KOMISIJOS DELEGUOTASIS REGLAMENTAS (ES) 2025/532 2025 m. kovo 24 d. kuriuo Europos Parlamento ir Tarybos reglamentas (ES) 2022/2554 papildomas techniniais reguliavimo standartais, kuriais patikslinami elementai, kuriuos finansų sektoriaus subjektas turi nustatyti ir įvertinti, sudarydamas IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, subrangos sutartis (Tekstas svarbus EEE)

(1)

IRT paslaugų teikimas finansų sektoriaus subjektams dažnai priklauso nuo sudėtingos IRT subrangovų grandinės, kurioje IRT paslaugas teikiančios trečiosios šalys gali sudaryti vieną ar daugiau subrangos susitarimų su kitomis IRT paslaugas teikiančiomis trečiosiomis šalimis. Netiesioginė priklausomybė nuo IRT subrangovų gali turėti įtakos finansų sektoriaus subjekto gebėjimui nustatyti, įvertinti ir valdyti savo riziką, įskaitant riziką, susijusią su IRT paslaugas teikiančių trečiųjų šalių pateiktos informacijos spragomis ir su ribotomis finansų sektoriaus subjekto galimybėmis gauti informaciją iš tų IRT subrangovų, kurie teikia IRT paslaugas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos arba esminės jų dalys. Šiuo atžvilgiu, jei IRT paslaugų teikimas finansų sektoriaus subjektams priklauso nuo potencialiai ilgos ar sudėtingos IRT subrangovų grandinės, labai svarbu, kad finansų sektoriaus subjektai nustatytų visą subrangovų, teikiančių IRT paslaugas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, grandinę;

(2)

iš tų subrangovų, kurie teikia IRT paslaugas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, finansų sektoriaus subjektai visų pirma ir nuolat daugiausia dėmesio turėtų skirti tiems subrangovams, kurie veiksmingai teikia IRT paslaugą, kuria palaikomos ypatingos svarbos ar svarbios funkcijos, įskaitant visus subrangovus, teikiančius IRT paslaugas, kurias sutrikdžius būtų pakenkta paslaugos, kaip nustatyta Reglamento (ES) 2022/2554 28 straipsnio 3 dalyje nurodytame informacijos registre, saugumui ar tęstinumui;

(3)

finansų sektoriaus subjektų dydis, struktūra, organizacinė vidaus struktūra, taip pat jų veiklos pobūdis ir sudėtingumas labai skiriasi. Siekiant užtikrinti proporcingumą, į tą įvairovę turėtų būti atsižvelgiama patikslinant, kuriuos elementus finansų sektoriaus subjektas turėtų nustatyti ir įvertinti sudarydamas IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, subrangos sutartį;

(4)

kai finansų sektoriaus subjektai leidžia pagal Reglamento (ES) 2022/2554 30 straipsnio 2 dalį, IRT paslaugas teikiančioms trečiosioms šalims naudojantis pagal subrangos sutartį teikiamomis IRT paslaugomis, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, negalima sumažinti galutinės finansų sektoriaus subjektų valdymo organų atsakomybės valdyti savo riziką ir laikytis savo teisėkūros ir reguliavimo pareigų. Kai leidžiama sudaryti subrangos sutartis IRT paslaugoms, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, svarbu, kad finansų sektoriaus subjektai laikytųsi aiškaus visapusiško požiūrio į riziką, susijusią su subrangos paslaugomis, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, kad galėtų stebėti, valdyti ir mažinti tą riziką. Todėl jie turėtų įvertinti tą riziką prieš sudarydami subrangos sutartis dėl tų paslaugų;

(5)

grupės vidaus IRT subrangovai, teikiantys IRT paslaugas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos arba esminės jų dalys, įskaitant grupės vidaus IRT subrangovus, kurie visiškai arba kolektyviai priklauso finansų sektoriaus subjektams toje pačioje institucinėje užtikrinimo sistemoje, turėtų būti laikomi IRT subrangovais;

(6)

kai taikytina ir kai tai susiję su grupe, finansų sektoriaus subjektų patronuojančioji įmonė turėtų užtikrinti, kad IRT subrangovų, teikiančių IRT paslaugas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos arba esminė jų dalis, pasitelkimo politika grupėje būtų taikoma nuosekliai ir suderintai;

(7)

svarbu užtikrinti visapusišką rizikos, kuri gali kilti, kai IRT paslaugos, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, yra teikiamos pagal subrangos sutartis, valdymą. Dėl tos priežasties finansų sektoriaus subjektai turėtų vadovautis sutartimi įforminto susitarimo dėl IRT paslaugų, kuriomis palaikomos tos funkcijos ir kurias teikia IRT paslaugas teikiančios trečiosios šalys, naudojimo gyvavimo ciklo etapais, įskaitant subrangos susitarimus. Todėl būtina nustatyti finansų sektoriaus subjektams taikomus reikalavimus, į kuriuos turėtų būti atsižvelgta jų sutartimi įformintuose susitarimuose su IRT paslaugas teikiančiomis trečiosiomis šalimis, kai leidžiama naudotis pagal subrangos sutartį teikiamomis IRT paslaugomis, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos;

(8)

siekiant sumažinti riziką, susijusią su subranga, būtina patikslinti sąlygas, kuriomis IRT paslaugas teikiančios trečiosios šalys gali pasitelkti subrangovus IRT paslaugoms, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, teikti. Tuo tikslu finansų sektoriaus subjektų ir IRT paslaugas teikiančių trečiųjų šalių IRT sutartimi įformintuose susitarimuose turėtų būti nustatytos tokios sąlygos, įskaitant subrangos susitarimų planavimą, rizikos vertinimus, išsamų patikrinimą ir patvirtinimo procesą, taikomus naujiems IRT subrangos susitarimams dėl IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos arba esminės jų dalys, arba IRT paslaugas teikiančios trečiosios šalies padarytus esminius esamų susitarimų pakeitimus;

(9)

siekiant nustatyti riziką, kuri galėtų kilti prieš finansų sektoriaus subjektui sudarant susitarimą su IRT subrangovu, IRT paslaugas teikiančios trečiosios šalys turėtų tinkamai ir proporcingai įvertinti potencialių subrangovų tinkamumą pagal IRT sutartimi įformintus susitarimus, kuriuos IRT paslaugas teikianti trečioji šalis sudarė su finansų sektoriaus subjektu. Todėl tuose IRT sutartimi įformintuose susitarimuose turėtų būti reikalaujama, kad IRT paslaugas teikianti trečioji šalis arba atitinkamais atvejais pats finansų sektoriaus subjektas įvertintų galimo subrangovo išteklius, įskaitant jo ekspertines žinias, ir tai, ar jis turi tinkamų finansinių, žmogiškųjų ir techninių išteklių, jo informacijos saugumą ir organizacinę struktūrą, įskaitant rizikos valdymą ir vidaus kontrolės priemones, kurias subrangovas turėtų taikyti;

(10)

siekiant sumažinti pažeidžiamumą ir grėsmes, kurios gali kelti riziką jų IRT sistemoms ir operacijoms, finansų sektoriaus subjektai turėtų turėti galimybę stebėti IRT paslaugos teikimą ir būti informuoti apie bet kokius svarbius jų IRT subrangos grandinės pakeitimus, kai tokie pakeitimai susiję su ypatingos svarbos arba svarbiomis funkcijomis;

(11)

kad finansų sektoriaus subjektai galėtų įvertinti riziką, susijusią su subrangos susitarimais arba esminiais jų pakeitimais, IRT paslaugas teikiančios trečiosios šalys turėtų informuoti finansų sektoriaus subjektus, kuriems jos teikia IRT paslaugas, apie visus tokius naujus susitarimus ar pakeitimus gerokai prieš pradedant taikyti tokius susitarimus ar pakeitimus. Dėl tos pačios priežasties finansų sektoriaus subjektai turėtų turėti teisę nutraukti sutartį su IRT paslaugas teikiančia trečiąja šalimi, jei jų rizikos vertinimo rezultatai rodo, kad nauji susitarimai ar esminiai pakeitimai kelia tokią riziką, kuri viršija jiems priimtiną riziką;

(12)

Europos priežiūros institucijos dėl techninių reguliavimo standartų projektų, kuriais pagrįstas šis reglamentas, surengė atviras viešas konsultacijas, išnagrinėjo galimas susijusias sąnaudas bei naudą ir paprašė EPI suinteresuotųjų subjektų grupių, įsteigtų pagal Europos Parlamento ir Tarybos reglamento (ES) Nr. 1093/2010 (2) 37 straipsnį, Europos Parlamento ir Tarybos reglamento (ES) Nr. 1094/2010 (3) 37 straipsnį ir Europos Parlamento ir Tarybos reglamento (ES) Nr. 1095/2010 (4) 37 straipsnį, pateikti rekomendacijų;

(13)

vadovaujantis Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 (5) 42 straipsnio 1 dalimi, buvo konsultuojamasi su Europos duomenų apsaugos priežiūros pareigūnu ir jis 2024 m. rugpjūčio 20 d. pateikė nuomonę,