(EU) 2025/532Nařízení Komise v přenesené pravomoci (EU) 2025/532 ze dne 24. března 2025, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2022/2554, pokud jde o regulační technické normy upřesňující prvky, které musí finanční subjekt určit a posoudit při subdodávkách služeb IKT podporujících zásadní nebo důležité funkce

(1)

Poskytování služeb IKT finančním subjektům často závisí na složitém řetězci subdodavatelů IKT, přičemž poskytovatelé služeb IKT z řad třetích stran mohou uzavřít jedno nebo více ujednání o subdodávkách s jinými poskytovateli služeb IKT z řad třetích stran. Nepřímá závislost na subdodavatelích IKT může mít dopad na schopnost finančního subjektu identifikovat, posuzovat a řídit rizika, včetně rizik souvisejících s nedostatky v informacích poskytovaných poskytovateli služeb IKT z řad třetích stran a s omezenou schopností finančního subjektu získat informace od těch subdodavatelů IKT, kteří poskytují služby IKT podporující zásadní nebo důležité funkce nebo jejich podstatné součásti. Pokud poskytování služeb IKT finančním subjektům závisí na potenciálně dlouhém nebo složitém řetězci subdodavatelů IKT, je nezbytné, aby finanční subjekty identifikovaly celý řetězec subdodavatelů poskytujících služby IKT podporující zásadní nebo důležité funkce.

(2)

Mezi subdodavateli, kteří poskytují služby IKT podporující zásadní nebo důležité funkce, by se finanční subjekty měly zaměřovat, a to nepřetržitě, zejména na ty subdodavatele, kteří službu IKT podporující zásadní nebo důležité funkce fakticky zajišťují, včetně všech subdodavatelů poskytujících služby IKT, jejichž narušení by oslabilo bezpečnost nebo kontinuitu služby, podle registru informací uvedeného v čl. 28 odst. 3 nařízení (EU) 2022/2554.

(3)

Finanční subjekty se značně liší velikostí, strukturou, vnitřní organizací a také povahou a složitostí svých činností. Aby byla zajištěna přiměřenost, měla by být tato rozmanitost zohledněna v upřesnění, které prvky by měl finanční subjekt určit a posoudit při subdodávkách služeb IKT podporujících zásadní nebo důležité funkce.

(4)

Pokud to finanční subjekty povolí v souladu s čl. 30 odst. 2 nařízení (EU) 2022/2554, využívání subdodavatelských služeb IKT podporujících zásadní nebo důležité funkce poskytovateli služeb IKT z řad třetích stran nemůže snížit konečnou odpovědnost vedoucích orgánů finančních subjektů za řízení jejich rizik a za plnění jejich legislativních a regulačních povinností. Pokud jsou povoleny subdodávky služeb IKT podporujících zásadní nebo důležité funkce, je důležité, aby finanční subjekty měly jasný a ucelený přehled o rizicích, která jsou se subdodávkami služeb podporujících zásadní nebo důležité funkce spojena, aby byly schopny tato rizika sledovat, řídit a zmírňovat. Před zadáním uvedených služeb subdodavatelům by proto měly daná rizika posoudit.

(5)

Subdodavatelé IKT v rámci skupiny, kteří poskytují služby IKT podporující zásadní nebo důležité funkce nebo jejich podstatné součásti, včetně subdodavatelů IKT v rámci skupiny, kteří jsou v plném nebo společném vlastnictví finančních subjektů v rámci téhož institucionálního systému ochrany, by měli být považováni za subdodavatele IKT.

(6)

V příslušných případech, v kontextu skupiny, by měl mateřský podnik finančních subjektů zajistit, aby politika využívání subdodavatelů IKT poskytujících služby IKT podporující zásadní nebo důležité funkce nebo jejich podstatnou součást byla v rámci skupiny uplatňována jednotně a soudržně.

(7)

Je důležité zajistit komplexní řízení rizik, která mohou vyvstat v případech, kdy jsou služby IKT podporující zásadní nebo důležité funkce zadány subdodavatelům. Z tohoto důvodu by finanční subjekty měly sledovat kroky v rámci životního cyklu smluvních ujednání o využívání služeb IKT, které podporují uvedené funkce a jsou poskytovány poskytovateli služeb IKT z řad třetích stran, včetně ujednání o subdodávkách. Je proto nutné stanovit požadavky na finanční subjekty, které by měly být reflektovány v jejich smluvních ujednáních s poskytovateli služeb IKT z řad třetích stran tam, kde je povoleno využívání subdodavatelských služeb IKT podporujících zásadní nebo důležité funkce.

(8)

Aby se zmírnila rizika spojená se subdodávkami, je nutné upřesnit, za jakých podmínek mohou poskytovatelé služeb IKT z řad třetích stran využívat subdodavatele k poskytování služeb IKT podporujících zásadní nebo důležité funkce. Za tímto účelem by smluvní ujednání o IKT mezi finančními subjekty a poskytovateli služeb IKT z řad třetích stran měla takové podmínky stanovit, včetně plánování ujednání o subdodávkách, posuzování rizik, náležité péče a postupu schvalování nových ujednání o subdodávkách IKT, která se budou týkat služeb IKT podporujících zásadní nebo důležité funkce nebo jejich podstatné součásti, nebo podstatných změn stávajících ujednání, které bude provádět poskytovatel služeb IKT z řad třetích stran.

(9)

Aby byla před uzavřením ujednání mezi finančním subjektem a subdodavatelem IKT identifikována rizika, jež by mohla vyvstat, měli by poskytovatelé služeb IKT z řad třetích stran vhodným a přiměřeným způsobem posoudit vhodnost potenciálních subdodavatelů na základě smluvních ujednání o IKT, která poskytovatel služeb IKT z řad třetích stran uzavřel s finančním subjektem. Tato smluvní ujednání o IKT by proto měla vyžadovat, aby poskytovatel služeb IKT z řad třetích stran, nebo případně přímo finanční subjekt posoudil možnosti potenciálního subdodavatele, mimo jiné jeho odbornost, vybavenost patřičnými finančními, lidskými a technickými zdroji, zajištění bezpečnosti informací a organizační strukturu, včetně řízení rizik a interních kontrol, které by měl mít subdodavatel zavedené.

(10)

Ke zmírnění veškerých slabin a hrozeb, jež mohou představovat rizika pro systémy a operace IKT finančních subjektů, by finanční subjekty měly být schopny sledovat fungování služby IKT a měly by být informovány o veškerých relevantních změnách v rámci jejich subdodavatelského řetězce IKT, pokud se takové změny týkají zásadních nebo důležitých funkcí.

(11)

Aby mohly finanční subjekty posuzovat rizika spojená s ujednáními o subdodávkách nebo s jejich podstatnými změnami, měli by poskytovatelé služeb IKT z řad třetích stran finanční subjekty, kterým služby IKT poskytují, informovat o všech takových nových ujednáních nebo změnách v dostatečném předstihu před tím, než se daná ujednání nebo změny začnou uplatňovat. Z téhož důvodu by finanční subjekty měly mít právo ukončit smlouvu s poskytovatelem služeb IKT z řad třetích stran, pokud výsledek jejich posouzení rizik ukáže, že nová ujednání nebo podstatné změny s sebou nesou vyšší úroveň rizika, než jakou jsou ochotni podstupovat.

(12)

Evropské orgány dohledu uskutečnily k návrhu regulační technické normy, z níž toto nařízení vychází, otevřenou veřejnou konzultaci, analyzovaly potenciální související náklady a přínosy a požádaly o poradenství skupiny subjektů evropských orgánů dohledu zřízené podle článku 37 nařízení Evropského parlamentu a Rady (EU) č. 1093/2010 (2), článku 37 nařízení Evropského parlamentu a Rady (EU) č. 1094/2010 (3) a článku 37 nařízení Evropského parlamentu a Rady (EU) č. 1095/2010 (4).

(13)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (5) byl konzultován evropský inspektor ochrany údajů, který vydal stanovisko dne 20. srpna 2024,

a)

druhu služeb IKT podporujících zásadní nebo důležité funkce zahrnutých do smluvního ujednání mezi finančním subjektem a poskytovatelem služeb IKT z řad třetích stran;

b)

druhu služeb IKT zahrnutých do smluvního ujednání mezi poskytovatelem služeb IKT z řad třetích stran a jeho subdodavateli;

c)

místa usazení subdodavatele IKT, který poskytuje služby IKT podporující zásadní nebo důležité funkce nebo jejich podstatnou součást, nebo jeho mateřské společnosti;

d)

délky a složitosti řetězce subdodavatelů, kteří poskytují služby IKT podporující zásadní nebo důležité funkce nebo jejich podstatné součásti a které poskytovatel služeb IKT z řad třetích stran využívá;

e)

povahy údajů, které jsou sdíleny se subdodavateli IKT poskytujícími služby IKT podporující zásadní nebo důležité funkce nebo jejich podstatné součásti;

f)

toho, zda služby IKT podporující zásadní nebo důležité funkce nebo jejich podstatné součásti poskytují subdodavatelé usazení v členském státě, nebo ve třetí zemi, přičemž se přihlíží také k místu, odkud jsou služby IKT skutečně poskytovány, a místu, kde jsou zpracovávány a uchovávány údaje;

g)

toho, zda subdodavatelé IKT, kteří poskytují služby IKT podporující zásadní nebo důležité funkce nebo jejich podstatné součásti, patří do téže skupiny jako finanční subjekt, jemuž jsou uvedené služby poskytovány;

h)

toho, zda subdodavatelé IKT, kteří poskytují služby IKT podporující zásadní nebo důležité funkce nebo jejich podstatné součásti, mají povolení od příslušného orgánu v členském státě, jsou jím zaregistrováni nebo podléhají jeho dozoru či dohledu, nebo podléhají rámci dohledu podle kapitoly V oddílu II nařízení (EU) 2022/2554;

i)

toho, zda poskytovatelé služeb IKT z řad třetích stran, kteří podporují zásadní nebo důležité funkce nebo jejich podstatné součásti, mají povolení od orgánu dohledu ve třetí zemi, jsou jím zaregistrováni nebo podléhají jeho dozoru či dohledu;

j)

toho, zda je poskytování služeb IKT podporujících zásadní nebo důležité funkce nebo jejich podstatné součásti koncentrováno u jediného subdodavatele poskytovatele služeb IKT z řad třetích stran, nebo u malého počtu takových subdodavatelů;

k)

toho, zda by subdodávky služeb IKT podporujících zásadní nebo důležité funkce nebo jejich podstatné součásti měly dopad na přenositelnost těchto služeb IKT k jinému poskytovateli služeb IKT z řad třetích stran;

l)

potenciálního dopadu narušení na kontinuitu a dostupnost služeb IKT podporujících zásadní nebo důležité funkce nebo jejich podstatné součásti poskytovaných poskytovatelem služeb IKT z řad třetích stran v případech, kdy je k poskytování služeb IKT podporujících zásadní nebo důležité funkce nebo jejich podstatné součásti využíván subdodavatel.

a)

finanční subjekt vznesl námitky proti podstatným změnám ujednání o subdodávkách podporujících zásadní nebo důležité funkce a požádal o úpravu těchto ujednání, avšak poskytovatel služeb IKT z řad třetích stran tyto podstatné změny přesto provedl;

b)

poskytovatel služeb IKT z řad třetích stran provedl podstatné změny ujednání o subdodávkách podporujících zásadní nebo důležité funkce nebo jejich podstatné součásti před koncem oznamovací lhůty bez schválení finančním subjektem;

c)

poskytovatel služeb IKT z řad třetích stran zadává subdodavateli službu IKT podporující zásadní nebo důležitou funkci nebo její podstatnou součást, ale ve smlouvě mezi finančním subjektem a poskytovatelem služeb IKT z řad třetích stran není její zadání subdodavateli výslovně povoleno.