ДЕЛЕГИРАН РЕГЛАМЕНТ (ЕС) 2025/532 НА КОМИСИЯТА от 24 март 2025 година за допълнение на Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета с регулаторни технически стандарти, с които се уточняват елементите, които финансовият субект трябва да определи и оцени при възлагането на подизпълнител на услуги в областта на ИКТ, поддържащи критични или важни функции (текст от значение за ЕИП)

(1)

Предоставянето на финансовите субекти на услуги в областта на ИКТ често се извършва чрез сложна верига от външни изпълнители в областта на ИКТ, като третите страни доставчици на услуги в областта на ИКТ сключват едно или повече споразумения за подизпълнение с други трети страни доставчици на услуги в областта на ИКТ. Косвената зависимост от такива подизпълнители може да възпрепятства финансовите субекти да установяват, оценяват и управляват своите рискове, в т.ч. породените от пропуски в предоставяната им от третите страни доставчици на услуги в областта на ИКТ информация, както и да получават информация от подизпълнителите, чиито предоставяни услуги в областта на ИКТ поддържат техни критични или важни функции или съществена част от тези функции. Следователно, предвид факта, че предоставяните им услуги в областта на ИКТ могат да следват дълга или сложна верига от подизпълнители, за финансовите субекти е изключително важно да знаят кои по веригата са подизпълнителите, чиито предоставяни услуги в областта на ИКТ поддържат техни критични или важни функции.

(2)

Сред въпросните подизпълнители финансовите субекти следва да обръщат, при това неотклонно, специално внимание на тези, на които е възложена грижата за реалното функциониране на въпросните услуги, като тук спадат подизпълнителите, предоставящи услуги в областта на ИКТ, чието прекъсване би се отразило на сигурността или непрекъснатостта на услугата, въведена в информационния регистър по член 28, параграф 3 от Регламент (ЕС) 2022/2554.

(3)

Финансовите субекти се различават значително по размера, структурата, вътрешната си организация и естеството и сложността на дейността си. Изискванията във връзка с елементите, които даден финансов субект следва да определи и оцени при възлагането на подизпълнител на услуги в областта на ИКТ, поддържащи негови критични или важни функции, следва да отчитат това разнообразие.

(4)

Фактът, че по силата на член 30, параграф 2 от Регламент (ЕС) 2022/2554 финансов субект е разрешил на трета страна доставчик на услуги в областта на ИКТ да възложи на подизпълнител доставянето на услуги в областта на ИКТ, поддържащи критични или важни функции на този финансов субект, не намалява крайната отговорност на управителните органи на последния да управляват съответните рискове и да спазват своите нормативни и наложени от регулаторните органи задължения. Когато възлагат на подизпълнител услуги в областта на ИКТ, поддържащи техни критични или важни функции, финансовите субекти трябва да имат ясна и цялостна представа за рисковете от такова възлагане, така че да могат да ги наблюдават, управляват и редуцират. Поради това те следва да оценяват тези рискове, преди да възлагат на подизпълнител съответните услуги.

(5)

Подизпълнителите доставчици на услуги в областта на ИКТ, поддържащи критични или важни функции на финансов субект или съществени части от тях, които принадлежат към групата на този финансов субект, в т.ч. когато са изцяло или колективно притежавани от финансови субекти, които са част от една и съща институционална защитна схема, следва да се смятат за подизпълнители доставчици на услуги в областта на ИКТ.

(6)

Когато е приложимо, дружеството майка на финансовите субекти в групата следва да прилага в рамките на групата последователна и еднородна политика на използване на подизпълнители доставчици на услуги в областта на ИКТ, поддържащи критични или важни функции на финансовите субекти или съществена част от тези функции.

(7)

Важно е потенциалните рискове от възлагането на подизпълнител на услуги в областта на ИКТ, поддържащи критични или важни функции, да се управляват всеобхватно. Това означава, че когато сключват с трета страна доставчик на услуги в областта на ИКТ договор, в т.ч. за подизпълнение, за услуги в областта на ИКТ, поддържащи тези функции, финансовите субекти трябва да следват етапите на жизнения цикъл на договорите. Поради това, в случаите, когато имат право да възлагат на подизпълнител услуги в областта на ИКТ, поддържащи техни критични или важни функции, финансовите субекти следва да спазват определени изисквания, които да бъдат отразени в договорите им с третите страни доставчици на услуги в областта на ИКТ.

(8)

С цел да се редуцират рисковете от използването на подизпълнители е необходимо да се определи при какви условия трета страна доставчик на услуги в областта на ИКТ може да прибегне до подизпълнител за предоставянето на услуги в областта на ИКТ, поддържащи критични или важни функции на финансов субект. За тази цел, в договора за услуги в областта на ИКТ между финансов субект и трета страна доставчик на услуги в областта на ИКТ следва да се съдържат клаузи относно, например, планирането на договорите за подизпълнение, оценките на риска, надлежната проверка, одобряването на сключването, от третата страна доставчик на услуги в областта на ИКТ, на нов договор за подизпълнение за услуги в областта на ИКТ, поддържащи критични или важни функции или съществени части от тях, или на внасянето от него на съществени изменения в действащ такъв договор.

(9)

С цел да се установят потенциалните рискове преди финансовият субект да сключи договор с подизпълнител в областта на ИКТ, третата страна доставчик на услуги в областта на ИКТ следва, въз основа на сключения с този финансов субект договор, да оцени по подходящ и целесъобразен начин пригодността на всеки потенциален подизпълнител. Поради това, в тези договори за услуги в областта на ИКТ, от третата страна доставчик на услуги в областта на ИКТ или пряко – от финансовия субект, според случая, следва да се изиска да оцени доколко потенциалният подизпълнител притежава необходимите ресурси, в т.ч. съответните финансови, човешки и технически ресурси, експертен опит, информационна защитеност и организационна структура, в т.ч. управление на риска и вътрешни механизми за контрол.

(10)

С цел да се ограничат уязвимите аспекти и заплахите за използващите ИКТ системи и операции на финансовите субекти, последните следва да имат възможност да наблюдават как функционира услугата в областта на ИКТ и да бъдат уведомявани за всяка отнасяща се до тяхна критична или важна функция промяна в рамките на тяхната верига от подизпълнители доставчици на услуги в областта на ИКТ.

(11)

С цел да позволи на финансовия субект, на който предоставя услуги в областта на ИКТ, да оцени рисковете при договор за подизпълнение или при съществена промяна в такъв договор, третата страна доставчик на услуги в областта на ИКТ следва да го уведомява за всеки такъв нов договор или промяна в действащ договор дълго преди влизането им в сила. По същата причина финансов субект следва да има право да прекрати договора си с трета страна доставчик на услуги в областта на ИКТ, ако оценката му на риска покаже, че даден нов договор или дадена съществена промяна в действащ договор пораждат недопустим за него риск.

(12)

Европейските надзорни органи проведоха открита обществена консултация по проекта на регулаторни технически стандарти, въз основа на който е изготвен настоящият регламент, анализираха потенциалните разходи и ползи и поискаха становище от Групата на участниците на ЕНО, създадена с член 37 от Регламент (ЕС) № 1093/2010 на Европейския парламент и на Съвета (2), член 37 от Регламент (ЕС) № 1094/2010 на Европейския парламент и на Съвета (3) и член 37 от Регламент (ЕС) № 1095/2010 на Европейския парламент и на Съвета (4).

(13)

По силата на член 42, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (5) бе проведена консултация с Европейския надзорен орган по защита на данните, който предостави становището си на 20 август 2024 г.,