Règlement délégué (UE) 2024/1502 de la Commission du 22 février 2024 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par la définition des critères de désignation de prestataires tiers de services TIC comme critiques pour les entités financières

1 Lorsqu’elles appliquent les critères prévus à l’article 31, paragraphe 2, du règlement (UE) 2022/2554 pour désigner les prestataires tiers de services TIC qui sont critiques pour les entités financières, les AES suivent l’approche suivante: a) lors d’une première étape, les AES évaluent si le prestataire tiers de services TIC remplit tous les sous-critères «étape 1» définis à l’article 2, paragraphe 1, à l’article 3, paragraphe 1, et à l’article 5, paragraphe 1; b) lors d’une seconde étape, les AES soumettent les prestataires tiers de services TIC qui remplissent tous les sous-critères «étape 1» visés au point a) à une évaluation à l’aune des sous-critères «étape 2» définis à l’article 2, paragraphe 5, à l’article 3, paragraphe 4, à l’article 4, paragraphe 1, et à l’article 5, paragraphe 5. Par dérogation au premier alinéa, pour l’évaluation du critère c) de l’article 31, paragraphe 2, du règlement (UE) 2022/2554, la première étape est couverte par l’évaluation à effectuer pour les critères a), b) et d) de l’article 31, paragraphe 2, du règlement (UE) 2022/2554.

2 Après la fin du délai de remise d’une déclaration motivée en vertu de l’article 31, paragraphe 5, premier alinéa, du règlement (UE) 2022/2554, les AES, par l’intermédiaire du comité mixte, et sur recommandation du forum de supervision, désignent comme critique pour les entités financières tout prestataire tiers de services TIC qui remplit tous les sous-critères «étape 1» visés au paragraphe 1, point a), et pour lequel l’évaluation réalisée à l’aune des sous-critères «étape 2» visés au paragraphe 1, point b), a donné un résultat positif.

1 Lorsqu’elles appliquent le critère visé à l’article 31, paragraphe 2, point a), du règlement (UE) 2022/2554, les AES évaluent si le prestataire tiers de services TIC remplit les sous-critères «étape 1» suivants: a) sous-critère 1.1: sur le nombre d’entités financières de chacune des catégories d’entités financières visées à l’article 2, paragraphe 1, du règlement (UE) 2022/2554, la part que représentent les entités auxquelles ce même prestataire tiers fournit des services TIC qui soutiennent des fonctions critiques ou importantes; b) sous-critère 1.2: sur la valeur totale des actifs des entités financières de chacune des catégories d’entités financières visées à l’article 2, paragraphe 1, du règlement (UE) 2022/2554, la part que représente la valeur totale des actifs des entités financières auxquelles ce même prestataire tiers fournit des services TIC qui soutiennent des fonctions critiques ou importantes de ces entités.

2 Le sous-critère 1.1 défini au paragraphe 1, point a), est calculé comme suit: nombre d’entités financières de la catégorie d’entités financières concernée visée à l’article 2,paragraphe 1,du règlement (UE) 2022/2554 auxquelles ce même prestataire tiers fournit des services TIC à l'appui de fonctions critiques ou importantes de ces entités financières nombre d’entités financières de la catégorie d’entités financières concernée visée à l’article 2,paragraphe 1,du règlement (UE) 2022/2554

3 Le sous-critère 1.2 défini au paragraphe 1, point b), est calculé comme suit: valeur totale des actifs des entités financières de la catégorie d’entités financières concernée visée à l’article 2,paragraphe 1,du règlement (UE) 2022/2554 auxquelles ce même prestataire tiers fournit des services TIC à l'appui de fonctions critiques ou importantes de ces entités financières valeur totale des actifs de toutes les entités financières de l'UE relevant de la même catégorie visée à l’article 2,paragraphe 1,du règlement (UE) 2022/2554

4 Un prestataire tiers de services TIC est considéré comme remplissant les sous-critères «étape 1» visés au paragraphe 1 lorsque pour au moins une des catégories d’entités financières visées à l’article 2, paragraphe 1, du règlement (UE) 2022/2554, les deux parts calculées conformément aux paragraphes 2 et 3 sont égales chacune à au moins 10 % du montant total.

5 Lorsqu’elles appliquent le critère visé à l’article 31, paragraphe 2, point a), du règlement (UE) 2022/2554 et que le prestataire tiers de services TIC remplit les sous-critères «étape 1» visés au paragraphe 1 du présent article, les AES effectuent leur évaluation à l’aune des sous-critères «étape 2» suivants: a) sous-critère 1.3: l’intensité de l’incidence d’une interruption des services TIC de ce prestataire sur les activités et opérations des entités financières identifiées dans le cadre des sous-critères «étape 1» visés au paragraphe 1 du présent article, et le nombre d’entités financières concernées; b) sous-critère 1.4: la dépendance du prestataire tiers critique de services TIC à l’égard de mêmes sous-traitants fournissant des services TIC qui soutiennent des fonctions critiques ou importantes d’entités financières.

1 Lorsqu’elles appliquent le critère visé à l’article 31, paragraphe 2, point b), du règlement (UE) 2022/2554, les AES évaluent si le prestataire tiers de services TIC remplit les sous-critères «étape 1» suivants: a) sous-critère 2.1: nombre d’établissements d’importance systémique mondiale (EISm) et d’autres établissements d’importance systémique (autres EIS) qui sont des établissements de crédit auxquels ce même prestataire tiers fournit des services TIC qui soutiennent des fonctions critiques ou importantes; b) sous-critère 2.2: nombre d’entités financières, autres que des établissements de crédit et autres que les EISm ou autres EIS visés au point a) supra, identifiées comme systémiques par les autorités compétentes visées à l’article 46 du règlement (UE) 2022/2554, auxquelles ce même prestataire tiers fournit des services TIC qui soutiennent des fonctions critiques ou importantes.

2 Un prestataire tiers de services TIC est considéré comme remplissant le sous-critère du paragraphe 1, point a), si les services TIC qu’il fournit sont utilisés: a) soit par au moins un EISm; b) soit par au moins trois autres EIS; c) soit par au moins un autre EIS dont le score d’importance systémique calculé conformément à l’article 131, paragraphe 3, de la directive 2013/36/UE du Parlement européen et du Conseil est supérieur à 3000.

3 Un prestataire tiers de services TIC est considéré comme remplissant le sous-critère du paragraphe 1, point b), si les services TIC qu’il fournit sont utilisés: a) soit par au moins une entité financière visée à l’article 2, paragraphe 1, point g), h), i) ou j), du règlement (UE) 2022/2554, qui est identifiée comme «systémique» par les autorités compétentes; b) soit par au moins trois entités financières, autres que des établissements de crédit ou que des entités financières visées à l’article 2, paragraphe 1, point g), h), i) ou j), du règlement (UE) 2022/2554, qui sont identifiées comme «systémiques» par les autorités compétentes.

4 Lorsqu’elles appliquent le critère visé à l’article 31, paragraphe 2, point b), du règlement (UE) 2022/2554 et que le prestataire tiers de services TIC remplit les sous-critères «étape 1» visés au paragraphe 1 du présent article, les AES effectuent leur évaluation à l’aune du sous-critère «étape 2» suivant: sous-critère 2.3: les EISm ou autres EIS et les autres entités financières inclus dans l’évaluation à l’aune des sous-critères «étape 1» visés au paragraphe 1 du présent article qui dépendent d’un service TIC fourni par ce même prestataire tiers, notamment lorsque ces EISm ou autres EIS fournissent des services d’infrastructure financière à d’autres entités financières, sont interdépendants.

Lorsqu’elles appliquent le critère visé à l’article 31, paragraphe 2, point c), du règlement (UE) 2022/2554, les AES effectuent leur évaluation à l’aune du sous-critère «étape 2» suivant: sous-critère 3.1: le service TIC fourni en définitive par le même prestataire tiers de services TIC à l’appui de fonctions critiques ou importantes d’entités financières est de nature critique pour les activités de ces entités.

1 Lorsqu’elles appliquent le critère visé à l’article 31, paragraphe 2, point d), du règlement (UE) 2022/2554, les AES évaluent si le prestataire tiers de services TIC remplit les sous-critères «étape 1» suivants: a) sous-critère 4.1: sur le nombre total d’entités financières de chacune des catégories d’entités financières visées à l’article 2, paragraphe 1, du règlement (UE) 2022/2554, la part que représentent les entités pour lesquelles il n’existe pas d’autre prestataire tiers de services TIC ayant la capacité requise pour fournir les mêmes services TIC que ceux que le prestataire concerné fournit à l’appui de fonctions critiques ou importantes de ces entités financières; b) sous-critère 4.2: sur le nombre total d’entités financières de chacune des catégories d’entités financières visées à l’article 2, paragraphe 1, du règlement (UE) 2022/2554, la part que représentent les entités pour lesquelles il est extrêmement difficile de se tourner vers un autre prestataire tiers de services TIC pour obtenir un service TIC que le prestataire concerné fournit à l’appui de fonctions critiques ou importantes de ces entités financières.

2 Le sous-critère 4.1 défini au paragraphe 1, point a), est calculé comme suit: nombre d’entités financières de la catégorie d’entités financières concernée visée à l’article 2,paragraphe 1,du règlement (UE) 2022/2554 pour lesquelles il n’existe pas d'autre prestataire tiers de services TIC ayant la capacité requise pour fournir les mêmes services TIC que celui que le prestataire concerné fournit à l'appui de fonctions critiques ou importantes de ces entités financières nombre total d’entités financières de la catégorie d’entités financières concernée visée à l’article 2,paragraphe 1,du règlement (UE) 2022/2554

3 Le sous-critère défini au paragraphe 1, point b), est calculé comme suit: nombre d’entités financières de la catégorie d’entités financières concernée visée à l’article 2,paragraphe 1,du règlement (UE) 2022/2554 pour lesquelles il est extrêmement difficile de se tourner vers un autre prestataire tiers de services TIC pour obtenir ou réintégrer un service TIC que le prestataire concerné fournit à l'appui de fonctions critiques ou importantes de ces entités financières nombre total d’entités financières de l'UE relevant de la catégorie d’entités financières concernée visée à l’article 2,paragraphe 1,du règlement (UE) 2022/2554

4 Un prestataire tiers de services TIC est considéré comme remplissant les deux sous-critères 4.1 et 4.2 dès lors que l’une des conditions suivantes est remplie: a) la part que représente le nombre total d’entités financières visées au paragraphe 1, point a), sur le nombre total d’entités financières d’une catégorie d’entités financières visée à l’article 2, paragraphe 1, du règlement (UE) 2022/2554 est d’au moins 10 %; b) la part que représente le nombre total d’entités financières visées au paragraphe 1, point b), sur le nombre total d’entités financières d’une catégorie d’entités financières visée à l’article 2, paragraphe 1, du règlement (UE) 2022/2554 est d’au moins 10 %.

5 Lorsqu’elles appliquent le critère visé à l’article 31, paragraphe 2, point d), du règlement (UE) 2022/2554 et que le prestataire tiers de services TIC remplit les sous-critères «étape 1» visés au paragraphe 1 du présent article, les AES effectuent leur évaluation à l’aune du sous-critère «étape 2» défini à l’article 31, paragraphe 2, point d) i) du règlement (UE) 2022/2554.

1 Pour évaluer si les sous-critères énumérés aux articles 2 à 5 sont remplis, les AES utilisent les données fournies par les registres d’informations prévus par l’article 28, paragraphe 3, du règlement (UE) 2022/2554. Les AES peuvent aussi utiliser, pour l’évaluation de la criticité, des données supplémentaires dont elles disposent et qui proviennent de toute source d’information.

2 Les AES se basent sur les données les plus récentes dont elles disposent durant l’année d’évaluation ou, le cas échéant, sur les données mises à leur disposition au plus tard le 31 décembre de l’année précédant l’évaluation de la criticité.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. Toutefois, le superviseur principal applique le sous-critère 1.4 visé à l’article 2, paragraphe 5, point b), à partir du 16 Janvier 2025.