3 straipsnis. Terminų apibrėžtys

Šiame reglamente vartojamų terminų apibrėžtys:

1) skaitmeninės veiklos atsparumas – finansų sektoriaus subjekto gebėjimas sukurti, užtikrinti ir peržiūrėti savo veiklos vientisumą ir patikimumą, tiesiogiai ar netiesiogiai naudojantis IRT paslaugas teikiančių trečiųjų šalių suteiktomis paslaugomis, užtikrinant visus su IRT susijusius pajėgumus, reikalingus tinklų ir informacinių sistemų, kuriomis finansų sektoriaus subjektas naudojasi, saugumui užtikrinti, ir kuriais užtikrinamas nuolatinis finansinių paslaugų teikimas ir jų kokybė, be kita ko, esant sutrikimams;

2) tinklų ir informacinė sistema – tinklų ir informacinė sistema, kaip apibrėžta Direktyvos (ES) 2022/2555 6 straipsnio 1 punkte;

3) senoji IRT sistema – gyvavimo ciklo pabaigą (eksploatacijos pabaigą) pasiekusi IRT sistema, kuri dėl technologinių ar komercinių priežasčių nėra tinkama atnaujinti ar pataisyti arba kurios nebepalaiko jos tiekėjas ar IRT paslaugas teikianti trečioji šalis, tačiau kuri vis dar naudojama ir palaiko finansų sektoriaus subjekto funkcijas;

4) tinklų ir informacinių sistemų saugumas – tinklų ir informacinių sistemų saugumas, kaip apibrėžta Direktyvos (ES) 2022/2555 6 straipsnio 2 punkte;

5) IRT rizika – bet kokia pagrįstai atpažįstama aplinkybė, susijusi su tinklų ir informacinių sistemų naudojimu, kuriai susiklosčius gali būti pakenkta tinklų ir informacinių sistemų, bet kurios nuo technologijų priklausomos priemonės ar proceso, operacijų ir procesų arba paslaugų teikimo saugumui, sukeliant neigiamą poveikį skaitmeninei arba fizinei aplinkai;

6) informacinis turtas – materialios arba nematerialios informacijos, kurią verta apsaugoti, rinkinys;

7) IRT turtas – programinė arba aparatinė įranga, finansų sektoriaus subjekto naudojama tinklų ir informacinėse sistemose;

8) su IRT susijęs incidentas – vienas įvykis arba keletas susijusių įvykių, kurių neplanavo finansų sektoriaus subjektas ir kurie kenkia tinklų ir informacinių sistemų saugumui ir daro neigiamą poveikį duomenų prieinamumui, autentiškumui, vientisumui ar konfidencialumui arba finansų sektoriaus subjekto teikiamoms paslaugoms;

9) su mokėjimu susijęs operacinis arba saugumo incidentas – 2 straipsnio 1 dalies a–d punktuose nurodytų finansų sektoriaus subjektų nesuplanuotas vienas arba keletas susijusių įvykių, kurie yra susiję arba nesusiję su IRT, darančių neigiamą poveikį su mokėjimu susijusių duomenų prieinamumui, autentiškumui, vientisumui ar konfidencialumui arba finansų sektoriaus subjekto teikiamoms su mokėjimu susijusioms paslaugoms;

10) didelis su IRT susijęs incidentas – su IRT susijęs incidentas, darantis didelį neigiamą poveikį tinklų ir informacinėms sistemoms, naudojamoms finansų sektoriaus subjekto ypatingos svarbos arba svarbioms funkcijoms palaikyti;

11) didelis su mokėjimu susijęs operacinis arba saugumo incidentas – su mokėjimu susijęs operacinis arba saugumo incidentas, darantis didelį neigiamą poveikį teikiamoms su mokėjimu susijusioms paslaugoms;

12) kibernetinė grėsmė – kibernetinė grėsmė, kaip apibrėžta Reglamento (ES) 2019/881 2 straipsnio 8 punkte;

13) didelė kibernetinė grėsmė – kibernetinė grėsmė, kurios techninės savybės rodo, kad ji gali sukelti didelį su IRT susijusį incidentą arba didelį su mokėjimu susijusį operacinį arba saugumo incidentą;

14) kibernetinis išpuolis – su IRT susijęs piktavališkas incidentas, kuris yra sukeliamas, kai priešiškas subjektas bando sunaikinti, atskleisti, pakeisti, išjungti, pavogti ar įgyti neteisėtą prieigą prie bet kokio turto arba neteisėtai juo naudotis;

15) žvalgybos informacija apie grėsmes – informacija, kuri yra apibendrinama, pertvarkoma, analizuojama, aiškinama arba patikslinama siekiant pateikti būtiną kontekstą sprendimų priėmimui ir sudaryti sąlygas tinkamai ir pakankamai suprasti, kaip mažinti su IRT susijusio incidento arba kibernetinės grėsmės poveikį, įskaitant techninius kibernetinio išpuolio duomenis, už išpuolį atsakingus asmenis ir jų modus operandi bei motyvus;

16) pažeidžiamumas – turto, sistemos, proceso ar kontrolės priemonės silpnoji vieta, jautrumas ar trūkumas, kuriais gali būti pasinaudota;

17) grėsmėmis grindžiamas skverbimosi testavimas (TLPT) – sistema, kuria imituojama realių priešiškų subjektų, kurie laikomi keliančiais tikrą kibernetinę grėsmę, taktika, metodai ir procedūros ir pagal kurią atliekamas kontroliuojamas, specialiai pritaikytas, žvalgybos informacija grindžiamas (raudonosios komandos atliekamas) finansų sektoriaus subjekto ypatingos svarbos tikralaikių produkcijos sistemų testas;

18) trečiosios šalies keliama IRT rizika – IRT rizika, su kuria gali susidurti finansų sektoriaus subjektas, naudodamasis IRT paslaugas teikiančių trečiųjų šalių arba jų subrangovų teikiamomis IRT paslaugomis, be kita ko, pagal veiklos rangos susitarimus;

19) IRT paslaugas teikianti trečioji šalis – IRT paslaugas teikianti įmonė;

20) grupės vidaus IRT paslaugų teikėjas – įmonė, priklausanti finansų grupei ir teikianti daugiausia IRT paslaugas tos pačios grupės finansų sektoriaus subjektams arba tai pačiai institucinei užtikrinimo sistemai priklausantiems finansų sektoriaus subjektams, įskaitant jų patronuojančiąsias įmones, patronuojamąsias įmones, filialus ar kitus subjektus, kurie jiems bendrai priklauso arba yra jų kontroliuojami;

21) IRT paslaugos – skaitmeninės ir duomenų paslaugos, nuolat teikiamos naudojantis IRT sistemomis vienam ar keliems vidaus ar išorės naudotojams, įskaitant aparatinę įrangą kaip paslaugą ir aparatinės įrangos paslaugas, kurios apima techninės paramos teikimą, aparatinės įrangos teikėjui atliekant programinės įrangos arba programinės aparatinės įrangos atnaujinimus, išskyrus tradicines analoginio telefono ryšio paslaugas;

22) ypatingos svarbos arba svarbi funkcija – funkcija, kuriai sutrikus būtų reikšmingai pakenkta finansų sektoriaus subjekto finansinės veiklos rezultatams arba jo paslaugų ir veiklos patikimumui ar tęstinumui arba kurios nebevykdant, vykdant su trūkumais arba netinkamai būtų reikšmingai pakenkta finansų sektoriaus subjekto veiklos leidime nurodytų sąlygų ir pareigų arba kitų jo įsipareigojimų pagal taikytiną finansinių paslaugų teisę nenutrūkstamam vykdymui;

23) ypatingos svarbos IRT paslaugas teikianti trečioji šalis – IRT paslaugas teikianti trečioji šalis, pripažinta kaip ypatingos svarbos pagal 31 straipsnį;

24) trečiojoje valstybėje įsisteigusi IRT paslaugas teikianti trečioji šalis – IRT paslaugas teikianti trečioji šalis, kuri yra trečiojoje valstybėje įsisteigęs juridinis asmuo ir kuri yra sudariusi sutartimi įformintą susitarimą su finansų sektoriaus subjektu dėl IRT paslaugų teikimo;

25) patronuojamoji įmonė – patronuojamoji įmonė, kaip tai suprantama Direktyvos 2013/34/ES 2 straipsnio 10 punkte ir 22 straipsnyje;

26) grupė – grupė, kaip apibrėžta Direktyvos 2013/34/ES 2 straipsnio 11 punkte;

27) patronuojančioji įmonė – patronuojančioji įmonė, kaip tai suprantama Direktyvos 2013/34/ES 2 straipsnio 9 punkte ir 22 straipsnyje;

28) trečiojoje valstybėje įsisteigęs IRT subrangovas – IRT subrangovas, kuris yra trečiojoje valstybėje įsisteigęs juridinis asmuo ir kuris yra sudaręs sutartimi įformintą susitarimą su IRT paslaugas teikiančia trečiąja šalimi arba trečiojoje valstybėje įsisteigusia IRT paslaugas teikiančia trečiąja šalimi;

29) IRT koncentracijos rizika – dėl atskirų arba kelių susijusių ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių kylanti rizika, dėl kurios atsiranda tam tikra priklausomybė nuo tokių paslaugų teikėjų, kai dėl tokio paslaugų teikėjo neprieinamumo, žlugimo ar kitokio pobūdžio trūkumo gali kilti pavojus, kad finansų sektoriaus subjektas nebegalės vykdyti ypatingos svarbos arba svarbių funkcijų arba patirs kitokio pobūdžio neigiamą poveikį, įskaitant didelius nuostolius, arba gali kilti pavojus visos Sąjungos finansiniam stabilumui;

30) valdymo organas – valdymo organas, kaip apibrėžta Direktyvos 2014/65/ES 4 straipsnio 1 dalies 36 punkte, Direktyvos 2013/36/ES 3 straipsnio 1 dalies 7 punkte, Europos Parlamento ir Tarybos direktyvos 2009/65/EB 2 straipsnio 1 dalies s punkte, Reglamento (ES) Nr. 909/2014 2 straipsnio 1 dalies 45 punkte, Reglamento (ES) 2016/1011 3 straipsnio 1 dalies 20 punkte, ir atitinkamose Reglamento dėl kriptoturto rinkų nuostatose, arba tokius pačius įgaliojimus turintys asmenys, kurie veiksmingai vadovauja subjektui arba vykdo pagrindines funkcijas pagal atitinkamus Sąjungos ar nacionalinės teisės aktus;

31) kredito įstaiga – kredito įstaiga, apibrėžta Europos Parlamento ir Tarybos reglamento (ES) Nr. 575/2013 4 straipsnio 1 dalies 1 punkte;

32) įstaiga, kuriai taikoma išimtis pagal Direktyvą 2013/36/ES – subjektas, kaip nurodyta Direktyvos 2013/36/ES 2 straipsnio 5 dalies 4–23 punktuose;

33) investicinė įmonė – investicinė įmonė, kaip apibrėžta Direktyvos 2014/65/ES 4 straipsnio 1 dalies 1 punkte;

34) maža ir tarpusavio sąsajų neturinti investicinė įmonė – investicinė įmonė, atitinkanti Europos Parlamento ir Tarybos reglamento (ES) 2019/2033 12 straipsnio 1 dalyje nustatytas sąlygas;

35) mokėjimo įstaiga – mokėjimo įstaiga, kaip apibrėžta Direktyvos (ES) 2015/2366 4 straipsnio 4 punkte;

36) mokėjimo įstaiga, kuriai taikoma išimtis pagal Direktyvą (ES) 2015/2366 – mokėjimo įstaiga, kuriai taikoma išimtis pagal Direktyvos (ES) 2015/2366 32 straipsnio 1 dalį;

37) informavimo apie sąskaitas paslaugų teikėjas – informavimo apie sąskaitas paslaugų teikėjas, kaip nurodyta Direktyvos (ES) 2015/2366 33 straipsnio 1 dalyje;

38) elektroninių pinigų įstaiga – elektroninių pinigų įstaiga, kaip apibrėžta Europos Parlamento ir Tarybos direktyvos 2009/110/EB 2 straipsnio 1 punkte;

39) elektroninių pinigų įstaiga, kuriai taikoma išimtis pagal Direktyvą 2009/110/EB – elektroninių pinigų įstaiga, kuri naudojasi netaikymo sąlyga, kaip nurodyta Direktyvos 2009/110/EB 9 straipsnio 1 dalyje;

40) pagrindinė sandorio šalis – pagrindinė sandorio šalis, kaip apibrėžta Reglamento (ES) Nr. 648/2012 2 straipsnio 1 punkte;

41) sandorių duomenų saugykla – sandorių duomenų saugykla, kaip apibrėžta Reglamento (ES) Nr. 648/2012 2 straipsnio 2 punkte;

42) centrinis vertybinių popierių depozitoriumas – centrinis vertybinių popierių depozitoriumas, kaip apibrėžta Reglamento (ES) Nr. 909/2014 2 straipsnio 1 dalies 1 punkte;

43) prekybos vieta – prekybos vieta, kaip apibrėžta Direktyvos 2014/65/ES 4 straipsnio 1 dalies 24 punkte;

44) alternatyvaus investavimo fondų valdytojas – alternatyvaus investavimo fondų valdytojas, kaip apibrėžta Direktyvos 2011/61/ES 4 straipsnio 1 dalies b punkte;

45) valdymo įmonė – valdymo įmonė, kaip apibrėžta Direktyvos 2009/65/EB 2 straipsnio 1 dalies b punkte;

46) duomenų teikimo paslaugų teikėjas – duomenų teikimo paslaugų teikėjas, kaip tai suprantama Reglamente (ES) Nr. 600/2014, kaip nurodyta jo 2 straipsnio 1 dalies 34–36 punktuose;

47) draudimo įmonė – draudimo įmonė, kaip apibrėžta Direktyvos 2009/138/EB 13 straipsnio 1 punkte;

48) perdraudimo įmonė – perdraudimo įmonė, kaip apibrėžta Direktyvos 2009/138/EB 13 straipsnio 4 punkte;

49) draudimo tarpininkas – draudimo tarpininkas, kaip apibrėžta Europos Parlamento ir Tarybos direktyvos (ES) 2016/97 2 straipsnio 1 dalies 3 punkte;

50) papildomos draudimo veiklos tarpininkas – papildomos draudimo veiklos tarpininkas, kaip apibrėžta Direktyvos (ES) 2016/97 2 straipsnio 1 dalies 4 punkte;

51) perdraudimo tarpininkas – perdraudimo tarpininkas, kaip apibrėžta Direktyvos (ES) 2016/97 2 straipsnio 1 dalies 5 punkte;

52) profesinių pensijų įstaiga – profesinių pensijų įstaiga, kaip apibrėžta Direktyvos (ES) 2016/2341 6 straipsnio 1 punkte;

53) maža profesinių pensijų įstaiga – profesinių pensijų įstaiga, valdanti pensijų sistemas, kurios kartu turi ne daugiau kaip 100 narių;

54) kredito reitingų agentūra – kredito reitingų agentūra, kaip apibrėžta Reglamento (EB) Nr. 1060/2009 3 straipsnio 1 dalies b punkte;

55) kriptoturto paslaugų teikėjas – kriptoturto paslaugų teikėjas, kaip apibrėžta Reglamento dėl kriptoturto rinkų atitinkamoje nuostatoje;

56) su turtu susietų žetonų emitentas – su turtu susietų žetonų emitentas, kaip apibrėžta Reglamento dėl kriptoturto rinkų atitinkamoje nuostatoje;

57) ypatingos svarbos lyginamųjų indeksų administratorius – ypatingos svarbos lyginamųjų indeksų, kaip apibrėžta Reglamento (ES) 2016/1011 3 straipsnio 1 dalies 25 punkte, administratorius;

58) sutelktinio finansavimo paslaugų teikėjas – sutelktinio finansavimo paslaugų teikėjas, kaip apibrėžta Europos Parlamento ir Tarybos reglamento (ES) 2020/1503 2 straipsnio 1 dalies e punkte;

59) pakeitimo vertybiniais popieriais duomenų saugykla – pakeitimo vertybiniais popieriais duomenų saugykla, kaip apibrėžta Europos Parlamento ir Tarybos reglamento (ES) 2017/2402 2 straipsnio 23 punkte;

60) labai maža įmonė – finansų sektoriaus subjektas, kuris nėra prekybos vieta, pagrindinė sandorio šalis, sandorių duomenų saugykla arba centrinis vertybinių popierių depozitoriumas, kuriame dirba mažiau nei 10 asmenų, o jo metinė apyvarta ir (arba) bendra metinio balanso suma neviršija 2 mln. EUR;

61) Atsakingoji priežiūros institucija – Europos priežiūros institucija, paskirta pagal šio reglamento 31 straipsnio 1 dalies b punktą;

62) Jungtinis komitetas – reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 54 straipsnyje nurodytas komitetas;

63) mažoji įmonė – finansų sektoriaus subjektas, kuriame dirba 10 ar daugiau, bet mažiau nei 50 asmenų, o jo metinė apyvarta ir (arba) bendra metinio balanso suma viršija 2 mln. EUR, bet yra ne didesnė nei 10 mln. EUR;

64) vidutinė įmonė – finansų sektoriaus subjektas, kuris nėra mažoji įmonė ir kuriame dirba mažiau kaip 250 darbuotojų, o jo metinė apyvarta neviršija 50 mln. EUR ir (arba) metinio balanso suma neviršija 43 mln. EUR;

65) valdžios institucija – Vyriausybinis arba kitas viešojo administravimo subjektas, įskaitant nacionalinius centrinius bankus.