Rozdział 2c. Nadzór nad podmiotami…

Rozdział 2c

Nadzór nad podmiotami finansowymi i ich obowiązki w zakresie zapewnienia operacyjnej odporności cyfrowej sektora finansowego

Art. 18za. Zakres pojęcia podmiotu finansowego

Ilekroć w niniejszym rozdziale jest mowa o podmiocie finansowym, należy przez to rozumieć podmioty finansowe, o których mowa w art. 2 ust. 2 rozporządzenia 2022/2554, z wyłączeniem podmiotów, o których mowa w art. 2 ust. 3 rozporządzenia 2022/2554.

Art. 18zb. Żądanie informacji, dokumentów lub wyjaśnień od podmiotu finansowego

W ramach wykonywania nadzoru, o którym mowa w art. 1 ust. 2 pkt 16, Komisja może żądać od podmiotu finansowego informacji, dokumentów lub wyjaśnień w zakresie określonym w przepisach rozporządzenia 2022/2554.

Art. 18zc. Kontrola podmiotów finansowych w zakresie odporności cyfrowej

1. Komisja może przeprowadzać kontrolę zgodności działalności podmiotów finansowych z przepisami rozporządzenia 2022/2554 w zakresie zapewnienia operacyjnej odporności cyfrowej sektora finansowego.

2. Pracownicy Urzędu Komisji wykonują czynności kontrolne po okazaniu legitymacji służbowej oraz doręczeniu upoważnienia do kontroli wydanego przez Przewodniczącego Komisji lub upoważnioną przez niego osobę.

3. Upoważnienie do kontroli, o którym mowa w ust. 2, zawiera:

1) wskazanie podstawy prawnej przeprowadzenia kontroli;

2) oznaczenie organu kontroli;

3) wskazanie daty i miejsca jego wystawienia;

4) imię i nazwisko, stanowisko służbowe oraz numer legitymacji służbowej pracownika Urzędu Komisji prowadzącego czynności kontrolne;

5) oznaczenie kontrolowanego podmiotu finansowego;

6) wskazanie daty rozpoczęcia i przewidywanego terminu zakończenia kontroli;

7) wskazanie zakresu przedmiotowego kontroli.

4. W toku kontroli pracownicy, o których mowa w ust. 2, mają prawo:

1) wstępu na grunt oraz do budynków, lokali i innych pomieszczeń kontrolowanego podmiotu finansowego;

2) żądania od kontrolowanego podmiotu finansowego lub osoby przez niego upoważnionej udzielenia ustnych lub pisemnych wyjaśnień związanych z przedmiotem kontroli;

3) uzyskania wyjaśnień od osób innych niż wymienione w pkt 2, pod warunkiem że wyrażą na to zgodę;

4) wglądu do dokumentów związanych z przedmiotem kontroli, w szczególności dokumentów finansowych, księgowych, handlowych, akt postępowań prowadzonych na podstawie właściwych przepisów prawa, ksiąg, ewidencji i dokumentów wewnętrznych, w tym regulaminów oraz instrukcji, dotyczących działalności kontrolowanego podmiotu finansowego, oraz żądania sporządzenia na koszt tego podmiotu kopii tych dokumentów lub wyciągów z nich, w tym w postaci dokumentu elektronicznego w rozumieniu art. 3 pkt 2 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, w zakresie niezbędnym do przeprowadzenia i zakończenia kontroli;

5) żądania od kontrolowanego podmiotu finansowego lub osoby przez niego upoważnionej poświadczenia za zgodność z oryginałem pozyskiwanych od tego podmiotu kopii dokumentów, o których mowa w pkt 4;

6) wglądu do danych zawartych w systemach informatycznych, związanych z przedmiotem kontroli, w szczególności dokumentów wewnętrznych potwierdzających spełnianie obowiązków w zakresie zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi, o których mowa w rozporządzeniu 2022/2554, zwanymi dalej „ICT”, lub danych dotyczących poważnych incydentów związanych z ICT w rozumieniu art. 3 pkt 10 rozporządzenia 2022/2554 oraz znaczących cyberzagrożeń w rozumieniu art. 3 pkt 13 rozporządzenia 2022/2554, w zakresie niezbędnym do przeprowadzenia i zakończenia kontroli.

5. Dokumenty i informacje związane z kontrolą, w tym upoważnienie do kontroli, protokół kontroli i zalecenia pokontrolne, są sporządzane na piśmie utrwalonym w postaci papierowej albo elektronicznej. Upoważnienie do kontroli udzielone na piśmie utrwalonym w postaci papierowej opatruje się podpisem własnoręcznym. Upoważnienie do kontroli udzielone na piśmie utrwalonym w postaci elektronicznej opatruje się kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym lub kwalifikowaną pieczęcią elektroniczną Komisji ze wskazaniem w treści pisma osoby opatrującej pismo tą pieczęcią.

6. Dokumenty i informacje, o których mowa w ust. 5, sporządzone na piśmie utrwalonym w postaci elektronicznej doręcza się na adres do doręczeń elektronicznych.

Art. 18zd. Protokół kontroli i zastrzeżenia do jego treści

1. Ustalenia kontroli zamieszcza się w protokole kontroli.

2. Protokół kontroli sporządza się w terminie 30 dni roboczych od dnia zakończenia czynności kontrolnych.

3. Protokół kontroli zawiera:

1) oznaczenie kontrolowanego podmiotu finansowego;

2) imię i nazwisko osoby reprezentującej kontrolowany podmiot finansowy lub nazwę organu reprezentującego ten podmiot;

3) imię i nazwisko, stanowisko służbowe oraz numer legitymacji służbowej pracownika Urzędu Komisji prowadzącego czynności kontrolne;

4) wskazanie daty rozpoczęcia i daty zakończenia czynności kontrolnych;

5) wskazanie zakresu przedmiotowego kontroli;

6) opis stanu faktycznego ustalonego w toku kontroli oraz inne informacje mające istotne znaczenie dla przeprowadzonej kontroli;

7) pouczenie kontrolowanego podmiotu finansowego o prawie wniesienia zastrzeżeń do protokołu.

4. Protokół kontroli podpisują pracownik Urzędu Komisji wykonujący czynności kontrolne oraz osoba reprezentująca kontrolowany podmiot finansowy.

5. Protokół kontroli doręcza się kontrolowanemu podmiotowi finansowemu. Przed podpisaniem protokołu kontroli kontrolowany podmiot finansowy może w terminie 14 dni roboczych od dnia przedstawienia mu go do podpisu złożyć do niego pisemne zastrzeżenia.

6. W razie złożenia zastrzeżeń, o których mowa w ust. 5, Komisja dokonuje ich analizy w terminie 30 dni od dnia złożenia zastrzeżeń i w razie potrzeby podejmuje dodatkowe czynności kontrolne, a w przypadku stwierdzenia zasadności zastrzeżeń – zmienia lub uzupełnia protokół kontroli w formie aneksu do protokołu kontroli.

7. Odmowa podpisania protokołu kontroli przez kontrolowany podmiot finansowy lub zwłoka w jego podpisaniu nie wpływa na prowadzenie przez Komisję dalszych czynności kontrolnych, w szczególności na wydanie przez Komisję zaleceń pokontrolnych.

Art. 18ze. Zalecenia pokontrolne dotyczące usunięcia nieprawidłowości

1. Jeżeli na podstawie informacji zgromadzonych w toku kontroli Komisja uzna, że mogło dojść do naruszenia przez kontrolowany podmiot finansowy przepisów rozporządzenia 2022/2554, przepisów aktów delegowanych wydanych na podstawie art. 15, art. 16 ust. 3, art. 18 ust. 3, art. 20 lit. a, art. 26 ust. 11, art. 28 ust. 10, art. 30 ust. 5 oraz art. 41 ust. 1 lit. d rozporządzenia 2022/2554 lub przepisów aktów wykonawczych wydanych na podstawie art. 20 lit. b oraz art. 28 ust. 9 rozporządzenia 2022/2554, lub zidentyfikuje inne nieprawidłowości dotyczące zarządzania przez kontrolowany podmiot finansowy ryzykiem związanym z ICT, przekazuje temu podmiotowi zalecenia pokontrolne dotyczące usunięcia nieprawidłowości.

2. Kontrolowany podmiot finansowy w wyznaczonym terminie, niekrótszym niż 21 dni, informuje Komisję o sposobie wykonania zaleceń pokontrolnych.

Art. 18zf. Żądanie informacji objętych tajemnicą komunikacji elektronicznej

W postępowaniu wyjaśniającym, o którym mowa w art. 18a, prowadzonym w celu ustalenia, czy istnieją podstawy do wszczęcia postępowania administracyjnego w sprawie naruszenia przepisów art. 5–10, art. 11 ust. 1–10, art. 12–14, art. 16 ust. 1 i 2, art. 17, art. 18 ust. 1 i 2, art. 19 ust. 1–5, art. 23–25, art. 26 ust. 1–8, art. 27, art. 28 ust. 1–8, art. 29, art. 30 ust. 1–3, art. 31 ust. 12, art. 42 oraz art. 45 ust. 3 rozporządzenia 2022/2554, przepisów aktów delegowanych wydanych na podstawie art. 15, art. 16 ust. 3, art. 18 ust. 3, art. 20 lit. a, art. 26 ust. 11, art. 28 ust. 10, art. 30 ust. 5 oraz art. 41 ust. 1 lit. d rozporządzenia 2022/2554 lub przepisów aktów wykonawczych wydanych na podstawie art. 20 lit. b oraz art. 28 ust. 9 rozporządzenia 2022/2554, Przewodniczący Komisji może zażądać od dostawcy usług telekomunikacyjnych udostępnienia informacji stanowiących tajemnicę komunikacji elektronicznej w rozumieniu art. 386 ust. 1 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz. U. poz. 1221, z 2025 r. poz. 637 i 820 oraz z 2026 r. poz. 252 i 815), przechowywanych przez dostawcę usług telekomunikacyjnych, dotyczących podmiotu dokonującego czynności faktycznych lub prawnych mających związek z wyjaśnianymi okolicznościami, w tym danych abonenta pozwalających na jego identyfikację, czasu ich dokonania i innych informacji związanych z połączeniem lub przekazem, niestanowiących treści komunikatu elektronicznego.

Art. 18zg. Zgłaszanie poważnych incydentów ICT Komisji

1. Podmiot finansowy zgłasza Komisji poważny incydent związany z ICT w rozumieniu art. 3 pkt 10 rozporządzenia 2022/2554, o którym mowa w art. 19 ust. 1 akapit pierwszy rozporządzenia 2022/2554, przekazując wstępne powiadomienie, i przekazuje sprawozdania, o których mowa w art. 19 ust. 4 rozporządzenia 2022/2554.

2. Komisja przekazuje niezwłocznie Zespołowi Reagowania na Incydenty Bezpieczeństwa Komputerowego działającemu na poziomie krajowym, prowadzonemu przez Ministra Obrony Narodowej, zwanemu dalej „CSIRT MON”, Zespołowi Reagowania na Incydenty Bezpieczeństwa Komputerowego działającemu na poziomie krajowym, prowadzonemu przez Naukową i Akademicką Sieć Komputerową – Państwowy Instytut Badawczy, zwanemu dalej „CSIRT NASK”, albo Zespołowi Reagowania na Incydenty Bezpieczeństwa Komputerowego działającemu na poziomie krajowym, prowadzonemu przez Szefa Agencji Bezpieczeństwa Wewnętrznego, zwanemu dalej „CSIRT GOV”, o których mowa odpowiednio w art. 2 pkt 1, 2 i 3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, zgodnie z ich właściwością, wstępne powiadomienie i sprawozdania, o których mowa w art. 19 ust. 4 rozporządzenia 2022/2554, pochodzące od:

1) podmiotu finansowego będącego podmiotem kluczowym,

2) podmiotu finansowego będącego podmiotem ważnym

w rozumieniu art. 5 ust. 1 i 2 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

3. W uzasadnionych przypadkach Komisja może przekazać niezwłocznie CSIRT MON, CSIRT NASK lub CSIRT GOV, zgodnie z ich właściwością, wstępne powiadomienia i sprawozdania, o których mowa w art. 19 ust. 4 rozporządzenia 2022/2554, pochodzące od podmiotu finansowego niebędącego podmiotem kluczowym lub podmiotem ważnym w rozumieniu art. 5 ust. 1 i 2 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

4. (uchylony)

5. (uchylony)

6. Komisja przekazuje organom wskazanym w art. 19 ust. 6 rozporządzenia 2022/2554, w sposób określony w tym przepisie, szczegółowe informacje na temat poważnego incydentu związanego z ICT w rozumieniu art. 3 pkt 10 rozporządzenia 2022/2554, zawierające taki sam zakres danych, jak informacje zawarte we wstępnych powiadomieniach i sprawozdaniach, o których mowa w art. 19 ust. 4 rozporządzenia 2022/2554.

7. Wstępne powiadomienia i sprawozdania, o których mowa w art. 19 ust. 4 rozporządzenia 2022/2554, są przekazywane w postaci elektronicznej, a w przypadku braku możliwości przekazania ich w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji, w terminach i z wykorzystaniem wzorów określonych we wspólnych regulacyjnych standardach technicznych i wspólnych wykonawczych standardach technicznych, o których mowa w art. 20 rozporządzenia 2022/2554.

Art. 18zh. Powiadomienia o znaczących cyberzagrożeniach

1. Podmiot finansowy może przekazać Komisji powiadomienie o znaczącym cyberzagrożeniu w rozumieniu art. 3 pkt 13 rozporządzenia 2022/2554, o którym mowa w art. 19 ust. 2 akapit pierwszy rozporządzenia 2022/2554.

2. Komisja przekazuje niezwłocznie CSIRT MON, CSIRT NASK lub CSIRT GOV, zgodnie z ich właściwością, powiadomienie o znaczącym cyberzagrożeniu w rozumieniu art. 3 pkt 13 rozporządzenia 2022/2554, o którym mowa w art. 19 ust. 2 akapit pierwszy rozporządzenia 2022/2554, pochodzące od podmiotu finansowego będącego podmiotem kluczowym lub podmiotem ważnym w rozumieniu art. 5 ust. 1 i 2 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

3. W uzasadnionych przypadkach Komisja może przekazać niezwłocznie CSIRT MON, CSIRT NASK lub CSIRT GOV, zgodnie z ich właściwością, powiadomienie o znaczącym cyberzagrożeniu w rozumieniu art. 3 pkt 13 rozporządzenia 2022/2554, o którym mowa w art. 19 ust. 2 akapit pierwszy rozporządzenia 2022/2554, pochodzące od podmiotu finansowego niebędącego podmiotem kluczowym lub podmiotem ważnym w rozumieniu art. 5 ust. 1 i 2 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

4. Powiadomienie o znaczącym cyberzagrożeniu w rozumieniu art. 3 pkt 13 rozporządzenia 2022/2554, o którym mowa w art. 19 ust. 2 akapit pierwszy rozporządzenia 2022/2554, jest przekazywane w terminach i z wykorzystaniem wzorów określonych we wspólnych regulacyjnych standardach technicznych i wspólnych wykonawczych standardach technicznych, o których mowa w art. 20 rozporządzenia 2022/2554, w postaci elektronicznej, a w przypadku braku możliwości przekazania go w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji.

Art. 18zi. Przekazywanie informacji o usługach ICT i testach

1. Podmioty finansowe przekazują Komisji informacje, o których mowa w:

1) art. 28 ust. 3 akapit trzeci rozporządzenia 2022/2554, w terminie określonym w decyzjach Europejskiego Urzędu Nadzoru Bankowego, Europejskiego Urzędu Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych oraz Europejskiego Urzędu Nadzoru Giełd i Papierów Wartościowych;

2) art. 28 ust. 3 akapit piąty rozporządzenia 2022/2554, niezwłocznie, niepóźniej niż w terminie 14 dni przed dniem związania się postanowieniami umownymi albo od dnia, w którym dana funkcja stała się krytyczna lub istotna.

2. Centralne depozyty papierów wartościowych w rozumieniu art. 3 pkt 21a ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi przekazują Komisji kopie wyników testów ciągłości działania w zakresie ICT lub podobnych testów zgodnie z art. 11 ust. 9 rozporządzenia 2022/2554.

Art. 18zj. Powiadomienie o przystąpieniu do wymiany informacji

Podmioty finansowe powiadamiają Komisję o przystąpieniu do ustaleń dotyczących wymiany informacji, o których mowa w art. 45 ust. 1 rozporządzenia 2022/2554, oraz o ustaniu członkostwa, zgodnie z art. 45 ust. 3 rozporządzenia 2022/2554.

Art. 18zk. Wyznaczanie podmiotów do zaawansowanych testów ICT

1. Spośród podmiotów finansowych wymienionych w art. 26 ust. 1 rozporządzenia 2022/2554 Komisja w oparciu o ocenę elementów wskazanych w art. 26 ust. 8 akapit trzeci rozporządzenia 2022/2554 określa, w drodze decyzji, podmiot finansowy obowiązany do przeprowadzenia zaawansowanych testów, o których mowa w art. 26 ust. 1 rozporządzenia 2022/2554, z uwzględnieniem kryteriów określonych w art. 4 ust. 2 rozporządzenia 2022/2554.

2. Podmiot finansowy określony zgodnie z ust. 1 przekazuje Komisji, w celu zatwierdzenia, wynik oceny dokonanej zgodnie z art. 26 ust. 2 akapit trzeci rozporządzenia 2022/2554, wskazującej, które krytyczne lub istotne funkcje należy objąć zaawansowanymi testami, o których mowa w art. 26 ust. 1 rozporządzenia 2022/2554.

3. Podmiot finansowy określony zgodnie z ust. 1 przekazuje Komisji informacje, o których mowa w art. 26 ust. 6 rozporządzenia 2022/2554.

4. Komisja przekazuje podmiotowi finansowemu określonemu zgodnie z ust. 1 poświadczenie, o którym mowa w art. 26 ust. 7 rozporządzenia 2022/2554.

5. Komisja w oparciu o ocenę elementów wskazanych w art. 26 ust. 1 rozporządzenia 2022/2554 może zalecić podmiotowi finansowemu określonemu zgodnie z ust. 1 zmniejszenie albo zwiększenie częstotliwości przeprowadzania zaawansowanych testów, o których mowa w art. 26 ust. 1 rozporządzenia 2022/2554.

6. W przypadku gdy podmiot finansowy określony zgodnie z ust. 1 zamierza korzystać z usług testerów wewnętrznych zgodnie z art. 26 ust. 8 rozporządzenia 2022/2554, przekazuje do zatwierdzenia Komisji informacje o zamiarze korzystania z ich usług. Komisja zatwierdza zamiar korzystania z usług testerów wewnętrznych.

7. Komisja przed zatwierdzeniem zamiaru korzystania z usług testerów wewnętrznych, o którym mowa w ust. 6, ocenia, czy testerzy wewnętrzni spełniają wymogi określone w art. 27 ust. 1 i ust. 2 lit. b oraz c rozporządzenia 2022/2554.

Art. 18zl. Działania wobec ryzyka dostawcy usług ICT

1. Komisja informuje podmiot finansowy o ryzyku zidentyfikowanym w zaleceniach, o których mowa w art. 35 ust. 1 lit. d rozporządzenia 2022/2554, w odniesieniu do kluczowego zewnętrznego dostawcy usług ICT w rozumieniu art. 3 pkt 23 rozporządzenia 2022/2554, zwanego dalej „kluczowym zewnętrznym dostawcą usług ICT”, z którym ten podmiot finansowy zawarł umowę.

2. Podmiot finansowy informuje Komisję o sposobie uwzględnienia ryzyka zidentyfikowanego w zaleceniach, o których mowa w art. 35 ust. 1 lit. d rozporządzenia 2022/2554, w szczególności o zmianach postanowień umowy zawartej z kluczowym zewnętrznym dostawcą usług ICT.

3. W przypadku gdy Komisja uzna, że podmiot finansowy nie uwzględnił ryzyka zidentyfikowanego w zaleceniach, o których mowa w art. 35 ust. 1 lit. d rozporządzenia 2022/2554, lub uwzględnił je w sposób niewystarczający, informuje podmiot finansowy o możliwości wydania decyzji, o której mowa w art. 42 ust. 6 rozporządzenia 2022/2554.

4. Przed wydaniem decyzji, o której mowa w art. 42 ust. 6 rozporządzenia 2022/2554, Komisja może skonsultować się z organami, o których mowa w art. 42 ust. 5 rozporządzenia 2022/2554. Przepisu art. 106 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego nie stosuje się.

5. W terminie 60 dni od dnia otrzymania przez podmiot finansowy informacji, o której mowa w ust. 3, Komisja może wydać decyzję, o której mowa w art. 42 ust. 6 rozporządzenia 2022/2554, nakazującą podmiotowi finansowemu tymczasowe zawieszenie, w całości albo części, korzystania z usługi świadczonej przez kluczowego zewnętrznego dostawcę usług ICT lub jej wdrażania albo nakazującą podmiotowi finansowemu wypowiedzenie, w całości albo części, postanowień umowy z kluczowym zewnętrznym dostawcą usług ICT.

6. Komisja, wydając decyzję, o której mowa w art. 42 ust. 6 rozporządzenia 2022/2554, nakazującą podmiotowi finansowemu tymczasowe zawieszenie, w całości albo części, korzystania z usługi świadczonej przez kluczowego zewnętrznego dostawcę usług ICT lub jej wdrażania, określa termin obowiązywania tej decyzji.

7. W przypadku gdy ryzyko zidentyfikowane w zaleceniach, o których mowa w art. 35 ust. 1 lit. d rozporządzenia 2022/2554, zostało wyeliminowane przed upływem terminu obowiązywania decyzji, o której mowa w art. 42 ust. 6 rozporządzenia 2022/2554, Komisja stwierdza wygaśnięcie tej decyzji.

8. W przypadku gdy podmiot finansowy nie uwzględnił ryzyka zidentyfikowanego w zaleceniach, o których mowa w art. 35 ust. 1 lit. d rozporządzenia 2022/2554, albo uwzględnił je w sposób niewystarczający, Komisja może jednorazowo przedłużyć, w drodze decyzji, termin obowiązywania decyzji, o której mowa w art. 42 ust. 6 rozporządzenia 2022/2554, i określić nowy termin jej obowiązywania.

9. W przypadku gdy podmiot finansowy nie uwzględnił ryzyka zidentyfikowanego w zaleceniach, o których mowa w art. 35 ust. 1 lit. d rozporządzenia 2022/2554, albo uwzględnił je w sposób niewystarczający w terminie przedłużonym zgodnie z ust. 8, Komisja wydaje decyzję, o której mowa w art. 42 ust. 6 rozporządzenia 2022/2554, nakazującą podmiotowi finansowemu wypowiedzenie, w całości albo części, postanowień umowy z kluczowym zewnętrznym dostawcą usług ICT.

10. Komisja, wydając decyzję, o której mowa w ust. 8, oraz decyzję, o której mowa w art. 42 ust. 6 rozporządzenia 2022/2554, uwzględnia okoliczności określone w art. 42 ust. 8 rozporządzenia 2022/2554.

11. Decyzja wydana na podstawie ust. 8 oraz decyzja, o której mowa w art. 42 ust. 6 rozporządzenia 2022/2554, są natychmiast wykonalne.

12. Komisja zgodnie z art. 42 ust. 9 rozporządzenia 2022/2554 informuje członków forum nadzoru, o których mowa w art. 32 ust. 4 lit. a–c rozporządzenia 2022/2554, oraz wspólną sieć nadzoru ustanowioną zgodnie z art. 34 ust. 1 rozporządzenia 2022/2554 o wydaniu decyzji na podstawie ust. 8 oraz decyzji, o której mowa w art. 42 ust. 6 rozporządzenia 2022/2554.

13. W celu stosowania spójnych środków następczych w zakresie nadzoru Komisja może uwzględnić wydane przez wiodący organ nadzorczy, wyznaczony zgodnie z art. 31 ust. 1 lit. b rozporządzenia 2022/2554, niewiążące i niejawne opinie na potrzeby właściwych organów, o których mowa w art. 46 rozporządzenia 2022/2554, zgodnie z art. 42 ust. 7 rozporządzenia 2022/2554.

Art. 18zm. Sankcje za naruszenie obowiązków dotyczących ICT

1. W przypadku naruszenia obowiązku, o którym mowa w przepisach art. 5–10, art. 11 ust. 1–10, art. 12–14, art. 16 ust. 1 i 2, art. 17, art. 18 ust. 1 i 2, art. 19 ust. 1–5, art. 23–25, art. 26 ust. 1–8, art. 27, art. 28 ust. 1–8, art. 29, art. 30 ust. 1–3, art. 31 ust. 12, art. 42 oraz art. 45 ust. 3 rozporządzenia 2022/2554, przepisach aktów delegowanych wydanych na podstawie art. 15, art. 16 ust. 3, art. 18 ust. 3, art. 20 lit. a, art. 26 ust. 11, art. 28 ust. 10, art. 30 ust. 5 oraz art. 41 ust. 1 lit. d rozporządzenia 2022/2554 lub przepisach aktów wykonawczych wydanych na podstawie art. 20 lit. b oraz art. 28 ust. 9 rozporządzenia 2022/2554, Komisja może, w drodze decyzji:

1) nakazać osobie fizycznej, osobie prawnej lub jednostce organizacyjnej nieposiadającej osobowości prawnej zaprzestanie danego zachowania oraz powstrzymanie się od takiego zachowania w przyszłości;

2) zakazać osobie odpowiedzialnej za to naruszenie pełnienia funkcji członka zarządu lub rady nadzorczej albo innej funkcji kierowniczej podmiotu finansowego przez okres niekrótszy niż miesiąc i niedłuższy niż rok;

3) nałożyć karę pieniężną do wysokości nieprzekraczającej:

a) w przypadku osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej:

kwoty 20 869 500 zł lub 10 % całkowitego rocznego przychodu, a w przypadku zakładu ubezpieczeń lub zakładu reasekuracji –10 % składki przypisanej brutto, wykazanych w ostatnim sprawozdaniu finansowym za rok obrotowy, zatwierdzonym przez organ zatwierdzający, albo

dwukrotności kwoty korzyści uzyskanych lub strat unikniętych w wyniku tego naruszenia – w przypadku gdy jest możliwe ich ustalenie,

b) w przypadku osoby fizycznej odpowiedzialnej za to naruszenie, która w tym okresie pełniła obowiązki członka zarządu albo innego organu zarządzającego tego podmiotu finansowego – kwoty 3 042 410 zł,

c) w przypadku innej osoby fizycznej odpowiedzialnej za to naruszenie – sześciokrotności kwoty otrzymywanego przez ukaranego wynagrodzenia, obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop wypoczynkowy.

2. W przypadku gdy osoba prawna lub jednostka organizacyjna nieposiadająca osobowości prawnej, o których mowa w ust. 1 pkt 3 lit. a, jest jednostką dominującą albo jednostką zależną jednostki dominującej, która ma obowiązek sporządzać skonsolidowane sprawozdania finansowe zgodnie z ustawą z dnia 29 września 1994 r. o rachunkowości, karę pieniężną, o której mowa w ust. 1 pkt 3 lit. a, ustala się na podstawie całkowitych rocznych przychodów, a w przypadku zakładu ubezpieczeń lub zakładu reasekuracji – składki przypisanej brutto, wykazanych w ostatnim rocznym skonsolidowanym sprawozdaniu finansowym jednostki dominującej za rok obrotowy, zatwierdzonym przez organ zatwierdzający jednostki dominującej.

3. Komisja, wydając decyzje, o których mowa w ust. 1, uwzględnia okoliczności, o których mowa w art. 51 ust. 2 rozporządzenia 2022/2554.

4. Decyzje, o których mowa w ust. 1 pkt 1 i 2, są natychmiast wykonalne.

5. Komisja udostępnia zgodnie z art. 54 rozporządzenia 2022/2554 na swojej stronie internetowej komunikaty o decyzjach, o których mowa w ust. 1, maksymalnie przez okres 5 lat, licząc od dnia ich udostępnienia, z tym że informacje dotyczące imienia i nazwiska osoby, na którą została nałożona sankcja, dostępne są na tej stronie maksymalnie przez rok.

Art. 18zn. Współpraca Komisji w zakresie nadzoru nad ICT

Komisja w zakresie nadzoru przewidzianego przepisami rozporządzenia 2022/2554 współpracuje oraz wymienia informacje i dokumenty z:

1) właściwymi organami, o których mowa w art. 46 rozporządzenia 2022/2554, państw członkowskich Unii Europejskiej lub państw członkowskich Europejskiego Porozumienia o Wolnym Handlu (EFTA) – stron umowy o Europejskim Obszarze Gospodarczym oraz Europejskim Urzędem Nadzoru Bankowego, Europejskim Urzędem Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych, Europejskim Urzędem Nadzoru Giełd i Papierów Wartościowych oraz bankami centralnymi Europejskiego Systemu Banków Centralnych w zakresie niezbędnym do wykonywania obowiązków wynikających z rozporządzenia 2022/2554;

2) odpowiednim wiodącym organem nadzorczym wyznaczonym zgodnie z art. 31 ust. 1 lit. b rozporządzenia 2022/2554 oraz Komisją Europejską;

3) organami właściwymi do spraw cyberbezpieczeństwa, o których mowa w art. 41 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, CSIRT MON, CSIRT NASK, CSIRT GOV oraz Pojedynczym Punktem Kontaktowym do spraw cyberbezpieczeństwa, o którym mowa w art. 4 pkt 18 tej ustawy;

4) organami, o których mowa w art. 17 i art. 17b–17g.

Art. 18zo. Przepisy o kontroli podmiotów finansowych

Do kontroli, o której mowa w art. 18zc ust. 1, w zakresie nieuregulowanym w niniejszym rozdziale stosuje się przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców.

Pełna treść aktu: o nadzorze nad rynkiem finansowym.