GEDELEGEERDE VERORDENING (EU) 2025/532 VAN DE COMMISSIE van 24 maart 2025 tot aanvulling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad met technische reguleringsnormen tot bepaling van de door een financiële entiteit bij het uitbesteden van kritieke of belangrijke functies ondersteunende ICT-diensten te bepalen en te beoordelen elementen (Voor de EER relevante tekst)

(1)

Het leveren van ICT-diensten aan financiële entiteiten is vaak afhankelijk van een complexe keten van ICT-onderaannemers, waarbij derde aanbieders van ICT-diensten een of meer uitbestedingsregelingen kunnen aangaan met andere derde aanbieders van ICT-diensten. Een indirect beroep op ICT-onderaannemers kan een impact hebben op de mogelijkheden van een financiële entiteit voor het in kaart brengen, beoordelen en beheren van haar risico’s, zoals risico’s in verband met lacunes in de door derde aanbieders van ICT-diensten verstrekte informatie, en op de beperkte mogelijkheden van een financiële entiteit om informatie te verkrijgen van die ICT-onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen. In dat verband is het van essentieel belang dat financiële entiteiten, wanneer het leveren van ICT-diensten aan financiële entiteiten afhankelijk is van een potentieel lange of complexe keten van ICT-onderaannemers, de hele keten van ondernemers die ICT-diensten leveren die kritieke of belangrijke functies ondersteunen, in kaart brengen.

(2)

Bij de onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies ondersteunen, moet de aandacht van financiële entiteiten in het bijzonder en doorlopend gaan naar de onderaannemers die daadwerkelijk aan de basis liggen van de ICT-dienst die kritieke of belangrijke functies ondersteunt, daaronder begrepen alle onderaannemers die ICT-diensten leveren waarvan de verstoring de veiligheid of de continuïteit van de dienstverlening zouden verstoren zoals vastgelegd in het in artikel 28, lid 3, van Verordening (EU) 2022/2554 bedoelde informatieregister.

(3)

Financiële entiteiten verschillen sterk in omvang, structuur, interne organisatie en in de aard en complexiteit van hun activiteiten. Om evenredigheid te borgen, moet die diversiteit in aanmerking worden genomen bij het specificeren van welke elementen een financiële entiteit moet bepalen en beoordelen bij het uitbesteden van ICT-diensten die kritieke of belangrijke functies ondersteunen.

(4)

Wanneer overeenkomstig artikel 30, lid 2, van Verordening (EU) 2022/2554 toegestaan door financiële entiteiten, kan het gebruik dat derde aanbieders van ICT-diensten maken van uitbestede ICT-diensten die kritieke of belangrijke functies ondersteunen, niets afdoen aan de uiteindelijke verantwoordelijkheid voor de leidinggevende organen van de financiële entiteiten om hun risico’s te beheren en hun verplichtingen uit hoofde van wet- en regelgeving na te komen. Wanneer uitbesteding van ICT-diensten die kritieke of belangrijke functies ondersteunen, is toegestaan, is het van belang dat financiële entiteiten een duidelijke en holistische kijk hebben op de risico’s die verbonden zijn aan het uitbesteden van diensten die kritieke of belangrijke functies ondersteunen, zodat zij deze risico’s kunnen monitoren, beheren en mitigeren. Daarom moeten zij die risico’s beoordelen voordat zij die diensten uitbesteden.

(5)

Intragroeps-ICT-onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, met inbegrip van intragroeps-ICT-onderaannemers die volledig of collectief eigendom zijn van financiële entiteiten binnen dezelfde institutionele beschermingsregeling, moeten als ICT-onderaannemers worden beschouwd.

(6)

In voorkomend geval moet, binnen een groepscontext, de moederonderneming van financiële entiteiten ervoor zorgen dat het beleid op het gebruik van ICT-onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of een materieel onderdeel daarvan, ondersteunen, binnen de groep consistent en coherent worden toegepast.

(7)

Het is van belang om te zorgen voor een omvattend beheer van de risico’s die zich kunnen voordoen wanneer ICT-diensten die kritieke of belangrijke functies ondersteunen, worden uitbesteed. Om die reden moeten financiële entiteiten de levenscyclus volgen van een contractuele regeling voor het gebruik van ICT-diensten die deze functies ondersteunen en die worden geleverd door derde aanbieders van ICT-diensten, onder meer voor uitbestedingsregelingen. Daarom moeten ten aanzien van financiële entiteiten eisen worden bepaald die hun neerslag moeten vinden in hun contractuele regelingen met derde aanbieders van ICT-diensten wanneer het gebruik van uitbestede ICT-diensten die kritieke of belangrijke functies ondersteunen, is toegestaan.

(8)

Om aan uitbesteding verbonden risico’s te mitigeren, moeten de voorwaarden worden bepaald waarop derde aanbieders van ICT-diensten van onderaannemers kunnen gebruikmaken voor het leveren van ICT-diensten die kritieke of belangrijke functies ondersteunen. Daartoe moeten contractuele ICT-regelingen tussen financiële entiteiten en derde aanbieders van ICT-diensten dergelijke voorwaarden bevatten, zoals de planning van uitbestedingsregelingen, de risicobeoordelingen, de due diligence en de goedkeuringsprocedure voor nieuwe ICT-uitbestedingsregelingen voor ICT-diensten die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, of materiële aanpassingen die de derde aanbieder van ICT-diensten aan bestaande regelingen aanbrengt.

(9)

Om risico’s in beeld te brengen die zich kunnen voordoen voordat een financiële entiteit een regeling met een ICT-onderaannemer aangaat, moeten derde aanbieders van ICT-diensten, op passende en evenredige wijze, de geschiktheid van kandidaat-onderaannemers nagaan op basis van de contractuele ICT-regelingen die de derde aanbieder van ICT-diensten met de financiële entiteit is aangegaan. Die contractuele ICT-regelingen moeten dus voorschrijven dat de derde aanbieder van ICT-diensten, of de financiële entiteit, waar passend, direct de middelen van de kandidaat-onderaannemer beoordeelt, onder meer zijn deskundigheid en de vraag of deze over de nodige financiële, personele en technische middelen beschikt, zijn informatiebeveiliging en zijn organisatiestructuur, met inbegrip van het risicomanagement en de interne controles waarover de onderaannemer moet beschikken.

(10)

Om kwetsbaarheden en dreigingen te mitigeren die risico’s kunnen vormen voor hun ICT-systemen en -activiteiten, moeten financiële entiteiten in staat zijn de prestaties van de ICT-dienst te monitoren en moeten zij geïnformeerd kunnen worden over relevante veranderingen binnen hun ICT-uitbestedingsketen wanneer die veranderingen kritieke of belangrijke functies betreffen.

(11)

Om financiële entiteiten in staat te stellen de risico’s te beoordelen die verbonden zijn aan uitbestedingsregelingen, of materiële veranderingen daarvan, moeten derde aanbieders van ICT-diensten de financiële entiteiten waaraan zij ICT-diensten leveren, over al die nieuwe regelingen of veranderingen informeren ruim voordat dergelijke regelingen of veranderingen ingaan. Om diezelfde reden moeten financiële entiteiten het recht hebben het contract met de derde aanbieder van ICT-diensten te beëindigen wanneer de uitkomst van hun risicobeoordeling laat zien dat de nieuwe regelingen of materiële veranderingen een risiconiveau inhouden dat hun risicotolerantie te boven gaat.

(12)

De Europese Toezichthoudende autoriteiten (ESA’s) hebben open publieke consultaties gehouden over de ontwerpen van technische uitvoeringsnormen waarop deze verordening is gebaseerd, de mogelijke kosten en baten daarvan geanalyseerd en het advies ingewonnen van de ESA-stakeholdersgroepen die zijn opgericht overeenkomstig artikel 37 van Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad (2), artikel 37 van Verordening (EU) nr. 1094/2010 van het Europees Parlement en de Raad (3) en artikel 37 van Verordening (EU) nr. 1095/2010 van het Europees Parlement en de Raad (4).

(13)

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (5) en heeft op 20 augustus 2024 een advies uitgebracht,