ΚΑΤ’ ΕΞΟΥΣΙΟΔΟΤΗΣΗ ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2025/295 ΤΗΣ ΕΠΙΤΡΟΠΗΣ της 24ης Οκτωβρίου 2024 για τη συμπλήρωση του κανονισμού (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά τα ρυθμιστικά τεχνικά πρότυπα για την εναρμόνιση με τους όρους που καθιστούν δυνατή την άσκηση δραστηριοτήτων εποπτείας (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

(1)

Το πλαίσιο για την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα που θεσπίστηκε με τον κανονισμό (ΕΕ) 2022/2554 ορίζει ενωσιακό πλαίσιο εποπτείας για τους τρίτους παρόχους υπηρεσιών τεχνολογίας των πληροφοριών και των επικοινωνιών (ΤΠΕ) στον χρηματοοικονομικό τομέα που ορίζονται ως κρίσιμοι σύμφωνα με το άρθρο 31 του εν λόγω κανονισμού.

(2)

Ένας τρίτος πάροχος υπηρεσιών ΤΠΕ που αποφασίζει να υποβάλει προαιρετικό αίτημα για να οριστεί ως κρίσιμος θα πρέπει να παρέχει στην παραλαμβάνουσα Ευρωπαϊκή Εποπτική Αρχή (ΕΕΑ) όλες τις απαραίτητες πληροφορίες για να αποδείξει την κρισιμότητά του σύμφωνα με τις αρχές και τα κριτήρια που προβλέπονται στον κανονισμό (ΕΕ) 2022/2554. Γι’ αυτόν τον λόγο, οι πληροφορίες που πρέπει να περιλαμβάνονται στην αίτηση για προαιρετικό αίτημα θα πρέπει να είναι επαρκώς λεπτομερείς και πλήρεις ώστε να καθιστούν δυνατή τη σαφή και πλήρη αξιολόγηση της κρισιμότητας σύμφωνα με το άρθρο 31 παράγραφος 11 του εν λόγω κανονισμού. Η αρμόδια ΕΕΑ θα πρέπει να απορρίπτει κάθε ελλιπή αίτηση και να ζητεί τις πληροφορίες που λείπουν.

(3)

Η νομική ταυτοποίηση των τρίτων παρόχων υπηρεσιών ΤΠΕ που εμπίπτουν στο πεδίο εφαρμογής του παρόντος ρυθμιστικού τεχνικού προτύπου θα πρέπει να ευθυγραμμίζεται με τον αναγνωριστικό κωδικό που ορίζεται στον εκτελεστικό κανονισμό της Επιτροπής που εκδίδεται σύμφωνα με το άρθρο 28 παράγραφος 9 του κανονισμού (ΕΕ) 2022/2554.

(4)

Σε συνέχεια των συστάσεων που εκδίδει ο κύριος εποπτικός φορέας προς κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, ο κύριος εποπτικός φορέας θα πρέπει να παρακολουθεί τη συμμόρφωση των κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ με τις συστάσεις. Προκειμένου να διασφαλιστεί η αποδοτική και αποτελεσματική παρακολούθηση των ενεργειών που υλοποίησαν ή των διορθωτικών μέτρων που έλαβαν οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ σε σχέση με τις εν λόγω συστάσεις, ο κύριος εποπτικός φορέας θα πρέπει να είναι σε θέση να ζητεί τις εκθέσεις που αναφέρονται στο άρθρο 35 παράγραφος 1 στοιχείο γ) του κανονισμού (ΕΕ) 2022/2554, οι οποίες θα πρέπει να λειτουργούν ως ενδιάμεσες εκθέσεις προόδου και τελικές εκθέσεις.

(5)

Για τους σκοπούς της αξιολόγησης που ορίζεται στο άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554, σύμφωνα με το οποίο ο κύριος εποπτικός φορέας υποχρεούται να αξιολογεί κατά πόσον επαρκεί η εξήγηση που παρέχει ο κρίσιμος τρίτος πάροχος ΤΠΕ, η ενημέρωση του κύριου εποπτικού φορέα από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ για την πρόθεσή του να ακολουθήσει τις ληφθείσες συστάσεις θα πρέπει να συμπληρώνεται με περιγραφή των ενεργειών και των μέτρων που έχουν ληφθεί για τον μετριασμό των κινδύνων που περιγράφονται στις συστάσεις, μαζί με τις αντίστοιχες προθεσμίες τους. Η εξήγηση αυτή θα πρέπει να έχει τη μορφή σχεδίου αποκατάστασης.

(6)

Δεδομένου ότι ο κύριος εποπτικός φορέας αναμένεται να αξιολογήσει τις ρυθμίσεις υπεργολαβίας του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, πρέπει να καταρτιστεί υπόδειγμα για την παροχή πληροφοριών σχετικά με τις εν λόγω ρυθμίσεις. Στο υπόδειγμα θα πρέπει να συνεκτιμάται το γεγονός ότι οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ έχουν διαφορετικές δομές από τις χρηματοοικονομικές οντότητες.

(7)

Μόλις εκδοθούν από τον κύριο εποπτικό φορέα οι συστάσεις προς κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και οι αρμόδιες αρχές ενημερώσουν τις σχετικές χρηματοοικονομικές οντότητες για τους κινδύνους που προσδιορίζονται στις εν λόγω συστάσεις, ο κύριος εποπτικός φορέας θα πρέπει να παρακολουθεί και να αξιολογεί την υλοποίηση από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ των ενεργειών και των διορθωτικών μέτρων για τη συμμόρφωση με τις συστάσεις. Οι αρμόδιες αρχές θα πρέπει να παρακολουθούν και να αξιολογούν τον βαθμό στον οποίο οι χρηματοπιστωτικές οντότητες εκτίθενται στους κινδύνους που προσδιορίζονται στις εν λόγω συστάσεις. Προκειμένου να διατηρηθούν ισότιμοι όροι ανταγωνισμού κατά την εκτέλεση των αντίστοιχων καθηκόντων τους, ιδίως όταν οι κίνδυνοι που προσδιορίζονται στις συστάσεις είναι σοβαροί και αφορούν μεγάλο αριθμό χρηματοπιστωτικών οντοτήτων σε πολλά κράτη μέλη, τόσο οι αρμόδιες αρχές όσο και ο κύριος εποπτικός φορέας θα πρέπει να ανταλλάσσουν μεταξύ τους τυχόν σχετικά ευρήματα που είναι απαραίτητα για την εκτέλεση των αντίστοιχων καθηκόντων τους. Στόχος της ανταλλαγής πληροφοριών είναι να διασφαλιστεί ότι η ανατροφοδότηση του κύριου εποπτικού φορέα προς τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ σχετικά με τις ενέργειες και τα διορθωτικά μέτρα που εφαρμόζει λαμβάνει υπόψη τον αντίκτυπο στους κινδύνους στους οποίους εκτίθενται οι χρηματοοικονομικές οντότητες και ότι στις εποπτικές δραστηριότητες που εκτελούνται από τις αρμόδιες αρχές συνεκτιμάται η αξιολόγηση που διενεργεί ο κύριος εποπτικός φορέας.

(8)

Για να καταστεί δυνατή η αποδοτική και αποτελεσματική ανταλλαγή πληροφοριών, οι αρμόδιες αρχές θα πρέπει να αξιολογούν, στο πλαίσιο των εποπτικών δραστηριοτήτων τους, τον βαθμό στον οποίο οι χρηματοοικονομικές οντότητες που εποπτεύουν είναι εκτεθειμένες στους κινδύνους που προσδιορίζονται στις συστάσεις. Η αξιολόγηση αυτή θα πρέπει να διενεργείται με αναλογικό τρόπο και βάσει κινδύνων. Ο κύριος εποπτικός φορέας θα πρέπει να ζητεί από τις αρμόδιες αρχές να κοινοποιούν τα αποτελέσματα της εν λόγω αξιολόγησης στις συγκεκριμένες περιπτώσεις, όταν οι κίνδυνοι που συνδέονται με τις συστάσεις είναι σοβαροί και αφορούν μεγάλο αριθμό χρηματοοικονομικών οντοτήτων σε πολλά κράτη μέλη. Για την καλύτερη δυνατή χρήση των πόρων των αρμόδιων αρχών, όταν ζητεί την παροχή των αποτελεσμάτων της εν λόγω αξιολόγησης, ο κύριος εποπτικός φορέας θα πρέπει πάντα να λαμβάνει υπόψη ότι στόχος των εν λόγω αιτημάτων είναι η αξιολόγηση της υλοποίησης των ενεργειών και των διορθωτικών μέτρων που έλαβαν οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ.

(9)

Ζητήθηκε, σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (2), η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων, ο οποίος γνωμοδότησε στις 22 Ιουλίου 2024.

(10)

Ο παρών κανονισμός βασίζεται στα σχέδια ρυθμιστικών τεχνικών προτύπων που υποβλήθηκαν στην Επιτροπή από τις ΕΕΑ.

(11)

Η μεικτή επιτροπή των ΕΕΑ διενήργησε ανοικτές δημόσιες διαβουλεύσεις σχετικά με τα σχέδια ρυθμιστικών τεχνικών προτύπων στα οποία βασίζεται ο παρών κανονισμός, ανέλυσε τα ενδεχόμενα συναφή κόστη και τις ωφέλειες και ζήτησε τις συμβουλές της ομάδας τραπεζικών συμφεροντούχων η οποία έχει συσταθεί σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1093/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (3), της ομάδας συμφεροντούχων ασφαλίσεων και αντασφαλίσεων και της ομάδας συμφεροντούχων ταμείων επαγγελματικών συνταξιοδοτικών παροχών, οι οποίες έχουν συσταθεί σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1094/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4), και της ομάδας συμφεροντούχων κινητών αξιών και αγορών η οποία έχει συσταθεί σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1095/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5),