Stärkt digital motståndskraft i finanssektorn

Finansinspektionen fullgör sina lagstadgade uppgifter genom att

7) främja cybersäkra tillvägagångssätt hos finansmarknadsaktörer,

7 a) främja kritiska finansmarknadsaktörers motståndskraft,

Finansinspektionen samarbetar med finansministeriet, social- och hälsovårdsministeriet, Finlands Bank, Verket för finansiell stabilitet, Transport- och kommunikationsverket och andra behöriga myndigheter för att hantera störningar relaterade till informations- och kommunikationsteknik ( IKT ) och för att minska konsekvenserna av sådana störningar.

Finansinspektionen deltar i myndighetssamarbete enligt artiklarna 32 och 47–49 i Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011, nedan EU:s DORA-förordning , och i verksamheten inom det europeiska ramverket för samordning av åtgärder mot systemiska cyberincidenter samt samarbetar också i övrigt med Europeiska centralbanken, Europeiska systemrisknämnden, Europeiska unionens cybersäkerhetsbyrå, de europeiska tillsynsmyndigheterna, andra EU-myndigheter och utländska EES-tillsynsmyndigheter för att hantera störningar relaterade till informations-och kommunikationsteknik och för att minska konsekvenserna av sådana störningar.

Finansinspektionen ska samarbeta med Transport- och kommunikationsverket vid skötseln av uppgifter enligt Europaparlamentets och rådets direktiv (EU) 2022/2555 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 ( NIS 2-direktivet ).

Finansinspektionen ska samarbeta med finansministeriet, inrikesministeriet, Försörjningsberedskapscentralen och andra behöriga myndigheter för skötseln av uppgifter enligt Europaparlamentets och rådets direktiv (EU) 2022/2557 om kritiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG, nedan CER-direktivet , för att stärka kritiska aktörers motståndskraft och för att främja frivilligt informationsutbyte mellan dem.

Med andra finansmarknadsaktörer avses i denna lag

40) den som med stöd av 4 § i lagen om registrering av vissa kreditgivare och kreditförmedlare (186/2023) är skyldig att anmäla sig till det register över kreditgivare och förmedlare av person-till-person-lån som förs av Finansinspektionen,

41) sådana tredjepartsleverantörer av IKT-tjänster som avses i artikel 3.19 i EU:s DORA-förordning.

Finansinspektionen ska ålägga den att betala ordningsavgift som uppsåtligen eller av oaktsamhet

11) försummar eller bryter mot anmälningsskyldigheten enligt 8 § 3 mom. i lagen om registrering av vissa kreditgivare och kreditförmedlare,

12) försummar eller bryter mot skyldigheten att hantera IKT-risker enligt artikel 16 i EU:s DORA-förordning.

Om ordningsavgift påförs med stöd av 1 mom. 12 punkten, ska artikel 51.2 i EU:s DORA-förordning iakttas i stället för 2 mom. i fråga om de omständigheter som ska beaktas vid bedömningen av ordningsavgiftens belopp.

Påföljdsavgift ska också påföras den som uppsåtligen eller av oaktsamhet försummar eller bryter mot

11) bestämmelserna i artikel 5 i Europaparlamentets och rådets förordning (EU) 2020/852 om inrättande av en ram för att underlätta hållbara investeringar och om ändring av förordning (EU) 2019/2088, nedan taxonomiförordningen , om transparens i fråga om miljömässigt hållbara investeringar i upplysningar som lämnas innan avtal ingås och i regelbundna rapporter, bestämmelserna i artikel 6 om transparens i fråga om finansiella produkter som främjar miljörelaterade egenskaper i upplysningar som lämnas innan avtal ingås och i regelbundna rapporter, eller bestämmelserna i artikel 7 om transparens i fråga om andra finansiella produkter i upplysningar som lämnas innan avtal ingås och i regelbundna rapporter,

12) bestämmelserna i artiklarna 5–7 i PEPP-förordningen om registreringsskyldighet och bestämmelserna om lämnande av falska eller vilseledande uppgifter som grund för registreringen av en PEPP-produkt i det centrala offentliga register som förs av Europeiska försäkrings- och tjänstepensionsmyndigheten, bestämmelserna i artikel 18 om erbjudande av portabilitetsmöjlighet, bestämmelserna i artikel 19 om användning av underkonton för PEPP-produkter, bestämmelserna i artikel 20 om skyldighet att lämna information i anknytning till öppnande av ett nytt underkonto, bestämmelserna i artikel 21 om information om portabilitet till de behöriga myndigheterna, bestämmelserna i artikel 22 om en allmän princip som gäller PEPP-sparinstitut och PEPP-distributörer, bestämmelserna i artikel 23 om distributionsregler för olika typer av PEPP-sparinstitut och PEPP-distributörer, bestämmelserna i artikel 24 om elektronisk distribution och om användning av andra varaktiga medier, bestämmelserna i artikel 25 om krav på produkt-övervakning och produktstyrning, bestämmelserna i artikel 26 om PEPP-faktablad, bestämmelserna i artikel 27 om PEPP-faktabladets språk, bestämmelserna i artikel 28 om PEPP-faktabladets innehåll, bestämmelserna i artikel 29 om marknadsföringsmaterial, bestämmelserna i artikel 30 om översyn av PEPP-faktabladet, bestämmelserna i artikel 31 om skadeståndsansvar, bestämmelserna i artikel 32 om PEPP-avtal som täcker biometriska risker, bestämmelserna i artikel 33 om tillhandahållande av PEPP-faktabladet, bestämmelserna i artikel 34 om specifikation av PEPP-kundens krav och behov samt tillhandahållande av rådgivning, bestämmelserna i artikel 35 om allmänna bestämmelser som gäller PEPP-pensionsbesked, bestämmelserna i artikel 36 om innehållet i PEPP-pensionsbeskedet, bestämmelserna i artikel 37 om kompletterande information i PEPP-pensionsbeskedet, bestämmelserna i artikel 38 om information som ska lämnas till PEPP-sparare under tiden före pensionering och till PEPP-förmånstagare under utbetalningsfasen, bestämmelserna i artikel 39 om information som på begäran ska lämnas till PEPP-sparare och PEPP-förmånstagare, bestämmelserna i artikel 40 om allmänna bestämmelser som gäller rapportering till nationella myndigheter, bestämmelserna i artikel 41 om investeringsregler under intjänandefasen, bestämmelserna i artikel 42 om allmänna bestämmelser som gäller PEPP-spararens investeringsalternativ, bestämmelserna i artikel 43 om PEPP-spararens val av investeringsalternativ, bestämmelserna i artikel 44 om villkor för ändring av det valda investeringsalternativet, bestämmelserna i artikel 45 om bas-PEPP-produkten, bestämmelserna i artikel 46 om riskreduceringstekniker, bestämmelserna i artikel 47 om villkor som rör intjänandefasen, bestämmelserna i artikel 48 om förvaringsinstitutets förvarings- och övervakningsuppgifter, bestämmelserna i artikel 50 om hantering av klagomål från PEPP-kunder, bestämmelserna i artikel 52 om tillhandahållande av bytesmöjlighet, bestämmelserna i artikel 53 om inledande av byte, bestämmelserna i artikel 54 om avgifter och kostnader i samband med byte, bestämmelserna i artikel 55 om skydd av PEPP-sparare mot finansiell förlust eller bestämmelserna i artikel 56 om information om bytesmöjligheten,

13) bestämmelserna om hantering av IKT-risker i artiklarna 5–14 i EU:s DORA-förordning, bestämmelserna om hantering av, klassificering av och rapportering om IKT-relaterade incidenter i artiklarna 17–19 i den förordningen, bestämmelserna om testning av digital operativ motståndskraft i artiklarna 24–27 i den förordningen eller bestämmelserna om hantering av IKT-tredjepartsrisker i artiklarna 28–30 i den förordningen, vilka är förpliktande för i artikel 2.2 i den förordningen avsedda finansiella entiteter.

Om det är fråga om överträdelse av förordningen om referensvärden, ska utöver det som föreskrivs i 2 mom. också förfarandets inverkan på realekonomin beaktas vid bedömningen av påföljdsavgiftens belopp. Om det är fråga om överträdelse av Europaparlamentets och rådets förordning (EU) 2017/1129 om prospekt som ska offentliggöras när värdepapper erbjuds till allmänheten eller tas upp till handel på en reglerad marknad, och om upphävande av direktiv 2003/71/EG, nedan prospektförordningen , ska överträdelsens inverkan också på icke-professionella kunders ställning beaktas vid bedömningen av påföljdsavgiftens belopp. Om det är fråga om överträdelse av EU:s gräsrotsfinansieringsförordning ska överträdelsens inverkan på investerarnas intressen beaktas vid bedömningen av påföljdsavgiftens belopp. Om det är fråga om överträdelse av EU:s DORA-förordning, ska artikel 51.2 i den förordningen iakttas i stället för 2 mom. vid bedömningen av påföljdsavgiftens belopp.

Om ordningsavgift, offentlig varning eller påföljdsavgift påförs på grund av en överträdelse av EU:s DORA-förordning, ska artikel 54 i EU:s DORA-förordning tillämpas i stället för denna paragraf på offentliggörandet av beslutet.

Finansinspektionen är den behöriga myndighet som avses i artikel 46 i EU:s DORA-förordning och den myndighet som avses i artikel 26.9 i den förordningen.

Finansinspektionen är den behöriga myndighet som avses i artikel 8.1 i NIS 2-direktivet i fråga om sektorerna 3 och 4 i bilaga I till direktivet.

Finansinspektionen är den behöriga myndighet som avses i artikel 9.1 i CER-direktivet i fråga om sektorerna 3 och 4 i bilagan till direktivet.

Utöver vad som föreskrivs i lagen om offentlighet i myndigheternas verksamhet (621/1999) har Finansinspektionen utan hinder av sekretessbestämmelserna rätt att lämna ut information till

19) Europeiska kommissionen när sådan information i anknytning till tillsynen över finansmarknaden krävs för att kommissionen ska kunna utöva sina befogenheter,

20) Transport- och kommunikationsverket för genomförande av det samarbete som avses i 3 f § 3 mom., när det gäller störningar och hot relaterade till informations- och kommunikationsteknik.

Denna lag träder i kraft den 20 .

Ett kreditinstitut ska ha effektiva, tillförlitliga och dokumenterade förvaltnings- och styrningssystem för identifiering, hantering, begränsning, övervakning och rapportering av nuvarande och framtida risker som kreditinstitutet och dess verksamhet exponeras för. Systemen ska omfatta

1) en tydlig organisationsstruktur med väldefinierade och konsekventa befogenhets- och ansvarsförhållanden,

2) effektiva rapporteringsprocesser för riskhanteringen,

3) sunda processer för intern kontroll, inklusive förvaltnings- och redovisningsrutiner,

4) nätverks- och informationssystem enligt Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011, nedan EU:s DORA-förordning , och de bestämmelser som utfärdats med stöd av den,

5) en ersättningspolicy och ersättningspraxis som är förenlig med och främjar sund och effektiv riskhantering.

Kreditinstitutet ska ha beredskaps- och kontinuitetsplaner för att bereda sig för allvarliga störningar i affärsverksamheten samt säkerställa sin förmåga att fortlöpande bedriva verksamhet och begränsa förlusterna i störningssituationer. Bestämmelser om den kontinuitetspolicy och de kontinuitetsplaner för informations- och kommunikationstekniken ( IKT ) i kreditinstitutets affärsverksamhet och de åtgärds- och återställningsplaner avseende IKT som ska ingå i de nämnda planerna finns i artikel 11 i EU:s DORA-förordning.

Tillsynsmyndigheten ska i sin bedömning enligt 1 mom. beakta åtminstone

10) den ränterisk i den finansiella balansräkningen som riktar sig mot kreditinstitutet,

11) de risker som framkommer vid testningen av den digitala operativa motståndskraften enligt kapitel IV i EU:s DORA-förordning.

Denna lag träder i kraft den 20 .

Värdepappersföretaget ska vidta rimliga åtgärder för att säkerställa kontinuitet och regelbundenhet i tillhandahållandet av investeringstjänster och bedrivandet av investeringsverksamhet. Värdepappersföretaget ska i det syftet använda ändamålsenliga och proportionella system, resurser och förfaranden. Kontroll- och säkerhetsarrangemangen för elektronisk databehandling ska överensstämma med Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011, nedan EU:s DORA-förordning , och de bestämmelser som utfärdats med stöd av den.

Värdepappersföretaget ska tillämpa sunda förfaranden för förvaltning och redovisning samt ha mekanismer för intern kontroll och effektiva riskbedömningsmetoder.

Värdepappersföretaget ska, utan att begränsa Finansinspektionens tillgång till information, ha inrättat sunda skyddsmekanismer för att garantera skyddet och autentiseringen vid informationsöverföringen i enlighet med EU:s DORA-förordning och de bestämmelser som utfärdats med stöd av den, minimera risken för dataförvanskning och för obehörig åtkomst samt förhindra informationsläckor så att uppgifterna alltid behandlas konfidentiellt.

Ett värdepappersföretag som bedriver algoritmisk handel ska ha inrättat effektiva system och riskkontroller som är anpassade för den verksamhet som drivs för att

1) säkerställa att dess handelssystem är motståndskraftiga och har tillräcklig kapacitet i enlighet med kapitel II i EU:s DORA-förordning och de bestämmelser som utfärdats med stöd av det samt att de omfattas av lämpliga handelströsklar och handelslimiter,

Ett värdepappersföretag som avses i 1 mom. ska dessutom ha inrättat effektiva arrangemang för driftskontinuitet för att hantera avbrott av driften i sina handelssystem. Värdepappersföretaget ska ha en sådan kontinuitetspolicy och sådana kontinuitetsplaner för informations- och kommunikationsteknik ( IKT ) samt sådana åtgärds- och återställningsplaner avseende IKT som avses i artikel 11 i EU:s DORA-förordning. Värdepappersföretaget ska säkerställa att systemen är fullständigt testade och vederbörligen övervakade för att säkerställa att de uppfyller de krav som föreskrivs i 1 och 2 mom. och i EU:s DORA-förordning och med stöd av den.

Denna lag träder i kraft den 20 .

Betalningsinstitut, personer som tillhandahåller betaltjänster med stöd av ett undantag enligt 7 § och sådana leverantörer av kontoinformationstjänster som avses i 7 b § ska inrätta ett tillräckligt riskhanteringssystem med riskhanteringsåtgärder och kontrollmekanismer för att hantera operativa risker och säkerhetsrisker i anslutning till de betaltjänster som de tillhandahåller. De ska ha ett effektivt incidenthanteringsförfarande och kunna upptäcka och klassificera allvarliga operativa incidenter och säkerhetsincidenter. Bestämmelserna i detta moment begränsar inte tillämpningen av kapitel II i Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011, nedan EU:s DORA-förordning , och de bestämmelser som utfärdats med stöd av det.

Ett kontoförande betalningsinstitut och en person som tillhandahåller betaltjänster med stöd av ett undantag enligt 7 § ska göra en anmälan till Finansinspektionen, om de upptäcker att en leverantör av kontoinformationstjänster eller en leverantör av betalningsinitieringstjänster använder ett betalkonto på ett obehörigt eller bedrägligt sätt och det kontoförande betalningsinstitutet eller den som tillhandahåller betaltjänster med stöd av ett undantag enligt 7 § på denna grund förhindrar leverantörens tillträde till betalkontot. Anmälan ska innehålla tillräcklig information om incidenten och om åtgärder med anledning av den. Finansinspektionen ska bedöma fallet och vidta behövliga åtgärder.

Betalningsinstitut, personer som tillhandahåller betaltjänster med stöd av ett undantag enligt 7 § och sådana leverantörer av kontoinformationstjänster som avses i 7 b § ska minst en gång per år lämna Finansinspektionen statistiska uppgifter om bedrägerier i samband med betalningsinstrument. Finansinspektionen ska lämna Europeiska bankmyndigheten och Europeiska centralbanken dessa uppgifter i aggregerad form. Finansinspektionen får meddela närmare föreskrifter om den rapporteringsskyldighet som avses i detta moment.

Vad som föreskrivs i 1 och 2 mom. tillämpas inte på institut för elektroniska pengar.

Bestämmelser om skyldigheten för betalningsinstitut, personer som tillhandahåller betaltjänster med stöd av ett undantag enligt 7 §, sådana leverantörer av kontoinformationstjänster som avses i 7 b § och utgivare av elektroniska pengar att anmäla incidenter relaterade till informations- och kommunikationsteknik samt betalningsrelaterade operativa incidenter eller säkerhetsincidenter finns i kapitel III i EU:s DORA-förordning.

Denna lag träder i kraft den 20 .

En börs ska organisera sin verksamhet på ett tillförlitligt sätt med beaktande av arten och omfattningen av dess affärsverksamhet. Börsen ska i alla situationer säkerställa den verksamhetsrelaterade riskhanteringen och verksamhetens kontinuitet. Börsen ska hantera risker relaterade till informations- och kommunikationsteknik ( IKT ) i enlighet med kapitel II i Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011, nedan EU:s DORA-förordning , och de bestämmelser som utfärdats med stöd av det.

Börsen ska säkerställa tillförlitligheten och kontinuiteten i handelssystemet också i störningssituationer. Börsen ska ha operativ motståndskraft, som den ska upprätthålla i enlighet med kapitel II i EU:s DORA-förordning och de bestämmelser som utfärdats med stöd av det, så att börsens handelssystem är tillräckligt motståndskraftiga, att den har tillräcklig kapacitet för att hantera toppbelastning i fråga om order- och meddelandevolymer och att den kan upprätthålla ordnad handel under svåra förhållanden på marknaden. För att säkerställa kontinuiteten i tjänsterna på en reglerad marknad ska börsen ha en sådan IKT-kontinuitetspolicy och sådana IKT-kontinuitetsplaner samt sådana åtgärds- och återställningsplaner avseende IKT som avses i artikel 11 i EU:s DORA-förordning. Börsen ska regelbundet testa handelssystemets funktion med belastningstest för att uppfylla de krav som nämns ovan.

Vad som i 1 mom. föreskrivs om börser ska på motsvarande sätt tillämpas på börsers holdingföretag, med undantag för skyldigheten att hantera IKT-relaterade risker i enlighet med kapitel II i EU:s DORA-förordning och de bestämmelser som utfärdats med stöd av det.

En börs ska ha tillgång till effektiva system och förfaranden för att säkerställa att algoritmisk handel inte orsakar eller är ägnad att orsaka otillbörliga handelsförhållanden och att börsen kan hantera alla otillbörliga handelsförhållanden som beror på algoritmisk handel. Börsens system och förfaranden ska omfatta

1) skyldighet för handelsparter att testa sina algoritmer i börsens testmiljö i enlighet med kapitel II och IV i EU:s DORA-förordning och de bestämmelser som utfärdats med stöd av dem,

Denna lag träder i kraft den 20 .

Ett fondbolag får inte i sin verksamhet ta så stora risker att dess soliditet utsätts för väsentlig fara. Fondbolaget ska ha med hänsyn till verksamheten tillräcklig intern kontroll och tillräckliga riskhanteringssystem. Kontroll- och säkerhetsarrangemangen för elektronisk databehandling ska överensstämma med Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011 och de bestämmelser som utfärdats med stöd av den.

Denna lag träder i kraft den 20 .

En AIF-förvaltare ska ha tillförlitliga förfaranden för administration och redovisning. Kontroll- och säkerhetsarrangemangen för elektronisk databehandling ska överensstämma med Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011 och de bestämmelser som utfärdats med stöd av den.

Denna lag träder i kraft den 20 .

På en tilläggspensionsanstalt med färre än 100 försäkrade ( liten tilläggspensionsanstalt ) ska inte 3 kap. 1 och 5–11 §, 12 § 1–3 mom., 13 och 15–17 §, 4 kap. 2 §, 6 kap. 27–35 §, 7 kap. 1 §, 2 § 2 mom., 4, 5 och 8–12 §, 13 kap. och 15 kap. 1–6 och 8–10 § tillämpas.

På en tilläggspensionsanstalt med färre än 16 försäkrade ska, utöver vad som föreskrivs i 1 mom., tillämpas inte 3 kap. 4 § och 12 § 4 mom. och inte heller 6 kap. 3 § och 16 § 1 mom.

Tilläggspensionsanstaltens nätverks- och informationssystem ska överensstämma med Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011 och de bestämmelser som utfärdats med stöd av den.

Denna lag träder i kraft den 20 .

Försäkringsbolaget ska säkerställa kontinuiteten i verksamheten och att verksamheten bedrivs på ett säkert sätt. I detta syfte ska försäkringsbolaget utarbeta en kontinuitetsplan. Försäkringsbolagets nätverks- och informationssystem ska överensstämma med Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011 och de bestämmelser som utfärdats med stöd av den.

Denna lag träder i kraft den 20 .

På bolaget tillämpas inte Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011.

Denna lag träder i kraft den 20 .

På bolaget tillämpas inte Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011.

Denna lag träder i kraft den 20 .