KOMMISSIONENS DELEGEREDE FORORDNING (EU) 2025/295 af 24. oktober 2024 om supplerende regler til Europa-Parlamentets og Rådets forordning (EU) 2022/2554 for så vidt angår reguleringsmæssige tekniske standarder for harmonisering af de betingelser, der muliggør udførelsen af tilsynsaktiviteter (EØS-relevant tekst)

(1)

Med rammen for digital operationel modstandsdygtighed i den finansielle sektor, der er oprettet ved forordning (EU) 2022/2554, indføres der en EU-tilsynsramme for tredjepartsudbydere, som leverer informations- og teknologitjenester (IKT-tjenester) til den finansielle sektor og er udpeget som kritiske i overensstemmelse med nævnte forordnings artikel 31.

(2)

En tredjepartsudbyder af IKT-tjenester, som beslutter at indgive en frivillig anmodning om at blive udpeget som kritisk, bør for den modtagende europæiske tilsynsmyndighed (ESA) forelægge alle nødvendige oplysninger for at dokumentere sin kritiske betydning i henhold til de principper og kriterier, der er fastsat i forordning (EU) 2022/2554. Af samme årsag bør de oplysninger, der skal indgå i ansøgningen om frivillig anmodning, være tilstrækkeligt udførlige og fuldstændige til at muliggøre en klar og fuldstændig vurdering af kritisk betydning i henhold til nævnte forordnings artikel 31, stk. 11. Den pågældende ESA bør afvise ufuldstændige ansøgninger og anmode om de manglende oplysninger.

(3)

Den juridiske identifikation af tredjepartsudbydere af IKT-tjenester inden for rammerne af denne reguleringsmæssige tekniske standard bør tilpasses til den identifikationskode, der er fastsat i Kommissionens gennemførelsesforordning, som er vedtaget i overensstemmelse med artikel 28, stk. 9, i forordning (EU) 2022/2554.

(4)

Som opfølgning på de henstillinger, som den ledende tilsynsførende udsteder til kritiske tredjepartsudbydere af IKT-tjenester, bør den ledende tilsynsførende føre tilsyn med, at kritiske tredjepartsudbydere af IKT-tjenester overholder henstillingerne. Med henblik på at sikre effektiv og virkningsfuld overvågning af de tiltag eller de afhjælpende foranstaltninger, som de kritiske tredjepartsudbydere af IKT-tjenester har iværksat/truffet i relation til disse henstillinger, bør den ledende tilsynsførende have mulighed for at kræve de rapporter, der er omhandlet i artikel 35, stk. 1, litra c), i forordning (EU) 2022/2554, og som skal betragtes som midlertidige statusrapporter og endelige rapporter.

(5)

Med henblik på den vurdering, der er nærmere beskrevet i artikel 42, stk. 1, i forordning (EU) 2022/2554, i henhold til hvilken den ledende tilsynsførende er forpligtet til at evaluere, hvorvidt redegørelsen fra den kritiske tredjepartsudbyder af IKT-tjenester er tilstrækkelig, bør meddelelsen fra den kritiske tredjepartsudbyder af IKT-tjenester til den ledende tilsynsførende om, at førstnævnte agter at følge de modtagne henstillinger, suppleres af en beskrivelse af de tiltag og foranstaltninger, der er iværksat/truffet for at mindske de risici, der er beskrevet i henstillingerne, sammen med de respektive frister herfor. En sådan redegørelse bør have form af en udbedringsplan.

(6)

Idet den ledende tilsynsførende forventes at vurdere de underentrepriseordninger, som den kritiske tredjepartsudbyder af IKT-tjenester er omfattet af, skal der udarbejdes en model til forelæggelse af oplysninger om sådanne ordninger. I modellen skal der tages højde for det forhold, at de kritiske tredjepartsudbydere af IKT-tjenester har strukturer, som er forskellige fra finansielle enheders strukturer.

(7)

Så snart den ledende tilsynsførende har udstedt henstillinger til en kritisk tredjepartsudbyder af IKT-tjenester og de kompetente myndigheder har underrettet de relevante finansielle enheder om de risici, der er identificeret i nævnte henstillinger, bør den ledende tilsynsførende føre tilsyn med og vurdere den gennemførelse, som den kritiske tredjepartsudbyder af IKT-tjenester foretager af de tiltag og foranstaltninger, der er iværksat/truffet for at efterleve henstillingerne. De kompetente myndigheder bør føre tilsyn med og vurdere, i hvilket omfang de finansielle enheder er eksponeret for de risici, der er identificeret i disse henstillinger. Med det formål at opretholde lige vilkår, samtidig med at de varetager deres respektive opgaver — navnlig når de risici, der er identificeret i henstillingerne, er alvorlige og fælles for en lang række finansielle enheder i flere medlemsstater — bør både de kompetente myndigheder og den ledende tilsynsførende udveksle relevante konklusioner, som er nødvendige for, at de kan varetage deres respektive opgaver. Formålet med udvekslingen af oplysninger er at sikre, at den ledende tilsynsførendes feedback til den kritiske tredjepartsudbyder af IKT-tjenester vedrørende de tiltag og foranstaltninger, som sidstnævnte gennemfører, tager hensyn til deres indvirkning på de finansielle enheders risici, og at de kompetente myndigheders tilsynsaktiviteter tager udgangspunkt i den vurdering, som den ledende tilsynsførende har foretaget.

(8)

For at muliggøre en effektiv og virkningsfuld udveksling af oplysninger bør de kompetente myndigheder som led i deres tilsynsaktiviteter vurdere, i hvilket omfang de finansielle enheder, som de fører tilsyn med, er eksponeret for de risici, der er identificeret i henstillingerne. Denne vurdering bør foretages efter en risikobaseret tilgang, der står i rimeligt forhold til formålet. Den ledende tilsynsførende bør anmode de kompetente myndigheder om at udveksle resultaterne af denne vurdering i de specifikke tilfælde, hvor de risici, der er forbundet med henstillingerne, er alvorlige og fælles for en lang række finansielle enheder i flere medlemsstater. Når den ledende tilsynsførende anmoder om forelæggelse af resultaterne af denne vurdering, bør denne — for at gøre bedst mulig brug af de kompetente myndigheders ressourcer — altid tage hensyn til det forhold, at formålet med disse anmodninger er at evaluere gennemførelsen af tiltag og afhjælpende foranstaltninger, som de kritiske tredjepartsudbydere af IKT-tjenester har iværksat/truffet.

(9)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (2) og afgav en positiv udtalelse den 22. juli 2024.

(10)

Denne forordning er baseret på det udkast til reguleringsmæssige tekniske standarder, som ESA'erne har forelagt for Kommissionen.

(11)

Det Fælles Udvalg af ESA'er har afholdt åbne offentlige høringer om det udkast til reguleringsmæssige tekniske standarder, som ligger til grund for denne forordning, de har analyseret de potentielle omkostninger og fordele herved og anmodet om rådgivning fra interessentgruppen for banker, der er nedsat i henhold til artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 (3), interessentgruppen for forsikrings- og genforsikringsordninger og interessentgruppen for arbejdsmarkedspensionsordninger, der er nedsat i henhold til artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1094/2010 (4), og interessentgruppen for værdipapirer og markeder, der er nedsat i henhold til artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1095/2010 (5) —