DELEGOVANÉ NARIADENIE KOMISIE (EÚ) 2025/532 z 24. marca 2025, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, v ktorých sa bližšie špecifikujú prvky, ktoré musí finančný subjekt určiť a posúdiť pri využívaní subdodávateľov v prípade IKT služieb podporujúcich kritické alebo dôležité funkcie (Text s významom pre EHP)

(1)

Poskytovanie IKT služieb finančným subjektom často závisí od komplexného reťazca subdodávateľov IKT, pričom externí poskytovatelia IKT služieb môžu uzavrieť jednu alebo viacero subdodávateľských dojednaní s inými externými poskytovateľmi IKT služieb. Nepriame spoliehanie sa na subdodávateľov IKT môže mať vplyv na schopnosť finančného subjektu identifikovať, posudzovať a riadiť svoje riziká vrátane rizík, ktoré súvisia s nedostatkami v informáciách poskytovaných externými poskytovateľmi IKT služieb, ako aj s obmedzenou schopnosťou finančného subjektu získať informácie od tých subdodávateľov IKT, ktorí poskytujú IKT služby podporujúce kritické alebo dôležité funkcie alebo ich závažné časti. Ak v tejto súvislosti závisí poskytovanie IKT služieb finančným subjektom od potenciálne dlhého alebo komplexného reťazca subdodávateľov IKT, je nevyhnutné, aby finančné subjekty identifikovali celkový reťazec subdodávateľov poskytujúcich IKT služby podporujúce kritické alebo dôležité funkcie.

(2)

Spomedzi subdodávateľov, ktorí poskytujú IKT služby podporujúce kritické alebo dôležité funkcie, by sa finančné subjekty mali neustále zameriavať najmä na tých subdodávateľov, ktorí účinne podporujú IKT služby podporujúce kritické alebo dôležité funkcie vrátane všetkých subdodávateľov poskytujúcich IKT služby, ktorých narušenie by znížilo bezpečnosť alebo kontinuitu poskytovania služieb, ako sa stanovuje v registri informácií uvedenom v článku 28 ods. 3 nariadenia (EÚ) 2022/2554.

(3)

Finančné subjekty sa značne líšia veľkosťou, štruktúrou a vnútornou organizáciou, ako aj povahou a zložitosťou svojich činností. V záujme zabezpečenia proporcionality by sa táto rozmanitosť mala zohľadňovať pri špecifikovaní toho, ktoré prvky by mal finančný subjekt určovať a posudzovať pri využívaní subdodávateľov v prípade IKT služieb podporujúcich kritické alebo dôležité funkcie.

(4)

Ak to finančné subjekty povolia v súlade s článkom 30 ods. 2 nariadenia (EÚ) 2022/2554, využívanie IKT služieb, ktoré podporujú kritické alebo dôležité funkcie, zabezpečovaných s využitím subdodávateľov externými poskytovateľmi IKT služieb nemôže znížiť konečnú zodpovednosť riadiacich orgánov finančných subjektov za riadenie ich rizík a dodržiavanie ich legislatívnych a regulačných povinností. Ak je povolené využívanie subdodávateľov v prípade IKT služieb podporujúcich kritické alebo dôležité funkcie, je dôležité, aby finančné subjekty mali jasný a holistický pohľad na riziká spojené so subdodávateľskými službami podporujúcimi kritické alebo dôležité funkcie, aby boli schopné monitorovať, riadiť a zmierňovať uvedené riziká. Tieto riziká by preto mali posúdiť pred zadaním uvedených služieb subdodávateľom.

(5)

Vnútroskupinoví subdodávatelia IKT, ktorí poskytujú IKT služby podporujúce kritické alebo dôležité funkcie alebo ich závažné časti, vrátane vnútroskupinových subdodávateľov IKT, ktorých úplne alebo kolektívne vlastnia finančné subjekty v rámci tej istej schémy inštitucionálneho zabezpečenia, by sa mali považovať za subdodávateľov IKT.

(6)

V náležitých prípadoch by mal materský podnik finančných subjektov v kontexte skupiny zabezpečiť, aby sa politika využívania subdodávateľov IKT poskytujúcich IKT služby, ktoré podporujú kritické alebo dôležité funkcie alebo ich závažnú časť, uplatňovala v rámci skupiny konzistentne a súdržne.

(7)

Je dôležité zabezpečiť komplexné riadenie rizík, ktoré môžu vzniknúť, keď sa IKT služby, ktoré podporujú kritické alebo dôležité funkcie, zabezpečujú s využitím subdodávateľov. Finančné subjekty by sa preto mali riadiť krokmi životného cyklu zmluvného dojednania o využívaní IKT služieb, ktoré podporujú uvedené funkcie a ktoré poskytujú externí poskytovatelia IKT služieb, a to aj v prípade subdodávateľských dojednaní. Preto treba stanoviť požiadavky pre finančné subjekty, ktoré by sa mali zohľadňovať v ich zmluvných dojednaniach s externými poskytovateľmi IKT služieb, ak je povolené využívanie IKT služieb, ktoré podporujú kritické alebo dôležité funkcie, zabezpečovaných s využitím subdodávateľov.

(8)

Na zmiernenie rizík, ktoré súvisia so subdodávkami, treba špecifikovať podmienky, za ktorých môžu externí poskytovatelia IKT služieb využívať subdodávateľov na poskytovanie IKT služieb, ktoré podporujú kritické alebo dôležité funkcie. Na tento účel by sa v zmluvných dojednaniach o IKT službách medzi finančnými subjektmi a externými poskytovateľmi IKT služieb mali stanoviť takéto podmienky vrátane plánovania subdodávateľských dojednaní, posudzovania rizík, náležitej starostlivosti a procesu schvaľovania nových subdodávateľských dojednaní o IKT službách podporujúcich kritické alebo dôležité funkcie alebo ich závažné časti, alebo závažných zmien existujúcich funkcií, ktoré vykonal externý poskytovateľ IKT služieb.

(9)

Na identifikáciu rizík, ktoré by mohli vzniknúť pred tým, ako finančný subjekt uzavrie dojednanie so subdodávateľom IKT, by externí poskytovatelia IKT služieb mali vhodne a primerane posudzovať vhodnosť potenciálnych subdodávateľov na základe zmluvných dojednaní o IKT, ktoré externý poskytovateľ IKT služieb uzavrel s daným finančným subjektom. V uvedených zmluvných dojednaniach o IKT by sa preto malo vyžadovať, aby externý poskytovateľ IKT služieb alebo prípadne samotný finančný subjekt posudzovali zdroje potenciálneho subdodávateľa vrátane jeho odborných znalostí a toho, či má patričné finančné, ľudské a technické zdroje, informačnú bezpečnosť a organizačnú štruktúru vrátane riadenia rizík a vnútorných kontrol, ktoré by mal mať uvedený subdodávateľ zavedené.

(10)

V záujme zmierňovania akýchkoľvek zraniteľných miest a hrozieb, ktoré môžu predstavovať riziká pre IKT systémy a operácie, by finančné subjekty mali byť schopné monitorovať výkonnosť IKT služby a informované o všetkých relevantných zmenách v IKT subdodávateľskom reťazci, ak sa takéto zmeny týkajú kritických alebo dôležitých funkcií.

(11)

S cieľom umožniť finančným subjektom posudzovať riziká spojené so subdodávateľskými dojednaniami alebo s ich závažnými zmenami by externí poskytovatelia IKT služieb mali informovať finančné subjekty, ktorým poskytujú IKT služby, o všetkých takýchto nových dojednaniach alebo zmenách v dostatočnom predstihu pred tým, ako sa takéto dojednania alebo zmeny začnú uplatňovať. Z rovnakého dôvodu by finančné subjekty mali mať právo ukončiť zmluvné dojednanie s externým poskytovateľom IKT služieb, ak z výsledku ich posúdenia rizika vyplýva, že nové zmluvné dojednania alebo závažné zmeny obsahujú úroveň rizika, ktorá presahuje ich toleranciu rizika.

(12)

Európske orgány dohľadu uskutočnili otvorené verejné konzultácie o návrhu regulačných technických predpisov, z ktorých toto nariadenie vychádza, analyzovali možné súvisiace náklady a prínosy a požiadali o poradenstvo skupiny zainteresovaných strán ESA zriadené v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (2), článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1094/2010 (3) a článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1095/2010 (4).

(13)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (5) sa uskutočnili konzultácie s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal svoje stanovisko 20. augusta 2024,