Rozporządzenie wykonawcze komisji (ue) 2024/2956 ustanawiające wykonawcze standardy techniczne do celów stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do standardowych wzorów na potrzeby rejestru informacji

Akt prawny

Akt prawny
oczekujący

Dziennik Urzędowy Unii Europejskiej, L rok 2024 poz. 2956
Wersja oczekująca od 2024-12-22

Akt prawny
oczekujący

Alerty

ROZPORZĄDZENIE WYKONAWCZE KOMISJI (UE) 2024/2956

z dnia 29 listopada 2024 r.

ustanawiające wykonawcze standardy techniczne do celów stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do standardowych wzorów na potrzeby rejestru informacji

(Tekst mający znaczenie dla EOG)

KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (1), w szczególności jego art. 28 ust. 9 akapit drugi,

a także mając na uwadze, co następuje:

(1)

Konieczne jest ustanowienie standardowych wzorów na potrzeby rejestru informacji w odniesieniu do wszystkich ustaleń umownych dotyczących korzystania z usług ICT świadczonych przez zewnętrznego dostawcę usług w zakresie technologii informacyjno-komunikacyjnych (ICT), o którym to rejestrze mowa w art. 28 ust. 3 rozporządzenia (UE) 2022/2554. Informacje zgromadzone w tym rejestrze mają zasadnicze znaczenie dla wewnętrznego zarządzania ryzykiem związanym z ICT przez podmioty finansowe, dla skutecznego nadzoru nad podmiotami finansowymi prowadzonego przez ich właściwe organy oraz dla ustanowienia i prowadzenia nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT przez wiodący organ nadzorczy. Ponadto informacje te mają zasadnicze znaczenie dla corocznego procesu wyznaczania kluczowych zewnętrznych dostawców usług ICT przez Europejski Urząd Nadzoru Bankowego, Europejski Urząd Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych oraz Europejski Urząd Nadzoru Giełd i Papierów Wartościowych (zwane dalej łącznie „Europejskimi Urzędami Nadzoru” (EUN)).

(2)

Aby zapewnić wyniki w zakresie nadzoru, które będą spójne z istniejącymi ramami nadzoru, jednostka dominująca podmiotów finansowych będących częścią grupy zgodnie z definicją w rozporządzeniu (UE) 2022/2554 powinna określić podmioty, które mają zostać uwzględnione w rejestrze informacji na poziomie subskonsolidowanym i skonsolidowanym zgodnie z unijnymi przepisami dotyczącymi usług finansowych. Aby zmniejszyć koszty administracyjne grup, grupy powinny mieć możliwość opracowania pojedynczego rejestru informacji na poziomie podmiotu oraz na poziomie subskonsolidowanym i skonsolidowanym w odniesieniu do wszystkich ustaleń umownych dotyczących korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług ICT na rzecz wszystkich podmiotów finansowych wchodzących w skład tej grupy. W takich przypadkach pojedynczy rejestr informacji powinien umożliwiać każdemu podmiotowi finansowemu wywiązanie się z obowiązku prowadzenia i aktualizacji rejestru informacji na poziomie podmiotu i na poziomie subskonsolidowanym, w stosownych przypadkach, w tym jego zgłaszania właściwemu organowi.

(3)

Zgodnie z art. 28 ust. 1 lit. b) rozporządzenia (UE) 2022/2554 w zarządzaniu przez podmioty finansowe ryzykiem ze strony zewnętrznych dostawców usług ICT uwzględnia się charakter, skalę, stopień złożoności i znaczenie zależności w zakresie ICT oraz ryzyko wynikające z ustaleń umownych dotyczących korzystania z usług ICT zawartych z zewnętrznymi dostawcami usług ICT. W takiej ocenie ryzyka powinno się wziąć pod uwagę krytyczność lub istotność danej usługi, procesu lub funkcji podmiotu finansowego oraz potencjalny wpływ na ciągłość i dostępność usług finansowych i działalności finansowej na poziomie podmiotu i na poziomie grupy.

(4)

Niektóre sektorowe przepisy Unii dotyczące usług finansowych zawierają wymogi dotyczące outsourcingu. Wymogi te zostały doprecyzowane w wytycznych wydanych przez EUN. Zgodnie z tymi wytycznymi oczekuje się, że niektóre podmioty finansowe będą ewidencjonować określone informacje na temat swoich ustaleń dotyczących outsourcingu, w niektórych przypadkach również w formie rejestrów, w ramach zarządzania ryzykiem związanym z outsourcingiem. W ostatnich latach kilka właściwych organów krajowych i EBC zgromadzili informacje zawarte w takich rejestrach w ramach nadzoru nad przestrzeganiem przez podmioty finansowe wymogów dotyczących outsourcingu. Na podstawie wniosków wyciągniętych z różnych działań w zakresie gromadzenia danych dotyczących rejestrów outsourcingu przeprowadzonych w ostatnich latach przez EUN i właściwe organy standardowe wzory należy opracować w sposób neutralny pod względem technologicznym z otwartymi tabelami, w których liczba kolumn jest z góry określona, a liczba wierszy nieokreślona. Ponadto te standardowe wzory powinny być ze sobą powiązane za pomocą różnych konkretnych kluczy tworzących strukturę relacyjną między tymi wzorami.

(5)

Aby otrzymać usługi ICT od zewnętrznego dostawcy usług ICT, w tym od dostawców usług ICT wewnątrz grupy, podmioty finansowe zawierają pisemną umowę z zewnętrznym dostawcą usług ICT. W przypadku grup dostawcy usług ICT wewnątrz grupy mogą zawrzeć z zewnętrznymi dostawcami usług ICT spoza grupy umowę o świadczenie usług ICT na rzecz jednego podmiotu finansowego należącego do grupy lub większej liczby takich podmiotów. Aby uzyskać obraz całego łańcucha dostaw usług ICT, podmioty finansowe prowadzące rejestr informacji powinny przekazywać zarówno informacje na temat ustaleń umownych zawartych ze swoimi dostawcami usług ICT wewnątrz grupy, jak i informacje na temat ustaleń dokonanych przez dostawcę usług ICT wewnątrz grupy z zewnętrznymi dostawcami usług ICT spoza grupy jako podwykonawcami. W związku z tym rejestr informacji powinien zawierać specjalny wzór umożliwiający uzgodnienie umów wewnątrzgrupowych z umowami z zewnętrznymi dostawcami usług ICT spoza grupy.

(6)

Świadczenie usług ICT na rzecz podmiotów finansowych może opierać się na potencjalnie długich lub złożonych łańcuchach podwykonawstwa, które powinny być monitorowane przez podmioty finansowe. Podmioty finansowe powinny ocenić powiązane ryzyko, w tym ryzyko koncentracji ze strony zewnętrznych dostawców usług ICT, w odniesieniu do zewnętrznych dostawców usług ICT wspierających krytyczną lub istotną funkcję lub jej istotne części, z uwzględnieniem podejścia opartego na ocenie ryzyka i zasady proporcjonalności. Aby umożliwić taką ocenę, podmioty finansowe powinny być zobowiązane do ewidencjonowania w rejestrze informacji wyłącznie tych podwykonawców, którzy faktycznie wspierają usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części, w tym wszystkich podwykonawców świadczących usługi ICT, których zakłócenie zagrażałoby bezpieczeństwu lub ciągłości świadczenia usług. Identyfikując tych podwykonawców, podmioty finansowe powinny wziąć pod uwagę ciągłość działalności i usług ICT oraz aspekty związane z bezpieczeństwem ICT.

(7)

Rejestr informacji powinien być prowadzony i aktualizowany przez podmioty finansowe, w tym również wówczas, gdy podmiot finansowy zleca na zasadzie outsourcingu całą swoją działalność innemu podmiotowi, ponieważ prowadzenie rejestru informacji przyczynia się do odporności operacyjnej tego podmiotu finansowego. Zatem w przypadku gdy w imieniu podmiotu finansowego, w odniesieniu do całości jego działalności (w tym usług ICT), działa inny podmiot, w odpowiednich wzorach rejestru informacji podmiotu finansowego należy ewidencjonować bezpośrednich zewnętrznych dostawców usług ICT świadczących usługi na rzecz tego innego podmiotu. W takim przypadku ten inny podmiot rejestruje się wyłącznie jako podmiot prowadzący rejestr.

(8)

Aby zapewnić przejrzystość i porównywalność ustaleń umownych oraz stałe monitorowanie tych ustaleń, rejestr informacji powinien koncentrować się na powiązaniach operacyjnych między podmiotami finansowymi a zewnętrznymi dostawcami usług ICT. W tym celu w rejestrze informacji należy stosować cztery klucze, które m.in. łączą ze sobą odpowiednie dane we wzorach rejestru informacji: (i) numer referencyjny ustalenia umownego między podmiotem finansowym zawierającym dane ustalenie a bezpośrednim zewnętrznym dostawcą usług ICT, (ii) odpowiedni identyfikator podmiotów finansowych i zewnętrznych dostawców usług ICT, (iii) identyfikator funkcji oraz (iv) rodzaj usług ICT.

(9)

Aby odpowiednio udokumentować ustalenia umowne między podmiotami finansowymi a zewnętrznymi dostawcami usług ICT zgodnie z wymogami rozporządzenia (UE) 2022/2554, przyjmuje się, że zewnętrzni dostawcy usług ICT powinni podać numer identyfikacyjny umożliwiający ich spójną i dokładną identyfikację przez podmioty finansowe i EUN, forum nadzoru i właściwe organy podczas wykonywania ich uprawnień nadzorczych, w tym w do celów wyznaczania kluczowych zewnętrznych dostawców usług ICT zgodnie z art. 31 tego rozporządzenia. Jeżeli chodzi o osoby prawne, LEI i EUID są uznanymi międzynarodowymi i europejskimi identyfikatorami zapewniającymi spójną, jednoznaczną i wiarygodną identyfikację przedsiębiorstw. W związku z tym którykolwiek z tych dwóch identyfikatorów powinien być wykorzystywany do identyfikacji zewnętrznych dostawców usług ICT z siedzibą w Unii do celów stosowania tego rozporządzenia i powinien być uznawany za informację wspólną dla wszystkich ustaleń umownych, natomiast zewnętrznych dostawców usług ICT z siedzibą w państwach trzecich należy identyfikować wyłącznie za pomocą LEI. We wzorach wykorzystywanych do celów rejestru informacji na temat zewnętrznych dostawców usług ICT powinno się wymagać podania informacji na temat któregokolwiek z tych dwóch identyfikatorów w przypadku dostawców usług ICT będących osobami prawnymi, a jednocześnie umożliwiać osobom fizycznym działającym w charakterze dostawców usług ICT stosowanie alternatywnych kodów identyfikacyjnych.

(10)

Każdy podmiot finansowy, w tym podmioty finansowe z tej samej grupy, posiada własną wewnętrzną taksonomię funkcji w zależności od swoich konkretnych modeli biznesowych i organizacji wewnętrznych. Aby umożliwić precyzyjne monitorowanie pozwalające dokonać rozróżnienia między funkcjami podmiotów finansowych i usługami ICT, podmioty finansowe powinny same wyznaczyć odpowiednie funkcje, wykorzystując identyfikator funkcji na poziomie indywidualnym i na poziomie grupy.

(11)

Aby umożliwić skuteczne funkcjonowanie rejestru informacji na poziomie podmiotu oraz na poziomie subskonsolidowanym i skonsolidowanym we wszystkich podmiotach finansowych należących do tej samej grupy, podmioty finansowe powinny zapewnić poprawność i spójność wszystkich danych w tym rejestrze. W szczególności, aby umożliwić takie skuteczne funkcjonowanie, konieczne jest zapewnienie spójności w konsolidacji identyfikatorów, a mianowicie numerów referencyjnych ustaleń umownych, identyfikatora funkcji, LEI podmiotów finansowych i identyfikatorów zewnętrznych dostawców usług ICT.

(12)

Aby zapewnić spójność i harmonizację oraz uniknąć uciążliwego ponownego przetwarzania danych do celów sprawozdawczych, struktura wzorów i wymogi dotyczące elementów danych powinny uwzględniać perspektywy zarządzania danymi i sprawozdawczości. Aby zapewnić pełną porównywalność informacji zgłaszanych w rejestrze informacji z informacjami przekazywanymi w innych sprawozdaniach regulacyjnych lub statystycznych, podmioty finansowe powinny przestrzegać zasad dotyczących jakości danych przy prowadzeniu i aktualizacji danego rejestru.

(13)	Podstawę niniejszego rozporządzenia stanowi projekt wykonawczych standardów technicznych przedłożony Komisji przez EUN.

(14)

EUN przeprowadziły otwarte konsultacje publiczne na temat projektu wykonawczych standardów technicznych, który stanowi podstawę niniejszego rozporządzenia, dokonały analizy potencjalnych powiązanych kosztów i korzyści oraz zwróciły się o opinię do odpowiednich grup interesariuszy ustanowionych przy poszczególnych EUN zgodnie z, odpowiednio, art. 37 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1093/2010 (2), art. 37 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1094/2010 (3) i art. 37 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1095/2010 (4).

(15)	Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (5) zasięgnięto opinii Europejskiego Inspektora Ochrony Danych,

PRZYJMUJE NINIEJSZE ROZPORZĄDZENIE:

Artykuł 1

Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

„bezpośredni zewnętrzny dostawca usług ICT” oznacza zewnętrznego dostawcę usług ICT lub dostawcę usług ICT wewnątrz grupy, który zawarł ustalenie umowne z:

a)	podmiotem finansowym w celu świadczenia swoich usług ICT bezpośrednio na rzecz tego podmiotu finansowego;

b)	podmiotem finansowym lub niefinansowym w celu świadczenia swoich usług na rzecz innych podmiotów finansowych należących do tej samej grupy;

„łańcuch dostaw usług ICT” oznacza sekwencję ustaleń umownych związanych z usługą ICT świadczoną przez bezpośredniego zewnętrznego dostawcę usług ICT na rzecz podmiotu finansowego, począwszy od bezpośredniego zewnętrznego dostawcy usług ICT, którego kontrahentem (podwykonawcą) jest jeden inny zewnętrzny dostawca usług ICT lub wielu innych zewnętrznych dostawców usług ICT;

3.	„ranga” oznacza pozycję zewnętrznego dostawcy usług ICT w łańcuchu dostaw usług ICT.

Artykuł 2

Ustalanie rangi zewnętrznych dostawców usług ICT w łańcuchu dostaw

Podmioty finansowe przypisują rangę każdemu zewnętrznemu dostawcy usług ICT. Rangę wyraża się liczbą naturalną nie mniejszą niż „1”, przy czym im niższa liczba naturalna przypisana do rangi, tym bliżej podmiotu finansowego w łańcuchu znajduje się dostawca usług ICT, z którym zawarto dane ustalenie.

Ranga bezpośredniego zewnętrznego dostawcy usług ICT w łańcuchu dostaw usług ICT zawsze wynosi „1”.

Ranga podwykonawcy w łańcuchu dostaw usług ICT jest zawsze wyższa niż „1”.

Artykuł 3

Ogólne wymogi dotyczące wzorów rejestru informacji

1. Podmioty finansowe korzystają ze wzorów określonych w załącznikach I-IV do prowadzenia i aktualizacji rejestru informacji zgodnie z art. 28 ust. 3 rozporządzenia (UE) 2022/2554 na poziomie podmiotu lub na poziomie subskonsolidowanym i skonsolidowanym.

2. Podmioty finansowe zapewniają, aby wzory, o których mowa w ust. 1, zawierały wszystkie następujące informacje:

a)	odpowiednie informacje na temat wszystkich usług ICT świadczonych przez bezpośrednich zewnętrznych dostawców usług ICT;

b)	informacje na temat wszystkich podwykonawców, którzy faktycznie wspierają usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części.

3. Podmioty finansowe zapewniają, aby informacje zawarte we wzorach, o których mowa w ust. 1, były dokładne i spójne. Podmioty finansowe regularnie dokonują przeglądu informacji zawartych we wzorach i niezwłocznie korygują wszelkie wykryte błędy lub rozbieżności.

W przypadku grup podmioty finansowe odpowiedzialne za prowadzenie i aktualizację rejestru informacji na poziomie subskonsolidowanym i skonsolidowanym zapewniają, aby informacje dotyczące poziomu podmiotu objętego konsolidacją były prawidłowe i spójne z informacjami na poziomie subskonsolidowanym i skonsolidowanym.

4. Podmioty finansowe zapewniają, aby informacje zawarte we wzorach, o których mowa w ust. 1, były zgodne z następującymi zasadami dotyczącymi jakości danych:

a)	dokładność;

b)	kompletność;

spójność;

d)	integralność;

e)	jednolitość,

ważność.

5. Podmioty finansowe stosują ważny i aktywny identyfikator podmiotu prawnego (LEI) lub niepowtarzalny identyfikator europejski (EUID), o którym mowa w art. 16 dyrektywy (UE) 2017/1132, oraz, jeżeli są dostępne, oba te identyfikatory, do identyfikacji wszystkich swoich zewnętrznych dostawców usług ICT będących osobami prawnymi, z wyjątkiem osób fizycznych o statusie przedsiębiorcy.

6. W przypadku gdy usługa ICT świadczona przez bezpośredniego zewnętrznego dostawcę usług ICT wspiera krytyczną lub istotną funkcję podmiotów finansowych, podmioty finansowe zapewniają za pośrednictwem bezpośredniego zewnętrznego dostawcy usług ICT, aby wszyscy podwykonawcy bezpośredniego zewnętrznego dostawcy usług ICT wpisani do rejestru informacji zgodnie z ust. 2 lit. b), którzy faktycznie wspierają usługi ICT wspierające krytyczne lub istotne funkcje, stosowali ważny i aktywny LEI lub podali swój EUID, a jeżeli są dostępne - oba te identyfikatory, z wyjątkiem sytuacji, gdy podwykonawcy ci są osobami fizycznymi o statusie przedsiębiorcy.

Artykuł 4

Wymóg dotyczący formatu danych

1. O ile w instrukcjach nie wskazano inaczej, każdy wzór wchodzący w skład rejestru informacji jest tabelą z określoną z góry liczbą kolumn i nieokreśloną liczbą wierszy.

2. Podmioty finansowe uzupełniają każdy element danych jedną wartością. Jeżeli dla danego elementu danych możliwa jest więcej niż jedna wartość, podmioty finansowe dodają dodatkowy wiersz w odpowiednim wzorze dla każdej ważnej wartości.

3. Podmioty finansowe wypełniają wszystkie elementy danych w rejestrze informacji na poziomie podmiotu, na poziomie subskonsolidowanym i skonsolidowanym, stosownie do przypadku.

Artykuł 5

Zawartość rejestru informacji

1. Podmioty finansowe umieszczają w rejestrze informacji, zgodnie z instrukcjami zawartymi w załączniku I, następujące informacje:

a)	ogólne informacje na temat podmiotu finansowego prowadzącego i aktualizującego rejestr informacji odpowiednio na poziomie podmiotu, na poziomie subskonsolidowanym i skonsolidowanym, jak określono we wzorze B_01.01 w załączniku I;

b)	ogólne informacje na temat podmiotów objętych konsolidacją, jak określono we wzorze B_01.02 w załączniku I;

c)	dane identyfikacyjne oddziałów podmiotów finansowych zlokalizowanych poza krajem macierzystym, wymienionych we wzorze B_01.02, w stosownych przypadkach, jak określono we wzorze B_01.03 w załączniku I;

d)	ogólne informacje dotyczące ustaleń umownych, jak określono we wzorze B_02.01 w załączniku I;

e)	szczegółowe informacje dotyczące ustaleń umownych, jak określono we wzorze B_02.02 w załączniku I;

informacje na temat powiązań między wewnątrzgrupowymi ustaleniami umownymi a ustaleniami umownymi z zewnętrznymi dostawcami usług ICT, którzy nie należą do grupy, z wykorzystaniem numerów referencyjnych ustaleń umownych, w przypadku gdy część łańcucha dostaw usług ICT ma charakter wewnątrzgrupowy, jak określono we wzorze B_02.03 w załączniku I;

g)	informacje na temat podmiotów zawierających ustalenia umowne z bezpośrednimi zewnętrznymi dostawcami usług ICT w celu otrzymania usług ICT lub w imieniu podmiotów korzystających z usług ICT, jak określono we wzorze B_03.01 w załączniku I;

h)	dane identyfikacyjne zewnętrznych dostawców usług ICT zawierających ustalenia umowne dotyczące świadczenia usług ICT, jak określono we wzorze B_03.02 w załączniku I;

i)	dane identyfikacyjne podmiotów zawierających ustalenia umowne dotyczące świadczenia usług ICT na rzecz innych podmiotów objętych konsolidacją, jak określono we wzorze B_03.03 w załączniku I;

j)	informacje na temat podmiotów korzystających z usług ICT świadczonych przez zewnętrznych dostawców usług ICT, jak określono we wzorze B_04.01 w załączniku I;

k)	informacje na temat bezpośrednich zewnętrznych dostawców usług ICT i podwykonawców, jak określono we wzorze B_05.01 w załączniku I;

l)	informacje dotyczące łańcucha dostaw usług ICT, jak określono we wzorze B_05.02 w załączniku I;

m)	informacje dotyczące określenia funkcji, jak określono we wzorze B_06.01 w załączniku I;

n)	informacje dotyczące oceny usług ICT świadczonych przez zewnętrznych dostawców usług ICT wspierających krytyczną lub istotną funkcję lub jej istotne części, jak określono we wzorze B_07.01 w załączniku I;

o)	informacje dotyczące terminologii stosowanej przez podmioty finansowe oraz terminów używanych w listach zamkniętych i systemach klasyfikacji stosowanych przy wypełnianiu wzorów, jak określono we wzorze B_99.01 w załączniku I.

2. W przypadku gdy jest to istotne w kontekście zarządzania ryzykiem lub zarządzania umowami przez podmioty finansowe, podmioty finansowe mogą zawrzeć w rejestrze informacji dodatkowe informacje w formacie, który jest najbardziej odpowiedni do celów takich dodatkowych informacji.

Artykuł 6

Zakres rejestru informacji na poziomie subskonsolidowanym i skonsolidowanym

1. W przypadku grup jednostki dominujące uwzględniają odpowiednie sektorowe przepisy Unii przy określaniu, które podmioty należy uwzględnić w rejestrze informacji.

2. Rejestr informacji prowadzony i aktualizowany na poziomie subskonsolidowanym i skonsolidowanym obejmuje wszystkie podmioty finansowe i dostawców usług ICT wewnątrz grupy, którzy należą do podgrupy i grupy.

Artykuł 7

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Sporządzono w Brukseli dnia 29 listopada 2024 r.

W imieniu Komisji

Przewodnicząca

Ursula VON DER LEYEN

(1) Dz.U. L 333 z 27.12.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj.

(2) Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1093/2010 z dnia 24 listopada 2010 r. w sprawie ustanowienia Europejskiego Urzędu Nadzoru (Europejskiego Urzędu Nadzoru Bankowego), zmiany decyzji nr 716/2009/WE oraz uchylenia decyzji Komisji 2009/78/WE (Dz.U. L 331 z 15.12.2010, s. 12, ELI: http://data.europa.eu/eli/reg/2010/1093/oj).

(3) Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1094/2010 z dnia 24 listopada 2010 r. w sprawie ustanowienia Europejskiego Urzędu Nadzoru (Europejskiego Urzędu Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych), zmiany decyzji nr 716/2009/WE i uchylenia decyzji Komisji 2009/79/WE (Dz.U. L 331 z 15.12.2010, s. 48, ELI: http://data.europa.eu/eli/reg/2010/1094/oj).

(4) Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1095/2010 z dnia 24 listopada 2010 r. w sprawie ustanowienia Europejskiego Urzędu Nadzoru (Europejskiego Urzędu Nadzoru Giełd i Papierów Wartościowych), zmiany decyzji nr 716/2009/WE i uchylenia decyzji Komisji 2009/77/WE (Dz.U. L 331 z 15.12.2010, s. 84, ELI: http://data.europa.eu/eli/reg/2010/1095/oj).

(5) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

ZAŁĄCZNIK I

Instrukcje wypełniania rejestru informacji

CZĘŚĆ 1

INSTRUKCJE OGÓLNE

Podmioty finansowe, prowadząc i aktualizując rejestr informacji na poziomie podmiotu oraz na poziomie subskonsolidowanym i skonsolidowanym, wypełniają wzory rejestru informacji danymi, stosując formaty określone w instrukcjach w części 2.

W części 2 określono instrukcje, którymi podmioty finansowe mają się kierować przy wypełnianiu każdej kolumny poszczególnego wzoru. Uzupełniając informacje w niektórych kolumnach, podmioty finansowe odnoszą się do załączników II, III i IV lub do innych źródeł zewnętrznych. W takich przypadkach odniesienie do odpowiednich załączników lub źródeł zewnętrznych jest wskazane w instrukcjach.

Wykaz wzorów

Kod wzoru

Nazwa wzoru

Krótki opis

B_01.01

Podmiot prowadzący rejestr informacji

W tym wzorze określa się podmiot prowadzący i aktualizujący rejestr informacji odpowiednio na poziomie podmiotu, poziomie subskonsolidowanym i skonsolidowanym.

B_01.02

Wykaz podmiotów objętych zakresem konsolidacji

W tym wzorze określa się wszystkie podmioty należące do grupy. W przypadku gdy podmiot finansowy odpowiedzialny za prowadzenie i aktualizację rejestru informacji nie należy do grupy, w tym wzorze zgłasza się wyłącznie ten podmiot finansowy.

B_01.03

Wykaz oddziałów

W tym wzorze określa się oddziały podmiotów finansowych, o których mowa we wzorze B_01.02.

B_02.01

Ustalenia umowne - informacje ogólne

W tym wzorze wymienia się wszystkie ustalenia umowne z bezpośrednimi zewnętrznymi dostawcami usług ICT.

W odniesieniu do każdego ustalenia umownego z bezpośrednim zewnętrznym dostawcą usług ICT podmiot finansowy prowadzący rejestr informacji przypisuje niepowtarzalny „numer referencyjny ustalenia umownego” w celu jednoznacznego zidentyfikowania danego ustalenia umownego.

B_02.02

Ustalenia umowne - informacje szczegółowe

W tym wzorze określa się szczegółowe informacje dotyczące każdego ustalenia umownego wymienionego we wzorze B_02.01 w odniesieniu do:

a)	usług ICT objętych zakresem ustalenia umownego;

b)	funkcji podmiotów finansowych, które to funkcje są wspierane przez te usługi ICT;

c)	innych istotnych informacji dotyczących konkretnych świadczonych usług ICT (np. okres wypowiedzenia, prawo regulujące ustalenie itp.).

B_02.03

Wykaz wewnątrzgrupowych ustaleń umownych

W tym wzorze określa się powiązania między wewnątrzgrupowymi ustaleniami umownymi a ustaleniami umownymi z zewnętrznymi dostawcami usług ICT, którzy nie należą grupy, z wykorzystaniem numerów referencyjnych ustaleń umownych, w przypadku gdy dostawcy ci należą do łańcucha dostaw usług ICT.

B_03.01

Podmioty zawierające ustalenia umowne w celu otrzymywania usług ICT lub w imieniu podmiotów korzystających z usług ICT

W tym wzorze przedstawia się informacje na temat podmiotu zawierającego ustalenia umowne z bezpośrednim zewnętrznym dostawcą usług ICT na rzecz podmiotu korzystającego z usług ICT.

Jeżeli rejestr informacji jest prowadzony i aktualizowany na poziomie podmiotu, podmiotem zawierającym ustalenia umowne oraz podmiotem korzystającym z usług ICT jest podmiot finansowy prowadzący i aktualizujący rejestr informacji.

Na poziomie subskonsolidowanym i skonsolidowanym podmiot finansowy korzystający ze świadczonych usług ICT niekoniecznie jest podmiotem zawierającym ustalenia umowne z zewnętrznymi dostawcami usług ICT.

B_03.02

Zewnętrzni dostawcy usług ICT zawierający ustalenia umowne dotyczące świadczenia usług ICT

W tym wzorze określa się wszystkich zewnętrznych dostawców usług ICT, o których mowa we wzorze B_05.01, zawierających ustalenia umowne, o których mowa we wzorze B_02.01, dotyczące świadczenia usług ICT.

B_03.03

Podmioty zawierające ustalenia umowne dotyczące świadczenia usług ICT na rzecz innych podmiotów objętych zakresem konsolidacji

W tym wzorze określa się wszystkie podmioty, o których mowa we wzorze B_01.02, zawierające ustalenia umowne, o których mowa we wzorze B_02.01, dotyczące świadczenia usług ICT na rzecz innych podmiotów objętych konsolidacją.

B_04.01

Podmioty korzystające z usług ICT

W tym wzorze określa się wszystkie podmioty korzystające z usług ICT świadczonych przez zewnętrznych dostawców usług ICT i zarejestrowane w rejestrze informacji.

Podmiotami korzystającymi z usług ICT są podmioty finansowe objęte zakresem rozporządzenia lub dostawcy usług ICT wewnątrz grupy.

Jeżeli rejestr informacji jest prowadzony i aktualizowany na poziomie podmiotu, podmiotem zawierającym ustalenia umowne i podmiotem korzystającym z usług ICT jest podmiot finansowy prowadzący rejestr.

B_05.01

Zewnętrzni dostawcy usług ICT

W tym wzorze wymienia i przedstawia się informacje umożliwiające zidentyfikowanie:

a)	bezpośrednich zewnętrznych dostawców usług ICT;

b)	dostawców usług ICT wewnątrz grupy;

c)	wszystkich podwykonawców wymienionych we wzorze B_05.02 dotyczącym łańcucha dostaw usług ICT;

d)	jednostki dominującej najwyższego szczebla zewnętrznych dostawców usług ICT wymienionych w lit. a), b) i c).

B_05.02

Łańcuch dostaw usług ICT

W tym wzorze określa i łączy się zewnętrznych dostawców usług ICT, którzy są częścią tego samego łańcucha dostaw usług ICT.

Podmioty finansowe identyfikują zewnętrznych dostawców usług ICT i przypisują im rangę w odniesieniu do każdej usługi ICT objętej każdym ustaleniem umownym.

Przykład: podmiot finansowy zawarł ustalenie umowne z zewnętrznym dostawcą usług ICT („zewnętrzny dostawca usług ICT X”) w celu otrzymania 2 konkretnych usług ICT („usługa ICT A” i „usługa ICT B”), a dostawca usług korzysta z usług podwykonawcy („zewnętrzny dostawca usług ICT Y”) w celu świadczenia jednej z tych usług („usługa ICT B”).

-	W odniesieniu do usługi ICT A łańcuch dostaw usług ICT składa się z jednego zewnętrznego dostawcy usług ICT - zewnętrznego dostawcy usług ICT X, któremu należy przypisać we wzorze rangę 1. Zewnętrzny dostawca usług ICT X jest bezpośrednim zewnętrznym dostawcą usług ICT.

W odniesieniu do usługi ICT B łańcuch dostaw usług ICT składa się z dwóch zewnętrznych dostawców usług ICT:

a)	zewnętrznego dostawcy usług ICT X, któremu należy przypisać we wzorze rangę 1. Zewnętrzny dostawca usług ICT X jest bezpośrednim zewnętrznym dostawcą usług ICT;

b)	zewnętrznego dostawcy usług ICT Y, któremu należy przypisać we wzorze rangę 2. Zewnętrzny dostawca usług ICT Y jest podwykonawcą.

Wszyscy zewnętrzni dostawcy usług ICT należący do tego samego łańcucha dostaw usług ICT mają ten sam „numer referencyjny ustalenia umownego”, o którym mowa we wzorze B_02.01, i świadczą ten sam rodzaj usług ICT.

B_06.01

Określenie funkcji

W tym wzorze określa się funkcje podmiotu finansowego korzystającego z usług ICT i przedstawia się informacje na temat tych funkcji.

W informacjach, które należy podać w tym wzorze, podmioty finansowe zawierają niepowtarzalny identyfikator - „identyfikator funkcji” dla każdej kombinacji, na którą składa się LEI podmiotu finansowego, licencjonowana działalność i funkcja.

Przykład: podmiot finansowy (LEI: 21USLEIC20231109J3Z8), która prowadzi działalność w ramach dwóch licencjonowanych rodzajów działalności („działalność A” i „działalność B”), otrzyma dwa niepowtarzalne „identyfikatory funkcji” dla tej samej funkcji X (np. sprzedaż) wykonywanej odpowiednio dla działalności A i działalności B. Identyfikator funkcji będzie następujący:

F1 dla kombinacji „21USLEIC20231109J3Z8”„Działalność A” i „Funkcja X”

F2 dla kombinacji „21USLEIC20231109J3Z8”„Działalność B” i „Funkcja X”

B_07.01

Oceny usług ICT

W tym wzorze przedstawia się informacje dotyczące oceny ryzyka związanego z usługami ICT (np. możliwość zastąpienia, data ostatniej kontroli itp.), w przypadku gdy te usługi ICT wspierają krytyczną lub istotną funkcję lub jej istotną część.

B_99.01

Definicje stosowane przez podmioty korzystające z usług ICT

W tym wzorze przedstawia się właściwe dla podmiotu wewnętrzne wyjaśnienia, znaczenia i definicje zamkniętego zbioru wskaźników stosowanych przez podmiot finansowy w rejestrze informacji.

Przykład: we wzorze B_07.01 podmiot finansowy wskazuje wpływ zaprzestania świadczenia usług ICT za pomocą zamkniętego zestawu wariantów (mały, średni, duży). We wzorze B_99.01 podmiot finansowy określa znaczenie tych wariantów.

CZĘŚĆ 2

INSTRUKCJE DOTYCZĄCE POSZCZEGÓLNYCH WZORÓW

Instrukcje wypełniania wzoru B_01.01 - Podmiot finansowy prowadzący rejestr informacji

Określenie podmiotu finansowego prowadzącego i aktualizującego rejestr informacji.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcja wypełniania

Obowiązkowość wypełniania

B_01.01.0010

LEI podmiotu finansowego prowadzącego rejestr informacji

Ciąg alfanumeryczny

Należy określić podmiot finansowy prowadzący i aktualizujący rejestr informacji za pomocą LEI - 20-znakowego kodu alfanumerycznego opartego na normie ISO 17442.

Obowiązkowo

B_01.01.0020

Nazwa podmiotu finansowego

Ciąg alfanumeryczny

Nazwa prawna podmiotu finansowego prowadzącego i aktualizującego rejestr informacji

Obowiązkowo

B_01.01.0030

Państwo podmiotu finansowego

Państwo

Należy podać kod ISO 3166-1 alfa-2 państwa, w którym wydano zezwolenie (licencję) podmiotowi zgłoszonemu w rejestrze informacji lub dokonano jego rejestracji.

Obowiązkowo

B_01.01.0040

Rodzaj podmiotu finansowego

Zamknięty zestaw wariantów

Należy określić rodzaj podmiotu finansowego, wybierając jeden z wariantów z poniższej listy zamkniętej:

1.	instytucje kredytowe;

2.	instytucje płatnicze, w tym instytucje płatnicze zwolnione zgodnie z dyrektywą Parlamentu Europejskiego i Rady (UE) 2015/2366 (1);

3.	dostawcy świadczący usługę dostępu do informacji o rachunku;

4.	instytucje pieniądza elektronicznego, w tym instytucje pieniądza elektronicznego zwolnione zgodnie z dyrektywą Parlamentu Europejskiego i Rady 2009/110/WE (2);

5.	firmy inwestycyjne;

6.	dostawcy usług w zakresie kryptoaktywów posiadający zezwolenie na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2023/1114 (3)

7.	emitenci tokenów powiązanych z aktywami posiadający zezwolenie na podstawie rozporządzenia (UE) 2023/1114;

8.	centralne depozyty papierów wartościowych;

9.	kontrahenci centralni;

10.	systemy obrotu;

11.	repozytoria transakcji;

12.	zarządzający alternatywnymi funduszami inwestycyjnymi;

13.	spółki zarządzające;

14.	dostawcy usług w zakresie udostępniania informacji;

15.	zakłady ubezpieczeń i zakłady reasekuracji;

16.	pośrednicy ubezpieczeniowi, pośrednicy reasekuracyjni i pośrednicy oferujący ubezpieczenia uzupełniające;

17.	instytucje pracowniczych programów emerytalnych;

18.	agencje ratingowe;

19.	administratorzy kluczowych wskaźników referencyjnych;

20.	dostawcy usług finansowania społecznościowego;

21.	repozytoria sekurytyzacji;

22.	inny podmiot finansowy.

Jeżeli rejestr informacji jest prowadzony na poziomie grupy przez jednostkę dominującą, która sama nie podlega obowiązkowi prowadzenia takiego rejestru, tj. nie jest objęta definicją podmiotów finansowych określoną w art. 2 rozporządzenia (UE) 2022/2554 (np. finansowa spółka holdingowa, finansowa spółka holdingowa o działalności mieszanej lub holding mieszany), należy wybrać wariant „Inny podmiot finansowy”.

Obowiązkowo

B_01.01.0050

Właściwy organ

Ciąg alfanumeryczny

Należy określić właściwy organ, o którym mowa w art. 46 rozporządzenia (UE) 2022/2554, któremu zgłasza się rejestr informacji.

Obowiązkowo w przypadku sprawozdawczości

B_01.01.0060

Data przekazania informacji

Data

Należy podać datę przekazania informacji w formacie ISO 8601 (rrrr-mm-dd).

Obowiązkowo w przypadku sprawozdawczości

Instrukcje wypełniania wzoru B_01.02 - Wykaz podmiotów finansowych objętych zakresem rejestru informacji

W przypadku gdy rejestr informacji jest prowadzony i aktualizowany na poziomie subskonsolidowanym i skonsolidowanym, w tym wzorze należy określić wszystkie podmioty finansowe należące do podgrupy i grupy. W przypadku gdy podmiot finansowy odpowiedzialny za prowadzenie i aktualizację rejestru informacji nie należy do grupy, w tym wzorze należy zgłosić wyłącznie ten podmiot finansowy, a wpis w tym wzorze powinien być taki sam jak we wzorze B_01.01.

W przypadku gdy w imieniu podmiotu finansowego, w odniesieniu do całości jego działalności (w tym usług ICT), działa inny podmiot, w odpowiednich wzorach rejestru informacji podmiotu finansowego należy ewidencjonować bezpośrednich zewnętrznych dostawców usług ICT świadczących usługi na rzecz tego innego podmiotu. W takim przypadku dokonuje się rejestracji tego innego podmiotu wyłącznie jako podmiotu prowadzącego rejestr i nie zgłasza się go w niniejszym wzorze.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcja wypełniania

Obowiązkowość wypełniania

B_01.02.0010

LEI podmiotu finansowego

Ciąg alfanumeryczny

Należy określić podmiot finansowy zgłoszony w rejestrze informacji za pomocą LEI - 20-znakowego kodu alfanumerycznego opartego na normie ISO 17442.

Obowiązkowo

B_01.02.0020

Nazwa podmiotu finansowego

Ciąg alfanumeryczny

Nazwa prawna podmiotu finansowego zgłoszonego w rejestrze informacji.

Obowiązkowo

B_01.02.0030

Państwo podmiotu finansowego

Państwo

Należy podać kod ISO 3166-1 alfa-2 państwa, w którym wydano zezwolenie (licencję) podmiotowi finansowemu zgłoszonemu w rejestrze informacji lub dokonano jego rejestracji.

Obowiązkowo

B_01.02.0040

Rodzaj podmiotu finansowego

Zamknięty zestaw wariantów

Należy określić rodzaj podmiotu finansowego, wybierając jeden z wariantów z poniższej listy zamkniętej:

1.	instytucje kredytowe;

2.	instytucje płatnicze, w tym instytucje płatnicze zwolnione zgodnie z dyrektywą (UE) 2015/2366;

3.	dostawcy świadczący usługę dostępu do informacji o rachunku;

4.	instytucje pieniądza elektronicznego, w tym instytucje pieniądza elektronicznego zwolnione zgodnie z dyrektywą 2009/110/WE;

5.	firmy inwestycyjne;

6.	dostawcy usług w zakresie kryptoaktywów posiadający zezwolenie na podstawie rozporządzenia (UE) 2023/1114;

7.	emitenci tokenów powiązanych z aktywami posiadający zezwolenie na podstawie rozporządzenia (UE) 2023/1114;

8.	centralne depozyty papierów wartościowych;

9.	kontrahenci centralni;

10.	systemy obrotu;

11.	repozytoria transakcji;

12.	zarządzający alternatywnymi funduszami inwestycyjnymi;

13.	spółki zarządzające;

14.	dostawcy usług w zakresie udostępniania informacji;

15.	zakłady ubezpieczeń i zakłady reasekuracji;

16.	pośrednicy ubezpieczeniowi, pośrednicy reasekuracyjni i pośrednicy oferujący ubezpieczenia uzupełniające;

17.	instytucje pracowniczych programów emerytalnych;

18.	agencje ratingowe;

19.	administratorzy kluczowych wskaźników referencyjnych;

20.	dostawcy usług finansowania społecznościowego;

21.	repozytoria sekurytyzacji;

22.	inny podmiot finansowy;

23.	podmiot niefinansowy: dostawca usług ICT wewnątrz grupy;

24.	podmiot niefinansowy: inny.

Obowiązkowo

B_01.02.0050

Hierarchia podmiotu finansowego w ramach grupy (w stosownych przypadkach)

Zamknięty zestaw wariantów

Należy określić hierarchię podmiotu finansowego objętego konsolidacją, wybierając jeden z wariantów z poniższej listy zamkniętej:

1.	Podmiot finansowy jest jednostką dominującą najwyższego szczebla objętą konsolidacją;

2.	Podmiot finansowy jest jednostką dominującą subskonsolidowanej części grupy objętej konsolidacją;

3.	Podmiot finansowy jest jednostką zależną objętą konsolidacją i nie jest jednostką dominującą subskonsolidowanej części grupy;

4.	Podmiot finansowy nie należy do grupy;

5.	Podmiot finansowy jest dostawcą usług, któremu podmiot finansowy (lub zewnętrzny dostawca usług działający w jego imieniu) zleca na zasadzie outsourcingu wszystkie swoje działania operacyjne.

W przypadku gdy do podmiotu pasuje więcej niż jeden wariant z powyższej listy zamkniętej, wybiera się wariant wyższego poziomu mający zastosowanie do tego podmiotu.

Obowiązkowo

B_01.02.0060

LEI bezpośredniej jednostki dominującej podmiotu finansowego

Ciąg alfanumeryczny

Należy określić bezpośrednią jednostkę dominującą podmiotu finansowego zgłoszonego w rejestrze informacji za pomocą LEI - 20-znakowego kodu alfanumerycznego opartego na normie ISO 17442.

Obowiązkowo

B_01.02.0070

Data ostatniej aktualizacji

Data

Należy podać datę ostatniej aktualizacji lub zmiany dokonanej w rejestrze informacji w odniesieniu do podmiotu finansowego w formacie ISO 8601 (rrrr-mm-dd).

Obowiązkowo

B_01.02.0080

Data włączenia do rejestru informacji

Data

Należy podać datę włączenia podmiotu finansowego do rejestru informacji w formacie ISO 8601 (rrrr-mm-dd).

Obowiązkowo

B_01.02.0090

Data usunięcia z rejestru informacji

Data

Należy podać datę usunięcia podmiotu finansowego z rejestru informacji w formacie ISO 8601 (rrrr-mm-dd).

Jeżeli podmiot finansowy nie został usunięty z rejestru, należy wpisać „9999-12-31”.

Obowiązkowo

B_01.02.0100

Waluta

Należy podać kod alfabetyczny ISO 4217 waluty stosowanej przy sporządzaniu sprawozdań finansowych podmiotu finansowego.

Zgłoszona waluta musi być tą samą walutą, którą podmiot finansowy stosuje przy sporządzaniu sprawozdań finansowych na poziomie podmiotu, na poziomie subskonsolidowanym lub skonsolidowanym, stosownie do przypadku.

Obowiązkowo tylko w przypadku zgłoszenia B_01.02.0110

B_01.02.0110

Wartość aktywów ogółem podmiotu finansowego

Wartość pieniężna

Wartość pieniężna aktywów ogółem podmiotu finansowego wykazana w rocznym sprawozdaniu finansowym podmiotu finansowego za rok poprzedzający datę ostatniej aktualizacji rejestru informacji. Wartość pieniężną zgłasza się w jednostkach.

Aby wypełnić tę kolumnę, zob. załącznik IV.

Obowiązkowo, jeżeli podmiot jest podmiotem finansowym

Instrukcje wypełniania wzoru B_01.03 - Wykaz oddziałów

W przypadku gdy jednostka finansowa posiada oddziały zlokalizowane poza swoim krajem macierzystym, należy wskazać te oddziały za pomocą tego wzoru.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcja wypełniania

Obowiązkowość wypełniania

B_01.03.0010

Kod identyfikacyjny oddziału

Ciąg alfanumeryczny

Należy określić oddział podmiotu finansowego znajdujący się poza jego krajem macierzystym za pomocą niepowtarzalnego kodu dla każdego oddziału. Należy wybrać jeden z wariantów z poniższej listy zamkniętej:

a)	LEI oddziału, jeżeli jest on niepowtarzalny dla tego oddziału i inny niż B_01.03.0020;

b)	inny kod identyfikacyjny stosowany przez podmiot finansowy do identyfikacji oddziału (w przypadku gdy LEI oddziału jest równoważny z LEI podanym we wzorze B_01.03.0020 lub równoważny z LEI innego oddziału).

Obowiązkowo

B_01.03.0020

LEI siedziby zarządu oddziału podmiotu finansowego

Ciąg alfanumeryczny

Jak zgłoszono w B_01.02.0010

Należy określić siedzibę zarządu oddziału podmiotu finansowego za pomocą LEI - 20-znakowego kodu alfanumerycznego opartego na normie ISO 17442.

Obowiązkowo

B_01.03.0030

Nazwa oddziału

Ciąg alfanumeryczny

Należy podać nazwę oddziału.

Obowiązkowo

B_01.03.0040

Państwo oddziału

Państwo

Należy podać kod ISO 3166-1 alfa-2 kraju EOG, w którym mieści się oddział.

Obowiązkowo

Instrukcje wypełniania wzoru B_02.01 - Ustalenia umowne - informacje ogólne

Podmioty finansowe określają „numer referencyjny ustalenia umownego” dla każdego ustalenia umownego w rejestrze informacji. W przypadku gdy zewnętrzny dostawca usług ICT spoza grupy korzysta z usług podwykonawców, podmioty finansowe nie umieszczają w rejestrze informacji „numeru referencyjnego ustalenia umownego” w odniesieniu do ustaleń między zewnętrznymi dostawcami usług ICT spoza grupy a ich podwykonawcami. W przypadku dostawcy usług ICT wewnątrz grupy podmioty finansowe uwzględniają w tym wzorze „numer referencyjny ustalenia umownego” między tym dostawcą usług ICT wewnątrz grupy a jego zewnętrznymi dostawcami usług ICT i odpowiednio wypełniają wzór B_02.03 (Wykaz wewnątrzgrupowych ustaleń umownych).

„Numer referencyjny ustalenia umownego” odnosi się do następujących rodzajów ustaleń umownych:

a)	wszelkiego rodzaju samodzielne ustalenia;

b)	wszelkiego rodzaju „ustalenia nadrzędne lub ramowe”, w tym ustalenia ogólne i ramowe;

c)	wszelkiego rodzaju „kolejne lub powiązane ustalenia”, w tym ustalenia wykonawcze, ustalenia dotyczące podusług, formularze zamówienia.

Numer referencyjny ustalenia umownego nie odnosi się do żadnej umowy o gwarantowanym poziomie usług podporządkowanej dowolnemu rodzajowi ustaleń umownych, o których mowa w lit. a), b) i c) powyżej.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcja wypełniania

Obowiązkowość wypełniania

B_02.01.0010

Numer referencyjny ustalenia umownego

Ciąg alfanumeryczny

Należy określić ustalenie umowne między podmiotem finansowym lub, w przypadku grupy, jednostką zależną grupy a bezpośrednim zewnętrznym dostawcą usług ICT.

Numer referencyjny ustalenia umownego jest wewnętrznym numerem referencyjnym ustalenia umownego nadanym przez podmiot finansowy.

Numer referencyjny ustalenia umownego jest niepowtarzalny i należy stosować go spójnie na poziomie podmiotu, poziomie subskonsolidowanym i skonsolidowanym, stosownie do przypadku.

Numer referencyjny ustalenia umownego stosuje się konsekwentnie we wszystkich wzorach rejestru informacji w przypadku odniesienia do tego samego ustalenia umownego.

W przypadku gdy w imieniu podmiotu finansowego w odniesieniu do całości działalności podmiotu finansowego, w tym usług ICT (zob. motyw 7), działa inny podmiot, numer referencyjny ustalenia umownego może odnosić się do ustalenia umownego między tym innym podmiotem a jego bezpośrednim zewnętrznym dostawcą usług ICT.

Obowiązkowo

B_02.01.0020

Rodzaj ustalenia umownego

Zamknięty zestaw wariantów

Należy określić rodzaj ustalenia umownego, wybierając jeden z wariantów z poniższej listy zamkniętej:

1.	ustalenie samodzielne;

2.	nadrzędne/ogólne ustalenia umowne;

3.	kolejne lub powiązane ustalenie.

Obowiązkowo

B_02.01.0030

Numer referencyjny nadrzędnego ustalenia umownego

Ciąg alfanumeryczny

Nie ma zastosowania, jeżeli ustalenie umowne jest „nadrzędnym ustaleniem umownym” lub „ustaleniem samodzielnym”. W pozostałych przypadkach należy podać numer referencyjny nadrzędnego ustalenia umownego, który jest równy wartości wykazanej w kolumnie B_02.01.0010 przy zgłaszaniu nadrzędnego ustalenia umownego.

Obowiązkowo

B_02.01.0040

Waluta kwoty zgłoszonej w B_02.01.0050

Waluta

Należy podać kod alfabetyczny ISO 4217 waluty użytej do wyrażenia kwoty w B_02.01.0050.

Obowiązkowo

B_02.01.0050

Roczne wydatki lub szacunkowe koszty z tytułu ustalenia umownego za ubiegły rok

Wartość pieniężna

Roczne wydatki lub szacunkowe koszty (lub przeniesienie wewnątrzgrupowe) z tytułu ustalenia umownego dotyczącego usług ICT za ubiegły rok. Wartość pieniężną zgłasza się w jednostkach.

Roczne wydatki lub szacunkowe koszty wyraża się w walucie zgłoszonej w B_01.02.0040.

W przypadku nadrzędnego ustalenia z późniejszymi lub powiązanymi ustaleniami suma rocznych wydatków lub szacunkowych kosztów zgłoszonych w odniesieniu do ustalenia nadrzędnego oraz późniejszych lub powiązanych ustaleń jest równa całkowitym wydatkom lub szacunkowym kosztom z tytułu całościowego ustalenia umownego. Nie należy powtarzać ani podwójnie wykazywać rocznych wydatków ani szacunkowych kosztów. Należy uwzględnić następujące przypadki:

a)	jeżeli roczne wydatki lub szacunkowe koszty nie są ustalane na poziomie nadrzędnego ustalenia (tj. wynoszą 0), roczne wydatki lub szacunkowe koszty zgłasza się na poziomie każdego kolejnego lub powiązanego ustalenia;

b)	jeżeli rocznych wydatków lub szacunkowych kosztów nie można zgłosić w odniesieniu do każdego z kolejnych lub powiązanych ustaleń, całkowite roczne wydatki lub szacunkowe koszty zgłasza się na poziomie nadrzędnego ustalenia;

w przypadku gdy istnieją roczne wydatki lub szacunkowe koszty związane z każdym poziomem ustalenia, tj. z nadrzędnym ustaleniem oraz z kolejnym lub powiązanym ustaleniem, a informacje te są dostępne, roczne wydatki lub szacunkowe koszty zgłasza się - bez podwójnego wykazywania - na każdym poziomie ustalenia umownego.

Obowiązkowo

Instrukcje wypełniania wzoru B_02.02 - Ustalenia umowne - informacje szczegółowe

Podmioty finansowe wypełniają ten wzór, uwzględniając maksymalny możliwy poziom szczegółowości. W przypadku gdy ustalenie umowne obejmuje wiele usług ICT wspierających wiele funkcji, podmioty finansowe wykorzystują tyle wierszy, ile elementów we wzorze, łącząc usługi ICT objęte ustaleniem umownym z funkcjami podmiotu finansowego.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcja wypełniania

Obowiązkowość wypełniania

B_02.02.0010

Numer referencyjny ustalenia umownego

Ciąg alfanumeryczny

Jak zgłoszono w B_02.01.0010

Obowiązkowo

B_02.02.0020

LEI podmiotu finansowego korzystającego z usług ICT

Ciąg alfanumeryczny

Jak zgłoszono w B_04.01.0020

Należy określić podmiot finansowy korzystający z usług ICT za pomocą LEI - 20-znakowego kodu alfanumerycznego opartego na normie ISO 17442.

Obowiązkowo

B_02.02.0030

Kod identyfikacyjny zewnętrznego dostawcy usług ICT

Ciąg alfanumeryczny

Jak zgłoszono w B_05.01.0010

Kod identyfikujący zewnętrznego dostawcę usług ICT, jak zgłoszono w B_05.01.0010 dla tego dostawcy.

Obowiązkowo

B_02.02.0040

Rodzaj kodu służącego do identyfikacji zewnętrznego dostawcy usług ICT

Schemat

Jak zgłoszono w B_05.01.0020

Rodzaj kodu identyfikującego zewnętrznego dostawcę usług ICT w B_02.02.0030, jak zgłoszono w B_05.01.0020 dla tego dostawcy.

Obowiązkowo

B_02.02.0050

Identyfikator funkcji

Schemat

Jak zostało to wskazane przez podmiot finansowy w B_06.01.0010

Obowiązkowo

B_02.02.0060

Rodzaj usług ICT

Zamknięty zestaw wariantów

Jeden z rodzajów usług ICT, o których mowa w załączniku III

Obowiązkowo

B_02.02.0070

Data rozpoczęcia ustalenia umownego

Data

Należy podać datę wejścia w życie ustalenia umownego wskazaną w ustaleniu umownym za pomocą kodu ISO 8601 (rrrr-mm-dd).

Obowiązkowo

B_02.02.0080

Data zakończenia ustalenia umownego

Data

Należy podać datę zakończenia wskazaną w ustaleniu umownym za pomocą kodu ISO 8601 (rrrr-mm-dd). W przypadku gdy ustalenie umownego zostało zawarte na czas nieokreślony, należy wpisać „9999-12-31”. W przypadku gdy ustalenie umowne zostało rozwiązane w dniu innym niż data zakończenia, należy podać datę rozwiązania.

W przypadku gdy ustalenie umowne przewiduje przedłużenie, należy podać datę przedłużenia określoną w ustaleniu umownym.

Obowiązkowo

B_02.02.0090

Przyczyna rozwiązania lub zakończenia ustalenia umownego

Zamknięty zestaw wariantów

Jeżeli ustalenie umowne zostało rozwiązane lub zakończone, należy wskazać przyczynę jego rozwiązania lub zakończenia, wybierając jeden z wariantów z poniższej listy zamkniętej:

1.	Rozwiązanie bez przyczyny: ustalenie umowne wygasło/dobiegło końca i nie zostało przedłużone przez żadną ze stron;

2.	Rozwiązanie ze względu na przyczynę: ustalenie umowne zostało rozwiązane, ponieważ zewnętrzny dostawca usług ICT naruszył mające zastosowanie przepisy ustawowe, wykonawcze lub umowne;

3.	Rozwiązanie ze względu na przyczynę: ustalenie umowne zostało rozwiązane, ponieważ zidentyfikowano przeszkody dla zewnętrznego dostawcy usług ICT, które mogą zmienić wspieraną funkcję;

4.	Rozwiązanie ze względu na przyczynę: ustalenie umowne zostało rozwiązane z powodu uchybień ze strony zewnętrznego dostawcy usług ICT w zakresie zarządzania danymi wrażliwymi lub informacjami dotyczącymi któregokolwiek z kontrahentów oraz w zakresie bezpieczeństwa tych danych lub informacji;

5.	Rozwiązanie na wniosek właściwego organu: ustalenie umowne zostało rozwiązane na wniosek właściwego organu;

6.	Inna przyczyna: ustalenie umowne zostało rozwiązane przez którąkolwiek ze stron z jakiegokolwiek innego powodu niż przyczyny, o których mowa w pkt 1-5.

Obowiązkowo w przypadku rozwiązania ustalenia umownego

B_02.02.0100

Okres wypowiedzenia obowiązujący podmiot finansowy korzystający z usług ICT

Liczba naturalna

Należy wskazać okres wypowiedzenia ustalenia umownego w przypadku jego wypowiedzenia przez podmiot finansowy w zwyczajowym przypadku. Okres wypowiedzenia wyraża się jako liczbę dni kalendarzowych od otrzymania przez kontrahenta wypowiedzenia w odniesieniu do usługi ICT.

Obowiązkowo, jeżeli usługa ICT wspiera krytyczną lub istotną funkcję

B_02.02.0110

Okres wypowiedzenia obowiązujący zewnętrznego dostawcę usług ICT

Liczba naturalna

Należy wskazać okres wypowiedzenia ustalenia umownego w przypadku jego wypowiedzenia przez bezpośredniego zewnętrznego dostawcę usług ICT w zwyczajowym przypadku. Okres wypowiedzenia wyraża się jako liczbę dni kalendarzowych od otrzymania przez kontrahenta wypowiedzenia w odniesieniu do usługi ICT.

Obowiązkowo, jeżeli usługa ICT wspiera krytyczną lub istotną funkcję

B_02.02.0120

Państwo, którego przepisom podlega ustalenie umowne

Państwo

Należy wskazać państwo, którego przepisom podlega ustalenie umowne, za pomocą kodu ISO 3166-1 alfa-2.

Obowiązkowo, jeżeli usługa ICT wspiera krytyczną lub istotną funkcję

B_02.02.0130

Państwo świadczenia usług ICT

Państwo

Należy wskazać państwo, z którego świadczone są usługi ICT, za pomocą kodu ISO 3166-1 alfa-2.

Obowiązkowo, jeżeli usługa ICT wspiera krytyczną lub istotną funkcję

B_02.02.0140

Przechowywanie danych

[Tak/Nie]

Czy usługa ICT jest związana z przechowywaniem (lub czy przewiduje przechowywanie) danych (nawet tymczasowo)?

Jeden z wariantów z poniższej listy zamkniętej:

Tak;

Nie.

Obowiązkowo, jeżeli usługa ICT wspiera krytyczną lub istotną funkcję

B_02.02.0150

Lokalizacja danych odłożonych (przechowywanie)

Państwo

Należy wskazać państwo, w którym znajdują się dane odłożone (miejsce przechowywania danych), za pomocą kodu ISO 3166-1 alfa-2.

Jeżeli istnieje kilka państw, w których znajdują się dane, dla każdego państwa stosuje się dodatkowy wiersz lub dodatkowe wiersze.

Obowiązkowo, jeżeli w B_02.02.0140 zgłoszono „Tak”

B_02.02.0160

Lokalizacja zarządzania danymi (przetwarzanie)

Państwo

Należy wskazać państwo, w którym znajduje się miejsce zarządzania danymi (przetwarzanie), za pomocą kodu ISO 3166-1 alfa-2.

Jeżeli istnieje kilka państw, w których znajduje się miejsce zarządzania danymi, dla każdego państwa stosuje się dodatkowy wiersz lub dodatkowe wiersze.

Obowiązkowo, jeżeli usługa ICT opiera się na przetwarzaniu danych lub przewiduje przetwarzanie danych

B_02.02.0170

Wrażliwość danych przechowywanych przez zewnętrznego dostawcę usług ICT

Zamknięty zestaw wariantów

Należy określić poziom wrażliwości danych przechowywanych lub przetwarzanych przez zewnętrznego dostawcę usług ICT, wybierając jeden z wariantów z poniższej listy zamkniętej

Niski;

Średni;

Wysoki.

Decyduje najwyższy poziom wrażliwości: np. jeżeli poziom wrażliwości jest zarówno „średni”, jak i „wysoki”, należy wybrać wariant „wysoki”.

Obowiązkowo, jeżeli zewnętrzny dostawca usług ICT przechowuje dane i jeżeli usługa ICT wspiera krytyczną lub istotną funkcję lub jej istotną część

B_02.02.0180

Poziom zależności od usługi ICT wspierającej krytyczną lub istotną funkcję.

Zamknięty zestaw wariantów

Należy wybrać jeden z wariantów z poniższej listy zamkniętej:

1.	Nieistotna zależność;

2.	Niska zależność: zakłócenie w świadczeniu usług nie miałoby znaczącego wpływu na wspierane funkcje (brak przerwy w wykonywaniu funkcji, brak znacznej szkody) lub zakłócenie można wyeliminować szybko i przy minimalnym wpływie na wspierane funkcje;

3.	Znacząca zależność: zakłócenie w świadczeniu usług miałoby znaczący wpływ na wspierane funkcje, jeżeli zakłócenie trwa dłużej niż kilka minut/godzin, a także może ono spowodować szkody, ale nadal jest możliwe do opanowania;

4.	Całkowita zależność: w przypadku zakłócenia świadczenia usług wspierane funkcje zostałyby natychmiast i poważnie przerwane/uszkodzone przez długi okres.

Obowiązkowo, jeżeli usługa ICT wspiera krytyczną lub istotną funkcję lub jej istotną część

Instrukcje wypełnienia wzoru B_02.03 - Wykaz wewnątrzgrupowych ustaleń umownych

We wzorze B_02.03 określa się ustalenia umowne z tego samego łańcucha dostaw usług ICT za pomocą numerów referencyjnych wewnątrzgrupowych ustaleń umownych w przypadkach, gdy łańcuch dostaw usług ICT obejmuje dostawców usług ICT wewnątrz grupy, tj. gdy co najmniej jeden z zewnętrznych dostawców usług ICT w łańcuchu dostaw usług ICT jest podmiotem należącym do tej samej grupy co podmiot korzystający z usług ICT.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcja wypełniania

Obowiązkowość wypełniania

B_02.03.0010

Numer referencyjny ustalenia umownego

Ciąg alfanumeryczny

Numer referencyjny ustalenia umownego między podmiotem korzystającym ze świadczonych usług ICT a dostawcą usług ICT wewnątrz grupy.

Numer referencyjny ustalenia umownego jest niepowtarzalny i należy stosować go spójnie na przestrzeni czasu oraz w całej grupie.

Obowiązkowo

B_02.03.0020

Ustalenie umowne związane z ustaleniem umownym, o którym mowa w B_02.03.0010

Ciąg alfanumeryczny

Numer referencyjny ustalenia umownego dotyczący ustalenia umownego między dostawcą usług ICT wewnątrz grupy, który jest stroną ustalenia umownego określonego w B_02.03.0010, a jego bezpośrednim zewnętrznym dostawcą usług ICT.

Obowiązkowo

Instrukcje wypełniania wzoru B_03.01 - Podmioty zawierające ustalenia umowne w celu otrzymywania usług ICT w imieniu podmiotów korzystających z usług ICT

Należy określić wszystkie podmioty finansowe, o których mowa we wzorze B_01.02, zawierające ustalenia umowne, o których mowa we wzorze B_02.01, dotyczące otrzymywania usług ICT. Jeżeli rejestr informacji jest prowadzony i aktualizowany na poziomie podmiotu, podmiotem finansowym zawierającym ustalenia umowne jest podmiot finansowy prowadzący i aktualizujący rejestr informacji.

Podmiot zawierający ustalenie umowne niekoniecznie jest podmiotem finansowym lub podmiotem finansowym korzystającym z usług ICT świadczonych przez zewnętrznego dostawcę usług ICT.

Na przykład podmiotem zawierającym ustalenie umowne, o którym mowa w akapicie drugim, może być dostawca usług ICT wewnątrz grupy, podmiot finansowy lub niefinansowy należący do tej samej grupy podmiotów finansowych korzystających z usług ICT świadczonych przez zewnętrznego dostawcę usług ICT.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcja wypełniania

Obowiązkowość wypełniania

B_03.01.0010

Numer referencyjny ustalenia umownego

Ciąg alfanumeryczny

Jak zgłoszono w B_02.02.0010

Należy podać numer referencyjny ustalenia umownego zawartego przez przedsiębiorstwo.

Obowiązkowo

B_03.01.0020

LEI podmiotu zawierającego ustalenie umowne

Ciąg alfanumeryczny

Należy określić przedsiębiorstwo zawierające ustalenie umowne za pomocą LEI - 20-znakowego kodu alfanumerycznego opartego na normie ISO 17442 lub EUID.

Obowiązkowo

Instrukcje wypełniania wzoru B_03.02 - Zewnętrzni dostawcy usług ICT zawierający ustalenia umowne dotyczące świadczenia usług ICT

Należy określić wszystkich zewnętrznych dostawców usług ICT, o których mowa we wzorze B_05.01, zawierających ustalenia umowne, o których mowa we wzorze B_02.01, dotyczące świadczenia usług ICT.

Kod kolumny	Nazwa kolumny	Rodzaj	Instrukcja wypełniania	Obowiązkowość wypełniania
B_03.02.0010	Numer referencyjny ustalenia umownego	Ciąg alfanumeryczny	Jak zgłoszono w B_02.02.0010 Należy podać numer referencyjny ustalenia umownego zawartego przez zewnętrznego dostawcę usług ICT	Obowiązkowo
B_03.02.0020	Kod identyfikacyjny zewnętrznego dostawcy usług ICT	Ciąg alfanumeryczny	Jak zgłoszono w B_05.01.0010 Kod identyfikujący zewnętrznego dostawcę usług ICT, jak zgłoszono w B_05.01.0020 dla tego dostawcy.	Obowiązkowo
B_03.02.0030	Rodzaj kodu służącego do identyfikacji zewnętrznego dostawcy usług ICT	Schemat	Jak zgłoszono w B_05.01.0020 Rodzaj kodu identyfikującego zewnętrznego dostawcę usług ICT w B_03.02.0020, jak zgłoszono w B_05.01.0020 dla tego dostawcy.	Obowiązkowo

Instrukcje wypełniania wzoru B_03.03 - Podmioty zawierające ustalenia umowne dotyczące świadczenia usług ICT na rzecz innych podmiotów objętych konsolidacją

Należy określić wszystkie podmioty finansowe, o których mowa we wzorze B_01.02 i które zawarły ustalenia umowne, o których mowa we wzorze B_02.01, dotyczące świadczenia usług ICT na rzecz innych podmiotów objętych konsolidacją, o których mowa we wzorze B_01.02.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcja wypełniania

Obowiązkowość wypełniania

B_03.03.0010

Numer referencyjny ustalenia umownego

Ciąg alfanumeryczny

Jak zgłoszono w B_02.02.0010

Należy podać numer referencyjny zawartego przez podmiot ustalenia umownego dotyczącego świadczenia usług ICT.

Obowiązkowo

B_03.03.0020

LEI podmiotu finansowego świadczącego usługi ICT

Ciąg alfanumeryczny

Jak zgłoszono w B_01.02.0010

Należy określić podmioty świadczący usługi ICT za pomocą LEI - 20-znakowego kodu alfanumerycznego opartego na normie ISO 17442.

Obowiązkowo

Instrukcje wypełniania wzoru B_04.01 - Podmioty finansowe korzystające z usług ICT

W tym wzorze należy określić wszystkie podmioty finansowe, o których mowa we wzorze B_01.02, oraz oddziały podmiotów finansowych, o których mowa we wzorze B_01.03, korzystające z usług ICT świadczonych przez zewnętrznego dostawcę usług ICT.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcja wypełniania

Obowiązkowość wypełniania

B_04.01.0010

Numer referencyjny ustalenia umownego

Ciąg alfanumeryczny

Jak zgłoszono w B_02.01.0010

Należy podać numer referencyjny ustalenia umownego w odniesieniu do podmiotu finansowego korzystającego ze świadczonych usług ICT.

Obowiązkowo

B_04.01.0020

LEI podmiotu finansowego korzystającego z usług ICT

Ciąg alfanumeryczny

Należy określić podmiot finansowy korzystający z usług ICT za pomocą LEI - 20-znakowego kodu alfanumerycznego opartego na normie ISO 17442.

Obowiązkowo

B_04.01.0030

Charakter podmiotu finansowego korzystającego z usług ICT

Zamknięty zestaw wariantów

Należy wybrać jeden z wariantów z poniższej listy zamkniętej:

1.	Podmiot finansowy korzystający z usług ICT jest oddziałem podmiotu finansowego

2.	Podmiot finansowy korzystający z usług ICT nie jest oddziałem

Obowiązkowo

B_04.01.0040

Kod identyfikacyjny oddziału

Ciąg alfanumeryczny

Kod identyfikacyjny oddziału, jak zgłoszono w B_01.03.0010

Obowiązkowo, jeżeli podmiot finansowy korzystający z usług ICT jest oddziałem podmiotu finansowego (B_04.01.0030)

Instrukcje wypełniania wzoru B_05.01 - Zewnętrzny dostawca usług ICT

Podmioty finansowe identyfikują wszystkich odpowiednich zewnętrznych dostawców usług ICT, w tym:

a)	wszystkich bezpośrednich zewnętrznych dostawców usług ICT;

b)	wszystkich dostawców usług ICT wewnątrz grupy;

c)	wszystkich podwykonawców, których zidentyfikowano we wzorze B_05.02 dotyczącym łańcucha dostaw usług ICT;

wszystkie jednostki dominujące najwyższego szczebla zewnętrznych dostawców usług ICT wymienionych w lit. a), b) i c) powyżej.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcja wypełniania

Obowiązkowość wypełniania

B_05.01.0010

Kod identyfikacyjny zewnętrznego dostawcy usług ICT

Ciąg alfanumeryczny

Kod służący do identyfikacji zewnętrznego dostawcy usług ICT

Jeżeli stosuje się LEI, podaje się go jako 20-znakowy kod alfanumeryczny oparty na normie ISO 17442.

Jeżeli stosuje się EUID, podaje się go zgodnie z art. 9 rozporządzenia wykonawczego Komisji (UE) 2021/1042.

Obowiązkowo

B_05.01.0020

Rodzaj kodu służącego do identyfikacji zewnętrznego dostawcy usług ICT

Schemat

Rodzaj kodu służącego do identyfikacji zewnętrznego dostawcy usług ICT zgłoszonego w B_05.01.0010:

1.	„LEI” w przypadku LEI

2.	„EUID” w przypadku EUID

3.	„Kod państwa” + podkreślnik + „Rodzaj kodu” w przypadku kodu innego niż LEI i kodu innego niż EUID

Kod państwa: należy podać kod ISO 3166-1 alfa-2 państwa, w którym wydano drugi kod służący do identyfikacji zewnętrznego dostawcy usług ICT

Rodzaj kodu:

1.	CRN - numer wpisu do rejestru przedsiębiorców

2.	VAT - numer VAT

3.	PNR - numer paszportu

4.	NIN - krajowy numer identyfikacyjny

W odniesieniu do osób prawnych wskazanych w B_05.01.0070 stosuje się wyłącznie LEI lub EUID, natomiast alternatywny kod może być stosowany wyłącznie w odniesieniu do osoby fizycznej o statusie przedsiębiorcy.

W odniesieniu do osób prawnych, które nie mają siedziby w Unii, stosuje się wyłącznie LEI.

Obowiązkowo

B_05.01.0030

Dodatkowy kod identyfikacyjny zewnętrznego dostawcy usług ICT

Ciąg alfanumeryczny

Dodatkowy kod służący do identyfikacji zewnętrznego dostawcy usług ICT, jeżeli taki kod jest dostępny.

Opcjonalnie

B_05.01.0040

Rodzaj dodatkowego kodu identyfikacyjnego służącego do identyfikacji zewnętrznego dostawcy usług ICT

Schemat

Rodzaj dodatkowego kodu służącego do identyfikacji zewnętrznego dostawcy usług ICT zgłoszonego w B_05.01.0030:

1.	„LEI” - LEI

2.	„EUID” - EUID

3.	CRN - numer wpisu do rejestru przedsiębiorców

4.	VAT - numer VAT

5.	PNR - numer paszportu

6.	NIN - krajowy numer identyfikacyjny

W odniesieniu do osób prawnych wskazanych w B_05.01.0070 stosuje się LEI lub EUID, natomiast alternatywny kod może być stosowany wyłącznie w odniesieniu do osoby fizycznej o statusie przedsiębiorcy.

W odniesieniu do osób prawnych, które nie mają siedziby w Unii, stosuje się wyłącznie LEI.

Obowiązkowo, jeżeli zgłoszono B_05.01.0030

B_05.01.0050

Nazwa prawna zewnętrznego dostawcy usług ICT

Ciąg alfanumeryczny

Nazwa prawna zewnętrznego dostawcy usług ICT zgodnie z wpisem do rejestru handlowego zapisana alfabetem łacińskim, cyrylicą lub alfabetem greckim.

Obowiązkowo

B_05.01.0060

Nazwa zewnętrznego dostawcy usług ICT zapisana alfabetem łacińskim

Ciąg alfanumeryczny

Nazwa zewnętrznego dostawcy usług ICT zapisana alfabetem łacińskim.

Jeżeli nazwa zewnętrznego dostawcy usług ICT zgłoszona w B_05.01.0050 zapisana jest alfabetem łacińskim, należy ją powtórzyć również w tym polu danych.

Obowiązkowo

B_05.01.0070

Rodzaj osobowości prawnej zewnętrznego dostawcy usług ICT

Zamknięty zestaw wariantów

Należy wybrać jeden z wariantów z poniższej listy zamkniętej:

1.	Osoba prawna, z wyłączeniem osób fizycznych o statusie przedsiębiorcy

2.	Osoba fizyczna o statusie przedsiębiorcy

Obowiązkowo

B_05.01.0080

Państwo siedziby zewnętrznego dostawcy usług ICT

Państwo

Należy podać kod ISO 3166-1 alfa-2 państwa, w którym znajduje się globalna siedziba operacyjna zewnętrznego dostawcy usług ICT (zwykle państwem tym jest kraj rezydencji podatkowej).

Obowiązkowo

B_05.01.0090

Waluta kwoty zgłoszonej w B_05.01.0070

Waluta

Należy podać kod alfabetyczny ISO 4217 waluty użytej do wyrażenia kwoty w B_05.01.0100.

Obowiązkowo, jeżeli zgłoszono B_05.01.0100

B_05.01.0100

Całkowite roczne wydatki lub szacunkowe koszty związane z zewnętrznym dostawcą usług ICT

Wartość pieniężna

Roczne wydatki lub szacunkowe koszty z tytułu korzystania z usług ICT świadczonych przez zewnętrznego dostawcę usług ICT na rzecz podmiotów korzystających z usług ICT. Wartość pieniężną zgłasza się w jednostkach.

Obowiązkowo, jeżeli zewnętrzny dostawca usług ICT jest bezpośrednim zewnętrznym dostawcą usług ICT

B_05.01.0110

Kod identyfikacyjny jednostki dominującej najwyższego szczebla zewnętrznego dostawcy usług ICT

Ciąg alfanumeryczny

Kod służący do identyfikacji jednostki dominującej najwyższego szczebla zewnętrznego dostawcy usług ICT.

Kod stosowany do identyfikacji jednostki dominującej najwyższego w tym polu odpowiada kodowi identyfikacyjnemu podanemu w B_05.01.0010 dla tej jednostki dominującej najwyższego szczebla.

W przypadku gdy zewnętrzny dostawca usług ICT nie jest częścią grupy, kod identyfikacyjny zastosowany do identyfikacji tego zewnętrznego dostawcy usług ICT w B_05.01.0010 powtarza się również w tym polu danych.

Obowiązkowo, jeżeli zewnętrzny dostawca usług ICT nie jest jednostką dominującą najwyższego szczebla

B_05.01.0120

Rodzaj kodu służącego do identyfikacji jednostki dominującej najwyższego szczebla zewnętrznego dostawcy usług ICT

Schemat

Rodzaj kodu służącego do identyfikacji jednostki dominującej najwyższego szczebla zewnętrznego dostawcy usług ICT w B_05.01.0110.

Rodzaj kodu stosowanego do identyfikacji jednostki dominującej najwyższego szczebla w tym polu odpowiada kodowi identyfikacyjnemu podanemu w B_05.01.0020 dla tej jednostki dominującej najwyższego szczebla.

W przypadku gdy zewnętrzny dostawca usług ICT nie jest częścią grupy, rodzaju kodu identyfikacyjnego zastosowanego do identyfikacji tego zewnętrznego dostawcy usług ICT w B_05.01.0020 powtarza się również w tym polu danych.

Obowiązkowo, jeżeli zewnętrzny dostawca usług ICT nie jest jednostką dominującą najwyższego szczebla

Instrukcje wypełniania wzoru B_05.02 - Łańcuch dostaw usług ICT

W tym wzorze określa i łączy się zewnętrznych dostawców usług ICT, którzy razem są częścią tego samego łańcucha dostaw usług ICT.

Łańcuch dostaw usług ICT obejmuje, w stosownych przypadkach:

a)	wszystkich bezpośrednich zewnętrznych dostawców usług ICT;

b)	wszystkich dostawców usług ICT wewnątrz grupy;

w przypadku usług ICT wspierających krytyczną lub istotną funkcję lub jej istotną część - wszystkich podwykonawców, którzy faktycznie wspierają świadczenie tych usług ICT (tj. wszystkich podwykonawców świadczących usługi ICT, których zakłócenie mogłoby zagrozić bezpieczeństwu lub ciągłości świadczenia usług);

w przypadku gdy dostawca usług ICT wewnątrz grupy korzysta z usług podwykonawców w celu świadczenia swoich usług ICT na rzecz podmiotu finansowego - co najmniej pierwszego podwykonawcę spoza grupy, nawet jeżeli świadczone usługi ICT nie wspierają krytycznej lub istotnej funkcji lub jej istotnych części.

Wszyscy zewnętrzni dostawcy usług ICT należący do tego samego łańcucha dostaw usług ICT:

a)	mają ten sam „numer referencyjny ustalenia umownego”, o którym mowa we wzorze B_02.01;

b)	świadczą ten sam „rodzaj usług ICT”, o którym mowa w załączniku III;

Każdemu zewnętrznemu dostawcy usług ICT, który należy do tego samego łańcucha dostaw usług ICT, przypisuje się „rangę” (wzór B_05.02.0050) w celu określenia jego pozycji w łańcuchu dostaw usług ICT. W przypadku gdy wielu zewnętrznych dostawców usług ICT ma tę samą pozycję w tym samym łańcuchu dostaw usług ICT, dostawcom tym przypisuje się tę samą „rangę”. Zgodnie z art. 2 bezpośredni zewnętrzni dostawcy usług ICT mają zatem rangę 1. Jeżeli ranga jest wyższa niż 1, zewnętrzni dostawcy usług ICT są podwykonawcami.

W celu połączenia zewnętrznych dostawców usług ICT, którzy należą do tego samego łańcucha dostaw usług ICT, w odniesieniu do każdego podwykonawcy ICT (tj. w przypadku gdy „ranga” jest wyższa niż 1) podmioty finansowe określają zewnętrznego dostawcę usług ICT, który otrzymuje usługi od swoich podwykonawców. Identyfikacji zewnętrznego dostawcy usług ICT, który otrzymuje usługi od podwykonawców, dokonuje się w kolumnach B_05.02.0060 i B_05.02.0070.

W odniesieniu do każdego łańcucha dostaw usług ICT (tj. kombinacji „numeru referencyjnego ustalenia umownego” i „rodzaju usług ICT”), w przypadku gdy istnieje wielu zewnętrznych dostawców usług ICT otrzymujących usługi od podwykonawców, tych wszystkich dostawców usług należy wskazać w oddzielnych wierszach we wzorze. Ta sama logika ma zastosowanie do każdej rangi w łańcuchu dostaw usług ICT.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcja wypełniania

Obowiązkowość wypełniania

B_05.02.0010

Numer referencyjny ustalenia umownego

Ciąg alfanumeryczny

Jak zgłoszono w B_02.01.0010

Obowiązkowo

B_05.02.0020

Rodzaj usług ICT

Zamknięty zestaw wariantów

Jeden z rodzajów usług ICT, o których mowa w załączniku III

Obowiązkowo

B_05.02.0030

Kod identyfikacyjny zewnętrznego dostawcy usług ICT

Ciąg alfanumeryczny

Jak zgłoszono w B_05.01.0010 w odniesieniu do tego zewnętrznego dostawcy usług ICT.

Przykłady:

-	kod identyfikacyjny bezpośredniego zewnętrznego dostawcy usług ICT świadczącego usługę ICT na rzecz korzystającego z niej podmiotu finansowego;

-	kod identyfikacyjny podwykonawcy o randze 2 świadczącego usługę na rzecz bezpośredniego zewnętrznego dostawcy usług ICT.

Obowiązkowo

B_05.02.0040

Rodzaj kodu służącego do identyfikacji zewnętrznego dostawcy usług ICT

Schemat

Jak zgłoszono w B_05.01.0020 w odniesieniu do tego zewnętrznego dostawcy usług ICT.

Obowiązkowo

B_05.02.0050

Ranga

Liczba naturalna

W przypadku gdy zewnętrzny dostawca usług ICT zawiera ustalenie umowne z podmiotem finansowym, uznaje się go za bezpośredniego zewnętrznego dostawcę usług ICT, a „ranga”, którą należy zgłosić, to 1;

W przypadku gdy zewnętrzny dostawca usług ICT zawiera umowę z bezpośrednim zewnętrznym dostawcą usług ICT, uznaje się go za podwykonawcę, a „ranga”, którą należy zgłosić, to 2;

Ta sama logika ma zastosowanie do wszystkich dalszych podwykonawców poprzez zwiększenie „rangi”.

W przypadku gdy wielu zewnętrznych dostawców usług ICT ma tę samą „rangę” w łańcuchu dostaw usług ICT, podmioty finansowe zgłaszają tę samą „rangę” w odniesieniu do tych wszystkich zewnętrznych dostawców usług ICT.

Obowiązkowo

B_05.02.0060

Kod identyfikacyjny odbiorcy usług ICT zleconych podwykonawcom

Ciąg alfanumeryczny

Pole należy pozostawić puste, jeżeli zewnętrzny dostawca usług ICT (wzór B_05.02.0030) jest bezpośrednim zewnętrznym dostawcą usług ICT, tj. ma „rangę” r = 1 (wzór B_05.02.0050).

W przypadku gdy zewnętrzny dostawca usług ICT ma „rangę” r = n, gdzie n> 1, należy podać „kod identyfikacyjny odbiorcy usług zleconych podwykonawcom” o „randze” r=n-1, który to odbiorca zlecił podwykonawstwo usługi ICT (nawet częściowo) zewnętrznemu dostawcy usług ICT o „randze” r=n.

Przykłady:

-	kod identyfikacyjny bezpośredniego zewnętrznego dostawcy usług ICT otrzymującego usługę od podwykonawcy o randze 2;

-	kod identyfikacyjny podwykonawcy o randze 2 otrzymującego usługę od podwykonawcy o randze 3.

Kod stosowany do identyfikacji odbiorcy usług ICT zleconych podwykonawcom odpowiada kodowi identyfikacyjnemu podanemu w B_05.01.0010 dla tego dostawcy.

Obowiązkowo. Nie dotyczy w przypadku rangi 1

B_05.02.0070

Rodzaj kodu służącego do identyfikacji odbiorcy usług ICT zleconych podwykonawcom

Schemat

Pole należy pozostawić puste, jeżeli zewnętrzny dostawca usług ICT (wzór B_05.02.0030) ma rangę r = 1 (wzór B_05.02.0050).

W przypadku gdy zewnętrzny dostawca usług ICT ma „rangę” r = n, gdzie n> 1, należy podać „rodzaj kodu służącego do identyfikacji odbiorcy usług zleconych podwykonawcom” o „randze” r=n-1, który to odbiorca zlecił podwykonawstwo usługi ICT (nawet częściowo) zewnętrznemu dostawcy usług ICT o „randze” r=n.

1.	„LEI” - LEI

2.	„EUID” - EUID

3.	CRN - numer wpisu do rejestru przedsiębiorców

4.	VAT - numer VAT

5.	PNR - numer paszportu

6.	NIN - krajowy numer identyfikacyjny

Rodzaju kodu stosowanego do identyfikacji odbiorcy usług ICT zleconych podwykonawcom odpowiada kodowi identyfikacyjnemu podanemu w B_05.01.0020 dla tego dostawcy.

Obowiązkowo. Nie dotyczy w przypadku rangi 1

Instrukcje wypełniania wzoru B_06.01 - Określenie funkcji

Podmioty finansowe identyfikują wszystkie funkcje podmiotu finansowego, zgodnie z wewnętrzną organizacją podmiotu finansowego, wspierane przez usługę ICT świadczoną przez zewnętrznych dostawców usług ICT oraz przekazują informacje na temat wszystkich tych funkcji.

Każda kombinacja następujących elementów posiada przypisany niepowtarzalny identyfikator funkcji:

a)	„LEI podmiotu finansowego korzystającego z usług ICT”, kolumna B_06.01.0040;

b)	„Licencjonowana działalność”, kolumna B_06.01.0020;

c)	„Nazwa funkcji”, kolumna B_06.01.0030.

Aby wypełnić ten wzór, podmioty finansowe wykorzystują tyle wierszy, ile elementów we wzorze, łącząc powyższe dwie pozycje.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcje wypełniania

Obowiązkowość wypełniania

B_06.01.0010

Identyfikator funkcji

Schemat

Identyfikator funkcji składa się z litery F (wielka litera), po której następuje liczba naturalna (np. „F1” dla identyfikatora pierwszej funkcji i „Fn” dla identyfikatora n-tej funkcji, przy czym „n” jest liczbą naturalną).

Każda kombinacja, na którą składa się „LEI podmiotu finansowego korzystającego z usług ICT” (B_06.01.0040), „Nazwa funkcji” (B_06.01.0030) i „Licencjonowana działalność” (B_06.01.0020), musi posiadać niepowtarzalny identyfikator funkcji.

Przykład: podmiot finansowy, który prowadzi działalność w ramach dwóch licencjonowanych rodzajów działalności („działalność A” i „działalność B”), otrzyma dwa niepowtarzalne „identyfikatory funkcji” dla tej samej funkcji X (np. sprzedaż) wykonywanej dla działalności A i działalności B.

Obowiązkowo

B_06.01.0020

Licencjonowana działalność

Zamknięty zestaw wariantów

Jeden z rodzajów licencjonowanej działalności, o których mowa w bazowych aktach prawnych wymienionych w załączniku II, w odniesieniu do różnych rodzajów podmiotów finansowych.

Jeżeli funkcja nie jest powiązana z działalnością zarejestrowaną lub licencjonowaną, należy zgłosić „funkcje wsparcia”.

Obowiązkowo

B_06.01.0030

Nazwa funkcji

Ciąg alfanumeryczny

Nazwa funkcji zgodnie z wewnętrzną organizacją podmiotu finansowego.

Obowiązkowo

B_06.01.0040

LEI podmiotu finansowego

Ciąg alfanumeryczny

Jak zgłoszono w B_04.01.0020

Należy określić podmiot finansowy za pomocą LEI - 20-znakowego kodu alfanumerycznego opartego na normie ISO 17442.

Obowiązkowo

B_06.01.0060

Ocena krytyczności lub istotności

Zamknięty zestaw wariantów

W tej kolumnie należy wskazać, czy funkcja jest krytyczna lub istotna zgodnie z oceną podmiotu finansowego. Należy wybrać jeden z wariantów z poniższej listy zamkniętej:

Tak;

Nie;

3.	Nie przeprowadzono oceny.

Obowiązkowo

B_06.01.0070

Przyczyny krytyczności lub istotności

Ciąg alfanumeryczny

Krótkie wyjaśnienie powodów zaklasyfikowania danej funkcji jako krytycznej lub istotnej (maksymalnie 300 znaków)

Opcjonalnie

B_06.01.0080

Data ostatniej oceny krytyczności lub istotności

Data

Należy podać datę ostatniej oceny krytyczności lub istotności w formacie ISO 8601 (rrrr-mm-dd), w przypadku gdy funkcja jest wspierana przez usługi ICT świadczone przez zewnętrznych dostawców usług ICT.

W przypadku gdy ocena krytyczności lub istotności funkcji nie została przeprowadzona, należy wpisać „9999-12-31”.

Obowiązkowo

B_06.01.0090

Zakładany czas przywrócenia systemów w odniesieniu do funkcji

Liczba naturalna

Liczba godzin. Jeżeli zakładany czas przywrócenia systemów jest krótszy niż 1 godzina, należy wpisać „1”. Jeżeli zakładany czas przywrócenia systemów nie jest zdefiniowany, należy wpisać „0”.

Obowiązkowo

B_06.01.0100

Akceptowalny poziom utraty danych w odniesieniu do funkcji

Liczba naturalna

Liczba godzin. Jeżeli akceptowalny poziom utraty danych wynosi mniej niż 1 godzinę, należy wpisać „1”. Jeżeli akceptowalny poziom utraty danych nie jest zdefiniowany, należy wpisać „0”.

Obowiązkowo

B_06.01.0110

Wpływ zaprzestania realizacji funkcji

Zamknięty zestaw wariantów

W tej kolumnie należy wskazać wpływ zaprzestania realizacji funkcji zgodnie z oceną podmiotu finansowego. Należy wybrać jeden z wariantów z poniższej listy zamkniętej:

Mały;

Średni;

Duży;

4.	Nie przeprowadzono oceny.

Obowiązkowo

Instrukcje wypełniania wzoru B_07.01 - Ocena usług ICT

W przypadku usług ICT wspierających krytyczną lub istotną funkcję lub jej istotne części wzór ten umożliwia dalszą ocenę usług ICT świadczonych przez zewnętrznych dostawców usług ICT, w tym przez pierwszego podwykonawcę spoza grupy w łańcuchu dostaw usług ICT, gdy poprzedni zewnętrzni dostawcy usług ICT są dostawcami wewnątrz grupy, na rzecz podmiotu finansowego.

Kod kolumny

Nazwa kolumny

Rodzaj

Instrukcja wypełniania

Obowiązkowość wypełniania

B_07.01.0010

Numer referencyjny ustalenia umownego

Ciąg alfanumeryczny

Jak zgłoszono w B_02.01.0010

Obowiązkowo

B_07.01.0020

Kod identyfikacyjny zewnętrznego dostawcy usług ICT

Ciąg alfanumeryczny

Jak zgłoszono w B_05.01.0010

Obowiązkowo

B_07.01.0030

Rodzaj kodu służącego do identyfikacji zewnętrznego dostawcy usług ICT

Schemat

Jak zgłoszono w B_05.01.0020

Obowiązkowo

B_07.01.0040

Rodzaj usług ICT

Zamknięty zestaw wariantów

Jeden z rodzajów usług ICT, o których mowa w załączniku III

Obowiązkowo

B_07.01.0050

Możliwość zastąpienia zewnętrznego dostawcy usług ICT

Zamknięty zestaw wariantów

W tej kolumnie należy podać wyniki oceny przeprowadzonej przez podmiot finansowy w odniesieniu do stopnia możliwości zastąpienia zewnętrznego dostawcy usług ICT w celu wykonywania określonych usług ICT wspierających krytyczną lub istotną funkcję.

Należy wybrać jeden z wariantów z poniższej listy zamkniętej:

1.	Nie można zastąpić;

2.	Bardzo złożone zastąpienie;

3.	Średnio złożone zastąpienie;

4.	Łatwe zastąpienie.

Obowiązkowo

B_07.01.0060

Powód, dla którego uznaje się, że nie można zastąpić zewnętrznego dostawcy usług ICT lub że trudno jest go zastąpić

Zamknięty zestaw wariantów

Należy wybrać jeden z wariantów z poniższej listy zamkniętej:

Brak realnych alternatyw, nawet częściowych, ze względu na ograniczoną liczbę zewnętrznych dostawców usług ICT działających na określonym rynku lub udział w rynku danego zewnętrznego dostawcy usług ICT, bądź techniczną złożoność lub techniczny stopień zaawansowania, w tym w odniesieniu do jakiejkolwiek zastrzeżonej technologii, bądź szczególne cechy organizacji lub działalności tego dostawcy;

Trudności z częściową lub całkowitą migracją stosownych danych i wymaganych zasobów obliczeniowych od danego zewnętrznego dostawcy usług ICT do innego zewnętrznego dostawcy usług ICT lub poprzez ich ponowne włączenie do działalności podmiotu finansowego, ze względu na znaczące koszty finansowe, czas lub inne zasoby, które mogą wiązać się z procesem migracji, lub ze względu na zwiększone ryzyko związane z ICT lub inne ryzyko operacyjne, na które podmiot finansowy może być narażony w wyniku takiej migracji.

3.	Oba powody, o których mowa w pkt 1 i 2.

Obowiązkowo, w przypadku gdy w B_07.01.0041 wybrano wariant „Nie można zastąpić” lub „Bardzo złożone zastąpienie”

B_07.01.0070

Data ostatniej kontroli zewnętrznego dostawcy usług ICT

Data

W tej kolumnie należy podać datę ostatniej kontroli konkretnych usług ICT świadczonych przez zewnętrznego dostawcę usług ICT.

Kolumna ta dotyczy kontroli przeprowadzonych przez dowolną z poniższych jednostek:

a)	dział audytu wewnętrznego lub inny dodatkowy wykwalifikowany personel podmiotu finansowego;

b)	wspólny zespół, wraz z innymi klientami tego samego zewnętrznego dostawcy usług ICT („kontrola zbiorcza”);

c)	osoba trzecia wyznaczona przez nadzorowany podmiot do przeprowadzania kontroli dostawcy usług.

Kolumna ta nie dotyczy daty otrzymania lub daty odniesienia dla certyfikacji zewnętrznych lub sprawozdań z kontroli wewnętrznej zewnętrznego dostawcy usług ICT, daty rocznego monitorowania ustalenia przez podmiot finansowy ani daty przeglądu oceny ryzyka przeprowadzonej przez podmiot finansowy.

Kolumnę tę wykorzystuje się do zgłaszania wszystkich rodzajów kontroli przeprowadzonych przez dowolną z jednostek, o których mowa w lit. a), b) i c), dotyczących w całości lub częściowo usług ICT świadczonych przez zewnętrznego dostawcę usług ICT.

Datę należy podać z użyciem kodu ISO 8601 (rrrr-mm-dd).

Jeżeli nie przeprowadzono kontroli, należy wpisać „9999-12-31”.

Obowiązkowo

B_07.01.0080

Istnienie planu wyjścia

[Tak/Nie]

W tej kolumnie należy zgłosić istnienie planu wyjścia zakładającego rezygnację z usług zewnętrznego dostawcy usług ICT w odniesieniu do konkretnej świadczonej usługi ICT.

Należy wybrać jeden z wariantów z poniższej listy zamkniętej:

Tak;

Nie.

Obowiązkowo

B_07.01.0090

Możliwość ponownego włączenia usługi ICT będącej przedmiotem umowy

Zamknięty zestaw wariantów

Należy wybrać jeden z wariantów z poniższej listy zamkniętej:

Łatwa;

2.	Utrudniona;

3.	Bardzo złożona.

Należy użyć tej kolumny, jeżeli usługa ICT jest świadczona przez zewnętrznego dostawcę usług ICT, który nie jest dostawcą usług ICT wewnątrz grupy.

Obowiązkowo

B_07.01.0100

Wpływ zaprzestania świadczenia usług ICT

Zamknięty zestaw wariantów

W tej kolumnie należy określić wpływ zaprzestania realizacji usług ICT świadczonych przez zewnętrznego dostawcę usług ICT na podmiot finansowy zgodnie z oceną podmiotu finansowego.

Należy wybrać jeden z wariantów z poniższej listy zamkniętej:

Mały;

Średni;

Duży;

4.	Nie przeprowadzono oceny.

Obowiązkowo

B_07.01.0110

Czy określono alternatywnych zewnętrznych dostawców usług ICT?

Zamknięty zestaw wariantów

Należy wybrać jeden z wariantów z poniższej listy zamkniętej:

Tak;

Nie;

7.	Nie przeprowadzono oceny.

W odniesieniu do każdego zewnętrznego dostawcy usług ICT wspierającego krytyczną lub istotną funkcję przeprowadza się ocenę mającą na celu wskazanie alternatywnego dostawcy usług.

Obowiązkowo

B_07.01.0120

Identyfikacja alternatywnego zewnętrznego dostawcy usług ICT

Ciąg alfanumeryczny

Jeżeli w B_07.01.0110 zgłoszono „Tak”, w tej kolumnie można podać dodatkowe informacje.

Opcjonalnie

Instrukcje wypełniania wzoru B_99.01 - Terminologia stosowana przez podmioty finansowe korzystające z usług ICT

Podmioty finansowe przedstawiają wewnętrznie obowiązujące wyjaśnienia, znaczenia i definicje zamkniętego zbioru wskaźników i wariantów stosowanych przez nie w rejestrze informacji.

B_99.01.C0010

B_99.01.C0020

B_99.01.C0030

B_99.01.C0040

Kod kolumny

Nazwa kolumny

Wariant

Opis/wewnętrzna definicja wariantu

B_99.01.R0010

B_02.01.0020

Rodzaj ustalenia umownego

1.	Ustalenie samodzielne

B_99.01.R0020

2.	Ustalenie nadrzędne

B_99.01.R0030

3.	Kolejne lub powiązane ustalenie

B_99.01.R0040

B_02.02.0170

Wrażliwość danych przechowywanych przez zewnętrznego dostawcę usług ICT

Niska

B_99.01.R0050

Średnia

B_99.01.R0060

Wysoka

B_99.01.R0070

B_06.01.0110

Wpływ zaprzestania realizacji funkcji

Mały

B_99.01.R0080

Średni

B_99.01.R0090

Wysoki

B_99.01.R0100

B_07.01.0050

Możliwość zastąpienia zewnętrznego dostawcy usług ICT

1.	Nie można zastąpić

B_99.01.R0110

2.	Bardzo złożone zastąpienie

B_99.01.R0120

3.	Średnio złożone zastąpienie

B_99.01.R0130

4.	Łatwe zastąpienie

B_99.01.R0140

B_07.01.0090

Możliwość ponownego włączenia usługi ICT będącej przedmiotem umowy

Łatwa

B_99.01.R0150

2.	Utrudniona

B_99.01.R0160

3.	Bardzo złożona

B_99.01.R0170

B_07.01.0100

Wpływ zaprzestania świadczenia usług ICT

Mały

B_99.01.R0180

Średni

B_99.01.R0190

Wysoki

(1) Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/2366 z dnia 25 listopada 2015 r. w sprawie usług płatniczych w ramach rynku wewnętrznego, zmieniająca dyrektywy 2002/65/WE, 2009/110/WE, 2013/36/UE i rozporządzenie (UE) nr 1093/2010 oraz uchylająca dyrektywę 2007/64/WE (Dz.U. L 337 z 23.12.2015, s. 35, ELI: http://data.europa.eu/eli/dir/2015/2366/oj).

(2) Dyrektywa Parlamentu Europejskiego i Rady 2009/110/WE z dnia 16 września 2009 r. w sprawie podejmowania i prowadzenia działalności przez instytucje pieniądza elektronicznego oraz nadzoru ostrożnościowego nad ich działalnością, zmieniająca dyrektywy 2005/60/WE i 2006/48/WE oraz uchylająca dyrektywę 2000/46/WE (Dz.U. L 267 z 10.10.2009, s. 7, ELI: http://data.europa.eu/eli/dir/2009/110/oj).

(3) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1114 z dnia 31 maja 2023 r. w sprawie rynków kryptoaktywów oraz zmiany rozporządzeń (UE) nr 1093/2010 i (UE) nr 1095/2010 oraz dyrektyw 2013/36/UE i (UE) 2019/1937 (Dz.U. L 150 z 9.6.2023, s. 40, ELI: http://data.europa.eu/eli/reg/2023/1114/oj).

ZAŁĄCZNIK II

Wykaz rodzajów działalności według rodzaju podmiotu

Rodzaj podmiotu

Wykaz rodzajów działalności i usług

a)	instytucje kredytowe

Rodzaje działalności wymienione w załączniku I do dyrektywy 2013/36/UE oraz rodzaje działalności wymienione w sekcjach A i B załącznika I do dyrektywy 2014/65/UE

b)	instytucje płatnicze, w tym instytucje płatnicze zwolnione zgodnie z dyrektywą (UE) 2015/2366

Rodzaje działalności wymienione w załączniku I do dyrektywy (UE) 2015/2366

c)	dostawcy świadczący usługę dostępu do informacji o rachunku;

Usługi dostępu do informacji o rachunku, o których mowa w pkt 8 załącznika I do dyrektywy (UE) 2015/2366

d)	instytucje pieniądza elektronicznego, w tym instytucje pieniądza elektronicznego zwolnione zgodnie z dyrektywą 2009/110/WE

Emisja pieniądza elektronicznego zgodnie z dyrektywą 2009/110/WE oraz rodzaje działalności wymienione w załączniku I do dyrektywy (UE) 2015/2366

e)	firmy inwestycyjne

Usługi inwestycyjne i działalność inwestycyjna wymienione w sekcjach A i B załącznika I do dyrektywy 2014/65/UE

f)	dostawcy usług w zakresie kryptoaktywów posiadający zezwolenie na podstawie rozporządzenia (UE) 2023/1114

Usługi i rodzaje działalności wymienione w art. 3 pkt 16 rozporządzenia (UE) 2023/1114

g)	emitenci tokenów powiązanych z aktywami posiadający zezwolenie na podstawie rozporządzenia (UE) 2023/1114

Działalność, o której mowa w art. 16 ust. 1 rozporządzenia (UE) 2023/1114

h)	centralne depozyty papierów wartościowych

Rodzaje działalności wymienione w załączniku do rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 909/2014 (1)

i)	kontrahenci centralni

Działalność kontrahentów centralnych zdefiniowana w art. 2 pkt 1 rozporządzenia (UE) nr 648/2012

j)	systemy obrotu

Działalność systemów obrotu zdefiniowana w art. 4 ust. 1 pkt 21-24 dyrektywy 2014/65/UE

k)	repozytoria transakcji

Rodzaje działalności repozytoriów transakcji zdefiniowane w art. 2 pkt 2 rozporządzenia (UE) nr 648/2012 oraz w art. 3 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2015/2365 (2)

l)	zarządzający alternatywnymi funduszami inwestycyjnymi

Rodzaje działalności wymienione w art. 6 ust. 4 i w załączniku I do dyrektywy Parlamentu Europejskiego i Rady 2011/61/UE (3)

m)	spółki zarządzające

Rodzaje działalności wymienione w art. 6 ust. 3 i w załączniku II do dyrektywy Parlamentu Europejskiego i Rady 2009/65/WE (4)

n)	dostawcy usług w zakresie udostępniania informacji

Usługi, o których mowa w art. 2 ust. 1 pkt 34, 35 i 36 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 600/2014 (5)

o)	zakłady ubezpieczeń i zakłady reasekuracji

Rodzaje działalności, na które wydano zezwolenie w odniesieniu do (i) grup ubezpieczeń innych niż ubezpieczenia na życie, o których mowa w sekcji B załącznika I do dyrektywy Parlamentu Europejskiego i Rady 2009/138/WE (6); (ii) grup ubezpieczeń na życie, o których mowa w załączniku II do tej dyrektywy; (iii) działalności reasekuracyjnej w zakresie ubezpieczeń innych niż ubezpieczenia na życie oraz (iv) działalności reasekuracyjnej w zakresie ubezpieczeń na życie, o których to rodzajach działalności mowa w art. 15 ust. 5 tej dyrektywy.

p)	pośrednicy ubezpieczeniowi, pośrednicy reasekuracyjni i pośrednicy oferujący ubezpieczenia uzupełniające

Działalność w zakresie dystrybucji produktów ubezpieczeń i reasekuracji zdefiniowana w art. 2 ust. 1 pkt 1 i 2 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/97 (7)

q)	instytucje pracowniczych programów emerytalnych

Działalność instytucji pracowniczych programów emerytalnych, o której mowa w art. 7 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/2341 (8)

r)	agencje ratingowe

Działalność agencji ratingowych, o której mowa w art. 3 ust. 1 lit. a) i b) rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 1060/2009 (9)

s)	administratorzy kluczowych wskaźników referencyjnych

Opracowywanie wskaźników referencyjnych przez administratorów, jak zdefiniowano w art. 3 ust. 1 pkt 5 i 6 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/1011, w odniesieniu do kluczowych wskaźników referencyjnych zdefiniowanych w art. 3 ust. 1 pkt 25 tego rozporządzenia

t)	dostawcy usług finansowania społecznościowego

Świadczenie usług finansowania społecznościowego zgodnie z art. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2020/1503 (10)

u)	repozytoria sekurytyzacji

Działalność repozytoriów sekurytyzacji zdefiniowana w art. 2 pkt 23 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/2402 (11) oraz art. 1 pkt 4-5 rozporządzenia delegowanego Komisji (UE) 2020/1230 (12)

Podmiot niefinansowy: dostawca usług ICT wewnątrz grupy

Nie dotyczy

Podmiot niefinansowy: inny podmiot wewnątrz grupy

Nie dotyczy

Podmiot niefinansowy: zewnętrzny dostawca usług ICT

Nie dotyczy

(1) Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 909/2014 z dnia 23 lipca 2014 r. w sprawie usprawnienia rozrachunku papierów wartościowych w Unii Europejskiej i w sprawie centralnych depozytów papierów wartościowych, zmieniające dyrektywy 98/26/WE i 2014/65/UE oraz rozporządzenie (UE) nr 236/2012 (Dz.U. L 257 z 28.8.2014, s. 1, ELI: http://data.europa.eu/eli/reg/2014/909/oj).

(2) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2015/2365 z dnia 25 listopada 2015 r. w sprawie przejrzystości transakcji finansowanych z użyciem papierów wartościowych i ponownego wykorzystania oraz zmiany rozporządzenia (UE) nr 648/2012 (Dz.U. L 337 z 23.12.2015, s. 1, ELI: http://data.europa.eu/eli/reg/2015/2365/oj).

(3) Dyrektywa Parlamentu Europejskiego i Rady 2011/61/UE z dnia 8 czerwca 2011 r. w sprawie zarządzających alternatywnymi funduszami inwestycyjnymi i zmiany dyrektyw 2003/41/WE i 2009/65/WE oraz rozporządzeń (WE) nr 1060/2009 i (UE) nr 1095/2010 (Dz.U. L 174 z 1.7.2011, s. 1, ELI: http://data.europa.eu/eli/dir/2011/61/oj).

(4) Dyrektywa Parlamentu Europejskiego i Rady 2009/65/WE z dnia 13 lipca 2009 r. w sprawie koordynacji przepisów ustawowych, wykonawczych i administracyjnych odnoszących się do przedsiębiorstw zbiorowego inwestowania w zbywalne papiery wartościowe (UCITS) (Dz.U. L 302 z 17.11.2009, s. 32, ELI: http://data.europa.eu/eli/dir/2009/65/oj).

(5) Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 600/2014 z dnia 15 maja 2014 r. w sprawie rynków instrumentów finansowych oraz zmieniające rozporządzenie (UE) nr 648/2012 (Dz.U. L 173 z 12.6.2014, s. 84, ELI: http://data.europa.eu/eli/reg/2014/600/oj).

(6) Dyrektywa Parlamentu Europejskiego i Rady 2009/138/WE z dnia 25 listopada 2009 r. w sprawie podejmowania i prowadzenia działalności ubezpieczeniowej i reasekuracyjnej (Wypłacalność II) (Dz.U. L 335 z 17.12.2009, s. 1, ELI: http://data.europa.eu/eli/dir/2009/138/oj).

(7) Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/97 z dnia 20 stycznia 2016 r. w sprawie dystrybucji ubezpieczeń (Dz.U. L 26 z 2.2.2016, s. 19, ELI: http://data.europa.eu/eli/dir/2016/97/oj).

(8) Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/2341 z dnia 14 grudnia 2016 r. w sprawie działalności instytucji pracowniczych programów emerytalnych oraz nadzoru nad takimi instytucjami (IORP) (Dz.U. L 354 z 23.12.2016, s. 37, ELI: http://data.europa.eu/eli/dir/2016/2341/oj).

(9) Rozporządzenie Parlamentu Europejskiego i Rady (WE) nr 1060/2009 z dnia 16 września 2009 r. w sprawie agencji ratingowych (Dz.U. L 302 z 17.11.2009, s. 1, ELI: http://data.europa.eu/eli/reg/2009/1060/oj).

(10) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2020/1503 z dnia 7 października 2020 r. w sprawie europejskich dostawców usług finansowania społecznościowego dla przedsięwzięć gospodarczych oraz zmieniające rozporządzenie (UE) 2017/1129 i dyrektywę (UE) 2019/1937 (Dz.U. L 347 z 20.10.2020, s. 1, ELI: http://data.europa.eu/eli/reg/2020/1503/oj).

(11) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2017/2402 z dnia 12 grudnia 2017 r. w sprawie ustanowienia ogólnych ram dla sekurytyzacji oraz utworzenia szczególnych ram dla prostych, przejrzystych i standardowych sekurytyzacji, a także zmieniające dyrektywy 2009/65/WE, 2009/138/WE i 2011/61/UE oraz rozporządzenia (WE) nr 1060/2009 i (UE) nr 648/2012 (Dz.U. L 347 z 28.12.2017, s. 35, ELI: http://data.europa.eu/eli/reg/2017/2402/oj).

(12) Rozporządzenie delegowane Komisji (UE) 2020/1230 z dnia 29 listopada 2019 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2017/2402 w odniesieniu do regulacyjnych standardów technicznych określających szczegółowe informacje dotyczące wniosku o rejestrację repozytorium sekurytyzacji oraz szczegółowe informacje dotyczące uproszczonego wniosku o rozszerzenie rejestracji repozytorium transakcji (Dz.U. L 289 z 3.9.2020, s. 345, ELI: http://data.europa.eu/eli/reg/2020/1230/oj).

ZAŁĄCZNIK III

Rodzaj usług ICT

W przypadku odniesienia do rodzaju usług ICT we wzorach rejestru informacji należy podać wyłącznie identyfikator (od S01 do S19) odpowiedniego rodzaju usług ICT.

Identyfikator

Rodzaj usług ICT

Opis

S01

1.	Zarządzanie projektami ICT

Świadczenie usług związanych z funkcją kierownika projektu

S02

2.	Rozwój ICT

Świadczenie usług związanych z: analizą biznesową, projektowaniem i tworzeniem programów komputerowych, testowaniem.

S03

3.	Dział pomocy technicznej ICT i wsparcie pierwszej linii

Świadczenie usług związanych z: wsparciem ze strony działu pomocy technicznej i udzielaniem wsparcia pierwszej linii w przypadku incydentów związanych z ICT

S04

4.	Usługi zarządzania bezpieczeństwem ICT

Świadczenie usług związanych z: bezpieczeństwem ICT (ochrona, wykrywanie, reagowanie i przywracanie pracy systemów), w tym reagowanie na incydenty związane z bezpieczeństwem i informatyka śledcza

S05

5.	Przekazywanie danych

Subskrypcja usług dostawców danych (usługa w zakresie danych cyfrowych)

S06

6.	Analiza danych

Świadczenie usług związanych ze wspieraniem analizy danych (usługa w zakresie danych cyfrowych)

S07

7.	ICT, infrastruktura i usługi hostingu (z wyłączeniem usług w chmurze)

Udostępnianie infrastruktury ICT, obiektów i usług hostingu, w tym dostawa mediów (energia, zarządzanie ciepłem itp.), dostęp telekomunikacyjny i bezpieczeństwo fizyczne (z wyłączeniem usług w chmurze), działalność w zakresie przetwarzania płatności lub eksploatacja infrastruktury płatniczej

S08

8.	Zasoby obliczeniowe

Zapewnienie zdolności przetwarzania cyfrowego (w tym obliczania danych), z wyłączeniem usług obliczeniowych świadczonych w kontekście środowiska usług przetwarzania w chmurze

S09

9.	Przechowywanie danych poza chmurą

Udostępnianie platformy przechowywania danych (z wyłączeniem usług w chmurze)

S10

10.	Usługi telekomunikacyjne

Operacje w zakresie systemów telekomunikacyjnych i zarządzania przepływem. Tradycyjne usługi telefonii analogowej są wyraźnie wyłączone na podstawie art. 3 pkt 21 rozporządzenia (UE) 2022/2554

S11

11.	Infrastruktura sieciowa

Udostępnianie infrastruktury sieciowej

S12

12.	Sprzęt i urządzenia fizyczne

Udostępnianie stacji roboczych, telefonów, serwerów, urządzeń do przechowywania danych, sprzętu itp. w formie usługi

S13

13.	Licencjonowanie oprogramowania (z wyłączeniem SaaS)

Dostarczanie oprogramowania użytkowanego stacjonarnie

S14

14.	Zarządzanie operacjami ICT (w tym utrzymanie)

Świadczenie usług związanych z: konfiguracją infrastruktury (systemów i sprzętu z wyjątkiem sieci), utrzymaniem, instalowaniem, zarządzaniem zdolnością przepustową, zarządzaniem ciągłością działania itp.

W tym dostawcy usług zarządzanych

S15

15.	Doradztwo w zakresie ICT

Świadczenie eksperckich usług intelektualnych / w dziedzinie ICT

S16

16.	Zarządzanie ryzykiem związanym z ICT

Weryfikacja zgodności z wymogami w zakresie zarządzania ryzykiem związanym z ICT zgodnie z art. 6 ust. 10 rozporządzenia (UE) 2022/2554

S17

17.	Usługi w chmurze: IaaS

Infrastruktura jako usługa

S18

18.	Usługi w chmurze: PaaS

Platforma jako usługa

S19

19.	Usługi w chmurze: SaaS

Oprogramowanie jako usługa

ZAŁĄCZNIK IV

Instrukcja zgłaszania „wartości aktywów ogółem”

Rodzaj podmiotu

Instrukcja zgłaszania wartości aktywów ogółem w kolumnie B_01.02.0110

a)	instytucje kredytowe

Informacje określone we wzorze C40.00 wiersz 0410 kolumna 0010 w załączniku X do rozporządzenia wykonawczego Komisji (UE) 2021/451 (1)

b)	instytucje płatnicze, w tym instytucje płatnicze zwolnione zgodnie z dyrektywą (UE) 2015/2366