DORA Legislatíva

Náležitosti zmlúv medzi finančnými subjektami a externými poskytovateľmi IKT služieb sú obsiahnuté v čl. 30 ods. 2 nariadenia DORA. Dodatočné požiadavky na zmluvy o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie uvádza čl. 30 ods. 3 nariadenia DORA a tiež dva predpisy k tomuto nariadeniu:

1. Delegované nariadenie Komisie (EÚ) 2024/1773, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, ktorými sa bližšie spresňuje podrobný obsah politiky v súvislosti so zmluvnými dojednaniami o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie a poskytovaných externými poskytovateľmi IKT služieb
2. RTS k subdodávateľským sieťam – tento predpis zatiaľ nebol zverejnený vo Vestníku a jeho zverejnenie sa očakáva koncom februára 2025. Po zverejnení delegovaného nariadenia vo Vestníku budeme túto odpoveď aktualizovať

Indikatívne uvádzame, čo by mali zmluvy o IKT službách obsahovať:

• jasný a úplny opis všetkých funkcií a služieb, ktoré má externý poskytovateľ IKT služieb poskytovať (aj či sa povoľujú subdodávatelia + za akých podmienok)
• kde má dochádzať k poskytovaniu služieb (poskytovanie služby, spracovávanie a uchovávanie údajov)
• ochrana údajov a osobných údajov
• prístup k údajom (aj v prípade ukončenia zmluvy)
• opis úrovne poskytovaných služieb (aj aktualizácie a revízie)
• podpora od dodávateľov IKT služieb pre finančný subjekt bez dodatočných nákladov (alebo stanovených ex-ante) v prípade IKT incidentu
• povinnosť dodávateľa IKT služieb spolupracovať s orgánmi dohľadu a NRA/SRB (vrátane nimi určených osôb)
• právo ukončiť zmluvný vzťah (+ podmienky, výpovedná lehota)
• podmienky účasti poskytovateľov IKT služieb na zvyšovaní informovanosti finančného subjektu o IT bezpečnosti a digitálnej prevádzkovej odolnosti

Indikatívne tiež uvádzame, čo by mali obsahovať zmluvy o IKT službách podporujúcich kritické alebo dôležité funkcie:

• úplný opis úrovne služieb + aktualizácie a revízie (+ presné kvantitatívne a kvalitatívne výkonnostné ciele) – aby finančný subjekt mohol monitorovať kvalitu poskytovania služieb
• výpovedné lehoty a nahlasovacie povinnosti externého poskytovateľa IKT služieb voči finančnému subjektu
• požiadavky na externého poskytovateľa IKT služieb na vykonávanie a testovanie obchodných krízových plánov, zavedenie bezpečnostných opatrení, nástrojov a politík
• povinnosť účasti externého poskytovateľa IKT služieb na TLPT testovaní finančného subjektuprávo
• priebežne monitorovať výkonnosť externého poskytovateľa IKT služieb
  • neobmedzené právo na prístup, inšpekciu, audit (finančný subjekt, iná strana, kompetentná autorita)
  • povinnosť spolupráce externého poskytovateľa IKT služieb na inšpekcii, audite – zo strany orgánu dohľadu alebo inej strany 
• stratégie ukončovania angažovanosti – primerané prechodné obdobie
  • počas ktorého ešte externý poskytovateľ IKT služieb bude poskytovať služby
  • ktoré umožní finančnému subjektu prejsť k inému externému poskytovateľovi IKT

Delegované nariadenia 2024/1773 k politike v súvislosti so zmluvnými dojednaniami o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie a poskytovaných externými poskytovateľmi IKT služieb obsahuje najmä:

• úprava zmluvného vzťahu medzi finančnou entitou a externým poskytovateľom IKT služby
  • aby bolo možné nad externým poskytovateľom IKT služby vykonávať účinnú kontrolu (najmä zo strany finančnej entity, orgánu dohľadu, nezávislého auditu)
• aké všetky kroky má finančná entita vykonať vo vzťahu k externým poskytovateľom IKT služby
  • pred vstupom do zmluvy, počas trvania zmluvy, pri ukončovaní zmluvy
  • proces výberu, požiadavky na externých poskytovateľov IKT služieb, náležitosti zmlúv, exit plány
• politika má byť súčasťou stratégie pre externé IKT riziko – ako súčasť rámca pre riadenie IKT rizík

RTS k subdodávateľským sieťam obsahuje najmä:

• požiadavky na zmluvy pre subdodávateľské siete
  • čo má finančná entita posudzovať pred vstupom do zmluvy s externým poskytovateľom IKT služby
  • za akých podmienok môže byť dodanie služieb podporujúcich kritické alebo dôležité funkcie zabezpečené subdodávateľsky
  • ako a kedy prijímať materiálne zmeny v zmluvách podporujúcich kritické alebo dôležité funkcie
  • ukončenie zmluvy zo strany finančnej entity

Finančné služby môžu zahŕňať poskytovanie aj služieb IKT. V prípade, že finančné subjekty poskytujú služby IKT iným finančným subjektom v súvislosti so svojimi finančnými službami, prijímajúce finančné subjekty by mali posúdiť, či

1. služby predstavujú službu IKT podľa DORA a
2. či sú poskytujúce finančné subjekty a nimi poskytované finančné služby regulované právom Únie alebo akýmkoľvek vnútroštátnym právnym predpisom členského štátu alebo tretej krajiny.

Ak sú obe podmienky splnené, daná súvisiaca služba IKT by sa mala považovať prevažne za finančnú službu a nemala by sa posudzovať ako služba IKT v zmysle článku 3(21) nariadenia DORA.

V prípade, že službu poskytuje regulovaný finančný subjekt poskytujúci regulované finančné služby, ale služba s týmito regulovanými finančnými službami nesúvisí alebo je od nich nezávislá, mala by sa táto služba považovať za službu IKT podľa článku 3(21) nariadenia DORA.

Rovnaká logika sa uplatňuje aj na pomocné služby poskytované subjektom, a to v závislosti od toho, či sú tieto pomocné služby regulovanými finančnými službami alebo službou neoddeliteľnou, neodmysliteľnou, prípravnou alebo nevyhnutnou pre poskytovanie regulovanej finančnej služby, a nie sú poskytované samostatne.

Viac informácii nájdete tu.