Kort fortalt
Artikel 29 uddyber den risikovurdering, en finansiel virksomhed skal lave, før den indgår en IKT-aftale. Understøtter tjenesten en kritisk eller vigtig funktion, skal virksomheden især se på, om den bliver afhængig af en leverandør, der er svær at udskifte, eller samler flere aftaler hos samme leverandør eller dennes nære forbindelser. Den skal afveje fordele og omkostninger ved alternativer, vurdere underleverandører og leverandørens konkurs, og for leverandører uden for EU også databeskyttelsen og muligheden for at håndhæve ret i det land.
Det betyder i praksis
Artiklen sætter ingen faste lofter for, hvor meget virksomheden må samle hos én leverandør; den kræver en velovervejet afvejning, før kontrakten er underskrevet. Leverandører bør forvente spørgsmål om underleverandørkæder, geografi og om, hvad der sker med kundens data, hvis leverandøren går konkurs.
Ofte stillede spørgsmål
Må en bank bruge samme cloududbyder til alle sine kritiske systemer?
Artiklen forbyder det ikke. Den kræver, at banken vurderer, om aftalen gør den afhængig af en udbyder, som er svær at erstatte, eller om den samler flere kritiske aftaler hos samme udbyder, og at den afvejer alternativer som flere udbydere mod sine forretningsbehov og sin strategi for digital modstandsdygtighed.
Hvad har leverandørens konkurs med IKT-aftalen at gøre?
For tjenester, der understøtter kritiske eller vigtige funktioner, skal virksomheden tage hensyn til de insolvensretlige regler, der gælder, hvis leverandøren går konkurs, og til begrænsninger i at få sine data hurtigt tilbage. Det hænger sammen med kravene i artikel 30 om adgang til og tilbagelevering af data ved leverandørens insolvens.
Er IKT-koncentrationsrisiko det samme i artikel 29 og i definitionerne?
Definitionen i artikel 3, nr. 29, knytter begrebet til afhængighed af kritiske tredjepartsudbydere. Artikel 29 er en vurdering på den enkelte virksomheds niveau før en aftale, hvor testen er, om leverandøren er let at erstatte, og om flere kritiske aftaler samles hos samme udbyder eller nært forbundne udbydere.
Relevante betragtninger
Relaterede bestemmelser
- Artikel 28 – Generelle principper
- Artikel 30 – Centrale kontraktbestemmelser
- Artikel 31 – Udpegelse af kritiske tredjepartsudbydere af IKT-tjenester
Den officielle ordlyd
Artikel 29
- Når finansielle enheder foretager identifikation og vurdering af de risici, der er omhandlet i artikel 28, stk. 4, litra c), tager de også hensyn til, hvorvidt den påtænkte indgåelse af en kontraktlig ordning i forbindelse med IKT-tjenester, der understøtter kritiske eller vigtige funktioner, vil føre til et af følgende forhold:
a) | udlicitering til en tredjepartsudbyder af IKT-tjenester, som ikke er let at erstatte, eller |
b) | indgåelse af flere kontraktlige ordninger om levering af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, med den samme tredjepartsudbyder af IKT-tjenester eller med tredjepartsudbydere af IKT-tjenester, som har tætte forbindelser til denne. |
De finansielle enheder afvejer fordele og omkostninger ved alternative løsninger såsom brug af forskellige tredjepartsudbydere af IKT-tjenester under hensyntagen til, hvorvidt og hvordan de påtænkte løsninger svarer til de forretningsmæssige behov og mål, der er fastsat i deres strategi for digital modstandsdygtighed.
- Hvis de kontraktlige ordninger for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, omfatter muligheden for, at en tredjepartsudbyder af IKT-tjenester giver IKT-tjenester, der understøtter en kritisk eller vigtig funktion, videre i underentreprise til andre tredjepartsudbydere af IKT-tjenester, afvejer de finansielle enheder de fordele og risici, der kan opstå i forbindelse med en sådan underentreprise, navnlig hvis der er tale om en IKT-underleverandør med hjemsted i et tredjeland.
Hvis de kontraktlige ordninger vedrører IKT-tjenester, der understøtter kritiske eller vigtige funktioner, tager de finansielle enheder behørigt hensyn til de bestemmelser i insolvensretten, som finder anvendelse, hvis tredjepartsudbyderen af IKT-tjenester går konkurs, samt eventuelle begrænsninger, der kan opstå i forbindelse med en hastende genopretning af den finansielle enheds data.
Hvis der er indgået kontraktlige ordninger for brug af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, med en tredjepartsudbyder af IKT-tjenester med hjemsted i et tredjeland, tager de finansielle enheder ud over til de i andet afsnit omhandlede forhold også hensyn til overholdelsen af Unionens databeskyttelsesregler og en effektiv håndhævelse af retten i det pågældende tredjeland.
Hvis de kontraktlige ordninger for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, indeholder bestemmelser om underentreprise, vurderer de finansielle enheder, hvorvidt og hvordan potentielt lange eller komplekse underentreprisekæder kan påvirke deres evne til fuldt ud at overvåge de udliciterede funktioner og den kompetente myndigheds evne til i denne henseende at føre effektivt tilsyn med den finansielle enhed.
Den officielle danske tekst følger 2022-12-27 (32022R2554).