(1)

V rámci pre digitálnu prevádzkovú odolnosť finančného sektora zriadenom nariadením (EÚ) 2022/2554 sa vyžaduje, aby finančné subjekty stanovili určité kľúčové zásady riadenia IKT rizika tretej strany, ktoré majú osobitný význam vtedy, keď finančné subjekty v snahe podporiť svoje kritické alebo dôležité funkcie spolupracujú s externými poskytovateľmi IKT služieb.

(2)

Finančné subjekty majú ako súčasť svojho rámca riadenia IKT rizika prijať a pravidelne preskúmavať stratégiu týkajúcu sa IKT rizika tretej strany. V súlade s článkom 28 ods. 2 nariadenia (EÚ) 2022/2554 má uvedená stratégia zahŕňať politiku využívania IKT služieb podporujúcich kritické alebo dôležité funkcie a poskytovaných externými poskytovateľmi IKT služieb. Uplatňuje sa na individuálnom a prípadne na subkonsolidovanom a konsolidovanom základe.

(3)

Finančné subjekty sa značne líšia veľkosťou, štruktúrou a vnútornou organizáciou, ako aj povahou a zložitosťou svojich činností a operácií. Túto rozmanitosť treba zohľadniť pri ukladaní určitých základných regulačných požiadaviek, ktoré sú vhodné pre všetky finančné subjekty pri vypracúvaní politiky týkajúcej sa zmluvných dojednaní o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie, ktoré poskytujú externí poskytovatelia IKT služieb (ďalej len „politika“), a zabezpečiť, aby sa tieto požiadavky uplatňovali primerane.

(4)

Ak finančné subjekty patria do skupiny, materský podnik, ktorý je zodpovedný za zostavovanie konsolidovanej alebo subkonsolidovanej účtovnej závierky skupiny, by mal preto zabezpečiť, aby sa politika uplatňovala v rámci skupiny konzistentne a koherentne.

(5)

Pri uplatňovaní tejto politiky by sa vnútroskupinoví poskytovatelia IKT služieb skupiny vrátane tých, ktorí sú v úplnom alebo kolektívnom vlastníctve finančných subjektov v rámci toho istého systému inštitucionálneho zabezpečenia, mali považovať za externých poskytovateľov IKT služieb. Riziká, ktoré predstavujú vnútroskupinoví poskytovatelia IKT služieb, môžu byť odlišné, ale požiadavky, ktoré sa na nich vzťahujú, sú podľa nariadenia (EÚ) 2022/2554 rovnaké. Podobne by sa táto politika mala uplatňovať na subdodávateľov, ktorí poskytujú IKT služby podporujúce kritické alebo dôležité funkcie alebo ich závažné časti externým poskytovateľom IKT služieb, ak existuje reťazec externých poskytovateľov IKT služieb.

(6)

Konečná zodpovednosť riadiaceho orgánu za riadenie IKT rizika finančného subjektu je zastrešujúcou zásadou, ktorá je uplatniteľná aj na využívanie externých poskytovateľov IKT služieb. Táto zodpovednosť by sa mala ďalej premietnuť do nepretržitého zapojenia riadiaceho orgánu do kontroly a monitorovania riadenia IKT rizika, a to aj pri prijímaní a preskúmavaní politiky aspoň raz ročne.

(7)

S cieľom zabezpečiť primerané podávanie správ riadiacemu orgánu by sa v politike mali jasne stanoviť a určiť interné zodpovednosti za schvaľovanie, riadenie, kontrolu a dokumentáciu zmluvných dojednaní o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie a poskytovaných externými poskytovateľmi IKT služieb (ďalej len „zmluvné dojednania“) vrátane IKT služieb poskytovaných na základe zmluvných dojednaní uvedených v článku 28 ods. 1 písm. a) nariadenia (EÚ) 2022/2554.

(8)

V snahe zohľadniť všetky možné riziká, ktoré môžu vzniknúť pri uzatváraní zmlúv o IKT službách podporujúcich kritickú alebo dôležitú funkciu, by sa štruktúra politiky mala riadiť všetkými krokmi každej hlavnej fázy životného cyklu zmluvných dojednaní s externými poskytovateľmi.

(9)

Na zmiernenie identifikovaných rizík by sa v politike malo špecifikovať plánovanie zmluvných dojednaní vrátane posúdenia rizík, náležitej starostlivosti a procesu schvaľovania nových alebo závažných zmien týchto zmluvných dojednaní. S cieľom riadiť riziká, ktoré môžu vzniknúť pred uzavretím zmluvného dojednania s externým poskytovateľom IKT služieb, by sa v politike mal stanoviť vhodný a primeraný postup výberu a posudzovania vhodnosti potenciálnych externých poskytovateľov IKT služieb a vyžadovať, aby finančný subjekt zohľadňoval demonštratívny zoznam prvkov, ktoré by mali mať externí poskytovatelia IKT služieb zavedené. Zoznam by mal obsahovať prvky týkajúce sa dobrého mena poskytovateľov služieb, ich finančných, ľudských a technických zdrojov, ich informačnej bezpečnosti, ich organizačnej štruktúry vrátane riadenia rizík a ich vnútorných kontrol.

(10)

Na zabezpečenie spoľahlivého riadenia rizík pri poskytovaní IKT služieb podporujúcich kritické alebo dôležité funkcie externými poskytovateľmi IKT služieb by táto politika mala obsahovať informácie o vykonávaní, monitorovaní a riadení zmluvných dojednaní, a to prípadne aj na konsolidovanej a subkonsolidovanej úrovni. Patria sem požiadavky na zmluvné doložky týkajúce sa vzájomných záväzkov finančných subjektov a externých poskytovateľov IKT služieb, ktoré by sa mali stanoviť písomne. S cieľom zabezpečiť účinný dohľad a posilniť odolnosť v prípade zmien obchodného modelu alebo podnikateľského prostredia by sa politikou mali zabezpečiť práva finančných subjektov alebo vymenovaných tretích strán a príslušných orgánov na inšpekcie a prístup k informáciám a mali by sa v nej takisto bližšie určiť stratégie ukončenia angažovanosti a postupy ukončenia.

(11)

Pokiaľ u externých poskytovateľov IKT služieb dochádza k spracúvaniu osobných údajov, touto politikou a akýmikoľvek zmluvnými dojednaniami nie sú dotknuté povinnosti vyplývajúce z nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (2), pričom by ich mali dopĺňať; ide napríklad o povinnosť mať uzavretú písomnú zmluvu, v ktorej sa opisuje spracúvanie osobných údajov, požiadavku na zaistenie bezpečnosti spracúvania osobných údajov a stanovenie všetkých ostatných prvkov požadovaných podľa uvedeného nariadenia.

(12)

Spoločný výbor európskych orgánov uvedený v článku 54 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (3), v článku 54 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1094/2010 (4) a v článku 54 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1095/2010 (5) uskutočnil otvorené verejné konzultácie k návrhu regulačných technických predpisov, z ktorých toto nariadenie vychádza, analyzoval potenciálne náklady a prínosy navrhovaných predpisov a požiadal o poradenstvo Skupinu zainteresovaných strán v bankovníctve zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1093/2010, Skupinu zainteresovaných strán v poisťovníctve a zaisťovníctve a skupinu zainteresovaných strán v dôchodkovom poistení zamestnancov zriadené v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1094/2010 a Skupinu zainteresovaných strán v oblasti cenných papierov a trhov zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1095/2010.

(13)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (6) prebehli konzultácie s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal svoje stanovisko 24. januára 2024,

a)

typu IKT služieb zahrnutých do zmluvného dojednania o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie a poskytovaných externými poskytovateľmi IKT služieb (ďalej len „zmluvné dojednanie“) medzi finančným subjektom a externým poskytovateľom IKT služieb;

b)

sídla externého poskytovateľa IKT služieb alebo sídla jeho materského podniku;

c)

toho, či IKT služby podporujúce kritické alebo dôležité funkcie poskytuje externý poskytovateľ IKT služieb so sídlom v členskom štáte alebo v tretej krajine, a to aj vzhľadom na miesto, odkiaľ sa IKT služby poskytujú, a na miesto, kde sa údaje spracúvajú a uchovávajú;

d)

povahy údajov poskytovaných externému poskytovateľovi IKT služieb;

e)

toho, či je externý poskytovateľ IKT služieb súčasťou tej istej skupiny ako finančný subjekt, ktorému sa služby poskytujú;

f)

využívania externých poskytovateľov IKT služieb, ktorí majú povolenie, sú registrovaní alebo podliehajú dohľadu alebo dozoru zo strany príslušného orgánu v členskom štáte alebo ktorí podliehajú rámcu dozoru podľa kapitoly V oddielu II nariadenia (EÚ) 2022/2554, ako aj využívania externých poskytovateľov IKT služieb, ktorí nemajú povolenie, nie sú registrovaní alebo nepodliehajú dohľadu alebo dozoru zo strany príslušného orgánu v členskom štáte alebo ktorí nepodliehajú rámcu dozoru podľa kapitoly V oddielu II nariadenia (EÚ) 2022/2554;

g)

využívania externých poskytovateľov IKT služieb, ktorí majú povolenie, sú registrovaní alebo podliehajú dohľadu alebo dozoru zo strany orgánu dohľadu v tretej krajine, ako aj využívania externých poskytovateľov IKT služieb, ktorí nemajú povolenie, nie sú registrovaní alebo nepodliehajú dohľadu alebo dozoru zo strany orgánu dohľadu v tretej krajine;

h)

toho, či je poskytovanie IKT služieb podporujúcich kritické alebo dôležité funkcie sústredené na jediného externého poskytovateľa IKT služieb alebo na malý počet takýchto poskytovateľov služieb;

i)

prenosnosti IKT služieb podporujúcich kritické alebo dôležité funkcie na iného externého poskytovateľa IKT služieb, a to aj v dôsledku technologických špecifík;

j)

potenciálneho vplyvu narušení poskytovania IKT služieb podporujúcich kritické alebo dôležité funkcie na kontinuitu činností finančného subjektu a na dostupnosť jeho služieb.

a)

zodpovednosti riadiaceho orgánu vrátane jeho prípadného zapojenia do rozhodovacieho procesu o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie a poskytovaných externými poskytovateľmi IKT služieb;

b)

plánovanie zmluvných dojednaní vrátane posúdenia rizík a náležitej starostlivosti, ako sa uvádza v článkoch 5 a 6, a schvaľovacieho procesu týkajúceho sa nových alebo závažných zmien zmluvných dojednaní podľa článku 8 ods. 4;

c)

zapojenie organizačných útvarov, vnútorných kontrol a iných príslušných útvarov v súvislosti so zmluvnými dojednaniami;

d)

vykonávanie, monitorovanie a riadenie zmluvných dojednaní uvedených v článkoch 7, 8 a 9, a to prípadne aj na konsolidovanej a subkonsolidovanej úrovni;

e)

dokumentácia a vedenie záznamov s prihliadnutím na požiadavky týkajúce sa registra informácií stanoveného v článku 28 ods. 3 nariadenia (EÚ) 2022/2554;

f)

stratégia ukončenia angažovanosti a postupy ukončenia, ako sa stanovuje v článku 10.

a)

neočakávané a pretrvávajúce výpadky v poskytovaní služieb;

b)

neprimerané alebo neúspešné poskytovanie služieb;

c)

neočakávané ukončenie zmluvného dojednania.