KOMISSION DELEGOITU ASETUS (EU) 2025/532, annettu 24 päivänä maaliskuuta 2025, Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 täydentämisestä teknisillä sääntelystandardeilla, joissa täsmennetään finanssiyhteisön määritettäväksi ja arvioitavaksi kuuluvat seikat sen teettäessä kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja alihankintana (ETA:n kannalta merkityksellinen teksti)

(1)

TVT-palvelujen tarjoaminen finanssiyhteisöille riippuu usein monimutkaisesta TVT-alihankkijoiden ketjusta, sillä TVT-palveluntarjoajana olevat kolmannet osapuolet voivat tehdä yhden tai useamman alihankintajärjestelyn muiden TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa. Välillinen tukeutuminen TVT-alihankkijoihin voi vaikuttaa finanssiyhteisön kykyyn tunnistaa, arvioida ja hallita riskejään, mukaan lukien riskit, jotka liittyvät TVT-palveluntarjoajana olevien kolmansien osapuolten toimittamissa tiedoissa oleviin puutteisiin ja finanssiyhteisön rajallisiin mahdollisuuksiin saada tietoja kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia TVT-palveluja tarjoavilta TVT-alihankkijoilta. Jos TVT-palvelujen tarjoaminen finanssiyhteisöille riippuu mahdollisesti pitkästä tai monimutkaisesta TVT-alihankkijoiden ketjusta, on olennaisen tärkeää, että finanssiyhteisöt yksilöivät kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja tarjoavien alihankkijoiden koko ketjun.

(2)

Kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja tarjoavien alihankkijoiden osalta finanssiyhteisöjen olisi keskityttävä erityisesti ja jatkuvasti niihin alihankkijoihin, jotka käytännössä hoitavat kriittisiä tai tärkeitä toimintoja tukevaa TVT-palvelua, mukaan lukien kaikki alihankkijat, jotka tarjoavat sellaisia TVT-palveluja, joiden keskeytyminen heikentäisi asetuksen (EU) 2022/2554 28 artiklan 3 kohdassa tarkoitetussa tietorekisterissä mainitun palvelun turvallisuutta tai jatkuvuutta.

(3)

Finanssiyhteisöjen koko, rakenne, sisäinen organisaatio sekä niiden toiminnan luonne ja monitahoisuus vaihtelevat suuresti. Oikeasuhteisuuden varmistamiseksi tämä monimuotoisuus olisi otettava huomioon täsmennettäessä, mitkä tekijät finanssiyhteisön olisi määritettävä ja arvioitava, kun se teettää kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja alihankintana.

(4)

Vaikka finanssiyhteisöt sallisivat TVT-palveluntarjoajana olevien kolmansien osapuolten teettää kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja alihankintana asetuksen (EU) 2022/2554 30 artiklan 2 kohdan mukaisesti, finanssiyhteisöjen ylimmät hallintoelimet ovat viime kädessä vastuussa riskien hallinnasta sekä lainsäädäntö- ja sääntelyvelvoitteiden noudattamisesta. Jos finanssiyhteisöt sallivat kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen alihankinnan, on tärkeää, että niillä on selkeä ja kokonaisvaltainen näkemys alihankintana tehtäviin kriittisiä tai tärkeitä toimintoja tukeviin palveluihin liittyvistä riskeistä, jotta ne pystyvät seuraamaan, hallitsemaan ja lieventämään kyseisiä riskejä. Sen vuoksi niiden olisi arvioitava nämä riskit ennen kyseisten palvelujen teettämistä alihankintana.

(5)

Konsernin sisäisiä TVT-alihankkijoita, jotka tarjoavat kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia TVT-palveluja, mukaan lukien konsernin sisäiset TVT-alihankkijat, jotka ovat kokonaan tai kollektiivisesti samaan laitosten suojajärjestelmään kuuluvien finanssiyhteisöjen omistuksessa, olisi pidettävä TVT-alihankkijoina.

(6)

Konsernien tapauksessa finanssiyhteisöjen emoyrityksen olisi varmistettava, että kriittisiä tai tärkeitä toimintoja tai niiden olennaista osaa tukevia TVT-palveluja tarjoavien TVT-alihankkijoiden käyttöä koskevia toimintaperiaatteita sovelletaan johdonmukaisesti konsernin sisällä.

(7)

On tärkeää varmistaa, että riskejä, joita voi syntyä, kun kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja teetetään alihankintana, hallitaan kattavasti. Tästä syystä finanssiyhteisöjen olisi noudatettava kyseisiä toimintoja tukevien, TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä koskevan sopimusjärjestelyn elinkaaren vaiheita, myös alihankintajärjestelyjen osalta. Sen vuoksi on tarpeen vahvistaa finanssiyhteisöjä koskevat vaatimukset, jotka niiden olisi otettava huomioon TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tekemissään sopimusjärjestelyissä, jos kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen teettäminen alihankintana on sallittua.

(8)

Alihankintaan liittyvien riskien lieventämiseksi on tarpeen täsmentää ehdot, joiden täyttyessä TVT-palveluntarjoajana olevat kolmannet osapuolet voivat käyttää alihankkijoita kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen tarjoamiseen. Tätä varten finanssiyhteisöjen ja TVT-palveluntarjoajana olevien kolmansien osapuolten välisissä TVT-sopimusjärjestelyissä olisi vahvistettava tällaiset ehdot, mukaan lukien alihankintajärjestelyjen suunnittelu, riskinarvioinnit, huolellisuusvelvoite ja prosessi, jolla hyväksytään kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia TVT-palveluja koskevat uudet TVT-alihankintajärjestelyt tai muutokset, joita TVT-palveluntarjoajana oleva kolmas osapuoli tekee voimassa oleviin järjestelyihin.

(9)

Jotta voidaan tunnistaa mahdolliset riskit ennen kuin finanssiyhteisö tekee järjestelyn TVT-alihankkijan kanssa, TVT-palveluntarjoajana olevien kolmansien osapuolten olisi niiden TVT-sopimusjärjestelyjen perusteella, jotka TVT-palveluntarjoajana oleva kolmas osapuoli on tehnyt finanssiyhteisön kanssa, arvioitava mahdollisten alihankkijoiden soveltuvuus asianmukaisella ja oikeasuhteisella tavalla. Sen vuoksi kyseisissä TVT-sopimusjärjestelyissä olisi edellytettävä, että TVT-palveluntarjoajana oleva kolmas osapuoli tai tapauksen mukaan finanssiyhteisö arvioi mahdollisen alihankkijan resurssit, mukaan lukien sen asiantuntemuksen ja sen, onko sillä asianmukaiset taloudelliset, tekniset ja henkilöresurssit, sen tietoturvan tason ja organisaatiorakenteen sekä riskinhallinnan ja sisäisen valvonnan, jotka sillä olisi oltava käytössä.

(10)

Jotta finanssiyhteisöt voivat lieventää haavoittuvuuksia ja uhkia, jotka saattavat aiheuttaa riskejä niiden TVT-järjestelmille ja -operaatioille, finanssiyhteisöjen olisi voitava seurata TVT-palvelun suorituskykyä ja saatava tietoa kaikista merkityksellisistä muutoksista TVT-alihankintaketjussaan, jos tällaiset muutokset koskevat kriittisiä tai tärkeitä toimintoja.

(11)

Jotta finanssiyhteisöt voivat arvioida alihankintajärjestelyihin tai niiden olennaisiin muutoksiin liittyviä riskejä, TVT-palveluntarjoajana olevien kolmansien osapuolten olisi ilmoitettava finanssiyhteisöille, joille ne tarjoavat TVT-palveluja, kaikista tällaisista uusista järjestelyistä tai muutoksista hyvissä ajoin ennen kuin niitä aletaan soveltaa. Samasta syystä finanssiyhteisöillä olisi oltava oikeus irtisanoa TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tehty sopimus, jos niiden riskinarvioinnin tulos osoittaa, että uusien järjestelyjen tai olennaisten muutosten riskitaso ylittää finanssiyhteisön riskinsietokyvyn.

(12)

Euroopan valvontaviranomaiset ovat järjestäneet avoimen julkisen kuulemisen tämän asetuksen perustana olevista teknisten sääntelystandardien luonnoksista, analysoineet niihin mahdollisesti liittyviä kustannuksia ja hyötyjä sekä pyytäneet lausunnon Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1093/2010 (2) 37 artiklan, Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1094/2010 (3) 37 artiklan ja Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1095/2010 (4) 37 artiklan mukaisesti perustetuilta Euroopan valvontaviranomaisten osallisryhmiltä.

(13)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (5) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausuntonsa 20 päivänä elokuuta 2024,