DELEGIRANA UREDBA KOMISIJE (EU) 2025/295 оd 24. listopada 2024. o dopuni Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća u pogledu regulatornih tehničkih standarda o usklađivanju uvjeta koji omogućuju provedbu aktivnosti nadzora (Tekst značajan za EGP)

(1)

Okvirom za digitalnu operativnu otpornost za financijski sektor koji je uspostavljen Uredbom (EU) 2022/2554 uvodi se nadzorni okvir Unije za treće strane pružatelje usluga informacijske i komunikacijske tehnologije (IKT) u financijskom sektoru koje su imenovane kao ključne u skladu s člankom 31. te uredbe.

(2)

Treća strana pružatelj IKT usluga koja odluči dobrovoljno uputiti zahtjev da je se imenuje kao ključnu trebala bi europskom nadzornom tijelu primatelju dostaviti sve potrebne informacije kako bi dokazala svoju ključnost u skladu s načelima i kriterijima utvrđenima u Uredbi (EU) 2022/2554. Stoga bi informacije koje treba navesti u dobrovoljno upućenom zahtjevu trebale biti dovoljno detaljne i potpune kako bi se omogućila jasna i potpuna procjena ključnosti na temelju članka 31. stavka 11. te uredbe. Relevantno europsko nadzorno tijelo trebalo bi odbiti svaki nepotpuni zahtjev i zatražiti informacije koje nedostaju.

(3)

Pravnu identifikaciju trećih strana pružatelja IKT usluga obuhvaćenih područjem primjene ovog regulatornog tehničkog standarda trebalo bi uskladiti s identifikacijskom oznakom utvrđenom u Provedbenoj uredbi Komisije koja je donesena u skladu s člankom 28. stavkom 9. Uredbe (EU) 2022/2554.

(4)

Nakon što ključnim trećim stranama pružateljima IKT usluga izda preporuke, glavno nadzorno tijelo trebalo bi pratiti postupaju li one u skladu s tim preporukama. Kako bi se omogućilo učinkovito i djelotvorno praćenje djelovanja koja su ključne treće strane pružatelji IKT usluga poduzele ili korektivnih mjera koje su provele u vezi s tim preporukama, glavno nadzorno tijelo trebalo bi moći zatražiti izvješća iz članka 35. stavka 1. točke (c) Uredbe (EU) 2022/2554, koja bi trebala imati oblik privremenih izvješća o napretku i završnih izvješća.

(5)

Za potrebe procjene iz članka 42. stavka 1. Uredbe (EU) 2022/2554, u skladu s kojom glavno nadzorno tijelo mora ocijeniti je li objašnjenje ključne treće strane pružatelja IKT usluga dostatno, obavijest ključne treće strane pružatelja IKT usluga glavnom nadzornom tijelu o namjeri postupanja u skladu s primljenim preporukama trebala bi se dopuniti opisom djelovanja i mjera poduzetih za ublažavanje rizika navedenih u preporukama, zajedno s pripadajućim rokovima. Takvo objašnjenje trebalo bi biti u obliku plana za ispravljanje nedostataka.

(6)

Budući da se od glavnog nadzornog tijela očekuje da ocijeni podugovorne aranžmane ključne treće strane pružatelja IKT usluga, potrebno je izraditi predložak za dostavu informacija o tim aranžmanima. U predlošku bi trebalo uzeti u obzir činjenicu da ključne treće strane pružatelji IKT usluga imaju drukčije strukture od financijskih subjekata.

(7)

Nakon što glavno nadzorno tijelo izda preporuke ključnoj trećoj strani pružatelju IKT usluga i nakon što nadležna tijela obavijeste relevantne financijske subjekte o rizicima utvrđenima u tim preporukama, glavno nadzorno tijelo trebalo bi pratiti i ocjenjivati kako ključna treća strana pružatelj IKT usluga provodi djelovanja i korektivne mjere radi usklađivanja s preporukama. Nadležna tijela trebala bi pratiti i procjenjivati u kojoj su mjeri financijski subjekti izloženi rizicima utvrđenima u tim preporukama. Kako bi očuvali jednake uvjete pri obavljanju svojih zadaća, posebno ako su rizici utvrđeni u preporukama ozbiljni i zajednički velikom broju financijskih subjekata u više država članica, i nadležna tijela i glavno nadzorno tijelo trebali bi međusobno razmjenjivati sve relevantne nalaze koji su im potrebni za obavljanje zadaća. Cilj je razmjene informacija osigurati da se u povratnim informacijama glavnog nadzornog tijela upućenih ključnoj trećoj strani pružatelju IKT usluga u vezi s njegovim mjerama i korektivnim mjerama uzme u obzir učinak na rizike financijskih subjekata te da se nadzorne aktivnosti nadležnih tijela temelje na procjeni koju provodi glavno nadzorno tijelo.

(8)

Kako bi se omogućila učinkovita i djelotvorna razmjena informacija, nadležna tijela trebala bi u okviru svojih nadzornih aktivnosti procijeniti u kojoj su mjeri financijski subjekti koje nadziru izloženi rizicima utvrđenima u preporukama. Ta bi se procjena trebala provoditi razmjerno i na temelju rizika. Glavno nadzorno tijelo trebalo bi zatražiti od nadležnih tijela da podijele rezultate te procjene u određenim slučajevima kad su rizici povezani s preporukama ozbiljni i kad utječu na velik broj financijskih subjekata u više država članica. Kako bi se na najbolji način iskoristili resursi nadležnih tijela, pri podnošenju zahtjeva za dostavu rezultata te procjene glavno nadzorno tijelo trebalo bi uvijek uzeti u obzir da je cilj tih zahtjeva ocijeniti provedbu djelovanja i korektivnih mjera ključnih trećih strana pružatelja IKT usluga.

(9)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (2) te je on dao mišljenje 22. srpnja 2024.

(10)

Ova se Uredba temelji na nacrtu regulatornih tehničkih standarda koji su europska nadzorna tijela dostavila Komisiji.

(11)

Zajednički odbor europskih nadzornih tijela proveo je otvoreno javno savjetovanje o nacrtu regulatornih tehničkih standarda na kojem se temelji ova Uredba, analizirao moguće povezane troškove i koristi te zatražio mišljenje Interesne skupine za bankarstvo osnovane u skladu s člankom 37. Uredbe (EU) br. 1093/2010 Europskog parlamenta i Vijeća (3), Interesne skupine za osiguranje i reosiguranje i Interesne skupine za strukovno mirovinsko osiguranje osnovanih u skladu s člankom 37. Uredbe (EU) br. 1094/2010 Europskog parlamenta i Vijeća (4) te Interesne skupine za vrijednosne papire i tržišta kapitala osnovane u skladu s člankom 37. Uredbe (EU) br. 1095/2010 Europskog parlamenta i Vijeća (5),