← Bekendtgørelse af lov om finansiel virksomhed

§ Bekendtgørelse af lov om finansiel virksomhed · kapitel 42 af 48

Kapitel 19 – Identifikation af systemisk vigtige finansielle institutter

LBK nr 432 af 16/04/2026

(SIFI)

§ 308. Finanstilsynet udpeger senest den 30. juni hvert år systemisk vigtige finansielle institutter (SIFI) i Danmark, jf. stk. 2 og 3. Pengeinstitutter og realkreditinstitutter, der er omfattet af Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 om tilsynsmæssige krav til kreditinstitutter, kan udpeges som systemisk vigtige finansielle institutter (SIFI) på individuelt, delkonsolideret eller konsolideret grundlag. Finanstilsynet kan uanset 1. pkt. foretage yderligere udpegning af systemisk vigtige finansielle institutter (SIFI), jf. stk. 2 og 3.

Stk. 2. Pengeinstitutter og realkreditinstitutter, der er omfattet af Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber, udpeges som et systemisk vigtigt finansielt institut (SIFI), hvis den beregnede systemiskhed for instituttet, jf. stk. 6, overskrider 100 basispoint i 2 på hinanden følgende år, jf. dog stk. 4.

Stk. 3. Erhvervsministeren kan udpege et institut som nævnt i stk. 1 som et systemisk vigtigt finansielt institut (SIFI), som væsentligt overskrider 100 basispoint ved beregning af instituttets systemiskhed, jf. stk. 6, uagtet den beregnede systemiskhed for instituttet ikke har overskredet 100 basispoint i 2 på hinanden følgende år.

Stk. 4. Et systemisk vigtigt finansielt institut (SIFI) skal have en beregnet systemiskhed, jf. stk. 6, på under 100 basispoint, i 3 på hinanden følgende år for at ophøre med at være et systemisk vigtigt finansielt institut (SIFI), jf. dog stk. 5.

Stk. 5. Uanset stk. 4 kan erhvervsministeren efter anmodning fra instituttet beslutte, at et systemisk vigtigt finansielt institut (SIFI) ikke længere er systemisk, hvis det systemisk vigtige finansielle institut (SIFI) ligger væsentligt under 100 basispoint ved beregning af systemiskheden for instituttet, jf. stk. 6.

Stk. 6. Finanstilsynet skal beregne institutternes systemiskhed opgjort i basispoint som den vægtede sum ganget med 10.000 af de andele, der opgøres som det enkelte instituts andel af den samlede værdi for alle danske penge- og realkreditinstitutter og væsentlige filialer i Danmark af udenlandske penge- og realkreditinstitutter for hver af følgende indikatorer:

Samlede aktiver vægtet med 6/24.
Værdien af nationale betalingstransaktioner vægtet med 2/24.
Indlån i Danmark vægtet med 2/24.
Udlån i Danmark vægtet med 2/24.
Nominel værdi af derivater, som ikke er noteret på et reguleret marked (OTC-derivater) vægtet med 2/24.
Passiver på tværs af jurisdiktioner vægtet med 2/24.
Aktiver på tværs af jurisdiktioner vægtet med 2/24.
Udestående gældsudstedelser vægtet med 2/24.
Passiver inden for det finansielle system (hele verden) vægtet med 1/24.
Aktiver inden for det finansielle system (hele verden) vægtet med 1/24.
Passiver inden for det finansielle system (Danmark) vægtet med 1/24.
Aktiver inden for det finansielle system (Danmark) vægtet med 1/24.

Stk. 7. På baggrund af beregningen af systemiskhed placeres institutterne i en af fem følgende kategorier af systemiskhed:

Kategori 1: Institut med en systemiskhed på 100 basispoint og op til 300 basispoint.
Kategori 2: Institut med en systemiskhed på 300 basispoint og op til 1.000 basispoint.
Kategori 3: Institut med en systemiskhed på 1.000 basispoint og op til 2.000 basispoint.
Kategori 4: Institut med en systemiskhed på 2.000 basispoint og op til 4.000 basispoint.
Kategori 5: Institut med en systemiskhed på 4.000 basispoint og derover.

Stk. 8. Finanstilsynet fastsætter nærmere regler for opgørelsen af de enkelte faktorer, der indgår i beregningen af systemiskheden, jf. stk. 6, og om, hvorvidt opgørelsen skal foretages på individuelt, delkonsolideret eller konsolideret grundlag.

Stk. 9. Finanstilsynet kan fastsætte regler for systemisk vigtige finansielle institutters offentliggørelse af det systemisk vigtige finansielle instituts indikatorer, faktorer og systemiskhed.

§ 309. Et pengeinstitut og et realkreditinstitut, der udpeges som et systemisk vigtigt finansielt institut (SIFI) i henhold til § 308, skal opfylde SIFI-bufferkravene, jf. § 125 g, stk. 3 og 4, jf. § 125 a, stk. 4, senest ved udgangen af det efterfølgende år.

Stk. 2. Er et pengeinstitut eller et realkreditinstitut udpeget som systemisk vigtigt finansielt institut (SIFI) på konsolideret eller delkonsolideret grundlag, jf. § 308, gælder SIFI- bufferkravet, jf. § 125 e, jf. § 125 a, stk. 4, jf. § 125 g, stk. 3 og 4, med samme procentvise krav på konsolideret niveau for koncernen og på individuelt niveau for hvert enkelt pengeinstitut og realkreditinstitut, der indgår i koncernen.

Stk. 3. Et systemisk vigtigt finansielt institut (SIFI), jf. §308, skal opfylde det SIFI-bufferkrav, der følger af ændringer i dets systemiskhed, jf. § 125 g, stk. 3 og 4, jf. § 125 a, stk. 4, ved udgangen af det år, hvor der sker ændringer i dets systemiskhed.

Stk. 4. Stk. 1 og 3 finder tilsvarende anvendelse for de pengeinstitutter og realkreditinstitutter, der i medfør af stk. 2 er pålagt det samme procentvise SIFI-bufferkrav på individuelt niveau, som gælder på konsolideret grundlag for det udpegede systemisk vigtige finansielle institut (SIFI).

Stk. 5. Erhvervsministeren kan beslutte, at et systemisk vigtigt finansielt institut (SIFI) udpeget i henhold til § 308, stk. 1 eller 3, skal opfylde SIFI-bufferkravene, jf. § 125 g, stk. 3 og 4, jf. § 125 a, stk. 4, før den i stk. 1 angivne frist.

Identifikation af globalt systemisk vigtige finansielle institutter (G-SIFI)

§ 310. Finanstilsynet udpeger en gang årligt globalt systemisk vigtige finansielle institutter i Danmark (G-SIFI). Et pengeinstitut, et realkreditinstitut og en finansiel holdingvirksomhed, der er omfattet af Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 om tilsynsmæssige krav til kreditinstitutter, kan udpeges som globalt systemisk vigtigt finansielt institut (G-SIFI) på koncernniveau.

Stk. 2. Udpegningen af globalt systemisk vigtige finansielle institutter (G-SIFI) og indplacering i fem underkategorier for globalt systemisk vigtige finansielle institutter (GSIFI) finder tidligst sted pr. 1. januar 2016 og sker på grundlag af mindst en af følgende indikatorer:

Størrelse.
Forbundethed med det finansielle system.
Substituerbarhed af instituttets aktiver eller den finansielle infrastruktur udbudt af instituttet.
Kompleksitet.
Grænseoverskridende aktiviteter.

Stk. 3. Erhvervsministeren kan fastsætte nærmere regler om opgørelsen af de i stk. 2 nævnte indikatorer samt beregning af systemiskheden af globalt systemisk vigtige finansielle institutter.

Offentliggørelse af identifikationen af systemisk vigtige finansielle institutter (SIFI) og globalt systemisk vigtige finansielle institutter (G-SIFI)

§ 311. Finanstilsynet offentliggør på sin hjemmeside en gang årligt, hvilke systemisk vigtige finansielle institutter (SIFI) og globalt systemisk vigtige finansielle institutter (GSIFI) der er udpeget i henhold til §§ 308 og 310, og deres indplacering i henholdsvis kategorier og underkategorier af systemiskhed.

Ledelse og indretning af virksomheden

§ 312. §§ 77 c, 80 a og 80 b finder tilsvarende anvendelse på systemisk vigtige finansielle institutter (SIFI) og globalt systemisk vigtige finansielle institutter (G-SIFI), hvis kapitalandele ikke er optaget til handel på et reguleret marked, og som ikke i de 2 seneste regnskabsår på balancetidspunktet i gennemsnit har haft 1.000 eller flere fuldtidsansatte.

§ 312 a. (Ophævet)

§ 312 b. Udskydelse af variabel løn efter § 77 a, stk. 1, nr. 5, skal, for så vidt angår medlemmer af bestyrelsen og direktionen i et systemisk vigtigt finansielt institut (SIFI) og et globalt systemisk vigtigt finansielt institut (G-SIFI), ske over en periode på mindst 5 år med påbegyndelse 1 år efter beregningstidspunktet med en ligelig fordeling over årene eller med en voksende andel i slutningen af perioden.

Stk. 2. En væsentlig del af den udskudte variable løndel efter stk. 1 skal, for så vidt angår medlemmer af bestyrelsen og direktionen i et systemisk vigtigt finansielt institut (SIFI) og et globalt systemisk vigtigt finansielt institut (G-SIFI), bestå af en balance af aktier, tilsvarende ejerandele afhængigt af virksomhedens juridiske struktur, aktiebaserede instrumenter eller, hvis der er tale om en virksomhed, hvis kapitalandele ikke er optaget til handel på et reguleret marked, tilsvarende instrumenter, der afspejler virksomhedens kreditværdighed. Pengeinstitutter og realkreditinstitutter skal, hvor det er muligt og hensigtsmæssigt, anvende instrumenter som reguleret i artikel 52 og 63 i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 om tilsynsmæssige krav til kreditinstitutter eller andre instrumenter, der kan konverteres til egentlige kernekapitalinstrumenter eller nedskrives, og som i passende grad afspejler virksomhedens kreditværdighed som en virksomhed, hvis aktivitet formodes af fortsætte. Instrumenterne kan udstedes i virksomheden eller dennes modervirksomhed, der ejer virksomheden fuldt ud.

Grænser for antal ledelsesposter

§ 313. Et medlem af bestyrelsen i et systemisk vigtigt finansielt institut (SIFI) og i et globalt systemisk vigtigt finansielt institut (G-SIFI) må inklusive posten i det pågældende pengeinstitut, realkreditinstitut eller finansielle holdingvirksomhed, der er omfattet af Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 om tilsynsmæssige krav til kreditinstitutter, alene besidde en af følgende kombinationer af direktør- og bestyrelsesposter, jf. dog stk. 2-9:

1 direktørpost kombineret med 2 bestyrelsesposter.
4 bestyrelsesposter.

Stk. 2. Stk. 1 finder ikke anvendelse på medlemmer af bestyrelsen i systemisk vigtige finansielle institutter (SIFI) og i globalt systemisk vigtige finansielle institutter (G-SIFI), hvis medlemmet er indsat i bestyrelsen i det pågældende systemisk vigtige finansielle institut (SIFI) eller globalt systemisk vigtige finansielle institut (G-SIFI) af den danske stat eller et selskab ejet af den danske stat.

Stk. 3. Følgende ledelsesposter skal ikke medregnes ved opgørelsen af antallet af direktør- og bestyrelsesposter efter stk. 1:

Direktør- og bestyrelsesposter i virksomheder og organisationer, der ikke forfølger overvejende kommercielle formål.
Direktør- og bestyrelsesposter i virksomheder omfattet af § 80, stk. 5, og tilsvarende sektorselskaber, medmindre virksomheden eller sektorselskabet er et systemisk vigtigt finansielt institut (SIFI) eller et globalt systemisk vigtigt finansielt institut (G-SIFI).
Bestyrelsesposter i virksomheder, hvor medlemmet er indsat i bestyrelsen af den danske stat eller et selskab ejet af den danske stat, eller hvor virksomheden er ejet af den danske stat.

Stk. 4. Direktør- og bestyrelsesposter i koncernforbundne virksomheder regnes som en samlet post ved opgørelsen af direktør- og bestyrelsesposter efter stk. 1.

Stk. 5. Direktør- og bestyrelsesposter i virksomheder, hvori det systemisk vigtige finansielle institut (SIFI) eller det globalt systemisk vigtige finansielle institut (G-SIFI) ejer en kvalificeret andel, jf. § 5, stk. 3, regnes som en samlet post ved opgørelsen af direktør- og bestyrelsesposter efter stk. 1.

Stk. 6. Finanstilsynet kan tillade, at et bestyrelsesmedlem besidder yderligere én bestyrelsespost end nævnt i stk. 1, hvis dette findes forsvarligt henset til bestyrelsesmedlemmets øvrige ledelsesposter og det arbejde, der er forbundet hermed.

Stk. 7. Finanstilsynet kan i særlige tilfælde, hvor en direktør- eller bestyrelsespost kræver et meget beskedent ressourceforbrug, tillade, at den pågældende post ikke medregnes ved opgørelsen af antallet af direktør- og bestyrelsesposter efter stk. 1.

Stk. 8. Et medlem af bestyrelsen i en virksomhed, der udpeges som et systemisk vigtigt finansielt institut (SIFI) efter § 308, stk. 1, eller et globalt systemisk vigtigt finansielt institut i Danmark (G-SIFI) efter § 310, stk. 1, som på tidspunktet for udpegningen besidder flere direktør- eller bestyrelsesposter end tilladt efter stk. 1, kan fortsat besidde disse direktør- og bestyrelsesposter indtil udløbet af valgperioden for det bestyrelseshverv, som indebærer, at bestyrelsesmedlemmet omfattes af stk. 1.

Stk. 9. Bestyrelsessuppleanter, som indtræder i bestyrelsen i en virksomhed, der er udpeget eller udpeges som et systemisk vigtigt finansielt institut (SIFI) efter § 308, stk. 1, eller et globalt systemisk vigtigt finansielt institut i Danmark (G-SIFI) efter § 310, stk. 1, og som på det tidspunkt, hvor vedkommende indtræder i bestyrelsen, besidder flere direktør- eller bestyrelsesposter end tilladt efter stk. 1, kan fortsat besidde disse direktør- og bestyrelsesposter indtil udløbet af valgperioden for det pågældende bestyrelseshverv i det systemisk vigtige finansielle institut (SIFI) eller det globalt systemisk vigtige finansielle institut i Danmark (G-SIFI).

Særlige regler for nøglepersoner i systemisk vigtige finansielle institutter (SIFI) og i globalt systemisk vigtige finansielle institutter (G-SIFI)

§ 313 a. (Ophævet)

§ 313 b. Uden direktionens godkendelse må et systemisk vigtigt finansielt institut (SIFI) og et globalt systemisk vigtigt finansielt institut (G-SIFI) ikke bevilge eksponering mod eller modtage sikkerhedsstillelse fra

ansatte i instituttet, der er identificeret som nøglepersoner i medfør af § 64 c, stk. 8, jf. stk. 1, eller
virksomheder, hvor personkredsen nævnt i nr. 1 er direkte eller indirekte besidder af en kvalificeret andel eller er bestyrelsesmedlem eller direktør.

Stk. 2. De eksponeringer, der er nævnt i stk. 1, skal bevilges i henhold til instituttets sædvanlige forretningsbetingelser og på markedsbaserede vilkår. Instituttets eksterne revisor skal i revisionsprotokollatet vedrørende årsrapporten afgive erklæring om, hvorvidt kravene i 1. pkt. er opfyldt.

Stk. 3. Direktionen skal overvåge forsvarligheden og forløbet af de eksponeringer, der er nævnt i stk. 1.

Stk. 4. Reglerne i stk. 1-3 gælder også eksponeringer mod personer, der er knyttet til ansatte, som er identificeret som nøglepersoner i medfør af § 64 c, stk. 5, jf. stk. 1, ved ægteskab, samliv i mindst 2 år eller slægtskab i ret op- eller nedstigende linje eller som søskende, og mod virksomheder, for hvilke sådanne personer er direktører.

Særlige regler for likviditet i systemisk vigtige finansielle institutter (SIFI) og i globalt systemisk vigtige finansielle institutter (G-SIFI)

§ 314. Erhvervsministeren kan fastsætte regler vedrørende et likviditetsdækningskrav for systemisk vigtige finansielle institutter (SIFI) og for globalt systemisk vigtige finansielle institutter (G-SIFI).

§§ 315-330. (Ophævet)

Afsnit IX a

Offentlig forbrugerinformation

Kapitel 19 a

§ 331. (Ophævet)

Afsnit IX b

Markeder for kryptoaktiver

Kapitel 19 b

Definitioner

§ 332. I denne lov forstås ved:

Kryptoaktiv: En digital gengivelse af en værdi eller af en rettighed, som kan overføres og lagres elektronisk ved hjælp af distributed ledger-teknologi eller lignende teknologi.
Aktivbaseret token: En form for kryptoaktiv, der ikke er en elektronisk pengetoken, og som hævdes at bevare en stabil værdi ved at henvise til en anden værdi eller rettighed eller en kombination heraf, herunder en eller flere officielle valutaer.
Elektronisk pengetoken eller e-pengetoken: En form for kryptoaktiv, som hævdes at bevare en stabil værdi ved at henvise til værdien af en officiel valuta.
Udsteder af kryptoaktiver: En fysisk eller juridisk person eller en anden virksomhed, der udsteder kryptoaktiver.
Udbyder af kryptoaktiver: En fysisk eller juridisk person eller en anden virksomhed eller en udsteder, som udbyder kryptoaktiver til offentligheden.
Udbyder af kryptoaktivtjenester: En juridisk person eller en anden virksomhed, hvis erhverv eller forretning består i at levere en eller flere kryptoaktivtjenester til kunder på et erhvervsmæssigt grundlag, og som har tilladelse til at levere kryptoaktivtjenester i overensstemmelse med artikel 59 i Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver.
Kryptoaktivtjeneste: En af nedenstående tjenester og aktiviteter vedrørende ethvert kryptoaktiv:

a) Levering af deponering og administration af kryptoaktiver på kunders vegne.

b) Drift af en handelsplatform for kryptoaktiver.

c) Veksling mellem kryptoaktiver og midler.

d) Veksling mellem kryptoaktiver og andre kryptoaktiver.

e) Udførelse af ordrer vedrørende kryptoaktiver på vegne af kunder.

f) Placering af kryptoaktiver.

g) Modtagelse og formidling af ordrer vedrørende kryptoaktiver på vegne af kunder.

h) Rådgivning om kryptoaktiver.

i) Porteføljepleje i forbindelse med kryptoaktiver.

j) Levering af tjenester vedrørende overførsel af kryptoaktiver på vegne af kunder.

Tilladelse og underretning

§ 332 a. En juridisk person eller anden virksomhed, der udbyder aktivbaserede tokens til offentligheden eller anmoder om optagelse af aktivbaserede tokens til handel i EU, skal være udsteder af disse aktivbaserede tokens og have tilladelse af Finanstilsynet i overensstemmelse med artikel 21, jf. artikel 16, stk. 1, litra a, i Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver, jf. dog stk. 2 og 3.

Stk. 2. Stk. 1 finder ikke anvendelse på et pengeinstitut, der opfylder kravene i artikel 17 i Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver.

Stk. 3. Stk. 1 finder ikke anvendelse på en udsteder af aktivbaserede tokens, som er undtaget efter artikel 16, stk. 2, i Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver, såfremt udstederen giver meddelelse om en hvidbog om kryptoaktiver i overensstemmelse med artikel 19 i samme forordning og efter anmodning fra Finanstilsynet giver meddelelse om enhver markedsføringskommunikation til Finanstilsynet.

§ 332 b. En person, der udbyder e-pengetokens til offentligheden eller anmoder om optagelse af e-pengetokens til handel i EU, skal være udsteder af disse, være meddelt tilladelse fra Finanstilsynet som pengeinstitut eller e-pengeinstitut og offentliggøre en hvidbog om kryptoaktiver, som Finanstilsynet er blevet underrettet om i overensstemmelse med artikel 51, jf. artikel 48, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver.

§ 332 c. En juridisk person eller anden virksomhed, der leverer kryptoaktivtjenester i EU, skal have tilladelse af Finanstilsynet efter artikel 63, jf. artikel 59, stk. 1, litra a, i Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver, jf. dog stk. 2.

Stk. 2. Stk. 1 finder ikke anvendelse på et pengeinstitut, en værdipapircentral, et fondsmæglerselskab, en markedsoperatør, et e-pengeinstitut, et investeringsforvaltningsselskab eller en forvalter af alternative investeringsfonde, der har tilladelse til at udbyde tjenester som angivet i artikel 60, stk. 1-6, og som har underrettet Finanstilsynet i henhold til artikel 60, stk. 1-6, i Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver, jf. artikel 59, stk. 1, litra b, i Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver.

Inddragelse af tilladelse

§ 332 d. Finanstilsynet kan inddrage en tilladelse til en udsteder af aktivbaserede tokens efter artikel 24 i Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver.

§ 332 e. Finanstilsynet kan inddrage en tilladelse til en udbyder af kryptoaktivtjenester efter artikel 64 i Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver.

Indberetning af oplysninger

§ 332 f. En udsteder af aktivbaserede tokens omfattet af § 361, stk. 1, nr. 11, skal senest den 1. juli hvert år indberette summen af udstederens gennemsnitlige udestående til Finanstilsynet, jf. stk. 2.

Stk. 2. Gennemsnittet af de udestående aktivbaserede tokens beregnes som den samlede markedsværdi af de udestående aktivbaserede tokens opgjort på baggrund af det daglige udestående ved udgangen af hver dag i de foregående 6 måneder. Opgørelsen foretages den første dag i hver måned. Har virksomheden ikke gennemført 6 måneders drift på datoen for beregningen, anvendes de eventuelt gennemførte måneder med drift og virksomhedens estimater for de gennemsnitlige udestående aktivbaserede tokens for det kommende år som grundlag for beregningen.

§ 332 g. En udbyder af kryptoaktivtjenester omfattet af § 361, stk. 1, nr. 12, skal senest den 1. juli hvert år indberette virksomhedens omkostninger til løn, provision og tantieme til Finanstilsynet.

Tilsyn

§ 332 h. Finanstilsynet, eller hvor kompetencen til at udøve enkelte beføjelser ved lov er tillagt andre danske myndigheder, kan til brug for tilsyn med overholdelsen af Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver udøve de beføjelser, der følger af forordningens artikel 94. Dette inkluderer til enhver tid mod behørig legitimation uden retskendelse at kunne få adgang til lokaler og lokaliteter tilhørende udbydere af kryptoaktiver undtagen aktivbaserede tokens eller e-pengetokens og personer, der anmoder om optagelse til handel af kryptoaktiver undtagen aktivbaserede tokens eller e-pengetokens, udstedere af aktivbaserede tokens, udstedere af e-pengetokens og udbydere af kryptoaktivtjenester, med henblik på indhentelse af oplysninger, herunder ved inspektioner.

§ 332 j. Erhvervsministeren kan fastsætte regler om indberetning af oplysninger til Finanstilsynet for virksomheder omfattet af Europa-Parlamentets og Rådets forordning om markeder for kryptoaktiver.

Afsnit IX c

Kapitel 19 c

Operatører af finansielle digitale infrastrukturer

Udpegning af operatører af finansielle digitale infrastrukturer

§ 333. Finanstilsynet kan udpege en virksomhed som operatør af finansiel digital infrastruktur, hvis virksomheden opfylder følgende:

Virksomheden udbyder digital infrastruktur eller forvalter it-tjenester som nævnt i bilag I, punkt 8 og 9, i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen.
Virksomhedens væsentligste aktiviteter består i at drive, administrere eller udvikle tjenester, der er nødvendige for kritiske og vigtige forretningsfunktioner i virksomheder, der er omfattet af Europa-Parlamentets og Rådets forordning (EU) 2022/2254 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor.

Stk. 2. Finanstilsynet skal ved udpegningen af en operatør af finansielle digitale infrastrukturer lægge vægt på følgende:

Omfanget og antallet af virksomheder i den finansielle sektor, som virksomheden varetager kritiske og vigtige opgaver for.
Karakteren af de kritiske og vigtige funktioner, som er afhængige af virksomhedens leverancer.
Betydningen af operatørens leverancer for den finansielle stabilitet.
Virksomhedens tilknytning til de virksomheder i den finansielle sektor, som modtager operatørens ydelser, herunder koncernforbindelser og ejerskab.

Stk. 3. It-operatører af detailbetalingssystemer og virksomheder, der udfører væsentlig drift eller udvikling for den fælles betalingsinfrastruktur, kan udpeges som operatører af finansielle digitale infrastrukturer.

Stk. 4. Finanstilsynet skal på sin hjemmeside offentliggøre, hvilke virksomheder der er udpeget som operatører af finansielle digitale infrastrukturer.

Stk. 5. Finanstilsynet kan fastsætte nærmere regler om udpegning af operatører af finansielle digitale infrastrukturer, herunder de kriterier, som Finanstilsynet skal lægge vægt på efter stk. 1 og 2.

Foranstaltninger til styring af it- og cyberrisici

§ 333 a. En operatør af finansiel digital infrastruktur skal have en forvaltnings- og kontrolramme, der sikrer en effektiv og forsigtig styring af it- og cyberrisici.

Stk. 2. En operatør skal som led i rammen for styring af it- og cyberrisici træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risici for sikkerheden i net- og informationssystemer.

Stk. 3. Foranstaltningerne nævnt i stk. 2 skal omfatte følgende:

Politikker for risikoanalyse og informationssystemsikkerhed, jf. § 333 d,
håndtering af hændelser, jf. § 333 f,
driftskontinuitet, herunder backupstyring og reetablering efter større hændelser og krisestyring, jf. § 333 e, stk. 7,
forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter vedrørende forholdene mellem operatøren og dens direkte leverandører eller tjenesteudbydere, jf. §§ 333 h-333 j,
sikkerhed i forbindelse med erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder, jf. § 333 e, stk. 2,
politikker og procedurer til vurdering af effektiviteten af foranstaltninger til styring af cybersikkerhedsrisici, jf. § 333 e, stk. 10, og § 333 g,
grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse, jf. § 333 b, stk. 7, og § 333 e, stk. 4 og 11,
politikker og procedurer vedrørende brug af kryptografi og, hvor det er relevant, kryptering,
personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver og
brug af løsninger med multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer internt i infrastrukturen, hvor det er relevant.

Stk. 4. En operatør skal, når den overvejer foranstaltninger nævnt i stk. 3, nr. 4, tage hensyn til de sårbarheder, der er specifikke for hver direkte leverandør og tjenesteudbyder, og den generelle kvalitet af deres leverandørers og tjenesteudbyderes produkter og cybersikkerhedspraksis, herunder sikkerheden i deres udviklingsprocedurer. Ved vurderingen skal operatøren desuden tage hensyn til resultaterne af de koordinerede sikkerhedsrisikovurderinger af kritiske forsyningskæder, der foretages i overensstemmelse med artikel 22, stk. 1, i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, hvor det er relevant, og hvor resultaterne af sådanne vurderinger foreligger.

Ledelse og organisation

§ 333 b. Det øverste ledelsesorgan i en operatør af finansiel digital infrastruktur skal fastlægge, godkende, føre tilsyn med og har ansvaret for gennemførelsen af operatørens ramme, jf. § 333 a, og foranstaltninger efter § 333 b og ordninger for it- og cyberrisikostyring. Det øverste ledelsesorgan skal godkende en strategi for digital operationel modstandsdygtighed, der gennemfører rammen, jf. § 333 a.

Stk. 2. Tilsynet med operatørens styring af sine it- og cyberrisici skal placeres i uafhængige kontrolfunktioner. Operatøren skal sikre adskillelse og uafhængighed mellem it- og cyberrisikostyringsfunktioner, kontrolfunktioner og interne revisionsfunktioner efter modellen med tre forsvarslinjer eller en intern model for risikostyring og kontrol.

Stk. 3. En operatør skal dokumentere og gennemgå rammen efter § 333 a mindst en gang om året, og når der forekommer større it- eller cyberhændelser, eller som følge af observationer efter test eller revisioner. Gennemgang efter 1. pkt. skal ligeledes foretages efter anmodning fra Finanstilsynet. Gennemgangen af rammen skal operatøren kunne dokumentere i en samlet rapport.

Stk. 4. En operatørs interne revision skal regelmæssigt revidere rammen for styring af it- og cyberrisici. Den interne revision skal have tilstrækkelig viden, faglig kompetence og ekspertise til udførelsen af denne opgave.

Stk. 5. En operatør skal oprette en funktion med henblik på overvågning af ordninger, der er indgået med tredjepartsudbydere om it-ydelser, eller udpege et direktionsmedlem som ansvarlig for tilsyn og dokumentation i forbindelse med eksponering for it- og cyberrisici fra tredjepartsudbydere.

Stk. 6. En operatør skal oprette en funktion til krisestyring, som skal håndtere større it- og cyberhændelser, der medfører aktivering af beredskabsplaner, forretningskontinuitetsplaner eller genopretningsplaner. Krisestyringsfunktionen har ansvaret for kommunikation efter 1. pkt.

Stk. 7. Medlemmer af det øverste ledelsesorgan af operatøren skal aktivt vedligeholde den viden og de færdigheder, der er nødvendige for at forstå og vurdere it- og cyberrisici og disses indvirkning på driften af operatøren, herunder ved regelmæssigt at følge undervisning, som er passende i forhold til de it- og cyberrisici, som operatøren og dens kunder er eksponeret for.

§ 333 c. En operatør af finansiel digital infrastruktur skal dokumentere anvendelsen af sin ramme for styring af it- og cyberrisici på leverancer, der er nødvendige for kritiske og vigtige funktioner hos kunder, såfremt operatøren er datacentral for virksomheder, som er omfattet af Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor.

Styring af it- og cyberrisici

§ 333 d. Den ramme for it- og cyberrisikostyring, som en operatør af finansiel digital infrastruktur skal have, jf. § 333 a, skal omfatte en overordnet strategi for digital operationel modstandsdygtighed, der fastsætter, hvordan rammen skal gennemføres.

Stk. 2. Operatøren skal med passende mellemrum identificere og vurdere alle væsentlige it- og cyberrisici, som operatøren og dennes ydelser er eksponeret for.

Stk. 3. Rammen for it- og cyberrisikostyring skal som minimum omfatte strategier, politikker, procedurer og foranstaltninger, som er nødvendige for at beskytte al fysisk og digital infrastruktur og data i overensstemmelse med de identificerede risici, herunder software, hardware, servere, netværk og relaterede fysiske komponenter og infrastrukturer såsom lokaler, datacentre og sensitive udpegede områder mod risici.

Foranstaltninger til it- og cybersikkerhed

§ 333 e. En operatør af finansiel digital infrastrukturs it-systemer, it-protokoller og it-værktøjer skal være pålidelige og med tilstrækkelig kapacitet til rettidigt at håndtere de nødvendige transaktioner m.v. i situationer med spidsbelastning, herunder uventet høje spidsbelastninger.

Stk. 2. En operatør skal løbende identificere alle kritiske forretningsfunktioner og it-aktiver, herunder it-aktiver, der understøtter kritiske eller vigtige forretningsfunktioner for operatørens kunder.

Stk. 3. En operatør skal identificere alle kritiske eller vigtige forretningsprocesser og tjenester, der er afhængige af eksterne leverandører, og dokumentere egne og kunders afhængigheder af ydelser fra underleverandører.

Stk. 4. En operatør skal overvåge og kontrollere it-systemernes og it-værktøjernes funktion og sikkerhed og minimere virkningerne af it- og cyberrisici ved at indføre passende sikkerhedsværktøjer, -politikker og -procedurer. Operatøren skal løbende identificere potentielle sårbarheder og single points of failure.

Stk. 5. En operatør skal opretholde et højt niveau af tilgængelighed, autenticitet, integritet og fortrolighed af data og udforme og gennemføre it-sikkerhedspolitikker, -procedurer og -protokoller og udforme it-værktøjer, der er egnet til at sikre modstandsdygtighed, stabilitet og tilgængelighed for it-systemer, der understøtter kritiske eller vigtige funktioner.

Stk. 6. En operatør skal indføre mekanismer til overvågning og sporing af anormale aktiviteter, trusler og hændelser i relevant infrastruktur og fastsætte tærskler for igangsættelse af indsats- og beredskabsforanstaltninger.

Stk. 7. En operatør skal have en politik for it-driftsstabilitet, som gennemføres ved dokumenterede beredskabsplaner, ordninger, procedurer m.v., med henblik på

at sikre, at operatørens og dennes kunders kritiske eller vigtige funktioner er stabile,
hurtigt, passende og effektivt at sætte ind over for og løse alle it-relaterede hændelser på en måde, der begrænser skaden og prioriterer genoptagelsen af aktiviteter og genopretningstiltag,
at planer, der omfatter inddæmningsforanstaltninger, der er passende i forhold til hændelserne, og som forhindrer yderligere skade, omgående aktiveres,
at anslå foreløbige virkninger, skader og tab og
at indføre kommunikations- og krisestyringstiltag, der sikrer, at ajourførte oplysninger videresendes til alt relevant internt personale og eksterne interessenter og indberettes til Finanstilsynet.

Stk. 8. En operatør skal have politikker og procedurer for sikkerhedskopiering, der præciserer omfanget af de data, der er genstand for sikkerhedskopiering, og minimumshyppigheden af sikkerhedskopiering baseret på oplysningernes kritiske betydning eller fortrolighedsniveauet for dataene. Operatøren skal endvidere have procedurer og metoder for gendannelse og genopretning efter materiel eller immateriel skade efter væsentlige hændelser.

Stk. 9. En operatør skal regelmæssigt teste sine foranstaltninger til beredskab, indsats, genopretning, sikkerhedskopiering og gendannelse.

Stk. 10. En operatør skal udvikle politikker for en systematisk læring på baggrund af den viden, som operatøren opnår ved opfølgning på sin ramme for risikostyring, trusselsovervågning, testresultater og it- og cyberhændelser. Den opnåede viden skal danne grundlag for en årlig rapportering til ledelsesorganet med anbefalinger til forbedringer i relevant omfang.

Stk. 11. En operatør skal have beredskab for krisekommunikation og ansvarlig offentliggørelse af oplysninger om større cyberhændelser eller væsentlige sårbarheder til berørte parter, herunder kunder, modparter og offentligheden.

Styring og indberetning af it- og cyberhændelser

§ 333 f. En operatør af finansiel digital infrastruktur skal fastlægge en proces for overvågning, styring og indberetning af it- og cyberhændelser.

Stk. 2. En operatør skal registrere alle it- og cyberhændelser og væsentlige cybertrusler. Operatøren skal fastlægge passende procedurer, der sikrer en konsekvent og integreret overvågning og håndtering af og opfølgning på it- og cyberhændelser, og at de grundlæggende årsager identificeres, dokumenteres og håndteres.

Stk. 3. En operatør skal indberette væsentlige it- og cyberhændelser, jf. stk. 4, til Finanstilsynet og CSIRT’en oprettet i medfør af artikel 10 i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen.

Stk. 4. En hændelse anses for væsentlig, jf. stk. 3, hvis

den har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for operatøren eller
den har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig materiel eller immateriel skade.

Stk. 5. En operatør skal ved en indberetning, jf. stk. 3, foretage følgende:

Indsende alle oplysninger, der er nødvendige for Finanstilsynet til at fastslå eventuelle grænseoverskridende virkninger af hændelsen.
Uden unødigt ophold og under alle omstændigheder inden for 24 timer efter at have fået kendskab til den væsentlige hændelse fremsende en tidlig varsling, som skal angive, om den væsentlige hændelse mistænkes for at være forårsaget af ulovlige eller ondsindede handlinger eller kunne have en grænseoverskridende virkning.
Uden unødigt ophold og under alle omstændigheder inden for 72 timer efter at have fået kendskab til den væsentlige hændelse fremsende en hændelsesunderretning, som skal ajourføre de oplysninger, der er nævnt under nr. 1, og en indledende vurdering af den væsentlige hændelse, herunder dens alvor og indvirkning, og kompromitteringsindikatorerne, hvor sådanne foreligger.
Efter anmodning fra Finanstilsynet eller fra CSIRT’en fremsende en foreløbig rapport om relevante statusopdateringer.
Fremsende en endelig rapport senest 1 måned efter forelæggelsen af den hændelsesunderretning, der er nævnt i nr. 2, der skal omfatte følgende:

a) En detaljeret beskrivelse af hændelsen, herunder dens alvor og indvirkning.

b) Den type trussel eller grundlæggende årsag, der sandsynligvis har udløst hændelsen.

c) Anvendte og igangværende afbødende foranstaltninger.

d) Oplysninger om eventuelle grænseoverskridende virkninger af hændelsen.

Forelægge en statusrapport for Finanstilsynet og CSIRT’en senest 1 måned efter forelæggelsen af den hændelsesunderretning, der er nævnt i nr. 2, hvis hændelsen fortsat pågår på dette tidspunkt, og en endelig rapport senest 1 måned efter operatørens håndtering af hændelsen.

Stk. 6. En operatør skal, hvor det er relevant, uden unødigt ophold underrette modtagere af operatørens tjenester om væsentlige hændelser, der sandsynligvis vil påvirke leveringen af disse tjenester negativt.

Stk. 7. En operatør skal uden unødigt ophold underrette modtagere af opetatørens tjenester, som potentielt er berørt af en væsentlig cybertrussel, om eventuelle foranstaltninger eller modforholdsregler, som disse modtagere kan træffe som reaktion på den pågældende trussel. Operatøren skal også informere de pågældende modtagere om den konkrete væsentlige cybertrussel, hvor dette er relevant.

Stk. 8. En operatør kan underrette Finanstilsynet om en væsentlig cybertrussel, når operatøren anser truslen for at være relevant for det finansielle system, tjenestebrugere eller kunder.

Trusselsbaseret penetrationstest

§ 333 g. En operatør af finansiel digital infrastruktur skal løbende teste effektiviteten af sine foranstaltninger til sikring mod it- og cyberhændelser, der har eller kan have skadelige virkninger på virksomhedens drift.

Stk. 2. En operatør skal have et program for test af digital operationel modstandsdygtighed, som er passende i forhold til de identificerede risici og er integreret i operatørens ramme for it- og cyberrisikostyring, jf. § 333 a.

Stk. 3. En operatør kan pålægges at gennemgå trusselsbaserede penetrationstest i overensstemmelse med de regler, der gælder for virksomheder omfattet af kapitel IV i Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor og retsakter udstedt i medfør heraf.

Stk. 4. Vurderingen af, i hvilket omfang en operatør skal gennemføre penetrationstest, jf. stk. 3, skal foretages ud fra

virkningsrelaterede faktorer, navnlig i hvilket omfang de tjenester, der leveres, og de aktiviteter, der udføres af operatøren, indvirker på den finansielle sektor,
eventuelle betænkeligheder vedrørende finansiel stabilitet, herunder operatørens systemiske karakter, og
operatørens specifikke it-risikoprofil, grad af it-modenhed og de teknologiske kendetegn, der er involveret.

Tredjepartsrisici

§ 333 h. En operatør af finansiel digital infrastruktur skal styre sine it- og cyberrisici, der er relateret til brug af it-tjenester fra tredjeparter som en integreret del af sin ramme for it- og cyberrisikostyring, jf. § 333 a.

Stk. 2. En operatør, der har overladt driften af en forretningsfunktion til en leverandør, har til enhver tid det fulde ansvar for at overholde og opfylde alle forpligtelser i henhold til denne lov.

Stk. 3. En operatør skal regelmæssigt gennemgå de risici, der er forbundet med brugen af it-tredjepartsudbydere.

Stk. 4. En operatør skal vedtage og regelmæssigt gennemgå en strategi for sine it-tredjepartsrisici. Strategien for it-tredjepartsrisici skal omfatte en politik for brugen af it-tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere.

Stk. 5. En operatør skal opretholde og ajourføre et register over oplysninger om alle ordninger for brugen af it-tjenester, der leveres af tredjepartsudbydere. Operatøren skal underrette Finanstilsynet om enhver planlagt kontraktlig ordning for brugen af it-tjenester, der understøtter kritiske eller vigtige funktioner, og når en funktion er blevet kritisk eller vigtig.

Stk. 6. Inden en operatør indgår en kontraktlig ordning for brugen af it-tjenester, skal operatøren

vurdere, om den kontraktlige ordning omfatter brugen af it-tjenester, der understøtter en kritisk eller vigtig funktion,
vurdere, om de tilsynsmæssige betingelser for udlicitering er opfyldt,
identificere og vurdere alle relevante risici i forbindelse med den kontraktlige ordning, herunder muligheden for, at sådanne kontraktlige ordninger kan bidrage til at øge it-koncentrationsrisikoen,
foretage fornøden due diligence over for potentielle tredjepartsudbydere af it-tjenester og under udvælgelses- og vurderingsprocessen sikre, at den pågældende tredjepartsudbyder af it-tjenester er egnet, og
identificere og vurdere interessekonflikter, som den kontraktlige ordning kan give anledning til.

Stk. 7. Når en operatør indgår it-kontrakter, der relaterer sig til kritiske og vigtige funktioner, skal operatøren sikre, at den har passende adgangs-, inspektions- og revisionsrettigheder over for tredjepartsudbyderen af it-tjenester. Operatøren skal på grundlag af en risikobaseret tilgang fastsætte hyppigheden af revisioner og inspektioner og de områder, der skal underkastes revision.

Stk. 8. En operatør skal sikre, at de kontraktlige ordninger for brugen af it-tjenester som minimum kan opsiges i enhver af følgende situationer:

Tredjepartsudbyderen begår en væsentlig overtrædelse af gældende lovgivning eller kontraktvilkår.
Operatøren identificerer forhold under overvågningen af it-tredjepartsrisici, som kan ændre udførelsen af de funktioner, der er leveret gennem den kontraktlige ordning, herunder væsentlige ændringer, der påvirker ordningen eller situationen for tredjepartsudbyderen af it-tjenester.
Operatøren dokumenterer svagheder hos tredjepartsudbyderen af it-tjenester, som vedrører dennes samlede it-risikostyring.
Finanstilsynet kan ikke længere føre effektivt tilsyn med operatøren som følge af betingelserne eller omstændighederne vedrørende de respektive kontraktlige ordninger.

Stk. 9. En operatør skal indføre exitstrategier for it-tjenester, der understøtter kritiske eller vigtige funktioner. Exitstrategierne skal tage højde for de risici, der kan opstå hos tredjepartsudbydere af it-tjenester, herunder

mulige svigt fra tredjepartsudbyderens side,
en forringelse af kvaliteten af de leverede it-tjenester,
eventuelle driftsforstyrrelser som følge af uhensigtsmæssig eller manglende levering af it-tjenester,
eventuelle væsentlige risici i forbindelse med en passende og løbende anvendelse af de pågældende it-tjenester og
opsigelse af kontraktlige ordninger med tredjepartsudbydere af it-tjenester i en af de i stk. 8 anførte situationer.

Stk. 10. En operatør skal indføre passende beredskabsforanstaltninger for at opretholde driftsstabiliteten, i tilfælde af at de omstændigheder, der er nævnt i stk. 9, indtræder.

Stk. 11. En operatør af finansiel digital infrastruktur skal sikre, at den kan opsige kontraktlige ordninger, uden at

dens forretningsaktiviteter afbrydes,
efterlevelsen af de lovgivningsmæssige krav begrænses og
kontinuiteten og kvaliteten af de leverede tjenester til kunder lider skade.

Stk. 12. Exitstrategierne skal være dokumenterede, proportionale, testet i tilstrækkeligt omfang og gennemgået regelmæssigt.

Stk. 13. En operatør skal identificere alternative løsninger og udarbejde overgangsplaner, så den kan fratage tredjepartsudbyderen af it-tjenester de relevante it-tjenester og de relevante data og sikkert og fuldstændigt kan overføre disse til alternative udbydere eller indarbejde dem internt.

Koncentrationsrisici

§ 333 i. Når en operatør af finansiel digital infrastruktur foretager identifikation og vurdering af de risici, der er nævnt i § 333 h, stk. 6, nr. 3, skal operatøren tage hensyn til, hvorvidt den påtænkte indgåelse af en kontraktlig ordning, der understøtter kritiske eller vigtige funktioner for de tilsluttede virksomheder, vil føre til

henlæggelse af funktioner til en tredjepartsudbyder af it-tjenester, som ikke er lette at erstatte, eller
indgåelse af flere kontraktlige ordninger om levering af it-tjenester, der understøtter kritiske eller vigtige funktioner, med den samme tredjepartsudbyder af it-tjenester eller med tredjepartsudbydere af it-tjenester, som har tætte forbindelser til denne.

Centrale kontraktsbestemmelser

§ 333 j. Rettigheder og forpligtelser for en operatør af finansiel digital infrastruktur og for tredjepartsudbyderen af it-tjenester skal fordeles klart og fastlægges skriftligt. Den samlede kontrakt skal omfatte serviceniveauaftaler og dokumenteres i et samlet dokument, som parterne skal have adgang til i et varigt og tilgængeligt format.

Stk. 2. De kontraktlige ordninger for brugen af it-tjenester skal mindst omfatte følgende elementer:

En klar og fuldstændig beskrivelse af alle funktioner og it-tjenester, som tredjepartsudbyderen skal levere, med angivelse af, om underentreprise af en it-tjeneste, der understøtter en kritisk eller vigtig funktion eller væsentlige dele heraf, er tilladt, og hvis det er tilfældet, de betingelser, der gælder for en sådan underentreprise.
En angivelse af de steder, navnlig de regioner eller lande, hvor de udliciterede funktioner og it-tjenester eller funktionerne og it-tjenesterne i underentreprise skal leveres, hvor data skal behandles, herunder lagringsstedet, og krav om, at tredjepartsudbyderen på forhånd skal underrette operatøren, hvis den har planer om at ændre disse steder.
Bestemmelser om tilgængelighed, autenticitet, integritet og fortrolighed med hensyn til databeskyttelse, herunder personoplysninger.
Bestemmelser om sikring af adgang, genopretning og tilbagelevering af data i et tilgængeligt format i tilfælde af insolvens, afvikling eller afbrydelse af de forretningsaktiviteter, som tredjepartsudbyderen varetager, eller i tilfælde af opsigelse af kontrakten.
Beskrivelser af serviceniveauet, herunder ajourføringer og revisioner heraf.
En forpligtelse for tredjepartsudbyderen til at yde bistand til operatøren uden yderligere omkostninger eller til en omkostning, der fastsættes på forhånd, hvis der opstår en it-hændelse, der vedrører den it-tjeneste, som leveres til operatøren.
En forpligtelse for tredjepartsudbyderen til at samarbejde fuldt ud med Finanstilsynet og afviklingsmyndigheder, herunder personer, som myndighederne har udpeget.
Opsigelsesrettigheder og dertil knyttede minimumsfrister for opsigelse af de kontraktlige ordninger.

Stk. 3. De kontraktlige ordninger for brugen af it-tjenester, der understøtter kritiske eller vigtige funktioner, skal ud over de elementer, der er nævnt i stk. 2, mindst omfatte følgende:

En fuldstændig beskrivelse af serviceniveauer, herunder ajourføringer og revisioner heraf, med præcise kvantitative og kvalitative præstationsmål inden for de aftalte serviceniveauer, så operatøren kan foretage en effektiv overvågning af it-tjenester og uden unødigt ophold træffe passende afhjælpende foranstaltninger, når de aftalte serviceniveauer ikke overholdes.
Opsigelsesfrister og indberetningsforpligtelser for tredjepartsudbyderen af it-tjenester over for operatøren, herunder underretning om enhver udvikling, som kan have væsentlig indvirkning på, hvorvidt tredjepartsudbyderen har evnen til effektivt at levere it-tjenester, der understøtter kritiske eller vigtige funktioner i overensstemmelse med de aftalte serviceniveauer.
Krav til tredjepartsudbyderen om at gennemføre og teste beredskabsplaner og indføre it-sikkerhedsforanstaltninger, -værktøjer og -politikker, som giver et passende niveau af sikkerhed, for at operatøren kan levere sine tjenester.
En forpligtelse for tredjepartsudbyderen til at deltage i og fuldt ud samarbejde om operatørens trusselsbaserede penetrationstest, jf. § 333 g, stk. 3.
En ret til løbende at overvåge tredjepartsudbyderens opgavevaretagelse og risikostyring, herunder adgangs-, inspektions- og revisionsrettigheder for operatøren, Finanstilsynet eller udpegede tredjeparter og adgang til nødvendig information og dokumentation.
Exitstrategier, herunder indførelse af en obligatorisk passende overgangsperiode,

a) i løbet af hvilken tredjepartsudbyderen fortsat leverer de respektive funktioner eller it-tjenester med henblik på at mindske risikoen for forstyrrelser i operatøren eller sikre en effektiv afvikling eller omstrukturering heraf, og

b) som giver operatøren mulighed for at migrere til en anden tredjepartsudbyder eller skifte til interne løsninger, der stemmer overens med den leverede tjenestes kompleksitet.

Informationsudveksling

§ 333 k. En operatør af finansiel digital infrastruktur kan udveksle oplysninger og efterretninger om cybertrusler i overensstemmelse med reglerne i kapitel VI i Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor og indgå i ordninger oprettet i henhold forordningens artikel 45, stk. 2. En operatør af finansiel digital infrastruktur kan ligeledes udveksle relevante cybersikkerhedsoplysninger i overensstemmelse med reglerne i kapitel VI i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen og indgå i ordninger oprettet i overensstemmelse hermed.

Stk. 2. En operatør skal underrette Finanstilsynet om sin deltagelse i de ordninger, der er nævnt i stk. 1, og i tilfælde af udtrædelse af sådanne ordninger.

Oplysning til Finanstilsynet

§ 333 l. En operatør af finansiel digital infrastruktur skal oplyse Finanstilsynet om følgende:

Operatørens navn.
Adressen på operatørens hovedforretningssted og dens andre retlige forretningssteder i Den Europæiske Union.
Den relevante sektor og delsektor samt typen af enhed som nævnt i bilag I i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen.
Operatørens kontaktoplysninger, herunder e-mailadresser, ip-intervaller og telefonnumre på operatøren.
De medlemsstater, hvor operatøren leverer tjenester.

Stk. 2. Ved ændring af oplysningerne i stk. 1 skal operatøren straks og senest 3 måneder efter ændringen underrette Finanstilsynet herom.

Tilsyn m.v.

§ 333 m. Kapitel 21 og 23 og regler udstedt i medfør af disse kapitler finder anvendelse for operatører af finansielle digitale infrastrukturer med de nødvendige tilpasninger.

§ 333 n. Finanstilsynet har beføjelse til at

pålægge en operatør af finansiel digital infrastruktur regelmæssige og målrettede sikkerhedsaudits udført af et kvalificeret uafhængigt organ eller en kompetent myndighed og at afholde udgifterne hertil,
pålægge en operatør af finansiel digital infrastruktur ad hoc-audits, herunder hvor det er berettiget på grund af en væsentlig hændelse eller en overtrædelse af reglerne i denne lov fra operatørens side,
pålægge en operatør af finansiel digital infrastruktur sikkerhedsscanninger baseret på objektive, ikkediskriminerende, fair og gennemsigtige risikovurderingskriterier, hvor det er nødvendigt i samarbejde med den berørte operatør,
udstede advarsler om en operatørs overtrædelse af denne lov og
udpege en overvågningsansvarlig med veldefinerede opgaver til i en nærmere fastsat periode at føre tilsyn med en operatørs overholdelse af §§ 333 a og 333 f.

§ 333 o. Efterkommer en operatør af finansiel digital infrastruktur ikke Finanstilsynets påbud i medfør af denne lov, og efterkommer operatøren ikke påbuddet inden en fornyet frist, som Finanstilsynet efterfølgende sætter, kan Finanstilsynet træffe afgørelse om følgende:

Midlertidigt at suspendere en myndighedsudstedt certificering eller godkendelse vedrørende dele af eller alle de relevante tjenester, operatøren leverer, eller aktiviteter, der udføres af operatøren.
Midlertidigt at forbyde enhver fysisk person med ledelsesansvar på direktionsniveau eller juridisk repræsentant i operatøren at udøve ledelsesfunktioner i denne.

Stk. 2. Midlertidige suspensioner eller forbud, som er pålagt i medfør af stk. 1, kan kun anvendes, indtil operatøren træffer de nødvendige foranstaltninger til at afhjælpe de mangler eller opfylde de krav, som gav anledning til, at foranstaltningerne i medfør af stk. 1 blev anvendt.

Stk. 3. En afgørelse efter stk. 1 kan af operatøren eller den fysiske person, afgørelsen vedrører, forlanges indbragt for domstolene. Sagen anlægges i den borgerlige retsplejes former.

Bemyndigelse

§ 333 p. Finanstilsynet kan fastsætte nærmere regler om it- og cyberrisikostyring og kontrol- og sikringsforanstaltninger i en operatør af finansiel digital infrastruktur, herunder om følgende:

Indholdet af rammerne for styring af it- og cyberrisici, jf. § 333 a, og om indholdet af strategier og politikker på området for digital operationel modstandsdygtighed.
Det øverste ledelsesorgans opgaver i forbindelse med styringen af it- og cyberrisici.
Operatører af finansielle digitale infrastrukturers rapportering af væsentlige hændelser og cybertrusler.
Test, herunder eksterne test, af en operatør af finansielle digitale infrastrukturers cybersikkerhed.
Krav til testere af en operatør af finansielle digitale infrastrukturers cybersikkerhed.
Styring og rapportering af tredjepartsrisici.
Obligatorisk brug af særlige sikkerhedscertificerede produkter eller tjenesteydelser.
Den interne og eksterne systemrevision i operatører af finansielle digitale infrastrukturer.