(1)

Leveringen af IKT-tjenester til finansielle enheder beror ofte på en kompleks kæde af IKT-underleverandører, hvorved tredjepartsudbydere af IKT-tjenester kan indgå én eller flere underentrepriseordninger med andre tredjepartsudbydere af IKT-tjenester. Indirekte afhængighed af IKT-underleverandører kan have en indvirkning på en finansiel enheds evne til at identificere, vurdere og styre sine risici, herunder risici, der vedrører mangler i de oplysninger, der leveres af tredjepartsudbydere af IKT-tjenester, og en finansiel enheds begrænsede mulighed for at indhente oplysninger fra de IKT-underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf. Når leveringen af IKT-tjenester til finansielle enheder beror på en potentielt lang eller kompleks kæde af IKT-underleverandører, er det i denne henseende afgørende, at de finansielle enheder identificerer den samlede kæde af underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner.

(2)

Blandt de underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner, bør finansielle enheder især og løbende fokusere på de underleverandører, som reelt leverer support til den IKT-tjeneste, der understøtter kritiske eller vigtige funktioner, herunder alle de underleverandører, der leverer IKT-tjenester, hvis afbrydelse ville forringe tjenestens sikkerhed eller kontinuitet som fastsat i det register over oplysninger, der er omhandlet i artikel 28, stk. 3, i forordning (EU) 2022/2554.

(3)

De finansielle enheder varierer meget med hensyn til størrelse, struktur, intern organisation samt deres aktiviteters karakter og kompleksitet. For at sikre proportionalitet bør der tages hensyn til denne mangfoldighed, når det præciseres, hvilke elementer en finansiel enhed bør fastlægge og vurdere, når den udliciterer IKT-tjenester, der understøtter kritiske eller vigtige funktioner.

(4)

Når de finansielle enheder i overensstemmelse med artikel 30, stk. 2, i forordning (EU) 2022/2554 har givet tilladelse til, at tredjepartsudbydere af IKT-tjenesters må gøre brug af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, som er givet i underentreprise, kan det ikke reducere det endelige ansvar hos de finansielle enheders ledelsesorganer med henblik på at styre deres risici og opfylde deres lovgivningsmæssige og reguleringsmæssige forpligtelser. Hvis der gives tilladelse til at give IKT-tjenester, der understøtter kritiske eller vigtige funktioner, i underentreprise, er det vigtigt, at de finansielle enheder har et klart og holistisk overblik over de risici, der er forbundet med at give tjenester, der understøtter kritiske eller vigtige funktioner, i underentreprise, således at de er i stand til at overvåge, styre og afbøde disse risici. De bør derfor vurdere disse risici, inden de giver disse tjenester i underentreprise.

(5)

Koncerninterne IKT-underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, herunder koncerninterne IKT-underleverandører, der ejes fuldt ud eller i fællesskab af finansielle enheder inden for samme institutsikringsordning, bør betragtes som IKT-underleverandører.

(6)

Hvis det er relevant, bør modervirksomheden for finansielle enheder i en koncernsammenhæng sikre, at politikken for brugen af IKT-underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller en væsentlig del heraf, anvendes på en konsekvent og sammenhængende måde inden for koncernen.

(7)

Det er vigtigt at sikre en omfattende styring af de risici, der kan opstå, når IKT-tjenester, der understøtter kritiske eller vigtige funktioner, gives i underentreprise. Derfor bør finansielle enheder følge livscyklusfaserne i en kontraktlig ordning for brugen af IKT-tjenester, der understøtter disse funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester, herunder med henblik på underentrepriseordninger. Det er derfor nødvendigt at fastsætte krav til finansielle enheder, som bør afspejles i deres kontraktlige ordninger med tredjepartsudbydere af IKT-tjenester, hvorved det er tilladt at gøre brug af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, som er givet i underentreprise.

(8)

For at afbøde risici, der er forbundet med underentreprise, er det nødvendigt at præcisere de betingelser, hvorunder tredjepartsudbydere af IKT-tjenester kan gøre brug af underleverandører til levering af IKT-tjenester, der understøtter kritiske eller vigtige funktioner. Med henblik herpå bør der i kontraktlige IKT-ordninger mellem finansielle enheder og tredjepartsudbydere af IKT-tjenester fastsættes sådanne betingelser, herunder planlægning af underentrepriseordninger, risikovurderinger, due diligence og godkendelsesprocessen for nye IKT-underentrepriseordninger for IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, eller væsentlige ændringer af eksisterende ordninger, som tredjepartsudbyderen af IKT-tjenester har foretaget.

(9)

For at identificere risici, der kan opstå, inden en finansiel enhed indgår en ordning med en IKT-underleverandør, bør tredjepartsudbydere af IKT-tjenester på en passende og forholdsmæssigt afpasset måde vurdere potentielle underleverandørers egnethed på grundlag af de kontraktlige IKT-ordninger, som tredjepartsudbyderen af IKT-tjenester har indgået med den pågældende finansielle enhed. Nævnte kontraktlige IKT-ordninger bør derfor indeholde krav om, at tredjepartsudbyderen af IKT-tjenester eller den finansielle enhed selv, alt efter hvad der er relevant, vurderer den potentielle underleverandørs ressourcer, herunder dennes ekspertise, og om den råder over de rette finansielle, menneskelige og tekniske ressourcer, dennes informationssikkerhed og organisatoriske struktur, herunder den risikostyring og interne kontrol, som underleverandøren bør have indført.

(10)

For at afbøde eventuelle sårbarheder og trusler, der kan udgøre en risiko for deres IKT-systemer og -operationer, bør det være muligt for finansielle enheder at overvåge udførelsen af IKT-tjenesten og blive underrettet om alle relevante ændringer i deres IKT-underleverandørkæde, såfremt sådanne ændringer vedrører kritiske eller vigtige funktioner.

(11)

For at gøre det muligt for finansielle enheder at vurdere de risici, der er forbundet med underentrepriseordninger eller væsentlige ændringer heraf, bør tredjepartsudbydere af IKT-tjenester underrette de finansielle enheder, som de leverer IKT-tjenester til, om alle sådanne nye ordninger eller ændringer i god tid, inden sådanne ordninger eller ændringer begynder at finde anvendelse. Af samme grund bør finansielle enheder have ret til at opsige den kontraktlige ordning med tredjepartsudbyderen af IKT-tjenester, hvis resultatet af deres risikovurdering viser, at de nye ordninger eller væsentlige ændringer medfører et risikoniveau, der overstiger deres risikotolerance.

(12)

De europæiske tilsynsmyndigheder har afholdt en åben offentlig høring om det udkast til de reguleringsmæssige tekniske standarder, som ligger til grund for denne forordning, de har analyseret de potentielle omkostninger og fordele herved og anmodet ESA'ernes interessentgrupper, der er nedsat efter artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 (2), artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1094/2010 (3) og artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1095/2010, om rådgivning (4).

(13)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (5) og afgav udtalelse den 20. august 2024 —

a)

typen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, som er omfattet af den kontraktlige ordning mellem den finansielle enhed og tredjepartsudbyderen af IKT-tjenester

b)

den type IKT-tjenester, der er omfattet af den kontraktlige ordning mellem tredjepartsudbyderen af IKT-tjenester og dennes underleverandører

c)

det sted, hvor den IKT-underleverandør, der leverer IKT-tjenester, som understøtter kritiske eller vigtige funktioner eller en væsentlig del heraf, eller dennes moderselskab er beliggende

d)

længden og kompleksiteten af den kæde af underleverandører, der leverer IKT-tjenester, som understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, og som tredjepartsudbyderen af IKT-tjenester gør brug af

e)

typen af data, der deles med de IKT-underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf

f)

hvorvidt de IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, leveres af underleverandører, som er beliggende i en medlemsstat eller i et tredjeland, herunder det sted, hvorfra IKT-tjenesterne faktisk leveres, og det sted, hvor dataene rent faktisk behandles og lagres

g)

hvorvidt de IKT-underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, er del af samme koncern som den finansielle enhed, hvortil disse tjenester leveres

h)

hvorvidt de IKT-underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, er godkendt, registreret eller tilsynsbelagt eller underlagt overvågning, som udøves af en kompetent myndighed i en medlemsstat, eller er omfattet af tilsynsrammen i henhold til kapitel V, afdeling II, i forordning (EU) 2022/2554

i)

hvorvidt tredjepartsudbydere af IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, er godkendt, registreret eller tilsynsbelagt eller underlagt overvågning, som udøves af en kompetent myndighed fra et tredjeland

j)

hvorvidt leveringen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, er koncentreret til en enkelt underleverandør til en tredjepartsudbyder af IKT-tjenester eller et lille antal af sådanne underleverandører

k)

hvorvidt det at give IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele, i underentreprise, vil få indvirkning på muligheden for at overføre disse IKT-tjenester til en anden tredjepartsudbyder af IKT-tjenester

l)

den potentielle indvirkning af forstyrrelser på kontinuiteten og tilgængeligheden af de IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, som leveres af tredjepartsudbyderen af IKT-tjenester, når der gøres brug af en underleverandør, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf.

a)

den finansielle enhed har gjort indsigelse mod væsentlige ændringer af de underentrepriseordninger, der understøtter kritiske eller vigtige funktioner, og anmodet om ændringer af disse ordninger, men tredjepartsudbyderen af IKT-tjenester har ikke desto mindre gennemført disse væsentlige ændringer

b)

tredjepartsudbyderen af IKT-tjenester har gennemført væsentlige ændringer af underentrepriseordninger, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, inden opsigelsesfristens udløb uden den finansielle enheds godkendelse

c)

tredjepartsudbyderen af IKT-tjenester giver en IKT-tjeneste, der understøtter en kritisk eller vigtig funktion eller en væsentlig del heraf, i underentreprise, uden at det udtrykkeligt er tilladt i henhold til den kontraktlige ordning mellem den finansielle enhed og tredjepartsudbyderen af IKT-tjenester.