ДЕЛЕГИРАН РЕГЛАМЕНТ (ЕС) 2024/1773 НА КОМИСИЯТА от 13 март 2024 година за допълнение на Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета по отношение на регулаторните технически стандарти, с които се доуточнява подробното съдържание на политиката по отношение на договорните споразумения за използването на услуги в областта на ИКТ, поддържащи критични или важни функции, предоставяни от трети страни доставчици на услуги в областта на ИКТ (текст от значение за ЕИП)

(1)

Рамката за оперативна устойчивост на цифровите технологии във финансовия сектор, установена с Регламент (ЕС) 2022/2554, изисква финансовите субекти да определят някои основни принципи за управление на риска в областта на ИКТ, пораждан от трета страна, които са особено важни, когато финансовите субекти прибягват до трети страни доставчици на услуги в областта на ИКТ, за да поддържат изпълняваните от тях критични или важни функции.

(2)

Като част от своята рамка за управление на риска в областта на ИКТ финансовите субекти трябва да приемат и редовно да преразглеждат стратегия за риска в областта на ИКТ, пораждан от трети страни. В съответствие с член 28, параграф 2 от Регламент (ЕС) 2022/2554 тази стратегия трябва да включва политика за използването на услуги в областта на ИКТ, поддържащи критични или важни функции, предоставяни от трети страни доставчици на услуги в областта на ИКТ. Тя трябва да се прилага както на индивидуална основа, така и, според случая, на подконсолидирана и консолидирана основа.

(3)

Финансовите субекти се различават значително по размера, структурата и вътрешната си организация, както и по естеството и сложността на своите дейности и операции. Необходимо е да се вземе предвид това разнообразие, като същевременно при разработването на политиката относно договорните споразумения за използването на услуги в областта на ИКТ, поддържащи критични или важни функции, предоставяни от трети страни доставчици на услуги в областта на ИКТ („политиката“), бъдат наложени определени основни регулаторни изисквания, които са подходящи за всички финансови субекти, както и да се гарантира, че тези изисквания се прилагат по пропорционален начин.

(4)

Следователно, когато финансовите субекти са част от група, предприятието майка, което отговаря за предоставянето на консолидираните или подконсолидираните финансови отчети на групата, следва да се увери, че политиката се прилага последователно и съгласувано в рамките на групата.

(5)

При прилагането на политиката вътрешногруповите доставчици на услуги в областта на ИКТ, включително изцяло или колективно притежаваните от финансови субекти в рамките на една и съща институционална защитна схема, следва да се смятат за трети страни доставчици на услуги в областта на ИКТ. Рисковете, породени от вътрешногрупови доставчици на услуги в областта на ИКТ, може да са различни, но приложимите за тях изисквания са същите като определените в Регламент (ЕС) 2022/2554. По подобен начин политиката следва да се прилага за подизпълнители, които предоставят услуги в областта на ИКТ, поддържащи критични или важни функции или съществени части от тях, на трети страни доставчици на услуги в областта на ИКТ, когато съществува верига от трети страни доставчици на услуги в областта на ИКТ.

(6)

Крайната отговорност на ръководния орган на финансовия субект при управлението на риска в областта на ИКТ е основополагащ принцип, който се прилага и по отношение на използването на трети страни доставчици на услуги в областта на ИКТ. Тази отговорност следва да се превърне в непрекъсната ангажираност на ръководния орган с контрола и наблюдението на управлението на риска в областта на ИКТ, включително с приемането и преразглеждането на политиката най-малко веднъж годишно.

(7)

За да се гарантира подходящо докладване пред ръководния орган, в политиката следва ясно да се уточнят и определят вътрешните отговорности за одобряването, управлението, контрола и документирането на договорните споразумения за използването на услуги в областта на ИКТ, поддържащи критични или важни функции, предоставяни от трети страни доставчици на услуги в областта на ИКТ („договорни споразумения“), включително услугите в областта на ИКТ, предоставяни по договорни споразумения, посочени в член 28, параграф 1, буква а) от Регламент (ЕС) 2022/2554.

(8)

За да се вземат предвид всички възможни рискове, които може да възникнат при договарянето на услуги в областта на ИКТ, поддържащи критична или важна функция, е уместно структурата на политиката да следва всички стъпки на всяка основна фаза от жизнения цикъл на договорните споразумения с трети страни доставчици.

(9)

С цел да се намалят идентифицираните рискове, в политиката следва да се предвиди планирането на договорните споразумения, включително оценката на риска, надлежната проверка и процедурата за одобряване на нови или съществени промени в тези договорни споразумения. За да се управляват рисковете, които може да възникнат преди сключването на договорно споразумение с трета страна доставчик на услуги в областта на ИКТ, в политиката следва да се уточни подходящ и пропорционален процес на подбор и оценка на пригодността на бъдещите трети страни доставчици на услуги в областта на ИКТ и от финансовия субект да се изисква да взема предвид неизчерпателен списък от елементи, с които третите страни доставчици на услуги в областта на ИКТ трябва да разполагат. Списъкът следва да включва елементи, свързани с бизнес репутацията на доставчиците на услуги, с финансовите, с човешките и с техническите им ресурси, с тяхната информационна сигурност, организационна структура, включително управлението на риска, и с техния вътрешен контрол.

(10)

За да се осигури добро управление на риска при предоставянето на услуги в областта на ИКТ, поддържащи критични или важни функции, от трети страни доставчици на услуги в областта на ИКТ, политиката следва да съдържа информация относно изпълнението, наблюдението и управлението на договорните споразумения, включително на консолидирано и подконсолидирано равнище, според случая. Това включва изисквания за договорните клаузи относно взаимните задължения на финансовите субекти и третите страни доставчици на услуги в областта на ИКТ, които следва да бъдат изложени в писмен вид. С цел да се осигури ефективен надзор и да се насърчи устойчивостта в случай на промени в бизнес модела или бизнес средата, в политиката следва да се гарантират правата на финансовите субекти или на определените трети страни и на компетентните органи за проверки и достъп до информация, както и да се доуточнят изходните стратегии и процедурите за прекратяване.

(11)

Доколкото личните данни се обработват от трети страни доставчици на услуги в областта на ИКТ, тази политика и всички договорни споразумения не трябва да засягат и следва да допълват задълженията по Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (2), като например въвеждането на писмен договор, в който се описва обработването на личните данни, изискването за гарантиране на сигурността на обработването на личните данни и определянето на всички други елементи съгласно изискванията на посочения регламент.

(12)

Съвместният комитет на европейските надзорни органи, посочен в член 54 от Регламент (ЕС) № 1093/2010 на Европейския парламент и на Съвета (3), в член 54 от Регламент (ЕС) № 1094/2010 на Европейския парламент и на Съвета (4) и в член 54 от Регламент (ЕС) № 1095/2010 на Европейския парламент и на Съвета (5), проведе открити обществени консултации по проектите на регулаторни технически стандарти, въз основа на които е изготвен настоящият регламент, анализира потенциалните разходи и ползи от предложените стандарти и поиска мнението на Групата на участниците от банковия сектор, създадена в съответствие с член 37 от Регламент (ЕС) № 1093/2010, Групата на участниците от сектора на застраховането и презастраховането, създадена в съответствие с член 37 от Регламент (ЕС) № 1094/2010, и Групата на участниците от сектора на ценните книжа и пазарите, създадена в съответствие с член 37 от Регламент (ЕС) № 1095/2010.

(13)

В съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (6) беше проведена консултация с Европейския надзорен орган по защита на данните, който прие становище на 24 януари 2024 г.,