Article 3 Diligence requise et évaluation des risques en ce qui concerne le recours à des sous-traitants qui soutiennent des fonctions critiques ou importantes

1. les processus de diligence requise à l’égard du prestataire tiers de services TIC garantissent que ce dernier est en mesure de sélectionner et d’évaluer les capacités opérationnelles et financières des sous-traitants de TIC potentiels à fournir des services TIC qui soutiennent des fonctions critiques ou importantes: une fonction dont la perturbation est susceptible de nuire sérieusement à la performance financière d’une entité financière, ou à la solidité ou à la continuité de ses services et activités, ou une interruption, une anomalie ou une défaillance de l’exécution de cette fonction est susceptible de nuire sérieusement à la capacité d’une entité financière de respecter en permanence les conditions et obligations de son agrément, ou ses autres obligations découlant des dispositions applicables du droit relatif aux services financiers; ou des parties significatives de celles-ci, y compris en le soumettant, lorsque l’entité financière l’exige, à des tests de résilience opérationnelle numérique: la capacité d’une entité financière à développer, garantir et réévaluer son intégrité et sa fiabilité opérationnelles en assurant directement ou indirectement par le recours aux services fournis par des prestataires tiers de services TIC, l’intégralité des capacités liées aux TIC nécessaires pour garantir la sécurité des réseaux et des systèmes d’information qu’elle utilise, et qui sous-tendent la fourniture continue de services financiers et leur qualité, y compris en cas de perturbations; tels que visés au chapitre IV du règlement (UE) 2022/2554;

2. le prestataire tiers de services TIC est en mesure d’identifier tous les sous-traitants fournissant des services TIC qui soutiennent des fonctions critiques ou importantes: une fonction dont la perturbation est susceptible de nuire sérieusement à la performance financière d’une entité financière, ou à la solidité ou à la continuité de ses services et activités, ou une interruption, une anomalie ou une défaillance de l’exécution de cette fonction est susceptible de nuire sérieusement à la capacité d’une entité financière de respecter en permanence les conditions et obligations de son agrément, ou ses autres obligations découlant des dispositions applicables du droit relatif aux services financiers; ou des parties significatives de celles-ci, afin de pouvoir notifier ces sous-traitants à l’entité financière et la renseigner à leur sujet, et est en mesure de fournir à l’entité financière toutes les informations qui peuvent être nécessaires à l’évaluation des conditions énoncées au présent article;

3. le prestataire tiers de services TIC fait en sorte que les accords contractuels conclus avec les sous-traitants fournissant des services TIC qui soutiennent des fonctions critiques ou importantes: une fonction dont la perturbation est susceptible de nuire sérieusement à la performance financière d’une entité financière, ou à la solidité ou à la continuité de ses services et activités, ou une interruption, une anomalie ou une défaillance de l’exécution de cette fonction est susceptible de nuire sérieusement à la capacité d’une entité financière de respecter en permanence les conditions et obligations de son agrément, ou ses autres obligations découlant des dispositions applicables du droit relatif aux services financiers; ou des parties significatives de celles-ci permettent à l’entité financière de se conformer à ses propres obligations découlant du règlement (UE) 2022/2554 ainsi que de la législation de l’Union et de la législation nationale applicables;

4. le sous-traitant accorde à l’entité financière ainsi qu’aux autorités compétentes et aux autorités de résolution les mêmes droits contractuels d’accès et d’inspection que ceux que leur accorde le prestataire tiers de services TIC;

5. sans préjudice de la responsabilité ultime de l’entité financière de se conformer à ses obligations légales et réglementaires, le prestataire tiers de services TIC dispose lui-même des capacités, de l’expertise et des ressources financières, humaines et techniques suffisantes pour surveiller les risques liés aux TIC au niveau des sous-traitants, notamment en appliquant des normes appropriées en matière de sécurité de l’information et en disposant d’une structure organisationnelle appropriée, d’une gestion des risques et de contrôles internes ainsi que de notifications et de réponses en cas d’incident;

6. l’entité financière dispose des capacités, de l’expertise et des ressources financières, humaines et techniques suffisantes pour surveiller les risques liés aux TIC concernant le service TIC qui soutient des fonctions critiques ou importantes: une fonction dont la perturbation est susceptible de nuire sérieusement à la performance financière d’une entité financière, ou à la solidité ou à la continuité de ses services et activités, ou une interruption, une anomalie ou une défaillance de l’exécution de cette fonction est susceptible de nuire sérieusement à la capacité d’une entité financière de respecter en permanence les conditions et obligations de son agrément, ou ses autres obligations découlant des dispositions applicables du droit relatif aux services financiers; ou des parties significatives de celles-ci et qui a été sous-traité par le prestataire tiers, notamment en appliquant des normes appropriées en matière de sécurité de l’information et en disposant d’une structure organisationnelle appropriée, d’une gestion des risques, de réponses apportées en cas d’incident, d’une gestion de la continuité des activités ainsi que de contrôles internes;

7. l’entité financière a évalué l’incidence d’une éventuelle défaillance d’un sous-traitant fournissant des services TIC qui soutiennent des fonctions critiques ou importantes: une fonction dont la perturbation est susceptible de nuire sérieusement à la performance financière d’une entité financière, ou à la solidité ou à la continuité de ses services et activités, ou une interruption, une anomalie ou une défaillance de l’exécution de cette fonction est susceptible de nuire sérieusement à la capacité d’une entité financière de respecter en permanence les conditions et obligations de son agrément, ou ses autres obligations découlant des dispositions applicables du droit relatif aux services financiers; ou des parties significatives de celles-ci sur la résilience opérationnelle numérique: la capacité d’une entité financière à développer, garantir et réévaluer son intégrité et sa fiabilité opérationnelles en assurant directement ou indirectement par le recours aux services fournis par des prestataires tiers de services TIC, l’intégralité des capacités liées aux TIC nécessaires pour garantir la sécurité des réseaux et des systèmes d’information qu’elle utilise, et qui sous-tendent la fourniture continue de services financiers et leur qualité, y compris en cas de perturbations; et la solidité financière de l’entité financière;

8. l’entité financière a évalué les risques associés à la localisation des sous-traitants potentiels en ce qui concerne les services TIC qui soutiennent des fonctions critiques ou importantes: une fonction dont la perturbation est susceptible de nuire sérieusement à la performance financière d’une entité financière, ou à la solidité ou à la continuité de ses services et activités, ou une interruption, une anomalie ou une défaillance de l’exécution de cette fonction est susceptible de nuire sérieusement à la capacité d’une entité financière de respecter en permanence les conditions et obligations de son agrément, ou ses autres obligations découlant des dispositions applicables du droit relatif aux services financiers; ou des parties significatives de celles-ci fournis par le prestataire tiers de services TIC;

9. l’entité financière a évalué les risques de concentration de TIC au niveau de l’entité conformément à l’article 29 du règlement (UE) 2022/2554;

10. l’entité financière a évalué s’il existait des obstacles à l’exercice de droits d’accès, d’inspection et d’audit par les autorités compétentes, les autorités de résolution ou l’entité financière, y compris par les personnes qu’elles désignent.

Les entités financières qui font appel à des prestataires tiers de services TIC qui sous-traitent des services TIC soutenant des fonctions critiques ou importantes: une fonction dont la perturbation est susceptible de nuire sérieusement à la performance financière d’une entité financière, ou à la solidité ou à la continuité de ses services et activités, ou une interruption, une anomalie ou une défaillance de l’exécution de cette fonction est susceptible de nuire sérieusement à la capacité d’une entité financière de respecter en permanence les conditions et obligations de son agrément, ou ses autres obligations découlant des dispositions applicables du droit relatif aux services financiers; ou des parties significatives de celles-ci effectuent périodiquement l’évaluation des risques visée au paragraphe 1, points f) à j), à l’aune d’éventuels changements dans leur environnement d’entreprise, y compris les changements dans les fonctions «métiers» s’appuyant sur les TIC, ainsi que dans leurs évaluations des risques, y compris les menaces liées aux TIC, les risques de concentration des TIC et les risques géopolitiques.

Le fait de se reposer sur les résultats de l’évaluation des risques effectuée par leurs prestataires tiers de services TIC à l’égard de leurs sous-traitants aux fins du respect des obligations énoncées dans le présent article ne limite en rien la responsabilité ultime des entités financières de respecter leurs obligations légales et réglementaires découlant du règlement (UE) 2022/2554.