None
PE-CONS 41/1/22 REV 1    63
   NL
 (83) Kritieke derde aanbieders van ICT -diensten moeten in staat zijn overal ter wereld ICT -
diensten aan te bieden, dus niet noodzakelijk of niet alleen vanuit bedrijfsruimten d ie zich
in de Unie bevinden. Oversightactiviteiten moeten eerst worden uitgevoerd in
bedrijfsruimten binnen de Unie en door interactie met in de Unie gevestigde entiteiten, met
inbegrip van de dochterondernemingen die zijn opgericht door kritieke derde aan bieders
van ICT -diensten op grond van deze verordening. Het is evenwel denkbaar dat dit soort
acties in de Unie ontoereikend zijn om de lead overseer in staat te stellen zijn taken uit
hoofde van deze verordening volledig en doeltreffend uit te voeren. De lead overseer moet
daarom ook in derde landen toezicht kunnen uitoefenen. De uitoefening van zijn
bevoegdheid tot oversight in derde landen moet de lead overseer in staat stellen de
faciliteiten te onderzoeken van waaruit de ICT -diensten of de technische o ndersteunings -
diensten daadwerkelijk door de kritieke derde aanbieder van ICT -diensten worden geleverd
of beheerd; ook moet dit oversight de lead overseer een volledig en operationeel inzicht
bieden in het ICT -risicobeheer van de kritieke derde aanbieder v an ICT -diensten. De
mogelijkheid voor de lead overseer om, in zijn hoedanigheid van agentschap van de Unie,
bevoegdheden uit te oefenen buiten het grondgebied van de Unie moet naar behoren aan
voorwaarden zijn gebonden, met name de toestemming van de betro kken kritieke derde
aanbieder van ICT -diensten. Evenzo moeten de relevante autoriteiten van het derde land in
kennis worden gesteld van de uitoefening van de activiteiten van de lead overseer op hun
grondgebied en moeten zij daartegen geen bezwaar hebben g emaakt. Gelet op het belang
van een efficiënte uitvoering van deze activiteiten, en onverminderd de bevoegdheden van
de instellingen van de Unie en van de lidstaten op dit terrein, moeten de bevoegdheden van
de lead overseer tevens ten volle worden veranke rd in regelingen voor administratieve
samenwerking met de betrokken autoriteiten van het derde land. Daarom moet deze
verordening de ETA's in staat stellen met de autoriteiten in derde landen regelingen voor
administratieve samenwerking te treffen die voor  het overige geen wettelijke
verplichtingen voor de Unie of de lidstaten mogen creëren.
 PE-CONS 41/1/22 REV 1    64
   NL
 (84) Om de communicatie met de lead overseer te vergemakkelijken en een passende
vertegenwoordiging te waarborgen, moeten kritieke derde aanbieders van ICT -diensten  die
deel uitmaken van een groep, één rechtspersoon als hun coördinatiepunt aanwijzen.
(85) Het oversightkader  mag geen afbreuk doen aan de bevoegdheid van de lidstaten om hun
eigen oversight - of monitoring taken uit te voeren met betrekking tot derde aanbie ders van
ICT-diensten die niet als kritiek zijn aangewezen  in de zin van deze verordening, maar die
op nationaal niveau belangrijk worden geacht.
(86) Om de meerlagige institutionele architectuur op het gebied van financiële diensten te
benutten, moet het Gemengd Comité van de ETA's blijven zorgen voor algehele sector -
overschrijdende coördinatie van alle aangelegenheden die verband houden met ICT -
risico's, in overeenstemming met de taken van het Comité op het gebied van cyber -
beveiliging. Het Comité moet wo rden ondersteund door een nieuw subcomité (het
oversightforum) dat voorbereidende werkzaamheden verricht voor zowel de afzonderlijke
besluiten die gericht zijn tot kritieke derde aanbieders van ICT -diensten als voor het doen
van collectieve aanbevelingen, met name in verband met het benchmarken van de
oversight programma's voor kritieke derde aanbieders van ICT -diensten en het in kaart
brengen van beste praktijken voor het omgaan van ICT -concentratierisico's.
PE-CONS 41/1/22 REV 1    65
   NL
 (87) Om ervoor te zorgen dat op het niveau van de Unie adequaat en doeltreffend  toezicht
wordt uitgeoefend op kritieke  derde aanbieders van ICT -diensten, wordt in deze
verordening bepaald dat ieder van de drie ETA's kan worden  aangewezen als lead overseer.
 De individuele toewijzing van een  kritieke der de aanbieder van ICT -diensten aan een van
de drie ETA's moet gebaseerd zijn op een beoordeling van de dominerende positie van
financiële entiteiten die actief zijn in de financiële sectoren waarvoor die ETA
verantwoordelijk is. Deze benadering moet leiden tot een evenwichtige verdeling van taken
en verantwoordelijkheden over de drie ETA's die oversightfuncties hebben, en leiden tot
een optimaal gebruik van personele middelen en technische expertise die in ieder van de
drie ETA's voorhanden zijn.
 PE-CONS 41/1/22 REV 1    66
   NL
 (88) Lead overseers moeten de nodige bevoegdheden krijgen  om onderzoeken te verrichten,
inspecties ter plaatse en daarbuiten uit te voeren  in de gebouwen en op de locaties van
kritieke derde aanbieders van ICT -diensten, en volledige en actuele informatie te
verkrijg en. Die bevoegdheden moeten  de lead overseer  in staat stellen een gedegen inzicht
te krijgen in het soort, de omvang en de impact van het ICT -risico van derden voor
financiële entiteiten en, uiteindelijk, voor het financiële stelsel van de Unie. De ETA's
moeten de leiding over het oversight krijgen. Dit is een voorwaarde voor een goed begrip
van en een betere greep op de systemische dimensie van ICT -risico's in de financiële
sector. De impact van kritieke derde aanbieders van ICT -diensten op de financiële s ector in
de Unie en de mogelijke problemen als gevolg van het daaraan verbonden  ICT-
concentratierisico vragen om een gezamenlijke aanpak op het niveau van de Unie. De
gelijktijdige en afzonderlijke uitvoering  van meerdere audits en toegangsrechten door een
reeks van bevoegde autoriteiten , zonder enige of slechts met weinig coördinatie, zou het de
financiële toezichthouders onmogelijk maken  een volledig en alomvattend  overzicht te
krijgen  van het ICT -risico van derden in de Unie . Ook zou dit leiden tot redun dantie, extra
lasten en complexiteit voor kritieke derde aanbieders van ICT -diensten, die immers zouden
worden onderworpen aan  tal van verzoeken om monitoring en inspectie.
 PE-CONS 41/1/22 REV 1    67
   NL
 (89) Gezien de aanzienlijke gevolgen voor de derde aanbieder van ICT -diensten die als kritiek
wordt aangewezen, moet deze verordening ervoor zorgen dat de rechten van eenmaal
aangewezen derde aanbieders van ICT -diensten  gedurende de gehele tenuitvoerlegging van
het oversightkader worden geëerbiedigd. Voordat een dienstverlener als kriti ek wordt
aangewezen, moet deze bijvoorbeeld het recht hebben een gemotiveerde verklaring in te
dienen bij de lead overseer met alle informatie die relevant is voor de beoordeling in
verband met de eventuele aanwijzing. Aangezien de  lead overseer de bevoegd heid moet
hebben  om aanbevelingen over ICT -risico's te doen en oplossingen daarvoor aan te dragen
─ waaronder de bevoegdheid zich te verzetten tegen  contractuele overeenkomsten die
uiteindelijk gevolgen zullen hebben voor de stabiliteit van de financiële e ntiteit of zelfs van
het gehele financiële stelsel ─ moeten kritieke derde aanbieders van ICT -diensten ook de
mogelijkheid krijgen om voorafgaand aan de definitieve opstelling van deze aanbevelingen
uitleg te geven over de verwachte gevolgen van de in de a anbeveling opgenomen
oplossingen voor klanten die entiteiten zijn welke buiten het toepassingsgebied van deze
verordening vallen en om oplossingen te formuleren om risico's te mitigeren.
Kritieke  derde aanbieders van ICT -diensten die het niet eens zijn met  de aanbevelingen,
moeten de gelegenheid hebben een gemotiveerde uitleg te geven van hun voornemen om
de aanbevelingen niet te onderschrijven. Indien zulk een gemotiveerde toelichting niet
wordt gegeven of ontoereikend wordt bevonden, moet de lead overseer  een openbare
kennisgeving van de niet -naleving doen.
 PE-CONS 41/1/22 REV 1    68
   NL
 (90) In het kader van het prudentieel toezicht op financiële entiteiten moeten de bevoegde
autoriteiten naar behoren nagaan of de aanbevelingen van de lead overseer inhoudelijk
worden nageleefd . De bevoegde autoriteiten moeten van financiële entiteiten kunnen
vereisen dat zij aanvullende maatregelen nemen om de in de aanbevelingen van de lead
overseer genoemde risico's te verhelpen, en dat zij te zijner tijd bericht doen uitgaan dat dit
gebeurd is . Indien de lead overseer aanbevelingen richt tot kritieke derde aanbieders van
ICT-diensten die onder toezicht staan uit hoofde van Richtlijn (EU) …/…+, moeten de
bevoegde autoriteiten op vrijwillige basis en alvorens aanvullende maatregelen te nemen
de bevoegde autoriteiten uit hoofde van die richtlijn kunnen raadplegen om zo een
gecoördineerde aanpak van de betrokken kritieke derde aanbieders van ICT -diensten te
bevorderen.
(91) Bij de uitoefening van het oversight moeten drie operationele beginselen gel den, die
gericht zijn op: a) nauwe coördinatie tussen de ETA's in hun rol van lead overseer, en wel
via een gezamenlijk oversightnetwerk ( joint oversight network  - JON); b) consistentie met
het kader dat is vastgelegd in Richtlijn (EU) …/…+ (door middel va n een vrijwillige
raadpleging van organen uit hoofde van die richtlijn om zo overlapping van maatregelen
ten aanzien van kritieke derde aanbieders van ICT -diensten te voorkomen; en c) het
toepassen van zorgvuldigheid om het potentiële risico te beperken va n verstoring van
diensten die door kritieke derde aanbieders van ICT -diensten worden verleend aan klanten
die entiteiten zijn welke buiten het toepassingsgebied van deze verordening vallen.
+ PB: gelieve in de tekst het nummer van de richtlijn in doc. PE -CONS 32/22
(2020 /0359 (COD)) in te vullen.
 PE-CONS 41/1/22 REV 1    69
   NL
 (92) Het oversightkader mag niet in de plaats komen van, noch op enigerlei wijze of ten enigen
dele in de plaats treden van het vereiste voor  financiële entiteiten om zelf de risico's  te
beheren  die voortvloeien uit het gebruik van derde aanbieders van ICT -diensten, óók hun
verplichting om permanent  de contractuele over eenkomsten te monitoren die zijn gesloten
met kritieke derde aanbieders van ICT -diensten. Evenzo mag het oversightkader geen
afbreuk doen aan de volledige verantwoordelijkheid van financiële entiteiten voor de
naleving en de kwijting van alle wettelijke ve rplichtingen die zijn vastgelegd in  deze
verordening en in het  desbetreffende recht inzake financiële diensten.
(93) Om doublures en overlappingen te voorkomen, moeten de bevoegde autoriteiten ervan
afzien, zelf maatregelen te nemen om de risico's van de k ritieke derde aanbieder van ICT -
diensten te monitoren.  Zij moeten in dit verband vertrouwen op de beoordeling van de lead
overseer in kwestie . Alle maatregelen moeten  in ieder geval  van tevoren worden
gecoördineerd en overeengekomen  met de lead overseer , gelet op de uitoefening van diens
taken in het  oversightka der.
(94) Om convergentie op internationaal niveau inzake het gebruik van beste praktijken bij de
toetsing en monitoring  van digitaal risicobeheer bij derde aanbieders van ICT -diensten te
bevorder en, moeten de ETA's worden aangemoedigd samenwerkingsregelingen te sluiten
met toezichthoudende en regelgevende autoriteiten van derde landen die op dit terrein
werkzaam zijn.
 PE-CONS 41/1/22 REV 1    70
   NL
 (95) Om de specifieke vaardigheden , de technische expertise en  de expertise van  deskundigen
op het gebied van operationele en ICT -risico’s binnen de bevoegde autoriteiten, de
drie ETA's, en, op vrijwillige basis, de uit hoofde van Richtlijn (EU) …/…+ bevoegde
autoriteiten ten volle te benutten, moet de lead overseer gebruikmaken van nationale
toezichtcapaciteiten en -kennis , en specifieke onderzoeksteams oprichten voor iedere
kritieke derde aanbieder van ICT -diensten. Multidisciplinaire teams moeten worden
samengebracht ter ondersteuning van  de voorbereiding en de uitvoering van
overs ightactiviteiten, inclusief algemene onderzoeken en  inspecties ter plaatse bij kritieke
derde aanbieders van ICT -diensten, alsook ter ondersteuning van eventuele  follow -up
hiervan indien dit nodig is.
(96) Hoewel het de bedoeling is dat de kosten van overs ighttaken volledig worden gefinancierd
uit vergoedingen die worden aangerekend aan kritieke derde aanbieders van ICT -diensten,
zullen de ETA's waarschijnlijk vóór de start van het oversightkader kosten maken voor de
implementatie van specifieke ICT -systeme n ter ondersteuning van het aanstaande
oversight, aangezien deze specifieke systemen vooraf moeten worden ontwikkeld en
uitgerold. Deze  verordening voorziet daarom in een hybride financieringsmodel: het
oversightkader moet volledig worden gefinancierd uit vergoedingen, terwijl de
ontwikkeling van de ICT -systemen van de ETA's moet worden gefinancierd uit bijdragen
van de Unie en de bevoegde nationale autoriteiten.
+ PB: gelieve in de tekst het nummer van de richtlijn in doc. PE -CONS 32/22
(2020 /0359 (COD)) in te vullen.
 PE-CONS 41/1/22 REV 1    71
   NL
 (97) De bevoegde autoriteiten moeten over alle toezicht -, onderzoeks - en sanctiebevoegdheden
beschikken die vereist zijn  willen zij de taken uit hoofde van deze verordening naar
behoren kunnen uitvoeren. Zij moeten in beginsel de administratieve strafmaatregelen die
zij opleggen, bekend maken. Aangezien financiële entiteiten en derde aanbieders van  ICT-
diensten gevestigd kunnen zijn in verschillende lidstaten en kunnen ressorteren onder het
toezicht van verschillende bevoegde autoriteiten, moet de toepassing van deze verordening
vergemakkelijkt worden via, enerzijds, nauwe samenwerking tussen de rel evante bevoegde
autoriteiten, waaronder de ECB wat betreft de specifieke taken die de bank bij Verordening
(EU) nr.  1024 /2013  van de Raad zijn opgedragen, en, anderzijds,  overleg met de ETA's via
wederzijdse uitwisseling van informatie en verlening van bijstand bij relevante
toezichtactiviteiten.
 PE-CONS 41/1/22 REV 1    72
   NL
 (98) Om de criteria voor de aanwijzing van  derde aanbieders van ICT -diensten tot kritieke
dienstverleners  kwantitatief en kwalitatief aan te scherpen  en om de oversight vergoedingen
te harmoniseren, moet aan de Commissie de bevoegdheid worden gedelegeerd om
overeenkomstig artikel  290 VWEU handelingen vast te stellen ter aanvulling van deze
verordening, en wel door nader te specificeren welke systemische im pact een storing of
een operationele uitval  van een derde aanbieder van ICT -diensten zou kunnen hebben voor
de financiële entiteiten waaraan deze derde aanbieder ICT -diensten verleent , het aantal
mondiaal systeemrelevante instellingen (MSI's) of andere sys teemrelevante instellingen
(ASI's) die afhankelijk zijn van de derde aanbieder van ICT -diensten in kwestie, het aantal
derde aanbieders van ICT -diensten dat op een bepaalde  markt actief is, de kosten van de
migratie van data en de ICT -werkbelasting naar ee n andere  derde aanbieder van ICT -
diensten, alsook het bedrag van de oversight vergoedingen en de wijze waarop deze moeten
worden betaald. Het is van bijzonder belang dat de Commissie bij haar voorbereidende
werkzaamheden tot passende raadplegingen overgaat,  onder meer op deskundigenniveau,
en dat deze raadplegingen plaatsvinden in overeenstemming met de beginselen die zijn
vastgelegd in het Interinstitutioneel Akkoord van 13 april 2016  over beter wetgeven1. Met
name om te zorgen voor gelijke deelname aan de voorbereiding van gedelegeerde
handelingen moeten het Europees Parlement en de Raad alle documenten op hetzelfde
tijdstip ontvangen als de deskundigen van de lidstaten, en moeten hun deskundigen
systematisch toegang hebben tot de vergaderingen van de desku ndigengroepen van de
Commissie die zich bezighouden met de voorbereiding van de gedelegeerde handelingen.
1 PB L 123 van 12.5.2016 , blz. 1.
 PE-CONS 41/1/22 REV 1    73
   NL
 (99) Technische reguleringsnormen  moeten een consistente harmonisatie van de in deze
verordening neergelegde voorschriften bewerkstelligen. In hun ro l van  organen met
hooggespecialiseerde expertise moeten de ETA's ontwerpen van technische regulerings -
normen ontwikkelen die geen beleidskeuzen inhouden en die aan de Commissie moeten
worden voorgelegd. Er moeten technische reguleringsnormen worden ontwikk eld op het
gebied van ICT -risicobeheer, rapportage van ernstige ICT -incidenten , tests , en op het
gebied van  essentiële vereisten voor een degelijke monitoring van het ICT -risico van derde
dienstverleners. De Commissie en de ETA's dienen ervoor te zorgen da t deze normen en
vereisten door alle financiële entiteiten kunnen worden toegepast op een wijze die in
verhouding staat tot hun omvang en algehele risicoprofiel, alsook de aard, de omvang en
de complexiteit van de entiteiten en hun activiteiten . De Commiss ie dient bevoegd te zijn
deze technische uitvoeringsnormen vast te stellen bij gedelegeerde handeling, krachtens
artikel 290 VWEU en in overeenstemming met artikel 10 tot en met 14 van de
Verordeningen (EU) nr. 1093 /2010 , (EU) nr. 1094 /2010  en (EU)  nr. 1095/2010.
 PE-CONS 41/1/22 REV 1    74
   NL
 (100) Om de vergelijkbaarheid van meldingen van ernstige ICT -incidenten en van ernstige
betalingsgerelateerde operationele of beveiligingsincidenten te vergemakkelijken en om te
zorgen voor transparantie inzake contractuele overeenkomsten voor het gebruik van derde
aanbieders van ICT -diensten moeten de ETA's technische uitvoeringsnormen ontwikkelen
waarin gestandaardiseerde templates, formulieren en procedures voor het meld en van
ernstige ICT -incidenten en van ernstige betalingsgerelateerde operationele of
beveiligingsincidenten door financiële entiteiten worden vastgelegd, alsook
gestandaardiseerde templates voor het informatieregister. Bij het ontwikkelen van deze
normen m oeten de ETA's letten op de omvang en het algemene risicoprofiel van de
financiële entiteit, alsook met de aard, de schaal en de complexiteit van haar diensten en
activiteiten. De Commissie dient bevoegd te zijn bij uitvoeringshandeling deze technische
uitvoeringsnormen vast te stellen, krachtens artikel 291 VWEU en in overeenstemming
met artikel 15 van de Verordeningen (EU) nr. 1093 /2010 , (EU)  nr. 1094 /2010  en (EU) nr.
1095 /2010.
PE-CONS 41/1/22 REV 1    75
   NL
 (101) Aangezien verdere vereisten reeds zijn vastgesteld bij gedelegeerde en  uitvoerings -
handelingen op basis van technische regulerings - en uitvoeringsnormen in de
Verordeningen (EG) nr. 1060 /20091, (EU) nr. 648/20122, (EU) nr. 600/20143 en (EU)
nr. 909/2014  van het Europees Parlement en de Raad4, is het passend de ETA's,
afzonde rlijk of gezamenlijk via het Gemengd Comité, opdracht te geven bij de Commissie
technische regulerings - of uitvoeringsnormen in te dienen met het oog op de vaststelling
van gedelegeerde en uitvoeringshandelingen waarin de bestaande regels voor ICT -
risicobe heer worden overgenomen en bijgewerkt.
1 Verordening (EG) nr.  1060 /2009  van het Europees Parlement en de Raad van
16 september  2009  inzake ratingbureaus (PB  L 302 van 17.11.2009 , blz.  1).
 2 Verordening (EU) nr.  648/2012  van het Europees Parlement en de Raad van 4 juli 2012
betreffende o tc-derivaten, centrale tegenpartijen en transactieregisters (PB L  201 van
27.7.2012 , blz.  1).
3 Verordening (EU) nr.  600/2014  van het Europees Parlement en de Raad van 15 mei 2014
betreffende markten in financiële instrumenten en tot wijziging van Verorden ing (EU)
nr. 648/2012  (PB L 173 van 12.6.2014 , blz. 84).
4 Verordening (EU) nr.  909/2014  van het Europees Parlement en de Raad 23 juli 2014
betreffende de verbetering van de effectenafwikkeling in de Europese Unie, betreffende
centrale effectenbewaarinstellingen en tot wijziging van Richtlijnen 98/26/EG en
2014 /65/EU en Verordening (EU) nr.  236/2012  (PB L  257 van 28.8.2014 , blz.  1).
PE-CONS 41/1/22 REV 1    76
   NL
 (102) Aangezien deze verordening, samen met Richtlijn (EU) …/… van het Europees Parlement
en de Raad1+, een consolidatie inhoudt van de bepalingen inzake ICT -risicobeheer in
verschillende verordeningen en richtlijnen  van het acquis van de Unie op het gebied van
financiële diensten, onder meer de Verordeningen (EG) nr. 1060 /2009 , (EU) nr. 648/2012 ,
(EU) nr. 600/2014 , en (EU) nr. 909/2014  en Verordening (EU) 2016 /1011  van het
Europees Parlement en de Raad2, moeten deze verordeningen ten behoeve van volledige
consistentie worden gewijzigd om te verduidelijken dat de relevante  bepalingen inzake
ICT-risico's in de onderhavige verordening zijn opgenomen.
 (103) Bijgevolg moet de werkingssfeer van de relevante ar tikelen in verband met operationele
risico's, waarvoor in de Verordeningen (EG) nr. 1060 /2009 , (EU) nr. 648/2012 , (EU)
nr. 600/2014 , (EU) nr. 909/2014  en (EU) 2016 /1011  machtigingen zijn verleend om
gedelegeerde handelingen en uitvoeringshandelingen vast t e stellen, worden beperkt
teneinde alle bepalingen betreffende de aspecten  van digitale operationele weerbaarheid
die thans  deel uitmaken van genoemde verordeningen, over te nemen in de onderhavige
verordening.
1 Richtli jn (EU) …/… van het Europees Parlement en de Raad van ... tot wijziging van de
Richtlijnen 2009 /65/EG, 2009 /138/EG, 2011 /61/EU, 2013 /36/EU, 2014 /59/EU,
2014 /65/EU, (EU) 2015 /2366  en (EU) 2016 /2341  wat betreft digitale operationele
weerbaarheid voor de fina nciële sector (PB L ... van ..., blz. ...).
+ PB: gelieve in de tekst het nummer van de richtlijn in doc. PE -CONS 42/22
(2020 /0268 (COD)) in te vullen.
2 Verordening (EU) 2016 /1011  van het Europees Parlement en de Raad van 8 juni 2016
betreffende indices die worden gebruikt als benchmarks voor financiële instrumenten en
financiële overeenkomsten of om de prestatie van beleggingsfondsen te meten en tot
wijziging van Richtlijnen 2008 /48/EG en 2014 /17/EU en Verordening (EU) nr. 596/2014
(PB L 171 van 29.6.2016 , blz. 1).
 PE-CONS 41/1/22 REV 1    77
   NL
 (104) Het potentiële systemische cyberrisico  bij het gebruik van ICT -infrastructuren die de
exploitatie van betalingssystemen en de verrichting van activiteiten ter betalings -
verwerking mogelijk maken, moet op het niveau van de Unie naar behoren worden
aangepakt door middel van geharmoniseerde regel s inzake digitale weerbaarheid. Daartoe
moet de Commissie onverwijld beoordelen of het toepassingsgebied van deze verordening
moet worden herzien en moet zij deze evaluatie afstemmen op de resultaten van de
uitgebreide evaluatie waarin Richtlijn (EU) 2015 /2366  voorziet. Talrijke grootschalige
aanvallen in de afgelopen tien jaar tonen aan hoe betalingssystemen kwetsbaar zijn
geworden voor cyberdreigingen. Betalingssystemen en activiteiten inzake betalings -
verwerkingen vormen de belangrijkste schakel van de k eten van betalingsdiensten en zijn
sterk verweven met het algemene financiële stelsel, waardoor zij van cruciaal belang zijn
geworden voor de werking van de financiële markten van de Unie. Cyberaanvallen op
dergelijke systemen kunnen ernstige operationele bedrijfs verstoringen veroorzaken met
rechtstreekse gevolgen voor belangrijke economische functies, zoals het faciliteren van
betalingen, en met indirecte gevolgen voor de daaraan gerelateerde economische
processen. Totdat op Unieniveau een geharmoniseerde  regeling en het toezicht op
exploitanten van betalingssystemen en verwerkingsentiteiten zijn ingevoerd, kunnen de
lidstaten, met het oog op de toepassing van soortgelijke marktpraktijken, inspiratie putten
uit de in deze verordening vastgestelde vereisten  inzake digitale operationele weerbaarheid
wanneer zij regels toepassen op exploitanten van betalingssystemen en op
verwerkingsentiteiten die onder toezicht staan in hun eigen rechtsgebied.
 PE-CONS 41/1/22 REV 1    78
   NL
 (105) Daar de doelstelling  van deze verordening, te weten het ber eiken van een hoog niveau van
digitale operationele weerbaarheid voor gereguleerde  financiële entiteiten, niet voldoende
door de lidstaten kan worden verwezenlijkt, omdat zulks  de harmonisatie vereist  van een
aantal  verschillende voorschriften van Unie - en nationaal recht, maar vanwege de omvang
en de gevolgen ervan beter door de Unie kan worden verwezenlijkt, kan de Unie,
overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde
subsidiariteitsbeginsel, maatregelen nemen. Ove reenkomstig het in hetzelfde artikel
neergelegde evenredigheidsbeginsel gaat deze verordening niet verder dan nodig is om die
doelstelling te verwezenlijken.
(106) Overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018 /1725  van het Europees
Parlement en de Raad1 is de Europese Toezichthouder voor gegevensbescherming
geraadpleegd, en op 10 mei 2021  heeft hij een advies uitgebracht2,
HEBBEN DE VOLGENDE VERORDENING VASTGESTELD:

1 Verordening (EU) 2018 /1725  van het Europees Parlement en de Raad van 23 oktober 2018
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens door de instellingen, organen en i nstanties van de Unie en betreffende het
vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001  en
Besluit nr. 1247 /2002 /EG (PB L 295 van 21.11.2018 , blz. 39).
2 PB C 229 van 15.6.2021 , blz. 16.
 PE-CONS 41/1/22 REV 1    79
   NL
 Hoofdstuk I
Algemene bepalingen
Artikel  1
Onderwe rp
1. Om een hoog gemeenschappelijk niveau van digitale operationele weerbaarheid te
bereiken, worden in deze verordening uniforme vereisten vastgesteld met betrekking tot de
beveiliging van netwerk - en informatiesystemen ter ondersteuning van bedrijfsprocessen
van financiële entiteiten, te weten:
a) vereisten die van toepassing zijn op financiële entiteiten met betrekking tot:
i) het risicobeheer op het gebied van informatie - en communicatietechnologie
(ICT);
ii) de melding van ernstige ICT -gerelateerde incidenten en, op vrijwillige basis,
van significante cyberdreigingen  aan de bevoegde autoriteiten;
iii) de melding van ernstige betalingsgerelateerde operationele of
beveiligingsincidenten aan de bevoegde autoriteiten door de financiële
entiteit en als bedoeld in artikel  2, lid 1, punten  a) tot en met d);
iv) het testen van de digitale operationele weerbaarheid;

PE-CONS 41/1/22 REV 1    80
   NL
 v) de uitwisseling van informatie en inlichtingen met betrekking tot
cyberdreigingen en -kwetsbaarheden;
vi) maatregelen voor het goede beheer van het ICT -risico van derde aanbieders;
b) vereisten met betrekking tot de contractuele overeenkomsten tussen derde aanbieders
van ICT -diensten en financiële entiteiten;
c) regels voor de vaststelling en het beheren van het oversight kader voor kritieke derde
aanbieders van ICT -diensten bij het verlenen van diensten aan financiële entiteiten;
d) regels inzake samenwerking tussen bevoegde autoriteiten en regels inzake toezicht
en handhaving door bevoegde autoriteiten met betrekking tot alle aangel egenheden
die onder deze verordening vallen.
2. Met betrekking tot de financiële entiteiten die overeenkomstig de nationale voorschriften
tot omzetting van artikel 3 van Richtlijn (EU) …/…+ als essentiële of belangrijke entiteiten
zijn aangewezen, wordt de ze verordening voor de toepassing van artikel  4 van die richtlijn
beschouwd als een sectorspecifieke rechtshandeling van de Unie.
 3. Deze verordening laat de verantwoordelijkheid van de lidstaten inzake essentiële
staatsfuncties op het gebied van de openba re veiligheid, defensie en nationale veiligheid
overeenkomstig het Unierecht onverlet.
+ PB: gelieve in de tekst het num mer van de richtlijn in document PE -CONS 32/22
(2020 /0359 (COD)) in te vullen.
PE-CONS 41/1/22 REV 1    81
   NL
 Artikel  2
Toepassingsgebied
1. Onverminderd de leden 3 en 4 is deze  verordening van toepassing op de volgende
entiteiten:
a) kredietinstellingen;
b) betalingsinstelling en, met inbegrip van bij Richtlijn (EU) 2015 /2366  vrijgestelde
betalingsinstellingen;
c) aanbieders van rekeninginformatiediensten;
d) instellingen voor elektronisch geld , met inbegrip van krachtens Richtlijn
2009 /110/EG vrijgestelde instellingen voor elek tronisch geld ;
e) beleggingsondernemingen;
f) aanbieders van cryptoactivadiensten met een vergunning op grond van  een
Verordening van het Europees Parlement en de Raad betreffende markten in
cryptoactiva en tot wijziging van Verordeningen (EU) nr. 1093 /2010  en (EU)
nr. 1095 /2010  en Richtlijnen 2013 /36/EU en (EU) 2019 /1937  (“de verordening
betreffende markten in cryptoactiva ”) en emittenten van asset -referenced tokens;
g) centrale effectenbewaarinstellingen;

PE-CONS 41/1/22 REV 1    82
   NL
 h) centrale tegenpartijen;
i) handelsplatforme n;
j) transactieregisters;
k) beheerders van alternatieve beleggingsinstellingen;
l) beheermaatschappijen;
m) aanbieders van datarapporteringsdiensten;
n) verzekerings - en herverzekeringsondernemingen;
o) verzekeringstussenpersonen, herverzekeringstussenpersonen en
nevenverzekeringstussenpersonen;
p) instellingen voor bedrijfspensioenvoorziening;
q) ratingbureaus;
r) beheerders van kritieke benchmarks;
s) aanbieders van crowdfundingdiensten;
t) securitisatieregisters;
u) derde aanbied ers van ICT -diensten.
PE-CONS 41/1/22 REV 1    83
   NL
 2. Voor de toepassing van deze verordening worden de in lid 1, punten a) tot en met t),
bedoelde entiteiten “financiële entiteiten ” genoemd.
 3. Deze verordening is niet van toepassing op:
a) beheerders van alternatieve beleggingsinst ellingen, als bedoeld in artikel  3, lid 2, van
Richtlijn 2011 /61/EU;
b) verzekerings - en herverzekeringsondernemingen, als bedoeld in artikel  4 van
Richtlijn 2009 /138/EG;
c) instellingen voor bedrijfspensioenvoorzieningen die pensioenregelingen uitvoeren
die samen niet meer dan 15 leden hebben;
d) bij de artikelen 2 en 3 van Richtlijn 2014 /65/EU vrijgestelde natuurlijke of
rechtspersonen;
e) verzekeringstussenpersonen, herverz ekeringstussenpersonen en neven -
verzekeringstussenpersonen die micro -ondernemingen, dan wel kleine of
middelgrote ondernemingen zijn;
f) postcheque - en girodiensten als bedoeld in artikel  2, lid 5, punt 3), van
Richtlijn  2013 /36/EU.
PE-CONS 41/1/22 REV 1    84
   NL
 4. De lidstaten kunnen  entiteiten als bedoeld in artikel  2, lid 5, punten 4) tot en met 23), van
Richtlijn 2013 /36/EU die op hun respectieve grondgebied gevestigd zijn, uitsluiten van het
toepassingsgebied van deze verordening. Wanneer een lidstaat van deze mogelijkheid
gebruik maakt, stelt hij de Commissie daarvan in kennis, alsmede van alle latere
wijzigingen in dat verband. De Commissie maakt die informatie openbaar op haar website
of via andere gemakkelijk toegankelijke middelen.
 Artikel  3
Definities
Voor de toepassing van de ze verordening wordt verstaan onder:
1) “digitale operationele weerbaarheid ”: het vermogen van een financiële entiteit om haar
operationele integriteit en betrouwbaarheid  op te bouwen, te waarborgen en te evalueren,
door direct of indirect via gebruik van diensten die door derde aanbieders van ICT -diensten
worden verleend te voorzien in het volledige scala van ICT -gerelateerde capaciteiten die
nodig zijn voor de beveiliging van de netwerk - en informatiesystemen waarvan een
financiële entiteit gebruikmaakt, en die de permanente verlening van financiële diensten en
de kwaliteit ervan, onder meer gedurende storingen , ondersteunen;
2) “netwerk - en informatiesysteem ”: een netwerk - en informatiesysteem in de zin van
artikel  6, punt 1, van Richtlijn (EU ) …/…+;

+ PB: gelieve in de tekst het nummer van de richtlijn in document PE -CONS 32/22
(2020 /0359 (COD)) in te vullen.
 PE-CONS 41/1/22 REV 1    85
   NL
 3) “legacy -ICT-systeem ”: een ICT -systeem dat het einde van zijn levenscyclus (einde van de
levensduur) heeft bereikt, dat om technologische of commerciële redenen niet geschikt is
voor upgrades of reparaties, of dat niet langer wordt ondersteund door de lever ancier of
een derde aanbieder van ICT -diensten, maar dat nog steeds in gebruik is en de functies van
de financiële entiteit ondersteunt;
4) “beveiliging van netwerk - en informatiesystemen ”: beveiliging van netwerk - en
informatiesystemen in de zin van artik el 6, punt 2, van Richtlijn (EU) …/…+;
5) “ICT-risico ”: elke redelijkerwijs aan te wijzen omstandigheid met betrekking tot het
gebruik van netwerk - en informatiesystemen  die, indien zij zich voordoet, de beveiliging
van het netwerk - en informatiesysteem, v an technologie -afhankelijke  instrumenten of
processen, van verrichtingen  en processen , of van de levering van de diensten in gevaar
kan brengen, door schadelijke effecten met zich mee te brengen  in de digitale of fysieke
omgeving ;
6) “informatieactief ”: een reeks, al dan niet tastbare, gegevens die beschermenswaardig zijn;
7) “ICT-actief ”: een software - of hardware -actief  in de netwerk - en informatiesystemen  die
door de financiële entiteit worden gebruikt;

+ PB: gelieve in de tekst het nummer van de richtlijn in document PE -CONS 32/22
(2020 /0359 (COD)) in te vullen.
 PE-CONS 41/1/22 REV 1 86 NL 8) “ICT-gerelateerd incident ”: één gebeurtenis o f een reeks gekoppelde gebeurtenissen die niet door de financiële entiteit zijn gepland en die de beveiliging van de netwerk - en informatiesystemen in gevaar breng en en een nadelig effect hebben op de beschikbaarheid, authenticiteit, integriteit of vertrou welijkheid van gegevens of op de door de financiële entiteit verleende diensten; 9) “betalingsgerelateerd operationeel of beveiligingsincident ”: één gebeurtenis of een reeks gekoppelde gebeurtenissen die niet door de in artikel 2, lid 1, punten a) tot en m et d), bedoelde financiële entiteiten gepland zijn, die al dan niet ICT -gerelateerd zijn, en die een nadelig effect hebben op de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van betalingsgerelateerde gegevens, of op de door de financië le entiteit verleende betalingsgerelateerde diensten; 10) “ernstig ICT -gerelateerd incident ”: een ICT -gerelateerd incident met grote nadelige gevolgen voor de netwerk - en informatiesystemen die kritieke of belangrijke functies van de financiële entiteit ondersteunen; 11) “ernstig betalingsgerelateerd operationeel of beveiligingsincident ”: een betalings - gerelateerd operationeel of beveiligingsincident dat een groot negatief effect heeft op de verleende betalingsgerelateerde diensten; 12) “cyberdreiging ”: cyberdreiging in de zin van artikel 2, punt 8), van Verordening (EU) 2019 /881; PE-CONS 41/1/22 REV 1 87 NL 13) “significante cyberdreiging ”: een cyberdreiging waarvan de technische kenmerken erop wijzen dat zij kan leiden tot een ernstig ICT -gerelateerd incident of een ernstig betali ngs- gerelateerd operationeel of beveiligingsincident; 14) “cyberaanval ”: een kwaadwillig ICT -gerelateerd incident dat het gevolg is van een door een dreigingsactor gepleegde poging om een actief te vernietigen, bloot te stellen, te veranderen, buiten werki ng te stellen, te stelen of er ongeoorloofde toegang toe te verkrijgen of er ongeoorloofd gebruik van te maken; 15) “inlichtingen over dreigingen ”: informatie die is geaggregeerd, getransformeerd, geanalyseerd, geïnterpreteerd of verrijkt om de noodzakelij ke achtergrond voor besluitvorming te bieden en om relevant en toereikend inzicht te verschaffen om de gevolgen van een ICT -gerelateerd incident of van een cyberdreiging te beperken, met inbegrip van de technische details van een cyberaanval, de voor de aa nval verantwoordelijke personen en hun werkwijze en motieven; 16) “kwetsbaarheid ”: een zwakte, gevoeligheid of tekortkoming in een actief, systeem, proces of controle die kan worden misbruikt; 17) “dreigingsgestuurde penetratietest ” (threat led penetration testing – TLPT): een kader waarin de tactiek, technieken en procedures van levensechte, als een reële cyberdreiging ervaren dreigingsactoren worden nagebootst en waarin een gecontroleerde, op maat gesneden, door inlichtingen gestuurde (red team) test van de kritieke reëel bestaande productiesystemen van de financiële entiteit wordt voorgebracht; PE-CONS 41/1/22 REV 1 88 NL 18) “ICT-risico van derde aanbieders ”: een ICT -risico dat voor een financiële entiteit kan ontstaan met betrekking tot het gebruik van ICT -diensten die door derde aanbieders van ICT-diensten of door onderaannemers daarvan, onder meer via onderaanbestedingsovereenkomsten, worden verleend; 19) “derde aanbieder van ICT -diensten ”: een onderneming die ICT-diensten verleent; 20) “aanbieder van ICT -diensten binnen een gro ep”: een onderneming die deel uitmaakt van een financiële groep en hoofdzakelijk ICT -diensten verleent aan financiële entiteiten binnen dezelfde groep of aan financiële entiteiten die tot hetzelfde institutionele protectiestelsel behoren, met inbegrip van hun moedermaatschappijen, dochterondernemingen, bijkantoren of andere entiteiten die gezamenlijk eigendom zijn of onder gezamenlijke zeggenschap staan; 21) “ICT-diensten ”: digitale en gegevensdiensten die doorlopend via ICT -systemen aan een of meer interne of externe gebruikers worden verleend, waaronder hardware als dienst en hardware diensten , met inbegrip van het verlenen van technische ondersteuning via software - of firmware -updates door de hardwareaanbieder, met uitzondering van traditionele analoge tel efoon diensten; PE-CONS 41/1/22 REV 1 89 NL 22) “kritieke of belangrijke functie ”: een functie waarvan de verstoring wezenlijk afbreuk zou doen aan de financiële prestaties van een financiële entiteit of aan de soliditeit of de continuïteit van haar diensten en activiteiten , of waarvan de beëindiging of gebrekkige of mislukte uitvoering wezenlijk afbreuk zou doen aan de permanente naleving door een financiële entiteit van de voorwaarden en verplichtingen uit hoofde van haar vergunning of haar andere verplichtingen uit hoofde van het toepasselijke recht inzake financiële diensten; 23) “kritieke derde aanbieder van ICT -diensten ”: een derde aanbieder van ICT -diensten die overeenkomstig artikel 31 is aangewezen als cruciaal; 24) “in een derde land gevestigde derde aanbieder van ICT -diensten ”: een derde aanbieder van ICT-diensten die een in een derde land gevestigde rechtspersoon is en die een contractuele overeenkomst met een financiële entiteit heeft gesloten voor de levering van ICT -diensten; 25) “dochteronderneming ”: een dochterond erneming in de zin van artikel 2, punt 10), en artikel 22 van Richtlijn 2013 /34/EU; 26) “groep ”: een groep in de zin van artikel 2, punt 11), van Richtlijn 2013 /34/EU; 27) “moederonderneming ”: een moederonderneming in de zin van artikel 2, punt 9), en arti kel 22 van Richtlijn 2013 /34/EU; PE-CONS 41/1/22 REV 1 90 NL 28) “in een derde land gevestigde ICT -subcontractant ”: een ICT -subcontractant die een in een derde land gevestigde rechtspersoon is en die een contractuele overeenkomst heeft gesloten met een derde aanbieder van ICT -diensten of met een in een derde land gevestigde derde aanbieder van ICT -diensten; 29) “ICT-concentratierisico ”: een blootstelling aan individuele of aan meerdere onderling verbo nden kritieke derde aanbieders van ICT -diensten, waardoor een bepaalde mate van afhankelijkheid ten aanzien van deze aanbieders ontstaat, zodat de onbeschikbaarheid, het falen of een ander soort tekortkoming van deze aanbieder het vermogen van een financië le entiteit om kritieke of belangrijke functies te vervullen in gevaar kan brengen, ertoe kan leiden dat zij andere soorten nadelige effecten, waaronder grote verliezen, ondervindt, of de financiële stabiliteit van de Unie in haar geheel in gevaar kan bren gen; 30) “leidinggevend orgaan ”: een leidinggevend orgaan in de zin van artikel 4, lid 1, punt 36), van Richtlijn 2014 /65/EU, artikel 3, lid 1, punt 7), van Richtlijn 2013 /36/EU, artikel 2, lid 1, punt s), van Richtlijn 2009 /65/EG van het Europees Parlemen t en de Raad1, artikel 2, lid 1, punt 45), van Verordening (EU) nr. PE-CONS 41/1/22 REV 1    91
   NL
 31) “kredietinstelling ”: een kredietinstelling in de zin van artikel  4, lid 1, punt  1, van
Verord ening (EU) nr.  575/2013  van het Europees Parlement en de Raad1;
32) “bij Richtlijn  2013 /36/EU vrijgestelde instelling ”: een entiteit zoals vermeld in artikel  2,
lid 5, punten  4) tot en met  23), van Richtlijn  2013 /36/EU;
33) “beleggingsonderneming ”: een bel eggingsonderneming in de zin van artikel 4, lid 1,
punt 1, van Richtlijn 2014 /65/EU;
34) “kleine en niet -verweven beleggingsonderneming ”: een beleggingsonderneming die
voldoet aan de voorwaarden in artikel  12, lid 1, van Verordening (EU)  2019 /2033  van het
Europees Parlement en de Raad2;
35) “betalingsinstelling ”: een betalingsinstelling in de zin van artikel 4, punt 4), van
Richtlijn  (EU) 2015 /2366 ;
36) “bij Richtlijn (EU)  2015 /2366  vrijgestelde betalingsinstelling ”: een betalingsinstelling die
is vrijgesteld op grond van artikel  32, lid 1, van Richtlijn (EU)  2015 /2366 ;
37) “aanbieder van rekeninginformatiediensten ”: een aanbieder van rekeninginformatie -
diensten als bedoeld in artikel  33, lid 1, van Richtlijn (EU) 2015 /2366 ;

1 Verordening (EU) nr. 575/2013  van het Europees Parlement en de Raad van 26 juni 2013
betreffende prudentiële vereisten voor kredietinstel lingen en tot wijziging van Verordening
(EU) nr. 648/2012  (PB L 176 van 27.6.2013 , blz. 1).
2 Verordening (EU) 2019 /2033  van het Europees Parlement en de Raad van
27 november  2019  betreffende prudentiële vereisten voor beleggingsondernemingen en tot
wijzig ing van Verordeningen (EU) nr.  1093 /2010 , (EU) nr.  575/2013 , (EU) nr.  600/2014  en
(EU)  nr. 806/2014  (PB L  314 van 5.12.2019 , blz.  1).
 PE-CONS 41/1/22 REV 1    92
   NL
 38) “instelling voor elektronisch geld ”: een instelling voor elektronisch geld in de zin van
artikel 2, punt  1), van Richtlijn 2009 /110/EG van het Europees Parlement en de Raad;
39) “bij Richtlijn  2009 /110/EG vrijgestelde instelling voor elektronisch geld ”: een instelling
voor elektronisch geld waaraan een ontheffing is verleend als bedoeld in artikel  9, lid 1,
van Richtlijn  2009 /110/EG;
40) “centrale tegenpartij ”: een centrale tegenpartij in de zin van artikel 2, punt 1), van
Verordening (EU) nr.  648/2012 ;
41) “transactieregis ter”: een transactieregister in de zin van artikel 2, punt 2), van
Verordening  (EU) nr. 648/2012 ;
42) “centrale effectenbewaarinstelling ”: een centrale effectenbewaarinstelling in de zin van
artikel 2, lid 1, punt 1), van Verordening (EU) nr. 909/2014 ;
43) “handelsplatform ” een handelsplatform in de zin van artikel 4, lid 1, punt 24, van
Richtlijn  2014 /65/EU;
44) “beheerder van alternatieve beleggingsinstellingen ”: een beheerder van alternatieve
beleggingsinstellingen in de zin van artikel 4, lid 1, punt b) , van Richtlijn 2011 /61/EU;

PE-CONS 41/1/22 REV 1    93
   NL
 45) “beheermaatschappij ”: een beheermaatschappij in de zin van artikel  2, lid 1, punt  b), van
Richtlijn 2009 /65/EG;
46) “aanbieder van datarapporteringsdiensten ”: een aanbieder van datarapporteringsdiensten
in de zin van Verord ening (EU) nr.  600/2014 , als bedoeld in  artikel  2, lid 1, punten 34 tot
en met 36, van die verordening ;
47) “verzekeringsonderneming ”: een verzekeringsonderneming in de zin van artikel  13, punt  1,
van Richtlijn 2009 /138/EG;
48) “herverzekeringsonderneming ”: een herverzekeringsonderneming in de zin van artikel  13,
punt 4, van Richtlijn 2009 /138/EG;
49) “verzekeringstussenpersoon ”: een verzekeringstussenpersoon in de zin van artikel 2, lid 1,
punt 3, van Richtlijn (EU) 2016 /97 van het Europees Parlement en de  Raad1;
50) “nevenverzekeringstussenpersoon ”: een nevenverzekeringstussenpersoon in de zin van
artikel 2, lid 1, punt 4, van Richtlijn (EU) 2016 /97;
51) “herverzekeringstussenpersoon ”: een herverzekeringstussenpersoon in de zin van artikel 2,
lid 1, punt 5, van Richtlijn (EU) 2016 /97;
52) “instelling voor bedrijfspensioenvoorziening ”: een instelling voor bedrijfspensioen -
voorziening in de zin van artikel  6, punt 1), van Richtlijn (EU) 2016 /2341 ;

1 Richtlijn (EU) 2016 /97 van het Europees Parlement en de Raad van 20 januari 2016
betreffende verzekeringsdistributie (PB  L 26 van 2.2.2016 , blz.  19).
 PE-CONS 41/1/22 REV 1    94
   NL
 53) “kleine instelling voor bedrijfspensioenvoorziening ”: een  instelling voor
bedrijfspensioenvoorziening die pensioenregelingen uitvoert die samen minder dan
100 leden hebben;
54) “ratingbureau ”: een ratingbureau in de zin van artikel 3, lid 1, punt b), van
Verordening  (EG) nr. 1060 /2009 ;
55) “aanbieder van cryptoa ctivadiensten ”: een aanbieder van cryptoactivadiensten in de zin
van de relevante bepaling van de verordening betreffende markten in cryptoactiva ;
56) “emittent van asset -referenced tokens ”: een emittent van asset -referenced tokens in de zin
van de relevante bepaling van de verordening betreffende markten in cryptoactiva ;
57) “beheerder van kritieke benchmarks ”: een beheerder van kritieke benchmarks in de zin van
artikel 3, lid 1, punt 25), van V erordening (EU) 2016 /1011 ;
58) “crowdfundingdienstverlener ”: een crowdfundingdienstverlener in de zin van artikel  2,
lid 1, punt  e), van Verordening (EU)  2020 /1503  van het Europees Parlement en de  Raad1;
59) “securitisatieregister ”: een securitisatieregist er in de zin van artikel 2, punt 23), van
Verordening (EU) 2017 /2402  van het Europees Parlement en de Raad2;

1 Verordening (EU) 2020 /1503  van het Europees Parlement en de Raad van 7 oktober 2020
betreffende Europese crowdfundingdienstverleners voor bedrijven en tot wijziging van
Verordening (EU ) 2017 /1129  en Richtlijn (EU) 2019 /1937  (PB L  347 van 20.10.2020 ,
blz. 1).
2 Verordening (EU) 2017 /2402  van het Europees Parlement en de Raad van 12 december
2017  tot vaststelling van een algemeen kader voor securitisatie en tot instelling van een
specifie k kader voor eenvoudige, transparante en gestandaardiseerde securitisatie, en tot
wijziging van de Richtlijnen 2009 /65/EG, 2009 /138/EG en 2011 /61/EU en de
Verordeningen (EG) nr.  1060 /2009  en (EU) nr. 648/2012  (PB L 347 van 28.12.2017 ,
blz. 35).
 PE-CONS 41/1/22 REV 1    95
   NL
 60) “micro -onderneming ”: een financiële entiteit die geen handelsplatform, centrale
tegenpartij, transactieregister of centrale effectenbewaarinst elling is, en waar minder dan
10 personen werkzaam zijn en waarvan de jaaromzet en/of het jaarlijkse balanstotaal niet
hoger liggen dan 2 miljoen EUR;
61) “lead overseer ”: de overeenkomstig artikel  31, lid 1, punt b), van deze verordening
aangewezen Europese toezichthoudende autoriteit;
62) “Gemengd Comité ”: het in artikel  54 van de Verordeningen (EU) nr. 1093 /2010 , (EU)
nr. 1094 /2010  en (EU) nr. 1095 /2010  bedoelde comité;
63) “kleine onderneming ”: een financiële entiteit met 10 of meer werknemers, maar minder
dan 50 werknemers, en een jaaromzet en/of een jaarlijks balanstotaal van meer dan
2 miljoen EUR, maar van ten hoogste 10 miljoen  EUR;
64) “middelgrote onderneming ”: een financiële entiteit die geen kleine onderneming is, mi nder
dan 250 personen in dienst heeft en een jaaromzet van ten hoogste 50 miljoen  EUR en/of
een jaarlijkse balans van ten hoogste 43 miljoen EUR heeft;
65) “overheidsinstantie ”: een regerings - of andere overheidsinstantie, met inbegrip van
nationale centra le banken.
PE-CONS 41/1/22 REV 1    96
   NL
 Artikel 4
Evenredigheidsbeginsel
1. Financiële entiteiten passen de bij hoofdstuk  II ingevoerde regels toe overeenkomstig het
evenredigheidsbeginsel, rekening houdend met hun omvang, algehele risicoprofiel en de
aard, schaal en complexiteit van  hun diensten, activiteiten en verrichtingen.
2. Daarnaast staat de toepassing door financiële entiteiten van de hoofdstukken III en IV en
hoofdstuk V, afdeling I, in verhouding tot hun omvang en algehele risicoprofiel en tot de
aard, schaal en complexitei t van hun diensten, activiteiten en verrichtingen, zoals specifiek
bepaald in de desbetreffende regels van die hoofdstukken.
 3. De bevoegde autoriteiten houden rekening met de toepassing van het evenredigheids -
beginsel door financiële entiteiten wanneer zi j de consistentie van het kader voor
ICT-risicobeheer toetsen op basis van de verslagen die op verzoek van de bevoegde
autoriteiten krachtens artikel  6, lid 5, en artikel  16, lid 2, zijn ingediend.
PE-CONS 41/1/22 REV 1    97
   NL
 Hoofdstuk II
ICT-risicobeheer
AFDELING  I
Artikel  5
Govern ance en organisatie
1. Financiële entiteiten beschikken over een intern governance - en controle kader dat  een
doeltreffend en prudent beheer van het ICT -risico waarborg t, overeenkomstig artikel 6,
lid 4, teneinde een hoog niveau van digitale operationele we erbaarheid te verkrijgen.
2. Het leidinggevend orgaan van een financiële entiteit bepaalt alle regelingen met betrekking
tot het in artikel  6, lid 1, bedoelde kader voor ICT -risicobeheer, keurt deze goed, houdt
toezicht op de uitvoering ervan en is ervoor verantwoordelijk.
 3. Andere financiële entiteiten dan micro -ondernemingen stellen een taak vast om de
overeenkomsten met derde aanbieders van ICT -diensten met betrekking tot het gebruik van
deze diensten te monitoren, of wijzen een lid van het hoger leidinggevend personeel aan
dat verantwoordelijk is voor het toezicht op de desbetreffende risicoblootstelling en de
relevante documentatie.
PE-CONS 41/1/22 REV 1    100
   NL
 4. De leden van het lei dinggevend orgaan van de financiële entiteit  onderhouden actief
voldoende kennis en vaardigheden om ICT -risico en de gevolgen daarvan voor de
verrichtingen van de financiële entiteit te begrijpen en te beoordelen, onder meer door
regelmatig specifieke ople idingen te volgen die in verhouding staan tot het te beheren ICT -
risico.
AFDELING II
Artikel  6
Kader voor ICT -risicobeheer
1. Financiële entiteiten beschikken over een solide, alomvattend en goed gedocumenteerd
kader voor ICT -risicobeheer, als onderdeel van hun algemeen risicobeheersysteem , dat hen
in staat stelt ICT -risico snel, efficiënt en zo volledig mogelijk aan te pakken en een hoog
niveau van digitale operationele weerbaarheid te waarborgen.
2. Het kader voor ICT -risicobeheer omvat ten minste  strategieën, beleidslijnen, procedures,
ICT-protocollen en instrumenten die nodig zijn om alle informatie - en ICT -activa , met
inbegrip van computer software , hardware, servers naar behoren en toereikend te
beschermen, en om alle relevante fysieke elementen en in frastructuur , zoals  gebouwen en
terreinen, datacentra en als gevoelig aangewezen gebieden te beschermen, teneinde te
waarborgen dat alle informatie - en ICT -activa  toereikend worden beschermd tegen risico's,
waaronder schade, ongeoorloofde toegang en ongeoo rloofd gebruik.
