Artikel 3 – Definitioner

1)

»digital operationel modstandsdygtighed«: en finansiel enheds evne til at opbygge, sikre og gennemgå sin operationelle integritet og pålidelighed ved enten direkte eller indirekte gennem anvendelse af tjenester, der leveres af en tredjepartsudbyder af IKT-tjenester, at sikre det fulde spektrum af nødvendige IKT-relaterede kapaciteter med henblik på at varetage sikkerheden i de net- og informationssystemer, som en finansiel enhed anvender, og som understøtter det løbende udbud af finansielle tjenesteydelser og kvaliteten heraf, herunder i forbindelse med forstyrrelser

2)

»net- og informationssystem«: et net- og informationssystem som defineret i artikel 6, nr. 1), i direktiv (EU) 2022/2555

3)

»legacy-IKT-system«: et IKT-system, som har nået enden på sin livscyklus (end-of-life), som af teknologiske eller kommercielle årsager ikke er egnet til opgraderinger eller udbedringer, eller som ikke længere understøttes af leverandøren eller af en tredjepartsudbyder af IKT-tjenester, men som stadig er i brug og understøtter den finansielle enheds funktioner

4)

»sikkerhed i net- og informationssystemer«: sikkerhed i net- og informationssystemer som defineret i artikel 6, nr. 2), i direktiv (EU) 2022/2555

5)

»IKT-risiko«: enhver rimeligt identificerbar omstændighed i forbindelse med brugen af net- og informationssystemer, som, hvis den forekommer, kan kompromittere sikkerheden i net- og informationssystemerne, i eventuelle teknologiafhængige værktøjer eller processer, i operationer og processer, eller i forbindelse med leveringen af tjenester, ved at skabe negative virkninger i det digitale eller fysiske miljø

6)

»informationsaktiv«: en samling af oplysninger, både materielle og immaterielle, som det er værd at beskytte

7)

»IKT-aktiv«: et software- eller hardwareaktiv i de net- og informationssystemer, der anvendes af den finansielle enhed

8)

»IKT-relateret hændelse«: en enkeltstående hændelse eller en række af forbundne hændelser, som ikke har været planlagt af den finansielle enhed, og som kompromitterer sikkerheden i net- og informationssystemerne og har en negativ indvirkning på tilgængeligheden, autenticiteten, integriteten eller fortroligheden af data eller på de tjenester, som den finansielle enhed leverer

9)

»operationel eller sikkerhedsmæssig betalingsrelateret hændelse«: en enkeltstående hændelse eller en række af forbundne hændelser, som ikke har været planlagt af de finansielle enheder, der er omhandlet i artikel 2, stk. 1, litra a)-d), uanset om de er IKT-relaterede eller ej, og som har en negativ indvirkning på tilgængeligheden, autenticiteten, integriteten eller fortroligheden af betalingsrelaterede data eller på de betalingsrelaterede tjenester, der leveres af den finansielle enhed

10)

»større IKT-relateret hændelse«: en IKT-relateret hændelse, som har en stor negativ indvirkning på net- og informationssystemer, som understøtter kritiske eller vigtige funktioner i den finansielle enhed

11)

»større operationel eller sikkerhedsmæssig betalingsrelateret hændelse«: en operationel eller sikkerhedsmæssig betalingsrelateret hændelse, som har en stor negativ indvirkning på de betalingsrelaterede tjenester, der leveres

12)

»cybertrussel«: en cybertrussel som defineret i artikel 2, nr. 8), i forordning (EU) 2019/881

13)

»væsentlig cybertrussel«: en cybertrussel, hvis tekniske karakteristika indikerer, at den potentielt kan resultere i en større IKT-relateret hændelse eller en større operationel eller sikkerhedsmæssig betalingsrelateret hændelse

14)

»cyberangreb«: en ondsindet IKT-relateret hændelse, som er forårsaget af en trusselsaktørs forsøg på ødelæggelse, eksponering, ændring, deaktivering, tyveri af eller opnåelse af uautoriseret adgang til eller uautoriseret brug af et aktiv

15)

»trusselsefterretning«: oplysninger, der er blevet sammenfattet, omdannet, analyseret, fortolket eller beriget for at skabe den nødvendige kontekst for beslutningstagning og for at muliggøre relevant og tilstrækkelig forståelse med henblik på at afbøde virkningerne af en IKT-relateret hændelse eller af en cybertrussel, herunder de tekniske detaljer ved et cyberangreb, kendskab til dem, der er ansvarlige for angrebet, deres måde at operere på og deres hensigter

16)

»sårbarhed«: en svaghed, følsomhed eller fejl i forbindelse med et aktiv, et system, en proces eller en kontrolfunktion, som kan udnyttes

17)

»trusselsbaseret penetrationstest (TLPT)«: en ramme, der efterligner de taktikker, teknikker og procedurer, som bruges af rigtige trusselsaktører og betragtes som reelle cybertrusler, og som muliggør en kontrolleret, skræddersyet, efterretningsbaseret (red team-) test af den finansielle enheds kritiske live-produktionssystemer

18)

»IKT-tredjepartsrisiko«: en IKT-risiko, der kan opstå for en finansiel enhed i forbindelse med dens brug af IKT-tjenester, der leveres af tredjepartsudbydere af IKT-tjenester eller af sidstnævntes underleverandører, herunder gennem ordninger for outsourcing

19)

»tredjepartsudbyder af IKT-tjenester«: en virksomhed, der leverer IKT-tjenester

20)

»koncernintern udbyder af IKT-tjenester«: en virksomhed, som er en del af en finansiel koncern, og som hovedsagelig leverer IKT-tjenester til finansielle enheder inden for samme koncern eller til finansielle enheder, der tilhører samme institutsikringsordning, herunder til deres moderselskaber, datterselskaber, filialer eller andre enheder, der er under fælles ejerskab eller kontrol

21)

»IKT-tjenester«: digitale tjenester og datatjenester, der løbende leveres gennem IKT-systemer til én eller flere interne eller eksterne brugere, herunder hardware som en tjeneste og hardwaretjenester, som omfatter hardwareudbyderens levering af teknisk support via software- eller firmwareopdateringer, eksklusive traditionelle analoge telefonitjenester

22)

»kritisk eller vigtig funktion«: en funktion, hvis forstyrrelse i væsentlig grad kan forringe en finansiel enheds finansielle resultater, eller robustheden eller kontinuiteten af dens tjenester og aktiviteter, eller som, hvis den pågældende funktion afbrydes, er fejlbehæftet eller mislykkes, i væsentlig grad kan forringe en finansiel enheds opfyldelse af de betingelser og forpligtelser, der er forbundet med dens tilladelse, eller af dens andre forpligtelser i henhold til gældende finansiel tjenesteydelsesret

23)

»kritisk tredjepartsudbyder af IKT-tjenester«: en tredjepartsudbyder af IKT-tjenester, der er udpeget som kritisk i overensstemmelse med artikel 31

24)

»tredjepartsudbyder af IKT-tjenester med hjemsted i et tredjeland«: en tredjepartsudbyder af IKT-tjenester, som er en juridisk person med hjemsted i et tredjeland, og som har indgået kontraktlige ordninger med en finansiel enhed om levering af IKT-tjenester

25)

»dattervirksomhed«: en dattervirksomhed i den i artikel 2, nr. 10), og artikel 22 i direktiv 2013/34/EU anvendte betydning

26)

»koncern«: en koncern som defineret i artikel 2, nr. 11), i direktiv 2013/34/EU

27)

»modervirksomhed«: en modervirksomhed i den i artikel 2, nr. 9), og artikel 22 i direktiv 2013/34/EU anvendte betydning

28)

»IKT-underleverandør med hjemsted i et tredjeland«: en IKT-underleverandør, som er en juridisk person med hjemsted i et tredjeland, og som har indgået kontraktlige ordninger enten med en tredjepartsudbyder af IKT-tjenester eller med en tredjepartsudbyder af IKT-tjenester med hjemsted i et tredjeland

29)

»IKT-koncentrationsrisiko«: eksponering for individuelle eller flere indbyrdes forbundne kritiske tredjepartsudbydere af IKT-tjenester, som skaber en grad af afhængighed af sådanne udbydere, der bevirker, at manglende tilgængelighed, svigt eller andre typer af mangler i forbindelse med en sådan udbyder kan være til fare for en finansiel enheds evne til at varetage kritiske eller vigtige funktioner eller medføre andre former for negative virkninger for den, herunder store tab, eller være til fare for den finansielle stabilitet i Unionen som helhed

30)

»ledelsesorgan«: et ledelsesorgan som defineret i artikel 4, stk. 1, nr. 36), i direktiv 2014/65/EU, artikel 3, stk. 1, nr. 7), i direktiv 2013/36/EU, artikel 2, stk. 1, litra s), i Europa-Parlamentets og Rådets direktiv 2009/65/EF (31), artikel 2, stk. 1, nr. 45), i forordning (EU) nr. 909/2014, artikel 3, stk. 1, nr. 20), i forordning (EU) 2016/1011 og i den relevante bestemmelse i forordningen om markeder for kryptoaktiver, eller dertil svarende personer, som varetager den faktiske drift af enheden eller nøglefunktioner i overensstemmelse med relevant EU-ret eller national ret

31)

»kreditinstitut«: kreditinstitut som defineret i artikel 4, stk. 1, nr. 1), i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 (32)

32)

»institut, der er fritaget i henhold til direktiv 2013/36/EU«: en enhed som omhandlet i artikel 2, stk. 5, nr. 4)-23), i direktiv 2013/36/EU

33)

»investeringsselskab«: et investeringsselskab som defineret i artikel 4, stk. 1, nr. 1), i direktiv 2014/65/EU

34)

»lille og ikke indbyrdes forbundet investeringsselskab«: et investeringsselskab, som opfylder de betingelser, der er fastsat i artikel 12, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2019/2033 (33)

35)

»betalingsinstitut«: et betalingsinstitut som defineret i artikel 4, nr. 4), i direktiv (EU) 2015/2366

36)

»betalingsinstitut, der er undtaget i henhold til direktiv (EU) 2015/2366«: et betalingsinstitut, der er undtaget i henhold til artikel 32, stk. 1, i direktiv (EU) 2015/2366

37)

»kontooplysningstjenesteudbyder«: en kontooplysningstjenesteudbyder, jf. artikel 33, stk. 1, i direktiv (EU) 2015/2366

38)

»e-pengeinstitut«: et e-pengeinstitut som defineret i artikel 2, nr. 1), i direktiv 2009/110/EF

39)

»e-pengeinstitut, der er undtaget i henhold til direktiv 2009/110/EF«: et e-pengeinstitut, der er omfattet af en undtagelse som omhandlet i artikel 9, stk. 1, i direktiv 2009/110/EF

40)

»central modpart«: en central modpart som defineret i artikel 2, nr. 1), i forordning (EU) nr. 648/2012

41)

»transaktionsregister«: et transaktionsregister som defineret i artikel 2, nr. 2), i forordning (EU) nr. 648/2012

42)

»værdipapircentral«: en værdipapircentral som defineret i artikel 2, stk. 1, nr. 1), i forordning (EU) nr. 909/2014

43)

»markedsplads«: en markedsplads som defineret i artikel 4, stk. 1, nr. 24), i direktiv 2014/65/EU

44)

»forvalter af alternative investeringsfonde«: en forvalter af alternative investeringsfonde som defineret i artikel 4, stk. 1, litra b), i direktiv 2011/61/EU

45)

»administrationsselskab«: et administrationsselskab som defineret i artikel 2, stk. 1, litra b), i direktiv 2009/65/EF

46)

»udbyder af dataindberetningstjenester«: en udbyder af dataindberetningstjenester i den i forordning (EU) nr. 600/2014 anvendte betydning, jf. artikel 2, stk. 1, nr. 34)-36) deraf

47)

»forsikringsselskab«: et forsikringsselskab som defineret i artikel 13, nr. 1), i direktiv 2009/138/EF

48)

»genforsikringsselskab«: et genforsikringsselskab som defineret i artikel 13, nr. 4), i direktiv 2009/138/EF

49)

»forsikringsformidler«: en forsikringsformidler som defineret i artikel 2, stk. 1, nr. 3), i Europa-Parlamentets og Rådets direktiv (EU) 2016/97 (34)

50)

»accessorisk forsikringsformidler«: en accessorisk forsikringsformidler som defineret i artikel 2, stk. 1, nr. 4), i direktiv (EU) 2016/97

51)

»genforsikringsformidler«: en genforsikringsformidler som defineret i artikel 2, stk. 1, nr. 5), i direktiv (EU) 2016/97

52)

»arbejdsmarkedsrelateret pensionskasse«: en arbejdsmarkedsrelateret pensionskasse som defineret i artikel 6, nr. 1), i direktiv (EU) 2016/2341

53)

»lille arbejdsmarkedsrelateret pensionskasse«: en arbejdsmarkedsrelateret pensionskasse, der forvalter pensionsordninger, som tilsammen har mindre end 100 medlemmer i alt

54)

»kreditvurderingsbureau«: et kreditvurderingsbureau som defineret i artikel 3, stk. 1, litra b), i forordning (EF) nr. 1060/2009

55)

»udbyder af kryptoaktivtjenester«: en udbyder af kryptoaktivtjenester som defineret i den relevante bestemmelse i forordningen om markeder for kryptoaktiver

56)

»udsteder af aktivbaserede tokens«: en udsteder af »aktivbaserede tokens« som defineret i den relevante bestemmelse i forordningen om markeder for kryptoaktiver

57)

»administrator af kritiske benchmarks«: en administrator af »kritiske benchmarks« som defineret i artikel 3, stk. 1, nr. 25), i forordning (EU) 2016/1011

58)

»udbyder af crowdfundingtjenester«: en udbyder af crowdfundingtjenester som defineret i artikel 2, stk. 1, litra e), i Europa-Parlamentets og Rådets forordning (EU) 2020/1503 (35)

59)

»securitiseringsregister«: et securitiseringsregister som defineret i artikel 2, nr. 23), i Europa-Parlamentets og Rådets forordning (EU) 2017/2402 (36)

60)

»mikrovirksomhed«: en finansiel enhed, som ikke er en markedsplads, en central modpart, et transaktionsregister eller en værdipapircentral, med mindre end 10 ansatte og en årlig omsætning og/eller en årlig samlet balance på højst 2 mio. EUR

61)

»ledende tilsynsførende«: den europæiske tilsynsmyndighed, som er udpeget i overensstemmelse med denne forordnings artikel 31, stk. 1, litra b)

62)

»Det Fælles Udvalg«: det udvalg, som er omhandlet i artikel 54 i forordning (EU) nr. 1093/2010, (EU) nr. 1094/2010 og (EU) nr. 1095/2010

63)

»lille virksomhed«: en finansiel enhed med 10 eller flere ansatte men med mindre end 50 ansatte og en årlig omsætning og/eller en årlig samlet balance, der overstiger 2 mio. EUR men på højst 10 mio. EUR

64)

»mellemstor virksomhed«: en finansiel enhed, som ikke er en lille virksomhed, med mindre end 250 ansatte og en årlig omsætning på højst 50 mio. EUR og/eller en årlig balance på højst 43 mio. EUR

65)

»offentlig myndighed«: enhver offentlig enhed eller anden offentlig forvaltningsenhed, herunder nationale centralbanker.