(EU) 2025/295Nařízení Komise v přenesené pravomoci (EU) 2025/295 ze dne 24. října 2024, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2022/2554, pokud jde o regulační technické normy týkající se harmonizace podmínek umožňujících provádění činností dohledu

a)

název právnické osoby;

b)

identifikační kód právnické osoby;

c)

jméno kontaktní osoby a kontaktní údaje kritického poskytovatele služeb IKT z řad třetích stran;

d)

zemi, kde má právnická osoba sídlo;

e)

popis podnikové struktury zahrnující alespoň informace o mateřské společnosti a dalších spřízněných podnicích poskytujících služby IKT finančním subjektům Unie. Tyto informace v příslušných případech zahrnují:

f)

odhad tržního podílu poskytovatele služeb IKT z řad třetích stran ve finančním sektoru Unie a odhad tržního podílu podle typu finančního subjektu podle čl. 2 odst. 1 nařízení (EU) 2022/2554 k roku podání žádosti o určení poskytovatele jakožto kritického a k roku předcházejícímu této žádosti;

g)

popis každé služby IKT poskytované finančním subjektům Unie, včetně:

h)

seznam finančních subjektů, které využívají služby IKT poskytované poskytovatelem služeb IKT z řad třetích stran, včetně následujících informací o každém z obsluhovaných finančních subjektů, jsou-li k dispozici:

i)

seznam kritických poskytovatelů služeb IKT z řad třetích stran uvedených v posledním dostupném seznamu těchto poskytovatelů zveřejněném evropskými orgány dohledu podle čl. 31 odst. 9 nařízení (EU) 2022/2554, kteří využívají služeb poskytovaných žadatelem, je-li k dispozici;

j)

vlastní posouzení, pokud jde o:

k)

informace o budoucí obchodní strategii v souvislosti s poskytováním služeb IKT a infrastruktury finančním subjektům v Unii, včetně jakýchkoli plánovaných změn ve struktuře skupiny nebo struktuře řízení, vstupu na nové trhy nebo provozování nových činností;

l)

určení subdodavatelů poskytovatele služeb IKT z řad třetích stran, kteří byli určeni za kritické poskytovatele služeb IKT z řad třetích stran;

m)

jakékoli další důvody, které jsou relevantní pro to, aby byl poskytovatel služeb IKT z řad třetích stran na základě své žádosti určen za kritického.

a)

informace o ujednáních a kopie smluvních dokumentů mezi:

b)

informace o organizační struktuře a struktuře skupiny kritického poskytovatele služeb IKT z řad třetích stran, včetně identifikace všech subjektů patřících do stejné skupiny, které přímo či nepřímo poskytují služby IKT finančním subjektům v Unii;

c)

informace o hlavních akcionářích, včetně jejich struktury a zeměpisného rozložení, kteréhokoli z následujících subjektů:

d)

informace o tržním podílu kritického poskytovatele služeb IKT z řad třetích stran podle druhu služeb na relevantních trzích, kde působí;

e)

informace o interních systémech správy a řízení kritického poskytovatele služeb IKT z řad třetích stran, včetně struktury s rozdělením odpovědnosti za řízení a pravidel odpovědnosti;

f)

zápisy z jednání řídícího orgánu a všech dalších příslušných interních výborů kritického poskytovatele služeb IKT z řad třetích stran, které se jakýmkoli způsobem týkají činností a rizik souvisejících se službami IKT třetích stran podporujícími funkce finančních subjektů v Unii;

g)

informace o bezpečnosti IKT kritického poskytovatele služeb IKT z řad třetích stran, včetně příslušných strategií, cílů, politik, postupů, protokolů, procesů, kontrolních opatření na ochranu citlivých údajů, kontrol přístupu, postupů šifrování, plánů reakce na incidenty a informací o dodržování všech příslušných předpisů a případně vnitrostátních a mezinárodních norem;

h)

informace o technických a organizačních opatřeních k zajištění ochrany a důvěrnosti údajů včetně osobních a jiných než osobních údajů, zavedených kontrolních opatřeních na ochranu citlivých údajů, kontrolách přístupu, postupech šifrování a plánu reakce na narušení bezpečnosti údajů; pokud se na poskytovatele služeb IKT z řad třetích stran v souvislosti se zpracováním osobních údajů vztahují právní předpisy třetích zemí, včetně žádosti o přístup vlády třetí země, pak také seznam těchto zemí a příslušných právních předpisů;

i)

informace o mechanismech, které kritický poskytovatel služeb IKT z řad třetích stran nabízí finančním subjektům Unie pro přenositelnost dat a přenositelnost a interoperabilitu aplikací;

j)

informace o umístění datových center a výrobních středisek IKT používaných pro účely poskytování služeb finančním subjektům, včetně seznamu všech příslušných prostor a zařízení kritického poskytovatele služeb IKT z řad třetích stran, a to i mimo Unii;

k)

informace o poskytování služeb kritickým poskytovatelem služeb IKT z řad třetích stran ze třetí země, včetně informací o příslušných právních předpisech, které se vztahují na osobní a jiné než osobní údaje zpracovávané poskytovatelem služeb IKT z řad třetích stran;

l)

informace o opatřeních přijatých k řešení rizik vyplývajících z poskytování služeb IKT kritickým poskytovatelem služeb IKT z řad třetích stran a jeho subdodavateli ze třetích zemí;

m)

informace o rámci pro řízení rizik a o rámci pro řízení incidentů, včetně politik, postupů, nástrojů, mechanismů a systémů správy a řízení kritického poskytovatele služeb IKT z řad třetích stran a jeho subdodavatelů, včetně seznamu a popisu významných incidentů s přímým nebo nepřímým dopadem na finanční subjekty v Unii, včetně příslušných podrobností pro určení významu incidentu pro finanční subjekty a posouzení možných přeshraničních dopadů;

n)

informace o rámci pro řízení změn, včetně politik, postupů a kontrolních mechanismů kritického poskytovatele služeb IKT z řad třetích stran a jeho subdodavatelů;

o)

informace o celkovém rámci pro reakci a obnovu kritického poskytovatele služeb IKT z řad třetích stran, včetně plánů zachování provozu a souvisejících opatření a postupů, politiky životního cyklu vývoje softwaru, plánů reakce a obnovy a souvisejících opatření a postupů a opatření a postupů pro zálohování;

p)

informace o sledování výkonnosti, monitorování bezpečnosti a sledování incidentů, jakož i informace o mechanismech podávání zpráv týkajících se kvality služeb, incidentů a dodržování sjednaných dohod o úrovni služeb (SLA) a cílů týkajících se úrovně služeb (SLO) nebo podobných ujednání mezi kritickými poskytovateli služeb IKT z řad třetích stran a finančními subjekty v Unii;

q)

informace o rámci pro řízení IKT z řad třetích stran, který uplatňuje kritický poskytovatel služeb IKT z řad třetích stran, včetně strategií, politik, postupů, procesů a kontrolních mechanismů, včetně podrobností o uplatňování náležité péče a posouzení rizik, které kritický poskytovatel služeb IKT z řad třetích stran provedl u svých subdodavatelů před uzavřením smlouvy s nimi, a o sledování jejich spolupráce se zohledněním všech relevantních rizik týkajících se IKT a protistrany;

r)

výpisy z monitorovacích a skenovacích systémů kritického poskytovatele služeb IKT z řad třetích stran a jeho subdodavatelů, zahrnující mimo jiné monitorování sítě, monitorování serverů, monitorování aplikací, monitorování zabezpečení, skenování zranitelností, správu protokolů, monitorování výkonu, řízení incidentů a měření s ohledem na cíle spolehlivosti, jako jsou SLO;

s)

výpisy z jakéhokoli produkčního, předprodukčního a testovacího systému nebo aplikace, které používá kritický poskytovatel služeb IKT z řad třetích stran a jeho subdodavatelé k přímému nebo nepřímému poskytování služeb finančním subjektům v Unii;

t)

zprávy o dodržování předpisů a dostupné zprávy o auditu, jakož i veškerá příslušná zjištění auditu, včetně auditů provedených vnitrostátními orgány v Unii a mimo Unii, pokud dohody o spolupráci s příslušnými orgány takovou výměnu informací umožňují, nebo osvědčení, kterých dosáhl kritický poskytovatel služeb IKT z řad třetích stran nebo jeho subdodavatelé, včetně zpráv interních a externích auditorů, osvědčení nebo posouzení souladu s odvětvovými normami. Patří sem informace o jakémkoli typu dostupného nezávislého testování odolnosti systémů IKT kritického poskytovatele služeb IKT z řad třetích stran, včetně jakéhokoli typu penetračního testování na základě hrozeb, které poskytovatel služeb IKT z řad třetích stran provedl;

u)

informace o všech hodnoceních provedených kritickým poskytovatelem služeb IKT z řad třetích stran, na jeho žádost nebo jeho jménem, která hodnotí vhodnost a bezúhonnost osob zastávajících klíčové pozice u kritického poskytovatele služeb IKT z řad třetích stran;

v)

informace o jakémkoli plánu nápravných opatření k řešení doporučení podle článku 3 a příslušné související informace, které potvrzují, že náprava byla provedena;

w)

informace o dostupných programech školení zaměstnanců a programech zvyšování povědomí o bezpečnosti, včetně případných informací o investicích, zdrojích a metodách kritického poskytovatele služeb IKT z řad třetích stran, pokud jde o školení jeho zaměstnanců v oblasti nakládání s citlivými finančními údaji a udržování vysoké úrovně bezpečnosti;

x)

informace o činnostech kritického poskytovatele služeb IKT z řad třetích stran a finanční výkazy, včetně informací o rozpočtu a zdrojích souvisejících s IKT a bezpečností.

a)

průběžné zprávy o pokroku a související podpůrné dokumenty, v nichž je uveden pokrok při provádění opatření a kroků uvedených ve zprávě, kterou kritický poskytovatel služeb IKT z řad třetích stran poskytl hlavnímu orgánu dohledu v časovém rámci stanoveném hlavním orgánem dohledu;

b)

závěrečné zprávy a související podpůrné dokumenty, v nichž jsou uvedena opatření, která byla přijata, nebo nápravná opatření, která kritický poskytovatel služeb IKT z řad třetích stran provedl za účelem zmírnění rizik uvedených v obdržených doporučeních.

a)

dodržují strukturu uvedenou hlavním orgánem dohledu v jeho žádosti o informace;

b)

jasně určí, kde se příslušná informace v předložené dokumentaci nachází.

a)

přiměřenost a soudržnost opravných a nápravných opatření zavedených finančními subjekty ke zmírnění rizik uvedených v doporučeních;

b)

posouzení provedené hlavním orgánem dohledu ohledně dodržování opatření a kroků obsažených ve zprávě ze strany kritického poskytovatele služeb IKT z řad třetích stran, pokud má dopad na expozici finančních subjektů v jeho působnosti rizikům uvedeným v doporučeních;

c)

stanovisko všech ostatních příslušných orgánů, které byly konzultovány v souladu s čl. 42 odst. 5 nařízení (EU) 2022/2554;

d)

to, zda hlavní orgán dohledu považoval opatření a nápravná opatření zavedená kritickým poskytovatelem služeb IKT z řad třetích stran za přiměřená ke zmírnění expozice finančních subjektů v jeho působnosti rizikům uvedeným v doporučeních.