GEDELEGEERDE VERORDENING (EU) 2024/1773 VAN DE COMMISSIE van 13 maart 2024 tot aanvulling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad betreffende technische reguleringsnormen tot bepaling van de gedetailleerde inhoud van het beleid met betrekking tot de contractuele overeenkomsten inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen (Voor de EER relevante tekst)

(1)

Het bij Verordening (EU) 2022/2554 vastgestelde kader voor digitale operationele weerbaarheid voor de financiële sector vereist dat financiële entiteiten bepaalde kernbeginselen vaststellen voor het beheer van ICT-risico’s van derden, die des te belangrijker zijn wanneer financiële entiteiten er ondersteuning van kritieke of belangrijke functies een beroep op derde aanbieders van ICT-diensten doen.

(2)

Financiële entiteiten moeten, als onderdeel van hun kader voor ICT-risicobeheer, een strategie inzake ICT-risico van derde aanbieders vaststellen en deze regelmatig herzien. Overeenkomstig artikel 28, lid 2, van Verordening (EU) 2022/2554 moet die strategie een beleid omvatten inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen. Zij moet van toepassing zijn op individuele basis en, in voorkomend geval, op gesubconsolideerde en geconsolideerde basis.

(3)

Financiële entiteiten lopen sterk uiteen in omvang, structuur en interne organisatie en in de aard en complexiteit van hun activiteiten en activiteiten. Bij de ontwikkeling van het beleid met betrekking tot de contractuele overeenkomsten inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen (“het beleid”) moet rekening worden gehouden met deze diversiteit maar moeten ook bepaalde fundamentele regelgevingsvereisten worden opgelegd die passend zijn voor alle financiële entiteiten, en moet ervoor worden gezorgd dat die vereisten op evenredige wijze worden toegepast.

(4)

Wanneer financiële entiteiten tot een groep behoren, moet de moederonderneming die verantwoordelijk is voor het verstrekken van de geconsolideerde of gesubconsolideerde financiële overzichten voor de groep er daarom voor zorgen dat het beleid binnen de groep op consistente en coherente wijze wordt toegepast.

(5)

Bij de toepassing van het beleid moeten aanbieders van ICT-diensten binnen een groep, met inbegrip van aanbieders van ICT-diensten die geheel of gedeeltelijk eigendom zijn van financiële entiteiten binnen hetzelfde institutionele protectiestelsel, worden beschouwd als derde aanbieders van ICT-diensten. De risico’s van aanbieders van ICT-diensten binnen een groep kunnen verschillen, maar de vereisten die op hen van toepassing zijn, zijn dezelfde uit hoofde van Verordening (EU) 2022/2554. Op soortgelijke wijze moet het beleid van toepassing zijn op subcontractanten die ICT-diensten verlenen ter ondersteuning van kritieke of belangrijke functies of materiële delen daarvan aan derde aanbieders van ICT-diensten, wanneer er een keten van derde aanbieders van ICT-diensten bestaat.

(6)

De uiteindelijke verantwoordelijkheid van het leidinggevend orgaan voor het beheer van het ICT-risico van een financiële entiteit is een overkoepelend beginsel dat ook van toepassing is op het gebruik van derde aanbieders van ICT-diensten. Deze verantwoordelijkheid moet verder worden vertaald een voortdurende betrokkenheid van het leidinggevend orgaan bij de controle van de monitoring van het ICT-risicobeheer, met inbegrip van de vaststelling en evaluatie, ten minste eenmaal per jaar, van het beleid.

(7)

Om een passende rapportage aan het leidinggevend orgaan te waarborgen, moeten in het beleid de interne verantwoordelijkheden voor de goedkeuring, het beheer, de controle en de documentatie van contractuele overeenkomsten inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen (“contractuele overeenkomsten”), met inbegrip van de ICT-diensten die worden verleend in het kader van contractuele overeenkomsten als bedoeld in artikel 28, lid 1, punt a), van Verordening (EU) 2022/2554, duidelijk worden gespecificeerd en geïdentificeerd.

(8)

Om rekening te houden met alle mogelijke risico’s die zich kunnen voordoen bij het sluiten van contracten voor ICT-diensten die kritieke of belangrijke functies ondersteunen, moet de structuur van het beleid alle stappen van elke hoofdfase van de levenscyclus volgen voor contractuele overeenkomsten met derde aanbieders.

(9)

Om de geconstateerde risico’s te mitigeren, moet het beleid de planning van contractuele overeenkomsten specificeren, met inbegrip van de risicobeoordeling, de zorgvuldigheid en het goedkeuringsproces voor nieuwe of materiële wijzigingen in die contractuele regelingen. Om de risico’s te beheren die zich kunnen voordoen voordat een contractuele overeenkomst met een derde aanbieder van ICT-diensten wordt gesloten, moet in het beleid een passend en evenredig proces worden gespecificeerd om potentiële derde aanbieders van ICT-diensten te selecteren en hun geschiktheid te beoordelen, en moet de financiële entiteit rekening houden met een niet-uitputtende lijst van elementen waarover de derde aanbieders van ICT-diensten moeten beschikken. De lijst moet elementen bevatten die verband houden met de zakelijke reputatie van de dienstverleners, hun financiële, personele en technische middelen, hun informatiebeveiliging, hun organisatiestructuur, met inbegrip van risicobeheer, en hun interne controles.

(10)

Om te zorgen voor een degelijk risicobeheer bij het verlenen van ICT-diensten ter ondersteuning van kritieke of belangrijke functies door derde aanbieders van ICT-diensten, moet het beleid informatie bevatten over de uitvoering en het beheer van en het toezicht op de contractuele overeenkomsten, in voorkomend geval ook op geconsolideerd en gesubconsolideerd niveau. Dit omvat vereisten voor de contractuele bepalingen inzake wederzijdse verplichtingen van de financiële entiteiten en de derde aanbieders van ICT-diensten, die schriftelijk moeten worden vastgelegd. Om efficiënt toezicht te waarborgen en weerbaarheid te bevorderen in geval van veranderingen in het bedrijfsmodel of het ondernemingsklimaat, moet het beleid het recht van financiële entiteiten of aangestelde derden en bevoegde autoriteiten op inspecties en toegang tot informatie waarborgen, en moet het ook de exitstrategieën en beëindigingsprocessen nader specificeren.

(11)

Voor zover persoonsgegevens door derde aanbieders van ICT-diensten worden verwerkt, doen dit beleid en eventuele contractuele overeenkomsten geen afbreuk aan en moeten zij een aanvulling vormen op de verplichtingen uit hoofde van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (2), zoals het beschikken over een schriftelijk contract waarin de verwerking van persoonsgegevens wordt beschreven, de verplichting om de beveiliging van de verwerking van persoonsgegevens te waarborgen en het vaststellen van alle andere elementen die uit hoofde van die verordening vereist zijn.

(12)

Het Gemengd Comité van de Europese toezichthoudende autoriteiten als bedoeld in artikel 54 van Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad (3), in artikel 54 van Verordening (EU) nr. 1094/2010 van het Europees Parlement en de Raad (4) en in artikel 54 van Verordening (EU) nr. 1095/2010 van het Europees Parlement en de Raad (5) heeft open publiek consultaties gehouden over de ontwerpen van technische reguleringsnormen waarop deze verordening is gebaseerd, heeft de mogelijke kosten en baten van die voorgestelde normen geanalyseerd en heeft het advies ingewonnen van de overeenkomstig artikel 37 van Verordening (EU) nr. 1093/2010 opgerichte Stakeholdergroep bankwezen, de overeenkomstig artikel 37 van Verordening (EU) nr. 1094/2010 opgerichte Stakeholdergroep verzekeringen en herverzekeringen en de overeenkomstig artikel 37 van Verordening (EU) nr. 1095/2010 opgerichte Stakeholdergroep effecten en markten.

(13)

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (6) en heeft op 24 januari 2024 een advies uitgebracht,