REGLAMENTO DELEGADO (UE) 2025/295 DE LA COMISIÓN de 24 de octubre de 2024 por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo en lo que respecta a las normas técnicas de regulación relativas a la armonización de las condiciones que permiten llevar a cabo las actividades de supervisión (Texto pertinente a efectos del EEE)

(1)

El marco sobre la resiliencia operativa digital del sector financiero establecido por el Reglamento (UE) 2022/2554 introduce un marco de supervisión de la Unión para los proveedores terceros de servicios de tecnologías de la información y la comunicación (TIC) al sector financiero designados como esenciales de conformidad con el artículo 31 de dicho Reglamento.

(2)

Un proveedor tercero de servicios de TIC que decida presentar una solicitud de inclusión voluntaria para ser designado como esencial debe proporcionar a la Autoridad Europea de Supervisión (AES) receptora toda la información necesaria para demostrar su carácter esencial con arreglo a los principios y criterios establecidos en el Reglamento (UE) 2022/2554. Por este motivo, la información que debe incluirse en la solicitud de inclusión voluntaria debe ser lo suficientemente detallada y exhaustiva como para permitir una evaluación clara y completa del carácter esencial con arreglo al artículo 31, apartado 11, del citado Reglamento. La AES pertinente debe rechazar cualquier solicitud incompleta y pedir la información que falte.

(3)

La identificación jurídica de los proveedores terceros de servicios de TIC incluidos dentro del ámbito de aplicación de la presente norma técnica de regulación debe armonizarse con el código de identificación establecido en el Reglamento de Ejecución de la Comisión adoptado de conformidad con el artículo 28, apartado 9, del Reglamento (UE) 2022/2554.

(4)

Como seguimiento de las recomendaciones formuladas por el supervisor principal a los proveedores terceros esenciales de servicios de TIC, el supervisor principal debe vigilar el cumplimiento de las recomendaciones por parte de los proveedores terceros esenciales de servicios de TIC. Con el fin de garantizar un seguimiento eficiente y eficaz de las medidas adoptadas o de las medidas correctoras aplicadas por los proveedores terceros esenciales de servicios de TIC en relación con estas recomendaciones, el supervisor principal debe poder exigir los informes a que se refiere el artículo 35, apartado 1, letra c), del Reglamento (UE) 2022/2554, que deben considerarse informes intermedios de situación e informes finales.

(5)

A efectos de la valoración especificada en el artículo 42, apartado 1, del Reglamento (UE) 2022/2554, según el cual el supervisor principal está obligado a evaluar si la explicación proporcionada por el proveedor tercero esencial de servicios de TIC es suficiente, la notificación al supervisor principal por parte del proveedor tercero esencial de servicios de TIC de su intención de seguir las recomendaciones recibidas debe complementarse con una descripción de las acciones y medidas adoptadas para mitigar los riesgos expuestos en las recomendaciones, junto con sus respectivos plazos. La mencionada explicación debe adoptar la forma de un plan corrector.

(6)

Dado que está previsto que el supervisor principal evalúe los acuerdos de subcontratación del proveedor tercero esencial de servicios de TIC, debe elaborarse una plantilla para facilitar información sobre dichos acuerdos. La plantilla debe tener en cuenta el hecho de que los proveedores terceros esenciales de servicios de TIC tienen estructuras diferentes a las de las entidades financieras.

(7)

Una vez que el supervisor principal formule las recomendaciones a un proveedor tercero esencial de servicios de TIC y que las autoridades competentes hayan informado a las entidades financieras pertinentes de los riesgos señalados en dichas recomendaciones, el supervisor principal debe evaluar la ejecución de las acciones y medidas correctoras por parte del proveedor tercero esencial de servicios de TIC para cumplir las recomendaciones y llevar a cabo un seguimiento de ella. Las autoridades competentes deberán supervisar y evaluar en qué medida las entidades financieras están expuestas a los riesgos señalados en dichas recomendaciones. Con el fin de mantener la igualdad de condiciones en el desempeño de sus funciones respectivas, en particular cuando los riesgos señalados en las recomendaciones sean graves y se compartan entre un gran número de entidades financieras de varios Estados miembros, tanto las autoridades competentes como el supervisor principal deben compartir entre sí todas las conclusiones pertinentes que sean necesarias para llevar a cabo sus respectivas tareas. El objetivo del intercambio de información es garantizar que las observaciones del supervisor principal al proveedor tercero esencial de servicios de TIC en relación con las medidas y soluciones que este último esté aplicando tengan en cuenta la incidencia en los riesgos de las entidades financieras, y que las actividades de supervisión llevadas a cabo por las autoridades competentes se basen en la evaluación realizada por el supervisor principal.

(8)

Para permitir un intercambio de información eficaz y eficiente, las autoridades competentes deben evaluar, como parte de sus actividades de supervisión, en qué medida las entidades financieras supervisadas por ellas están expuestas a los riesgos señalados en las recomendaciones. Esta evaluación debe llevarse a cabo de manera proporcionada y basada en el riesgo. El supervisor principal debe solicitar a las autoridades competentes que informen sobre los resultados de esta evaluación en aquellos casos específicos en que los riesgos asociados a las recomendaciones sean graves y se compartan entre un gran número de entidades financieras de varios Estados miembros. Para hacer el mejor uso posible de los recursos de las autoridades competentes, al solicitar los resultados de esta evaluación, el supervisor principal debe tener siempre en cuenta que el objetivo de estas solicitudes es evaluar la ejecución de las acciones y medidas correctoras por parte de los proveedores terceros esenciales de servicios de TIC.

(9)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (2), emitió su dictamen el 22 de julio de 2024.

(10)

El presente Reglamento se basa en los proyectos de normas técnicas de regulación presentados por las AES a la Comisión.

(11)

El Comité Mixto de las AES ha llevado a cabo consultas públicas abiertas sobre los proyectos de normas técnicas de regulación en que se basa el presente Reglamento, ha analizado los costes y beneficios posibles correspondientes y ha recabado el asesoramiento del Grupo de Partes Interesadas del Sector Bancario establecido de conformidad con el artículo 37 del Reglamento (UE) n.o 1093/2010 del Parlamento Europeo y del Consejo (3), del Grupo de Partes Interesadas del Sector de Seguros y de Reaseguros y el Grupo de Partes Interesadas del Sector de Pensiones de Jubilación establecidos de conformidad con el artículo 37 del Reglamento (UE) n.o 1094/2010 del Parlamento Europeo y del Consejo (4), y del Grupo de Partes Interesadas del Sector de Valores y Mercados establecido de conformidad con el artículo 37 del Reglamento (UE) n.o 1095/2010 del Parlamento Europeo y del Consejo (5).