(1)

Den ram för digital operativ motståndskraft för finanssektorn som inrättats genom förordning (EU) 2022/2554 kräver att finansiella entiteter fastställer vissa nyckelprinciper för att hantera IKT-tredjepartsrisker, vilka är av särskild betydelse när finansiella entiteter anlitar tredjepartsleverantörer av IKT-tjänster för att stödja sina kritiska eller viktiga funktioner.

(2)

Finansiella entiteter ska inom sin IKT-riskhanteringsram anta och regelbundet se över en strategi för IKT-tredjepartsrisker. Enligt artikel 28.2 i förordning (EU) 2022/2554 ska denna strategi omfatta riktlinjer för användningen av IKT-tjänster som stöder kritiska eller viktiga funktioner och som tillhandahålls av tredjepartsleverantörer av IKT-tjänster. De ska tillämpas individuellt och, i förekommande fall, på undergrupps- och gruppnivå.

(3)

Finansiella entiteter varierar mycket i storlek, struktur och intern organisation och i arten och komplexiteten av deras verksamhet och insatser. Det är nödvändigt att ta hänsyn till denna mångfald och samtidigt införa vissa grundläggande lagstadgade krav som är lämpliga för alla finansiella entiteter vid utarbetandet av riktlinjerna för kontraktsmässiga arrangemang om användning av IKT-tjänster som stöder kritiska eller viktiga funktioner som tillhandahålls av tredjepartsleverantörer av IKT-tjänster (riktlinjerna), och att säkerställa att dessa krav tillämpas på ett proportionellt sätt.

(4)

Om finansiella entiteter ingår i en koncern, bör det moderföretag som ansvarar för att upprätta finansiella rapporter på undergrupps- och gruppnivå därför säkerställa att riktlinjerna tillämpas på ett konsekvent och sammanhängande sätt inom koncernen.

(5)

Vid tillämpningen av riktlinjerna bör koncerninterna IKT-tjänsteleverantörer, inklusive de som helt eller kollektivt ägs av finansiella entiteter som tillhör samma institutionella skyddssystem, betraktas som tredjepartsleverantörer av IKT-tjänster. Riskerna för koncerninterna IKT-tjänsteleverantörer kan vara olika, men de krav som är tillämpliga på dem är desamma enligt förordning (EU) 2022/2554. På liknande sätt bör riktlinjerna gälla för underleverantörer som tillhandahåller IKT-tjänster som stöder kritiska eller viktiga funktioner eller väsentliga delar därav till tredjepartsleverantörer av IKT-tjänster, där det finns en kedja av tredjepartsleverantörer av IKT-tjänster.

(6)

Ledningsorganets yttersta ansvar för att hantera en finansiell entitets IKT-risk är en övergripande princip som också är tillämplig på användningen av tredjepartsleverantörer av IKT-tjänster. Detta ansvar bör vidare omsättas i ledningsorganets kontinuerliga engagemang i kontroll och övervakning av IKT-riskhantering, inbegripet antagande och översyn, minst en gång per år, av riktlinjerna.

(7)

För att säkerställa lämplig rapportering till ledningsorganet bör riktlinjerna tydligt specificera och identifiera det interna ansvaret för godkännande, förvaltning, kontroll och dokumentation av kontraktsmässiga arrangemang om användningen av IKT-tjänster som stöder kritiska eller viktiga funktioner och som tillhandahålls av tredjepartsleverantörer av IKT-tjänster (kontraktsmässiga arrangemang), inbegripet de IKT-tjänster som tillhandahålls enligt kontraktsmässiga arrangemang som avses i artikel 28.1 a i förordning (EU) 2022/2554.

(8)

För att ta hänsyn till alla möjliga risker som kan uppstå vid upphandling av IKT-tjänster som stöder kritiska eller viktiga funktioner, bör riktlinjernas struktur följa alla steg i varje huvudfas i livscykeln för kontraktsmässiga arrangemang med tredjepartsleverantörer.

(9)

För att minska de identifierade riskerna bör riktlinjerna specificera planeringen av kontraktsmässiga arrangemang, inbegripet riskbedömning, due diligence och godkännandeprocessen för nya eller väsentliga ändringar av dessa kontraktsmässiga arrangemang. För att hantera de risker som kan uppstå innan ett avtal ingås med en tredjepartsleverantör av IKT-tjänster, bör riktlinjerna ange en lämplig och proportionell process för att välja och bedöma lämpligheten hos potentiella tredjepartsleverantörer av IKT-tjänster och kräva att den finansiella entiteten tar hänsyn till en icke uttömmande lista över faktorer som tredjepartsleverantörerna av IKT-tjänster bör ha inrättat. Förteckningen bör innehålla uppgifter om tjänsteleverantörernas företagsanseende, deras ekonomiska, mänskliga och tekniska resurser, deras informationssäkerhet, deras organisationsstruktur, inbegripet riskhantering, och deras interna kontroller.

(10)

För att säkerställa en sund riskhantering i tillhandahållandet av IKT-tjänster som stöder kritiska eller viktiga funktioner från tredjepartsleverantörer av IKT-tjänster, bör riktlinjerna innehålla information om genomförande, övervakning och förvaltning av de kontraktsmässiga arrangemangen, inklusive på grupp- eller undergruppsnivå, där så är tillämpligt. Detta inbegriper krav på avtalsklausuler om ömsesidiga skyldigheter för de finansiella entiteterna och tredjepartsleverantörerna av IKT-tjänster, vilka bör fastställas skriftligen. För att säkerställa en effektiv tillsyn och främja motståndskraft vid förändringar i affärsmodellen eller affärsmiljön bör riktlinjerna säkerställa finansiella entiteters eller utsedda tredje parters och behöriga myndigheters rätt till inspektioner och tillgång till information och bör också ytterligare specificera exitstrategier och uppsägningsprocesser.

(11)

I den utsträckning personuppgifter behandlas av tredjepartsleverantörer av IKT-tjänster påverkar dessa riktlinjer och eventuella kontraktsmässiga arrangemang inte utan bör komplettera skyldigheterna enligt Europaparlamentets och rådets förordning (EU) 2016/679 (2), såsom att ha ett skriftligt avtal på plats som beskriver behandlingen av personuppgifter, krav på att säkerställa säkerheten vid behandling av personuppgifter och fastställande av alla andra delar som krävs enligt den förordningen.

(12)

De europeiska tillsynsmyndigheternas gemensamma kommitté, som avses i artikel 54 i Europaparlamentets och rådets förordning (EU) nr 1093/2010 (3), i artikel 54 i Europaparlamentets och rådets förordning (EU) nr 1094/2010 (4) och i artikel 54 i Europaparlamentets och rådets förordning (EU) nr 1095/2010 (5) har genomfört öppna offentliga samråd om det förslag till tekniska standarder för tillsyn som den här förordningen grundar sig på, analyserat de potentiella kostnaderna och fördelarna med de föreslagna standarderna och begärt råd från den bankintressentgrupp som inrättats i enlighet med artikel 37 i förordning (EU) nr 1093/2010, den intressentgrupp för försäkring och återförsäkring och den intressentgrupp för tjänstepensionsfonder som inrättats i enlighet med artikel 37 i förordning (EU) nr 1094/2010 samt den intressentgrupp för värdepapper och marknader som inrättats i enlighet med artikel 37 i förordning (EU) nr 1095/2010.

(13)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (6) och avgav ett yttrande den 24 januari 2024,

a)

Den typ av IKT-tjänster som ingår i kontraktsmässiga arrangemang om användningen av IKT-tjänster som stöder kritiska eller viktiga funktioner och som tillhandahålls av tredjepartsleverantörer av IKT-tjänster (kontraktsmässiga arrangemang) mellan finansiella entiteter och tredjepartsleverantörer av IKT-tjänster.

b)

Platsen för tredjepartsleverantören av IKT-tjänster eller för moderföretaget.

c)

Om de IKT-tjänster som stöder kritiska eller viktiga funktioner tillhandahålls av en tredjepartsleverantör av IKT-tjänster som är belägen i en medlemsstat eller i ett tredjeland, även med beaktande av den plats från vilken IKT-tjänsterna tillhandahålls och den plats där uppgifterna behandlas och lagras.

d)

Beskaffenheten hos de uppgifter som delas med tredjepartsleverantören av IKT-tjänster.

e)

Huruvida tredjepartsleverantören av IKT-tjänster tillhör samma koncern som den finansiella entitet till vilken tjänsterna tillhandahålls.

f)

Användning av tredjepartsleverantörer av IKT-tjänster som är auktoriserade, registrerade eller föremål för tillsyn eller övervakning av en behörig myndighet i en medlemsstat eller som omfattas av tillsynsramen enligt kapitel V avsnitt II i förordning (EU) 2022/2554, och användning av tredjepartsleverantörer av IKT-tjänster som inte är det.

g)

Användning av tredjepartsleverantörer av IKT-tjänster som är auktoriserade, registrerade eller föremål för tillsyn eller övervakning av en tillsynsmyndighet i ett tredjeland, och användning av tredjepartsleverantörer av IKT-tjänster som inte är det.

h)

Huruvida tillhandahållandet av IKT-tjänster som stöder kritiska eller viktiga funktioner är koncentrerat till en enda tredjepartsleverantör av IKT-tjänster eller ett litet antal sådana tjänsteleverantörer.

i)

Överlåtbarheten av IKT-tjänster som stöder kritiska eller viktiga funktioner till en annan tredjepartsleverantör av IKT-tjänster, även till följd av teknikspecifika egenskaper.

j)

Den potentiella inverkan av störningar i tillhandahållandet av IKT-tjänster som stöder kritiska eller viktiga funktioner på kontinuiteten i den finansiella entitetens verksamhet och på tillgången till dess tjänster.

a)

Ledningsorganets ansvar, inbegripet dess deltagande i beslutsprocessen om användningen av IKT-tjänster som stöder kritiska eller viktiga funktioner och som tillhandahålls av tredjepartsleverantörer av IKT-tjänster.

b)

Planering av kontraktsmässiga arrangemang, inbegripet riskbedömning, due diligence enligt artiklarna 5 och 6 och godkännandeprocessen avseende nya eller väsentliga ändringar av kontraktsmässiga arrangemang enligt artikel 8.4.

c)

Inblandning av affärsenheter, internkontroll och andra relevanta enheter med avseende på kontraktsmässiga arrangemang.

d)

Genomförande, övervakning och förvaltning av de kontraktsmässiga arrangemang som avses i artiklarna 7, 8 och 9, inbegripet på grupp- och undergruppsnivå, i tillämpliga fall.

e)

Dokumentation och registerhållning, med beaktande av de krav avseende informationsregistret som fastställs i artikel 28.3 i förordning (EU) 2022/2554.

f)

Exitstrategier och uppsägningsprocesser enligt artikel 10.

a)

Oförutsedda och ihållande driftstopp i verksamheten.

b)

Olämpligt eller misslyckat tillhandahållande av tjänster.

c)

Oväntad uppsägning av det kontraktsmässiga arrangemanget.