+KOMISIJAS DELEĢĒTĀ REGULA (ES) 2025/295 (2024. gada 24. oktobris), ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem par to nosacījumu saskaņošanu, kas ļauj veikt pārraudzības darbības (Dokuments attiecas uz EEZ)
---+Preamble: 1
---+1. pants Informācija, kura trešai personai, kas sniedz IKT pakalpojumus, jāiesniedz pieteikumā izraudzīšanai par kritiski svarīgu
------+1. pants 1
------+1. pants 2
---+2. pants Kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, iesniedzamās, atklājamās vai paziņojamās informācijas saturs, struktūra un formāts
------+2. pants 1
------+2. pants 2
---+3. pants Informācija no kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, pēc ieteikumu sniegšanas
------+3. pants 1
------+3. pants 2
---+4. pants Kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, iesniedzamās informācijas struktūra un formāts
------+4. pants 1
------+4. pants 2
------+4. pants 3
---+5. pants Veidne informācijas iesniegšanai par apakšuzņēmuma līgumiem
---+6. pants Kompetento iestāžu novērtējums par riskiem, kas aplūkoti galvenā pārrauga ieteikumos
------+6. pants 1
------+6. pants 2
------+6. pants 3
------+6. pants 4
---+7. pants Stāšanās spēkā
---+ANNEX TEMPLATE FOR SHARING INFORMATION ON SUBCONTRACTING ARRANGEMENTS
|
English -
European Union -
Financial Industry -
DORA -
ICT -
Cybersecurity -
KOMISIJAS DELEĢĒTĀ REGULA (ES) 2025/295 (2024. gada 24. oktobris), ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem par to nosacījumu saskaņošanu, kas ļauj veikt pārraudzības darbības (Dokuments attiecas uz EEZ)
KOMISIJAS DELEĢĒTĀ REGULA (ES) 2025/295
(2024. gada 24. oktobris),
ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem par to nosacījumu saskaņošanu, kas ļauj veikt pārraudzības darbības
(Dokuments attiecas uz EEZ)
1. Pārskats
| Nosaukums |
Regulējums |
|
Preamble: 1
|
EIROPAS KOMISIJA,
ņemot vērā Līgumu par Eiropas Savienības darbību,
ņemot vērā Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (1), un jo īpaši tās 41. panta 2. punkta otro daļu,
tā kā:
|
(1)
|
Ar finanšu nozares digitālās darbības noturības satvaru, kas izveidots ar Regulu (ES) 2022/2554, ievieš Savienības pārraudzības satvaru attiecībā uz trešām personām, kas sniedz informācijas un komunikācijas tehnoloģiju (IKT) pakalpojumus finanšu nozarē un kas izraudzītas par kritiski svarīgām saskaņā ar minētās regulas 31. pantu.
|
|
(2)
|
Trešai personai, kas sniedz IKT pakalpojumus un kas nolemj iesniegt brīvprātīgu pieprasījumu izraudzīšanai par kritiski svarīgu, būtu jāiesniedz saņēmējai Eiropas uzraudzības iestādei (EUI) visa nepieciešamā informācija, lai pierādītu tās kritisko svarīgumu saskaņā ar Regulā (ES) 2022/2554 noteiktajiem principiem un kritērijiem. Šā iemesla dēļ pieteikumā ar brīvprātīgu pieprasījumu iekļaujamajai informācijai vajadzētu būt pietiekami detalizētai un pilnīgai, lai varētu veikt skaidru un pilnīgu kritiskā svarīguma novērtējumu saskaņā ar minētās regulas 31. panta 11. punktu. Attiecīgajai EUI būtu jānoraida visi nepilnīgie pieteikumi un jāpieprasa trūkstošā informācija.
|
|
(3)
|
Trešo personu, kas sniedz IKT pakalpojumus, juridiskā identifikācija šā regulatīvā tehniskā standarta darbības jomā būtu jāsaskaņo ar identifikācijas kodu, kas noteikts Komisijas īstenošanas regulā, kura pieņemta saskaņā ar Regulas (ES) 2022/2554 28. panta 9. punktu.
|
|
(4)
|
Pēc ieteikumiem, ko galvenais pārraugs sniedzis kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, galvenajam pārraugam būtu jāuzrauga, kā kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, pilda ieteikumus. Lai nodrošinātu, ka kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, veiktās darbības vai īstenotie tiesiskās aizsardzības līdzekļi tiek efektīvi un lietderīgi uzraudzīti saistībā ar šiem ieteikumiem, galvenajam pārraugam vajadzētu būt iespējai pieprasīt Regulas (ES) 2022/2554 35. panta 1. punkta c) apakšpunktā minētos ziņojumus, kas būtu jāparedz kā starpposma progresa ziņojumi un galīgie ziņojumi.
|
|
(5)
|
Lai veiktu Regulas (ES) 2022/2554 42. panta 1. punktā minēto novērtējumu, saskaņā ar kuru galvenajam pārraugam ir jāizvērtē, vai kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, sniegtais paskaidrojums ir pietiekams, kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, paziņojums galvenajam pārraugam par tās nodomu ievērot saņemtos ieteikumus būtu jāpapildina ar to darbību un pasākumu aprakstu, kas ir veikti, lai mazinātu ieteikumos izklāstītos riskus, kā arī to attiecīgajiem termiņiem. Šāds paskaidrojums būtu jāsniedz sanācijas plāna veidā.
|
|
(6)
|
Tā kā ir sagaidāms, ka galvenais pārraugs novērtēs kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, apakšuzņēmuma līgumus, ir jāizstrādā veidne informācijas iesniegšanai par minētajiem līgumiem. Veidnē būtu jāņem vērā tas, ka kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, struktūras atšķiras no finanšu vienību struktūrām.
|
|
(7)
|
Tiklīdz galvenais pārraugs ir sniedzis ieteikumus kritiski svarīgai trešai personai, kas sniedz IKT pakalpojumus, un kompetentās iestādes ir informējušas attiecīgās finanšu vienības par minētajos ieteikumos norādītajiem riskiem, galvenajam pārraugam būtu jāuzrauga un jānovērtē, kā kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, īsteno darbības un tiesiskās aizsardzības līdzekļus, lai izpildītu ieteikumus. Kompetentajām iestādēm būtu jāuzrauga un jānovērtē tas, cik lielā mērā finanšu vienības ir pakļautas šajos ieteikumos apzinātajiem riskiem. Lai saglabātu vienlīdzīgus konkurences apstākļus, veicot attiecīgos uzdevumus, jo īpaši tad, ja ieteikumos apzinātie riski ir nopietni un tie ir kopīgi lielam skaitam finanšu vienību vairākās dalībvalstīs, gan kompetentajām iestādēm, gan galvenajam pārraugam būtu savstarpēji jāapmainās ar visiem attiecīgajiem konstatējumiem, kas tiem ir vajadzīgi to attiecīgo uzdevumu veikšanai. Informācijas apmaiņas mērķis ir nodrošināt, ka galvenā pārrauga atsauksmēs kritiski svarīgajai trešai personai, kas sniedz IKT pakalpojumus, par darbībām un tiesiskās aizsardzības līdzekļiem, ko tā īsteno, tiek ņemta vērā ietekme uz finanšu vienību riskiem un ka kompetento iestāžu veiktās uzraudzības darbības ir balstītas uz galvenā pārrauga veikto novērtējumu.
|
|
(8)
|
Lai nodrošinātu efektīvu un lietderīgu informācijas apmaiņu, kompetentajām iestādēm, veicot uzraudzības darbības, būtu jānovērtē, cik lielā mērā to uzraudzītās finanšu vienības ir pakļautas ieteikumos norādītajiem riskiem. Šis novērtējums būtu jāveic samērīgā un uz risku balstītā veidā. Galvenajam pārraugam būtu jāprasa kompetentajām iestādēm dalīties ar šā novērtējuma rezultātiem konkrētos gadījumos, kad ar ieteikumiem saistītie riski ir nopietni un izplatīti lielam skaitam finanšu vienību vairākās dalībvalstīs. Lai pēc iespējas labāk izmantotu kompetento iestāžu resursus, pieprasot sniegt šā novērtējuma rezultātus, galvenajam pārraugam vienmēr būtu jāņem vērā, ka šo pieprasījumu mērķis ir izvērtēt kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, darbību un tiesiskās aizsardzības līdzekļu īstenošanu.
|
|
(9)
|
Notika apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju (EDAU) saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (2) 42. panta 1. punktu, un EDAU 2024. gada 22. jūlijā sniedza atzinumu.
|
|
(10)
|
Šī regula ir balstīta uz regulatīvo tehnisko standartu projektu, ko Komisijai iesniegušas EUI.
|
|
(11)
|
EUI apvienotā komiteja veica atklātu sabiedrisko apspriešanu par regulatīvo tehnisko standartu projektu, kas ir šīs regulas pamatā, izvērtēja potenciālās saistītās izmaksas un ieguvumus un lūdza atzinumu no Banku nozares ieinteresēto personu grupas, kas izveidota saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1093/2010 (3) 37. pantu, no Apdrošināšanas un pārapdrošināšanas nozares ieinteresēto personu grupas un Aroda pensiju nozares ieinteresēto personu grupas, kas izveidota saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1094/2010 (4) 37. pantu, un no Vērtspapīru un tirgu nozares ieinteresēto personu grupas, kas izveidota saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1095/2010 (5) 37. pantu,
|
IR PIEŅĒMUSI ŠO REGULU.
Šī regula uzliek saistības kopumā un ir tieši piemērojama visās dalībvalstīs.
Briselē, 2024. gada 24. oktobrī
Komisijas vārdā –
priekšsēdētāja
Ursula VON DER LEYEN
|
|
1. pants Informācija, kura trešai personai, kas sniedz IKT pakalpojumus, jāiesniedz pieteikumā izraudzīšanai par kritiski svarīgu
|
-
|
|
2. pants Kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, iesniedzamās, atklājamās vai paziņojamās informācijas saturs, struktūra un formāts
|
-
|
|
3. pants Informācija no kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, pēc ieteikumu sniegšanas
|
-
|
|
4. pants Kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, iesniedzamās informācijas struktūra un formāts
|
-
|
|
5. pants Veidne informācijas iesniegšanai par apakšuzņēmuma līgumiem
|
5. pants
Veidne informācijas iesniegšanai par apakšuzņēmuma līgumiem
Kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus un kam ir jāapmainās ar informāciju par apakšuzņēmuma līgumiem, iesniedz informāciju galvenajam pārraugam saskaņā ar pielikumā doto veidni.
|
|
6. pants Kompetento iestāžu novērtējums par riskiem, kas aplūkoti galvenā pārrauga ieteikumos
|
-
|
|
7. pants Stāšanās spēkā
|
7. pants
Šī regula stājas spēkā divdesmitajā dienā pēc tās publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.
(1)
OV L 333, 27.12.2022., 1. lpp., ELI: http://data.europa.eu/eli/reg/2022/2554/oj.
(2) Eiropas Parlamenta un Padomes Regula (ES) 2018/1725 (2018. gada 23. oktobris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un par šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (OV L 295, 21.11.2018., 39. lpp., ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
(3) Eiropas Parlamenta un Padomes Regula (ES) Nr. 1093/2010 (2010. gada 24. novembris), ar ko izveido Eiropas Uzraudzības iestādi (Eiropas Banku iestādi), groza Lēmumu Nr. 716/2009/EK un atceļ Komisijas Lēmumu 2009/78/EK (OV L 331, 15.12.2010., 12. lpp., ELI: http://data.europa.eu/eli/reg/2010/1093/oj).
(4) Eiropas Parlamenta un Padomes Regula (ES) Nr. 1094/2010 (2010. gada 24. novembris), ar ko izveido Eiropas Uzraudzības iestādi (Eiropas Apdrošināšanas un aroda pensiju iestādi), groza Lēmumu Nr. 716/2009/EK un atceļ Komisijas Lēmumu 2009/79/EK (OV L 331, 15.12.2010., 48. lpp., ELI: http://data.europa.eu/eli/reg/2010/1094/oj).
(5) Eiropas Parlamenta un Padomes Regula (ES) Nr. 1095/2010 (2010. gada 24. novembris), ar ko izveido Eiropas Uzraudzības iestādi (Eiropas Vērtspapīru un tirgu iestādi), groza Lēmumu Nr. 716/2009/EK un atceļ Komisijas Lēmumu 2009/77/EK (OV L 331, 15.12.2010., 84. lpp., ELI: http://data.europa.eu/eli/reg/2010/1095/oj).
|
|
ANNEX TEMPLATE FOR SHARING INFORMATION ON SUBCONTRACTING ARRANGEMENTS
|
ANNEX
TEMPLATE FOR SHARING INFORMATION ON SUBCONTRACTING ARRANGEMENTS
|
Information Category
|
Key Information Elements
|
|
General Information
|
|
—
|
Name of the critical ICT third-party service provider.
|
|
—
|
Identification code of the critical ICT third-party service provider.
|
|
—
|
Name of contact person and contact details of the critical ICT third-party service provider.
|
|
—
|
Date of submission of the template.
|
|
|
Overview of Subcontracting Arrangements
|
|
—
|
Mapping of the subcontracting arrangements, including a short description of the purpose and scope of the subcontracting relationships (including an indication on the level of criticality or importance of the subcontracting arrangements for the critical ICT third-party service provider).
|
|
—
|
Specification and description of the types of ICT services subcontracted and their significance to the ICT services provided to financial entities, in line with the implementing technical standards adopted pursuant to Article 28(9) of Regulation (EU) 2022/2554.
|
|
—
|
When specifying the types of ICT services, please refer to the list in Annex IV of the implementing technical standards adopted pursuant to Article 28(9) of Regulation (EU) 2022/2554.
|
|
|
Subcontractors’ Information
|
|
—
|
Name and legal entity details (including identification code) of each subcontractor.
|
|
—
|
Contact information of the staff members responsible for each of the subcontracting relationships in the critical ICT third-party provider management structure.
|
|
—
|
Overview for each subcontractor of the expertise, experience and qualifications related to the contracted ICT services.
|
|
|
Description of Services Provided by Subcontractors
|
|
—
|
Detailed description of the specific ICT services provided by each subcontractor.
|
|
—
|
Breakdown of the responsibilities and tasks allocated to subcontractors by detailing the different roles in the different stages of the ICT processes.
|
|
—
|
Information on the level of access subcontractors have to personal or otherwise sensitive data or systems regarding the ICT services provided to financial entities.
|
|
—
|
Information on the sites from which the services of subcontractors are provided and on the measures taken to address risks arising from services provided outside the Union.
|
|
|
Subcontracting Governance and Oversight
|
|
—
|
Description of the contractual and governance framework in place to manage subcontracting relationships, including clauses restricting the usage of sensitive data.
|
|
—
|
Explanation of the processes for selecting, engaging and monitoring subcontractors.
|
|
—
|
Overview of performance metrics, service level objectives and agreements, and key performance indicators used to assess subcontractor’s performance and reliability monitoring.
|
|
|
Risk Management and Compliance
|
|
—
|
Assessment of the subcontractor’s risk profiles and potential impact on the ICT services provided to financial entities.
|
|
—
|
Explanation of the risk mitigation measures implemented to address subcontracting-related risks.
|
|
—
|
Details of subcontractor’s compliance with relevant regulations, including on data protection and industry standards.
|
|
|
Business Continuity and Contingency Planning
|
|
—
|
Overview of the subcontractor’s business continuity and response and recovery plans.
|
|
—
|
Description of the arrangements in place to ensure service continuity in case of disruptions or termination by the subcontractor.
|
|
—
|
Frequency of tests of the business continuity plans and response and recovery plans by the subcontractors, dates of the latest tests over the past 3 years, and specification if the critical ICT third-party service provider has been involved in those tests.
|
|
|
Reporting
|
|
—
|
Description of the reporting mechanisms and frequency of reporting between the critical ICT third-party service provider and its subcontractors.
|
|
|
Remediation and Incident Management
|
|
—
|
Outline of the procedures for addressing subcontractor-related incidents, breaches or non-compliance.
|
|
|
Certifications and Audits
|
|
—
|
Information on any certifications, independent audits or assessments conducted on subcontractors to validate their security controls, quality standards or regulatory compliance.
|
|
—
|
Date and frequency of the audits of the subcontractors conducted by the critical ICT third-party service provider.
|
|
|
,
1.1 Atsauces
1.2 Identificētās prasības
1.3 Saistītie standarti
2. Identificētās prasības
3. Saistītie standarti
Saistītie uzdevumi
|