Delegierte Verordnung (EU) 2025/420 der Kommission vom 16. Dezember 2024 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Kriterien für die Festlegung der Zusammensetzung des gemeinsamen Untersuchungsteams, bei der eine ausgewogene Beteiligung der Mitarbeiter der ESA und der jeweils zuständigen Behörden sicherzustellen ist, sowie ihrer Benennung, Aufgaben und Arbeitsvereinbarungen

1 Die Mitglieder des gemeinsamen Untersuchungsteams nehmen ihre Aufgaben unter der Koordinierung des Koordinators der federführenden Überwachungsbehörde wahr. Diese Aufgaben umfassen die laufende Unterstützung der von der federführenden Überwachungsbehörde durchgeführten Tätigkeiten und die Ausführung besonderer Aufgaben. Zu diesen Aufgaben gehören: a) die federführende Überwachungsbehörde bei der Vorbereitung und Erstellung des in Artikel 33 Absatz 4 der Verordnung (EU) 2022/2554 genannten individuellen jährlichen Überwachungsplans zu unterstützen; b) die federführende Überwachungsbehörde bei der Durchführung der in Artikel 33 Absatz 2 der Verordnung (EU) 2022/2554 genannten Bewertung zu unterstützen; c) die Informationen zu bewerten, die die federführende Überwachungsbehörde von dem kritischen IKT-Drittdienstleister gemäß Artikel 37 der Verordnung (EU) 2022/2554 und Kapitel II der Delegierten Verordnung (EU) 2025/295 der Kommission erhalten hat; d) allgemeine Untersuchungen zu den in Artikel 38 der Verordnung (EU) 2022/2554 genannten kritischen IKT-Drittdienstleistern durchzuführen; e) die in Artikel 39 Absatz 1 der Verordnung (EU) 2022/2554 genannten Inspektionen durchzuführen; f) die in Artikel 35 Absatz 1 Buchstabe d der Verordnung (EU) 2022/2554 genannten Empfehlungen auszuarbeiten; g) den Plan mit Abhilfemaßnahmen und die Fortschrittsberichte nach Artikel 4 der Delegierten Verordnung (EU) 2025/295 zu bewerten; h) die in Artikel 35 Absatz 6, Artikel 37 Absatz 1, Artikel 38 Absatz 4 und Artikel 39 Absatz 6 der Verordnung (EU) 2022/2554 genannten Ersuchen und Beschlüsse vorzubereiten und auszuarbeiten; i) die federführende Überwachungsbehörde bei ihrem Beitrag zu horizontalen Überwachungstätigkeiten, einschließlich bei der Ausarbeitung der in Artikel 32 Absatz 3 der Verordnung (EU) 2022/2554 genannten umfassenden Referenzwerte, zu unterstützen; j) sicherzustellen, dass die einschlägigen Informationen über Finanzunternehmen, die die von kritischen IKT-Drittdienstleistern erbrachten Dienstleistungen in Anspruch nehmen, an die federführende Überwachungsbehörde weitergegeben werden; k) die federführende Überwachungsbehörde bei ungeplanten Ad-hoc-Tätigkeiten zu unterstützen, die von der federführenden Überwachungsbehörde für die Zwecke der Überwachung für notwendig erachtet werden.

2 Wenn die federführende Überwachungsbehörde den individuellen jährlichen Überwachungsplan im Laufe des Jahres erheblich überarbeitet, bezieht sie die Mitglieder des gemeinsamen Untersuchungsteams in die Durchführung des individuellen jährlichen Überwachungsplans und in dessen Überarbeitung mit ein.

1 Nach der ersten Einstufung eines IKT-Drittdienstleisters als kritisch gemäß Artikel 31 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 richtet die federführende Überwachungsbehörde im Einvernehmen mit dem in Artikel 34 Absatz 1 der Verordnung (EU) 2022/2554 genannten gemeinsamen Überwachungsnetz das gemeinsame Untersuchungsteam ein, das für die Durchführung der Überwachungstätigkeiten in Bezug auf diesen kritischen IKT-Drittdienstleister zuständig ist.

2 Bei wesentlichen Änderungen im Hinblick auf die Situation des kritischen IKT-Drittdienstleisters kann die federführende Überwachungsbehörde im Einvernehmen mit dem gemeinsamen Überwachungsnetz die Zusammensetzung des gemeinsamen Untersuchungsteams, das für die Überwachungstätigkeiten in Bezug auf diesen kritischen IKT-Drittdienstleister zuständig ist, aktualisieren. Zu diesem Zweck beziehen sich wesentliche Änderungen im Hinblick auf den kritischen IKT-Drittdienstleister auf Folgendes: a) die von dem kritischen IKT-Drittdienstleister erbrachten Dienstleistungen; b) die Tätigkeiten von Finanzunternehmen, die durch IKT-Dienstleistungen des kritischen IKT-Drittdienstleisters unterstützt werden; c) die in Artikel 31 Absatz 9 der Verordnung (EU) 2022/2554 genannte Liste kritischer IKT-Drittdienstleister auf Unionsebene.

3 Die in Artikel 40 Absatz 2 der Verordnung (EU) 2022/2554 genannten Behörden benennen aus ihrem Personal eine oder mehrere Personen, die zu Mitgliedern des gemeinsamen Untersuchungsteams ernannt werden. Eine Person kann als Mitglied eines oder mehrerer gemeinsamer Untersuchungsteams benannt und ernannt werden.

4 Die federführende Überwachungsbehörde ernennt die zu Mitgliedern des gemeinsamen Untersuchungsteams benannten Personen je nach ihrer Verfügbarkeit, den spezifischen Bedürfnissen der federführenden Überwachungsbehörde und der Vereinbarung zwischen der benennenden Behörde und der federführenden Überwachungsbehörde entweder auf Vollzeit- oder Teilzeitbasis.

5 Bei der Benennung der Mitglieder der gemeinsamen Untersuchungsteams bewerten die in Artikel 40 Absatz 2 der Verordnung (EU) 2022/2554 genannten Behörden ihr technisches Fachwissen, ihre Qualifikationen und Kompetenzen im Bereich IKT und einschlägigen Bereichen, einschließlich Kommunikations- und Kooperationsfähigkeiten, sowie ihre Audit- und Aufsichtsfähigkeiten.

6 Die federführende Überwachungsbehörde kann von den benennenden Behörden nur in begründeten Fällen und nur dann verlangen, dass sie ihre Benennungen ändern, wenn die Profile der benannten Personen nicht dem Profil der benötigten Ressourcen entsprechen.

7 Die federführende Überwachungsbehörde und die Behörden ergreifen alle geeigneten und möglichen Maßnahmen, um sicherzustellen, dass das gemeinsame Untersuchungsteam entsprechend dem jährlichen individuellen Überwachungsplan angemessen besetzt ist.

1 Die federführende Überwachungsbehörde legt die Zahl der Mitglieder des gemeinsamen Untersuchungsteams und dessen Zusammensetzung im Einvernehmen mit dem in Artikel 34 Absatz 1 der Verordnung (EU) 2022/2554 genannten gemeinsamen Überwachungsnetz und in Absprache mit dem in Artikel 32 Absatz 1 dieser Verordnung genannten Überwachungsforum fest.

2 Die federführende Überwachungsbehörde legt diese Zahl im Rahmen des Prozesses zur Einrichtung des gemeinsamen Untersuchungsteams und gemäß dem Bedarf im Laufe der Zeit fest, wobei Folgendes berücksichtigt wird: a) die Aufgaben, die in den individuellen jährlichen Überwachungsplänen für jeden vom gemeinsamen Untersuchungsteam überwachten kritischen IKT-Drittdienstleister jeweils enthalten sind; b) die strategischen Ziele des mehrjährigen Überwachungsplans, der für alle kritischen IKT-Drittdienstleister erstellt wird, die von allen gemeinsamen Untersuchungsteams überwacht werden.

3 Bei der Festlegung der Zahl und der Zusammensetzung der Mitglieder des gemeinsamen Untersuchungsteams berücksichtigt die federführende Überwachungsbehörde mindestens alle folgenden Aspekte: a) die geplante Intensität der Überwachungstätigkeiten, die in Bezug auf alle kritischen IKT-Drittanbieter durchzuführen sind; b) die Größe und Komplexität des IKT-Drittdienstleisters, der vom gemeinsamen Untersuchungsteam und von den ESA als federführende Überwachungsbehörden überwacht wird; c) den spezifischen, von der federführenden Überwachungsbehörde ermittelten individuellen Überwachungsbedarf für den spezifischen kritischen IKT-Drittdienstleister; d) die Stabilität der Zusammensetzung des gemeinsamen Untersuchungsteams, damit ein ordnungsgemäßer Wissenserhalt gewährleistet ist; e) die für die Ausführung der Aufgaben durch das gemeinsame Untersuchungsteam erforderlichen Kompetenzen unter Berücksichtigung der Anforderungen an technische und nichttechnische IKT-Kenntnisse; f) die Mitgliedstaaten, in denen der kritische IKT-Drittdienstleister IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen der Finanzunternehmen erbringt, und die zuständigen Behörden, die die Finanzunternehmen beaufsichtigen, die diese Dienstleistungen in Anspruch nehmen; g) die verschiedenen Arten sowie Größe und Anzahl der Finanzunternehmen, für die der kritische IKT-Drittdienstleister IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen erbringt; h) die zuständigen Behörden, die die Finanzunternehmen beaufsichtigen, die am stärksten von den IKT-Dienstleistungen der kritischen IKT-Drittdienstleister abhängig sind; i) eine verhältnismäßige sektorübergreifende Vertretung der benennenden Behörden des gemeinsamen Untersuchungsteams.

4 Bei der Benennung von Mitgliedern des gemeinsamen Untersuchungsteams berücksichtigen die in Artikel 40 Absatz 2 der Verordnung (EU) 2022/2554 genannten Behörden mindestens Absatz 3 Buchstaben c, d, e, g und h.

Die federführende Überwachungsbehörde bewertet in regelmäßigen Abständen oder bei Änderungen der federführenden Überwachungsbehörde oder bei wesentlichen Änderungen gemäß Artikel 2 Absatz 2 nach Absprache mit den Mitgliedern des gemeinsamen Untersuchungsteams die Ergebnisse der Mitglieder des gemeinsamen Untersuchungsteams. Sowohl die benennenden Behörden als auch die federführende Überwachungsbehörde verwenden die Ergebnisse dieser Bewertung, um zu entscheiden, ob eine Änderung der Mitgliedschaft im gemeinsamen Untersuchungsteam angemessen ist.

1 Die Mitglieder des gemeinsamen Untersuchungsteams nehmen ihre im individuellen jährlichen Überwachungsplan festgelegten Aufgaben mit der gebotenen Sachkenntnis, Sorgfalt und Gewissenhaftigkeit, unvoreingenommen und im Einklang mit den Anweisungen des Koordinators der federführenden Überwachungsbehörde nach Artikel 40 Absatz 2 Unterabsatz 2 der Verordnung (EU) 2022/2554 wahr.

2 Bei der Wahrnehmung von Überwachungsaufgaben befolgen die Mitglieder des gemeinsamen Untersuchungsteams die von den Europäischen Aufsichtsbehörden gemeinsam ausgearbeiteten Überwachungsverfahren in Bezug auf die Durchführung der Überwachungstätigkeiten und alle einschlägigen operativen Bereiche, einschließlich Spezifikationen für den Einsatz von IT-Tools und -Ausrüstung und das Zeitmanagement.

3 Die Mitglieder des gemeinsamen Untersuchungsteams befolgen die Spezifikationen und Anweisungen des Koordinators der federführenden Überwachungsbehörde nach Artikel 40 Absatz 2 Unterabsatz 2 der Verordnung (EU) 2022/2554 zum Umgang mit Informationen und Daten und halten die Vertraulichkeitsregelungen der Europäischen Aufsichtsbehörden ein.

4 Die federführende Überwachungsbehörde und die benennenden Behörden treffen Vereinbarungen zur Umsetzung der in dieser Verordnung festgelegten Anforderungen, einschließlich Vereinbarungen über die aufgewendete Zeit und die geschätzten Kosten im Zusammenhang mit den Überwachungstätigkeiten des gemeinsamen Untersuchungsteams, Schulungen sowie soweit erforderlich ethische und verhaltensbezogene Erwägungen in Bezug auf die Rolle der Mitglieder des gemeinsamen Untersuchungsteams.

5 Die federführende Überwachungsbehörde und die benennenden Behörden stellen sicher, dass die in Absatz 4 genannten Vereinbarungen rechtzeitig umgesetzt, überprüft und auf dem neuesten Stand gehalten werden.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.