ΚΑΤ’ ΕΞΟΥΣΙΟΔΟΤΗΣΗ ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2025/532 ΤΗΣ ΕΠΙΤΡΟΠΗΣ της 24ης Μαρτίου 2025 για τη συμπλήρωση του κανονισμού (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά τα ρυθμιστικά τεχνικά πρότυπα για τον προσδιορισμό των στοιχείων τα οποία πρέπει να καθορίζει και να αξιολογεί η χρηματοοικονομική οντότητα κατά την υπεργολαβική ανάθεση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

(1)

Η παροχή υπηρεσιών ΤΠΕ σε χρηματοοικονομικές οντότητες συχνά εξαρτάται από μια πολύπλοκη αλυσίδα υπεργολάβων ΤΠΕ, στο πλαίσιο της οποίας οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ μπορούν να συνάπτουν μία ή περισσότερες ρυθμίσεις υπεργολαβίας με άλλους τρίτους παρόχους υπηρεσιών ΤΠΕ. Η έμμεση εξάρτηση από υπεργολάβους ΤΠΕ μπορεί να έχει αντίκτυπο στην ικανότητα της χρηματοοικονομικής οντότητας να εντοπίζει, να αξιολογεί και να διαχειρίζεται τους κινδύνους της, συμπεριλαμβανομένων των κινδύνων που σχετίζονται με κενά στις πληροφορίες που παρέχουν οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ και με την περιορισμένη ικανότητα της χρηματοοικονομικής οντότητας να λαμβάνει πληροφορίες από τους υπεργολάβους ΤΠΕ που παρέχουν υπηρεσίες ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες ή σημαντικά μέρη τους. Στο πλαίσιο αυτό, όταν η παροχή υπηρεσιών ΤΠΕ σε χρηματοοικονομικές οντότητες εξαρτάται από μια δυνητικά μακρά ή πολύπλοκη αλυσίδα υπεργολάβων ΤΠΕ, είναι σημαντικό οι χρηματοοικονομικές οντότητες να προσδιορίζουν τη συνολική αλυσίδα υπεργολάβων που παρέχουν υπηρεσίες ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες.

(2)

Μεταξύ των υπεργολάβων που παρέχουν υπηρεσίες ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, οι χρηματοοικονομικές οντότητες θα πρέπει να επικεντρώνονται ειδικότερα και συνεχώς στους υπεργολάβους που στηρίζουν αποτελεσματικά την υπηρεσία ΤΠΕ η οποία υποστηρίζει κρίσιμες ή σημαντικές λειτουργίες, συμπεριλαμβανομένων όλων των υπεργολάβων που παρέχουν υπηρεσίες ΤΠΕ των οποίων η διαταραχή θα έθιγε την ασφάλεια ή τη συνέχεια της υπηρεσίας, όπως προβλέπεται στο μητρώο πληροφοριών που αναφέρεται στο άρθρο 28 παράγραφος 3 του κανονισμού (ΕΕ) 2022/2554.

(3)

Οι χρηματοοικονομικές οντότητες διαφέρουν σημαντικά ως προς το μέγεθος, τη δομή, την εσωτερική οργάνωση, καθώς και ως προς τη φύση και την πολυπλοκότητα των δραστηριοτήτων τους. Για να διασφαλιστεί η αναλογικότητα, θα πρέπει να λαμβάνεται υπόψη η εν λόγω πολυμορφία κατά τον προσδιορισμό των στοιχείων που θα πρέπει να καθορίζει και να αξιολογεί η χρηματοοικονομική οντότητα κατά την υπεργολαβική ανάθεση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες.

(4)

Όταν επιτρέπεται από τις χρηματοοικονομικές οντότητες σύμφωνα με το άρθρο 30 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554, η υπεργολαβική ανάθεση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες από τρίτους παρόχους υπηρεσιών ΤΠΕ δεν μπορεί να μειώνει την τελική ευθύνη των διοικητικών οργάνων των χρηματοοικονομικών οντοτήτων για τη διαχείριση των κινδύνων τους και τη συμμόρφωση με τις νομοθετικές και κανονιστικές υποχρεώσεις τους. Όταν επιτρέπεται η υπεργολαβική ανάθεση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, είναι σημαντικό οι χρηματοοικονομικές οντότητες να έχουν σαφή και ολιστική εικόνα των κινδύνων που συνδέονται με την υπεργολαβική ανάθεση υπηρεσιών οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, ώστε να είναι σε θέση να παρακολουθούν, να διαχειρίζονται και να μετριάζουν τους εν λόγω κινδύνους. Συνεπώς, θα πρέπει να αξιολογούν τους εν λόγω κινδύνους πριν από την υπεργολαβική ανάθεση των εν λόγω υπηρεσιών.

(5)

Οι ενδοομιλικοί υπεργολάβοι ΤΠΕ που παρέχουν υπηρεσίες ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες ή σημαντικά μέρη τους, συμπεριλαμβανομένων των ενδοομιλικών υπεργολάβων ΤΠΕ που ανήκουν εξολοκλήρου ή συλλογικά σε χρηματοοικονομικές οντότητες εντός του ίδιου θεσμικού συστήματος προστασίας, θα πρέπει να θεωρούνται υπεργολάβοι ΤΠΕ.

(6)

Κατά περίπτωση, στο πλαίσιο ομίλου, η μητρική επιχείρηση των χρηματοοικονομικών οντοτήτων θα πρέπει να διασφαλίζει ότι η πολιτική σχετικά με τη χρήση υπεργολάβων ΤΠΕ που παρέχουν υπηρεσίες ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες ή σημαντικό μέρος τους εφαρμόζεται με συνεπή και συνεκτικό τρόπο εντός του ομίλου.

(7)

Είναι σημαντικό να διασφαλιστεί η ολοκληρωμένη διαχείριση των κινδύνων που μπορούν να προκύψουν κατά την υπεργολαβική ανάθεση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες. Γι’ αυτόν τον λόγο, οι χρηματοοικονομικές οντότητες θα πρέπει να ακολουθούν τα στάδια του κύκλου ζωής μιας συμβατικής ρύθμισης για τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν τις εν λόγω λειτουργίες και παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ, μεταξύ άλλων για ρυθμίσεις υπεργολαβίας. Κατά συνέπεια, είναι αναγκαίο να καθοριστούν απαιτήσεις για τις χρηματοοικονομικές οντότητες, οι οποίες θα πρέπει να αποτυπώνονται στις συμβατικές ρυθμίσεις τους με τρίτους παρόχους υπηρεσιών ΤΠΕ όταν επιτρέπεται η υπεργολαβική ανάθεση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες.

(8)

Για τον μετριασμό των κινδύνων που συνδέονται με την υπεργολαβική ανάθεση, είναι αναγκαίο να προσδιοριστούν οι προϋποθέσεις υπό τις οποίες οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ μπορούν να χρησιμοποιούν υπεργολάβους για την παροχή υπηρεσιών ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες. Γι’ αυτόν τον σκοπό, οι συμβατικές ρυθμίσεις ΤΠΕ μεταξύ χρηματοοικονομικών οντοτήτων και τρίτων παρόχων υπηρεσιών ΤΠΕ θα πρέπει να καθορίζουν τις εν λόγω προϋποθέσεις, μεταξύ άλλων τον σχεδιασμό των ρυθμίσεων υπεργολαβίας, τις εκτιμήσεις κινδύνου, τη δέουσα επιμέλεια και τη διαδικασία έγκρισης για νέες ρυθμίσεις υπεργολαβίας ΤΠΕ σχετικά με τις υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες ή σημαντικά μέρη τους, ή για ουσιώδεις αλλαγές σε υφιστάμενες ρυθμίσεις που πραγματοποιούνται από τον τρίτο πάροχο υπηρεσιών ΤΠΕ.

(9)

Για τον προσδιορισμό των κινδύνων που θα μπορούσαν να προκύψουν προτού μια χρηματοοικονομική οντότητα συνάψει συμφωνία με υπεργολάβο ΤΠΕ, οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ θα πρέπει να αξιολογούν, με κατάλληλο και αναλογικό τρόπο, την καταλληλότητα των δυνητικών υπεργολάβων βάσει των συμβατικών ρυθμίσεων ΤΠΕ που έχει συνάψει ο τρίτος πάροχος υπηρεσιών ΤΠΕ με τη χρηματοοικονομική οντότητα. Συνεπώς, με βάση τις εν λόγω συμβατικές ρυθμίσεις ΤΠΕ, ο τρίτος πάροχος υπηρεσιών ΤΠΕ ή η χρηματοοικονομική οντότητα απευθείας, κατά περίπτωση, θα πρέπει να αξιολογεί τους πόρους του δυνητικού υπεργολάβου, μεταξύ άλλων την εμπειρογνωσία του και αν διαθέτει τους κατάλληλους οικονομικούς, ανθρώπινους και τεχνικούς πόρους, την ασφάλεια των πληροφοριών και την οργανωτική δομή του, συμπεριλαμβανομένων των εσωτερικών δικλείδων ασφάλειας και της διαχείρισης κινδύνων που θα πρέπει να εφαρμόζει ο υπεργολάβος.

(10)

Για τον μετριασμό τυχόν ευπαθειών και απειλών που ενδέχεται να ενέχουν κινδύνους για τα οικεία συστήματα και λειτουργίες ΤΠΕ, οι χρηματοοικονομικές οντότητες θα πρέπει να είναι σε θέση να παρακολουθούν την εκτέλεση της υπηρεσίας ΤΠΕ και να ενημερώνονται για τυχόν σχετικές αλλαγές στην οικεία αλυσίδα υπεργολαβίας ΤΠΕ, όταν οι εν λόγω αλλαγές αφορούν κρίσιμες ή σημαντικές λειτουργίες.

(11)

Για να μπορούν οι χρηματοοικονομικές οντότητες να αξιολογούν τους κινδύνους που συνδέονται με τις ρυθμίσεις υπεργολαβίας ή με τις ουσιώδεις αλλαγές σε αυτές, οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ θα πρέπει να ενημερώνουν τις χρηματοοικονομικές οντότητες στις οποίες παρέχουν υπηρεσίες ΤΠΕ σχετικά με όλες τις εν λόγω νέες ρυθμίσεις ή αλλαγές πολύ πριν από την έναρξη εφαρμογής τους. Για τον ίδιο λόγο, οι χρηματοοικονομικές οντότητες θα πρέπει να έχουν το δικαίωμα να καταγγείλουν τη σύμβαση με τον τρίτο πάροχο υπηρεσιών ΤΠΕ όταν το αποτέλεσμα της εκτίμησης κινδύνου που διενεργούν δείχνει ότι οι νέες ρυθμίσεις ή οι ουσιώδεις αλλαγές ενέχουν επίπεδο κινδύνου που υπερβαίνει το επίπεδο της οικείας ανοχής κινδύνου.

(12)

Οι Ευρωπαϊκές Εποπτικές Αρχές διεξήγαγαν ανοικτή δημόσια διαβούλευση σχετικά με τα σχέδια ρυθμιστικών τεχνικών προτύπων στα οποία βασίζεται ο παρών κανονισμός, ανέλυσαν τα δυνητικά συναφή κόστη και οφέλη και ζήτησαν τη γνώμη των ομάδων συμφεροντούχων των ΕΕΑ που έχουν συσταθεί σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1093/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (2), το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1094/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (3) και το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1095/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4).

(13)

Σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5), ζητήθηκε η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων, ο οποίος γνωμοδότησε στις 20 Αυγούστου 2024,