Preamble: 1

(1)

Okvir za digitalno operativno odpornost za finančni sektor, vzpostavljen z Uredbo (EU) 2022/2554, zahteva, da finančni subjekti določijo nekatera ključna načela za obvladovanje tveganja tretjih oseb na področju IKT, ki so zlasti pomembna, kadar finančni subjekti za podporo pri svojih kritičnih ali pomembnih funkcijah sodelujejo s tretjimi ponudniki storitev IKT.

(2)

Finančni subjekti morajo kot del svojega okvira za obvladovanje tveganj na področju IKT sprejeti in redno pregledovati strategijo o tveganjih tretjih oseb na področju IKT. V skladu s členom 28(2) Uredbe (EU) 2022/2554 navedena strategija vključuje politiko o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije in ki jih zagotavljajo tretji ponudniki storitev IKT. Uporablja se na posamični ter, kadar je ustrezno, na subkonsolidirani in konsolidirani podlagi.

(3)

Finančni subjekti se zelo razlikujejo po velikosti, strukturi in notranji organizaciji ter po naravi in kompleksnosti svojih dejavnosti in poslovanja. Pri oblikovanju politike v zvezi s pogodbenimi dogovori o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, s strani tretjih ponudnikov IKT (v nadaljnjem besedilu: politika), je treba upoštevati to raznolikost, hkrati pa uvesti nekatere temeljne regulativne zahteve, ki so primerne za vse finančne subjekte, in zagotoviti, da se te zahteve uporabljajo sorazmerno.

(4)

Kadar finančni subjekti pripadajo skupini, bi moralo obvladujoče podjetje, ki je odgovorno za zagotavljanje konsolidiranih ali subkonsolidiranih računovodskih izkazov za skupino, zagotoviti, da se politika v skupini uporablja dosledno in skladno.

(5)

Pri uporabi politike bi bilo treba ponudnike storitev IKT znotraj skupine, vključno s tistimi, ki so v celoti ali skupno v lasti finančnih subjektov v okviru iste institucionalne sheme za zaščito vlog, šteti za tretje ponudnike storitev IKT. Tveganja, ki jih predstavljajo ponudniki storitev IKT znotraj skupine, so lahko različna, vendar so zahteve, ki se zanje uporabljajo, v skladu z Uredbo (EU) 2022/2554 enake. Podobno bi se morala politika uporabljati tudi za podizvajalce, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, za tretje ponudnike storitev IKT, kadar obstaja veriga tretjih ponudnikov storitev IKT.

(6)

Končna odgovornost upravljalnega organa pri obvladovanju tveganja finančnega subjekta na področju IKT je splošno načelo, ki se uporablja tudi v zvezi z uporabo tretjih ponudnikov storitev IKT. To odgovornost bi bilo treba nadalje prenesti v stalno sodelovanje upravljalnega organa pri nadzoru in spremljanju obvladovanja tveganj na področju IKT, vključno s sprejetjem in pregledom politike vsaj enkrat letno.

(7)

Za zagotovitev ustreznega poročanja upravljalnemu organu bi bilo treba v politiki jasno določiti in opredeliti notranje odgovornosti za odobritev, upravljanje, nadzor in dokumentiranje pogodbenih dogovorov o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije in ki jih zagotavljajo tretji ponudniki storitev IKT (v nadaljnjem besedilu: pogodbeni dogovori), vključno s storitvami IKT, ki se zagotavljajo na podlagi pogodbenih dogovorov iz člena 28(1), točka (a), Uredbe (EU) 2022/2554.

(8)

Da bi se upoštevala vsa možna tveganja, ki se lahko pojavijo pri sklepanju pogodb za storitve IKT, ki podpirajo kritično ali pomembno funkcijo, bi morala struktura politike za pogodbene dogovore s tretjimi ponudniki slediti vsem korakom vsake glavne faze življenjskega cikla.

(9)

Za zmanjšanje identificiranih tveganj bi bilo treba v politiki določiti načrtovanje pogodbenih dogovorov, vključno z oceno tveganja, skrbnim pregledom in postopkom odobritve za nove ali pomembne spremembe teh pogodbenih dogovorov. Za obvladovanje tveganj, ki se lahko pojavijo pred sklenitvijo pogodbenega dogovora s tretjim ponudnikom storitev IKT, bi bilo treba v politiki določiti ustrezen in sorazmeren postopek za izbor in oceno primernosti potencialnih tretjih ponudnikov storitev IKT ter zahtevati, da finančni subjekt upošteva neizčrpen seznam elementov, ki bi jih morali imeti vzpostavljene tretji ponudniki storitev IKT. Seznam bi moral vključevati elemente, povezane s poslovnim ugledom ponudnikov storitev, njihovimi finančnimi, človeškimi in tehničnimi viri, informacijsko varnostjo, organizacijsko strukturo, vključno z obvladovanjem tveganj, in notranjimi kontrolami.

(10)

Za zagotovitev zanesljivega obvladovanja tveganja pri opravljanju storitev IKT, ki podpirajo kritične ali pomembne funkcije, s strani tretjih ponudnikov storitev IKT, bi morala politika vsebovati informacije o izvajanju, spremljanju in upravljanju pogodbenih dogovorov, tudi na konsolidirani in subkonsolidirani ravni, kadar je ustrezno. To vključuje zahteve za pogodbene klavzule o vzajemnih obveznostih finančnih subjektov in tretjih ponudnikov storitev IKT, ki bi morale biti pisno določene. Da bi zagotovili učinkovit nadzor in spodbudili odpornost v primeru sprememb poslovnega modela ali poslovnega okolja, bi morala politika finančnim subjektom ali imenovanim tretjim osebam in pristojnim organom zagotoviti pravice do inšpekcijskih pregledov in dostopa do informacij ter dodatno opredeliti izhodne strategije in postopke odpovedi.

(11)

Če osebne podatke obdelujejo tretji ponudniki storitev IKT, ta politika in pogodbeni dogovori ne posegajo v obveznosti iz Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta (2) in bi jih morali dopolnjevati, kot so sklenitev pisne pogodbe, ki opisuje obdelavo osebnih podatkov, zahteva po zagotavljanju varnosti obdelave osebnih podatkov in določitev vseh drugih elementov, ki se zahtevajo v skladu z navedeno uredbo.

(12)

Skupni odbor evropskih nadzornih organov iz člena 54 Uredbe (EU) št. 1093/2010 Evropskega parlamenta in Sveta (3), člena 54 Uredbe (EU) št. 1094/2010 Evropskega parlamenta in Sveta (4) ter člena 54 Uredbe (EU) št. 1095/2010 Evropskega parlamenta in Sveta (5) je organiziral odprta javna posvetovanja o osnutku regulativnih tehničnih standardov, na katerem temelji ta uredba, analiziral morebitne stroške in koristi predlaganih standardov ter zaprosil za nasvet interesno skupino za bančništvo, ustanovljeno v skladu s členom 37 Uredbe (EU) št. 1093/2010, interesno skupino za zavarovanja in pozavarovanja ter interesno skupino za poklicne pokojninske sklade, ustanovljeni v skladu s členom 37 Uredbe (EU) št. 1094/2010, ter interesno skupino za vrednostne papirje in trge, ustanovljeno v skladu s členom 37 Uredbe (EU) št. 1095/2010.

(13)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta (6) je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je mnenje podal 24. januarja 2024 –