Preamble: 1

(1)

Reglamentu (ES) 2022/2554 nustatytoje finansų sektoriaus skaitmeninės veiklos atsparumo sistemoje reikalaujama, kad finansų sektoriaus subjektai nustatytų tam tikrus pagrindinius trečiosios šalies keliamos IRT rizikos valdymo principus, kurie yra ypač svarbūs, kai finansų sektoriaus subjektai savo ypatingos svarbos arba svarbioms funkcijoms palaikyti samdo IRT paslaugas teikiančias trečiąsias šalis;

(2)

taikydami IRT rizikos valdymo sistemą, finansų sektoriaus subjektai turi priimti ir reguliariai peržiūrėti trečiosios šalies keliamos IRT rizikos strategiją. Pagal Reglamento (ES) 2022/2554 28 straipsnio 2 dalį ta strategija turi apimti IRT paslaugas teikiančių trečiųjų šalių teikiamų IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, naudojimo politiką. Ji turi būti taikoma individualiu ir, kai aktualu, iš dalies konsoliduotu ir konsoliduotu pagrindu;

(3)

finansų sektoriaus subjektų dydis, struktūra ir organizacinė vidaus struktūra, taip pat jų veiklos ir operacijų pobūdis bei sudėtingumas labai skiriasi. Į tą įvairovę būtina atsižvelgti nustatant tam tikrus esminius reguliavimo reikalavimus, kurie būtų tinkami visiems finansų sektoriaus subjektams, rengiantiems politiką, taikomą sutartimi įformintiems susitarimams dėl IRT paslaugas teikiančių trečiųjų šalių teikiamų IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, naudojimo (toliau – politika), taip pat būtina užtikrinti, kad tie reikalavimai būtų taikomi proporcingai;

(4)

kai finansų sektoriaus subjektai priklauso grupei, patronuojančioji įmonė, įpareigota teikti konsoliduotas arba iš dalies konsoliduotas grupės finansines ataskaitas, turėtų užtikrinti, kad politika visoje grupėje būtų taikoma nuosekliai ir suderintai;

(5)

taikant politiką, grupės vidaus IRT paslaugų teikėjai, įskaitant tuos, kurie visiškai arba kolektyviai priklauso finansų sektoriaus subjektams toje pačioje institucinėje užtikrinimo sistemoje, turėtų būti laikomi IRT paslaugas teikiančiomis trečiosiomis šalimis. Grupės vidaus IRT paslaugų teikėjų keliama rizika gali būti skirtinga, tačiau jiems pagal Reglamentą (ES) 2022/2554 taikomi tie patys reikalavimai. Politika taip pat turėtų būti taikoma subrangovams, kurie teikia IRT paslaugas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, ar reikšmingas jų dalis, IRT paslaugas teikiančioms trečiosioms šalims, kai egzistuoja IRT paslaugas teikiančių trečiųjų šalių grandinė;

(6)

galutinė valdymo organo atsakomybė už finansų sektoriaus subjekto IRT rizikos valdymą yra visa apimantis principas, taip pat taikomas naudojantis IRT paslaugas teikiančių trečiųjų šalių paslaugomis. Ši atsakomybė turėtų būti suprantama kaip nuolatinis valdymo organo įsipareigojimas dalyvauti kontroliuojant ir stebint IRT rizikos valdymą, be kita ko, priimant ir bent kartą per metus peržiūrint politiką;

(7)

siekiant užtikrinti, kad valdymo organui būtų tinkamai teikiamos ataskaitos, politikoje reikėtų aiškiai nustatyti ir priskirti vidinę atsakomybę už sutartimi įformintų susitarimų dėl IRT paslaugas teikiančių trečiųjų šalių teikiamų IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, naudojimo (toliau – sutartimi įforminti susitarimai), įskaitant IRT paslaugas, teikiamas pagal Reglamento (ES) 2022/2554 28 straipsnio 1 dalies a punkte nurodytus sutartimi įformintus susitarimus, patvirtinimą, valdymą, kontrolę ir dokumentavimą;

(8)

kad būtų galima atsižvelgti į visas įmanomas rizikas, kurių gali kilti sudarant sutartis dėl IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, politikos struktūra turėtų apimti visus sutartimi įformintų susitarimų su paslaugas teikiančiomis trečiosiomis šalimis gyvavimo ciklo kiekvieno pagrindinio etapo žingsnius;

(9)

siekiant sumažinti nustatytą riziką, politikoje turėtų būti patikslintas sutartimi įformintų susitarimų planavimas, įskaitant rizikos vertinimą, išsamų patikrinimą ir naujų arba reikšmingų tų sutartimi įformintų susitarimų pakeitimų patvirtinimo procesą. Kad būtų galima valdyti riziką, kuri gali kilti, prieš sudarant sutartimi įformintą susitarimą su IRT paslaugas teikiančia trečiąja šalimi politikoje reikėtų nustatyti tinkamą ir proporcingą numatomų IRT paslaugas teikiančių trečiųjų šalių atrankos ir tinkamumo vertinimo procesą ir reikalauti, kad finansų sektoriaus subjektas atsižvelgtų į nebaigtinį sąrašą elementų, kuriuos turėtų turėti kiekviena IRT paslaugas teikianti trečioji šalis. Į sąrašą turėtų būti įtraukti elementai, susiję su paslaugų teikėjų verslo reputacija, jų finansiniais, žmogiškaisiais ir techniniais ištekliais, informacijos saugumu, organizacine struktūra, įskaitant rizikos valdymą, ir vidaus kontrolės priemonėmis;

(10)

kad IRT paslaugas teikiančioms trečiosioms šalims teikiant IRT paslaugas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, būtų užtikrintas patikimas rizikos valdymas, politikoje reikėtų pateikti informaciją apie sutartimi įformintų susitarimų įgyvendinimą, stebėjimą ir valdymą, be kita ko, kai taikoma, konsoliduotu ir iš dalies konsoliduotu lygmeniu. Ta informacija apima reikalavimus, susijusius su sutarčių sąlygomis dėl finansų sektoriaus subjektų ir IRT paslaugas teikiančių trečiųjų šalių abipusių įsipareigojimų, kurie turėtų būti išdėstyti raštu. Siekiant užtikrinti veiksmingą priežiūrą ir didinti atsparumą verslo modelio ar verslo aplinkos pokyčių atveju, politika turėtų užtikrinti finansų sektoriaus subjektų arba paskirtų trečiųjų šalių ir kompetentingų institucijų teises atlikti patikrinimus ir prieigą prie informacijos, taip pat turėtų būti papildomai patikslintos pasitraukimo strategijos ir nutraukimo procesai;

(11)

jeigu IRT paslaugas teikiančios trečiosios šalys tvarko asmens duomenis, ši politika ir visi sutartimi įforminti susitarimai nedaro poveikio Europos Parlamento ir Tarybos reglamente (ES) 2016/679 (2) nustatytoms pareigoms ir turėtų jas papildyti, pavyzdžiui, reikėtų turėti rašytinę sutartį, kurioje būtų aprašytas asmens duomenų tvarkymas, nustatytas reikalavimas užtikrinti asmens duomenų tvarkymo saugumą ir išdėstyti visi kiti pagal tą reglamentą reikalaujami elementai;

(12)

Europos priežiūros institucijų jungtinis komitetas, nurodytas Europos Parlamento ir Tarybos reglamento (ES) Nr. 1093/2010 (3) 54 straipsnyje, Europos Parlamento ir Tarybos reglamento (ES) Nr. 1094/2010 (4) 54 straipsnyje ir Europos Parlamento ir Tarybos reglamento (ES) Nr. 1095/2010 (5) 54 straipsnyje, surengė atviras viešas konsultacijas dėl techninių reguliavimo standartų projektų, kuriais pagrįstas šis reglamentas, išnagrinėjo galimas siūlomų standartų sąnaudas ir naudą ir paprašė, kad pagal Reglamento (ES) Nr. 1093/2010 37 straipsnį įsteigta Bankininkystės suinteresuotųjų subjektų grupė, pagal Reglamento (ES) Nr. 1094/2010 37 straipsnį įsteigta Draudimo ir perdraudimo suinteresuotųjų subjektų grupė ir Profesinių pensijų suinteresuotųjų subjektų grupė ir pagal Reglamento (ES) Nr. 1095/2010 37 straipsnį įsteigta Vertybinių popierių ir rinkų suinteresuotųjų subjektų grupė pateiktų rekomendacijų;

(13)

vadovaujantis Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 (6) 42 straipsnio 1 dalimi, buvo konsultuojamasi su Europos duomenų apsaugos priežiūros pareigūnu ir jis pateikė nuomonę 2024 m. sausio 24 d.,