KOMMISSIONENS DELEGEREDE FORORDNING (EU) 2024/1773 af 13. marts 2024 om supplerende regler til Europa-Parlamentets og Rådets forordning (EU) 2022/2554 for så vidt angår reguleringsmæssige tekniske standarder, der præciserer det detaljerede indhold af politikken vedrørende de kontraktlige ordninger for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester (EØS-relevant tekst)

(1)

I henhold til rammen for digital operationel modstandsdygtighed i den finansielle sektor, der er fastsat ved forordning (EU) 2022/2554, skal finansielle enheder fastsætte visse centrale principper for styring af IKT-tredjepartsrisici, som er af særlig betydning, når finansielle enheder samarbejder med tredjepartsudbydere af IKT-tjenester om at understøtte deres kritiske eller vigtige funktioner.

(2)

Finansielle enheder skal som led i deres ramme for IKT-risikostyring vedtage og regelmæssigt gennemgå en strategi for IKT-tredjepartsrisiko. I overensstemmelse med artikel 28, stk. 2, i forordning (EU) 2022/2554 skal denne strategi omfatte en politik for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester. Den skal finde anvendelse på individuelt grundlag og, hvis det er relevant, på delkonsolideret og konsolideret grundlag.

(3)

Finansielle enheder varierer meget med hensyn til størrelse, struktur og intern organisation og med hensyn til karakteren og kompleksiteten af deres aktiviteter og transaktioner. Det er nødvendigt at tage hensyn til denne mangfoldighed, samtidig med at der indføres visse grundlæggende forskriftsmæssige krav, som er hensigtsmæssige for alle finansielle enheder, når de udvikler politikken vedrørende de kontraktlige ordninger for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner (»politikken«), og at sikre, at disse krav anvendes på en måde, der står i rimeligt for hold til formålet.

(4)

Hvis finansielle enheder tilhører en koncern, bør den modervirksomhed, der har ansvar for at fremlægge det konsoliderede eller delkonsoliderede koncernregnskab, derfor sikre, at politikken anvendes på en konsekvent og sammenhængende måde inden for koncernen.

(5)

Ved anvendelse af politikken bør koncerninterne udbydere IKT-tjenester, herunder dem, der ejes fuldt ud eller i fællesskab af finansielle enheder inden for samme institutsikringsordning, betragtes som tredjepartsudbydere af IKT-tjenester. De risici, som koncerninterne udbydere IKT-tjenester udgør, kan være forskellige, men de krav, der gælder for dem, er de samme i henhold til forordning (EU) 2022/2554. På samme måde bør politikken finde anvendelse på underleverandører, der leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf til tredjepartsudbydere af IKT-tjenester, hvis der er tale om en kæde af tredjepartsudbydere af IKT-tjenester.

(6)

Ledelsesorganets endelige ansvar for styringen af en finansiel enheds IKT-risiko er et overordnet princip, som også finder anvendelse på brugen af tredjepartsudbydere af IKT-tjenester. Dette ansvar bør yderligere omsættes i form af ledelsesorganets fortsatte engagement i kontrollen og overvågningen af IKT-risikostyring, herunder i vedtagelsen og gennemgangen af politikken, mindst én gang om året.

(7)

For at sikre passende rapportering til ledelsesorganet bør politikken klart præcisere og identificere det interne ansvar for godkendelse, forvaltning, kontrol og dokumentation af kontraktlige ordninger for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester (»kontraktlige ordninger«), herunder de IKT-tjenester, der leveres i henhold til kontraktlige ordninger som omhandlet i artikel 28, stk. 1, litra a), i forordning (EU) 2022/2554.

(8)

For at tage hensyn til alle mulige risici, der kan opstå, når der indgås kontrakter om IKT-tjenester, der understøtter kritiske eller vigtige funktioner, bør politikkens struktur følge alle trin i hver hovedfase af livscyklussen for kontraktlige ordninger med tredjepartsudbydere.

(9)

For at afbøde de konstaterede risici bør politikken beskrive planlægningen af kontraktlige ordninger, herunder risikovurderingen, due diligence- og godkendelsesprocessen for nye eller væsentlige ændringer af disse kontraktlige ordninger. For at styre de risici, der kan opstå, inden der indgås en kontraktlig ordning med en tredjepartsudbyder af IKT-tjenester, bør politikken fastlægge en passende og forholdsmæssigt afstemt proces for udvælgelse og vurdering af egnetheden af potentielle tredjepartsudbydere af IKT-tjenester og indeholde krav om, at den finansielle enhed skal tage hensyn til en ikkeudtømmende liste over elementer, som tredjepartsudbyderne af IKT-tjenester bør have indført. Listen bør omfatte elementer vedrørende tjenesteudbydernes forretningsmæssige omdømme, deres finansielle, menneskelige og tekniske ressourcer, deres informationssikkerhed, deres organisatoriske struktur, herunder risikostyring, og deres interne kontrol.

(10)

For at sikre en forsvarlig risikostyring i forbindelse med af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester, bør politikken indeholde oplysninger om gennemførelsen, overvågningen og forvaltningen af de kontraktlige ordninger, herunder på konsolideret og delkonsolideret grundlag, hvis det er relevant. Dette omfatter krav til kontraktbestemmelserne om gensidige forpligtelser for de finansielle enheder og tredjepartsudbyderne af IKT-tjenester, som bør fastsættes skriftligt. For at sikre et effektivt tilsyn og fremme modstandsdygtighed i tilfælde af ændringer i forretningsmodellen eller erhvervsklimaet bør politikken garantere de finansielle enheders eller udpegede tredjeparters og kompetente myndigheders ret til inspektioner og adgang til oplysninger, og den bør også yderligere præcisere exitstrategierne og opsigelsesprocesserne.

(11)

I det omfang tredjepartsudbydere af IKT-tjenester behandler personoplysninger, gælder denne politik og eventuelle kontraktlige ordninger dog med forbehold af eller supplerer forpligtelserne i henhold til Europa-Parlamentets og Rådets forordning (EU) 2016/679 (2), f.eks. til at have en skriftlig kontrakt, der beskriver behandlingen af personoplysninger, krav om at garantere sikkerheden i forbindelse med behandling af personoplysninger og fastsætter alle andre elementer, der kræves i henhold til nævnte forordning.

(12)

Det Fælles Udvalg af Europæiske Tilsynsmyndigheder, jf. artikel 54 i Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 (3), artikel 54 i Europa-Parlamentets og Rådets forordning (EU) nr. 1094/2010 (4) og artikel 54 i Europa-Parlamentets og Rådets forordning (EU) nr. 1095/2010 (5), har afholdt åbne offentlige høringer om det udkast til reguleringsmæssige tekniske standarder, som ligger til grund for denne forordning, analyseret de potentielle omkostninger og fordele ved de foreslåede standarder og anmodet om rådgivning fra interessentgruppen for banker, der er nedsat i henhold til artikel 37 i forordning (EU) nr. 1093/2010, interessentgruppen for forsikrings- og genforsikringsordninger og interessentgruppen for arbejdsmarkedspensionsordninger, der er nedsat i henhold til artikel 37 i forordning (EU) nr. 1094/2010, og interessentgruppen for værdipapirer og markeder, der er nedsat i henhold til artikel 37 i forordning (EU) nr. 1095/2010.

(13)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (6) og afgav en udtalelse den 24. januar 2024 —