Artykuł 1

Ogólny profil ryzyka i stopień złożoności

Polityka w zakresie korzystania z usług ICT wspierających krytyczne lub istotne funkcje świadczonych przez zewnętrznych dostawców usług ICT („polityka”) uwzględnia wielkość i ogólny profil ryzyka podmiotu finansowego oraz charakter, skalę i elementy zwiększonego lub zmniejszonego stopnia złożoności realizowanych usług, działań i operacji, w tym elementy związane z:

Artykuł 2

Zastosowanie na poziomie grupy

W przypadku gdy niniejsze rozporządzenie ma zastosowanie na zasadzie subskonsolidowanej lub skonsolidowanej, jednostka dominująca odpowiedzialna za sporządzanie skonsolidowanych lub subskonsolidowanych sprawozdań finansowych grupy zapewnia spójne wdrażanie polityki we wszystkich podmiotach finansowych wchodzących w skład grupy i jest odpowiednia do skutecznego stosowania niniejszego rozporządzenia na wszystkich odpowiednich szczeblach grupy.

Artykuł 3

Rozwiązania w zakresie zarządzania

1. Organ zarządzający dokonuje przeglądu polityki co najmniej raz w roku i w razie potrzeby aktualizuje ją. Zmiany w polityce wprowadza się w odpowiednim czasie i tak szybko, jak jest to możliwe w ramach odpowiednich ustaleń umownych. Podmiot finansowy dokumentuje planowany harmonogram wdrażania.

2. W polityce ustanawia się metodykę określania, które usługi ICT wspierają krytyczne lub istotne funkcje, lub odnosi się do niej. W polityce określa się również, kiedy ocena ta ma zostać przeprowadzona i poddana przeglądowi.

3. W polityce wyraźnie określa się wewnętrzne obowiązki w zakresie zatwierdzania odpowiednich ustaleń umownych, a także zarządzania tymi ustaleniami, ich kontroli i prowadzenia dokumentacji w tym zakresie, oraz zapewnia się utrzymanie odpowiednich umiejętności, doświadczenia i wiedzy w ramach podmiotu finansowego w celu skutecznej kontroli przestrzegania odpowiednich ustaleń umownych, w tym usług ICT świadczonych na podstawie tych ustaleń.

4. Bez uszczerbku dla ostatecznej odpowiedzialności podmiotu finansowego za skuteczną kontrolę nad przestrzeganiem odpowiednich ustaleń umownych polityka musi zawierać wymóg, aby zewnętrzny dostawca usług ICT został poddany ocenie pozwalającej stwierdzić, że posiada on wystarczające zasoby w celu zapewnienia, aby podmiot finansowy spełniał wszystkie wymogi prawne i regulacyjne dotyczące świadczonych usług ICT wspierających krytyczne lub istotne funkcje.

5. W polityce wyraźnie określa się stanowisko lub członka kadry kierowniczej wyższego szczebla odpowiedzialnego za monitorowanie odpowiednich ustaleń umownych. W polityce określa się sposób, w jaki to stanowisko lub członek kadry kierowniczej wyższego szczebla współpracują z funkcjami kontroli, jeżeli nie są ich częścią, oraz określa się strukturę raportowania wobec organu zarządzającego, w tym charakter informacji, które należy przekazać, oraz dokumenty, które należy przedstawić. Określa się w niej również częstotliwość takiego raportowania.

6. Polityka zapewnia zgodność ustaleń umownych z:

7. Polityka zawiera wymóg, aby usługi ICT wspierające krytyczne lub istotne funkcje świadczone przez zewnętrznych dostawców usług ICT podlegały niezależnemu przeglądowi i były uwzględnione w planie audytu.

8. W polityce wyraźnie wskazuje się, że ustalenia umowne:

Artykuł 4

Główne etapy cyklu życia w odniesieniu do przyjmowania i stosowania ustaleń umownych

W polityce określa się wymogi, w tym zasady, obowiązki i procesy, dla każdego głównego etapu cyklu życia ustaleń umownych, obejmujące co najmniej następujące elementy:

Artykuł 5

Ocena ryzyka ex ante

1. Polityka zawiera wymóg określenia potrzeb biznesowych podmiotu finansowego przed zawarciem ustalenia umownego.

2. Polityka zawiera wymóg, aby zawarcie ustalenia umownego było poprzedzone oceną ryzyka na poziomie podmiotu finansowego oraz, w stosownych przypadkach, na poziomie skonsolidowanym i subskonsolidowanym.

W ocenie ryzyka uwzględnia się wszystkie odpowiednie wymogi określone w rozporządzeniu (UE) 2022/2554 i mające zastosowanie sektorowe przepisy Unii. Uwzględnia ona w szczególności wpływ świadczenia usług ICT wspierających krytyczne lub istotne funkcje przez zewnętrznych dostawców usług ICT na podmiot finansowy oraz wszystkie rodzaje ryzyka stwarzane przez świadczenie tych usług ICT wspierających krytyczne lub istotne funkcje przez zewnętrznych dostawców usług ICT, w tym:

Artykuł 6

Należyta staranność

1. W polityce określa się odpowiedni i proporcjonalny proces wyboru i oceny potencjalnych zewnętrznych dostawców usług ICT, biorąc pod uwagę, czy dany zewnętrzny dostawca usług ICT jest dostawcą usług ICT wewnątrz grupy, oraz zawiera się wymóg, aby podmiot finansowy przed zawarciem ustalenia umownego ocenił, czy zewnętrzny dostawca usług ICT:

2. W polityce określa się wymagany poziom pewności w odniesieniu do skuteczności ram zarządzania ryzykiem zewnętrznych dostawców usług ICT w odniesieniu do usług ICT wspierających krytyczne lub istotne funkcje, które mają być świadczone przez zewnętrznego dostawcę usług ICT. W polityce tej wymaga się, aby proces należytej staranności obejmował ocenę istnienia środków ograniczania ryzyka i środków zapewniających ciągłość działania oraz sposobu zapewnienia ich funkcjonowania u zewnętrznego dostawcy usług ICT.

3. W polityce określa się procedurę należytej staranności przy wyborze i ocenie potencjalnych zewnętrznych dostawców usług ICT oraz wskazuje się, które z poniższych elementów mają być wykorzystane do osiągnięcia wymaganego poziomu pewności w odniesieniu do wyników osiąganych przez zewnętrznego dostawcę usług ICT:

4. Podmioty finansowe gwarantują odpowiedni poziom pewności w odniesieniu do wyników osiąganych przez zewnętrznego dostawcę usług ICT, z uwzględnieniem elementów wymienionych w ust. 3 lit. a)-e). W stosownych przypadkach wykorzystuje się więcej niż jeden element wymieniony w tych punktach.

Artykuł 7

Konflikty interesów

1. W polityce określa się odpowiednie środki służące identyfikacji faktycznych lub potencjalnych konfliktów interesów wynikających z korzystania z usług zewnętrznych dostawców usług ICT, zapobieganiu tym konfliktom i zarządzaniu nimi, które należy wprowadzić przed zawarciem odpowiednich ustaleń umownych, oraz przewiduje się bieżące monitorowanie takich konfliktów interesów.

2. W przypadku gdy usługi ICT wspierające krytyczne lub istotne funkcje są świadczone przez dostawców usług ICT wewnątrz grupy, w polityce określa się, że decyzje dotyczące warunków, w tym warunków finansowych, świadczenia usług ICT mają być podejmowane obiektywnie.

Artykuł 8

Klauzule umowne

1. W polityce określa się, że odpowiednie ustalenie umowne ma mieć formę pisemną i obejmować wszystkie elementy, o których mowa w art. 30 ust. 2 i 3 rozporządzenia (UE) 2022/2554. Polityka obejmuje również elementy dotyczące wymogów, o których mowa w art. 1 ust. 1 lit. a) rozporządzenia (UE) 2022/2554, a także, w stosownych przypadkach, w innych odpowiednich przepisach unijnych i krajowych.

2. W polityce określa się, że odpowiednie ustalenia umowne mają obejmować prawo podmiotu finansowego do dostępu do informacji, przeprowadzania inspekcji i audytów oraz do przeprowadzania testów w odniesieniu do ICT. W tym celu w polityce zobowiązuje się podmiot finansowy do stosowania następujących metod, bez uszczerbku dla ostatecznej odpowiedzialności podmiotu finansowego:

3. Podmiot finansowy nie może po pewnym czasie opierać się wyłącznie na certyfikatach, o których mowa w ust. 2 lit. c), ani na sprawozdaniach z audytu, o których mowa w lit. d) tego ustępu. W ramach polityki dopuszcza się stosowanie metod, o których mowa w ust. 2 lit. c) i d), wyłącznie w przypadku, gdy podmiot finansowy:

4. W ramach polityki zapewnia się, aby istotne zmiany w ustaleniu umownym były formalizowane w sporządzonym na piśmie dokumencie opatrzonym datą i podpisami przez wszystkie strony; określa się w niej również proces przedłużenia obowiązywania ustaleń umownych.

Artykuł 9

Monitorowanie ustaleń umownych

1. Polityka zawiera wymóg, aby w ustaleniach umownych określano środki i kluczowe wskaźniki służące bieżącemu monitorowaniu wyników zewnętrznych dostawców usług ICT, w tym środki monitorowania przestrzegania wymogów dotyczących poufności, dostępności, integralności i autentyczności danych i informacji oraz przestrzegania przez zewnętrznych dostawców usług ICT odpowiednich polityk i procedur podmiotu finansowego. W polityce określa się również środki mające zastosowanie w przypadku niewywiązania się z postanowień umów o gwarantowanym poziomie usług, w tym, w stosownych przypadkach, kary umowne.

2. W polityce wskazuje się, jak podmiot finansowy ma ocenić, czy zewnętrzni dostawcy usług ICT zaangażowani na potrzeby usług ICT wspierających krytyczne lub istotne funkcje spełniają odpowiednie standardy pod względem wyników i jakości zgodnie z ustaleniem umownym i własnymi politykami podmiotu finansowego. W ramach polityki w szczególności zapewnia się, aby:

3. W polityce wskazuje się, że ocenę, o której mowa w ust. 2, należy udokumentować, a jej wyniki należy wykorzystać do aktualizacji oceny ryzyka podmiotu finansowego, o której mowa w art. 6.

4. W polityce ustanawia się odpowiednie środki, które podmiot finansowy ma przyjąć w przypadku stwierdzenia niedociągnięć ze strony zewnętrznych dostawców usług ICT, w tym incydentów związanych z ICT oraz incydentów operacyjnych lub incydentów w zakresie bezpieczeństwa związanych z płatnościami, w świadczeniu usług ICT wspierających krytyczne lub istotne funkcje lub w zakresie zgodności z ustaleniami umownymi lub wymogami prawnymi. Określa się w niej również, w jaki sposób należy monitorować wdrażanie takich środków w celu zapewnienia ich skutecznego przestrzegania w określonych ramach czasowych, z uwzględnieniem istotności niedociągnięć.

Artykuł 10

Wycofanie się z ustaleń umownych i ich wypowiedzenie

Polityka musi zawierać wymogi dotyczące udokumentowanego planu wyjścia w odniesieniu do każdego ustalenia umownego oraz okresowego przeglądu i testowania udokumentowanego planu wyjścia. W procesie opracowywania planu wyjścia uwzględnia się następujące elementy:

Plan wyjścia musi być realistyczny, wykonalny, oparty na prawdopodobnych scenariuszach i rozsądnych założeniach oraz zawierać harmonogram wdrożenia zgodny z warunkami wycofania się i wypowiedzenia określonych w ustaleniach umownych.

Artykuł 11

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.