KOMISJONI DELEGEERITUD MÄÄRUS (EL) 2025/295, 24. oktoober 2024, millega täiendatakse Euroopa Parlamendi ja nõukogu määrust (EL) 2022/2554 seoses regulatiivsete tehniliste standarditega, mis käsitlevad järelevaatamist võimaldavate tingimuste ühtlustamist (EMPs kohaldatav tekst)

(1)

Määrusega (EL) 2022/2554 loodud finantssektori digitaalse tegevuskerksuse raamistikuga kehtestatakse nende kolmandast isikust info- ja kommunikatsioonitehnoloogia (edaspidi „IKT“) teenuste osutajate järelevaatamisraamistik, kes osutavad teenuseid finantssektorile ja on määratud kõnealuse määruse artikli 31 kohaselt kriitilise tähtsusega ettevõtjaks.

(2)

IKT-teenuste osutaja, kes otsustab esitada vabatahtliku taotluse kriitilise tähtsusega ettevõtjaks määramiseks, peaks esitama Euroopa järelevalveasutusele, kellele taotlus esitatakse, kogu vajaliku teabe, et tõendada oma kriitilist tähtsust kooskõlas määruses (EL) 2022/2554 sätestatud põhimõtete ja kriteeriumidega. Seetõttu peaks vabatahtlikus taotluses sisalduv teave olema piisavalt üksikasjalik ja terviklik, et kriitilist tähtsust oleks võimalik kõnealuse määruse artikli 31 lõike 11 alusel selgelt ja täielikult hinnata. Asjaomane Euroopa järelevalveasutus peaks lükkama tagasi mis tahes mittetäieliku taotluse ja küsima puuduvat teavet.

(3)

Kolmandast isikust IKT-teenuste osutajate juriidiline identifitseerimine käesoleva regulatiivse tehnilise standardi kohaldamisalas peaks olema vastavuses tunnuskoodiga, mis on määratud kindlaks määruse (EL) 2022/2554 artikli 28 lõike 9 kohaselt vastu võetud komisjoni rakendusmääruses.

(4)

Juhtiva järelevaatamisasutuse poolt kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatele esitatud soovituste järelmeetmetena peaks juhtiv järelevaatamisasutus jälgima, kas kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajad täidavad soovitusi. Selleks et tagada nende soovituste alusel kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate võetud meetmete või rakendatud parandusmeetmete tõhus ja tulemuslik järelevalve, peaks juhtival järelevaatamisasutusel olema võimalik nõuda määruse (EL) 2022/2554 artikli 35 lõike 1 punktis c osutatud aruandeid, mida tuleks käsitada vahearuannete ja lõpparuannetena.

(5)

Määruse (EL) 2022/2554 artikli 42 lõikes 1 sätestatud hindamise eesmärgil, mille kohaselt on juhtiv järelevaatamisasutus kohustatud hindama, kas kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja esitatud selgitus on piisav, tuleks kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja poolt juhtivale järelevaatamisasutusele esitatavat teadet kavatsuse kohta järgida saadud soovitusi täiendada kirjeldusega meetmetest, mida on võetud soovitustes kirjeldatud riskide maandamiseks, koos vastavate tähtaegadega. Selline selgitus peaks olema parandusmeetmete kava vormis.

(6)

Kuna juhtivalt järelevaatamisasutuselt oodatakse kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja alltöövõtulepingute hindamist, tuleb töötada välja vorm nende lepingute kohta teabe esitamiseks. Vormi puhul tuleks võtta arvesse fakti, et kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatel on finantssektori ettevõtjatest erinev struktuur.

(7)

Kui juhtiv järelevaatamisasutus on esitanud soovitused kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajale ja pädev asutus on teavitanud asjaomaseid finantssektori ettevõtjaid kõnealustes soovitustes kindlaks tehtud riskidest, siis peaks juhtiv järelevaatamisasutus tegema nende soovituste täitmiseks kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja meetmete võtmise ja parandusmeetmete rakendamise järelevalvet ning seda hindama. Pädevad asutused peaksid jälgima ja hindama, mil määral on finantssektori ettevõtjad avatud nendes soovitustes kindlaks tehtud riskidele. Selleks et säilitada võrdsed tingimused oma vastavate ülesannete täitmisel, eelkõige juhul, kui soovitustes kindlaks tehtud riskid on tõsised ja jagatud paljude finantssektori ettevõtjate vahel mitmes liikmesriigis, peaksid nii pädevad asutused kui ka juhtiv järelevaatamisasutus jagama üksteisega mis tahes asjakohaseid järeldusi, mis on nende vastavate ülesannete täitmiseks vajalikud. Teabevahetuse eesmärk on tagada, et juhtiva järelevaatamisasutuse tagasisides kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajale meetmete ja parandusmeetmete kohta, mida viimane rakendab, võetakse arvesse mõju finantssektori ettevõtjate riskidele ning et pädevate asutuste järelevalvetegevuse aluseks on juhtiva järelevaatamisasutuse tehtud hindamine.

(8)

Tõhusa ja tulemusliku teabe jagamise huvides peaksid pädevad asutused oma järelevalvetegevuse raames hindama, kui suures ulatuses avalduvad soovitustes kindlaks tehtud riskid nende järelevalve all olevatele finantssektori ettevõtjatele. See hindamine tuleks ellu viia proportsionaalsel ja riskipõhisel viisil. Juhtiv järelevaatamisasutus peaks esitama pädevatele asutustele taotluse selle hindamise tulemuste jagamiseks konkreetsetel juhtudel, kui soovitustega seotud riskid on suured ja need avalduvad paljudele finantssektori ettevõtjatele mitmes liikmesriigis. Selleks et kasutada pädevate asutuste ressursse kõige otstarbekamalt, peaks juhtiv järelevaatamisasutus, kui ta palub esitada kõnealuse hindamise tulemused, võtma alati arvesse, et kõnealuste taotluste eesmärk on hinnata kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate poolset meetmete võtmist ja parandusmeetmete rakendamist.

(9)

Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (2) artikli 42 lõikele 1 konsulteeriti Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 22. juulil 2024.

(10)

Käesolev määrus põhineb Euroopa järelevalveasutuste poolt komisjonile esitatud regulatiivsete tehniliste standardite eelnõul.

(11)

Euroopa järelevalveasutuste ühiskomitee on korraldanud käesoleva määruse aluseks oleva regulatiivsete tehniliste standardite eelnõu kohta avalikud konsultatsioonid, analüüsinud võimalikku kaasnevat kulu ja kasu ning küsinud nõu Euroopa Parlamendi ja nõukogu määruse (EL) nr 1093/2010 (3) artikli 37 kohaselt asutatud pangandussektori sidusrühmade kogult, Euroopa Parlamendi ja nõukogu määruse (EL) nr 1094/2010 (4) artikli 37 kohaselt loodud kindlustuse ja edasikindlustuse sidusrühmade kogult ning tööandjapensionide sidusrühmade kogult ning Euroopa Parlamendi ja nõukogu määruse (EL) nr 1095/2010 (5) artikli 37 kohaselt loodud väärtpaberituru sidusrühmade kogult,