REGULAMENTO DELEGADO (UE) 2025/532 DA COMISSÃO de 24 de março de 2025 que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita às normas técnicas de regulamentação que especificam os elementos que uma entidade financeira tem de determinar e avaliar ao subcontratar serviços de TIC que apoiem funções críticas ou importantes (Texto relevante para efeitos do EEE)

(1)

A prestação de serviços de TIC a entidades financeiras depende frequentemente de uma cadeia complexa de subcontratantes de TIC, no âmbito da qual os terceiros prestadores de serviços de TIC podem celebrar um ou mais acordos de subcontratação com outros terceiros prestadores de serviços de TIC. A dependência indireta de subcontratantes de TIC pode ter impacto na capacidade de uma entidade financeira para identificar, avaliar e gerir os seus riscos, nomeadamente os riscos relacionados com lacunas nas informações fornecidas por terceiros prestadores de serviços de TIC e com a capacidade limitada de uma entidade financeira para obter informações junto dos subcontratantes de TIC que prestam serviços de TIC que apoiam funções críticas ou importantes ou partes significativas das mesmas. Neste contexto, sempre que a prestação de serviços de TIC a entidades financeiras dependa de uma cadeia potencialmente longa ou complexa de subcontratantes de TIC, é fundamental que as entidades financeiras identifiquem toda a cadeia de subcontratantes que prestam serviços de TIC que apoiam funções críticas ou importantes.

(2)

De entre os subcontratantes que prestam serviços de TIC que apoiam funções críticas ou importantes, as entidades financeiras devem consagrar uma atenção especial e contínua aos subcontratantes que apoiam efetivamente o serviço de TIC que apoia funções críticas ou importantes, incluindo todos os subcontratantes que prestam serviços de TIC cuja perturbação prejudicaria a segurança ou a continuidade do serviço, tal como estabelecido no registo de informações a que se refere o artigo 28.o, n.o 3, do Regulamento (UE) 2022/2554.

(3)

As entidades financeiras variam consideravelmente em termos de dimensão, estrutura, organização interna e natureza e complexidade das suas atividades. A fim de assegurar a proporcionalidade, essa diversidade deve ser tida em conta ao especificar os elementos que uma entidade financeira deve determinar e avaliar ao subcontratar serviços de TIC que apoiem funções críticas ou importantes.

(4)

Sempre que permitida pelas entidades financeiras em conformidade com o artigo 30.o, n.o 2, do Regulamento (UE) 2022/2554, a utilização por terceiros prestadores de serviços de TIC de serviços de TIC subcontratados que apoiam funções críticas ou importantes não reduz a responsabilidade última dos órgãos de administração das entidades financeiras pela gestão dos seus riscos e pelo cumprimento das suas obrigações legislativas e regulamentares. Sempre que seja permitida a subcontratação de serviços de TIC que apoiam funções críticas ou importantes, é importante que as entidades financeiras tenham uma visão clara e holística dos riscos associados a essa subcontratação, de modo a que os possam monitorizar, gerir e atenuar. Por conseguinte, devem avaliar esses riscos antes de subcontratarem tais serviços.

(5)

Os subcontratantes de TIC intragrupo que prestam serviços de TIC que apoiam funções críticas ou importantes ou partes significativas das mesmas, incluindo os subcontratantes de TIC intragrupo que sejam total ou coletivamente detidos por entidades financeiras no âmbito do mesmo sistema de proteção institucional, devem ser considerados subcontratantes de TIC.

(6)

Se for caso disso, no contexto de um grupo, a empresa-mãe das entidades financeiras deve assegurar a aplicação consistente e coerente, no seio do grupo, da política relativa à utilização de subcontratantes de TIC que prestam serviços de TIC que apoiam funções críticas ou importantes ou uma parte significativa das mesmas.

(7)

É importante assegurar uma gestão abrangente dos riscos que possam surgir aquando da subcontratação de serviços de TIC que apoiam funções críticas ou importantes. Por esse motivo, as entidades financeiras devem seguir as etapas do ciclo de vida de um acordo contratual para a utilização de serviços de TIC que apoiem essas funções e que sejam prestados por terceiros prestadores de serviços de TIC, incluindo os acordos de subcontratação. Consequentemente, há que estabelecer requisitos que as entidades financeiras deverão refletir nos seus acordos contratuais com terceiros prestadores de serviços de TIC sempre que seja permitida a utilização de serviços de TIC subcontratados que apoiem funções críticas ou importantes.

(8)

A fim de atenuar os riscos associados à subcontratação, cumpre especificar as condições em que os terceiros prestadores de serviços de TIC podem recorrer a subcontratantes para a prestação de serviços de TIC que apoiam funções críticas ou importantes. Para o efeito, os acordos contratuais no domínio das TIC celebrados entre entidades financeiras e terceiros prestadores de serviços de TIC devem estabelecer tais condições, incluindo o planeamento dos acordos de subcontratação, as avaliações do risco, a devida diligência e o processo de aprovação de novos acordos de subcontratação no domínio das TIC relativos a serviços de TIC que apoiam funções críticas ou importantes ou a partes significativas das mesmas, ou o processo de aprovação de alterações significativas de acordos existentes efetuadas pelo terceiro prestador de serviços de TIC.

(9)

A fim de identificar — antes de uma entidade financeira celebrar um acordo com um subcontratante de TIC — os riscos que poderão surgir, os terceiros prestadores de serviços de TIC devem avaliar, de forma adequada e proporcional, a adequação dos potenciais subcontratantes com base nos acordos contratuais no domínio das TIC que o terceiro prestador de serviços de TIC celebrou com a entidade financeira. Por conseguinte, esses acordos contratuais no domínio das TIC devem exigir que o terceiro prestador de serviços de TIC, ou, consoante o caso, a própria entidade financeira, avalie os recursos do potencial subcontratante, nomeadamente os seus conhecimentos especializados e se dispõe dos recursos financeiros, humanos e técnicos adequados, bem como a segurança da informação e a estrutura organizativa desse subcontratante, incluindo a gestão dos riscos e os controlos internos de que deve dispor.

(10)

A fim de atenuar eventuais vulnerabilidades e ameaças suscetíveis de comportar riscos para os seus sistemas de TIC e operações, as entidades financeiras devem estar em condições de monitorizar o desempenho do serviço de TIC e de ser informadas de quaisquer alterações pertinentes na sua cadeia de subcontratação no domínio das TIC, sempre que tais alterações digam respeito a funções críticas ou importantes.

(11)

Para permitir que as entidades financeiras avaliem os riscos associados aos acordos de subcontratação ou a alterações significativas aos mesmos, os terceiros prestadores de serviços de TIC devem comunicar às entidades financeiras às quais prestam serviços de TIC todos os novos acordos ou alterações nesse contexto, com bastante antecedência em relação ao momento em que começarão a ser aplicados. Pela mesma razão, as entidades financeiras devem ter o direito de rescindir o contrato com o terceiro prestador de serviços de TIC sempre que o resultado da sua avaliação do risco demonstre que os novos acordos ou alterações significativas acarretam um nível de risco que ultrapassa o seu nível de tolerância ao risco.

(12)

As Autoridades Europeias de Supervisão realizaram uma consulta pública aberta sobre o projeto de normas técnicas de regulamentação em que o presente regulamento se baseia, analisaram os potenciais custos e benefícios conexos e solicitaram o aconselhamento dos Grupos das Partes Interessadas das AES estabelecidos em conformidade com o artigo 37.o do Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho (2), o artigo 37.o do Regulamento (UE) n.o 1094/2010 do Parlamento Europeu e do Conselho (3), e o artigo 37.o do Regulamento (UE) n.o 1095/2010 do Parlamento Europeu e do Conselho (4).

(13)

A Autoridade Europeia para a Proteção de Dados foi consultada em conformidade com o disposto no artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (5) e emitiu um parecer em 20 de agosto de 2024,