(1)

I henhold til rammen for digital operationel modstandsdygtighed i den finansielle sektor, der er fastsat ved forordning (EU) 2022/2554, skal finansielle enheder fastsætte visse centrale principper for styring af IKT-tredjepartsrisici, som er af særlig betydning, når finansielle enheder samarbejder med tredjepartsudbydere af IKT-tjenester om at understøtte deres kritiske eller vigtige funktioner.

(2)

Finansielle enheder skal som led i deres ramme for IKT-risikostyring vedtage og regelmæssigt gennemgå en strategi for IKT-tredjepartsrisiko. I overensstemmelse med artikel 28, stk. 2, i forordning (EU) 2022/2554 skal denne strategi omfatte en politik for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester. Den skal finde anvendelse på individuelt grundlag og, hvis det er relevant, på delkonsolideret og konsolideret grundlag.

(3)

Finansielle enheder varierer meget med hensyn til størrelse, struktur og intern organisation og med hensyn til karakteren og kompleksiteten af deres aktiviteter og transaktioner. Det er nødvendigt at tage hensyn til denne mangfoldighed, samtidig med at der indføres visse grundlæggende forskriftsmæssige krav, som er hensigtsmæssige for alle finansielle enheder, når de udvikler politikken vedrørende de kontraktlige ordninger for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner (»politikken«), og at sikre, at disse krav anvendes på en måde, der står i rimeligt for hold til formålet.

(4)

Hvis finansielle enheder tilhører en koncern, bør den modervirksomhed, der har ansvar for at fremlægge det konsoliderede eller delkonsoliderede koncernregnskab, derfor sikre, at politikken anvendes på en konsekvent og sammenhængende måde inden for koncernen.

(5)

Ved anvendelse af politikken bør koncerninterne udbydere IKT-tjenester, herunder dem, der ejes fuldt ud eller i fællesskab af finansielle enheder inden for samme institutsikringsordning, betragtes som tredjepartsudbydere af IKT-tjenester. De risici, som koncerninterne udbydere IKT-tjenester udgør, kan være forskellige, men de krav, der gælder for dem, er de samme i henhold til forordning (EU) 2022/2554. På samme måde bør politikken finde anvendelse på underleverandører, der leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf til tredjepartsudbydere af IKT-tjenester, hvis der er tale om en kæde af tredjepartsudbydere af IKT-tjenester.

(6)

Ledelsesorganets endelige ansvar for styringen af en finansiel enheds IKT-risiko er et overordnet princip, som også finder anvendelse på brugen af tredjepartsudbydere af IKT-tjenester. Dette ansvar bør yderligere omsættes i form af ledelsesorganets fortsatte engagement i kontrollen og overvågningen af IKT-risikostyring, herunder i vedtagelsen og gennemgangen af politikken, mindst én gang om året.

(7)

For at sikre passende rapportering til ledelsesorganet bør politikken klart præcisere og identificere det interne ansvar for godkendelse, forvaltning, kontrol og dokumentation af kontraktlige ordninger for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester (»kontraktlige ordninger«), herunder de IKT-tjenester, der leveres i henhold til kontraktlige ordninger som omhandlet i artikel 28, stk. 1, litra a), i forordning (EU) 2022/2554.

(8)

For at tage hensyn til alle mulige risici, der kan opstå, når der indgås kontrakter om IKT-tjenester, der understøtter kritiske eller vigtige funktioner, bør politikkens struktur følge alle trin i hver hovedfase af livscyklussen for kontraktlige ordninger med tredjepartsudbydere.

(9)

For at afbøde de konstaterede risici bør politikken beskrive planlægningen af kontraktlige ordninger, herunder risikovurderingen, due diligence- og godkendelsesprocessen for nye eller væsentlige ændringer af disse kontraktlige ordninger. For at styre de risici, der kan opstå, inden der indgås en kontraktlig ordning med en tredjepartsudbyder af IKT-tjenester, bør politikken fastlægge en passende og forholdsmæssigt afstemt proces for udvælgelse og vurdering af egnetheden af potentielle tredjepartsudbydere af IKT-tjenester og indeholde krav om, at den finansielle enhed skal tage hensyn til en ikkeudtømmende liste over elementer, som tredjepartsudbyderne af IKT-tjenester bør have indført. Listen bør omfatte elementer vedrørende tjenesteudbydernes forretningsmæssige omdømme, deres finansielle, menneskelige og tekniske ressourcer, deres informationssikkerhed, deres organisatoriske struktur, herunder risikostyring, og deres interne kontrol.

(10)

For at sikre en forsvarlig risikostyring i forbindelse med af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester, bør politikken indeholde oplysninger om gennemførelsen, overvågningen og forvaltningen af de kontraktlige ordninger, herunder på konsolideret og delkonsolideret grundlag, hvis det er relevant. Dette omfatter krav til kontraktbestemmelserne om gensidige forpligtelser for de finansielle enheder og tredjepartsudbyderne af IKT-tjenester, som bør fastsættes skriftligt. For at sikre et effektivt tilsyn og fremme modstandsdygtighed i tilfælde af ændringer i forretningsmodellen eller erhvervsklimaet bør politikken garantere de finansielle enheders eller udpegede tredjeparters og kompetente myndigheders ret til inspektioner og adgang til oplysninger, og den bør også yderligere præcisere exitstrategierne og opsigelsesprocesserne.

(11)

I det omfang tredjepartsudbydere af IKT-tjenester behandler personoplysninger, gælder denne politik og eventuelle kontraktlige ordninger dog med forbehold af eller supplerer forpligtelserne i henhold til Europa-Parlamentets og Rådets forordning (EU) 2016/679 (2), f.eks. til at have en skriftlig kontrakt, der beskriver behandlingen af personoplysninger, krav om at garantere sikkerheden i forbindelse med behandling af personoplysninger og fastsætter alle andre elementer, der kræves i henhold til nævnte forordning.

(12)

Det Fælles Udvalg af Europæiske Tilsynsmyndigheder, jf. artikel 54 i Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 (3), artikel 54 i Europa-Parlamentets og Rådets forordning (EU) nr. 1094/2010 (4) og artikel 54 i Europa-Parlamentets og Rådets forordning (EU) nr. 1095/2010 (5), har afholdt åbne offentlige høringer om det udkast til reguleringsmæssige tekniske standarder, som ligger til grund for denne forordning, analyseret de potentielle omkostninger og fordele ved de foreslåede standarder og anmodet om rådgivning fra interessentgruppen for banker, der er nedsat i henhold til artikel 37 i forordning (EU) nr. 1093/2010, interessentgruppen for forsikrings- og genforsikringsordninger og interessentgruppen for arbejdsmarkedspensionsordninger, der er nedsat i henhold til artikel 37 i forordning (EU) nr. 1094/2010, og interessentgruppen for værdipapirer og markeder, der er nedsat i henhold til artikel 37 i forordning (EU) nr. 1095/2010.

(13)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (6) og afgav en udtalelse den 24. januar 2024 —

a)

typen af IKT-tjenester, der er omfattet af den kontraktlige ordning for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester (»den kontraktlige ordning«), mellem den finansielle enhed og tredjepartsudbyderen af IKT-tjenester

b)

det sted, hvor tredjepartsudbyderen af IKT-tjenester eller dennes moderselskabs er beliggende

c)

om de IKT-tjenester, der understøtter kritiske eller vigtige funktioner, leveres af en tredjepartsudbyder af IKT-tjenester i en medlemsstat eller i et tredjeland, også under hensyntagen til det sted, hvorfra IKT-tjenesterne leveres, og det sted, hvor dataene behandles og lagres

d)

arten af de data, der deles med tredjepartsudbyderen af IKT-tjenester

e)

hvorvidt tredjepartsudbyderen af IKT-tjenester er del af samme koncern som den finansielle enhed, som tjenesterne leveres til

f)

brugen af tredjepartsudbydere af IKT-tjenester, der er godkendt, registreret eller underlagt tilsyn eller overvågning, der udøves af en kompetent myndighed i en medlemsstat, eller som er underlagt tilsynsrammen i henhold til kapitel V, afdeling II, i forordning (EU) 2022/2554, og brugen af tredjepartsudbydere af IKT-tjenester, for hvilke ovennævnte forhold ikke gør sig gældende

g)

brugen af tredjepartsudbydere af IKT-tjenester, der er godkendt, registreret eller underlagt tilsyn eller overvågning, der udøves af en tilsynsmyndighed i et tredjeland, og brugen af tredjepartsudbydere af IKT-tjenester, for hvilke ovennævnte forhold ikke gør sig gældende

h)

hvorvidt leveringen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, hidrører fra én en enkelt tredjepartsudbyder af IKT-tjenester eller et lille antal af sådanne tjenesteudbydere

i)

hvorvidt det er muligt at overføre de IKT-tjenester, der understøtter kritiske eller vigtige funktioner, til en anden tredjepartsudbyder af IKT-tjenester, herunder som følge af særlige teknologiske forhold

j)

den potentielle indvirkning af forstyrrelser i leveringen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, på driftsstabiliteten af den finansielle enheds aktiviteter og på tilgængeligheden af dens tjenester.

a)

ledelsesorganets ansvarsområder, herunder, hvis det er relevant, inddragelse i beslutningsprocessen vedrørende brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester

b)

planlægningen af kontraktlige ordninger, herunder risikovurderingen, due diligence, jf. artikel 5 og 6, og godkendelsesprocessen for nye eller væsentlige ændringer af disse kontraktlige ordninger, jf. artikel 8, stk. 4

c)

inddragelse af forretningsenheder, interne kontroller og andre relevante enheder i forbindelse med kontraktlige ordninger

d)

gennemførelse, overvågning og forvaltning af kontraktlige ordninger, jf. artikel 7, 8 og 9, herunder på konsolideret og delkonsolideret grundlag, hvis det er relevant

e)

dokumentation og registrering, idet der tages hensyn til kravene vedrørende det register over oplysninger, der er fastsat i artikel 28, stk. 3, i forordning (EU) 2022/2554

f)

exitstrategierne og opsigelsesprocesserne, jf. artikel 10.

a)

uforudsete og vedvarende driftsafbrydelser

b)

uhensigtsmæssig eller mislykket levering af tjenester

c)

uventet opsigelse af den kontraktlige ordning.