(1)

Pružanje IKT usluga financijskim subjektima često ovisi o složenom lancu podugovaratelja koji pružaju IKT usluge, pri čemu treće strane pružatelji IKT usluga mogu sklopiti jedan ili više podugovornih aranžmana s drugim trećim stranama pružateljima IKT usluga. Neizravno oslanjanje na podugovaratelje koji pružaju IKT usluge može utjecati na sposobnost financijskog subjekta da utvrdi i procijeni svoje rizike te upravlja njima, među ostalim rizike koji su povezani s nedostatkom informacija koje pružaju treće strane pružatelji IKT usluga, i na ograničenu sposobnost financijskog subjekta da dobije informacije od podugovaratelja koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi. U tom smislu, ako pružanje IKT usluga financijskim subjektima ovisi o potencijalno dugom ili složenom lancu podugovaratelja koji pružaju IKT usluge, ključno je da financijski subjekti identificiraju cjelokupni lanac podugovaratelja koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije.

(2)

Među podugovarateljima koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije financijski subjekti trebali bi posebno i kontinuirano pratiti one o kojima stvarno ovise IKT usluge kojima se podupiru ključne ili važne funkcije, što uključuje sve podugovaratelje koji pružaju IKT usluge čiji bi poremećaj narušio sigurnost ili kontinuitet usluge, kako su utvrđeni u registru informacija iz članka 28. stavka 3. Uredbe (EU) 2022/2554.

(3)

Financijski subjekti znatno se razlikuju po veličini, strukturi, unutarnjem ustrojstvu te prirodi i složenosti aktivnosti. Kako bi se osigurala proporcionalnost, tu bi raznolikost trebalo uzeti u obzir pri određivanju elemenata koje bi financijski subjekt trebao utvrditi i procijeniti pri podugovaranju IKT usluga kojima se podupiru ključne ili važne funkcije.

(4)

Ako to financijski subjekti dopuštaju u skladu s člankom 30. stavkom 2. Uredbe (EU) 2022/2554, činjenica da treće strane pružatelji IKT usluga podugovaraju IKT usluge kojima se podupiru ključne ili važne funkcije ne može umanjiti krajnju odgovornost koju upravljačka tijela financijskih subjekata imaju za upravljanje rizicima tih subjekata i ispunjavanje svojih zakonodavnih i regulatornih obveza. Ako je dopušteno podugovaranje IKT usluga kojima se podupiru ključne ili važne funkcije, važno je da financijski subjekti imaju jasan i sveobuhvatan pregled rizika povezanih s podugovaranjem usluga kojima se podupiru ključne ili važne funkcije kako bi mogli pratiti te rizike, upravljati njima i ublažavati ih. Stoga bi te rizike trebali procijeniti prije podugovaranja takvih usluga.

(5)

Podugovaratelji koji su dio grupe i koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi, uključujući one koji su u potpunom ili zajedničkom vlasništvu financijskih subjekata koji pripadaju istom institucionalnom sustavu zaštite, trebaju se smatrati podugovarateljima koji pružaju IKT usluge.

(6)

Ako je primjenjivo, u kontekstu grupe, matično društvo financijskih subjekata trebalo bi na razini grupe osigurati dosljednu i usklađenu primjenu politike o angažiranju podugovaratelja koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi.

(7)

Važno je osigurati da se sveobuhvatno upravlja rizicima koji mogu nastati pri podugovaranju IKT usluga kojima se podupiru ključne ili važne funkcije. Zbog toga bi financijski subjekti trebali slijediti korake životnog ciklusa ugovornog aranžmana sklopljenog za pružanje IKT usluga kojima se podupiru te funkcije i koje pružaju treće strane pružatelji IKT usluga, što vrijedi i za podugovorne aranžmane. Stoga je potrebno utvrditi zahtjeve za financijske subjekte koji bi trebali biti sadržani u njihovim ugovornim aranžmanima s trećim stranama pružateljima IKT usluga kad je dopušteno podugovaranje IKT usluga kojima se podupiru ključne ili važne funkcije.

(8)

Kako bi se ublažili rizici podugovaranja, potrebno je utvrditi uvjete pod kojima treće strane pružatelji IKT usluga mogu angažirati podugovaratelje za pružanje IKT usluga kojima se podupiru ključne ili važne funkcije. U tu bi svrhu u ugovornim aranžmanima u području IKT-a sklopljenima između financijskih subjekata i trećih strana pružatelja IKT usluga trebalo utvrditi takve uvjete, među ostalim one koji se odnose na planiranje podugovornih aranžmana, procjene rizika, dubinsku analizu i postupak odobrenja novih podugovornih aranžmana za IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi ili bitnih promjena postojećih aranžmana koje je sklopila treća strana pružatelj IKT usluga.

(9)

Kako bi se utvrdili rizici koji bi mogli nastati prije nego što financijski subjekt sklopi aranžman s podugovarateljem koji pruža IKT usluge, treće strane pružatelji IKT usluga trebale bi na odgovarajuć i proporcionalan način procijeniti prikladnost potencijalnih podugovaratelja na temelju ugovornih aranžmana u području IKT-a koje je ta treća strana pružatelj IKT usluga sklopila s financijskim subjektom. Stoga bi tim ugovornim aranžmanima u području IKT-a treću stranu pružatelja IKT usluga, ili izravno financijski subjekt, ovisno o slučaju, trebalo obvezati da procijeni resurse potencijalnog podugovaratelja, među ostalim njegovo stručno znanje, odgovarajuće financijske, ljudske i tehničke resurse, informacijsku sigurnost i organizacijsko ustrojstvo, uključujući postupke za upravljanje rizicima i unutarnje kontrole koje bi podugovaratelj trebao uspostaviti.

(10)

Kako bi se otklonile sve ranjivosti i prijetnje koje mogu ugroziti njihove IKT sustave i operacije, financijski subjekti trebali bi moći pratiti pružanje IKT usluge i dobivati obavijesti o svim relevantnim promjenama u lancu podugovaranja IKT usluga ako se promjene odnose na ključne ili važne funkcije.

(11)

Kako bi se financijskim subjektima omogućilo da procijene rizike povezane s podugovornim aranžmanima ili njihovim bitnim promjenama, treće strane pružatelji IKT usluga trebali bi obavijestiti financijske subjekte kojima pružaju IKT usluge o svim novim aranžmanima ili promjenama dovoljno rano prije njihova stupanja na snagu. Zbog istog bi razloga financijski subjekti trebali imati pravo raskinuti ugovor s trećom stranom pružateljem IKT usluga ako njihove procjene rizika pokažu da novi aranžmani ili bitne promjene nose razinu rizika koja je veća od njihove tolerancije na rizik.

(12)

Europska nadzorna tijela provela su otvoreno javno savjetovanje o nacrtu regulatornih tehničkih standarda na kojem se temelji ova Uredba, analizirala moguće povezane troškove i koristi te zatražila mišljenje interesnih skupina europskih nadzornih tijela osnovanih u skladu s člankom 37. Uredbe (EU) br. 1093/2010 Europskog parlamenta i Vijeća (2), člankom 37. Uredbe (EU) br. 1094/2010 Europskog parlamenta i Vijeća (3) i člankom 37. Uredbe (EU) br. 1095/2010 Europskog parlamenta i Vijeća (4).

(13)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (5) te je on dao mišljenje 20. kolovoza 2024.,

(a)

vrstu IKT usluga kojima se podupiru ključne ili važne funkcije obuhvaćenih ugovornim aranžmanom između financijskog subjekta i treće strane pružatelja IKT usluga;

(b)

vrstu IKT usluga obuhvaćenih ugovornim aranžmanom između treće strane pružatelja IKT usluga i njezinih podugovaratelja;

(c)

lokaciju podugovaratelja koji pruža IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi ili lokaciju njegova matičnog društva;

(d)

duljinu i složenost lanca podugovaratelja koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi koji koristi treća strana pružatelj IKT usluga;

(e)

prirodu podataka koji se razmjenjuju s podugovarateljima koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi;

(f)

pitanje pružaju li IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi podugovaratelji koji se nalaze u državi članici ili trećoj zemlji, uključujući lokaciju s koje se IKT usluge stvarno pružaju i lokaciju na kojoj se podaci stvarno obrađuju i pohranjuju;

(g)

pitanje jesu li podugovaratelji koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi dio iste grupe kao financijski subjekt kojem se te usluge pružaju;

(h)

pitanje imaju li podugovaratelji koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi odobrenje za rad, jesu li registrirani ili podliježu li nadzoru nadležnog tijela u državi članici ili nadzornom okviru iz poglavlja V. odjeljka II. Uredbe (EU) 2022/2554;

(i)

pitanje imaju li treće strane pružatelji IKT usluga kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi odobrenje za rad, jesu li registrirani ili podliježu li nadzoru nadzornog tijela iz treće zemlje;

(j)

pitanje pruža li IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi samo jedan podugovaratelj treće strane pružatelja IKT usluga ili mali broj takvih podugovaratelja;

(k)

pitanje bi li podugovaranje IKT usluga kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi utjecalo na prenosivost tih IKT usluga na neku drugu treću stranu pružatelja IKT usluga;

(l)

mogući učinak poremećaja na kontinuitet i dostupnost IKT usluga kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi kad te usluge pruža podugovaratelj treće strane pružatelja IKT usluga.

(a)

financijski subjekt podnio je prigovor na bitne promjene podugovornih aranžmana kojima se podupiru ključne ili važne funkcije i zatražio je izmjene tih aranžmana, ali je treća strana pružatelj IKT usluga ipak provela te bitne promjene;

(b)

treća strana pružatelj IKT usluga provela je bitne promjene podugovornih aranžmana kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi prije isteka roka za prethodnu obavijest bez odobrenja financijskog subjekta;

(c)

treća strana pružatelj IKT usluga podugovara IKT uslugu kojom se podupire ključna ili važna funkcija ili njezin bitan dio čije podugovaranje nije izričito dopušteno ugovorom između financijskog subjekta i treće strane pružatelja IKT usluga.