KOMISJONI DELEGEERITUD MÄÄRUS (EL) 2025/532, 24. märts 2025, millega täiendatakse Euroopa Parlamendi ja nõukogu määrust (EL) 2022/2554 regulatiivsete tehniliste standarditega, et täpsustada elemente, mille finantssektori ettevõtja peab kindlaks määrama ja mida hindama kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste alltöövõtu korral (EMPs kohaldatav tekst)

(1)

IKT-teenuste osutamine finantssektori ettevõtjatele sõltub sageli keerukast IKT alltöövõtjate ahelast, kus kolmandast isikust IKT-teenuste osutajad võivad sõlmida ühe või mitu alltöövõtulepingut teiste kolmandast isikust IKT-teenuste osutajatega. Kaudne tuginemine IKT alltöövõtjatele võib mõjutada finantssektori ettevõtja suutlikkust teha kindlaks, hinnata ja juhtida oma riske, sealhulgas riske, mis on seotud lünkadega kolmandast isikust IKT-teenuste osutajate esitatud teabes ning finantssektori ettevõtja piiratud suutlikkusega saada teavet IKT alltöövõtjatelt, kes osutavad IKT-teenuseid, mis toetavad kriitilise tähtsusega või olulisi funktsioone või nende olulisi osi. Kui IKT-teenuste osutamine finantssektori ettevõtjatele sõltub potentsiaalselt pikast või keerukast IKT alltöövõtjate ahelast, on seetõttu oluline, et finantssektori ettevõtjad teeksid kindlaks kogu selliste alltöövõtjate ahela, kes osutavad kriitilise tähtsusega või olulisi funktsioone toetavaid IKT-teenuseid.

(2)

Kriitilise tähtsusega või olulisi funktsioone toetavaid IKT-teenuseid osutavate alltöövõtjate hulgas peaksid finantssektori ettevõtjad keskenduma eelkõige ja pidevalt nendele alltöövõtjatele, kellest tegelikult sõltub kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste osutamine, sealhulgas kõigile alltöövõtjatele, kes osutavad IKT-teenuseid, mille häired kahjustaksid teenuse turvalisust või jätkuvust, nagu on sätestatud määruse (EL) 2022/2554 artikli 28 lõikes 3 osutatud teaberegistris.

(3)

Finantssektori ettevõtjate suurus, struktuur ja sisemine korraldus ning nende tegevuse laad ja keerukus on väga erinevad. Proportsionaalsuse tagamiseks tuleks seda mitmekesisust arvesse võtta, kui määratakse kindlaks, milliseid elemente finantssektori ettevõtja peaks kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste osutamiseks alltöövõtulepingute sõlmimisel kindlaks määrama ja hindama.

(4)

Kui finantssektori ettevõtjad on määruse (EL) 2022/2554 artikli 30 lõike 2 kohaselt lubanud kolmandast isikust IKT-teenuste osutajatel kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste puhul alltöövõttu kasutada, ei tohi see vähendada finantssektori ettevõtjate juhtorganite lõplikku vastutust oma riskide juhtimise ning õiguslike ja regulatiivsete kohustuste täitmise eest. Kui kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste alltöövõtt on lubatud, on oluline, et finantssektori ettevõtjatel oleks selge ja terviklik ülevaade riskidest, mis on seotud kriitilise tähtsusega või olulisi funktsioone toetavate teenuste alltöövõtu kasutamisega, et nad saaksid neid riske jälgida, juhtida ja maandada. Seepärast peaksid nad neid riske hindama enne nende teenuste alltöövõtulepingute sõlmimist.

(5)

Kontsernisiseseid IKT alltöövõtjaid, kes osutavad IKT-teenuseid, mis toetavad kriitilise tähtsusega või olulisi funktsioone või nende olulisi osi, sealhulgas kontsernisiseseid IKT alltöövõtjaid, kes on täielikult või ühiselt samasse finantsinstitutsioonide kaitseskeemi kuuluvate finantssektori ettevõtjate omandis, tuleks käsitada IKT alltöövõtjatena.

(6)

Kui see on asjakohane, peaks finantssektori ettevõtjate emaettevõtja tagama, et kriitilise tähtsusega või olulisi funktsioone või nende olulisi osi toetavaid IKT-teenuseid osutavate IKT alltöövõtjate kasutamise poliitikat kohaldatakse kontsernis järjepidevalt ja sidusalt.

(7)

Oluline on tagada kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste alltöövõtu korral tekkida võivate riskide terviklik juhtimine. Sel põhjusel peaksid finantssektori ettevõtjad järgima neid funktsioone toetavate ja kolmandast isikust IKT-teenuste osutajate pakutavate IKT-teenuste kasutamist käsitleva lepingupõhise kokkuleppe olelusringi etappe, sealhulgas alltöövõtulepingute puhul. Seepärast on vaja kehtestada finantssektori ettevõtjatele nõuded, mis peaksid kajastuma nende lepingupõhistes kokkulepetes kolmandast isikust IKT-teenuste osutajatega, kui kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste puhul on alltöövõtu kasutamine lubatud.

(8)

Alltöövõtu riskide maandamiseks on vaja täpsustada tingimusi, mille alusel kolmandast isikust IKT-teenuste osutajad võivad kasutada kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste osutamiseks alltöövõtjaid. Selleks tuleks finantssektori ettevõtjate ja kolmandast isikust IKT-teenuste osutajate vahelistes lepingupõhistes IKT kokkulepetes sellised tingimused sätestada, sealhulgas seoses alltöövõtulepingute kavandamise, riskihindamise, hoolsuskohustuse ja kriitilise tähtsusega või olulisi funktsioone või nende olulisi osi toetavate IKT-teenustega seotud uute IKT alltöövõtulepingute heakskiitmise protsessiga või kolmandast isikust IKT-teenuste osutaja tehtud oluliste muudatustega olemasolevates kokkulepetes.

(9)

Et teha kindlaks riskid, mis võivad tekkida enne, kui finantssektori ettevõtja sõlmib IKT alltöövõtjaga kokkuleppe, peaksid kolmandast isikust IKT-teenuste osutajad hindama asjakohasel ja proportsionaalsel viisil võimalike alltöövõtjate sobivust lepingupõhiste IKT kokkulepete alusel, mille kolmandast isikust IKT-teenuste osutaja on finantssektori ettevõtjaga sõlminud. Nende lepingupõhiste IKT kokkulepetega tuleks seetõttu nõuda, et kolmandast isikust IKT-teenuste osutaja või vajaduse korral finantssektori ettevõtja ise hindaks võimaliku alltöövõtja ressursse, sealhulgas tema eksperditeadmisi ning seda, kas tal on nõuetekohased rahalised, inim- ja tehnilised ressursid, tema infoturvet ja organisatsioonilist struktuuri, sealhulgas riskijuhtimis- ja sisekontrollisüsteemi, mis peaks alltöövõtjal olemas olema.

(10)

Et leevendada nõrku kohti ja ohte, mis võivad ohustada nende IKT-süsteeme ja -toiminguid, peaks finantssektori ettevõtjatel olema võimalik jälgida IKT-teenuse toimimist ja saada teavet kõigi oluliste muudatuste kohta oma IKT alltöövõtuahelas, kui sellised muudatused on seotud kriitilise tähtsusega või oluliste funktsioonidega.

(11)

Selleks, et finantssektori ettevõtjad saaksid hinnata alltöövõtulepingute või nende oluliste muudatustega seotud riske, peaksid kolmandast isikust IKT-teenuste osutajad teavitama finantssektori ettevõtjaid, kellele nad IKT-teenuseid osutavad, kõigist sellistest uutest lepingutest või muudatustest aegsasti enne selliste kokkulepete või muudatuste kohaldamise algust. Samal põhjusel peaks finantssektori ettevõtjatel olema õigus lõpetada leping kolmandast isikust IKT-teenuste osutajaga, kui nende riskihindamise tulemus näitab, et uute lepingute või oluliste muudatustega kaasneb riskitase, mis ületab nende riskitaluvust.

(12)

Euroopa järelevalveasutused on korraldanud käesoleva määruse aluseks oleva regulatiivsete tehniliste standardite eelnõu kohta avaliku konsultatsiooni, analüüsinud võimalikke seonduvaid kulusid ja kasu ning küsinud nõu Euroopa Parlamendi ja nõukogu määruse (EL) nr 1093/2010 (2) artikli 37, Euroopa Parlamendi ja nõukogu määruse (EL) nr 1094/2010 (3) artikli 37 ning Euroopa Parlamendi ja nõukogu määruse (EL) nr 1095/2010 (4) artikli 37 kohaselt loodud Euroopa järelevalveasutuste sidusrühmade kogudelt.

(13)

Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (5) artikli 42 lõikele 1 konsulteeriti Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 20. augustil 2024,