(1)

TVT-palvelujen tarjoaminen finanssiyhteisöille riippuu usein monimutkaisesta TVT-alihankkijoiden ketjusta, sillä TVT-palveluntarjoajana olevat kolmannet osapuolet voivat tehdä yhden tai useamman alihankintajärjestelyn muiden TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa. Välillinen tukeutuminen TVT-alihankkijoihin voi vaikuttaa finanssiyhteisön kykyyn tunnistaa, arvioida ja hallita riskejään, mukaan lukien riskit, jotka liittyvät TVT-palveluntarjoajana olevien kolmansien osapuolten toimittamissa tiedoissa oleviin puutteisiin ja finanssiyhteisön rajallisiin mahdollisuuksiin saada tietoja kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia TVT-palveluja tarjoavilta TVT-alihankkijoilta. Jos TVT-palvelujen tarjoaminen finanssiyhteisöille riippuu mahdollisesti pitkästä tai monimutkaisesta TVT-alihankkijoiden ketjusta, on olennaisen tärkeää, että finanssiyhteisöt yksilöivät kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja tarjoavien alihankkijoiden koko ketjun.

(2)

Kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja tarjoavien alihankkijoiden osalta finanssiyhteisöjen olisi keskityttävä erityisesti ja jatkuvasti niihin alihankkijoihin, jotka käytännössä hoitavat kriittisiä tai tärkeitä toimintoja tukevaa TVT-palvelua, mukaan lukien kaikki alihankkijat, jotka tarjoavat sellaisia TVT-palveluja, joiden keskeytyminen heikentäisi asetuksen (EU) 2022/2554 28 artiklan 3 kohdassa tarkoitetussa tietorekisterissä mainitun palvelun turvallisuutta tai jatkuvuutta.

(3)

Finanssiyhteisöjen koko, rakenne, sisäinen organisaatio sekä niiden toiminnan luonne ja monitahoisuus vaihtelevat suuresti. Oikeasuhteisuuden varmistamiseksi tämä monimuotoisuus olisi otettava huomioon täsmennettäessä, mitkä tekijät finanssiyhteisön olisi määritettävä ja arvioitava, kun se teettää kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja alihankintana.

(4)

Vaikka finanssiyhteisöt sallisivat TVT-palveluntarjoajana olevien kolmansien osapuolten teettää kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja alihankintana asetuksen (EU) 2022/2554 30 artiklan 2 kohdan mukaisesti, finanssiyhteisöjen ylimmät hallintoelimet ovat viime kädessä vastuussa riskien hallinnasta sekä lainsäädäntö- ja sääntelyvelvoitteiden noudattamisesta. Jos finanssiyhteisöt sallivat kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen alihankinnan, on tärkeää, että niillä on selkeä ja kokonaisvaltainen näkemys alihankintana tehtäviin kriittisiä tai tärkeitä toimintoja tukeviin palveluihin liittyvistä riskeistä, jotta ne pystyvät seuraamaan, hallitsemaan ja lieventämään kyseisiä riskejä. Sen vuoksi niiden olisi arvioitava nämä riskit ennen kyseisten palvelujen teettämistä alihankintana.

(5)

Konsernin sisäisiä TVT-alihankkijoita, jotka tarjoavat kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia TVT-palveluja, mukaan lukien konsernin sisäiset TVT-alihankkijat, jotka ovat kokonaan tai kollektiivisesti samaan laitosten suojajärjestelmään kuuluvien finanssiyhteisöjen omistuksessa, olisi pidettävä TVT-alihankkijoina.

(6)

Konsernien tapauksessa finanssiyhteisöjen emoyrityksen olisi varmistettava, että kriittisiä tai tärkeitä toimintoja tai niiden olennaista osaa tukevia TVT-palveluja tarjoavien TVT-alihankkijoiden käyttöä koskevia toimintaperiaatteita sovelletaan johdonmukaisesti konsernin sisällä.

(7)

On tärkeää varmistaa, että riskejä, joita voi syntyä, kun kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja teetetään alihankintana, hallitaan kattavasti. Tästä syystä finanssiyhteisöjen olisi noudatettava kyseisiä toimintoja tukevien, TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä koskevan sopimusjärjestelyn elinkaaren vaiheita, myös alihankintajärjestelyjen osalta. Sen vuoksi on tarpeen vahvistaa finanssiyhteisöjä koskevat vaatimukset, jotka niiden olisi otettava huomioon TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tekemissään sopimusjärjestelyissä, jos kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen teettäminen alihankintana on sallittua.

(8)

Alihankintaan liittyvien riskien lieventämiseksi on tarpeen täsmentää ehdot, joiden täyttyessä TVT-palveluntarjoajana olevat kolmannet osapuolet voivat käyttää alihankkijoita kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen tarjoamiseen. Tätä varten finanssiyhteisöjen ja TVT-palveluntarjoajana olevien kolmansien osapuolten välisissä TVT-sopimusjärjestelyissä olisi vahvistettava tällaiset ehdot, mukaan lukien alihankintajärjestelyjen suunnittelu, riskinarvioinnit, huolellisuusvelvoite ja prosessi, jolla hyväksytään kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia TVT-palveluja koskevat uudet TVT-alihankintajärjestelyt tai muutokset, joita TVT-palveluntarjoajana oleva kolmas osapuoli tekee voimassa oleviin järjestelyihin.

(9)

Jotta voidaan tunnistaa mahdolliset riskit ennen kuin finanssiyhteisö tekee järjestelyn TVT-alihankkijan kanssa, TVT-palveluntarjoajana olevien kolmansien osapuolten olisi niiden TVT-sopimusjärjestelyjen perusteella, jotka TVT-palveluntarjoajana oleva kolmas osapuoli on tehnyt finanssiyhteisön kanssa, arvioitava mahdollisten alihankkijoiden soveltuvuus asianmukaisella ja oikeasuhteisella tavalla. Sen vuoksi kyseisissä TVT-sopimusjärjestelyissä olisi edellytettävä, että TVT-palveluntarjoajana oleva kolmas osapuoli tai tapauksen mukaan finanssiyhteisö arvioi mahdollisen alihankkijan resurssit, mukaan lukien sen asiantuntemuksen ja sen, onko sillä asianmukaiset taloudelliset, tekniset ja henkilöresurssit, sen tietoturvan tason ja organisaatiorakenteen sekä riskinhallinnan ja sisäisen valvonnan, jotka sillä olisi oltava käytössä.

(10)

Jotta finanssiyhteisöt voivat lieventää haavoittuvuuksia ja uhkia, jotka saattavat aiheuttaa riskejä niiden TVT-järjestelmille ja -operaatioille, finanssiyhteisöjen olisi voitava seurata TVT-palvelun suorituskykyä ja saatava tietoa kaikista merkityksellisistä muutoksista TVT-alihankintaketjussaan, jos tällaiset muutokset koskevat kriittisiä tai tärkeitä toimintoja.

(11)

Jotta finanssiyhteisöt voivat arvioida alihankintajärjestelyihin tai niiden olennaisiin muutoksiin liittyviä riskejä, TVT-palveluntarjoajana olevien kolmansien osapuolten olisi ilmoitettava finanssiyhteisöille, joille ne tarjoavat TVT-palveluja, kaikista tällaisista uusista järjestelyistä tai muutoksista hyvissä ajoin ennen kuin niitä aletaan soveltaa. Samasta syystä finanssiyhteisöillä olisi oltava oikeus irtisanoa TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tehty sopimus, jos niiden riskinarvioinnin tulos osoittaa, että uusien järjestelyjen tai olennaisten muutosten riskitaso ylittää finanssiyhteisön riskinsietokyvyn.

(12)

Euroopan valvontaviranomaiset ovat järjestäneet avoimen julkisen kuulemisen tämän asetuksen perustana olevista teknisten sääntelystandardien luonnoksista, analysoineet niihin mahdollisesti liittyviä kustannuksia ja hyötyjä sekä pyytäneet lausunnon Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1093/2010 (2) 37 artiklan, Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1094/2010 (3) 37 artiklan ja Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1095/2010 (4) 37 artiklan mukaisesti perustetuilta Euroopan valvontaviranomaisten osallisryhmiltä.

(13)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (5) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausuntonsa 20 päivänä elokuuta 2024,

a)

finanssiyhteisön ja TVT-palveluntarjoajana olevan kolmannen osapuolen välisen sopimusjärjestelyn kattamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen tyyppi;

b)

TVT-palveluntarjoajana olevan kolmannen osapuolen ja sen alihankkijoiden välisen sopimusjärjestelyn kattamien TVT-palvelujen tyyppi;

c)

kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia TVT-palveluja tarjoavan TVT-alihankkijan tai sen emoyrityksen sijainti;

d)

TVT-palveluntarjoajana olevan kolmannen osapuolen käyttämän, kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia TVT-palveluja tarjoavien alihankkijoiden ketjun pituus ja monitahoisuus;

e)

kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia TVT-palveluja tarjoavien TVT-alihankkijoiden kanssa jaetun datan luonne;

f)

sijaitseeko kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja tarjoava alihankkija jäsenvaltiossa vai kolmannessa maassa, ottaen huomioon myös, mistä TVT-palveluja tosiasiallisesti tarjotaan ja missä dataa tosiasiallisesti käsitellään ja säilytetään;

g)

kuuluvatko kriittisiä tai tärkeitä toimintoja tai niiden osia tukevia TVT-palveluja tarjoavat TVT-alihankkijat samaan konserniin kuin finanssiyhteisö, jolle kyseisiä palveluja tarjotaan;

h)

onko kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia TVT-palveluja tarjoavilla TVT-alihankkijoilla jäsenvaltion toimivaltaisen viranomaisen myöntämä toimilupa tai rekisteröinti tai ovatko ne jäsenvaltion toimivaltaisen viranomaisen valvonnan tai asetuksen (EU) 2022/2554 V luvun II jakson mukaisen valvontakehyksen alaisia;

i)

onko kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevilla TVT-palveluntarjoajana olevilla kolmansilla osapuolilla kolmannen maan valvontaviranomaisen myöntämä toimilupa tai rekisteröinti tai ovatko ne kolmannen maan valvontaviranomaisen valvonnan alaisia;

j)

onko kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevien TVT-palvelujen tarjonta keskittynyt yhdelle TVT-palveluntarjoajana olevan kolmannen osapuolen alihankkijalle tai pienelle määrälle tällaisia alihankkijoita;

k)

vaikuttaisiko kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevien TVT-palvelujen teettäminen alihankintana kyseisten TVT-palvelujen siirrettävyyteen toiselle TVT-palveluntarjoajana olevalle kolmannelle osapuolelle;

l)

häiriöiden mahdollinen vaikutus TVT-palveluntarjoajana olevan kolmannen osapuolen tarjoamiin kriittisiä tai tärkeitä toimintoja tai niiden osia tukevien TVT-palvelujen jatkuvuuteen ja saatavuuteen, kun käytetään alihankkijaa, joka tarjoaa kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia TVT-palveluja.

a)

finanssiyhteisö on vastustanut kriittisiä tai tärkeitä toimintoja tukevien alihankintajärjestelyjen olennaisia muutoksia ja pyytänyt muuttamaan kyseisiä järjestelyjä, mutta TVT-palveluntarjoajana oleva kolmas osapuoli on tästä huolimatta toteuttanut kyseiset olennaiset muutokset;

b)

TVT-palveluntarjoajana oleva kolmas osapuoli on ilman finanssiyhteisön hyväksyntää tehnyt olennaisia muutoksia kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukeviin alihankintajärjestelyihin ennen kuin määräaika muutosten hyväksymiselle tai vastustamiselle on päättynyt;

c)

TVT-palveluntarjoajana oleva kolmas osapuoli teettää alihankintana kriittistä tai tärkeää toimintoa tai sen olennaista osaa tukevan TVT-palvelun, jonka teettäminen alihankintana ei ole nimenomaisesti sallittua finanssiyhteisön ja TVT-palveluntarjoajana olevan kolmannen osapuolen välisessä sopimuksessa.