Kommissionens delegerade förordning (EU) 2025/532 av den 24 mars 2025 om komplettering av Europaparlamentets och rådets förordning (EU) 2022/2554 vad gäller tekniska tillsynsstandarder för att närmare specificera de delar som en finansiell entitet måste fastställa och bedöma när den lägger ut ITK-tjänster som stöder kritiska eller viktiga funktioner på underentreprenad

(1)

Tillhandahållandet av IKT-tjänster till finansiella entiteter är ofta beroende av en komplex kedja av IKT-underleverantörer, där tredjepartsleverantörer av IKT-tjänster kan ingå ett eller flera underentreprenadsavtal med andra tredjepartsleverantörer av IKT-tjänster. Ett indirekt beroende av IKT-underleverantörer kan påverka en finansiell entitets förmåga att identifiera, bedöma och hantera sina risker, inbegripet risker som beror på brister i den information som lämnas av tredjepartsleverantörer av IKT-tjänster och på en finansiell entitets begränsade förmåga att inhämta information från IKT-underleverantörer som tillhandahåller IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav. I fall där tillhandahållandet av IKT-tjänster till finansiella entiteter är beroende av en potentiellt lång eller komplex kedja av IKT-underleverantörer är det därför viktigt att finansiella entiteter identifierar hela kedjan av underleverantörer som tillhandahåller IKT-tjänster som stöder kritiska eller viktiga funktioner.

(2)

När det gäller underleverantörer som tillhandahåller IKT-tjänster som stöder kritiska eller viktiga funktioner bör finansiella entiteter specifikt och kontinuerligt fokusera på underleverantörer som är helt nödvändiga för de IKT-tjänster som stöder kritiska eller viktiga funktioner, vilket innefattar alla underleverantörer av IKT-tjänster som om de avbryts försämrar säkerheten eller kontinuiteten hos den tjänst som fastställs i det register med information som avses i artikel 28.3 i förordning (EU) 2022/2554.

(3)

Finansiella entiteter varierar avsevärt i fråga om storlek, struktur och intern organisation och när det gäller verksamhetens karaktär och komplexitet. För att säkerställa proportionalitet bör dessa olikheter beaktas när det specificeras vilka delar en finansiell entitet bör fastställa och bedöma när den lägger ut IKT-tjänster som stöder kritiska eller viktiga funktioner på underleverantörer.

(4)

Om finansiella entiteter ger tredjepartsleverantörer av IKT-tjänster tillstånd att i enlighet med artikel 30.2 i förordning (EU) 2022/2554 lägga ut IKT-tjänster som stöder kritiska eller viktiga funktioner på underentreprenad är det likväl de finansiella entiteternas ledningsorgan som är ytterst ansvariga för att hantera sina risker och fullgöra sina skyldigheter enligt lagar och andra författningar. I fall där utläggning av IKT-tjänster som stöder kritiska eller viktiga funktioner på underentreprenad tillåts är det viktigt att de finansiella entiteterna har en tydlig och heltäckande bild av de risker som är förknippade med utläggning av tjänster som stöder kritiska eller viktiga funktioner på underentreprenad, så att de kan övervaka, hantera och minska dessa risker. De bör därför göra en bedömning av dessa risker innan tjänsterna läggs ut på underentreprenad.

(5)

Koncerninterna underleverantörer av IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, inbegripet koncerninterna underleverantörer som ägs helt eller gemensamt av finansiella entiteter som tillhör samma institutionella skyddssystem, bör betraktas som IKT-underleverantörer.

(6)

När det gäller koncerner bör de finansiella entiteternas moderföretag i tillämpliga fall säkerställa att riktlinjerna för anlitande av IKT-underleverantörer som tillhandahåller IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, tillämpas på ett konsekvent och sammanhållet sätt inom koncernen.

(7)

Det är viktigt att säkerställa en heltäckande hantering av de risker som kan uppstå när IKT-tjänster som stöder kritiska eller viktiga funktioner läggs ut på underentreprenad. Finansiella entiteter bör därför följa stegen i livscykeln för kontraktsmässiga arrangemang avseende användning av IKT-tjänster som stöder dessa funktioner och som tillhandahålls av tredjepartsleverantörer av IKT-tjänster, inbegripet för underentreprenadsavtal. Det är därför nödvändigt att fastställa krav för finansiella entiteter som bör återspeglas i deras kontraktsmässiga arrangemang med tredjepartsleverantörer av IKT-tjänster i fall där utläggning av IKT-tjänster som stöder kritiska eller viktiga funktioner på underentreprenad tillåts.

(8)

För att minska de risker som är förknippade med utläggning på underentreprenad är det nödvändigt att närmare ange på vilka villkor tredjepartsleverantörer av IKT-tjänster får anlita underleverantörer för att tillhandahålla IKT-tjänster som stöder kritiska eller viktiga funktioner. Kontraktsmässiga arrangemang avseende IKT-tjänster mellan finansiella entiteter och tredjepartsleverantörer av IKT-tjänster bör därför innehålla sådana villkor, till exempel om planer på underentreprenad, riskbedömningar, due diligence-granskning och godkännandeprocess för nya underentreprenadsavtal avseende IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, eller väsentliga ändringar av befintliga underentreprenadsavtal som görs av tredjepartsleverantören av IKT-tjänster.

(9)

För att, innan en finansiell entitet ingår ett avtal med en IKT-underleverantör, identifiera vilka risker som kan uppstå bör tredjepartsleverantörer av IKT-tjänster göra en lämplig och proportionell bedömning av lämpligheten hos potentiella underleverantörer på grundval av de kontraktsmässiga arrangemang om IKT-tjänster som tredjepartsleverantören av IKT-tjänster har ingått med den finansiella entiteten. Enligt dessa kontraktsmässiga arrangemang avseende IKT-tjänster bör därför tredjepartsleverantören av IKT-tjänster eller den finansiella entiteten själv, beroende på vad som är lämpligt, vara skyldig att bedöma den potentiella underleverantörens resurser, inbegripet dess sakkunskap och om den har lämpliga ekonomiska, mänskliga och tekniska resurser, dess informationssäkerhet och organisationsstruktur, samt den riskhantering och de interna kontroller som underleverantören bör ha infört.

(10)

För att minska eventuella sårbarheter och hot som kan utgöra en risk för deras IKT-system och IKT-verksamhet bör finansiella entiteter kunna övervaka utförandet av IKT-tjänsten och informeras om alla relevanta förändringar inom IKT-underleverantörskedjan som rör kritiska eller viktiga funktioner.

(11)

För att göra det möjligt för finansiella entiteter att bedöma de risker som är förknippade med underentreprenadsavtal, eller väsentliga ändringar av dessa, bör tredjepartsleverantörer av IKT-tjänster informera finansiella entiteter som de tillhandahåller IKT-tjänster om alla nya avtal, eller ändringar av avtal, i god tid innan sådana avtal eller ändringar träder i kraft. Finansiella entiteter bör av samma skäl ha rätt att säga upp avtalet med tredjepartsleverantören av IKT-tjänster om deras riskbedömning visar att nya avtal eller väsentliga ändringar medför en risknivå som överstiger deras risktolerans.

(12)

De europeiska tillsynsmyndigheterna har genomfört öppna offentliga samråd om det förslag till tekniska tillsynsstandarder som denna förordning grundar sig på, analyserat de potentiella kostnaderna och fördelarna därav och begärt råd från de europeiska tillsynsmyndigheternas respektive intressentgrupper som inrättats i enlighet med artikel 37 i Europaparlamentets och rådets förordning (EU) nr 1093/2010 (2), artikel 37 i Europaparlamentets och rådets förordning (EU) nr 1094/2010 (3) och artikel 37 i Europaparlamentets och rådets förordning (EU) nr 1095/2010 (4).

(13)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (5) och avgav ett yttrande den 20 augusti 2024.

a)

Typen av IKT-tjänster som stöder kritiska eller viktiga funktioner som omfattas av det kontraktsmässiga arrangemanget mellan den finansiella entiteten och tredjepartsleverantören av IKT-tjänster.

b)

Typen av IKT-tjänster som omfattas av det kontraktsmässiga arrangemanget mellan tredjepartsleverantören av IKT-tjänster och dennes underleverantörer.

c)

Platsen för den IKT-underleverantör som tillhandahåller IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, eller för dess moderföretag.

d)

Längden och komplexiteten hos den kedja av underleverantörer som tillhandahåller IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, och som anlitas av tredjepartsleverantören av IKT-tjänster.

e)

Beskaffenheten hos de uppgifter som delas med IKT-underleverantörer som tillhandahåller IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav.

f)

Huruvida de IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, tillhandahålls av underleverantörer som är belägna i en medlemsstat eller i ett tredjeland, inbegripet den plats från vilken IKT-tjänsterna faktiskt tillhandahålls och den plats där uppgifterna i praktiken behandlas och lagras.

g)

Huruvida de IKT-underleverantörer som tillhandahåller IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, tillhör samma koncern som den finansiella entitet till vilken dessa tjänster tillhandahålls.

h)

Huruvida de IKT-underleverantörer som tillhandahåller IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, är auktoriserade, registrerade eller föremål för tillsyn eller övervakning av en behörig myndighet i en medlemsstat, eller omfattas av tillsynsramen enligt kapitel V avsnitt II i förordning (EU) 2022/2554.

i)

Huruvida de tredjepartsleverantörer av IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, är auktoriserade, registrerade eller föremål för tillsyn eller övervakning av en tillsynsmyndighet i ett tredjeland.

j)

Huruvida tillhandahållandet av IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, är koncentrerat till en enda underleverantör som anlitas av en tredjepartsleverantör av IKT-tjänster eller till ett litet antal sådana underleverantörer.

k)

Huruvida utläggning av IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, på underentreprenad skulle påverka möjligheten att överföra dessa IKT-tjänster till en annan tredjepartsleverantör av IKT-tjänster.

l)

Den potentiella inverkan av störningar på kontinuiteten och tillgången till de IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, som tillhandahålls av tredjepartsleverantören av IKT-tjänster när en underleverantör som tillhandahåller IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, anlitas.

a)

Den finansiella entiteten har invänt mot väsentliga ändringar av underentreprenadsavtalet om IKT-tjänster som stöder kritiska eller viktiga funktioner och begärt att de ska anpassas, men tredjepartsleverantören av IKT-tjänster har likväl genomfört dessa väsentliga ändringar.

b)

Tredjepartsleverantören av IKT-tjänster har före svarsfristens utgång genomfört väsentliga ändringar av underentreprenadsavtal om IKT-tjänster som stöder kritiska eller viktiga funktioner, eller väsentliga delar därav, utan att den finansiella entitetens lämnat sitt godkännande.

c)

Tredjepartsleverantören av IKT-tjänster har lagt ut en IKT-tjänst som stöder en kritisk eller viktig funktion, eller väsentliga delar därav, på underentreprenad, trots att det inte uttryckligen anges i avtalet att denna tjänst får läggas ut på underentreprenad mellan den finansiella entiteten och tredjepartsleverantören av IKT-tjänster.