(1)

Usługi Europejskiego Systemu Banków Centralnych (ESBC) są zapewniane bankom centralnym w ramach ESBC w celu pośredniego wsparcia realizacji ich zadań. Usługi ESBC są opracowywane, obsługiwane i utrzymywane przez jeden lub większą liczbę banków centralnych (zwanych dalej "dostarczającymi bankami centralnymi") i zarządzane przez komitet ESBC (zwany dalej "komitetem będącym właścicielem systemu"). Usługi ESBC są finansowane przez uczestniczące banki centralne ESBC (zwane dalej "uczestniczącymi bankami centralnymi"), których odpowiednie wkłady są określone w kopertach finansowych zatwierdzonych przez Radę Prezesów. Prawa i obowiązki uczestniczących banków centralnych są określone w aktach prawnych Europejskiego Banku Centralnego (EBC), tak jak w przypadku infrastruktury klucza publicznego ESBC ("PKI ESBC"), lub w umowach między uczestniczącymi bankami centralnymi.

(2)

Ramy prawne świadczenia niektórych usług ESBC nie przewidują obecnie korzystania z nich przez podmioty niebędące bankami centralnymi w ramach ESBC.

(3)

Rada Prezesów uważa za właściwe, aby właściwe organy miały możliwość korzystania z tych usług na potrzeby współpracy z ESBC i ze sobą nawzajem, w celu wykonywania ich zadań w ramach Jednolitego Mechanizmu Nadzorczego (SSM) ustanowionego na mocy rozporządzenia Rady (UE) nr 1024/2013 (1) na podstawie art. 127 ust. 6 Traktatu.

(4)

Właściwe organy korzystające z usług ESBC do tych celów powinny przestrzegać ram prawnych regulujących każdą usługę ESBC, uwzględniając fakt, że właściwe organy nie są częścią ram zarządzania ESBC. W szczególności takie właściwe organy powinny partycypować w kosztach opracowania i utrzymywania tych usług zgodnie z określonymi zasadami dotyczącymi zwrotu kosztów, które powinny opierać się na kluczu alokacji kosztów.

(5)

Rada Prezesów uważa również, że należy umożliwić organom współpracującym korzystanie z tych usług do celów współpracy z ESBC lub SSM przy wykonywaniu ich zadań, w tym zadań EBC na mocy rozporządzenia (UE) nr 1024/2013.

(6)

Organy współpracujące, które zdecydują się na korzystające z tych usług powinny przestrzegać ram prawnych regulujących każdą usługę ESBC, uwzględniając fakt, że organy współpracujące nie są częścią ram zarządzania ESBC. W stosownych przypadkach organy współpracujące powinny partycypować w kosztach opracowania i utrzymywania tych usług zgodnie z określonymi zasadami dotyczącymi zwrotu kosztów, które powinny opierać się na kluczu alokacji kosztów.

(7)

W związku z tym usługi ESBC, które powinny być udostępniane właściwym organom i organom współpracującym, należy zdefiniować poprzez odniesienie do wyczerpującego wykazu obejmującego usługi ESBC, z których właściwe organy są zobowiązane korzystać, a także usługi, z których mogą korzystać.

(8)

Ponadto należy zmienić decyzję Europejskiego Banku Centralnego EBC/2013/1 (2), aby umożliwić organom współpracującym korzystanie z usług PKI ESBC w celu uzyskania dostępu do usług ESBC i korzystania z nich,

-

CoreNet3

-

Korporacyjna magistrala usług (Enterprise Service Bus - ESB)

-

Infrastruktura klucza publicznego ESBC (PKI ESBC)

-

Usługa zarządzania tożsamością i dostępem (Identity and Access Management Service - IAM)

-

Bezpieczna poczta elektroniczna ESBC (Secure ESCB Email - SEE)

-

System telekonferencyjny ESBC

-

ESCB Performing Survey Initiative LimeSurvey-based Solution (EPSILON)

-

Narzędzie do modelowania i repozytorium ENTM (ENTM modelling tool and repository)

1)

Właściwe organy wykonują zadania i przejmują obowiązki odpowiadające ich roli w odpowiedniej usłudze ESBC.

2)

Właściwe organy dostosowują swoje wewnętrzne systemy i interfejsy, aby zapewnić ich sprawną współpracę z usługą ESBC.

3)

Właściwe organy ponoszą odpowiedzialność za wszelkie straty lub szkody poniesione w wyniku umyślnego lub wynikającego z niedbalstwa działania lub zaniechania w wykonywaniu swoich obowiązków. Ograniczenie odpowiedzialności określone w umowie między poziomem 2 a poziomem 3 stosuje się odpowiednio.

4)

Na właściwych organach spoczywa ciężar dowodu, jeżeli chodzi o wykazanie, że nie naruszyły one obowiązku zachowania należytej staranności przy wykonywaniu swoich obowiązków, w tym przy obsłudze urządzeń technicznych.

5)

Outsourcing, delegowanie lub zlecenie podwykonawstwa przez właściwy organ osobom trzecim pozostaje bez wpływu na odpowiedzialność tego właściwego organu.

Właściwe organy mogą powierzać w ramach outsourcingu, delegować lub zlecać w ramach podwykonawstwa osobom trzecim zadania, które mają lub mogą mieć istotny wpływ na zgodność z wymogami określonymi w niniejszym załączniku, wyłącznie w zakresie, w jakim uzyskały one wyraźną, uprzednią i pisemną zgodę (lub zgodę dorozumianą, zgodnie z pkt 6), w zależności od przypadku, banków centralnych Eurosystemu lub banków centralnych ESBC. Zgoda taka nie jest konieczna, jeżeli osoba trzecia jest podmiotem powiązanym z odpowiednim właściwym organem i jeżeli prawa i obowiązki tego właściwego organu pozostają zasadniczo niezmienione.

6)

Właściwe organy z odpowiednim wyprzedzeniem powiadamiają o planowanym outsourcingu, delegowaniu lub zleceniu podwykonawstwa, o których mowa w pkt 5, oraz przedstawiają szczegółowe informacje na temat wymogów, które proponuje się zastosować do takiego outsourcingu, delegowania lub zlecenia podwykonawstwa.

Właściwy komitet ESBC odpowiada na wszelkie wnioski o wyrażenie zgody, o których mowa w pkt 5, w terminie dwóch miesięcy od otrzymania powiadomienia o planowanym outsourcingu, delegowaniu lub zleceniu podwykonawstwa. Odmowa udzielenia zgody wymaga uzasadnienia. Jeżeli właściwy organ nie otrzyma odpowiedzi w terminie dwóch miesięcy, może ponownie powiadomić właściwy komitet ESBC o swoim wniosku. Po otrzymaniu drugiego powiadomienia banki centralne Eurosystemu lub banki centralne ESBC, w zależności od przypadku, mają dodatkowy miesiąc na udzielenie odpowiedzi. W przypadku braku odpowiedzi w tym terminie uznaje się, że właściwy organ otrzymał zgodę na outsourcing, delegowanie lub zlecenie podwykonawstwa.

7)

Właściwe organy zachowują poufność wszystkich szczególnie chronionych, tajnych lub poufnych informacji i know-how (niezależnie od tego, czy informacje te mają charakter handlowy, finansowy, regulacyjny, techniczny, czy inny), które są oznaczone jako takie i należą do dostarczającego banku centralnego lub innych banków centralnych ESBC lub Eurosystemu, i nie mogą ujawniać takich informacji osobom trzecim bez wyraźnej, uprzedniej i pisemnej zgody danego banku centralnego lub danych banków centralnych.

8)

Właściwe organy ograniczają dostęp do informacji lub know-how, o których mowa w pkt 7, do swojego odpowiedniego personelu technicznego i dostęp taki jest umożliwiany wyłącznie w przypadkach wyraźnej potrzeby operacyjnej.

9)

Właściwe organy ustanawiają odpowiednie środki w celu uniemożliwienia dostępu do takich poufnych informacji lub know-how osobom innym niż odpowiedni personel techniczny.

10)

W wyjątkowych przypadkach, gdy korzystanie z usługi ESBC wiąże się z przetwarzaniem przez właściwy organ danych osobowych, właściwy organ przestrzega obowiązujących przepisów o ochronie danych. Banki centralne Eurosystemu lub, w zależności od przypadku, banki centralne ESBC określają cele i środki przetwarzania danych osobowych. W odniesieniu do przetwarzania danych osobowych właściwy organ i banki centralne Eurosystemu lub, w zależności od przypadku, banki centralne ESBC powinny dążyć do zawarcia umowy precyzującej niezbędne aspekty stosunku między administratorem a podmiotem przetwarzającym.

Właściwy organ informuje właściwe organy w zakresie ochrony danych o przetwarzaniu danych osobowych w kontekście odpowiedniej usługi ESBC, jeżeli jest to wymagane na mocy przepisów o ochronie danych mających zastosowanie do przetwarzania przez niego danych osobowych.

11)

Dostęp do danych osobowych może być przyznany wyłącznie podmiotom, dla których jest on niezbędny, w oparciu o zasadę wiedzy koniecznej, do wykonywania ich zadań i wypełniania obowiązków związanych z odpowiednią usługą ESBC.