CELEX:32025R0295: Regulamentul delegat (UE) 2025/295 al Comisiei din 24 octombrie 2024 de completare a Regulamentului (UE) 2022/2554 al Parlamentului European și al Consiliului în ceea ce privește standardele tehnice de reglementare privind armonizarea condițiilor care permit desfășurarea activităților de supraveghere

(a)

numele entității juridice;

(b)

codul de identificare al entității juridice;

(c)

numele persoanei de contact și datele de contact ale furnizorului terț esențial de servicii TIC;

(d)

țara în care entitatea juridică își are sediul social;

(e)

descrierea structurii corporative, care include cel puțin informații privind societatea-mamă și alte întreprinderi afiliate care furnizează servicii TIC entităților financiare din Uniune. Aceste informații includ, după caz:

(f)

o estimare a cotei de piață a furnizorului terț de servicii TIC în sectorul financiar al Uniunii și o estimare a cotei de piață pentru fiecare tip de entitate financiară, astfel cum sunt menționate la articolul 2 alineatul (1) din Regulamentul (UE) 2022/2554, din anul depunerii cererii prin care acesta solicită să fie desemnat ca fiind esențial și din anul anterior cererii respective;

(g)

o descriere a fiecărui serviciu TIC furnizat entităților financiare din Uniune, inclusiv:

(h)

o listă a entităților financiare care utilizează serviciile TIC furnizate de furnizorul terț de servicii TIC, inclusiv următoarele informații pentru fiecare dintre entitățile financiare care beneficiază de serviciile respective, dacă este disponibilă:

(i)

o listă a furnizorilor terți esențiali de servicii TIC incluși în cea mai recentă listă disponibilă a acestor furnizori publicată de AES în temeiul articolului 31 alineatul (9) din Regulamentul (UE) 2022/2554 care se bazează pe serviciile furnizate de solicitant, dacă este disponibilă;

(j)

o autoevaluare a următoarelor aspecte:

(k)

informații cu privire la o strategie de afaceri viitoare în ceea ce privește furnizarea de servicii și infrastructuri TIC entităților financiare din Uniune, inclusiv orice modificări planificate ale grupului sau ale structurii de conducere, intrarea pe noi piețe sau demararea de noi activități;

(l)

identificarea subcontractanților furnizorului terț de servicii TIC care au fost desemnați drept furnizori terți esențiali de servicii TIC;

(m)

orice alte motive relevante pentru cererea depusă de furnizorul terț de servicii TIC prin care acesta solicită să fie desemnat ca fiind esențial.

(a)

informații cu privire la acordurile și copiile după documentele contractuale încheiate între:

(b)

informații cu privire la structura organizatorică și de grup a furnizorului terț esențial de servicii TIC, inclusiv informații de identificare a tuturor entităților aparținând aceluiași grup care furnizează în mod direct sau indirect servicii TIC entităților financiare din Uniune;

(c)

informații cu privire la acționarii principali, inclusiv structura și distribuția lor geografică, ai oricărora dintre următoarele:

(d)

informații cu privire la cota de piață a furnizorului terț esențial de servicii TIC, pentru fiecare tip de servicii, pe piețele relevante pe care își desfășoară activitatea;

(e)

informații cu privire la cadrul de guvernanță intern al furnizorului terț esențial de servicii TIC, inclusiv structura cu liniile de responsabilitate în materie de guvernanță și normele în materie de răspundere;

(f)

procesele-verbale ale reuniunilor organului de conducere al furnizorului terț esențial de servicii TIC și ale oricăror alte comitete interne relevante, care se referă în orice fel la activitățile și riscurile legate de serviciile TIC furnizate de terți care sprijină funcțiile entităților financiare din Uniune;

(g)

informații cu privire la securitatea TIC a furnizorului terț esențial de servicii TIC, inclusiv strategiile, obiectivele, politicile, procedurile, protocoalele, procesele, măsurile de control pentru protecția datelor sensibile, controalele accesului, practicile de criptare, planurile de răspuns la incidente relevante și informații cu privire la respectarea tuturor reglementărilor relevante și a standardelor naționale și internaționale, după caz;

(h)

informații cu privire la măsurile tehnice și organizatorice de asigurare a protecției datelor și a confidențialității datelor, inclusiv a datelor cu caracter personal și a celor fără caracter personal, cu privire la măsurile de control puse în aplicare pentru protejarea datelor sensibile, controlul accesului, practicile de criptare și planul de răspuns în caz de încălcare a securității datelor; atunci când, în ceea ce privește prelucrarea datelor cu caracter personal, furnizorul terț de servicii TIC este supus legilor unei țări terțe, inclusiv unor cereri de acces din partea guvernului unei țări terțe, lista țărilor respective și a legilor aplicabile;

(i)

informații cu privire la mecanismele pe care furnizorul terț esențial de servicii TIC le oferă entităților financiare din Uniune pentru portabilitatea datelor, portabilitatea aplicațiilor și interoperabilitate;

(j)

informații cu privire la localizarea centrelor de date și a centrelor de producție TIC utilizate în scopul furnizării de servicii entităților financiare, inclusiv o listă a tuturor sediilor și instalațiilor relevante ale furnizorului terț esențial de servicii TIC, inclusiv a celor din afara Uniunii;

(k)

informații cu privire la furnizarea de servicii de către furnizorul terț esențial de servicii TIC din țări terțe, inclusiv informații privind dispozițiile legale relevante aplicabile datelor cu caracter personal și fără caracter personal prelucrate de furnizorul terț de servicii TIC;

(l)

informații cu privire la măsurile luate pentru a aborda riscurile care decurg din furnizarea de servicii TIC de către furnizorul terț esențial de servicii TIC și subcontractanții acestuia din țări terțe;

(m)

informații cu privire la cadrul de gestionare a riscurilor și la cadrul de gestionare a incidentelor, inclusiv cu privire la politicile, procedurile, instrumentele, mecanismele și cadrul de guvernanță ale furnizorului terț esențial de servicii TIC și ale subcontractanților acestuia, inclusiv lista și descrierea incidentelor majore cu impact direct sau indirect asupra entităților financiare din Uniune, inclusiv detaliile relevante pentru stabilirea importanței incidentului asupra entităților financiare și pentru evaluarea posibilelor impacturi transfrontaliere ale incidentului respectiv;

(n)

informații cu privire la cadrul de gestionare a modificărilor, inclusiv politicile, procedurile și controalele puse în practică de furnizorul terț esențial de servicii TIC și de subcontractanții acestuia;

(o)

informații cu privire la cadrul general de răspuns și de recuperare al furnizorului terț esențial de servicii TIC, inclusiv planurile de continuitate a activității și mecanismele și procedurile aferente, politica privind ciclul de viață al dezvoltării de software, planurile de răspuns și de recuperare și mecanismele și procedurile aferente, politicile și procedurile privind copiile de rezervă;

(p)

informații cu privire la monitorizarea performanței, monitorizarea securității și urmărirea incidentelor, precum și informații cu privire la mecanismele de raportare legate de performanța serviciilor, incidente și respectarea acordurilor privind nivelul serviciilor (SLA) și a obiectivelor privind nivelul serviciilor (SLO) convenite sau a acordurilor similare încheiate între furnizorii terți esențiali de servicii TIC și entitățile financiare din Uniune;

(q)

informații cu privire la cadrul de gestionare a serviciilor TIC furnizate de către terți al furnizorului terț esențial de servicii TIC, inclusiv strategiile, politicile, procedurile, procesele și controalele instituite, inclusiv detalii privind obligația de diligență și evaluarea de către furnizorul terț esențial de servicii TIC a riscurilor legate de subcontractanții săi înainte de momentul încheierii unui acord cu aceștia și pentru a monitoriza relația cu aceștia, incluzând toate riscurile TIC și de contraparte relevante;

(r)

extrase din sistemele de monitorizare și scanare ale furnizorului terț esențial de servicii TIC și ale subcontractanților acestuia, referitoare la monitorizarea rețelei, monitorizarea serverelor, monitorizarea aplicațiilor, monitorizarea securității, scanarea vulnerabilităților, gestionarea jurnalelor, monitorizarea performanței, gestionarea incidentelor și măsurătorile în raport cu obiectivele de fiabilitate, cum ar fi obiectivele privind nivelul serviciilor (SLO), fără a se limita însă doar la acestea;

(s)

extrase din orice sistem sau aplicație de producție, de preproducție și de testare utilizat(ă) de furnizorul terț esențial de servicii TIC și de subcontractanții săi pentru a furniza în mod direct sau indirect servicii entităților financiare din Uniune.

(t)

rapoarte de audit de conformitate și rapoartele de audit disponibile, precum și orice constatări de audit relevante, inclusiv ale auditurilor efectuate de autoritățile naționale din Uniune și din afara Uniunii, în cazul în care acordurile de cooperare cu autoritățile relevante prevăd un astfel de schimb de informații, sau certificări obținute de furnizorul terț esențial de servicii TIC ori de subcontractanții acestuia, inclusiv rapoarte ale auditorilor interni și externi, certificări sau evaluări ale conformității cu standardele specifice sectorului. Acestea includ informații cu privire la orice tip de testare independentă disponibilă a rezilienței sistemelor TIC ale furnizorului terț esențial de servicii TIC, inclusiv orice tip de test de penetrare bazat pe amenințări efectuat de furnizorul terț de servicii TIC;

(u)

informații cu privire la orice evaluări efectuate de furnizorul terț esențial de servicii TIC la cererea acestuia sau în numele acestuia, care evaluează caracterul adecvat și integritatea persoanelor ce dețin poziții-cheie în cadrul furnizorului terț esențial de servicii TIC;

(v)

informații cu privire la orice plan de remediere menit să dea curs recomandărilor în temeiul articolului 3 și informații conexe relevante menite să confirme faptul că măsurile de remediere respective au fost implementate;

(w)

informații cu privire la programele disponibile de formare a angajaților și la programele de sensibilizare în materie de securitate, inclusiv, după caz, informații privind investițiile, resursele și metodele adoptate de furnizorul terț esențial de servicii TIC pentru a-și forma personalul să gestioneze date financiare sensibile și să mențină niveluri ridicate de securitate;

(x)

informații cu privire la activitățile furnizorului terț esențial de servicii TIC și situațiile financiare, inclusiv informații privind bugetul și resursele legate de TIC și de securitate.

(a)

rapoarte intermediare privind progresele înregistrate și documentele justificative conexe în care precizează progresele înregistrate în ceea ce privește punerea în aplicare a acțiunilor și a măsurilor prevăzute în raportul furnizat supraveghetorului principal de către furnizorul esențial de servicii TIC în termenul stabilit de supraveghetorul principal;

(b)

rapoarte finale și documentele justificative conexe în care precizează acțiunile care au fost întreprinse sau măsurile de remediere care au fost puse în aplicare de furnizorul terț esențial de servicii TIC pentru a atenua riscurile identificate în recomandările primite.

(a)

urmează structura indicată de supraveghetorul principal în cererea sa de informații;

(b)

identifică clar unde se află informațiile relevante în documentația prezentată.

(a)

caracterul adecvat și coerența măsurilor corective și de remediere puse în aplicare de entitățile financiare pentru a atenua riscurile identificate în recomandări;

(b)

evaluarea efectuată de supraveghetorul principal cu privire la respectarea de către furnizorul terț esențial de servicii TIC a măsurilor și a acțiunilor incluse în raport, în cazul în care evaluarea are un impact asupra expunerii entităților financiare care intră în sfera sa de competență la riscurile identificate în recomandări;

(c)

punctul de vedere al oricăror altor autorități competente care au fost consultate în conformitate cu articolul 42 alineatul (5) din Regulamentul (UE) 2022/2554;

(d)

dacă supraveghetorul principal a considerat că acțiunile și măsurile de remediere puse în aplicare de furnizorul terț esențial de servicii TIC sunt adecvate pentru a atenua expunerea entităților financiare care intră în sfera sa de competență la riscurile identificate în recomandări.