(1)

Il-qafas dwar ir-reżiljenza operazzjonali diġitali għas-settur finanzjarju stabbilit bir-Regolament (UE) 2022/2554 jirrikjedi li l-entitajiet finanzjarji jistabbilixxu ċerti prinċipji ewlenin għall-ġestjoni tar-riskju relatat mal-ICT minn partijiet terzi, li huma ta’ importanza partikolari meta l-entitajiet finanzjarji jinvolvu ruħhom ma’ fornituri terzi ta’ servizzi tal-ICT biex jappoġġaw il-funzjonijiet kritiċi jew importanti tagħhom.

(2)

L-entitajiet finanzjarji, bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT tagħhom, għandhom jadottaw, u jirrieżaminaw regolarment, strateġija dwar ir-riskju relatat mal-ICT minn partijiet terzi. F’konformità mal-Artikolu 28(2) tar-Regolament (UE) 2022/2554, dik l-istrateġija għandha tinkludi politika dwar l-użu ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti pprovduti minn fornituri terzi ta’ servizzi tal-ICT. Din għandha tapplika fuq bażi individwali u, fejn rilevanti, fuq bażi subkonsolidata u konsolidata.

(3)

L-entitajiet finanzjarji jvarjaw ħafna fid-daqs, fl-istruttura u fl-organizzazzjoni interna u fin-natura u l-kumplessità tal-attivitajiet u l-operazzjonijiet tagħhom. Jeħtieġ li meta tkun qed tiġi żviluppata l-politika dwar l-arranġamenti kuntrattwali dwar l-użu ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti minn fornituri terzi tal-ICT, titqies dik id-diversità filwaqt li jiġu imposti ċerti rekwiżiti regolatorji fundamentali li huma xierqa għall-entitajiet finanzjarji kollha (“il-politika”), u li jiġi żgurat li dawk ir-rekwiżiti jiġu applikati b’mod li jkun proporzjonat.

(4)

Meta l-entitajiet finanzjarji jappartjenu għal grupp, l-impriża omm li tkun responsabbli biex tipprovdi r-rapporti finanzjarji konsolidati jew subkonsolidati għall-grupp, jenħtieġ għalhekk li tiżgura li l-politika tiġi applikata b’mod konsistenti u koerenti fil-grupp.

(5)

Meta tiġi applikata l-politika, il-fornituri intragrupp ta’ servizzi tal-ICT, inklużi dawk li huma kompletament jew kollettivament proprjetà ta’ entitajiet finanzjarji fl-istess skema ta’ protezzjoni istituzzjonali, jenħtieġ li jitqiesu bħala fornituri terzi ta’ servizzi tal-ICT. Ir-riskji ppreżentati mill-fornituri intragrupp ta’ servizzi tal-ICT jistgħu jkunu differenti iżda r-rekwiżiti applikabbli għalihom huma l-istess skont ir-Regolament (UE) 2022/2554. B’mod simili, jenħtieġ li l-politika tapplika għas-sottokuntratturi li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali minnhom lil fornituri terzi ta’ servizzi tal-ICT, meta teżisti katina ta’ fornituri terzi ta’ servizzi tal-ICT.

(6)

Ir-responsabbiltà aħħarija tal-korp maniġerjali fil-ġestjoni tar-riskju tal-ICT ta’ entità finanzjarja hija prinċipju ġenerali li huwa applikabbli wkoll fir-rigward tal-użu ta’ fornituri terzi ta’ servizzi tal-ICT. Jenħtieġ li din ir-responsabbiltà tissarraf ulterjorment fl-involviment kontinwu tal-korp maniġerjali fil-kontroll u l-monitoraġġ tal-ġestjoni tar-riskju tal-ICT, inkluż fl-adozzjoni u r-rieżami, tal-anqas darba fis-sena, tal-politika.

(7)

Sabiex jiġi żgurat rappurtar xieraq lill-korp maniġerjali, jenħtieġ li l-politika tispeċifika u tidentifika b’mod ċar ir-responsabbiltajiet interni għall-approvazzjoni, il-ġestjoni, il-kontroll u d-dokumentazzjoni tal-arranġamenti kuntrattwali dwar l-użu tas-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti pprovduti minn fornituri terzi ta’ servizzi tal-ICT (“arranġamenti kuntrattwali”), inkluż is-servizzi tal-ICT ipprovduti skont l-arranġamenti kuntrattwali msemmija fl-Artikolu 28(1), il-punt (a), tar-Regolament (UE) 2022/2554.

(8)

Sabiex jitqiesu r-riskji kollha possibbli li jistgħu jirriżultaw meta jiġu kkuntrattati servizzi tal-ICT li jappoġġaw funzjoni kritika jew importanti, jenħtieġ li l-istruttura tal-politika ssegwi l-passi kollha ta’ kull fażi ewlenija taċ-ċiklu tal-ħajja għal arranġamenti kuntrattwali ma’ fornituri terzi.

(9)

Sabiex jittaffew ir-riskji identifikati, jenħtieġ li l-politika tispeċifika l-ippjanar tal-arranġamenti kuntrattwali, inkluż il-valutazzjoni tar-riskju, id-diliġenza dovuta, u l-proċess ta’ approvazzjoni għal bidliet ġodda jew materjali ta’ dawk l-arranġamenti kuntrattwali. Sabiex jiġu ġestiti r-riskji li jistgħu jirriżultaw qabel id-dħul f’arranġament kuntrattwali ma’ fornitur terz ta’ servizzi tal-ICT, jenħtieġ li l-politika tispeċifika proċess xieraq u proporzjonat biex tintgħażel u tiġi vvalutata l-adegwatezza ta’ fornituri terzi prospettivi ta’ servizzi tal-ICT u tirrikjedi li l-entità finanzjarja tqis lista mhux eżawrjenti ta’ elementi li l-fornituri terzi ta’ servizzi tal-ICT jenħtieġ li jkollhom fis-seħħ. Jenħtieġ li l-lista tinkludi elementi relatati mar-reputazzjoni kummerċjali tal-fornituri tas-servizzi, ir-riżorsi finanzjarji, umani u tekniċi tagħhom, is-sigurtà tal-informazzjoni tagħhom, l-istruttura organizzazzjonali tagħhom, inkluża l-ġestjoni tar-riskju, u l-kontrolli interni tagħhom.

(10)

Sabiex tiġi żgurata ġestjoni tajba tar-riskju fil-forniment ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti minn fornituri terzi ta’ servizzi tal-ICT, jenħtieġ li l-politika tinkludi informazzjoni dwar l-implimentazzjoni, il-monitoraġġ u l-ġestjoni tal-arranġamenti kuntrattwali, inkluż fil-livell konsolidat u subkonsolidat, fejn applikabbli. Dan jinkludi rekwiżiti għall-klawżoli kuntrattwali dwar l-obbligi reċiproċi tal-entitajiet finanzjarji u tal-fornituri terzi ta’ servizzi tal-ICT, li jenħtieġ li jiġu stabbiliti bil-miktub. Sabiex tiġi żgurata superviżjoni effiċjenti u titrawwem ir-reżiljenza f’każ ta’ bidliet fil-mudell tan-negozju jew fl-ambjent tan-negozju, jenħtieġ li l-politika tiżgura d-drittijiet tal-entitajiet finanzjarji jew tal-partijiet terzi maħtura u tal-awtoritajiet kompetenti għall-ispezzjonijiet u l-aċċess għall-informazzjoni u jenħtieġ ukoll li tispeċifika aktar l-istrateġiji ta’ ħruġ u l-proċessi ta’ terminazzjoni.

(11)

Sa fejn id-data personali tiġi pproċessata minn fornituri terzi ta’ servizzi tal-ICT, din il-politika u kwalunkwe arranġament kuntrattwali huma mingħajr preġudizzju għall-obbligi skont ir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill (2), u jenħtieġ li jikkomplementawhom, bħal pereżempju li jkun hemm kuntratt bil-miktub fis-seħħ li jiddeskrivi l-ipproċessar tad-data personali, ir-rekwiżit li tiġi żgurata s-sigurtà tal-ipproċessar tad-data personali u l-istabbiliment tal-elementi l-oħra kollha meħtieġa skont dak ir-Regolament.

(12)

Il-Kumitat Konġunt tal-Awtoritajiet Superviżorji Ewropej imsemmi fl-Artikolu 54 tar-Regolament (UE) Nru 1093/2010 tal-Parlament Ewropew u tal-Kunsill (3), fl-Artikolu 54 tar-Regolament (UE) Nru 1094/2010 tal-Parlament Ewropew u tal-Kunsill (4) u fl-Artikolu 54 tar-Regolament (UE) Nru 1095/2010 tal-Parlament Ewropew u tal-Kunsill (5) wettaq konsultazzjonijiet pubbliċi miftuħa dwar l-abbozz ta’ standards tekniċi regolatorji li fuqhom huwa bbażat dan ir-Regolament, analizza l-kostijiet u l-benefiċċji potenzjali tal-istandards proposti u talab il-parir tal-Grupp tal-Partijiet Bankarji Interessati stabbilit f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1093/2010, tal-Grupp tal-Partijiet Interessati tal-Oqsma tal-Assigurazzjoni u tar-Riassigurazzjoni u tal-Grupp tal-Partijiet Interessati tal-Qasam tal-Pensjonijiet tax-Xogħol stabbilit f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1094/2010, u tal-Grupp tal-Partijiet Interessati tat-Titoli u s-Swieq stabbilit f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1095/2010,

(13)

Il-Kontrollur Ewropew għall-Protezzjoni tad-Data ġie kkonsultat f’konformità mal-Artikolu 42(1) tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill (6) u ta l-opinjoni tiegħu fl-24 ta’ Jannar 2024,

(a)

it-tip ta’ servizzi tal-ICT inklużi fl-arranġament kuntrattwali dwar l-użu ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti pprovduti minn fornituri terzi ta’ servizzi tal-ICT (l-“arranġament kuntrattwali”) bejn l-entità finanzjarja u l-fornitur terz ta’ servizzi tal-ICT;

(b)

il-post fejn huwa stabbilit il-fornitur terz ta’ servizzi tal-ICT jew il-kumpanija omm tiegħu;

(c)

jekk is-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti humiex ipprovduti minn fornitur terz ta’ servizzi tal-ICT li jinsab fi Stat Membru jew f’pajjiż terz, filwaqt li jitqies ukoll il-post minn fejn jiġu pprovduti s-servizzi tal-ICT u l-post fejn id-data tiġi pproċessata u maħżuna;

(d)

in-natura tad-data kondiviża mal-fornitur terz ta’ servizzi tal-ICT;

(e)

jekk il-fornitur terz ta’ servizzi tal-ICT huwiex parti mill-istess grupp bħall-entità finanzjarja li lilha jiġu pprovduti s-servizzi;

(f)

l-użu ta’ fornituri terzi ta’ servizzi tal-ICT li huma kemm awtorizzati, irreġistrati jew soġġetti għal superviżjoni jew sorveljanza minn awtorità kompetenti fi Stat Membru jew soġġetti għall-qafas ta’ sorveljanza skont il-Kapitolu V, it-Taqsima II, tar-Regolament (UE) 2022/2554, kif ukoll ta’ dawk li ma humiex;

(g)

l-użu ta’ fornituri terzi ta’ servizzi tal-ICT li huma kemm awtorizzati, irreġistrati jew soġġetti għal superviżjoni jew sorveljanza minn awtorità superviżorja f’pajjiż terz, kif ukoll ta’ dawk li ma humiex;

(h)

jekk il-forniment ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti huwiex ikkonċentrat fuq fornitur terz uniku ta’ servizzi tal-ICT jew għadd żgħir ta’ tali fornituri ta’ servizzi;

(i)

it-trasferibbiltà tas-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti lil fornitur terz ieħor ta’ servizzi tal-ICT, inkluż bħala riżultat tal-ispeċifiċitajiet tat-teknoloġija;

(j)

l-impatt potenzjali tat-tfixkil fil-forniment tas-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti fuq il-kontinwità tal-attivitajiet tal-entità finanzjarja u fuq id-disponibbiltà tas-servizzi tagħha.

(a)

ir-responsabbiltajiet tal-korp maniġerjali, inkluż l-involviment tiegħu, kif xieraq, fil-proċess tat-teħid tad-deċiżjonijiet dwar l-użu tas-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti pprovduti minn fornituri terzi ta’ servizzi tal-ICT;

(b)

l-ippjanar tal-arranġamenti kuntrattwali, inkluż il-valutazzjoni tar-riskju, id-diliġenza dovuta kif stabbilita fl-Artikoli 5 u 6 u l-proċess ta’ approvazzjoni rigward bidliet ġodda jew materjali fl-arranġamenti kuntrattwali kif stabbilit fl-Artikolu 8(4);

(c)

l-involviment ta’ unitajiet tan-negozju, kontrolli interni u unitajiet rilevanti oħra fir-rigward tal-arranġamenti kuntrattwali;

(d)

l-implimentazzjoni, il-monitoraġġ u l-ġestjoni tal-arranġamenti kuntrattwali kif imsemmija fl-Artikoli 7, 8 u 9, inkluż fil-livell konsolidat u subkonsolidat, fejn applikabbli;

(e)

id-dokumentazzjoni u ż-żamma tar-rekords, filwaqt li jitqiesu r-rekwiżiti fir-rigward tar-reġistru tal-informazzjoni stabbilit fl-Artikolu 28(3) tar-Regolament (UE) 2022/2554;

(f)

l-istrateġiji ta’ ħruġ u l-proċessi ta’ terminazzjoni kif stabbiliti fl-Artikolu 10.

(a)

interruzzjonijiet mhux previsti u persistenti fis-servizz;

(b)

għoti ta’ servizz mhux xieraq jew li ma rnexxiex;

(c)

it-terminazzjoni mhux mistennija tal-arranġament kuntrattwali.