REGULAMENTO DELEGADO (UE) 2025/295 DA COMISSÃO de 24 de outubro de 2024 que completa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que diz respeito às normas técnicas de regulamentação sobre a harmonização das condições que permitem o exercício de atividades de superintendência (Texto relevante para efeitos do EEE)

(1)

O quadro relativo à resiliência operacional digital do setor financeiro estabelecido pelo Regulamento (UE) 2022/2554 introduz um quadro da União de superintendência dos terceiros prestadores de serviços de tecnologias da informação e comunicação (TIC) ao setor financeiro designados como críticos em conformidade com o artigo 31.o do referido regulamento.

(2)

Um terceiro prestador de serviços de TIC que decida apresentar um pedido de designação voluntária como crítico deve facultar à Autoridade Europeia de Supervisão (AES) recetora todas as informações necessárias para demonstrar a sua criticalidade, de acordo com os princípios e critérios estabelecidos no Regulamento (UE) 2022/2554. Por este motivo, as informações a incluir no pedido de designação voluntária devem ser suficientemente pormenorizadas e abrangentes para permitir uma avaliação clara e completa da criticalidade nos termos do artigo 31.o, n.o 11, do referido regulamento. A AES competente deve rejeitar qualquer pedido incompleto e solicitar as informações em falta.

(3)

A identificação jurídica dos terceiros prestadores de serviços de TIC abrangidos pelo âmbito de aplicação das presentes normas técnicas de regulamentação deve estar alinhada com o código de identificação estabelecido no regulamento de execução da Comissão adotado em conformidade com o artigo 28.o, n.o 9, do Regulamento (UE) 2022/2554.

(4)

Após emitir recomendações dirigidas aos terceiros prestadores de serviços de TIC críticos, a autoridade fiscalizadora principal deve acompanhar o cumprimento das mesmas por parte dos destinatários. A fim de assegurar um acompanhamento eficiente e eficaz das ações empreendidas ou das medidas corretivas aplicadas pelos terceiros prestadores de serviços de TIC críticos em resposta a estas recomendações, a autoridade fiscalizadora principal deve poder solicitar os relatórios a que se refere o artigo 35.o, n.o 1, alínea c), do Regulamento (UE) 2022/2554, que devem ser concebidos como relatórios intercalares e relatórios finais.

(5)

Para efeitos da avaliação especificada no artigo 42.o, n.o 1, do Regulamento (UE) 2022/2554, segundo a qual a autoridade fiscalizadora principal é obrigada a avaliar se a explicação fornecida pelo terceiro prestador de serviços de TIC crítico é suficiente, a notificação à autoridade fiscalizadora principal pela entidade terceira prestadora de serviços no domínio das TIC considerada crítica da sua intenção de seguir as recomendações recebidas deve ser complementada por uma descrição das ações e medidas que foram tomadas para atenuar os riscos descritos nas recomendações, juntamente com os respetivos prazos. Essa explicação deve assumir a forma de um plano corretivo.

(6)

Uma vez que se espera que a autoridade fiscalizadora principal avalie os acordos de subcontratação do terceiro prestador de serviços de TIC crítico, há que desenvolver um modelo para a prestação de informações sobre tais acordos. O modelo deve ter em conta as diferenças entre as estruturas dos terceiros prestadores de serviços de TIC críticos e as das entidades financeiras.

(7)

Assim que emitir recomendações dirigidas a um terceiro prestador de serviços de TIC crítico, e após as autoridades competentes terem informado as entidades financeiras pertinentes dos riscos identificados nessas recomendações, a autoridade fiscalizadora principal deve acompanhar e avaliar a aplicação, por parte do terceiro prestador de serviços de TIC crítico, das ações e das medidas corretivas para dar cumprimento às recomendações. As autoridades competentes devem acompanhar e avaliar em que medida as entidades financeiras estão expostas aos riscos identificados nas recomendações. A fim de assegurar condições de concorrência equitativas para a realização das respetivas funções, em particular quando os riscos associados às recomendações forem graves e transversais a um elevado número de entidades financeiras de vários Estados-Membros. tanto as autoridades competentes como a autoridade fiscalizadora principal devem partilhar entre si todas as conclusões pertinentes que sejam necessárias para o exercício das respetivas atribuições. O objetivo da partilha de informações é assegurar que o retorno de informação da autoridade fiscalizadora principal ao terceiro prestador de serviços no domínio das TIC crítico em relação às ações e medidas corretivas que este último está a aplicar tenha em conta o impacto nos riscos das entidades financeiras e que as atividades de supervisão realizadas pelas autoridades competentes possam utilizar como base a avaliação realizada pela autoridade fiscalizadora principal.

(8)

A fim de permitir uma partilha de informações eficiente e eficaz, as autoridades competentes devem avaliar, no âmbito das suas atividades de supervisão, em que medida as entidades financeiras por elas supervisionadas estão expostas aos riscos identificados nas recomendações. Esta avaliação deve ser realizada de forma proporcionada e com base no risco. A autoridade fiscalizadora principal deve solicitar às autoridades competentes que partilhem os resultados desta avaliação nos casos específicos em que os riscos associados às recomendações sejam graves e transversais a um elevado número de entidades financeiras de vários Estados-Membros. A fim de tirar o maior partido possível dos recursos das autoridades competentes, ao solicitar os resultados desta avaliação, a autoridade fiscalizadora principal deve ter sempre em conta que o objetivo de tais pedidos é avaliar a aplicação de ações e medidas corretivas dos terceiros prestadores de serviços de TIC críticos.

(9)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (2) e emitiu parecer em 22 de julho de 2024.

(10)

O presente regulamento tem por base os projetos de normas técnicas de regulamentação apresentados pelas AES à Comissão.

(11)

O Comité Conjunto das AES realizou consultas públicas abertas sobre os projetos de normas técnicas de regulamentação em que se baseia o presente regulamento, analisou os potenciais custos e benefícios associados e solicitou o parecer do Grupo das Partes Interessadas do Setor Bancário criado em conformidade com o artigo 37.o do Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho (3), do Grupo de Interessados do Setor dos Seguros e Resseguros e do Grupo de Interessados do Setor das Pensões Complementares de Reforma, criados em conformidade com o artigo 37.o do Regulamento (UE) n.o 1094/2010 do Parlamento Europeu e do Conselho (4), e do Grupo de Interessados do Setor dos Valores Mobiliários e dos Mercados, criado em conformidade com o artigo 37.o do Regulamento (UE) n.o 1095/2010 do Parlamento Europeu e do Conselho (5),