A BIZOTTSÁG (EU) 2025/532 FELHATALMAZÁSON ALAPULÓ RENDELETE (2025. március 24.) az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek a kritikus vagy fontos funkciókat támogató IKT-szolgáltatások alvállalkozásba adásakor a pénzügyi szervezetek által meghatározandó és értékelendő elemeket pontosító szabályozástechnikai standardok tekintetében történő kiegészítéséről (EGT-vonatkozású szöveg)

(1)

Az IKT-szolgáltatások pénzügyi szervezeteknek való nyújtása gyakran az IKT-alvállalkozók olyan összetett láncától függ, amelyen belül a harmadik fél IKT-szolgáltatók egy vagy több alvállalkozói megállapodást köthetnek más, harmadik fél IKT-szolgáltatókkal. Az, hogy a pénzügyi szervezet közvetetten IKT-alvállalkozókra támaszkodik, hatással lehet e szervezet azon képességére, hogy azonosítsa, értékelje és kezelje a kockázatokat, beleértve a harmadik fél IKT-szolgáltatók által nyújtott információk hiányosságaival, valamint e szervezet arra vonatkozó korlátozott lehetőségével összefüggő kockázatokat is, hogy információkat szerezzen a kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató IKT-szolgáltatásokat nyújtó IKT-alvállalkozóktól. E tekintetben, mivel az IKT-szolgáltatások pénzügyi szervezeteknek való nyújtása az IKT-alvállalkozók adott esetben hosszú vagy összetett láncától függ, alapvető fontosságú, hogy a pénzügyi szervezetek azonosítsák a kritikus vagy fontos funkciókat támogató IKT-szolgáltatásokat nyújtó alvállalkozók teljes láncát.

(2)

A pénzügyi szervezeteknek a kritikus vagy fontos funkciókat támogató IKT-szolgáltatásokat nyújtó alvállalkozók közül különösen azokra az alvállalkozókra kell folyamatosan kiemelt figyelmet fordítaniuk, amelyek ténylegesen alátámasztják a kritikus vagy fontos funkciókat támogató IKT-szolgáltatást, ideértve az olyan IKT-szolgáltatásokat nyújtó valamennyi alvállalkozót, amelyek zavara rontaná az (EU) 2022/2554 rendelet 28. cikkének (3) bekezdésében említett információ-nyilvántartásban meghatározott szolgáltatásbiztonságot vagy szolgáltatásfolytonosságot.

(3)

A pénzügyi szervezetek a méretüket, a felépítésüket és a belső szervezetüket, valamint a tevékenységük jellegét és összetettségét tekintve igen eltérőek. Ezt a sokféleséget az arányosság biztosítása érdekében figyelembe kell venni annak meghatározásakor, hogy a pénzügyi szervezetnek mely elemeket kell meghatároznia és értékelnie a kritikus vagy fontos funkciókat támogató IKT-szolgáltatások alvállalkozásba adásakor.

(4)

A kritikus vagy fontos funkciókat támogató, alvállalkozásba adott IKT-szolgáltatások harmadik fél IKT-szolgáltatók általi igénybevétele – amennyiben azt a pénzügyi szervezetek az (EU) 2022/2554 rendelet 30. cikkének (2) bekezdésével összhangban megengedik – nem csökkentheti a pénzügyi szervezetek vezető testületeinek a kockázataik kezelésével, valamint a jogi és szabályozási kötelezettségeiknek való megfeleléssel kapcsolatos végső felelősségét. Amennyiben megengedett a kritikus vagy fontos funkciókat támogató IKT-szolgáltatások alvállalkozásba adása, fontos, hogy a pénzügyi szervezetek egyértelmű és átfogós képet kapjanak a kritikus vagy fontos funkciókat támogató alvállalkozói szolgáltatásokhoz kapcsolódó kockázatokról, és ezáltal képesek legyenek e kockázatok nyomon követésére, kezelésére és mérséklésére. E szolgáltatások alvállalkozásba adása előtt ezért értékelniük kell ezeket a kockázatokat.

(5)

A csoporton belüli IKT-alvállalkozókat – amelyek kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató IKT-szolgáltatásokat nyújtanak, beleértve a csoporton belüli azon IKT-alvállalkozókat is, amelyek teljes egészében vagy együttesen az ugyanazon intézményvédelmi rendszeren belüli pénzügyi szervezetek tulajdonában állnak – IKT-alvállalkozóknak kell tekinteni.

(6)

Adott esetben a csoport vonatkozásában a pénzügyi szervezetek anyavállalatának biztosítania kell, hogy a csoporton belül következetesen és koherens módon alkalmazzák a kritikus vagy fontos funkciókat vagy azok érdemi részét támogató IKT-szolgáltatásokat nyújtó IKT-alvállalkozók igénybevételére vonatkozó politikát.

(7)

Biztosítani kell továbbá a kritikus vagy fontos funkciókat támogató IKT-szolgáltatások alvállalkozásba adásakor esetlegesen felmerülő kockázatok átfogó kezelését. A pénzügyi szervezeteknek ezért követniük kell a harmadik fél IKT-szolgáltatók által nyújtott, az említett funkciókat támogató IKT-szolgáltatások igénybevételére vonatkozó szerződéses megállapodások – köztük az alvállalkozói megállapodások – életciklusának egyes szakaszait. Szükség van tehát a pénzügyi szervezetekre vonatkozó követelmények megállapítására, amely követelményeknek a harmadik fél IKT-szolgáltatókkal kötött szerződéses megállapodásokban is tükröződniük kell, amennyiben megengedett a kritikus vagy fontos funkciókat támogató, alvállalkozásba adott IKT-szolgáltatások igénybevétele.

(8)

Az alvállalkozásba adáshoz kapcsolódó kockázatok csökkentése érdekében meg kell határozni azokat a feltételeket, amelyek mellett a harmadik fél IKT-szolgáltatók alvállalkozókat vehetnek igénybe a kritikus vagy fontos funkciókat támogató IKT-szolgáltatások nyújtásához. E célból a pénzügyi szervezetek és a harmadik fél IKT-szolgáltatók közötti IKT-szerződésekben meg kell határozni ezeket a feltételeket, beleértve az alvállalkozói megállapodások ütemtervét, a kockázatértékeléseket, az átvilágítást, valamint a kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató IKT-szolgáltatásokkal kapcsolatos új alvállalkozói megállapodásokra vonatkozó jóváhagyási eljárást, illetve a harmadik fél IKT-szolgáltató által a már meglévő megállapodásokban eszközölt lényeges módosításokat is.

(9)

A pénzügyi szervezet és az IKT-alvállalkozó közötti megállapodás létrejöttét megelőzően esetlegesen felmerülő kockázatok azonosítása érdekében a harmadik fél IKT-szolgáltatóknak – a pénzügyi szervezettel kötött IKT-szerződéseiket alapul véve – megfelelő és arányos módon értékelniük kell a potenciális alvállalkozók alkalmasságát. Ezeknek az IKT-megállapodásoknak következésképpen elő kell írniuk, hogy a harmadik fél IKT-szolgáltatók – vagy adott esetben közvetlenül a pénzügyi szervezet – értékeljék a potenciális alvállalkozó erőforrásait, köztük a szakértelmét és azt, hogy rendelkezik-e a megfelelő pénzügyi, humán és technikai erőforrásokkal, továbbá az információbiztonságát és a szervezeti felépítését, beleértve a kockázatkezelést és a belső kontrollmechanizmusokat is, amelyekkel az alvállalkozónak rendelkeznie kell.

(10)

A pénzügyi szervezeteknek az IKT-rendszereikre és -műveleteikre esetlegesen kockázatot jelentő sebezhetőségek és fenyegetések enyhítése érdekében képesnek kell lenniük arra, hogy nyomon kövessék az IKT-szolgáltatás teljesítését, és tájékoztatást kapjanak az IKT-alvállalkozói láncukban bekövetkező minden lényeges változásról, amennyiben azok érintik a kritikus vagy fontos funkciókat.

(11)

Annak érdekében, hogy a pénzügyi szervezetek elvégezhessék az alvállalkozói megállapodásokhoz vagy azok lényeges módosításaihoz kapcsolódó kockázatok értékelését, a harmadik fél IKT-szolgáltatóknak jóval az ilyen megállapodások vagy módosítások végrehajtása előtt tájékoztatniuk kell ezen új megállapodásokról vagy módosításokról azokat a pénzügyi szervezeteket, amelyek számára IKT-szolgáltatásokat nyújtanak. Ugyanezen okból kifolyólag biztosítani kell a pénzügyi szervezetek számára annak lehetőségét, hogy felmondják a harmadik fél IKT-szolgáltatóval kötött szerződést, amennyiben az általuk folytatott kockázatértékelés eredménye azt mutatja, hogy az új megállapodások vagy a lényeges módosítások a kockázati toleranciájukat meghaladó kockázati szintet hordoznak.

(12)

Az európai felügyeleti hatóságok nyilvános konzultációt folytattak az e rendelet alapját képező szabályozástechnikai standardtervezetekről, elemezték az ezzel összefüggésben felmerülő lehetséges költségeket és hasznokat, és kikérték az 1093/2010/EU európai parlamenti és tanácsi rendelet (2) 37. cikke, az 1094/2010/EU európai parlamenti és tanácsi rendelet (3) 37. cikke és az 1095/2010/EU európai parlamenti és tanácsi rendelet (4) 37. cikke alapján létrehozott európai felügyeleti hatóságok érdekképviseleti csoportjainak tanácsát.

(13)

Az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (5) 42. cikkének (1) bekezdésével összhangban a Bizottság konzultált az európai adatvédelmi biztossal, aki 2024. augusztus 20-án véleményt nyilvánított,