A BIZOTTSÁG (EU) 2025/295 FELHATALMAZÁSON ALAPULÓ RENDELETE (2024. október 24.) az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek a felvigyázási tevékenységek végzését lehetővé tevő előfeltételek harmonizációjáról szóló szabályozástechnikai standardok tekintetében történő kiegészítéséről (EGT-vonatkozású szöveg)

(1)

Az (EU) 2022/2554 rendelet által a pénzügyi ágazat digitális működési rezilienciája érdekében létrehozott keret a pénzügyi szektor számára szolgáltatásokat nyújtó és az említett rendelet 31. cikkével összhangban kritikusnak minősített harmadik fél információs és kommunikációs technológiai (IKT) szolgáltatókra vonatkozó uniós felvigyázási keretrendszert vezet be.

(2)

Annak a harmadik fél IKT-szolgáltatónak, amely úgy dönt, hogy kritikusként való kijelölés iránti saját kezdeményezésű kérelmet nyújt be, minden szükséges információt be kell nyújtania az átvevő európai felügyeleti hatósághoz (EFH) annak érdekében, hogy az (EU) 2022/2554 rendeletben meghatározott elvekkel és kritériumokkal összhangban bizonyítsa kritikusságát. Ennélfogva az önkéntes kérelemben feltüntetendő információknak kellően részletesnek és teljesnek kell lenniük ahhoz, hogy lehetővé tegyék az említett rendelet 31. cikkének (11) bekezdése értelmében vett kritikusság egyértelmű és teljeskörű értékelését. Az illetékes EFH-nak vissza kell utasítania minden hiányos kérelmet, és hiánypótlást kell kérnie.

(3)

Az e szabályozástechnikai standardok hatálya alá tartozó harmadik fél IKT-szolgáltatók jogi azonosítását össze kell hangolni az (EU) 2022/2554 rendelet 28. cikkének (9) bekezdésével összhangban elfogadott bizottsági végrehajtási rendeletben meghatározott azonosító kóddal.

(4)

A vezető felvigyázó kritikus harmadik fél IKT-szolgáltatóknak címzett ajánlásainak nyomon követéseként a vezető felvigyázónak figyelemmel kell kísérnie, hogy a kritikus harmadik fél IKT-szolgáltatók betartják-e az ajánlásokat. Annak érdekében, hogy biztosítsák a kritikus harmadik fél IKT-szolgáltatók által ezen ajánlásokkal kapcsolatban tett intézkedések vagy végrehajtott korrekciók és eredményes nyomon követését, a vezető felvigyázó számára lehetővé kell tenni, hogy megkövetelje az (EU) 2022/2554 rendelet 35. cikke (1) bekezdésének c) pontjában említett jelentéseket, amelyeket időközi eredményjelentésnek és zárójelentésnek kell tekinteni.

(5)

Az (EU) 2022/2554 rendelet 42. cikkének (1) bekezdésében meghatározott értékelés céljából, amely szerint a vezető felvigyázó köteles értékelni, hogy a kritikus harmadik fél IKT-szolgáltató által nyújtott magyarázat elegendő-e, a kritikus harmadik fél IKT-szolgáltató által a vezető felvigyázónak küldött, a kapott ajánlások követésére irányuló szándékáról szóló értesítést ki kell egészíteni az ajánlásokban felvázolt kockázatok csökkentése érdekében hozott intézkedések és intézkedések és azok határidejének leírásával. Az ilyen magyarázatnak korrekciós terv formáját kell öltenie.

(6)

Mivel a vezető felvigyázónak értékelnie kell a kritikus harmadik fél IKT-szolgáltatók alvállalkozási megállapodásait, ki kell dolgozni az ilyen megállapodásokra vonatkozó információk benyújtására szolgáló sablont. E sablonnak figyelembe kell vennie azt a tényt, hogy a kritikus harmadik fél IKT-szolgáltatók más felépítéssel rendelkeznek, mint a pénzügyi szervezetek.

(7)

Miután a vezető felvigyázó kiadta egy adott kritikus IKT-szolgáltatónak címzett ajánlásait, és az illetékes hatóságok tájékoztatták az érintett pénzügyi szervezeteket az ajánlásokban azonosított kockázatokról, a vezető felvigyázónak figyelemmel kell kísérnie és értékelnie kell a kritikus harmadik fél IKT-szolgáltató által az ajánlások teljesítése érdekében tett intézkedéseket és végrehajtott korrekciókat. Az illetékes hatóságoknak nyomon kell követniük és értékelniük kell, hogy a pénzügyi szervezetek milyen mértékben vannak kitéve az ezen ajánlásokban azonosított kockázatoknak. Annak érdekében, hogy feladataik ellátása során fenntartsák az egyenlő versenyfeltételeket, különösen akkor, ha az ajánlásokban azonosított kockázatok súlyosak és több tagállam számos pénzügyi szervezete között oszlanak meg, mind az illetékes hatóságoknak, mind a vezető felvigyázónak meg kell osztaniuk egymással a feladataik ellátásához szükséges releváns megállapításokat. Az információmegosztás célja annak biztosítása, hogy a vezető felvigyázó által a kritikus harmadik fél IKT-szolgáltatónak az utóbbi által végrehajtott intézkedésekkel és korrekciókkal kapcsolatban adott visszajelzések figyelembe vegyék a pénzügyi szervezetek kockázataira gyakorolt hatást, és hogy az illetékes hatóságok által végzett felügyeleti tevékenységek a vezető felvigyázó által végzett értékelésen alapuljanak.

(8)

A hatékony és eredményes információmegosztás érdekében az illetékes hatóságoknak felügyeleti tevékenységeik részeként fel kell mérniük, hogy az általuk felügyelt pénzügyi szervezetek milyen mértékben vannak kitéve az ajánlásokban azonosított kockázatoknak. Ezt az értékelést arányosan és kockázati alapon kell elvégezni. A vezető felvigyázónak célszerű felkérnie az illetékes hatóságokat, hogy osszák meg ennek az értékelésnek az eredményeit azokban a konkrét esetekben, amikor az ajánlásokban azonosított kockázatok súlyosak, és több tagállamban sok pénzügyi szervezetet érintenek. Az illetékes hatóságok erőforrásainak legjobb kihasználása érdekében, amikor az értékelés eredményeinek megosztását kéri, a vezető felvigyázónak mindig figyelembe kell vennie, hogy ezeknek a kéréseknek a célja az intézkedések és a korrekciók kritikus harmadik fél IKT-szolgáltatók általi végrehajtásának értékelése.

(9)

Az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (2) 42. cikkének (1) bekezdésével összhangban a Bizottság egyeztetett az európai adatvédelmi biztossal, aki 2024. július 22-én véleményt nyilvánított.

(10)

E rendelet alapját az európai felügyeleti hatóságok által a Bizottságnak benyújtott szabályozástechnikai standardtervezetek képezik.

(11)

Az európai felügyeleti hatóságok vegyes bizottsága nyilvános konzultációt folytatott az e rendelet alapját képező szabályozástechnikai standardtervezetekről, elemezték az esetleges kapcsolódó költségeket és hasznokat, továbbá kikérték az 1093/2010/EU európai parlamenti és tanácsi rendelet (3) 37. cikkével összhangban létrehozott banki érdekképviseleti csoport, az 1094/2010/EU európai parlamenti és tanácsi rendelet (4) 37. cikkével összhangban létrehozott biztosítási és viszontbiztosítási érdekképviseleti csoport, valamint az 1095/2010/EU európai parlamenti és tanácsi rendelet (5) 37. cikkével összhangban létrehozott értékpapírpiaci érdekképviseleti csoport véleményét,