DELEGOVANÉ NARIADENIE KOMISIE (EÚ) 2024/1773 z 13.marca 2024, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, ktorými sa bližšie spresňuje podrobný obsah politiky v súvislosti so zmluvnými dojednaniami o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie a poskytovaných externými poskytovateľmi IKT služieb (Text s významom pre EHP)

(1)

V rámci pre digitálnu prevádzkovú odolnosť finančného sektora zriadenom nariadením (EÚ) 2022/2554 sa vyžaduje, aby finančné subjekty stanovili určité kľúčové zásady riadenia IKT rizika tretej strany, ktoré majú osobitný význam vtedy, keď finančné subjekty v snahe podporiť svoje kritické alebo dôležité funkcie spolupracujú s externými poskytovateľmi IKT služieb.

(2)

Finančné subjekty majú ako súčasť svojho rámca riadenia IKT rizika prijať a pravidelne preskúmavať stratégiu týkajúcu sa IKT rizika tretej strany. V súlade s článkom 28 ods. 2 nariadenia (EÚ) 2022/2554 má uvedená stratégia zahŕňať politiku využívania IKT služieb podporujúcich kritické alebo dôležité funkcie a poskytovaných externými poskytovateľmi IKT služieb. Uplatňuje sa na individuálnom a prípadne na subkonsolidovanom a konsolidovanom základe.

(3)

Finančné subjekty sa značne líšia veľkosťou, štruktúrou a vnútornou organizáciou, ako aj povahou a zložitosťou svojich činností a operácií. Túto rozmanitosť treba zohľadniť pri ukladaní určitých základných regulačných požiadaviek, ktoré sú vhodné pre všetky finančné subjekty pri vypracúvaní politiky týkajúcej sa zmluvných dojednaní o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie, ktoré poskytujú externí poskytovatelia IKT služieb (ďalej len „politika“), a zabezpečiť, aby sa tieto požiadavky uplatňovali primerane.

(4)

Ak finančné subjekty patria do skupiny, materský podnik, ktorý je zodpovedný za zostavovanie konsolidovanej alebo subkonsolidovanej účtovnej závierky skupiny, by mal preto zabezpečiť, aby sa politika uplatňovala v rámci skupiny konzistentne a koherentne.

(5)

Pri uplatňovaní tejto politiky by sa vnútroskupinoví poskytovatelia IKT služieb skupiny vrátane tých, ktorí sú v úplnom alebo kolektívnom vlastníctve finančných subjektov v rámci toho istého systému inštitucionálneho zabezpečenia, mali považovať za externých poskytovateľov IKT služieb. Riziká, ktoré predstavujú vnútroskupinoví poskytovatelia IKT služieb, môžu byť odlišné, ale požiadavky, ktoré sa na nich vzťahujú, sú podľa nariadenia (EÚ) 2022/2554 rovnaké. Podobne by sa táto politika mala uplatňovať na subdodávateľov, ktorí poskytujú IKT služby podporujúce kritické alebo dôležité funkcie alebo ich závažné časti externým poskytovateľom IKT služieb, ak existuje reťazec externých poskytovateľov IKT služieb.

(6)

Konečná zodpovednosť riadiaceho orgánu za riadenie IKT rizika finančného subjektu je zastrešujúcou zásadou, ktorá je uplatniteľná aj na využívanie externých poskytovateľov IKT služieb. Táto zodpovednosť by sa mala ďalej premietnuť do nepretržitého zapojenia riadiaceho orgánu do kontroly a monitorovania riadenia IKT rizika, a to aj pri prijímaní a preskúmavaní politiky aspoň raz ročne.

(7)

S cieľom zabezpečiť primerané podávanie správ riadiacemu orgánu by sa v politike mali jasne stanoviť a určiť interné zodpovednosti za schvaľovanie, riadenie, kontrolu a dokumentáciu zmluvných dojednaní o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie a poskytovaných externými poskytovateľmi IKT služieb (ďalej len „zmluvné dojednania“) vrátane IKT služieb poskytovaných na základe zmluvných dojednaní uvedených v článku 28 ods. 1 písm. a) nariadenia (EÚ) 2022/2554.

(8)

V snahe zohľadniť všetky možné riziká, ktoré môžu vzniknúť pri uzatváraní zmlúv o IKT službách podporujúcich kritickú alebo dôležitú funkciu, by sa štruktúra politiky mala riadiť všetkými krokmi každej hlavnej fázy životného cyklu zmluvných dojednaní s externými poskytovateľmi.

(9)

Na zmiernenie identifikovaných rizík by sa v politike malo špecifikovať plánovanie zmluvných dojednaní vrátane posúdenia rizík, náležitej starostlivosti a procesu schvaľovania nových alebo závažných zmien týchto zmluvných dojednaní. S cieľom riadiť riziká, ktoré môžu vzniknúť pred uzavretím zmluvného dojednania s externým poskytovateľom IKT služieb, by sa v politike mal stanoviť vhodný a primeraný postup výberu a posudzovania vhodnosti potenciálnych externých poskytovateľov IKT služieb a vyžadovať, aby finančný subjekt zohľadňoval demonštratívny zoznam prvkov, ktoré by mali mať externí poskytovatelia IKT služieb zavedené. Zoznam by mal obsahovať prvky týkajúce sa dobrého mena poskytovateľov služieb, ich finančných, ľudských a technických zdrojov, ich informačnej bezpečnosti, ich organizačnej štruktúry vrátane riadenia rizík a ich vnútorných kontrol.

(10)

Na zabezpečenie spoľahlivého riadenia rizík pri poskytovaní IKT služieb podporujúcich kritické alebo dôležité funkcie externými poskytovateľmi IKT služieb by táto politika mala obsahovať informácie o vykonávaní, monitorovaní a riadení zmluvných dojednaní, a to prípadne aj na konsolidovanej a subkonsolidovanej úrovni. Patria sem požiadavky na zmluvné doložky týkajúce sa vzájomných záväzkov finančných subjektov a externých poskytovateľov IKT služieb, ktoré by sa mali stanoviť písomne. S cieľom zabezpečiť účinný dohľad a posilniť odolnosť v prípade zmien obchodného modelu alebo podnikateľského prostredia by sa politikou mali zabezpečiť práva finančných subjektov alebo vymenovaných tretích strán a príslušných orgánov na inšpekcie a prístup k informáciám a mali by sa v nej takisto bližšie určiť stratégie ukončenia angažovanosti a postupy ukončenia.

(11)

Pokiaľ u externých poskytovateľov IKT služieb dochádza k spracúvaniu osobných údajov, touto politikou a akýmikoľvek zmluvnými dojednaniami nie sú dotknuté povinnosti vyplývajúce z nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (2), pričom by ich mali dopĺňať; ide napríklad o povinnosť mať uzavretú písomnú zmluvu, v ktorej sa opisuje spracúvanie osobných údajov, požiadavku na zaistenie bezpečnosti spracúvania osobných údajov a stanovenie všetkých ostatných prvkov požadovaných podľa uvedeného nariadenia.

(12)

Spoločný výbor európskych orgánov uvedený v článku 54 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (3), v článku 54 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1094/2010 (4) a v článku 54 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1095/2010 (5) uskutočnil otvorené verejné konzultácie k návrhu regulačných technických predpisov, z ktorých toto nariadenie vychádza, analyzoval potenciálne náklady a prínosy navrhovaných predpisov a požiadal o poradenstvo Skupinu zainteresovaných strán v bankovníctve zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1093/2010, Skupinu zainteresovaných strán v poisťovníctve a zaisťovníctve a skupinu zainteresovaných strán v dôchodkovom poistení zamestnancov zriadené v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1094/2010 a Skupinu zainteresovaných strán v oblasti cenných papierov a trhov zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1095/2010.

(13)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (6) prebehli konzultácie s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal svoje stanovisko 24. januára 2024,