(1)

Le cadre sur la résilience opérationnelle numérique du secteur financier établi par le règlement (UE) 2022/2554 exige que les entités financières se fixent certains principes clés pour la gestion des risques liés aux prestataires tiers de services TIC, risques qui sont particulièrement importants lorsqu’elles font appel à de tels prestataires tiers pour soutenir leurs fonctions importantes ou critiques.

(2)

Les entités financières sont tenues d’adopter, comme partie intégrante de leur cadre de gestion du risque lié aux TIC, une stratégie en matière de risques liés aux prestataires tiers de services TIC, et de réexaminer régulièrement cette stratégie. Conformément à l’article 28, paragraphe 2, du règlement (UE) 2022/2554, cette stratégie doit inclure une politique relative à l’utilisation des services TIC soutenant des fonctions critiques ou importantes qui sont fournis par des prestataires tiers de services TIC. Elle s’applique sur une base individuelle et, le cas échéant, sur une base consolidée et sous-consolidée.

(3)

Les entités financières varient considérablement par leur taille, leur structure et leur organisation interne, ainsi que par la nature et la complexité de leurs activités et opérations. Tout en imposant, pour l’élaboration de la politique relative aux accords contractuels sur l’utilisation de services TIC soutenant des fonctions critiques ou importantes qui sont fournis par des prestataires tiers de services TIC, un certain nombre d’exigences réglementaires essentielles qui conviennent pour toutes les entités financières, il est nécessaire de tenir compte de cette diversité et de veiller à ce que les exigences fixées soient appliquées de manière proportionnée.

(4)

Dans le cas d’entités financières faisant partie d’un groupe, il devrait incomber à l’entreprise mère chargée de fournir les états financiers consolidés ou sous-consolidés du groupe de veiller à ce que la politique soit appliquée de manière uniforme et cohérente au sein du groupe.

(5)

Dans le cadre de l’application de la politique, les prestataires de services TIC intragroupe, y compris ceux qui sont entièrement ou collectivement détenus par des entités financières relevant du même système de protection institutionnel, devraient être considérés comme des prestataires tiers de services TIC. Les risques posés par les prestataires de services TIC intragroupe peuvent certes être différents, mais les exigences qui leur sont applicables en vertu du règlement (UE) 2022/2554 sont les mêmes. De même, lorsqu’il existe une chaîne de prestataires tiers de services TIC, la politique devrait s’appliquer aux sous-traitants qui fournissent aux prestataires tiers de services TIC des services TIC soutenant des fonctions critiques ou importantes ou des parties importantes de celles-ci.

(6)

La responsabilité ultime, incombant à l’organe de direction, de la gestion du risque lié aux TIC d’une entité financière, constitue un principe fondamental qui s’applique aussi au recours à des prestataires tiers de services TIC. Cette responsabilité devrait se traduire plus avant par l’implication constante de l’organe de direction dans le contrôle et le suivi de la gestion du risque lié aux TIC, y compris dans l’adoption et le réexamen, au moins une fois par an, de la politique.

(7)

Afin de garantir un reporting approprié à l’organe de direction, la politique devrait préciser et énoncer clairement les responsabilités internes en matière d’approbation, de gestion, de contrôle et de documentation des accords contractuels sur l’utilisation de services TIC soutenant des fonctions critiques ou importantes qui sont fournis par des prestataires tiers de services TIC (ci-après les «accords contractuels»), y compris les services TIC fournis en vertu des accords contractuels visés à l’article 28, paragraphe 1, point a), du règlement (UE) 2022/2554.

(8)

Afin de tenir compte de tous les risques qui peuvent être liés à l’achat contractuel de services TIC à l’appui d’une fonction critique ou importante, la structure de la politique devrait suivre toutes les étapes de chaque phase importante du cycle de vie des accords contractuels conclus avec des prestataires tiers.

(9)

Afin d’atténuer les risques identifiés, la politique devrait préciser les modalités de planification des accords contractuels, notamment en ce qui concerne l’évaluation des risques, la diligence raisonnable et la procédure d’approbation de nouveaux accords contractuels ou de modifications importantes d’accords contractuels existants. Aux fins de la gestion des risques susceptibles de survenir avant la conclusion d’un accord contractuel avec un prestataire tiers de services TIC, la politique devrait prévoir un processus approprié et proportionné pour la sélection des prestataires tiers de services TIC potentiels et l’évaluation de leur adéquation, et imposer à l’entité financière de tenir compte d’une liste non exhaustive d’éléments que ces prestataires tiers devraient avoir mis en place. Cette liste devrait couvrir la réputation commerciale des prestataires tiers, leurs ressources financières, humaines et techniques, la sécurité des informations en leur sein, leur structure organisationnelle, y compris leur gestion des risques, et les contrôles internes qu’ils appliquent.

(10)

Afin de garantir une bonne gestion des risques dans le cadre de la fourniture par des prestataires tiers de services TIC soutenant des fonctions critiques ou importantes, la politique devrait contenir des informations sur la mise en œuvre, le suivi et la gestion des accords contractuels, y compris au niveau consolidé et sous-consolidé, s’il y a lieu. Cela inclut des exigences concernant les clauses contractuelles relatives aux obligations mutuelles de l’entité financière et du prestataire tiers de services TIC, lesquelles devraient être énoncées par écrit. Afin de garantir une surveillance efficace et de favoriser la résilience en cas de changements dans le modèle d’entreprise ou l’environnement des entreprises, la politique devrait garantir le droit des entités financières, ou de tiers désignés par elles, et des autorités compétentes de procéder à des inspections et d’accéder à des informations, et elle devrait également préciser les stratégies de sortie et les processus de résiliation des accords contractuels.

(11)

Dans la mesure où des données à caractère personnel sont traitées par des prestataires tiers de services TIC, la politique et les accords contractuels sont sans préjudice des obligations prévues par le règlement (UE) 2016/679 du Parlement européen et du Conseil (2) et devraient les compléter, par exemple par la mise en place d’un contrat écrit prévoyant les modalités de traitement des données à caractère personnel, l’obligation de garantir la sécurité de ce traitement et tous les autres éléments requis par ledit règlement.

(12)

Le comité mixte des autorités européennes de surveillance visé à l’article 54 du règlement (UE) no 1093/2010 du Parlement européen et du Conseil (3), à l’article 54 du règlement (UE) no 1094/2010 du Parlement européen et du Conseil (4) et à l’article 54 du règlement (UE) no 1095/2010 du Parlement européen et du Conseil (5) a procédé à des consultations publiques ouvertes sur le projet de normes techniques de réglementation sur lequel se fonde le présent règlement, analysé les coûts et avantages potentiels des normes proposées et sollicité l’avis du groupe des parties intéressées au secteur bancaire institué par l’article 37 du règlement (UE) no 1093/2010, du groupe des parties intéressées à l’assurance et la réassurance et du groupe des parties intéressées aux pensions professionnelles institués par l’article 37 du règlement (UE) no 1094/2010, ainsi que du groupe des parties intéressées au secteur financier institué par l’article 37 du règlement (UE) no 1095/2010,

(13)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (6) et a rendu un avis le 24 janvier 2024,

a)

le type de services TIC inclus dans chaque accord contractuel sur l’utilisation de services TIC soutenant des fonctions critiques ou importantes (ci-après l’«accord contractuel») conclu entre l’entité financière et un prestataire tiers de services TIC;

b)

la situation géographique du prestataire tiers de services TIC ou celle de son entreprise mère;

c)

si les services TIC soutenant des fonctions critiques ou importantes sont fournis par un prestataire tiers de services TIC situé dans un État membre ou dans un pays tiers, compte tenu également du lieu à partir duquel les services TIC sont fournis et du lieu où les données sont traitées et stockées;

d)

la nature des données partagées avec le prestataire tiers de services TIC;

e)

si le prestataire tiers de services TIC fait partie du même groupe que l’entité financière à laquelle les services sont fournis;

f)

le recours à des prestataires tiers de services TIC qui sont agréés, immatriculés ou soumis à la surveillance ou à la supervision d’une autorité compétente d’un État membre ou qui sont assujettis au cadre de supervision prévu au chapitre V, section II, du règlement (UE) 2022/2554, et le recours à des prestataires tiers de services TIC qui ne le sont pas;

g)

le recours à des prestataires tiers de services TIC qui sont agréés, immatriculés ou soumis à la surveillance ou à la supervision d’une autorité compétente d’un pays tiers, et le recours à des prestataires tiers de services TIC qui ne le sont pas;

h)

si la fourniture des services TIC soutenant des fonctions critiques ou importantes est concentrée chez un seul prestataire tiers de services TIC ou un petit nombre de tels prestataires;

i)

la transférabilité des services TIC soutenant des fonctions critiques ou importantes à un autre prestataire tiers de services TIC, y compris du fait de spécificités technologiques;

j)

l’impact potentiel de perturbations dans la fourniture des services TIC soutenant des fonctions critiques ou importantes sur la continuité des activités de l’entité financière et sur la disponibilité de ses services.

a)

les responsabilités de l’organe de direction, y compris sa participation, en tant que de besoin, au processus décisionnel relatif à l’utilisation de services TIC fournis par des prestataires tiers de services TIC pour soutenir des fonctions critiques ou importantes;

b)

la planification des accords contractuels, y compris l’évaluation des risques, la diligence raisonnable prévue aux articles 5 et 6 et la procédure d’approbation des nouveaux accords contractuels ou des modifications importantes d’accords contractuels existants prévue à l’article 8, paragraphe 4;

c)

le rôle des unités opérationnelles, des contrôles internes et d’autres unités pertinentes dans l’exécution des accords contractuels;

d)

la mise en œuvre, le suivi et la gestion, conformément aux articles 7, 8 et 9, des accords contractuels, y compris, s’il y a lieu, aux niveaux consolidé et sous-consolidé;

e)

la documentation et la tenue de registres, compte tenu des exigences définies à l’article 28, paragraphe 3, du règlement (UE) 2022/2554 en ce qui concerne le registre d’informations;

f)

les stratégies de sortie et les processus de résiliation prévus à l’article 10.

a)

interruptions de service imprévues et persistantes;

b)

prestation de services défaillante ou inadaptée;

c)

résiliation imprévue de l’accord contractuel.