Preamble: 1

(1)

Rámcom pre digitálnu prevádzkovú odolnosť finančného sektora stanoveným nariadením (EÚ) 2022/2554 sa zavádza rámec dozoru Únie nad externými poskytovateľmi služieb informačných a komunikačných technológií (IKT) pre finančný sektor, ktorí sú určení ako kritickí v súlade s článkom 31 uvedeného nariadenia.

(2)

Externý poskytovateľ IKT služieb, ktorý sa rozhodne predložiť dobrovoľnú požiadavku, aby bol určený ako kritický, by mal európskemu orgánu dohľadu, ktorý prijíma žiadosť, predložiť všetky informácie potrebné na preukázanie svojej kritickosti v súlade so zásadami a kritériami stanovenými v nariadení (EÚ) 2022/2554. Z tohto dôvodu by informácie, ktoré sa majú uviesť v dobrovoľnej žiadosti, mali byť dostatočne podrobné a úplné, aby umožnili jasné a úplné posúdenie kritickosti podľa článku 31 ods. 11 uvedeného nariadenia. Príslušný európsky orgán dohľadu by mal zamietnuť každú neúplnú žiadosť a požiadať o poskytnutie chýbajúcich informácií.

(3)

Právna identifikácia externých poskytovateľov IKT služieb v rozsahu pôsobnosti tohto regulačného technického predpisu by mala byť zosúladená s identifikačným kódom stanoveným vo vykonávacom nariadení Komisie prijatom v súlade s článkom 28 ods. 9 nariadenia (EÚ) 2022/2554.

(4)

V nadväznosti na odporúčania, ktoré hlavný orgán dozoru vydal kritickým externým poskytovateľom IKT služieb, by hlavný orgán dozoru mal monitorovať, či kritickí externí poskytovatelia IKT služieb dodržiavajú odporúčania. S cieľom zabezpečiť efektívne a účinné monitorovanie opatrení, ktoré prijali kritickí externí poskytovatelia IKT služieb v súvislosti s týmito odporúčaniami, alebo nápravných opatrení, ktoré vykonali kritickí externí poskytovatelia IKT služieb v súvislosti s týmito odporúčaniami, by hlavný orgán dozoru mal mať možnosť žiadať o správy uvedené v článku 35 ods. 1 písm. c) nariadenia (EÚ) 2022/2554, ktoré by sa mali považovať za priebežné správy o pokroku a záverečné správy.

(5)

Na účely posúdenia uvedeného v článku 42 ods. 1 nariadenia (EÚ) 2022/2554, podľa ktorého je hlavný orgán dozoru povinný vyhodnotiť, či je vysvetlenie poskytnuté kritickým externým poskytovateľom IKT služieb dostatočné, by sa oznámenie kritického externého poskytovateľa IKT služieb hlavnému orgánu dozoru o jeho zámere dodržiavať prijaté odporúčania malo doplniť opisom krokov a opatrení, ktoré boli prijaté na zmiernenie rizík uvedených v odporúčaniach, spolu s príslušnými lehotami. Takéto vysvetlenie by malo mať podobu plánu nápravy.

(6)

Keďže sa očakáva, že hlavný orgán dozoru posudzuje subdodávateľské dojednania kritického externého poskytovateľa IKT služieb, treba vypracovať vzor na predkladanie informácií o uvedených dojednaniach. Vo vzore by sa mala zohľadniť skutočnosť, že kritickí externí poskytovatelia IKT služieb majú odlišné štruktúry ako finančné subjekty.

(7)

Keď hlavný orgán dozoru vydá odporúčania kritickému externému poskytovateľovi IKT služieb a po tom, ako príslušné orgány informujú príslušné finančné subjekty o rizikách identifikovaných v týchto odporúčaniach, hlavný orgán dozoru by mal monitorovať a posudzovať, ako kritický externý poskytovateľ IKT služieb vykonáva opatrenia a nápravné opatrenia na dodržiavanie odporúčaní. Príslušné orgány by mali monitorovať a posudzovať rozsah, v akom sú finančné subjekty vystavené rizikám identifikovaným v týchto odporúčaniach. S cieľom zachovať rovnaké podmienky pri vykonávaní svojich príslušných úloh, najmä ak sú riziká identifikované v odporúčaniach závažné a rozdelené medzi veľký počet finančných subjektov vo viacerých členských štátoch, by si príslušné orgány aj hlavný orgán dozoru by si mali navzájom vymieňať všetky relevantné zistenia, ktoré sú potrebné na vykonávanie ich príslušných úloh. Cieľom výmeny informácií je zabezpečiť, aby spätná väzba hlavného orgánu dozoru voči kritickému externému poskytovateľovi IKT služieb vo vzťahu k opatreniam a nápravným opatreniam, ktoré kritický externý poskytovateľ IKT služieb vykonáva, zohľadňovala vplyv na riziká finančných subjektov a aby činnosti dohľadu vykonávané príslušnými orgánmi boli založené na posúdení vykonanom hlavným orgánom dozoru.

(8)

Na umožnenie efektívnej a účinnej výmeny informácií by príslušné orgány mali v rámci svojich činností dohľadu posudzovať rozsah, v akom sú finančné subjekty, nad ktorými vykonávajú dozor, vystavené rizikám identifikovaným v odporúčaniach. Toto posúdenie by sa malo vykonávať primerane a spôsobom založeným na riziku. Hlavný orgán dozoru by mal požiadať príslušné orgány o poskytnutie výsledkov tohto posúdenia v konkrétnych prípadoch, keď sú riziká spojené s odporúčaniami závažné a rozdelené medzi veľký počet finančných subjektov vo viacerých členských štátoch. V záujme čo najlepšieho využitia zdrojov príslušných orgánov by mal hlavný orgán dozoru pri žiadaní o poskytnutie výsledkov tohto posúdenia vždy zohľadňovať, že cieľom týchto žiadostí je vyhodnotiť vykonávanie opatrení a nápravných opatrení kritickými externými poskytovateľmi IKT služieb.

(9)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (2) sa konzultovalo s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal 22. júla 2024 svoje stanovisko.

(10)

Toto nariadenie vychádza z návrhu regulačných technických predpisov, ktorý Komisii predložili európske orgány dohľadu.

(11)

Spoločný výbor európskych orgánov dohľadu uskutočnil otvorené verejné konzultácie k návrhu regulačných technických predpisov, z ktorých toto nariadenie vychádza, analyzoval možné súvisiace náklady a prínosy a požiadal o poradenstvo Skupinu zainteresovaných strán v bankovníctve zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (3), Skupinu zainteresovaných strán v poisťovníctve a zaisťovníctve zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1094/2010 (4) a Skupinu zainteresovaných strán v oblasti cenných papierov a trhov zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1095/2010 (5),