1. ABSTRAKT
Finančné subjekty sú podľa nariadenia DORA povinné zabezpečiť dôkladné monitorovanie rizík, ktoré plynú od poskytovateľov IKT tretích strán, nahlásiť svoj kompletný register outsourcovaných činností vrátane vnútroskupinových služieb a akékoľvek zmeny v zadávaní kritických služieb externým poskytovateľom služieb IKT, zabezpečiť, aby zmluvy s poskytovateľmi IKT tretích strán obsahovali všetky potrebné podrobnosti. Tieto a ďalšie podrobnosti ohľadom riadenia externého rizika v našom článku.
2. VŠEOBECNÉ ZÁSADY
Finančné subjekty riadia externé IKT riziko ako integrálnu súčasť IKT rizika v medziach svojho rámca riadenia IKT rizika, ako je uvedené v článku 6 ods. 1, a v súlade s týmito zásadami:
(A) finančné subjekty, ktoré majú uzavreté zmluvné dojednania o využívaní IKT služieb na vykonávanie svojich obchodných činností, sú vždy plne zodpovedné za dodržiavanie a plnenie všetkých povinností vyplývajúcich z tohto nariadenia a uplatniteľného práva v oblasti finančných službách;
(B) riadenie externého IKT rizika finančnými subjektmi sa vykonáva so zreteľom na zásadu proporcionality, pričom sa zohľadňujú tieto aspekty: (i) povaha, rozsah, zložitosť a význam závislostí súvisiacich s IKT, (ii) riziká vyplývajúce zo zmluvných dojednaní o využívaní IKT služieb uzavretých s externými poskytovateľmi IKT služieb, pričom sa zohľadňuje kritickosť alebo dôležitosť príslušnej služby, procesu alebo funkcie, ako aj potenciálny vplyv na kontinuitu a dostupnosť finančných služieb a činností na individuálnej úrovni a na úrovni skupiny.
Finančné subjekty aspoň raz ročne nahlasujú príslušným orgánom (i) počet nových dojednaní o využívaní IKT služieb, (ii) kategórie externých poskytovateľov IKT služieb, (iii) druh zmluvných dojednaní a (iv) poskytované IKT služby a funkcie. Finančné subjekty sprístupnia príslušnému orgánu na jeho žiadosť úplný register informácií alebo na požiadanie jeho konkrétne oddiely spolu so všetkými informáciami, ktoré sa považujú za potrebné na umožnenie účinného dohľadu nad finančným subjektom. Finančné subjekty včas informujú príslušný orgán o každom plánovanom zmluvnom dojednaní o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie, ako aj o tom, kedy sa funkcia stala kritickou alebo dôležitou.
Pred uzavretím zmluvného dojednania o využívaní IKT služieb finančné subjekty (i) posúdia, či sa zmluvné dojednanie vzťahuje na využívanie IKT služieb podporujúcich kritickú alebo dôležitú funkciu, (ii) posúdia, či sú splnené podmienky dohľadu pre uzatváranie zmlúv, (iii) identifikujú a posúdia všetky relevantné riziká v súvislosti so zmluvným dojednaním vrátane možnosti, že takéto zmluvné dojednania môžu prispieť k posilneniu rizika koncentrácie IKT, ako sa uvádza v článku 29, (iv) vykonajú všetku náležitú starostlivosť v súvislosti s potenciálnymi externými poskytovateľmi IKT služieb a zabezpečia vhodnosť externého poskytovateľa IKT služieb počas celého procesu výberu a posudzovania, (v) identifikujú a posúdia konflikty záujmu, ktoré môže zmluvné dojednanie spôsobiť.
Finančné subjekty môžu uzatvárať zmluvné dojednania len s externými poskytovateľmi IKT služieb, ktorí spĺňajú primerané normy v oblasti informačnej bezpečnosti. V prípade, že sa uvedené zmluvné dojednania týkajú kritických alebo dôležitých funkcií, finančné subjekty pred uzatvorením dojednaní náležite zohľadnia, ako externí poskytovatelia IKT služieb využívajú najaktuálnejšie a najprísnejšie normy kvality v oblasti informačnej bezpečnosti.
Finančné subjekty zabezpečia, aby sa zmluvné dojednania o využívaní IKT služieb mohli ukončiť za ktorýchkoľvek z týchto okolností: (i) významné porušenie príslušných zákonov, iných právnych predpisov alebo zmluvných podmienok zo strany externého poskytovateľa IKT služieb, (ii) okolnosti zistené počas monitorovania externého IKT rizika, ktoré sa považujú za schopné zmeniť výkon funkcií poskytovaných prostredníctvom zmluvného dojednania vrátane závažných zmien, ktoré majú vplyv na dojednanie alebo situáciu externého poskytovateľa IKT služieb, (iii) preukázané slabé stránky externého poskytovateľa IKT služieb, týkajúce sa jeho celkového riadenia IKT rizika, a najmä spôsobu, akým zaisťuje dostupnosť, pravosť, integritu a dôvernosť údajov, či už osobných alebo inak citlivých údajov, alebo iných ako osobných údajov, (iv) ak príslušný orgán už nemôže účinne vykonávať dohľad nad finančným subjektom v dôsledku podmienok alebo okolností súvisiacich s príslušným zmluvným dojednaním.
Finančné subjekty zabezpečia, aby mohli ukončiť zmluvné dojednania bez (i) narušenia svojej obchodnej činnosti, (ii) obmedzenia dodržiavania regulačných požiadaviek, (iii) ohrozenia kontinuity a kvality služieb poskytovaných klientom.
3. KĽÚČOVÉ ZMLUVNÉ USTANOVENIA
Práva a povinnosti finančného subjektu a externého poskytovateľa IKT služieb sa jasne pridelia a stanovia písomne.
Úplná zmluva zahŕňa dohody o úrovni poskytovaných služieb a zdokumentuje sa v jednom písomnom dokumente, ktorý majú zmluvné strany k dispozícii v papierovej forme, alebo v dokumente v inom stiahnuteľnom, trvalom a prístupnom formáte.
Zmluvné dojednania o využívaní IKT služieb zahŕňajú aspoň (i) jasný a úplný opis všetkých funkcií a IKT služieb, ktoré má externý poskytovateľ IKT služieb poskytovať, pričom sa uvedie, či je povolené zadávanie IKT služieb podporujúcich kritickú alebo dôležitú funkciu alebo jej závažných častí subdodávateľovi, a ak áno, podmienky vzťahujúce sa na takéto využívanie subdodávateľa, (ii) miesta, konkrétne regióny alebo krajiny, kde sa majú poskytovať zmluvne dohodnuté alebo subdodávateľsky zabezpečované funkcie a IKT služby a kde sa majú údaje spracúvať vrátane miesta uchovávania, ako aj požiadavka, aby externý poskytovateľ IKT služieb vopred informoval finančný subjekt, ak plánuje zmeniť takéto miesto, (iii) ustanovenia o dostupnosti, pravosti, integrite alebo dôvernosti v súvislosti s ochranou údajov vrátane osobných údajov, (iv) ustanovenia o zabezpečení obnovy a návratu osobných údajov a iných ako osobných údajov spracúvaných finančným subjektom v ľahko prístupnom formáte v prípade platobnej neschopnosti, riešenia krízových situácií alebo ukončenia obchodných operácií externého poskytovateľa IKT služieb, alebo v prípade ukončenia zmluvných dojednaní, a prístupu k takýmto údajom, (v) opis úrovne poskytovaných služieb vrátane ich aktualizácií a revízií, (vi) povinnosť externého poskytovateľa IKT služieb poskytovať pomoc finančnému subjektu bez dodatočných nákladov alebo za náklady stanovené ex ante, keď dôjde k IKT incidentu, ktorý súvisí s IKT službou poskytnutou finančnému subjektu, (vii) povinnosť externého poskytovateľa IKT služieb plne spolupracovať s príslušnými orgánmi a orgánmi pre riešenie krízových situácií finančného subjektu, vrátane osôb nimi vymenovanými, (viii) právo ukončiť zmluvný vzťah a súvisiaca minimálna výpovedná lehota na ukončenie zmluvných dojednaní v súlade s očakávaniami príslušných orgánov a orgánov pre riešenie krízových situácií, (ix) podmienky účasti externých poskytovateľov IKT služieb na programoch zvyšovania informovanosti finančných subjektov v oblasti bezpečnosti IKT a na školení v oblasti digitálnej prevádzkovej odolnosti.
Zmluvné dojednania o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie zahŕňajú okrem uvedených prvkov aj (x) úplné opisy úrovne služieb vrátane ich aktualizácií a revízií, ako aj presné kvantitatívne a kvalitatívne výkonnostné ciele v rámci dohodnutých úrovní služieb, aby finančný subjekt mohol účinne monitorovať IKT služby a mal možnosť bez zbytočného odkladu vykonať primerané nápravné opatrenia v prípade nesplnenia dohodnutých úrovní služieb, (xi) výpovedné lehoty a nahlasovacie povinnosti externého poskytovateľa IKT služieb voči finančnému subjektu vrátane oznamovania akéhokoľvek vývoja, ktorý by mohol mať významný vplyv na schopnosť externého poskytovateľa IKT služieb účinne poskytovať IKT služby podporujúce kritické alebo dôležité funkcie v súlade s dohodnutými úrovňami služieb, (xii) požiadavky na externého poskytovateľa IKT služieb na vykonávanie a testovanie obchodných krízových plánov a na zavedenie bezpečnostných opatrení, nástrojov a politík v oblasti IKT, ktoré poskytujú primeranú úroveň bezpečnosti na poskytovanie služieb zo strany finančného subjektu v súlade s jeho regulačným rámcom, (xiii) povinnosť externého poskytovateľa IKT služieb zúčastňovať sa a plne spolupracovať na TLPT finančného subjektu, ako sa uvádza v článkoch 26 a 27, (xiv) právo priebežne monitorovať výkonnosť externého poskytovateľa IKT služieb, ktoré zahŕňa:
neobmedzené práva na prístup, inšpekciu a audit vykonávané finančným subjektom alebo vymenovanou treťou stranou a príslušným orgánom, ako aj právo vyhotovovať kópie príslušnej dokumentácie na mieste, ak je kritická pre operácie externého poskytovateľa IKT služieb, ktorého účinnému vykonávaniu nebránia ani ho neobmedzujú iné zmluvné dojednania alebo vykonávacie politiky, právo dohodnúť sa na alternatívnych úrovniach zabezpečenia, ak sú dotknuté práva iných klientov, povinnosť externého poskytovateľa IKT služieb plne spolupracovať počas inšpekcií na mieste a auditov vykonávaných príslušnými orgánmi, hlavným orgánom dozoru, finančným subjektom alebo vymenovanou treťou stranou; apovinnosť poskytnúť podrobnosti o rozsahu, postupoch, ktoré sa majú dodržiavať, a frekvencii takýchto inšpekcií a auditov.
Zmluvné dojednania o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie zahŕňajú ďalej okrem uvedených prvkov vyššie tiež (xv) stratégie ukončenia angažovanosti, najmä zavedenie primeraného povinného prechodného obdobia, počas ktorého bude externý poskytovateľ IKT služieb naďalej poskytovať príslušné funkcie alebo IKT služby s cieľom znížiť riziko narušenia na úrovni finančného subjektu alebo zabezpečiť efektívne riešenie jeho krízovej situácie a reštrukturalizáciu a ktoré umožňuje finančnému subjektu prejsť k inému externému poskytovateľovi IKT služieb alebo začať využívať vlastné riešenia v závislosti od zložitosti poskytovanej služby.
Odchylne sa externý poskytovateľ IKT služieb a finančný subjekt, ktorý je mikropodnikom, môžu dohodnúť, že práva finančného subjektu na prístup, inšpekciu a audit možno delegovať na nezávislú tretiu stranu, ktorú určí externý poskytovateľ IKT služieb, a že finančný subjekt môže kedykoľvek od tretej strany požadovať informácie a uistenie o výkonnosti externého poskytovateľa IKT služieb.
Pri rokovaniach o zmluvných dojednaniach finančné subjekty a externí poskytovatelia IKT služieb zvážia použitie štandardných zmluvných doložiek vypracovaných verejnými orgánmi pre konkrétne služby.
4. URČENIE KRITICKÝCH EXTERNÝCH POSKYTOVATEĽOV IKT SLUŽIEB
Európske orgány dohľadu prostredníctvom spoločného výboru a na základe odporúčania fóra pre dozor zriadeného podľa článku 32 ods. 1 nariadenia DORA (i) určia externých poskytovateľov IKT služieb, ktorí sú pre finančné subjekty kritickí, a to na základe posúdenia, (ii) vymenujú za hlavný orgán dozoru pre každého kritického externého poskytovateľa IKT služieb európsky orgán dohľadu, ktorý je v súlade s nariadením (EÚ) č. 1093/2010 (EÚ), (EÚ) č. 1094/2010 alebo (EÚ) č. 1095/2010 zodpovedný za finančné subjekty, ktoré majú spolu najväčší podiel celkových aktív na hodnote celkových aktív všetkých finančných subjektov využívajúcich služby príslušného kritického externého poskytovateľa IKT služieb, ako to dokazuje suma individuálnych súvah uvedených finančných subjektov.
Určenie uvedené v prvom bode (i) sa nevzťahuje na finančné subjekty poskytujúce IKT služby iným finančným subjektom; externých poskytovateľov IKT služieb, ktorí podliehajú rámcom dozoru zriadeným na účely podpory úloh uvedených v článku 127 ods. 2 Zmluvy o fungovaní Európskej únie, vnútroskupinových poskytovateľov IKT služieb, externých poskytovateľov IKT služieb, ktorí poskytujú IKT služby výhradne v jednom členskom štáte finančným subjektom, ktoré pôsobia len v danom členskom štáte.
Určenie uvedené vyššie v prvom bode vychádza v súvislosti s IKT službami poskytovanými externým poskytovateľom IKT služieb zo všetkých týchto kritérií:
(A) systémový vplyv na stabilitu, kontinuitu alebo kvalitu poskytovania finančných služieb, ak by príslušný externý poskytovateľ IKT služieb čelil rozsiahlemu prevádzkovému zlyhaniu v poskytovaní svojich služieb, so zohľadnením počtu finančných subjektov a celkovej hodnoty aktív finančných subjektov, ktorým príslušný externý poskytovateľ IKT služieb poskytuje služby;
(B) systémový charakter alebo význam finančných subjektov, ktoré závisia od príslušného externého poskytovateľa IKT služieb, posudzovaný v súlade s týmito parametrami: i) počet globálne systémovo významných inštitúcií (ďalej len „G-SII“) alebo inak systémovo významných inštitúcií (ďalej len „O-SII“), ktoré závisia od príslušného externého poskytovateľa IKT služieb, ii) vzájomná závislosť medzi G-SII alebo O-SII uvedenými v bode i) a inými finančnými subjektmi vrátane situácií, keď G-SII alebo O-SII poskytujú služby finančnej infraštruktúry iným finančným subjektom;
(C) závislosť finančných subjektov od služieb, ktoré poskytuje príslušný externý poskytovateľ IKT služieb v súvislosti s kritickými alebo dôležitými funkciami finančných subjektov, ktoré v konečnom dôsledku zahŕňajú toho istého externého poskytovateľa IKT služieb, a to bez ohľadu na to, či finančné subjekty závisia od uvedených služieb priamo alebo nepriamo prostredníctvom subdodávateľských dojednaní;
(D) stupeň nahraditeľnosti externého poskytovateľa IKT služieb pri zohľadnení týchto parametrov: i) neexistencia skutočných, hoci len čiastočných, alternatív z dôvodu obmedzeného počtu externých poskytovateľov IKT služieb na konkrétnom trhu, alebo trhový podiel príslušného externého poskytovateľa IKT služieb, alebo súvisiaca technická zložitosť či prepracovanosť, a to aj vo vzťahu k akejkoľvek proprietárnej technológii, alebo osobitosti organizácie alebo činnosti daného externého poskytovateľa IKT služieb; ii) ťažkosti v súvislosti s čiastočným alebo úplným presunom príslušných údajov a pracovného zaťaženia z príslušného externého poskytovateľa IKT služieb na iného externého poskytovateľa IKT služieb, a to buď z dôvodu značných finančných nákladov, času alebo iných zdrojov, ktoré môže takýto presun predstavovať, alebo z dôvodu zvýšeného IKT rizika alebo iných prevádzkových rizík, ktorým môže byť finančný subjekt vystavený pri takomto presune.
Po určení externého poskytovateľa IKT služieb za kritického európske orgány dohľadu prostredníctvom spoločného výboru oznámia externému poskytovateľovi IKT služieb takéto určenie a dátum, od ktorého bude skutočne podliehať činnostiam dozoru. Uvedený počiatočný dátum nesmie byť neskôr ako jeden mesiac po oznámení. Externý poskytovateľ IKT služieb oznámi finančným subjektom, ktorým poskytuje služby, že bol určený ako kritický.
Európske orgány dohľadu prostredníctvom spoločného výboru vypracujú, uverejnia a každoročne aktualizujú zoznam kritických externých poskytovateľov IKT služieb na úrovni Únie.
5. ÚLOHY HLAVNÉHO ORGÁNU DOZORU
Hlavný orgán dozoru určený článkom 32 nariadenia DORA vykonáva dozor nad pridelenými kritickými externými poskytovateľmi IKT služieb a na účely všetkých záležitostí týkajúcich sa dozoru je hlavným kontaktným miestom pre týchto kritických externých poskytovateľov IKT služieb.
Hlavný orgán dozoru posudzuje, či každý kritický externý poskytovateľ IKT služieb zaviedol komplexné, riadne a účinné pravidlá, postupy, mechanizmy a opatrenia na riadenie IKT rizika, ktoré kritický externý poskytovateľ IKT služieb môže predstavovať pre finančné subjekty.
Posúdenie zahŕňa (i) požiadavky na IKT s cieľom zaistiť najmä bezpečnosť, dostupnosť, kontinuitu, škálovateľnosť a kvalitu služieb, ktoré kritický externý poskytovateľ IKT služieb poskytuje finančným subjektom, ako aj schopnosť neustále zachovávať vysokú úroveň dostupnosti, pravosti, integrity alebo dôvernosti údajov, (ii) fyzickú bezpečnosť prispievajúcu k zaisteniu bezpečnosti IKT vrátane bezpečnosti priestorov, zariadení a dátových centier, (iii) procesy riadenia rizika vrátane politík riadenia IKT rizika, politík kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT, (iv) mechanizmy správy a riadenia vrátane organizačnej štruktúry s jasnými, transparentnými a konzistentnými líniami zodpovednosti a pravidlami zodpovednosti umožňujúcimi účinné riadenie IKT rizika, (v) identifikáciu, monitorovanie a okamžité nahlasovanie významných incidentov súvisiacich s IKT finančným subjektom, riadenie a riešenie týchto incidentov, najmä kybernetických útokov, (vi) mechanizmy prenosnosti údajov, prenosnosti a interoperability aplikácií, ktoré zabezpečujú účinný výkon práv na ukončenie zmluvy finančnými subjektmi, (vii) testovanie IKT systémov, infraštruktúry a kontrol, (viii) audity IKT, (ix) používanie príslušných vnútroštátnych a medzinárodných noriem uplatniteľných na poskytovanie IKT služieb kritického externého poskytovateľa IKT služieb finančným subjektom.
Plnenie uvedených požiadaviek bude súčasťou kontroly hlavného orgánu dozoru u externého poskytovateľa IKT služieb na základe individuálneho ročného plánu dozoru.
Hlavný orgán dozoru má v zmysle článku 35 mnohé právomoci od požadovania informácií, cez vykonávanie všeobecných inšpekcií a vydávania odporúčaní, až po zákaz uzatvárania subdodávateľských dohôd.
Všetky detailné podrobnosti ohľadom dozoru nad externými poskytovateľmi IKT služieb, sú súčasťou článku 32 až článku 43 nariadenia DORA, samozrejme dostupného online: https://eur-lex.europa.eu/legal-content/SK/TXT/PDF/?uri=CELEX:32022R2554&qid=1672669681316&from=SK.
Zjednodušene povedané, je skutočne potrebné zdôrazniť, že na základe nariadenia DORA má Európska únia oprávnenie kontrolovať a vykonávať inšpekcie a z toho vyplývajúcim určitým spôsobom mať vplyv na IT firmy na trhu externého dodávania IKT služieb.
6. POSÚDENIE SUBDODÁVATEĽOV ZO STRANY FINANČNÉHO SUBJEKTU
Poskytovanie IKT služieb finančným subjektom často závisí od komplexného reťazca subdodávateľov IKT, pričom externí poskytovatelia IKT služieb môžu uzavrieť jednu alebo viacero subdodávateľských dojednaní s inými externými poskytovateľmi IKT služieb. Nepriame spoliehanie sa na subdodávateľov IKT môže mať vplyv na schopnosť finančného subjektu identifikovať, posudzovať a riadiť svoje riziká.
Finančné subjekty sa značne líšia veľkosťou, štruktúrou a vnútornou organizáciou, ako aj povahou a zložitosťou svojich činností. V záujme zabezpečenia proporcionality by sa táto rozmanitosť mala zohľadňovať pri špecifikovaní toho, ktoré prvky by mal finančný subjekt určovať a posudzovať pri využívaní subdodávateľov v prípade IKT služieb podporujúcich kritické alebo dôležité funkcie.
S cieľom umožniť finančným subjektom posudzovať riziká spojené so subdodávateľskými dojednaniami alebo s ich závažnými zmenami by externí poskytovatelia IKT služieb mali informovať finančné subjekty, ktorým poskytujú IKT služby, o všetkých takýchto nových dojednaniach alebo zmenách v dostatočnom predstihu pred tým, ako sa takéto dojednania alebo zmeny začnú uplatňovať.
Za účelom posudzovania uvedeného, existuje ďalšie delegované nariadenie, a to DELEGOVANÉ NARIADENIE KOMISIE (EÚ) 2025/532 z 24. marca 2025, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, v ktorých sa bližšie špecifikujú prvky, ktoré musí finančný subjekt určiť a posúdiť pri využívaní subdodávateľov v prípade IKT služieb podporujúcich kritické alebo dôležité funkcie.
Na základe uvedeného delegovaného nariadenia, finančný subjekt pred uzavretím zmluvného dojednania s externým poskytovateľom IKT služieb rozhodne, či tento externý poskytovateľ IKT služieb môže IKT službu, ktorá podporuje kritické alebo dôležité funkcie alebo ich závažné časti, zabezpečovať s využitím subdodávateľov.
Finančný subjekt uzatvára takéto zmluvné dojednanie len vtedy, ak usúdil, že boli splnené všetky tieto podmienky: (i) postupy náležitej starostlivosti týkajúce sa externého poskytovateľa IKT služieb zabezpečujú, že môže vyberať a posudzovať prevádzkové a finančné schopnosti potenciálnych subdodávateľov IKT poskytovať IKT služby, ktoré podporujú kritické alebo dôležité funkcie alebo ich závažné časti, a v prípade, že to finančný subjekt vyžaduje, aj účasťou externého poskytovateľa IKT služieb na testovaní digitálnej prevádzkovej odolnosti, ako sa uvádza v kapitole IV nariadenia (EÚ) 2022/2554, (ii) externý poskytovateľ IKT služieb dokáže identifikovať všetkých subdodávateľov, ktorí poskytujú IKT služby podporujúce kritické alebo dôležité funkcie alebo ich závažné časti, ako aj informovať finančný subjekt o uvedených subdodávateľoch a poskytovať finančnému subjektu všetky informácie, ktoré môžu byť potrebné na posudzovanie podmienok podľa tohto článku, (iii) externý poskytovateľ IKT služieb zabezpečuje, aby zmluvné dojednania so subdodávateľmi, ktorí poskytujú IKT služby podporujúce kritické alebo dôležité funkcie alebo ich závažné časti, umožňovali finančnému subjektu plniť si svoje vlastné povinnosti vyplývajúce z nariadenia (EÚ) 2022/2554 a dodržiavať uplatniteľné právne predpisy Únie a vnútroštátne právne predpisy, (iv) subdodávateľ udelí finančnému subjektu a príslušným orgánom a orgánom pre riešenie krízových situácií rovnaké zmluvné práva na prístup a inšpekciu, ako sú tie, ktoré mu udelil externý poskytovateľ IKT služieb, (v) bez toho, aby bola dotknutá konečná zodpovednosť finančného subjektu za plnenie svojich právnych a regulačných povinností, samotný externý poskytovateľ IKT služieb má dostatočné schopnosti, odborné znalosti a primerané finančné, ľudské a technické zdroje na monitorovanie IKT rizík na úrovni subdodávateľov, a to aj uplatňovaním primeraných noriem v oblasti informačnej bezpečnosti a zavedením primeranej organizačnej štruktúry, riadenia rizík a vnútorných kontrol, ako aj nahlasovania incidentov a reakcií na ne, (vi) finančný subjekt má dostatočné schopnosti, odborné znalosti a primerané finančné, ľudské a technické zdroje na monitorovanie IKT rizík vo vzťahu k službe podporujúcej kritické alebo dôležité funkcie alebo ich závažné časti, ktorá bola zabezpečovaná s využitím subdodávateľov, a to aj uplatňovaním primeraných noriem v oblasti informačnej bezpečnosti a zavedením primeranej organizačnej štruktúry a riadenia rizík, reakcie na incidenty, riadenia kontinuity činností a vnútorných kontrol, (vii) finančný subjekt posúdil vplyv možného zlyhania subdodávateľa, ktorý poskytuje IKT služby podporujúce kritické alebo dôležité funkcie alebo ich závažnú časť, na digitálnu prevádzkovú odolnosť a finančnú situáciu finančného subjektu, (viii) finančný subjekt posúdil riziká spojené s miestom poskytovania IKT služieb potenciálnych subdodávateľov v súvislosti s IKT službami podporujúcimi kritické alebo dôležité funkcie alebo ich závažnú časť, ktoré poskytuje externý poskytovateľ IKT služieb, (ix) finančný subjekt posúdil riziká koncentrácie IKT na úrovni subjektu v súlade s článkom 29 nariadenia (EÚ) 2022/2554, (x) finančný subjekt posúdil, či existujú prekážky pri uplatňovaní auditu, inšpekcie a prístupových práv príslušnými orgánmi, orgánmi pre riešenie krízových situácií alebo finančným subjektom vrátane osôb, ktoré tieto orgány vymenovali.
Podmienky, za ktorých môžu byť IKT služby, ktoré podporujú kritické alebo dôležité funkcie alebo ich závažnú časť, zabezpečované s využitím subdodávateľov, ako aj závažné zmeny subdodávateľských dojednaní týkajúcich sa IKT služieb, ktoré podporujú kritické alebo dôležité funkcie alebo ich závažné časti, to všetko je podrobnou súčasťou predmetného delegovaného nariadenia, dostupného rovnako tak online: https://eur-lex.europa.eu/legal-content/SK/TXT/PDF/?uri=OJ:L_202500532.
7. UKONČENIE ZMLUVNÉHO DOJEDNANIA MEDZI FINANČNÝM SUBJEKTOM A EXTERNÝM POSKTOVATEĽOM IKT SLUŽIEB
Finančný subjekt má právo stanoviť v zmluvnom dojednaní s externým poskytovateľom IKT služieb, že zmluvné dojednanie sa má ukončiť v každom z týchto prípadov: (i) finančný subjekt namietal voči závažným zmenám subdodávateľských dojednaní podporujúcich kritické alebo dôležité funkcie a požiadal o úpravy uvedených zmien, ale externý poskytovateľ IKT služieb napriek tomu tieto závažné zmeny vykonal, (ii) externý poskytovateľ IKT služieb vykonal závažné zmeny subdodávateľských dojednaní podporujúcich kritické alebo dôležité funkcie alebo ich závažné časti pred uplynutím lehoty na oznámenie bez súhlasu finančného subjektu, (iii) externý poskytovateľ IKT služieb IKT službu, ktorá podporuje kritickú alebo dôležitú funkciu alebo jej závažnú časť, zabezpečoval s využitím subdodávateľov pričom zmluvné dojednanie medzi finančným subjektom a externým poskytovateľom IKT služieb výslovne nepovoľuje, aby bola zabezpečovaná s využitím subdodávateľov.
Publikované dňa 04.09.2025.

