ΚΑΤ’ ΕΞΟΥΣΙΟΔΟΤΗΣΗ ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2024/1773 ΤΗΣ ΕΠΙΤΡΟΠΗΣ της 13ης Μαρτίου 2024 για τη συμπλήρωση του κανονισμού (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά τα ρυθμιστικά τεχνικά πρότυπα για τον προσδιορισμό των λεπτομερειών του περιεχομένου της πολιτικής σε σχέση με τις συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες που παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

(1)

Το πλαίσιο για την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα που θεσπίστηκε με τον κανονισμό (ΕΕ) 2022/2554 απαιτεί από τις χρηματοοικονομικές οντότητες να καθορίζουν συγκεκριμένες βασικές αρχές για τη διαχείριση του κινδύνου τρίτων παρόχων ΤΠΕ, οι οποίες είναι ιδιαίτερα σημαντικές όταν οι χρηματοοικονομικές οντότητες συνεργάζονται με τρίτους παρόχους υπηρεσιών ΤΠΕ για την υποστήριξη των κρίσιμων ή σημαντικών λειτουργιών τους.

(2)

Οι χρηματοοικονομικές οντότητες, στο πλαίσιο της οικείας διαχείρισης κινδύνου ΤΠΕ, πρέπει να εγκρίνουν και να επανεξετάζουν τακτικά τη στρατηγική για τους κινδύνους τρίτων παρόχων ΤΠΕ. Σύμφωνα με το άρθρο 28 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554, η εν λόγω στρατηγική πρέπει να περιλαμβάνει πολιτική για τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες οι οποίες παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ. Η στρατηγική αυτή εφαρμόζεται σε μεμονωμένη βάση και, ανάλογα με την περίπτωση, σε υποενοποιημένη και ενοποιημένη βάση.

(3)

Οι χρηματοοικονομικές οντότητες διαφέρουν σημαντικά ως προς το μέγεθος, τη δομή και την εσωτερική οργάνωση, καθώς και ως προς τη φύση και την πολυπλοκότητα των δραστηριοτήτων και των λειτουργιών τους. Είναι αναγκαίο να ληφθεί υπόψη η εν λόγω πολυμορφία, ενώ παράλληλα πρέπει να επιβληθούν συγκεκριμένες θεμελιώδεις κανονιστικές απαιτήσεις που είναι κατάλληλες για όλες τις χρηματοοικονομικές οντότητες κατά την κατάρτιση της πολιτικής για τις συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες που παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ (στο εξής: πολιτική), και να διασφαλιστεί ότι οι εν λόγω απαιτήσεις εφαρμόζονται κατά τρόπο αναλογικό.

(4)

Όταν οι χρηματοοικονομικές οντότητες ανήκουν σε όμιλο, η μητρική επιχείρηση που είναι υπεύθυνη για την παροχή των ενοποιημένων ή υποενοποιημένων οικονομικών καταστάσεων για τον όμιλο θα πρέπει συνεπώς να διασφαλίζει ότι η πολιτική εφαρμόζεται με συνεπή και συνεκτικό τρόπο εντός του ομίλου.

(5)

Κατά την εφαρμογή της πολιτικής, οι ενδοομιλικοί πάροχοι υπηρεσιών ΤΠΕ, συμπεριλαμβανομένων εκείνων που ανήκουν εξολοκλήρου ή συλλογικά σε χρηματοοικονομικές οντότητες εντός του ίδιου θεσμικού συστήματος προστασίας, θα πρέπει να θεωρούνται τρίτοι πάροχοι υπηρεσιών ΤΠΕ. Οι κίνδυνοι που ενέχουν οι ενδοομιλικοί πάροχοι υπηρεσιών ΤΠΕ μπορεί να διαφέρουν, αλλά οι απαιτήσεις που ισχύουν γι’ αυτούς είναι οι ίδιες σύμφωνα με τον κανονισμό (ΕΕ) 2022/2554. Κατά τον ίδιο τρόπο, η πολιτική θα πρέπει να εφαρμόζεται σε υπεργολάβους που παρέχουν υπηρεσίες ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες ή σημαντικά μέρη αυτών σε τρίτους παρόχους υπηρεσιών ΤΠΕ, όταν υπάρχει αλυσίδα τρίτων παρόχων υπηρεσιών ΤΠΕ.

(6)

Η τελική ευθύνη του διοικητικού οργάνου για τη διαχείριση του κινδύνου ΤΠΕ μιας χρηματοοικονομικής οντότητας αποτελεί γενική αρχή η οποία εφαρμόζεται επίσης όσον αφορά τη χρήση τρίτων παρόχων υπηρεσιών ΤΠΕ. Η ευθύνη αυτή θα πρέπει να μετουσιώνεται περαιτέρω στη διαρκή συμμετοχή του διοικητικού οργάνου στον έλεγχο και στην παρακολούθηση της διαχείρισης κινδύνου ΤΠΕ, συμπεριλαμβανομένης της έγκρισης και επανεξέτασης, τουλάχιστον μία φορά ετησίως, της πολιτικής.

(7)

Για τη διασφάλιση της κατάλληλης υποβολής εκθέσεων στο διοικητικό όργανο, στην πολιτική θα πρέπει να προσδιορίζονται και να υποδεικνύονται σαφώς οι εσωτερικές αρμοδιότητες για την έγκριση, τη διαχείριση, τον έλεγχο και την τεκμηρίωση των συμβατικών ρυθμίσεων σχετικά με τη χρήση υπηρεσιών ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες που παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ (στο εξής: συμβατικές ρυθμίσεις), συμπεριλαμβανομένων των υπηρεσιών ΤΠΕ που παρέχονται βάσει συμβατικών ρυθμίσεων που αναφέρονται στο άρθρο 28 παράγραφος 1 στοιχείο α) του κανονισμού (ΕΕ) 2022/2554.

(8)

Προκειμένου να λαμβάνονται υπόψη όλοι οι πιθανοί κίνδυνοι που ενδέχεται να προκύψουν κατά τη σύναψη συμβάσεων για υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμη ή σημαντική λειτουργία, η δομή της πολιτικής θα πρέπει να ακολουθεί όλα τα στάδια κάθε κύριας φάσης του κύκλου ζωής για τις συμβατικές ρυθμίσεις με τρίτους παρόχους.

(9)

Για τον μετριασμό των κινδύνων που εντοπίζονται, η πολιτική θα πρέπει να προσδιορίζει τον σχεδιασμό των συμβατικών ρυθμίσεων, συμπεριλαμβανομένης της αξιολόγησης κινδύνων, της δέουσας επιμέλειας και της διαδικασίας έγκρισης νέων ή σημαντικών αλλαγών των εν λόγω συμβατικών ρυθμίσεων. Για τη διαχείριση των κινδύνων που ενδέχεται να προκύψουν πριν από τη σύναψη συμβατικής ρύθμισης με τρίτο πάροχο υπηρεσιών ΤΠΕ, η πολιτική θα πρέπει να προσδιορίζει κατάλληλη και αναλογική διαδικασία για την επιλογή και την αξιολόγηση της καταλληλότητας των υποψήφιων τρίτων παρόχων υπηρεσιών ΤΠΕ και να επιβάλλει στη χρηματοοικονομική οντότητα την υποχρέωση να λαμβάνει υπόψη μη εξαντλητικό κατάλογο στοιχείων που θα πρέπει να διαθέτουν οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ. Ο κατάλογος θα πρέπει να περιλαμβάνει στοιχεία σε σχέση με την επιχειρηματική φήμη των παρόχων υπηρεσιών, τους οικονομικούς, ανθρώπινους και τεχνικούς πόρους τους, την ασφάλεια των πληροφοριών τους, την οργανωτική δομή τους, συμπεριλαμβανομένης της διαχείρισης κινδύνων, και τους εσωτερικούς ελέγχους τους.

(10)

Για τη διασφάλιση της χρηστής διαχείρισης κινδύνων κατά την παροχή υπηρεσιών ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες από τρίτους παρόχους υπηρεσιών ΤΠΕ, η πολιτική θα πρέπει να περιλαμβάνει πληροφορίες σχετικά με την εφαρμογή, την παρακολούθηση και τη διαχείριση των συμβατικών ρυθμίσεων, μεταξύ άλλων σε ενοποιημένο και υποενοποιημένο επίπεδο, κατά περίπτωση. Αυτό περιλαμβάνει απαιτήσεις για τις συμβατικές ρήτρες σχετικά με τις αμοιβαίες υποχρεώσεις των χρηματοοικονομικών οντοτήτων και των τρίτων παρόχων υπηρεσιών ΤΠΕ, οι οποίες θα πρέπει να καθορίζονται γραπτώς. Προκειμένου να διασφαλιστεί η αποτελεσματική εποπτεία και να ενισχυθεί η ανθεκτικότητα σε περίπτωση αλλαγών στο επιχειρηματικό μοντέλο ή στο επιχειρηματικό περιβάλλον, η πολιτική θα πρέπει να διασφαλίζει τα δικαιώματα των χρηματοοικονομικών οντοτήτων ή των διορισμένων τρίτων φορέων και των αρμόδιων αρχών όσον αφορά τις επιθεωρήσεις και την πρόσβαση σε πληροφορίες, και θα πρέπει επίσης να προσδιορίζει περαιτέρω τις στρατηγικές εξόδου και τις διαδικασίες καταγγελίας.

(11)

Στον βαθμό που τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία από τρίτους παρόχους υπηρεσιών ΤΠΕ, η πολιτική αυτή και τυχόν συμβατικές ρυθμίσεις δεν θίγουν και θα πρέπει να συμπληρώνουν τις υποχρεώσεις που απορρέουν από τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (2), όπως η σύναψη γραπτής σύμβασης στην οποία περιγράφεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα, η απαίτηση διασφάλισης της ασφάλειας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και ο καθορισμός όλων των άλλων στοιχείων που απαιτούνται σύμφωνα με τον εν λόγω κανονισμό.

(12)

Η μεικτή επιτροπή των Ευρωπαϊκών Εποπτικών Αρχών που αναφέρεται στο άρθρο 54 του κανονισμού (ΕΕ) αριθ. 1093/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (3), στο άρθρο 54 του κανονισμού (ΕΕ) αριθ. 1094/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4) και στο άρθρο 54 του κανονισμού (ΕΕ) αριθ. 1095/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5) διενήργησε ανοικτές δημόσιες διαβουλεύσεις σχετικά με τα σχέδια ρυθμιστικών τεχνικών προτύπων στα οποία βασίζεται ο παρών κανονισμός, ανέλυσε το δυνητικό κόστος και τα οφέλη των προτεινόμενων προτύπων και ζήτησε συμβουλές από την ομάδα τραπεζικών συμφεροντούχων που συστάθηκε σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1093/2010, την ομάδα συμφεροντούχων ασφαλίσεων και αντασφαλίσεων και την ομάδα συμφεροντούχων ταμείων επαγγελματικών συνταξιοδοτικών παροχών που συστάθηκαν σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1094/2010 και την ομάδα συμφεροντούχων κινητών αξιών και αγορών που συστάθηκε σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1095/2010,

(13)

Ζητήθηκε η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (6), ο οποίος γνωμοδότησε στις 24 Ιανουαρίου 2024,