Preamble: 1

(1)

Asetuksella (EU) 2022/2554 perustetussa finanssialan digitaalista häiriönsietokykyä koskevassa kehyksessä edellytetään, että finanssiyhteisöt vahvistavat tiettyjä kolmansiin osapuoliin liittyvän TVT-riskin hallintaa koskevia keskeisiä periaatteita, jotka ovat erityisen tärkeitä, kun finanssiyhteisöt tekevät kriittisiä tai tärkeitä toimintojaan tukevaa yhteistyötä TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa.

(2)

Finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä hyväksyttävä kolmansiin osapuoliin liittyvää TVT-riskiä koskeva strategia ja tarkistettava sitä säännöllisesti. Asetuksen (EU) 2022/2554 28 artiklan 2 kohdan mukaisesti strategiaan on sisällytettävä TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevat toimintaperiaatteet. Sitä on sovellettava yksittäisten yhteisöjen ja tarvittaessa alakonsolidointiryhmien ja konsolidointiryhmien tasolla.

(3)

Finanssiyhteisöjen koko, rakenne ja sisäinen organisaatio sekä niiden toiminnan luonne ja monimutkaisuus vaihtelevat suuresti. On tarpeen ottaa huomioon tämä monimuotoisuus ja asettaa tiettyjä sääntelyn perusvaatimuksia, jotka soveltuvat kaikille finanssiyhteisöille, kun ne laativat toimintaperiaatteita liittyen TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin, jäljempänä ’toimintaperiaatteet’, ja varmistettava, että kyseisiä vaatimuksia sovelletaan oikeasuhteisesti.

(4)

Jos finanssiyhteisöt kuuluvat konserniin, emoyrityksen, joka on vastuussa konsolidointiryhmän tai alakonsolidointiryhmän tilinpäätöksen toimittamisesta konsernin puolesta, olisi sen vuoksi varmistettava, että toimintaperiaatteita sovelletaan konsernin sisällä yhdenmukaisella tavalla.

(5)

Toimintaperiaatteita sovellettaessa konsernin sisäisiä TVT-palveluntarjoajia, mukaan lukien niitä, jotka samaan laitosten suojajärjestelmään kuuluvat finanssiyhteisöt omistavat kokonaan tai yhteisesti, olisi pidettävä TVT-palveluntarjoajana olevina kolmansina osapuolina. Konsernin sisäisten TVT-palveluntarjoajien aiheuttamat riskit voivat olla erilaisia, mutta asetuksen (EU) 2022/2554 nojalla niihin sovelletaan samoja vaatimuksia. Vastaavasti toimintaperiaatteita olisi sovellettava alihankkijoihin, jotka tarjoavat kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia TVT-palveluja TVT-palveluntarjoajana oleville kolmansille osapuolille, jos käytössä on TVT-palveluntarjoajana olevien kolmansien osapuolten ketju.

(6)

Yleinen periaate on, että ylimmällä hallintoelimellä on lopullinen vastuu finanssiyhteisön TVT-riskin hallinnasta, ja tätä periaatetta sovelletaan myös TVT-palveluntarjoajana olevien kolmansien osapuolten käyttöön. Vastuun myötä ylimmän hallintoelimen olisi myös osallistuttava jatkuvasti TVT-riskinhallinnan valvontaan ja seurantaan, mukaan lukien toimintaperiaatteiden hyväksyminen ja tarkistaminen vähintään kerran vuodessa.

(7)

Jotta varmistetaan asianmukainen raportointi ylimmälle hallintoelimelle, toimintaperiaatteissa olisi selkeästi täsmennettävä ja yksilöitävä sisäiset vastuut, jotka liittyvät TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevien sopimusjärjestelyjen, jäljempänä ’sopimusjärjestelyt’, hyväksymiseen, hallinnointiin, valvontaan ja dokumentointiin, mukaan lukien asetuksen (EU) 2022/2554 28 artiklan 1 kohdan a alakohdassa tarkoitettujen sopimusjärjestelyjen nojalla tarjottavat TVT-palvelut.

(8)

Jotta voidaan ottaa huomioon kaikki riskit, joita voi syntyä, kun tehdään sopimuksia kriittisiä tai tärkeitä toimintoja tukevista TVT-palveluista, toimintaperiaatteilla olisi katettava kolmansien osapuolten kanssa tehtyjen sopimusjärjestelyjen elinkaaren kunkin päävaiheen kaikki vaiheet.

(9)

Havaittujen riskien lieventämiseksi toimintaperiaatteissa olisi määritettävä sopimusjärjestelyjen suunnittelu, mukaan lukien riskinarviointi, asianmukainen huolellisuus ja kyseisiin sopimusjärjestelyihin tehtävien uusien tai olennaisten muutosten hyväksymisprosessi. Jotta voidaan hallita mahdollisesti syntyviä riskejä ennen sopimusjärjestelyn tekemistä TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa, toimintaperiaatteissa olisi määritettävä asianmukainen ja oikeasuhteinen prosessi mahdollisten TVT-palveluntarjoajana olevien kolmansien osapuolten valitsemiseksi ja niiden sopivuuden arvioimiseksi ja edellytettävä, että finanssiyhteisö ottaa huomioon ei-tyhjentävän luettelon ominaisuuksista, jotka TVT-palveluntarjoajana olevilla kolmansilla osapuolilla olisi oltava. Luettelon olisi sisällettävä palveluntarjoajien maineeseen, niiden varallisuuteen, henkilöresursseihin ja teknisiin resursseihin, tietoturvallisuuteen, organisaatiorakenteeseen, riskinhallinta mukaan luettuna, ja sisäiseen valvontaan liittyviä seikkoja.

(10)

Jotta voidaan varmistaa moitteeton riskinhallinta TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen tarjonnassa, toimintaperiaatteisiin olisi sisällyttävä tiedot sopimusjärjestelyjen täytäntöönpanosta, seurannasta ja hallinnoinnista, tarvittaessa myös konsolidointiryhmän ja alakonsolidointiryhmän tasolla. Tähän sisältyvät vaatimukset finanssiyhteisöjen ja TVT-palveluntarjoajana olevien kolmansien osapuolten keskinäisiä velvoitteita koskevista sopimuslausekkeista, jotka olisi vahvistettava kirjallisesti. Jotta voidaan varmistaa tehokas valvonta ja edistää häiriönsietokykyä liiketoimintamallin tai liiketoimintaympäristön muuttuessa, toimintaperiaatteilla olisi varmistettava finanssiyhteisöjen tai nimettyjen kolmansien osapuolten ja toimivaltaisten viranomaisten oikeus tehdä tarkastuksia ja saada tietoja, ja niissä olisi myös täsmennettävä irtautumisstrategiat ja päättämisprosessit.

(11)

Siltä osin kuin TVT-palveluntarjoajana olevat kolmannet osapuolet käsittelevät henkilötietoja, toimintaperiaatteilla ja mahdollisilla sopimusjärjestelyillä ei ole vaikutusta Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (2) mukaisiin velvoitteisiin, kuten henkilötietojen käsittelyä koskevan kirjallisen sopimuksen tekeminen, vaatimus varmistaa henkilötietojen käsittelyn turvallisuus ja vahvistaa kaikki muut kyseisessä asetuksessa edellytetyt seikat, ja niillä olisi täydennettävä kyseisiä velvoitteita.

(12)

Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1093/2010 (3) 54 artiklassa, Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1094/2010 (4) 54 artiklassa ja Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1095/2010 (5) 54 artiklassa tarkoitettu Euroopan valvontaviranomaisten yhteiskomitea on järjestänyt avoimia julkisia kuulemisia teknisten sääntelystandardien luonnoksista, joihin tämä asetus perustuu, analysoinut ehdotettujen standardien mahdollisia kustannuksia ja hyötyjä sekä pyytänyt neuvontaa asetuksen (EU) N:o 1093/2010 37 artiklan mukaisesti perustetulta pankkialan osallisryhmältä, asetuksen (EU) N:o 1094/2010 37 artiklan mukaisesti perustetuilta vakuutus- ja jälleenvakuutusalan osallisryhmältä ja lisäeläkealan osallisryhmältä sekä asetuksen (EU) N:o 1095/2010 37 artiklan mukaisesti perustetulta arvopaperimarkkina-alan osallisryhmältä.

(13)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (6) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausuntonsa 24 päivänä tammikuuta 2024,