REGLAMENTO DELEGADO (UE) 2024/1773 DE LA COMISIÓN de 13 de marzo de 2024 por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo mediante normas técnicas de regulación que especifican el contenido detallado de la política relativa a los acuerdos contractuales sobre el uso de servicios de TIC que sustenten funciones esenciales o importantes prestados por proveedores terceros de servicios de TIC (Texto pertinente a efectos del EEE)

(1)

El marco sobre resiliencia operativa digital para el sector financiero establecido por el Reglamento (UE) 2022/2554 exige que las entidades financieras establezcan determinados principios clave para gestionar el riesgo relacionado con las TIC derivado de terceros, que revisten especial importancia cuando las entidades financieras colaboran con proveedores terceros de servicios de TIC para sustentar sus funciones esenciales o importantes.

(2)

Las entidades financieras, como parte de su marco de gestión del riesgo relacionado con las TIC, deben adoptar una estrategia sobre el riesgo de terceros relacionado con las TIC y revisarla periódicamente. De conformidad con el artículo 28, apartado 2, del Reglamento (UE) 2022/2554, dicha estrategia debe incluir una política sobre el uso de servicios de TIC que sustenten funciones esenciales o importantes prestados por proveedores terceros de servicios de TIC, y se debe aplicar a título particular y, cuando proceda, de forma subconsolidada y consolidada.

(3)

Las entidades financieras varían considerablemente en cuanto al tamaño, la estructura y la organización interna, así como en cuanto a la naturaleza y complejidad de sus actividades y operaciones. A la hora de desarrollar la política relativa a los acuerdos contractuales sobre el uso de servicios de TIC que sustenten funciones esenciales o importantes prestados por proveedores terceros de TIC (en lo sucesivo, «política»), es necesario tener en cuenta esta diversidad, pero imponer al mismo tiempo determinados requisitos reglamentarios fundamentales que sean adecuados para todas las entidades financieras, garantizando que dichos requisitos se apliquen de manera proporcionada.

(4)

Cuando las entidades financieras pertenezcan a un grupo, la sociedad matriz responsable de presentar los estados financieros consolidados o subconsolidados del grupo debe, por tanto, garantizar que la política se aplique de manera uniforme y coherente dentro del grupo.

(5)

Al aplicar la política, los proveedores intragrupo de servicios de TIC, incluidos los que sean propiedad plena o colectiva de entidades financieras dentro del mismo sistema institucional de protección, deben considerarse proveedores terceros de servicios de TIC. Los riesgos que plantean los proveedores intragrupo de servicios de TIC pueden ser diferentes, pero los requisitos que les resultan aplicables en virtud del Reglamento (UE) 2022/2554 son los mismos. De manera similar, la política debe ser aplicable a los subcontratistas que presten servicios de TIC que sustenten funciones esenciales o importantes, o partes sustanciales de ellas, a proveedores terceros de servicios de TIC, cuando exista una cadena de proveedores terceros de servicios de TIC.

(6)

La responsabilidad última del órgano de dirección en la gestión del riesgo relacionado con las TIC de una entidad financiera es un principio fundamental que también es aplicable cuando se recurre a proveedores terceros de servicios de TIC. Esta responsabilidad debe traducirse además en la implicación continua del órgano de dirección en el control y el seguimiento de la gestión del riesgo relacionado con las TIC, incluida la adopción y revisión, al menos una vez al año, de la política.

(7)

Para garantizar una información adecuada al órgano de dirección, la política debe especificar y determinar claramente las responsabilidades internas relativas a la aprobación, la gestión, el control y la documentación de los acuerdos contractuales sobre el uso de servicios de TIC que sustenten funciones esenciales o importantes prestados por proveedores terceros de servicios de TIC (en lo sucesivo, «acuerdos contractuales»), incluidos los servicios de TIC prestados en virtud de los acuerdos contractuales a que se refiere el artículo 28, apartado 1, letra a), del Reglamento (UE) 2022/2554.

(8)

A fin de tener en cuenta todos los posibles riesgos que puedan surgir al contratar servicios de TIC que sustenten funciones esenciales o importantes, la estructura de la política debe seguir todas las etapas de cada una de las fases principales del ciclo de vida de los acuerdos contractuales con proveedores terceros.

(9)

Para mitigar los riesgos detectados, la política debe especificar la planificación de los acuerdos contractuales, en particular la evaluación de riesgos, la diligencia debida y el proceso de aprobación de cambios nuevos o significativos en dichos acuerdos contractuales. A fin de gestionar los riesgos que puedan surgir antes de celebrar un acuerdo contractual con un proveedor tercero de servicios de TIC, la política debe especificar un proceso adecuado y proporcionado para seleccionar y evaluar la idoneidad de los posibles proveedores terceros de servicios de TIC y exigir que la entidad financiera tenga en cuenta una lista no exhaustiva de los elementos de que deben disponer los proveedores terceros de servicios de TIC. La lista debe incluir aspectos relacionados con la reputación empresarial de los proveedores de servicios, sus recursos financieros, humanos y técnicos, su seguridad de la información, su estructura organizativa, incluida la gestión de riesgos, y sus controles internos.

(10)

Para garantizar una gestión del riesgo sólida en la prestación de servicios de TIC que sustenten funciones esenciales o importantes por parte de proveedores terceros de servicios de TIC, la política debe contener información sobre la aplicación, el seguimiento y la gestión de los acuerdos contractuales, también a nivel consolidado y subconsolidado, cuando proceda. Esto implica, entre otras cosas, establecer requisitos para las cláusulas contractuales sobre las obligaciones mutuas de las entidades financieras y los proveedores terceros de servicios de TIC, lo que debe hacerse por escrito. Con el fin de garantizar una supervisión eficiente y fomentar la resiliencia en caso de que el modelo de negocio o el entorno empresarial cambien, la política debe garantizar los derechos de las entidades financieras o de terceros designados y de las autoridades competentes a las inspecciones y al acceso a la información, así como especificar en mayor medida las estrategias de salida y los procesos de extinción.

(11)

En la medida en la que los proveedores terceros de servicios de TIC traten datos personales, esta política y cualquier acuerdo contractual se entienden sin perjuicio de las obligaciones establecidas en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (2) y deben complementarlas, como el requisito de disponer de un contrato escrito en el que se describa el tratamiento de datos personales, el requisito de garantizar la seguridad del tratamiento de datos personales y establecer todos los demás elementos exigidos en virtud de dicho Reglamento.

(12)

El Comité Mixto de las Autoridades Europeas de Supervisión a que se refieren el artículo 54 del Reglamento (UE) n.o 1093/2010 del Parlamento Europeo y del Consejo (3), el artículo 54 del Reglamento (UE) n.o 1094/2010 del Parlamento Europeo y del Consejo (4) y el artículo 54 del Reglamento (UE) n.o 1095/2010 del Parlamento Europeo y del Consejo (5) ha llevado a cabo consultas públicas abiertas sobre el proyecto de normas técnicas de regulación en que se basa el presente Reglamento, ha analizado los posibles costes y beneficios de las normas propuestas y ha solicitado el asesoramiento del Grupo de Partes Interesadas del Sector Bancario creado de conformidad con el artículo 37 del Reglamento (UE) n.o 1093/2010, el Grupo de Partes Interesadas del Sector de Seguros y Reaseguros y el Grupo de Partes Interesadas del Sector de Pensiones de Jubilación creados de conformidad con el artículo 37 del Reglamento (UE) n.o 1094/2010, y el Grupo de partes interesadas del sector de los valores y mercados creado de conformidad con el artículo 37 del Reglamento (UE) n.o 1095/2010.

(13)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (6), emitió su dictamen el 24 de enero de 2024,