GEDELEGEERDE VERORDENING (EU) 2025/295 VAN DE COMMISSIE van 24 oktober 2024 tot aanvulling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad met betrekking tot technische reguleringsnormen voor de harmonisatie van de voorwaarden voor de uitoefening van de oversightactiviteiten (Voor de EER relevante tekst)

(1)

Bij het kader inzake digitale operationele weerbaarheid voor de financiële sector dat is opgezet bij Verordening (EU) 2022/2554, wordt een Unie-oversightkader ingevoerd voor derde aanbieders van diensten van informatie- en communicatietechnologie (ICT-diensten) aan de financiële sector die zijn aangewezen als cruciaal in overeenstemming met artikel 31 van die verordening.

(2)

Een derde aanbieder van ICT-diensten die besluit een vrijwillig verzoek in te dienen om te worden aangewezen als cruciaal, moet de Europese toezichthoudende autoriteit (ETA) die dit verzoek ontvangt, alle nodige informatie verstrekken waaruit blijkt dat deze een kritieke ICT-dienstverlener is volgens de beginselen en criteria van Verordening (EU) 2022/2554. Derhalve moet de in het vrijwillige verzoek op te nemen informatie gedetailleerd en volledig genoeg zijn om een duidelijke en volledige beoordeling van het kritieke karakter van de aanbieder uit hoofde van artikel 31, lid 11, van die verordening mogelijk te maken. De desbetreffende ETA moet onvolledige verzoeken weigeren en om de ontbrekende informatie verzoeken.

(3)

Voor de juridische aanduiding van derde aanbieders van ICT-diensten binnen het toepassingsgebied van deze technische reguleringsnormen moet gebruik worden gemaakt van de identificatiecode uit de uitvoeringsverordening van de Commissie die in overeenstemming met artikel 28, lid 9, van Verordening (EU) 2022/2554 is vastgesteld.

(4)

In vervolg op de aanbevelingen van de lead overseer aan kritieke derde aanbieders van ICT-diensten moet de lead overseer de naleving, door de kritieke derde aanbieders van ICT-diensten, van de aanbevelingen monitoren. Voor een doelmatige en doeltreffende monitoring van de actie die is ondernomen of corrigerende maatregelen die zijn getroffen door kritieke derde aanbieders van ICT-diensten in verband met deze aanbevelingen, moet de lead overseer kunnen verzoeken om de in artikel 35, lid 1, punt c), van Verordening (EU) 2022/2554 bedoelde verslagen, waaronder tussentijdse voortgangsverslagen en eindverslagen moeten worden verstaan.

(5)

In het kader van de beoordeling uit hoofde van artikel 42, lid 1, van Verordening (EU) 2022/2554, volgens welk de lead overseer moet evalueren of de motivatie van de kritieke derde aanbieder van ICT-diensten toereikend is, moet de kennisgeving, aan de lead overseer, van de kritieke derde aanbieder van ICT-diensten van diens voornemen om de ontvangen aanbevelingen op te volgen, worden aangevuld met een beschrijving van de ondernomen actie en genomen maatregelen om de in de aanbevelingen geschetste risico’s te beperken, samen met de respectieve termijnen daarvoor. Een dergelijke motivatie moet de vorm aannemen van een correctieplan.

(6)

Omdat van de lead overseer wordt verwacht dat deze de onderaannemingsovereenkomsten van de kritieke derde aanbieder van ICT-diensten beoordeelt, moet een model worden ontwikkeld voor de verstrekking van informatie over dergelijke regelingen. Voor dit model moet rekening worden gehouden met het feit dat kritieke derde aanbieders van ICT-diensten een andere structuur hebben dan financiële entiteiten.

(7)

Nadat de lead overseer een kritieke derde aanbieder van ICT-diensten aanbevelingen heeft gedaan en de bevoegde autoriteiten de relevante financiële entiteiten op de hoogte hebben gebracht van de risico’s die in die aanbevelingen zijn geconstateerd, moet de lead overseer de uitvoering door de kritieke derde aanbieder van ICT-diensten van de acties en corrigerende maatregelen om aan de aanbevelingen te voldoen, monitoren en beoordelen. De bevoegde autoriteiten moeten monitoren en beoordelen in hoeverre de financiële entiteiten zijn blootgesteld aan de in deze aanbevelingen geconstateerde risico’s. Met het oog op het behoud van een gelijk speelveld bij de uitvoering van hun respectieve taken, met name wanneer de in de aanbevelingen geconstateerde risico’s ernstig zijn en een groot aantal financiële entiteiten in meerdere lidstaten raken, moeten zowel de bevoegde autoriteiten als de lead overseer onderling relevante bevindingen uitwisselen die nodig zijn voor de uitvoering van hun respectieve taken. De informatie-uitwisseling heeft tot doel ervoor te zorgen dat in de feedback van de lead overseer aan de kritieke derde aanbieder van ICT-diensten over de acties en corrigerende maatregelen die deze laatste uitvoert, rekening wordt gehouden met de gevolgen voor de risico’s van de financiële entiteiten, en dat de beoordeling van de lead overseer als input dient voor de toezichtactiviteiten van de bevoegde autoriteiten.

(8)

Om een doelmatige en doeltreffende informatie-uitwisseling mogelijk te maken, moeten de bevoegde autoriteiten in het kader van hun toezichtactiviteiten beoordelen in hoever de financiële entiteiten waarop zij toezicht houden, zijn blootgesteld aan de in de aanbevelingen gesignaleerde risico’s. Deze beoordeling moet op evenredige wijze worden uitgevoerd en risicogebaseerd zijn. Ingeval de in de aanbevelingen gesignaleerde risico’s ernstig zijn en een groot aantal financiële entiteiten in meerdere lidstaten raken, moet de lead overseer van de bevoegde autoriteiten de resultaten van deze beoordeling opvragen bij de bevoegde autoriteiten. Om een optimale benutting van de middelen van bevoegde autoriteiten te waarborgen, moet de lead overseer die om de resultaten van de beoordeling verzoekt, er telkens rekening mee houden dat deze verzoeken bedoeld zijn voor de evaluatie van de uitvoering van acties en corrigerende maatregelen van de kritieke derde aanbieders van ICT-diensten.

(9)

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (2) en heeft op 22 juli 2024 een advies uitgebracht.

(10)

Deze verordening berust op de ontwerpen van technische reguleringsnormen die de ETA’s bij de Commissie hebben ingediend.

(11)

Het Gemengd Comité van de ETA’s heeft openbare raadplegingen gehouden over de ontwerpen van technische reguleringsnormen waarop deze verordening is gebaseerd, de mogelijke kosten en baten ervan geanalyseerd en het advies ingewonnen van de overeenkomstig artikel 37 van Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad (3) opgerichte Stakeholdergroep bankwezen, van de overeenkomstig artikel 37 van Verordening (EU) nr. 1094/2010 van het Europees Parlement en de Raad (4) opgerichte Stakeholdergroep verzekeringen en herverzekeringen en Stakeholdergroep bedrijfspensioenen, en van de overeenkomstig artikel 37 van Verordening (EU) nr. 1095/2010 van het Europees Parlement en de Raad (5) opgerichte Stakeholdergroep effecten en markten,