Delegierte Verordnung (EU) 2024/1502 der Kommission vom 22. Februar 2024 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch Festlegung der Kriterien für die Einstufung von IKT-Drittdienstleistern als für Finanzunternehmen kritisch

1 Bei der Prüfung der in Artikel 31 Absatz 2 der Verordnung (EU) 2022/2554 festgelegten Kriterien für die Einstufung eines IKT-Drittdienstleisters als für Finanzunternehmen kritisch, gehen die Europäischen Aufsichtsbehörden nach folgendem Ansatz vor: a) In der ersten Stufe bewerten die Europäischen Aufsichtsbehörden, ob der IKT-Drittdienstleister alle in Artikel 2 Absatz 1, Artikel 3 Absatz 1 und Artikel 5 Absatz 1 genannten Unterkriterien der „Stufe 1“ erfüllt. b) In der zweiten Stufe führen die Europäischen Aufsichtsbehörden für jene IKT-Drittdienstleister, die sämtliche unter Buchstabe a genannten Unterkriterien der „Stufe 1“ erfüllen, ihre Bewertung anhand der in Artikel 2 Absatz 5, Artikel 3 Absatz 4, Artikel 4 Absatz 1 und Artikel 5 Absatz 5 genannten Unterkriterien der „Stufe 2“ durch. Abweichend von Unterabsatz 1 wird bei der Bewertung des in Artikel 31 Absatz 2 Buchstabe c der Verordnung (EU) 2022/2554 genannten Kriteriums die erste Stufe durch die Bewertung der Kriterien in Artikel 31 Absatz 2 Buchstaben a, b und d der Verordnung (EU) 2022/2554 abgedeckt.

2 Nach Ablauf der Frist für die Übermittlung einer begründeten Erklärung nach Artikel 31 Absatz 5 Unterabsatz 1 der Verordnung (EU) 2022/2554 stufen die Europäischen Aufsichtsbehörden einen IKT-Drittdienstleister im Wege des Gemeinsamen Ausschusses und auf Empfehlung des Überwachungsforums als für Finanzunternehmen kritisch ein, wenn er alle in Absatz 1 Buchstabe a genannten Unterkriterien der „Stufe 1“ erfüllt und die Bewertung der in Absatz 1 Buchstabe b genannten Unterkriterien der „Stufe 2“ positiv ausfällt.

1 Bei der Prüfung des in Artikel 31 Absatz 2 Buchstabe a der Verordnung (EU) 2022/2554 festgelegten Kriteriums bewerten die Europäischen Aufsichtsbehörden, ob der IKT-Drittdienstleister die folgenden Unterkriterien der „Stufe 1“ erfüllt: a) Unterkriterium 1.1: von der Zahl der Finanzunternehmen jeder einzelnen in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 aufgeführten Kategorie von Finanzunternehmen der Anteil jener Finanzunternehmen, für die von ein und demselben IKT-Drittdienstleister IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen erbracht werden; b) Unterkriterium 1.2: vom Gesamtwert der Vermögenswerte der Finanzunternehmen jeder einzelnen in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 aufgeführten Kategorie von Finanzunternehmen der Anteil jener Finanzunternehmen, für die von ein und demselben IKT-Drittdienstleister IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen des Finanzunternehmens erbracht werden.

2 Das in Absatz 1 Buchstabe a genannte Unterkriterium 1.1 wird wie folgt berechnet: Zahl der Finanzunternehmen einer in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 genannten Kategorie von Finanzunternehmen, für die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen der Finanzunternehmen von ein und demselben IKT-Drittdienstleister erbracht werden Gesamtzahl der Finanzunternehmen einer in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 genannten Kategorie von Finanzunternehmen

3 Das in Absatz 1 Buchstabe b genannte Unterkriterium 1.2 wird wie folgt berechnet: Gesamtwert der Vermögenswerte der Finanzunternehmen einer in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 genannten Kategorie von Finanzunternehmen, für die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen der Finanzunternehmen von ein und demselben IKT-Drittdienstleister erbracht werden Gesamtwert der Vermögenswerte aller EU-Finanzunternehmen derselben in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 genannten Kategorie

4 Bei einem IKT-Drittdienstleister gelten die in Absatz 1 genannten Unterkriterien der „Stufe 1“ als erfüllt, wenn beide gemäß den Absätzen 2 und 3 berechneten Anteile bei mindestens einer in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 genannten Kategorie von Finanzunternehmen mindestens 10 % betragen.

5 Bei der Prüfung des in Artikel 31 Absatz 2 Buchstabe a der Verordnung (EU) 2022/2554 festgelegten Kriteriums und sofern der IKT-Drittdienstleister die in Absatz 1 des vorliegenden Artikels genannten Unterkriterien der „Stufe 1“ erfüllt, führen die Europäischen Aufsichtsbehörden ihre Bewertung anhand der folgenden Unterkriterien der „Stufe 2“ durch: a) Unterkriterium 1.3: Stärke der Auswirkungen einer Einstellung der vom IKT-Drittdienstleister erbrachten IKT-Dienstleistungen auf die Tätigkeiten und den Geschäftsbetrieb der Finanzunternehmen, die in „Stufe 1“ nach den in Absatz 1 genannten Unterkriterien ermittelt wurden, und Zahl dieser betroffenen Finanzunternehmen; b) Unterkriterium 1.4: Abhängigkeit des kritischen IKT-Drittdienstleisters von ein und denselben Unterauftragnehmern, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen von Finanzunternehmen erbringen.

1 Bei der Prüfung des in Artikel 31 Absatz 2 Buchstabe b der Verordnung (EU) 2022/2554 festgelegten Kriteriums bewerten die Europäischen Aufsichtsbehörden, ob der IKT-Drittdienstleister die folgenden Unterkriterien der „Stufe 1“ erfüllt: a) Unterkriterium 2.1: Zahl der global systemrelevanten Institute (G-SRI) und anderer systemrelevanter Institute (A-SRI), bei denen es sich um Kreditinstitute handelt, für die ein und derselbe IKT-Drittdienstleister IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen erbringt; b) Unterkriterium 2.2: Zahl der Finanzunternehmen, bei denen es sich nicht um Kreditinstitute und nicht um G-SRI und A-SRI im Sinne von Buchstabe a handelt, die von den in Artikel 46 der Verordnung (EU) 2022/2554 genannten zuständigen Behörden als systemrelevant eingestuft wurden und für die ein und derselbe IKT-Drittdienstleister IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen erbringt.

2 Bei einem IKT-Drittdienstleister gilt das in Absatz 1 Buchstabe a genannte Unterkriterium als erfüllt, wenn die von ihm bereitgestellten IKT-Dienstleistungen mindestens in Anspruch genommen werden von: a) einem G-SRI oder b) mindestens drei A-SRI oder c) mindestens einem A-SRI mit einem A-SRI-Bewertungsergebnis von über 3000, berechnet nach Artikel 131 Absatz 3 der Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates .

3 Bei einem IKT-Drittdienstleister gilt das in Absatz 1 Buchstabe b genannte Unterkriterium als erfüllt, wenn die von ihm bereitgestellten IKT-Dienstleistungen mindestens in Anspruch genommen werden von: a) einem Finanzunternehmen, bei dem es sich um ein in Artikel 2 Absatz 1 Buchstaben g, h, i oder j der Verordnung (EU) 2022/2554 genanntes Finanzunternehmen handelt und das von den zuständigen Behörden als „systemrelevant“ eingestuft wird, oder b) mindestens drei Finanzunternehmen, bei denen es sich nicht um Kreditinstitute und nicht um die in Artikel 2 Absatz 1 Buchstaben g, h, i oder j der Verordnung (EU) 2022/2554 genannten Finanzunternehmen handelt und die von den zuständigen Behörden als „systemrelevant“ eingestuft werden.

4 Bei der Prüfung des in Artikel 31 Absatz 2 Buchstabe b der Verordnung (EU) 2022/2554 festgelegten Kriteriums und sofern der IKT-Drittdienstleister die in Absatz 1 des vorliegenden Artikels genannten Unterkriterien in „Stufe 1“ erfüllt, führen die Europäischen Aufsichtsbehörden ihre Bewertung anhand des folgenden Unterkriteriums der „Stufe 2“ durch: Unterkriterium 2.3: Die in die Bewertung der in Absatz 1 genannten Unterkriterien der „Stufe 1“ einbezogenen G-SRI oder A-SRI und anderen Finanzunternehmen, die IKT-Dienstleistungen desselben IKT-Drittdienstleisters in Anspruch nehmen, insbesondere auch, wenn diese G-SRI oder A-SRI Finanzinfrastrukturdienstleistungen für andere Finanzunternehmen erbringen, sind interdependent.

Bei der Prüfung des in Artikel 31 Absatz 2 Buchstabe c der Verordnung (EU) 2022/2554 festgelegten Kriteriums führen die Europäischen Aufsichtsbehörden ihre Bewertung anhand des folgenden Unterkriteriums der „Stufe 2“ durch: Unterkriterium 3.1: Die letztlich vom selben IKT-Drittdienstleister erbrachten IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen von Finanzunternehmen sind für die Tätigkeiten der Finanzunternehmen von kritischer Bedeutung.

1 Bei der Prüfung des in Artikel 31 Absatz 2 Buchstabe d der Verordnung (EU) 2022/2554 festgelegten Kriteriums bewerten die Europäischen Aufsichtsbehörden, ob der IKT-Drittdienstleister die folgenden Unterkriterien der „Stufe 1“ erfüllt: a) Unterkriterium 4.1: von der Gesamtzahl der Finanzunternehmen jeder einzelnen in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 genannten Kategorie der Anteil jener Finanzunternehmen, für die kein alternativer IKT-Drittdienstleister mit der erforderlichen Kapazität für die Erbringung derselben IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen dieser Finanzunternehmen zur Verfügung steht, wie sie vom betreffenden IKT-Drittdienstleister erbracht werden; b) Unterkriterium 4.2: von der Gesamtzahl der Finanzunternehmen jeder einzelnen in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 genannten Kategorie von Finanzunternehmen der Anteil jener Finanzunternehmen, für die es höchst schwierig ist, eine vom betreffenden IKT-Drittdienstleister erbrachte IKT-Dienstleistung zur Unterstützung kritischer oder wichtiger Funktionen dieser Finanzunternehmen zu einem anderen IKT-Drittdienstleister zu migrieren.

2 Das in Absatz 1 Buchstabe a genannte Unterkriterium 4.1 wird wie folgt berechnet: Zahl der Finanzunternehmen einer in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 genannten Kategorie von Finanzunternehmen für die kein alternativer IKT-Drittdienstleister mit der erforderlichen Kapazität für die Erbringung derselben Art von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen von Finanzunternehmen zur Verfügung steht, wie sie vom betreffenden IKT-Drittdienstleister erbracht werden Gesamtzahl der Finanzunternehmen dieser in Artikel 2 Absatz 1 der Verodnung (EU) 2022/2554 genannten Kategorie von Finanzunternehmen

3 Das in Absatz 1 Buchstabe b genannte Unterkriterium wird wie folgt berechnet: Zahl der Finanzunternehmen einer in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 genannten Kategorie von Finanzunternehmen, für die es höchst schwierig ist,eine vom betreffenden IKT-Drittdienstleister erbrachte IKT-Dienstleistung zur Unterstützung kritischer oder wichtiger Funktionen von Finanzunternehmen zu einem anderen IKT-Drittdienstleister zu migrieren Gesamtzahl der EU-Finanzunternehmen dieser in Artikel 2 Absatz 1 der Verodnung (EU) 2022/2554 genannten Kategorie von Finanzunternehmen

4 Bei einem IKT-Drittdienstleister gelten die beiden Unterkriterien 4.1 und 4.2 als erfüllt, wenn eine der folgenden Bedingungen erfüllt ist: a) der Anteil, den die Gesamtzahl der in Absatz 1 Buchstabe a genannten Finanzunternehmen an der Gesamtzahl der Finanzunternehmen einer in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 genannten Kategorie von Finanzunternehmen ausmacht, beträgt mindestens 10 %; b) der Anteil, den die Gesamtzahl der in Absatz 1 Buchstabe b genannten Finanzunternehmen an der Gesamtzahl der Finanzunternehmen einer in Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 genannten Kategorie von Finanzunternehmen ausmacht, beträgt mindestens 10 %.

5 Bei der Prüfung des in Artikel 31 Absatz 2 Buchstabe d der Verordnung (EU) 2022/2554 festgelegten Kriteriums und sofern der IKT-Drittdienstleister die in Absatz 1 des vorliegenden Artikels genannten Unterkriterien der „Stufe 1“ erfüllt, führen die Europäischen Aufsichtsbehörden ihre Bewertung anhand des in Artikel 31 Absatz 2 Buchstabe d Ziffer i der Verordnung (EU) 2022/2554 festgelegten Unterkriteriums der „Stufe 2“ durch.

1 Für die Bewertung der in den Artikeln 2 bis 5 genannten Unterkriterien ziehen die Europäischen Aufsichtsbehörden die Daten aus den in Artikel 28 Absatz 3 der Verordnung (EU) 2022/2554 genannten Informationsregistern heran. Für die Kritikalitätsbewertung können die Europäischen Aufsichtsbehörden auch weitere verfügbare Daten aus allen anderen Informationsquellen heranziehen.

2 Die Europäischen Aufsichtsbehörden berücksichtigen die neuesten Daten, die ihnen im Bewertungsjahr zur Verfügung stehen, oder, falls anwendbar, die Daten, die ihnen spätestens zum 31. Dezember des der Kritikalitätsbewertung vorausgehenden Jahres zur Verfügung gestellt wurden.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Jedoch wendet die federführende Überwachungsbehörde das in Artikel 2 Absatz 5 Buchstabe b genannte Unterkriterium 1.4 ab dem 16. Januar 2025 an.