REGLAMENTO DELEGADO (UE) 2024/1502 DE LA COMISIÓN de 22 de febrero de 2024 por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo mediante la especificación de los criterios para la designación de proveedores terceros de servicios de TIC como esenciales para las entidades financieras (Texto pertinente a efectos del EEE)

(1)

A fin de evaluar si un proveedor tercero de servicios de TIC es esencial para las entidades financieras, y teniendo en cuenta los criterios establecidos en el artículo 31, apartado 2, del Reglamento (UE) 2022/2554, las Autoridades Europeas de Supervisión (AES) deben utilizar subcriterios en una evaluación en dos fases. Tomando en consideración el importante número de servicios de TIC y la diversidad y el número de entidades financieras que los utilizan, debe adoptarse tal enfoque en dos fases para filtrar a la población de proveedores terceros de servicios de TIC y detectar a los más esenciales. Los subcriterios cuantitativos que deben tenerse en cuenta como parte de la primera fase de la evaluación son necesarios para llevar a cabo una primera selección de la población de proveedores terceros de servicios de TIC para la que es pertinente llevar a cabo un análisis en profundidad adicional a la luz de los subcriterios cualitativos que deben tenerse en cuenta como parte de la segunda fase de la evaluación.

(2)

La medida en que un servicio de TIC prestado por un proveedor tercero de servicios de TIC apoya funciones esenciales o importantes de una entidad financiera se considera un elemento crucial de la evaluación del carácter esencial en general. Por lo tanto, la importancia de las actividades de las entidades financieras apoyadas por los servicios de TIC debe integrarse en todos los subcriterios tenidos en cuenta como parte de la primera fase. Por consiguiente, no se debe llevar a cabo una evaluación cuantitativa diferenciada en relación con el carácter esencial de las funciones de las entidades financieras como parte de la primera fase de la evaluación. En lugar de ello, es conveniente que las AES tengan en cuenta el carácter esencial y la importancia de las funciones de las entidades financieras apoyadas por los servicios de TIC como parte de la segunda fase cualitativa de la evaluación.

(3)

La evaluación debe llevarse a cabo por proveedor tercero de servicios de TIC individual o, cuando proceda, por grupo de proveedores terceros de servicios de TIC en el caso de que el proveedor tercero de servicios de TIC pertenezca a un grupo, de conformidad con el artículo 31, apartado 3, del Reglamento (UE) 2022/2554. A fin de posibilitar una evaluación exhaustiva del posible impacto sistémico en el sector financiero de la Unión, los subcontratistas de los proveedores terceros de servicios de TIC también deben estar sujetos a la evaluación de las AES y, en su caso, ser designados como proveedores terceros esenciales de servicios de TIC.

(4)

Para determinar el impacto sistémico del proveedor tercero de servicios de TIC en la estabilidad, continuidad o calidad de la prestación de servicios financieros, es de vital importancia desarrollar una visión clara sobre el alcance y la naturaleza del impacto sistémico que tendría un fallo operativo a gran escala de un proveedor tercero de servicios de TIC en las entidades financieras que dependen de los servicios prestados por un proveedor tercero de servicios de TIC, así como en el sistema financiero. Por consiguiente, procede tener en cuenta el número de entidades financieras de una categoría específica de entidades financieras que utilizan los mismos servicios de TIC, así como el valor de sus activos, a fin de evaluar si es pertinente considerar que el proveedor tercero de servicios de TIC que ofrece esos servicios es esencial. Además, debe llevarse a cabo una evaluación cualitativa de la importancia sistémica y la interconexión de los proveedores terceros de servicios de TIC, así como de la importancia de los servicios prestados por un proveedor tercero de servicios de TIC para la prestación de servicios financieros por parte de las entidades financieras, teniendo en cuenta la estabilidad y la continuidad de los servicios, para determinar el impacto sistémico del proveedor tercero de servicios de TIC en las actividades de las entidades financieras.

(5)

Para determinar el carácter sistémico y la importancia de las entidades financieras que dependen de los servicios de TIC, es necesario tener en cuenta la naturaleza de dichas entidades financieras. Cuando las entidades financieras clasificadas como EISM y OEIS o que se identifiquen como «sistémicas» dependan de los mismos servicios de TIC para apoyar sus funciones esenciales o importantes, conviene evaluar si el proveedor tercero de servicios de TIC que presta dichos servicios debe considerarse esencial para el sector financiero de la Unión. La interconexión entre entidades financieras dentro del sector financiero de la Unión que dependen de servicios de TIC prestados por el mismo proveedor tercero de servicios de TIC también debe evaluarse para determinar la dependencia de las entidades financieras de dicho proveedor tercero de servicios de TIC.

(6)

Los servicios de TIC que apoyan funciones esenciales o importantes de las entidades financieras deben evaluarse con respecto a su tipo y su naturaleza esencial, necesarios para que las entidades financieras lleven a cabo sus actividades sin perturbaciones.

(7)

Para determinar el grado de sustituibilidad del proveedor tercero de servicios de TIC, es necesario tener en cuenta el número de proveedores terceros de servicios de TIC activos en un mercado determinado, la existencia de soluciones alternativas para el mismo servicio de TIC, así como los costes de migración de los datos y las cargas de trabajo de TIC a otros proveedores terceros de servicios de TIC como parte de la evaluación que deben llevar a cabo las AES.

(8)

A fin de garantizar la solidez del proceso de evaluación, es importante que las AES, al evaluar si los proveedores terceros de servicios de TIC deben ser designados como esenciales, se basen en los datos de los registros de información a que se refiere el artículo 28, apartado 3, del Reglamento (UE) 2022/2554, y en cualquier otra información fácilmente disponible.