Joint Guidelines on the oversight cooperation and information exchange between the ESAs and the competent authorities

JC/GL/2024/36 06/11/2024

Gemensamma riktlinjer

om tillsynssamarbetet och informationsutbytet mellan de europeiska tillsynsmyndigheterna och behöriga myndigheter enligt förordning (EU) 2022/2554 Riktlinjernas status

Dessa riktlinjer utfärdas i enlighet med artikel 16 i förordning (EU) nr 1093/2010 om inrättande av en europeisk tillsynsmyndighet (Europeiska bankmyndigheten), förordning (EU) nr 1094/2010 om inrättande av en europeisk tillsynsmyndighet (Europeiska försäkrings- och tjänstepensionsmyndigheten) och förordning (EU) nr 1095/2010 om inrättande av en europeisk tillsynsmyndighet (Europeiska värdepappers- och marknadsmyndigheten) (ESA-förordningarna). De europeiska tillsynsmyndigheterna (ESA) utfärdar dessa riktlinjer på baseras på av artikel 32.7 i förordning (EU) 2022/2554 (DORA-förordningen) , enligt vilken de europeiska tillsynsmyndigheterna ska utfärda riktlinjer för samarbetet mellan de europeiska tillsynsmyndigheterna och de behöriga myndigheterna som omfattar följande: • Detaljerade förfaranden och villkor för fördelningen och utförandet av uppgifter mellan behöriga myndigheter och de europeiska tillsynsmyndigheterna, och • närmare uppgifter om de informationsutbyten som är nödvändiga för att de behöriga myndigheterna ska kunna säkerställa uppföljningen av de rekommendationer som riktas till tredjepartsleverantörer av IKT-tjänster till finansiella entiteter som har klassificerats som kritiska.

Rapporteringskrav

I enlighet med artikel 16.3 i ESA-förordningarna ska de behöriga myndigheterna med alla tillgängliga medel eftefterleva riktlinjerna. De behöriga myndigheterna måste meddela respektive europeisk tillsynsmyndighet huruvida de följer eller tänker följa dessa riktlinjer, eller i annat fall ange skälen till att de inte gör det, inom två månader efter utfärdandet av de översatta versionerna av riktlinjerna. Om någon sådan anmälan inte inkommer inom denna tidsfrist kommer respektive europeisk tillsynsmyndighet att anse att de behöriga myndigheterna inte följer riktlinjerna. Anmälningarna skickas till compliance@eba.europa.eu, CoE@eiopa.europa.eu och DORA@esma.europa.eu med hänvisningen ”JC/GL/2024/36”. Anmälningarna bör lämnas av personer med befogenhet att

rapportera om hur reglerna tillämpas på sina behöriga myndigheters vägnar. Anmälningarna kommer att offentliggöras på de europeiska tillsynsmyndigheternas webbplatser i enlighet med artikel 16.3.

Avsnitt 1: Allmänna överväganden

Allmänna mål och principer

Dessa riktlinjer syftar till att säkerställa att de europeiska tillsynsmyndigheterna och de behöriga myndigheterna har • en överblick över de områden där det krävs samarbete och/eller utbyte av information mellan behöriga myndigheter och de europeiska tillsynsmyndigheterna i enlighet med artikel 32.7 i DORA-förordningen, • en samordnad och sammanhållen strategi mellan de europeiska tillsynsmyndigheterna och de behöriga myndigheterna när det gäller utbyte av information och vid samarbete i tillsynssyfte för att säkerställa effektivitet och konsekvens samt för att undvika dubbelarbete, • en gemensam strategi för den arbetsordning och de tidsfrister som gäller i fråga om samarbete och informationsutbyte, inklusive roller, ansvarsområden och medel för samarbete och informationsutbyte.

Dessa riktlinjer utgör en konsekvent, effektiv och ändamålsenlig praxis för tillsynssamarbete och informationsutbyte mellan europeiska tillsynsmyndigheter och behöriga myndigheter inom ramen för artikel 32.7 i DORA-förordningen. Dessa riktlinjer hindrar inte utbytet av ytterligare information och det utökade tillsynssamarbetet mellan de europeiska tillsynsmyndigheterna och de behöriga myndigheterna. De praktiska detaljerna i samarbetet och informationsutbytet mellan de europeiska tillsynsmyndigheterna och behöriga myndigheter kan bli föremål för skräddarsydda målverksamhetsmodeller.

Det samarbete och informationsutbyte som fastställs i dessa riktlinjer ska beakta ett förebyggande och riskbaserat tillvägagångssätt som ska leda till en balanserad fördelning av uppgifter och ansvar mellan de tre europeiska tillsynsmyndigheterna och de behöriga myndigheterna och på bästa sätt utnyttja de personalresurser och den tekniska sakkunskap som finns hos var och en av de europeiska tillsynsmyndigheterna och de behöriga myndigheterna.

Med europeiska tillsynsmyndigheter avses de tre europeiska tillsynsmyndigheterna, inklusive den ledande tillsynsmyndigheten, om inget annat anges i dessa riktlinjer.

Tillämpningsområde

Tillämpningsområdet för dessa riktlinjer avser endast avsnitt II i kapitel V (artiklarna 31–44) i DORAförordningen och omfattar inte artiklar som rör

• uppgifter som endast gäller för en specifik behörig myndighet eller europeisk tillsynsmyndighet (t.ex. artikel 43 om tillsynsavgifter, som endast är en uppgift för den ledande tillsynsmyndigheten) eller som gäller för finansiella entiteter och kritiska tredjepartsleverantörer av IKT-tjänster (t.ex. enligt artikel 35.5 ska kritiska tredjepartsleverantörer av IKT-tjänster samarbeta lojalt med den ledande tillsynsmyndigheten och bistå den vid fullgörandet av dess uppgifter), • samarbetet mellan behöriga myndigheter (t.ex. enligt artikel 48.1 ska de behöriga myndigheterna ha ett nära samarbete sinsemellan), mellan de europeiska tillsynsmyndigheterna (t.ex. enligt artikel 35.2 a ska den ledande tillsynsmyndigheten säkerställa regelbunden samordning inom det gemensamma tillsynsnätverket) och med andra EU-myndigheter (t.ex. enligt artikel 34.3 får den ledande tillsynsmyndigheten uppmana ECB och Enisa att tillhandahålla teknisk rådgivning), • de styrformer som omfattas av de europeiska tillsynsmyndigheternas arbetsordning (t.ex. enligt artikel 32 ska de europeiska tillsynsmyndigheterna inrätta tillsynsforumet och enligt artikel 34 ska de ledande tillsynsmyndigheterna inrätta det gemensamma tillsynsnätverket), • de separata rättsliga mandaten (t.ex. kriterierna för att fastställa de gemensamma undersökningsgruppernas sammansättning, utseende, uppgifter och arbetsmetoder omfattas av separata lagstadgade tekniska standarder som ska utarbetas av de europeiska tillsynsmyndigheterna (artikel 41.1 c i DORA-förordningen).

Riktlinje 1: Språk, kommunikationsmedel, kontaktpunkter och tillgänglighet

1.1 I sitt samarbete och informationsutbyte bör de europeiska tillsynsmyndigheterna och behöriga myndigheter kommunicera på engelska, om inget annat har avtalats.

1.2 De europeiska tillsynsmyndigheterna och behöriga myndigheter ska göra den information som avses i dessa riktlinjer elektroniskt tillgänglig, om inget annat har avtalats.

1.3 De europeiska tillsynsmyndigheterna och de behöriga myndigheterna bör inrätta gemensamma kontaktpunkter i form av en särskild institutionell/funktionell e-postadress för informationsutbyte mellan de europeiska tillsynsmyndigheterna och de behöriga myndigheterna.

1.4 Den gemensamma kontaktpunkten bör endast användas för utbyte av icke-konfidentiell information. De europeiska tillsynsmyndigheterna och de behöriga myndigheterna får komma överens på bilateral och/eller multilateral basis om tillämpliga krav avseende säker överföring av information via den gemensamma kontaktpunkten (t.ex. krav på elektronisk underskrift av behöriga personer).

1.5 Informationen om kontaktpunkterna bör göras tillgänglig för de behöriga myndigheterna av de europeiska tillsynsmyndigheterna. De behöriga myndigheterna bör utan onödigt dröjsmål tillgängliggöra och uppdatera informationen om kontaktpunkterna i enlighet med de operativa instruktioner som fastställts av de europeiska tillsynsmyndigheterna.

1.6 De europeiska tillsynsmyndigheterna och de behöriga myndigheterna bör använda ett särskilt säkert onlineverktyg för att utbyta information med varandra på konfidentiell och säker grund. Onlineverktyget bör innehålla tekniska informationssäkerhetsåtgärder för att garantera uppgifternas konfidentialitet mot obehörig åtkomst från tredje part.

1.7 Den information som ska utbytas via det särskilda säkra onlineverktyget bör begränsas till den information som ska lämnas i enlighet med punkterna 5–12 och all ytterligare information som krävs för att den ledande tillsynsmyndigheten och de behöriga myndigheterna ska kunna utföra sina respektive uppgifter enligt DORA-förordningen.

1.8 De europeiska tillsynsmyndigheterna och de behöriga myndigheterna bör säkerställa att kommunikationen och informationsutbytet mellan de europeiska tillsynsmyndigheterna och de behöriga myndigheterna kan tillgås och är inkluderande för alla berörda parter, inbegripet dem som kan ha språkliga hinder eller tillgänglighetsbehov. I detta sammanhang kan de europeiska tillsynsmyndigheterna och de behöriga myndigheterna använda översättningstjänster eller tillgängliga kommunikationsverktyg, såsom videokonferensprogramvara med undertextning, förutsatt att uppgifterna skyddas från obehörig användning av tredje part.

Riktlinje 2: Tidslinjer

2.1 I händelse av särskilda förhållanden som kräver snabba åtgärder eller ytterligare tid för att slutföra den relevanta uppgiften får den ledande tillsynsmyndigheten, i samråd med relevanta behöriga myndigheter, förkorta eller förlänga de tidsfrister som beskrivs i punkterna 5–12. Den ledande tillsynsmyndigheten bör dokumentera ändringarna och skälen till dessa ändringar.

Riktlinje 3: Åsiktsskillnader mellan de europeiska tillsynsmyndigheterna och behöriga myndigheter

3.1 Om de europeiska tillsynsmyndigheterna och behöriga myndigheter har olika åsikter om tillsynssamarbetet och informationsutbytet bör de sträva efter att nå en ömsesidigt godtagbar lösning. Om ingen sådan lösning kan nås bör den ledande tillsynsmyndigheten, i samråd med det gemensamma tillsynsnätverket, presentera åsiktsskillnaderna inför tillsynsforumet, som kommer att framföra sina synpunkter för att hitta en ömsesidigt godtagbar lösning.

Riktlinje 4: Informationsutbyte mellan de europeiska tillsynsmyndigheterna och behöriga myndigheter inom ramen för deras respektive samarbete med behöriga myndigheter som utsetts eller inrättats i enlighet med NIS2 (NIS2-myndigheter)

4.1 Behöriga myndigheter och den ledande tillsynsmyndigheten bör om möjligt ge varandra tillgång till relevant information som härrör från deras dialog med NIS2-myndigheter som ansvarar för tillsynen av väsentliga eller viktiga entiteter som omfattas av detta direktiv och som har klassificerats som en kritisk tredjepartsleverantör av IKT-tjänster.

Avsnitt 2: Klassificering av tredjepartsleverantörer av IKT-tjänster som kritiska Riktlinje 5: Information för kritikalitetsbedömningen som behöriga myndigheter ska lämna till de europeiska tillsynsmyndigheterna

5.1 I syfte att utse de tredjepartsleverantörer av IKT-tjänster som är kritiska för finansiella entiteter i enlighet med artikel 31.1 a i DORA-förordningen bör de behöriga myndigheterna utan onödigt dröjsmål efter mottagandet av det informationsregister som avses i artikel 28.3 i DORAförordningen ge de europeiska tillsynsmyndigheterna tillgång till det fullständiga informationsregistret i enlighet med de format och förfaranden som angetts av de europeiska tillsynsmyndigheterna. 5.2 De behöriga myndigheterna bör också ge de europeiska tillsynsmyndigheterna tillgång till all relevant kvantitativ eller kvalitativ information som de förfogar över för att underlätta den kritikalitetsbedömning som avses i artikel 31.2 i DORA-förordningen, med beaktande av den delegerade akt som avses i artikel 31.6 i DORA-förordningen. 5.3 På begäran och för att underlätta kritikalitetsbedömningen bör de behöriga myndigheterna ge de europeiska tillsynsmyndigheterna tillgång till ytterligare tillgänglig information som de har inhämtat i sin tillsynsverksamhet.

Riktlinje 6: Information om klassificeringen av tredjepartsleverantörer av IKT-tjänster som kritiska som ska lämnas till behöriga myndigheter av den ledande tillsynsmyndigheten eller de europeiska tillsynsmyndigheterna

6.1 Inom tio arbetsdagar efter mottagandet från tredjepartsleverantören av IKT-tjänster bör de europeiska tillsynsmyndigheterna underrätta de behöriga myndigheterna för de finansiella entiteterna som använder de IKT-tjänster som tillhandahålls av en tredjepartsleverantör av IKTtjänster, med juridiskt namn, identifieringskod , det land där tredjepartsleverantören av IKTtjänster har sitt säte och, om det tillhör en koncern, för den moderkoncern som lämnade in en begäran om att bli klassificerad som kritisk i enlighet med artikel 31.11 i DORA-förordningen. 6.2 Den ledande tillsynsmyndigheten bör dela med sig av följande information till de behöriga myndigheterna för de finansiella entiteter som använder de IKT-tjänster som tillhandahålls av en kritisk tredjepartsleverantör av IKT-tjänster: a) Senast tio arbetsdagar efter mottagandet från den kritiska tredjepartsleverantören av IKTtjänster: meddelandet från den kritiska tredjepartsleverantören av IKT-tjänster om eventuella ändringar av ledningsstrukturen för det dotterföretag som är etablerat i unionen i enlighet med artikel 31.13 i DORA-förordningen. b) Senast tio arbetsdagar efter anmälan om ett beslut om att klassificera tredjepartsleverantören av IKT-tjänster som kritisk för tredjepartsleverantören av IKT-tjänster: juridiskt namn, identifieringskod, det land där tredjepartsleverantören av IKT-tjänster har sitt säte och, om det tillhör en koncern, för den moderkoncern som har klassificerats som kritisk i enlighet med artiklarna 31.5 och 31.11 i DORA-förordningen och det startdatum från vilket de faktiskt kommer att omfattas av den tillsynsverksamhet som avses i artikel 31.5 i DORA-förordningen.

Avsnitt 3: Grundläggande tillsynsverksamhet Riktlinje 7: Tillsynsplaner

7.1 Före färdigställandet av den årliga tillsynsplan som avses i artikel 33.4 i DORA-förordningen bör den ledande tillsynsmyndigheten göra utkastet till årlig tillsynsplan tillgängligt för de behöriga myndigheterna för de finansiella entiteter som använder IKT-tjänster som tillhandahålls av en kritisk tredjepartsleverantör av IKT-tjänster. 7.2 Utkastet till årlig tillsynsplan bör innehålla följande information om de planerade allmänna utredningarna eller inspektionerna: a) Typ av tillsynsverksamhet (allmän utredning eller inspektion).

b) Tillämpningsområde och mål på hög nivå. c) Ungefärlig tidsram. 7.3 De behöriga myndigheterna kan lämna synpunkter på utkastet till årlig tillsynsplan inom 30 arbetsdagar efter mottagandet. 7.4 Inom tio arbetsdagar efter antagandet bör den ledande tillsynsmyndigheten göra den årliga tillsynsplanen och den fleråriga tillsynsplanen tillgängliga för de behöriga myndigheterna . 7.5 Den ledande tillsynsmyndigheten bör ge de behöriga myndigheterna tillgång till alla väsentliga uppdateringar av den årliga tillsynsplanen och den fleråriga tillsynsplanen utan onödigt dröjsmål efter det att uppdateringarna antagits. De behöriga myndigheterna kan lämna synpunkter på de väsentliga uppdateringarna av den årliga tillsynsplanen inom 30 arbetsdagar efter mottagandet.

Riktlinje 8: Allmänna utredningar och inspektioner

8.1 Minst tre veckor innan det att den allmänna utredningen eller inspektionen inleds i enlighet med artiklarna 38.5, 39.3 och 36.1 i DORA-förordningen, eller med kortast möjliga dröjsmål vid en brådskande utredning eller inspektion, bör den ledande tillsynsmyndigheten informera de behöriga myndigheterna för de finansiella entiteter som använder de IKT-tjänster som tillhandahålls av en kritisk tredjepartsleverantör av IKT-tjänster avseende identiteten på de behöriga personerna för den allmänna utredningen eller inspektionen. 8.2 De behöriga personerna omfattar följande: - Relevant personal vid den ledande tillsynsmyndigheten, och - den personal i den gemensamma undersökningsgruppen som avses i artikel 40.2 i DORAförordningen och som har utsetts att genomföra den allmänna undersökningen eller inspektionen. 8.3 Den ledande tillsynsmyndigheten bör informera de behöriga myndigheterna för de finansiella entiteter som använder de IKT-tjänster som tillhandahålls av den kritiska tredjepartsleverantören av IKT-tjänster om de behöriga personerna konstaterar att en kritisk tredjepartsleverantör av IKTtjänster motsätter sig inspektionen, inbegripet införande av omotiverade villkor för inspektionen.

Riktlinje 9: Ytterligare informationsutbyte mellan den ledande tillsynsmyndigheten och behöriga myndigheter i samband med tillsynsverksamhet

9.1 Inom tio arbetsdagar efter antagandet av begäran om information till den kritiska tredjepartsleverantören av IKT-tjänster bör den ledande tillsynsmyndigheten göra den relevanta omfattningen av den begäran om information som lämnats till den kritiska tredjepartsleverantören av IKT-tjänster tillgänglig för det gemensamma tillsynsnätverket och de behöriga myndigheterna för de finansiella entiteter som använder IKT-tjänster som tillhandahålls av den kritiska tredjepartsleverantören av IKT-tjänster i enlighet med artiklarna 36.1 och 37.1 i DORA-förordningen. 9.2 Den ledande tillsynsmyndigheten bör informera de behöriga myndigheterna för de finansiella entiteter som använder IKT-tjänster som tillhandahålls av en kritisk tredjepartsleverantör av IKTtjänster om alla - större incidenter med direkt eller indirekt inverkan på finansiella entiteter inom unionen när de rapporteras av den kritiska tredjepartsleverantören av IKT-tjänster, inbegripet relevanta uppgifter för att fastställa incidentens betydelse för finansiella entiteter och bedöma eventuella gränsöverskridande effekter, - relevanta ändringar av strategin för den kritiska tredjepartsleverantören av IKT-tjänster när det gäller IKT-tredjepartsrisk, - händelser som skulle kunna utgöra en betydande risk för kontinuiteten och hållbarheten i tillhandahållandet av IKT-tjänster, - motiverat uttalande som kan lämnas av den kritiska tredjepartsleverantören av IKT-tjänster som styrker den förväntade inverkan av utkastet till tillsynsplan på kunder som är entiteter utanför DORA-förordningens tillämpningsområde och som, i förekommande fall, formulerar lösningar för att minska de risker som avses i artikel 33.4 i DORA-förordningen. 9.3 Om en kritisk tredjepartsleverantör av IKT-tjänster samarbetar med de behöriga myndigheterna i alla frågor som rör tillsynen, bör de behöriga myndigheterna göra dessa meddelanden tillgängliga för den ledande tillsynsmyndigheten och påminna den kritiska tredjepartsleverantören av IKT-tjänster om att den ledande tillsynsmyndigheten är dess huvudsakliga kontaktpunkt inom alla frågor som rör tillsynen.

Avsnitt 4: Uppföljning av rekommendationerna Riktlinje 10: Allmänna principer för uppföljning

10.1 Följande allmänna principer bör gälla för uppföljningen av de rekommendationer som utfärdats av den ledande tillsynsmyndigheten: - De behöriga myndigheterna är den huvudsakliga kontaktpunkten för finansiella entiteter som står under deras tillsyn. De behöriga myndigheterna ansvarar för uppföljningen av de risker som identifieras i rekommendationerna om finansiella entiteter som använder sig av de tjänster som tillhandahålls av kritiska tredjepartsleverantörer av IKT-tjänster. - Den ledande tillsynsmyndigheten är den huvudsakliga kontaktpunkten för kritiska tredjepartsleverantörer av IKT-tjänster inom alla frågor som rör tillsynen. Den ledande tillsynsmyndigheten ansvarar för uppföljningen av de rekommendationer som riktas till den kritiska tredjepartsleverantören av IKT-tjänster.

Riktlinje 11: Informationsutbyte mellan den ledande tillsynsmyndigheten och behöriga myndigheter för att säkerställa uppföljningen av rekommendationerna

11.1 Den ledande tillsynsmyndigheten bör göra följande information tillgänglig för de behöriga myndigheterna för de finansiella entiteter som använder de IKT-tjänster som tillhandahålls av en kritisk tredjepartsleverantör av IKT-tjänster: a. Inom tio arbetsdagar efter det att den ledande tillsynsmyndigheten har mottagit följande: - Underrtättelsen från den kritiska tredjepartsleverantören av IKT-tjänster om att följa de rekommendationer som utfärdats av den ledande tillsynsmyndigheten och den åtgärdsplan som utarbetats av den kritiska tredjepartsleverantören av IKT-tjänster. - En motiverad förklaring från den kritiska tredjepartsleverantören av IKT-tjänster till att den inte följer rekommendationerna. - De rapporter som specificerar de åtgärder som har vidtagits eller de avhjälpande åtgärder som har vidtagits av den kritiska tredjepartsleverantören av IKT-tjänster i enlighet med artikel 35.1 c i DORA-förordningen. b. Inom tio arbetsdagar efter utgången av de 60 kalenderdagarna i enlighet med artikel 42.1 i DORA-förordningen: - Det faktum att den kritiska tredjepartsleverantören av IKT-tjänster inte skickade underrättelsen inom 60 kalenderdagar efter utfärdandet av rekommendationer till den kritiska tredjepartsleverantören av IKT-tjänster i enlighet med artikel 35.1 d i DORAförordningen. c. Inom tio arbetsdagar efter det att den ledande tillsynsmyndigheten har antagit följande: - Bedömningen av huruvida förklaringen från den kritiska tredjepartsleverantören av IKTtjänster till att den inte följer den ledande tillsynsmyndighetens rekommendationer

anses vara tillräcklig och, om den anses vara tillräcklig, den ledande tillsynsmyndighetens beslut om ändring av rekommendationerna . - Bedömningen av de rapporter som specificerar de åtgärder som har vidtagits eller avhjälpande åtgärder som har vidtagits av den kritiska tredjepartsleverantören av IKTtjänster i enlighet med artikel 35.1 c i DORA-förordningen. Om den kritiska tredjepartsleverantören av IKT-tjänster inte har genomfört rekommendationerna på ett tillfredsställande sätt bör bedömningen åtminstone omfatta kriterierna a–d i artikel 42.8 i DORA-förordningen. - Beslutet att förelägga den kritiska tredjepartsleverantören av IKT-tjänster vite i enlighet med artikel 35.6 i DORA-förordningen. Om den ledande tillsynsmyndigheten valde att inte offentliggöra vitet för allmänheten i enlighet med artikel 35.10 i DORA-förordningen, bör de behöriga myndigheter som tar emot informationen inte offentliggöra den. - Bedömning av huruvida vägran från en kritisk tredjepartsleverantör av IKT-tjänster att godta rekommendationer, på baseras på en annan strategi än den som rekommenderas av den ledande tillsynsmyndigheten, skulle kunna inverka negativt på ett stort antal finansiella entiteter eller en betydande del av den finansiella sektorn.

11.2 I enlighet med artikel 42.10 i DORA-förordningen bör de behöriga myndigheterna ge den ledande tillsynsmyndigheten tillgång till följande information om kritiska tredjepartsleverantörer av IKT-tjänster helt eller delvis inte har godtagit rekommendationer till dem från den ledande tillsynsmyndigheten: a. Inom tio arbetsdagar efter den behöriga myndighetens antagande: - Underrättelsen till den finansiella entiteten om att ett beslut kan komma att fattas om en behörig myndighet bedömer att en finansiell entitet underlåter att inom ramen för sin hantering av IKT-tredjepartsrisk beakta eller i tillräcklig utsträckning hantera de specifika risker som identifierats i de rekommendationer som utfärdats av den ledande tillsynsmyndigheten i enlighet med artikel 42.4 i DORA-förordningen. - Enskilda varningar som har utfärdats av behöriga myndigheter i enlighet med artikel 42.7 i DORA-förordningen och relevant information som gör det möjligt för den ledande tillsynsmyndigheten att bedöma om sådana varningar har lett till konsekventa strategier som minskar den potentiella risken för den finansiella stabiliteten. b. Inom tio arbetsdagar efter samrådet:

- Resultatet av samrådet med NIS2-myndigheterna innan ett beslut fattas, som avses i artikel 42.5 i DORA-förordningen, om så är möjligt. c. Inom tio arbetsdagar efter mottagandet av informationen från de finansiella entiteterna: - Väsentliga ändringar av befintliga kontraktsmässiga arrangemang mellan de finansiella entiteterna och kritiska tredjepartsleverantörerna av IKT-tjänster som gjordes för att hantera de risker som identifierades i rekommendationerna från den ledande tillsynsmyndigheten. - Inledandet av genomförandet av exitstrategier och övergångsplaner för de finansiella entiteter som avses i artikel 28.8 i DORA-förordningen.

11.3 De europeiska tillsynsmyndigheterna bör i samråd med behöriga myndigheter utarbeta en mall för att underlätta överföringen av den information som avses i punkt 11.2.

Riktlinje 12: Beslut om att de finansiella entiteterna tillfälligt ska avbryta användningen eller införandet av en tjänst som tillhandahålls av den kritiska tredjepartsleverantören av IKT-tjänster eller avsluta de relevanta kontraktsmässiga arrangemang som ingåtts med den kritiska tredjepartsleverantören av IKT-tjänster

12.1 De behöriga myndigheterna bör informera den ledande tillsynsmyndigheten om sin avsikt att underrätta en finansiell entitet om att ett beslut kan komma att fattas om den finansiella entiteten inte antar lämpliga kontraktsmässiga arrangemang för att hantera de specifika risker som identifierats i rekommendationerna, enligt vad som avses i artikel 42.4 i DORAförordningen. Vid tillämpningen av punkt 12.2 bör de behöriga myndigheterna ge den ledande tillsynsmyndigheten tillgång till all relevant information om det möjliga beslutet och ange om de avser att anta ett brådskande beslut. 12.2 Efter att ha mottagit informationen bör den ledande tillsynsmyndigheten bedöma den potentiella inverkan ett sådant beslut kan ha på den kritiska tredjepartsleverantör av IKTtjänster vars tjänst tillfälligt skulle avbrytas eller avslutas. Inom tio arbetsdagar från det att informationen mottogs, eller så snart som möjligt om de behöriga myndigheterna avser att anta ett brådskande beslut, bör den ledande tillsynsmyndigheten tillgängliggöra denna bedömning för de berörda behöriga myndigheterna. De behöriga myndigheterna bör beakta denna ickebindande bedömning när de beslutar om huruvida den underrättelsen som avses i punkt 12.1 ska utfärdas eller inte. 12.3 Om två eller flera behöriga myndigheter planerar att fatta eller har fattat beslut om finansiella entiteter som använder IKT-tjänster som tillhandahålls av samma kritiska tredjepartsleverantör av IKT-tjänster, bör den ledande tillsynsmyndigheten informera dem om alla inkonsekventa

eller avvikande tillsynsstrategier som kan leda till ojämlika förutsättningar där finansiella entiteter använder IKT-tjänster som tillhandahålls av en kritisk tredjepartsleverantör av IKTtjänster i olika medlemsstater.

Avsnitt 5: Slutbestämmelser

Dessa riktlinjer gäller från den 17 januari 2025. Dessa riktlinjer kommer att granskas av de europeiska tillsynsmyndigheterna.

Bilaga: Sammanfattande tabell över informationsutbytena

I följande tabell sammanfattas informationsutbytena mellan de ledande/europeiska tillsynsmyndigheterna (gråmarkerade) och de behöriga myndigheterna (grönmarkerade) såsom anges i dessa riktlinjer. Syftet med tabellen är inte att införa någon ny vägledning, utan att återspegla den vägledning som ingår i riktlinjerna. Om det finns några skillnader mellan riktlinjerna och denna tabell har informationen i riktlinjerna företräde.

Motsvarande artikel Utbyte av information Tidslinje Riktlinje i nivå 1-texten Avsnitt 1: Allmänna överväganden

Den ledande tillsynsmyndigheten, i samråd med relevanta behöriga - - 2.1 myndigheter, förkortar eller förlänger tidsfristerna.

Den ledande tillsynsmyndigheten, i samråd med det gemensamma tillsynsnätverket, ska presentera - - 3.1 åsiktsskillnader om tillsynssamarbetet och informationsutbytet inför tillsynsforumet

När så är möjligt ska behöriga myndigheter och ledande tillsynsmyndighet ge varandra tillgång - 4.1 till relevant information från sin dialog med NIS2-myndigheter.

Avsnitt 2: Klassificering av kritiska tredjepartsleverantörer

De behöriga myndigheterna ska göra Utan onödigt dröjsmål det fullständiga informationsregistret efter det att 28.3 5.1 tillgängligt för de europeiska informationsregistret 10 11 31.1 a , 31.2, 31.6 tillsynsmyndigheterna mottagits

Motsvarande artikel Utbyte av information Tidslinje Riktlinje i nivå 1-texten

och 31.10 De behöriga myndigheterna ska ge de europeiska tillsynsmyndigheterna Artikel 35.2 i de tillgång till all relevant kvantitativ eller europeiska - 5.2 kvalitativ information som de förfogar tillsynsmyndigheternas över för att underlätta inrättandeförordning kritikalitetsbedömningen

De behöriga myndigheterna ska på begäran tillhandahålla ytterligare - 5.3 tillgänglig information som de har inhämtat i sin tillsynsverksamhet.

De europeiska tillsynsmyndigheterna ska ge de behöriga myndigheterna Inom tio arbetsdagar tillgång till information om den efter mottagandet från 6.1 tredjepartsleverantör som lämnat in en tredjepartsleverantören begäran om att klassificeras som kritisk

Den ledande tillsynsmyndigheten ska delge de behöriga myndigheterna Inom tio arbetsdagar meddelandet från den kritiska 14 15 31.5 , 31.11 och efter mottagandet från tredjepartsleverantören om eventuella 16 6.2 a 31.13 den kritiska ändringar av ledningsstrukturen för det tredjepartsleverantören dotterföretag som är etablerat i unionen.

Den ledande tillsynsmyndigheten ska delge behöriga myndigheter Inom tio arbetsdagar informationen om den efter det att anmälan 6.2 b lämnats in tredjepartsleverantör som har klassificerats som kritisk samt

Motsvarande artikel Utbyte av information Tidslinje Riktlinje i nivå 1-texten

startdatum för klassificeringen

Avsnitt 3: Grundläggande tillsynsverksamhet

Den ledande tillsynsmyndigheten ska ge Före färdigställandet av behöriga myndigheter tillgång till den årliga 7.1 utkastet till årlig tillsynsplan tillsynsplanen

De behöriga myndigheterna kan lämna Inom 30 arbetsdagar synpunkter på utkastet till årlig 7.3 efter mottagandet tillsynsplan

33.4 Den ledande tillsynsmyndigheten ska ge Skäl 3 i utkastet till de behöriga myndigheterna tillgång till Inom tio arbetsdagar 7.4 ”Regulatory Technical den årliga tillsynsplanen och den efter antagandet Standards on the fleråriga tillsynsplanen. conduct of oversight Den ledande tillsynsmyndigheten ska ge activities in relation to de behöriga myndigheterna tillgång till Utan onödigt dröjsmål the joint examination teams under DORA” alla väsentliga uppdateringar av den efter uppdateringarnas 7.5 årliga tillsynsplanen och den fleråriga antagande tillsynsplanen.

De behöriga myndigheterna kan lämna synpunkter på de väsentliga Inom 30 arbetsdagar 7.5 uppdateringarna av den årliga efter mottagandet tillsynsplanen

minst tre veckor innan Den ledande tillsynsmyndigheten ska utredningen eller för de behöriga myndigheterna inspektionen inleds, 18 19 bekräfta identiteten på de personer 36.1, 38.5 och 39.3 8.1 eller som är bemyndigade att genomföra utredningen eller inspektionen med kortast möjliga

dröjsmål vid en

Motsvarande artikel Utbyte av information Tidslinje Riktlinje i nivå 1-texten

brådskande undersökning eller inspektion

Den ledande tillsynsmyndigheten ska informera behöriga myndigheter om de bemyndigade personerna anser att en 20 - 39.7 8.3 kritisk tredjepartsleverantör motsätter sig en inspektion, inbegripet införande av omotiverade villkor för inspektionen

Den ledande tillsynsmyndigheten ska ge Inom tio arbetsdagar det gemensamma tillsynsnätverket och efter antagandet av de behöriga myndigheterna tillgång till 21 22 begäran om 36.1 , 37.1 och det relevanta tillämpningsområdet för 23 9.1 information till den 37.5 den begäran om upplysningar som kritiska lämnats till den kritiska tredjepartsleverantören tredjepartsleverantören

Den ledande tillsynsmyndigheten ska ge 33.4 de behöriga myndigheterna tillgång till - 9.2 Artikel 3.2 l i utkastet • större incidenter med till ”Regulatory

Motsvarande artikel Utbyte av information Tidslinje Riktlinje i nivå 1-texten

direkt/indirekt inverkan på Technical Standards finansiella entiteter när de on the harmonisation rapporteras av den kritiska of conditions enabling tredjepartsleverantören (på begäran the conduct of the av ledande tillsynsmyndighet), oversight activities” enligt artikel 41.1 a, b • relevanta ändringar i den kritiska och d i förordning (EU) tredjepartsleverantörens strategi för 2022/2554 IKT-tredjepartsrisk, • händelser som skulle kunna utgöra en betydande risk för tillhandahållandet av IKT-tjänster, • motiverat uttalande från den kritiska tredjepartsleverantören som styrker den förväntade inverkan av utkastet till tillsynsplan.

De behöriga myndigheterna ska ge den ledande tillsynsmyndigheten tillgång till den kritiska tredjepartsleverantörens 25 - 33.1 9.3 kommunikation med de behöriga myndigheterna i alla frågor som rör tillsynen.

Avsnitt 4: Uppföljning av rekommendationerna

Den ledande tillsynsmyndigheten ska ge de behöriga myndigheterna tillgång till Inom 10 arbetsdagar • underrättelse från den kritiska efter mottagandet av 26 27 tredjepartsleverantören om att följa 35.1 c och 42.1 11.1 a den ledande rekommendationerna, tillsynsmyndigheten • den kritiska tredjepartsleverantörens

Motsvarande artikel Utbyte av information Tidslinje Riktlinje i nivå 1-texten

åtgärdsplan, • den kritiska tredjepartsleverantörens motiverade förklaring till att den inte följer rekommendationerna, och • rapporten med angivande av de åtgärder som har vidtagits eller de avhjälpande åtgärder som har vidtagits av den kritiska tredjepartsleverantören.

Den ledande tillsynsmyndigheten ska underrätta behöriga myndigheter om att den kritiska tredjepartsleverantören Inom tio arbetsdagar har underlåtit att skicka underrättelsen efter utgången av de 60 11.1 b inom 60 kalenderdagar efter det att kalenderdagarna rekommendationer utfärdades till den kritiska tredjepartsleverantören

Den ledande tillsynsmyndigheten ska ge de behöriga myndigheterna tillgång till Inom 10 arbetsdagar 28 29 efter den ledande 35.1 c, 35.6 , 35.10 , • bedömningen av huruvida 11.1 c tillsynsmyndighetens 42.1, 42.8 a–d förklaringen från den kritiska antagande tredjepartsleverantören till att den inte följer den ledande

Motsvarande artikel Utbyte av information Tidslinje Riktlinje i nivå 1-texten

tillsynsmyndighetens rekommendationer anses vara tillräcklig och, om så är fallet, den ledande tillsynsmyndighetens beslut om ändring av rekommendationerna, • bedömningen av rapporterna med angivande av de åtgärder som har vidtagits eller de avhjälpande åtgärder som har vidtagits av den kritiska tredjepartsleverantören, • beslutet om att förelägga den kritiska tredjepartsleverantören att betala vite, • bedömningen av huruvida en den kritiska tredjepartsleverantörens vägran att godta rekommendationerna skulle kunna inverka negativt på ett stort antal finansiella entiteter eller en betydande del av den finansiella sektorn

De behöriga myndigheterna ska ge den Inom tio arbetsdagar ledande tillsynsmyndigheten tillgång till 31 32 efter den behöriga 42.4 , 42.7 och • 33 11.2 a underrättelsen till den finansiella myndighetens 42.10 entiteten om att ett beslut kan antagande komma att fattas,

Motsvarande artikel Utbyte av information Tidslinje Riktlinje i nivå 1-texten

• enskilda varningar som utfärdats av behöriga myndigheter och relevant information som gör det möjligt för den ledande tillsynsmyndigheten att bedöma om sådana varningar har lett till konsekventa strategier som minskar den potentiella risken för den finansiella stabiliteten

De behöriga myndigheterna ska om möjligt göra resultatet av samrådet Inom tio arbetsdagar 34 med NIS2-myndigheterna tillgängligt för 42.5 11.2 b efter samrådet den ledande tillsynsmyndigheten innan ett beslut fattas.

De behöriga myndigheterna ska ge den ledande tillsynsmyndigheten tillgång till • de väsentliga ändringar av finansiella entiteters befintliga kontraktsmässiga arrangemang med Inom 10 arbetsdagar kritiska tredjepartsleverantörer som efter mottagandet av 35 28 och 42.10 11.2 c har gjorts för att hantera de risker informationen från de som identifierats i finansiella entiteterna rekommendationerna, • inledandet av genomförandet av exitstrategier och övergångsplaner för de finansiella entiteterna

De behöriga myndigheterna ska informera den ledande tillsynsmyndigheten om - 42.4 och 42.10 12.1 • avsikt att underrätta en finansiell entitet om att ett beslut kan komma att fattas om den finansiella

Motsvarande artikel Utbyte av information Tidslinje Riktlinje i nivå 1-texten

entiteten inte antar lämpliga kontraktsmässiga arrangemang för att hantera de specifika risker som identifierats i rekommendationerna,

• all relevant information om beslutet, • huruvida de avser att fatta ett brådskande beslut

Inom tio arbetsdagar Den ledande tillsynsmyndigheten ska ge efter mottagandet av de behöriga myndigheterna tillgång till den information som en icke-bindande bedömning av den avses i riktlinje 12.1 potentiella inverkan som beslutet kan 12.2 eller få för den kritiska tredjepartsleverantören vars tjänst Med kortast möjliga tillfälligt skulle upphävas eller avslutas dröjsmål vid brådskande beslut