1) paragrahvi 6 lõiget 1 täiendatakse punktiga 7⁵ järgmises sõnastuses:

„7⁵) täita Euroopa Parlamendi ja nõukogu määrusest (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79), tulenevaid ülesandeid ja teha küberturvalisuse valdkonnas koostööd Eesti ja teiste liikmesriikide küberturvalisuse pädevate asutustega;”;

2) paragrahvi 46 täiendatakse lõikega 10 järgmises sõnastuses:

„(10) Inspektsioon osaleb Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklis 32 sätestatud järelevaatamisfoorumi töös ning teavitab sellest sama artikli lõike 5 kohaselt juhtivat järelevaatamisasutust.”;

3) paragrahvi 47 lõike 12 punktis 4 asendatakse tekstiosa „Euroopa Parlamendi ja nõukogu määruses (EL) nr 575/2013 krediidiasutuste ja investeerimisühingute suhtes kohaldatavate usaldatavusnõuete kohta ja määruse (EL) nr 648/2012 muutmise kohta (ELT L 176, 27.06.2013, lk 1–337)” tekstiosaga „Euroopa Parlamendi ja nõukogu määruses (EL) nr 575/2013, mis käsitleb krediidiasutuste suhtes kohaldatavaid usaldatavusnõudeid ja millega muudetakse määrust (EL) nr 648/2012 (ELT L 176, 27.06.2013, lk 1–337),”;

4) seadust täiendatakse §-ga 47¹¹ järgmises sõnastuses:

„§ 47¹¹. Koostöö küberturvalisuse valdkonnas

(1) Inspektsioon teeb koostööd Riigi Infosüsteemide Ametiga. Koostöö sisaldab muu hulgas järgmist:
1) Riigi Infosüsteemide Ametiga konsulteerimine Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 42 lõike 5 kohaselt;
2) Riigi Infosüsteemide Ametilt tehnilise nõu ja abi küsimine ning koostöökokkuleppe sõlmimine, seda eelkõige kooskõlas Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 47 lõigetega 3 ja 4;
3) teabe vahetamine Inspektsiooni ja Riigi Infosüsteemide Ameti vahel, sealhulgas küberintsidentide ja küberohtude kohta ning küsimustes, mis puudutavad elutähtsaid teenuseid osutavaid finantsjärelevalve subjekte;
4) koostöö koordineerimine seoses finantsjärelevalve subjektide digitaalse tegevuskerksuse süvatestimisega.

(2) Inspektsioon teeb asjakohasel juhul koostööd teise lepinguriigi küberturvalisuse järelevalve eest vastutava pädeva asutusega, seda eelkõige Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 42 lõike 5 kohasel konsulteerimisel.

(3) Kui Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 19 lõikes 4 nimetatud teate ja raportid esitab Inspektsioonile hädaolukorra seaduse § 38 lõikes 1 sätestatud elutähtsa teenuse osutaja, edastab Inspektsioon teate ja raportid viivitamata Eesti Pangale.

(4) Inspektsiooni koostöö Euroopa Pangandusjärelevalve Asutuse, Euroopa Väärtpaberiturujärelevalve Asutuse, Euroopa Kindlustus- ja Tööandjapensionide Järelevalve Asutuse ning Euroopa Keskpangaga sisaldab lisaks käesolevas peatükis sätestatule Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 48 lõikes 2 ning artikli 49 lõikes 2 sätestatud koostööd ja teabevahetust.”;

5) paragrahvi 54 lõiget 4 täiendatakse punktiga 13 järgmises sõnastuses:

„13) Riigi Infosüsteemi Ametile Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 ja käesoleva seaduse §-s 47¹¹ sätestatud koostöö ulatuses.”;

6) paragrahvi 54² täiendatakse lõikega 4 järgmises sõnastuses:

„(4) Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 sätestatud järelevalvemenetlustes töödeldud isikuandmeid säilitatakse nimetatud määruse artiklis 56 sätestatu kohaselt.”.

1) paragrahvi 2 lõikes 2 asendatakse tekstiosa „Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013 krediidiasutuste ja investeerimisühingute suhtes kohaldatavate usaldatavusnõuete kohta ja määruse (EL) nr 648/2012 muutmise kohta (ELT L 176, 27.06.2013, lk 1–337)” tekstiosaga „Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013, mis käsitleb krediidiasutuste suhtes kohaldatavaid usaldatavusnõudeid ja millega muudetakse määrust (EL) nr 648/2012 (ELT L 176, 27.06.2013, lk 1–337),”;

2) paragrahvi 11 lõike 1 punkt 16 muudetakse ja sõnastatakse järgmiselt:

„16) korda ja meetmeid, mis on vajalikud krediidiasutuse tegevusprotsesside jätkuvaks pidevaks toimimiseks, sealhulgas Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79), kohaselt loodud ja hallatavate võrgu- ja infosüsteemide toimimiseks;”;

3) paragrahvi 28 lõiget 5 täiendatakse punktidega 14¹ ja 14² järgmises sõnastuses:

„14¹) Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 3 punktis 23 nimetatud kriitilise tähtsusega kolmandast isikust info- ja tehnoloogiateenuse osutaja andmed;
14²) Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 IV peatüki kohased digitaalse tegevuskerksuse testimise tulemused;”;

4) paragrahvi 29 lõike 1 punktis 5 asendatakse tekstiosa „tegevuse jätkumine” tekstiosaga „tegevuse jätkumine ja digitaalne tegevuskerksus”;

5) paragrahvi 29 lõike 1 punktis 8 asendatakse tekstiosa „süsteemide kirjeldus” tekstiosaga „süsteemide kirjeldus, sealhulgas küberturvalisuse seaduse § 2 punktis 1 sätestatud võrgu- ja infosüsteemide kirjeldus”;

6) paragrahvi 33 lõike 4 punkt 4 muudetakse ja sõnastatakse järgmiselt:

„4) krediidiasutuse teenuslepingute, sealhulgas info- ja kommunikatsioonitehnoloogia teenuse osutamisega seotud lepingute püsivus ja täielikult täitmisele pööratavus krediidiasutuse kriisilahendusmenetluse korral;”;

7) paragrahvi 33 lõiget 4 täiendatakse punktiga 4¹ järgmises sõnastuses:

„4¹) kriitilisi funktsioone ja põhiäriliine toetavate võrgu- ja infosüsteemide digitaalne tegevuskerksus, võttes arvesse Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklis 19 sätestatud teavitusi tõsistest info- ja kommunikatsioonitehnoloogiaga seotud intsidentidest, kui see on asjakohane, ja määruse IV peatüki kohase digitaalse tegevuskerksuse testimise tulemusi;”;

8) seaduse normitehnilises märkuses asendatakse tekstiosa „ja (EL) 2019/2162 (ELT L 328, 18.12.2019, lk 29–57)” tekstiosaga „, (EL) 2019/2162 (ELT L 328, 18.12.2019, lk 29–57) ja (EL) 2022/2556 (ELT L 333, 27.12.2022, lk 153–163)”.

„§ 2¹. Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 kohaldamata jätmine

Hoiu-laenuühistule ei kohaldata Euroopa Parlamendi ja nõukogu määrust (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79).”.

1) paragrahvi 12 lõike 1 punktis 1 asendatakse tekstiosa „Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013 krediidiasutuste ja investeerimisühingute suhtes kohaldatavate usaldatavusnõuete kohta ja määruse (EL) nr 648/2012 muutmise kohta (ELT L 176/1, 27.06.2013)” tekstiosaga „Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013, mis käsitleb krediidiasutuste suhtes kohaldatavaid usaldatavusnõudeid ja millega muudetakse määrust (EL) nr 648/2012 (ELT L 176, 27.06.2013, lk 1–337),”;

2) paragrahvi 223 lõikes 2 asendatakse tekstiosa „§-des 310–312, 342, 354” tekstiosaga „§-des 310–312 ja 342, § 345 lõigetes 1–4, §-des 345¹ ja 354”;

3) paragrahvi 223 täiendatakse lõikega 5 järgmises sõnastuses:

„(5) Käesoleva seaduse § 345 lõikes 1¹ ja §-s 345¹ sätestatut ei kohaldata määratud väljamaksetega tööandja pensionifondi suhtes, kui pensioniskeemiga on hõlmatud vähem kui 15 isikut.”;

4) paragrahvi 344 lõike 3 punkt 3 muudetakse ja sõnastatakse järgmiselt:

„3) nõuded info- ja kommunikatsioonitehnoloogilise korralduse, infoturbe tagamise ja talitluspidevuse kohta, mis peavad asjakohasel juhul olema kooskõlas Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79), sätestatud info- ja kommunikatsioonitehnoloogia riskide juhtimise nõuetega;”;

5) paragrahvi 345 pealkiri muudetakse ja sõnastatakse järgmiselt:

„§ 345. Teabe töötlemine ja säilitamine, digitaalse tegevuskerksuse tagamine ning eurofondi arvel tehtud tehingute registreerimine ja salvestamine andmetöötlussüsteemis”;

6) paragrahvi 345 täiendatakse lõikega 1¹ järgmises sõnastuses:

„(1¹) Fondivalitseja järgib Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 sätestatud nõudeid, sealhulgas kasutab ja haldab käesoleva paragrahvi lõikes 1 sätestatu tagamiseks ning äriprotsesside toetamiseks võrgu- ja infosüsteeme määruses sätestatu kohaselt. Pensionifondi valitseja suhtes kohaldatakse nimetatud määruse artiklites 3–18, artikli 19 lõigetes 1–5, artikli 22 lõikes 1 ning artiklites 24–30 ja 45 sätestatut.”;

7) seadust täiendatakse §-ga 345¹ järgmises sõnastuses:

„§ 345¹. Intsidendist ja küberohust teavitamine

(1) Fondivalitseja teavitab tõsisest info- ja kommunikatsioonitehnoloogiaga seotud intsidendist Finantsinspektsiooni ning Riigi Infosüsteemi Ametit Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklis 19 sätestatu kohaselt.

(2) Fondivalitseja kasutab käesoleva paragrahvi lõikes 1 sätestatud juhul esialgse teate ja raportite edastamisel Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 20 alusel kehtestatud teavitusvorme ja lähtub kehtestatud tähtaegadest, välja arvatud juhul, kui tehnilistel põhjustel ei ole võimalik esialgset teadet edastada asjakohast vormi kasutades.

(3) Kui fondivalitseja otsustab Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 19 lõike 2 kohaselt teavitada Finantsinspektsiooni olulisest küberohust, edastab fondivalitseja teavituse ühtlasi Riigi Infosüsteemi Ametile.”;

8) paragrahvi 363¹ täiendatakse lõikega 3 järgmises sõnastuses:

„(3) Tööandja pensionifondi valitseja suhtes ei kohaldata käesoleva seaduse § 345 lõikes 1¹ ja §-s 345¹ sätestatut, kui fondi kuulub vähem kui 15 osakuomanikku.”;

9) paragrahvi 455 täiendatakse lõikega 3² järgmises sõnastuses:

„(3²) Finantsinspektsioonil on Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 nõuete kohase täitmise üle järelevalve teostamisel kõik nimetatud määruses, käesolevas seaduses ja Finantsinspektsiooni seaduses sätestatud õigused. Finantsinspektsioon avalikustab nimetatud määruses sätestatud kohustuse rikkumise kohta tehtud otsuse oma veebilehel määruse artiklis 54 sätestatu kohaselt.”;

10) seaduse 31 peatüki 1. jagu täiendatakse §-ga 503⁴ järgmises sõnastuses:

„§ 503⁴. Digitaalse tegevuskerksuse nõuete rikkumine

(1) Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklites 5–14, 16–18, artikli 19 lõigetes 1 või 3–5, artiklis 24 või 25, artikli 26 lõigetes 1–8, artiklis 27, artikli 28 lõigetes 1–8, artiklis 29, artikli 30 lõigetes 1–4 või artikli 42 lõikes 3 sätestatud nõuete rikkumise eest –
karistatakse rahatrahviga kuni 5 000 000 eurot või kuni kahekordses väärteo tulemusel teenitud kasule või ära hoitud kahjule vastavas summas.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –
karistatakse rahatrahviga kuni 5 000 000 eurot või kuni kahekordses väärteo tulemusel teenitud kasule või ära hoitud kahjule vastavas summas või kuni kümme protsenti juriidilise isiku või tema konsolideerimisgrupi konsolideeritud käibest.”;

11) seaduse normitehnilises märkuses asendatakse tekstiosa „ja 2013/14/EL (ELT L 145, 31.05.2013, lk 1–3)” tekstiosaga „, 2013/14/EL (ELT L 145, 31.05.2013, lk 1–3) ja (EL) 2022/2556 (ELT L 333, 27.12.2022, lk 153–163)”;

12) seaduse normitehnilist märkust täiendatakse pärast tekstiosa „(ELT L 354, 23.12.2016, lk 37–85)” tekstiosaga „, muudetud direktiiviga (EL) 2022/2556 (ELT L 333, 27.12.2022, lk 153–163)”.

1) paragrahvi 38 lõike 2 punkt 5 muudetakse ja sõnastatakse järgmiselt:

„5) äriseadustiku § 386 lõike 2 punktides 1 ja 5 nimetatud andmed ja dokumendid;”;

2) paragrahvi 38 lõiget 2 täiendatakse punktiga 5¹ järgmises sõnastuses:

„5¹) äriühingu põhikirja või ühingulepingu asukohariigi seaduste kohaselt tõestatud ärakiri, kui põhikiri või ühinguleping tuleb registrile esitada ka ühingu asukohariigis;”;

3) paragrahvi 87 lõikes 9 asendatakse tekstiosa „Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013 krediidiasutuste ja investeerimisühingute suhtes kohaldatavate usaldatavusnõuete kohta ja määruse (EL) nr 648/2012 muutmise kohta (ELT L 176, 27.06.2013, lk 1–337)” tekstiosaga „Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013, mis käsitleb krediidiasutuste suhtes kohaldatavaid usaldatavusnõudeid ja millega muudetakse määrust (EL) nr 648/2012 (ELT L 176, 27.06.2013, lk 1–337),”;

4) paragrahvi 96 täiendatakse lõikega 7¹ järgmises sõnastuses:

„(7¹) Kindlustusandja järgib Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79), sätestatud nõudeid, sealhulgas kasutab ja haldab võrgu- ja infosüsteeme määruses sätestatu kohaselt.”;

5) paragrahvi 105 lõike 2 punkt 2 muudetakse ja sõnastatakse järgmiselt:

„2) nõuded info- ja kommunikatsioonitehnoloogilise korralduse, infoturbe tagamise ja talitluspidevuse kohta, mis peavad olema kooskõlas Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 sätestatud info- ja kommunikatsioonitehnoloogia riskide juhtimise nõuetega;”;

6) seadust täiendatakse §-ga 105¹ järgmises sõnastuses:

„§ 105¹. Intsidendist ja küberohust teavitamine

(1) Kindlustusandja teavitab tõsisest info- ja kommunikatsioonitehnoloogiaga seotud intsidendist Finantsinspektsiooni ning Riigi Infosüsteemi Ametit Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklis 19 sätestatu kohaselt.

(2) Kindlustusandja kasutab käesoleva paragrahvi lõikes 1 sätestatud juhul esialgse teate ja raportite edastamisel Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 20 alusel kehtestatud teavitusvorme ja lähtub kehtestatud tähtaegadest, välja arvatud juhul, kui tehnilistel põhjustel ei ole võimalik esialgset teadet edastada asjakohast vormi kasutades.

(3) Kui kindlustusandja otsustab Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 19 lõike 2 kohaselt teavitada Finantsinspektsiooni olulisest küberohust, edastab kindlustusandja teavituse ühtlasi Riigi Infosüsteemi Ametile.”;

7) paragrahvi 138 tekst loetakse lõikeks 1 ja paragrahvi täiendatakse lõikega 2 järgmises sõnastuses:

„(2) Kindlustusandja, välja arvatud Euroopa äriühingust kindlustusandja, piiriülene ümberkujundamine ei ole lubatud.”;

8) paragrahvi 175 lõike 1 sissejuhatavas lauseosas asendatakse tekstiosa „§ 181 lõikeid 1 ja 6” tekstiosaga „§ 181 lõikeid 1 ja 6, § 181¹”;

9) paragrahvi 179 lõike 1 punkt 2 muudetakse ja sõnastatakse järgmiselt:

„2) kindlustussumma on vähemalt 1 564 610 eurot ühe kindlustusjuhtumi kohta ja 2 315 610 eurot aastas kõigi esitatud nõuete kohta;”;

10) seadust täiendatakse §-ga 181¹ järgmises sõnastuses:

„§ 181¹. Nõuded vahendaja digitaalsele tegevuskerksusele

(1) Vahendaja järgib Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 sätestatud nõudeid.

(2) Tõsistest info- ja kommunikatsioonitehnoloogiaga seotud intsidentidest ja küberohtudest teavitamisele kohaldatakse käesoleva seaduse §-s 105¹ sätestatut.

(3) Käesolevas paragrahvis sätestatut ei kohaldata mikroettevõtjast ja väikeettevõtjast vahendajale ega keskmise suurusega vahendajale.”;

11) paragrahvi 186 lõike 2 punkt 13 muudetakse ja sõnastatakse järgmiselt:

„13) nõuded info- ja kommunikatsioonitehnoloogilise korralduse, infoturbe tagamise ja talitluspidevuse kohta, mis peavad asjakohasel juhul olema kooskõlas Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 sätestatud info- ja kommunikatsioonitehnoloogia riskide juhtimise nõuetega;”;

12) paragrahvi 210 lõike 1 punkt 4 muudetakse ja sõnastatakse järgmiselt:

„4) äriseadustiku § 386 lõike 2 punktides 1, 3 ja 5 sätestatud andmed ja dokumendid;”;

13) paragrahvi 210 lõiget 1 täiendatakse punktiga 4¹ järgmises sõnastuses:

„4¹) äriühingu põhikirja või ühingulepingu asukohariigi seaduste kohaselt tõestatud ärakiri, kui põhikiri või ühinguleping tuleb registrile esitada ka ühingu asukohariigis;”;

14) paragrahvi 224 täiendatakse lõikega 3 järgmises sõnastuses:

„(3) Finantsinspektsioonil on Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 nõuete kohase täitmise üle järelevalve teostamisel kõik nimetatud määruses, käesolevas seaduses ja Finantsinspektsiooni seaduses sätestatud õigused. Finantsinspektsioon avalikustab nimetatud määruses sätestatud kohustuse rikkumise kohta tehtud otsuse oma veebilehel määruse artiklis 54 sätestatu kohaselt.”;

15) seadust täiendatakse §-ga 257¹ järgmises sõnastuses:

„§ 257¹. Digitaalse tegevuskerksuse nõuete rikkumine

(1) Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklites 5–14 või 16–18, artikli 19 lõigetes 1 või 3–5, artiklis 24 või 25, artikli 26 lõigetes 1–8, artiklis 27, artikli 28 lõigetes 1–8, artiklis 29, artikli 30 lõigetes 1–4 või artikli 42 lõikes 3 sätestatud nõuete rikkumise eest –
karistatakse rahatrahviga kuni 700 000 eurot või kuni kahekordses väärteo tulemusel teenitud kasule või ära hoitud kahjule vastavas summas.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –
karistatakse rahatrahviga kuni 5 000 000 eurot või kuni kahekordses väärteo tulemusel teenitud kasule või ära hoitud kahjule vastavas summas või kuni kümme protsenti juriidilise isiku või tema konsolideerimisgrupi konsolideeritud käibest.”;

16) paragrahvis 263³ asendatakse tekstiosa „käesoleva lõike esimeses lauses” tekstiosaga „eelmises lauses”;

17) seaduse normitehnilise märkuse tekstiosa „muudetud direktiiviga (EL) 2019/2177 (ELT L 334, 27.12.2019, lk 155–163)” asendatakse tekstiosaga „muudetud direktiividega (EL) 2019/2177 (ELT L 334, 27.12.2019, lk 155–163) ja (EL) 2022/2556 (ELT L 333, 27.12.2022, lk 153–163)”.

1) paragrahvi 20⁶ lõike 3 teises lauses asendatakse tekstiosa „üksnes filiaali kaudu” tekstiosaga „üksnes Eesti äriregistrisse kantud filiaali kaudu”;

2) paragrahvi 21 lõike 2 punkt 5 muudetakse ja sõnastatakse järgmiselt:

„5) äriseadustiku § 386 lõike 2 punktides 1, 3 ja 5 nimetatud andmed ja dokumendid;”;

3) paragrahvi 21 lõiget 2 täiendatakse punktiga 6 järgmises sõnastuses:

„6) äriühingu põhikirja või ühingulepingu asukohariigi seaduste kohaselt tõestatud ärakiri, kui põhikiri või ühinguleping tuleb registrile esitada ka ühingu asukohariigis;”;

4) seadust täiendatakse §-ga 82⁴ järgmises sõnastuses:

„§ 82⁴. Nõuded operatsiooniriski juhtimisele

(1) Krediidiasutus järgib Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79), sätestatud nõudeid, sealhulgas kasutab ja haldab võrgu- ja infosüsteeme määruses sätestatu kohaselt.

(2) Krediidiasutus töötab käesoleva seaduse § 82 lõikes 5 sätestatud talitluspidevuse plaani osana välja piisavad info- ja kommunikatsioonitehnoloogia talitluspidevuse põhimõtted ja plaani ning info- ja kommunikatsioonitehnoloogia reageerimis- ja taasteplaanid tehnoloogia jaoks, mida krediidiasutus kasutab teabe edastamiseks, et tagada tegevuse jätkumine tõsiste toimimishäirete korral ning piirata selliste häirete tagajärjel tekkida võivat kahju. Krediidiasutus töötab eelmises lauses nimetatud plaanid välja ning haldab ja testib neid kooskõlas Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikliga 11.

(3) Krediidiasutusele ei kohaldata küberturvalisuse seaduse 2. peatükis sätestatud küberturvalisuse tagamise nõudeid ja hädaolukorra seaduse § 41 lõiget 1.”;

5) seadust täiendatakse §-ga 92⁴ järgmises sõnastuses:

„§ 92⁴. Intsidendist ja küberohust teavitamine

(1) Krediidiasutus teavitab tõsisest info- ja kommunikatsioonitehnoloogiaga seotud intsidendist Finantsinspektsiooni ning Riigi Infosüsteemi Ametit Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklis 19 sätestatu kohaselt.

(2) Kui krediidiasutus on elutähtsa teenuse osutaja hädaolukorra seaduse § 38 lõike 1 tähenduses, loetakse käesoleva paragrahvi lõikes 1 sätestatu kohaselt esitatud teavitusega täidetuks hädaolukorra seaduse § 38 lõike 3 punktis 4 sätestatud elutähtsa teenuse osutaja kohustus teavitada tõsise info- ja kommunikatsioonitehnoloogiaga seotud intsidendist. Kui hädaolukorra seaduse § 37 lõike 3 punktis 7 nimetatud sündmus ei liigitu tõsiseks info- ja kommunikatsioonitehnoloogiaga seotud intsidendiks, kohaldatakse sündmusest teavitamisele nimetatud seaduses ja selle alusel antud õigusaktis sätestatud nõudeid.

(3) Krediidiasutus kasutab käesoleva paragrahvi lõikes 1 sätestatud juhul esialgse teate ja raportite edastamisel Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 20 alusel kehtestatud teavitusvorme ja lähtub kehtestatud tähtaegadest, välja arvatud juhul, kui tehnilistel põhjustel ei ole võimalik esialgset teadet edastada asjakohast vormi kasutades.

(4) Kui krediidiasutus otsustab Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 19 lõike 2 kohaselt teavitada Finantsinspektsiooni olulisest küberohust, edastab ta teavituse ühtlasi Riigi Infosüsteemi Ametile.”;

6) paragrahvi 96 lõike 5 esimeses lauses asendatakse tekstiosa „süsteemset riski” tekstiosaga „süsteemset riski, digitaalse tegevuskerksuse testimise käigus tuvastatud riski”;

7) paragrahvi 99 lõiget 1 täiendatakse punktiga 4¹ järgmises sõnastuses:

„4¹) Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 3 lõike 1 punktis 19 nimetatud kolmandast isikust info- ja kommunikatsioonitehnoloogia teenuse osutaja;”;

8) paragrahvi 103 täiendatakse lõikega 3² järgmises sõnastuses:

„(3²) Finantsinspektsioonil on Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 nõuete kohase täitmise üle järelevalve teostamisel kõik nimetatud määruses, käesolevas seaduses ja Finantsinspektsiooni seaduses sätestatud õigused. Finantsinspektsioon avalikustab nimetatud määruses sätestatud kohustuse rikkumise kohta tehtud otsuse oma veebilehel määruse artiklis 54 sätestatu kohaselt.”;

9) paragrahvid 134²³–134²⁵ tunnistatakse kehtetuks;

10) seaduse 12. peatükki täiendatakse §-ga 134²⁶ järgmises sõnastuses:

„§ 134²⁶. Digitaalse tegevuskerksuse nõuete rikkumine

(1) Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklites 5–14 või 16–18, artikli 19 lõigetes 1 või 3–5, artiklis 24 või 25, artikli 26 lõigetes 1–8, artiklis 27, artikli 28 lõigetes 1–8, artiklis 29, artikli 30 lõigetes 1–4 või artikli 42 lõikes 3 sätestatud nõuete rikkumise eest –
karistatakse rahatrahviga kuni 5 000 000 eurot või kuni kahekordses väärteo tulemusel teenitud kasule või ära hoitud kahjule vastavas summas.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –
karistatakse rahatrahviga kuni 5 000 000 eurot või kuni kahekordses väärteo tulemusel teenitud kasule või ära hoitud kahjule vastavas summas või kuni 10 protsenti juriidilise isiku või tema konsolideerimisgrupi konsolideeritud käibest.”;

11) seaduse 12. peatükki täiendatakse §-dega 140¹ ja 140² järgmises sõnastuses:

„§ 140¹. Juriidilise isiku ja konsolideerimisgrupi konsolideeritud käive

(1) Käesolevas peatükis sätestatud juriidilise isiku käive on aastane netokäive eelmisel majandusaastal, sealhulgas brutotulu, mis koosneb saadaolevatest intressidest ja samalaadsetest tuludest, tuludest aktsiatelt ja muudelt muutuv- või püsituluga väärtpaberitelt ning saadaolevatest komisjoni- või teenustasudest kooskõlas Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013 artikliga 316. Kui juriidiline isik on emaettevõtja tütarettevõtja, on käesoleva lõike esimeses lauses nimetatud brutotuluks kogutulu eelmise majandusaasta konsolideeritud aastaaruande järgi.

(2) Käesoleva seaduse §-des 134¹⁴ ja 134²¹ sätestatud juriidilise isiku käive on aastane kogukäive viimase kättesaadava juhtimisorgani kinnitatud raamatupidamise aruande järgi. Kui juriidiline isik on emaettevõtja või sellise emaettevõtja tütarettevõtja, kes peab koostama konsolideeritud finantsaruandeid, on käesoleva lõike esimeses lauses nimetatud kogukäive aastane kogukäive või sellele vastav tululiik viimase kättesaadava konsolideeritud raamatupidamise aruande järgi, mille on heaks kiitnud kõrgeima taseme emaettevõtja juhtimisorgan.

§ 140². Menetlus

(1) Käesolevas peatükis sätestatud väärtegude kohtuväline menetleja on Finantsinspektsioon.

(2) Käesolevas peatükis sätestatud väärtegude aegumistähtaeg on kolm aastat.”;

12) seaduse normitehnilises märkuses asendatakse tekstiosa „ja (EL) 2019/2034 (ELT L 314, 05.12.2019, lk 64–114)” tekstiosaga „, (EL) 2019/2034 (ELT L 314, 05.12.2019, lk 64–114) ja (EL) 2022/2556 (ELT L 333, 27.12.2022, lk 153–163)”.

1) paragrahvi 3 lõike 6 punktis 3 asendatakse tekstiosa „Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013 krediidiasutuste ja investeerimisühingute suhtes kohaldatavate usaldatavusnõuete kohta ja määruse (EL) nr 648/2012 muutmise kohta (ELT L 176, 27.06.2013, lk 1–337)” tekstiosaga „Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013, mis käsitleb krediidiasutuste suhtes kohaldatavaid usaldatavusnõudeid ja millega muudetakse määrust (EL) nr 648/2012 (ELT L 176, 27.06.2013, lk 1–337),”;

2) paragrahvi 4 lõike 1 punktis 9 asendatakse tekstiosa „sidevõrgu- ja infotehnoloogiliste teenuste” tekstiosaga „info- ja kommunikatsioonitehnoloogia teenuste ning sidevõrguteenuste”;

3) paragrahvi 7 lõiget 1 täiendatakse teise lausega järgmises sõnastuses:

„E-raha asutus võib tegutseda üksnes aktsiaseltsina, kui ta osutab käesoleva paragrahvi lõike 2 punktis 1 või 2 nimetatud teenust.”;

4) paragrahvi 15 lõike 1 punkt 9 muudetakse ja sõnastatakse järgmiselt:

„9) andmed kavandatavate teenuste osutamiseks vajalike info- ja kommunikatsioonitehnoloogia ning muude vahendite ja süsteemide kohta ning info- ja kommunikatsioonitehnoloogia teenuste kasutamise kord kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79);”;

5) paragrahvi 15 lõike 1¹ punkt 2 muudetakse ja sõnastatakse järgmiselt:

„2) selgitust, kuidas turvalisuskontrolli ja riskide maandamise meetmetega, sealhulgas käesoleva seaduse § 63⁵ lõikes 1 nimetatud turvameetmetega, tagatakse digitaalse tegevuskerksuse kõrge tase Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 II peatüki kohaselt, eelkõige andmekaitses ning tehnilise turvalisuse, sealhulgas info- ja kommunikatsioonitehnoloogia süsteemide jaoks, mida kasutab taotleja või kolmas isik, kellele antakse edasi makseteenuse osutamisega seotud tegevusi või tööülesandeid.”;

6) paragrahvi 17 lõige 5 muudetakse ja sõnastatakse järgmiselt:

„(5) Kui taotleja ei ole kõrvaldanud käesoleva paragrahvi lõikes 1 nimetatud puudusi ettenähtud tähtaja jooksul või ei ole tähtpäevaks esitanud Finantsinspektsiooni nõutud andmeid või dokumente või taotlus on esitatud oluliste puudustega, võib Finantsinspektsioon jätta tegevusloa taotluse läbi vaatamata.”;

7) paragrahvi 24 lõige 3 muudetakse ja sõnastatakse järgmiselt:

„(3) Eesti makseasutuse ja e-raha asutuse poolt käesoleva paragrahvi lõikes 2 nimetamata välisriigis (edaspidi kolmandas riigis) filiaali asutamisele kohaldatakse käesoleva seaduse §-des 25–28 sätestatut.”;

8) paragrahvi 24 täiendatakse lõikega 4¹ järgmises sõnastuses:

„(4¹) Kolmandas riigis piiriüleselt teenuse osutamiseks peab makseasutus või e-raha asutus taotlema Finantsinspektsioonilt luba. Loa taotlemiseks esitab makseasutus või e-raha asutus Finantsinspektsioonile kirjaliku taotluse ning käesoleva seaduse § 29 lõike 1 punktides 1 ja 2 sätestatud andmed ning dokumendid. Loa taotlemisele, menetlemisele, andmisele ja kehtetuks tunnistamisele kohaldatakse § 25 lõigetes 1 ja 3 ning §-des 26–28 filiaali asutamise loa kohta sätestatut, sealjuures § 27 punktides 3 ja 4 äriplaani kohta sätestatut kohaldatakse tegevuskava suhtes.”;

9) paragrahvi 32 lõike 2 punkt 6 muudetakse ja sõnastatakse järgmiselt:

„6) äriseadustiku § 386 lõike 2 punktides 1, 3 ja 5 nimetatud andmed ning dokumendid;”;

10) paragrahvi 32 lõiget 2 täiendatakse punktiga 6¹ järgmises sõnastuses:

„6¹) äriühingu põhikirja või ühingulepingu asukohariigi seaduste kohaselt tõestatud ärakiri, kui põhikiri või ühinguleping tuleb registrile esitada ka ühingu asukohariigis;”;

11) paragrahvi 44 lõike 1 punktis 3 asendatakse arv „54” arvuga „39”;

12) paragrahvi 50 lõike 3 punktis 6 asendatakse tekstiosa „infotehnoloogiaalaste” tekstiosaga „info- ja kommunikatsioonitehnoloogia”;

13) paragrahvi 50 lõike 3 punkt 9 muudetakse ja sõnastatakse järgmiselt:

„9) turvalisusega seotud kliendikaebuste ja turvaintsidentide väljaselgitamise ja lahendamise ning nende suhtes meetmete rakendamise kord, sealhulgas intsidentidest teatamise kord kooskõlas Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 III peatükis sätestatud tõsisest info- ja kommunikatsioonitehnoloogiaga seotud intsidendist ning osutatava makseteenusega seotud olulisest operatsiooni- või turvaintsidendist teavitamise nõuetega;”;

14) paragrahvi 50 lõike 3 punkt 11 muudetakse ja sõnastatakse järgmiselt:

„11) talitluspidevuse tagamise kord, sealhulgas oluliste toimingute loetelu, tõhusad info- ja kommunikatsioonitehnoloogia talitluspidevuse põhimõtted ja plaanid ning info- ja kommunikatsioonitehnoloogia reageerimis- ja taasteplaanid ning nende plaanide asjakohasuse ja tõhususe regulaarse testimise ning läbivaatamise menetlus kooskõlas Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 sätestatuga;”;

15) paragrahvi 52 lõige 1 muudetakse ja sõnastatakse järgmiselt:

„(1) Makseasutuse või e-raha asutuse ümberkujundamine on lubatud üksnes osaühingust aktsiaseltsiks. Ümberkujundamiseks on vajalik Finantsinspektsiooni luba.”;

16) paragrahvi 52 täiendatakse lõigetega 1¹–1⁷ järgmises sõnastuses:

„(1¹) Makseasutus või e-raha asutus kujundatakse ümber äriseadustikus sätestatud korras, kui käesolevast seadusest ei tulene teisiti.

(1²) Käesoleva paragrahvi lõikes 1 sätestatud loa saamiseks esitab makseasutus või e-raha asutus Finantsinspektsioonile taotluse koos järgmiste andmete ja dokumentidega:
1) osanike koosoleku otsus põhikirja muutmise kohta ja põhikirja muudetud tekst;
2) osanike koosoleku protokoll;
3) ümberkujundamisaruanne.

(1³) Finantsinspektsioon teeb otsuse ümberkujundamisloa andmise või sellest keeldumise kohta ühe kuu jooksul kõigi nõuetekohaste andmete ja dokumentide saamisest arvates, kuid hiljemalt kolm kuud pärast taotluse saamist.

(1⁴) Finantsinspektsioon võib keelduda ümberkujundamisloa andmisest, kui:
1) ümberkujundamisluba taotleva makseasutuse või e-raha asutuse finantsseisund ei vasta käesolevas seaduses sätestatud nõuetele;
2) ümberkujundamisega seotud dokumentatsioon ei vasta käesolevas seaduses või äriseadustikus sätestatud nõuetele;
3) ümberkujundamine võib muul põhjusel kahjustada makseasutuse või e-raha asutuse klientide huve;
4) esineb muu oluline alus ümberkujundamist mitte lubada.

(1⁵) Finantsinspektsioon avalikustab ümberkujundamisloa andmise otsuse hiljemalt otsuse tegemisele järgneval tööpäeval oma veebilehel.

(1⁶) Äriseadustiku § 485 lõikes 1 nimetatud ja äriregistri pidajale esitatavale avaldusele lisatakse Finantsinspektsiooni luba makseasutuse või e-raha asutuse ümberkujundamiseks.

(1⁷) Makseasutuse ega e-raha asutuse piiriülene ümberkujundamine ei ole lubatud.”;

17) paragrahvi 62 lõikes 2 asendatakse tekstiosa „ja infosüsteeme” tekstiosaga „ning info- ja kommunikatsioonitehnoloogia süsteeme”;

18) paragrahvi 63⁵ täiendatakse lõikega 3 järgmises sõnastuses:

„(3) Makseasutus ja e-raha asutus järgib lisaks käesoleva paragrahvi lõikes 1 sätestatule Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 sätestatud nõudeid.”;

19) paragrahvi 63⁶ pealkiri muudetakse ja sõnastatakse järgmiselt:

„§ 63⁶. Intsidendist ja küberohust teavitamine”;

20) paragrahvi 63⁶ täiendatakse lõigetega 5–8 järgmises sõnastuses:

„(5) Käesoleva paragrahvi lõigetes 1 ja 2 sätestatut ei kohaldata makseasutusele ega e-raha asutusele. Makseasutus ja e-raha asutus lähtuvad olulisest operatsiooni- või turvaintsidendist Finantsinspektsioonile teavitamisel Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 III peatükis sätestatust.

(6) Makseasutus ja e-raha asutus teavitavad Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 3 punktis 10 sätestatud tõsisest info- ja kommunikatsioonitehnoloogiaga seotud intsidendist Finantsinspektsiooni ning Riigi Infosüsteemi Ametit Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklis 19 sätestatu kohaselt.

(7) Makseasutus ja e-raha asutus kasutavad käesoleva paragrahvi lõikes 6 sätestatud juhul esialgse teate ja raportite edastamiseks Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 20 alusel kehtestatud teavitusvorme ning lähtuvad teavitamisel kehtestatud tähtaegadest, välja arvatud juhul, kui tehnilistel põhjustel ei ole võimalik esialgset teadet edastada asjakohast vormi kasutades.

(8) Kui makseasutus või e-raha asutus otsustab Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 19 lõike 2 kohaselt teavitada Finantsinspektsiooni olulisest küberohust, edastab makseasutus või e-raha asutus teavituse ühtlasi Riigi Infosüsteemi Ametile.”;

21) paragrahvi 84 lõike 2 punktis 4 asendatakse sõna „infosüsteemide” tekstiosaga „info- ja kommunikatsioonitehnoloogia süsteemide”;

22) paragrahvi 91 pealkiri muudetakse ja sõnastatakse järgmiselt:

„§ 91. Finantsinspektsiooni ülesanded, õigused ja rakendatavad meetmed”;

23) paragrahvi 91 tekst loetakse lõikeks 1 ja paragrahvi täiendatakse lõikega 2 järgmises sõnastuses:

„(2) Finantsinspektsioonil on Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 nõuete kohase täitmise üle järelevalve teostamisel kõik nimetatud määruses, käesolevas seaduses ja Finantsinspektsiooni seaduses sätestatud õigused. Finantsinspektsioon avalikustab nimetatud määruses sätestatud kohustuse rikkumise kohta tehtud otsuse oma veebilehel määruse artiklis 54 sätestatu kohaselt.”;

24) paragrahvi 92 lõige 1¹ muudetakse ja sõnastatakse järgmiselt:

„(1¹) Finantsinspektsioon võib oma ettekirjutusega keelata makseasutusel või e-raha asutusel välisriigis asutatud filiaali kaudu või muul viisil teenuste osutamise, kui:
1) ilmneb mõni käesoleva seaduse § 29 lõikes 5 nimetatud asjaolu;
2) välisriigi finantsjärelevalve asutus on Finantsinspektsiooni teavitanud välisriigi õigusaktis sätestatud või välisriigi finantsjärelevalve asutuse esitatud tingimuste rikkumisest makseasutuse või e-raha asutuse poolt.”;

25) paragrahvi 92 lõike 1² teises lauses asendatakse sõna „lepinguriigis” sõnaga „välisriigis”;

26) seadust täiendatakse §-ga 109¹ järgmises sõnastuses:

„§ 109¹. Digitaalse tegevuskerksuse nõuete rikkumine

(1) Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklites 5–14 või 16–18, artikli 19 lõigetes 1 või 3–5, artiklis 24 või 25, artikli 26 lõigetes 1–8, artiklis 27, artikli 28 lõigetes 1–8, artiklis 29, artikli 30 lõigetes 1–4 või artikli 42 lõikes 3 sätestatud nõuete rikkumise eest –
karistatakse rahatrahviga kuni 5 000 000 eurot või kuni kahekordses väärteo tulemusel teenitud kasule või ära hoitud kahjule vastavas summas.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –
karistatakse rahatrahviga kuni 5 000 000 eurot või kuni kahekordses väärteo tulemusel teenitud kasule või ära hoitud kahjule vastavas summas või kuni 10 protsenti juriidilise isiku või tema konsolideerimisgrupi konsolideeritud käibest.”;

27) seaduse normitehnilist märkust täiendatakse pärast tekstiosa „(ELT L 337, 23.12.2015, lk 35–127)” tekstiosaga „, muudetud direktiiviga (EL) 2022/2556 (ELT L 333, 27.12.2022, lk 153–163)”.

1) paragrahvi 7¹ lõike 5 esimene lause muudetakse ja sõnastatakse järgmiselt:

„Registripidaja võimaldab Finantsinspektsioonil, Riigi Infosüsteemi Ametil ja Andmekaitse Inspektsioonil igal ajal kontrollida turvastandardite rakendamist nii registripidaja, infosüsteemi majutamisteenuse pakkuja kui ka infosüsteemi majutamise asukohas.”;

2) paragrahvi 7¹ lõige 7 tunnistatakse kehtetuks;

3) seaduse 4. peatükki täiendatakse §-ga 30² järgmises sõnastuses:

„§ 30². Nõuded registripidaja digitaalsele tegevuskerksusele

(1) Registripidaja järgib Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79), sätestatud nõudeid.

(2) Registripidajale ei kohaldata küberturvalisuse seaduse 2. peatükis sätestatud küberturvalisuse tagamise nõudeid.

(3) Registripidaja teavitab tõsisest info- ja kommunikatsioonitehnoloogiaga seotud intsidendist Finantsinspektsiooni ning Riigi Infosüsteemi Ametit Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklis 19 sätestatu kohaselt.

(4) Registripidaja kasutab käesoleva paragrahvi lõikes 3 sätestatud juhul esialgse teate ja raportite edastamisel Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 20 alusel kehtestatud teavitusvorme ja lähtub kehtestatud tähtaegadest, välja arvatud juhul, kui tehnilistel põhjustel ei ole võimalik esialgset teadet edastada asjakohast vormi kasutades.

(5) Kui registripidaja otsustab Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 19 lõike 2 kohaselt teavitada Finantsinspektsiooni olulisest küberohust, edastab registripidaja teavituse ühtlasi Riigi Infosüsteemi Ametile.

(6) Registripidaja peab kooskõlas Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 12 lõikes 5 sätestatuga tagama vähemalt ühe varutöötluskoha olemasolu.

(7) Käesoleva paragrahvi lõigetes 1–6 sätestatut ei kohaldata pensioniregistri pidajale.”;

4) paragrahvi 38 täiendatakse lõikega 1³ järgmises sõnastuses:

„(1³) Finantsinspektsioon teostab lisaks käesoleva paragrahvi lõikes 1² sätestatule järelevalvet Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 sätestatu täitmise üle.”;

5) paragrahvi 39 täiendatakse lõikega 1¹ järgmises sõnastuses:

„(1¹) Finantsinspektsioonil on Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 nõuete kohase täitmise üle järelevalve teostamisel kõik nimetatud määruses, käesolevas seaduses ja Finantsinspektsiooni seaduses sätestatud õigused.”;

6) paragrahvi 39 täiendatakse lõikega 4¹ järgmises sõnastuses:

„(4¹) Finantsinspektsioon avalikustab Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 sätestatud kohustuse rikkumise kohta tehtud otsuse oma veebilehel määruse artiklis 54 sätestatu kohaselt.”.

1) paragrahvi 1 lõikes 2 asendatakse tekstiosa „ja §-s 237⁸⁴” tekstiosaga „ning §-des 237⁸⁴ ja 237⁹⁰”;

2) paragrahvis 10¹ asendatakse tekstiosa „Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013 krediidiasutuste ja investeerimisühingute suhtes kohaldatavate usaldatavusnõuete kohta ja määruse (EL) nr 648/2012 muutmise kohta (ELT L 176, 27.06.2013, lk 1–337)” tekstiosaga „Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013, mis käsitleb krediidiasutuste suhtes kohaldatavaid usaldatavusnõudeid ja millega muudetakse määrust (EL) nr 648/2012 (ELT L 176, 27.06.2013, lk 1–337)”;

3) paragrahvi 66 lõike 2 punkt 5 muudetakse ja sõnastatakse järgmiselt:

„5) andmed vastavalt äriseadustiku § 386 lõike 2 punktides 1, 3 ja 5 sätestatule;”;

4) paragrahvi 66 lõiget 2 täiendatakse punktiga 5¹ järgmises sõnastuses:

„5¹) äriühingu põhikirja või ühingulepingu asukohariigi seaduste kohaselt tõestatud ärakiri, kui põhikiri või ühinguleping tuleb registrile esitada ka ühingu asukohariigis;”;

5) paragrahvi 70¹ lõike 3 punkt 5 muudetakse ja sõnastatakse järgmiselt:

„5) andmed vastavalt äriseadustiku § 386 lõike 2 punktides 1, 3 ja 5 sätestatule;”;

6) paragrahvi 70¹ lõiget 3 täiendatakse punktiga 5¹ järgmises sõnastuses:

„5¹) äriühingu põhikirja või ühingulepingu asukohariigi seaduste kohaselt tõestatud ärakiri, kui põhikiri või ühinguleping tuleb registrile esitada ka ühingu asukohariigis;”;

7) paragrahvi 81¹ täiendatakse lõikega 9 järgmises sõnastuses:

„(9) Investeerimisühing järgib Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79), sätestatud nõudeid, sealhulgas on tal asjakohased ja proportsionaalsed info- ja kommunikatsioonitehnoloogia süsteemid ning ta haldab neid määruse artiklis 7 sätestatu kohaselt.”;

8) paragrahvi 82⁶ lõige 4 muudetakse ja sõnastatakse järgmiselt:

„(4) Edasiandmisel peavad olema täidetud komisjoni delegeeritud määruses (EL) nr 2017/565 ning info- ja kommunikatsioonitehnoloogia teenuse edasiandmisel lisaks Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 sätestatud ning käesolevast seadusest tulenevad nõuded, sealhulgas rakendab investeerimisühing usaldusväärseid turvasüsteeme, et tagada teabeedastusviiside ohutus ja autentimine, vähendada andmete rikkumise ja loata juurdepääsu riski ning hoida ära teabelekked, säilitades igal ajal andmete konfidentsiaalsuse.”;

9) paragrahvi 82¹⁵ lõike 1 teine lause muudetakse ja sõnastatakse järgmiselt:

„Investeerimisühing järgib käesolevas lõikes nimetatud meetmete rakendamisel muu hulgas komisjoni delegeeritud määruses (EL) nr 2017/589, millega täiendatakse Euroopa Parlamendi ja nõukogu direktiivi 2014/65/EL seoses regulatiivsete tehniliste standarditega, milles määratakse kindlaks algoritmkauplemisega tegelevate investeerimisühingute organisatsioonilised nõuded (ELT L 87, 31.03.2017, lk 417–448), ning Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 sätestatut.”;

10) paragrahvi 82¹⁵ lõige 5 muudetakse ja sõnastatakse järgmiselt:

„(5) Investeerimisühingul peab olema tõhus talitluspidevuse kord, mis sisaldab muu hulgas info- ja kommunikatsioonitehnoloogia talitluspidevuse põhimõtteid ja plaane ning info- ja kommunikatsioonitehnoloogia reageerimis- ja taasteplaane Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 11 kohaselt, et toime tulla kauplemissüsteemi tõrgetega. Investeerimisühing tagab käesoleva paragrahvi lõikes 1 nimetatud süsteemide igakülgse testimise ja nende vastavuse käesolevas paragrahvis, sealhulgas määruse II ja IV peatükis sätestatud nõuetele.”;

11) seadust täiendatakse §-ga 82¹⁸ järgmises sõnastuses:

„§ 82¹⁸. Intsidendist ja küberohust teavitamine

(1) Investeerimisühing teavitab tõsisest info- ja kommunikatsioonitehnoloogiaga seotud intsidendist inspektsiooni ning Riigi Infosüsteemi Ametit Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklis 19 sätestatu kohaselt.

(2) Investeerimisühing kasutab käesoleva paragrahvi lõikes 1 sätestatud juhul esialgse teate ja raportite edastamisel Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 20 alusel kehtestatud teavitusvorme ja lähtub kehtestatud tähtaegadest, välja arvatud juhul, kui tehnilistel põhjustel ei ole võimalik esialgset teadet edastada asjakohast vormi kasutades.

(3) Kui investeerimisühing otsustab Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 19 lõike 2 kohaselt teavitada inspektsiooni olulisest küberohust, edastab ta teavituse ühtlasi Riigi Infosüsteemi Ametile.”;

12) seaduse 13. peatüki pealkiri muudetakse ja sõnastatakse järgmiselt:

„13. peatükk
INVESTEERIMISÜHINGU ÜHINEMINE, JAGUNEMINE JA ÜMBERKUJUNDAMINE”;

13) paragrahv 114 muudetakse ja sõnastatakse järgmiselt:

„§ 114. Jagunemise ja piiriülese ümberkujundamise keeld

Investeerimisühingu jagunemine ja piiriülene ümberkujundamine ei ole lubatud.”;

14) paragrahvi 119¹⁷ täiendatakse lõikega 3 järgmises sõnastuses:

„(3) Erandi alusel tegutsevale aruandlusteenuse osutajale kohaldatakse info- ja kommunikatsioonitehnoloogiaga seotud intsidentidest ja küberohtudest teavitamise korral käesoleva seaduse §-s 82¹⁸ investeerimisühingu kohta sätestatut.”;

15) paragrahvi 121 lõikes 3 asendatakse sõna „infotehnoloogiliste” tekstiosaga „info- ja kommunikatsioonitehnoloogia”;

16) paragrahvi 124⁶ lõige 1 muudetakse ja sõnastatakse järgmiselt:

„(1) Korraldaja kehtestab õiguslikud, tehnilised ja organisatsioonilised meetmed ning rakendab neid, et tuvastada ja maandada turu õigus- ja korrapärase toimimise riskid, sealhulgas info- ja kommunikatsioonitehnoloogia riskid Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 II peatükis sätestatu kohaselt.”;

17) paragrahvi 124⁶ lõige 3 muudetakse ja sõnastatakse järgmiselt:

„(3) Korraldaja järgib Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554 sätestatud nõudeid, sealhulgas rakendab meetmeid, et usaldusväärselt hallata turu korraldamiseks kasutatava infotehnoloogilise süsteemi või muu tehingute tegemist vahendava ja andmeid salvestava süsteemi (edaspidi kauplemissüsteem) tehnilisi toiminguid ning toime tulla süsteemide riketega.”;

18) paragrahvi 124⁶ täiendatakse lõikega 9 järgmises sõnastuses:

„(9) Korraldajale ei kohaldata küberturvalisuse seaduse 2. peatükis sätestatud küberturvalisuse tagamise nõudeid.”;

19) paragrahvi 125¹ lõike 2 teine lause muudetakse ja sõnastatakse järgmiselt:

„Korraldajal on tõhus talitluspidevuse kord teenuste osutamise jätkuvuse tagamiseks turu kauplemissüsteemi tõrgete korral, sealhulgas kehtestab korraldaja info- ja kommunikatsioonitehnoloogia talitluspidevuse põhimõtted ja plaani ning info- ja kommunikatsioonitehnoloogia reageerimis- ja taasteplaanid Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklis 11 sätestatu kohaselt.”;

20) paragrahvi 125² lõike 1 teine lause muudetakse ja sõnastatakse järgmiselt:

„Muu hulgas nõuab korraldaja turul osalejalt algoritmide asjakohast testimist ja selleks vajaliku keskkonna loomist Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 II ja IV peatükis sätestatu kohaselt.”;

21) seaduse 14. peatükki täiendatakse §-ga 125³ järgmises sõnastuses:

„§ 125³. Intsidendist ja küberohust teavitamine

(1) Korraldaja teavitab tõsisest info- ja kommunikatsioonitehnoloogiaga seotud intsidendist inspektsiooni ning Riigi Infosüsteemi Ametit Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklis 19 sätestatu kohaselt.

(2) Korraldaja kasutab käesoleva paragrahvi lõikes 1 sätestatud juhul esialgse teate ja raportite edastamisel Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 20 alusel kehtestatud teavitusvorme ja lähtub kehtestatud tähtaegadest, välja arvatud juhul, kui tehnilistel põhjustel ei ole võimalik esialgset teadet edastada asjakohast vormi kasutades.

(3) Kui korraldaja otsustab Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 19 lõike 2 kohaselt teavitada inspektsiooni olulisest küberohust, edastab ta teavituse ühtlasi Riigi Infosüsteemi Ametile.”;

22) paragrahvi 163¹ lõikes 7 asendatakse tekstiosa „§-des 125¹ ja 125²” tekstiosaga „§-des 125¹–125³”;

23) paragrahvi 230 lõiget 1 täiendatakse punktiga 17 järgmises sõnastuses:

„17) Euroopa Parlamendi ja nõukogu määrus (EL) 2022/2554.”;

24) paragrahvi 230 täiendatakse lõikega 7 järgmises sõnastuses:

„(7) Inspektsioonil on Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 nõuete kohase täitmise üle järelevalve teostamisel lisaks käesoleva paragrahvi lõike 1 teises lauses sätestatule kõik nimetatud määruses sätestatud õigused. Inspektsioon avalikustab nimetatud määruses sätestatud kohustuse rikkumise kohta tehtud otsuse oma veebilehel määruse artiklis 54 sätestatu kohaselt.”;

25) paragrahv 237⁸⁹ tunnistatakse kehtetuks;

26) seadust täiendatakse §-ga 237⁹⁰ järgmises sõnastuses:

„§ 237⁹⁰. Digitaalse tegevuskerksuse nõuete rikkumine

(1) Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artiklites 5–14 või 16–18, artikli 19 lõigetes 1 või 3–5, artiklis 24 või 25, artikli 26 lõigetes 1–8, artiklis 27, artikli 28 lõigetes 1–8, artiklis 29, artikli 30 lõigetes 1–4 või artikli 42 lõikes 3 sätestatud nõuete rikkumise eest –
karistatakse rahatrahviga kuni 5 000 000 eurot või kuni kahekordses väärteo tulemusel teenitud kasule või ära hoitud kahjule vastavas summas.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –
karistatakse rahatrahviga kuni 5 000 000 eurot või kuni kahekordses väärteo tulemusel teenitud kasule või ära hoitud kahjule vastavas summas või kuni 10 protsenti juriidilise isiku või tema konsolideerimisgrupi konsolideeritud käibest.”;

27) paragrahv 262² tunnistatakse kehtetuks;

28) seaduse 6. osa 25. peatükki täiendatakse §-ga 262³ järgmises sõnastuses:

„§ 262³. Menetlus

(1) Käesolevas peatükis nimetatud väärtegude kohtuväline menetleja on inspektsioon.

(2) Käesolevas peatükis sätestatud väärtegude aegumistähtaeg on kolm aastat.”;

29) seaduse normitehnilise märkuse tekstiosa „ja (EL) 2019/2034 (ELT L 314, 05.12.2019, lk 64–114)” asendatakse tekstiosaga „, (EL) 2019/2034 (ELT L 314, 05.12.2019, lk 64–114) ja (EL) 2022/2556 (ELT L 333, 27.12.2022, lk 153–163)”.