Direito da União
Resiliência operacional digital do setor financeiro
2025-02-20 / 14:21
Resiliência operacional digital do setor financeiro
27-12-2022
Resiliência operacional digital do setor financeiro
(1) Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014, (UE) n.º 909/2014 e (UE) 2016/1011 (Texto relevante para efeitos do EEE) [PE/41/2022/INIT]. JO L 333 de 27.12.2022, p. 1-79.
(2) Regulamento Delegado (UE) 2024/1772 da Comissão, de 13 de março de 2024, que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita às normas técnicas de regulamentação que especificam os critérios de classificação dos incidentes relacionados com as TIC e das ciberameaças, estabelecem limiares de materialidade e especificam os pormenores das notificações dos incidentes de caráter severo [C/2024/1519]. JO L, 2024/1772, 25.6.2024, p. 1-9.
(3) Regulamento Delegado (UE) 2025/295 da Comissão, de 24 de outubro de 2024, que completa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que diz respeito às normas técnicas de regulamentação sobre a harmonização das condições que permitem o exercício de atividades de superintendência [C/2024/6913]. JO L, 2025/295, 13.2.2025, p. 1-10.
(4) Regulamento Delegado (UE) 2025/301 da Comissão, de 23 de outubro de 2024, que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita às normas técnicas de regulamentação que especificam o conteúdo e os prazos para a notificação inicial e os relatórios intercalar e final sobre incidentes de caráter severo relacionados com as TIC, bem como o conteúdo da notificação voluntária de ciberameaças significativas [C/2024/6901]. JO L, 2025/301, 20.2.2025, p. 1-5.
(5) Regulamento de Execução (UE) 2025/302 da Comissão, de 23 de outubro de 2024, que estabelece normas técnicas de execução para a aplicação do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita aos formulários, modelos e procedimentos normalizados que as entidades financeiras devem utilizar para comunicar incidentes de caráter severo relacionados com as TIC e notificar uma ciberameaça significativa [C/2024/7277]. JO L, 2025/302, 20.2.2025, p. 1-44.
| ▼ ▼ ▼ |
20-02-2025
Resiliência operacional digital do setor financeiro
Incidentes de caráter severo relacionados com as TIC
Incidentes recorrentes relacionados com as TIC
Modelo para a comunicação de incidentes de caráter severo relacionados com as TIC
Notificação de ciberameaças significativas
Notificação inicial, relatórios intercalar e final (prazos)
Utilização de canais eletrónicos seguros
(1) Regulamento Delegado (UE) 2025/301 da Comissão, de 23 de outubro de 2024, que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita às normas técnicas de regulamentação que especificam o conteúdo e os prazos para a notificação inicial e os relatórios intercalar e final sobre incidentes de caráter severo relacionados com as TIC, bem como o conteúdo da notificação voluntária de ciberameaças significativas [C/2024/6901]. JO L, 2025/301, 20.2.2025, p. 1-5.
Artigo 7.º
Entrada em vigor
O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação noJornal Oficial da União Europeia.
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
(2) Regulamento (UE) n.º 1093/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Bancária Europeia), altera a Decisão n.º 716/2009/CE e revoga a Decisão 2009/78/CE da Comissão. JO L 331 de 15.12.2010, p. 12-47. Versão consolidada atual (26/06/2021): 02010R1093 — PT — 26.06.2021 — 008.001/84.
(3) Regulamento (UE) n.º 1094/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Europeia dos Seguros e Pensões Complementares de Reforma), altera a Decisão n. o 716/2009/CE e revoga a Decisão 2009/79/CE da Comissão. JO L 331 de 15.12.2010, p. 48-83. Versão consolidada atual:01/01/2020
(4) Regulamento (UE) n.º 1095/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Europeia dos Valores Mobiliários e dos Mercados), altera a Decisão n.º 716/2009/CE e revoga a Decisão 2009/77/CE da Comissão. JO L 331 de 15.12.2010, p. 84-119. Versão consolidada atual: 12/08/2022
(5) Regulamento (UE) n.º 468/2014 do Banco Central Europeu, de 16 de abril de 2014, que estabelece o quadro de cooperação, no âmbito do Mecanismo Único de Supervisão, entre o Banco Central Europeu e as autoridades nacionais competentes e com as autoridades nacionais designadas (Regulamento-Quadro do MUS) (BCE/2014/17). JO L 141 de 14.5.2014, p. 1-50.
(6) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (Texto relevante para efeitos do EEE) [PE/31/2018/REV/1]. JO L 295 de 21.11.2018, p. 39-98.
(7) Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (Texto relevante para efeitos do EEE) [PE/41/2022/INIT]. JO L 333 de 27.12.2022, p. 1-79.
► O Regulamento Delegado (UE) 2025/301, de 23-10-2024, complementa o Regulamento (UE) 2022/2554, de 14-12-2022.
► O Regulamento de Execução (UE) 2025/302, de 23-10-2024, estabelece normas técnicas de execução para a aplicação do Regulamento (UE) 2022/2554, de 14-12-2022.
(8) Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (Texto relevante para efeitos do EEE) [PE/32/2022/REV/2]. JO L 333 de 27.12.2022, p. 80-152.
(9) Regulamento Delegado (UE) 2024/1772 da Comissão, de 13 de março de 2024, que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita às normas técnicas de regulamentação que especificam os critérios de classificação dos incidentes relacionados com as TIC e das ciberameaças, estabelecem limiares de materialidade e especificam os pormenores das notificações dos incidentes de caráter severo [C/2024/1519]. JO L, 2024/1772, 25.6.2024, p. 1-9.
(10) Regulamento de Execução (UE) 2025/302 da Comissão, de 23 de outubro de 2024, que estabelece normas técnicas de execução para a aplicação do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita aos formulários, modelos e procedimentos normalizados que as entidades financeiras devem utilizar para comunicar incidentes de caráter severo relacionados com as TIC e notificar uma ciberameaça significativa [C/2024/7277]. JO L, 2025/302, 20.2.2025, p. 1-44.
Artigo 9.º
Entrada em vigor
O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação noJornal Oficial da União Europeia.
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
ANEXO I
MODELOS PARA A COMUNICAÇÃO DE INCIDENTES DE CARÁTER SEVERO
ANEXO II
GLOSSÁRIO DE DADOS E INSTRUÇÕES PARA A COMUNICAÇÃO DE INCIDENTES DE CARÁTER SEVERO
ANEXO III
MODELOS PARA A NOTIFICAÇÃO DE CIBERAMEAÇAS SIGNIFICATIVAS
ANEXO IV
GLOSSÁRIO DE DADOS E INSTRUÇÕES PARA A NOTIFICAÇÃO DE CIBERAMEAÇAS SIGNIFICATIVAS
| ▼ ▼ ▼ |
13-02-2025
Resiliência operacional digital do setor financeiro
Informações fornecidas pelos terceiros prestadores de serviços de TIC críticos
Autoridade Bancária Europeia (EBA)
Autoridade Europeia dos Seguros e Pensões Complementares de Reforma (EIOPA)
Autoridade Europeia dos Valores Mobiliários e dos Mercados (ESMA)
Autoridade Europeia de Supervisão (AES)
Modelo para fornecer informações sobre acordos de subcontratação
Segurança dos sistemas de rede e informação que apoiam os processos operacionais das entidades financeiras
Tecnologias da informação e comunicação (TIC)
Terceiro prestador de serviços de TIC críticos
Regulamento (UE) 2022/2554: artigos 2.º, n.º 1, 31.º, n.º 1, alínea a), n.º 9 e n.º 11, e 41.º, n.º 2, segundo parágrafo
(1) Regulamento Delegado (UE) 2025/295 da Comissão, de 24 de outubro de 2024, que completa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que diz respeito às normas técnicas de regulamentação sobre a harmonização das condições que permitem o exercício de atividades de superintendência [C/2024/6913]. JO L, 2025/295, 13.2.2025, p. 1-10.
Artigo 1.º
Informações que devem ser facultadas pelo terceiro prestador de serviços de TIC no pedido de designação como crítico
1. O terceiro prestador de serviços de tecnologias da informação e comunicação (TIC) deve fornecer as seguintes informações no pedido fundamentado, apresentado nos termos do artigo 31.º, n.º 11, do Regulamento (UE) 2022/2554, com vista à designação voluntária como crítico nos termos do artigo 31.º, n.º 1, alínea a), desse regulamento:
a) Nome da entidade jurídica;
b) Código de identificação da entidade jurídica;
c) Nome da pessoa de contacto e dados de contacto do terceiro prestador de serviços de TIC crítico;
d) País em que se situa a sede social da entidade jurídica;
e) Descrição da estrutura empresarial, incluindo, pelo menos, informações sobre a sua empresa-mãe e outras empresas coligadas que prestam serviços de TIC a entidades financeiras da União. Essas informações devem incluir, se for caso disso:
i) nome das entidades jurídicas,
ii) código de identificação da entidade jurídica,
iii) país em que se situa a sede social da entidade jurídica;
f) Uma estimativa da quota de mercado do terceiro prestador de serviços de TIC no setor financeiro da União e uma estimativa da quota de mercado por tipo de entidade financeira, com base na lista constante do artigo 2.º, n.º 1, do Regulamento (UE) 2022/2554, no ano de apresentação do pedido de designação como crítico e no ano anterior a esse pedido;
g) Uma descrição de cada serviço de TIC prestado a entidades financeiras da União, incluindo:
i) uma descrição da natureza da atividade e do tipo de serviços de TIC prestados a entidades financeiras,
ii) quando disponível, uma lista das funções das entidades financeiras apoiadas pelos serviços de TIC prestados,
iii) quando disponíveis, informações sobre se os serviços de TIC prestados às entidades financeiras apoiam funções críticas ou importantes.
h) Uma lista das entidades financeiras que utilizam os serviços de TIC prestados pelo terceiro prestador de serviços de TIC, incluindo, quando disponíveis, as seguintes informações para cada uma das entidades financeiras às quais são prestados serviços:
i) nome da entidade jurídica,
ii) código de identificação da entidade jurídica, se conhecido pelo terceiro prestador de serviços de TIC,
iii) tipo de entidade financeira, conforme especificado no artigo 2.º, n.º 1, do Regulamento (UE) 2022/2554,
iv) a localização geográfica a partir da qual os serviços de TIC são prestados a essa entidade jurídica específica.
i) Quando disponível, uma lista dos terceiros prestadores de serviços de TIC críticos incluídos na mais recente lista disponível desses prestadores de serviços publicada pelas AES, nos termos do artigo 31.º, n.º 9, do Regulamento (UE) 2022/2554, e que dependem dos serviços prestados pelo requerente;
j) Uma autoavaliação no que diz respeito ao seguinte:
i) o grau de substituibilidade de cada serviço de TIC prestado pelo requerente, tendo em conta o seguinte:
— a quota de mercado do terceiro prestador de serviços de TIC no setor financeiro da União,
— o número de concorrentes pertinentes conhecidos, por tipo de serviços de TIC ou por grupo de serviços de TIC,
— descrição das especificidades relacionadas com os serviços de TIC oferecidos, nomeadamente no que toca a qualquer tecnologia patenteada, ou ainda às características específicas da organização ou atividade do terceiro prestador de serviços de TIC.
ii) Informações sobre a disponibilidade dos terceiros prestadores alternativos de serviços de TIC para prestarem os mesmos serviços de TIC que o terceiro prestador de serviços de TIC que apresenta o pedido;
k) Informações sobre a futura estratégia empresarial no que diz respeito à prestação de serviços e à disponibilização de infraestruturas de TIC a entidades financeiras na União, incluindo eventuais alterações previstas na estrutura do grupo ou da gestão, a entrada em novos mercados ou o exercício de novas atividades;
l) Identificação dos subcontratantes do terceiro prestador de serviços de TIC que tenham sido designados como terceiros prestadores de serviços de TIC críticos;
m) Quaisquer outros motivos pertinentes para o pedido do terceiro prestador de serviços de TIC para ser designado como crítico.
2. Se o terceiro prestador de serviços de TIC pertencer a um grupo, as informações a que se refere o n.º 1 são fornecidas em relação aos serviços de TIC prestados pelo grupo no seu conjunto.
Artigo 7.º
Entrada em vigor
O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação noJornal Oficial da União Europeia.
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
ANEXO
MODELO PARA A PARTILHA DE INFORMAÇÕES SOBRE OS ACORDOS DE SUBCONTRATAÇÃO
(2) Regulamento (UE) n.º 1093/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Bancária Europeia), altera a Decisão n.º 716/2009/CE e revoga a Decisão 2009/78/CE da Comissão. JO L 331 de 15.12.2010, p. 12-47. Versão consolidada atual: 30/12/2024
(3) Regulamento (UE) n.º 1094/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Europeia dos Seguros e Pensões Complementares de Reforma), altera a Decisão n. o 716/2009/CE e revoga a Decisão 2009/79/CE da Comissão. JO L 331 de 15.12.2010, p. 48-83. Versão consolidada atual:01/01/2020
(4) Regulamento (UE) n.º 1095/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Europeia dos Valores Mobiliários e dos Mercados), altera a Decisão n.º 716/2009/CE e revoga a Decisão 2009/77/CE da Comissão. JO L 331 de 15.12.2010, p. 84-119. Versão consolidada atual: 30/12/2024
(5) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (Texto relevante para efeitos do EEE) [PE/31/2018/REV/1]. JO L 295 de 21.11.2018, p. 39-98.
(6) Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho de 14 de dezembro de 2022 relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n. 600/2014, (UE) n.º 909/2014 e (UE) 2016/1011 (Texto relevante para efeitos do EEE) [PE/41/2022/INIT]. JO L 333 de 27.12.2022, p. 1-79.
► APLICAÇÃO do artigo 31.º do Regulamento (UE) 2022/2554, de 14-12, pelo Regulamento Delegado (UE) 2025/295, de 24-10.
_____________________________________
BIBLIOTECA DA ORDEM DOS ADVOGADOS
Catálogo da Biblioteca | e-mail: boa@cg.oa.pt
Gazetas Jurídicas | Informação Jurídica
2025-02-20 / 11:44