DELEGIRANA UREDBA KOMISIJE (EU) 2025/532 оd 24. ožujka 2025. o dopuni Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća u pogledu regulatornih tehničkih standarda kojima se utvrđuju elementi koje financijski subjekt mora utvrditi i procijeniti pri podugovaranju IKT usluga kojima se podupiru ključne ili važne funkcije (Tekst značajan za EGP)

(1)

Pružanje IKT usluga financijskim subjektima često ovisi o složenom lancu podugovaratelja koji pružaju IKT usluge, pri čemu treće strane pružatelji IKT usluga mogu sklopiti jedan ili više podugovornih aranžmana s drugim trećim stranama pružateljima IKT usluga. Neizravno oslanjanje na podugovaratelje koji pružaju IKT usluge može utjecati na sposobnost financijskog subjekta da utvrdi i procijeni svoje rizike te upravlja njima, među ostalim rizike koji su povezani s nedostatkom informacija koje pružaju treće strane pružatelji IKT usluga, i na ograničenu sposobnost financijskog subjekta da dobije informacije od podugovaratelja koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi. U tom smislu, ako pružanje IKT usluga financijskim subjektima ovisi o potencijalno dugom ili složenom lancu podugovaratelja koji pružaju IKT usluge, ključno je da financijski subjekti identificiraju cjelokupni lanac podugovaratelja koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije.

(2)

Među podugovarateljima koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije financijski subjekti trebali bi posebno i kontinuirano pratiti one o kojima stvarno ovise IKT usluge kojima se podupiru ključne ili važne funkcije, što uključuje sve podugovaratelje koji pružaju IKT usluge čiji bi poremećaj narušio sigurnost ili kontinuitet usluge, kako su utvrđeni u registru informacija iz članka 28. stavka 3. Uredbe (EU) 2022/2554.

(3)

Financijski subjekti znatno se razlikuju po veličini, strukturi, unutarnjem ustrojstvu te prirodi i složenosti aktivnosti. Kako bi se osigurala proporcionalnost, tu bi raznolikost trebalo uzeti u obzir pri određivanju elemenata koje bi financijski subjekt trebao utvrditi i procijeniti pri podugovaranju IKT usluga kojima se podupiru ključne ili važne funkcije.

(4)

Ako to financijski subjekti dopuštaju u skladu s člankom 30. stavkom 2. Uredbe (EU) 2022/2554, činjenica da treće strane pružatelji IKT usluga podugovaraju IKT usluge kojima se podupiru ključne ili važne funkcije ne može umanjiti krajnju odgovornost koju upravljačka tijela financijskih subjekata imaju za upravljanje rizicima tih subjekata i ispunjavanje svojih zakonodavnih i regulatornih obveza. Ako je dopušteno podugovaranje IKT usluga kojima se podupiru ključne ili važne funkcije, važno je da financijski subjekti imaju jasan i sveobuhvatan pregled rizika povezanih s podugovaranjem usluga kojima se podupiru ključne ili važne funkcije kako bi mogli pratiti te rizike, upravljati njima i ublažavati ih. Stoga bi te rizike trebali procijeniti prije podugovaranja takvih usluga.

(5)

Podugovaratelji koji su dio grupe i koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi, uključujući one koji su u potpunom ili zajedničkom vlasništvu financijskih subjekata koji pripadaju istom institucionalnom sustavu zaštite, trebaju se smatrati podugovarateljima koji pružaju IKT usluge.

(6)

Ako je primjenjivo, u kontekstu grupe, matično društvo financijskih subjekata trebalo bi na razini grupe osigurati dosljednu i usklađenu primjenu politike o angažiranju podugovaratelja koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi.

(7)

Važno je osigurati da se sveobuhvatno upravlja rizicima koji mogu nastati pri podugovaranju IKT usluga kojima se podupiru ključne ili važne funkcije. Zbog toga bi financijski subjekti trebali slijediti korake životnog ciklusa ugovornog aranžmana sklopljenog za pružanje IKT usluga kojima se podupiru te funkcije i koje pružaju treće strane pružatelji IKT usluga, što vrijedi i za podugovorne aranžmane. Stoga je potrebno utvrditi zahtjeve za financijske subjekte koji bi trebali biti sadržani u njihovim ugovornim aranžmanima s trećim stranama pružateljima IKT usluga kad je dopušteno podugovaranje IKT usluga kojima se podupiru ključne ili važne funkcije.

(8)

Kako bi se ublažili rizici podugovaranja, potrebno je utvrditi uvjete pod kojima treće strane pružatelji IKT usluga mogu angažirati podugovaratelje za pružanje IKT usluga kojima se podupiru ključne ili važne funkcije. U tu bi svrhu u ugovornim aranžmanima u području IKT-a sklopljenima između financijskih subjekata i trećih strana pružatelja IKT usluga trebalo utvrditi takve uvjete, među ostalim one koji se odnose na planiranje podugovornih aranžmana, procjene rizika, dubinsku analizu i postupak odobrenja novih podugovornih aranžmana za IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi ili bitnih promjena postojećih aranžmana koje je sklopila treća strana pružatelj IKT usluga.

(9)

Kako bi se utvrdili rizici koji bi mogli nastati prije nego što financijski subjekt sklopi aranžman s podugovarateljem koji pruža IKT usluge, treće strane pružatelji IKT usluga trebale bi na odgovarajuć i proporcionalan način procijeniti prikladnost potencijalnih podugovaratelja na temelju ugovornih aranžmana u području IKT-a koje je ta treća strana pružatelj IKT usluga sklopila s financijskim subjektom. Stoga bi tim ugovornim aranžmanima u području IKT-a treću stranu pružatelja IKT usluga, ili izravno financijski subjekt, ovisno o slučaju, trebalo obvezati da procijeni resurse potencijalnog podugovaratelja, među ostalim njegovo stručno znanje, odgovarajuće financijske, ljudske i tehničke resurse, informacijsku sigurnost i organizacijsko ustrojstvo, uključujući postupke za upravljanje rizicima i unutarnje kontrole koje bi podugovaratelj trebao uspostaviti.

(10)

Kako bi se otklonile sve ranjivosti i prijetnje koje mogu ugroziti njihove IKT sustave i operacije, financijski subjekti trebali bi moći pratiti pružanje IKT usluge i dobivati obavijesti o svim relevantnim promjenama u lancu podugovaranja IKT usluga ako se promjene odnose na ključne ili važne funkcije.

(11)

Kako bi se financijskim subjektima omogućilo da procijene rizike povezane s podugovornim aranžmanima ili njihovim bitnim promjenama, treće strane pružatelji IKT usluga trebali bi obavijestiti financijske subjekte kojima pružaju IKT usluge o svim novim aranžmanima ili promjenama dovoljno rano prije njihova stupanja na snagu. Zbog istog bi razloga financijski subjekti trebali imati pravo raskinuti ugovor s trećom stranom pružateljem IKT usluga ako njihove procjene rizika pokažu da novi aranžmani ili bitne promjene nose razinu rizika koja je veća od njihove tolerancije na rizik.

(12)

Europska nadzorna tijela provela su otvoreno javno savjetovanje o nacrtu regulatornih tehničkih standarda na kojem se temelji ova Uredba, analizirala moguće povezane troškove i koristi te zatražila mišljenje interesnih skupina europskih nadzornih tijela osnovanih u skladu s člankom 37. Uredbe (EU) br. 1093/2010 Europskog parlamenta i Vijeća (2), člankom 37. Uredbe (EU) br. 1094/2010 Europskog parlamenta i Vijeća (3) i člankom 37. Uredbe (EU) br. 1095/2010 Europskog parlamenta i Vijeća (4).

(13)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (5) te je on dao mišljenje 20. kolovoza 2024.,