REGLAMENTO DELEGADO (UE) 2025/532 DE LA COMISIÓN de 24 de marzo de 2025 por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo en lo que respecta a las normas técnicas de regulación que especifican los elementos que debe determinar y evaluar una entidad financiera cuando subcontrata servicios de TIC que sustentan funciones esenciales o importantes (Texto pertinente a efectos del EEE)

(1)

La prestación de servicios de TIC a entidades financieras depende a menudo de una compleja cadena de subcontratistas de TIC, en la que los proveedores terceros de servicios de TIC pueden celebrar uno o varios acuerdos de subcontratación con otros proveedores terceros de servicios de TIC. La dependencia indirecta de subcontratistas de TIC puede afectar a la capacidad de una entidad financiera para determinar, evaluar y gestionar sus riesgos, incluidos los relacionados con lagunas en la información facilitada por proveedores terceros de servicios de TIC, y con la capacidad limitada de una entidad financiera para obtener información de los subcontratistas de TIC que prestan servicios de TIC que sustenten funciones esenciales o importantes, o partes sustanciales de ellas. A este respecto, cuando la prestación de servicios de TIC a entidades financieras dependa de una cadena potencialmente larga o compleja de subcontratistas de TIC, es esencial que las entidades financieras identifiquen la cadena global de subcontratistas que prestan servicios de TIC que sustentan funciones esenciales o importantes.

(2)

Entre los subcontratistas que presten servicios de TIC que sustenten funciones esenciales o importantes, las entidades financieras deben centrarse, en particular y de forma continua, en aquellos que respalden efectivamente el servicio de TIC que sustente funciones esenciales o importantes, especialmente todos los subcontratistas que presten servicios de TIC cuya perturbación afecte a la seguridad o la continuidad del servicio, tal como se establece en el registro de información a que se refiere el artículo 28, apartado 3, del Reglamento (UE) 2022/2554.

(3)

Las entidades financieras varían considerablemente en cuanto al tamaño, la estructura, la organización interna y la naturaleza y complejidad de sus actividades. Para garantizar la proporcionalidad, esta diversidad debe tenerse en cuenta al especificar qué elementos debe determinar y evaluar una entidad financiera cuando subcontrate servicios de TIC que sustenten funciones esenciales o importantes.

(4)

Cuando lo permitan las entidades financieras de conformidad con el artículo 30, apartado 2, del Reglamento (UE) 2022/2554, el uso de servicios de TIC subcontratados que sustenten funciones esenciales o importantes prestados por proveedores terceros de servicios de TIC no puede reducir la responsabilidad última de los órganos de dirección de las entidades financieras de gestionar sus riesgos y cumplir sus obligaciones legislativas y normativas. Cuando se permita la subcontratación de servicios de TIC que sustenten funciones esenciales o importantes, es fundamental que las entidades financieras tengan una visión clara y holística de los riesgos asociados a la subcontratación de tales servicios, de modo que puedan supervisar, gestionar y mitigar dichos riesgos. Por lo tanto, deberán evaluar esos riesgos antes de subcontratar tales servicios.

(5)

Los subcontratistas intragrupo de servicios de TIC que presten servicios de TIC que sustenten funciones esenciales o importantes o partes sustanciales de ellas, incluidos los subcontratistas intragrupo de servicios de TIC cuya propiedad total o colectiva esté en manos de entidades financieras pertenecientes al mismo sistema institucional de protección, deben considerarse subcontratistas de servicios de TIC.

(6)

En el contexto de un grupo, cuando proceda, la sociedad matriz de las entidades financieras debe velar por que la política sobre el recurso a subcontratistas de servicios de TIC que presten servicios de TIC que sustenten funciones esenciales o importantes, o partes sustanciales de ellas, se aplique de manera consistente y coherente dentro del grupo.

(7)

Es importante garantizar una gestión exhaustiva de los riesgos que pueden surgir cuando se subcontratan servicios de TIC que sustentan funciones esenciales o importantes. Por este motivo, las entidades financieras deben seguir los pasos del ciclo de vida de un acuerdo contractual para el uso de servicios de TIC que sustenten esas funciones y que sean prestados por proveedores terceros de servicios de TIC, también para los acuerdos de subcontratación. Por consiguiente, es necesario establecer requisitos para las entidades financieras que deben reflejarse en sus acuerdos contractuales con proveedores terceros de servicios de TIC en los que se permita el uso de servicios de TIC subcontratados que sustentan funciones esenciales o importantes.

(8)

Para mitigar los riesgos vinculados a la subcontratación, es necesario especificar las condiciones en las que los proveedores terceros de servicios de TIC pueden recurrir a subcontratistas para prestar servicios de TIC que sustenten funciones esenciales o importantes. A tal fin, los acuerdos contractuales de TIC entre entidades financieras y proveedores terceros de servicios de TIC deben establecer dichas condiciones, especialmente la planificación de los acuerdos de subcontratación, las evaluaciones de riesgos, la diligencia debida y el proceso de aprobación de nuevos acuerdos de subcontratación relativos a servicios de TIC que sustenten funciones esenciales o importantes o partes sustanciales de ellas, o los cambios importantes en los acuerdos existentes introducidos por el proveedor tercero de servicios de TIC.

(9)

Para determinar los riesgos que podrían surgir antes de que una entidad financiera celebre un acuerdo con un subcontratista de servicios de TIC, los proveedores terceros de servicios de TIC deben evaluar, de manera adecuada y proporcionada, la idoneidad de los posibles subcontratistas sobre la base de los acuerdos contractuales de TIC que el proveedor tercero de servicios de TIC haya celebrado con la entidad financiera. Por consiguiente, dichos acuerdos contractuales deben exigir al proveedor tercero de servicios de TIC, o a la entidad financiera directamente, según proceda, que evalúe los recursos del posible subcontratista, en particular sus conocimientos especializados, y si dispone de los recursos financieros, humanos y técnicos adecuados, así como que evalúe su seguridad de la información y su estructura organizativa, incluida la gestión de riesgos y los controles internos con los que debe contar el subcontratista.

(10)

Para mitigar las vulnerabilidades y amenazas que puedan plantear riesgos para sus sistemas y operaciones de TIC, las entidades financieras deben poder llevar a cabo un seguimiento del desempeño del servicio de TIC y ser informadas de cualquier cambio pertinente dentro de su cadena de subcontratación de servicios de TIC cuando dichos cambios se refieran a funciones esenciales o importantes.

(11)

Para que las entidades financieras puedan evaluar los riesgos asociados a los acuerdos de subcontratación o a los cambios sustanciales introducidos en ellos, los proveedores terceros de servicios de TIC deben informar a las entidades financieras a las que prestan servicios de TIC de todos estos nuevos acuerdos o cambios mucho antes de que comiencen a aplicarse. Por la misma razón, las entidades financieras deben tener derecho a terminar el contrato con el proveedor tercero de servicios de TIC cuando el resultado de su evaluación de riesgos muestre que los nuevos acuerdos o los cambios sustanciales conllevan un riesgo que supera su nivel de tolerancia.

(12)

Las Autoridades Europeas de Supervisión han llevado a cabo una consulta pública abierta sobre los proyectos de normas técnicas de regulación en que se basa el presente Reglamento, han analizado los costes y beneficios potenciales conexos y han recabado el dictamen de los grupos de partes interesadas de las AES establecidos de conformidad con el artículo 37 del Reglamento (UE) n.o 1093/2010 del Parlamento Europeo y del Consejo (2), el artículo 37 del Reglamento (UE) n.o 1094/2010 del Parlamento Europeo y del Consejo (3) y el artículo 37 del Reglamento (UE) n.o 1095/2010 del Parlamento Europeo y del Consejo (4).

(13)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (5), emitió su dictamen el 20 de agosto de 2024.