Guidelines on outsourcing to cloud service providers (2025)

Riktlinjer

för utkontraktering till molntjänstleverantörer

1 Tillämpningsområde

Mottagare

1. Dessa riktlinjer är tillämpliga för behöriga myndigheter och på i) förvaringsinstitut för alternativa investeringsfonder (AIF-fonder) som avses i artikel 21.3 c och i artikel 21.3 tredje stycket i AIFM-direktivet, om de inte är finansiella entiteter som omfattas av DORA, och ii) förvaringsinstitut för fondföretag som avses i artikel 23.2 c i UCITS-direktivet, om de inte är finansiella entiteter som omfattas av DORA. Tillämpningsområde

2. Dessa riktlinjer gäller för följande bestämmelser: a) När det gäller förvaringsinstitut för AIF-fonder: Artikel 21 i direktivet om AIF-förvaltare; artikel 98 i kommissionens delegerade förordning (EU) 2013/231. b) När det gäller förvaringsinstitut för fondföretag: Artiklarna 22, 22a och 23.2 i fondföretagsdirektivet; artikel 32 i kommissionens direktiv 2010/43/EU; artiklarna 2.2 j, 3.1, 13.2, 15, 16 och 22 i kommissionens delegerade förordning (EU) 2016/438. Tillämpningsdatum

3. Dessa riktlinjer ska tillämpas från och med den dag då de offentliggörs på Esmas webbplats på alla officiella EU-språk och på alla avtal om uppdragsavtal om molntjänster som ingås, förnyas eller ändras från och med den dagen.

4. Mot bakgrund av tillämpningen av DORA upphör Esmas tidigare riktlinjer om utkontraktering till molntjänstleverantörer att gälla för de finansiella entiteter som omfattas av DORA och som avses i artikel 2 i samma förordning. För förvaringsinstitut för AIFfonder och för förvaringsinstitut för fondföretag som avses i punkt 1 ovan kommer Esmas tidigare riktlinjer om utkontraktering till molntjänstleverantörer att fortsätta att gälla fram till den dag då dessa riktlinjer offentliggörs på Esmas webbplats på alla officiella EU-språk.

2 Hänvisningar till lagstiftning, förkortningar och definitioner

2.1 Hänvisningar till lagstiftning

Esmaförordningen Europaparlamentets och rådets förordning (EU) nr 1095/2010 av den 24 november 2010 om inrättande av en europeisk tillsynsmyndighet (Europeiska värdepappers- och marknadsmyndigheten), om ändring av beslut nr 716/2009/EG och om upphävande av kommissionens beslut 2009/77/EG

Direktivet om AIF-förvaltare Europaparlamentets och rådets direktiv 2011/61/EU av den 8 juni 2011 om förvaltare av alternativa investeringsfonder samt om ändring av direktiv 2003/41/EG och 2009/65/EG och förordningarna (EG) nr 1060/2009 och (EU) nr 1095/2010

Kommissionens Kommissionens delegerade förordning (EU) nr 231/2013 av delegerade förordning den 19 december 2012 om komplettering av (EU) nr 231/2013 Europaparlamentets och rådets direktiv 2011/61/EU vad gäller undantag, allmänna verksamhetsvillkor, förvaringsinstitut, finansiell hävstång, öppenhet och tillsyn

Fondföretagsdirektivet Europaparlamentets och rådets direktiv 2009/65/EG av den 13 juli 2009 om samordning av lagar och andra författningar som avser företag för kollektiva investeringar i överlåtbara värdepapper (fondföretag)

Kommissionens direktiv Kommissionens direktiv 2010/43/EU av den 1 juli 2010 om 2010/43/EU genomförande av Europaparlamentets och rådets direktiv 2009/65/EG när det gäller organisatoriska krav, intressekonflikter, uppföranderegler, riskhantering och innehållet i avtalet mellan ett förvaringsinstitut och ett förvaltningsbolag

DORA Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft

för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011

Dataskyddsförordningen Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)

2.2 Förkortningar

Esma Europeiska värdepappers- och marknadsmyndigheten

EU Europeiska unionen

2.3 Definitioner

funktion Alla processer, tjänster eller aktiviteter.

kritisk eller viktig funktion När ett fel eller en brist i funktionens utförande allvarligt skulle försämra

a) ett företags uppfyllande av sina skyldigheter enligt tillämplig lagstiftning, b) ett företags finansiella resultat, eller c) sundheten eller kontinuiteten i ett företags huvudsakliga tjänster och verksamheter.

molntjänster Tjänster som tillhandahålls med hjälp av molnbaserade datortjänster.

molnbaserade datortjänster En modell som möjliggör nätverkstillgång till ett antal

eller moln delade datorresurser (t.ex. servrar, operativsystem, nätverk, programvara, applikationer och lagring) som snabbt kan tillhandahållas och levereras med självbetjäning och administration.

molntjänstleverantör En tredje part som tillhandahåller molntjänster inom ramen för ett uppdragsavtal om molntjänster.

uppdragsavtal om Alla former av avtal, inbegripet delegeringsavtal, mellan

molntjänster

(i) ett företag och en molntjänstleverantör genom vilka denna leverantör utför en funktion som annars skulle kunna utföras av företaget självt, eller (ii) ett företag och en tredje part som inte är en molntjänstleverantör, men som har starkt beroende av att en sådan leverantör utför en funktion som annars skulle kunna utföras av företaget självt. I detta fall bör en hänvisning till en ”molntjänstleverantör” i dessa riktlinjer tolkas som en hänvisning till en sådan tredje part.

underentreprenad En situation där en molntjänstleverantör överför en utkontrakterad funktion (eller en del av den funktionen) vidare till en annan tjänsteleverantör inom ramen för ett uppdragsavtal.

modell för molnanvändning Det sätt på vilket molninfrastruktur kan organiseras för kontroll och användning av dataresurser. Modellerna för 10 11 molnanvändning omfattar gruppmoln , hybridmoln , 12 13 privat moln och offentligt moln .

företag a) förvaringsinstitut som avses i artikel 21.3 c och i artikel 21.3 tredje stycket i direktivet om AIF-förvaltare (”förvaringsinstitut för alternativa investeringsfonder (AIF-fonder)”),

b) förvaringsinstitut som avses i artikel 23.2 c i fondföretagsdirektivet (fondföretags förvaringsinstitut).

3 Syfte

5. Dessa riktlinjer utgår från bestämmelserna i artikel 16.1 i Esmaförordningen. Syftet med dessa riktlinjer är att etablera konsekventa, effektiva och ändamålsenliga tillsynsmetoder inom det europeiska systemet för finansiell tillsyn och säkra en gemensam, enhetlig och konsekvent tillämpning av de krav som avses i avsnitt 1.1, för utkontraktering till molntjänstleverantörer. Dessa riktlinjer syftar särskilt till att hjälpa företag och behöriga myndigheter att identifiera, hantera och övervaka de risker och utmaningar som uppstår i samband med uppdragsavtal om molntjänster, från beslut om att lägga ut molntjänster på en leverantör, val av molntjänstleverantör och övervakning av utkontrakterad funktion till utträde ur utkontrakteringen.

4 Efterlevnads- och rapporteringsskyldigheter

4.1 Riktlinjernas status

6. I enlighet med artikel 16.3 i Esmaförordningen bör de behöriga myndigheterna och företag med alla tillgängliga medel söka följa riktlinjerna.

7. Behöriga myndigheter som berörs av riktlinjerna bör efterleva dem genom att på lämpligt sätt införliva dem i sin praxis (till exempel genom att ändra sitt nationella rättsliga ramverk och/eller sina tillsynsrutiner), även när riktlinjer i första hand riktas till företag. I det fallet bör de behöriga myndigheterna genom sin tillsyn se till att företagen följer riktlinjerna.

4.2 Rapporteringskrav

8. Inom två månader efter det att riktlinjerna har offentliggjorts på Esmas webbplats på alla officiella EU-språk bör de behöriga myndigheterna meddela Esma om de i) följer dessa riktlinjer, eller ii) inte följer men avser att följa dessa riktlinjer, eller iii) inte följer och inte avser att följa dessa riktlinjerna.

9. Om riktlinjerna inte följs bör behöriga myndigheter inom två månader efter det att riktlinjerna har offentliggjorts på Esmas webbplats på alla officiella EU-språk meddela Esma om skälen till att de inte följer riktlinjerna. Anmälningar ska lämnas på det formulär som tillhandahålls på Esmas webbplats. Så snart anmälningen har fyllts i ska den översändas till Esma.

10. Företag är inte skyldiga att rapportera huruvida de följer dessa riktlinjer.

5 Riktlinjer om utkontraktering till molntjänstleverantörer

Riktlinje 1. Styrning, tillsyn och dokumentation

11. Ett företag bör ha en fastställd, godkänd och aktuell strategi för uppdragsavtal om molntjänster. Strategin för uppdragsavtal om molntjänster ska stämma överens med företagets relevanta affärsstrategier och strategier för informations- och kommunikationsteknik (IKT), interna riktlinjer och riskhanteringsprocesser, inklusive hantering av IKT, informationssäkerhet och operativa risker.

12. Ett företag bör a) fastställa tydliga ansvarsområden för dokumentation, förvaltning och kontroll av utkontrakteringslösningarna till molntjänstleverantörer inom sin organisation, b) tillse att företagets personal är tillräckligt stor och kompetent för att säkerställa efterlevnaden av dessa riktlinjer och alla rättsliga krav som är tillämpliga på dess utkontrakteringslösningar till molntjänstleverantörer, c) upprätta en funktion för övervakning av utkontrakteringen till molntjänstleverantörer eller utse en medarbetare i högre ställning som är direkt ansvarig inför ledningsorganet och har ansvar för att förvalta och kontrollera riskerna med utkontrakteringslösningar till molntjänstleverantörer. När företagen följer dessa riktlinjer bör de ta hänsyn till verksamhetens art, omfattning och komplexitet, inbegripet i fråga om risker för det finansiella systemet, samt de inneboende riskerna med de utkontrakterade funktionerna, och se till att deras ledningsorgan har relevant teknisk kompetens för att förstå riskerna med utkontrakteringslösningarna till molntjänstleverantöre. Små och mindre komplexa företag bör som minst säkerställa en tydlig uppdelning av uppgifter och ansvar för förvaltningen och kontrollen av utkontrakteringslösningarna till molntjänstleverantörer.

13. Ett företag bör övervaka molntjänstleverantörernas verksamhet, säkerhetsåtgärder och efterlevnad av överenskomna servicenivåer. Denna övervakning bör vara riskbaserad, med huvudfokus på utkontrakteringen av kritiska eller viktiga funktioner.

14. Ett företag bör regelbundet ompröva huruvida dess uppdragsavtal om molntjänster avser en kritisk eller viktig funktion, eller om risken, arten eller omfattningen av en utkontrakterad funktion har ändrats väsentligt.

15. Ett företag bör föra ett uppdaterat register med information om alla sina uppdragsavtal om molntjänster, och skilja mellan utkontraktering av kritiska eller viktiga funktioner och andra uppdragsavtal. När företaget skiljer mellan utkontraktering av kritiska eller viktiga funktioner och andra uppdragsavtal bör det ge en kort sammanfattning av skälen till att den utkontrakterade funktionen är eller inte anses vara kritisk eller viktig. Med hänsyn till nationell lagstiftning bör företaget också föra register över avslutade uppdragsavtal om molntjänster under en lämplig tid.

16. Vid uppdragsavtal om molntjänster för kritiska eller viktiga funktioner bör registret innehålla åtminstone följande information om varje uppdragsavtal: a) Ett referensnummer. b) Startdatum och, efter vad som är tillämpligt, datum för nästa kontraktsförnyelse, slutdatum och/eller uppsägningstider för molntjänstleverantören och för företaget. c) En kort beskrivning av den utkontrakterade funktionen, inklusive de uppgifter som utkontrakteras och huruvida dessa uppgifter inbegriper personuppgifter (t.ex. genom att ange ja eller nej i ett separat datafält). d) Företagets klassificering av typen av utkontrakterad funktion (t.ex. informationsteknisk (it) funktion, kontrollfunktion), i syfte att göra det lättare att identifiera olika typer av uppdragsavtal om molntjänster. e) Huruvida den utkontrakterade funktionen stöder affärsverksamheter som är tidsmässigt kritiska. f) Molntjänstleverantörens namn och eventuella varumärkesnamn, registreringslandet, organisationsnumret, identifieringskoden för juridisk person (när sådan finns), den registrerade adressen och andra relevanta kontaktuppgifter, samt namnet på leverantörens moderföretag (om sådant finns). g) Den lagstiftning som gäller för uppdragsavtalet om molntjänster och, i förekommande fall, valet av jurisdiktion. h) Typ av molntjänster och modeller för molnanvändning, och den särskilda karaktären på uppgifterna som ska lagras och platserna (dvs. länder eller regioner) där sådana uppgifter kommer att lagras. i) Datumet för den senaste bedömningen av om den utkontrakterade funktionen är kritisk eller viktig samt datumet för nästa planerade bedömning. j) Datumet för den senaste riskbedömningen/revisionen av molntjänstleverantören, tillsammans med en kort sammanfattning av de viktigaste resultaten och datum för nästa planerade riskbedömning/revision. k) Det enskilda eller beslutsfattande organ i företaget som godkände uppdragsavtalet om molntjänster. l) I tillämpliga fall namnen på eventuella underentreprenörer som en kritisk eller viktig funktion (eller väsentliga delar av den) vidareutkontrakteras till, däribland de länder där underentreprenörerna är registrerade, var tjänsten kommer att utföras och de platser (dvs. regioner eller länder) där uppgifterna kommer att lagras. m) Den uppskattade årliga budgeterade kostnaden för uppdragsavtalet om molntjänster.

17. När det gäller uppdragsavtal om molntjänster för icke-kritiska eller icke-viktiga funktioner bör företaget fastställa vilken information som bör ingå i registret, beroende på de inneboende riskernas art, omfattning och komplexitet.

Riktlinje 2. Analys före utkontraktering och företagsutvärdering

18. Innan ett företag ingår ett uppdragsavtal om molntjänster bör det a) bedöma om avtalet avser en kritisk eller viktig funktion, b) identifiera och bedöma alla relevanta risker med utkontrakteringslösningen, c) genomföra lämplig företagsutvärdering av den berörda molntjänstleverantören, d) identifiera och bedöma eventuella intressekonflikter som utkontrakteringen kan medföra.

19. Analysen före utkontraktering och företagsutvärderingen av den berörda molntjänstleverantören bör stå i proportion till den berörda funktionens art, omfattning och komplexitet samt de inneboende riskerna med denna funktion. Den bör åtminstone omfatta en bedömning av utkontrakteringslösningens potentiella effekter på de operativa och juridiska riskerna samt efterlevnads- och ryktesriskerna för företaget.

20. Om utkontrakteringslösningen gäller kritiska eller viktiga funktioner bör företaget också a) bedöma alla relevanta risker som kan uppstå till följd av uppdragsavtalet om molntjänster, inbegripet risker som är förknippade med informations- och kommunikationsteknik, informationssäkerhet, driftskontinuitet, rättsliga krav och regelefterlevnad, ryktesrisker, operativa risker och eventuella tillsynsbegränsningar för företaget som uppstår från: i. den valda molntjänsten och de föreslagna modellerna för molnanvändning, ii. migreringen och/eller genomförandet, iii. känsligheten hos den funktion och de relaterade uppgifter som ska utkontrakteras samt de säkerhetsåtgärder som skulle behöva vidtas, iv. driftskompatibiliteten mellan företagets och molntjänstleverantörens system och applikationer, dvs. deras förmåga att utbyta information och ömsesidigt använda denna information, v. dataportabiliteten för företagets uppgifter, vilket avser förmågan att enkelt överföra företagets uppgifter till en annan molntjänstleverantör eller tillbaka till företaget, vi. den politiska stabiliteten, säkerhetssituationen och rättssystemet (inbegripet de befintliga brottsbekämpningsbestämmelserna, de insolvensrättsliga bestämmelser som skulle gälla om molntjänstleverantören skulle gå i konkurs, gällande lagar om uppgiftsskydd och huruvida villkoren för överföring av personuppgifter till ett tredjeland enligt dataskyddsförordningen är uppfyllda) i de länder (inom eller utanför EU) där de utkontrakterade funktionerna skulle tillhandahållas och där de utkontrakterade uppgifterna skulle lagras, samt, vid underentreprenad, de ytterligare risker som kan uppstå om underleverantören är baserad i ett tredjeland eller ett annat land än molntjänstleverantören och, i händelse av en underentreprenörskedja, eventuella ytterligare risker som kan uppstå, inbegripet i samband med avsaknaden av ett direkt avtal mellan företaget och den underleverantör som utför den utkontrakterade funktionen, vii. företagets övergripande koncentrationsrisk (i tillämpliga fall även på koncernnivå) på grund av att flera uppdragsavtal om molntjänster har ingåtts med samma molntjänstleverantör samt eventuell koncentration inom EU:s finansiella sektor, på grund av att flera företag använder samma molntjänstleverantör eller en liten grupp molntjänstleverantörer. Vid bedömningen av koncentrationsrisken bör företaget beakta alla uppdragsavtal om molntjänster (och, i tillämpliga fall, uppdragsavtal om molntjänster på koncernnivå) med den molntjänstleverantören, b) beakta uppdragsavtalets förväntade fördelar och kostnader, och samtidigt väga större risker som kan begränsas eller hanteras bättre mot de ökade risker som kan uppstå till följd av uppdragsavtalet.

21. Vid utkontraktering av kritiska eller viktiga funktioner bör företagsutvärderingen omfatta en utvärdering av molntjänstleverantörens lämplighet. När företaget bedömer molntjänstleverantörens lämplighet bör det se till att molntjänstleverantören har affärsmässigt rykte, lämpliga och tillräckliga förmågor, expertis, resurser (bl.a. mänskliga, informationstekniska och ekonomiska resurser), organisationsstruktur och, i tillämpliga fall, de lagstadgade auktorisationer eller registreringar som krävs för att utföra den kritiska eller viktiga funktionen på ett tillförlitligt och professionellt sätt så den kan uppfylla sina skyldigheter under den tid uppdragsavtalet om molntjänster gäller. Ytterligare faktorer att ta hänsyn till vid företagsutvärdering av molntjänstleverantören är bland annat a) hanteringen av informationssäkerhet, särskilt skyddet av personuppgifter, konfidentiella uppgifter eller andra känsliga uppgifter, b) servicestödet, däribland stödplaner och kontakter, och rutiner för incidenthantering, och c) kontinuitets- och katastrofplanerna.

22. Om så är lämpligt, och för att underlätta företagsutvärderingen, kan företaget också använda certifieringar baserade på internationella standarder och externa eller interna revisionsrapporter.

23. Om företaget får kännedom om stora brister och/eller betydande förändringar i de tjänster som tillhandahålls eller i molntjänstleverantörens situation bör analysen före utkontrakteringen och företagsutvärderingen av molntjänstleverantören snarast ses över eller göras om.

24. Om företaget ingår ett nytt avtal eller förnyar ett befintligt avtal med en molntjänstleverantör som redan har utvärderats, bör företaget genom en riskbaserad metod fastställa om det krävs en ny företagsutvärdering.

Riktlinje 3. Viktiga delar av avtalet

25. Ett företags och dess molntjänstleverantörs rättigheter och skyldigheter bör klart och tydligt anges i ett skriftligt avtal.

26. Det skriftliga avtalet bör uttryckligen ge företaget möjlighet att säga upp det.

27. Vid utkontraktering av kritiska eller viktiga funktioner bör det skriftliga avtalet åtminstone innehålla följande: a) En tydlig beskrivning av den utkontrakterade funktionen. b) Startdatum och slutdatum, i tillämpliga fall, för avtalet samt uppsägningstiderna för molntjänstleverantören och företaget. c) Tillämplig lag för avtalet och, i förekommande fall, valet av jurisdiktion. d) Företagets och molntjänstleverantörens finansiella skyldigheter. e) Huruvida underentreprenad är tillåten och, om så är fallet, på vilka villkor, med beaktande av riktlinje 7. f) Platsen/platserna (dvs. regioner eller länder) där den utkontrakterade funktionen kommer att tillhandahållas och där data kommer att behandlas och lagras, samt de villkor som ska vara uppfyllda, inbegripet kravet att företaget ska meddelas om molntjänstleverantören vill ändra platsen eller platserna. g) Bestämmelser om informationssäkerhet och skydd av personuppgifter, med beaktande av riktlinje 4. h) Företagets rätt att regelbundet övervaka molntjänstleverantörens fullgörande av uppdragsavtalet om molntjänster, med beaktande av riktlinje 6. i) De överenskomna servicenivåerna, som bör inkludera exakta kvantitativa och kvalitativa resultatmål för att möjliggöra läglig övervakning så att lämpliga korrigerande åtgärder kan vidtas utan onödigt dröjsmål om de överenskomna servicenivåerna inte nås. j) Molntjänstleverantörens rapporteringsskyldigheter till företaget och, om så är lämpligt, skyldigheterna att lämna in rapporter som är relevanta för företagets säkerhetsfunktion och viktiga funktioner, såsom rapporter från molntjänstleverantörens internrevisionsfunktion. k) Bestämmelser om molntjänstleverantörens hantering av incidenter, inbegripet skyldigheten att utan onödigt dröjsmål rapportera incidenter som har påverkat företagets avtalade tjänster. l) Huruvida molntjänstleverantören bör teckna en obligatorisk försäkring mot vissa risker och, i tillämpliga fall, nivån på det begärda försäkringsskyddet. m) Kraven att molntjänstleverantören ska införa och testa kontinuitets- och katastrofplaner. n) Kravet att molntjänstleverantören ska ge företaget, behöriga myndigheter och andra personer som utsetts av företaget eller de behöriga myndigheterna rätt att få tillgång till (nedan kallad rätt till tillträde) och granska (nedan kallad rätt till revision) molntjänstleverantörens relevanta information, lokaler, system och utrustning i den utsträckning det är nödvändigt för att övervaka molntjänstleverantörens resultat enligt överenskommelsen om uppdragsavtal om molntjänster samt säkerställa molntjänstleverantörens efterlevnad av tillämpliga lagstadgade och avtalsenliga krav, med beaktande av riktlinje 6. o) Bestämmelser som säkerställer att de uppgifter som molntjänstleverantören behandlar eller lagrar för företagets räkning vid behov kan nås, hämtas och återlämnas till företaget, med beaktande av riktlinje 5.

Riktlinje 4. Informationssäkerhet

28. Ett företag bör fastställa informationssäkerhetskrav i sina interna policyer och rutiner och inom ramen för det skriftliga uppdragsavtalet om molntjänster samt fortlöpande övervaka efterlevnaden av dessa krav, bland annat för att skydda konfidentiella, personliga eller på annat sätt känsliga uppgifter. Dessa krav bör stå i proportion till den berörda funktionens art, omfattning och komplexitet samt de inneboende riskerna med denna funktion.

29. Vid utkontraktering av kritiska eller viktiga funktioner, och utan att det påverkar tillämpningen av dataskyddsförordningens krav, bör ett företag som tillämpar en riskbaserad metod i detta syfte åtminstone a) informationssäkerhetens organisation: se till att uppgifter och ansvarsområden som rör informationssäkerhet tydligt delas upp mellan företaget och molntjänstleverantören, bl.a. när det gäller identifiering av hot, sårbarheter, incidenthantering och säkerhetsuppdateringar, och se till att molntjänstleverantören kan fullgöra sina roller och skyldigheter, b) identitets- och åtkomsthantering: se till att det finns starka autentiseringsmekanismer (t.ex. flerfaktorsautentisering) och åtkomstkontroller för att förhindra obehörig åtkomst till företagets data och grundsystem, c) kryptering och nyckelhantering: se till att relevant krypteringsteknik vid behov används för data som överförs, data i minne, data i vila och säkerhetskopierade data, i kombination med lämpliga nyckelhanteringslösningar för att begränsa risken för obehörig åtkomst till krypteringsnycklar, och företaget bör särskilt överväga att använda den senaste tekniken och metoderna för sin nyckelhanteringslösning, d) drift- och nätsäkerhet: överväga lämpliga nivåer av nättillgänglighet, nätverkssegmentering (t.ex. isolering av användare i molnets gemensamma miljö, operativ separering av webben, applikationslogik, operativsystem, nätverk, databashanterare (DBMS) och lagringsskikt) och olika IKT-miljöer (t.ex. test, utveckling, produktion), e) applikationsprogrammeringsgränssnitt (API): överväga mekanismer för integrering av molntjänsterna med företagets system så att API:er blir säkra (t.ex. genom att införa och följa policyer och rutiner för informationssäkerhet i API:er som omfattar flera systemgränssnitt, jurisdiktioner och affärsfunktioner, för att förhindra att uppgifter röjs, ändras eller förstörs utan tillstånd), f) driftskontinuitet och katastrofberedskap: se till att det finns effektiva kontroller av driftskontinuiteten och katastrofberedskapen (t.ex. genom att fastställa minimikrav på kapacitet, välja geografiskt spridda värdtjänster (hosting), så att man kan växla mellan dem, eller begära och granska dokumentation som visar hur företagets uppgifter överförs i molntjänstleverantörens system, samt överväga möjligheten att kopiera avbilder från virtuella datorer (VMI) till en oberoende lagringsplats som är tillräckligt isolerad från nätverket eller ligger utanför nätverket), g) uppgifternas lokalisering: införa en riskbaserad metod för platser för lagring och hantering av uppgifter (dvs. regioner eller länder), h) efterlevnad och övervakning: kontrollera att molntjänstleverantören uppfyller internationellt erkända standarder för informationssäkerhet och har infört lämpliga kontroller av informationssäkerheten (t.ex. genom att begära att molntjänstleverantören styrker att den utför relevanta kontroller av informationssäkerheten och genom att regelbundet bedöma och testa molntjänstleverantörens informationssäkerhet).

Riktlinje 5. Utträdesstrategier

30. Vid utkontraktering av kritiska eller viktiga funktioner bör ett företag se till att det kan säga upp uppdragsavtalet om molntjänster utan onödiga störningar av verksamheten och tjänsterna, och utan att det inverkar ofördelaktigt på dess efterlevnad av tillämplig lagstiftning eller på uppgifternas konfidentialitet, integritet och tillgänglighet. För att uppnå detta bör företaget a) ta fram utträdesplaner som är övergripande, dokumenterade och tillräckligt testade. Dessa planer bör uppdateras vid behov, även vid ändringar av den utkontrakterade funktionen, b) identifiera alternativa lösningar och ta fram övergångsplaner för att flytta den utkontrakterade funktionen och uppgifterna från molntjänstleverantören och, i tillämpliga fall, eventuella underleverantörer, till alternativa molntjänstleverantörer eller återta den utkontrakterade funktionen tillbaka till företaget. Dessa lösningar bör fastställas med hänsyn till de utmaningar som kan uppstå på grund av uppgifternas lokalisering, och nödvändiga åtgärder bör vidtas för att säkerställa driftskontinuitet under övergångsfasen, c) se till att det skriftliga uppdragsavtalet om molntjänster omfattar en skyldighet för molntjänstleverantören att underlätta en ordnad överföring av den utkontrakterade funktionen och den tillhörande databehandlingen från molntjänstleverantören och eventuella underleverantörer till en annan molntjänstleverantör som företaget angett eller direkt till företaget, om företaget aktiverar utträdesstrategin. Skyldigheten att underlätta en ordnad överföring av den utkontrakterade funktionen och den tillhörande databehandlingen bör i förekommande fall inbegripa säker radering av uppgifter från molntjänstleverantörens och eventuella underleverantörers system.

31. När företaget utarbetar utträdesplaner och lösningar som avses i punkter a och b ovan (utträdesstrategin) bör företaget tänka på följande: a) Definiera målsättningarna i utträdesstrategin. b) Definiera de triggerhändelser som kan aktivera utträdesstrategin. Dessa bör åtminstone omfatta företagets eller molntjänstleverantörens uppsägning av uppdragsavtalet om molntjänster samt konkurs eller annat allvarligt upphörande av molntjänstleverantörens affärsverksamhet. c) Utföra en verksamhetsanalys som står i proportion till den utkontrakterade funktionen, för att utröna vilka mänskliga och övriga resurser som krävs för att genomföra utträdesstrategin. d) Tilldela roller och ansvarsområden för hantering av utträdesstrategin. e) Testa utträdesstrategins lämplighet med hjälp av en riskbaserad metod (t.ex. genom att göra en analys av de potentiella kostnaderna, konsekvenserna, resurserna och tidseffekterna av att överföra en utkontrakterad tjänst till en annan leverantör). f) Definiera framgångskriterier för övergången.

32. Företagets fortlöpande övervakning och tillsyn av de tjänster som molntjänstleverantören tillhandahåller inom ramen för uppdragsavtalet om molntjänster bör omfatta indikatorer för triggerhändelser som utlöser utträdesstrategin.

Riktlinje 6. Åtkomst- och revisionsrättigheter

33. Ett företag bör se till att det skriftliga uppdragsavtalet om molntjänster inte begränsar företagets och den behöriga myndighetens rätt till inspektion och revision av molntjänstleverantören samt begränsar effektiv tillsyn.

34. När företaget fastställer hur ofta och i vilken omfattning det ska utöva sina åtkomst- eller revisionsrättigheter bör företaget beakta huruvida utkontrakteringen avser en kritisk eller viktig operativ funktion, riskernas art och omfattning samt påverkan på företaget genom utkontrakteringslösningar till molntjänster.

35. Om utövande av åtkomst- eller revisionsrättigheter, eller användningen av vissa revisionsmetoder, skapar en risk för molntjänstleverantörens miljö och/eller en annan molntjänstleverantörs kund (t.ex. genom att påverka servicenivåer, uppgifters konfidentialitet, integritets- och tillgångsaspekter), bör molntjänstleverantören ge företaget en tydlig motivering till varför detta skulle skapa en risk och komma överens med företaget om alternativa sätt att uppnå ett liknande resultat (t.ex. genom att särskilda kontroller testas i molntjänstleverantörens rapporter/certifieringar).

36. Utan att det påverkar företagets slutliga ansvar för de verksamheter som utförs av molntjänstleverantörerna kan företaget, i syfte att använda revisionsresurserna på ett effektivare sätt och minska den organisatoriska bördan för molntjänstleverantören och dess kunder, använda a) tredjepartscertifieringar och externa eller interna revisionsrapporter som har gjorts tillgängliga av molntjänstleverantören, b) gemensamma revisioner som utförs tillsammans med andra av molntjänsteleverantörens kunder eller gemensamma revisioner som utförs av en tredje part revisor som utsetts av flera kunder till samma molntjänstleverantör.

37. Vid utkontraktering av kritiska eller viktiga funktioner bör företaget bedöma huruvida de tredjepartscertifieringar och externa eller interna revisionsrapporter som avses i punkt 37(a) är adekvata och tillräckliga för att uppfylla deras lagstadgade skyldigheter, och bör med tiden sträva efter att inte enbart förlita sig på dessa certifieringar och rapporter.

38. Vid utkontraktering av kritiska eller viktiga funktioner bör företaget använda sig av de tredjepartscertifieringar och externa eller interna revisionsrapporter som avses i punkt 37(a) endast om företaget a) är helt säkert på att certifieringarna eller revisionsrapporterna avser molntjänstleverantörens viktiga system (t.ex. processer, applikationer, infrastruktur, datacenter), de viktiga kontroller som identifierats av företaget samt efterlevnad av relevanta regleringskrav, b) noggrant och regelbundet bedömer innehållet i certifieringarna eller revisionsrapporterna och kontrollerar att certifieringarna eller rapporterna inte är inaktuella, c) säkerställer att molntjänstleverantörens centrala system och kontroller omfattas av framtida versioner av certifieringar eller revisionsrapporter, d) är tillfreds med den certifierande eller granskande partens lämplighet (t.ex. när det gäller kvalifikationer, sakkunskap, upprepning/verifiering av bevisen i den underliggande revisionsdokumentationen samt rotation av certifierings- eller revisionsföretag), e) är tillfreds med att certifieringarna och revisionerna utförs på grundval av lämpliga standarder och omfattar ett test av den operativa effektiviteten hos de centrala kontroller som har införts, f) har den avtalsmässiga rätten att begära att certifieringarnas eller revisionsrapporternas omfattning utökas till molntjänstleverantörens andra relevanta system och kontroller, antalet sådana begäranden om ändrad omfattning och hur ofta de görs bör vara rimligt och motiverat ur ett riskhanteringsperspektiv, g) behåller den avtalsmässiga rätten att efter eget godtycke utföra enskilda revisioner på plats med avseende på den utkontrakterade funktionen.

39. Innan ett planerat besök på plats äger rum, inbegripet av en tredje part som utsetts av företaget (t.ex. en revisor), bör företaget skäligen meddela detta till molntjänstleverantören, tillräckligt långt i förväg, såvida inte detta är omöjligt på grund av en nöd- eller krissituation eller skulle leda till att revisionen inte längre är ändamålsenlig. Ett sådant meddelande bör omfatta uppgifter om platsen för besöket, syfte samt den personal som kommer att närvara vid besöket.

40. Med tanke på att molntjänster är tekniskt komplexa och medför särskilda jurisdiktionsmässiga utmaningar bör den personal som utför revisionen – dvs. företagets internrevisorer eller revisorer som agerar för dess räkning – ha rätt kompetens och kunskap för att korrekt kunna bedöma de relevanta molntjänsterna och utföra en ändamålsenlig och relevant revision. Detta bör också gälla företagets personal som granskar molntjänstleverantörens certifieringar eller revisionsrapporter.

Riktlinje 7. Underentreprenad

41. Om underentreprenad tillåts för kritiska eller viktiga funktioner (eller väsentliga delar av dem) bör man i det skriftliga uppdragsavtalet om molntjänster mellan företaget och molntjänstleverantören a) ange vilka delar eller aspekter av den utkontrakterade funktionen som är undantagna från potentiell underentreprenad, b) specificera de villkor som ska efterlevas vid underentreprenad, c) specificera att molntjänstleverantören behåller fullt ansvar och är skyldig att kontrollera de tjänster som den har utkontrakterat, för att säkerställa att alla avtalsförpliktelser mellan molntjänstleverantören och företaget kontinuerligt uppfylls, d) innehålla en skyldighet för molntjänstleverantören att informera företaget om all planerad underentreprenad eller väsentliga ändringar av en sådan, särskilt om detta kan påverka molntjänstleverantörens förmåga att fullgöra sina skyldigheter enligt uppdragsavtalet om molntjänster med företaget. Anmälningsperioden som anges i det skriftliga avtalet bör ge företaget tillräckligt med tid för att åtminstone göra en riskbedömning av den föreslagna underentreprenaden eller väsentliga förändringar av denna samt invända mot förändringarna eller uttryckligen godkänna dem, i enlighet med punkt (e) nedan, e) säkerställa att företaget har rätt att invända mot den planerade underentreprenaden eller väsentliga förändringar av denna, eller att ett uttryckligt godkännande krävs innan den föreslagna underentreprenaden eller de väsentliga ändringarna träder i kraft, f) säkerställa att företaget har avtalsenlig rätt att säga upp uppdragsavtalet om molntjänster med molntjänstleverantören om det invänder mot den föreslagna underentreprenaden eller väsentliga förändringar av denna samt vid otillbörlig underentreprenad (t.ex. om molntjänstleverantören inte informerar företaget om underentreprenaden eller inte respekterar de villkor för underentreprenad som anges i uppdragsavtalet).

42. Företaget bör se till att molntjänstleverantören övervakar underentreprenören på lämpligt sätt.

Riktlinje 8. Skriftlig anmälan till behöriga myndigheter

43. Företaget bör i god tid skriftligen informera sin behöriga myndighet om planerade utkontrakteringslösningar om molntjänster som rör en kritisk eller viktig funktion. Företaget bör också i god tid och skriftligen informera sin behöriga myndighet om de utkontrakteringslösningar om molntjänster som avser en funktion som tidigare klassificerades som icke-kritisk eller icke-viktig och som därefter blev kritisk eller viktig.

44. Företagets skriftliga information bör i enlighet med proportionalitetsprincipen åtminstone innefatta följande: a) Startdatum för uppdragsavtalet om molntjänster och, i tillämpliga fall, datum för nästa kontraktsförnyelse, slutdatum och/eller uppsägningstider för molntjänstleverantören och för företaget. b) En kortfattad beskrivning av den utkontrakterade funktionen. c) En kort sammanfattning av anledningarna till att den utkontrakterade funktionen anses vara kritisk eller viktig. d) Molntjänstleverantörens namn och eventuella varumärkesnamn, registreringslandet, organisationsnumret, identifieringskoden för juridisk person (när sådan finns), den registrerade adressen och andra relevanta kontaktuppgifter, samt namnet på leverantörens moderföretag (om sådant finns). e) Tillämplig lag för uppdragsavtalet om molntjänster och, i förekommande fall, valet av jurisdiktion. f) Modellerna för molnanvändning, och den särskilda karaktären på uppgifterna som ska lagras och platserna (dvs. länder eller regioner) där sådana uppgifter kommer att lagras. g) Datumet för den senaste bedömningen av om den utkontrakterade funktionen är kritisk eller viktig. h) Datumet för den senaste riskbedömningen eller revisionen av molntjänstleverantören, tillsammans med en kort sammanfattning av de viktigaste resultaten och datum för nästa planerade riskbedömning eller revision. i) Det enskilda eller beslutsfattande organ i företaget som godkände uppdragsavtalet om molntjänster. j) I tillämpliga fall namnen på eventuella underentreprenörer som väsentliga delar av en kritisk eller viktig funktion vidareutkontrakteras till, däribland det land eller den region där underentreprenörerna är registrerade, var tjänsten kommer att utföras och där uppgifterna kommer att lagras.

Riktlinje 9. Tillsyn över utkontrakteringslösningar till molntjänster

45. Behöriga myndigheter bör som ett led i sin tillsyn analysera riskerna med företagens utkontrakteringslösningar till molntjänster. Denna bedömning bör särskilt inriktas på överenskommelser som avser utkontraktering av kritiska eller viktiga funktioner.

46. De behöriga myndigheterna bör vara helt säkra på att de kan utföra en ändamålsenlig tillsyn, särskilt när företagen utkontrakterar kritiska eller viktiga funktioner som utförs utanför EU.

47. De behöriga myndigheterna bör genom en riskbaserad metod bedöma om företagen a) har infört relevanta styrnings-, resurs- och driftsprocesser för att på lämpligt och effektivt sätt ingå, genomföra och övervaka uppdragsavtal om molntjänster, b) identifierar och bedömer alla relevanta risker med utkontrakteringen.

48. Om koncentrationsrisker identifieras bör de behöriga myndigheterna övervaka utvecklingen av sådana risker och utvärdera både deras potentiella inverkan på andra företag som de utövar tillsyn över och finansmarknadens stabilitet.