NAŘÍZENÍ KOMISE V PŘENESENÉ PRAVOMOCI (EU) 2025/295 ze dne 24. října 2024, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2022/2554, pokud jde o regulační technické normy týkající se harmonizace podmínek umožňujících provádění činností dohledu (Text s významem pro EHP)

(1)

Rámec digitální provozní odolnosti finančního sektoru stanovený nařízením (EU) 2022/2554 zavádí rámec dohledu Unie pro poskytovatele služeb informačních a komunikačních technologií (IKT) finančnímu sektoru z řad třetích stran, kteří jsou v souladu s článkem 31 uvedeného nařízení určeni jako kritičtí.

(2)

Poskytovatel služeb IKT z řad třetích stran, který se rozhodne podat dobrovolnou žádost, aby byl určen jako kritický, by měl poskytnout přijímajícímu evropskému orgánu dohledu všechny nezbytné informace k prokázání své kritičnosti podle zásad a kritérií stanovených v nařízení (EU) 2022/2554. Z tohoto důvodu by informace, které mají být zahrnuty do žádosti o dobrovolnou účast, měly být dostatečně podrobné a úplné, aby umožnily jasné a úplné posouzení kritičnosti podle čl. 31 odst. 11 uvedeného nařízení. Příslušný evropský orgán dohledu by měl odmítnout každou neúplnou žádost a vyžádat si chybějící informace.

(3)

Právní identifikace poskytovatelů služeb IKT z řad třetích stran v oblasti působnosti této regulační technické normy by měla být sladěna s identifikačním kódem stanoveným v prováděcím nařízení Komise přijatém v souladu s čl. 28 odst. 9 nařízení (EU) 2022/2554.

(4)

V návaznosti na doporučení vydaná hlavním orgánem dohledu kritickým poskytovatelům služeb IKT z řad třetích stran by měl hlavní orgán dohledu sledovat, zda kritičtí poskytovatelé služeb IKT z řad třetích stran tato doporučení dodržují. S cílem zajistit účinné a efektivní monitorování opatření, která byla přijata, nebo nápravných opatření, která byla provedena kritickými poskytovateli služeb IKT z řad třetích stran v souvislosti s těmito doporučeními, by měl mít hlavní orgán dohledu možnost vyžádat si zprávy uvedené v čl. 35 odst. 1 písm. c) nařízení (EU) 2022/2554, které by měly být koncipovány jako průběžné zprávy o pokroku a závěrečné zprávy.

(5)

Pro účely posouzení uvedeného v čl. 42 odst. 1 nařízení (EU) 2022/2554, podle kterého je hlavní orgán dohledu povinen posoudit, zda je vysvětlení poskytnuté kritickým poskytovatelem služeb IKT z řad třetích stran dostatečné, by mělo být oznámení kritického poskytovatele služeb IKT z řad třetích stran hlavnímu orgánu dohledu o jeho záměru řídit se obdrženými doporučeními doplněno popisem činností a opatření, která byla přijata ke zmírnění rizik uvedených v doporučeních, spolu s jejich příslušnými lhůtami. Toto vysvětlení by mělo mít podobu plánu nápravných opatření.

(6)

Vzhledem k tomu, že se očekává, že hlavní orgán dohledu bude posuzovat subdodavatelská ujednání kritického poskytovatele služeb IKT z řad třetích stran, je třeba vypracovat šablonu pro poskytování informací o těchto ujednáních. Tato šablona by měla zohlednit skutečnost, že kritičtí poskytovatelé služeb IKT z řad třetích stran mají jinou strukturu než finanční subjekty.

(7)

Jakmile hlavní orgán dohledu vydá doporučení pro kritického poskytovatele služeb IKT z řad třetích stran a příslušné orgány informují příslušné finanční subjekty o rizicích uvedených v těchto doporučeních, měl by hlavní orgán dohledu sledovat a posuzovat, jak kritický poskytovatel služeb IKT z řad třetích stran provádí opatření a nápravná opatření k dosažení souladu s doporučeními. Příslušné orgány by měly sledovat a posuzovat, do jaké míry jsou finanční subjekty vystaveny rizikům uvedeným v těchto doporučeních. V zájmu zachování rovných podmínek při plnění svých příslušných úkolů, zejména pokud jsou rizika identifikovaná v doporučeních závažná a týkají se velkého počtu finančních subjektů ve více členských státech, by si příslušné orgány i hlavní orgán dohledu měly mezi sebou vyměňovat veškerá relevantní zjištění, která jsou nezbytná pro plnění jejich příslušných úkolů. Cílem sdílení informací je zajistit, aby zpětná vazba hlavního orgánu dohledu určená kritickému poskytovateli služeb IKT z řad třetích stran v souvislosti s opatřeními a nápravnými opatřeními, která tento poskytovatel provádí, zohledňovala dopad na rizika finančních subjektů a aby činnosti dohledu prováděné příslušnými orgány byly založeny na posouzení provedeném hlavním orgánem dohledu.

(8)

Aby bylo možné účinně a efektivně sdílet informace, měly by příslušné orgány v rámci své dohledové činnosti posoudit, do jaké míry jsou finanční subjekty podléhající jejich dohledu vystaveny rizikům uvedeným v doporučeních. Toto posouzení by mělo být provedeno přiměřeně a na základě rizik. Ve specifických případech, kdy jsou rizika spojená s doporučeními závažná a týkají se velkého počtu finančních subjektů ve více členských státech, by měl hlavní orgán dohledu požádat příslušné orgány o sdílení výsledků tohoto posouzení. Aby byly co nejlépe využity zdroje příslušných orgánů, měl by hlavní orgán dohledu při žádosti o poskytnutí výsledků tohoto posouzení vždy zohlednit, že cílem těchto žádostí je vyhodnotit provádění opatření a nápravných opatření kritických poskytovatelů služeb IKT z řad třetích stran.

(9)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (2) byl konzultován evropský inspektor ochrany údajů, který vydal stanovisko dne 22. července 2024.

(10)

Toto nařízení vychází z návrhu regulačních technických norem předloženého Komisi evropskými orgány dohledu.

(11)

Společný výbor evropských orgánů dohledu uspořádal o návrzích regulačních technických norem, z nichž toto nařízení vychází, otevřené veřejné konzultace, provedl analýzu potenciálních souvisejících nákladů a přínosů a vyžádal si stanovisko skupiny subjektů působících v bankovnictví zřízené na základě článku 37 nařízení Evropského parlamentu a Rady (EU) č. 1093/2010 (3), skupiny subjektů působících v oblasti pojištění a zajištění a skupiny subjektů působících v oblasti zaměstnaneckého penzijního pojištění zřízených na základě článku 37 nařízení Evropského parlamentu a Rady (EU) č. 1094/2010 (4) a skupiny subjektů působících v oblasti cenných papírů a trhů zřízené na základě článku 37 nařízení Evropského parlamentu a Rady (EU) č. 1095/2010 (5),