KOMMISSIONENS DELEGEREDE FORORDNING (EU) 2025/532 af 24. marts 2025 om supplerende regler til Europa-Parlamentets og Rådets forordning (EU) 2022/2554 for så vidt angår reguleringsmæssige tekniske standarder, der præciserer de elementer, som en finansiel enhed skal fastlægge og vurdere, når den giver IKT-tjenester, der understøtter kritiske eller vigtige funktioner, i underentreprise (EØS-relevant tekst)

(1)

Leveringen af IKT-tjenester til finansielle enheder beror ofte på en kompleks kæde af IKT-underleverandører, hvorved tredjepartsudbydere af IKT-tjenester kan indgå én eller flere underentrepriseordninger med andre tredjepartsudbydere af IKT-tjenester. Indirekte afhængighed af IKT-underleverandører kan have en indvirkning på en finansiel enheds evne til at identificere, vurdere og styre sine risici, herunder risici, der vedrører mangler i de oplysninger, der leveres af tredjepartsudbydere af IKT-tjenester, og en finansiel enheds begrænsede mulighed for at indhente oplysninger fra de IKT-underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf. Når leveringen af IKT-tjenester til finansielle enheder beror på en potentielt lang eller kompleks kæde af IKT-underleverandører, er det i denne henseende afgørende, at de finansielle enheder identificerer den samlede kæde af underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner.

(2)

Blandt de underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner, bør finansielle enheder især og løbende fokusere på de underleverandører, som reelt leverer support til den IKT-tjeneste, der understøtter kritiske eller vigtige funktioner, herunder alle de underleverandører, der leverer IKT-tjenester, hvis afbrydelse ville forringe tjenestens sikkerhed eller kontinuitet som fastsat i det register over oplysninger, der er omhandlet i artikel 28, stk. 3, i forordning (EU) 2022/2554.

(3)

De finansielle enheder varierer meget med hensyn til størrelse, struktur, intern organisation samt deres aktiviteters karakter og kompleksitet. For at sikre proportionalitet bør der tages hensyn til denne mangfoldighed, når det præciseres, hvilke elementer en finansiel enhed bør fastlægge og vurdere, når den udliciterer IKT-tjenester, der understøtter kritiske eller vigtige funktioner.

(4)

Når de finansielle enheder i overensstemmelse med artikel 30, stk. 2, i forordning (EU) 2022/2554 har givet tilladelse til, at tredjepartsudbydere af IKT-tjenesters må gøre brug af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, som er givet i underentreprise, kan det ikke reducere det endelige ansvar hos de finansielle enheders ledelsesorganer med henblik på at styre deres risici og opfylde deres lovgivningsmæssige og reguleringsmæssige forpligtelser. Hvis der gives tilladelse til at give IKT-tjenester, der understøtter kritiske eller vigtige funktioner, i underentreprise, er det vigtigt, at de finansielle enheder har et klart og holistisk overblik over de risici, der er forbundet med at give tjenester, der understøtter kritiske eller vigtige funktioner, i underentreprise, således at de er i stand til at overvåge, styre og afbøde disse risici. De bør derfor vurdere disse risici, inden de giver disse tjenester i underentreprise.

(5)

Koncerninterne IKT-underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, herunder koncerninterne IKT-underleverandører, der ejes fuldt ud eller i fællesskab af finansielle enheder inden for samme institutsikringsordning, bør betragtes som IKT-underleverandører.

(6)

Hvis det er relevant, bør modervirksomheden for finansielle enheder i en koncernsammenhæng sikre, at politikken for brugen af IKT-underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller en væsentlig del heraf, anvendes på en konsekvent og sammenhængende måde inden for koncernen.

(7)

Det er vigtigt at sikre en omfattende styring af de risici, der kan opstå, når IKT-tjenester, der understøtter kritiske eller vigtige funktioner, gives i underentreprise. Derfor bør finansielle enheder følge livscyklusfaserne i en kontraktlig ordning for brugen af IKT-tjenester, der understøtter disse funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester, herunder med henblik på underentrepriseordninger. Det er derfor nødvendigt at fastsætte krav til finansielle enheder, som bør afspejles i deres kontraktlige ordninger med tredjepartsudbydere af IKT-tjenester, hvorved det er tilladt at gøre brug af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, som er givet i underentreprise.

(8)

For at afbøde risici, der er forbundet med underentreprise, er det nødvendigt at præcisere de betingelser, hvorunder tredjepartsudbydere af IKT-tjenester kan gøre brug af underleverandører til levering af IKT-tjenester, der understøtter kritiske eller vigtige funktioner. Med henblik herpå bør der i kontraktlige IKT-ordninger mellem finansielle enheder og tredjepartsudbydere af IKT-tjenester fastsættes sådanne betingelser, herunder planlægning af underentrepriseordninger, risikovurderinger, due diligence og godkendelsesprocessen for nye IKT-underentrepriseordninger for IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, eller væsentlige ændringer af eksisterende ordninger, som tredjepartsudbyderen af IKT-tjenester har foretaget.

(9)

For at identificere risici, der kan opstå, inden en finansiel enhed indgår en ordning med en IKT-underleverandør, bør tredjepartsudbydere af IKT-tjenester på en passende og forholdsmæssigt afpasset måde vurdere potentielle underleverandørers egnethed på grundlag af de kontraktlige IKT-ordninger, som tredjepartsudbyderen af IKT-tjenester har indgået med den pågældende finansielle enhed. Nævnte kontraktlige IKT-ordninger bør derfor indeholde krav om, at tredjepartsudbyderen af IKT-tjenester eller den finansielle enhed selv, alt efter hvad der er relevant, vurderer den potentielle underleverandørs ressourcer, herunder dennes ekspertise, og om den råder over de rette finansielle, menneskelige og tekniske ressourcer, dennes informationssikkerhed og organisatoriske struktur, herunder den risikostyring og interne kontrol, som underleverandøren bør have indført.

(10)

For at afbøde eventuelle sårbarheder og trusler, der kan udgøre en risiko for deres IKT-systemer og -operationer, bør det være muligt for finansielle enheder at overvåge udførelsen af IKT-tjenesten og blive underrettet om alle relevante ændringer i deres IKT-underleverandørkæde, såfremt sådanne ændringer vedrører kritiske eller vigtige funktioner.

(11)

For at gøre det muligt for finansielle enheder at vurdere de risici, der er forbundet med underentrepriseordninger eller væsentlige ændringer heraf, bør tredjepartsudbydere af IKT-tjenester underrette de finansielle enheder, som de leverer IKT-tjenester til, om alle sådanne nye ordninger eller ændringer i god tid, inden sådanne ordninger eller ændringer begynder at finde anvendelse. Af samme grund bør finansielle enheder have ret til at opsige den kontraktlige ordning med tredjepartsudbyderen af IKT-tjenester, hvis resultatet af deres risikovurdering viser, at de nye ordninger eller væsentlige ændringer medfører et risikoniveau, der overstiger deres risikotolerance.

(12)

De europæiske tilsynsmyndigheder har afholdt en åben offentlig høring om det udkast til de reguleringsmæssige tekniske standarder, som ligger til grund for denne forordning, de har analyseret de potentielle omkostninger og fordele herved og anmodet ESA'ernes interessentgrupper, der er nedsat efter artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 (2), artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1094/2010 (3) og artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1095/2010, om rådgivning (4).

(13)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (5) og afgav udtalelse den 20. august 2024 —