REGOLAMENT DELEGAT TAL-KUMMISSJONI (UE) 2025/532 tal-24 ta’ Marzu 2025 li jissupplimenta r-Regolament (UE) 2022/2554 tal-Parlament Ewropew u tal-Kunsill fir-rigward tal-istandards tekniċi regolatorji li jispeċifikaw l-elementi li entità finanzjarja għandha tiddetermina u tivvaluta meta tissottokuntratta servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti (Test b’rilevanza għaż-ŻEE)

(1)

Il-forniment ta’ servizzi tal-ICT lil entitajiet finanzjarji spiss jiddependi fuq katina kumplessa ta’ sottokuntratturi tal-ICT, fejn fornituri terzi ta’ servizzi tal-ICT jistgħu jidħlu f’arranġament ta’ sottokuntrattar wieħed jew aktar ma’ fornituri terzi oħra ta’ servizzi tal-ICT. Id-dipendenza indiretta fuq is-sottokuntratturi tal-ICT jista’ jkollha impatt fuq il-kapaċità ta’ entità finanzjarja li tidentifika, tivvaluta u timmaniġġja r-riskji tagħha, inklużi riskji li huma relatati ma’ lakuni fl-informazzjoni pprovduta minn fornituri terzi ta’ servizzi tal-ICT, u mal-kapaċità limitata ta’ entità finanzjarja li tikseb informazzjoni minn dawk is-sottokuntratturi tal-ICT li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom. F’dak ir-rigward, meta l-forniment ta’ servizzi tal-ICT lill-entitajiet finanzjarji jiddependi fuq katina potenzjalment twila jew kumplessa ta’ sottokuntratturi tal-ICT, huwa essenzjali li l-entitajiet finanzjarji jidentifikaw il-katina ġenerali tas-sottokuntratturi li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti.

(2)

Fost dawk is-sottokuntratturi li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti, jenħtieġ li l-entitajiet finanzjarji jiffokaw b’mod partikolari u kontinwu fuq dawk is-sottokuntratturi li fuqhom huma bbażati s-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti, inkluż is-sottokuntratturi kollha li jipprovdu servizzi tal-ICT li t-tfixkil tagħhom ixekkel is-sigurtà jew il-kontinwità tas-servizz kif stabbilit fir-reġistru ta’ informazzjoni msemmi fl-Artikolu 28(3) tar-Regolament (UE) 2022/2554.

(3)

L-entitajiet finanzjarji jvarjaw ħafna fid-daqs, fl-istruttura, fl-organizzazzjoni interna, u fin-natura u l-kumplessità tal-attivitajiet tagħhom. Sabiex tiġi żgurata l-proporzjonalità, jenħtieġ li dik id-diversità titqies meta jiġi speċifikat liema elementi entità finanzjarja jenħtieġ li tiddetermina u tivvaluta meta tissottokuntratta servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti.

(4)

Meta jkun permess mill-entitajiet finanzjarji f’konformità mal-Artikolu 30(2) tar-Regolament (UE) 2022/2554, l-użu ta’ servizzi tal-ICT sottokuntrattati li jappoġġaw funzjonijiet kritiċi jew importanti minn fornituri terzi ta’ servizzi tal-ICT ma jistax jillimita r-responsabbiltà aħħarija għall-korpi maniġerjali tal-entitajiet finanzjarji li jimmaniġġjaw ir-riskji tagħhom u li jikkonformaw mal-obbligi leġiżlattivi u regolatorji tagħhom. Meta s-sottokuntrattar tas-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti ikun permess, huwa importanti li l-entitajiet finanzjarji jkollhom perspettiva ċara u olistika tar-riskji assoċjati mas-servizzi ta’ sottokuntrattar li jappoġġaw funzjonijiet kritiċi jew importanti sabiex ikunu jistgħu jimmonitorjaw, jimmaniġġjaw u jimmitigaw dawk ir-riskji. Għalhekk jenħtieġ li huma jivvalutaw dawk ir-riskji qabel ma jissottokuntrattaw is-servizzi inkwistjoni.

(5)

Is-sottokuntratturi intragrupp tal-ICT li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom, inkluż sottokuntratturi intragrupp tal-ICT li huma kompletament jew kollettivament proprjetà ta’ entitajiet finanzjarji fl-istess skema ta’ protezzjoni istituzzjonali, jenħtieġ li jitqiesu bħala sottokuntratturi tal-ICT.

(6)

Fejn applikabbli, f’kuntest ta’ grupp, jenħtieġ li l-impriża omm ta’ entitajiet finanzjarji tiżgura li l-politika dwar l-użu tas-sottokuntratturi tal-ICT li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew parti materjali tagħhom tiġi applikata b’mod konsistenti u koerenti fil-grupp.

(7)

Huwa importanti li tiġi żgurata ġestjoni komprensiva tar-riskji li jistgħu jinħolqu meta s-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jiġu sottokuntrattati. Għal dik ir-raġuni, jenħtieġ li l-entitajiet finanzjarji jsegwu l-passi taċ-ċiklu tal-ħajja ta’ arranġament kuntrattwali għall-użu tas-servizzi tal-ICT li jappoġġaw dawk il-funzjonijiet u li jiġu pprovduti minn fornituri terzi ta’ servizzi tal-ICT, anki fir-rigward tal-arranġamenti ta’ sottokuntrattar. Għalhekk huwa meħtieġ li jiġu stabbiliti rekwiżiti għall-entitajiet finanzjarji, li jenħtieġ li jiġu riflessi fl-arranġamenti kuntrattwali tal-entitajiet ma’ fornituri terzi ta’ servizzi tal-ICT meta jkun permess l-użu ta’ servizzi tal-ICT sottokuntrattati li jappoġġaw funzjonijiet kritiċi jew importanti.

(8)

Sabiex jittaffew ir-riskji li huma marbuta mas-sottokuntrattar, huwa meħtieġ li jiġu speċifikati l-kundizzjonijiet li skonthom il-fornituri terzi ta’ servizzi tal-ICT jistgħu jużaw sottokuntratturi għall-forniment ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti. Għal dak il-għan, jenħtieġ li l-arranġamenti kuntrattwali tal-ICT bejn l-entitajiet finanzjarji u l-fornituri terzi ta’ servizzi tal-ICT jistabbilixxu tali kundizzjonijiet, inkluż l-ippjanar tal-arranġamenti ta’ sottokuntrattar, il-valutazzjonijiet tar-riskju, id-diliġenza dovuta, u l-proċess ta’ approvazzjoni għal arranġamenti ġodda ta’ sottokuntrattar tal-ICT dwar servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom, jew bidliet materjali f’dawk eżistenti magħmula mill-fornitur terz ta’ servizzi tal-ICT.

(9)

Sabiex jiġu identifikati r-riskji li jistgħu jinqalgħu qabel ma entità finanzjarja tidħol f’arranġament ma’ sottokuntrattur tal-ICT, jenħtieġ li l-fornituri terzi ta’ servizzi tal-ICT jivvalutaw, b’mod xieraq u proporzjonat, l-adegwatezza tas-sottokuntratturi potenzjali abbażi tal-arranġamenti kuntrattwali tal-ICT li l-fornitur terz ta’ servizzi tal-ICT ikkonkluda mal-entità finanzjarja. Għalhekk, jenħtieġ li dawk l-arranġamenti kuntrattwali tal-ICT jirrikjedu li l-fornitur terz ta’ servizzi tal-ICT, jew l-entità finanzjarja direttament, kif xieraq, tivvaluta r-riżorsi tas-sottokuntrattur potenzjali, inkluż l-għarfien espert tiegħu u jekk għandux ir-riżorsi finanzjarji, umani u tekniċi xierqa, is-sigurtà tal-informazzjoni tiegħu, u l-istruttura organizzazzjonali tiegħu, inkluż il-ġestjoni tar-riskju u l-kontrolli interni li s-sottokuntrattur jenħtieġ li jkollu fis-seħħ.

(10)

Biex itaffu kwalunkwe vulnerabbiltà u theddid li jistgħu joħolqu riskji għas-sistemi u l-operazzjonijiet tal-ICT tagħhom, jenħtieġ li l-entitajiet finanzjarji jkunu jistgħu jimmonitorjaw il-prestazzjoni tas-servizz tal-ICT u jiġu infurmati dwar kwalunkwe bidla rilevanti fil-katina ta’ sottokuntrattar tal-ICT tagħhom meta tali bidliet jikkonċernaw funzjonijiet kritiċi jew importanti.

(11)

Sabiex l-entitajiet finanzjarji jkunu jistgħu jivvalutaw ir-riskji assoċjati mal-arranġamenti tas-sottokuntrattar jew kwalunkwe bidliet materjali fihom, jenħtieġ li l-fornituri terzi ta’ servizzi tal-ICT jinfurmaw lill-entitajiet finanzjarji li lilhom jipprovdu servizzi tal-ICT dwar dawn l-arranġamenti l-ġodda kollha jew il-bidliet ferm qabel ma jibdew japplikaw tali arranġamenti jew bidliet. Għall-istess raġuni, jenħtieġ li l-entitajiet finanzjarji jkollhom id-dritt li jitterminaw il-kuntratt mal-fornitur terz ta’ servizzi tal-ICT meta l-eżitu tal-valutazzjoni tar-riskju tagħhom juri li l-arranġamenti l-ġodda jew il-bidliet materjali jġorru livell ta’ riskju li jaqbeż it-tolleranza tar-riskju tagħhom.

(12)

L-Awtoritajiet Superviżorji Ewropej wettqu konsultazzjoni pubblika miftuħa dwar l-abbozz tal-istandards tekniċi ta’ implimentazzjoni li fuqu huwa bbażat dan ir-Regolament, analizzaw il-kostijiet u l-benefiċċji potenzjali relatati u talbu l-parir tal-Gruppi tal-Partijiet Interessati tal-ASE stabbiliti f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1093/2010 tal-Parlament Ewropew u tal-Kunsill (2), l-Artikolu 37 tar-Regolament (UE) Nru 1094/2010 tal-Parlament Ewropew u tal-Kunsill (3) u l-Artikolu 37 tar-Regolament (UE) Nru 1095/2010 tal-Parlament Ewropew u tal-Kunsill (4).

(13)

Il-Kontrollur Ewropew għall-Protezzjoni tad-Data ġie kkonsultat f’konformità mal-Artikolu 42(1) tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill (5) u ta l-opinjoni tiegħu fl-20 ta’ Awwissu 2024,