REGULAMENTO DELEGADO (UE) 2024/1502 DA COMISSÃO de 22 de fevereiro de 2024 que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho especificando os critérios para a designação dos terceiros prestadores de serviços de TIC críticos para as entidades financeiras (Texto relevante para efeitos do EEE)

(1)

Para avaliar se um terceiro prestador de serviços de TIC é crítico para as entidades financeiras, e tendo em conta os critérios estabelecidos no artigo 31.o, n.o 2, do Regulamento (UE) 2022/2554, as Autoridades Europeias de Supervisão (AES) devem utilizar subcritérios numa avaliação em duas fases. Tendo em conta o número importante de serviços de TIC e a diversidade e o número de instituições financeiras que utilizam esses serviços, essa abordagem em duas fases deve ser adotada para filtrar a população de terceiros prestadores de serviços de TIC e identificar os prestadores de serviços de TIC mais críticos. Os subcritérios quantitativos que devem ser considerados no âmbito da primeira fase da avaliação são necessários para efetuar uma primeira seleção da população de terceiros prestadores de serviços de TIC para a qual será relevante efetuar uma análise mais aprofundada tendo em conta os subcritérios qualitativos que devem ser considerados parte da segunda fase da avaliação.

(2)

A medida em que o serviço de TIC prestado por um terceiro prestador de serviços de TIC apoia funções críticas ou importantes da entidade financeira é considerada em geral um elemento crucial da avaliação do caráter crítico. Por conseguinte, a importância das atividades das entidades financeiras que são apoiadas pelos serviços de TIC deve ser integrada em todos os subcritérios considerados no âmbito da primeira fase. Por conseguinte, não deve haver uma avaliação quantitativa distinta relacionada com o caráter crítico das funções das entidades financeiras no âmbito da primeira fase da avaliação. Em vez disso, é conveniente que as AES tenham em conta o caráter crítico e a importância das funções das entidades financeiras apoiadas por serviços de TIC no âmbito da segunda fase, qualitativa, da avaliação.

(3)

A avaliação deve ser efetuada por cada terceiro prestador de serviços de TIC ou, se for caso disso, por grupo de terceiros prestadores de serviços de TIC, caso o terceiro prestador de serviços de TIC pertença a um grupo, em conformidade com o artigo 31.o, n.o 3, do Regulamento (UE) 2022/2554. A fim de permitir uma avaliação exaustiva do potencial impacto sistémico no setor financeiro da União, os subcontratantes de TIC de terceiros prestadores de serviços de TIC deverão também ser sujeitos à avaliação pelas AES e, se for caso disso, designados como terceiros prestadores de serviços de TIC críticos.

(4)

A fim de determinar o impacto sistémico do terceiro prestador de serviços de TIC na estabilidade, na continuidade ou na qualidade da prestação de serviços financeiros, é da maior importância compreender claramente a extensão e a natureza do impacto sistémico que uma falha operacional em grande escala de um terceiro prestador de serviços de TIC teria nas entidades financeiras, que dependem dos serviços prestados por um terceiro prestador de serviços de TIC, bem como no sistema financeiro. Por conseguinte, é conveniente considerar o número de entidades financeiras de uma determinada categoria que utilizam os mesmos serviços de TIC, bem como o valor dos seus ativos, a fim de avaliar se é relevante considerar crítico o terceiro que presta esses serviços de TIC. Além disso, deverá ser realizada uma avaliação qualitativa da importância sistémica e da interligação dos terceiros prestadores de serviços de TIC, bem como da importância dos serviços prestados por um terceiro prestador de serviços de TIC na prestação de serviços financeiros pelas entidades financeiras, tendo em conta a estabilidade e a continuidade desses mesmos serviços, a fim de determinar o impacto sistémico do terceiro prestador de serviços de TIC nas atividades das entidades financeiras.

(5)

Para determinar o caráter sistémico e a importância das entidades financeiras que dependem dos serviços de TIC, é necessário ter em conta a natureza dessas entidades financeiras. Quando entidades financeiras classificadas como G-SII e O-SII ou identificadas como «sistémicas» dependem dos mesmos serviços de TIC para apoiar funções críticas ou importantes, é conveniente que o terceiro prestador de serviços de TIC que presta esses serviços seja considerado crítico para o setor financeiro da União. A interligação entre as entidades financeiras do setor financeiro da União que dependem de serviços de TIC prestados pelo mesmo terceiro prestador de serviços de TIC deverá também ser avaliada para determinar a dependência das entidades financeiras em relação a esse terceiro prestador de serviços de TIC.

(6)

Os serviços de TIC de apoio a funções críticas ou importantes das entidades financeiras devem ser avaliados em função do seu tipo e caráter crítico, que fazem com que sejam necessários para que as entidades financeiras exerçam as suas atividades sem perturbações.

(7)

Para determinar o grau de substituibilidade do prestador terceiro de serviços de TIC, é necessário ter em conta o número de terceiros prestadores de serviços de TIC ativos num determinado mercado, a existência de soluções alternativas para o mesmo serviço de TIC, bem como os custos da migração de dados e do trabalho envolvido no domínio das TIC para outros terceiros prestadores de serviços de TIC, no âmbito da avaliação a realizar pelas AES.

(8)

A fim de assegurar a solidez do processo de avaliação, é importante que as AES se baseiem nos dados dos registos de informações a que se refere o artigo 28.o, n.o 3, do Regulamento (UE) 2022/2554 para avaliar se os terceiros prestadores de serviços de TIC devem ser designados como críticos,