A BIZOTTSÁG (EU) 2024/1502 FELHATALMAZÁSON ALAPULÓ RENDELETE (2024. február 22.) az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek a pénzügyi szervezetek szempontjából kritikus harmadik fél IKT-szolgáltatók kijelölésére vonatkozó kritériumok meghatározása tekintetében történő kiegészítéséről (EGT-vonatkozású szöveg)

(1)

Annak értékelésekor, hogy egy harmadik fél IKT-szolgáltató kritikus-e a pénzügyi szervezetek szempontjából, az európai felügyeleti hatóságoknak – az (EU) 2022/2554 rendelet 31. cikkének (2) bekezdésében foglalt kritériumok figyelembevételével – kétszakaszos, részkritériumokon alapuló eljárást kell követniük. Tekintettel az IKT-szolgáltatások jelentős számára, valamint az ezeket a szolgáltatásokat igénybe vevő pénzügyi intézmények sokféleségére és számára, ennek a kétszakaszos eljárásnak a harmadik fél IKT-szolgáltatók populációjának szűrésére, valamint a legkritikusabb harmadik fél IKT-szolgáltatók azonosítására kell irányulnia. Az értékelés első szakaszában vizsgálandó kvantitatív részkritériumok azért szükségesek, hogy meghatározható legyen a harmadik fél IKT-szolgáltatók azon szűkített populációja, amelyet helyénvaló az értékelés második szakaszában vizsgálandó kvalitatív részkritériumok alapján további részletes elemzésnek alávetni.

(2)

A kritikusság értékelésének általában véve fontos eleme, hogy a harmadik fél IKT-szolgáltató IKT-szolgáltatása milyen mértékben támogatja a pénzügyi szervezet kritikus vagy fontos funkcióit. Ennek megfelelően az első szakasz keretében vizsgálandó részkritériumok mindegyikébe be kell építeni azt a szempontot, hogy a pénzügyi szervezeteken belül mennyire fontosak az IKT-szolgáltatás által támogatott tevékenységek. Ebből következően az értékelés első szakaszában a pénzügyi szervezetek funkcióinak kritikusságát nem szükséges külön kvantitatív vizsgálatnak alávetni. Ehelyett az a helyénvaló, ha a pénzügyi szervezetek azon funkcióit, amelyeket az IKT-szolgáltatások támogatnak, az európai felügyeleit hatóságok az értékelés második, kvalitatív szakaszában veszik figyelembe.

(3)

Az értékelést minden egyes harmadik fél IKT-szolgáltató – illetőleg abban az esetben, ha a harmadik fél IKT-szolgáltató az (EU) 2022/2554 rendelet 31. cikkének (3) bekezdése értelmében egy csoporthoz tartozik, a harmadik fél IKT-szolgáltatókból álló csoport – vonatkozásában külön kell elvégezni. Az uniós pénzügyi ágazatra gyakorolt potenciális rendszerszintű hatás átfogó értékelésének lehetővé tétele érdekében az európai felügyeleti hatóságoknak a harmadik fél IKT-szolgáltatók által az IKT területén igénybe vett alvállalkozókat is vizsgálniuk kell, és amennyiben indokolt, ezeket az alvállalkozókat is ki kell jelölniük kritikus harmadik fél IKT-szolgáltatóként.

(4)

Annak megállapításához, hogy egy harmadik fél IKT-szolgáltató gyakorol-e rendszerszintű hatást a pénzügyi szolgáltatások stabilitására, folyamatosságára vagy minőségére, alapvetően fontos tiszta képet alkotni a harmadik fél IKT-szolgáltatónál bekövetkező kiterjedt működési hiányosság következtében az adott harmadik fél IKT-szolgáltató szolgáltatásaira támaszkodó pénzügyi szervezeteket, valamint a pénzügyi rendszer egészét érő rendszerszintű hatások terjedelméről és természetéről. Ehhez meg kell vizsgálni a pénzügyi szervezetek egy meghatározott kategóriájába tartozó, ugyanazon IKT-szolgáltatásokat igénybe vevő pénzügyi szervezetek számát és eszközeinek értékét, és ennek alapján meg kell ítélni, hogy az adott IKT-szolgáltatásokat kínáló harmadik fél IKT-szolgáltatót helyénvaló-e kritikusnak tekinteni. Emellett kvalitatív módon értékelni kell a harmadik fél IKT-szolgáltatók rendszerszintű fontosságát és összekapcsoltságát, valamint – a szolgáltatások stabilitásának és folyamatosságának figyelembevételével – az egy adott harmadik fél IKT-szolgáltató által kínált szolgáltatásoknak a pénzügyi szolgáltatások pénzügyi szervezetek általi nyújtása szempontjából vett fontosságát, és ennek alapján kell meghatározni az adott harmadik fél IKT-szolgáltató által a pénzügyi szervezetek tevékenységére gyakorolt rendszerszintű hatást.

(5)

Az IKT-szolgáltatásokra támaszkodó pénzügyi szervezetek rendszerszintű jellegének és fontosságának meghatározása keretében figyelembe kell venni az adott pénzügyi szervezetek jellegét. Abban az esetben, ha a globális rendszerszinten jelentős intézménynek (G-SII) és az egyéb rendszerszinten jelentős intézménynek (O-SII) minősülő, illetve a rendszerszintűként azonosított pénzügyi szervezetek ugyanazokra az IKT-szolgáltatásokra támaszkodnak kritikus vagy fontos funkcióik támogatása céljából, helyénvaló megvizsgálni, hogy a kérdéses szolgáltatásokat nyújtó harmadik fél IKT-szolgáltatót kritikusnak kell-e tekinteni az uniós pénzügyi ágazat szempontjából. Az uniós pénzügyi ágazaton belül az egyazon harmadik fél IKT-szolgáltató IKT-szolgáltatásait igénybe vevő pénzügyi szervezetek összekapcsoltságát szintén értékelni kell annak meghatározásához, hogy a pénzügyi szervezetek milyen mértékben támaszkodnak az adott harmadik fél IKT-szolgáltatóra.

(6)

A pénzügyi szervezetek zavartalan működéséhez szükséges IKT-szolgáltatások típusa és kritikus jellege alapján értékelni kell a pénzügyi szervezetek kritikus vagy fontos funkcióit támogató IKT-szolgáltatásokat.

(7)

Annak meghatározásához, hogy a harmadik fél IKT-szolgáltató milyen mértékben helyettesíthető, az európai felügyeleti hatóságok által elvégzendő értékelés keretében figyelembe kell venni az egy adott piacon aktív harmadik fél IKT-szolgáltatók számát, az adott IKT-szolgáltatás esetében igénybe vehető alternatív megoldásokat, valamint az adatok és a munkamennyiség másik harmadik fél IKT-szolgáltatóhoz való migrálásának költségeit.

(8)

Az értékelési folyamat megalapozottságának biztosításához fontos, hogy az európai felügyeleti hatóságok a harmadik fél IKT-szolgáltatók kritikusként való kijelölése érdekében végzett értékelés során az (EU) 2022/2554 rendelet 28. cikkének (3) bekezdése szerinti információ-nyilvántartásokból származó adatokra és más, könnyen hozzáférhető információkra támaszkodjanak,