Artykuł 1

1. W celu osiągnięcia wysokiego wspólnego poziomu operacyjnej odporności cyfrowej w niniejszym rozporządzeniu ustanawia się następujące jednolite wymogi dotyczące bezpieczeństwa sieci i systemów informatycznych wspierających procesy biznesowe podmiotów finansowych:

a) wymogi mające zastosowanie do podmiotów finansowych w odniesieniu do:

(i) zarządzania ryzykiem związanym z wykorzystaniem technologii informacyjno-komunikacyjnych (ICT);

(ii) zgłaszania poważnych incydentów związanych z ICT właściwym organom oraz dobrowolnego informowania ich o znaczących cyberzagrożeniach;

(iii) zgłaszania właściwym organom przez podmioty finansowe, o których mowa w art. 2 ust. 1 lit. a)–d), poważnych incydentów operacyjnych lub poważnych incydentów bezpieczeństwa związanych z płatnościami;

(iv) testowania operacyjnej odporności cyfrowej;

(v) wymiany informacji i analiz w związku z cyberzagrożeniami i podatnościami w tym obszarze;

(vi) środków na rzecz należytego zarządzania ryzykiem ze strony zewnętrznych dostawców usług ICT;

b) wymogi w odniesieniu do ustaleń umownych zawartych między zewnętrznymi dostawcami usług ICT a podmiotami finansowymi;

c) zasady dotyczące ustanowienia i funkcjonowania ram nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT świadczącymi usługi na rzecz podmiotów finansowych;

d) zasady współpracy między właściwymi organami oraz zasady nadzoru i egzekwowania przepisów przez właściwe organy w odniesieniu do wszystkich kwestii objętych niniejszym rozporządzeniem.

2. W odniesieniu do podmiotów finansowych zidentyfikowanych jako podmioty kluczowe lub ważne zgodnie z przepisami krajowymi transponującymi art. 3 dyrektywy (UE) 2022/2555 niniejsze rozporządzenie uznaje się za sektorowy akt prawny Unii do celów art. 4 tej dyrektywy.

3. Niniejsze rozporządzenie pozostaje bez uszczerbku dla odpowiedzialności państw członkowskich w zakresie podstawowych funkcji państwa dotyczących bezpieczeństwa publicznego, obronności i bezpieczeństwa narodowego zgodnie z prawem Unii.