Preamble: 1

(1)

Okvirom za digitalnu operativnu otpornost za financijski sektor uspostavljenim u Uredbi (EU) 2022/2554 zahtijeva se da financijski subjekti utvrde određena ključna načela za upravljanje IKT rizikom povezanim s trećim stranama, koja su posebno važna kad financijski subjekti angažiraju treće strane pružatelje IKT usluga kako bi poduprli svoje ključne ili važne funkcije.

(2)

Financijski subjekti, kao dio svojeg okvira za upravljanje IKT rizicima, trebaju donijeti i redovito preispitivati strategiju za IKT rizik povezan s trećim stranama. U skladu s člankom 28. stavkom 2. Uredbe (EU) 2022/2554 ta strategija treba uključivati politiku o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije, a koje pružaju treće strane pružatelji IKT usluga. Primjenjuje se na pojedinačnoj i, prema potrebi, na potkonsolidiranoj i konsolidiranoj osnovi.

(3)

Financijski subjekti uvelike se razlikuju po veličini, strukturi i unutarnjoj organizaciji te prirodi i složenosti njihovih aktivnosti i poslovanja. Pri izradi politike o ugovornim aranžmanima u vezi s upotrebom IKT usluga kojima se podupiru ključne ili važne funkcije, a koje pružaju treće strane pružatelji IKT usluga („politika”) potrebno je uzeti u obzir tu raznolikost kad se uvode određeni temeljni regulatorni zahtjevi koji su primjereni za sve financijske subjekte te osigurati da se ti zahtjevi primjenjuju razmjerno.

(4)

Ako financijski subjekti pripadaju grupi, matično društvo koje je odgovorno za izradu konsolidiranih ili potkonsolidiranih financijskih izvještaja za grupu trebalo bi stoga osigurati dosljednu i usklađenu primjenu politike unutar grupe.

(5)

U primjeni politike pružatelje IKT usluga unutar grupe, uključujući one koji su u potpunom ili zajedničkom vlasništvu financijskih subjekata unutar istog institucionalnog sustava zaštite, trebalo bi smatrati trećim stranama pružateljima IKT usluga. Rizici koje predstavljaju pružatelji IKT usluga unutar grupe mogu biti različiti, ali se na njih primjenjuju isti zahtjevi na temelju Uredbe (EU) 2022/2554. Slično tome, politika bi se trebala primjenjivati na podugovaratelje koji trećim stranama pružateljima IKT usluga pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi ako postoji lanac trećih strana pružatelja IKT usluga.

(6)

Za upravljanje IKT rizikom financijskog subjekta krajnje je odgovorno upravljačko tijelo, a to se opće načelo primjenjuje i na angažiranje trećih strana pružatelja IKT usluga. Tu bi odgovornost trebalo dodatno prenijeti u kontinuirani angažman upravljačkog tijela u kontroli i praćenju upravljanja IKT rizicima, pa i u donošenju i preispitivanju politike najmanje jednom godišnje.

(7)

Kako bi se osiguralo odgovarajuće izvješćivanje upravljačkog tijela, u politici bi trebalo jasno definirati i prepoznati unutarnje odgovornosti za odobravanje, upravljanje, kontrolu i dokumentiranje ugovornih aranžmana o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije, a koje pružaju treće strane pružatelji IKT usluga („ugovorni aranžmani”), uključujući IKT usluge koje se pružaju u okviru ugovornih aranžmana iz članka 28. stavka 1. točke (a) Uredbe (EU) 2022/2554.

(8)

Kako bi se uzeli u obzir svi mogući rizici koji mogu nastati pri ugovaranju IKT usluga kojima se podupire ključna ili važna funkcija, struktura politike trebala bi slijediti sve korake glavnih faza životnog ciklusa za ugovorne aranžmane s trećim stranama pružateljima usluga.

(9)

Radi ublažavanja utvrđenih rizika, u politici bi trebalo utvrditi planiranje ugovornih aranžmana, uključujući procjenu rizika, dubinsku analizu i postupak odobravanja novih ili bitnih promjena tih ugovornih aranžmana. Za potrebe upravljanja rizicima koji se mogu pojaviti prije sklapanja ugovora s trećom stranom pružateljem IKT usluga, politikom bi trebalo utvrditi primjeren i razmjeran postupak odabira i ocjenjivanja prikladnosti potencijalnih trećih strana pružatelja IKT usluga i od financijskih subjekata zahtijevati da uzmu u obzir neiscrpan popis elemenata koje bi trebale imati treće strane pružatelji IKT usluga. Popis bi trebao uključivati elemente povezane s poslovnim ugledom pružatelja usluga, njihovim financijskim, ljudskim i tehničkim resursima, informacijskom sigurnošću, organizacijskom strukturom, uključujući upravljanje rizicima, i njihovim unutarnjim kontrolama.

(10)

Kako bi se osiguralo dobro upravljanje rizicima koji nastaju kad treće strane pružatelji IKT usluga pružaju IKT usluge kojima se podupiru ključne ili važne funkcije, politika bi trebala sadržavati informacije o provedbi, praćenju i upravljanju ugovornim aranžmanima, uključujući prema potrebi na konsolidiranoj i potkonsolidiranoj razini. To uključuje zahtjeve za ugovorne klauzule o uzajamnim obvezama financijskih subjekata i trećih strana pružatelja IKT usluga, koje bi trebalo utvrditi u pisanom obliku. Kako bi se osigurao učinkovit nadzor i otpornost u slučaju promjena poslovnog modela ili poslovnog okruženja, politikom bi trebalo zajamčiti prava financijskih subjekata ili imenovanih trećih strana i nadležnih tijela na inspekcijske nadzore i pristup informacijama te dodatno utvrditi izlazne strategije i postupke raskida.

(11)

Ako treće strane pružatelji IKT usluga obrađuju osobne podatke, tom se politikom i ugovornim aranžmanima ne dovode u pitanje obveze na temelju Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća (2) i trebali bi ih dopunjavati, kao što su sklapanje pisanog ugovora u kojem se opisuje obrada osobnih podataka, zahtjev za jamčenje sigurnosti obrade osobnih podataka i utvrđivanje drugih elemenata propisanih tom uredbom.

(12)

Zajednički odbor europskih nadzornih tijela iz članka 54. Uredbe (EU) br. 1093/2010 Europskog parlamenta i Vijeća (3), članka 54. Uredbe (EU) br. 1094/2010 Europskog parlamenta i Vijeća (4) i članka 54. Uredbe (EU) br. 1095/2010 Europskog parlamenta i Vijeća (5) proveo je otvoreno javno savjetovanje o nacrtu regulatornih tehničkih standarda na kojem se temelji ova Uredba, analizirao je moguće troškove i koristi predloženih standarda te zatražio savjet Interesne skupine za bankarstvo osnovane u skladu s člankom 37. Uredbe (EU) br. 1093/2010 Europskog parlamenta i Vijeća, Interesne skupine za osiguranje i reosiguranje i Interesne skupine za strukovno mirovinsko osiguranje osnovanih u skladu s člankom 37. Uredbe (EU) br. 1094/2010 Europskog parlamenta i Vijeća i Interesne skupine za vrijednosne papire i tržišta kapitala osnovane u skladu s člankom 37. Uredbe (EU) br. 1095/2010,

(13)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (6) te je on dao mišljenje 24. siječnja 2024.,