KOMMISSIONENS DELEGERADE FÖRORDNING (EU) 2025/295 av den 24 oktober 2024 om komplettering av Europaparlamentets och rådets förordning (EU) 2022/2554 vad gäller tekniska tillsynsstandarder som möjliggör genomförandet av tillsynsverksamhet (Text av betydelse för EES)

(1)

Genom det regelverk för digital operativ motståndskraft för finanssektorn som fastställs i förordning (EU) 2022/2554 införs en ram på unionsnivå för tillsyn över de tredjepartsleverantörer som tillhandahåller informations- och kommunikationsteknik (IKT) till finanssektorn och som har klassificerats som kritiska i enlighet med artikel 31 i den förordningen.

(2)

En tredjepartsleverantör av IKT-tjänster som lämnar in en ansökan om frivillig begäran att bli klassificerad som kritisk bör till den mottagande europeiska tillsynsmyndigheten lämna all information som krävs för att styrka sin kritikalitet enligt de principer och kriterier som fastställs i förordning (EU) 2022/2554. Den information som ska ingå i en ansökan om frivillig begäran bör därför vara tillräckligt utförlig och fullständig för att möjliggöra en säker och fullständig bedömning av kritikaliteten i enlighet med artikel 31.11 i den förordningen. Den berörda europeiska tillsynsmyndigheten bör avvisa ofullständiga ansökningar och begära in de uppgifter som saknas.

(3)

Den rättsliga identifieringen av tredjepartsleverantörer av IKT-tjänster som omfattas av dessa tekniska tillsynsstandarder bör anpassas till den id-kod som anges i den genomförandeförordning som kommissionen antagit i enlighet med artikel 28.9 i förordning (EU) 2022/2554.

(4)

Den ledande tillsynsmyndigheten bör följa upp sina rekommendationer till kritiska tredjepartsleverantörer av IKT-tjänster genom att övervaka deras efterlevnad. För att säkerställa en effektiv och ändamålsenlig övervakning av de åtgärder eller avhjälpande åtgärder som har genomförts av kritiska tredjepartsleverantörer av IKT-tjänster med anledning av dessa rekommendationer bör den ledande tillsynsmyndigheten kunna begära in de rapporter som avses i artikel 35.1 c i förordning (EU) 2022/2554 i form av läges- och slutrapporter.

(5)

För den bedömning som anges i artikel 42.1 i förordning (EU) 2022/2554, enligt vilken den ledande tillsynsmyndigheten är skyldig att ta ställning till om den förklaring som lämnats av den kritiska tredjepartsleverantören av IKT-tjänster är tillräcklig, bör underrättelsen från den kritiska tredjepartsleverantören av IKT-tjänster till den ledande tillsynsmyndigheten om att den har för avsikt att följa mottagna rekommendationer kompletteras med en beskrivning av de åtgärder och avhjälpande åtgärder som har vidtagits för att minska de risker som beskrivs i rekommendationerna, tillsammans med deras respektive tidsfrister. En sådan förklaring bör ha formen av en åtgärdsplan.

(6)

Eftersom den ledande tillsynsmyndigheten förväntas bedöma underleverantörsavtal som ingåtts av den kritiska tredjepartsleverantören av IKT-tjänster måste en mall utformas för tillhandahållandet av information om dessa avtal. Mallen bör ta hänsyn till att strukturen hos kritiska tredjepartsleverantörer av IKT-tjänster skiljer sig från den hos finansiella entiteter.

(7)

När den ledande tillsynsmyndigheten har utfärdat rekommendationer till en kritisk tredjepartsleverantör av IKT-tjänster och behöriga myndigheter har informerat relevanta finansiella entiteter om de risker som identifieras i rekommendationerna bör den ledande tillsynsmyndigheten övervaka och bedöma de åtgärder och avhjälpande åtgärder som genomförs av den kritiska tredjepartsleverantören av IKT-tjänster för att följa rekommendationerna. Behöriga myndigheter bör övervaka och bedöma i vilken utsträckning finansiella entiteter är exponerade för de risker som identifieras i dessa rekommendationer. För att under utförandet av sina respektive uppgifter säkerställa lika konkurrensvillkor, i synnerhet när de risker som identifieras i rekommendationerna är allvarliga och gemensamma för ett stort antal finansiella entiteter i flera medlemsstater, bör behöriga myndigheter och den ledande tillsynsmyndigheten delge varandra alla relevanta resultat som är nödvändiga för utförandet av deras respektive uppgifter. Syftet med detta utbyte av information är att säkerställa att den ledande tillsynsmyndighetens återkoppling till den kritiska tredjepartsleverantören av IKT-tjänster gällande de åtgärder och avhjälpande åtgärder som genomförs av den sistnämnda tar hänsyn till effekten på finansiella entiteters risker och att behöriga myndigheters tillsynsverksamhet beaktar den ledande tillsynsmyndighetens bedömning.

(8)

För att möjliggöra ett effektivt och ändamålsenligt utbyte av information bör behöriga myndigheter som ett led i sin tillsynsverksamhet bedöma i vilken utsträckning finansiella entiteter som står under deras tillsyn är exponerade för de risker som identifieras i rekommendationerna. Denna bedömning bör vara proportionell och riskbaserad. Den ledande tillsynsmyndigheten bör be behöriga myndigheter att få ta del av resultaten av denna bedömning i fall där de risker som identifieras i rekommendationerna är allvarliga och gemensamma för ett stort antal finansiella entiteter i flera medlemsstater. För att utnyttja behöriga myndigheters resurser på bästa sätt bör den ledande tillsynsmyndigheten, när den begär att få ta del av resultaten av denna bedömning, alltid ta hänsyn till att syftet är att bedöma de åtgärder och avhjälpande åtgärder som genomförts av kritiska tredjepartsleverantörer av IKT-tjänster.

(9)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (2) och avgav ett yttrande den 22 juli 2024.

(10)

Denna förordning grundar sig på det förslag till tekniska tillsynsstandarder som de europeiska tillsynsmyndigheterna har överlämnat till kommissionen.

(11)

De europeiska tillsynsmyndigheternas gemensamma kommitté har genomfört öppna offentliga samråd om det förslag till tekniska tillsynsstandarder som denna förordning grundas på, gjort en analys av potentiella kostnader och fördelar samt begärt råd från den bankintressentgrupp som inrättats i enlighet med artikel 37 i Europaparlamentets och rådets förordning (EU) nr 1093/2010 (3), den intressentgrupp för försäkring och återförsäkring och den intressentgrupp för tjänstepensioner som inrättats i enlighet med artikel 37 i Europaparlamentets och rådets förordning (EU) nr 1094/2010 (4), samt den intressentgrupp för värdepapper och marknader som inrättats i enlighet med artikel 37 i Europaparlamentets och rådets förordning (EU) nr 1095/2010 (5).