DELEGIRANA UREDBA KOMISIJE (EU) 2025/295 z dne 24. oktobra 2024 o dopolnitvi Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta v zvezi z regulativnimi tehničnimi standardi o harmonizaciji pogojev, ki omogočajo izvajanje nadzornih dejavnosti (Besedilo velja za EGP)

(1)

Okvir za digitalno operativno odpornost za finančni sektor, vzpostavljen z Uredbo (EU) 2022/2554, uvaja nadzorni okvir Unije za tretje ponudnike storitev informacijske in komunikacijske tehnologije (IKT) v finančnem sektorju, ki so imenovani za ključne ponudnike v skladu s členom 31 navedene uredbe.

(2)

Tretji ponudnik storitev IKT, ki se odloči predložiti zahtevek, s katerim prostovoljno zaprosi za imenovanje za ključnega ponudnika, bi moral evropskemu nadzornemu organu prejemniku zagotoviti vse potrebne informacije, da dokaže svojo kritičnost v skladu z načeli in merili iz Uredbe (EU) 2022/2554. Zato bi morale biti informacije, ki jih je treba vključiti v zahtevek, s katerim se prostovoljno zaprosi za imenovanje, dovolj podrobne in izčrpne, da omogočajo jasno in celovito oceno kritičnosti v skladu s členom 31(11) navedene uredbe. Ustrezni evropski nadzorni organ bi moral zavrniti vsak nepopolni zahtevek in zahtevati manjkajoče informacije.

(3)

Pravno identifikacijo tretjih ponudnikov storitev IKT v okviru področja uporabe tega regulativnega tehničnega standarda bi bilo treba uskladiti z identifikacijsko kodo iz Izvedbene uredbe Komisije, sprejete v skladu s členom 28(9) Uredbe (EU) 2022/2554.

(4)

Glavni nadzornik bi moral kot nadaljnji ukrep na podlagi priporočil, ki jih izda ključnim tretjim ponudnikom storitev IKT, spremljati, ali ključni tretji ponudniki storitev IKT upoštevajo priporočila. Za zagotovitev učinkovitega in uspešnega spremljanja sprejetih ukrepov ali popravnih ukrepov, ki so jih izvedli ključni tretji ponudniki storitev IKT v zvezi s temi priporočili, bi moral imeti glavni nadzornik možnost, da zahteva poročila iz člena 35(1), točka (c), Uredbe (EU) 2022/2554, ki bi morala biti zasnovana kot vmesna poročila o napredku in končna poročila.

(5)

Za namene ocene iz člena 42(1) Uredbe (EU) 2022/2554, s katero mora glavni nadzornik oceniti, ali je pojasnilo, ki ga je predložil ključni tretji ponudnik storitev IKT, zadostno, bi bilo treba uradno obvestilo ključnega tretjega ponudnika storitev IKT glavnemu nadzorniku o njegovi nameri, da bo upošteval prejeta priporočila, dopolniti z opisom ukrepov, ki so bili sprejeti za zmanjšanje tveganj, opisanih v priporočilih, skupaj z zadevnimi roki. Taka razlaga bi morala biti v obliki sanacijskega načrta.

(6)

Ker se od glavnega nadzornika pričakuje, da bo ocenil dogovore o podizvajanju ključnega tretjega ponudnika storitev IKT, je treba pripraviti predlogo za zagotavljanje informacij o teh dogovorih. Predloga bi morala upoštevati dejstvo, da imajo ključni tretji ponudniki storitev IKT drugačne strukture kot finančni subjekti.

(7)

Ko enkrat glavni nadzornik izda priporočila ključnemu tretjemu ponudniku storitev IKT in ko pristojni organi zadevne finančne subjekte obvestijo o tveganjih, opredeljenih v navedenih priporočilih, bi moral glavni nadzornik spremljati in oceniti, kako ključni tretji ponudnik storitev IKT izvaja ukrepe in popravne ukrepe za upoštevanje priporočil. Pristojni organi bi morali spremljati in oceniti, v kolikšni meri so finančni subjekti izpostavljeni tveganjem, opredeljenim v teh priporočilih. Da bi pristojni organi in glavni nadzornik pri opravljanju svojih nalog ohranili enake konkurenčne pogoje, zlasti kadar so tveganja, opredeljena v priporočilih, resna in se z njimi spopada veliko število finančnih subjektov v več državah članicah, bi si morali med seboj izmenjevati vse relevantne ugotovitve, ki jih potrebujejo za izvajanje svojih nalog. Cilj izmenjave informacij je zagotoviti, da se pri povratnih informacijah glavnega nadzornika ključnemu tretjemu ponudniku storitev IKT v zvezi z ukrepi in pravnimi sredstvi, ki jih ta izvaja, upošteva učinek teh ukrepov in pravnih sredstev na tveganja finančnih subjektov ter da so nadzorne dejavnosti, ki jih izvajajo pristojni organi, podprte z oceno, ki jo izvede glavni nadzornik.

(8)

Da se omogoči učinkovita in uspešna izmenjava informacij, bi morali pristojni organi v okviru svojih nadzornih dejavnosti oceniti, v kolikšni meri so finančni subjekti, ki jih nadzorujejo, izpostavljeni tveganjem, opredeljenim v priporočilih. To oceno bi bilo treba izvesti na način, ki je sorazmeren in temelji na tveganju. Glavni nadzornik bi moral pristojne organe v posebnih primerih, kadar so tveganja, opredeljena v priporočilih, resna in se z njimi spopadajo številni finančni subjekti v več državah članicah, zaprositi, da dajo na razpolago rezultate te ocene. Da bi čim bolje izkoristili vire pristojnih organov, bi moral glavni nadzornik, ko zahteva predložitev rezultatov te ocene, vedno upoštevati, da je cilj teh zahtev oceniti izvajanje ukrepov in popravnih ukrepov ključnih tretjih ponudnikov storitev IKT.

(9)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov (2), ki je mnenje podal 22. julija 2024.

(10)

Ta uredba temelji na osnutku regulativnih tehničnih standardov, ki so ga evropski nadzorni organi predložili Komisiji.

(11)

Skupni odbor evropskih nadzornih organov je o osnutku regulativnih tehničnih standardov, na katerem temelji ta uredba, opravil odprta javna posvetovanja, analiziral morebitne s tem povezane stroške in koristi ter prosil za nasvet interesno skupino za bančništvo, ustanovljeno v skladu s členom 37 Uredbe (EU) št. 1093/2010 Evropskega parlamenta in Sveta (3), interesno skupino za zavarovanja in pozavarovanja ter interesno skupino za poklicne pokojninske sklade, ustanovljeni v skladu s členom 37 Uredbe (EU) št. 1094/2010 Evropskega parlamenta in Sveta (4), ter interesno skupino za vrednostne papirje in trge, ustanovljeno v skladu s členom 37 Uredbe (EU) št. 1095/2010 Evropskega parlamenta in Sveta (5) –