Agencia Estatal Boletín Oficial del Estado

(1)

El marco sobre resiliencia operativa digital para el sector financiero establecido por el Reglamento (UE) 2022/2554 exige que las entidades financieras establezcan determinados principios clave para gestionar el riesgo relacionado con las TIC derivado de terceros, que revisten especial importancia cuando las entidades financieras colaboran con proveedores terceros de servicios de TIC para sustentar sus funciones esenciales o importantes.

(2)

Las entidades financieras, como parte de su marco de gestión del riesgo relacionado con las TIC, deben adoptar una estrategia sobre el riesgo de terceros relacionado con las TIC y revisarla periódicamente. De conformidad con el artículo 28, apartado 2, del Reglamento (UE) 2022/2554, dicha estrategia debe incluir una política sobre el uso de servicios de TIC que sustenten funciones esenciales o importantes prestados por proveedores terceros de servicios de TIC, y se debe aplicar a título particular y, cuando proceda, de forma subconsolidada y consolidada.

(3)

Las entidades financieras varían considerablemente en cuanto al tamaño, la estructura y la organización interna, así como en cuanto a la naturaleza y complejidad de sus actividades y operaciones. A la hora de desarrollar la política relativa a los acuerdos contractuales sobre el uso de servicios de TIC que sustenten funciones esenciales o importantes prestados por proveedores terceros de TIC (en lo sucesivo, «política»), es necesario tener en cuenta esta diversidad, pero imponer al mismo tiempo determinados requisitos reglamentarios fundamentales que sean adecuados para todas las entidades financieras, garantizando que dichos requisitos se apliquen de manera proporcionada.

(4)

Cuando las entidades financieras pertenezcan a un grupo, la sociedad matriz responsable de presentar los estados financieros consolidados o subconsolidados del grupo debe, por tanto, garantizar que la política se aplique de manera uniforme y coherente dentro del grupo.

(5)

Al aplicar la política, los proveedores intragrupo de servicios de TIC, incluidos los que sean propiedad plena o colectiva de entidades financieras dentro del mismo sistema institucional de protección, deben considerarse proveedores terceros de servicios de TIC. Los riesgos que plantean los proveedores intragrupo de servicios de TIC pueden ser diferentes, pero los requisitos que les resultan aplicables en virtud del Reglamento (UE) 2022/2554 son los mismos. De manera similar, la política debe ser aplicable a los subcontratistas que presten servicios de TIC que sustenten funciones esenciales o importantes, o partes sustanciales de ellas, a proveedores terceros de servicios de TIC, cuando exista una cadena de proveedores terceros de servicios de TIC.

(6)

La responsabilidad última del órgano de dirección en la gestión del riesgo relacionado con las TIC de una entidad financiera es un principio fundamental que también es aplicable cuando se recurre a proveedores terceros de servicios de TIC. Esta responsabilidad debe traducirse además en la implicación continua del órgano de dirección en el control y el seguimiento de la gestión del riesgo relacionado con las TIC, incluida la adopción y revisión, al menos una vez al año, de la política.

(7)

Para garantizar una información adecuada al órgano de dirección, la política debe especificar y determinar claramente las responsabilidades internas relativas a la aprobación, la gestión, el control y la documentación de los acuerdos contractuales sobre el uso de servicios de TIC que sustenten funciones esenciales o importantes prestados por proveedores terceros de servicios de TIC (en lo sucesivo, «acuerdos contractuales»), incluidos los servicios de TIC prestados en virtud de los acuerdos contractuales a que se refiere el artículo 28, apartado 1, letra a), del Reglamento (UE) 2022/2554.

(8)

A fin de tener en cuenta todos los posibles riesgos que puedan surgir al contratar servicios de TIC que sustenten funciones esenciales o importantes, la estructura de la política debe seguir todas las etapas de cada una de las fases principales del ciclo de vida de los acuerdos contractuales con proveedores terceros.

(9)

Para mitigar los riesgos detectados, la política debe especificar la planificación de los acuerdos contractuales, en particular la evaluación de riesgos, la diligencia debida y el proceso de aprobación de cambios nuevos o significativos en dichos acuerdos contractuales. A fin de gestionar los riesgos que puedan surgir antes de celebrar un acuerdo contractual con un proveedor tercero de servicios de TIC, la política debe especificar un proceso adecuado y proporcionado para seleccionar y evaluar la idoneidad de los posibles proveedores terceros de servicios de TIC y exigir que la entidad financiera tenga en cuenta una lista no exhaustiva de los elementos de que deben disponer los proveedores terceros de servicios de TIC. La lista debe incluir aspectos relacionados con la reputación empresarial de los proveedores de servicios, sus recursos financieros, humanos y técnicos, su seguridad de la información, su estructura organizativa, incluida la gestión de riesgos, y sus controles internos.

(10)

Para garantizar una gestión del riesgo sólida en la prestación de servicios de TIC que sustenten funciones esenciales o importantes por parte de proveedores terceros de servicios de TIC, la política debe contener información sobre la aplicación, el seguimiento y la gestión de los acuerdos contractuales, también a nivel consolidado y subconsolidado, cuando proceda. Esto implica, entre otras cosas, establecer requisitos para las cláusulas contractuales sobre las obligaciones mutuas de las entidades financieras y los proveedores terceros de servicios de TIC, lo que debe hacerse por escrito. Con el fin de garantizar una supervisión eficiente y fomentar la resiliencia en caso de que el modelo de negocio o el entorno empresarial cambien, la política debe garantizar los derechos de las entidades financieras o de terceros designados y de las autoridades competentes a las inspecciones y al acceso a la información, así como especificar en mayor medida las estrategias de salida y los procesos de extinción.

(11)

En la medida en la que los proveedores terceros de servicios de TIC traten datos personales, esta política y cualquier acuerdo contractual se entienden sin perjuicio de las obligaciones establecidas en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (2) y deben complementarlas, como el requisito de disponer de un contrato escrito en el que se describa el tratamiento de datos personales, el requisito de garantizar la seguridad del tratamiento de datos personales y establecer todos los demás elementos exigidos en virtud de dicho Reglamento.

(12)

El Comité Mixto de las Autoridades Europeas de Supervisión a que se refieren el artículo 54 del Reglamento (UE) n.o 1093/2010 del Parlamento Europeo y del Consejo (3), el artículo 54 del Reglamento (UE) n.o 1094/2010 del Parlamento Europeo y del Consejo (4) y el artículo 54 del Reglamento (UE) n.o 1095/2010 del Parlamento Europeo y del Consejo (5) ha llevado a cabo consultas públicas abiertas sobre el proyecto de normas técnicas de regulación en que se basa el presente Reglamento, ha analizado los posibles costes y beneficios de las normas propuestas y ha solicitado el asesoramiento del Grupo de Partes Interesadas del Sector Bancario creado de conformidad con el artículo 37 del Reglamento (UE) n.o 1093/2010, el Grupo de Partes Interesadas del Sector de Seguros y Reaseguros y el Grupo de Partes Interesadas del Sector de Pensiones de Jubilación creados de conformidad con el artículo 37 del Reglamento (UE) n.o 1094/2010, y el Grupo de partes interesadas del sector de los valores y mercados creado de conformidad con el artículo 37 del Reglamento (UE) n.o 1095/2010.

(13)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (6), emitió su dictamen el 24 de enero de 2024,

a)

el tipo de servicios de TIC incluidos en el acuerdo contractual sobre el uso de servicios de TIC que sustenten funciones esenciales o importantes prestados por proveedores terceros de servicios de TIC (en lo sucesivo, «acuerdo contractual») entre la entidad financiera y el proveedor tercero de servicios de TIC;

b)

la ubicación del proveedor tercero de servicios de TIC o la ubicación de su empresa matriz;

c)

si los servicios de TIC que sustenten funciones esenciales o importantes son prestados por un proveedor tercero de servicios de TIC ubicado en un Estado miembro o en un tercer país, teniendo también en cuenta la ubicación desde la que se prestan los servicios de TIC y la ubicación en la que se tratan y almacenan los datos;

d)

la naturaleza de los datos compartidos con el proveedor tercero de servicios de TIC;

e)

si el proveedor tercero de servicios de TIC forma parte del mismo grupo que la entidad financiera a la que se prestan los servicios;

f)

el recurso a proveedores terceros de servicios de TIC que estén autorizados, registrados o sujetos a vigilancia o supervisión por una autoridad competente de un Estado miembro o sujetos al marco de supervisión con arreglo al capítulo V, sección II, del Reglamento (UE) 2022/2554, y el recurso a proveedores terceros de servicios de TIC que no lo estén;

g)

el recurso a proveedores terceros de servicios de TIC que estén autorizados, registrados o sujetos a vigilancia o supervisión por una autoridad de supervisión de un tercer país, y el recurso a proveedores terceros de servicios de TIC que no lo estén;

h)

si la prestación de servicios de TIC que sustenten funciones esenciales o importantes se concentra en un único proveedor tercero de servicios de TIC o en un pequeño número de dichos proveedores de servicios;

i)

la transferibilidad de los servicios de TIC que sustenten funciones esenciales o importantes a otro proveedor tercero de servicios de TIC, también como resultado de especificidades tecnológicas;

j)

la repercusión que pueden tener las perturbaciones en la prestación de los servicios de TIC que sustenten funciones esenciales o importantes en la continuidad de las actividades de la entidad financiera y en la disponibilidad de sus servicios.

a)

el marco de gestión del riesgo relacionado con las TIC a que se refiere el artículo 6 del Reglamento (UE) 2022/2554;

b)

la política de seguridad de la información a que se refiere el artículo 9, apartado 4, del Reglamento (UE) 2022/2554;

c)

la política de continuidad de la actividad en materia de TIC a que se refiere el artículo 11 del Reglamento (UE) 2022/2554;

d)

los requisitos en materia de notificación de incidentes establecidos en el artículo 19 del Reglamento (UE) 2022/2554.

a)

no eximen a la entidad financiera ni a su órgano de dirección de sus obligaciones reglamentarias ni de sus responsabilidades frente a sus clientes;

b)

no deben impedir la supervisión efectiva de una entidad financiera y no deben contravenir ninguna restricción sobre servicios y actividades impuesta por el supervisor;

c)

deben exigir que los proveedores terceros de servicios de TIC cooperen con las autoridades competentes;

d)

deben exigir que la entidad financiera, sus auditores y las autoridades competentes tengan acceso efectivo a los datos y locales relacionados con el uso de servicios de TIC que sustenten funciones esenciales o importantes.

a)

las responsabilidades del órgano de dirección, incluida su participación, según proceda, en el proceso de toma de decisiones sobre el uso de servicios de TIC que sustenten funciones esenciales o importantes prestados por proveedores terceros de servicios de TIC;

b)

la planificación de los acuerdos contractuales, incluida la evaluación de riesgos y la diligencia debida establecidas en los artículos 5 y 6, así como el proceso de aprobación de cambios nuevos o significativos en los acuerdos contractuales establecido en el artículo 8, apartado 4;

c)

la participación de unidades operativas, controles internos y otras unidades pertinentes en relación con los acuerdos contractuales;

d)

la aplicación, el seguimiento y la gestión de los acuerdos contractuales a que se refieren los artículos 7, 8 y 9, también a nivel consolidado y subconsolidado, cuando proceda;

e)

la documentación y la conservación de registros, teniendo en cuenta los requisitos relativos al registro de información establecidos en el artículo 28, apartado 3, del Reglamento (UE) 2022/2554;

f)

las estrategias de salida y los procesos de extinción establecidos en el artículo 10.

a)

los riesgos operativos;

b)

los riesgos jurídicos;

c)

los riesgos relacionados con las TIC;

d)

los riesgos de reputación;

e)

los riesgos relacionados con la protección de datos confidenciales o personales;

f)

los riesgos relacionados con la disponibilidad de datos;

g)

los riesgos relacionados con la ubicación en la que se tratan y almacenan los datos;

h)

los riesgos relacionados con la ubicación del proveedor tercero de servicios de TIC;

i)

los riesgos de concentración de TIC a nivel de la entidad.

a)

cuenta con la reputación empresarial, las capacidades y los conocimientos especializados suficientes y los recursos financieros, humanos y técnicos adecuados, los estándares en materia de seguridad de la información, la estructura organizativa adecuada, la gestión del riesgo y los controles internos y, cuando proceda, las autorizaciones o registros necesarios para prestar los servicios de TIC que sustenten funciones esenciales o importantes de manera fiable y profesional;

b)

tiene capacidad para seguir los avances tecnológicos pertinentes y determinar las prácticas punteras en materia de seguridad de las TIC y aplicarlas cuando proceda con el fin de disponer de un marco de resiliencia operativa digital efectivo y sólido;

c)

recurre o tiene la intención de recurrir a subcontratistas de TIC para prestar los servicios de TIC que sustenten funciones esenciales o importantes o partes sustanciales de dichos servicios;

d)

está ubicado o procesa o almacena los datos en un tercer país y, en tal caso, si ello afecta a la magnitud de riesgos operativos o de reputación o al riesgo de verse afectado por medidas restrictivas, como embargos y sanciones, que puedan afectar a su capacidad para prestar los servicios de TIC o a la capacidad de la entidad financiera para recibir dichos servicios de TIC;

e)

acepta los acuerdos contractuales que garanticen la posibilidad de que la propia entidad financiera, terceros designados y las autoridades competentes puedan llevar a cabo auditorías de dicho proveedor tercero de servicios de TIC, también in situ;

f)

actúa de manera ética y socialmente responsable, respeta los derechos humanos y los derechos de la infancia, incluida la prohibición del trabajo infantil, respeta los principios aplicables en materia de protección del medio ambiente y garantiza unas condiciones de trabajo adecuadas.

a)

auditorías o evaluaciones independientes realizadas por la propia entidad financiera o en su nombre;

b)

informes de auditoría independientes elaborados a petición del proveedor tercero de servicios de TIC;

c)

informes de auditoría elaborados por la función de auditoría interna del proveedor tercero de servicios de TIC;

d)

certificaciones adecuadas de terceros;

e)

otras informaciones pertinentes de que disponga la entidad financiera o facilitadas por el proveedor tercero de servicios de TIC.

a)

su propia auditoría interna o una auditoría realizada por un tercero designado;

b)

cuando proceda, auditorías conjuntas y pruebas conjuntas de TIC, incluidas pruebas de penetración guiadas por amenazas, organizadas conjuntamente con otras entidades financieras o empresas adjudicadoras que utilicen servicios de TIC del mismo proveedor tercero de servicios de TIC y que sean realizadas por dichas entidades financieras o empresas adjudicadoras o por un tercero designado por ellas;

c)

cuando proceda, certificaciones de terceros;

d)

cuando proceda, informes de auditoría interna o externa facilitados por el proveedor tercero de servicios de TIC.

a)

considere satisfactorio el plan de auditoría del proveedor tercero de servicios de TIC para los acuerdos contractuales pertinentes;

b)

garantice que las certificaciones o los informes de auditoría cubran los sistemas y controles clave determinados por la entidad financiera y garantice el cumplimiento de los requisitos reglamentarios pertinentes;

c)

evalúe exhaustivamente el contenido de las certificaciones o de los informes de auditoría de forma continua y verifica que los informes o certificaciones no estén obsoletos;

d)

garantice que las futuras versiones de la certificación o del informe de auditoría abarquen los sistemas y controles clave;

e)

esté convencida de la aptitud de la parte certificadora o auditora;

f)

tenga la convicción de que las certificaciones se han expedido y de que las auditorías se llevan a cabo con arreglo a normas profesionales pertinentes ampliamente reconocidas e incluyen una prueba de la eficacia operativa de los controles clave establecidos;

g)

tenga el derecho contractual a solicitar, con una frecuencia razonable y legítima desde el punto de vista de la gestión del riesgo, modificaciones del alcance de las certificaciones o informes de auditoría ampliándolo a otros sistemas y controles pertinentes;

h)

tenga el derecho contractual a realizar auditorías individuales y conjuntas discrecionales en relación con los acuerdos contractuales y a ejecutar dichos derechos de acuerdo con la frecuencia acordada.

a)

que los proveedores terceros de servicios de TIC faciliten informes adecuados sobre sus actividades y servicios a la entidad financiera, incluidos informes periódicos, informes de incidentes, informes sobre la prestación de servicios, sobre la seguridad de las TIC y sobre las medidas y las pruebas relacionadas con la continuidad de las actividades;

b)

que el desempeño de los proveedores terceros de servicios de TIC se evalúe con indicadores clave de desempeño, indicadores clave de control, auditorías, autocertificaciones y revisiones independientes en consonancia con el marco de gestión del riesgo relacionado con las TIC de la entidad financiera;

c)

que la entidad financiera reciba otras informaciones pertinentes facilitadas por los proveedores terceros de servicios de TIC;

d)

que se notifique a la entidad financiera, cuando proceda, los incidentes relacionados con las TIC y los incidentes operativos o de seguridad relacionados con los pagos;

e)

que se lleven a cabo una revisión y auditorías independientes que verifiquen el cumplimiento de los requisitos y las políticas legales y reglamentarios.