ROZPORZĄDZENIE DELEGOWANE KOMISJI (UE) 2025/295 z dnia 24 października 2024 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych dotyczących harmonizacji warunków umożliwiających prowadzenie działań nadzorczych (Tekst mający znaczenie dla EOG)

(1)

Ustanowione rozporządzeniem (UE) 2022/2554 ramy dotyczące operacyjnej odporności cyfrowej sektora finansowego obejmują unijne ramy nadzoru nad zewnętrznymi dostawcami usług z zakresu technologii informacyjno-komunikacyjnych (ICT) dla sektora finansowego wyznaczonymi jako kluczowi zgodnie z art. 31 tego rozporządzenia.

(2)

Zewnętrzny dostawca usług ICT, który postanawia złożyć dobrowolny wniosek o wyznaczenie go jako kluczowego, powinien przekazać Europejskiemu Urzędowi Nadzoru (EUN) otrzymującemu wniosek wszystkie informacje niezbędne do wykazania jego krytyczności zgodnie z zasadami i kryteriami określonymi w rozporządzeniu (UE) 2022/2554. Z tego powodu informacje, które należy zawrzeć w dobrowolnym wniosku, powinny być dostatecznie szczegółowe i wyczerpujące, aby umożliwić jasną i pełną ocenę krytyczności zgodnie z art. 31 ust. 11 tego rozporządzenia. Odpowiedni EUN powinien odrzucić każdy niekompletny wniosek i zażądać brakujących informacji.

(3)

Identyfikacja prawna zewnętrznych dostawców usług ICT objętych zakresem niniejszych regulacyjnych standardów technicznych powinna być dostosowana do kodu identyfikacyjnego określonego w rozporządzeniu wykonawczym Komisji przyjętym zgodnie z art. 28 ust. 9 rozporządzenia (UE) 2022/2554.

(4)

W ramach działań następczych w związku z zaleceniami wydanymi przez wiodący organ nadzorczy dla kluczowych zewnętrznych dostawców usług ICT wiodący organ nadzorczy powinien monitorować przestrzeganie zaleceń przez kluczowych zewnętrznych dostawców usług ICT. Aby zapewnić sprawne i skuteczne monitorowanie działań podjętych przez kluczowych zewnętrznych dostawców usług ICT lub środków zaradczych wdrożonych przez nich w związku z tymi zaleceniami, wiodący organ nadzorczy powinien móc zażądać przedłożenia sprawozdań przewidzianych w art. 35 ust. 1 lit. c) rozporządzenia (UE) 2022/2554, które powinny mieć formę sprawozdań śródokresowych i sprawozdań końcowych.

(5)

Do celów oceny określonej w art. 42 ust. 1 rozporządzenia (UE) 2022/2554, zgodnie z którą wiodący organ nadzorczy ma obowiązek ocenić, czy wyjaśnienie przedstawione przez kluczowego zewnętrznego dostawcę usług ICT jest wystarczające, powiadomienie wiodącego organu nadzorczego przez kluczowego zewnętrznego dostawcę usług ICT o zamiarze zastosowania się do otrzymanych zaleceń należy uzupełnić o opis działań i środków, które wprowadzono w celu ograniczenia ryzyka określonego w zaleceniach, wraz z odpowiednimi terminami ich realizacji. Takie wyjaśnienie powinno mieć formę planu naprawczego.

(6)

Ponieważ oczekuje się, że wiodący organ nadzorczy będzie oceniać umowy dalszego podwykonawstwa kluczowego zewnętrznego dostawcy usług ICT, należy opracować wzór do celów przekazywania informacji na temat tych umów. W tym wzorze należy uwzględnić fakt, że kluczowi zewnętrzni dostawcy usług ICT mają inne struktury niż podmioty finansowe.

(7)

Po wydaniu zaleceń dla kluczowego zewnętrznego dostawcy usług ICT przez wiodący organ nadzorczy oraz po tym, jak właściwe organy poinformują odpowiednie podmioty finansowe o ryzyku zidentyfikowanym w tych zaleceniach, wiodący organ nadzorczy powinien monitorować i oceniać wdrażanie przez kluczowego zewnętrznego dostawcę usług ICT działań i środków zaradczych mających na celu zastosowanie się do zaleceń. Właściwe organy powinny monitorować i oceniać zakres, w jakim podmioty finansowe są narażone na ryzyko zidentyfikowane w tych zaleceniach. Aby utrzymać równe warunki działania, podczas wykonywania odpowiednich zadań, w szczególności gdy ryzyko zidentyfikowane w zaleceniach jest poważne i dotyczy dużej liczby podmiotów finansowych w wielu państwach członkowskich, zarówno właściwe organy, jak i wiodący organ nadzorczy powinny wymieniać między sobą wszelkie istotne ustalenia, które są niezbędne do wykonywania odpowiednich zadań tych organów. Celem wymiany informacji jest zapewnienie, aby w informacjach zwrotnych przekazywanych kluczowemu zewnętrznemu dostawcy usług ICT przez wiodący organ nadzorczy w odniesieniu do działań i środków zaradczych, które wdraża ten kluczowy zewnętrzny dostawca usług ICT, uwzględniono wpływ na ryzyko podmiotów finansowych oraz aby działania nadzorcze prowadzone przez właściwe organy były oparte na ocenie przeprowadzonej przez wiodący organ nadzorczy.

(8)

Aby umożliwić sprawną i skuteczną wymianę informacji, właściwe organy powinny w ramach swoich działań nadzorczych oceniać, w jakim stopniu nadzorowane przez nie podmioty finansowe są narażone na ryzyko zidentyfikowane w zaleceniach. Ocenę tę należy przeprowadzić w sposób proporcjonalny i oparty na analizie ryzyka. Wiodący organ nadzorczy powinien zwrócić się do właściwych organów o udostępnienie wyników tej oceny w szczególnych przypadkach, gdy ryzyko związane z zaleceniami jest poważne i dotyczy dużej liczby podmiotów finansowych w wielu państwach członkowskich. Aby jak najlepiej wykorzystać zasoby właściwych organów, wiodący organ nadzorczy, który zwraca się o udostępnienie wyników tej oceny, powinien zawsze brać pod uwagę, że celem tych wniosków jest ocena realizacji działań i środków zaradczych wdrażanych przez kluczowych zewnętrznych dostawców usług ICT.

(9)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (2) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 22 lipca 2024 r.

(10)

Podstawę niniejszego rozporządzenia stanowi projekt regulacyjnych standardów technicznych przedłożony Komisji przez EUN.

(11)

Wspólny Komitet EUN przeprowadził otwarte konsultacje publiczne na temat projektu regulacyjnych standardów technicznych, który stanowi podstawę niniejszego rozporządzenia, dokonał analizy potencjalnych powiązanych kosztów i korzyści oraz zwrócił się o opinię do Bankowej Grupy Interesariuszy powołanej zgodnie z art. 37 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1093/2010 (3), do Grupy Interesariuszy z Sektora Ubezpieczeń i Reasekuracji i Grupy Interesariuszy z Sektora Pracowniczych Programów Emerytalnych powołanych zgodnie z art. 37 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1094/2010 (4) oraz do Grupy Interesariuszy z Sektora Giełd i Papierów Wartościowych powołanej zgodnie z art. 37 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1095/2010 (5),