(1)

Het leveren van ICT-diensten aan financiële entiteiten is vaak afhankelijk van een complexe keten van ICT-onderaannemers, waarbij derde aanbieders van ICT-diensten een of meer uitbestedingsregelingen kunnen aangaan met andere derde aanbieders van ICT-diensten. Een indirect beroep op ICT-onderaannemers kan een impact hebben op de mogelijkheden van een financiële entiteit voor het in kaart brengen, beoordelen en beheren van haar risico’s, zoals risico’s in verband met lacunes in de door derde aanbieders van ICT-diensten verstrekte informatie, en op de beperkte mogelijkheden van een financiële entiteit om informatie te verkrijgen van die ICT-onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen. In dat verband is het van essentieel belang dat financiële entiteiten, wanneer het leveren van ICT-diensten aan financiële entiteiten afhankelijk is van een potentieel lange of complexe keten van ICT-onderaannemers, de hele keten van ondernemers die ICT-diensten leveren die kritieke of belangrijke functies ondersteunen, in kaart brengen.

(2)

Bij de onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies ondersteunen, moet de aandacht van financiële entiteiten in het bijzonder en doorlopend gaan naar de onderaannemers die daadwerkelijk aan de basis liggen van de ICT-dienst die kritieke of belangrijke functies ondersteunt, daaronder begrepen alle onderaannemers die ICT-diensten leveren waarvan de verstoring de veiligheid of de continuïteit van de dienstverlening zouden verstoren zoals vastgelegd in het in artikel 28, lid 3, van Verordening (EU) 2022/2554 bedoelde informatieregister.

(3)

Financiële entiteiten verschillen sterk in omvang, structuur, interne organisatie en in de aard en complexiteit van hun activiteiten. Om evenredigheid te borgen, moet die diversiteit in aanmerking worden genomen bij het specificeren van welke elementen een financiële entiteit moet bepalen en beoordelen bij het uitbesteden van ICT-diensten die kritieke of belangrijke functies ondersteunen.

(4)

Wanneer overeenkomstig artikel 30, lid 2, van Verordening (EU) 2022/2554 toegestaan door financiële entiteiten, kan het gebruik dat derde aanbieders van ICT-diensten maken van uitbestede ICT-diensten die kritieke of belangrijke functies ondersteunen, niets afdoen aan de uiteindelijke verantwoordelijkheid voor de leidinggevende organen van de financiële entiteiten om hun risico’s te beheren en hun verplichtingen uit hoofde van wet- en regelgeving na te komen. Wanneer uitbesteding van ICT-diensten die kritieke of belangrijke functies ondersteunen, is toegestaan, is het van belang dat financiële entiteiten een duidelijke en holistische kijk hebben op de risico’s die verbonden zijn aan het uitbesteden van diensten die kritieke of belangrijke functies ondersteunen, zodat zij deze risico’s kunnen monitoren, beheren en mitigeren. Daarom moeten zij die risico’s beoordelen voordat zij die diensten uitbesteden.

(5)

Intragroeps-ICT-onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, met inbegrip van intragroeps-ICT-onderaannemers die volledig of collectief eigendom zijn van financiële entiteiten binnen dezelfde institutionele beschermingsregeling, moeten als ICT-onderaannemers worden beschouwd.

(6)

In voorkomend geval moet, binnen een groepscontext, de moederonderneming van financiële entiteiten ervoor zorgen dat het beleid op het gebruik van ICT-onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of een materieel onderdeel daarvan, ondersteunen, binnen de groep consistent en coherent worden toegepast.

(7)

Het is van belang om te zorgen voor een omvattend beheer van de risico’s die zich kunnen voordoen wanneer ICT-diensten die kritieke of belangrijke functies ondersteunen, worden uitbesteed. Om die reden moeten financiële entiteiten de levenscyclus volgen van een contractuele regeling voor het gebruik van ICT-diensten die deze functies ondersteunen en die worden geleverd door derde aanbieders van ICT-diensten, onder meer voor uitbestedingsregelingen. Daarom moeten ten aanzien van financiële entiteiten eisen worden bepaald die hun neerslag moeten vinden in hun contractuele regelingen met derde aanbieders van ICT-diensten wanneer het gebruik van uitbestede ICT-diensten die kritieke of belangrijke functies ondersteunen, is toegestaan.

(8)

Om aan uitbesteding verbonden risico’s te mitigeren, moeten de voorwaarden worden bepaald waarop derde aanbieders van ICT-diensten van onderaannemers kunnen gebruikmaken voor het leveren van ICT-diensten die kritieke of belangrijke functies ondersteunen. Daartoe moeten contractuele ICT-regelingen tussen financiële entiteiten en derde aanbieders van ICT-diensten dergelijke voorwaarden bevatten, zoals de planning van uitbestedingsregelingen, de risicobeoordelingen, de due diligence en de goedkeuringsprocedure voor nieuwe ICT-uitbestedingsregelingen voor ICT-diensten die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, of materiële aanpassingen die de derde aanbieder van ICT-diensten aan bestaande regelingen aanbrengt.

(9)

Om risico’s in beeld te brengen die zich kunnen voordoen voordat een financiële entiteit een regeling met een ICT-onderaannemer aangaat, moeten derde aanbieders van ICT-diensten, op passende en evenredige wijze, de geschiktheid van kandidaat-onderaannemers nagaan op basis van de contractuele ICT-regelingen die de derde aanbieder van ICT-diensten met de financiële entiteit is aangegaan. Die contractuele ICT-regelingen moeten dus voorschrijven dat de derde aanbieder van ICT-diensten, of de financiële entiteit, waar passend, direct de middelen van de kandidaat-onderaannemer beoordeelt, onder meer zijn deskundigheid en de vraag of deze over de nodige financiële, personele en technische middelen beschikt, zijn informatiebeveiliging en zijn organisatiestructuur, met inbegrip van het risicomanagement en de interne controles waarover de onderaannemer moet beschikken.

(10)

Om kwetsbaarheden en dreigingen te mitigeren die risico’s kunnen vormen voor hun ICT-systemen en -activiteiten, moeten financiële entiteiten in staat zijn de prestaties van de ICT-dienst te monitoren en moeten zij geïnformeerd kunnen worden over relevante veranderingen binnen hun ICT-uitbestedingsketen wanneer die veranderingen kritieke of belangrijke functies betreffen.

(11)

Om financiële entiteiten in staat te stellen de risico’s te beoordelen die verbonden zijn aan uitbestedingsregelingen, of materiële veranderingen daarvan, moeten derde aanbieders van ICT-diensten de financiële entiteiten waaraan zij ICT-diensten leveren, over al die nieuwe regelingen of veranderingen informeren ruim voordat dergelijke regelingen of veranderingen ingaan. Om diezelfde reden moeten financiële entiteiten het recht hebben het contract met de derde aanbieder van ICT-diensten te beëindigen wanneer de uitkomst van hun risicobeoordeling laat zien dat de nieuwe regelingen of materiële veranderingen een risiconiveau inhouden dat hun risicotolerantie te boven gaat.

(12)

De Europese Toezichthoudende autoriteiten (ESA’s) hebben open publieke consultaties gehouden over de ontwerpen van technische uitvoeringsnormen waarop deze verordening is gebaseerd, de mogelijke kosten en baten daarvan geanalyseerd en het advies ingewonnen van de ESA-stakeholdersgroepen die zijn opgericht overeenkomstig artikel 37 van Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad (2), artikel 37 van Verordening (EU) nr. 1094/2010 van het Europees Parlement en de Raad (3) en artikel 37 van Verordening (EU) nr. 1095/2010 van het Europees Parlement en de Raad (4).

(13)

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (5) en heeft op 20 augustus 2024 een advies uitgebracht,

a)

het soort ICT-diensten dat kritieke of belangrijke functies ondersteunt die onder de contractuele regeling tussen de financiële entiteit en de derde aanbieder van ICT-diensten vallen;

b)

het soort ICT-diensten dat onder de contractuele regeling tussen de derde aanbieder van ICT-diensten en zijn onderaannemers valt;

c)

de locatie van de ICT-onderaannemer die ICT-diensten aanbiedt die kritieke of belangrijke functies, of een materieel onderdeel daarvan, ondersteunen, of van zijn moederonderneming;

d)

de lengte en complexiteit van de keten van door de derde aanbieder van ICT-diensten ingeschakelde onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of een materieel onderdeel daarvan, ondersteunen;

e)

de aard van de data die worden gedeeld met ICT-onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen;

f)

de vraag of de ICT-diensten die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, worden aangeboden door onderaannemers die zijn gevestigd in een lidstaat of in een derde land, met inbegrip van de locatie van waaruit de ICT-diensten daadwerkelijk worden aangeboden en de locatie waar de data daadwerkelijk worden verwerkt en opgeslagen;

g)

de vraag of de ICT-onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, deel uitmaken van dezelfde groep als de financiële entiteit waaraan die diensten worden aangeboden;

h)

de vraag of de ICT-onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, zijn geregistreerd bij of onderworpen aan toezicht of oversight door een bevoegde autoriteit in een lidstaat, of zijn onderworpen aan het oversightraamwerk op grond van hoofdstuk V, afdeling II, van Verordening (EU) 2022/2554;

i)

de vraag of de ICT-onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, beschikken over een vergunning verleend door, zijn geregistreerd door of onderworpen aan toezicht of oversight door een toezichthouder uit een derde land;

j)

de vraag of het leveren van ICT-diensten die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, geconcentreerd is bij één onderaannemer van een derde aanbieder van ICT-diensten of een klein aantal van dergelijke onderaannemers;

k)

de vraag of de uitbesteding van ICT-diensten die kritieke of belangrijke functies, of materiële onderdelen daarvan, een impact zou hebben op de overdraagbaarheid van die ICT-diensten aan een andere derde aanbieder van ICT-diensten;

l)

de potentiële impact van storingen op de continuïteit en beschikbaarheid van de ICT-diensten die kritieke of belangrijke functies, of materiële delen daarvan, ondersteunen, en door de derde aanbieder van ICT-diensten worden aangeboden, wanneer wordt gebruikgemaakt van een onderaannemer die ICT-diensten aanbiedt die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen.

a)

de financiële entiteit heeft bezwaar gemaakt tegen materiële veranderingen in de uitbestedingsregelingen die kritieke of belangrijke functies ondersteunen, en heeft om aanpassingen van die regelingen verzocht, maar de derde aanbieder van ICT-diensten heeft die materiële veranderingen niettemin geïmplementeerd;

b)

de derde aanbieder van ICT-diensten heeft zonder toestemming van de financiële entiteit materiële veranderingen van uitbestedingsregelingen die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, geïmplementeerd vóór het eind van de opzegtermijn;

c)

de derde aanbieder van ICT-diensten heeft een ICT-dienst die een kritieke of belangrijke functie, of materiële onderdelen daarvan, ondersteunt, uitbesteed waarvoor er in het contract tussen de financiële entiteit en de derde aanbieder van ICT-diensten geen expliciete toestemming was om deze uit te besteden.