(1)

Het bij Verordening (EU) 2022/2554 vastgestelde kader voor digitale operationele weerbaarheid voor de financiële sector vereist dat financiële entiteiten bepaalde kernbeginselen vaststellen voor het beheer van ICT-risico’s van derden, die des te belangrijker zijn wanneer financiële entiteiten er ondersteuning van kritieke of belangrijke functies een beroep op derde aanbieders van ICT-diensten doen.

(2)

Financiële entiteiten moeten, als onderdeel van hun kader voor ICT-risicobeheer, een strategie inzake ICT-risico van derde aanbieders vaststellen en deze regelmatig herzien. Overeenkomstig artikel 28, lid 2, van Verordening (EU) 2022/2554 moet die strategie een beleid omvatten inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen. Zij moet van toepassing zijn op individuele basis en, in voorkomend geval, op gesubconsolideerde en geconsolideerde basis.

(3)

Financiële entiteiten lopen sterk uiteen in omvang, structuur en interne organisatie en in de aard en complexiteit van hun activiteiten en activiteiten. Bij de ontwikkeling van het beleid met betrekking tot de contractuele overeenkomsten inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen (“het beleid”) moet rekening worden gehouden met deze diversiteit maar moeten ook bepaalde fundamentele regelgevingsvereisten worden opgelegd die passend zijn voor alle financiële entiteiten, en moet ervoor worden gezorgd dat die vereisten op evenredige wijze worden toegepast.

(4)

Wanneer financiële entiteiten tot een groep behoren, moet de moederonderneming die verantwoordelijk is voor het verstrekken van de geconsolideerde of gesubconsolideerde financiële overzichten voor de groep er daarom voor zorgen dat het beleid binnen de groep op consistente en coherente wijze wordt toegepast.

(5)

Bij de toepassing van het beleid moeten aanbieders van ICT-diensten binnen een groep, met inbegrip van aanbieders van ICT-diensten die geheel of gedeeltelijk eigendom zijn van financiële entiteiten binnen hetzelfde institutionele protectiestelsel, worden beschouwd als derde aanbieders van ICT-diensten. De risico’s van aanbieders van ICT-diensten binnen een groep kunnen verschillen, maar de vereisten die op hen van toepassing zijn, zijn dezelfde uit hoofde van Verordening (EU) 2022/2554. Op soortgelijke wijze moet het beleid van toepassing zijn op subcontractanten die ICT-diensten verlenen ter ondersteuning van kritieke of belangrijke functies of materiële delen daarvan aan derde aanbieders van ICT-diensten, wanneer er een keten van derde aanbieders van ICT-diensten bestaat.

(6)

De uiteindelijke verantwoordelijkheid van het leidinggevend orgaan voor het beheer van het ICT-risico van een financiële entiteit is een overkoepelend beginsel dat ook van toepassing is op het gebruik van derde aanbieders van ICT-diensten. Deze verantwoordelijkheid moet verder worden vertaald een voortdurende betrokkenheid van het leidinggevend orgaan bij de controle van de monitoring van het ICT-risicobeheer, met inbegrip van de vaststelling en evaluatie, ten minste eenmaal per jaar, van het beleid.

(7)

Om een passende rapportage aan het leidinggevend orgaan te waarborgen, moeten in het beleid de interne verantwoordelijkheden voor de goedkeuring, het beheer, de controle en de documentatie van contractuele overeenkomsten inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen (“contractuele overeenkomsten”), met inbegrip van de ICT-diensten die worden verleend in het kader van contractuele overeenkomsten als bedoeld in artikel 28, lid 1, punt a), van Verordening (EU) 2022/2554, duidelijk worden gespecificeerd en geïdentificeerd.

(8)

Om rekening te houden met alle mogelijke risico’s die zich kunnen voordoen bij het sluiten van contracten voor ICT-diensten die kritieke of belangrijke functies ondersteunen, moet de structuur van het beleid alle stappen van elke hoofdfase van de levenscyclus volgen voor contractuele overeenkomsten met derde aanbieders.

(9)

Om de geconstateerde risico’s te mitigeren, moet het beleid de planning van contractuele overeenkomsten specificeren, met inbegrip van de risicobeoordeling, de zorgvuldigheid en het goedkeuringsproces voor nieuwe of materiële wijzigingen in die contractuele regelingen. Om de risico’s te beheren die zich kunnen voordoen voordat een contractuele overeenkomst met een derde aanbieder van ICT-diensten wordt gesloten, moet in het beleid een passend en evenredig proces worden gespecificeerd om potentiële derde aanbieders van ICT-diensten te selecteren en hun geschiktheid te beoordelen, en moet de financiële entiteit rekening houden met een niet-uitputtende lijst van elementen waarover de derde aanbieders van ICT-diensten moeten beschikken. De lijst moet elementen bevatten die verband houden met de zakelijke reputatie van de dienstverleners, hun financiële, personele en technische middelen, hun informatiebeveiliging, hun organisatiestructuur, met inbegrip van risicobeheer, en hun interne controles.

(10)

Om te zorgen voor een degelijk risicobeheer bij het verlenen van ICT-diensten ter ondersteuning van kritieke of belangrijke functies door derde aanbieders van ICT-diensten, moet het beleid informatie bevatten over de uitvoering en het beheer van en het toezicht op de contractuele overeenkomsten, in voorkomend geval ook op geconsolideerd en gesubconsolideerd niveau. Dit omvat vereisten voor de contractuele bepalingen inzake wederzijdse verplichtingen van de financiële entiteiten en de derde aanbieders van ICT-diensten, die schriftelijk moeten worden vastgelegd. Om efficiënt toezicht te waarborgen en weerbaarheid te bevorderen in geval van veranderingen in het bedrijfsmodel of het ondernemingsklimaat, moet het beleid het recht van financiële entiteiten of aangestelde derden en bevoegde autoriteiten op inspecties en toegang tot informatie waarborgen, en moet het ook de exitstrategieën en beëindigingsprocessen nader specificeren.

(11)

Voor zover persoonsgegevens door derde aanbieders van ICT-diensten worden verwerkt, doen dit beleid en eventuele contractuele overeenkomsten geen afbreuk aan en moeten zij een aanvulling vormen op de verplichtingen uit hoofde van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (2), zoals het beschikken over een schriftelijk contract waarin de verwerking van persoonsgegevens wordt beschreven, de verplichting om de beveiliging van de verwerking van persoonsgegevens te waarborgen en het vaststellen van alle andere elementen die uit hoofde van die verordening vereist zijn.

(12)

Het Gemengd Comité van de Europese toezichthoudende autoriteiten als bedoeld in artikel 54 van Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad (3), in artikel 54 van Verordening (EU) nr. 1094/2010 van het Europees Parlement en de Raad (4) en in artikel 54 van Verordening (EU) nr. 1095/2010 van het Europees Parlement en de Raad (5) heeft open publiek consultaties gehouden over de ontwerpen van technische reguleringsnormen waarop deze verordening is gebaseerd, heeft de mogelijke kosten en baten van die voorgestelde normen geanalyseerd en heeft het advies ingewonnen van de overeenkomstig artikel 37 van Verordening (EU) nr. 1093/2010 opgerichte Stakeholdergroep bankwezen, de overeenkomstig artikel 37 van Verordening (EU) nr. 1094/2010 opgerichte Stakeholdergroep verzekeringen en herverzekeringen en de overeenkomstig artikel 37 van Verordening (EU) nr. 1095/2010 opgerichte Stakeholdergroep effecten en markten.

(13)

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (6) en heeft op 24 januari 2024 een advies uitgebracht,

(a)

het soort ICT-diensten dat is opgenomen in de contractuele overeenkomst inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen (“de contractuele overeenkomst”) tussen de financiële entiteit en de derde aanbieder van ICT-diensten;

(b)

de locatie van de derde aanbieder van ICT-diensten of de locatie van zijn moederonderneming;

(c)

of de ICT-diensten die kritieke of belangrijke functies ondersteunen, worden verleend door een derde aanbieder van ICT-diensten die zich in een lidstaat of in een derde land bevindt, ook rekening houdend met de locatie van waaruit de ICT-diensten worden verleend en de locatie waar de gegevens worden verwerkt en opgeslagen;

(d)

de aard van de gegevens die met de derde aanbieder van ICT-diensten worden gedeeld;

(e)

of de derde aanbieder van ICT-diensten deel uitmaakt van dezelfde groep als de financiële entiteit waaraan de diensten worden verleend;

(f)

het gebruik van derde aanbieders van ICT-diensten die een vergunning hebben gekregen van, geregistreerd zijn of aan toezicht of oversight onderworpen zijn door een bevoegde autoriteit in een lidstaat, of onderworpen zijn aan het oversightkader uit hoofde van hoofdstuk V, afdeling II, van Verordening (EU) 2022/2554, en het gebruik van andere derde aanbieders van ICT-diensten;

(g)

het gebruik van derde aanbieders van ICT-diensten die een vergunning hebben gekregen van, geregistreerd zijn of aan toezicht of oversight onderworpen zijn door een toezichthoudende autoriteit in een derde land, en het gebruik van andere derde aanbieders van ICT-diensten;

(h)

of de verlening van ICT-diensten ter ondersteuning van kritieke of belangrijke functies geconcentreerd is op één derde aanbieder van ICT-diensten of op een klein aantal dergelijke dienstverleners;

(i)

de overdraagbaarheid van de ICT-diensten die kritieke of belangrijke functies ondersteunen naar een andere derde aanbieder van ICT-diensten, ook als gevolg van specifieke technologische kenmerken;

(j)

de mogelijke gevolgen van verstoringen in de verlening van ICT-diensten ter ondersteuning van kritieke of belangrijke functies voor de continuïteit van de activiteiten van de financiële entiteit en voor de beschikbaarheid van haar diensten.

(a)

de verantwoordelijkheden van het leidinggevend orgaan, met inbegrip van zijn betrokkenheid, in voorkomend geval, bij het besluitvormingsproces over het gebruik van ICT-diensten ter ondersteuning van kritieke of belangrijke functies die door derde aanbieders van ICT-diensten worden verleend;

(b)

de planning van contractuele overeenkomsten, met inbegrip van de risicobeoordeling, de zorgvuldigheid als bedoeld in de artikelen 5 en 6 en het goedkeuringsproces met betrekking tot nieuwe of materiële wijzigingen in contractuele overeenkomsten als bedoeld in artikel 8, lid 4;

(c)

de betrokkenheid van bedrijfseenheden, interne controles en andere relevante eenheden met betrekking tot contractuele regelingen;

(d)

de uitvoering, de monitoring en het beheer van contractuele overeenkomsten als bedoeld in de artikelen 7, 8 en 9, ook op geconsolideerd en gesubconsolideerd niveau, indien van toepassing;

(e)

de documentatie en het bijhouden van registers, rekening houdend met de voorschriften inzake het informatieregister als bedoeld in artikel 28, lid 3, van Verordening (EU) 2022/2554;

(f)

de exitstrategieën en beëindigingsprocessen als bedoeld in artikel 10.

(a)

onvoorziene en aanhoudende onderbrekingen van de dienstverlening;

(b)

ongeschikte of falende dienstverlening;

(c)

onverwachte beëindiging van de contractuele overeenkomst.