Delegierte Verordnung (EU) 2025/295 der Kommission vom 24. Oktober 2024 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Harmonisierung der Bedingungen für die Durchführung von Überwachungstätigkeiten

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

ie Bereitstellung von Informationen über Vereinbarungen über die Unterauftragsvergabe Ein kritischer IKT-Drittdienstleister, der Informationen über Vereinbarungen über die Unterauftragsvergabe übermitteln muss, stellt der federführenden Überwachungsbehörde die Informationen nach Maßgabe der Vorlage im Anhang zur Verfügung. Artikel 6 Bewertung der in den Empfehlungen der federführenden Überwachungsbehörde dargelegten Risiken durch die zuständigen Behörden (1) Im Rahmen der Beaufsichtigung von Finanzunternehmen bewertet die zuständige Behörde die Auswirkungen der vom kritischen IKT-Drittdienstleister auf der Grundlage der Empfehlungen der federführenden Überwachungsbehörde ergriffenen Maßnahmen auf die Finanzunternehmen entsprechend dem Grundsatz der Verhältnismäßigkeit. (2) Bei der Durchführung der in Absatz 1 genannten Bewertung berücksichtigt die zuständige Behörde alle folgenden Elemente: a) die Angemessenheit und Kohärenz der von den Finanzunternehmen umgesetzten Korrektur- und Abhilfemaßnahmen, um die in den Empfehlungen ermittelten Risiken zu mindern, b) die von der federführenden Überwachungsbehörde vorgenommene Bewertung über die Einhaltung der im Bericht enthaltenen Maßnahmen und Schritte durch den kritischen IKT-Drittdienstleister, sofern sich dies auf die Exposition der in ihren Zuständigkeitsbereich fallenden Finanzunternehmen gegenüber den in den Empfehlungen ermittelten Risiken auswirkt, c) die Stellungnahmen aller anderen zuständigen Behörden, die gemäß Artikel 42 Absatz 5 der Verordnung (EU) 2022/2554 konsultiert wurden, d) ob die federführende Überwachungsbehörde die vom kritischen IKT-Drittdienstleister umgesetzten Maßnahmen und Abhilfemaßnahmen als angemessen erachtet hat, um die Exposition der in ihren Zuständigkeitsbereich fallenden Finanzunternehmen gegenüber den in den Empfehlungen ermittelten Risiken zu mindern. (3) Auf Anfrage der federführenden Überwachungsbehörde legt die zuständige Behörde die Ergebnisse der Bewertung nach Absatz 1 innerhalb einer angemessenen Frist vor. Bei der Anforderung der Ergebnisse dieser Bewertung berücksichtigt die federführende Überwachungsbehörde den Grundsatz der Verhältnismäßigkeit und das Ausmaß der in den Empfehlungen dargelegten Risiken, einschließlich der grenzüberschreitenden Auswirkungen dieser Risiken, wenn sie sich auf Finanzunternehmen auswirken, die in mehr als einem Mitgliedstaat tätig sind. (4) Die zuständige Behörde fordert gegebenenfalls die Finanzunternehmen auf, alle Informationen bereitzustellen, die für die Durchführung der in Absatz 1 genannten Bewertung erforderlich sind. Artikel 7 Inkrafttreten Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. Brüssel, den 24. Oktober 2024 Für die Kommission Die Präsidentin Ursula VON DER LEYEN (1) ABl. L 333 vom 27.12.2022, S. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj. (2) Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. L 295 vom 21.11.2018, S. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj). (3) Verordnung (EU) Nr. 1093/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Bankenaufsichtsbehörde), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/78/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 12, ELI: http://data.europa.eu/eli/reg/2010/1093/oj). (4) Verordnung (EU) Nr. 1094/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/79/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 48. ELI: http://data.europa.eu/eli/reg/2010/1094/oj). (5) Verordnung (EU) Nr. 1095/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Wertpapier- und Marktaufsichtsbehörde), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/77/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 84, ELI: http://data.europa.eu/eli/reg/2010/1095/oj). ANHANG VORLAGE FÜR DIE ÜBERMITTLUNG VON INFORMATIONEN ÜBER VEREINBARUNGEN ÜBER DIE UNTERAUFTRAGSVERGABE Informationskategorie Wesentliche Informationen Allgemeine Angaben — Name des kritischen IKT-Drittdienstleisters. — Rechtsträgerkennung des kritischen IKT-Drittdienstleisters. — Name der Kontaktperson und Kontaktdaten des kritischen IKT-Drittdienstleisters. — Datum der Übermittlung der Vorlage. Überblick über die Vereinbarungen über die Unterauftragsvergabe — Erfassung der Vereinbarungen über die Unterauftragsvergabe, einschließlich einer kurzen Beschreibung des Zwecks und des Umfangs des Vertragsverhältnisses mit Unterauftragnehmern (einschließlich Angaben zum Grad der Kritikalität oder zur Bedeutung der Vereinbarungen über die Unterauftragsvergabe für den kritischen IKT-Drittdienstleister). — Spezifikation und Beschreibung der Arten von IKT-Dienstleistungen, die an Unterauftragnehmer vergeben werden, und ihrer Bedeutung für die IKT-Dienstleistungen, die für Finanzunternehmen erbracht werden, nach Maßgabe der gemäß Artikel 28 Absatz 9 der Verordnung (EU) 2022/2554 erlassenen technischen Durchführungsstandards. — Bitte bei der Spezifizierung der Arten von IKT-Dienstleistungen die Liste in Anhang IV der gemäß Artikel 28 Absatz 9 der Verordnung (EU) 2022/2554 erlassenen technischen Durchführungsstandards verwenden. Angaben zu Unterauftragnehmern — Name und Angaben zur juristischen Person (einschließlich Rechtsträgerkennung) für jeden einzelnen Unterauftragnehmer. — Kontaktdaten der Mitarbeiter, die in der Verwaltungsstruktur des kritischen IKT-Drittdienstleisters für die einzelnen Unteraufträge zuständig sind. — Überblick für jeden einzelnen Unterauftragnehmer über die Fachkenntnisse, die Erfahrung und die Qualifikationen im Zusammenhang mit den in Auftrag gegebenen IKT-Dienstleistungen. Beschreibung der von Unterauftragnehmern erbrachten Dienstleistungen — Detaillierte Beschreibung der einzelnen IKT-Dienstleistungen, die von den einzelnen Unterauftragnehmern erbracht werden. — Aufschlüsselung der Zuständigkeiten und Aufgaben, die Unterauftragnehmern übertragen werden, durch Angabe der verschiedenen Aufgaben in den verschiedenen Phasen der IKT-Prozesse. — Informationen über den Umfang des Zugangs von Unterauftragnehmern zu personenbezogenen oder anderweitig sensiblen Daten oder Systemen bei der Erbringung von IKT-Dienstleistungen für Finanzunternehmen. — Informationen über die Standorte, von denen aus die Unterauftragnehmer ihre Dienstleistungen erbringen, und über die Maßnahmen, die zur Bewältigung von Risiken, die mit außerhalb der Union erbrachten Dienstleistungen einhergehen, ergriffen wurden. Governance und Überwachung der Unterauftragsvergabe — Beschreibung des bestehenden Vertrags- und Governance-Rahmens für die Verwaltung von Unteraufträgen, einschließlich Klauseln für die Einschränkung der Nutzung sensibler Daten. — Erläuterung der Verfahren für die Auswahl, Beauftragung und Überwachung von Unterauftragnehmern. — Überblick über Leistungsparameter, Dienstgüteziele und -vereinbarungen sowie zentrale Leistungsindikatoren, die zur Bewertung der Leistung und zur Überwachung der Zuverlässigkeit des Unterauftragnehmers herangezogen werden. Risikomanagement und Einhaltung der Vorschriften — Bewertung der Risikoprofile des Unterauftragnehmers und der potenziellen Auswirkungen auf die IKT-Dienstleistungen, die für Finanzunternehmen erbracht werden. — Erläuterung der Risikominderungsmaßnahmen, die zur Bewältigung von Risiken im Zusammenhang mit der Unterauftragsvergabe umgesetzt wurden. — Detaillierte Angaben zur Einhaltung der einschlägigen Vorschriften, einschließlich der Datenschutz- und Branchenstandards, durch den Unterauftragnehmer. Geschäftsfortführung und Notfallplanung — Überblick über die Geschäftsfortführungspläne und die Reaktions- und Wiederherstellungspläne des Unterauftragnehmers. — Beschreibung der getroffenen Vorkehrungen, um die Aufrechterhaltung der Dienste im Falle von Störungen oder der Kündigung des Unterauftragnehmers zu gewährleisten. — Häufigkeit der von den Unterauftragnehmern durchgeführten Tests der Geschäftsfortführungspläne und der Reaktions- und Wiederherstellungspläne, Datum der letzten Tests in den letzten drei Jahren und Angaben dazu, ob der kritische IKT-Drittdienstleister an diesen Tests beteiligt war. Berichterstattung — Beschreibung der Meldesysteme und der Häufigkeit der Berichterstattung zwischen dem kritischen IKT-Drittdienstleister und seinen Unterauftragnehmern. Abhilfemaßnahmen und Behandlung von Vorfällen — Überblick über die Verfahren für die Behandlung von Sicherheitsvorfällen und -verletzungen oder Verstößen in Verbindung mit dem Unterauftragnehmer. Zertifizierungen und Audits — Informationen über Zertifizierungen, unabhängige Audits oder Bewertungen, die bei Unterauftragnehmern durchgeführt wurden, um ihre Sicherheitskontrollen, Qualitätsstandards oder Einhaltung der Rechtsvorschriften zu validieren. — Datum und Häufigkeit der vom kritischen IKT-Drittdienstleister vorgenommenen Audits der Unterauftragnehmer. ELI: http://data.europa.eu/eli/reg_del/2025/295/oj ISSN 1977-0642 (electronic edition)