KOMISIJAS DELEĢĒTĀ REGULA (ES) 2025/532 (2025. gada 24. marts), ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem, kuros precizēti elementi, kas finanšu vienībai ir jānosaka un jānovērtē, slēdzot apakšuzņēmuma līgumus par IKT pakalpojumiem, kuri atbalsta kritiski svarīgas vai svarīgas funkcijas (Dokuments attiecas uz EEZ)

(1)

IKT pakalpojumu sniegšana finanšu vienībām bieži vien ir atkarīga no sarežģītas IKT apakšuzņēmēju ķēdes, saskaņā ar kuru trešās personas, kas sniedz IKT pakalpojumus, var slēgt vienu vai vairākus apakšuzņēmuma līgumus ar citām trešām personām, kas sniedz IKT pakalpojumus. Netieša paļaušanās uz IKT apakšuzņēmējiem var ietekmēt finanšu vienības spēju identificēt, novērtēt un pārvaldīt savus riskus, tostarp riskus, kas saistīti ar nepilnībām informācijā, kuru nodrošina trešās personas, kas sniedz IKT pakalpojumus, un finanšu vienības ierobežoto spēju iegūt informāciju no tiem IKT apakšuzņēmējiem, kas sniedz IKT pakalpojumus, kuri atbalsta kritiski svarīgas vai svarīgas funkcijas vai to būtiskas daļas. Šajā ziņā, ja IKT pakalpojumu sniegšana finanšu vienībām ir atkarīga no potenciāli garas vai sarežģītas IKT apakšuzņēmēju ķēdes, ir būtiski, lai finanšu vienības identificētu to apakšuzņēmēju vispārējo ķēdi, kuri sniedz IKT pakalpojumus kritiski svarīgu vai svarīgu funkciju atbalstam.

(2)

Starp apakšuzņēmējiem, kas sniedz IKT pakalpojumus, kuri atbalsta kritiski svarīgas vai svarīgas funkcijas, finanšu vienībām pastiprināti un pastāvīgi būtu jākoncentrējas uz tiem apakšuzņēmējiem, kuri faktiski sniedz IKT pakalpojumu, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, tostarp visiem apakšuzņēmējiem, kuri sniedz IKT pakalpojumus, kuru traucējumi kaitētu pakalpojuma drošībai vai nepārtrauktībai, kā noteikts Regulas (ES) 2022/2554 28. panta 3. punktā minētajā informācijas reģistrā.

(3)

Finanšu vienības ir ļoti atšķirīgas pēc apjoma, struktūras, iekšējās organizācijas un to darbību būtības un sarežģītības. Lai nodrošinātu proporcionalitāti, minētā daudzveidība būtu jāņem vērā, precizējot, kuri elementi finanšu vienībai būtu jānosaka un jānovērtē, slēdzot apakšuzņēmuma līgumus par IKT pakalpojumiem, kas atbalsta kritiski svarīgas vai svarīgas funkcijas.

(4)

Ja finanšu vienības to atļauj saskaņā ar Regulas (ES) 2022/2554 30. panta 2. punktu, tādu IKT pakalpojumu izmantošana, par kuriem ir noslēgti apakšuzņēmuma līgumi un ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, ko veic trešās personas, kas sniedz IKT pakalpojumus, nevar samazināt finanšu vienību vadības struktūru galīgo atbildību pārvaldīt savus riskus un izpildīt savus leģislatīvos un regulatīvos pienākumus. Ja ir atļauts slēgt apakšuzņēmuma līgumus par IKT pakalpojumiem, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, ir svarīgi, lai finanšu vienībām būtu skaidrs un visaptverošs skatījums uz riskiem, kas saistīti ar apakšuzņēmuma līguma slēgšanu par pakalpojumiem, kuri atbalsta kritiski svarīgas vai svarīgas funkcijas, lai finanšu vienības spētu uzraudzīt, pārvaldīt un mazināt minētos riskus. Tāpēc tām būtu jānovērtē šie riski pirms apakšuzņēmuma līguma slēgšanas par minētajiem pakalpojumiem.

(5)

Par IKT apakšuzņēmējiem būtu jāuzskata grupas iekšējie IKT apakšuzņēmēji, kas sniedz IKT pakalpojumus, kuri atbalsta kritiski svarīgas vai svarīgas funkcijas vai to būtiskas daļas, tostarp grupas iekšējie IKT apakšuzņēmēji, kas pilnībā vai kolektīvi pieder finanšu vienībām vienā un tajā pašā institucionālajā aizsardzības shēmā.

(6)

Attiecīgā gadījumā grupas kontekstā finanšu vienību mātesuzņēmumam būtu jānodrošina, ka IKT apakšuzņēmēju, kuri sniedz IKT pakalpojumus, kas atbalsta kritiski svarīgas vai svarīgas funkcijas vai to būtisku daļu, izmantošanas politika grupā tiek piemērota konsekventi un saskaņoti.

(7)

Ir svarīgi nodrošināt to risku visaptverošu pārvaldību, kas var rasties, ja tiek slēgti apakšuzņēmuma līgumi par IKT pakalpojumiem, kas atbalsta kritiski svarīgas vai svarīgas funkcijas. Minētā iemesla dēļ finanšu vienībām būtu jāievēro tādas līgumiskas vienošanās darbības cikla posmi, kas attiecas uz tādu IKT pakalpojumu izmantošanu, kuri atbalsta minētās funkcijas un kurus sniedz trešās personas, kas sniedz IKT pakalpojumus, tostarp attiecībā uz apakšuzņēmuma līgumiem. Tāpēc ir jānosaka finanšu vienībām piemērojamas prasības, kuras būtu jāatspoguļo to līgumiskajās vienošanās ar trešām personām, kas sniedz IKT pakalpojumus, ja ir atļauta tādu IKT pakalpojumu izmantošana, par kuriem ir noslēgts apakšuzņēmuma līgums un kuri atbalsta kritiski svarīgas vai svarīgas funkcijas.

(8)

Lai mazinātu riskus, kas saistīti ar apakšuzņēmuma līgumu slēgšanu, ir jāprecizē nosacījumi, saskaņā ar kuriem trešās personas, kas sniedz IKT pakalpojumus, var izmantot apakšuzņēmējus tādu IKT pakalpojumu sniegšanai, kas atbalsta kritiski svarīgas vai svarīgas funkcijas. Šajā nolūkā IKT līgumiskajās vienošanās starp finanšu vienībām un trešām personām, kas sniedz IKT pakalpojumus, būtu jāparedz šādi nosacījumi, tostarp apakšuzņēmumu līgumu plānošana, riska novērtējumi, pienācīgas rūpības pārbaude un jaunu IKT apakšuzņēmuma līgumu par IKT pakalpojumiem, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas vai to būtiskas daļas, apstiprināšanas process vai būtiskas izmaiņas esošajās vienošanās, ko veikusi trešā persona, kas sniedz IKT pakalpojumus.

(9)

Lai identificētu riskus, kas varētu rasties, pirms finanšu vienība noslēdz vienošanos ar IKT apakšuzņēmēju, trešām personām, kas sniedz IKT pakalpojumus, būtu piemērotā un samērīgā veidā jānovērtē potenciālo apakšuzņēmēju piemērotība, pamatojoties uz IKT līgumiskām vienošanām, ko trešā persona, kas sniedz IKT pakalpojumus, ir noslēgusi ar finanšu vienību. Tāpēc minētajās IKT līgumiskajās vienošanās būtu jānosaka, ka trešā persona, kas sniedz IKT pakalpojumus, vai attiecīgā gadījumā finanšu vienība tieši novērtē potenciālā apakšuzņēmēja resursus, tostarp tā speciālās zināšanas un to, vai tam ir pienācīgi finanšu resursi, cilvēkresursi un tehniskie resursi, tā informācijas drošību un organizatorisko struktūru, tostarp riska pārvaldību un iekšējo kontroli, kas apakšuzņēmējam būtu jāievieš.

(10)

Lai mazinātu neaizsargātību un apdraudējumus, kas var radīt riskus to IKT sistēmām un darbībām, finanšu vienībām būtu jāspēj uzraudzīt IKT pakalpojuma darbību un būt informētām par visām attiecīgajām izmaiņām to IKT apakšuzņēmēju ķēdē, ja šādas izmaiņas attiecas uz kritiski svarīgām vai svarīgām funkcijām.

(11)

Lai finanšu vienības varētu novērtēt riskus, kas saistīti ar apakšuzņēmuma līgumiem vai būtiskām izmaiņām tajos, trešām personām, kas sniedz IKT pakalpojumus, būtu jāinformē finanšu vienības, kurām tās sniedz IKT pakalpojumus, par visiem šādiem jauniem līgumiem vai izmaiņām krietni pirms šādu vienošanos vai izmaiņu piemērošanas sākšanas. Tā paša iemesla dēļ finanšu vienībām vajadzētu būt tiesībām izbeigt līgumu ar trešo personu, kas sniedz IKT pakalpojumus, ja to riska novērtējuma rezultāti liecina, ka jaunais līgums vai būtiskās izmaiņas rada tādu riska līmeni, kas pārsniedz to riska pielaidi.

(12)

Eiropas uzraudzības iestādes ir veikušas atklātu sabiedrisko apspriešanu par regulatīvo tehnisko standartu projektu, kas ir šīs regulas pamatā, analizējušas iespējamās saistītās izmaksas un ieguvumus un lūgušas atzinumu no EUI ieinteresēto personu grupām, kuras izveidotas saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1093/2010 (2) 37. pantu, Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1094/2010 (3) 37. pantu un Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1095/2010 (4) 37. pantu,

(13)

Notika apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (5) 42. panta 1. punktu, un tas 2024. gada 20. augustā sniedza atzinumu.