks- och informationssystem (

text: ) och punkt 3.5.2 i Europeiska centralbankens yttrande av den 11 november 2019 om säkerhet i nätverks- och informationssystem (

text: ) (inget av dessa yttranden finns översatta till svenska).

text: Se artikel 54.5 i förslaget till förordning och

text: artikel 45.7 i förordning (EU) nr 909/2014

text: Se artikel 54.4 i förslaget till förordning och

text: artikel 45.6 i förordning (EU) nr 909/2014

text: Se artikel 11.5 i förslaget till förordning.

text: Se artikel 78.3 i kommissionens delegerade förordning

text: (EU) 2017/392

text: Se artikel 11.6 i förslaget till förordning.

text: Se artikel 3.17 i förslaget till förordning.

text: Se artikel 76.2 d och e i kommissionens delegerade förordning

text: (EU) 2017/392

text: Se artikel 78.2 och 78.3 i kommissionens delegerade förordning

text: (EU) 2017/392

text: Se

text: artikel 1.4 i förordning (EU) nr 909/2014

text: Europaparlamentets och rådets förordning (EU) nr 648/2012 av den 4 juli 2012

text: om OTC-derivat, centrala motparter och transaktionsregister (EUT L 201, 27.7.2012, s. 1).

text: Se

text: artikel 18

text: 2 g och h i Emir-förordningen.

text: Se artikel 53.2 b och 53.3 i förslaget till förordning och artikel 34.3 i Emir-förordningen.

text: Se artikel 53.2 a i förslaget till förordning.

text: Se artikel 34 i Emir-förordningen.

text: Se CPMI-Ioscos principer för finansmarknadens infrastrukturer (Principles for Financial Market Infrastructures) som finns på webbplatsen för Banken för internationell betalningsutjämning www.bis.org.

text: Rådets förordning

text: (EU) nr 1024/2013

text: av den 15 oktober 2013 om tilldelning av särskilda uppgifter till Europeiska centralbanken i fråga om politiken för tillsyn över kreditinstitut (EUT L 287, 29.10.2013, s. 63).

text: Se artiklarna

text: 4.1 e

text: och

text: i förordning (EU) nr 1024/2013.

text: Europaparlamentets och rådets förordning (EU) nr 575/2013 av den 26 juni 2013

text: om tillsynskrav för kreditinstitut och värdepappersföretag och om ändring av förordning

text: (EU) nr 648/2012

text: (EUT L 176, 27.6.2013, s. 1).

text: Europaparlamentets och rådets direktiv 2013/36/EU av den 26 juni 2013

text: om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag, om ändring av direktiv

text: och om upphävande av direktiv

text: och

text: (EUT L 176, 27.6.2013, s. 338).

text: Se skäl 8 i förslaget till förordning.

text: Se skäl 11 i förslaget till förordning.

text: Se skäl 12 i förslaget till förordning.

text: Se skäl 4 och 5 i förslaget till ändringsdirektiv.

text: Se artikel 85 i kapitalkravsdirektivet.

text: Se artikel 4.1 i förslaget till förordning.

text: Se

text: artikel 25.3

text: .4 i förslaget till förordning.

text: Se artikel 41 i förslaget till förordning.

text: Se kapitel V avsnitt II i förslaget till förordning.

text: Se rubriken Stabilitetskrav i kapitel II, avsnitt 4 i förordningen om värdepapperscentraler.

text: Se skäl 4 i förslaget till ändringsdirektiv.

text: Artikel 85 i direktiv 2013/36/EU

text: utgör bara en specificering. Se i detta avseende även s. 4, 11 och 37 i Europeiska bankmyndighetens riktlinjer för hantering av IKT-risker och säkerhetsrisker av den 29 november 2019 (nedan kallade EBA:s riktlinjer), där den allmänna rättsliga grunden uttryckligen anges som

text: artikel 74 i direktiv 2013/36/EU

text: Se artikel 41.1 i förslaget till förordning.

text: Se artikel 25.3 och 25.4 i förslaget till förordning.

text: Se även artikel 109 i kapitalkravsdirektivet.

text: Se artikel 4.1 e i SSM-förordningen.

text: Se artikel 85 i kapitalkravsdirektivet.

text: Europeiska centralbankens förordning

text: (EU) nr 468/2014

text: av den 16 april 2014 om upprättande av ramen för samarbete inom den gemensamma tillsynsmekanismen mellan Europeiska centralbanken och nationella behöriga myndigheter samt med nationella utsedda myndigheter (ramförordning om den gemensamma tillsynsmekanismen [SSM]) (ECB/2014/17) (EUT L 141, 14.5.2014, s. 1).

text: Framför allt måste cyberincidenter (upptäckta fall av eventuellt informationssäkerhetsintrång, både avsiktliga och oavsiktliga) rapporteras in till ECB om minst ett av följande villkor är uppfyllt: 1) den eventuella ekonomiska effekten uppgår till 5 miljoner euro eller 0,1 procent av kärnprimärkapitalet, 2) incidenten är offentligt rapporterad eller skadar anseendet, 3) incidenten har eskalerats till IT-ansvarig chef utöver den vanliga rapporteringen, 4) banken har anmält incidenten till en CERT-/CSIRT-enhet, säkerhetsmyndighet eller polisen, 5) en katastrof- eller kontinuitetsplan har satts i verket eller en IT-skadeanmälan har skickats in till ett försäkringsbolag, 6) lag- eller regelbrott har begåtts, 7) banken använder interna kriterier och expertbedömningar (systempåverkan möjlig) och beslutar att informera ECB.

text: Se artikel 7.3 i förslaget till förordning.

text: Se artikel 10.9 i förslaget till förordning.

text: Se artikel 5.10 i förslaget till förordning.

text: Se artikel 7 i förslaget till förordning.

text: Se artikel 19 i förslaget till förordning.

text: Se artiklarna 3.7, 17 och 18 i förslaget till förordning.

text: Se t.ex. ramverket.

text: och

text: samt förordning

text: (EU) nr 1093/2010

text: och om upphävande av direktiv

text: (EUT L 337, 23.12.2015, s. 35).

text: Se artikel 7.9 i förslaget till ändringsdirektiv.

text: Se artikel 17.3 i förslaget till förordning.

text: Se artikel 20 i förslaget till förordning.

text: Se artiklarna 21 och 22 i förslaget till förordning.

text: Se artikel 22.1 i förslaget till förordning.

text: Artiklarna 23 och 24 i förslaget till förordning.

text: Se artikel 28.3 i förslaget till förordning.

text: Se artikel 28.2 i förslaget till förordning.

text: Se artikel 29 i förslaget till förordning.

text: Se artikel 29.3 i förslaget till förordning.

text: Se artikel 35 i förslaget till förordning.

text: Se artikel 39.1 i förslaget till förordning.

text: Se artiklarna 29.4 och 37 i förslaget till förordning.

text: Se artikel 37.3 i förslaget till förordning.

text: Se domstolens dom (stora avdelningen) av den 22 januari 2014, Förenade konungariket Storbritannien och Nordirland mot Europaparlamentet och Europeiska unionens råd avseende förordning

text: (EU) nr 236/2012

text: mål C-270/12

sprak: sv

title: Europeiska centralbankens yttrande av den 4 juni 2021 om ett förslag till Europaparlamentets och rådets förordning om digital operativ motståndskraft för finanssektorn (CON/2021/20) 2021/C 343/01

text: Inledning och rättslig grund

type: rubrik

text: Den 22, 23 och 29 december 2020 mottog Europeiska centralbanken (ECB) en begäran från Europeiska unionens råd respektive Europaparlamentet om ett yttrande över ett förslag till Europaparlamentets och rådets förordning om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna

text: (EG) nr 1060/2009

text: (EU) nr 648/2012

text: (EU) nr 600/2014

text: och

text: (EU) nr 909/2014

text: (nedan kallad förslaget till förordning) och förslaget till direktiv om ändring av direktiv

text: (EU) 2015/2366

text: och

text: (EU) 2016/2341

text: (nedan kallat förslaget till ändringsdirektiv och, tillsammans med förslaget till förordning, förslagen till rättsakter).

text: ECB:s behörighet att avge ett yttrande grundas på artiklarna

text: och

text: i fördraget om Europeiska unionens funktionssätt eftersom förslagen till rättsakter innehåller bestämmelser som berör ECB:s behörighetsområden, särskilt att utforma och genomföra den monetära politiken, främja väl fungerande betalningssystem, medverka till de behöriga myndigheternas smidiga genomförande av riktlinjerna för det finansiella systemets stabilitet samt ECB:s uppgifter i fråga om tillsyn över kreditinstitut i enlighet med

text: artikel 127.2

text: första och fjärde strecksatsen och artikel 127.5 och 127.6 i fördraget. I enlighet med

text: artikel 17.5

text: första meningen i arbetsordningen för Europeiska centralbanken har detta yttrande antagits av ECB-rådet.

text: 1. Allmänna kommentarer

text: 1.1 ECB välkomnar förslaget till förordning som syftar till att öka finanssektorns cybersäkerhet och operativa motståndskraft. ECB välkomnar särskilt att förslaget till förordning syftar till att undanröja hinder för upprättandet av den inre marknaden för finansiella tjänster och förbättra dess funktion genom att se till att de tillämpliga bestämmelserna för riskhantering, rapportering, testning inom IKT-området och IKT-risker i samband med tredje parter är harmoniserade. Vidare välkomnar ECB att förslaget till förordning syftar till att rationalisera och harmonisera överlappande lagstadgade krav eller tillsynsförväntningar som finansiella enheter för närvarande omfattas av enligt unionsrätten.

text: 1.2 Vad gäller finansiella enheter som har identifierats som leverantörer av samhällsviktiga tjänster förstår ECB det som att förslaget till förordning utgör sektorsspecifik lagstiftning (lex specialis) i den mening som avses i

text: artikel 1.7 i Europaparlamentets och rådets direktiv (EU) 2016/1148

text: (nedan kallat direktivet om nätverks- och informationssystem); detta innebär att kraven enligt förslaget till förordning i princip ska ha företräde framför direktivet om nätverks- och informationssystem. I praktiken ska finansiella enheter som har identifierats som leverantörer av samhällsviktiga tjänster bland annat rapportera incidenter enligt förslaget till förordning och inte enligt direktivet om nätverks- och informationssystem. ECB välkomnar att finansiella enheter omfattas av färre potentiella överlappande krav i fråga om incidentrapportering, men samspelet mellan förslaget till förordning och direktivet om nätverks- och informationssystem bör övervägas ytterligare. Enligt förslaget till förordning kan t.ex. en tredjepartsleverantör av IKT-tjänster omfattas av rekommendationer som har utfärdats av den ledande tillsynsmyndigheten. Samtidigt kan samma tredjepartsleverantör av IKT-tjänster klassificeras som leverantör av samhällsviktiga tjänster enligt direktivet om nätverks- och informationssystem och omfattas av bindande instruktioner som har utfärdats av den behöriga myndigheten. Detta kan innebära att tredjepartsleverantörer av IKT-tjänster omfattas av motstridiga rekommendationer utfärdade enligt förslaget till förordning och bindande instruktioner utfärdade enligt direktivet om nätverks- och informationssystem. ECB föreslår att unionens lagstiftande organ ytterligare ska överväga om det förekommer inkonsekvenser mellan förslaget till förordning och direktivet om nätverks- och informationssystem som kan motverka harmoniseringen och minskningen av överlappande och motstridiga krav för finansiella enheter.

text: 1.3 Som ECB tolkar förslaget till Europaparlamentets och rådets direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, och om upphävande av

text: direktiv (EU) 2016/1148

text: (nedan kallat förslaget till det andra direktivet om nätverks- och informationssystem) kommer tillbud att omfattas av rapporteringskrav. I skäl 39 i förslaget till det andra direktivet om nätverks- och informationssystem hänvisas visserligen till innebörden av termen tillbud, men det är oklart om avsikten är att kräva att tillbud ska rapporteras av de finansiella enheter som anges i artikel 2 i förslaget till förordning. I detta avseende, och med tanke på att tillbud kan identifieras först sedan de har inträffat, skulle ECB välkomna att bli underrättad om betydande tillbud i rimlig tid, så som för närvarande är fallet för cyberincidenter. ECB föreslår en ökad samordning mellan förslaget till förordning och förslaget till det andra direktivet om nätverks- och informationssystem, så att det klargörs exakt vilka uppgifter som varje finansiell enhet ska rapportera enligt dessa separata, men sammanhängande unionsrättsakter. Samtidigt skulle tillbud behöva definieras och bestämmelser som klargör deras betydelse behöva utarbetas.

text: 1.4 ECB välkomnar att finansiella enheter uppmuntras till frivilligt utbyte av underrättelser om cyberhot i syfte att förbättra och stärka sin ställning i fråga om cyberresiliens. ECB har för egen del bistått med det marknadsdrivna initiativet för informationsutbyte av underrättelser om cyberhot (CIISI-EU) och har tillhandahållit allmänt tillgängliga modeller för hur ett sådant initiativ kan byggas upp och främjas.

text: 1.5 ECB stöder de behöriga myndigheternas samarbete i fråga om förslaget till förordning samt de europeiska tillsynsmyndigheterna och enheterna för hantering av IT-säkerhetsincidenter (Computer Security Incident Response Teams, CSIRT-enheter). Det är viktigt att utbyta information för att säkerställa unionens operativa motståndskraft, eftersom myndigheternas informationsutbyte och samarbete kan bidra till att förhindra IT-attacker och bidra till att minska spridningen av IKT-hot. Det bör eftersträvas att det råder en samsyn kring IKT-relaterade risker och säkerställas att dessa risker bedöms på ett enhetligt sätt i hela EU. Det är ytterst viktigt att de behöriga myndigheterna utbyter information med den gemensamma kontaktpunkten och de nationella CSIRT-enheterna enbart om det finns tydligt fastställda mekanismer för klassificering och informationsutbyte samt lämpliga skyddsåtgärder för att säkerställa konfidentialitet.

text: 1.6 Slutligen skulle ECB välkomna att det införs regler om personuppgifter och datalagring i enlighet med förslaget till förordning. Lagringsperiodens längd bör fastställas med hänsyn till de behöriga myndigheternas utredning, kontroll, begäran om information, kommunikation, offentliggörande, utvärdering, verifiering, bedömning och utarbetande av övervaknings- eller tillsynsplaner som de kan behöva utföra som del av sina förpliktelser och skyldigheter enligt förslaget till förordning. I detta avseende skulle en lagringsperiod på 15 år vara lämplig. Denna datalagringsperiod skulle kunna förkortas eller förlängas, beroende på omständigheterna. I detta avseende föreslår ECB att unionens lagstiftande organ även ska beakta principen om uppgiftsminimering samt behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål när de utarbetar den relevanta bestämmelsen om personuppgifter och datalagring.

text: 2. Specifika kommentarer om tillsyn samt clearing och avveckling av värdepapper

text: 2.1 ECBS och Eurosystemets tillsynsbefogenheter

text: 2.1.1 I fördraget och stadgan för Europeiska centralbankssystemet och Europeiska centralbanken. (nedan kallad ECBS-stadgan) föreskrivs att Eurosystemet ska övervaka clearing- och betalningssystemen, vilket är nära kopplat till dess grundläggande penningpolitiska uppgifter. Av

text: artikel 127.2

text: fjärde strecksatsen i fördraget samt artikel 3.1 i ECBS-stadgan framgår att en annan grundläggande uppgift för Europeiska centralbankssystemet (ECBS) är att främja väl fungerande betalningssystem. När denna grundläggande uppgift utförs får ECB och de nationella centralbankerna ställa anordningar till förfogande och ECB får utfärda förordningar för att säkerställa effektiva och sunda clearing- och betalningssystem inom unionen och i förbindelser med tredje land. I enlighet med sin övervakande roll antog ECB Europeiska centralbankens förordning

text: (EU) nr 795/2014

text: (ECB/2014/28) (nedan kallad SIPS-förordningen). Genom SIPS-förordningen genomförs, i föreskrivande form, de principer för finansmarknadens infrastrukturer som upprättades i april 2012 av kommittén för betalnings- och avvecklingssystem (PSSC) och International Organization of Securities Commissions (Iosco). Dessa principer är rättsligt bindande och omfattar systemviktiga betalningssystem såväl för större betalningar som för massbetalningar, oavsett om de utförs av en nationell centralbank i Eurosystemet eller av en privat enhet. I Eurosystemets tillsynsram anges att betalningsinstrument utgör en integrerad del av betalningssystemen och de inkluderas därmed i tillsynen. Tillsynsramen för betalningsinstrument genomgår för närvarande en översyn. Enligt denna ram definieras ett betalningsinstrument (t.ex. ett kort, en överföring, en autogirering, en överföring av elektroniska pengar och en digital betalningstoken) som personlig(a) anordning(ar) och/eller rutiner som betaltjänstanvändaren och betaltjänstleverantören har träffat avtal om och som används av betaltjänstanvändaren för att initiera en betalningsorder.

text: 2.1.2 Mot denna bakgrund välkomnar ECB att systemoperatörer enligt definitionen i

text: artikel 2 p i Europaparlamentets och rådets direktiv 98/26/EG

text: , betalningssystem (även de som drivs av centralbanker), betalningsordningar och betalningsarrangemang undantas från tillämpningsområdet för förslaget till förordning, med tanke på tillämpningen av ovannämnda tillsynsram. Av dessa skäl bör ECBS behörigheter enligt fördraget och Eurosystemets behörigheter enligt SIPS-förordningen tydligt anges i skälen och i förslaget till förordning.

text: 2.1.3 På samma sätt välkomnar ECB att de tredjepartsleverantörer av IKT-tjänster som omfattas av tillsynsmekanismer som har inrättats till stöd för uppgifter som avses i artikel 127.2 i fördraget enligt förslaget till förordning ska undantas från tillsynsramen. I samband med detta skulle ECB vilja understryka att centralbanker inom ECBS som agerar i egenskap av monetära myndigheter och Eurosystemet när det tillhandahåller tjänster via Target2, Target2-Securites (T2S) och Target Instant Payment Settlement (TIPS) inte ingår i tillämpningsområdet för förslaget till förordning och inte heller kan anses utgöra tredjepartsleverantörer av IKT-tjänster, vilket innebär att de skulle kunna klassificeras som kritiska tredjepartsleverantörer av IKT-tjänster vad gäller förslaget till förordning. Eurosystemet utövar tillsyn över T2S i samband med sitt uppdrag att säkerställa effektiva och sunda clearing- och betalningssystem. Esma har vidare klargjort att T2S inte är en kritisk tjänsteleverantör i den mening som avses i

text: (nedan kallad förordningen om värdepapperscentraler). För T2S säkerställs organisatorisk och operativ säkerhet, effektivitet och motståndskraft inte genom förordningen om värdepapperscentraler utan genom den tillämpliga rättsliga, regleringstekniska och operativa ramen samt överenskomna styrningsarrangemang eller T2S.

text: 2.1.4 Eurosystemets tillsynsram omfattar dessutom kritiska tjänsteleverantörer såsom Society for Worldwide Interbank Financial Telecommunication (SWIFT). SWIFT är ett aktiebolag med säte i Belgien som erbjuder säkra meddelandetjänster internationellt. Nationale Bank van België/Banque Nationale de Belgique är ledande tillsynsmyndighet för SWIFT och utövar enligt en samarbetsöverenskommelse tillsyn över SWIFT i samarbete med andra centralbanker i G10-länderna, inbegripet ECB. G10-ländernas tillsynsmyndigheter är införstådda med att tillsynsfokus ska ligga på SWIFT:s operativa risk, eftersom detta bedöms vara den riskkategori som i första hand skulle kunna leda till att SWIFT utgör en systemrisk för det finansiella systemet i unionen. I detta avseende har den gemensamma tillsynsgruppen för SWIFT utarbetat en uppsättning principer och förväntningar på hög nivå i fråga om SWIFT, t.ex. riskidentifiering och riskhantering, informationens säkerhet, tillförlitlighet och motståndskraft samt teknikplanering och användarkommunikation. G10-ländernas tillsynsmyndigheter förväntar sig att SWIFT ska följa Guidance on cyber resilience (ej översatt till svenska) från kommittén för betalnings- och marknadsinfrastruktur (CPMI) och styrelsen för International Organization of Securities Commissions (Iosco) samt andra internationella IKT-säkerhetsstandarder som sammantaget överträffar de krav som anges i förslaget till förordning.

text: 2.1.5 Om SWIFT och eventuellt andra tjänsteleverantörer som omfattas av Eurosystemets tillsynsram skulle tillhandahålla tjänster som inte omfattas av artikel 127.2 i fördraget, är det inte säkert att de skulle omfattas av förslaget till förordning i egenskap av tredjepartsleverantörer av IKT-tjänster. ECB är därför mycket positiv till att tjänsteleverantörer som redan omfattas av Eurosystemets tillsynsram, vilket bland annat inkluderar SWIFT, utesluts från tillsynsramens tillämpningsområde enligt förslaget till förordning.

text: 2.2 ECBS befogenheter vad gäller avveckling av värdepapper

text: 2.2.1 Värdepapperscentraler är noga reglerad finansmarknadsinfrastruktur som övervakas av olika myndigheter i enlighet med förordningen om värdepapperscentraler, som uppställer krav för avvecklingen av finansiella instrument samt regler för värdepapperscentralers organisation och uppförande. Värdepapperscentralerna bör dessutom beakta CPMI-Ioscos Guidance on cyber resilience (ej översatt till svenska) som har operationaliserats genom Cyber resilience oversight expectations for financial market infrastructures (december 2018) . Utöver de tillsynsbefogenheter som tilldelats de nationella behöriga myndigheterna enligt förordningen om värdepapperscentraler, agerar ECBS-medlemmarna som relevanta myndigheter, i sin egenskap av övervakningsmyndighet för värdepappersavvecklingssystem som drivs av värdepapperscentraler, som centralbanker ger ut de mest relevanta valutorna i vilka avveckling sker och som centralbanker i vars räkenskaper kontantdelen av transaktionerna avvecklas. I detta hänseende anges i

text: skäl 8

text: i

text: förordningen

text: om värdepapperscentraler att den förordningen inte påverkar ECB:s och de nationella centralbankernas ansvar att säkerställa effektiva och sunda clearing- och betalningssystem inom unionen och i förbindelser med andra länder. I skäl 8 anges också att förordningen om värdepapperscentraler inte bör hindra ECBS-medlemmarna från att få tillgång till information som är relevant för utförandet av deras uppgifter, inbegripet tillsyn över värdepapperscentraler och annan finansmarknadsinfrastruktur.

text: 2.2.2 ECBS-medlemmarna fungerar dessutom ofta som avvecklingsagenter för kontantdelen av värdepapperstransaktioner och Eurosystemet erbjuder avvecklingstjänster via T2S till värdepapperscentraler. Eurosystemets övervakning av T2S är kopplad till dess uppdrag att säkerställa effektiva och sunda clearing- och betalningssystem, medan de behöriga och relevanta myndigheterna för värdepapperscentraler strävar efter att säkerställa att de fungerar smidigt, att avvecklingen är säker och effektiv samt att finansmarknaderna inom respektive jurisdiktioner fungerar väl.

text: 2.2.3 Enligt förslaget till förordning ska centralbankerna i ECBS inte vara med och utarbeta tekniska standarder där IKT-risker specificeras. I förslaget till förordning anges också att relevanta myndigheter inte ska underrättas om IKT-relaterade incidenter. En centralbank i ECBS bör involveras i motsvarande utsträckning som för närvarande sker enligt förordningen om värdepapperscentraler och de relevanta myndigheterna bör underrättas om IKT-relaterade incidenter. Eurosystemet är relevant myndighet för alla värdepapperscentraler i euroområdet samt för flera andra värdepapperscentraler i EU. Centralbankerna i ECBS skulle behöva bli underrättade om IKT-relaterade incidenter som är relevanta för utförandet av deras uppgifter, inklusive tillsyn över värdepapperscentraler och annan finansmarknadsinfrastruktur. Värdepapperscentralerna exponeras mot risker, däribland IKT-risker, som kan utgöra hota välfungerande värdepapperscentraler. IKT-risker är därför viktiga för de relevanta myndigheterna, som bör få en fullständig och detaljerad översikt över dessa risker för att kunna bedöma dem och påverka värdepapperscentralernas riskhanteringsstrategi. Kraven för IKT-risker bör inte vara mindre restriktiva i förslaget till förordning än vad de är i förordningen om värdepapperscentraler och aktuella tekniska tillsynsstandarder inom detta område.

text: 2.2.4 Unionens lagstiftande organ bör dessutom klargöra samspelet mellan förslaget till förordning och de tekniska tillsynsstandarder som kompletterar förordningen om värdepapperscentraler. Det är framför allt oklart om en värdepapperscentral ska undantas från skyldigheten att ha ett sekundärt driftställe om dess tredjepartsleverantör av IKT-tjänster har ett sådant driftställe. Om värdepapperscentraler undantas från skyldigheten att ha ett sekundärt driftställe, blir det oklart vilket rättsligt värde ett sådant krav skulle ha. I förslaget till förordning hänvisas också till ett mål för återställningstid samt till punktmål för återställning för varje funktion, medan det i relevanta tekniska tillsynsstandarder görs åtskillnad mellan kritiska funktioner och kritisk verksamhet vad gäller den återställningstid som fastställts för värdepapperscentralernas kritiska verksamhet. Här behöver unionens lagstiftande organ ytterligare förtydliga och överväga samspelet mellan förslaget till förordning och de tekniska tillsynsstandarder som kompletterar förordningen om värdepapperscentraler för att avvärja risken för motstridiga krav. Slutligen bör det förtydligas att de undantag som enligt förordningen om värdepapperscentraler ska gälla för värdepapperscentraler som drivs av vissa offentliga organ ska utökas enligt förslaget till förordning.

text: 2.3 ECBS befogenheter vad gäller clearing av värdepapper

text: 2.3.1 ECBS centralbanker har anförtrotts tillsynsbefogenheter vad gäller centrala motparter. I detta avseende samarbetar Eurosystemets nationella centralbanker ofta med de relevanta nationella behöriga myndigheterna i de centrala motparternas övervakande funktioner och tillsynsfunktioner och deltar i respektive central motparts kollegium, som har upprättats i enlighet med

text: Europaparlamentets och rådets förordning (EU) nr 648/2012

text: (nedan kallad Emir-förordningen). De relevanta medlemmarna i Eurosystemet deltar i Emir-kollegier i sin tillsynsfunktion och företräder Eurosystemet i egenskap av utgivande centralbank för centrala motparter där euron är en av de valutor som är mest relevanta för clearade finansiella instrument (samt för centrala motparter utanför euroområdet som clearar en betydande del av de finansiella instrumenten i euro). ECB är utgivande centralbank för centrala motparter utanför euroområdet.

text: 2.3.2 Enligt förslaget till förordning ska centralbankerna i ECBS inte vara med och utarbeta tekniska standarder där IKT-risker specificeras. Förslaget till förordning innehåller inte heller några hänvisningar till Emir-förordningens krav på ett mål för återställningstid samt till punktmål för återställning för varje funktion. Det föreslagna regelverkets krav avseende IKT-risker bör inte vara mindre restriktiva än de nuvarande kraven. Det är därför viktigt att fastställa tydliga mål för återställningstid och punktmål för att ha en sund ram för kontinuitetshantering. Särskilda mål för återställningstid och punktmål ska upprätthållas även enligt CPMI-Ioscos Principles for Financial Market Infrastructures. Emir-förordningens nuvarande bestämmelse bör bibehållas och förslaget till förordning anpassas. Centralbankerna i ECBS bör vara delaktiga i arbetet med att ta fram sekundärlagstiftning, och unionens lagstiftande organ bör ytterligare förtydliga och överväga samspelet mellan förslaget till förordning och de kompletterande tekniska tillsynsstandarderna för att avvärja risken för motstridiga eller överlappande krav.

text: 3. Specifika kommentarer om tillsynsaspekter

text: 3.1 Genom

text: rådets förordning (EU) nr 1024/2013

text: (nedan kallad SSM-förordningen) tilldelas ECB specifika tillsynsuppgifter för kreditinstitut inom euroområdet och görs ansvarig för att den gemensamma tillsynsmekanismen (SSM) fungerar på ett effektivt och enhetligt sätt. Inom ramen för detta fördelas tillsynsuppgifterna mellan ECB och de deltagande nationella behöriga myndigheterna. Framför allt har ECB till uppgift att tilldela och återkalla auktorisationer för samtliga kreditinstitut. ECB har bland annat också till uppgift att säkerställa efterlevnad av relevant unionslagstiftning som föreskriver tillsynskrav för kreditinstitut, inbegripet kravet att ha robust företagsstyrning, såsom sunda riskhanteringsprocesser och interna kontrollmekanismer. För detta ändamål ges ECB alla tillsynsbefogenheter att ingripa i institutens verksamhet som den behöver för att utföra sina uppgifter. ECB och de relevanta nationella behöriga myndigheterna är sålunda behöriga myndigheter som utövar särskilda tillsynsbefogenheter enligt

text: Europaparlamentets och rådets förordning 2013/575/EU

text: (nedan kallad kapitalkravsförordningen) och

text: Europaparlamentets och rådets direktiv 2013/36/EU

text: (nedan kallat kapitalkravsdirektivet).

text: 3.2 I förslaget till förordning anges att det enhetliga regelverket och tillsynssystemet bör vidareutvecklas så att det omfattar digital operativ motståndskraft och IKT-säkerhet, genom att mandaten utökas för de finansiella tillsynsmyndigheter som har i uppdrag att övervaka och skydda den finansiella stabiliteten och marknadsintegriteten. Syftet är att främja en heltäckande IKT-ram eller ram för operativa risker genom harmonisering av viktiga krav på digital operativ motståndskraft för alla finansiella enheter. Förslaget till förordning syftar först och främst till att konsolidera och uppgradera de IKT-riskkrav som hittills har behandlats separat i olika unionsrättsakter.

text: 3.3 IKT-riskkraven för den finansiella sektorn är för närvarande utspridda över ett antal olika unionsrättsakter, däribland kapitalkravsdirektivet, och icke-bindande instrument (t.ex. EBA:s riktlinjer) och är heterogena och ibland ofullständiga. I vissa fall har IKT-risken enbart tagits upp implicit, som en del av operativ risk, och i andra fall har den inte tagits upp alls. Det bör åtgärdas genom att förslaget till förordning och dessa rättsakter samordnas. Förslaget till ändringsdirektiv innehåller ett antal förslag till ändringar som förefaller nödvändiga för att öka rättssäkerheten och konsekvensen när de olika kraven på digital operativ motståndskraft ska tillämpas. I de ändringar av kapitalkravsdirektivet som nu har lagts fram i förslaget till ändringsdirektiv hänvisas dock enbart till bestämmelser om beredskaps- och kontinuitetsplaner, då de enligt uppgift utgör en implicit grund för IKT-riskhantering.

text: 3.4 Enligt förslaget till förordning ska finansiella enheter, inbegripet kreditinstitut, ha interna styrnings- och kontrollramar som säkerställer en effektiv och ansvarsfull hantering av alla IKT-risker. I förslaget till förordning fastställs hur de angivna kraven ska tillämpas på individuell och konsoliderad nivå, men utan tillräcklig samordning med den sektorsspecifika lagstiftning som det hänvisas till. I förslaget till förordning anges slutligen att utan att detta påverkar tillämpningen av de bestämmelser om tillsynsramen för kritiska tredjepartsleverantörer av IKT-tjänster som avses i förslaget till förordning, ska efterlevnaden av de skyldigheter som fastställs i förslaget vad gäller kreditinstitut säkerställas av den behöriga myndighet som har utsetts i enlighet med artikel 4 i kapitalkravsdirektivet, utan att det påverkar de särskilda uppgifter som ECB tilldelas genom SSM-förordningen.

text: 3.5 Mot bakgrund av ovanstående tolkar ECB det som att syftet med förslaget till förordning vad gäller kreditinstitut, med undantag för de bestämmelser i förslaget till förordning som avser tillsynsramen för kritiska tredjepartsleverantörer av IKT-tjänster, är att föreskriva en tillsynsorienterad intern styrningsram för IKT-riskhantering som kommer att integreras i den allmänna interna styrningsramen enligt kapitalkravsdirektivet. Med tanke på det föreslagna regelverkets tillsynsfokus kommer de behöriga myndigheter som har tillsynsansvar för efterlevnaden av de skyldigheter som fastställs i det föreslagna regelverket, inbegripet ECB, att vara de myndigheter som ansvarar för banktillsyn enligt SSM-förordningen.

text: 3.6 Unionens lagstiftande organ kan därför vilja överväga följande förslag för att få ökad tydlighet och samordning mellan förslaget till förordning och kapitalkravsdirektivet. För det första: kraven i förslaget till förordning kan bedömas vara av explicit tillsynskaraktär, vilket bland annat har skett i förordningen om värdepapperscentraler. För det andra: lydelsen i skälen i förslaget till ändringsdirektiv skulle kunna föranleda en utvidgad tolkning, eftersom kraven i förslaget till förordning täcker in mer än enbart beredskaps- och kontinuitetsplaner. IKT-riskhanteringsåtgärder faller totalt sett under det mer allmänna tillämpningsområdet för en robust företagsstyrning enligt artikel 74 i kapitalkravsdirektivet. För det tredje: förslaget till förordning bör ändras så att det i skälen erinras om ECB:s behörighet i fråga om tillsyn över kreditinstitut enligt fördraget och SSM-förordningen. För det fjärde: hänvisningen till tillämpning av krav fastställda på individuell och konsoliderad nivå bör ses över med tanke på att undergruppsnivå och konsoliderad nivå inte definieras i förslaget till förordning, och vissa typer av förmedlare inte omfattas av konsoliderad tillsyn enligt den relevanta lagstiftningen (t.ex. betalningsinstitut). Tillämpningsnivån för de krav som anges i förslaget till förordning bör dessutom grundas enbart på den lagstiftning som gäller för respektive kategori av finansiell enhet. Vad gäller kreditinstitut finns ett tydligt samband mellan kapitalkravsdirektivet och förslaget till förordning, och de krav som anges i förslaget till förordning skulle därmed tillämpas automatiskt på individuell nivå, undergruppsnivå eller konsoliderad nivå, beroende på situationen. Unionens lagstiftande organ skulle slutligen kunna överväga att tillhandahålla övergångsbestämmelser för att hantera perioden från det att förslaget till förordning träder i kraft till dess att de tekniska tillsynsstandarderna gör det, med tanke på att vissa förmedlare, däribland kreditinstitut, redan omfattas av IKT-riskregler som gäller för vissa sektorer och som är mer ingående än de allmänna bestämmelserna i förslaget till förordning.

text: 3.7 ECB har enligt SSM-förordningen anförtrotts uppgiften att säkerställa kreditinstitutens efterlevnad av unionslagstiftningens krav på att kreditinstitut ska ha effektiva riskhanteringsprocesser och interna kontrollmekanismer. Detta innebär att ECB ska se till att kreditinstitut tillämpar riktlinjer och processer för att utvärdera och hantera sin exponering för operativ risk, även i fråga om modellrisk, samt för att täcka extrema händelser med stor inverkan på institutets verksamhet. Kreditinstitut ska ange vad som utgör operativ risk vid tillämpningen av dessa riktlinjer och processer.

text: 3.8 I juli 2017 antog ECB-rådet SSM-ramverket för rapportering av cyberincidenter (nedan kallat ramverket), utifrån ett utkast till förslag från tillsynsnämnden i enlighet med artiklarna 26.8 och 6.2 i SSM-förordningen och artikel 21.1 i Europeiska centralbankens förordning

text: (EU) nr 468/2014

text: (ECB/2014/17). Ramverket omfattar en bindande informationsbegäran (enskilda beslut riktade till kreditinstitut) och/eller rapportering på grundval av artikel 10 i SSM-förordningen. Vissa länder har redan en process för incidentrapportering med krav på att kreditinstitut ska rapportera alla betydande cyberincidenter till sina nationella behöriga myndigheter. I dessa länder kommer betydande kreditinstitut att fortsätta rapportera incidenter till de nationella behöriga myndigheterna, som därefter rapporterar vidare till ECB för dessa enheter under tillsyn. Ovannämnda beslut riktas därför även till dessa nationella myndigheter för att med stöd av ramverket vidarebefordra denna information till ECB. ECB stöder unionens lagstiftande organ i deras strävan att främja harmonisering och rationalisering, bland annat vad gäller regler och skyldigheter avseende kreditinstitutens incidentrapportering. ECB är därför beredd att vid behov ändra (och eventuellt upphäva) ramverket, inför ett slutligt antagande av förslaget till förordning.

text: 4. Specifika kommentarer om IKT-riskhantering, incidentrapportering, testning av operativ motståndskraft samt IKT-tredjepartsrisk

text: 4.1 IKT-riskhantering

text: 4.1.1 ECB välkomnar att det enligt förslaget till förordning ska införas en stabil och heltäckande IKT-riskhanteringsram som omfattar CPMI-IOSCO:s Guidance on cyber resilience och som i hög grad är i linje med bästa praxis, inklusive Eurosystemets Cyber Resilience Oversight Expectations for FMIs.

text: 4.1.2 ECB stöder tanken att finansiella enheter ska göra en riskbedömning vid varje större förändring av nätverks- och informationssystemets infrastruktur. Förslaget till förordning innehåller dock ingen definition av större förändring, vilket ger de finansiella enheter ett oönskat utrymme att göra olika tolkningar, vilket i förlängningen skulle kunna försvåra harmoniseringsmålen med förslaget till förordning. För rättssäkerhetens skull kan unionens lagstiftande organ vilja överväga att införa en definition av större förändring i förslaget till förordning.

text: 4.1.3 ECB stöder i princip tanken att andra finansiella enheter än mikroföretag ska rapportera relevanta kostnader och förluster som orsakas av IKT-avbrott och IKT-relaterade incidenter till de behöriga myndigheterna. Men för att säkerställa systemets övergripande effektivitet och undvika alltför många rapporter för behöriga myndigheter och finansiella enheter kan det vara en idé för unionens lagstiftande organ att införa relevanta tröskelvärden, eventuellt av kvantitativ art.

text: 4.1.4 ECB ser det som fullt möjligt att de finansiella enheterna, efter godkännande av behöriga myndigheter, får delegera uppgiften att kontrollera efterlevnaden av IKT-riskhanteringskraven till koncerninterna eller externa företag. Samtidigt är det viktigt att unionens lagstiftande organ förtydligar hur de behöriga myndigheternas godkännande skulle beviljas i de fall då en finansiell enhet har flera behöriga myndigheter. Detta skulle kunna inträffa om en finansiell enhet är ett kreditinstitut, en leverantör av tjänster för kryptotillgångar och/eller en betaltjänstleverantör. Vad gäller den identifiering och klassificering som finansiella enheter ska utföra enligt förslaget till förordning anser ECB slutligen att förslaget till förordning även bör omfatta ett krav på att finansiella enheter ska beakta tillgångars kritikalitet (dvs. om de stöder kritiska funktioner) när tillgångar klassificeras.

text: 4.2 Incidentrapportering

text: 4.2.1 ECB välkomnar att förslaget till förordning syftar till att harmonisera förutsättningarna för rapportering av IKT-incidenter inom unionen samt att arbeta för en centraliserad rapportering av större IKT-relaterade incidenter. Om det införs harmoniserade regler för att rapportera större IKT-relaterade incidenter till relevanta behöriga myndigheter, skulle detta i princip innebära att rapporteringsbördan rationaliseras och harmoniseras för finansiella enheter, inbegripet kreditinstitut. Behöriga myndigheter skulle gynnas av att tillämpningsområdet för incidenter utökas och omfattar mer än de cyberrelaterade incidenter som för närvarande täcks av det befintliga regelverket. Ett framtida antagande av förslaget till förordning skulle innebära att befintliga regelverk, däribland SSM-ramverket för rapportering av cyberincidenter, skulle behöva ses över och eventuellt upphävas. Men om alla regelverk ska rationaliseras och samordnas fullt ut är det helt avgörande att tillämpningsområdet för incidentrapporteringsbestämmelserna i förslaget till förordning, inbegripet samtliga relevanta definitioner, tröskelvärden och rapporteringsparametrar, är helt i linje med relevanta regelverk. Det är framför allt av yttersta vikt att säkerställa att förslaget till förordning är i linje med

text: Europaparlamentets och rådets direktiv (EU) 2015/2366

text: (nedan kallat PSD2) och EBA:s riktlinjer för rapportering vid allvarliga incidenter (nedan kallat EBA:s riktlinjer). Förslaget till ändringsdirektiv innehåller ändringar till PSD2 vad gäller avgränsningen av incidentrapporteringen mellan förslaget till förordning och PSD2. Dessa ändringar skulle främst påverka betaltjänstleverantörer, som även kan vara auktoriserade som kreditinstitut, samt behöriga myndigheter. Det finns en otydlighet när det gäller incidentrapporteringsprocessen samt en potentiell överlappning mellan vissa av de incidenter som behöver rapporteras enligt både förslaget till förordning och EBA:s riktlinjer.

text: 4.2.2 Med de rapporteringsprocesser för större incidenter som anges i förslaget till förordning, PSD2 och motsvarande EBA-riktlinjer skulle betaltjänstleverantörer behöva lämna en incidentrapport till respektive behörig myndighet så snart incidenten har klassificerats. I de första rapporterna anges nämligen inte incidentens art, orsak eller vilket funktionsområde som påverkas av incidenten och detta är något betaltjänstleverantörer kanske kan fastställa först längre fram, när det finns mer ingående information om incidenten. Detta innebär att de första incidentrapporterna kan lämnas både enligt förslaget till förordning och EBA:s riktlinjer. Betaltjänstleverantörer kan också välja en enda rapporteringsram och korrigera sina inlämnade rapporter längre fram. Samma osäkerhet (t.ex. vad gäller grundorsaken till en incident) kan även förekomma i del- och slutrapporter. Även detta skulle kunna innebära att rapporter lämnas in parallellt till de myndigheter som är behöriga enligt förslaget till förordning respektive PSD2.

text: 4.2.3 Vissa incidenter som kan klassificeras som IKT-relaterade incidenter kan även påverka andra områden och skulle därmed behöva rapporteras enligt EBA:s riktlinjer. Detta kan t.ex. förekomma om en incident har påverkan i ett IKT-perspektiv, men samtidigt har direkt påverkan på tillhandahållandet av betalningstjänster och/eller har påverkat funktionsområden eller kanaler som inte omfattar IKT. I vissa fall är det kanske inte heller möjligt att skilja mellan operativa och IKT-relaterade incidenter. Enligt förslaget till förordning skulle dessutom en finansiell enhet som är både betydande kreditinstitut och betaltjänstleverantör behöva rapportera samma IKT-relaterade incident två gånger, eftersom enheten omfattas av två behöriga myndigheter. Mot denna bakgrund behöver förslaget till förordning förtydligas när det gäller hur samspelet mellan PSD2 och EBA:s riktlinjer är tänkt att fungera i praktiken. För en harmonisering och rationalisering av rapporteringskraven är det framför allt viktigt att unionens lagstiftande organ beaktar de frågor som ännu kvarstår vad gäller dubbelrapportering samt att det förtydligas om förslaget till förordning respektive PSD2 och EBA:s riktlinjer kommer att existera parallellt eller om det ska finnas en enda uppsättning incidentrapporteringskrav.

text: 4.2.4. I förslaget till förordning införs kravet att behöriga myndigheter ska bekräfta mottagandet av anmälan när de har mottagit en rapport och så snart som möjligt lämna all nödvändig återkoppling eller vägledning till den finansiella enheten, särskilt för att diskutera avhjälpande åtgärder på enhetsnivå eller sätt att minimera de negativa effekterna inom alla olika sektorer. Detta skulle innebära att de behöriga myndigheterna är aktivt delaktiga i arbetet med att hantera och avhjälpa incidenter samtidigt som de bedömer hur en enhet under tillsyn har hanterat kritiska incidenter. ECB understryker att det klart och tydligt bör anges att det uteslutande är den finansiella enheten som har ansvar och ägarskap för avhjälpandet och konsekvenserna av en incident. ECB skulle därför föreslå att återkopplingen och vägledningen begränsas till tillsyn på hög nivå. För att kunna ge mer omfattande återkoppling skulle det behövas en kategori av specialister med mycket ingående teknisk kunskap som kanske normalt inte ingår i tillsynsmyndigheternas rekryteringsbas.

text: 4.3 Testning av digital operativ motståndskraft

text: 4.3.1 ECB välkomnar kraven i förslaget till förordning om att alla finansiella enheter ska testa sin digitala operativa motståndskraft samt att alla institut behöver ha ett eget testningsprogram Förslaget till förordning innehåller en beskrivning av olika kategorier av tester som ska vara vägledande för de finansiella enheterna. Det är inte helt uppenbart vilken kategori av tester det handlar om och vissa tester, t.ex. kompatibilitetstester, frågeformulär eller scenariobaserade tester, kan dessutom tolkas på olika sätt av europeiska tillsynsmyndigheter, behöriga myndigheter eller finansiella enheter. Det finns dessutom ingen vägledning om hur ofta varje test ska genomföras. Ett tänkbart tillvägagångssätt skulle kunna vara att generiska testningskrav anges i förslaget till förordning, medan olika typer av tester beskrivs mer ingående i tekniska tillsyns- och genomförandestandarder.

text: 4.3.2 Hotstyrd penetrationstestning (threat-led penetration testing, TLPT) är ett kraftfullt verktyg för att testa säkerhetsförsvar och beredskap. ECB uppmuntrar därför finansiella enheter att använda TLPT. Med detta verktyg testas inte enbart tekniska åtgärder, utan även personal och processer. Resultaten från dessa tester kan leda till att den högsta ledningen på de testade enheterna blir betydligt mer säkerhetsmedveten. Det europeiska ramverket för hotunderrättelsebaserade, etiska red teaming-insatser (European Framework for Threat Intelligence Based Ethical Red-teaming (TIBER-EU) och andra TLPT-verktyg utanför unionen är de instrument som enheter i första hand kan använda för att på egen hand bedöma, testa, träna och stärka sin ställning och försvarsförmåga i fråga om cyberresiliens.

text: 4.3.3 I de flesta medlemsstater där TIBER-EU har införts är övervakande myndigheter och tillsynsmyndigheter inte aktivt delaktiga i arbetet med att genomföra ett lokalanpassat TIBER-XX-program, och TIBER-cyberteamet (TCT) agerar nästan alltid oberoende i förhållande till dessa funktioner. De avancerade tester som anges i förslaget till förordning, i form av TLPT, bör därför genomföras som ett verktyg för att stärka det finansiella ekosystemet och öka den finansiella stabiliteten och inte som ett rent tillsynsverktyg. Det finns heller inget behov av att utveckla en ny avancerad ram för testning av cyberresiliens, eftersom medlemsstaterna redan i stor utsträckning har infört TIBER-EU, som för närvarande är den enda ramen i EU av den här kategorin.

text: 4.3.4 Kraven på testare bör inte anges i artikeldelen i förslaget till förordning, eftersom den TLPT-relaterade sektorn fortfarande är under utveckling och angivna specifika krav kan hämma innovation. För att säkerställa en hög grad av oberoende i samband med testning anser dock ECB att de finansiella enheterna inte bör anställa eller kontraktera testare som är anställda eller kontrakterade av finansiella enheter i samma grupp eller av finansiella enheter som på annat sätt ägs och/eller kontrolleras av de finansiella enheter som ska testas.

text: 4.3.5 För att minska risken för fragmentering och säkerställa harmonisering bör det i förslaget till förordning förordas en specifik TLPT-ram som ska tillämpas på den finansiella sektorn i hela unionen. Fragmentering kan leda till ökade kostnader och högre krav på tekniska, operativa och finansiella resurser, både för behöriga myndigheter och för finansinstitut. Dessa ökade kostnader och krav kan i förlängningen få negativa konsekvenser för det ömsesidiga erkännandet av tester. Avsaknaden av harmonisering och de problem det kan leda till i fråga om ömsesidigt erkännande är särskilt problematiska för finansiella enheter, som kan ha flera olika tillstånd och/eller bedriva verksamhet i flera av unionens jurisdiktioner. De tekniska tillsyns- och genomförandestandarder som enligt förslaget till förordning, ska utarbetas för TLPT bör vara i linje med TIBER-EU. ECB välkomnar vidare möjligheten att i samarbete med de europeiska tillsynsmyndigheterna vara med och utarbeta dessa tekniska tillsyns- och genomförandestandarder.

text: 4.3.6 Om de behöriga myndigheterna blir aktivt delaktiga i testerna skulle detta kunna leda till en intressekonflikt med deras andra funktion, dvs. att bedöma den finansiella enhetens ram för testning. Mot denna bakgrund föreslår ECB att behöriga myndigheters eventuella skyldigheter att validera dokument och utfärda intyg för ett TLPT-test ska strykas från förslaget till förordning.

text: 4.4 IKT-tredjepartsrisk

text: 4.4.1 ECB välkomnar att det införs en heltäckande uppsättning centrala principer och en stabil tillsynsram för att identifiera och hantera IKT-risker som härrör från tredjepartsleverantörer av IKT-tjänster, oavsett om de hör till samma grupp finansiella enheter eller ej. För att uppnå att IKT-risker identifieras och hanteras på ett effektivt sätt är det viktigt att bland annat kritiska tredjepartsleverantörer av IKT-tjänster identifieras och klassificeras korrekt. Det är i och för sig positivt att det införs delegerade akter som kompletterar de kriterier som ska användas för klassificering, men ECB ska höras innan dessa delegerade akter antas.

text: 4.4.2 Vad gäller tillsynsramens struktur behöver det förtydligas ytterligare vilken funktion den gemensamma kommittén ska ha. ECB är positiv till att ingå i tillsynsforumet som observatör, eftersom detta innebär att ECB får samma tillgång till dokumentation och information som medlemmar med rösträtt. ECB vill uppmärksamma unionens lagstiftande organ på att ECB, i sin roll som observatör, skulle bidra till arbetet i tillsynsforumet både som utgivande centralbank med ansvar för tillsyn över marknadsinfrastruktur och som tillsynsmyndighet för kreditinstitut. ECB noterar vidare att vid sidan av sin roll som observatör i tillsynsforumet skulle ECB även ingå i den gemensamma undersökningsgruppen i egenskap av behörig myndighet. Här skulle unionens lagstiftande organ ytterligare kunna överväga de gemensamma undersökningsgruppernas sammansättning för att säkerställa att relevanta behöriga myndigheter får lämplig viktning. ECB anser även att maxantalet deltagare i de gemensamma undersökningsgrupperna bör höjas, med tanke på IKT-tredjepartstjänsternas kritikalitet, komplexitet och omfattning.

text: 4.4.3 ECB noterar att enligt förslaget till förordning får den ledande tillsynsmyndigheten förhindra att kritiska tredjepartsleverantörer av IKT-tjänsters ingår ytterligare underleverantörsavtal om i) den planerade underleverantören är en tredjepartsleverantör av IKT-tjänster eller en IKT-underleverantör som är etablerad i ett tredjeland och ii) underentreprenaden avser en kritisk eller viktig funktion hos den finansiella enheten. ECB vill understryka att dessa befogenheter enbart kan utövas av den ledande tillsynsmyndigheter i samband med underleverantörsavtal där en kritisk tredjepartsleverantör av IKT-tjänster lägger ut en kritisk eller viktig funktion på underentreprenad till en separat rättslig enhet som är etablerad i ett tredjeland. ECB tolkar det som att den ledande tillsynsmyndigheten inte har jämförbara befogenheter för att förhindra en kritisk tredjepartsleverantör av IKT-tjänster från att utkontraktera kritiska eller viktiga funktioner hos den finansiella enheten till faciliteter som denna tjänsteleverantör har i ett tredjeland. I ett operativt perspektiv skulle detta t.ex. kunna röra sig om att kritiska data och/eller kritisk information kan lagras eller behandlas av faciliteter utanför Europeiska ekonomiska samarbetsområdet (EEA). I så fall har inte den ledande tillsynsmyndigheten befogenheter att på lämpligt sätt ge de behöriga myndigheterna tillgång till all information, alla lokaler samt all infrastruktur och personal som är av relevans för att den finansiella enheten ska kunna utföra alla kritiska eller viktiga funktioner. För att säkerställa att de behöriga myndigheterna kan utföra sina uppgifter obehindrat föreslår ECB att den ledande tillsynsmyndigheten ska få befogenhet att även begränsa möjligheten för kritiska tredjepartsleverantörer av IKT-tjänster att använda faciliteter utanför EES. Denna befogenhet skulle kunna utövas i de särskilda fall då det inte finns några sådana administrativa arrangemang med tredjeländers myndigheter som anges i förslaget till förordning eller om företrädare för kritiska tredjepartsleverantörer av IKT-tjänster inte med stöd av det relevanta tredjelandets ramverk på ett tillfredsställande sätt kan garantera den tillgång till information, lokaler, infrastruktur och personal som behövs för att utföra tillsynsuppgifter.

text: 4.4.4 Kravet på att behöriga myndigheter ska följa upp den ledande tillsynsmyndighetens rekommendationer riskerar att bli ineffektivt, eftersom behöriga myndigheter kanske inte har hela bilden av de risker som genereras av varje kritisk tredjepartsleverantör av IKT-tjänster. Om de kritiska tredjepartsleverantörerna inte agerar enligt rekommendationerna kan dessutom de behöriga myndigheterna behöva vidta åtgärder mot de finansiella enheter som står under deras tillsyn. Enligt förslaget till förordning får de behöriga myndigheterna kräva att finansiella enheter under tillsyn tillfälligt avbryter användningen av en kritisk tredjepartstjänst eller avslutar utestående avtal med kritiska tredjepartsleverantörer. Det är svårt att omvandla den planerade uppföljningsprocessen till konkreta åtgärder. Det är framför allt oklart om en finansiell enhet under tillsyn kommer att ha förutsättningar att tillfälligt avbryta eller avsluta ett avtal med en kritisk tredjepartsleverantör av IKT-tjänster. Den kritiska tredjepartsleverantören av IKT-tjänster kan nämligen vara en betydande leverantör för den finansiella enheten eller det kan komma att orsaka den finansiella enheten avtalsmässiga eller andra kostnader och skador om avtalet tillfälligt avbryts eller avslutas. Detta tillvägagångssätt främjar inte tillsynskonvergens, eftersom de behöriga myndigheterna kan tolka samma rekommendation på olika sätt. I förlängningen skulle detta kunna motverka den planerade harmoniseringen och den konsekventa strategin när kritisk IKT-tredjepartsrisk övervakas på unionsnivå. Mot denna bakgrund kan unionens lagstiftande organ vilja överväga att tilldela de lagstadgade tillsynsmyndigheterna särskilda verkställandebefogenheter gentemot kritiska tredjepartsleverantörer av IKT-tjänster, med tanke på de begränsningar som infördes genom Meroni-doktrinen, som visserligen har dämpats genom EU-domstolens dom i Esma-målet.

text: I de fall där ECB rekommenderar att förslaget till förordning ska ändras anges de specifika förslagen i ett separat tekniskt arbetsdokument som åtföljs av en förklaring. Det tekniska arbetsdokumentet finns på engelska på i EUR-Lex.

text: Utfärdat i Frankfurt am Main den 4 juni 2021.

text: Christine Lagarde

text: ECB:s ordförande