Preamble: 1

(1)

Määrusega (EL) 2022/2554 kehtestatud finantssektori digitaalse tegevuskerksuse raamistiku kohaselt peavad finantssektori ettevõtjad sätestama kolmandast isikust tuleneva IKT-riski juhtimise teatavad peamised põhimõtted, mis on eriti olulised, kui finantssektori ettevõtjad kasutavad kolmandast isikust IKT-teenuste osutajaid, et toetada oma kriitilise tähtsusega või olulisi funktsioone.

(2)

Finantssektori ettevõtjad peavad oma IKT-riski juhtimise raamistiku osana võtma vastu kolmandast isikust tuleneva IKT-riski strateegia ja vaatama selle korrapäraselt läbi. Kooskõlas määruse (EL) 2022/2554 artikli 28 lõikega 2 peab see strateegia hõlmama kolmandast isikust IKT-teenuste osutajate osutavate, kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste kasutamise põhimõtteid. Seda kohaldatakse individuaalselt ning asjakohasel juhul allkonsolideeritud ja konsolideeritud alusel.

(3)

Finantssektori ettevõtjate suurus, struktuur ja sisemine korraldus ning nende tegevuse ja toimingute laad ja keerukus on väga erinevad. Seda mitmekesisust tuleb arvesse võtta, kehtestades samal ajal teatavad regulatiivsed põhinõuded, mis on asjakohased kõigi finantssektori ettevõtjate puhul, kui need töötavad välja põhimõtteid, mis käsitlevad kolmandast isikust IKT-teenuste osutajate osutatavate, kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste kasutamist (edaspidi „põhimõtted“), ning tagada, et neid nõudeid kohaldatakse proportsionaalselt.

(4)

Kui finantssektori ettevõtjad kuuluvad kontserni, peaks emaettevõtja, kes vastutab kontserni konsolideeritud või allkonsolideeritud finantsaruannete esitamise eest, tagama, et põhimõtteid rakendatakse kontsernis järjepidevalt ja sidusalt.

(5)

Põhimõtete kohaldamisel tuleks kontsernisiseseid IKT-teenuste osutajaid, sealhulgas neid, kes on täielikult või ühiselt samasse finantsinstitutsioonide kaitseskeemi kuuluvate finantssektori ettevõtjate omandis, käsitada kolmandast isikust IKT-teenuste osutajatena. Kontsernisisestest IKT-teenuste osutajatest tulenevad riskid võivad olla erinevad, kuid nende suhtes kohaldatavad nõuded on samad vastavalt määrusele (EL) 2022/2554. Samamoodi tuleks põhimõtteid kohaldada alltöövõtjate suhtes, kes osutavad kolmandast isikust IKT-teenuste osutajatele kriitilise tähtsusega või olulisi funktsioone või nende olulisi osi toetavaid IKT-teenuseid, kui on olemas kolmandast isikust IKT-teenuste osutajate ahel.

(6)

Juhtorgani lõplik vastutus finantssektori ettevõtja IKT-riski juhtimise eest on üldpõhimõte, mida kohaldatakse ka kolmandast isikust IKT-teenuste osutajate kasutamise korral. See vastutus peaks väljenduma juhtorgani pidevas osalemises IKT-riskide juhtimise kontrollis ja jälgimises, sealhulgas põhimõtete vastuvõtmises ja vähemalt kord aastas läbivaatamises.

(7)

Selleks et tagada asjakohane aruandlus juhtorganile, tuleks põhimõtetega selgelt kindlaks määrata kolmandast isikust IKT-teenuste osutajate osutatavaid, kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste, sealhulgas määruse (EL) 2022/2554 artikli 28 lõike 1 punktis a osutatud lepingute alusel osutatavate IKT-teenuste kasutamist käsitlevate lepingute heakskiitmise, haldamise, kontrolli ja dokumenteerimisega seotud sisemised kohustused.

(8)

Selleks et võtta arvesse kõiki võimalikke riske, mis võivad tekkida kriitilise tähtsusega või olulist funktsiooni toetavate IKT-teenuste lepingute sõlmimisel, peaks põhimõtete struktuur järgima kolmandast isikust teenuseosutajatega sõlmitud lepingute elutsükli iga põhietapi kõiki etappe.

(9)

Tuvastatud riskide maandamiseks tuleks põhimõtetega kindlaks määrata lepingute kavandamine, sealhulgas riskihindamine, hoolsuskohustus ja kõnealuste lepingute uute või oluliste muudatuste heakskiitmise protsess. Selleks et juhtida võimalikke riske enne kolmandast isikust IKT-teenuste osutajaga lepingu sõlmimist, tuleks põhimõtetega kindlaks määrata asjakohane ja proportsionaalne protsess potentsiaalsete kolmandast isikust IKT-teenuste osutajate valimiseks ja nende sobivuse hindamiseks ning näha ette, et finantssektori ettevõtja peab võtma arvesse mitteammendavat loetelu elementidest, mis kolmandast isikust IKT-teenuste osutajatel peaksid olema. Loetelu peaks sisaldama elemente, mis on seotud teenuseosutaja mainega, finants-, inim- ja tehniliste ressurssidega, infoturbega, organisatsioonilise struktuuriga, sealhulgas riskijuhtimine, ja sisekontrolliga.

(10)

Selleks et tagada usaldusväärne riskijuhtimine kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste osutamisel kolmandast isikust IKT-teenuste osutajate poolt, peaksid põhimõtted sisaldama teavet lepingute rakendamise, jälgimise ja haldamise kohta, sealhulgas asjakohasel juhul konsolideeritud ja allkonsolideeritud tasandil. See hõlmab nõudeid finantssektori ettevõtjate ja kolmandast isikust IKT-teenuste osutajate vastastikuseid kohustusi käsitlevate lepingutingimuste kohta, mis tuleks sätestada kirjalikult. Selleks et tagada tõhus järelevalve ja edendada vastupidavust ärimudelis või ärikeskkonnas toimuvate muutuste korral, tuleks põhimõtetega tagada finantssektori ettevõtjatele või määratud kolmandatele isikutele ja pädevatele asutustele õigus teha kontrolle ja pääseda ligi teabele ning täpsustada ka väljumisstrateegiaid ja lõpetamisprotsesse.

(11)

Kui isikuandmeid töötlevad kolmandast isikust IKT-teenuste osutajad, ei tohiks põhimõtted ega mis tahes leping piirata Euroopa Parlamendi ja nõukogu määrusest (EL) 2016/679 (2) tulenevate kohustuste kohaldamist, vaid peaksid neid täiendama (nt isikuandmete töötlemist kirjeldav kirjalik leping, nõue tagada isikuandmete töötlemise turvalisus) ja neis tuleks kindlaks määrata kõik muud kõnealuse määrusega nõutavad elemendid.

(12)

Euroopa Parlamendi ja nõukogu määruse (EL) nr 1093/2010 (3) artiklis 54, Euroopa Parlamendi ja nõukogu määruse (EL) nr 1094/2010 (4) artiklis 54 ning Euroopa Parlamendi ja nõukogu määruse (EL) nr 1095/2010 (5) artiklis 54 osutatud Euroopa järelevalveasutuste ühiskomitee on korraldanud käesoleva määruse aluseks olevate regulatiivsete tehniliste standardite eelnõude kohta avalikud konsultatsioonid, analüüsinud kavandatud standardite võimalikke kulusid ja kasu ning küsinud nõu määruse (EL) nr 1093/2010 artikli 37 kohaselt loodud pangandussektori sidusrühmade kogult, määruse (EL) nr 1094/2010 artikli 37 kohaselt loodud kindlustuse ja edasikindlustuse sidusrühmade kogult ja tööandjapensionide sidusrühmade kogult ning määruse (EL) nr 1095/2010 artikli 37 kohaselt loodud väärtpaberituru sidusrühmade kogult,

(13)

Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (6) artikli 42 lõikele 1 konsulteeriti Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 24. jaanuaril 2024,