Preamble: 1

(1)

Rámec digitální provozní odolnosti finančního sektoru vytvořený nařízením (EU) 2022/2554 vyžaduje, aby finanční subjekty stanovily určité klíčové zásady, které určují řízení rizika v oblasti IKT spojeného s třetími stranami a které jsou obzvláště důležité v případech, kdy finanční subjekty využívají poskytovatele služeb IKT z řad třetích stran na podporu svých zásadních nebo důležitých funkcí.

(2)

Finanční subjekty musí jakožto součást svého rámce pro řízení rizika v oblasti IKT přijmout a pravidelně přezkoumávat strategii pro riziko v oblasti IKT spojené s třetími stranami. V souladu s čl. 28 odst. 2 nařízení (EU) 2022/2554 musí tato strategie obsahovat zásady využívání služeb IKT podporujících zásadní nebo důležité funkce poskytovaných poskytovateli služeb IKT z řad třetích stran. Má se uplatňovat na individuálním a případně subkonsolidovaném či konsolidovaném základě.

(3)

Finanční subjekty se značně liší velikostí, strukturou a vnitřní organizací a také povahou a složitostí svých činností a operací. Tuto rozmanitost je třeba vzít v úvahu při ukládání určitých základních regulatorních požadavků, které mají být vhodné pro všechny finanční subjekty, aby tyto subjekty mohly vypracovat politiku týkající se smluvních ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce poskytovaných poskytovateli služeb IKT z řad třetích stran (dále jen „politika“), a je třeba zajistit, aby tyto požadavky byly uplatňovány přiměřeným způsobem.

(4)

Jsou-li finanční subjekty součástí skupiny, měl by tedy mateřský podnik, který je odpovědný za sestavování konsolidovaných nebo subkonsolidovaných účetních závěrek skupiny, zajistit, aby byla politika v rámci celé skupiny uplatňována konzistentně a jednotně.

(5)

Při uplatňování politiky by poskytovatelé služeb IKT v rámci skupiny, včetně těch v plném nebo společném vlastnictví finančních subjektů v rámci téhož institucionálního systému ochrany, měli být považováni za poskytovatele služeb IKT z řad třetích stran. Rizika, která poskytovatelé služeb IKT v rámci skupiny představují, se mohou lišit, avšak podle nařízení (EU) 2022/2554 se na ně vztahují stejné požadavky. Stejně tak by se politika měla vztahovat na subdodavatele, kteří poskytují služby IKT podporující zásadní nebo důležité funkce nebo podstatné součásti těchto služeb poskytovatelům služeb IKT z řad třetích stran, v případě, že existuje řetězec poskytovatelů služeb IKT z řad třetích stran.

(6)

Konečná odpovědnost vedoucího orgánu za řízení rizika finančního subjektu v oblasti IKT je zastřešujícím principem, jenž platí i v případě využívání poskytovatelů služeb IKT z řad třetích stran. Tato odpovědnost by dále měla být vyjádřena nepřetržitým angažováním vedoucího orgánu v kontrole a sledování řízení rizika v oblasti IKT, včetně přijetí politiky a jejího přezkumu prováděného alespoň jednou ročně.

(7)

Aby bylo zajištěno náležité oznamování vedoucímu orgánu, měla by být v politice jasně vymezena a určena interní odpovědnost za schvalování, správu, kontrolu a dokumentaci smluvních ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce poskytovaných poskytovateli služeb IKT z řad třetích stran (dále jen „smluvní ujednání“), včetně služeb IKT poskytovaných na základě smluvních ujednání uvedených v čl. 28 odst. 1 písm. a) nařízení (EU) 2022/2554.

(8)

Aby bylo možné zohlednit všechna možná rizika, jež mohou vzniknout v souvislosti s uzavíráním smluv o službách IKT podporujících zásadní nebo důležité funkce, měla by struktura politiky kopírovat všechny kroky z každé hlavní fáze životního cyklu smluvních ujednání s poskytovateli z řad třetích stran.

(9)

Ke zmírnění identifikovaných rizik by v politice mělo být stanoveno, jak probíhá plánování smluvních ujednání, včetně posouzení rizik, náležité péče a procesu schvalování nových nebo podstatných změn těchto smluvních ujednání. Za účelem řízení rizik, jež mohou vzniknout před uzavřením smluvního ujednání s poskytovatelem služeb IKT z řad třetích stran, by v politice měl být stanoven vhodný a přiměřený postup výběru potenciálních poskytovatelů služeb IKT z řad třetích stran a posouzení jejich vhodnosti a mělo by v ní být vyžadováno, aby finanční subjekt zohlednil seznam určitých prvků, které by poskytovatelé služeb IKT z řad třetích stran měli mít zavedeny. Na seznam by měly být zařazeny prvky, které se týkají podnikatelské pověsti poskytovatelů služeb a jejich finančních, lidských a technických zdrojů, zabezpečení informací, organizační struktury, včetně řízení rizik, a interních kontrol.

(10)

Aby se v případě, že jsou služby IKT podporující zásadní nebo důležité funkce poskytovány poskytovateli služeb IKT z řad třetích stran, zajistilo řádné řízení rizik, měla by politika zahrnovat informace o plnění, sledování a správě smluvních ujednání, a to v relevantních případech i na konsolidované a subkonsolidované úrovni. To zahrnuje požadavky na smluvní doložky o vzájemných povinnostech finančních subjektů a poskytovatelů služeb IKT z řad třetích stran, které by měly být stanoveny písemně. Aby se zajistil účinný dohled a podpořila odolnost v případě změn obchodního modelu nebo podnikatelského prostředí, měla by politika zajistit právo finančních subjektů nebo určených třetích stran a příslušných orgánů na kontroly a přístup k informacím a měla by také blíže upřesnit strategie ukončení smluvního vztahu a procesy ukončení smluvního ujednání.

(11)

V rozsahu, v jakém poskytovatelé služeb IKT z řad třetích stran zpracovávají osobní údaje, nejsou politikou ani jakýmikoli smluvními ujednáními dotčeny povinnosti vyplývající z nařízení Evropského parlamentu a Rady (EU) 2016/679 (2), například mít uzavřenou písemnou smlouvu, v níž je popsáno zpracování osobních údajů, požadavek zajistit zabezpečení zpracování osobních údajů a stanoveny všechny ostatní prvky požadované uvedeným nařízením, a politika a smluvní ujednání by tyto povinnosti měly doplňovat.

(12)

Společný výbor evropských orgánů dohledu uvedený v článku 54 nařízení Evropského parlamentu a Rady (EU) č. 1093/2010 (3), v článku 54 nařízení Evropského parlamentu a Rady (EU) č. 1094/2010 (4) a v článku 54 nařízení Evropského parlamentu a Rady (EU) č. 1095/2010 (5) uskutečnil o návrzích regulačních technických norem, z nichž toto nařízení vychází, otevřené veřejné konzultace, analyzoval potenciální náklady a přínosy navrhovaných norem a požádal o stanovisko skupinu subjektů působících v bankovnictví zřízenou podle článku 37 nařízení (EU) č. 1093/2010, skupinu subjektů působících v oblasti pojištění a zajištění a skupinu subjektů působících v oblasti zaměstnaneckého penzijního pojištění zřízené podle článku 37 nařízení (EU) č. 1094/2010 a skupinu subjektů působících v oblasti cenných papírů a trhů zřízenou podle článku 37 nařízení (EU) č. 1095/2010.

(13)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (6) byl konzultován evropský inspektor ochrany údajů, který vydal stanovisko dne 24. ledna 2024,