Preamble: 1

(1)

A pénzügyi ágazat digitális működési rezilienciájára vonatkozóan az (EU) 2022/2554 rendelettel létrehozott keret előírja, hogy a pénzügyi szervezeteknek meg kell határozniuk a harmadik féltől eredő IKT-kockázat kezelésére vonatkozó bizonyos alapvető elveket, amelyek kiemelt jelentőséggel bírnak, ha a pénzügyi szervezetek – kritikus vagy fontos funkcióik támogatása érdekében – harmadik fél IKT-szolgáltatókkal működnek együtt.

(2)

A pénzügyi szervezeteknek IKT-kockázatkezelési keretrendszerük részeként a harmadik féltől eredő IKT-kockázatra vonatkozó stratégiát kell elfogadniuk és azt rendszeresen felül kell vizsgálniuk. Az (EU) 2022/2554 rendelet 28. cikkének (2) bekezdésével összhangban az említett stratégiának tartalmaznia kell a harmadik fél IKT-szolgáltatók által nyújtott, kritikus vagy fontos funkciókat támogató IKT-szolgáltatások igénybevételére vonatkozó szabályzatot. A stratégiát egyedi és adott esetben szubkonszolidált, valamint konszolidált alapon kell alkalmazni.

(3)

A pénzügyi szervezetek méretüket, felépítésüket és belső szervezetüket, valamint tevékenységük és műveleteik jellegét és összetettségét tekintve igen eltérőek. Figyelembe kell venni ezt a sokféleséget, ugyanakkor elő kell írni bizonyos alapvető szabályozási követelményeket, amelyek valamennyi pénzügyi szervezet számára megfelelőek a harmadik fél IKT-szolgáltatók által nyújtott, kritikus vagy fontos funkciókat támogató IKT-szolgáltatások igénybevételének céljából kötött szerződéses megállapodásokra vonatkozó szabályzat (a továbbiakban: szabályzat) kidolgozásához, és biztosítani kell, hogy ezeket a követelményeket arányos módon alkalmazzák.

(4)

Amennyiben csoporthoz tartozó pénzügyi szervezetről van szó, a csoport összevont (konszolidált) vagy szubkonszolidált pénzügyi kimutatásainak elkészítéséért felelős anyavállalatnak ezért biztosítania kell, hogy a szabályzatot a csoporton belül következetes és koherens módon alkalmazzák.

(5)

A szabályzat alkalmazása során a csoporton belüli IKT-szolgáltatókat – beleértve azokat is, amelyek teljes egészében vagy együttesen ugyanazon intézményvédelmi rendszeren belüli pénzügyi szervezetek tulajdonában állnak – harmadik fél IKT-szolgáltatónak kell tekinteni. A csoporton belüli IKT-szolgáltatók tevékenységéből eredő kockázatok eltérőek lehetnek, de a rájuk vonatkozó követelmények az (EU) 2022/2554 rendelet értelmében azonosak. Ugyanígy a szabályzatot kell alkalmazni – harmadik fél IKT-szolgáltatók láncolata esetén – azokra az alvállalkozókra, amelyek kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató IKT-szolgáltatásokat nyújtanak harmadik fél IKT-szolgáltatók számára.

(6)

Az, hogy a pénzügyi szervezet IKT-kockázatának kezeléséért a vezető testületet terheli a végső felelősség, olyan általános elv, amelynek a harmadik fél IKT-szolgáltatók igénybevétele tekintetében is érvényesülnie kell. Ennek a felelősségnek abban is meg kell nyilvánulnia, hogy a vezető testület folyamatosan részt vesz az IKT-kockázatkezelés kontrolljában és nyomon követésében, ami kiterjed a szabályzat legalább évente egyszer történő felülvizsgálatára.

(7)

A vezető testület megfelelő tájékoztatása érdekében a szabályzatban egyértelműen meg kell határozni és azonosítani kell a harmadik fél IKT-szolgáltatók által nyújtott, kritikus vagy fontos funkciókat támogató IKT-szolgáltatások igénybevételére vonatkozó szerződéses megállapodások (a továbbiakban: szerződéses megállapodások) jóváhagyására, irányítására, kontrolljára és dokumentálására vonatkozó belső hatásköröket, beleértve az (EU) 2022/2554 rendelet 28. cikke (1) bekezdésének a) pontja szerinti szerződéses megállapodások alapján nyújtott IKT-szolgáltatásokat is.

(8)

A kritikus vagy fontos funkciókat támogató IKT-szolgáltatásokra vonatkozó szerződéskötésből eredő esetleges kockázatok figyelembevétele érdekében a szabályzat szerkezetének követnie kell a harmadik fél szolgáltatókkal kötött szerződéses megállapodások életciklusának egyes fő szakaszaiban végrehajtandó valamennyi lépést.

(9)

Az azonosított kockázatok mérséklése céljából a szabályzatnak ki kell terjednie a szerződéses megállapodások megtervezésére, többek között a kockázatértékelésre, az átvilágításra és az említett szerződéses megállapodások új vagy lényeges módosításaira vonatkozó jóváhagyási eljárásra. A harmadik fél IKT-szolgáltatóval létrejövő szerződéses megállapodás megkötése előtt esetleg felmerülő kockázatok kezeléséhez a szabályzatban megfelelő és arányos eljárást kell meghatározni a potenciális harmadik fél IKT-szolgáltatók kiválasztására és alkalmasságának értékelésére, és elő kell írni, hogy a pénzügyi szervezet tekintse át azon – nem kimerítő jelleggel felsorolt – elemeket, amelyeknek a harmadik fél IKT-szolgáltatóknak eleget kell tenniük. A listának tartalmaznia kell a szolgáltatók üzleti hírnevével, pénzügyi, humán és technikai erőforrásaival, információbiztonságával, szervezeti felépítésével – beleértve a kockázatkezelést is – és belső kontrolljaival kapcsolatos elemeket.

(10)

A kritikus vagy fontos funkciókat támogató IKT-szolgáltatások harmadik fél IKT-szolgáltatók általi nyújtásához kapcsolódó megbízható kockázatkezelés biztosítása érdekében a szabályzatnak információkat kell tartalmaznia a szerződéses megállapodások végrehajtásáról, nyomon követéséről és irányításáról, adott esetben a konszolidált és szubkonszolidált szint vonatkozásában is. Ez magában foglalja a pénzügyi szervezetek és a harmadik fél IKT-szolgáltatók kölcsönös kötelezettségeivel kapcsolatos szerződéses rendelkezésekre vonatkozó követelményeket, amelyeket írásban kell rögzíteni. Annak érdekében, hogy az üzleti modellben vagy az üzleti környezetben bekövetkező változások esetén biztosítható legyen a hatékony felügyelet és a reziliencia megerősítése, a szabályzatban rendelkezni kell a pénzügyi szervezetek vagy kijelölt harmadik felek és illetékes hatóságok vizsgálatok elvégzésére és információkhoz való hozzáférésre vonatkozó jogáról, valamint tovább kell pontosítani a kilépési stratégiákat és a megszüntetési eljárásokat.

(11)

Amennyiben a harmadik fél IKT-szolgáltatók személyes adatokat kezelnek, a szabályzat és a szerződéses megállapodások nem érintik az (EU) 2016/679 európai parlamenti és tanácsi rendelet (2) szerinti kötelezettségeket, és ki kell egészíteniük azokat például a személyes adatok kezelését ismertető írásbeli szerződés létrehozásával, a személyes adatok biztonságos kezelésére vonatkozó követelménnyel, valamint az említett rendeletben előírt egyéb elemek meghatározásával.

(12)

Az 1093/2010/EU európai parlamenti és tanácsi rendelet (3) 54. cikkében, az 1094/2010/EU európai parlamenti és tanácsi rendelet (4) 54. cikkében, valamint az 1095/2010/EU európai parlamenti és tanácsi rendelet (5) 54. cikkében említett, európai felügyeleti hatóságok vegyes bizottsága nyilvános konzultációt folytatott az e rendelet alapját képező szabályozástechnikai standardtervezetekről, elemezte a javasolt standardok esetleges költségeit és hasznát, továbbá kikérte az 1093/2010/EU rendelet 37. cikkével összhangban létrehozott Banki Érdekképviseleti Csoport, az 1094/2010/EU rendelet 37. cikkével összhangban létrehozott Biztosítási és Viszontbiztosítási Érdekképviseleti Csoport és a Foglalkoztatói-nyugdíj Érdekképviseleti Csoport, valamint az 1095/2010/EU rendelet 37. cikkével összhangban létrehozott Értékpapírpiaci Érdekképviseleti Csoport tanácsát.

(13)

Az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (6) 42. cikkének (1) bekezdésével összhangban a Bizottság egyeztetett az európai adatvédelmi biztossal, aki 2024. január 24-én véleményt nyilvánított,