(1)

Il-forniment ta’ servizzi tal-ICT lil entitajiet finanzjarji spiss jiddependi fuq katina kumplessa ta’ sottokuntratturi tal-ICT, fejn fornituri terzi ta’ servizzi tal-ICT jistgħu jidħlu f’arranġament ta’ sottokuntrattar wieħed jew aktar ma’ fornituri terzi oħra ta’ servizzi tal-ICT. Id-dipendenza indiretta fuq is-sottokuntratturi tal-ICT jista’ jkollha impatt fuq il-kapaċità ta’ entità finanzjarja li tidentifika, tivvaluta u timmaniġġja r-riskji tagħha, inklużi riskji li huma relatati ma’ lakuni fl-informazzjoni pprovduta minn fornituri terzi ta’ servizzi tal-ICT, u mal-kapaċità limitata ta’ entità finanzjarja li tikseb informazzjoni minn dawk is-sottokuntratturi tal-ICT li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom. F’dak ir-rigward, meta l-forniment ta’ servizzi tal-ICT lill-entitajiet finanzjarji jiddependi fuq katina potenzjalment twila jew kumplessa ta’ sottokuntratturi tal-ICT, huwa essenzjali li l-entitajiet finanzjarji jidentifikaw il-katina ġenerali tas-sottokuntratturi li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti.

(2)

Fost dawk is-sottokuntratturi li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti, jenħtieġ li l-entitajiet finanzjarji jiffokaw b’mod partikolari u kontinwu fuq dawk is-sottokuntratturi li fuqhom huma bbażati s-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti, inkluż is-sottokuntratturi kollha li jipprovdu servizzi tal-ICT li t-tfixkil tagħhom ixekkel is-sigurtà jew il-kontinwità tas-servizz kif stabbilit fir-reġistru ta’ informazzjoni msemmi fl-Artikolu 28(3) tar-Regolament (UE) 2022/2554.

(3)

L-entitajiet finanzjarji jvarjaw ħafna fid-daqs, fl-istruttura, fl-organizzazzjoni interna, u fin-natura u l-kumplessità tal-attivitajiet tagħhom. Sabiex tiġi żgurata l-proporzjonalità, jenħtieġ li dik id-diversità titqies meta jiġi speċifikat liema elementi entità finanzjarja jenħtieġ li tiddetermina u tivvaluta meta tissottokuntratta servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti.

(4)

Meta jkun permess mill-entitajiet finanzjarji f’konformità mal-Artikolu 30(2) tar-Regolament (UE) 2022/2554, l-użu ta’ servizzi tal-ICT sottokuntrattati li jappoġġaw funzjonijiet kritiċi jew importanti minn fornituri terzi ta’ servizzi tal-ICT ma jistax jillimita r-responsabbiltà aħħarija għall-korpi maniġerjali tal-entitajiet finanzjarji li jimmaniġġjaw ir-riskji tagħhom u li jikkonformaw mal-obbligi leġiżlattivi u regolatorji tagħhom. Meta s-sottokuntrattar tas-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti ikun permess, huwa importanti li l-entitajiet finanzjarji jkollhom perspettiva ċara u olistika tar-riskji assoċjati mas-servizzi ta’ sottokuntrattar li jappoġġaw funzjonijiet kritiċi jew importanti sabiex ikunu jistgħu jimmonitorjaw, jimmaniġġjaw u jimmitigaw dawk ir-riskji. Għalhekk jenħtieġ li huma jivvalutaw dawk ir-riskji qabel ma jissottokuntrattaw is-servizzi inkwistjoni.

(5)

Is-sottokuntratturi intragrupp tal-ICT li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom, inkluż sottokuntratturi intragrupp tal-ICT li huma kompletament jew kollettivament proprjetà ta’ entitajiet finanzjarji fl-istess skema ta’ protezzjoni istituzzjonali, jenħtieġ li jitqiesu bħala sottokuntratturi tal-ICT.

(6)

Fejn applikabbli, f’kuntest ta’ grupp, jenħtieġ li l-impriża omm ta’ entitajiet finanzjarji tiżgura li l-politika dwar l-użu tas-sottokuntratturi tal-ICT li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew parti materjali tagħhom tiġi applikata b’mod konsistenti u koerenti fil-grupp.

(7)

Huwa importanti li tiġi żgurata ġestjoni komprensiva tar-riskji li jistgħu jinħolqu meta s-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jiġu sottokuntrattati. Għal dik ir-raġuni, jenħtieġ li l-entitajiet finanzjarji jsegwu l-passi taċ-ċiklu tal-ħajja ta’ arranġament kuntrattwali għall-użu tas-servizzi tal-ICT li jappoġġaw dawk il-funzjonijiet u li jiġu pprovduti minn fornituri terzi ta’ servizzi tal-ICT, anki fir-rigward tal-arranġamenti ta’ sottokuntrattar. Għalhekk huwa meħtieġ li jiġu stabbiliti rekwiżiti għall-entitajiet finanzjarji, li jenħtieġ li jiġu riflessi fl-arranġamenti kuntrattwali tal-entitajiet ma’ fornituri terzi ta’ servizzi tal-ICT meta jkun permess l-użu ta’ servizzi tal-ICT sottokuntrattati li jappoġġaw funzjonijiet kritiċi jew importanti.

(8)

Sabiex jittaffew ir-riskji li huma marbuta mas-sottokuntrattar, huwa meħtieġ li jiġu speċifikati l-kundizzjonijiet li skonthom il-fornituri terzi ta’ servizzi tal-ICT jistgħu jużaw sottokuntratturi għall-forniment ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti. Għal dak il-għan, jenħtieġ li l-arranġamenti kuntrattwali tal-ICT bejn l-entitajiet finanzjarji u l-fornituri terzi ta’ servizzi tal-ICT jistabbilixxu tali kundizzjonijiet, inkluż l-ippjanar tal-arranġamenti ta’ sottokuntrattar, il-valutazzjonijiet tar-riskju, id-diliġenza dovuta, u l-proċess ta’ approvazzjoni għal arranġamenti ġodda ta’ sottokuntrattar tal-ICT dwar servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom, jew bidliet materjali f’dawk eżistenti magħmula mill-fornitur terz ta’ servizzi tal-ICT.

(9)

Sabiex jiġu identifikati r-riskji li jistgħu jinqalgħu qabel ma entità finanzjarja tidħol f’arranġament ma’ sottokuntrattur tal-ICT, jenħtieġ li l-fornituri terzi ta’ servizzi tal-ICT jivvalutaw, b’mod xieraq u proporzjonat, l-adegwatezza tas-sottokuntratturi potenzjali abbażi tal-arranġamenti kuntrattwali tal-ICT li l-fornitur terz ta’ servizzi tal-ICT ikkonkluda mal-entità finanzjarja. Għalhekk, jenħtieġ li dawk l-arranġamenti kuntrattwali tal-ICT jirrikjedu li l-fornitur terz ta’ servizzi tal-ICT, jew l-entità finanzjarja direttament, kif xieraq, tivvaluta r-riżorsi tas-sottokuntrattur potenzjali, inkluż l-għarfien espert tiegħu u jekk għandux ir-riżorsi finanzjarji, umani u tekniċi xierqa, is-sigurtà tal-informazzjoni tiegħu, u l-istruttura organizzazzjonali tiegħu, inkluż il-ġestjoni tar-riskju u l-kontrolli interni li s-sottokuntrattur jenħtieġ li jkollu fis-seħħ.

(10)

Biex itaffu kwalunkwe vulnerabbiltà u theddid li jistgħu joħolqu riskji għas-sistemi u l-operazzjonijiet tal-ICT tagħhom, jenħtieġ li l-entitajiet finanzjarji jkunu jistgħu jimmonitorjaw il-prestazzjoni tas-servizz tal-ICT u jiġu infurmati dwar kwalunkwe bidla rilevanti fil-katina ta’ sottokuntrattar tal-ICT tagħhom meta tali bidliet jikkonċernaw funzjonijiet kritiċi jew importanti.

(11)

Sabiex l-entitajiet finanzjarji jkunu jistgħu jivvalutaw ir-riskji assoċjati mal-arranġamenti tas-sottokuntrattar jew kwalunkwe bidliet materjali fihom, jenħtieġ li l-fornituri terzi ta’ servizzi tal-ICT jinfurmaw lill-entitajiet finanzjarji li lilhom jipprovdu servizzi tal-ICT dwar dawn l-arranġamenti l-ġodda kollha jew il-bidliet ferm qabel ma jibdew japplikaw tali arranġamenti jew bidliet. Għall-istess raġuni, jenħtieġ li l-entitajiet finanzjarji jkollhom id-dritt li jitterminaw il-kuntratt mal-fornitur terz ta’ servizzi tal-ICT meta l-eżitu tal-valutazzjoni tar-riskju tagħhom juri li l-arranġamenti l-ġodda jew il-bidliet materjali jġorru livell ta’ riskju li jaqbeż it-tolleranza tar-riskju tagħhom.

(12)

L-Awtoritajiet Superviżorji Ewropej wettqu konsultazzjoni pubblika miftuħa dwar l-abbozz tal-istandards tekniċi ta’ implimentazzjoni li fuqu huwa bbażat dan ir-Regolament, analizzaw il-kostijiet u l-benefiċċji potenzjali relatati u talbu l-parir tal-Gruppi tal-Partijiet Interessati tal-ASE stabbiliti f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1093/2010 tal-Parlament Ewropew u tal-Kunsill (2), l-Artikolu 37 tar-Regolament (UE) Nru 1094/2010 tal-Parlament Ewropew u tal-Kunsill (3) u l-Artikolu 37 tar-Regolament (UE) Nru 1095/2010 tal-Parlament Ewropew u tal-Kunsill (4).

(13)

Il-Kontrollur Ewropew għall-Protezzjoni tad-Data ġie kkonsultat f’konformità mal-Artikolu 42(1) tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill (5) u ta l-opinjoni tiegħu fl-20 ta’ Awwissu 2024,

(a)

it-tip ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti koperti mill-arranġament kuntrattwali bejn l-entità finanzjarja u l-fornitur terz ta’ servizzi tal-ICT;

(b)

it-tip ta’ servizzi tal-ICT koperti mill-arranġament kuntrattwali bejn il-fornitur terz tas-servizzi tal-ICT u s-sottokuntratturi tiegħu;

(c)

il-post tas-sottokuntrattur tal-ICT li jipprovdi servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom, jew tal-kumpanija omm tiegħu;

(d)

it-tul u l-kumplessità tal-katina tas-sottokuntratturi li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom użati mill-fornitur terz ta’ servizzi tal-ICT;

(e)

in-natura tad-data kondiviża mas-sottokuntratturi tal-ICT li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom;

(f)

jekk is-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom humiex ipprovduti minn sottokuntratturi, li jinsabu fi Stat Membru jew f’pajjiż terz, inkluż il-post minn fejn is-servizzi tal-ICT huma fil-fatt ipprovduti u l-post fejn id-data hija fil-fatt ipproċessata u maħżuna;

(g)

jekk is-sottokuntratturi tal-ICT li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom humiex parti mill-istess grupp bħall-entità finanzjarja li lilha jiġu pprovduti dawk is-servizzi;

(h)

jekk is-sottokuntratturi tal-ICT li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom humiex awtorizzati, irreġistrati jew soġġetti għal superviżjoni jew sorveljanza minn awtorità kompetenti fi Stat Membru, jew humiex soġġetti għall-qafas ta’ sorveljanza skont il-Kapitolu V, it-Taqsima II, tar-Regolament (UE) 2022/2554;

(i)

jekk il-fornituri terzi ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom humiex awtorizzati, irreġistrati jew soġġetti għal superviżjoni jew sorveljanza minn awtorità superviżorja minn pajjiż terz;

(j)

jekk il-forniment ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom huwiex ikkonċentrat fuq sottokuntrattur wieħed ta’ fornitur terz ta’ servizzi tal-ICT jew għadd żgħir ta’ tali sottokuntratturi;

(k)

jekk is-sottokuntrattar ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali jkollux impatt fuq it-trasferibbiltà ta’ dawk is-servizzi tal-ICT lil fornitur terz ieħor ta’ servizzi tal-ICT;

(l)

l-impatt potenzjali tat-tfixkil fil-kontinwità u d-disponibbiltà tas-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom ipprovduti mill-fornitur terz ta’ servizzi tal-ICT, meta dan tal-aħħar juża sottokuntrattur li jipprovdi servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom.

(a)

l-entità finanzjarja tkun oġġezzjonat għal bidliet materjali fl-arranġamenti ta’ sottokuntrattar li jappoġġaw funzjonijiet kritiċi jew importanti u tkun talbet għal modifiki għal dawk l-arranġamenti, iżda l-fornitur terz ta’ servizzi tal-ICT ikun madankollu implimenta dawk il-bidliet materjali;

(b)

il-fornitur terz ta’ servizzi tal-ICT ikun implimenta bidliet materjali fl-arranġamenti ta’ sottokuntrattar li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom qabel tmiem il-perjodu ta’ notifika mingħajr approvazzjoni mill-entità finanzjarja;

(c)

il-fornitur terz ta’ servizzi tal-ICT jissottokuntratta servizz tal-ICT li jappoġġa funzjoni kritika jew importanti jew parti materjali tiegħu li ma tkunx espliċitament permessa li tiġi sottokuntrattata mill-kuntratt bejn l-entità finanzjarja u l-fornitur terz ta’ servizzi tal-ICT.