Europeiska centralbankens yttrande av den 11 april 2022 om ett förslag till Europaparlamentets och rådets direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, och om upphävande av direktiv (EU) 2016/1148 (CON/2022/14) 2022/C 233/03

Inledning och rättslig grund

Den 16 december 2020 antog Europeiska kommissionen ett förslag till Europaparlamentets och rådets direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, och om upphävande av direktiv (EU) 2016/1148 (nedan kallat direktivförslaget). Den 3 december 2021 enades Europeiska unionens råd om sina allmänna riktlinjer till direktivförslaget. Europeiska centralbankens behörighet att avge ett yttrande grundas på artikel 127.4 andra stycket i fördraget om Europeiska unionens funktionssätt eftersom direktivförslaget innehåller bestämmelser som berör ECB:s behörighetsområden, särskilt att främja väl fungerande betalningssystem, medverka till de behöriga myndigheternas smidiga genomförande av riktlinjerna för det finansiella systemets stabilitet samt ECB:s uppgifter i fråga om tillsyn över kreditinstitut i enlighet med artikel 127.2 fjärde strecksatsen och artikel 127.5 och 127.6 i fördraget. I enlighet med artikel 17.5 första meningen i arbetsordningen för Europeiska centralbanken har detta yttrande antagits av ECB-rådet.

Allmänna kommentarer

ECB är mycket positiv till direktivförslagets mål att öka cyberresiliensen inom alla relevanta sektorer, minska bristen på enhetlighet på den inre marknaden och förbättra den gemensamma situationsmedvetenheten och den kollektiva förmågan att förbereda sig och reagera genom att säkerställa ett effektivt samarbete inom unionen.

ECB är medveten om vikten av att upprätthålla starka kopplingar mellan direktivförslaget och finanssektorn, som bör förbli en del av nätverks- och informationssystemens ekosystem för att främja en konsekvent bedömning av risker i samband med informations- och kommunikationsteknik (IKT) i hela unionen och främja ett effektivt sektorsövergripande informationsutbyte och samarbete vid hanteringen av cyberhot. I detta syfte bör det vara möjligt för de behöriga myndigheterna enligt förslaget till Europaparlamentets och rådets förordning om digital operativ motståndskraft för finanssektorn (nedan kallad Dora) att delta i de strategiska policydiskussionerna och det tekniska arbetet i samarbetsgruppen för nät- och informationssäkerhet, samt att utbyta information och samarbeta ytterligare med de gemensamma kontaktpunkterna och de nationella enheter för hantering av it-säkerhetsincidenter som avses i direktivförslaget.

1. Direktivförslagets tillämpningsområde

1.1 ECB förstår att Dora, i förhållande till enheter inom den finansiella sektorn, kommer att betraktas som sektorsspecifik lagstiftning som inför krav på hantering av cybersäkerhetsrisker och incidentrapportering som är minst likvärdiga med dem som fastställs i direktivförslaget. De bestämmelser i direktivförslaget som rör hantering av cybersäkerhetsrisker, rapporteringsskyldigheter, informationsutbyte samt tillsyn och verkställighet kommer därför inte att tillämpas på finansiella enheter som omfattas av Dora. Såsom klargörs i skälen till direktivförslaget bör de bestämmelser i Dora som rör IKT-riskhanteringsåtgärder, hantering av IKT-relaterade incidenter och incidentrapportering, testning av digital operativ motståndskraft, arrangemang för informationsutbyte och IKT-tredjepartsrisk tillämpas i stället för bestämmelserna i direktivförslaget.

1.2 ECB noterar också att rådet i sina allmänna riktlinjer till direktivförslaget inkluderar en ändring för att undanta enheter som bedriver verksamhet inom rättsväsendet, parlamenten eller centralbankerna från tillämpningen av direktivförslaget. Enligt ECB:s tolkning skulle den föreslagna ändringen omfatta Europeiska centralbankssystemets (ECBS) alla grundläggande uppgifter och befogenheter enligt artikel 127.2 i fördraget och artikel 3.1 i stadgan för Europeiska centralbankssystemet och Europeiska centralbanken (nedan kallad ECBS-stadgan), t.ex. att främja väl fungerande betalningssystem. I detta avseende anses finansmarknadsinfrastrukturer som ägs och drivs av Eurosystemet, såsom TARGET2 och TARGET2-Securities, omfattas av rådets förslag att undanta centralbanker från tillämpningen av direktivförslaget.

2. ECBS och Eurosystemets tillsynsbefogenheter

2.1 Parallellt med ECBS huvudmål att upprätthålla prisstabilitet, och i enlighet med artikel 127.2 i fördraget, är en de grundläggande uppgifterna för ECBS att främja väl fungerande betalningssystem. När denna grundläggande uppgift utförs får ECB och de nationella centralbankerna ställa anordningar till förfogande och ECB får utfärda förordningar för att säkerställa effektiva och sunda clearing- och betalningssystem inom unionen och i förbindelser med tredje land. Vid utövandet av sin tillsynsfunktion antog ECB Europeiska centralbankens förordning (EU) nr 795/2014 (ECB/2014/28) (nedan kallad SIPS-förordningen), som omvandlar CPSS-IOSCO:s principer för finansmarknadens infrastruktur till direkt tillämplig lagstiftning. I SIPS-förordningen fastställs krav för både omfattar systemviktiga betalningssystem för både större betalningar och massbetalningar, oavsett om de är offentliga eller privata aktörer. Kraven enligt SIPS-förordningen omfattar bl.a. hanteringen av operativa risker och inrättandet av en ram för cyberresiliens.

2.2 Utöver systemviktiga betalningssystem omfattar Eurosystemets tillsyn betalningssystem som inte är systemviktiga, elektroniska betalningsinstrument, -system och -arrangemang samt annan infrastruktur och kritiska tjänsteleverantörer, i enlighet med Eurosystemets tillsynsram. Betalningssystem och andra arrangemang som omfattas av Eurosystemets tillsyn omfattas inte uttryckligen av direktivförslagets tillämpningsområde. Samtidigt, med tanke på att direktivförslaget är ett instrument för minimiharmonisering, kan genomförandelagstiftning som medlemsstaterna antar i framtiden överlappa Eurosystemets tillsynsbefogenheter. För att undvika detta bör ECBS befogenheter enligt fördraget och ECBS-stadgan samt Eurosystemets befogenheter enligt SIPS-förordningen och rent allmänt enligt Eurosystemets tillsynsram uttryckligen erkännas i skälen i direktivförslaget.

3. IKT-riskhantering av tredje parter, hantering av storskaliga incidenter och kriser, informationsutbyte och nationell strategi för cybersäkerhet

3.1 IKT-riskhantering av tredje parter

3.1.1 Direktivförslaget ger behöriga myndigheter befogenhet att, när de kontrollerar väsentliga entiteters efterlevnad, har befogenhet att utfärda bindande instruktioner eller ett föreläggande om att dessa entiteter ska avhjälpa konstaterade brister eller överträdelser av de skyldigheter som fastställs i direktivförslaget. Samtidigt får den ledande tillsynsmyndigheten som utsetts inom ramen för Dora rikta rekommendationer till kritiska tredjepartsleverantörer av IKT-tjänster för att hantera de potentiella systemrisker som kan uppstå till följd av utkontraktering och koncentrationsrisken för IKT-tredjeparter.

3.1.2 Med tanke på att en väsentlig entitet enligt direktivförslaget också kan utses till en kritisk tredjepartsleverantör av IKT-tjänster enligt Dora, upprepar ECB att man bör undvika att utfärda motstridiga rekommendationer och bindande instruktioner. I detta avseende välkomnar ECB rådets allmänna riktlinjer om direktivförslaget. Enligt dessa riktlinjer ska de behöriga myndigheterna informera det tillsynsforum som inrättas enligt Dora när de utövar sina tillsyns- och verkställighetsbefogenheter avseende en väsentlig entitet som har utsetts till en kritisk tredjepartsleverantör av IKT-tjänster enligt Dora.

3.2 Hantering av storskaliga incidenter och kriser

3.2.1 I enlighet med direktivförslaget ska medlemsstaterna utse en eller flera behöriga myndigheter med ansvar för hanteringen av storskaliga incidenter och kriser. Enligt skälen i direktivförslaget bör en storskalig incident anses vara en incident som påverkar två eller flera medlemsstater eller som leder till störningar som är så omfattande att den berörda medlemsstaten inte kan hantera dem på egen hand. Storskaliga incidenter kan förvandlas till fullt utvecklade kriser, som hindrar den inre marknaden från att fungera korrekt.

3.2.2 Även om de behöriga myndigheter som utsetts enligt Dora förblir ansvariga för hanteringen av cybersäkerhetsincidenter som berör finansiella enheter, kommer samarbete med de strukturer och myndigheter som inrättats i enlighet med direktivförslaget att vara avgörande för att säkerställa samordnade insatser i hela unionen. I detta syfte skulle ECB välkomna att behöriga myndigheter som utsetts enligt Dora, däribland ECB, deltar i Europeiska kontaktnätverket för cyberkriser (EU-CyCLONe), när storskaliga cyberincidenter och cyberkriser påverkar finanssektorn.

3.3 Informationsutbyte

3.3.1 Såsom anges ovan stöder ECB samarbetet mellan de behöriga myndigheter som utsetts enligt Dora och de strukturer och myndigheter som inrättas i enlighet med direktivförslaget. I synnerhet kan informationsutbyte mellan myndigheter möjliggöra sektorsövergripande lärande, bidra till förebyggande och effektiv hantering av cyberattacker och främja en konsekvent bedömning av IKT-relaterade risker i hela unionen. ECB betonar dock att informationsutbyte bör äga rum där det finns tydligt fastställda mekanismer för klassificering och informationsutbyte, tillsammans med lämpliga skyddsåtgärder för att säkerställa konfidentialitet. ECB välkomnar rådets allmänna riktlinjer avseende direktivförslaget där man föreslår ett regelbundet utbyte av relevant information mellan myndigheter, inrättande av samarbetsarrangemang som anger en mekanism för informationsutbytet samt automatisk och direkt vidarebefordran av incidentrapporter. I detta avseende bör det säkerställas att information som är konfidentiell i enlighet med bestämmelserna om tystnadsplikt i DORA eller relevant sektorsspecifik lagstiftning endast kan utbytas med de behöriga myndigheter som avses i direktivförslaget om detta utbyte är nödvändigt för att de behöriga myndigheterna ska kunna tillämpa bestämmelserna direktivförslaget.

3.4 Nationell strategi för cybersäkerhet

3.4.1 Enligt direktivförslaget får medlemsstaterna en skyldighet att anta en nationell strategi för cybersäkerhet som anger strategiska mål och relevanta politiska och reglerande åtgärder, i syfte att uppnå och upprätthålla en hög cybersäkerhetsnivå. Enligt skälen i direktivförslaget bör medlemsstaterna fortsätta att inkludera finanssektorn i sina respektive strategier för cybersäkerhet. Medlemsstaterna bör preliminärt, som en del av sina nationella strategier för cybersäkerhet, anta strategier för cybersäkerhet i leveranskedjan för IKT-produkter och IKT-tjänster som används av entiteter för tillhandahållandet av tjänster. När det gäller finanssektorn bör de nationella cybersäkerhetsstrategierna vara förenliga med det regelverk som härrör från Dora. I detta hänseende anser ECB att ytterligare förtydliganden behövs för att säkerställa att nationella strategier för cybersäkerhet är förenliga med sektorsspecifik lagstiftning. I de fall där ECB rekommenderar att förslaget till direktiv ska ändras anges ett specifikt förslag i ett separat tekniskt arbetsdokument som åtföljs av en förklaring. Det tekniska arbetsdokumentet finns på engelska på i EUR-Lex.

Utfärdat i Frankfurt am Main den 11 april 2022.

Christine Lagarde

ECB:s ordförande