Preamble: 1

(1)

Il-qafas dwar ir-reżiljenza operazzjonali diġitali għas-settur finanzjarju stabbilit bir-Regolament (UE) 2022/2554 jirrikjedi li l-entitajiet finanzjarji jistabbilixxu ċerti prinċipji ewlenin għall-ġestjoni tar-riskju relatat mal-ICT minn partijiet terzi, li huma ta’ importanza partikolari meta l-entitajiet finanzjarji jinvolvu ruħhom ma’ fornituri terzi ta’ servizzi tal-ICT biex jappoġġaw il-funzjonijiet kritiċi jew importanti tagħhom.

(2)

L-entitajiet finanzjarji, bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT tagħhom, għandhom jadottaw, u jirrieżaminaw regolarment, strateġija dwar ir-riskju relatat mal-ICT minn partijiet terzi. F’konformità mal-Artikolu 28(2) tar-Regolament (UE) 2022/2554, dik l-istrateġija għandha tinkludi politika dwar l-użu ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti pprovduti minn fornituri terzi ta’ servizzi tal-ICT. Din għandha tapplika fuq bażi individwali u, fejn rilevanti, fuq bażi subkonsolidata u konsolidata.

(3)

L-entitajiet finanzjarji jvarjaw ħafna fid-daqs, fl-istruttura u fl-organizzazzjoni interna u fin-natura u l-kumplessità tal-attivitajiet u l-operazzjonijiet tagħhom. Jeħtieġ li meta tkun qed tiġi żviluppata l-politika dwar l-arranġamenti kuntrattwali dwar l-użu ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti minn fornituri terzi tal-ICT, titqies dik id-diversità filwaqt li jiġu imposti ċerti rekwiżiti regolatorji fundamentali li huma xierqa għall-entitajiet finanzjarji kollha (“il-politika”), u li jiġi żgurat li dawk ir-rekwiżiti jiġu applikati b’mod li jkun proporzjonat.

(4)

Meta l-entitajiet finanzjarji jappartjenu għal grupp, l-impriża omm li tkun responsabbli biex tipprovdi r-rapporti finanzjarji konsolidati jew subkonsolidati għall-grupp, jenħtieġ għalhekk li tiżgura li l-politika tiġi applikata b’mod konsistenti u koerenti fil-grupp.

(5)

Meta tiġi applikata l-politika, il-fornituri intragrupp ta’ servizzi tal-ICT, inklużi dawk li huma kompletament jew kollettivament proprjetà ta’ entitajiet finanzjarji fl-istess skema ta’ protezzjoni istituzzjonali, jenħtieġ li jitqiesu bħala fornituri terzi ta’ servizzi tal-ICT. Ir-riskji ppreżentati mill-fornituri intragrupp ta’ servizzi tal-ICT jistgħu jkunu differenti iżda r-rekwiżiti applikabbli għalihom huma l-istess skont ir-Regolament (UE) 2022/2554. B’mod simili, jenħtieġ li l-politika tapplika għas-sottokuntratturi li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali minnhom lil fornituri terzi ta’ servizzi tal-ICT, meta teżisti katina ta’ fornituri terzi ta’ servizzi tal-ICT.

(6)

Ir-responsabbiltà aħħarija tal-korp maniġerjali fil-ġestjoni tar-riskju tal-ICT ta’ entità finanzjarja hija prinċipju ġenerali li huwa applikabbli wkoll fir-rigward tal-użu ta’ fornituri terzi ta’ servizzi tal-ICT. Jenħtieġ li din ir-responsabbiltà tissarraf ulterjorment fl-involviment kontinwu tal-korp maniġerjali fil-kontroll u l-monitoraġġ tal-ġestjoni tar-riskju tal-ICT, inkluż fl-adozzjoni u r-rieżami, tal-anqas darba fis-sena, tal-politika.

(7)

Sabiex jiġi żgurat rappurtar xieraq lill-korp maniġerjali, jenħtieġ li l-politika tispeċifika u tidentifika b’mod ċar ir-responsabbiltajiet interni għall-approvazzjoni, il-ġestjoni, il-kontroll u d-dokumentazzjoni tal-arranġamenti kuntrattwali dwar l-użu tas-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti pprovduti minn fornituri terzi ta’ servizzi tal-ICT (“arranġamenti kuntrattwali”), inkluż is-servizzi tal-ICT ipprovduti skont l-arranġamenti kuntrattwali msemmija fl-Artikolu 28(1), il-punt (a), tar-Regolament (UE) 2022/2554.

(8)

Sabiex jitqiesu r-riskji kollha possibbli li jistgħu jirriżultaw meta jiġu kkuntrattati servizzi tal-ICT li jappoġġaw funzjoni kritika jew importanti, jenħtieġ li l-istruttura tal-politika ssegwi l-passi kollha ta’ kull fażi ewlenija taċ-ċiklu tal-ħajja għal arranġamenti kuntrattwali ma’ fornituri terzi.

(9)

Sabiex jittaffew ir-riskji identifikati, jenħtieġ li l-politika tispeċifika l-ippjanar tal-arranġamenti kuntrattwali, inkluż il-valutazzjoni tar-riskju, id-diliġenza dovuta, u l-proċess ta’ approvazzjoni għal bidliet ġodda jew materjali ta’ dawk l-arranġamenti kuntrattwali. Sabiex jiġu ġestiti r-riskji li jistgħu jirriżultaw qabel id-dħul f’arranġament kuntrattwali ma’ fornitur terz ta’ servizzi tal-ICT, jenħtieġ li l-politika tispeċifika proċess xieraq u proporzjonat biex tintgħażel u tiġi vvalutata l-adegwatezza ta’ fornituri terzi prospettivi ta’ servizzi tal-ICT u tirrikjedi li l-entità finanzjarja tqis lista mhux eżawrjenti ta’ elementi li l-fornituri terzi ta’ servizzi tal-ICT jenħtieġ li jkollhom fis-seħħ. Jenħtieġ li l-lista tinkludi elementi relatati mar-reputazzjoni kummerċjali tal-fornituri tas-servizzi, ir-riżorsi finanzjarji, umani u tekniċi tagħhom, is-sigurtà tal-informazzjoni tagħhom, l-istruttura organizzazzjonali tagħhom, inkluża l-ġestjoni tar-riskju, u l-kontrolli interni tagħhom.

(10)

Sabiex tiġi żgurata ġestjoni tajba tar-riskju fil-forniment ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti minn fornituri terzi ta’ servizzi tal-ICT, jenħtieġ li l-politika tinkludi informazzjoni dwar l-implimentazzjoni, il-monitoraġġ u l-ġestjoni tal-arranġamenti kuntrattwali, inkluż fil-livell konsolidat u subkonsolidat, fejn applikabbli. Dan jinkludi rekwiżiti għall-klawżoli kuntrattwali dwar l-obbligi reċiproċi tal-entitajiet finanzjarji u tal-fornituri terzi ta’ servizzi tal-ICT, li jenħtieġ li jiġu stabbiliti bil-miktub. Sabiex tiġi żgurata superviżjoni effiċjenti u titrawwem ir-reżiljenza f’każ ta’ bidliet fil-mudell tan-negozju jew fl-ambjent tan-negozju, jenħtieġ li l-politika tiżgura d-drittijiet tal-entitajiet finanzjarji jew tal-partijiet terzi maħtura u tal-awtoritajiet kompetenti għall-ispezzjonijiet u l-aċċess għall-informazzjoni u jenħtieġ ukoll li tispeċifika aktar l-istrateġiji ta’ ħruġ u l-proċessi ta’ terminazzjoni.

(11)

Sa fejn id-data personali tiġi pproċessata minn fornituri terzi ta’ servizzi tal-ICT, din il-politika u kwalunkwe arranġament kuntrattwali huma mingħajr preġudizzju għall-obbligi skont ir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill (2), u jenħtieġ li jikkomplementawhom, bħal pereżempju li jkun hemm kuntratt bil-miktub fis-seħħ li jiddeskrivi l-ipproċessar tad-data personali, ir-rekwiżit li tiġi żgurata s-sigurtà tal-ipproċessar tad-data personali u l-istabbiliment tal-elementi l-oħra kollha meħtieġa skont dak ir-Regolament.

(12)

Il-Kumitat Konġunt tal-Awtoritajiet Superviżorji Ewropej imsemmi fl-Artikolu 54 tar-Regolament (UE) Nru 1093/2010 tal-Parlament Ewropew u tal-Kunsill (3), fl-Artikolu 54 tar-Regolament (UE) Nru 1094/2010 tal-Parlament Ewropew u tal-Kunsill (4) u fl-Artikolu 54 tar-Regolament (UE) Nru 1095/2010 tal-Parlament Ewropew u tal-Kunsill (5) wettaq konsultazzjonijiet pubbliċi miftuħa dwar l-abbozz ta’ standards tekniċi regolatorji li fuqhom huwa bbażat dan ir-Regolament, analizza l-kostijiet u l-benefiċċji potenzjali tal-istandards proposti u talab il-parir tal-Grupp tal-Partijiet Bankarji Interessati stabbilit f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1093/2010, tal-Grupp tal-Partijiet Interessati tal-Oqsma tal-Assigurazzjoni u tar-Riassigurazzjoni u tal-Grupp tal-Partijiet Interessati tal-Qasam tal-Pensjonijiet tax-Xogħol stabbilit f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1094/2010, u tal-Grupp tal-Partijiet Interessati tat-Titoli u s-Swieq stabbilit f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1095/2010,

(13)

Il-Kontrollur Ewropew għall-Protezzjoni tad-Data ġie kkonsultat f’konformità mal-Artikolu 42(1) tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill (6) u ta l-opinjoni tiegħu fl-24 ta’ Jannar 2024,