(1)

Opravljanje storitev IKT za finančne subjekte je pogosto odvisno od kompleksne verige podizvajalcev IKT, pri čemer lahko tretji ponudniki storitev IKT sklenejo enega ali več dogovorov o podizvajanju z drugimi tretjimi ponudniki storitev IKT. Posredno zanašanje na podizvajalce IKT lahko vpliva na sposobnost finančnega subjekta, da opredeli, oceni in obvladuje tveganja, vključno s tveganji, povezanimi z vrzelmi v informacijah, ki jih zagotovijo tretji ponudniki storitev IKT, in omejeno zmožnostjo finančnega subjekta, da pridobi informacije od tistih podizvajalcev IKT, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele. V zvezi s tem, kadar je opravljanje storitev IKT za finančne subjekte odvisno od potencialno dolge ali kompleksne verige podizvajalcev IKT, je bistveno, da finančni subjekti opredelijo celotno verigo podizvajalcev, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije.

(2)

Med tistimi podizvajalci, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije, bi se morali finančni subjekti zlasti in stalno osredotočati na tiste podizvajalce, ki dejansko omogočajo storitev IKT, ki podpira kritične ali pomembne funkcije, vključno z vsemi podizvajalci, ki opravljajo storitve IKT, katerih motnje bi ogrozile varnost ali neprekinjenost storitve, kot je določeno v registru informacij iz člena 28(3) Uredbe (EU) 2022/2554.

(3)

Finančni subjekti se zelo razlikujejo po velikosti, strukturi, notranji organizaciji ter po naravi in kompleksnosti svojih dejavnosti. Za zagotovitev sorazmernosti bi bilo treba to raznolikost upoštevati pri opredelitvi elementov, ki bi jih moral finančni subjekt določiti in oceniti pri oddaji v podizvajanje storitev IKT, ki podpirajo kritične ali pomembne funkcije.

(4)

Kadar jo finančni subjekti dovolijo v skladu s členom 30(2) Uredbe (EU) 2022/2554, uporaba podizvajalskih storitev IKT, ki podpirajo kritične ali pomembne funkcije, s strani tretjih ponudnikov storitev IKT ne more zmanjšati končne odgovornosti upravljalnih organov finančnih subjektov za obvladovanje njihovih tveganj ter izpolnjevanje njihovih zakonodajnih in regulativnih obveznosti. Kadar je oddajanje v podizvajanje storitev IKT, ki podpirajo kritične ali pomembne funkcije, dovoljeno, je pomembno, da imajo finančni subjekti jasen in celosten pregled nad tveganji, povezanimi s storitvami podizvajanja, ki podpirajo kritične ali pomembne funkcije, da lahko spremljajo, obvladujejo in blažijo ta tveganja. Zato bi morali navedena tveganja oceniti pred oddajo teh storitev v podizvajanje.

(5)

Podizvajalce IKT znotraj skupine, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, vključno s podizvajalci IKT znotraj skupine, ki so v celoti ali kolektivno v lasti finančnih subjektov v isti institucionalni shemi za zaščito vlog, bi bilo treba šteti za podizvajalce IKT.

(6)

Kadar je ustrezno, bi moralo obvladujoče podjetje finančnih subjektov v okviru skupine zagotoviti, da se politika o uporabi podizvajalcev IKT, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihov bistven del, v skupini uporablja dosledno in skladno.

(7)

Pomembno je zagotoviti celovito obvladovanje tveganj, ki se lahko pojavijo, kadar so storitve IKT, ki podpirajo kritične ali pomembne funkcije, oddane v podizvajanje. Zato bi morali finančni subjekti slediti fazam življenjskega cikla pogodbenega dogovora za uporabo storitev IKT, ki podpirajo te funkcije in jih opravljajo tretji ponudniki storitev IKT, vključno z dogovori o podizvajanju. Zato je treba določiti zahteve za finančne subjekte, ki bi se morale odražati v njihovih pogodbenih dogovorih s tretjimi ponudniki storitev IKT, kadar je uporaba podizvajalskih storitev IKT, ki podpirajo kritične ali pomembne funkcije, dovoljena.

(8)

Za blaženje tveganj, povezanih z oddajo v podizvajanje, je treba določiti pogoje, pod katerimi lahko tretji ponudniki storitev IKT za opravljanje storitev IKT, ki podpirajo kritične ali pomembne funkcije, uporabijo podizvajalce. V ta namen bi morali pogodbeni dogovori na področju IKT med finančnimi subjekti in tretjimi ponudniki storitev IKT določati take pogoje, vključno z načrtovanjem dogovorov o podizvajanju, ocenami tveganja, skrbnim pregledom in postopkom odobritve novih dogovorov o podizvajanju storitev IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, ali pomembnih sprememb obstoječih dogovorov, ki jih izvede tretji ponudnik storitev IKT.

(9)

Za opredelitev tveganj, ki bi se lahko pojavila, preden finančni subjekt sklene dogovor s podizvajalcem IKT, bi morali tretji ponudniki storitev IKT na ustrezen in sorazmeren način oceniti primernost potencialnih podizvajalcev na podlagi pogodbenih dogovorov na področju IKT, ki jih je tretji ponudnik storitev IKT sklenil s finančnim subjektom. Ti pogodbeni dogovori na področju IKT bi zato morali od tretjega ponudnika storitev IKT ali od samega finančnega subjekta, kot je primerno, zahtevati, da oceni vire potencialnega podizvajalca, vključno z njegovim strokovnim znanjem, ter ali ima ustrezne finančne, človeške in tehnične vire, njegovo informacijsko varnost in organizacijsko strukturo, vključno z obvladovanjem tveganj in notranjimi kontrolami, ki bi jih moral imeti vzpostavljene podizvajalec.

(10)

Za ublažitev morebitnih ranljivosti in groženj, ki bi lahko pomenile tveganja za njihove sisteme in operacije IKT, bi morali imeti finančni subjekti možnost spremljati delovanje storitve IKT in biti obveščeni o vseh relevantnih spremembah v svoji podizvajalski verigi IKT, kadar take spremembe zadevajo kritične ali pomembne funkcije.

(11)

Da bi lahko finančni subjekti ocenili tveganja, povezana z dogovori o podizvajanju ali njihovimi pomembnimi spremembami, bi morali tretji ponudniki storitev IKT finančne subjekte, za katere opravljajo storitve IKT, obvestiti o vseh takih novih dogovorih ali spremembah še pred začetkom veljavnosti takih dogovorov ali sprememb. Iz istega razloga bi morali imeti finančni subjekti pravico, da prekinejo pogodbeni dogovor s tretjim ponudnikom storitev IKT, če rezultati njihove ocene tveganja pokažejo, da novi dogovori ali pomembne spremembe pomenijo raven tveganja, ki presega njihovo tolerančno raven tveganja.

(12)

Evropski nadzorni organi so opravili javno posvetovanje o osnutku regulativnih tehničnih standardov, na katerem temelji ta uredba, analizirali morebitne povezane stroške in koristi ter zaprosili za mnenje svoje interesne skupine, ustanovljene v skladu s členom 37 Uredbe (EU) št. 1093/2010 Evropskega parlamenta in Sveta (2), členom 37 Uredbe (EU) št. 1094/2010 Evropskega parlamenta in Sveta (3) ter členom 37 Uredbe (EU) št. 1095/2010 Evropskega parlamenta in Sveta (4).

(13)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 (5) Evropskega parlamenta in Sveta je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je mnenje podal 20. avgusta 2024 –

(a)

vrsto storitev IKT, ki podpirajo kritične ali pomembne funkcije, zajete v pogodbenem dogovoru med finančnim subjektom in tretjim ponudnikom storitev IKT;

(b)

vrsto storitev IKT, ki jih zajema pogodbeni dogovor med tretjim ponudnikom storitev IKT in njegovimi podizvajalci;

(c)

lokacijo podizvajalca IKT, ki opravlja storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihov bistven del, ali njegovega obvladujočega podjetja;

(d)

dolžino in kompleksnost verige podizvajalcev, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, ki jih uporablja tretji ponudnik storitev IKT;

(e)

naravo podatkov, ki se izmenjujejo s podizvajalci IKT, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele;

(f)

to, ali storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, opravlja podizvajalec, ki se nahaja v državi članici ali tretji državi, vključno z lokacijo, s katere se dejansko opravljajo storitve IKT, ter lokacijo, kjer se dejansko obdelujejo in shranjujejo podatki;

(g)

to, ali so podizvajalci IKT, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, del iste skupine kot finančni subjekt, za katerega se opravljajo te storitve;

(h)

to, ali podizvajalci IKT, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, imajo dovoljenje, so registrirani oziroma jih nadzoruje ali pregleduje pristojni organ v državi članici ali pa zanje velja okvir nadzora iz poglavja V, oddelek II, Uredbe (EU) 2022/2554;

(i)

to, ali tretji ponudniki storitev IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, imajo dovoljenje, so registrirani oziroma jih nadzoruje ali pregleduje nadzorni organ iz tretje države;

(j)

to, ali je opravljanje storitev IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, koncentrirano pri enem podizvajalcu tretjega ponudnika storitev IKT ali majhnem številu takih podizvajalcev;

(k)

to, ali bi oddaja v podizvajanje storitev IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, vplivala na prenosljivost teh storitev IKT na drugega tretjega ponudnika storitev IKT;

(l)

morebitni vpliv motenj na neprekinjenost in razpoložljivost storitev IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, ki jih opravlja tretji ponudnik storitev IKT, kadar uporablja podizvajalca, ki opravlja storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele.

(a)

finančni subjekt je nasprotoval pomembnim spremembam dogovorov o podizvajanju, ki podpirajo kritične ali pomembne funkcije, in zahteval popravek teh sprememb, vendar je tretji ponudnik storitev IKT kljub temu izvedel te pomembne spremembe;

(b)

tretji ponudnik storitev IKT je pred koncem odpovednega roka brez odobritve finančnega subjekta izvedel pomembne spremembe dogovorov o podizvajanju, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele;

(c)

tretji ponudnik storitev IKT je oddal v podizvajanje storitev IKT, ki podpira kritično ali pomembno funkcijo ali njihov bistven del, za katero oddaja v podizvajanje ni izrecno dovoljena s pogodbo med finančnim subjektom in tretjim ponudnikom storitev IKT.