DELEGIRANA UREDBA KOMISIJE (EU) 2025/532 z dne 24. marca 2025 o dopolnitvi Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta v zvezi z regulativnimi tehničnimi standardi za opredelitev elementov, ki jih mora finančni subjekt določiti in oceniti pri oddaji v podizvajanje storitev IKT, ki podpirajo kritične ali pomembne funkcije (Besedilo velja za EGP)

(1)

Opravljanje storitev IKT za finančne subjekte je pogosto odvisno od kompleksne verige podizvajalcev IKT, pri čemer lahko tretji ponudniki storitev IKT sklenejo enega ali več dogovorov o podizvajanju z drugimi tretjimi ponudniki storitev IKT. Posredno zanašanje na podizvajalce IKT lahko vpliva na sposobnost finančnega subjekta, da opredeli, oceni in obvladuje tveganja, vključno s tveganji, povezanimi z vrzelmi v informacijah, ki jih zagotovijo tretji ponudniki storitev IKT, in omejeno zmožnostjo finančnega subjekta, da pridobi informacije od tistih podizvajalcev IKT, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele. V zvezi s tem, kadar je opravljanje storitev IKT za finančne subjekte odvisno od potencialno dolge ali kompleksne verige podizvajalcev IKT, je bistveno, da finančni subjekti opredelijo celotno verigo podizvajalcev, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije.

(2)

Med tistimi podizvajalci, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije, bi se morali finančni subjekti zlasti in stalno osredotočati na tiste podizvajalce, ki dejansko omogočajo storitev IKT, ki podpira kritične ali pomembne funkcije, vključno z vsemi podizvajalci, ki opravljajo storitve IKT, katerih motnje bi ogrozile varnost ali neprekinjenost storitve, kot je določeno v registru informacij iz člena 28(3) Uredbe (EU) 2022/2554.

(3)

Finančni subjekti se zelo razlikujejo po velikosti, strukturi, notranji organizaciji ter po naravi in kompleksnosti svojih dejavnosti. Za zagotovitev sorazmernosti bi bilo treba to raznolikost upoštevati pri opredelitvi elementov, ki bi jih moral finančni subjekt določiti in oceniti pri oddaji v podizvajanje storitev IKT, ki podpirajo kritične ali pomembne funkcije.

(4)

Kadar jo finančni subjekti dovolijo v skladu s členom 30(2) Uredbe (EU) 2022/2554, uporaba podizvajalskih storitev IKT, ki podpirajo kritične ali pomembne funkcije, s strani tretjih ponudnikov storitev IKT ne more zmanjšati končne odgovornosti upravljalnih organov finančnih subjektov za obvladovanje njihovih tveganj ter izpolnjevanje njihovih zakonodajnih in regulativnih obveznosti. Kadar je oddajanje v podizvajanje storitev IKT, ki podpirajo kritične ali pomembne funkcije, dovoljeno, je pomembno, da imajo finančni subjekti jasen in celosten pregled nad tveganji, povezanimi s storitvami podizvajanja, ki podpirajo kritične ali pomembne funkcije, da lahko spremljajo, obvladujejo in blažijo ta tveganja. Zato bi morali navedena tveganja oceniti pred oddajo teh storitev v podizvajanje.

(5)

Podizvajalce IKT znotraj skupine, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, vključno s podizvajalci IKT znotraj skupine, ki so v celoti ali kolektivno v lasti finančnih subjektov v isti institucionalni shemi za zaščito vlog, bi bilo treba šteti za podizvajalce IKT.

(6)

Kadar je ustrezno, bi moralo obvladujoče podjetje finančnih subjektov v okviru skupine zagotoviti, da se politika o uporabi podizvajalcev IKT, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihov bistven del, v skupini uporablja dosledno in skladno.

(7)

Pomembno je zagotoviti celovito obvladovanje tveganj, ki se lahko pojavijo, kadar so storitve IKT, ki podpirajo kritične ali pomembne funkcije, oddane v podizvajanje. Zato bi morali finančni subjekti slediti fazam življenjskega cikla pogodbenega dogovora za uporabo storitev IKT, ki podpirajo te funkcije in jih opravljajo tretji ponudniki storitev IKT, vključno z dogovori o podizvajanju. Zato je treba določiti zahteve za finančne subjekte, ki bi se morale odražati v njihovih pogodbenih dogovorih s tretjimi ponudniki storitev IKT, kadar je uporaba podizvajalskih storitev IKT, ki podpirajo kritične ali pomembne funkcije, dovoljena.

(8)

Za blaženje tveganj, povezanih z oddajo v podizvajanje, je treba določiti pogoje, pod katerimi lahko tretji ponudniki storitev IKT za opravljanje storitev IKT, ki podpirajo kritične ali pomembne funkcije, uporabijo podizvajalce. V ta namen bi morali pogodbeni dogovori na področju IKT med finančnimi subjekti in tretjimi ponudniki storitev IKT določati take pogoje, vključno z načrtovanjem dogovorov o podizvajanju, ocenami tveganja, skrbnim pregledom in postopkom odobritve novih dogovorov o podizvajanju storitev IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, ali pomembnih sprememb obstoječih dogovorov, ki jih izvede tretji ponudnik storitev IKT.

(9)

Za opredelitev tveganj, ki bi se lahko pojavila, preden finančni subjekt sklene dogovor s podizvajalcem IKT, bi morali tretji ponudniki storitev IKT na ustrezen in sorazmeren način oceniti primernost potencialnih podizvajalcev na podlagi pogodbenih dogovorov na področju IKT, ki jih je tretji ponudnik storitev IKT sklenil s finančnim subjektom. Ti pogodbeni dogovori na področju IKT bi zato morali od tretjega ponudnika storitev IKT ali od samega finančnega subjekta, kot je primerno, zahtevati, da oceni vire potencialnega podizvajalca, vključno z njegovim strokovnim znanjem, ter ali ima ustrezne finančne, človeške in tehnične vire, njegovo informacijsko varnost in organizacijsko strukturo, vključno z obvladovanjem tveganj in notranjimi kontrolami, ki bi jih moral imeti vzpostavljene podizvajalec.

(10)

Za ublažitev morebitnih ranljivosti in groženj, ki bi lahko pomenile tveganja za njihove sisteme in operacije IKT, bi morali imeti finančni subjekti možnost spremljati delovanje storitve IKT in biti obveščeni o vseh relevantnih spremembah v svoji podizvajalski verigi IKT, kadar take spremembe zadevajo kritične ali pomembne funkcije.

(11)

Da bi lahko finančni subjekti ocenili tveganja, povezana z dogovori o podizvajanju ali njihovimi pomembnimi spremembami, bi morali tretji ponudniki storitev IKT finančne subjekte, za katere opravljajo storitve IKT, obvestiti o vseh takih novih dogovorih ali spremembah še pred začetkom veljavnosti takih dogovorov ali sprememb. Iz istega razloga bi morali imeti finančni subjekti pravico, da prekinejo pogodbeni dogovor s tretjim ponudnikom storitev IKT, če rezultati njihove ocene tveganja pokažejo, da novi dogovori ali pomembne spremembe pomenijo raven tveganja, ki presega njihovo tolerančno raven tveganja.

(12)

Evropski nadzorni organi so opravili javno posvetovanje o osnutku regulativnih tehničnih standardov, na katerem temelji ta uredba, analizirali morebitne povezane stroške in koristi ter zaprosili za mnenje svoje interesne skupine, ustanovljene v skladu s členom 37 Uredbe (EU) št. 1093/2010 Evropskega parlamenta in Sveta (2), členom 37 Uredbe (EU) št. 1094/2010 Evropskega parlamenta in Sveta (3) ter členom 37 Uredbe (EU) št. 1095/2010 Evropskega parlamenta in Sveta (4).

(13)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 (5) Evropskega parlamenta in Sveta je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je mnenje podal 20. avgusta 2024 –