欧盟数字运营韧性法案（DORA）

（具有欧洲经济区相关性的文本）

欧洲议会和欧洲联盟理事会，

鉴于《欧洲联盟运作条约》，特别是其中的第114条，

鉴于欧洲委员会的提案，

在将立法草案送交各成员国议会之后，

鉴于欧洲中央银行的意见（1），

鉴于欧洲经济和社会委员会的意见（2），

根据普通立法程序行事（3），

鉴于：

（1）

在数字时代，信息与通信技术（ICT）支撑着用于日常活动的复杂系统。它使我们的经济在包括金融部门在内的关键领域得以持续运转，并促进了内部市场的有效运行。然而，数字化程度的提高与互联互通的加深也加剧了信息与通信技术领域的风险，使得整个社会，尤其是金融体系，更容易受到网络威胁或信息与通信技术中断的影响。尽管信息与通信技术系统的普遍使用以及高度的数字化与连通性已成为欧盟金融机构活动的核心特征，但其数字韧性尚未得到充分重视，也未能很好地融入更为广泛的运营框架之中。

(2) 过去几十年间，信息与通信技术（ICT）在金融服务提供中发挥了举足轻重的作用，以至于如今它已成为各类金融机构日常运营不可或缺的关键要素。数字化已广泛覆盖支付领域，支付方式正日益从现金和纸质手段转向数字解决方案；此外，还涵盖证券清算与结算、电子化及算法交易、信贷与融资业务、点对点金融、信用评级、索赔管理以及后台运营等环节。保险行业同样因ICT的广泛应用而发生了深刻变革，从提供在线服务的保险中介借助保险科技（InsurTech）开展业务，到数字化保险承保模式的兴起。金融业不仅在整个行业中实现了高度的数字化转型，而且数字化还进一步加深了金融体系内部以及与第三方基础设施和服务提供商之间的相互关联与依赖关系。

(3) 欧洲系统性风险委员会（ESRB）在一份于2020年发布的关于系统性网络风险的报告中重申，金融实体、金融市场及金融市场基础设施之间现有的高度相互关联性，尤其是其信息与通信技术（ICT）系统的相互依赖性，可能构成一种系统性脆弱性。这是因为，任何局部性的网络事件都可能迅速从约22,000家欧盟金融实体中的任意一家蔓延至整个金融体系，且不受地理边界的限制。发生在金融领域的严重信息与通信技术安全事件不仅会影响孤立的金融实体，还会为局部性脆弱性的跨金融传导渠道传播铺平道路，并可能对欧盟金融体系的稳定性产生不利后果，例如引发流动性挤兑以及市场整体信心与信任的丧失。

(4) 近年来，信息与通信技术（ICT）风险已引起国际、欧盟及各国政策制定者、监管机构和标准制定机构的广泛关注，旨在提升数字韧性、制定相关标准并协调监管或监督工作。在国际层面，巴塞尔银行监管委员会、支付与市场基础设施委员会、金融稳定理事会、金融稳定研究所以及七国集团和二十国集团均致力于为各司法管辖区内的主管当局和市场参与者提供工具，以增强其金融体系的韧性。这一努力亦源于在全球高度互联的金融体系背景下，有必要充分考量ICT风险，并寻求相关最佳实践的更大一致性。

(5) 尽管欧盟及各国已出台针对性的政策与立法举措，ICT风险仍对欧盟金融体系的运营韧性、绩效与稳定性构成挑战。2008年金融危机后的各项改革主要强化了欧盟金融行业的财务韧性，并从经济、审慎监管及市场行为等角度着力维护欧盟的竞争力与稳定性。然而，尽管ICT安全与数字韧性属于操作风险范畴，它们在后金融危机时期的监管议程中却未得到足够重视，仅在欧盟金融服务政策与监管框架的部分领域，或在少数成员国中有所发展。

(6) 在其于2018年3月8日发布的题为“金融科技行动计划：打造更具竞争力和创新性的欧洲金融部门”的通报中，欧盟委员会强调了使欧盟金融部门更具韧性的极端重要性，这包括从运营角度确保其技术安全与良好运行、能够迅速从信息通信技术（ICT）违规事件中恢复，从而最终实现全欧盟范围内金融服务的有效、顺畅提供，即便在压力情境下亦能如此，并同时维护消费者与市场的信任与信心。

(7) 2019年4月，由欧洲议会和理事会第1093/2010号条例设立的欧洲银行管理局（EBA）、由欧洲议会和理事会第1094/2010号条例设立的欧洲保险和职业养老金管理局（EIOPA），以及由欧洲议会和理事会第1095/2010号条例设立的欧洲证券和市场管理局（ESMA）（统称为“欧洲监管机构”或“ESAs”），联合发布了技术建议，呼吁对金融领域的信息通信技术风险采取协调一致的方法，并建议通过一项针对该行业的欧盟专项举措，以相称的方式强化金融服务业的数字化运营韧性。

(8) 欧盟金融部门受单一规则手册监管，并由欧洲金融监管体系进行治理。然而，尽管数字运营弹性和信息通信技术安全对于在数字时代确保金融稳定和市场完整性至关重要，且其重要性不亚于共同的审慎标准或市场行为准则，但有关这些领域的相关规定尚未得到充分且一致的协调统一。因此，应当进一步完善单一规则手册及监管体系，使其涵盖数字运营弹性，通过强化主管当局的职权，使其能够对金融部门的信息通信技术风险管理工作实施监督，从而保护内部市场的完整性和效率，并促进其有序运行。

(9) 有关信息与通信技术风险的立法差异以及各国监管或监督方式的不均衡，导致金融服务内部市场运行面临障碍，妨碍了跨境经营的金融机构顺利行使设立自由和提供服务的自由。此外，在不同成员国开展业务的同类金融机构之间的竞争也可能因此受到扭曲。这种情况尤其体现在欧盟层面协调极为有限的领域，如数字运营弹性测试，或者尚未建立相关协调的领域，如信息与通信技术第三方风险的监测。由国家层面拟议的发展举措所引发的差异，还可能进一步阻碍内部市场的正常运作，损害市场参与者利益并危及金融稳定。

(10) 迄今为止，由于与信息通信技术（ICT）风险相关的规定在欧盟层面仅得到部分落实，因此在一些重要领域仍存在空白或重叠现象，例如与ICT相关的事件报告以及数字化运营弹性测试等方面；同时，由于各国相继出台的规则出现分歧，或对相互重叠的规则采取成本效益不佳的实施方式，也导致了诸多不一致之处。这对于金融行业等高度依赖ICT的用户而言尤为不利，因为技术风险无国界，而金融行业又在其内部及跨境范围内广泛提供各类服务。对于那些以跨境方式开展业务或持有多种许可的金融机构而言（例如，一家金融机构可能同时拥有银行、投资公司和支付机构的牌照，且这些牌照分别由一个或多个成员国的不同主管当局颁发），如何以协调一致且具成本效益的方式应对ICT风险并减轻ICT事件对其自身造成的不利影响，无疑是一项严峻的运营挑战。

(11) 由于单一规则手册并未配套制定全面的信息与通信技术（ICT）及运营风险框架，因此有必要进一步协调所有金融机构的关键数字运营韧性要求。金融机构依据这些关键要求发展其信息与通信技术能力并提升整体韧性，以应对运营中断，将有助于维护欧盟金融市场的稳定与完整性，从而为确保欧盟境内投资者和消费者的高水平保护作出贡献。鉴于本条例旨在促进内部市场的顺畅运作，其应以《欧洲联盟运作条约》（TFEU）第114条的规定为基础，并按照欧洲联盟法院（法院）的一致判例法予以解释。

(12) 本条例旨在整合并提升信息与通信技术（ICT）风险相关要求，将其纳入此前在欧盟各项法律文件中分别予以规范的运营风险范畴。尽管这些法律文件已涵盖金融风险的主要类别（如信用风险、市场风险、交易对手信用风险、流动性风险以及市场行为风险），但在其通过之时并未全面应对运营韧性所涉及的各项要素。此外，在上述欧盟法律文件进一步细化运营风险规则的过程中，往往倾向于采用传统的量化方法来管理风险（即设定用于覆盖ICT风险的资本要求），而非针对ICT相关事件的防护、检测、遏制、恢复与修复能力，或报告机制及数字化测试能力等制定更具针对性的定性规则。这些法律文件的主要目的在于规范和更新审慎监管、市场诚信或市场行为等方面的基本规则。通过整合并升级有关ICT风险的各项规定，金融领域内所有涉及数字风险的条款将首次以一致的方式被纳入单一立法文件之中。因此，本条例填补了部分既有法律文件中的空白或纠正了其中存在的不一致之处，包括对相关术语的使用，并通过专门针对ICT风险管理能力、事件报告、运营韧性测试以及ICT第三方风险监测的规定，明确提及ICT风险。

由此，本条例亦有助于提高社会各界对ICT风险的认识，并确认ICT事件及运营韧性不足可能危及金融机构的稳健性。

(13) 金融机构在应对信息与通信技术（ICT）风险时，应当根据其规模和整体风险状况，以及其所提供服务、开展的活动和运营的性质、规模与复杂性，遵循相同的方法和基于原则的规则。一致性有助于增强公众对金融体系的信心，并在高度依赖信息与通信技术系统、平台和基础设施的时期尤其维护金融体系的稳定性，而这种依赖往往伴随着日益增加的数字风险。同时，遵守基本的网络卫生规范也有助于通过最大限度地降低信息与通信技术中断的影响和成本，避免给经济带来沉重负担。

(14) 采用条例有助于降低监管复杂性，促进监管趋同并提高法律确定性，同时也有助于控制合规成本，尤其是对于跨境经营的金融机构而言，并减少竞争扭曲。因此，为建立金融机构数字化运营韧性共同框架而选择采用条例，是确保欧盟金融部门统一、连贯地实施信息与通信技术风险管理各项要素的最佳方式。

(15) 欧洲议会和欧洲理事会颁布的（EU）2016/1148号指令（7）是欧盟层面首个横向网络安全框架，其适用范围亦涵盖三类金融机构，即信贷机构、交易场所和中央对手方。然而，由于（EU）2016/1148号指令仅规定了成员国层面的关键服务运营者的认定机制，因此在实践中，只有经各成员国认定的特定信贷机构、交易场所和中央对手方被纳入该指令的适用范围，并因而须遵守其中规定的ICT安全及事件通报要求。欧洲议会和欧洲理事会颁布的（EU）2022/2555号指令（8）则确立了一项统一标准，用于界定其适用范围内的实体（规模上限规则），同时仍将上述三类金融机构保留在其适用范围内。

(16) 然而，由于本条例通过引入较现行欧盟金融服务法律更为严格的ICT风险管理及ICT相关事件报告要求，提高了各项数字韧性要素的协调统一水平，这一更高程度的协调统一亦相较于《(EU) 2022/2555号指令》所规定的要求有所提升。因此，就《(EU) 2022/2555号指令》而言，本条例构成特别法。同时，为确保与成员国所采纳的网络安全战略保持一致，并使金融监管机构能够及时获悉影响该指令所涵盖之其他行业的网络事件，维持金融部门与目前由《(EU) 2022/2555号指令》所确立的欧盟横向网络安全框架之间的紧密联系至关重要。

（17）

根据《欧洲联盟条约》第4条第2款的规定，在不影响欧洲法院司法审查的前提下，本条例不应影响各成员国在涉及公共安全、国防以及维护国家安全等基本国家职能方面的责任，例如有关可能有悖于维护国家安全的信息提供事项。

（18）

为促进跨部门学习，并在应对网络威胁时有效借鉴其他部门的经验，依据指令（EU）2022/2555所指的金融实体应继续作为该指令“生态系统”的组成部分（例如，合作小组及计算机安全事件响应小组（CSIRTs））。欧洲监管机构（ESAs）和各国主管当局应当能够参与该指令项下合作小组的战略政策讨论和技术运作，并与根据该指令指定或设立的单一联络点进行信息交流并进一步开展合作。本条例项下的主管当局亦应与CSIRTs进行磋商并开展合作。此外，主管当局还可向依据指令（EU）2022/2555指定或设立的主管当局请求技术建议，并建立旨在确保高效、快速响应协调机制的合作安排。

（19）

鉴于金融实体的数字韧性与物理韧性之间存在紧密的相互关联，本条例以及欧洲议会和理事会颁布的（EU）2022/2557号指令（9）有必要采取一种关于关键实体韧性的连贯方法。鉴于金融实体的物理韧性已由本条例所涵盖的信息与通信技术风险管理和报告义务予以全面规范，因此，（EU）2022/2557号指令第三章和第四章规定的相关义务不应适用于属于该指令适用范围内的金融实体。

（20）

云计算服务提供商是（EU）2022/2555号指令所涵盖的数字基础设施的一类主体。本条例确立的欧盟监督框架（“监督框架”）适用于所有关键信息与通信技术第三方服务提供商，包括向金融实体提供信息与通信技术服务的云计算服务提供商，并应被视为对依据（EU）2022/2555号指令实施的监管的补充。此外，在尚未建立设立数字监督机构的欧盟横向框架的情况下，本条例所确立的监督框架亦应涵盖云计算服务提供商。

（21）

为确保对信息与通信技术（ICT）风险的全面管控，金融机构需具备完善的能力建设，以实现强有力且有效的ICT风险管理，并制定专门的机制与政策，用于应对各类ICT相关事件以及报告重大ICT相关事件。同时，金融机构还应建立针对ICT系统、控制措施及流程的测试政策，以及用于管理ICT第三方风险的相关制度。金融机构的数字化运营韧性基准应当予以提升，同时允许对部分金融机构，尤其是微型企业和适用简化ICT风险管理框架的金融机构，采取适度放宽的要求。为促进对职业养老金机构的高效监管，使其既保持适度性，又能够切实减轻主管当局的行政负担，针对此类金融机构的相关国家监管安排，应当充分考虑其规模与整体风险状况，以及其所提供的服务、开展的活动和运营的性质、规模与复杂程度，即便已超过欧洲议会和理事会第2016/2341号指令（10）第5条所设定的相关阈值。特别是，监管活动应重点聚焦于解决与特定机构ICT风险管理相关的重大风险。

有关主管当局在对职业退休金机构实施监管时，亦应保持审慎但适度的监管方式；此类机构依据《欧盟》2016/2341号指令第31条的规定，将其核心业务中的相当部分（如资产管理、精算计算、会计核算及数据管理等）外包给服务提供商。

（22）

各国在与信息通信技术相关的事件报告阈值及分类体系方面存在显著差异。尽管通过欧洲联盟网络与信息安全局（ENISA）以及根据《欧盟》2022/2555号指令设立的合作小组所开展的相关工作，或可在一定程度上达成共识，但对于其余金融机构而言，关于设定报告阈值及采用分类体系的方法仍存在分歧，甚至可能进一步产生新的分歧。由于上述差异的存在，金融机构尤其是跨多个成员国运营或属于金融集团的实体，往往需要同时遵守多项不同的要求。此外，这些分歧还可能阻碍建立更加统一或集中的欧盟机制，而此类机制对于加快报告流程、促进各主管当局之间迅速顺畅地交换信息至关重要，尤其是在发生具有潜在系统性影响的大规模攻击事件时，这对于有效应对信息通信技术风险尤为关键。

（23）

为减轻某些金融机构的行政负担及可能存在的重复报告义务，对于属于本条例适用范围的支付服务提供者，应不再适用根据欧洲议会和理事会第（EU）2015/2366号指令（12）所规定的事件报告要求。因此，该指令第33条第1款所述的信贷机构、电子货币机构、支付机构以及账户信息服务提供者，自本条例生效之日起，均应依据本条例报告所有此前已依据该指令报告过的与运营或安全相关的支付事件，无论此类事件是否与信息通信技术相关。

（24）

为使主管当局能够通过全面掌握与信息通信技术相关的事件的性质、频率、重要性及其影响，从而履行监管职责，并加强包括执法机关和处置机关在内的相关公共当局之间的信息交流，本条例应当建立一套健全的与信息通信技术相关的事件报告制度。该制度的相关要求应弥补金融服务法律领域的现有空白，并消除现有的重叠与重复，以减轻成本负担。至关重要的是，通过要求所有金融机构按照本条例规定的单一、精简的框架向其主管当局报告，实现与信息通信技术相关的事件报告制度的统一协调。此外，欧洲系统风险委员会（ESAs）应当被授权进一步明确与信息通信技术相关的事件报告框架中的相关要素，例如分类体系、时间框架、数据集、模板以及适用的阈值标准。为确保与《欧盟》2022/2555号指令完全一致，金融机构在认为某一网络威胁对金融体系、服务使用者或客户具有重要意义时，应当被允许自愿向相关主管当局通报重大网络威胁。

（25）

在某些金融子行业中，已制定了数字运营弹性测试要求，但这些框架并不总是完全一致。这导致跨境金融机构可能面临成本的重复投入，并使数字运营弹性测试结果的相互认可变得复杂，进而可能造成内部市场的碎片化。

（26）

此外，在无需进行信息通信技术（ICT）测试的情况下，漏洞将无法被发现，从而使金融机构暴露于ICT风险之中，并最终对金融行业的稳定性和完整性构成更高风险。若无欧盟层面的干预，数字运营弹性测试将继续存在不一致性，且缺乏在不同司法管辖区之间实现ICT测试结果相互认可的制度体系。此外，由于其他金融子行业不太可能以有意义的规模采用类似的测试方案，它们将错失通过测试框架揭示ICT漏洞与风险、检验防御能力及业务连续性所带来的潜在益处，而这些益处有助于提升客户、供应商和商业伙伴的信任。为解决上述重叠、分歧与缺口问题，有必要制定协调一致的测试制度规则，从而促进符合本条例所规定标准的金融机构开展的高级别测试结果的相互认可。

（27）

金融实体对信息与通信技术（ICT）服务的依赖，部分源于其适应新兴的、具有竞争性的数字化全球经济的需要，旨在提升业务效率并满足消费者需求。近年来，这种依赖的性质与程度不断演变，推动了金融中介成本的降低，促进了金融活动部署的业务扩展与规模效应，同时为管理复杂的内部流程提供了种类繁多的ICT工具。

（28）

ICT服务的广泛使用体现在复杂的合同安排之中，由此金融实体往往在协商符合其受制的审慎标准或其他监管要求的合同条款时面临困难，或者在行使诸如访问权或审计权等特定权利时遇到障碍，即便这些权利已载明于其合同安排中。此外，许多此类合同安排并未规定充分的保障措施，以实现对分包流程的全面监控，从而削弱了金融实体评估相关风险的能力。另外，由于ICT第三方服务提供商通常向不同类型客户提供标准化服务，这类合同安排也未必能够充分满足金融行业参与者的个性化或特定需求。

（29）

尽管欧盟金融服务法包含有关外包的若干一般性规则，但对合同层面的监管并未完全纳入欧盟法律体系。在缺乏明确且专门适用于与信息通信技术（ICT）第三方服务提供商所订立之合同安排的欧盟标准的情况下，ICT风险的外部来源尚未得到全面应对。因此，有必要确立若干关键原则，以指导金融机构管理ICT第三方风险；这些原则在金融机构为支持其关键或重要职能而借助ICT第三方服务提供商时尤为重要。上述原则应辅以一套核心合同权利，涵盖与合同履行及终止相关的多个要素，旨在提供若干最低限度的保障措施，从而增强金融机构有效监控第三方服务提供商层面所产生之全部ICT风险的能力。这些原则与适用于外包的行业性法律相辅相成。

（30）

当前，在信息与通信技术（ICT）第三方风险及ICT第三方依赖的监测方面，明显存在一定程度的不一致性和缺乏统一性。尽管已采取诸如2019年欧洲银行管理局（EBA）关于外包的指南以及2021年欧洲证券和市场管理局（ESMA）关于向云服务提供商外包的指南等措施以应对外包问题，但欧盟法律尚未充分解决更为广泛的系统性风险防范问题——该问题可能源于金融部门对少数关键ICT第三方服务提供商的高度依赖。此外，欧盟层面相关规则的缺失，加之各国在授权机制及监管工具方面的不足，使得金融监管机构难以全面掌握ICT第三方依赖情况，并有效监控因ICT第三方依赖集中化而产生的各类风险。

（31）

鉴于外包业务的增加以及信息与通信技术（ICT）第三方服务提供商集中化可能带来的系统性风险，并考虑到各国现有机制尚不足以向金融监管机构提供充分的工具，用以量化、定性并纠正关键ICT第三方服务提供商发生ICT风险所造成的后果，有必要建立一套适当的监督框架，以便对那些为金融机构提供关键ICT服务的第三方服务提供商的活动实施持续监测，同时确保除金融机构以外的客户之保密性和安全性得到妥善保护。尽管集团内部提供ICT服务存在特定的风险与收益，但不应因此而自动被视为比由金融集团之外的供应商提供的ICT服务风险更低，因而应当适用相同的监管框架。然而，当ICT服务由同一金融集团内部提供时，金融机构对集团内供应商的控制程度可能更高，这一点应在整体风险评估中予以考虑。

（32）

随着信息与通信技术（ICT）风险日益复杂化和精细化，有效识别并防范此类风险的措施在很大程度上依赖于金融机构之间定期共享威胁与脆弱性情报。信息共享有助于提升对网络威胁的认知水平，进而增强金融机构防范网络威胁演变为实际ICT相关事件的能力，并使其能够更有效地控制ICT相关事件的影响、加快恢复进程。然而，在欧盟层面缺乏统一指导的情况下，若干因素似乎阻碍了此类情报共享的开展，尤其是对其是否符合数据保护、反垄断及责任规则存在不确定性。

（33）

此外，对于可与其他市场参与者或非监管机构（如欧洲网络与信息安全局ENISA，用于分析支持；或欧洲刑警组织Europol，用于执法目的）共享的信息类型存有疑虑，导致本可提供重要价值的信息被搁置。因此，当前信息共享的范围与质量仍较为有限且分散，相关交流多局限于地方层面（通过各国的自主举措），尚未形成一套契合一体化金融体系需求的、全欧盟范围内的统一信息共享机制。鉴此，有必要进一步强化上述沟通渠道。

（34）

应当鼓励金融机构之间相互交换网络威胁信息与情报，并在战略、战术和行动层面共同利用各自的专有知识与实践经验，以提升其充分评估、监测、防御及应对网络威胁的能力，具体方式是通过参与信息共享机制。因此，有必要在欧盟层面建立自愿性信息共享机制，这些机制在可信的环境中运行时，将有助于金融行业共同体预防并集体应对网络威胁，迅速遏制信息通信技术风险的扩散，防止其在金融渠道中进一步蔓延。此类机制应当符合欧盟委员会于2011年1月14日发布的题为《关于〈欧洲联盟运作条约〉第101条适用于横向合作协议的指南》的公告所载明的适用竞争法规定，以及欧盟数据保护法规，特别是欧洲议会和理事会颁布的（EU）2016/679号条例（13）。这些机制应依据该条例第6条所规定的法律依据之一或数种开展运作，例如：在处理为实现控制者或第三方所追求的合法利益所必需的个人数据时，如该条例第6条第1款第f项所述；或者在处理为履行控制者所承担的法定义务、为执行公共利益任务或行使赋予控制者的官方职权所必需的个人数据时，如该条例第6条第1款第c项和第e项分别所述。

（35）

为维持整个金融行业的高水平数字运营韧性，并同时跟上技术发展的步伐，本条例应当涵盖源自各类信息通信技术服务的风险。为此，在本条例的语境下，信息通信技术服务的定义应作广义理解，包括通过信息通信系统向一个或多个内部或外部用户持续提供的数字化与数据服务。该定义应至少涵盖所谓的“Over-the-Top”服务，此类服务属于电子通信服务范畴。仅将有限的一类传统模拟电话服务排除在外，即符合公共交换电话网络（PSTN）服务、固定电话服务、普通老式电话服务（POTS）或固定线路电话服务标准的服务。

（36）

尽管本条例拟议的覆盖范围十分广泛，但在适用数字运营韧性规则时，仍应充分考虑各金融机构在规模及整体风险状况方面的显著差异。作为一项一般性原则，在分配用于实施信息通信技术风险管理框架的资源与能力时，金融机构应当根据自身的规模、整体风险状况以及其服务、活动和业务的性质、规模与复杂程度，合理平衡相关需求；同时，主管当局亦应持续评估并审查上述资源配置方式。

（37）

根据《欧盟》2015/2366号指令第33条第1款所指的账户信息服务提供者，鉴于其活动的特殊性质及其由此产生的风险，被明确纳入本条例的适用范围。此外，根据欧洲议会和理事会《2009/110/EC号指令》第9条第1款以及《欧盟》2015/2366号指令第32条第1款获得豁免的电子货币机构和支付机构，即使尚未依据《2009/110/EC号指令》获准发行电子货币，或尚未依据《欧盟》2015/2366号指令获准提供并执行支付服务，亦被纳入本条例的适用范围。然而，根据欧洲议会和理事会《2013/36/EU号指令》第2条第5款第3项所指的邮政储蓄机构，则被排除在本条例的适用范围之外。对于依据《欧盟》2015/2366号指令获得豁免的支付机构、依据《2009/110/EC号指令》获得豁免的电子货币机构以及依据《欧盟》2015/2366号指令第33条第1款所指的账户信息服务提供者，其主管当局应当为依据《欧盟》2015/2366号指令第22条指定的主管当局。

(38) 由于规模较大的金融机构往往拥有更为丰富的资源，并能够迅速调配资金以构建治理架构、制定各类公司战略，因此，只有那些不属于本条例所界定的微型企业的金融机构才应当被要求建立更为复杂的治理安排。此类机构尤其具备能力设立专门的管理职能，以监督与信息通信技术第三方服务提供商的相关安排或应对危机管理事宜，按照“三道防线”模型组织其信息通信技术风险管理，或者建立内部风险管理和控制体系，并将其信息通信技术风险管理体系提交内部审计。

(39) 一些金融机构根据相关行业领域的欧盟法律享有豁免待遇，或仅受极为宽松的监管框架约束。此类金融机构包括：欧洲议会和理事会2011/61/EU号指令第3条第2款所指的另类投资基金的管理人（16）、欧洲议会和理事会2009/138/EC号指令第4条所指的保险及再保险企业（17），以及运营养老金计划且合计成员总数不超过15人的职业退休金机构。鉴于上述豁免情形，将此类金融机构纳入本条例的适用范围并不适当。此外，本条例亦考虑到保险中介市场结构的特殊性，因此符合微型企业或中小企业标准的保险中介、再保险中介以及辅助性保险中介，不应受本条例约束。

(40) 鉴于2013/36/EU号指令第2条第5款第（4）至第（23）项所指的实体被排除在该指令的适用范围之外，各成员国因而有权选择对其境内存在的此类实体免予适用本条例。

(41) 同样地，为使本条例与欧洲议会和理事会第2014/65/EU号指令（18）的适用范围保持一致，亦宜将该指令第2条和第3条所指的自然人和法人排除在本条例的适用范围之外；这些主体获准在无需根据第2014/65/EU号指令取得授权的情况下提供投资服务。然而，第2014/65/EU号指令第2条亦将符合本条例所界定的金融实体标准的主体排除在该指令的适用范围之外，例如中央证券存管机构、集合投资计划以及保险和再保险公司。本条例对上述指令第2条和第3条所指的自然人和法人之排除，不应涵盖前述中央证券存管机构、集合投资计划或保险和再保险公司。

(42) 根据特定行业的欧盟法律，部分金融机构因其规模或所提供的服务而适用较宽松的要求或获得豁免。该类金融机构包括小型且不相互关联的投资公司、小型职业退休金机构（在符合该指令第5条规定的条件下，可由相关成员国将其排除在指令（EU）2016/2341的适用范围之外，且其运营的养老金计划合计成员总数不超过100人），以及依据指令2013/36/EU获得豁免的机构。因此，为遵循相称性原则并维护特定行业欧盟法律的精神，亦应将此类金融机构纳入本条例项下的简化信息与通信技术风险管理体系。由欧洲监管机构（ESAs）拟订的监管技术标准不应改变适用于上述金融机构的信息与通信技术风险管理体系的相称性特征。此外，根据相称性原则，还应将指令（EU）2015/2366第32条第1款所指的支付机构以及依据国家法律转置相关欧盟法律而获得豁免的电子货币机构，纳入本条例项下的简化信息与通信技术风险管理体系；而未依各自国家法律转置相关行业欧盟法律而获得豁免的支付机构和电子货币机构，则应当遵守本条例所规定的一般性框架。

(43) 同样地，根据本条例被认定为微型企业或适用简化信息通信技术风险管理框架的金融机构，不应被要求设立专门岗位以监督其与信息通信技术第三方服务提供商就ICT服务使用所达成的各项安排；亦无需指定高级管理人员负责监督相关风险敞口及相应文件资料；不得将ICT风险管理职责交由某一控制职能部门承担，并确保该控制职能部门具备适当的独立性，以避免利益冲突；应当对ICT风险管理框架进行记录并至少每年审查一次；定期对ICT风险管理框架实施内部审计；在其网络与信息系统基础设施及流程发生重大变更后开展深入评估；定期对遗留ICT系统进行风险分析；将ICT响应与恢复计划的实施情况纳入独立的内部审计审查范围；设立危机管理职能，并将业务连续性及响应与恢复计划的测试范围扩展至涵盖主用ICT基础设施与冗余设施之间的切换场景；应主管当局的要求，报告因重大ICT相关事件造成的年度成本与损失的汇总估算，并维持必要的ICT冗余能力；在ICT相关事件事后审查结束后，向国家主管当局通报已实施的变更措施；

持续监测相关技术发展动态，并建立全面的数字化运营韧性测试计划，作为本条例所规定的ICT风险管理框架的组成部分，或者制定并定期审查有关ICT第三方风险的战略。此外，微型企业仅需根据自身风险状况评估是否有必要维持此类ICT冗余能力。在数字化运营韧性测试计划方面，微型企业应享受更为灵活的制度安排。在确定测试的类型与频率时，应当妥善平衡保持高水平数字化运营韧性的目标、可用资源以及整体风险状况。根据本条例适用简化信息通信技术风险管理框架的微型企业及金融实体，应当免于按照威胁导向渗透测试（TLPT）开展信息通信技术工具、系统和流程的高级测试要求；因为只有符合本条例所规定标准的金融实体才应被要求实施此类测试。鉴于其能力有限，微型企业可以与信息通信技术第三方服务提供者协商，将其访问、检查及审计权利委托给由该第三方服务提供者指定的独立第三方；前提是该金融实体有权随时向该独立第三方索取有关信息通信技术第三方服务提供者绩效的所有相关信息及保证。

(44) 由于只有为高级数字韧性测试目的而被识别的金融机构才应被要求开展以威胁为导向的渗透测试，因此实施此类测试所涉及的行政程序及财务成本应由一小部分金融机构承担。

(45) 为确保金融机构的业务战略与信息通信技术（ICT）风险管理之间的全面协调与总体一致性，金融机构的管理机构应当在引导并调整ICT风险管理框架以及整体数字化运营韧性战略方面发挥核心且积极的作用。管理机构所采取的方法不仅应着眼于保障ICT系统韧性的手段，还应通过一套政策覆盖人员与流程，在各公司层级、面向全体员工，培养对网络风险的高度敏感意识，并促使全员在各个层面严格遵守网络安全规范。管理机构对金融机构ICT风险的最终管理责任，应成为这一综合性方法的首要原则，并进一步体现为管理机构持续参与并有效管控ICT风险管理的监督工作。

(46) 此外，管理机构对金融机构信息与通信技术风险承担全面且最终责任的原则，与确保金融机构在信息与通信技术相关投资及总体预算方面达到一定水平的需求相辅相成，从而使金融机构能够实现高水平的数字化运营韧性。

(47) 本条例以相关的国际、国家及行业最佳实践、指南、建议和网络风险管理方法为灵感，倡导一套有助于构建信息与通信技术风险管理整体框架的原则。因此，只要金融机构所建立的主要能力能够覆盖本条例中规定的各项信息与通信技术风险管理职能（识别、保护与预防、检测、响应与恢复、学习与演进以及沟通），金融机构仍可自由采用其他不同框架或分类的信息与通信技术风险管理模型。

(48) 为跟上不断演变的网络威胁态势，金融机构应当保持其信息与通信技术系统的更新与可靠，并具备相应的能力，不仅用于保障其服务所需的数据处理，还应确保足够的技术韧性，以便在市场环境承压或其他不利情况下妥善应对额外的处理需求。

(49) 有效的业务连续性和恢复计划对于金融机构及时、迅速地处置与信息通信技术相关的事件（尤其是网络攻击）至关重要，其目的在于最大限度地减少损失，并根据各自的备份策略优先恢复各项业务活动及采取相应的恢复措施。然而，此类恢复工作绝不能危及网络与信息系统的完整性与安全性，亦不得影响数据的可用性、真实性、完整性或保密性。

(50) 尽管本条例允许金融机构以灵活的方式确定其恢复时间和恢复点目标，从而在充分考虑相关职能的性质与关键程度以及任何特定业务需求的基础上设定这些目标，但同时仍应要求其在确定上述目标时，对可能产生的整体市场效率影响进行评估。

（51）

网络攻击的实施者往往直接从源头追求经济利益，从而使金融机构面临重大后果。为防止信息与通信技术（ICT）系统丧失完整性或无法使用，进而避免数据泄露以及对实体ICT基础设施造成损害，金融机构应显著改进并简化与ICT相关的重大事件报告机制。应当通过引入一项要求，即所有金融机构均须直接向其相关主管当局报告，从而实现ICT相关事件报告的统一协调。若某一金融机构同时受多个国家级主管当局监管，成员国应当指定一个单一的主管当局作为此类报告的接收方。根据欧盟理事会第1024/2013号条例（19）第6条第4款被认定为重要的信贷机构，应当向国家主管当局提交此类报告，而国家主管当局随后应将该报告转交欧洲中央银行（ECB）。

（52）

直接报告机制应使金融监管机构能够即时获取与重大信息通信技术相关事件的信息。金融监管机构应当将此类重大信息通信技术相关事件的详细情况通报给公共非金融主管部门（例如，根据指令（EU）2022/2555规定的主管当局和单一联络点、国家数据保护机构，以及针对具有刑事性质的重大信息通信技术相关事件的执法机关），以提高这些部门对此类事件的认识，并在必要时，通过计算机安全事件响应小组（CSIRT）为金融机构提供及时援助。此外，成员国还应有权规定，金融机构本身亦应向金融服务领域以外的公共主管部门提供此类信息。上述信息流动应使金融机构能够迅速获得相关主管部门提供的技术支持、补救措施建议及后续跟进。关于重大信息通信技术相关事件的信息应当实现双向互通：金融监管机构应向相关金融机构提供一切必要的反馈或指导，而欧洲系统风险委员会（ESAs）则应共享与该事件相关的网络威胁及漏洞的匿名化数据，以助力更广泛的集体防御。

(53) 尽管所有金融实体均应被要求开展事件报告，但该项要求预计不会以相同方式影响所有实体。事实上，在依据欧洲监管机构（ESAs）拟制定的监管技术标准所确立的授权法案框架下，相关重大性阈值及报告时限均应予以适当调整，以便仅涵盖重大ICT相关事件。此外，在设定报告义务的时限时，还应充分考虑金融实体的具体特点。

(54) 本条例应当要求信贷机构、支付机构、账户信息服务提供者以及电子货币机构报告所有与运营或安全相关的支付类事件——此类事件此前已根据欧盟指令（EU）2015/2366予以报告——无论该事件是否涉及信息通信技术（ICT）。

(55) 应当委托欧洲监管机构（ESAs）评估在欧盟层面实现ICT相关事件报告集中化的可行性和条件。此种集中化可采取以下两种形式：一是设立单一的欧盟枢纽，直接接收相关报告并自动通知各成员国主管当局；二是仅对各成员国主管当局转交的相关报告进行集中处理，从而发挥协调作用。欧洲监管机构应在与欧洲中央银行（ECB）及欧洲网络与信息安全局（ENISA）协商的基础上，编制一份联合报告，以探讨设立单一欧盟枢纽的可行性。

(56) 为实现高水平的数字化运营韧性，并依据相关国际标准（例如G7“以威胁为导向的渗透测试基本要素”）以及欧盟所采用的相关框架（如TIBER-EU），金融机构应当定期对其信息通信技术系统及承担信息通信技术相关职责的员工开展测试，以评估其预防、检测、响应和恢复能力的有效性，从而发现并解决潜在的信息通信技术漏洞。鉴于各金融子行业之间及其内部在网络安全准备水平方面存在的差异，测试应涵盖多种工具与措施，从基础要求的评估（例如漏洞评估与扫描、开源分析、网络安全评估、差距分析、物理安全审查、问卷调查及扫描软件解决方案、可行情况下的源代码审查、基于场景的测试、兼容性测试、性能测试或端到端测试）到更为高级的TLPT测试手段。此类高级测试仅适用于在信息通信技术方面具备足够成熟度、能够合理实施的金融机构。因此，本条例所要求的数字化运营韧性测试对于符合本条例规定条件的金融机构（例如大型、具有系统重要性的且信息通信技术较为成熟的信贷机构、证券交易所、中央证券存管机构及中央对手方）而言，应当比其他金融机构更为严格。

同时，通过TLPT方式进行的数字化运营韧性测试，对从事核心金融服务子行业并发挥系统性作用的金融机构（例如支付、银行以及清算与结算领域）更具针对性，而对其他子行业（例如资产管理机构和信用评级机构）则相对不那么重要。

(57) 从事跨境活动并在欧盟境内行使设立自由或提供服务自由的金融机构，应当在其所属成员国遵守一套统一的高级测试要求（即TLPT），该要求应涵盖其在欧盟境内开展跨境业务的所有司法管辖区内的信息与通信技术基础设施，从而允许此类跨境金融集团仅在一个司法管辖区承担相关的ICT测试费用。

(58) 为充分利用某些主管当局已积累的专业知识，特别是在实施TIBER-EU框架方面，本条例应允许各成员国指定一个单一的公共主管机构，在国家层面负责金融领域的所有TLPT相关事务；或者，在未作此类指定的情况下，授权其他国家级金融主管当局代行TLPT相关职责。

(59) 由于本条例并不要求金融机构将所有关键或重要功能纳入一次单一的威胁导向渗透测试范围，因此金融机构有权自行决定哪些以及多少关键或重要功能应被纳入该测试的覆盖范围。

(60) 本条例所指的联合测试——即若干金融实体参与一项TLPT，并且信息与通信技术第三方服务提供者可以直接与外部测试方订立合同安排——仅应在以下情况下允许：当该信息与通信技术第三方服务提供者向不属于本条例适用范围的实体所提供的服务的质量或安全性，或者与该等服务相关的数据的保密性，被合理预期将受到不利影响时。此外，联合测试还应采取相应的保障措施（由某一指定金融实体进行指导、对参与的金融实体数量进行校准），以确保相关金融实体能够开展严格有效的测试活动，从而实现本条例规定的TLPT之目的。

(61) 为充分利用企业层面的内部资源，本条例应允许在获得监管机构批准、不存在利益冲突且定期交替使用内部与外部测试人员（每三次测试轮换一次）的前提下，由内部测试人员执行威胁情报测试（TLPT），同时要求提供威胁情报的一方始终为金融机构之外的第三方。开展TLPT的责任应完全由金融机构承担。由监管机构出具的证明文件仅用于相互认可之目的，不得妨碍为应对金融机构所面临的信息与通信技术风险而采取的任何后续措施，亦不应被视为对金融机构信息与通信技术风险管理及缓解能力的监管背书。

(62) 为确保金融行业信息与通信技术第三方风险的有效监控，有必要制定一套以原则为基础的规则，指导金融机构在监测因外包给信息与通信技术第三方服务提供商而产生的风险时的行为，尤其是针对支持关键或重要职能的信息与通信技术服务，以及更广泛地涵盖所有信息与通信技术第三方依赖关系的情形。

(63) 为应对信息与通信技术（ICT）风险来源的复杂性，并考虑到提供技术支持以确保金融服务顺畅运行的服务提供商数量众多且类型多样，本条例应当涵盖广泛的ICT第三方服务提供商，包括云计算服务提供商、软件提供商、数据分析服务提供商以及数据中心服务提供商。同样地，鉴于金融机构应当有效且连贯地识别并管理各类风险，包括在金融集团内部采购的ICT服务情境下，有必要明确指出：作为金融集团成员且主要向其母公司或其子公司、分支机构提供ICT服务的企业，以及向其他金融机构提供ICT服务的金融机构，亦应被视为本条例项下的ICT第三方服务提供商。最后，鉴于支付服务市场日益依赖复杂的技术解决方案，且不断涌现新型支付服务及支付相关解决方案，支付服务生态系统的参与者，即从事支付处理活动或运营支付基础设施的企业，亦应被视为本条例项下的ICT第三方服务提供商；但中央银行在运营支付或证券结算系统时，以及公共当局在履行国家职能过程中提供ICT相关服务时，不在此列。

(64) 金融机构应始终对其遵守本条例所规定的各项义务承担全部责任。金融机构应当针对信息通信技术（ICT）第三方服务提供商层面出现的风险，采取相称的监测方法，充分考虑其与ICT相关的依赖关系的性质、规模、复杂性和重要性，以及受合同安排约束的服务、流程或功能的关键程度或重要性，并最终基于对相关风险可能对单个机构及集团层面金融服务的连续性和质量产生的潜在影响进行审慎评估。

(65) 此类监测工作应当遵循一种以战略为导向的信息通信技术（ICT）第三方风险管理办法，该办法通过金融机构管理机构采纳专门的ICT第三方风险战略予以正式化，并以对所有ICT第三方依赖关系的持续筛查为基础。为提高监管机构对ICT第三方依赖关系的认识，并为进一步支持本条例所确立的监督框架下的相关工作，所有金融机构均应建立一份登记册，载明有关使用ICT第三方服务提供商所提供ICT服务的所有合同安排的相关信息。金融监管机构有权要求提供完整的登记册，或索取其中的特定部分，从而获取必要信息，以便更全面地了解金融机构的ICT依赖关系。

(66) 在正式订立合同安排之前，应以全面的合同前分析为基础并先行开展相关工作，尤其应当重点关注以下要素：拟议的信息与通信技术（ICT）合同所支持服务的关键性或重要性、必要的监管审批或其他条件、可能存在的集中度风险，以及在选择和评估ICT第三方服务提供商过程中实施尽职调查，并对潜在的利益冲突进行评估。对于涉及关键或重要职能的合同安排，金融机构应当考虑ICT第三方服务提供商是否采用最新且最高级别的信息安全标准。合同安排的终止至少可由一系列情形引发，这些情形表明ICT第三方服务提供商存在不足之处，特别是严重违反法律法规或合同条款的情况、出现可能影响合同约定职能履行的情形、发现ICT第三方服务提供商整体ICT风险管理存在薄弱环节，或者相关主管当局无法有效监管该金融机构的情形。

(67) 为应对信息与通信技术（ICT）第三方集中度风险的系统性影响，本条例通过采取灵活且渐进的方式处理此类风险，以寻求平衡的解决方案；因为施加任何僵化的上限或严格限制，都可能妨碍业务开展并制约合同自由。金融机构应当对其拟订立的合同安排进行全面评估，以识别此类风险发生的可能性，包括对分包安排进行深入分析，尤其是在与设于第三国的信息与通信技术第三方服务提供商签订合同时。在现阶段，并为在维护合同自由与保障金融稳定之间达成合理平衡，尚不适宜就信息与通信技术第三方风险敞口设定严格的上限或限制规则。在监督框架下，根据本条例指定的牵头监管机构，应针对关键的信息与通信技术第三方服务提供商，特别关注充分把握其相互依存关系的规模，发现那些可能导致欧盟境内关键信息与通信技术第三方服务提供商高度集中的情形，从而对欧盟金融体系的稳定性和完整性构成压力，并在确认存在该特定风险时，与相关关键信息与通信技术第三方服务提供商保持对话。

(68) 为定期评估并监控ICT第三方服务提供商安全地向金融机构提供服务的能力，且不对其数字运营韧性产生不利影响，应统一与ICT第三方服务提供商签订的若干关键合同条款。该等统一应涵盖若干关键领域，这些领域对于金融机构全面监测可能源自ICT第三方服务提供商的风险至关重要，尤其从金融机构为确保其数字韧性而需依赖所接收的ICT服务之稳定性、功能性、可用性和安全性这一角度而言。

(69) 在重新协商合同安排以使其符合本条例要求时，金融机构与ICT第三方服务提供商应当确保涵盖本条例所规定的各项关键合同条款。

(70) 本条例所界定的“关键或重要功能”包括了欧洲议会和理事会第2014/59/EU号指令第2条第1款第35项所定义的“关键功能”。因此，根据第2014/59/EU号指令被认定为关键的功能亦纳入本条例所指的关键功能之定义范畴。

(71) 无论信息与通信技术服务所支持的功能具有何种关键性或重要性，合同安排均应特别规定对各项功能和服务的完整描述、相关功能的提供地点以及数据处理地点，并明确服务等级描述。此外，为使金融机构能够有效监控信息与通信技术第三方风险，还须包含以下必要要素：合同条款应明确规定信息与通信技术第三方服务提供者如何确保个人数据的可访问性、可用性、完整性、安全性及保护；在该第三方服务提供者发生破产、被处置或业务终止时，应载明有关保障数据访问、恢复及返还的相关条款；同时，还应规定该第三方服务提供者在与其所提供服务相关的信息与通信技术事件发生时，须无偿或按事先约定之费用提供协助；此外，还需包含关于该第三方服务提供者有义务全面配合金融机构之主管当局及处置机构的条款；以及根据主管当局和处置机构之预期，就合同安排之终止权及相关最低通知期限作出的规定。

(72) 除上述合同条款外，为确保金融机构对其在第三方层面发生的、可能损害其信息通信技术安全的所有事项保持完全掌控，用于支持关键或重要职能的信息通信技术服务合同还应规定以下内容：明确完整的服务水平描述，并设定精确的定量与定性绩效目标，以便在未达到约定的服务水平时能够及时采取适当的纠正措施；在发生可能对第三方信息通信技术服务提供方有效提供相应服务的能力产生重大影响的事项时，规定该第三方服务提供方的相关通知期限及报告义务；要求该第三方信息通信技术服务提供方制定并测试业务连续性计划，并配备能够保障服务安全提供的信息通信技术安全措施、工具和政策，同时参与并充分配合由金融机构实施的第三方服务评估与审查（TLPT）。

(73) 为支持关键或重要职能而提供的信息与通信技术服务合同，还应当包含相关条款，赋予金融机构或其指定的第三方以访问、检查和审计的权利，并有权复制相关资料，作为金融机构持续监控ICT第三方服务提供商绩效的重要手段；同时，服务提供商应在检查过程中予以全面配合。同样地，金融机构的主管机关亦应依据相关通知，在保护保密信息的前提下，享有对ICT第三方服务提供商进行检查和审计的权利。

(74) 此类合同安排还应规定专门的退出策略，以便特别是在强制性过渡期内，信息与通信技术（ICT）第三方服务提供商继续提供相关服务，从而降低金融机构层面发生业务中断的风险，或者使该机构能够有效转而使用其他ICT第三方服务提供商，或在符合所提供ICT服务复杂性的前提下改用内部解决方案。此外，属于2014/59/EU号指令适用范围内的金融机构应当确保其ICT服务相关合同在该等金融机构被处置时具有稳健性并可完全执行。因此，为符合处置当局的预期，这些金融机构应当确保其ICT服务相关合同具备处置韧性。在持续履行付款义务的前提下，这些金融机构还应当确保，除其他要求外，其ICT服务相关合同包含不因重组或处置原因而被终止、暂停或修改的条款。

(75) 此外，由公共当局或欧盟机构制定的标准合同条款的自愿使用，尤其是委员会为云计算服务所制定的合同条款的使用，可通过提升金融实体及信息通信技术第三方服务提供商在金融领域使用云计算服务方面的法律确定性水平，为其提供进一步的保障，并完全符合欧盟金融服务法所规定的要求与期望。标准合同条款的制定以2018年金融科技行动计划中已 envisaged 的相关措施为基础，该计划宣布了委员会有意鼓励并促进金融实体就云计算服务外包而制定标准合同条款，同时借鉴跨行业云计算服务利益相关方的努力，而这些努力亦得到了委员会在金融部门参与下的推动与支持。

(76) 为促进在金融领域应对信息通信技术第三方风险时监管方法的趋同与效率，并强化依赖关键信息通信技术第三方服务提供商提供支持金融服务供给的信息通信技术服务的金融机构的数字运营韧性，从而有助于维护欧盟金融体系的稳定性和金融服务内部市场的完整性，关键信息通信技术第三方服务提供商应当纳入欧盟监督框架。尽管建立该监督框架的理由在于在欧盟层面采取行动所具有的附加价值，以及信息通信技术服务在金融服务提供过程中所固有的作用和特殊性，但同时应当指出，这一方案仅适用于本条例所专门涉及的金融领域数字运营韧性问题。然而，该监督框架不应被视为适用于金融服务及其他相关领域的新型欧盟监管模式。

(77) 监管框架应当仅适用于关键的信息与通信技术第三方服务提供商。因此，应当建立一项认定机制，以充分考量金融行业对这类信息与通信技术第三方服务提供商的依赖程度及其性质。该机制应包含一套定量与定性相结合的标准，用以确定关键性参数，作为纳入监管框架的基础。为确保该项评估的准确性，无论信息与通信技术第三方服务提供商的公司架构如何，对于属于更广泛集团之内的此类服务提供商，其标准均应考虑整个集团的架构体系。一方面，未因适用上述标准而被自动认定为关键信息与通信技术第三方服务提供商的机构，应当有权自愿选择加入监管框架；另一方面，已受制于支持履行《欧盟运作条约》第127条第2款所指欧洲中央银行体系各项职能之监督机制框架的各类信息与通信技术第三方服务提供商，则应予以豁免。

(78) 同样地，向其他金融机构提供信息与通信技术（ICT）服务的金融实体，尽管属于本条例所界定的ICT第三方服务提供商范畴，亦应被排除在监督框架之外，因其已受相关欧盟金融服务法律所确立的监管机制约束。在适用情况下，主管当局在其监管活动中应当考虑由提供ICT服务的金融机构对其他金融机构所构成的ICT风险。同样地，鉴于集团层面已存在风险监测机制，对于主要向其所属集团内各实体提供服务的ICT第三方服务提供商，亦应适用相同的豁免规定。此外，仅在一个成员国境内向仅在该成员国开展业务的金融机构提供ICT服务的ICT第三方服务提供商，由于其业务范围有限且不具跨境影响，亦应被排除在指定机制之外。

(79) 金融服务领域所经历的数字化转型，已使信息与通信技术（ICT）服务的使用与依赖程度达到了前所未有的水平。鉴于在不借助云计算服务、软件解决方案及数据相关服务的情况下已难以提供金融服务，欧盟金融生态系统已与特定ICT服务供应商所提供的ICT服务形成了内在的相互依存关系。其中一些供应商作为ICT技术开发与应用领域的创新者，在金融服务的提供过程中发挥着重要作用，或已深度融入金融服务价值链。因此，这些供应商已成为维护欧盟金融体系稳定与完整性的关键要素。这种对关键ICT第三方服务提供商所提供服务的广泛依赖，加之各市场运营主体信息系统之间的相互依存，一旦关键ICT第三方服务提供商遭遇运营中断或重大网络事件，将直接且可能严重危及欧盟金融服务体系以及金融服务持续提供的能力。网络事件具有独特的扩散与传播特性，其在金融体系内的蔓延速度远超金融领域所监测的其他类型风险，并且能够跨越行业界限、突破地理边界。

此类事件还可能演变为系统性危机：当支撑实体经济运行的各项功能因中断而受损，或造成巨额财务损失，以至于金融体系无法承受，或不得不动用大规模的冲击缓冲措施时，公众对金融体系的信任便会遭到侵蚀。为防范上述情形的发生，进而避免危及欧盟的金融稳定与完整性，亟需推动与金融领域ICT第三方风险相关的监管实践实现协调统一，尤其是通过制定新的规则，赋予欧盟对关键ICT第三方服务提供商实施监督的权力。

(80) 监管框架在很大程度上取决于牵头监管机构与向金融机构提供影响金融服务供给的ICT关键第三方服务提供商之间的协作程度。成功的监管，除其他因素外，以牵头监管机构能够有效开展监测任务和检查为前提，以便评估这些关键ICT第三方服务提供商所采用的规则、控制措施及流程，并评估其活动对金融稳定及金融体系完整性的潜在累积影响。同时，至关重要的是，关键ICT第三方服务提供商应当遵循牵头监管机构的建议并妥善处理其关切事项。鉴于，若提供影响金融服务供给之服务的关键ICT第三方服务提供商缺乏配合，例如拒绝允许进入其场所或拒不提交相关信息，将最终使牵头监管机构丧失评估ICT第三方风险所必需的重要工具，并可能对金融稳定及金融体系完整性产生不利影响，因此有必要相应地建立一套相称的制裁机制。

(81) 在此背景下，牵头监管机构为促使关键信息通信技术第三方服务提供商遵守本条例所规定的透明度及访问相关义务而施加罚款的必要性，不应因在针对设于第三国的关键信息通信技术第三方服务提供商执行该等罚款时所遇到的困难而受到损害。为确保此类罚款的可执行性，并使有关程序得以迅速启动，以保障关键信息通信技术第三方服务提供商在指定机制及建议发布过程中的辩护权利，对于向影响金融服务供给的金融机构提供服务的关键信息通信技术第三方服务提供商，应要求其在欧盟境内维持充分的业务存在。鉴于监督工作的性质，以及在其他司法管辖区缺乏类似安排，目前尚无适当替代机制可通过与第三国金融监管机构的有效合作，对由系统性信息通信技术第三方服务提供商所引发的数字运营风险之影响实施有效监测；这些系统性信息通信技术第三方服务提供商被认定为设于第三国的关键信息通信技术第三方服务提供商。

因此，为继续向欧盟境内的金融机构提供信息通信技术服务，根据本条例被指定为关键的信息通信技术第三方服务提供商的第三国企业，应在获指定之日起十二个月内，采取一切必要措施，通过设立子公司的方式将其纳入欧盟体系之内，该子公司的定义见整个欧盟法律体系，尤其是欧洲议会和理事会颁布的第2013/34/EU号指令（21）。

(82) 在欧盟设立子公司的要求不应妨碍关键的ICT第三方服务提供商从位于欧盟以外的设施和基础设施提供ICT服务及相关技术支持。本条例不设数据本地化义务，因为它不要求在欧盟境内进行数据存储或处理。

(83) 关键信息通信技术第三方服务提供商应当能够在世界任何地方提供信息通信技术服务，而不必或不局限于在欧盟境内的场所提供。监督活动首先应在欧盟境内的场所开展，并通过与位于欧盟的实体进行互动来实施，包括根据本条例由关键信息通信技术第三方服务提供商设立的子公司。然而，在欧盟境内开展的此类行动可能不足以使牵头监督机构充分、有效地履行其在本条例项下的职责。因此，牵头监督机构还应当能够在第三国行使相关的监督职权。在第三国行使这些职权，将使牵头监督机构得以检查关键信息通信技术第三方服务提供商实际提供或管理信息通信技术服务或技术支持服务的设施，并使其对关键信息通信技术第三方服务提供商的信息通信技术风险管理形成全面而切实可行的理解。作为欧盟机构，牵头监督机构在欧盟境外行使职权的可能性应当受到相关条件的适当规制，尤其是须征得相关关键信息通信技术第三方服务提供商的同意。同样地，第三国的相关主管当局应当被告知且不得反对牵头监督机构在其领土内开展的上述活动。

然而，为确保有效实施，并且不影响欧盟各机构及成员国各自的职权范围，此类职权还必须通过与相关第三国主管当局缔结行政合作安排予以充分确立。因此，本条例应当允许欧洲监管机构与第三国的相关主管当局缔结行政合作安排，而该等安排不应在欧盟及其成员国层面产生任何法律义务。

(84) 为便于与牵头监督机构沟通并确保充分的代表性，属于同一集团的关键信息通信技术第三方服务提供商应当指定一名法人作为其协调联络点。

(85) 监督框架不应影响成员国就本条例未被认定为关键的信息通信技术第三方服务提供商（但被视为国家层面重要者）开展自身监督或监测任务的权限。

(86) 为充分利用金融服务领域的多层次制度架构，欧洲监管机构联合委员会应继续根据其在网络安全方面的职责，就所有涉及信息通信技术风险的事项确保跨部门的整体协调。该委员会应由一个新的小组委员会（“监督论坛”）予以支持，该小组委员会负责为针对关键信息通信技术第三方服务提供商的个别决定以及集体建议的发布开展前期准备工作，特别是在对关键信息通信技术第三方服务提供商的监督计划进行基准评估、以及识别应对信息通信技术集中度风险问题的最佳实践方面。

（87）

为确保在欧盟层面适当且有效地监管关键信息通信技术第三方服务提供商，本条例规定，三大欧洲监管机构中的任一机构均可被指定为牵头监管机构。将某一关键信息通信技术第三方服务提供商分配至三大欧洲监管机构之一，应当基于对该欧洲监管机构所负责的金融领域内运营的金融机构数量占主导地位的评估结果。这一做法应在履行监管职能的过程中，实现三大欧洲监管机构之间任务与职责的均衡分配，并最大限度地利用三大欧洲监管机构各自拥有的人力资源和技术专长。

（88）

应赋予牵头监管机构必要的权力，以开展调查、对关键信息通信技术第三方服务提供商的营业场所及相关地点进行现场及非现场检查，并获取完整且最新的相关信息。这些权力应使牵头监管机构能够深入了解该类ICT第三方风险的性质、规模及其对金融机构乃至欧盟金融体系所产生的影响。将牵头监督职责交由欧洲系统性风险委员会（ESAs）承担，是把握并应对金融领域ICT风险系统性维度的前提条件。鉴于关键ICT第三方服务提供商对欧盟金融部门的影响，以及由此引发的ICT集中度风险所可能导致的问题，有必要在欧盟层面采取统筹协调的应对措施。若由众多主管当局分别实施多项审计并授予不同访问权限，且彼此之间缺乏或仅有极少的协调，则不仅会妨碍金融监管机构全面、系统地掌握欧盟范围内ICT第三方风险的整体状况，还会给关键ICT第三方服务提供商带来重复性要求、额外负担及复杂性，使其面临多重监测与检查请求的困扰。

(89) 由于被认定为关键实体所产生的重大影响，本条例应当确保在监督框架实施过程中，关键信息通信技术第三方服务提供商的各项权利得到充分保障。在被认定为关键实体之前，此类提供商应享有向牵头监管机构提交一份载有与认定评估相关之任何必要信息的合理说明的权利。鉴于牵头监管机构有权就信息通信技术风险事项及其适当补救措施提出建议，其中包括反对某些可能最终影响金融机构或金融体系稳定性的合同安排之权力，因此，关键信息通信技术第三方服务提供商亦应在上述建议最终确定之前，有机会就建议中所设想之解决方案对本条例适用范围之外的客户所产生的预期影响作出说明，并提出相应的风险缓释方案。对于不同意该等建议的关键信息通信技术第三方服务提供商，应当提交一份对其不认可该建议之理由的合理说明。如未提交该等合理说明，或经审查认为其不充分，牵头监管机构应当发布一份公开公告，简要说明该项不合规事项。

(90) 主管当局应当在其对金融机构审慎监管的职能范围内，适当纳入核查牵头监督人所发布建议之实质合规性的任务。主管当局应当有权要求金融机构采取额外措施，以应对牵头监督人建议中识别出的风险，并应在适当时候就此发出相关通知。当牵头监督人向受《欧盟》2022/2555号指令监管的关键信息通信技术第三方服务提供商提出建议时，主管当局在自愿基础上且于采取额外措施之前，应当能够与该指令项下的主管当局进行磋商，以促进就相关关键信息通信技术第三方服务提供商采取协调一致的应对措施。

(91) 监督工作的开展应当遵循三项运作原则，以确保：(a) 各欧洲监管机构在担任牵头监督人角色时通过联合监督网络（JON）实现密切协调；(b) 与《欧盟》2022/2555号指令所确立的框架保持一致（通过自愿征求该指令项下相关机构的意见，以避免针对关键信息通信技术第三方服务提供商采取重复性措施）；以及(c) 以审慎态度行事，最大限度降低因关键信息通信技术第三方服务提供商向本条例适用范围之外的实体客户提供服务而可能引发的中断风险。

(92) 监管框架不应取代或在任何方面、任何部分替代金融机构对其使用信息通信技术第三方服务提供商所涉及风险进行自我管理的要求，包括其对与关键信息通信技术第三方服务提供商订立的合同安排持续进行监测的义务。同样，监管框架亦不应影响金融机构就遵守并履行本条例及有关金融服务法律所规定的各项法定义务所承担的全部责任。

(93) 为避免重复与重叠，主管当局应避免单独采取旨在监测关键信息通信技术第三方服务提供商风险的任何措施，并在此方面依赖相关牵头监管机构的评估。无论如何，所有措施均应在监管框架下履行职责的过程中，事先与牵头监管机构协调并达成一致。

（94）

为促进国际层面在审查与监测信息通信技术第三方服务提供商数字风险管理方面的最佳实践应用趋于一致，应鼓励欧洲监管机构与相关第三国的监督与监管机构缔结合作安排。

（95）

为充分利用各主管当局、三家欧洲监管机构以及根据指令（EU）2022/2555自愿参与的各主管当局中专门从事运营风险与信息通信技术风险领域的工作人员所具备的特定能力、技术专长及专业知识，牵头监督机构应当依托各国的监管能力和知识，针对每一家关键信息通信技术第三方服务提供商组建专门的检查团队，并整合多学科专业力量，以支持监督活动的筹备与实施，包括对关键信息通信技术第三方服务提供商的一般性调查与检查，以及后续必要的跟进工作。

(96) 鉴于监督任务所产生的费用将完全由向关键信息通信技术第三方服务提供商征收的费用予以资助，然而，在监督框架启动之前，欧洲监管机构很可能需要承担用于部署支持即将开展的监督工作的专用信息通信技术系统的相关成本，因为这些专用系统必须事先开发并投入使用。因此，本条例规定了一种混合融资模式：监督框架本身将完全通过收费方式获得资金，而欧洲监管机构的信息通信技术系统的开发则由欧盟及各成员国主管当局的出资予以支持。

(97) 有关主管当局应当拥有为确保其依照本条例履行职责所必需的一切监督、调查及处罚权力。原则上，它们应当公布其所施加的行政罚款公告。鉴于金融机构和信息通信技术第三方服务提供者可能在不同成员国设立，并由不同的主管当局进行监管，因此，为便于本条例的实施，一方面应当加强相关主管当局之间的密切合作，包括欧洲中央银行根据欧盟理事会第1024/2013号条例赋予的具体职责开展的合作；另一方面，还应当通过相互交换信息以及在相关监管活动中提供协助的方式，与欧洲系统性风险委员会进行磋商。

（98）

为进一步量化并明确将信息通信技术（ICT）第三方服务提供商认定为关键性服务提供商的标准，并统一监管费用，应依据《欧盟运作条约》第290条的规定，将制定相关法律文件的权力授予委员会，以通过进一步细化以下内容来补充本条例：某ICT第三方服务提供商发生故障或运营中断可能对其所服务的金融机构产生的系统性影响；依赖该ICT第三方服务提供商的全球系统重要性机构（G-SIIs）或其他系统重要性机构（O-SIIs）的数量；特定市场上活跃的ICT第三方服务提供商的数量；将数据及ICT工作负载迁移至其他ICT第三方服务提供商的成本；以及监管费用的具体金额及其支付方式。尤为重要的是，委员会在开展相关准备工作时，应当按照2016年4月13日关于“更好立法”的机构间协议中确立的原则，进行充分的磋商，包括专家层面的磋商。特别是，为确保欧洲议会和理事会能够平等参与委托法案的制定过程，应当与成员国专家同时收到所有相关文件，并且其专家应定期获准参加由委员会设立、负责起草委托法案的专家小组会议。

（99）

监管技术标准应当确保本条例所规定要求的一致性与协调统一。作为具备高度专业 expertise 的机构，欧洲监管机构应制定不涉及政策选择的监管技术标准草案，并提交欧盟委员会。监管技术标准应在信息通信技术（ICT）风险管理、重大ICT相关事件报告、测试等领域，以及关于对第三方ICT风险进行稳健监测的关键要求方面予以制定。欧盟委员会和各欧洲监管机构应当确保这些标准与要求能够由所有金融机构以与其规模、整体风险状况，以及其服务、活动和业务的性质、规模与复杂程度相称的方式加以适用。欧盟委员会应当被授权依据《欧盟运作条约》第290条，并按照第1093/2010号、第1094/2010号及第1095/2010号法规第10至14条的规定，通过委托法案的形式采纳上述监管技术标准。

（100）

为便于对重大信息通信技术相关事件以及重大运营或支付安全相关事件的报告进行比较，并确保有关使用信息通信技术第三方服务提供商所提供信息通信技术服务之合同安排的透明度，各欧洲监管机构应制定实施技术标准草案，确立用于金融机构报告重大信息通信技术相关事件及重大运营或支付安全相关事件的标准化模板、表格和程序，以及用于信息登记簿的标准化模板。在制定上述标准时，各欧洲监管机构应当考虑金融机构的规模及其整体风险状况，以及其服务、活动和业务的性质、规模与复杂性。欧盟委员会应被授权依据《欧盟运作条约》第291条并按照第1093/2010号、第1094/2010号及第1095/2010号条例第15条，通过实施性法案采纳上述实施技术标准。

(101) 鉴于根据欧洲议会和理事会颁布的第1060/2009号（23）、第648/2012号（24）、第600/2014号（25）以及第909/2014号（26）条例中的技术监管标准与实施技术标准，已通过授权法案及执行法案明确规定了进一步的要求，因此有必要授权各欧洲监管机构（ESA），或由其通过联合委员会以联合方式，向欧盟委员会提交监管标准与实施技术标准，以便采纳相关授权法案及执行法案，从而延续并更新现行的信息与通信技术风险管理规则。

(102) 鉴于本条例连同欧洲议会和理事会颁布的第2022/2556号（27）指令，对欧盟金融服务法律体系中多项法规与指令中的信息与通信技术风险管理条款进行了整合，其中包括第1060/2009号、第648/2012号、第600/2014号以及第909/2014号条例，还有第2016/1011号（28）条例，为确保完全的一致性，应当对上述各项条例作出修订，明确适用于信息与通信技术风险的相关条款均载于本条例之中。

(103) 因此，与操作风险相关的各项条款的适用范围应当予以缩小，以便将目前属于这些法规的部分有关数字化运营韧性方面的规定纳入本条例；上述相关条款曾作为依据，授权根据《第1060/2009号（EC）条例》、《第648/2012号（EU）条例》、《第600/2014号（EU）条例》、《第909/2014号（EU）条例》以及《第2016/1011号（EU）条例》所规定的授权，采纳委托法案和实施法案。

(104) 与用于支付系统运行及支付处理活动的ICT基础设施相关的潜在系统性网络风险，应当通过统一的数字韧性规则在欧盟层面得到妥善应对。为此，委员会应迅速评估是否有必要对本条例的适用范围进行修订，并将该项审查与根据指令（EU）2015/2366所设想的全面审查结果相协调。过去十年中发生的多起大规模攻击表明，支付系统已日益暴露于网络威胁之下。作为支付服务链条的核心环节，并与整个金融体系存在紧密的相互关联，支付系统及支付处理活动对于欧盟金融市场的正常运转具有至关重要的意义。针对此类系统的网络攻击可能引发严重的业务运营中断，不仅直接影响支付便利化等关键经济功能，还会对相关经济流程产生间接影响。在欧盟层面尚未建立统一的监管制度并实施对支付系统运营商及处理实体的监督之前，各成员国在适用本国管辖范围内受监管的支付系统运营商及处理实体的相关规则时，可参照本条例所规定的数字运营韧性要求，以期实现相近的市场实践。

(105) 由于本条例旨在为受监管的金融机构实现高水平的数字化运营韧性，这一目标无法由成员国单独充分实现，因为这需要对欧盟及成员国法律中的各项不同规则进行协调统一；相反，鉴于其规模与影响，该目标更宜在欧盟层面予以实现，因此，根据《欧洲联盟条约》第5条所载的辅助性原则，欧盟可以采取相应措施。同时，依据该条所载的比例原则，本条例的范围并未超出实现上述目标所必需的限度。

(106) 欧洲数据保护监督员已根据欧洲议会和理事会颁布的（EU）2018/1725号条例第42条第1款的规定进行了咨询，并于2021年5月10日发表了意见（30），

特此制定本条例：

一般规定

第一章 · 第一条

事项范围

1. 为实现高水平的共同数字运营韧性，本条例就支持金融机构业务流程的网络与信息系统安全，规定如下统一要求：

（a）

适用于金融机构的相关要求包括：

(i) 信息与通信技术（ICT）风险管理；

(ii) 重大ICT相关事件的报告以及向主管当局自愿通报重大网络威胁；

(iii) 第二条第一款(a)至(d)项所指金融机构向主管当局报告重大运营或支付安全相关事件；

(iv) 数字运营韧性测试；

(v) 有关网络威胁与漏洞的信息与情报共享；

（vi）

ICT第三方风险稳健管理措施；

（b）

关于ICT第三方服务提供商与金融机构之间订立的合同安排的相关要求；

(c) 针对向金融机构提供服务的关键ICT第三方服务提供商，建立并实施监督框架的规则；

(d) 关于主管当局之间合作的规则，以及关于主管当局就本条例所涵盖的所有事项进行监督和执法的规则。

2. 就根据将欧盟指令（EU）2022/2555第3条转化为国家法律的国内规则被认定为关键实体或重要实体的金融机构而言，本条例应被视为该指令第4条所指的特定行业性欧盟法律文件。

3. 本条例不影响成员国依据欧盟法律在公共安全、国防及国家安全等关键国家职能方面的责任。

第一章 · 第2条

范围

1. 在不影响第3款和第4款的前提下，本条例适用于下列实体：

（a）

信贷机构；

（b）

支付机构，包括根据欧盟指令（EU）2015/2366获得豁免的支付机构；

(c) 账户信息服务提供者；

(d) 电子货币机构，包括根据指令2009/110/EC获得豁免的电子货币机构；

(e) 投资公司；

(f) 根据欧洲议会和理事会关于加密资产市场的条例而获准设立的加密资产服务提供商，并且该条例对（EU）No 1093/2010号和（EU）No 1095/2010号条例以及2013/36/EU号和（EU）2019/1937号指令作出修订（以下简称“加密资产市场条例”），以及资产挂钩型代币的发行人；

（g）

中央证券存管机构；

（h）

中央对手方；

(i) 交易场所；

(j) 交易数据存储库；

（k）

另类投资基金的管理人；

（l）

管理公司；

（m）

数据报告服务提供者；

（n）

保险及再保险业务实体；

（o）

保险中介、再保险中介及辅助性保险中介；

（p）

职业退休计划机构；

（q）

信用评级机构；

（r）

关键基准的管理人；

（s）

众筹服务提供者；

（t）

证券化数据存储库；

（u）

信息通信技术第三方服务提供者。

2. 就本条例而言，第1款(a)至(t)项所指的各类实体统称为“金融实体”。

3. 本条例不适用于：

（a）

根据2011/61/EU号指令第3条第2款所指的另类投资基金的管理人；

（b）

根据2009/138/EC号指令第4条所指的保险及再保险企业；

(c) 运营养老金计划的职业退休金机构，其成员总数不超过15人；

(d) 根据2014/65/EU号指令第2条和第3条获豁免的自然人或法人；

(e) 作为微型企业、小型企业或中型企业的保险中介、再保险中介以及辅助性保险中介；

(f) 根据2013/36/EU号指令第2条第5款第3项所指的邮政储蓄机构。

4. 成员国可以将位于其各自领土内的、属于2013/36/EU号指令第2条第5款第4至第23项所指的实体排除在本条例的适用范围之外。成员国如行使该项选择权，应当将其决定及其任何后续变更通知委员会。委员会应当通过其网站或其他易于获取的方式向公众公布该等信息。

第一章 · 第三条

定义

为本条例之目的，下列定义适用：

（1）

“数字运营韧性”是指金融机构通过直接或间接借助信息通信技术第三方服务提供商所提供的服务，确保其用于保障网络与信息系统安全并支持金融服务持续提供及其质量的全部相关能力，从而构建、保障并评估自身运营的完整性和可靠性，包括在各类中断情形下的持续性；

(2) “网络与信息系统”是指《（EU）2022/2555号指令》第6条第1款所界定的网络与信息系统；

(3) “传统信息通信技术系统”是指已达到生命周期终点（即“寿命终止”）、因技术或商业原因无法进行升级或修复、或已不再获得其供应商或信息通信技术第三方服务提供商支持，但仍在使用且仍能支撑该金融机构各项功能的信息通信技术系统；

(4) “网络与信息系统的安全性”是指《（EU）2022/2555号指令》第6条第2款所界定的网络与信息系统的安全性；

(5) “ICT风险”是指与网络和信息系统使用相关的任何合理可识别的情形，该情形一旦发生，可能危及网络和信息系统的安全、任何依赖技术的工具或流程的安全、运营与流程的安全，或者服务提供的安全，并在数字或物理环境中产生不利影响；

(6) “信息资产”是指值得保护的有形或无形的信息集合；

(7) “ICT资产”是指金融实体所使用的网络和信息系统中的软件或硬件资产；

(8) “与ICT相关的事件”是指由金融实体未计划发生的单一事件或一系列相关联的事件，该事件危及网络和信息系统的安全，并对数据的可用性、真实性、完整性或保密性，或者对金融实体所提供的服务产生不利影响；

(9) “与支付相关的运营或安全事件”是指第2条第1款(a)至(d)项所述的金融实体未计划发生的单一事件或一系列相关联的事件，无论是否与ICT相关，均对支付相关数据的可用性、真实性、完整性或保密性，或者对金融实体提供的支付相关服务产生不利影响；

(10) “重大信息通信技术相关事件”是指对支持金融实体关键或重要职能的网络与信息系统造成高度不利影响的信息通信技术相关事件；

(11) “重大运营或安全支付相关事件”是指对所提供的支付相关服务产生高度不利影响的运营或安全支付相关事件；

(12) “网络威胁”是指《欧盟条例（EU）2019/881》第2条第（8）项所定义的“网络威胁”；

(13) “重大网络威胁”是指其技术特征表明可能引发重大信息通信技术相关事件或重大运营或安全支付相关事件的网络威胁；

(14) “网络攻击”是指由任何威胁行为体实施的恶意信息通信技术相关事件，旨在破坏、泄露、篡改、禁用、窃取、未经授权访问或未经授权使用某项资产；

(15) “威胁情报”是指经汇总、转换、分析、解释或丰富处理后，为决策提供必要背景并促成相关且充分理解的信息，以减轻信息通信技术相关事件或网络威胁的影响，包括网络攻击的技术细节、攻击责任人及其作案手法和动机等；

(16) “漏洞”是指资产、系统、流程或控制中存在的弱点、易受攻击性或缺陷，这些因素可能被利用；

（17）

“威胁引导型渗透测试（TLPT）”是指一种框架，其模拟被认为构成真实网络威胁的现实威胁行为体所采用的战术、技术和程序，从而对金融机构的关键生产系统进行受控的、量身定制的、以情报为导向（红队）的测试；

（18）

“ICT第三方风险”是指金融机构在使用由ICT第三方服务提供商或其分包商提供的ICT服务时可能产生的ICT风险，包括通过外包安排所产生的风险；

（19）

“ICT第三方服务提供商”是指提供ICT服务的企业；

（20）

“ICT集团内服务提供商”是指属于某一金融集团的企业，主要向同一集团内的金融机构或隶属于同一机构保护计划的金融机构提供ICT服务，包括向其母公司、子公司、分支机构或其他处于共同所有权或控制之下的实体提供服务；

（21）

“ICT服务”是指通过ICT系统持续向一个或多个内部或外部用户提供数字与数据服务，包括硬件即服务以及硬件服务——后者包含由硬件提供商通过软件或固件更新提供技术支持的服务——但不包括传统的模拟电话服务；

（22）

“关键或重要功能”是指，一旦该功能中断，将对金融机构的财务表现、其服务与活动的稳健性或连续性造成重大不利影响；或者，该功能的停止、缺陷或失败将导致金融机构无法持续符合其许可条件与义务，或无法履行其在适用金融服务法律下的其他义务；

（23）

“关键信息通信技术第三方服务提供商”是指根据第31条被认定为关键的信息通信技术第三方服务提供商；

（24）

“在第三国设立的信息通信技术第三方服务提供商”是指在第三国依法设立的法人实体，并已与金融机构签订合同安排以提供信息通信技术服务的第三方服务提供商；

（25）

“子公司”是指《2013/34/EU指令》第2条第（10）项及第22条所界定的子公司；

（26）

“集团”是指《2013/34/EU指令》第2条第（11）项所界定的集团；

（27）

“母公司”是指《2013/34/EU指令》第2条第（9）项及第22条所界定的母公司；

（28）

“在第三国设立的ICT分包商”是指在第三国依法设立的法人实体，且已与ICT第三方服务提供商或在第三国设立的ICT第三方服务提供商订立合同安排；

（29）

“ICT集中度风险”是指对单一或多个相关的关键信息与通信技术（ICT）第三方服务提供商的暴露，这种暴露导致对该等提供商产生一定程度的依赖，以致于该等提供商的不可用、故障或其他形式的不足可能潜在地危及金融机构履行关键或重要职能的能力，或者使其遭受其他类型的不利影响，包括重大损失，亦或危及整个欧盟的金融稳定；

（30）

“管理机构”是指《2014/65/EU号指令》第4条第1款第36项、《2013/36/EU号指令》第3条第1款第7项、《欧洲议会和理事会2009/65/EC号指令》第2条第1款第s项、《欧盟第909/2014号条例》第2条第1款第45项、《欧盟第2016/1011号条例》第3条第1款第20项以及有关加密资产市场条例中的相应规定所界定的管理机构，或者根据相关欧盟或国家法律实际管理该实体或承担关键职能的同等人员；

（31）

“信贷机构”是指《欧洲议会和理事会2013/575/2013号条例》第4条第1款第1项所界定的信贷机构；（32）

（32）

“根据《2013/36/EU号指令》获豁免的机构”是指《2013/36/EU号指令》第2条第5款第4至第23项所指的实体；

（33）

“投资公司”是指根据第2014/65/EU号指令第4条第1款第1项所界定的投资公司；

（34）

“小型且非互联的投资公司”是指符合欧洲议会和理事会第2019/2033号条例（33）第12条第1款所规定条件的投资公司；

（35）

“支付机构”是指根据欧盟第2015/2366号指令第4条第（4）项所定义的支付机构；

（36）

“根据欧盟第2015/2366号指令获豁免的支付机构”是指根据该指令第32条第1款获豁免的支付机构；

（37）

“账户信息服务提供者”是指根据欧盟第2015/2366号指令第33条第1款所指的账户信息服务提供者；

(38) “电子货币机构”是指根据欧洲议会和理事会第2009/110/EC号指令第2条第（1）项所定义的电子货币机构；

(39) “根据第2009/110/EC号指令获豁免的电子货币机构”是指根据该指令第9条第1款所享有的豁免待遇的电子货币机构；

(40) “中央对手方”是指根据欧盟第648/2012号条例第2条第（1）项所定义的中央对手方；

(41) “交易存储库”是指根据欧盟第648/2012号条例第2条第（2）项所定义的交易存储库；

(42) “中央证券存管机构”系指《欧盟第909/2014号条例》第2条第1款第1项所界定的中央证券存管机构；

(43) “交易场所”系指《2014/65/EU号指令》第4条第1款第24项所界定的交易场所；

(44) “另类投资基金经理”是指《2011/61/EU号指令》第4条第1款第(b)项所定义的另类投资基金经理；

(45) “管理公司”是指《2009/65/EC号指令》第2条第1款第(b)项所定义的管理公司；

(46) “数据报告服务提供者”是指《欧盟第600/2014号条例》第2条第1款第(34)至第(36)项所指的数据报告服务提供者；

(47) “保险企业”是指《2009/138/EC号指令》第13条第(1)项所定义的保险企业；

(48) “再保险企业”是指《2009/138/EC号指令》第13条第(4)项所定义的再保险企业；

(49) “保险中介”是指《欧洲议会和理事会（EU）2016/97号指令》第2条第1款第(3)项所定义的保险中介（34）；

(50) “辅助性保险中介”是指《欧洲议会和理事会（EU）2016/97号指令》第2条第1款第(4)项所定义的辅助性保险中介；

（51）

“再保险中介”是指《欧洲议会和理事会（EU）2016/97号指令》第2条第1款第(5)项所定义的再保险中介；

（52）

“职业退休金机构”是指根据第（EU）2016/2341号指令第6条第（1）款所界定的职业退休金机构；

(53) “小型职业退休金机构”是指经营的养老金计划合计成员总数不足100人的职业退休金机构；

(54) “信用评级机构”是指《第1060/2009号条例》第3条第1款第(b)项所界定的信用评级机构；

(55) “加密资产服务提供商”是指《关于加密资产市场的条例》相关条款所界定的加密资产服务提供商；

(56) “资产参考型代币发行人”是指《关于加密资产市场的条例》相关条款所界定的资产参考型代币发行人；

(57) “关键基准管理人”是指《第2016/1011号欧盟条例》第3条第1款第(25)项所界定的“关键基准”管理人；

(58) “众筹服务提供商”是指《欧洲议会和理事会第2020/1503号条例》第2条第1款第(e)项所界定的众筹服务提供商（35）；

(59) “证券化数据存储库”是指《欧洲议会和理事会第2017/2402号条例》第2条第(23)项所界定的证券化数据存储库（36）；

(60) “微型企业”是指除交易场所、中央对手方、交易数据存储库或中央证券存管机构之外的金融机构，其雇员人数少于10人，且年营业额和/或年度资产负债表总额不超过200万欧元；

(61) “首席监督官”是指根据本条例第31条第1款第(b)项指定的欧洲监管机构；

(62) “联合委员会”是指《条例》（EU）No 1093/2010、（EU）No 1094/2010和（EU）No 1095/2010第54条所提及的委员会；

(63) “小型企业”是指雇用10人以上、50人以下，且年营业额和/或年度资产负债表总额超过200万欧元但不超过1000万欧元的金融机构；

(64) “中型企业”是指既非小型企业，又雇用少于250人，且年营业额不超过5000万欧元和/或年度资产负债表总额不超过4300万欧元的金融机构；

(65) “公共机关”是指任何政府或其他公共行政实体，包括国家中央银行。

第一章 · 第四条

比例原则

1. 金融机构应当按照比例原则实施第二章所规定的各项规则，并充分考虑其规模与整体风险状况，以及其服务、活动和业务的性质、规模与复杂程度。

2. 此外，金融机构对第三章、第四章及第五章第一节的适用，应当与其规模与整体风险状况，以及其服务、活动和业务的性质、规模与复杂程度相适应，具体要求详见上述各章的相关规定。

3. 主管当局在依据第6条第5款及第16条第2款之规定，对金融机构提交的报告进行审查，以评估其信息与通信技术风险管理框架的一致性时，应当考虑金融机构对比例原则的适用情况。

信息通信技术风险管理

第一节 · 第五条

治理与组织

1. 金融机构应当建立内部治理与控制框架，以确保按照第6条第4款的规定对信息通信技术风险进行有效且审慎的管理，从而实现高水平的数字化运营韧性。

2. 金融机构的管理机构应当制定、批准、监督并负责实施与第6条第1款所述的信息通信技术风险管理框架相关的各项安排。

为第一款之目的，管理机构应当：

（a）

对金融机构的信息通信技术风险承担最终管理责任；

（b）

制定旨在确保数据的可用性、真实性、完整性和保密性达到高标准的政策；

(c) 明确所有与信息通信技术相关职能的职责分工，并建立适当的治理机制，以确保这些职能之间能够有效且及时地沟通、合作与协调；

(d) 对制定并批准第6条第8款所指的数字化运营韧性战略承担总体责任，包括确定金融机构信息通信技术风险的适当风险容忍度水平，如第6条第8款第(b)项所述。

(e) 批准、监督并定期审查金融实体的信息与通信技术业务连续性政策以及信息与通信技术响应与恢复计划的实施情况，上述政策与计划分别见第11条第1款和第3款；该等政策与计划可作为专门的特定政策予以采纳，并构成金融实体整体业务连续性政策及响应与恢复计划的组成部分；

(f) 批准并定期审查金融实体的信息与通信技术内部审计计划、信息与通信技术审计及其重大修改事项；

（g）

安排并定期审查适当的预算，以满足金融实体在各类资源方面的数字化运营韧性需求，包括第13条第6款所述的相关信息与通信技术安全意识培训项目及数字化运营韧性培训，以及面向全体员工的信息与通信技术技能提升；

（h）

批准并定期审查金融实体关于使用由信息与通信技术第三方服务提供商提供的信息与通信技术服务之安排的政策；

(i) 在公司层面建立报告渠道，使其能够及时获知以下事项：

(i) 与信息与通信技术第三方服务提供商就信息与通信技术服务的使用所达成的安排，

(ii) 有关信息与通信技术第三方服务提供商的任何相关且计划中的重大变更；

(iii) 此类变更对受相关安排约束的关键或重要功能可能产生的影响，包括用于评估这些变更影响的风险分析摘要，以及至少重大与信息通信技术相关的事件及其影响，以及相应的响应、恢复和纠正措施。

3. 除微型企业以外的金融机构应当设立专门岗位，以监督其与信息通信技术第三方服务提供商就信息通信技术服务使用所达成的各项安排；或者指定一名高级管理人员负责监督相关风险敞口及相应文件资料。

4. 金融机构的管理机构成员应当积极保持充分的知识与技能，以便理解和评估信息通信技术风险及其对金融机构运营的影响，包括定期参加与其所管理的信息通信技术风险相适应的专项培训。

第二节 · 第六条

信息通信技术风险管理框架

1. 金融机构应当在其整体风险管理体系中建立健全、全面且有据可查的ICT风险管理框架，使其能够迅速、高效、全面地应对ICT风险，并确保高水平的数字化运营韧性。

2. ICT风险管理框架至少应当包括为妥善、充分保护所有信息资产和ICT资产（包括计算机软件、硬件、服务器等）以及相关物理组件和基础设施（如场所、数据中心及敏感指定区域）所必需的战略、政策、程序、ICT协议和工具，以确保所有信息资产和ICT资产免受损害以及未经授权的访问或使用等各类风险的威胁。

3. 金融机构应当依据其ICT风险管理框架，通过部署适当的战略、政策、程序、ICT协议和工具，最大限度地降低ICT风险的影响。在主管当局提出要求时，金融机构应当提供关于ICT风险及其ICT风险管理框架的完整且最新的相关信息。

4. 除微型企业外的金融机构应当将信息与通信技术（ICT）风险的管理和监督职责赋予某一控制职能，并确保该控制职能具有适当的独立性，以避免利益冲突。金融机构应当按照“三道防线”模型或内部风险管理和控制模型，确保ICT风险管理职能、控制职能以及内部审计职能之间实现适当的分离与独立。

5. 信息与通信技术（ICT）风险管理体系应当形成文件，并至少每年审查一次；对于微型企业，可按定期要求进行审查。此外，在发生重大ICT相关事件后，以及根据监管机构的指示或相关数字化运营弹性测试、审计程序得出的结论时，也应当及时开展审查。该体系应基于实施与监测过程中总结的经验教训持续改进。在主管当局提出要求时，金融机构应当提交关于ICT风险管理体系审查情况的报告。

6. 除微型企业外的金融机构的ICT风险管理体系应当按照其年度审计计划，由审计人员定期实施内部审计。相关审计人员应当具备足够的ICT风险方面的知识、技能和专业能力，并保持适当的独立性。ICT审计的频率和重点应当与该金融机构的ICT风险水平相匹配。

7. 根据内部审计审查的结论，金融实体应当建立正式的后续跟进流程，包括对关键信息与通信技术（ICT）审计发现事项进行及时核查与整改的相关规定。

8. 信息与通信技术（ICT）风险管理框架应当包含一项数字化运营韧性战略，明确该框架的实施方式。为此，该数字化运营韧性战略应当涵盖应对ICT风险并实现特定ICT目标的方法，具体包括：

（a）

阐述信息与通信技术（ICT）风险管理框架如何支持金融实体的业务战略与目标；

（b）

根据金融实体的风险偏好，确定ICT风险的风险容忍度，并分析ICT中断事件的影响容忍度；

(c) 明确信息安全目标，包括关键绩效指标和关键风险度量指标；

(d) 阐明信息与通信技术（ICT）参考架构，以及为实现特定业务目标所需作出的任何调整；

(e) 概述为识别ICT相关事件、防范其影响并提供相应保护而设立的各项机制；

(f) 基于已报告的重大ICT相关事件数量及预防措施的有效性，说明当前数字化运营韧性的状况；

（g）

根据本条例第四章的规定实施数字化运营弹性测试；

（h）

制定在发生根据第14条要求予以披露的与信息通信技术相关的事件时的沟通策略。

9. 金融实体可以在第8款所述的数字化运营弹性战略框架下，于集团或实体层面制定一项整体性的ICT多供应商战略，明确对ICT第三方服务提供商的关键依赖关系，并说明其在ICT第三方服务提供商采购组合方面的决策依据。

10. 金融实体可以根据欧盟及国家行业法律法规，将验证ICT风险管理要求合规性的相关职责外包给集团内部或外部的机构。在此类外包情形下，金融实体仍对其ICT风险管理要求的合规性验证承担全部责任。

第二节 · 第七条

信息通信技术系统、协议和工具

为应对并管理信息通信技术风险，金融机构应当使用并维护最新版本的信息通信技术系统、协议及工具，其应：

（a）

符合支持其业务开展的运营规模，并遵循第4条所述的比例原则；

（b）

可靠；

(c) 具备足够的处理能力，以准确处理开展业务及及时提供服务所需的数据，并在必要时应对订单量、消息量或交易量的高峰，包括在引入新技术的情况下；

(d) 具备技术韧性，以便在市场压力状况或其他不利情形下，充分满足额外的信息处理需求。

第二节 · 第八条

识别

1. 作为第6条第1款所指的信息与通信技术（ICT）风险管理框架的一部分，金融机构应当识别、分类并充分记录所有由ICT支持的业务功能、角色与职责，以及支撑这些功能的信息资产和ICT资产，并明确其在ICT风险方面的角色与依赖关系。金融机构应当根据需要并至少每年一次，对上述分类及其相关文档的充分性进行审查。

2. 金融机构应当持续识别所有ICT风险来源，特别是与其他金融机构之间的风险敞口，并评估与其ICT支持的业务功能、信息资产及ICT资产相关的网络威胁和ICT脆弱性。金融机构应当定期且至少每年一次，对其所面临的风险情景进行审查。

3. 除微型企业外，其他金融机构应当在其网络与信息系统基础设施、影响其ICT支持的业务功能、信息资产或ICT资产的流程或程序发生重大变更时，开展风险评估。

4. 金融机构应当识别所有信息资产和ICT资产，包括位于远程站点的资产、网络资源及硬件设备，并对被视为关键的资产进行映射。同时，应当绘制信息资产和ICT资产的配置图，并明确不同信息资产与ICT资产之间的连接关系及相互依赖性。

5. 金融机构应当识别并记录所有依赖于信息通信技术第三方服务提供商的流程，并识别与提供支持关键或重要功能的服务的ICT第三方服务提供商之间的相互关联。

6. 为第1款、第4款和第5款之目的，金融机构应当保存相关清单，并定期予以更新，且在发生第3款所述任何重大变更时亦应予以更新。

7. 除微型企业外的金融机构应当定期进行专门的ICT风险评估，至少每年一次，针对所有遗留ICT系统开展评估；并且在接入新技术、应用程序或系统之前及之后均应进行此类评估。

第二节·第9条

保护与预防

1. 为充分保护信息通信技术系统并便于组织应对措施，金融机构应当持续监测和管控信息通信技术系统及工具的安全性和运行状况，并通过部署适当的信息通信技术安全工具、政策和程序，最大限度地降低信息通信技术风险对相关系统的影响。

2. 金融机构应当制定、采购并实施旨在确保信息通信技术系统韧性、连续性和可用性的安全政策、程序、协议及工具，尤其针对支持关键或重要功能的系统，并始终保持数据在静止状态、使用中以及传输过程中的高可用性、真实性、完整性和保密性标准。

3. 为实现第2款所述目标，金融机构应当按照第4条的规定采用适当的信息通信技术解决方案与流程。这些信息通信技术解决方案与流程应当：

（a）

确保数据传输手段的安全性；

（b）

最大限度地降低数据被篡改或丢失、未经授权访问以及可能妨碍业务活动的技术缺陷的风险；

(c) 防止服务不可用、真实性与完整性受损、保密性遭到破坏以及数据丢失等情况的发生；

(d) 确保数据免受数据管理过程中产生的各类风险，包括管理不善、处理相关风险以及人为错误。

4. 作为第6条第1款所述的信息与通信技术风险管理框架的一部分，金融机构应当：

（a）

制定并记录信息安全政策，明确保护数据、信息资产及ICT资产（包括其客户的相关资产）的可用性、真实性、完整性和保密性的规则，适用时亦应涵盖上述内容；

（b）

采用基于风险的方法，建立健全的网络与基础设施管理架构，运用适当的技术、方法和协议，其中可包括在发生网络攻击时实施自动化机制以隔离受影响的信息资产；

(c) 实施相关政策，仅允许对信息资产及ICT资产进行合法且经批准的职能与活动所必需的物理或逻辑访问，并为此制定一套涵盖访问权限并确保其妥善管理的政策、程序与控制措施；

(d) 实施基于相关标准与专用控制系统的强身份认证机制及相关协议，并采取加密密钥保护措施，使数据依据经批准的数据分类与ICT风险评估流程的结果予以加密；

(e) 实施针对ICT变更管理的书面政策、程序与控制措施，包括软件、硬件、固件组件、系统或安全参数的变更，这些措施应以风险评估为基础，并作为金融机构整体变更管理流程的组成部分，以确保所有ICT系统的变更均以受控方式得到记录、测试、评估、批准、实施与验证；

(f) 拥有适当且全面的补丁与更新书面政策。

就第一款第（b）项而言，金融机构应当设计其网络连接基础设施，使其能够被即时切断或分割，以最大限度地减少并防止风险传染，尤其是针对相互关联的金融业务流程。

就第一款第（e）项而言，信息通信技术变更管理流程应当经由适当的管理层批准，并制定具体的操作规程。

第二节 · 第十条

检测

1. 金融机构应当按照第17条的规定，建立能够及时发现异常活动的机制，包括信息通信技术网络性能问题及与信息通信技术相关的事件，并识别潜在的重大单点故障。

第一款所述的所有检测机制均应当按照第25条的规定定期进行测试。

2. 第一款所述的检测机制应当具备多层控制能力，设定触发并启动与信息通信技术相关事件响应流程的警报阈值和标准，包括为负责信息通信技术相关事件响应的相关工作人员配备自动警报机制。

3. 金融机构应当投入充足的资源和能力，对用户活动、信息通信技术异常情况以及与信息通信技术相关的事件，特别是网络攻击，实施监控。

4. 数据报送服务提供者还应当建立能够有效核查交易报告完整性、识别遗漏及明显错误，并要求重新报送相关报告的系统。

第二节 · 第十一条

应对与恢复

1. 作为第6条第1款所述的信息与通信技术风险管理框架的一部分，并依据第8条规定的识别要求，金融机构应当制定一项全面的信息与通信技术业务连续性政策，该政策可以作为一项专门的特定政策予以采纳，构成金融机构整体业务连续性政策的有机组成部分。

2. 金融机构应当通过专门、适当且有文件记录的安排、计划、程序和机制来实施信息与通信技术业务连续性政策，旨在：

（a）

确保金融机构关键或重要职能的持续运行；

（b）

迅速、适当且有效地应对并解决所有与信息与通信技术相关的事件，以将损害降至最低，并优先恢复各项活动及采取恢复措施；

(c) 不拖延地启动专门的预案，这些预案应包含针对各类信息与通信技术相关事件的遏制措施、流程和技术，以防止进一步损害，并按照第12条规定制定相应的响应与恢复程序；

(d) 估算初步影响、损害及损失；

(e) 规定沟通与危机管理措施，确保根据第14条向所有相关内部员工及外部利益相关方传递最新信息，并根据第19条向主管当局报告。

3. 作为第6条第1款所指的信息与通信技术风险管理框架的一部分，金融机构应当实施相应的信息与通信技术应急响应与恢复计划；对于非微型企业以外的金融机构，该等计划应当接受独立的内部审计审查。

4. 金融机构应当制定、维护并定期测试适当的信息与通信技术业务连续性计划，特别是在涉及通过与信息与通信技术第三方服务提供商签订协议而外包或委托的关键或重要职能方面。

5. 作为整体业务连续性政策的一部分，金融机构应当对其面临的严重业务中断风险开展业务影响分析（BIA）。在业务影响分析过程中，金融机构应当依据定量和定性标准，结合内部与外部数据及情景分析等手段，评估严重业务中断可能产生的影响。业务影响分析应当充分考虑已识别并映射的业务功能、支持流程、第三方依赖关系以及信息资产的优先级及其相互依存关系。金融机构应当确保信息与通信技术资产及服务的设计与使用完全符合业务影响分析的要求，尤其应当充分保障所有关键组件的冗余性。

6. 作为其全面的信息与通信技术风险管理的一部分，金融机构应当：

（a）

至少每年对支持所有职能的ICT系统相关的ICT业务连续性计划以及ICT响应与恢复计划进行一次测试，并在支持关键或重要职能的ICT系统发生任何重大变更时亦应进行测试；

（b）

对根据第14条制定的危机沟通计划进行测试。

为第一款(a)项之目的，除微型企业外的金融机构应在测试计划中纳入网络攻击情景，以及在主用ICT基础设施与冗余能力、备份及满足第12条规定义务所需的冗余设施之间进行切换的情景。

金融机构应当定期审查其ICT业务连续性政策及ICT响应与恢复计划，并将依据第一款所开展的测试结果以及审计检查或监管审查提出的建议纳入考量。

7. 除微型企业外的金融机构应当设立危机管理职能；在其ICT业务连续性计划或ICT响应与恢复计划被激活时，该职能应当依照第14条的规定，制定明确的程序以管理内部及外部的危机沟通。

8. 金融机构应当保存其ICT业务连续性计划和ICT响应与恢复计划被激活时，在中断事件发生前及发生期间的相关活动记录，以便随时查阅。

9. 中央证券存管机构应当向主管当局提供信息与通信技术业务连续性测试结果的副本，或类似演练的结果。

10. 除微型企业以外的金融机构应当应主管当局的要求，报告因重大信息与通信技术相关事件所导致的年度汇总成本与损失的估算值。

11. 根据第（EU）No 1093/2010、第（EU）No 1094/2010和第（EU）No 1095/2010号条例第16条的规定，欧洲监管机构管理局通过联合委员会，应当于2024年7月17日前制定关于第10款所述年度汇总成本与损失估算的共同指南。

第二节·第12条

备份策略与程序、恢复与复原程序及方法

1. 为确保在最短时间内恢复信息通信技术系统及数据，同时将停机时间、业务中断和损失降至最低，作为其信息通信技术风险管理框架的一部分，金融机构应当制定并记录：

（a）

备份政策与程序，明确需备份的数据范围以及基于信息关键程度或数据保密等级的最低备份频率；

（b）

恢复与重建程序及方法。

2. 金融机构应当建立能够按照备份政策与程序以及恢复与重建程序及方法予以启动的备份系统。备份系统的启用不得危及网络与信息系统的安全性，亦不得影响数据的可用性、真实性、完整性或保密性。备份程序及恢复与重建程序与方法应当定期进行测试。

3. 在使用自有系统恢复备份数据时，金融机构应当采用与源信息通信技术系统在物理上和逻辑上相互隔离的信息通信技术系统。该等系统应当受到严格保护，防止任何未经授权的访问或信息通信技术方面的破坏，并能够在必要时及时恢复服务，利用数据与系统备份实现这一目标。

对于中央对手方而言，其恢复计划应当能够在发生中断时恢复所有交易，以确保中央对手方能够持续稳定运营，并按预定日期完成结算。

数据报送服务提供者应当额外配备充足的资源，并建立完备的备份与恢复设施，以确保其服务能够随时提供并持续运行。

4. 除微型企业外的金融机构应当保持冗余的信息通信技术能力，该能力应具备足以满足业务需求的资源、能力和功能。微型企业应当根据自身的风险状况评估是否需要维持此类冗余的信息通信技术能力。

5. 中央证券存管机构应当至少设立一个具备充足资源、能力、功能及人员配置的备用处理场所，以确保满足业务需求。

备用处理场所应当：

（a）

位于与主处理场所相距较远的地理位置，以确保其具有独立的风险特征，并避免受到影响主处理场所事件的波及；

（b）

能够与主处理场所相同地保障关键或重要功能的连续性，或者提供足以使金融机构在恢复目标范围内开展其关键业务所需的服务水平；

(c) 在主处理场所无法使用的情况下，能够被金融机构工作人员即时访问，以确保关键或重要功能的连续性。

6. 在确定每一项职能的恢复时间和恢复点目标时，金融机构应当考虑该职能是否属于关键或重要职能，以及其对市场效率可能产生的总体影响。此类时间目标应当确保在极端情况下能够达到约定的服务水平。

7. 在从与信息通信技术相关的事件中恢复时，金融机构应当执行必要的核查工作，包括任何多重核查与对账程序，以确保维持最高级别的数据完整性。当从外部利益相关方重建数据时，亦应进行上述核查，以确保各系统间的数据保持一致。

第二节 · 第13条

学习与进化

1. 金融机构应当具备收集有关脆弱性和网络威胁、信息通信技术相关事件（特别是网络攻击）的信息的能力和人员，并分析这些事件对其数字运营韧性可能产生的影响。

2. 金融机构应当在发生重大信息通信技术相关事件并导致其核心业务中断后，开展事后评估，分析导致业务中断的原因，并确定为提升信息通信技术运营水平或完善第11条所述的信息通信技术业务连续性政策所需采取的改进措施。

除微型企业外的金融机构，应当应主管当局的要求，通报根据第一款所述的事后评估所实施的各项改进措施。

第一款所述的事后评估应当确认既定程序是否得到遵守，以及所采取的应对措施是否有效，包括但不限于以下方面：

（a）

对安全警报的响应及时性，以及对信息通信技术相关事件的影响及其严重程度的判定；

（b）

在必要时开展法证分析的质量与速度；

(c) 金融机构内部事件升级机制的有效性；

(d) 内部与外部沟通的有效性。

3. 根据第26条和第27条开展的数字化运营韧性测试以及现实生活中发生的与信息通信技术相关的事件，特别是网络攻击所汲取的经验教训，连同在启动信息通信技术业务连续性计划及信息通信技术响应与恢复计划时所面临的挑战，以及在监管审查过程中交换并评估的相关信息，均应持续、妥善地纳入信息通信技术风险评估流程。上述发现应当作为对第6条第1款所述信息通信技术风险管理框架相关组成部分进行适当审查的基础。

4. 金融机构应当监测其根据第6条第8款制定的数字化运营韧性战略的实施效果。金融机构应当跟踪信息通信技术风险随时间的变化趋势，分析与信息通信技术相关的事件（尤其是网络攻击）的发生频率、类型、严重程度及其演变规律，以深入了解信息通信技术风险暴露水平，特别是在关键或重要职能方面的风险，并不断提升本机构的网络成熟度与应对准备能力。

5. 高级信息通信技术管理人员应当至少每年向管理机构报告第3款所述的调查结果，并提出相关建议。

6. 金融机构应当在其员工培训计划中，将信息与通信技术安全意识培训项目及数字化运营韧性培训作为必修模块。上述培训项目和课程应当适用于所有员工及高级管理人员，并且其复杂程度应当与其职责范围相适应。在适当情况下，金融机构还应当根据第30条第2款第(i)项的规定，将其相关的培训计划扩展至信息与通信技术领域的第三方服务提供商。

7. 除微型企业外的金融机构应当持续监测相关技术发展动态，以便了解此类新技术的部署可能对信息与通信技术安全要求及数字化运营韧性产生的影响。同时，金融机构应当及时掌握最新的信息与通信技术风险管理流程，从而有效应对当前或新型网络攻击形式。

第二节·第十四条

通信

1. 作为第6条第1款所指的信息与通信技术风险管理框架的一部分，金融机构应当制定危机沟通计划，以便在适当情况下向客户、交易对手以及公众负责任地披露至少重大信息与通信技术相关事件或漏洞。

2. 作为信息与通信技术风险管理框架的一部分，金融机构应当针对内部员工和外部利益相关方实施沟通政策。针对员工的沟通政策应当考虑到有必要区分参与信息与通信技术风险管理的员工，特别是负责响应与恢复的员工，以及需要获知相关信息的其他员工。

3. 金融机构中至少应当指定一名人员负责落实与信息与通信技术相关事件的沟通策略，并为此履行面向公众及媒体的职能。

第二节 · 第十五条

进一步协调信息通信技术风险管理工具、方法、流程和政策

欧洲监管机构应通过联合委员会，并与欧洲网络与信息安全局（ENISA）协商，制定共同的监管技术标准草案，以：

（a）

进一步明确第9条第2款所述的信息与通信技术安全政策、程序、协议及工具中应当包含的要素，旨在确保网络的安全性，有效防范入侵和数据滥用，维护数据的可用性、真实性、完整性和保密性，包括采用密码学技术，并保证数据传输准确、及时，且不出现重大中断或不当延误；

（b）

进一步完善第9条第4款第(c)项所述的访问管理权限控制措施及其相关的人力资源政策，明确规定访问权限、权限授予与撤销程序，以及通过适当指标监测与信息与通信技术风险相关的异常行为，包括网络使用模式、使用时段、IT活动及未知设备等；

(c) 进一步完善第10条第1款所规定的机制，以实现对异常活动的及时检测，并明确第10条第2款所设定的触发信息与通信技术相关事件检测与响应流程的标准；

(d) 进一步明确第11条第1款所述的信息与通信技术业务连续性政策的各项组成部分；

(e) 进一步明确第11条第6款所指的信息与通信技术业务连续性计划的测试要求，以确保该等测试充分考虑关键或重要职能的提供质量恶化至不可接受水平或发生中断的情形，并适当评估任何相关信息与通信技术第三方服务提供商破产或其他故障可能产生的影响，以及在适用情况下，各相关服务提供商所在司法管辖区的政治风险；

(f) 进一步明确第11条第3款所指的信息与通信技术响应与恢复计划的组成部分；

（g）

进一步规定第6条第5款所指的信息与通信技术风险管理框架审查报告的内容与格式；

在制定上述监管技术标准草案时，欧洲监管机构应综合考量金融机构的规模及其整体风险状况，以及其服务、活动和运营的性质、规模与复杂程度，并适当考虑不同金融服务领域活动各自独特性质所带来的任何特定因素。

欧洲监管机构应当于2024年1月17日前向委员会提交上述监管技术标准草案。

授权委员会根据《条例》（欧盟）第1093/2010号、第1094/2010号及第1095/2010号第10至14条的规定，通过采纳第一款所述的监管技术标准，对本条例予以补充。

第二节 · 第十六条

简化的ICT风险管理框架

1. 本条例第5条至第15条不适用于小型且未与其它机构互联的投资公司、根据指令（EU）2015/2366获豁免的支付机构；根据指令2013/36/EU获豁免且成员国已决定不适用本条例第2条第4款所提及之选择权的机构；根据指令2009/110/EC获豁免的电子货币机构；以及小型职业退休金提供机构。

在不影响第一款规定的前提下，第一款所列实体应当：

（a）

建立并维持一套健全且有据可查的信息与通信技术（ICT）风险管理框架，该框架应详细规定旨在快速、高效且全面管理ICT风险的各项机制与措施，包括对相关物理组件及基础设施的保护；

（b）

持续监控所有ICT系统的安全性和运行状况；

(c) 通过使用健全、具有韧性且不断更新的ICT系统、协议和工具，最大限度地降低ICT风险的影响，这些系统、协议和工具应足以支持其业务活动的开展和服务的提供，并充分保障网络与信息系统中数据的可用性、真实性、完整性和保密性；

(d) 确保能够及时识别并发现ICT风险源及网络与信息系统中的异常情况，并迅速处置与ICT相关的事件；

(e) 确定对信息与通信技术第三方服务提供商的关键依赖关系；

(f) 通过业务连续性计划以及响应与恢复措施，确保关键或重要职能的持续性，这些措施至少应包括备份与恢复措施；

（g）

定期测试第（f）项所述的计划与措施，以及根据第（a）和第（c）项实施的控制措施的有效性；

（h）

根据需要，并结合ICT风险状况，将第（g）项所述测试及事后分析得出的相关运营结论纳入ICT风险评估流程，并为员工和管理层制定ICT安全意识培训项目及数字化运营韧性培训课程。

2. 第1款第2项第（a）点所指的ICT风险管理框架应当予以文件化，并按照监管指令的要求定期审查，以及在发生重大ICT相关事件时进行审查。该框架应当基于实施与监测过程中汲取的经验教训不断改进。经主管当局要求，应当就ICT风险管理框架的审查情况提交报告。

3. 欧洲监管机构应当通过联合委员会，并与ENISA协商，制定共同的监管技术标准草案，以：

（a）

进一步明确第1款第2项第（a）点所指的ICT风险管理框架中应当包含的各项要素；

（b）

进一步明确第1款第2项第(c)目所指的旨在最大限度降低信息通信技术风险影响的系统、协议和工具的相关要素，以确保网络的安全性，建立充分的防范措施以抵御入侵和数据滥用，并维护数据的可用性、真实性、完整性和保密性；

(c) 进一步明确第1款第2项第(f)目所指的信息通信技术业务连续性计划的组成部分；

(d) 进一步明确业务连续性计划测试的相关规则，并确保第1款第2项第(g)目所指控制措施的有效性，同时确保此类测试充分考虑关键或重要职能的提供质量恶化至不可接受水平或发生故障的情形；

(e) 进一步明确第2款所指的信息通信技术风险管理框架审查报告的内容与格式。

在制定上述监管技术标准草案时，欧洲监管机构应当考虑金融机构的规模及其整体风险状况，以及其服务、活动和运营的性质、规模与复杂程度。

欧洲监管机构应当于2024年1月17日前向委员会提交上述监管技术标准草案。

授权委员会根据《条例》（EU）No 1093/2010、（EU）No 1094/2010和（EU）No 1095/2010第10至14条的规定，通过采纳第一款所述的监管技术标准来补充本条例。

与信息通信技术相关的事件管理、分类与报告

第三章 · 第十七条

与信息通信技术相关的事件管理流程

1. 金融机构应当制定、建立并实施与信息通信技术相关的事件管理流程，以发现、处理并通报信息通信技术相关事件。

2. 金融机构应当记录所有信息通信技术相关事件及重大网络威胁。金融机构应当建立适当的程序和流程，确保对信息通信技术相关事件进行统一、集成的监测、处置与后续跟进，以查明、记录并解决根本原因，从而防止此类事件再次发生。

3. 第1款所述的信息通信技术相关事件管理流程应当：

（a）

设置预警指标；

（b）

制定程序，根据优先级和严重程度以及受影响服务的关键性，按照第18条第1款规定的标准，识别、追踪、记录、分类并归类信息通信技术相关事件；

(c) 明确针对不同信息通信技术相关事件类型和场景所需启动的角色与职责；

(d) 规定与员工、外部利益相关方及媒体沟通的计划，依照第14条规定向客户进行通知，明确内部升级程序，包括处理信息通信技术相关的客户投诉，并在适当情况下向作为交易对手方的金融机构提供相关信息；

(e) 确保至少将重大信息通信技术相关事件报告给相关高级管理层，并向管理机构通报至少重大信息通信技术相关事件，说明其影响、应对措施以及因此类信息通信技术相关事件而需建立的额外控制措施；

(f) 制定信息通信技术相关事件响应程序，以减轻影响并确保服务及时恢复运行且安全可靠。

第三章 · 第十八条

与信息通信技术相关的事件及网络威胁的分类

1. 金融机构应当对与信息通信技术相关的事件进行分类，并依据以下标准确定其影响：

（a）

受影响的客户或金融交易对手的数量和/或相关性，以及在适用情况下，受该信息通信技术相关事件影响的交易金额或数量，同时考虑该事件是否已造成声誉影响；

（b）

该信息通信技术相关事件的持续时间，包括服务中断的时间；

(c) 该信息通信技术相关事件所波及的地理范围，尤其是当其影响超过两个成员国时；

(d) 该信息通信技术相关事件所导致的数据损失，涉及数据的可用性、真实性、完整性或保密性；

(e) 受影响服务的关键程度，包括金融机构的交易与运营活动；

(f) 该信息通信技术相关事件的经济影响，特别是直接和间接的成本与损失，以绝对值和相对值两种方式予以衡量。

2. 金融机构应当根据处于风险中的服务的关键程度（包括金融机构的交易与运营活动）、被针对的客户或金融交易对手的数量和/或相关性，以及风险区域的地理分布，将网络威胁划分为重大级别。

3. 欧洲监管机构应通过联合委员会，并与欧洲中央银行及欧洲网络与信息安全局协商，制定共同的监管技术标准草案，进一步明确以下内容：

（a）

第1款所列标准，包括用于确定重大信息通信技术相关事件或（如适用）重大运营或支付安全相关事件的严重性阈值，这些事件均须遵守第19条第1款规定的报告义务；

（b）

主管当局为评估重大信息通信技术相关事件或（如适用）重大运营或支付安全相关事件对其他成员国相关主管当局的相关性而应适用的标准，以及根据第19条第6款和第7款应当与其他主管当局共享的重大信息通信技术相关事件或（如适用）重大运营或支付安全相关事件报告的具体内容；

(c) 本条第2款所列标准，包括用于确定重大网络威胁的高严重性阈值。

4. 在制定本条第3款所述的共同监管技术标准草案时，欧洲监管机构应当考虑第4条第2款所列标准，以及由ENISA制定并发布的国际标准、指南和规范，包括在适当情况下适用于其他经济部门的规范。为适用第4条第2款所列标准，欧洲监管机构应当充分考虑到微型企业和中小型企业需要调动足够的资源与能力，以确保信息通信技术相关事件得到迅速处置。

欧洲监管机构应于2024年1月17日前向委员会提交这些共同的监管技术标准草案。

授权委员会根据《条例》（欧盟）第1093/2010号、第1094/2010号和第1095/2010号第10条至第14条的规定，通过采纳第3款所述的监管技术标准，以补充本条例。

第三章 · 第十九条

重大信息通信技术相关事件的报告及重大网络威胁的自愿通报

1. 金融实体应当按照本条第4款的规定，向第46条所指的相关主管当局报告重大信息通信技术相关事件。

当某一金融实体同时受多个第46条所指的国家主管当局监管时，各成员国应当指定一个单一的主管当局作为负责履行本条所规定职能与职责的相关主管当局。

根据《欧盟条例》（EU）No 1024/2013第6条第4款被认定为重要性较高的信贷机构，应当向根据《指令》2013/36/EU第4条指定的相关国家主管当局报告重大信息通信技术相关事件；该主管当局应当立即将该报告转交欧洲中央银行。

为实现第一款之目的，金融实体在收集并分析所有相关信息后，应当使用第20条所指的模板编制本条第4款所述的初始通知及报告，并将其提交给主管当局。如因技术原因无法使用该模板提交初始通知，金融实体应当通过其他方式将此情况告知主管当局。

本条第4款所述的初始通知及报告应当包含主管当局用以确定重大信息通信技术相关事件的重要性并评估其可能产生的跨境影响所需的一切必要信息。

在不妨碍金融机构根据本条第一款向相关主管当局提交报告的前提下，成员国还可以规定，部分或全部金融机构应当使用第20条所述的模板，向主管当局或根据《欧盟》2022/2555号指令指定或设立的计算机安全事件响应小组（CSIRTs）提交本条第四款所指的初始通知及每一份报告。

2. 金融机构在认为某一网络威胁对金融体系、服务使用者或客户具有重要意义时，可以自愿向相关主管当局通报该等重大网络威胁。相关主管当局可以将此类信息提供给第六款所述的其他相关主管当局。

根据《欧盟》第1024/2013号条例第6条第4款被认定为重要的信贷机构，可以自愿向根据《欧盟》2013/36/EU号指令第4条指定的相关国家主管当局通报重大网络威胁；该主管当局应当立即将该通报转交欧洲中央银行。

成员国可以规定，那些按照第一款自愿进行通报的金融机构，亦可将该通报传送至根据《欧盟》2022/2555号指令指定或设立的计算机安全事件响应小组（CSIRTs）。

3. 在发生对客户财务利益产生影响的重大信息通信技术相关事件时，金融机构应当在知悉该事件后，毫不拖延地向其客户通报该重大信息通信技术相关事件以及为减轻该事件不利影响而采取的措施。

在面临重大网络威胁的情况下，金融机构应当在适用情形下，告知可能受到影响的客户其可考虑采取的适当防护措施。

4. 金融机构应当按照第20条第一款第(a)项第(ii)目规定的时限，向有关主管当局提交以下材料：

（a）

初始通知；

（b）

在(a)项所述初始通知之后，一旦原事件的状态发生重大变化，或根据新掌握的信息对重大信息通信技术相关事件的处置方式发生变更，即提交中期报告；并视情况，在每次获得相关状态更新时以及应主管当局的特定要求时，及时提交更新通知；

(c) 当根本原因分析已完成、无论是否已实施缓解措施，且实际影响数据已可获取以取代估算值时，提交最终报告。

5. 金融机构可以根据欧盟及国家相关行业法律，将其在本条项下的报告义务外包给第三方服务提供商。在此类外包情形下，金融机构仍对其履行重大事件报告要求承担全部责任。

6. 在收到初始通知以及第4款所述的每一份报告后，主管当局应当根据其各自职权范围，及时向下列接收方提供与重大信息通信技术相关事件的详细信息：

（a）

欧洲银行管理局、欧洲证券和市场管理局或欧洲保险和职业养老金管理局；

（b）

欧洲中央银行，适用于第2条第1款(a)、(b)和(d)项所指的金融机构；

(c) 根据(EU) 2022/2555号指令指定或设立的主管当局、单一联络点或计算机安全事件响应小组（CSIRT）；

(d) 解决当局，即根据(EU) 2014/59号指令第3条所指的解决当局，以及单一决议委员会（SRB），就第(EU) No 806/2014号条例第7条第2款所指的实体而言；同时，对于第(EU) No 806/2014号条例第7条第4款(b)项及第5款所指的实体和集团，若该等详细信息涉及可能危及(EU) 2014/59号指令第2条第1款第35项所定义的关键功能之事件，则亦应予以通报；以及

(e) 根据国家法律的其他相关公共机关。

7. 在依照第6款收到相关信息后，欧洲银行管理局、欧洲证券和市场管理局或欧洲保险和职业养老金管理局以及欧洲中央银行应在与欧洲网络与信息安全局协商并会同相关主管当局的基础上，评估该重大信息通信技术相关事件是否对其他成员国的主管当局具有相关性。经上述评估后，欧洲银行管理局、欧洲证券和市场管理局或欧洲保险和职业养老金管理局应尽快相应通知其他成员国的相关主管当局。欧洲中央银行则应就与支付系统相关的问题通知欧洲中央银行体系的成员机构。根据该通知，有关主管当局应在必要时采取一切必要措施，以维护金融体系的即时稳定。

8. 欧洲证券和市场管理局依据本条第7款作出的通知，不影响主管当局在以下情形下向东道成员国相关主管当局紧急通报重大信息通信技术相关事件详情的责任：即当某中央证券存管机构在东道成员国开展重要跨境业务、该重大信息通信技术相关事件可能对东道成员国金融市场产生严重后果，且各主管当局之间已就金融实体监管事项订立合作安排时。

第三章 · 第二十条

报告内容与模板的协调一致

欧洲监管机构管理局（ESAs）应通过联合委员会，并在与欧洲网络与信息安全局（ENISA）及欧洲中央银行（ECB）协商后，制定：

（a）

共同的监管技术标准草案，以实现以下目的：

(i) 确立重大信息通信技术相关事件报告的内容，使其能够反映第18条第1款所规定的标准，并纳入其他要素，例如用于确定该报告是否对其他成员国具有相关性的具体说明，以及该事件是否构成重大运营或支付安全相关事件；

(ii) 确定第19条第4款所述每次报告的首次通知时限；

(iii) 确立重大网络威胁通知的内容。

在制定上述监管技术标准草案时，欧洲监管机构管理局应当考虑金融机构的规模及其整体风险状况，以及其服务、活动和业务的性质、规模与复杂性；特别是，为确保本款第（a）项和第（ii）项所指的时限能够根据金融行业的具体情况作出适当调整，同时不影响依据本条例及《欧盟》2022/2555号指令在信息通信技术相关事件报告方面保持一致的方法。在偏离该指令所采用方法的情况下，欧洲监管机构管理局应当酌情提供相应理由。

（b）

制定通用的实施技术标准草案，以确立金融实体报告重大信息与通信技术相关事件及通报重大网络威胁的标准格式、模板和程序。

欧洲监管机构应于2024年7月17日前向委员会提交第一款第(a)项所述的通用监管技术标准草案以及第一款第(b)项所述的通用实施技术标准草案。

授权委员会根据《欧盟》第1093/2010号、第1094/2010号和第1095/2010号条例第10条至第14条的规定，通过采纳第一款第(a)项所述的通用监管技术标准，以补充本条例。

授予委员会根据《欧盟》第1093/2010号、第1094/2010号和第1095/2010号条例第15条的规定，采纳第一款第(b)项所述的通用实施技术标准的权力。

第三章 · 第21条

重大信息通信技术相关事件报告的集中化

1. 欧洲监管机构管理局（ESAs）应通过联合委员会，并在与欧洲中央银行（ECB）及欧洲网络与信息安全局（ENISA）协商后，编制一份联合报告，评估通过设立一个专门用于金融实体重大信息通信技术相关事件报告的欧盟单一枢纽，进一步实现事件报告集中化的可行性。该联合报告应探讨如何促进信息通信技术相关事件报告的顺畅流转、降低相关成本，并为专题分析提供支撑，以期提升监管趋同性。

2. 第1款所述的联合报告至少应包括以下内容：

（a）

设立欧盟单一枢纽的前提条件；

（b）

优势、局限性和风险，包括与敏感信息高度集中相关的风险；

(c) 确保与其他相关报告机制实现互操作性的必要能力；

(d) 运营管理的相关要素；

(e) 成员资格的条件；

(f) 金融实体和各国主管当局接入欧盟单一枢纽的技术安排；

（g）

对建立支持欧盟单一枢纽的运营平台所产生财务成本的初步评估，包括所需的专业知识。

3. 欧洲监管机构应当于2025年1月17日前向欧洲议会、理事会和委员会提交第1款所述的报告。

第三章 · 第二十二条

监管反馈

1. 在不影响根据欧盟指令（EU）2022/2555项下各国家CSIRT可能依本国法律提供的技术输入、建议或补救措施及其后续跟进的前提下，主管当局在收到初始通知及第19条第4款所述的每份报告后，应当予以签收，并在可行的情况下及时向金融机构提供相关且适度的反馈或高层次指导，特别是通过提供任何有关类似威胁的已匿名化信息与情报；同时，主管当局还可就金融机构层面已采取的补救措施以及如何最大限度地减少并缓解对整个金融行业的不利影响进行讨论。在不影响所收到的监管反馈的前提下，金融机构仍对其依据第19条第1款报告的信息通信技术相关事件的处理及其后果承担全部责任。

2. 欧洲监管机构应通过联合委员会，以匿名化和汇总的方式，每年报告重大信息通信技术相关事件；相关详细信息由主管当局依据第19条第6款提供，至少包括重大信息通信技术相关事件的数量、性质及其对金融机构或客户运营的影响、已采取的补救措施以及发生的费用。

欧洲监管机构应当发布预警并编制高层次统计数据，以支持信息通信技术威胁与脆弱性评估工作。

第三章 · 第二十三条

与信贷机构、支付机构、账户信息服务提供者及电子货币机构相关的运营或安全支付类事件

本章所规定的各项要求亦适用于与支付相关的运营或安全事件，以及重大与支付相关的运营或安全事件，但仅限于涉及信贷机构、支付机构、账户信息服务提供者和电子货币机构的情形。

数字化运营弹性测试

第四章 · 第二十四条

数字运营弹性测试实施的一般要求

1. 为评估应对信息与通信技术相关事件的准备情况、识别数字运营韧性方面的薄弱环节、不足及缺口，并及时采取纠正措施，除微型企业外的金融机构应当根据第4条第2款所列标准，建立、维护并定期审查一套健全且全面的数字运营韧性测试计划，该计划应作为第6条所述信息与通信技术风险管理框架的组成部分。

2. 数字运营韧性测试计划应当包含一系列评估、测试、方法、实践及工具，并按照第25条和第26条的规定予以实施。

3. 在开展本条第1款所述的数字运营韧性测试计划时，除微型企业外的金融机构应当采用基于风险的方法，充分考虑第4条第2款所列标准，同时审慎评估信息与通信技术风险的不断演变态势、相关金融机构已面临或可能面临的特定风险、其所提供信息资产及服务的关键性，以及金融机构认为适当的其他因素。

4. 除微型企业外的金融机构应当确保测试由独立方实施，无论其为内部还是外部机构。如由内部测试人员执行测试，金融机构应当投入充足资源，并在测试的设计与实施各阶段切实避免利益冲突。

5. 除微型企业外的金融机构应当制定程序和政策，以对在测试过程中发现的所有问题进行优先级排序、分类并予以纠正，并建立内部验证方法，确保所有已识别的薄弱环节、不足或漏洞均得到充分整改。

6. 除微型企业外的金融机构应当至少每年确保对所有支持关键或重要功能的ICT系统和应用程序开展适当的测试。

第四章 · 第25条

信息通信技术工具与系统的测试

1. 第24条所述的数字化运营弹性测试计划应当按照第4条第2款规定的标准，开展适当的测试，包括但不限于漏洞评估与扫描、开源分析、网络安全评估、差距分析、物理安全审查、问卷调查以及扫描软件解决方案；在可行的情况下，还应进行源代码审查、基于场景的测试、兼容性测试、性能测试、端到端测试和渗透测试。

2. 中央证券存管机构和中央对手方在部署或重新部署任何新的或现有的应用程序及基础设施组件，以及支持金融实体关键或重要职能的ICT服务之前，均应当开展漏洞评估。

3. 微型企业应当通过将基于风险的方法与ICT测试的战略规划相结合来实施第1款所述的测试，并充分考虑以下两方面之间的平衡：一方面，是为本条所规定的ICT测试所分配的资源规模与时间；另一方面，是紧迫性、风险类型、信息资产及所提供服务的关键程度，以及其他相关因素，包括金融实体承担经权衡后的风险的能力。

第四章 · 第二十六条

基于TLPT的ICT工具、系统和流程的高级测试

1. 除第16条第1款第一项所指实体及微型企业外，根据本条第8款第三项确定的金融机构，应当至少每3年进行一次基于TLPT的高级渗透测试。鉴于该金融机构的风险状况并考虑其运营环境，主管当局在必要时可要求该金融机构适当缩短或延长上述测试频率。

2. 每次以威胁为导向的渗透测试应当覆盖金融机构的若干项或全部关键或重要功能，并应在支持这些功能的生产环境中实施。

金融机构应当识别所有支持其关键或重要功能及ICT服务的相关底层ICT系统、流程和技术，包括那些已外包或委托给第三方ICT服务提供商的关键或重要功能所依赖的系统、流程和技术。

金融机构应当评估哪些关键或重要功能需要纳入TLPT的覆盖范围。该项评估的结果将决定TLPT的具体范围，并须经主管当局予以确认。

3. 当TLPT的覆盖范围包含第三方ICT服务提供商时，金融机构应当采取必要措施和保障机制，确保此类第三方ICT服务提供商参与TLPT，并始终对遵守本条例承担全部责任。

4. 在不影响第2款第一、第二 subparagraph 的前提下，若ICT第三方服务提供商参与第3款所述的TLPT，合理预期将对该公司向不属于本条例适用范围之实体客户提供的服务的质量或安全性，或者对该等服务相关数据的保密性产生不利影响时，金融机构与该ICT第三方服务提供商可以书面约定：由该ICT第三方服务提供商直接与外部测试方订立合同安排，以便在某一指定金融机构的指导下，开展一项涉及多家金融机构的联合TLPT（联合测试），而该ICT第三方服务提供商则为该项联合测试提供ICT服务。

该联合测试应当涵盖各金融机构委托相应ICT第三方服务提供商支持的关键或重要功能所涉及的相关ICT服务范围。该联合测试应被视为由参与联合测试的各金融机构实施的TLPT。

参与联合测试的金融机构数量应当根据所涉及服务的复杂程度及类型予以适当校准。

5. 金融实体应当在信息通信技术第三方服务提供商及其他相关方（包括测试人员但不包括主管当局）的配合下，实施有效的风险管理控制措施，以降低可能对数据造成的影响、对资产造成的损害以及对金融实体自身、其交易对手或整个金融行业中的关键或重要功能、服务或运营所造成的干扰风险。

6. 测试结束后，在报告与整改方案达成一致后，金融实体及（如适用）外部测试人员应当向根据第9款或第10款指定的主管当局提交相关发现的摘要、整改方案以及能够证明TLPT已按照规定要求实施的证明文件。

7. 主管当局应当向金融实体出具证明文件，确认该测试已按照规定要求进行，并以相关文件为依据，以便各主管当局之间实现威胁引导渗透测试结果的相互认可。金融实体应当将该证明文件、相关发现的摘要以及整改方案通报给相应的主管当局。

在不影响上述证明文件效力的前提下，金融实体始终对其第4款所述测试所产生的影响承担全部责任。

8. 金融机构应当按照第27条的规定，为开展TLPT目的而聘请测试机构。当金融机构为开展TLPT目的使用内部测试人员时，每进行三次测试后应当聘请外部测试人员。

根据《欧盟条例》（EU）No 1024/2013第6条第4款被认定为重要性较高的信贷机构，仅得按照第27条第1款(a)至(e)项的规定使用外部测试人员。

主管当局应当根据第4条第2款所列标准，并通过对以下事项的评估，确定需要实施TLPT的金融机构：

（a）

影响相关因素，特别是该金融机构所提供的服务及开展的活动对金融体系的影响程度；

（b）

可能存在的金融稳定风险，包括该金融机构在欧盟或国家层面的系统性特征（视具体情况而定）；

(c) 具体的ICT风险状况、该金融机构的ICT成熟度水平以及所涉及的技术特性。

9. 成员国可以在金融领域指定一个单一的公共主管机构，负责本国金融领域的TLPT相关事务，并将其赋予为此目的所需的一切权限与职责。

10. 在未按照本条第9款作出指定的情况下，且不影响确定须执行TLPT的金融机构之权力的前提下，主管当局可以将其在本条及第27条所指的部分或全部职责委托给金融领域的另一国家主管机关。

11. 欧洲监管机构应在与欧洲中央银行协商一致的基础上，依据TIBER-EU框架制定联合监管技术标准草案，以进一步明确：

（a）

用于适用第8条第二款的标准；

（b）

关于内部测试人员使用的要求与标准；

(c) 有关以下方面的要求：

(i) 第2款所述的TLPT范围；

(ii) 测试过程中各具体阶段应遵循的测试方法与思路；

(iii) 测试结果、收尾及整改阶段的相关要求；

(d) 为实施TLPT以及促进该测试的相互认可而需开展的监督及其他相关合作类型，特别是在跨多个成员国运营的金融机构背景下，以确保适当的监管参与度，并实现灵活的实施方式，从而适应金融子行业或地方金融市场的特殊性。

在制定这些监管技术标准草案时，欧洲监管机构应充分考虑不同金融服务领域活动各自独特性质所导致的任何特定特征。

欧洲监管机构应当于2024年7月17日前向委员会提交上述监管技术标准草案。

授权委员会根据《条例》（EU）No 1093/2010、（EU）No 1094/2010和（EU）No 1095/2010第10至14条的规定，通过采纳第一款所述的监管技术标准来补充本条例。

第四章 · 第二十七条

用于实施TLPT的测试人员的要求

1. 金融机构仅得使用测试人员开展TLPT，该等测试人员应当：

（a）

具有最高的适格性和良好声誉；

（b）

具备技术和组织能力，并在威胁情报、渗透测试及红队测试方面展现出专门的专长；

(c) 已经获得成员国认可机构的认证，或者遵守正式的行为准则或道德框架；

(d) 就与开展TLPT相关的风险的妥善管理提供独立的保证或审计报告，包括对金融机构机密信息的适当保护以及针对金融机构商业风险的救济措施；

(e) 已依法足额投保相关职业责任保险，其中包括针对不当行为和过失风险的保障。

2. 在使用内部测试人员时，金融机构除应当符合第1款的要求外，还应当满足下列条件：

（a）

该等使用已获相关主管当局或者根据第26条第9款和第10款指定的单一公共当局批准；

（b）

有关主管当局已核实该金融机构拥有充足的专用资源，并确保在测试的设计与实施各阶段均避免利益冲突；且

(c) 威胁情报提供方为该金融机构之外的机构。

3. 金融机构应当确保其与外部测试机构签订的合同中，对TLPT结果的妥善管理作出明确规定，并且对其数据处理活动，包括任何生成、存储、汇总、草拟、报告、传输或销毁行为，均不得对金融机构造成风险。

信息通信技术第三方风险的管理

信息通信技术第三方风险稳健管理的关键原则

第一节 · 第二十八条

一般原则

1. 金融机构应当将其信息通信技术（ICT）第三方风险作为其信息通信技术风险管理框架中的一个不可或缺的组成部分进行管理，该框架参见第6条第1款，并应遵循以下原则：

（a）

对于已就使用信息通信技术服务开展业务运营订立合同安排的金融机构，应当始终对其遵守本条例及适用的金融服务法律所规定的各项义务并履行这些义务承担全部责任；

（b）

金融机构对信息通信技术第三方风险的管理应当基于相称性原则实施，并考虑：

(i) 与信息通信技术相关的依赖关系的性质、规模、复杂性和重要性，

(ii) 因与信息通信技术第三方服务提供商订立的信息通信技术服务使用合同安排而产生的风险，同时应当考虑相关服务、流程或功能的关键性或重要性，以及其对金融服务业务和活动在个体层面和集团层面的连续性和可用性可能产生的影响。

2. 作为其信息与通信技术（ICT）风险管理框架的一部分，除第16条第1款第一项所指的实体以及微型企业外，其他金融机构应当制定并定期审查ICT第三方风险战略，并在适用情况下考虑第6条第9款所述的多供应商战略。该ICT第三方风险战略应当包含一项关于使用由ICT第三方服务提供商提供的、支持关键或重要职能的ICT服务的政策，并且应当以单独方式适用，同时在相关情况下以次级合并及合并层面适用。管理机构应当基于对金融机构整体风险状况以及业务服务规模与复杂性的评估，定期审查就使用支持关键或重要职能的ICT服务所订立的合同安排而识别出的风险。

3. 作为其信息与通信技术（ICT）风险管理框架的一部分，金融机构应当在本机构层面以及次级合并和合并层面上，维护并更新一份与所有由ICT第三方服务提供商提供的ICT服务之使用相关的合同安排信息登记册。

第一款所指的合同安排应当予以适当记录，并区分涵盖支持关键或重要职能的ICT服务的合同安排与不涵盖此类服务的合同安排。

金融机构应当至少每年向主管当局报告有关使用信息通信技术服务的新安排的数量、信息通信技术第三方服务提供商的类别、合同安排的类型以及所提供的信息通信技术服务和功能。

金融机构应当根据主管当局的要求，提供完整的信息登记册，或者按照要求提供其中的特定部分，并附上为实现对该金融机构的有效监管所必需的任何其他信息。

金融机构应当及时向主管当局通报任何拟订的用于支持关键或重要功能的信息通信技术服务合同安排，以及当某项功能被认定为关键或重要时的情况。

4. 在订立信息通信技术服务使用合同安排之前，金融机构应当：

（a）

评估该合同安排是否涵盖用于支持关键或重要功能的信息通信技术服务；

（b）

评估是否满足签订合同的监管条件；

(c) 识别并评估与该合同安排相关的所有相关风险，包括该合同安排可能加剧第29条所述的信息通信技术集中度风险的可能性。

(d) 对拟聘任的ICT第三方服务提供商开展全面尽职调查，并在遴选与评估的整个过程中确保该ICT第三方服务提供商具备相应资质；

(e) 识别并评估合同安排可能引发的利益冲突。

5. 金融机构仅可与符合适当信息安全标准的ICT第三方服务提供商订立合同安排。当该等合同安排涉及关键或重要职能时，金融机构在订立相关安排前，应当充分考虑ICT第三方服务提供商是否采用最新且最高质量的信息安全标准。

6. 在对ICT第三方服务提供商行使访问、检查及审计权利时，金融机构应当基于风险导向的方法，依据有关使用和采纳此类审计标准的监管指引，预先确定审计与检查的频率以及需审计的具体领域，并遵循普遍认可的审计标准。

当与ICT第三方服务提供商就ICT服务使用的合同安排具有较高技术复杂性时，金融机构应当核实内部或外部审计人员，或者审计团队，是否具备有效开展相关审计与评估所需的适当技能与知识。

7. 金融机构应当确保，在下列任一情形下，均可终止关于ICT服务使用的合同安排：

（a）

信息通信技术第三方服务提供者严重违反适用的法律、法规或合同条款；

（b）

在对信息与通信技术（ICT）第三方风险进行监测过程中识别出的、被认为可能影响通过合同安排所提供的各项功能之绩效的情形，包括对合同安排或ICT第三方服务提供商状况产生重大影响的变更；

(c) ICT第三方服务提供商在整体ICT风险管理方面存在的已证实的薄弱环节，特别是在确保数据的可用性、真实性、完整性和保密性方面的不足，无论该等数据为个人数据或其他敏感数据，还是非个人数据；

(d) 当主管当局因相关合同安排的条件或与之相关的特定情形而无法再对该金融机构实施有效监管时。

8. 对于支持关键或重要职能的ICT服务，金融机构应当制定退出策略。该退出策略应当充分考虑ICT第三方服务提供商层面可能出现的风险，尤其是其可能发生的服务中断、所提供ICT服务质量的下降、因ICT服务提供不当或失败而导致的业务中断，以及与相应ICT服务的适当且持续部署相关的重大风险，或者在第7款所列任何情形下终止与ICT第三方服务提供商的合同安排。

金融机构应当确保其能够退出合同安排，而无需：

（a）

对其业务活动的干扰，

（b）

限制对监管要求的合规性，

(c) 对向客户提供的服务的连续性和质量造成损害。

退出计划应当全面、有据可查，并且根据第4条第2款规定的要求，应当经过充分测试并定期审查。

金融机构应当识别替代方案，并制定过渡计划，以便将其所签约的ICT服务及相关数据从第三方ICT服务提供商处移出，安全且完整地转移至其他替代供应商，或重新纳入自身内部管理。

金融机构应当制定适当的应急措施，以在发生第一款所述情形时维持业务连续性。

9. 欧洲监管机构应当通过联合委员会，拟定实施技术标准草案，为第3款所述的信息登记册建立标准模板，包括所有关于使用ICT服务的合同安排中通用的信息。欧洲监管机构应当于2024年1月17日前将上述实施技术标准草案提交欧盟委员会。

授权欧盟委员会依据第1093/2010号、第1094/2010号及第1095/2010号条例第15条的规定，采纳第一款所述的实施技术标准。

10. 欧洲监管机构应通过联合委员会，制定监管技术标准草案，以进一步明确第2款所述政策的具体内容，该政策涉及由信息通信技术第三方服务提供商提供的、用于支持关键或重要功能的信息通信技术服务的合同安排。

在制定上述监管技术标准草案时，欧洲监管机构应当考虑金融机构的规模及其整体风险状况，以及其服务、活动和业务的性质、规模与复杂性。欧洲监管机构应当于2024年1月17日前向委员会提交上述监管技术标准草案。

授权委员会根据《条例》（EU）No 1093/2010、（EU）No 1094/2010和（EU）No 1095/2010第10至14条的规定，通过采纳第一款所述的监管技术标准来补充本条例。

第一节 · 第二十九条

实体层面的ICT集中度风险初步评估

1. 在开展第28条第4款第(c)项所述的风险识别与评估时，金融机构还应当考虑，拟订立的与支持关键或重要职能的ICT服务相关的合同安排是否会导致以下任何一种情形：

（a）

合同约定的ICT第三方服务提供商难以被轻易替代；或

（b）

就支持关键或重要职能的ICT服务的提供，与同一ICT第三方服务提供商或与其存在密切关联的ICT第三方服务提供商签订多项合同安排。

金融机构应当权衡备选方案的利弊，例如使用不同的ICT第三方服务提供商，并结合拟议方案是否以及如何契合其数字韧性战略中所设定的业务需求与目标进行考量。

2. 若有关使用支持关键或重要职能的ICT服务的合同安排包含ICT第三方服务提供商将该等关键或重要职能的ICT服务进一步分包给其他ICT第三方服务提供商的可能性，金融机构应当对由此可能产生的利益与风险加以权衡，尤其是在该等分包方位于第三国的情况下。

在合同安排涉及支持关键或重要职能的ICT服务时，金融机构应当充分考虑在ICT第三方服务提供者破产情形下适用的破产法规定，以及在紧急恢复金融机构数据方面可能产生的任何限制。

当与设于第三国的ICT第三方服务提供者就使用支持关键或重要职能的ICT服务订立合同安排时，金融机构除应考虑第二款所述事项外，还应当考虑该第三国对欧盟数据保护规则的遵守情况及其法律的有效执行。

当关于使用支持关键或重要职能的ICT服务的合同安排中包含分包条款时，金融机构应当评估潜在的长期或复杂的分包链条是否以及如何影响其对所委托职能的全面监控能力，以及主管当局在此方面对金融机构实施有效监管的能力。

第一节 · 第三十条

重要合同条款

1. 金融实体与信息通信技术第三方服务提供者的权利与义务应当予以明确划分，并以书面形式载明。完整合同应当包含服务水平协议，并以一份书面文件加以记录，该文件应当以纸质形式供各方查阅，或者以其他可下载、持久且易于访问的格式保存。

2. 关于信息通信技术服务使用的合同安排至少应当包括以下内容：

（a）

对信息通信技术第三方服务提供者拟提供的全部功能及信息通信技术服务作出清晰、完整的描述，并说明是否允许将支持关键或重要功能的信息通信技术服务或其重要部分进行分包；如允许分包，则应明确适用于该等分包的条件；

（b）

合同约定的服务提供地点，即相关功能及信息通信技术服务的提供区域或国家，以及数据处理的所在地，包括数据存储位置，并规定信息通信技术第三方服务提供者如拟变更上述地点，应当事先通知金融实体；

(c) 关于数据保护（包括个人数据）的可用性、真实性、完整性及保密性的相关规定；

(d) 关于在信息通信技术第三方服务提供商发生破产、处置或业务终止，或者合同安排终止时，确保金融实体所处理的个人数据与非个人数据能够以易于获取的形式被访问、恢复并返还的规定；

(e) 服务水平说明，包括其更新与修订内容；

(f) 信息通信技术第三方服务提供商有义务在发生与向金融实体提供的信息通信技术服务相关的信息通信技术事件时，不收取额外费用，或按照事先确定的费用标准，向金融实体提供协助；

（g）

信息通信技术第三方服务提供商有义务充分配合金融实体的主管当局及处置当局，包括由其指定的相关人员；

（h）

根据主管当局及处置当局的预期，关于合同安排终止的权利及其相关最短通知期限；

(i) 信息通信技术第三方服务提供商根据第13条第6款参与金融实体的信息通信技术安全意识计划及数字化运营韧性培训的条件。

3. 关于使用支持关键或重要功能的ICT服务的合同安排，除第2款所述要素外，至少还应包括以下内容：

（a）

全面的服务水平描述，包括对这些描述的更新与修订，并在约定的服务水平范围内设定精确的定量与定性绩效目标，以便金融实体能够有效监控信息通信技术服务，并在未达到约定服务水平时，及时采取适当的纠正措施；

（b）

信息通信技术第三方服务提供者向金融实体履行的通知期限及报告义务，包括就任何可能对信息通信技术第三方服务提供者按照约定服务水平有效提供支持关键或重要职能的信息通信技术服务的能力产生重大影响的发展情况予以通知；

(c) 信息通信技术第三方服务提供者实施并测试业务连续性计划，以及建立符合其监管框架、为金融实体提供服务提供适当安全水平的信息通信技术安全措施、工具和政策的相关要求；

(d) 信息通信技术第三方服务提供者参与并全面配合金融实体根据第26条和第27条所指的TLPT的义务；

(e) 持续监测信息通信技术第三方服务提供者绩效的权利，该权利包含以下内容：

(i) 金融实体或其指定的第三方以及主管当局享有不受限制的查阅、检查和审计权利，并有权在现场复印与信息通信技术第三方服务提供商运营密切相关的重要文件，且该等权利的行使不得因其他合同安排或实施政策而受到阻碍或限制；

(ii) 在其他客户权益受到影响的情况下，有权约定替代性的保障级别；

(iii) 信息通信技术第三方服务提供商有义务在主管当局、牵头监督机构、金融实体或其指定的第三方进行现场检查和审计时予以全面配合；以及

(iv) 有义务提供有关此类检查和审计的范围、应遵循的程序及频率的详细信息；

(f) 退出策略，特别是设立强制性的适当过渡期：

(i) 在此期间，信息通信技术第三方服务提供商将继续提供相关功能或信息通信技术服务，以降低金融实体遭受业务中断的风险，或确保其有效解决与重组；

(ii) 允许金融实体根据所提供服务的复杂程度，迁移至另一家信息通信技术第三方服务提供商，或改用内部解决方案。

作为对(e)项的例外规定，ICT第三方服务提供者与属于微型企业的金融机构可以约定，该金融机构的访问、检查及审计权利可委托给由ICT第三方服务提供者指定的独立第三方，并且该金融机构有权随时向该第三方索取有关ICT第三方服务提供者履行情况的信息和保证。

4. 在协商合同安排时，金融机构与ICT第三方服务提供者应当考虑使用由公共当局针对特定服务制定的标准合同条款。

5. 欧洲监管机构应通过联合委员会制定监管技术标准草案，以进一步明确第2款(a)项所述的内容，即金融机构在将支持关键或重要职能的ICT服务进行分包时需要确定并评估的相关要素。

在制定上述监管技术标准草案时，欧洲监管机构应当考虑金融机构的规模及其整体风险状况，以及其服务、活动和业务的性质、规模与复杂程度。

欧洲监管机构应当于2024年7月17日前向委员会提交上述监管技术标准草案。

授权委员会根据《条例》（EU）No 1093/2010、（EU）No 1094/2010和（EU）No 1095/2010第10至14条的规定，通过采纳第一款所述的监管技术标准来补充本条例。

关键信息通信技术第三方服务提供商的监督框架

第二节 · 第31条

关键信息通信技术第三方服务提供者的认定

1. 欧洲监管机构（ESAs）通过联合委员会，并根据第32条第1款设立的监督论坛的建议，应当：

（a）

在考虑第2款所规定标准的基础上进行评估后，指定对金融实体至关重要的信息与通信技术（ICT）第三方服务提供商；

（b）

为每一家关键的ICT第三方服务提供商指定牵头监督机构，该机构应依据条例（EU）No 1093/2010、（EU）No 1094/2010或（EU）No 1095/2010的规定，负责那些使用相关关键ICT第三方服务提供商服务的金融实体中，其总资产占所有使用该服务的金融实体总资产比重最大的金融实体。

2. 第1款(a)项所述的指定应当基于以下与该ICT第三方服务提供商所提供的ICT服务相关的全部标准：

（a）

当相关ICT第三方服务提供商发生大规模运营故障而无法提供服务时，对该服务在金融服务业的稳定性、连续性或服务质量方面所产生的系统性影响；同时，还应考虑该ICT第三方服务提供商所服务的金融实体的数量及其资产总值。

（b）

依赖相关信息通信技术第三方服务提供商的金融实体的系统性特征或重要性，按照以下参数进行评估：

(i) 依赖于相应信息通信技术第三方服务提供商的全球系统重要性机构（G-SIIs）或其他系统重要性机构（O-SIIs）的数量；

(ii) 第(i)点所述的全球系统重要性机构或其他系统重要性机构与其他金融实体之间的相互依存关系，包括全球系统重要性机构或其他系统重要性机构向其他金融实体提供金融基础设施服务的情形；

(c) 金融实体对相关信息通信技术第三方服务提供商所提供服务的依赖程度，该依赖涉及金融实体的关键或重要职能，且最终均与同一信息通信技术第三方服务提供商相关联，无论金融实体是直接依赖还是通过分包安排间接依赖；

(d) 信息通信技术第三方服务提供商的可替代性程度，同时考虑以下各项参数：

(i) 由于特定市场上活跃的信息通信技术第三方服务提供商数量有限、相关服务提供商的市场份额、所涉及的技术复杂性或先进程度（包括任何专有技术），以及信息通信技术第三方服务提供商组织或业务活动的特殊性等原因，导致缺乏真正的替代方案，即使仅为部分替代；

(ii) 因迁移相关数据和工作负载至另一家ICT第三方服务提供商而可能面临的困难，无论是由于迁移过程所需的重大财务成本、时间或其他资源，还是由于该迁移可能使金融机构面临更高的ICT风险或其他运营风险。

3. 若该ICT第三方服务提供商属于某一集团，则第2款所述标准应结合该集团整体提供的ICT服务予以考量。

4. 属于集团的至关重要的ICT第三方服务提供商应当指定一名法人作为协调联络点，以确保与牵头监督机构之间得到充分的代表性和沟通。

5. 牵头监督机构应当将导致第1款(a)项所指认定之评估结果通知该ICT第三方服务提供商。自收到通知之日起六周内，该ICT第三方服务提供商可以向牵头监督机构提交一份载有相关资料的书面说明，以供评估之用。牵头监督机构应当对上述书面说明予以考虑，并可在收到该说明后三十个日历日内要求补充提供相关信息。

在将某一信息与通信技术第三方服务提供商指定为关键实体后，欧洲监管机构（ESAs）应通过联合委员会，将其指定情况及自该日起正式纳入监督活动的起始日期通知该ICT第三方服务提供商。该起始日期不得迟于通知之日起一个月内。该ICT第三方服务提供商应当将其被指定为关键实体的情况通知其所服务的金融实体。

6. 欧盟委员会有权根据第57条，在2024年7月17日前通过一项授权法案，以进一步明确本条例中所述第2款所指的各项标准。

7. 第1款(a)项所指的指定在欧盟委员会依据第6款通过授权法案之前不得予以适用。

8. 第1款(a)项所指的指定不适用于以下情形：

(i) 向其他金融实体提供信息与通信技术服务的金融实体；

(ii) 已纳入为支持《欧盟运作条约》第127条第2款所指任务而设立的监督框架之下的信息与通信技术第三方服务提供商；

(iii) 集团内部的信息与通信技术服务提供商；

(iv) 仅在一个成员国向仅在该成员国开展业务的金融机构提供信息通信技术服务的第三方服务提供商。

9. 欧洲监管机构应通过联合委员会，每年制定、公布并更新欧盟层面的关键信息通信技术第三方服务提供商名单。

10. 为第1款(a)项之目的，主管当局应当按年度汇总向根据第32条设立的监督论坛提交第28条第3款第3项所述的报告。监督论坛应当依据从主管当局收到的信息，对金融机构的ICT第三方依赖关系进行评估。

11. 未列入第9款所述名单的ICT第三方服务提供者，可以依照第1款(a)项的规定申请被指定为关键性机构。

为第一款之目的，该ICT第三方服务提供者应当向EBA、ESMA或EIOPA提交一份有理由的申请；上述机构将通过联合委员会，决定是否依照第1款(a)项的规定将该ICT第三方服务提供者指定为关键性机构。

第二款所述的决定应当在收到申请之日起六个月内作出，并通知该ICT第三方服务提供者。

12. 金融机构仅得使用在第三国设立且已依照第1款(a)项被指定为关键性机构的ICT第三方服务提供者的服务，但前提是该服务提供者已在指定后的十二个月内于欧盟境内设立了子公司。

13. 第12款所指的关键性ICT第三方服务提供者应当就其在欧盟境内设立的子公司的管理架构发生任何变更时，及时通知牵头监管机构。

第二节·第32条

监督框架的结构

1. 联合委员会根据第（EU）No 1093/2010号、第（EU）No 1094/2010号和第（EU）No 1095/2010号法规第57条第1款的规定，设立监督论坛作为其下属委员会，旨在支持联合委员会以及第31条第1款第(b)项所指的牵头监管机构在各金融领域内有关信息与通信技术第三方风险方面的工作。监督论坛应当就该领域的联合立场草案及共同行为草案进行准备。

监督论坛应当定期讨论信息与通信技术风险及漏洞方面的相关发展动态，并在欧盟层面推动对信息与通信技术第三方风险实施监测的一致性方法。

2. 监督论坛应当每年对所有关键信息与通信技术第三方服务提供商所开展的监督活动之结果与发现进行集体评估，并推动采取协调措施，以增强金融机构的数字运营韧性，促进应对信息与通信技术集中度风险的最佳实践，同时探索缓解跨行业风险转移的对策。

3. 监督论坛应当提交关于关键信息与通信技术第三方服务提供商的全面基准标准，由联合委员会依据第（EU）No 1093/2010号、第（EU）No 1094/2010号和第（EU）No 1095/2010号法规第56条第1款的规定，将其采纳为欧洲监管机构的联合立场。

4. 监督论坛由以下成员组成：

（a）

欧洲监管机构的主席们；

（b）

每个成员国各指派一名来自第46条所述相关主管当局现任工作人员的高级别代表；

(c) 各欧洲监管机构的执行董事，以及来自欧盟系统性风险委员会、欧洲中央银行和欧洲网络与信息安全局的一名代表作为观察员；

(d) 在适当情况下，每个成员国再指派一名来自第46条所述主管当局的额外代表作为观察员；

(e) 在适用情况下，指派一名根据（EU）2022/2555号指令指定或设立的主管当局的代表，该代表负责监督受该指令约束的、被认定为关键信息通信技术第三方服务提供者的必要或重要实体，作为观察员。

监督论坛在适当情况下，可以征求按照第6款任命的独立专家的意见。

5. 每个成员国应当指定其相关主管当局，并由该主管当局的工作人员担任第4款第1项第（b）目所指的高级别代表，同时将此情况通知牵头监督人。

欧洲监管机构应当在其网站上公布各成员国指定的相关主管当局现任工作人员中担任高级别代表的名单。

6. 第4款第2项所指的独立专家，应当由监督论坛从经公开透明的申请程序遴选产生的专家库中任命。

独立专家应根据其在金融稳定、数字运营韧性及信息通信技术安全领域的专业能力予以任命。他们应当独立且客观地行事，完全以欧盟整体利益为重，不得向欧盟各机构或机关、任何成员国政府或其他任何公共或私人机构寻求或接受指示。

7. 根据第（EU）No 1093/2010号、第（EU）No 1094/2010号和第（EU）No 1095/2010号条例第16条的规定，欧洲监管机构应在2024年7月17日前，就本节之目的，发布有关欧洲监管机构与主管当局之间合作的指南，该指南应涵盖主管当局与欧洲监管机构之间任务分配与执行的详细程序和条件，以及为使主管当局能够确保对依据第35条第1款第(d)项向关键信息通信技术第三方服务提供商提出的建议进行后续跟进所必需的信息交换细节。

8. 本节所规定的各项要求不影响《指令》（EU）2022/2555以及其他适用于云计算服务提供商的欧盟监督规则的适用。

9. 欧洲监管机构应通过联合委员会，并依据监督论坛开展的筹备工作，每年向欧洲议会、理事会和委员会提交一份关于本节实施情况的报告。

第二节 · 第三十三条

主管监督员的职责

1. 根据第31条第1款第(b)项任命的首席监督员，应当对所分配的关键信息通信技术第三方服务提供商实施监督，并且在与该等关键信息通信技术第三方服务提供商相关的所有监督事务中，作为其首要联络人。

2. 为第1款之目的，首席监督员应当评估每一关键信息通信技术第三方服务提供商是否已建立全面、健全且有效的规则、程序、机制及安排，以管理其可能对金融机构造成的信息通信技术风险。

第一款所述的评估应当主要聚焦于由该关键信息通信技术第三方服务提供商提供的、支持金融机构关键或重要功能的信息通信技术服务。在有必要应对所有相关风险的情况下，该评估还应当扩展至支持非关键或非重要功能的信息通信技术服务。

3. 第2款所述的评估应当涵盖：

（a）

信息通信技术方面的要求，特别是确保该关键信息通信技术第三方服务提供商向金融机构提供的服务的安全性、可用性、连续性、可扩展性及质量，以及始终保持数据的高水准可用性、真实性、完整性或保密性；

（b）

有助于保障信息通信技术安全的物理安全措施，包括场所、设施及数据中心的安全；

(c) 风险管理流程，包括信息与通信技术（ICT）风险管理政策、ICT业务连续性政策以及ICT响应与恢复计划；

(d) 治理安排，包括具有清晰、透明且一致的责任与问责机制的组织架构，以确保有效的ICT风险管理；

(e) 对金融实体的重大ICT相关事件进行识别、监测并及时报告，以及对这些事件的管理和处置，特别是网络攻击；

(f) 数据可移植性、应用可移植性和互操作性的相关机制，以确保金融实体能够有效行使终止权；

（g）

对ICT系统、基础设施及控制措施的测试；

（h）

ICT审计；

(i) 用于向金融实体提供其ICT服务的相关国家和国际标准的使用。

4. 根据第2款所述的评估，并与第34条第1款所述的联合监督网络（JON）协调，牵头监督机构应当制定一份明确、详尽且有理有据的单独监督计划，详细说明年度监督目标以及针对每家关键ICT第三方服务提供商拟实施的主要监督措施。该计划应每年通报给相关关键ICT第三方服务提供商。

在监督计划获得通过之前，首席监督员应当将监督计划草案告知关键的ICT第三方服务提供商。

收到监督计划草案后，关键信息通信技术第三方服务提供者可在15个日历日内提交一份有理有据的说明，阐明该计划对属于本条例适用范围之外的实体客户可能产生的预期影响，并在适当情况下提出降低风险的解决方案。

5. 一旦第4款所述的年度监督计划获得通过并通知相关关键信息通信技术第三方服务提供者，主管当局仅可在与牵头监督机构达成一致的情况下，对该等关键信息通信技术第三方服务提供者采取措施。

第二节 · 第34条

主管监理之间的业务协调

1. 为确保监督活动采取一致的方法，并旨在促成协调一致的总体监督战略以及连贯的运作方式和工作方法，根据第31条第1款第(b)项任命的三位首席监督员应当设立一个联合监督网络（JON），以便在筹备阶段相互协调，并在其各自负责监督的关键信息与通信技术第三方服务提供商的监督活动开展过程中进行协调，同时在依据第42条可能需要采取的任何行动中亦应予以协调。

2. 为实现第1款之目的，首席监督员应当制定一项共同的监督协议，明确规定为开展日常协调并确保迅速的信息交流与反应所应遵循的具体程序。该协议应当定期修订，以反映实际运作需求，特别是监督实践安排的演变情况。

3. 首席监督员可在临时基础上，邀请欧洲中央银行和欧洲网络与信息安全局提供技术咨询、分享实践经验或参加联合监督网络的特定协调会议。

第二节·第35条

主管监督员的职权

1. 为履行本节规定的职责，牵头监督机构对关键信息通信技术第三方服务提供商享有下列权力：

（a）

根据第37条要求提供所有相关信息和文件；

（b）

分别根据第38条和第39条开展一般性调查与检查；

(c) 在监督活动结束后，要求关键信息通信技术第三方服务提供商提交报告，说明其就本款第(d)项所述建议所采取的措施或已实施的补救办法；

(d) 就第33条第3款所述领域提出建议，特别是涉及以下方面：

(i) 使用特定的信息通信技术安全与质量要求或流程，尤其是在补丁、更新、加密及其他安全措施的部署方面，这些要求或流程经牵头监督机构认定对于确保向金融机构提供的服务的信息通信技术安全性具有相关性；

(ii) 关键信息通信技术第三方服务提供商向金融机构提供信息通信技术服务时所采用的条件与条款，包括其技术实现方式，这些条件与条款经牵头监督机构认定对于防止形成单一故障点、避免其影响扩大，或在发生信息通信技术集中风险时最大限度降低对欧盟金融体系可能产生的系统性影响具有相关性；

(iii) 任何计划中的分包行为，若首席监督员认为，进一步的分包安排——包括关键信息通信技术第三方服务提供者拟与信息通信技术第三方服务提供者或设于第三国的信息通信技术分包商订立的分包协议——可能因根据第37条和第38条收集的信息之审查结果而对金融机构的服务提供构成风险，或对金融稳定造成风险；

(iv) 在同时满足下列累积条件时，不得再订立任何进一步的分包安排：

拟议的分包方为设于第三国的信息通信技术第三方服务提供者或信息通信技术分包商；

该分包涉及金融机构的关键或重要职能；以及

首席监督员认为，采用此类分包将对欧盟的金融稳定或对金融机构构成明确且严重的风险，包括影响金融机构遵守监管要求的能力。

为本款第（四）项之目的，信息通信技术第三方服务提供者应当按照第41条第1款第（b）项所指模板，向首席监督员报送有关分包的信息。

2. 在行使本条所述职权时，首席监督员应当：

（a）

确保在JON内部进行定期协调，并且尤其应当就关键ICT第三方服务提供商的监管工作，在适当情况下寻求一致的做法；

（b）

应当充分考虑由欧盟指令（EU）2022/2555所确立的框架，并在必要时与根据该指令指定或设立的相关主管当局进行磋商，以避免对可能依据该指令适用于关键信息通信技术第三方服务提供商的技术和组织措施产生重复；

(c) 应当尽最大努力降低关键信息通信技术第三方服务提供商向不属于本条例适用范围的实体客户提供服务时发生中断的风险。

3. 主管监督机构在行使第1款所述权力前，应当征求监督论坛的意见。

在根据第1款第（d）项发布建议之前，主管监督机构应当给予该信息通信技术第三方服务提供商在30个日历日内提供相关资料的机会，以证明其对不属于本条例适用范围的实体客户可能产生的预期影响，并在适当情况下提出缓解风险的解决方案。

4. 主管监督机构应当将行使第1款第（a）项和第（b）项所述权力的结果通报联合监管网络。主管监督机构还应当毫不拖延地将第1款第（c）项所述报告传送至联合监管网络以及使用该关键信息通信技术第三方服务提供商信息通信技术服务的金融实体的主管当局。

5. 关键信息通信技术第三方服务提供者应当与牵头监督机构善意合作，并协助其履行职责。

6. 如关键信息通信技术第三方服务提供者在行使第1款(a)、(b)和(c)项所赋予的权力时，未完全或部分遵守应采取的措施，且自该关键信息通信技术第三方服务提供者收到相关措施通知之日起满至少30个日历日后，牵头监督机构应当作出决定，对其处以定期罚款，以促使其遵守上述措施。

7. 第6款所述的定期罚款应当按日计征，直至其履行义务为止，但最长不得超过自向关键信息通信技术第三方服务提供者送达定期罚款决定通知之日起六个月。

8. 定期罚款金额自定期罚款决定中载明的日期起计算，最高不超过该关键信息通信技术第三方服务提供者上一营业年度全球平均每日营业额的1%。在确定罚款金额时，牵头监督机构应当考虑以下关于第6款所述措施未予遵守的情形的标准：

（a）

违规行为的严重程度及其持续时间；

（b）

违规行为系出于故意还是过失；

(c) 信息通信技术第三方服务提供商与牵头监督机构的合作程度。

为实现第一款之目的，为确保采取一致的方法，牵头监督机构应在联合监督网络内开展磋商。

9. 罚款具有行政性质，并应具有可执行性。其执行程序适用实施检查和获取信息的成员国境内现行的民事诉讼规则。有关成员国的法院对与执行程序不当行为相关的投诉享有管辖权。罚款金额应划入欧盟一般预算。

10. 牵头监督机构应当向公众披露已处以的每一笔定期罚款，但若披露将严重危及金融市场或对相关方造成不成比例的损害，则除外。

11. 在根据第6款处以定期罚款之前，牵头监督机构应当给予受调查的关键信息通信技术第三方服务提供商的代表就相关认定发表意见的机会，并且仅依据该关键信息通信技术第三方服务提供商已有机会发表意见的相关认定作出决定。

在诉讼程序中，应当充分保障被诉人员的辩护权利。受诉讼程序约束的、关键的ICT第三方服务提供者有权查阅案卷，但须受限于其他相关方对其商业秘密予以保护的合法利益。查阅案卷的权利不包括涉及保密信息以及首席监督员的内部准备性文件。

第二节 · 第三十六条

在欧盟境外行使首席监督员的职权

1. 当通过与为第31条第12款之目的而设立的子公司进行互动，或在位于欧盟境内的场所开展监督活动均无法实现监督目标时，牵头监督机构可在任何位于第三国、由关键信息通信技术第三方服务提供商拥有或以任何方式用于向欧盟金融实体提供服务的场所行使下列条款所提及的权力，该等权力与其业务运营、职能或服务相关，包括任何行政、商务或运营办公室、场所、土地、建筑物或其他财产：

（a）

第35条第1款(a)项；以及

（b）

第35条第1款(b)项，依照第38条第2款(a)、(b)和(d)项，以及第39条第1款和第2款(a)项。

第一款所述权力的行使须符合以下全部条件：

(i) 牵头监督机构认为，在第三国开展检查对于其充分且有效地履行本条例项下的职责而言是必要的；

(ii) 在第三国开展的检查与向欧盟境内金融实体提供信息通信技术服务直接相关；

(iii) 相关的关键信息通信技术第三方服务提供商同意在第三国开展检查；以及

(iv) 有关第三国的主管机关已由牵头监督机构正式通知，且未对此提出任何异议。

2. 在不影响欧盟各机构及成员国各自职权的前提下，为第1款之目的，欧洲银行管理局、欧洲证券和市场管理局或欧洲保险和职业养老金管理局应当与相关第三国主管当局订立行政合作安排，以确保由牵头监督机构及其指定团队在其所涉第三国开展任务时，能够顺利进行检查。上述合作安排不得对欧盟及其成员国产生法律约束力，亦不得妨碍成员国及其主管当局与这些第三国及其相关主管当局订立双边或多边安排。

上述合作安排至少应当载明以下各项内容：

（a）

根据本条例开展的监督活动，以及相关第三国主管当局在金融领域对信息通信技术第三方风险所实施的任何类似监测活动之间的协调程序，包括就如何将该第三国主管当局的同意传达给牵头监督机构及其指定团队，以便其在其管辖区域内按照第1款第一项所述开展一般性调查及现场检查的具体安排；

（b）

欧洲银行管理局、欧洲证券和市场管理局或欧洲保险和职业养老金管理局与相关第三国主管当局之间传递任何相关信息的机制，特别是在涉及牵头监督机构依据第37条可能要求提供的信息方面；

(c) 有关主管当局就第三国境内、根据第31条第1款(a)项被指定为关键的ICT第三方服务提供商，在向金融机构提供服务时被认为违反了该第三国适用法律所规定的相关义务的情形，及时通知EBA、ESMA或EIOPA的机制，以及所采取的补救措施和处罚；

(d) 定期传送关于第三国境内金融机构ICT第三方风险监测方面的监管或监督最新动态；

(e) 允许在必要时由相关第三国主管当局的一名代表参与牵头监督机构及指定团队所开展的检查工作的具体安排。

3. 当牵头监督机构无法开展本条第1款和第2款所述的欧盟境外监督活动时，牵头监督机构应当：

（a）

根据其所掌握的所有事实和文件行使第35条赋予的职权；

（b）

记录并说明其因无法开展本条所述之预期监督活动而产生的任何后果。

本款第(b)项所述的潜在后果，应在首席监督员依据第35条第(1)款第(d)项作出的建议中予以考虑。

第二节·第37条

信息请求

1. 主管监督机构可以以简单请求或决定的形式，要求关键信息通信技术第三方服务提供商提供主管监督机构为履行本条例项下职责所必需的一切信息，包括所有相关业务或运营文件、合同、政策、文档、信息通信技术安全审计报告、信息通信技术相关事件报告，以及与该关键信息通信技术第三方服务提供商已将运营职能或活动外包给的各方有关的任何信息。

2. 在根据第1款发出信息的简单请求时，主管监督机构应当：

（a）

将本条作为该请求的法律依据；

（b）

说明请求的目的；

(c) 明确所需信息的具体内容；

(d) 设定提供相关信息的时限；

(e) 告知被请求提供信息的关键信息通信技术第三方服务提供商的代表，其并无义务提供该信息；但在自愿回复该请求的情况下，所提供的信息不得存在不实或误导情形。

3. 当主管监督机构通过决定要求提供第1款所述信息时，应当：

（a）

将本条作为该请求的法律依据；

（b）

说明请求的目的；

(c) 明确所需信息的具体内容；

(d) 设定提供相关信息的时限；

(e) 指第35条第6款所规定的定期罚金支付，适用于所需信息的提供不完整或未在本款第(d)项所述期限内提供的情形；

(f) 指有权就该决定向ESA上诉委员会提出上诉，并根据第1093/2010号、第1094/2010号及第1095/2010号欧盟法规第60条和第61条的规定，请求欧洲联盟法院（欧盟法院）对该决定进行复审。

4. 关键信息通信技术第三方服务提供商的代表应当提供所要求的信息。经正式授权的律师可以代表其委托人提供相关信息。若所提供的信息不完整、不正确或具有误导性，关键信息通信技术第三方服务提供商仍应承担全部责任。

5. 主管监督机构应当毫不拖延地将有关提供信息的决定副本送达使用相关关键信息通信技术第三方服务提供商服务的金融机构的主管当局以及JON。

第二节 · 第38条

一般调查

1. 为履行本条例项下的职责，牵头监督机构在第40条第1款所述联合检查小组的协助下，必要时可以对关键信息通信技术第三方服务提供商开展调查。

2. 牵头监督机构有权：

（a）

查阅与履行其职责相关的记录、数据、程序及其他任何材料，无论其存储于何种介质；

（b）

对上述记录、数据、书面程序及其他任何材料进行复印、获取经认证的副本或摘录；

(c) 要求关键信息通信技术第三方服务提供商的代表就与调查主题及目的相关之事实或文件作出口头或书面说明，并将答复予以记录；

(d) 对任何同意接受访谈的自然人或法人进行询问，以收集与调查主题相关的信息；

(e) 请求调取电话及数据通信记录。

3. 为第1款所述调查之目的而由牵头监督机构授权的官员及其他人员，应当在出示载明调查主题及目的的书面授权后方可行使相应职权。

该授权还应载明第35条第6款所规定的定期罚款，适用于未能提供所需记录、数据、书面程序或其他材料，或对信息与通信技术第三方服务提供商代表所提问题的答复不完整的情形。

4. 关键信息与通信技术第三方服务提供商的代表须根据首席监督员的决定接受调查。该决定应当明确调查的主题和目的、第35条第6款所规定的定期罚款、依据（欧盟）第1093/2010号、（欧盟）第1094/2010号及（欧盟）第1095/2010号条例所赋予的法律救济途径，以及向欧洲法院申请对该决定进行复审的权利。

5. 在调查开始之前及时，首席监督员应当将拟进行的调查及其获授权人员的身份告知使用该关键信息与通信技术第三方服务提供商之信息与通信技术服务的金融机构的主管当局。

首席监督员应当将其依据第一款规定所传递的所有信息通报给JON。

第二节·第39条

检查

1. 为履行本条例项下的职责，牵头监督员在第40条第1款所述联合检查小组的协助下，可以进入并开展对信息通信技术第三方服务提供商的任何营业场所、土地或财产（如总部、运营中心、次要场所等）所必需的现场检查，并可进行非现场检查。

为行使第一款所述之权力，牵头监督员应当与联合观察网络（JON）进行协商。

2. 经牵头监督员授权实施现场检查的官员及其他人员，有权：

（a）

进入上述任何营业场所、土地或财产；以及

（b）

封存上述任何营业场所、账簿或记录，封存期限及范围应以满足检查所需为限。

经牵头监督员授权的官员及其他人员，在出示载明检查事项及目的的书面授权文件后方可行使上述权力；如相关关键信息通信技术第三方服务提供商的代表拒不配合检查，则适用第35条第6款规定的定期罚金制度。

3. 在检查开始前及时，牵头监督员应当通知使用该信息通信技术第三方服务提供商的金融机构的主管当局。

4. 检查应当涵盖所有与向金融机构提供信息通信技术服务相关或有助于该等服务提供的各类信息通信技术系统、网络、设备、信息及数据。

5. 在任何计划的现场检查之前，牵头监管机构应当向关键信息通信技术第三方服务提供商发出合理通知，除非因紧急或危机情况而无法发出该通知，或者发出通知可能导致检查或审计不再有效。

6. 关键信息通信技术第三方服务提供商应当接受由牵头监管机构决定所下达的现场检查。该决定应当明确检查的主题和目的，确定检查开始的日期，并说明第35条第6款规定的定期罚金、根据条例（欧盟）第1093/2010号、（欧盟）第1094/2010号及（欧盟）第1095/2010号可采取的法律救济措施，以及有权请求欧洲法院对该决定进行复审的权利。

7. 若牵头监管机构授权的官员及其他人员发现关键信息通信技术第三方服务提供商拒绝接受依据本条规定所下达的检查，牵头监管机构应当告知该关键信息通信技术第三方服务提供商此种拒绝行为的法律后果，包括相关金融实体的主管当局可以要求各金融实体终止与该关键信息通信技术第三方服务提供商订立的合同安排。

第二节 · 第四十条

持续监督

1. 在开展监督活动时，特别是进行一般性调查或检查时，牵头监督机构应当由为每个关键信息通信技术第三方服务提供商专门设立的联合检查组予以协助。

2. 第1款所述的联合检查组应当由以下人员组成：

（a）

欧洲监管机构；

（b）

负责监督该关键信息通信技术第三方服务提供商向其提供信息通信技术服务之金融实体的相关主管当局；

(c) 根据自愿原则，第32条第4款第(e)项所指的国家主管当局；

(d) 根据自愿原则，来自该关键信息通信技术第三方服务提供商所在成员国的一名国家主管当局。

联合检查组成员应当具备信息通信技术和操作风险方面的专业知识。联合检查组应在指定的牵头监督机构工作人员（“牵头监督协调员”）的统筹协调下开展工作。

3. 在一项调查或检查结束后3个月内，牵头监督机构经与监督论坛协商后，应当根据第35条所赋予的职权，向该关键信息通信技术第三方服务提供商提出建议。

4. 第3款所述的建议应当立即通知关键信息通信技术第三方服务提供商及其为其提供信息通信技术服务的金融实体的主管当局。

为履行监督活动之目的，首席监督人得考虑由关键信息通信技术第三方服务提供者提供的任何相关第三方认证以及信息通信技术第三方内部或外部审计报告。

第二节 · 第41条

使监督活动得以开展的条件之协调

1. 欧洲监管机构应通过联合委员会，制定旨在明确以下内容的监管技术标准草案：

（a）

根据第31条第11款，信息通信技术第三方服务提供者在申请被指定为关键实体时需提供的相关信息；

（b）

根据第35条第1款，信息通信技术第三方服务提供者应当提交、披露或报告的信息的内容、结构和格式，包括关于分包安排的信息提供模板；

(c) 确保欧洲监管机构及有关主管当局工作人员均衡参与的联合审查小组的组成标准、其指定方式、职责以及工作安排；

(d) 主管当局依据第42条第3款对关键信息通信技术第三方服务提供者所采取措施进行评估的具体细则。

2. 欧洲监管机构应于2024年7月17日前向委员会提交上述监管技术标准草案。

授权委员会依照《条例》（欧盟）第1093/2010号、第1094/2010号及第1095/2010号第10至14条规定的程序，通过采纳第1款所述的监管技术标准，以补充本条例。

第二节 · 第四十二条

由主管机关进行的后续跟进

1. 在收到牵头监督人依据第35条第1款第d项发布的建议之日起六十个日历日内，关键信息通信技术第三方服务提供者应当向牵头监督人通报其拟遵从该等建议的意向，或者就未遵从该等建议提供有理有据的说明。牵头监督人应当立即将上述信息转交相关金融实体的主管当局。

2. 当关键信息通信技术第三方服务提供者未按第1款规定向牵头监督人通报，或者其所提供的说明被认为不充分时，牵头监督人应当予以公开披露。所公布的信息应当载明该关键信息通信技术第三方服务提供者的身份，并说明其不合规行为的类型与性质。此类信息仅限于为确保公众知情权所必需且适当的部分，除非该等披露将对相关方造成不成比例的损害，或可能严重危及金融市场的有序运行与完整性，或者危及欧盟整体或部分金融体系的稳定。

牵头监督人应当将该项公开披露事宜通知该信息通信技术第三方服务提供者。

3. 主管当局应当将根据第35条第1款第d项向关键信息通信技术第三方服务提供者提出的建议中所识别的风险告知相关金融实体。

在管理信息与通信技术第三方风险时，金融机构应当考虑第一款所述的风险。

4. 如主管当局认为某金融机构在其信息与通信技术第三方风险管理中未考虑或未能充分应对建议中所识别的特定风险，则该主管当局应在收到相关通知后60个日历日内，依据第6款的规定，就可能作出决定一事通知该金融机构；前提是尚未订立旨在应对上述风险的适当合同安排。

5. 主管当局在收到第35条第1款第(c)项所述报告后、且在作出本条第6款所述决定之前，可自愿征询根据(EU) 2022/2555号指令指定或设立的、负责监督受该指令约束之关键或重要实体的主管当局的意见；该实体已被指定为关键信息与通信技术第三方服务提供者。

6. 主管当局可在作为最后手段的情况下，依据本条第4款和第5款规定的通报程序，并在适当情况下进行磋商后，依照第50条的规定，作出决定，要求金融机构暂时部分或全部暂停使用或部署由关键信息通信技术第三方服务提供商提供的某项服务，直至针对该关键信息通信技术第三方服务提供商所提出的建议中识别的风险得到妥善解决。必要时，主管当局还可要求金融机构部分或全部终止其与相关关键信息通信技术第三方服务提供商订立的合同安排。

7. 当某一关键信息通信技术第三方服务提供商拒绝采纳建议，且其所采取的方法与牵头监督机构所建议的方法存在明显分歧，而此种分歧可能对大量金融机构或金融体系的重要组成部分产生不利影响，同时主管当局发出的个别警告亦未能促使各方采取一致措施以降低对金融稳定造成的潜在风险时，牵头监督机构经与监督论坛协商后，可向主管当局发表不具约束力且不对外公开的意见，以推动采取适当、一致且协调的监管跟进措施。

8. 在收到第35条第1款第(c)项所述报告后，主管当局在作出本条第6款所述决定时，应当考虑关键信息通信技术第三方服务提供者未能有效应对的风险类型及其严重程度，以及违规行为的严重性，并参照以下标准：

（a）

违规行为的严重程度及其持续时间；

（b）

违规行为是否暴露出关键信息通信技术第三方服务提供者在程序、管理体系、风险管理和内部控制方面的重大缺陷；

(c) 违规行为是否为金融犯罪提供了便利、导致了金融犯罪的发生，或者以其他方式与该金融犯罪相关联；

(d) 违规行为是出于故意还是过失；

(e) 即使金融机构已尽力避免其服务提供中断，合同安排的暂停或终止是否仍会给该金融机构的业务连续性带来风险；

(f) 在适用情况下，还应考虑根据《欧盟》2022/2555号指令指定或设立的、负责监督受该指令约束的必要或重要实体的主管当局的意见；该实体已被指定为关键信息通信技术第三方服务提供者，并按照本条第5款的规定自愿提出请求。

有关主管当局应当给予金融机构必要的期限，以便其调整与关键信息通信技术第三方服务提供商之间的合同安排，从而避免对其数字运营韧性造成不利影响，并使其能够实施第28条所述的退出策略和过渡计划。

9. 本条第6款所述的决定应当通知第32条第4款(a)、(b)和(c)项所指的监督论坛成员以及JON。

受第6款所规定决定影响的关键信息通信技术第三方服务提供商应当与受影响的金融机构充分合作，特别是在暂停或终止其合同安排的过程中。

10. 有关主管当局应当定期向牵头监管机构通报其在针对金融机构开展的监管工作中所采取的方法和措施，以及在关键信息通信技术第三方服务提供商未全部或部分采纳牵头监管机构向其提出的建议时，金融机构所订立的合同安排情况。

11. 牵头监管机构可以根据请求，就为指导有关主管当局采取后续措施而发布的建议作出进一步说明。

第二节·第43条

监管费用

1. 主管监督机构应当根据本条第2款所述的授权法案，向关键信息通信技术第三方服务提供商收取费用，该费用应足以全额覆盖主管监督机构为依据本条例开展监督任务所发生的必要支出，包括因第40条所述联合审查小组开展工作而可能产生的任何费用的报销，以及因第32条第4款第二项所述独立专家就属于直接监督活动职权范围内的事项所提供的咨询意见所产生的费用。

向关键信息通信技术第三方服务提供商收取的费用金额应当涵盖本节所规定各项职责履行过程中产生的全部成本，并与其营业额保持适当的比例关系。

2. 欧盟委员会有权根据第57条通过一项授权法案，在2024年7月17日前对本条例进行补充，以确定相关费用的具体金额及其支付方式。

第二节·第44条

国际合作

1. 在不影响第36条规定的前提下，欧洲银行管理局、欧洲证券和市场管理局以及欧洲保险和职业养老金管理局可根据分别适用的（欧盟）第1093/2010号、（欧盟）第1095/2010号和（欧盟）第1094/2010号条例第33条的规定，与第三国的监管和监督机构达成行政安排，以促进不同金融领域内关于信息通信技术第三方风险的国际合作，特别是通过制定有关审查信息通信技术风险管理实践与控制措施、缓解措施及事件应对的最佳实践。

2. 欧洲各监管机构应通过联合委员会，每五年向欧洲议会、理事会和委员会提交一份联合机密报告，概述其与第1款所述第三国主管当局开展的相关讨论所取得的结论，重点阐述信息通信技术第三方风险的发展态势及其对金融稳定、市场诚信、投资者保护以及内部市场运行的影响。

信息共享安排

第六章 · 第四十五条

关于网络威胁信息与情报的信息共享安排

1. 金融机构之间可以相互交换网络威胁信息与情报，包括入侵指标、战术、技术与程序、网络安全警报以及配置工具，但此种信息与情报的共享须符合以下条件：

（a）

其目的在于提升金融机构的数字运营韧性，特别是通过提高对网络威胁的认识、限制或阻碍网络威胁的传播、支持防御能力、威胁检测技术、缓解策略以及响应与恢复阶段；

（b）

应在受信任的金融机构共同体内部进行；

(c) 应通过信息共享安排予以实施，该等安排须保护所共享信息的潜在敏感性，并严格遵守行为准则，充分尊重商业保密原则，同时依照第(EU) 2016/679号条例及竞争政策相关指南保护个人数据。

2. 就第1款(c)项而言，信息共享安排应当明确参与条件，并在必要时规定公共当局的参与方式及其可能以何种身份参与信息共享安排、ICT第三方服务提供商的参与情况，以及包括专用IT平台使用在内的各项运作要素。

3. 金融机构应当在其成员资格获得确认之日，或在成员资格终止生效之日，及时向主管当局通报其参与第1款所述信息共享安排的情况。

主管机关

第七章 · 第四十六条

主管机关

在不影响本条例第五章第二节所提及的关于关键信息通信技术第三方服务提供商监督框架之规定的前提下，本条例的遵守应由下列主管当局依据各自法律文件赋予的职权予以确保：

（a）

对于信贷机构以及根据第2013/36/EU号指令获豁免的机构，由该指令第4条所指定的主管当局负责；对于根据第1024/2013号（欧盟）条例第6条第4款被认定为重要性机构的信贷机构，由欧洲中央银行依据该条例授予的权限和职责负责；

（b）

对于支付机构，包括根据第2015/2366号（欧盟）指令获豁免的支付机构、电子货币机构，包括根据第2009/110/EC号指令获豁免的机构，以及根据第2015/2366号（欧盟）指令第33条第1款所指的账户信息服务提供者，由根据该指令第22条所指定的主管当局负责；

(c) 对于投资公司，由根据欧洲议会和理事会第2019/2034号（欧盟）指令第4条所指定的主管当局负责；

(d) 对于根据加密资产市场及资产参考型代币发行人相关条例获授权的加密资产服务提供者，由依据该条例相关条款所指定的主管当局负责。

(e) 对于中央证券存管机构，为依据第909/2014号欧盟条例第11条指定的主管当局；

(f) 对于中央对手方，为依据第648/2012号欧盟条例第22条指定的主管当局；

（g）

对于交易场所和数据报送服务提供者，为依据第2014/65/EU指令第67条以及第600/2014号欧盟条例第2条第1款第18项所界定的主管当局；

（h）

对于交易存储库，为依据第648/2012号欧盟条例第22条指定的主管当局；

(i) 对于另类投资基金管理人，为依据第2011/61/EU指令第44条指定的主管当局；

(j) 对于管理公司，为依据第2009/65/EC指令第97条指定的主管当局；

（k）

对于保险及再保险企业，为依据第2009/138/EC指令第30条指定的主管当局；

（l）

对于保险中介、再保险中介及辅助性保险中介，为依据（EU）2016/97指令第12条指定的主管当局；

（m）

对于职业退休保障机构，指根据《欧盟》2016/2341号指令第47条指定的主管当局；

（n）

对于信用评级机构，指根据《EC》第1060/2009号条例第21条指定的主管当局；

（o）

对于关键基准的管理机构，由根据《欧盟》2016/1011号条例第40条和第41条指定的主管当局；

（p）

对于众筹服务提供者，由根据《欧盟》2020/1503号条例第29条指定的主管当局；

（q）

对于证券化数据存储库，由根据《欧盟》2017/2402号条例第10条和第14条第1款指定的主管当局。

第七章 · 第四十七条

与根据指令（EU）2022/2555设立的机构和主管当局的合作

1. 为促进合作并使本条例所指定的主管当局与根据第（EU）2022/2555号指令第14条设立的合作小组之间能够开展监管交流，各欧洲监管机构及主管当局可就其涉及金融实体之监管活动的相关事项参与该合作小组的活动。各欧洲监管机构及主管当局还可请求被邀请参与该合作小组的活动，以处理那些同时依据本条例第31条被指定为关键信息通信技术第三方服务提供者的、受第（EU）2022/2555号指令约束的至关重要或重要实体相关事宜。

2. 在适当情况下，主管当局可以与根据第（EU）2022/2555号指令指定或设立的单一联络点及计算机安全事件响应小组进行磋商并共享信息。

3. 在适当情况下，主管当局可以向根据第（EU）2022/2555号指令指定或设立的主管当局寻求任何相关的技术建议与协助，并建立合作安排，以便设立有效且反应迅速的协调机制。

4. 本条第3款所述安排可包括但不限于规定与受《欧盟》2022/2555号指令约束的、根据本条例第31条被指定为关键信息通信技术第三方服务提供者的重大或重要实体相关的监管与监督活动的协调程序，其中包括依照本国法律开展调查和现场检查的程序，以及在本条例项下的主管当局与依据该指令指定或设立的主管当局之间进行信息交换的机制，该机制应包括后者当局所要求的信息获取途径。

第七章 · 第48条

当局之间的合作

1. 各主管当局应当彼此密切合作，并在适用情况下与牵头监督机构开展合作。

2. 各主管当局及牵头监督机构应当及时相互交换所有与关键信息通信技术第三方服务提供商有关的、对其根据本条例履行各自职责所必需的相关信息，特别是在已识别的风险、采取的方法以及作为牵头监督机构监督任务组成部分所采取的措施等方面。

第七章 · 第四十九条

金融跨部门演练、沟通与合作

1. 欧洲监管机构（ESAs）可通过联合委员会，并与相关主管当局、根据《2014/59/EU号指令》第3条所指的处置当局、欧洲中央银行、就属于《(EU) No 806/2014号条例》适用范围内的实体相关信息而言的单一处置委员会、欧洲系统性风险委员会（ESRB）以及欧洲网络与信息安全局（ENISA）等机构合作，建立相应机制，以促进各金融部门之间有效做法的共享，从而提升态势感知能力，并识别各行业间共同存在的网络脆弱性和风险。

它们还可开展涉及网络攻击情景的危机管理和应急演练，旨在建立沟通渠道，并逐步实现欧盟层面在发生对整个欧盟金融体系产生系统性影响的重大跨境信息通信技术相关事件或相关威胁时的有效协调应对。

在适当情况下，此类演练还可检验金融部门对其他经济部门的依赖程度。

2. 相关主管当局、欧洲监管机构及欧洲中央银行应彼此密切合作并相互交换信息，以履行其依据第47至54条所承担的职责。它们应密切协调监管工作，以便发现并纠正本条例项下的违规行为，制定并推广最佳实践，促进协作，推动解释的一致性，并在出现任何分歧时提供跨司法辖区的评估意见。

第七章 · 第五十条

行政处罚与补救措施

1. 主管当局应当拥有为履行本条例项下职责所必需的一切监督、调查及处罚权力。

2. 第1款所述的权力至少应包括以下各项权力：

（a）

查阅以任何形式保存的、主管当局认为与其履行职责相关的任何文件或数据，并接收或复制该等文件或数据；

（b）

实施现场检查或调查，此类检查或调查应当包括但不限于：

(i) 要求金融机构的代表就与调查主题及目的有关的事实或文件作出口头或书面说明，并记录其答复；

(ii) 对任何其他同意接受访谈的自然人或法人进行询问，以收集与调查主题相关的信息；

(c) 要求采取纠正和补救措施，以应对违反本条例规定的行为。

3. 在不影响成员国依据第52条施加刑事处罚的权利的前提下，各成员国应当制定规则，确立针对违反本条例行为的适当行政处分及补救措施，并确保其有效实施。

该等处罚与措施应当有效、适当且具有威慑力。

4. 成员国应当赋予主管当局权力，对违反本条例的行为至少适用下列行政处罚或补救措施：

（a）

发布命令，要求自然人或法人停止违反本条例的行为，并不得再次实施该行为；

（b）

要求暂时或永久停止任何被主管当局认定为违反本条例规定的做法或行为，并防止该等做法或行为的再次发生；

(c) 采取各类措施，包括经济性措施，以确保金融机构持续遵守法律要求；

(d) 在国家法律允许的范围内，要求电信运营商提供其持有的现有数据通信记录，前提是存在合理怀疑该记录可能与违反本条例的调查相关；以及

(e) 发布公开通知，包括公布自然人或法人的身份及违规行为的性质的公开声明。

5. 当第2款第(c)项和第4款适用于法人时，成员国应当赋予主管当局权力，在符合本国法律规定的条件下，对管理机构成员以及其他根据本国法律应对该违法行为负责的个人适用行政罚款和补救措施。

6. 成员国应当确保，对第2款第(c)项所列的任何行政罚款或补救措施作出的决定均具有充分的理由，并且当事人享有上诉权利。

第七章 · 第51条

行政处罚与补救措施的行使权

1. 主管机关应当根据本国法律框架，在适当情况下，按照以下方式行使第50条所述的行政处罚及补救措施之权力：

（a）

直接；

（b）

与其他机关协作；

(c) 在其职责范围内通过委托其他机关实施；或

(d) 向有管辖权的司法机关申请。

2. 主管机关在依据第50条决定拟施加的行政处罚或补救措施的种类与程度时，应当考虑违法行为系故意为之还是因过失所致，以及所有其他相关情形，包括但不限于下列各项（如适用）：

（a）

违法行为的严重性、重大性和持续时间；

（b）

负责该违法行为的自然人或法人的责任程度；

(c) 责任自然人或法人的财务实力；

(d) 责任自然人或法人在可确定的范围内所获利益或避免的损失的重要性。

(e) 第三方因该违法行为所遭受的损失，但仅限于能够确定的部分；

(f) 责任自然人或者法人与主管机关的合作程度，但不影响确保追缴该自然人或者法人所获利润或避免的损失之必要性；

（g）

责任自然人或者法人此前的违法记录。

第七章 · 第52条

刑事处罚

1. 成员国可以决定不对在其国家法律下应受刑事处罚的违规行为制定行政罚款或补救措施的相关规定。

2. 在成员国已选择对违反本条例的行为施以刑事处罚的情况下，其应当确保采取适当措施，使主管当局拥有所有必要权限，以便与其管辖范围内的司法、检察机关或刑事司法机关进行联络，获取与针对违反本条例而启动的刑事调查或诉讼有关的具体信息，并向其他主管当局以及欧洲银行管理局、欧洲证券和市场管理局或欧洲保险和职业养老金管理局提供相同的信息，以履行其为本条例之目的开展合作的义务。

第七章 · 第五十三条

通知义务

成员国应当于2025年1月17日前，将实施本章的法律、法规及行政规定，包括任何相关刑事法律规定，通报欧盟委员会、欧洲证券和市场管理局、欧洲银行管理局及欧洲保险和职业养老金管理局。成员国应当在不无故拖延的情况下，及时将上述规定的任何后续修订通报欧盟委员会、欧洲证券和市场管理局、欧洲银行管理局及欧洲保险和职业养老金管理局。

第七章 · 第五十四条

行政处罚的公布

1. 主管机关应当在其官方网站上，于收到处罚决定通知后，毫不拖延地公布任何对当事人不得提起上诉的行政处罚决定。

2. 第一款所述的公布应当包括有关违规行为的类型与性质、责任人的身份以及所施加的处罚等信息。

3. 在主管机关经个案评估认为，就法人而言公布其身份，或就自然人而言公布其身份及个人数据，将构成不相称之举，包括可能危及个人数据保护、损害金融市场稳定、妨碍正在进行的刑事调查，或者在可确定的范围内对相关当事人造成不相称的损害时，该主管机关应当针对该项行政处罚决定采取下列任一措施：

（a）

将该决定的公布予以延期，直至所有不予公布之理由均已消除；

（b）

根据本国法律以匿名方式予以公布；或

(c) 如(a)项和(b)项所列方案均不足以确保不会对金融市场稳定构成任何风险，或者此类公布与所施加处罚的宽严程度不相称，则不予公布。

4. 在根据第3款第(b)项决定以匿名方式公布行政处罚的情况下，相关数据的公布可以予以延期。

5. 当主管机关公布一项针对行政罚款的决定，而该决定已向有关司法机关提起上诉时，主管机关应当在其官方网站上立即载明该信息，并在后续阶段及时公布有关该上诉结果的任何相关后续信息。任何撤销行政罚款决定的司法判决亦应当予以公布。

6. 主管机关应当确保第1至第4款所述的任何公布内容仅在其官方网站上保留至本条所规定的必要期限。该期限不得超过自公布之日起五年。

第七章 · 第55条

专业保密

1. 依据本条例接收、交换或传输的任何保密信息，均应遵守第2款所规定的专业保密义务。

2. 专业保密义务适用于所有根据本条例为有关主管当局工作或曾为有关主管当局工作的人员，以及为那些主管当局已将其职权委托给的任何机关、市场经营主体或自然人或法人工作的人员，包括由其聘用的审计师和专家。

3. 受专业保密约束的信息，包括根据本条例在各主管当局之间以及根据指令（EU）2022/2555指定或设立的主管当局之间进行的信息交换，除依照欧盟法律或国家法律规定的情形外，不得向任何其他个人或机关披露；

4. 根据本条例在各主管当局之间交换的、涉及商业或运营状况以及其他经济或个人事务的所有信息，均应视为保密信息，并适用专业保密要求，但主管当局在信息传递时明确表示该信息可以披露，或者该披露对于司法程序确属必要的情形除外。

第七章 · 第五十六条

数据保护

1. 欧洲监管机构和主管当局仅可在为履行本条例项下各自义务和职责所必需的情况下处理个人数据，特别是用于调查、检查、索取信息、沟通、公布、评估、核实、审查以及拟定监督计划等目的。个人数据的处理应当依照适用的《欧盟》2016/679号条例或《欧盟》2018/1725号条例进行。

2. 除其他部门性法规另有规定外，第1款所述的个人数据应当保存至相关监督职责履行完毕之日，且在任何情况下最长保存期限不得超过15年；但如有未决的司法程序需要进一步保留该等数据的情形除外。

委托立法行为

第八章 · 第五十七条

授权的行使

1. 授予委员会采用授权法案的权力，须符合本条所规定的条件。

2. 第31条第6款及第43条第2款所述之制定授权法案的权力，自2024年1月17日起授予委员会，期限为五年。委员会应在该五年期限届满前至少九个月，就该项权力的委托事项提交一份报告。除非欧洲议会或理事会于每个期限届满前至少三个月内提出反对意见，否则该权力委托将自动按相同期限予以延长。

3. 第31条第6款及第43条第2款所述之权力委托，可由欧洲议会或理事会随时予以撤销。撤销决定一经作出，即终止该决定所指定之权力委托；其效力自该决定在《欧盟官方公报》公布之次日起生效，或依该决定所载明之更晚日期生效。此项撤销不影响任何已生效之授权法案之效力。

4. 委员会在通过授权法案前，应当依照2016年4月13日关于更好立法之机构间协议所确立的原则，征求各成员国指派之专家的意见。

5. 委员会一经通过授权法案，应同时通知欧洲议会和理事会。

6. 根据第31条第6款和第43条第2款通过的授权法案，只有在欧洲议会或理事会自该法案通知欧洲议会和理事会之日起三个月内未提出异议，或者在该期限届满前，欧洲议会和理事会均已告知委员会其不提出异议的情况下，方可生效。该期限经欧洲议会或理事会的倡议，得延长三个月。

过渡及最终条款

第一节 · 第五十八条

审查条款

1. 截至2028年1月17日，委员会应在适当情况下征询欧洲监管机构（ESAs）和欧洲系统性风险委员会（ESRB）的意见后，开展一项审查，并向欧洲议会和理事会提交一份报告，必要时附带一项立法提案。该审查至少应包括以下内容：

（a）

根据第31条第2款规定的认定关键信息通信技术第三方服务提供商的标准；

（b）

第19条所述重大网络威胁通报的自愿性质；

(c) 第31条第12款所指的制度以及第35条第1款第(d)项第(iv)目第一行所规定的牵头监督机构的职权，以评估这些规定在确保对设于第三国的关键信息通信技术第三方服务提供商实施有效监督方面的有效性，以及是否有必要在欧盟境内设立子公司。

就本款第一 subparagraph 的目的而言，该审查应当包括对第31条第12款所指制度的分析，其中包括欧盟金融机构获取第三国服务的途径以及此类服务在欧盟市场上的可获得性；同时，还应当考虑本条例所涵盖服务市场的进一步发展、金融机构及金融监管机构在适用和分别监督该制度方面的实践经验，以及国际层面发生的任何相关监管与监督方面的最新进展。

(d) 鉴于未来市场在使用此类系统方面的最新发展，将第2条第3款第(e)项所指、使用自动化销售系统的金融机构纳入本条例适用范围的适当性；

(e) JON在支持监管一致性以及在监管框架内促进信息交流效率方面的运作与成效。

2. 在对指令（EU）2015/2366进行审查的过程中，委员会应当评估支付系统及支付处理活动提高网络韧性之必要性，并审议将本条例的适用范围扩展至支付系统运营者及参与支付处理活动的实体是否适当。基于上述评估，委员会应在对指令（EU）2015/2366进行审查时，最迟于2023年7月17日向欧洲议会和理事会提交一份报告。

委员会可根据该审查报告，并在征询ESAs、ECB及ESRB意见后，视情况需要，在其依据指令（EU）2015/2366第108条第二款可能通过的立法提案中，提出一项建议，以确保所有支付系统运营者及参与支付处理活动的实体均接受适当的监管，同时兼顾中央银行已有的监管安排。

3. 截至2026年1月17日，委员会应在征询欧洲监管机构（ESAs）及欧洲审计监督机构委员会的意见后，开展一项审查，并向欧洲议会和理事会提交一份报告；该报告应酌情附带一项立法提案，以评估关于法定审计师和审计师事务所数字运营韧性方面强化要求的适当性，具体方式可为将法定审计师和审计师事务所纳入本条例的适用范围，或通过对欧洲议会和理事会第2006/43/EC号指令（39）作出修订。

修正案

第二节 · 第五十九条

对第1060/2009号（EC）条例的修正案

《第1060/2009号（EC）条例》作如下修订：

（1）

在附件一A部分第4点中，第一款被以下内容取代：

“信用评级机构应当具备健全的行政与会计程序、内部控制机制、有效的风险评估程序，以及符合欧洲议会和理事会《第2022/2554号（EU）条例》（*1）规定的、用于管理信息与通信技术系统的有效控制与保障安排。”

（*1）欧洲议会和理事会于2022年12月14日通过的《第2022/2554号（EU）条例》，关于金融部门的数字化运营弹性，并对《第1060/2009号（EC）条例》、《第648/2012号（EU）条例》、《第600/2014号（EU）条例》、《第909/2014号（EU）条例》及《第2016/1011号（EU）条例》作出修订（《欧盟官方公报》L 333，2022年12月27日，第1页）。”

(2) 在附件三第12点中，该点被以下内容取代：

“12.

信用评级机构违反了第6条第2款，并结合附件一A部分第4点的规定，具体表现为：未按照《第2022/2554号（EU）条例》的要求，建立健全的行政或会计程序、内部控制机制、有效的风险评估程序，或者未能为管理信息与通信技术系统配备有效的控制或保障安排；或者未按该点要求实施或维持必要的决策程序或组织架构。”

第二节 · 第六十条

对第648/2012号（欧盟）条例的修正案

《欧盟第648/2012号条例》作如下修改：

（1）

第26条修改如下：

（a）

第3款由下文取代：

“3. 一家中央对手方应当建立并运行一套组织架构，以确保其在提供服务和开展活动时的连续性和有序运作。该中央对手方应当配备适当且相称的系统、资源和程序，包括按照欧洲议会和理事会《（EU）2022/2554号条例》（*2）管理的信息与通信技术系统。”

（*2）欧洲议会和理事会于2022年12月14日通过的《（EU）2022/2554号条例》，关于金融部门的数字运营弹性，并修订了《（EC）第1060/2009号条例》、《（EU）第648/2012号条例》、《（EU）第600/2014号条例》、《（EU）第909/2014号条例》以及《（EU）第2016/1011号条例》（《欧盟官方公报》L 333，2022年12月27日，第1页）。”

（b）

第6款被删除；

(2) 第三十四条修改如下：

（a）

第1款替换为以下内容：

“1. 一家中央对手方应当制定、实施并维持一项充分的业务连续性政策及灾难恢复计划，其中应包含信息与通信技术领域的业务连续性政策以及依据《（EU）2022/2554号条例》制定并实施的信息与通信技术响应与恢复计划，旨在确保其各项职能得以持续履行、运营及时恢复并实现中央对手方的各项义务。”

（b）

在第3款中，第一 subparagraph 被以下内容取代：

‘3. 为确保本条的统一适用，欧洲证券和市场管理局应在征询欧洲系统性风险委员会成员意见后，制定监管技术标准草案，明确规定业务连续性政策及灾难恢复计划的最低内容与要求，但不包括信息通信技术领域的业务连续性政策及灾难恢复计划。’；

(3) 在第56条第3款中，第一项被以下内容取代：

‘3. 为确保本条的统一适用，欧洲证券和市场管理局应当制定监管技术标准草案，具体规定第1款所述登记申请的有关细节，但不涉及与信息通信技术风险管理相关的要求。’；

(4) 在第79条中，第1款和第2款被以下内容取代：

‘1. 交易存储库应当识别操作风险的来源，并通过制定适当系统、控制措施及程序予以最小化，其中包括按照条例（欧盟）2022/2554管理的信息通信技术系统。

2. 交易存储库应当建立、实施并维持适当的业务连续性政策及灾难恢复计划，包括依据条例（欧盟）2022/2554制定的信息通信技术业务连续性政策以及信息通信技术响应与恢复计划，以确保其各项职能得以持续履行、运营及时恢复，并实现交易存储库的各项义务。’；

(5) 第八十条第一款予以删除。

(6) 附件一第二部分作如下修改：

（a）

(a)项和(b)项替换为以下内容：

“(a)

交易存储库因未识别操作风险来源，或未通过制定适当系统、控制和程序（包括依据条例（EU）2022/2554管理的信息与通信技术系统）来降低这些风险，而违反了第79条第1款的规定；

（b）

交易存储库因未按照条例（EU）2022/2554的规定制定、实施或维持充分的业务连续性政策及灾难恢复计划，以确保其职能得以持续、运营及时恢复并履行交易存储库义务，而违反了第79条第2款的规定；

（b）

删除第（c）项。

(7) 附件III作如下修订：

（a）

第二部分作如下修订：

(i) 第(c)点替换为如下内容：

‘(c)

第二级中央对手方因未维持或运行能够确保其服务与活动持续有序开展的组织架构，或未采用适当且相称的系统、资源或程序（包括依据条例（EU）2022/2554管理的信息与通信技术系统），而违反了第26条第3款的规定；

(ii) 删除第（f）项。

（b）

在第三部分中，第（a）项被以下内容取代：

“(a)

第二级中央对手方通过未按照条例（欧盟）2022/2554的规定制定、实施或维持适当的业务连续性政策以及响应与恢复计划，从而违反了第34条第1款；该政策与计划旨在确保其各项职能的持续性、运营的及时恢复以及中央对手方义务的履行，至少应能够在发生中断时恢复所有交易，以使中央对手方能够继续稳健运行，并在预定日期完成结算。

第二节 · 第61条

对第909/2014号（欧盟）条例的修正案

《欧盟第909/2014号条例》第45条修订如下：

（1）

第1款替换为以下内容：

“1. 中央证券存管机构应当识别内部及外部的运营风险来源，并通过部署符合欧洲议会和理事会《（EU）2022/2554号条例》（*3）所规定并管理的适当信息与通信技术工具、流程及政策，以及针对其他类型运营风险的任何其他相关适当工具、控制措施和程序，最大限度地降低其影响，包括对其所运营的所有证券结算系统。

（*3）欧洲议会和理事会于2022年12月14日颁布的《（EU）2022/2554号条例》，关于金融部门的数字化运营弹性，并修订《（EC）No 1060/2009号条例》、《（EU）No 648/2012号条例》、《（EU）No 600/2014号条例》、《（EU）No 909/2014号条例》以及《（EU）2016/1011号条例》（《欧盟官方公报》L 333，2022年12月27日，第1页）。”

(2) 第2款予以删除；

(3) 第3款和第4款替换为以下内容：

“3. 对于其所提供的各项服务以及其运营的每一个证券结算系统，中央证券存管机构应当制定、实施并维持一套充分的业务连续性政策和灾难恢复计划，其中包括依据《（EU）2022/2554号条例》制定的信息与通信技术业务连续性政策以及信息与通信技术响应与恢复计划，以确保在发生可能对业务运行造成重大风险的事件时，能够保障其服务的持续提供、及时恢复业务运作并履行中央证券存管机构的各项义务。”

4. 第3款所述的计划应当规定在发生中断时恢复所有交易及参与者的头寸，以确保中央证券存管机构的参与者能够继续稳妥运作，并在预定日期完成结算，包括按照《欧盟条例》（EU）2022/2554第12条第5款和第7款的规定，确保关键信息技术系统能够在中断发生之时恢复运行。

(4) 第6款被以下内容取代：

“6. 中央证券存管机构应当识别、监测并管理其运营的证券结算系统中的关键参与者、服务与公用事业提供商以及其他中央证券存管机构或市场基础设施可能对其业务构成的风险。应相关主管当局的要求，该机构应当提供有关所识别的任何此类风险的信息。此外，对于因上述风险导致的除信息通信技术风险以外的任何运营事件，该机构应当及时通知主管当局及相关主管部门。”

(5) 在第7款中，第一项被以下内容取代：

“7. 欧洲证券和市场管理局应当与欧洲系统性风险委员会成员密切合作，制定监管技术标准草案，以明确第1款和第6款所述的除信息通信技术风险之外的运营风险，以及测试、应对或减轻这些风险的方法，包括第3款和第4款所述的业务连续性政策与灾难恢复计划及其评估方法。”

第二节 · 第六十二条

对第（EU）第600/2014号条例的修正案

《欧盟第600/2014号条例》作如下修改：

（1）

第27g条作如下修改：

（a）

第4款替换为如下内容：

“4.

每个经认可的交易报告机构（APA）应当遵守欧洲议会和理事会于2022年12月14日通过的关于金融部门数字运营弹性的第2022/2554号条例（*4）中规定的网络与信息系统安全要求。

(*4) 欧洲议会和理事会于2022年12月14日通过的关于金融部门数字运营弹性的第2022/2554号条例，该条例同时修订了第(EC) No 1060/2009号、第(EU) No 648/2012号、第(EU) No 600/2014号、第(EU) No 909/2014号以及第(EU) 2016/1011号条例（《欧盟官方公报》L 333，2022年12月27日，第1页）。”

（b）

第8款中的(c)项替换为以下内容：

‘(c)

第3款和第5款所规定的具体组织要求。”

(2) 第27h条作如下修改：

（a）

第5款替换为如下内容：

“5. 每个中央对手方（CTP）应当遵守第2022/2554号条例中规定的网络与信息系统安全要求。”

（b）

第8款中的(e)项替换为以下内容：

‘(e)

第4款规定的具体组织要求。’；

(3) 第27i条修改如下：

（a）

第3款由下文取代：

‘3. 一名ARM应当遵守《条例》（欧盟）2022/2554中关于网络与信息系统安全的要求。’；

（b）

在第5款中，第(b)项替换为以下内容：

“（b）

第2款和第4款规定的具体组织要求。’

第二节 · 第六十三条

关于欧盟条例（EU）2016/1011的修正案

在《欧盟条例》（EU）2016/1011第6条中，增加以下款：

“6.

对于关键基准，管理人应当根据欧洲议会和理事会的《欧盟条例》（EU）2022/2554（*5），具备健全的行政与会计程序、内部控制机制、有效的风险评估程序，以及用于管理信息通信技术系统的有效控制与保障安排。

第二节 · 第六十四条

生效与适用

本条例自其在欧盟官方公报公布之日起第二十天起生效。

本条例自2025年1月17日起适用。

本条例具有完全的约束力，并在所有成员国直接适用。

于2022年12月14日在斯特拉斯堡签署。

欧洲议会

主席

R. METSOLA

理事会

主席

M. BEK

(1) 《欧盟官方公报》C系列第343号，2021年8月26日，第1页。

(2) 《欧盟官方公报》C系列第155号，2021年4月30日，第38页。

(3) 欧洲议会于2022年11月10日的立场（尚未在官方公报上公布）以及理事会于2022年11月28日的决定。

(4) 欧洲议会和理事会于2010年11月24日通过的第1093/2010号条例，设立欧洲监管机构（欧洲银行管理局），并修订第716/2009/EC号决定，同时废止委员会第2009/78/EC号决定（《欧盟官方公报》L系列第331号，2010年12月15日，第12页）。

(5) 欧洲议会和理事会于2010年11月24日通过的第1094/2010号条例，设立欧洲监管机构（欧洲保险与职业养老金管理局），并修订第716/2009/EC号决定，同时废止委员会第2009/79/EC号决定（《欧盟官方公报》L系列第331号，2010年12月15日，第48页）。

(6) 欧洲议会和欧洲理事会于2010年11月24日颁布的第1095/2010号条例，设立欧洲监管机构（欧洲证券和市场管理局），并修订第716/2009/EC号决定，同时废止委员会第2009/77/EC号决定（《欧盟官方公报》L 331，2010年12月15日，第84页）。

(7) 欧洲议会和理事会于2016年7月6日颁布的关于在全欧盟范围内采取措施以确保网络与信息系统高水平共同安全的第(EU) 2016/1148号指令（《欧盟官方公报》L 194，2016年7月19日，第1页）。

(8) 欧洲议会和理事会于2022年12月14日颁布的关于在全欧盟范围内采取措施以确保高水平共同网络安全的第(EU) 2022/2555号指令，该指令修订了第(EU) No 910/2014号条例及第(EU) 2018/1972号指令，并废止了第(EU) 2016/1148号指令（NIS 2指令）（见本《官方公报》第80页）。

(9) 欧洲议会和理事会于2022年12月14日颁布的关于关键实体韧性问题的第(EU) 2022/2557号指令，并废止了理事会第2008/114/EC号指令（见本《官方公报》第164页）。

(10) 欧洲议会和理事会于2016年12月14日颁布的关于职业退休金机构活动及其监管的第(EU) 2016/2341号指令（《欧盟官方公报》L 354，2016年12月23日，第37页）。

(11) 欧洲议会和理事会于2019年4月17日颁布的关于ENISA（欧洲联盟网络安全局）以及信息与通信技术网络安全认证的第(EU) 2019/881号条例，并废止了第(EU) No 526/2013号条例（《网络安全法》）（《欧盟官方公报》L 151，2019年6月7日，第15页）。

(12) 欧洲议会和理事会于2015年11月25日颁布的关于内部市场支付服务的第2015/2366号指令（欧盟），该指令修订了第2002/65/EC号、第2009/110/EC号及第2013/36/EU号指令，并修订了第1093/2010号条例（欧盟），同时废止了第2007/64/EC号指令（《欧盟官方公报》L 337，2015年12月23日，第35页）。

(13) 欧洲议会和理事会于2016年4月27日颁布的关于自然人个人数据处理及其自由流动保护的第2016/679号条例（欧盟），该条例废止了第95/46/EC号指令（《通用数据保护条例》）（《欧盟官方公报》L 119，2016年5月4日，第1页）。

(14) 欧洲议会和理事会于2009年9月16日颁布的关于电子货币机构业务的开展、经营及审慎监管的第2009/110/EC号指令，该指令修订了第2005/60/EC号及第2006/48/EC号指令，并废止了第2000/46/EC号指令（《欧盟官方公报》L 267，2009年10月10日，第7页）。

(15) 欧洲议会和理事会于2013年6月26日颁布的关于信贷机构业务准入及审慎监管的第2013/36/EU号指令，该指令修订了第2002/87/EC号指令，并废止了第2006/48/EC号及第2006/49/EC号指令（《欧盟官方公报》L 176，2013年6月27日，第338页）。

(16) 欧洲议会和理事会于2011年6月8日颁布的关于另类投资基金管理人的第2011/61/EU号指令，该指令修订了第2003/41/EC号及第2009/65/EC号指令，并修订了第1060/2009号条例（EC）及第1095/2010号条例（EU）（《欧盟官方公报》L 174，2011年7月1日，第1页）。

(17) 欧洲议会和欧洲理事会于2009年11月25日颁布的第2009/138/EC号指令，关于保险与再保险业务的开展与经营（偿付能力II）（《欧盟官方公报》L 335，2009年12月17日，第1页）。

(18) 欧洲议会和欧洲理事会于2014年5月15日颁布的第2014/65/EU号指令，关于金融工具市场，并对第2002/92/EC号指令及第2011/61/EU号指令作出修订（《欧盟官方公报》L 173，2014年6月12日，第349页）。

(19) 欧洲理事会于2013年10月15日颁布的第1024/2013号（EU）条例，赋予欧洲中央银行有关信贷机构审慎监管政策的具体职责（《欧盟官方公报》L 287，2013年10月29日，第63页）。

(20) 欧洲议会和欧洲理事会于2014年5月15日颁布的第2014/59/EU号指令，旨在建立信贷机构与投资公司恢复与处置的框架，并对第82/891/EEC号理事会指令以及第2001/24/EC号、第2002/47/EC号、第2004/25/EC号、第2005/56/EC号、第2007/36/EC号、第2011/35/EU号、第2012/30/EU号和第2013/36/EU号指令作出修订，同时对欧洲议会和欧洲理事会的第1093/2010号和第648/2012号条例亦作出相应修订（《欧盟官方公报》L 173，2014年6月12日，第190页）。

(21) 欧洲议会和欧洲理事会于2013年6月26日颁布的第2013/34/EU号指令，关于特定类型企业的年度财务报表、合并财务报表及相关报告，并对欧洲议会和欧洲理事会的第2006/43/EC号指令作出修订，同时废止第78/660/EEC号和第83/349/EEC号理事会指令（《欧盟官方公报》L 182，2013年6月29日，第19页）。

(22) 《欧盟官方公报》L 123，2016年5月12日，第1页。

(23) 欧洲议会和理事会于2009年9月16日颁布的关于信用评级机构的第1060/2009号（EC）条例（《欧盟官方公报》L 302，2009年11月17日，第1页）。

(24) 欧洲议会和理事会于2012年7月4日颁布的关于场外衍生品、中央对手方及交易存储库的第648/2012号（EU）条例（《欧盟官方公报》L 201，2012年7月27日，第1页）。

(25) 欧洲议会和理事会于2014年5月15日颁布的关于金融工具市场的第600/2014号（EU）条例，并对第648/2012号（EU）条例作出修订（《欧盟官方公报》L 173，2014年6月12日，第84页）。

(26) 欧洲议会和理事会于2014年7月23日颁布的关于改善欧盟证券结算及中央证券存管机构的第909/2014号（EU）条例，并对第98/26/EC号指令、第2014/65/EU号指令以及第236/2012号（EU）条例作出修订（《欧盟官方公报》L 257，2014年8月28日，第1页）。

(27) 欧洲议会和理事会于2022年12月14日颁布的关于修改第2009/65/EC号、第2009/138/EC号、第2011/61/EU号、第2013/36/EU号、第2014/59/EU号、第2014/65/EU号、第2015/2366号以及第2016/2341号指令的第2022/2556号（EU）指令，涉及金融部门的数字运营弹性（参见本《官方公报》第153页）。

(28) 欧洲议会和理事会于2016年6月8日颁布的关于用作金融工具和金融合同基准或用于衡量投资基金业绩的指数的第2016/1011号（EU）条例，并对第2008/48/EC号指令、第2014/17/EU号指令以及第596/2014号（EU）条例作出修订（《欧盟官方公报》L 171，2016年6月29日，第1页）。

(29) 欧洲议会和欧洲理事会于2018年10月23日颁布的关于欧盟各机构、机关、办事处及代理机构处理个人数据时对自然人保护以及该等数据自由流动的第2018/1725号条例（欧盟），并废止第45/2001号条例及第1247/2002/EC号决定（《欧盟官方公报》L 295，2018年11月21日，第39页）。

(30) 《欧盟官方公报》C 229，2021年6月15日，第16页。

(31) 欧洲议会和欧洲理事会于2009年7月13日颁布的关于协调与可转让证券集合投资计划（UCITS）有关法律、法规及行政规定的第2009/65/EC号指令（《欧盟官方公报》L 302，2009年11月17日，第32页）。

(32) 欧洲议会和欧洲理事会于2013年6月26日颁布的关于信贷机构审慎要求并修订第648/2012号条例的第575/2013号条例（《欧盟官方公报》L 176，2013年6月27日，第1页）。

(33) 欧洲议会和欧洲理事会于2019年11月27日颁布的关于投资公司审慎要求并修订第1093/2010号、第575/2013号、第600/2014号及第806/2014号条例的第2019/2033号条例（《欧盟官方公报》L 314，2019年12月5日，第1页）。

(34) 欧洲议会和欧洲理事会于2016年1月20日颁布的关于保险分销的第2016/97号指令（《欧盟官方公报》L 26，2016年2月2日，第19页）。

(35) 欧洲议会和欧洲理事会于2020年10月7日颁布的关于面向企业的欧洲众筹服务提供者的第2020/1503号条例，并修订第2017/1129号条例及第2019/1937号指令（《欧盟官方公报》L 347，2020年10月20日，第1页）。

(36) 欧洲议会和理事会于2017年12月12日颁布的第2017/2402号条例，确立了证券化的一般框架，并为简单、透明且标准化的证券化制定了专门框架，同时修订了指令2009/65/EC、2009/138/EC及2011/61/EU，以及条例（EC）No 1060/2009和（EU）No 648/2012（《欧盟官方公报》L 347，2017年12月28日，第35页）。

(37) 欧洲议会和理事会于2014年7月15日颁布的第806/2014号条例，规定了在单一决议机制和单一决议基金框架下，对信贷机构及特定投资公司进行处置的统一规则与程序，并修订了条例（EU）No 1093/2010（《欧盟官方公报》L 225，2014年7月30日，第1页）。

(38) 欧洲议会和理事会于2019年11月27日颁布的第2019/2034号指令，关于投资公司的审慎监管，并修订了指令2002/87/EC、2009/65/EC、2011/61/EU、2013/36/EU、2014/59/EU及2014/65/EU（《欧盟官方公报》L 314，2019年12月5日，第64页）。

(39) 欧洲议会和理事会于2006年5月17日颁布的第2006/43/EC号指令，关于年度财务报表及合并财务报表的法定审计，同时修订了理事会指令78/660/EEC和83/349/EEC，并废止了理事会指令84/253/EEC（《欧盟官方公报》L 157，2006年6月9日，第87页）。