KOMISIJAS DELEĢĒTĀ REGULA (ES) 2024/1773 (2024. gada 13. marts), ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem, sīkāk precizējot politikas detalizēto saturu saistībā ar līgumisku vienošanos par tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, ko nodrošina trešās personas, kas sniedz IKT pakalpojumus (Dokuments attiecas uz EEZ)

(1)

Ar Regulu (ES) 2022/2554 izveidotais finanšu nozares digitālās darbības noturības satvars paredz, ka finanšu vienības nosaka konkrētus pamatprincipus ar trešo personu saistītā IKT riska pārvaldībai, kuri ir īpaši svarīgi, kad finanšu vienības sadarbojas ar trešām personām, kas sniedz IKT pakalpojumus, lai atbalstītu to kritiski svarīgās vai svarīgās funkcijas.

(2)

Finanšu vienībām IKT riska pārvaldības satvara ietvaros ir jāpieņem un regulāri jāpārskata ar trešo personu IKT risku saistītā stratēģija. Saskaņā ar Regulas (ES) 2022/2554 28. panta 2. punktu minētajā stratēģijā ir jāiekļauj politika par tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, ko nodrošina trešās personas, kas sniedz IKT pakalpojumus. Tā ir jāpiemēro individuāli un attiecīgā gadījumā subkonsolidēti un konsolidēti.

(3)

Finanšu vienības ir ļoti atšķirīgas pēc apjoma, struktūras un iekšējās organizācijas, kā arī to darbību un operāciju būtības un sarežģītības. Šī daudzveidība ir jāņem vērā, vienlaikus nosakot visām finanšu vienībām piemērotas konkrētas regulatīvās pamatprasības politikas izstrādei attiecībā uz līgumiskām vienošanām par tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, ko nodrošina trešās personas, kas sniedz IKT pakalpojumus (“politika”), un jānodrošina, ka minētās prasības tiek piemērotas samērīgā veidā.

(4)

Ja finanšu vienības pieder grupai, mātesuzņēmumam, kas ir atbildīgs par konsolidēto vai subkonsolidēto finanšu pārskatu sniegšanu attiecībā uz grupu, būtu jānodrošina, ka politiku grupas iekšienē piemēro konsekventi un saskaņoti.

(5)

Piemērojot šo politiku, IKT pakalpojumu sniedzēji, kuri pieder vienai grupai, tostarp tie, kas pilnībā vai kolektīvi pieder finanšu vienībām, uz kurām attiecas tā pati institucionālā aizsardzības shēma, būtu jāuzskata par trešām personām, kas sniedz IKT pakalpojumus. Riski, ko rada IKT pakalpojumu sniedzēji, kuri pieder vienai grupai, var atšķirties, bet tiem piemēro tās pašas prasības saskaņā ar Regulu (ES) 2022/2554. Līdzīgā veidā minētā politika būtu jāpiemēro apakšuzņēmējiem, kas sniedz IKT pakalpojumus, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, vai to būtiskas daļas trešām personām, kas sniedz IKT pakalpojumus, ja pastāv trešo personu, kas sniedz IKT pakalpojumus, ķēde.

(6)

Vadības struktūras galīgā atbildība par finanšu vienības IKT riska pārvaldību ir vispārējs princips, kas ir piemērojams arī attiecībā uz trešo personu, kas sniedz IKT pakalpojumus, izmantošanu. Šī atbildība būtu vēl vairāk jāizpauž kā vadības struktūras pastāvīga iesaiste IKT riska pārvaldības kontrolē un uzraudzībā, tostarp vismaz reizi gadā pieņemot un pārskatot politiku.

(7)

Lai nodrošinātu pienācīgu ziņošanu vadības struktūrai, politikā būtu skaidri jānorāda un jānosaka iekšējie pienākumi apstiprināt, pārvaldīt, kontrolēt un dokumentēt līgumiskas vienošanās par tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, ko nodrošina trešās personas, kas sniedz IKT pakalpojumus (“līgumiskas vienošanās”), kuri ietver IKT pakalpojumus, kas sniegti saskaņā ar Regulas (ES) 2022/2554 28. panta 1. punkta a) apakšpunktā minēto līgumisko vienošanos.

(8)

Lai ņemtu vērā visus iespējamos riskus, kas var rasties, slēdzot līgumus par IKT pakalpojumiem, ar kuriem atbalsta kritiski svarīgu vai svarīgu funkciju, politikas struktūrā būtu jāievēro visi katra galvenā aprites cikla fāzes posmi attiecībā uz līgumiskām vienošanām ar trešām personām, kas sniedz pakalpojumus.

(9)

Lai mazinātu konstatētos riskus, politikā būtu jāprecizē līgumisko vienošanos plānošana, tostarp riska novērtējums, pienācīga rūpība un jaunu vai būtisku izmaiņu apstiprināšanas process minētajās līgumiskajās vienošanās. Lai pārvaldītu riskus, kas var rasties pirms līgumiskas vienošanās noslēgšanas ar trešo personu, kas sniedz IKT pakalpojumus, politikā būtu jānosaka piemērots un samērīgs process, ar ko atlasa un novērtē potenciālo trešo personu, kas sniedz IKT pakalpojumus, piemērotību, un jāpieprasa, lai finanšu vienība ņemtu vērā neizsmeļošu elementu sarakstu, kam vajadzētu būt trešo personu, kas sniedz IKT pakalpojumus, rīcībā. Minētajā sarakstā būtu jāiekļauj elementi, kas saistīti ar pakalpojumu sniedzēju uzņēmējdarbības reputāciju, to finanšu resursiem, cilvēkresursiem un tehniskajiem resursiem, informācijas drošību, organizatorisko struktūru, tostarp riska pārvaldību, un iekšējo kontroli.

(10)

Lai nodrošinātu pareizu riska pārvaldību tādu IKT pakalpojumu sniegšanā, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, ko nodrošina trešās personas, kas sniedz IKT pakalpojumus, politikā būtu jāietver informācija par līgumisko vienošanos īstenošanu, uzraudzību un pārvaldību, tostarp attiecīgā gadījumā konsolidētā un subkonsolidētā līmenī. Tas ietver prasības attiecībā uz līguma klauzulām par finanšu vienību un trešo personu, kas sniedz IKT pakalpojumus, savstarpējām saistībām, kuras būtu jāizklāsta rakstiski. Lai nodrošinātu efektīvu uzraudzību un veicinātu noturību darījumdarbības modeļa vai uzņēmējdarbības vides izmaiņu gadījumā, politikā būtu jānodrošina finanšu vienību vai iecelto trešo personu un kompetento iestāžu tiesības uz pārbaudēm un piekļuvi informācijai, kā arī būtu sīkāk jāprecizē atkāpšanās stratēģijas un izbeigšanas procesi.

(11)

Ciktāl personas datus apstrādā trešās personas, kas sniedz IKT pakalpojumus, šī politika un jebkādas līgumiskas vienošanās neskar Eiropas Parlamenta un Padomes Regulā (ES) 2016/679 (2) noteiktos pienākumus, kurus tām vajadzētu papildināt, piemēram, par to, ka ir jābūt noslēgtam rakstiskam līgumam, kurā aprakstīta personas datu apstrāde, par prasību nodrošināt personas datu apstrādes drošību un izklāstot visus pārējos minētajā regulā prasītos elementus.

(12)

Eiropas uzraudzības iestāžu apvienotā komiteja, kas minēta Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1093/2010 (3) 54. pantā, Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1094/2010 (4) 54. pantā un Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1095/2010 (5) 54. pantā, ir rīkojusi atklātu sabiedrisko apspriešanu par regulatīvajiem tehniskajiem standartiem, uz kuriem balstīta šī regula, analizējusi ierosināto standartu potenciālās izmaksas un radītos ieguvumus un lūgusi padomu Banku nozares ieinteresēto personu grupai, kas izveidota saskaņā ar Regulas (ES) Nr. 1093/2010 37. pantu, Apdrošināšanas un pārapdrošināšanas nozares ieinteresēto personu grupai un Aroda pensiju nozares ieinteresēto personu grupai, kas izveidotas saskaņā ar Regulas (ES) Nr. 1094/2010 37. pantu, un Vērtspapīru un tirgu nozares ieinteresēto personu grupai, kas izveidota saskaņā ar Regulas (ES) Nr. 1095/2010 37. pantu.

(13)

Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (6) 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas sniedza atzinumu 2024. gada 24. janvārī,