Conformité à la loi européenne sur la résilience opérationnelle numérique

28 (1). Les entités financières gèrent le risque lié aux TIC pour les tiers comme une composante à part entière du risque lié aux TIC au sein de leur cadre de gestion du risque lié aux TIC tel que visé à l'article 6, paragraphe 1, et conformément aux principes suivants
visé à l'article 6, paragraphe 1, et conformément aux principes suivants :

(a) les entités financières qui ont mis en place
des arrangements contractuels pour l'utilisation de services TIC dans le cadre de leurs activités commerciales restent, à tout moment, pleinement responsables du respect et de l'exécution de toutes les obligations qui leur incombent en matière de TIC.
du respect et de l'exécution de toutes les obligations
obligations au titre du présent règlement et de la législation applicable en matière de services financiers
applicable en matière de services financiers ;

(b) la gestion par les entités financières du risque de tiers lié aux TIC
est mise en œuvre à la lumière du principe de proportionnalité, en tenant compte
principe de proportionnalité, en tenant compte

(i) la nature, l'échelle, la complexité et l'importance des dépendances liées aux TIC,

(ii) les risques découlant d'accords contractuels
contractuels relatifs à l'utilisation des services TIC
conclus avec des prestataires de services TIC tiers,
en tenant compte de la criticité ou de l'importance
du service, du processus ou de la fonction concerné(e), et de l'impact potentiel sur la continuité et la disponibilité des services et activités financiers, à la date de clôture de l'exercice.
disponibilité des services et activités financiers, au niveau
au niveau individuel et au niveau du groupe.

28 (2). Dans le cadre de leur gestion des risques liés aux TIC, les entités financières autres que les entités visées à l'article 16, paragraphe 1, premier alinéa, et autres que les micro-entreprises, adoptent et réexaminent régulièrement une stratégie relative aux risques liés aux TIC pour les tiers, en tenant compte, le cas échéant, de la stratégie multi-fournisseurs visée à l'article 6, paragraphe 9. La stratégie relative au risque TIC de tiers comprend une politique d'utilisation des services TIC soutenant des fonctions critiques ou importantes fournis par des prestataires de services TIC de tiers et s'applique sur une base individuelle et, le cas échéant, sur une base sous-consolidée et consolidée. L'organe de direction, sur la base d'une évaluation du profil de risque global de l'entité financière ainsi que de l'échelle et de la complexité des services commerciaux, réexamine régulièrement les risques identifiés en ce qui concerne les accords contractuels relatifs à l'utilisation de services TIC soutenant des fonctions critiques ou importantes.

28 (3). Dans le cadre de leur cadre de gestion des risques liés aux TIC, les entités financières tiennent et mettent à jour au niveau de l'entité, ainsi qu'aux niveaux sous-consolidé et consolidé, un registre d'informations concernant tous les accords contractuels relatifs à l'utilisation des services TIC fournis par des prestataires de services TIC tiers.
Les accords contractuels visés au premier alinéa sont documentés de manière appropriée, en distinguant ceux qui couvrent les services TIC soutenant des fonctions critiques ou importantes de ceux qui ne les couvrent pas.
Les entités financières font rapport au moins une fois par an aux autorités compétentes sur le nombre de nouveaux accords relatifs à l'utilisation des services TIC, les catégories de prestataires de services TIC tiers, le type d'accords contractuels et les services et fonctions TIC qui sont fournis.
Les entités financières mettent à la disposition de l'autorité compétente, à sa demande, le registre complet d'informations ou, sur demande, des sections spécifiques de ce registre, ainsi que toute information jugée nécessaire pour permettre une surveillance efficace de l'entité financière.
Les entités financières informent l'autorité compétente en temps utile de tout accord contractuel prévu concernant l'utilisation de services TIC à l'appui de fonctions critiques ou importantes, ainsi que lorsqu'une fonction est devenue critique ou importante.

28 (5). Les entités financières ne peuvent conclure des accords contractuels avec des prestataires de services TIC tiers que s'ils respectent les normes de sécurité de l'information appropriées. Lorsque ces accords contractuels concernent des fonctions critiques ou importantes, les entités financières prennent dûment en considération, avant de conclure les accords, l'utilisation, par les prestataires de services TIC tiers, des normes de sécurité de l'information les plus récentes et de la plus haute qualité.

28 (6). Dans l'exercice des droits d'accès, d'inspection et d'audit sur le prestataire de services TIC tiers, les entités financières prédéterminent, sur la base d'une approche fondée sur le risque, la fréquence des audits et des inspections ainsi que les domaines à auditer en adhérant à des normes d'audit communément admises, conformément à toute instruction prudentielle sur l'utilisation et l'incorporation de ces normes d'audit.
Lorsque les accords contractuels conclus avec des prestataires de services TIC tiers sur l'utilisation des services TIC impliquent une grande complexité technique, l'entité financière vérifie que les auditeurs, qu'ils soient internes ou externes, ou un groupe d'auditeurs, possèdent les compétences et les connaissances appropriées pour réaliser efficacement les audits et les évaluations concernés.

28 (7). Les entités financières veillent à ce que les dispositions contractuelles relatives à l'utilisation des services TIC puissent être résiliées dans l'une ou l'autre des circonstances suivantes :

(a) violation importante par le prestataire de services TIC tiers des lois, réglementations ou conditions contractuelles applicables ;

(b) les circonstances identifiées tout au long de la surveillance du risque lié aux TIC pour des tiers qui sont considérées comme susceptibles d'altérer l'exécution des fonctions fournies dans le cadre de l'accord contractuel, y compris les changements importants qui affectent l'accord ou la situation du prestataire de services TIC pour des tiers ;

(c) les faiblesses avérées du prestataire de services TIC tiers en ce qui concerne sa gestion globale des risques liés aux TIC et, en particulier, la manière dont il assure la disponibilité, l'authenticité, l'intégrité et la confidentialité des données, qu'il s'agisse de données à caractère personnel ou autrement sensibles, ou de données non personnelles ;

(d) lorsque l'autorité compétente n'est plus en mesure de surveiller efficacement l'entité financière en raison des conditions ou des circonstances liées à l'accord contractuel concerné.

28 (8). Pour les services TIC soutenant des fonctions critiques ou importantes, les entités financières mettent en place des stratégies de sortie. Les stratégies de sortie prennent en compte les risques qui peuvent apparaître au niveau des fournisseurs de services TIC tiers, en particulier une éventuelle défaillance de leur part, une détérioration de la qualité des services TIC fournis, toute perturbation des activités due à une fourniture inappropriée ou défaillante des services TIC ou tout risque important lié au déploiement approprié et continu du service TIC concerné, ou la résiliation des accords contractuels avec les fournisseurs de services TIC tiers dans l'une quelconque des circonstances énumérées au paragraphe 7.
Les entités financières doivent s'assurer qu'elles sont en mesure de mettre fin aux accords contractuels sans :

(a) la perturbation de leurs activités commerciales,

(b) limiter le respect des exigences réglementaires,

(c) l' atteinte à la continuité et à la qualité des services fournis aux clients.

Les plans de sortie sont complets, documentés et, conformément aux critères énoncés à l'article 4, paragraphe 2, suffisamment testés et réexaminés périodiquement.
Les entités financières identifient des solutions alternatives et élaborent des plans de transition leur permettant de retirer les services TIC contractuels et les données correspondantes du prestataire de services TIC tiers et de les transférer de manière sûre et intégrale à d'autres prestataires ou de les réincorporer en interne.
Les entités financières mettent en place des mesures d'urgence appropriées pour assurer la continuité de leurs activités dans les circonstances visées au premier alinéa.

29 (1). Lorsqu'elles procèdent à l'identification et à l'évaluation des risques visées à l'article 28, paragraphe 4, point c), les entités financières prennent également en considération le fait que la conclusion envisagée d'un accord contractuel relatif à des services TIC prenant en charge des fonctions critiques ou importantes conduirait à l'une des situations suivantes :

(a) la passation d'un contrat avec un fournisseur de services TIC tiers qui n'est pas facilement substituable ; ou

(b) avoir mis en place de multiples accords contractuels relatifs à la fourniture de services TIC soutenant des fonctions critiques ou importantes avec le même prestataire de services TIC tiers ou avec des prestataires de services TIC tiers étroitement liés.

Les entités financières évaluent les avantages et les coûts des solutions alternatives, telles que le recours à différents prestataires de services TIC tiers, en tenant compte de l'adéquation des solutions envisagées avec les besoins et les objectifs de l'entreprise définis dans leur stratégie de résilience numérique, et de la manière dont elles y répondent.

29 (2). Lorsque les dispositions contractuelles relatives à l'utilisation de services TIC soutenant des fonctions critiques ou importantes prévoient la possibilité qu'un prestataire de services TIC tiers sous-traite des services TIC soutenant une fonction critique ou importante à d'autres prestataires de services TIC tiers, les entités financières mettent en balance les avantages et les risques qui peuvent découler de cette sous-traitance, en particulier dans le cas d'un sous-traitant TIC établi dans un pays tiers.

Lorsque les accords contractuels concernent des services TIC soutenant des fonctions critiques ou importantes, les entités financières doivent dûment prendre en compte les dispositions de la loi sur l'insolvabilité qui s'appliqueraient en cas de faillite du fournisseur de services TIC tiers, ainsi que toute contrainte qui pourrait survenir en ce qui concerne la récupération urgente des données de l'entité financière.

Lorsque des arrangements contractuels relatifs à l'utilisation de services TIC soutenant des fonctions critiques ou importantes sont conclus avec un prestataire de services TIC tiers établi dans un pays tiers, les entités financières prennent également en compte, outre les considérations visées au deuxième alinéa, le respect des règles de l'Union en matière de protection des données et l'application effective de la loi dans ce pays tiers.

Lorsque les dispositions contractuelles relatives à l'utilisation de services TIC soutenant des fonctions critiques ou importantes prévoient la sous-traitance, les entités financières évaluent si et comment des chaînes de sous-traitance potentiellement longues ou complexes peuvent avoir une incidence sur leur capacité à contrôler pleinement les fonctions sous-traitées et sur la capacité de l'autorité compétente à superviser efficacement l'entité financière à cet égard.

30 (1). Les droits et obligations de l'entité financière et du prestataire de services TIC tiers sont clairement répartis et consignés par écrit. Le contrat complet inclut les accords de niveau de service et est consigné dans un document écrit qui est mis à la disposition des parties sur papier ou dans un document dans un autre format téléchargeable, durable et accessible.

30 (2). Les dispositions contractuelles relatives à l'utilisation des services TIC comprennent au moins les éléments suivants :

(a) une description claire et complète de toutes les fonctions et de tous les services TIC à fournir par le prestataire de services TIC tiers, indiquant si la sous-traitance d'un service TIC soutenant une fonction critique ou importante, ou des parties importantes de ce service, est autorisée et, si tel est le cas, les conditions applicables à cette sous-traitance ;

(b) les lieux, à savoir les régions ou les pays, où les fonctions et les services TIC contractés ou sous-traités doivent être fournis et où les données doivent être traitées, y compris le lieu de stockage, et l'obligation pour le prestataire de services TIC tiers de notifier à l'avance à l'entité financière s'il envisage de changer ces lieux ;

(c) les dispositions relatives à la disponibilité, à l'authenticité, à l'intégrité et à la confidentialité en ce qui concerne la protection des données, y compris les données à caractère personnel ;

(d) des dispositions visant à garantir l'accès, la récupération et la restitution dans un format facilement accessible des données à caractère personnel et non personnel traitées par l'entité financière en cas d'insolvabilité, de résolution ou de cessation des activités commerciales du fournisseur de services TIC tiers, ou en cas de résiliation des accords contractuels ;

(e) les descriptions des niveaux de service, y compris leurs mises à jour et leurs révisions ;

(f) l'obligation pour le prestataire de services TIC tiers de fournir une assistance à l'entité financière sans coût supplémentaire, ou à un coût déterminé ex ante, lorsqu'un incident TIC lié au service TIC fourni à l'entité financière se produit ;
(g) l'obligation pour le prestataire de services TIC tiers de coopérer pleinement avec les autorités compétentes et les autorités de résolution de l'entité financière, y compris les personnes désignées par elles ;

(h) les droits de résiliation et les délais de préavis minimums correspondants pour la résiliation des accords contractuels, conformément aux attentes des autorités compétentes et des autorités de résolution ;

(i) les conditions de participation des prestataires de services TIC tiers aux programmes de sensibilisation à la sécurité des TIC et à la formation à la résilience opérationnelle numérique des entités financières, conformément à l'article 13, paragraphe 6.

30 (3). Les dispositions contractuelles relatives à l'utilisation des services TIC à l'appui de fonctions critiques ou importantes comprennent, outre les éléments visés au paragraphe 2, au moins les éléments suivants :

(a) des descriptions complètes des niveaux de service, y compris leurs mises à jour et leurs révisions, avec des objectifs de performance quantitatifs et qualitatifs précis dans le cadre des niveaux de service convenus, afin de permettre à l'entité financière de contrôler efficacement les services TIC et de prendre des mesures correctives appropriées, sans retard injustifié, lorsque les niveaux de service convenus ne sont pas respectés ;

(b) les délais de notification et les obligations d'information du prestataire de services TIC tiers à l'égard de l'entité financière, y compris la notification de tout développement susceptible d'avoir un impact significatif sur la capacité du prestataire de services TIC tiers à fournir efficacement les services TIC soutenant les fonctions critiques ou importantes conformément aux niveaux de service convenus ;

(c) l'obligation pour le prestataire de services TIC tiers de mettre en œuvre et de tester des plans d'urgence et de mettre en place des mesures, des outils et des politiques de sécurité des TIC qui assurent un niveau de sécurité approprié pour la fourniture de services par l'entité financière, conformément à son cadre réglementaire ;

(d) l'obligation pour le prestataire de services TIC tiers de participer et de coopérer pleinement au TLPT de l'entité financière, tel que visé aux articles 26 et 27 ;

(e) le droit de contrôler, en permanence, les performances du prestataire de services TIC tiers, ce qui implique ce qui suit :

(i) des droits d'accès, d'inspection et d'audit sans restriction par l'entité financière, ou un tiers désigné, et par l'autorité compétente, ainsi que le droit de prendre des copies des documents pertinents sur place s'ils sont essentiels aux opérations du prestataire de services TIC tiers, dont l'exercice effectif n'est pas entravé ou limité par d'autres dispositions contractuelles ou politiques de mise en œuvre ;

(ii) le droit de convenir d'autres niveaux d'assurance si les droits d'autres clients sont affectés ;

(iii) l'obligation pour le prestataire de services TIC tiers de coopérer pleinement lors des inspections et audits sur place effectués par les autorités compétentes, le contrôleur principal, l'entité financière ou un tiers désigné ; et

(iv) l'obligation de fournir des détails sur la portée, les procédures à suivre et la fréquence de ces inspections et audits ;

(f) les stratégies de sortie, en particulier la mise en place d'une période de transition obligatoire et adéquate :

(i) pendant laquelle le prestataire de services TIC tiers continuera à fournir les fonctions respectives, ou les services TIC, en vue de réduire le risque de perturbation au sein de l'entité financière ou d'assurer sa résolution et sa restructuration efficaces ;
(ii) permettant à l'entité financière de migrer vers un autre prestataire de services TIC tiers ou de passer à des solutions internes en fonction de la complexité du service fourni.
Par dérogation au point e), le prestataire de services TIC tiers et l'entité financière qui est une micro-entreprise peuvent convenir que les droits d'accès, d'inspection et d'audit de l'entité financière peuvent être délégués à un tiers indépendant, désigné par le prestataire de services TIC tiers, et que l'entité financière est en mesure de demander à tout moment au tiers des informations et des assurances sur les performances du prestataire de services TIC tiers.

30 (4). Lors de la négociation d'accords contractuels, les entités financières et les prestataires de services TIC tiers envisagent l'utilisation de clauses contractuelles types élaborées par les autorités publiques pour des services spécifiques.