Preamble: 1

(1)

O quadro relativo à resiliência operacional digital do setor financeiro estabelecido pelo Regulamento (UE) 2022/2554 exige que as entidades financeiras prevejam determinados princípios fundamentais para gerir o risco associado às TIC devido a terceiros, que são de especial importância quando as entidades financeiras colaboram com terceiros prestadores de serviços de TIC para apoiar as suas funções críticas ou importantes.

(2)

As entidades financeiras, no âmbito do seu quadro de gestão do risco associado às TIC, devem adotar e rever regularmente uma estratégia para o risco associado às TIC devido a terceiros. Em conformidade com o artigo 28.o, n.o 2, do Regulamento (UE) 2022/2554, essa estratégia deve incluir uma política de utilização de serviços de TIC, que apoiem funções críticas ou importantes, prestados por terceiros prestadores de serviços de TIC. É aplicável numa base individual e, se for caso disso, numa base subconsolidada e consolidada.

(3)

As entidades financeiras variam consideravelmente em termos de dimensão, estrutura e organização interna, bem como da natureza e complexidade das suas atividades e operações. Aquando da elaboração da política relativa aos acordos contratuais sobre a utilização de serviços de TIC de apoio a funções críticas ou importantes por terceiros prestadores de serviços de TIC («política»), é necessário ter em conta essa diversidade, impondo simultaneamente determinados requisitos regulamentares fundamentais adequados a todas as entidades financeiras, e assegurar que esses requisitos sejam aplicados de forma proporcionada.

(4)

Caso as entidades financeiras pertençam a um grupo, a empresa-mãe responsável pela disponibilização das demonstrações financeiras consolidadas ou subconsolidadas do grupo deve, por conseguinte, assegurar que a política seja aplicada de forma consistente e coerente no âmbito do grupo.

(5)

Ao aplicar a política, os prestadores de serviços de TIC intragrupo, incluindo os que são total ou coletivamente detidos por entidades financeiras no âmbito do mesmo sistema de proteção institucional, devem ser considerados terceiros prestadores de serviços de TIC. Os riscos colocados pelos prestadores de serviços de TIC intragrupo podem ser diferentes, mas os requisitos que lhes são aplicáveis são os mesmos, nos termos do Regulamento (UE) 2022/2554. Do mesmo modo, a política deve aplicar-se aos subcontratantes que prestam serviços de TIC de apoio a funções críticas ou importantes ou a partes materiais das mesmas a terceiros prestadores de serviços de TIC, caso exista uma cadeia de terceiros prestadores de serviços de TIC.

(6)

A responsabilidade final do órgão de administração pela gestão do risco associado às TIC de uma entidade financeira é um princípio geral que também é aplicável à utilização de terceiros prestadores de serviços de TIC. Esta responsabilidade deve traduzir-se na participação contínua do órgão de administração no controlo e monitorização da gestão dos riscos associados às TIC, incluindo na adoção e revisão, pelo menos uma vez por ano, da política.

(7)

A fim de assegurar uma comunicação adequada de informações ao órgão de administração, a política deve especificar e identificar claramente as responsabilidades internas em matéria de aprovação, gestão, controlo e documentação dos acordos contratuais relativos à utilização de serviços de TIC de apoio a funções críticas ou importantes prestados por terceiros prestadores de serviços de TIC («acordos contratuais»), incluindo os serviços de TIC prestados ao abrigo dos acordos contratuais a que se refere o artigo 28.o, n.o 1, alínea a), do Regulamento (UE) 2022/2554.

(8)

A fim de ter em conta todos os possíveis riscos que possam surgir aquando da contratação de serviços de TIC de apoio a funções críticas ou importantes, a estrutura da política deve seguir todas as etapas de cada fase principal do ciclo de vida dos acordos contratuais com terceiros prestadores de serviços.

(9)

Para atenuar os riscos identificados, a política deve especificar o planeamento dos acordos contratuais, incluindo a avaliação dos riscos, a devida diligência e o processo de aprovação de alterações novas ou significativas desses acordos contratuais. Por forma a gerir os riscos que possam surgir antes de celebrar um acordo contratual com um terceiro prestador de serviços de TIC, a política deve especificar um processo adequado e proporcionado para selecionar e avaliar a adequação dos potenciais terceiros prestadores de serviços de TIC e exigir que a entidade financeira tenha em conta uma lista não exaustiva de elementos de que os terceiros prestadores de serviços de TIC devem dispor. A lista deve incluir elementos relacionados com a reputação comercial dos prestadores de serviços, os seus recursos financeiros, humanos e técnicos, a segurança da sua informação, a sua estrutura organizativa, incluindo a gestão dos riscos, e os seus controlos internos.

(10)

A fim de assegurar uma boa gestão dos riscos na prestação de serviços de TIC de apoio a funções críticas ou importantes por terceiros prestadores de serviços de TIC, a política deve conter informações sobre a aplicação, a monitorização e a gestão dos acordos contratuais, incluindo a nível consolidado e subconsolidado, se for caso disso. Tal inclui requisitos para as cláusulas contratuais relativas às obrigações mútuas das entidades financeiras e dos terceiros prestadores de serviços de TIC, que devem ser estabelecidas por escrito. De modo a assegurar uma supervisão eficiente e promover a resiliência em caso de alterações do modelo de negócio ou do ambiente empresarial, a política deve assegurar o direito das entidades financeiras ou de terceiros designados, bem como das autoridades competentes, a inspeções e de acesso a informações, devendo também especificar mais pormenorizadamente as estratégias de saída e os processos de rescisão.

(11)

Desde que sejam tratados dados pessoais por terceiros prestadores de serviços de TIC, esta política e quaisquer acordos contratuais não podem prejudicar e devem complementar as obrigações decorrentes do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (2), designadamente a existência de um contrato escrito que descreva o tratamento de dados pessoais, a obrigação de garantir a segurança do tratamento de dados pessoais e a definição dos demais elementos exigidos por esse regulamento.

(12)

O Comité Conjunto das Autoridades Europeias de Supervisão a que se refere o artigo 54.o do Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho (3), o artigo 54.o do Regulamento (UE) n.o 1094/2010 do Parlamento Europeu e do Conselho (4) e o artigo 54.o do Regulamento (UE) n.o 1095/2010 do Parlamento Europeu e do Conselho (5) realizou consultas públicas abertas sobre os projetos de normas técnicas de regulamentação em que se baseia o presente regulamento, analisou os potenciais custos e benefícios das normas propostas e solicitou o parecer do Grupo das Partes Interessadas do Setor Bancário criado em conformidade com o artigo 37.o do Regulamento (UE) n.o 1093/2010, do Grupo de Interessados do Setor dos Seguros e Resseguros e do Grupo de Interessados do Setor das Pensões Complementares de Reforma criados em conformidade com o artigo 37.o do Regulamento (UE) n.o 1094/2010, e do Grupo de Interessados do Setor dos Valores Mobiliários e dos Mercados criado em conformidade com o artigo 37.o do Regulamento (UE) n.o 1095/2010.

(13)

A Autoridade Europeia para a Proteção de Dados foi consultada em conformidade com o disposto no artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (6) e emitiu um parecer em 24 de janeiro de 2024,