text: As indicated in the peer review report (

text: ) the peer review covered the supervision of crossborder activities of investment firms and credit institutions targeting retail clients, under the freedom to provide investment services in accordance with Article 34 of MiFID II.

text: OJ L 331, 15.12.2010, p. 84. 3 OJ L 173, 12.06.2014, p. 349. OJ L 176, 27.6.2013, p. 1.

text: of 28 January 2021, which is annexed in the Peer review report.

text: ‘Home Member State’ means the Member State in which the investment firm’s head / registered office is situated. i.e., not including support staff. 8 considering that almost the totality of firms supervised by CySEC at the time of this peer review has notified to CySEC a passport to operate cross-border.

text: Considering the total number of the following types of complaints: (i) complaints received by CySEC from host NCAs; (ii) complaints received by CySEC from stakeholders (e.g. clients, investors associations, financial ombudsman etc.) other than host NCAs; and (iii) complaints received directly by supervised firms.

amnesord:
Guidelines and Technical standards
Supervisory convergence

sprak: en

title: Recommendations to the Cyprus Securities and Exchange Commission on the supervision of cross-border activities of investment firms

text: To the Cyprus Securities and Exchange Commission on the supervision of cross-border activities of investment firms

text: 10 March 2022 -

text: I. Scope

text: Who?

text: 1. These recommendations apply to one competent authority, the Cyprus Securities and Exchange Commission (CySEC). What?

text: 2. These recommendations apply in relation to the supervision of the cross-border activities targeting retail clients carried out by firms under the freedom to provide investment services and activities in accordance with Article 34 of MiFID II. When?

text: 3. These recommendations apply from two months of the date of publication of the recommendations on ESMA’s website.

text: II. Legislative references, abbreviations and definitions

text: Legislative references

text: ESMA Regulation

text: Regulation (EU) No 1095/2010

text: of the European Parliament and of the Council of 24 November 2010 establishing a European Supervisory Authority (European Securities and Markets Authority), amending Decision No

text: and repealing

text: Commission Decision 2009/77/EC

text: MiFID II Directive

text: of the European Parliament and of the Council of 15 May 2014 on markets in financial instruments and amending Directive

text: and Directive

text: CRR

text: Regulation (EU) No 575/2013

text: of the European Parliament and of the Council of 26 June 2013 on prudential requirements for credit institutions and investment firms and amending

text: Regulation (EU) No 648/2012

text: Abbreviations

text: CySEC Cyprus Securities and Exchange Commission

text: ESMA European Securities and Markets Authority

text: EU European Union

text: NCA National Competent Authority

text: Definitions

text: firms investment firms (as defined in

text: Article 4(1)

text: (1) of MiFID II) and credit institutions (as defined in

text: Article 4(1)

text: (1) of the CRR) when providing investment services and activities under the freedom to provide investment services in accordance with Article 34 of MiFID II

text: peer-reviewed activities cross-border activities targeting retail clients carried out by firms under the freedom to provide investment services and activities in accordance with Article 34 of MiFID II

text: III. Purpose

text: 4. These recommendations are based on Article 16(1) of the ESMA Regulation and are issued in accordance with Article 30(4) of the ESMA Regulation. The objectives of these recommendations are to establish consistent, efficient and effective supervisory practices within the European System of Financial Supervision.

text: 5. The recommendations follow the supervisory expectations laid out in the mandate of the peer review on supervision of cross-border activities of investment firms . The recommendations take into account the results of that peer review and the report prepared by the independent ad hoc peer review committee established to carry out the peer review in accordance with Article 30(3) of the ESMA Regulation. Given the above, ESMA considered it was not appropriate to hold a public consultation or to seek advice from the Securities and Markets Stakeholder Group.

text: 6. The recommendations refer to several aspects of the supervisory cycle, encompassing ongoing supervision, investigations and enforcement / sanctioning. The aim of these recommendations is to ensure that CySEC puts in place a fit-for-purpose organisational framework to monitor, promote and enforce compliance by authorised firms. This should help prevent illegal and harmful behaviour by the authorised firms providing the peer-reviewed activities in other Member States and put infringements to an end effectively, as well as promote sustainably compliant behaviours. Conducting effective ongoing supervision of cross-border activities is key to achieving an adequate level of investor protection and to the well-functioning of the single market.

text: IV. Compliance and reporting obligations

text: Status of the recommendations

text: 8. CySEC should comply by incorporating these recommendations into its national legal and/or supervisory frameworks as appropriate. Reporting requirements

text: 9. Within two months of the date of publication of the recommendations on ESMA’s website, CySEC must notify ESMA whether it (i) complies, (ii) does not comply, but intends to comply, or (iii) does not comply and does not intend to comply with the recommendations.

text: 10. In case of non-compliance, CySEC must also notify ESMA within two months of the date of publication of the recommendations on ESMA’s website of their reasons for not complying with the recommendations.

text: V. Recommendations on supervision of cross-border activities of investment firms

text: 11. Effective supervision by NCAs of entities providing investment services and activities on a cross-border basis is of key importance to ensure that clients, especially retail, are given the adequate level of protection regardless of the jurisdiction of origin of the entities offering these services and activities.

text: 12. Under the freedom to provide services referred to in Article 34 of MiFID II, the supervision of cross-border activities of investment firms and credit institutions rests with the NCA of the home Member State . V.I. Arrangements to carry out ongoing supervisory activities

text: 13. In light of the issues observed in the peer review, CySEC should increase the resources directly dedicated to the entire supervisory cycle (authorisations, ongoing supervision and enforcement) of the peer-reviewed activities, to be closer to the average ratio of supervisory FTEs per supervised firms observed in the referenced peer review. This means that CySEC should enlarge its supervisory teams with around 30-40 new members.

text: 14. Since firms can still provide activities while new supervisory resources are recruited, CySEC should endeavour to conclude the resources increase in a reasonable amount of time and implement interim solutions, including by considering the possibility to temporarily use staff from other non-strategic or less risky areas to strengthen this key area of CySEC supervision.

text: 15. This recommendation is made in accordance with Article 16 of the ESMA Regulation. For the purpose of this, CySEC should provide to ESMA a plan to implement the recommendation, including the timeline for the gradual recruitment of resources and the interim solution identified. V.II. Carrying out of day-to-day supervision

text: 16. CySEC should put in place a revised annual supervisory plan, spanning ongoing supervision, investigations and – as applicable – enforcement, to increase the supervisory work performed on firms providing the peer-reviewed activities and aiming to improve the effectiveness of CySEC’s supervision in addressing supervisory risks at an earlier stage and responding more forcefully to problems identified. In particular, this supervisory plan should lay down a concrete strategy on firms’ peer-reviewed activities aimed at ensuring (i) intense supervision of all High and Medium-High risk firms carrying out those activities, as classified by CySEC; and (ii) sustainably compliant behaviour by the firms, with an increased focus on those firms perceived as particularly problematic, which could, where necessary, involve removing the authorisation of firms exhibiting aggressive behaviours.

text: 17. The outcome of such a plan should result in taking or requesting, in a timely way, actions commensurate to the nature and scale of risks, problems and shortcomings identified, to effectively prevent, mitigate or bring them to an end (including by taking measures - vis-à-vis firms and individuals - whose severity takes into account the repetition or continuation over time as aggravating factors).

text: 18. The effectiveness of such a plan should be assessed over time against, inter alia, the following indicators in relation to firms’ peer-reviewed activities: (i) the number of complaints is significantly reduced; (ii) the number of requests received from host NCAs is significantly reduced; (iii) measures are taken taking into account the repetition or continuation over time as aggravating factors; (iv) remedial actions required from firms are effectively overseen by CySEC, not only based on observations from the firm’s internal or external auditor, but also based on own observations (e.g. review of revised firms’ files and agreements with third parties/clients, actual samples, follow-up on-site visits).

text: 19. This recommendation is made in accordance with Article 16 of the ESMA Regulation. For the purpose of this, CySEC should provide to ESMA a plan to implement the recommendation and periodic statistics on the above indicators.


text: ESMA – ORDINARIE ANVÄNDNING

text: ESMA – ORDINARIE ANVÄNDNING

text: Från och med den 1 januari 2022 bör hänvisningen till artiklarna 64.4, 65.5 och 66.3 i Mifid II tolkas som en hänvisning till

text: artiklarna 27

text: g.4, 27h.5 och 27i.3 i Mifir. 2 EUT L 331, 15.12.2010, s. 84.

text: ESMA – ORDINARIE ANVÄNDNING

text: EUT L 174, 1.7.2011, s. 1. 4 EUT L 83, 22.3.2013, s. 1. EUT L 302, 17.11.2009, s. 32. 6 EUT L 176, 10.7.2010, s. 42. 7 EUT L 78, 24.3.2016, s. 11. 8 EUT L 201, 27.7.2012, s. 1. 9 EUT L 337, 23.12.2015, s. 1. 10 EUT L 52, 23.2.2013, s. 41.

text: ESMA – ORDINARIE ANVÄNDNING

text: EUT L 52, 23.2.2013, s. 25. 12 EUT L 81, 22.3.2019, s. 45. 13 EUT L 173, 12.6.2014, s. 349. 14 EUT L 173, 12.6.2014, s. 84. 15 EUT L 87, 31.3.2017, s. 1. 16 EUT L 87, 31.3.2017, s. 350.

text: ESMA – ORDINARIE ANVÄNDNING

text: EUT L 87, 31.3.2017, s. 126. 18 EUT L 257, 28.8.2014, s. 1. 19 EUT L 65, 10.3.2017, s. 48. 20 EUT L 302, 17.11.2009, s. 1. 21 EUT L 140, 30.5.2012, s. 32. 22 EUT L 347, 28.12.2017, s. 35. 23 EUT L 171, 29.6.2016, s. 1.

text: ESMA – ORDINARIE ANVÄNDNING

text: EUT L 274, 5.11.2018, s. 43. 25 EUT L 119, 4.5.2016, s. 1. 26 Datormoln förkortas ofta ”moln”. Termen ”moln” används genomgående i resten av dokumentet för att underlätta hänvisningar.

text: ESMA – ORDINARIE ANVÄNDNING

text: En modell för molnanvändning där molntjänster uteslutande är till för och delas av en viss grupp molntjänstkunder som har gemensamma krav och ett förhållande till varandra, och där resurserna kontrolleras av minst en medlem i denna grupp. 28 En modell för molnanvändning som bygger på en kombination av minst två olika modeller för molnanvändning. 29 En modell för molnanvändning där molntjänsterna uteslutande används av en enda molntjänstkund och där resurserna kontrolleras av den molntjänstkunden. 30 En modell för molnanvändning där molntjänster kan vara tillgängliga för alla molntjänstkunder och där resurserna kontrolleras av molntjänstleverantören.

text: ESMA – ORDINARIE ANVÄNDNING

text: Från och med den 1 januari 2022 bör hänvisningen till denna bestämmelse läsas som en hänvisning till led 36a i artikel 2.1 i Mifir.

text: ESMA – ORDINARIE ANVÄNDNING

text: ESMA – ORDINARIE ANVÄNDNING

text: För värdepappersföretag och kreditinstitut, se Esmas och EBA:s gemensamma riktlinjer för lämplighetsbedömningar av ledamöter i ledningsorganet och personer som innehar nyckelfunktioner enligt direktiv

text: och direktiv

text: ESMA – ORDINARIE ANVÄNDNING

text: ESMA – ORDINARIE ANVÄNDNING

text: ESMA – ORDINARIE ANVÄNDNING

text: ESMA – ORDINARIE ANVÄNDNING

text: ESMA – ORDINARIE ANVÄNDNING

text: ESMA – ORDINARIE ANVÄNDNING

text: ESMA – ORDINARIE ANVÄNDNING

text: ESMA – ORDINARIE ANVÄNDNING

text: ESMA – ORDINARIE ANVÄNDNING

text: ESMA – ORDINARIE ANVÄNDNING

publisher: Europeiska värdepappers- och marknadsmyndigheten

sprak: sv

title: Guidelines On outsourcing to cloud service providers

serie: riktlinjer

text: Riktlinjer

type: rubrik

text: för utkontraktering till molntjänstleverantörer

text: 10/05/2021 |

text: SV

type: stycke

text: I. Tillämpningsområde

text: Mottagare

text: 1. Dessa riktlinjer är relevanta för behöriga myndigheter och avsedda för finansinstitut, vilket i den mening som avses i dessa riktlinjer omfattar i) förvaltare av alternativa investeringsfonder (AIF-förvaltare) och förvaringsinstitut för alternativa investeringsfonder (AIF-fonder), ii) företag för kollektiva investeringar i överlåtbara värdepapper (fondföretag), fondföretags förvaltningsbolag och förvaringsinstitut samt investeringsbolag som inte har utsett ett förvaltningsbolag som auktoriserats i enlighet med fondföretagsdirektivet, iii) centrala motparter inklusive centrala motparter från tredjeland som uppfyller tillämpliga krav i Emir, iv) transaktionsregister, v) värdepappersföretag och kreditinstitut för investeringstjänster och investeringsverksamhet, leverantörer av datarapporteringstjänster och handelsplatsers marknadsoperatörer, vi) värdepapperscentraler, vii) kreditvärderingsinstitut, viii) värdepapperiseringsregister och ix) administratörer av kritiska referensvärden.

text: 2. Esma kommer också att beakta dessa riktlinjer när den bedömer i vilken utsträckning en central motpart från tredjeland uppfyller de tillämpliga kraven i Emir genom att uppfylla jämförbara krav i tredjelandet i enlighet med artikel 25.2b a i Emir. Tillämpningsområde

text: 3. Dessa riktlinjer avser följande bestämmelser: a) Artiklarna 15, 18, 20 och 21.8 i direktivet om AIF-förvaltare; artiklarna 13, 22, 38, 39, 40, 44, 45, 57.1 d, 57.2, 57.3, 58, 75, 76, 77, 79, 81, 82 och 98 i kommissionens delegerade förordning

text: (EU) nr 231/2013

text: . b) Artiklarna

text: 12.1 a

text: 14.1 c

text: a, 23.2, 30 och 31 i fondföretagsdirektivet;

text: artiklarna 4.1

text: till 4.3, 4.5, 5.2, 7, 9, 23.4, 32, 38, 39 och 40 i

text: kommissionens direktiv 2010/43/EU

text: ; artiklarna 2.2 j, 3.1, 13.2, 15, 16 och 22 i kommissionens delegerade förordning

text: (EU) 2016/438

text: . c) Artiklarna 25, 26.1, 26.3, 26.6, 34, 35 och 78–81 i Emir; artiklarna

text: och

text: i förordningen om transparens i transaktioner för värdepappersfinansiering; artiklarna 3.1 f, 3.2, 4, 7.2 d och f, 9 och 17 i kommissionens delegerade förordning

text: (EU) nr 153/2013

text: ; artiklarna 16 och 21 i kommissionens delegerade förordning

text: (EU) nr 150/2013

text: (EU) 2019/359

text: . 2 d) Artiklarna 16.2, 16.4, 16.5, 18.1, 19.3 a, 47.1 b och c, 48.1, 64.4, 65.5 och 66.31 i Mifid II;

text: artiklarna 21.1

text: till 21.3, 23, 29.5, 30, 31 och 32 i kommissionens delegerade förordning

text: (EU) 2017/565

text: ; artiklarna 6, 15 och 16.6 i kommissionens delegerade förordning

text: (EU) 2017/584

text: ; artiklarna 6, 7, 8 och 9 i kommissionens delegerade förordning

text: (EU) 2017/571

text: . e) Artiklarna 22, 26, 30, 42, 44 och 45 i CSD-förordningen samt artiklarna

text: i, 66, 68, 75, 76, 78 och 80 i kommissionens delegerade förordning

text: (EU) 2017/392

text: . f)

text: Artikel 9

text: och bilaga I avsnitt A punkterna 4 och 8 samt punkt 17 i bilaga II till förordningen om kreditvärderingsinstitut och artiklarna 11 och 25 i kommissionens delegerade förordning

text: (EU) nr 449/2012

text: . g)

text: Artikel 10.2 i förordningen

text: om värdepapperisering. h) Artiklarna 6.3 och 10 i referensvärdesförordningen och punkt 7 i bilaga I till kommissionens delegerade förordning

text: (EU) 2018/1646

text: . Tillämpningsdatum

text: 4. Dessa riktlinjer gäller från och med den 31 juli 2021 för alla uppdragsavtal om molntjänster som ingås, förnyas eller ändras på eller efter detta datum. Företagen bör se över och ändra befintliga uppdragsavtal om molntjänster för att se till att de tar hänsyn till dessa riktlinjer senast den 31 december 2022. Om granskningen av uppdragsavtal om molntjänster för kritiska eller viktiga funktioner inte är färdig till den 31 december 2022 ska företagen informera behöriga myndigheter om detta, samt om vilka åtgärder som planeras för att fullgöra granskningen eller den eventuella utträdesstrategin.

text: II. Hänvisningar till lagstiftning, förkortningar och definitioner

text: Hänvisningar till lagstiftning

text: Esmaförordningen

text: Europaparlamentets och rådets förordning (EU) nr 1095/2010 av den 24 november 2010

text: om inrättande av en europeisk tillsynsmyndighet (Europeiska värdepappers- och marknadsmyndigheten), om ändring av beslut nr

text: och om upphävande av

text: kommissionens beslut 2009/77/EG

text: Direktivet om AIF-förvaltare

text: Europaparlamentets och rådets direktiv 2011/61/EU av den 8 juni 2011

text: om förvaltare av alternativa investeringsfonder samt om ändring av direktiv

text: och

text: och förordningarna

text: (EG) nr 1060/2009

text: och

text: (EU) nr 1095/2010

text: Kommissionens delegerade Kommissionens delegerade förordning

text: (EU) nr 231/2013

text: förordning

text: (EU) nr 231/2013

text: av den 19 december 2012 om komplettering av

text: Europaparlamentets och rådets direktiv 2011/61/EU

text: vad gäller undantag, allmänna verksamhetsvillkor, förvaringsinstitut, finansiell hävstång, öppenhet och tillsyn Fondföretagsdirektivet

text: Europaparlamentets och rådets direktiv 2009/65/EG av den 13 juli 2009

text: om samordning av lagar och andra författningar som avser företag för kollektiva investeringar i överlåtbara värdepapper (fondföretag) Kommissionens direktiv Kommissionens direktiv

text: av den 1 juli 2010

text: om genomförande av

text: Europaparlamentets och rådets direktiv 2009/65/EG

text: när det gäller organisatoriska krav, intressekonflikter, uppföranderegler, riskhantering och innehållet i avtalet mellan ett förvaringsinstitut och ett förvaltningsbolag Kommissionens delegerade Kommissionens delegerade förordning

text: (EU) 2016/438

text: av förordning

text: (EU) 2016/438

text: den 17 december 2015 om komplettering av

text: vad gäller krav avseende förvaringsinstitut Emir

text: Europaparlamentets och rådets förordning (EU) nr 648/2012 av den 4 juli 2012

text: om OTC-derivat, centrala motparter och transaktionsregister Förordningen om Europaparlamentets och rådets förordning (EU) transparens i transaktioner 2015/2365 av den 25 november 2015 om transparens i för värdepappersfinansiering transaktioner för värdepappersfinansiering och om återanvändning samt om ändring av förordning

text: (EU) nr 648/2012

text: (EU) nr 153/2013

text: förordning

text: (EU) nr 153/2013

text: Europaparlamentets och rådets förordning (EU) nr 648/2012

text: med avseende på tekniska tillsynsstandarder för krav på centrala motparter

text: (EU) nr 150/2013

text: förordning

text: (EU) nr 150/2013

text: om OTC-derivat, centrala motparter och transaktionsregister med avseende på tekniska standarder för tillsyn som anger vilka uppgifter som ska finnas i en ansökan om registrering som transaktionsregister Kommissionens delegerade Kommissionens delegerade förordning

text: (EU) 2019/359

text: av förordning

text: (EU) 2019/359

text: den 13 december 2018 om komplettering av

text: Europaparlamentets och rådets förordning (EU) 2015/2365

text: vad gäller tekniska tillsynsstandarder som specificerar de uppgifter som ska lämnas i ansökningar om registrering och utvidgning av registrering som transaktionsregister Mifid II

text: Europaparlamentets och rådets direktiv 2014/65/EU av den 15 maj 2014

text: om marknader för finansiella instrument och om ändring av direktiv

text: och av direktiv

text: Mifir

text: Europaparlamentets och rådets förordning (EU) nr 600/2014 av den 15 maj 2014

text: om marknader för finansiella instrument och om ändring av förordning

text: (EU) nr 648/2012

text: (EU) 2017/565

text: av förordning

text: (EU) 2017/565

text: den 25 april 2016 om komplettering av

text: Europaparlamentets och rådets direktiv 2014/65/EU

text: vad gäller organisatoriska krav och villkor för verksamheten i värdepappersföretag, och definitioner för tillämpning av det direktivet Kommissionens delegerade Kommissionens delegerade förordning

text: (EU) 2017/584

text: av förordning

text: (EU) 2017/584

text: den 14 juli 2016 om komplettering av

text: avseende tekniska tillsynsstandarder som specificerar organisatoriska krav för handelsplatser Kommissionens delegerade Kommissionens delegerade förordning

text: (EU) 2017/571

text: av förordning

text: (EU) 2017/571

text: den 2 juni 2016 om komplettering av

text: avseende tekniska tillsynsstandarder när det gäller

text: auktorisation, organisatoriska krav och publicering av transaktioner för leverantörer av datarapporteringstjänster CSD-förordningen

text: Europaparlamentets och rådets förordning (EU) nr 909/2014 av den 23 juli 2014

text: om förbättrad värdepappersavveckling i Europeiska unionen och om värdepapperscentraler samt ändring av direktiv

text: och

text: och förordning

text: (EU) nr 236/2012

text: (EU) 2017/392

text: av förordning

text: (EU) 2017/392

text: den 11 november 2016 om komplettering av

text: Europaparlamentets och rådets förordning (EU) nr 909/2014

text: med avseende på tekniska tillsynsstandarder för auktorisationskrav, tillsynskrav och operativa krav för värdepapperscentraler Förordningen om Europaparlamentets och rådets förordning (EG) kreditvärderingsinstitut nr 1060/2009 av den 16 september 2009 om kreditvärderingsinstitut Kommissionens delegerade Kommissionens delegerade förordning

text: (EU) nr 449/2012

text: förordning

text: (EU) nr 449/2012

text: av den 21 mars 2012 om komplettering av

text: Europaparlamentets och rådets förordning (EG) nr 1060/2009

text: med avseende på tekniska tillsynsstandarder för uppgiftslämning vid registrering och certifiering av kreditvärderingsinstitut Förordningen om Europaparlamentets och rådets förordning (EU) värdepapperisering 2017/2402 av den 12 december 2017 om ett allmänt ramverk för värdepapperisering och om inrättande av ett särskilt ramverk för enkel, transparent och standardiserad värdepapperisering samt om ändring av direktiven

text: och

text: och förordningarna

text: (EG) nr 1060/2009

text: och

text: (EU) nr 648/2012

text: Referensvärdesförordningen

text: Europaparlamentets och rådets förordning (EU) 2016/1011 av den 8 juni 2016

text: om index som används som referensvärden för finansiella instrument och finansiella avtal eller för att mäta investeringsfonders resultat, och om ändring av direktiven

text: och

text: och förordning

text: (EU) nr 596/2014

text: (EU) 2018/1646

text: förordning

text: (EU) 2018/1646

text: av den 13 juli 2018 om komplettering av

text: Europaparlamentets och rådets förordning (EU) 2016/1011

text: vad gäller tekniska tillsynsstandarder för den information som ska lämnas i ansökan om auktorisation och i ansökan om registrering Dataskyddsförordningen

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning)

text: Förkortningar

text: Esma Europeiska värdepappers- och marknadsmyndigheten EU Europeiska unionen

text: Definitioner

text: funktion Alla processer, tjänster eller aktiviteter.

text: kritisk eller viktig funktion När ett fel eller en brist i funktionens utförande allvarligt skulle försämra a) ett företags uppfyllande av sina skyldigheter enligt tillämplig lagstiftning, b) ett företags finansiella resultat, eller c) sundheten eller kontinuiteten i ett företags huvudsakliga tjänster och verksamheter.

text: molntjänster Tjänster som tillhandahålls med hjälp av molnbaserade datortjänster.

text: molnbaserade datortjänster En modell som möjliggör nätverkstillgång till ett antal eller moln delade datorresurser (t.ex. servrar, operativsystem, nätverk, programvara, applikationer och lagring) som snabbt kan tillhandahållas och levereras med självbetjäning och administration.

text: molntjänstleverantör En tredje part som tillhandahåller molntjänster inom ramen för ett uppdragsavtal om molntjänster.

text: uppdragsavtal om Alla former av avtal, inbegripet delegeringsavtal, mellan molntjänster (i) ett företag och en molntjänstleverantör genom vilka denna leverantör utför en funktion som annars skulle kunna utföras av företaget självt, eller (ii) ett företag och en tredje part som inte är en molntjänstleverantör, men som har starkt beroende av att en sådan leverantör utför en funktion som annars skulle kunna utföras av företaget självt. I detta fall bör en hänvisning till en ”molntjänstleverantör” i dessa riktlinjer tolkas som en hänvisning till en sådan tredje part.

text: underentreprenad En situation där en molntjänstleverantör överför en utkontrakterad funktion (eller en del av den funktionen) vidare till en annan tjänsteleverantör inom ramen för ett uppdragsavtal.

text: modell för molnanvändning Det sätt på vilket molninfrastruktur kan organiseras för kontroll och användning av dataresurser. Modellerna för 27 28 molnanvändning omfattar gruppmoln , hybridmoln , 29 30 privat moln och offentligt moln .

text: företag a) Förvaltare av alternativa investeringsfonder eller AIF-förvaltare enligt definitionen i

text: artikel 4.1 b i direktivet

text: om AIF-förvaltare och förvaringsinstitut enligt artikel 21.3 i samma direktiv (nedan kallade förvaringsinstitut för alternativa investeringsfonder (AIF-fonder)).

text: b) Förvaltningsbolag enligt definitionen i artikel 2.1 b i fondföretagsdirektivet (nedan kallade förvaltningsbolag för fondföretag) och förvaringsinstitut enligt definitionen i artikel 2.1 a i fondföretagsdirektivet (nedan kallade förvaringsinstitut för fondföretag).

text: c) Centrala motparter enligt definitionen i artikel 2.1 i Emir och centrala motparter från tredjeland i den mening som avses i

text: artikel 25.2

text: a i Emir, vilka uppfyller tillämpliga krav enligt

text: artikel 25.2

text: b a i Emir.

text: d) Transaktionsregister enligt definitionen i artikel 2.2 i Emir och

text: artikel 3.1 i förordningen

text: om transparens i transaktioner för värdepappersfinansiering.

text: e) Värdepappersföretag enligt definitionen i

text: artikel 4.1

text: .1 i Mifid II och kreditinstitut enligt definitionen i

text: artikel 4.1

text: .27 i Mifid II för investeringstjänster och investeringsverksamhet i den mening som avses i

text: artikel 4.1

text: .2 i Mifid II.

text: f) Leverantörer av datarapporteringstjänster enligt definitionen i

text: artikel 4.1

text: .63 i Mifid II .

text: g) Handelsplatsers marknadsoperatörer i den mening som avses i

text: artikel 4.1

text: .24 i Mifid II.

text: h) Värdepapperscentraler enligt definitionen i

text: artikel 2.1

text: .1 i CSD-förordningen.

text: i) Kreditvärderingsinstitut enligt definitionen i

text: artikel 3.1 b i förordningen

text: om kreditvärderingsinstitut.

text: j) Värdepapperiseringsregister enligt definitionen i

text: artikel 2.23 i förordningen

text: om värdepapperisering.

text: k) Administratörer av kritiska referensvärden enligt definitionen i

text: artikel 3.1

text: .25 i referensvärdesförordningen.

text: III. Syfte

text: 5. Dessa riktlinjer utgår från bestämmelserna i artikel 16.1 i Esmaförordningen. Syftet med dessa riktlinjer är att etablera konsekventa, effektiva och ändamålsenliga tillsynsmetoder inom det europeiska systemet för finansiell tillsyn och säkra en gemensam, enhetlig och konsekvent tillämpning av de krav som avses i avsnitt 1.1, för 9 utkontraktering till molntjänstleverantörer. Dessa riktlinjer syftar särskilt till att hjälpa företag och behöriga myndigheter att identifiera, hantera och övervaka de risker och utmaningar som uppstår i samband med uppdragsavtal om molntjänster, från beslut om att lägga ut molntjänster på en leverantör, val av molntjänstleverantör och övervakning av utkontrakterad funktion till utträde ur utkontrakteringen.

text: IV. Efterlevnads- och rapporteringsskyldigheter

text: Riktlinjernas status

text: 6. I enlighet med artikel 16.3 i Esmaförordningen bör de behöriga myndigheterna och företag med alla tillgängliga medel söka följa riktlinjerna.

text: 7. Behöriga myndigheter som berörs av riktlinjerna bör efterleva dem genom att på lämpligt sätt införliva dem i sin praxis (till exempel genom att ändra sitt nationella rättsliga ramverk och/eller sina tillsynsrutiner), även när riktlinjer i första hand riktas till företag. I det fallet bör de behöriga myndigheterna genom sin tillsyn se till att företagen följer riktlinjerna.

text: 8. Genom sin direkta tillsyn kommer Esma att bedöma tillämpningen av dessa riktlinjer av kreditvärderingsinstitut, transaktionsregister, värdepapperiseringsregister, centrala motparter från tredjeland och, från och med den 1 januari 2022, leverantörer av datarapporteringstjänster och administratörer av kritiska referensvärden. Rapporteringskrav

text: 9. Inom två månader efter det att riktlinjerna har offentliggjorts på Esmas webbplats på alla officiella EU-språk bör de behöriga myndigheterna meddela Esma om de i) följer dessa riktlinjer, eller ii) inte följer men avser att följa dessa riktlinjer, eller iii) inte följer och inte avser att följa dessa riktlinjerna.

text: 10. Om riktlinjerna inte följs bör behöriga myndigheter inom två månader efter det att riktlinjerna har offentliggjorts på Esmas webbplats på alla officiella EU-språk meddela Esma om skälen till att de inte följer riktlinjerna. Anmälningar ska lämnas på det formulär som tillhandahålls på Esmas webbplats. Så snart anmälningen har fyllts i ska den översändas till Esma.

text: 11. Företag är inte skyldiga att rapportera huruvida de följer dessa riktlinjer. 10

text: V. Riktlinjer om utkontraktering till molntjänstleverantörer

text: Riktlinje 1. Styrning, tillsyn och dokumentation

text: 12. Ett företag bör ha en fastställd, godkänd och aktuell strategi för uppdragsavtal om molntjänster. Strategin för uppdragsavtal om molntjänster ska stämma överens med företagets relevanta affärsstrategier och strategier för informations- och kommunikationsteknik (IKT), interna riktlinjer och riskhanteringsprocesser, inklusive hantering av IKT, informationssäkerhet och operativa risker.

text: 13. Ett företag bör a) fastställa tydliga ansvarsområden för dokumentation, förvaltning och kontroll av utkontrakteringslösningarna till molntjänstleverantörer inom sin organisation, b) tillse att företagets personal är tillräckligt stor och kompetent för att säkerställa efterlevnaden av dessa riktlinjer och alla rättsliga krav som är tillämpliga på dess utkontrakteringslösningar till molntjänstleverantörer, c) upprätta en funktion för övervakning av utkontrakteringen till molntjänstleverantörer eller utse en medarbetare i högre ställning som är direkt ansvarig inför ledningsorganet och har ansvar för att förvalta och kontrollera riskerna med utkontrakteringslösningar till molntjänstleverantörer. När företagen följer dessa riktlinjer bör de ta hänsyn till verksamhetens art, omfattning och komplexitet, inbegripet i fråga om risker för det finansiella systemet, samt de inneboende riskerna med de utkontrakterade funktionerna, och se till att deras ledningsorgan har relevant teknisk kompetens för att förstå riskerna med utkontrakteringslösningarna till molntjänstleverantörer . Små och mindre komplexa företag bör som minst säkerställa en tydlig uppdelning av uppgifter och ansvar för förvaltningen och kontrollen av utkontrakteringslösningarna till molntjänstleverantörer.

text: 14. Ett företag bör övervaka molntjänstleverantörernas verksamhet, säkerhetsåtgärder och efterlevnad av överenskomna servicenivåer. Denna övervakning bör vara riskbaserad, med huvudfokus på utkontrakteringen av kritiska eller viktiga funktioner.

text: 15. Ett företag bör regelbundet ompröva huruvida dess uppdragsavtal om molntjänster avser en kritisk eller viktig funktion, eller om risken, arten eller omfattningen av en utkontrakterad funktion har ändrats väsentligt.

text: 16. Ett företag bör föra ett uppdaterat register med information om alla sina uppdragsavtal om molntjänster, och skilja mellan utkontraktering av kritiska eller viktiga funktioner och andra uppdragsavtal. När företaget skiljer mellan utkontraktering av kritiska eller viktiga funktioner och andra uppdragsavtal bör det ge en kort sammanfattning av skälen till att den utkontrakterade funktionen är eller inte anses vara kritisk eller viktig. Med hänsyn 11 till nationell lagstiftning bör företaget också föra register över avslutade uppdragsavtal om molntjänster under en lämplig tid.

text: 17. Vid uppdragsavtal om molntjänster för kritiska eller viktiga funktioner bör registret innehålla åtminstone följande information om varje uppdragsavtal: a) Ett referensnummer. b) Startdatum och, efter vad som är tillämpligt, datum för nästa kontraktsförnyelse, slutdatum och/eller uppsägningstider för molntjänstleverantören och för företaget. c) En kort beskrivning av den utkontrakterade funktionen, inklusive de uppgifter som utkontrakteras och huruvida dessa uppgifter inbegriper personuppgifter (t.ex. genom att ange ja eller nej i ett separat datafält). d) Företagets klassificering av typen av utkontrakterad funktion (t.ex. informationsteknisk (it) funktion, kontrollfunktion), i syfte att göra det lättare att identifiera olika typer av uppdragsavtal om molntjänster. e) Huruvida den utkontrakterade funktionen stöder affärsverksamheter som är tidsmässigt kritiska. f) Molntjänstleverantörens namn och eventuella varumärkesnamn, registreringslandet, organisationsnumret, identifieringskoden för juridisk person (när sådan finns), den registrerade adressen och andra relevanta kontaktuppgifter, samt namnet på leverantörens moderföretag (om sådant finns). g) Den lagstiftning som gäller för uppdragsavtalet om molntjänster och, i förekommande fall, valet av jurisdiktion. h) Typ av molntjänster och modeller för molnanvändning, och den särskilda karaktären på uppgifterna som ska lagras och platserna (dvs. länder eller regioner) där sådana uppgifter kommer att lagras. i) Datumet för den senaste bedömningen av om den utkontrakterade funktionen är kritisk eller viktig samt datumet för nästa planerade bedömning. j) Datumet för den senaste riskbedömningen/revisionen av molntjänstleverantören, tillsammans med en kort sammanfattning av de viktigaste resultaten och datum för nästa planerade riskbedömning/revision. k) Det enskilda eller beslutsfattande organ i företaget som godkände uppdragsavtalet om molntjänster. l) I tillämpliga fall namnen på eventuella underentreprenörer som en kritisk eller viktig funktion (eller väsentliga delar av den) vidareutkontrakteras till, däribland de länder där underentreprenörerna är registrerade, var tjänsten kommer att utföras och de platser (dvs. regioner eller länder) där uppgifterna kommer att lagras. m) Den uppskattade årliga budgeterade kostnaden för uppdragsavtalet om molntjänster.

text: 18. När det gäller uppdragsavtal om molntjänster för icke-kritiska eller icke-viktiga funktioner bör företaget fastställa vilken information som bör ingå i registret, beroende på de inneboende riskernas art, omfattning och komplexitet. 12

text: Riktlinje 2. Analys före utkontraktering och företagsutvärdering

text: 19. Innan ett företag ingår ett uppdragsavtal om molntjänster bör det a) bedöma om avtalet avser en kritisk eller viktig funktion, b) identifiera och bedöma alla relevanta risker med utkontrakteringslösningen, c) genomföra lämplig företagsutvärdering av den berörda molntjänstleverantören, d) identifiera och bedöma eventuella intressekonflikter som utkontrakteringen kan medföra.

text: 20. Analysen före utkontraktering och företagsutvärderingen av den berörda molntjänstleverantören bör stå i proportion till den berörda funktionens art, omfattning och komplexitet samt de inneboende riskerna med denna funktion. Den bör åtminstone omfatta en bedömning av utkontrakteringslösningens potentiella effekter på de operativa och juridiska riskerna samt efterlevnads- och ryktesriskerna för företaget.

text: 21. Om utkontrakteringslösningen gäller kritiska eller viktiga funktioner bör företaget också a) bedöma alla relevanta risker som kan uppstå till följd av uppdragsavtalet om molntjänster, inbegripet risker som är förknippade med informations- och kommunikationsteknik, informationssäkerhet, driftskontinuitet, rättsliga krav och regelefterlevnad, ryktesrisker, operativa risker och eventuella tillsynsbegränsningar för företaget som uppstår från: i. den valda molntjänsten och de föreslagna modellerna för molnanvändning, ii. migreringen och/eller genomförandet, iii. känsligheten hos den funktion och de relaterade uppgifter som ska utkontrakteras samt de säkerhetsåtgärder som skulle behöva vidtas, iv. driftskompatibiliteten mellan företagets och molntjänstleverantörens system och applikationer, dvs. deras förmåga att utbyta information och ömsesidigt använda denna information, v. dataportabiliteten för företagets uppgifter, vilket avser förmågan att enkelt överföra företagets uppgifter till en annan molntjänstleverantör eller tillbaka till företaget, vi. den politiska stabiliteten, säkerhetssituationen och rättssystemet (inbegripet de befintliga brottsbekämpningsbestämmelserna, de insolvensrättsliga bestämmelser som skulle gälla om molntjänstleverantören skulle gå i konkurs, gällande lagar om uppgiftsskydd och huruvida villkoren för överföring av personuppgifter till ett tredjeland enligt dataskyddsförordningen är uppfyllda) i de länder (inom eller utanför EU) där de utkontrakterade funktionerna skulle tillhandahållas och där de utkontrakterade uppgifterna skulle lagras, samt, vid underentreprenad, de ytterligare risker som kan uppstå om underleverantören är baserad i ett tredjeland eller ett annat land än molntjänstleverantören och, i händelse av en underentreprenörskedja, eventuella ytterligare risker som kan uppstå, inbegripet i samband med avsaknaden av ett direkt avtal mellan företaget och den underleverantör som utför den utkontrakterade funktionen, vii. företagets övergripande koncentrationsrisk (i tillämpliga fall även på koncernnivå) på grund av att flera uppdragsavtal om molntjänster har 13 ingåtts med samma molntjänstleverantör samt eventuell koncentration inom EU:s finansiella sektor, på grund av att flera företag använder samma molntjänstleverantör eller en liten grupp molntjänstleverantörer. Vid bedömningen av koncentrationsrisken bör företaget beakta alla uppdragsavtal om molntjänster (och, i tillämpliga fall, uppdragsavtal om molntjänster på koncernnivå) med den molntjänstleverantören, b) beakta uppdragsavtalets förväntade fördelar och kostnader, och samtidigt väga större risker som kan begränsas eller hanteras bättre mot de ökade risker som kan uppstå till följd av uppdragsavtalet.

text: 22. Vid utkontraktering av kritiska eller viktiga funktioner bör företagsutvärderingen omfatta en utvärdering av molntjänstleverantörens lämplighet. När företaget bedömer molntjänstleverantörens lämplighet bör det se till att molntjänstleverantören har affärsmässigt rykte, lämpliga och tillräckliga förmågor, expertis, resurser (bl.a. mänskliga, informationstekniska och ekonomiska resurser), organisationsstruktur och, i tillämpliga fall, de lagstadgade auktorisationer eller registreringar som krävs för att utföra den kritiska eller viktiga funktionen på ett tillförlitligt och professionellt sätt så den kan uppfylla sina skyldigheter under den tid uppdragsavtalet om molntjänster gäller. Ytterligare faktorer att ta hänsyn till vid företagsutvärdering av molntjänstleverantören är bland annat a) hanteringen av informationssäkerhet, särskilt skyddet av personuppgifter, konfidentiella uppgifter eller andra känsliga uppgifter, b) servicestödet, däribland stödplaner och kontakter, och rutiner för incidenthantering, och c) kontinuitets- och katastrofplanerna.

text: 23. Om så är lämpligt, och för att underlätta företagsutvärderingen, kan företaget också använda certifieringar baserade på internationella standarder och externa eller interna revisionsrapporter.

text: 24. Om företaget får kännedom om stora brister och/eller betydande förändringar i de tjänster som tillhandahålls eller i molntjänstleverantörens situation bör analysen före utkontrakteringen och företagsutvärderingen av molntjänstleverantören snarast ses över eller göras om.

text: 25. Om företaget ingår ett nytt avtal eller förnyar ett befintligt avtal med en molntjänstleverantör som redan har utvärderats, bör företaget genom en riskbaserad metod fastställa om det krävs en ny företagsutvärdering.

text: Riktlinje 3. Viktiga delar av avtalet

text: 26. Ett företags och dess molntjänstleverantörs rättigheter och skyldigheter bör klart och tydligt anges i ett skriftligt avtal.

text: 27. Det skriftliga avtalet bör uttryckligen ge företaget möjlighet att säga upp det. 14

text: 28. Vid utkontraktering av kritiska eller viktiga funktioner bör det skriftliga avtalet åtminstone innehålla följande: a) En tydlig beskrivning av den utkontrakterade funktionen. b) Startdatum och slutdatum, i tillämpliga fall, för avtalet samt uppsägningstiderna för molntjänstleverantören och företaget. c) Tillämplig lag för avtalet och, i förekommande fall, valet av jurisdiktion. d) Företagets och molntjänstleverantörens finansiella skyldigheter. e) Huruvida underentreprenad är tillåten och, om så är fallet, på vilka villkor, med beaktande av riktlinje 7. f) Platsen/platserna (dvs. regioner eller länder) där den utkontrakterade funktionen kommer att tillhandahållas och där data kommer att behandlas och lagras, samt de villkor som ska vara uppfyllda, inbegripet kravet att företaget ska meddelas om molntjänstleverantören vill ändra platsen eller platserna. g) Bestämmelser om informationssäkerhet och skydd av personuppgifter, med beaktande av riktlinje 4. h) Företagets rätt att regelbundet övervaka molntjänstleverantörens fullgörande av uppdragsavtalet om molntjänster, med beaktande av riktlinje 6. i) De överenskomna servicenivåerna, som bör inkludera exakta kvantitativa och kvalitativa resultatmål för att möjliggöra läglig övervakning så att lämpliga korrigerande åtgärder kan vidtas utan onödigt dröjsmål om de överenskomna servicenivåerna inte nås. j) Molntjänstleverantörens rapporteringsskyldigheter till företaget och, om så är lämpligt, skyldigheterna att lämna in rapporter som är relevanta för företagets säkerhetsfunktion och viktiga funktioner, såsom rapporter från molntjänstleverantörens internrevisionsfunktion. k) Bestämmelser om molntjänstleverantörens hantering av incidenter, inbegripet skyldigheten att utan onödigt dröjsmål rapportera incidenter som har påverkat företagets avtalade tjänster. l) Huruvida molntjänstleverantören bör teckna en obligatorisk försäkring mot vissa risker och, i tillämpliga fall, nivån på det begärda försäkringsskyddet. m) Kraven att molntjänstleverantören ska införa och testa kontinuitets- och katastrofplaner. n) Kravet att molntjänstleverantören ska ge företaget, behöriga myndigheter och andra personer som utsetts av företaget eller de behöriga myndigheterna rätt att få tillgång till (nedan kallad rätt till tillträde) och granska (nedan kallad rätt till revision) molntjänstleverantörens relevanta information, lokaler, system och utrustning i den utsträckning det är nödvändigt för att övervaka molntjänstleverantörens resultat enligt överenskommelsen om uppdragsavtal om molntjänster samt säkerställa molntjänstleverantörens efterlevnad av tillämpliga lagstadgade och avtalsenliga krav, med beaktande av riktlinje 6. 15 o) Bestämmelser som säkerställer att de uppgifter som molntjänstleverantören behandlar eller lagrar för företagets räkning vid behov kan nås, hämtas och återlämnas till företaget, med beaktande av riktlinje 5.

text: Riktlinje 4. Informationssäkerhet

text: 29. Ett företag bör fastställa informationssäkerhetskrav i sina interna policyer och rutiner och inom ramen för det skriftliga uppdragsavtalet om molntjänster samt fortlöpande övervaka efterlevnaden av dessa krav, bland annat för att skydda konfidentiella, personliga eller på annat sätt känsliga uppgifter. Dessa krav bör stå i proportion till den berörda funktionens art, omfattning och komplexitet samt de inneboende riskerna med denna funktion.

text: 30. Vid utkontraktering av kritiska eller viktiga funktioner, och utan att det påverkar tillämpningen av dataskyddsförordningens krav, bör ett företag som tillämpar en riskbaserad metod i detta syfte åtminstone a) informationssäkerhetens organisation: se till att uppgifter och ansvarsområden som rör informationssäkerhet tydligt delas upp mellan företaget och molntjänstleverantören, bl.a. när det gäller identifiering av hot, sårbarheter, incidenthantering och säkerhetsuppdateringar, och se till att molntjänstleverantören kan fullgöra sina roller och skyldigheter, b) identitets- och åtkomsthantering: se till att det finns starka autentiseringsmekanismer (t.ex. flerfaktorsautentisering) och åtkomstkontroller för att förhindra obehörig åtkomst till företagets data och grundsystem, c) kryptering och nyckelhantering: se till att relevant krypteringsteknik vid behov används för data som överförs, data i minne, data i vila och säkerhetskopierade data, i kombination med lämpliga nyckelhanteringslösningar för att begränsa risken för obehörig åtkomst till krypteringsnycklar, och företaget bör särskilt överväga att använda den senaste tekniken och metoderna för sin nyckelhanteringslösning, d) drift- och nätsäkerhet: överväga lämpliga nivåer av nättillgänglighet, nätverkssegmentering (t.ex. isolering av användare i molnets gemensamma miljö, operativ separering av webben, applikationslogik, operativsystem, nätverk, databashanterare (DBMS) och lagringsskikt) och olika IKT-miljöer (t.ex. test, utveckling, produktion), e) applikationsprogrammeringsgränssnitt (API): överväga mekanismer för integrering av molntjänsterna med företagets system så att API:er blir säkra (t.ex. genom att införa och följa policyer och rutiner för informationssäkerhet i API:er som omfattar flera systemgränssnitt, jurisdiktioner och affärsfunktioner, för att förhindra att uppgifter röjs, ändras eller förstörs utan tillstånd), f) driftskontinuitet och katastrofberedskap: se till att det finns effektiva kontroller av driftskontinuiteten och katastrofberedskapen (t.ex. genom att fastställa minimikrav på kapacitet, välja geografiskt spridda värdtjänster (hosting), så att man kan växla mellan dem, eller begära och granska dokumentation som visar hur företagets uppgifter överförs i molntjänstleverantörens system, samt överväga möjligheten att kopiera avbilder från virtuella datorer (VMI) till en oberoende lagringsplats som är tillräckligt isolerad från nätverket eller ligger utanför nätverket), 16 g) uppgifternas lokalisering: införa en riskbaserad metod för platser för lagring och hantering av uppgifter (dvs. regioner eller länder), h) efterlevnad och övervakning: kontrollera att molntjänstleverantören uppfyller internationellt erkända standarder för informationssäkerhet och har infört lämpliga kontroller av informationssäkerheten (t.ex. genom att begära att molntjänstleverantören styrker att den utför relevanta kontroller av informationssäkerheten och genom att regelbundet bedöma och testa molntjänstleverantörens informationssäkerhet).

text: Riktlinje 5. Utträdesstrategier

text: 31. Vid utkontraktering av kritiska eller viktiga funktioner bör ett företag se till att det kan säga upp uppdragsavtalet om molntjänster utan onödiga störningar av verksamheten och tjänsterna, och utan att det inverkar ofördelaktigt på dess efterlevnad av tillämplig lagstiftning eller på uppgifternas konfidentialitet, integritet och tillgänglighet. För att uppnå detta bör företaget a) ta fram utträdesplaner som är övergripande, dokumenterade och tillräckligt testade. Dessa planer bör uppdateras vid behov, även vid ändringar av den utkontrakterade funktionen, b) identifiera alternativa lösningar och ta fram övergångsplaner för att flytta den utkontrakterade funktionen och uppgifterna från molntjänstleverantören och, i tillämpliga fall, eventuella underleverantörer, till alternativa molntjänstleverantörer eller återta den utkontrakterade funktionen tillbaka till företaget. Dessa lösningar bör fastställas med hänsyn till de utmaningar som kan uppstå på grund av uppgifternas lokalisering, och nödvändiga åtgärder bör vidtas för att säkerställa driftskontinuitet under övergångsfasen, c) se till att det skriftliga uppdragsavtalet om molntjänster omfattar en skyldighet för molntjänstleverantören att underlätta en ordnad överföring av den utkontrakterade funktionen och den tillhörande databehandlingen från molntjänstleverantören och eventuella underleverantörer till en annan molntjänstleverantör som företaget angett eller direkt till företaget, om företaget aktiverar utträdesstrategin. Skyldigheten att underlätta en ordnad överföring av den utkontrakterade funktionen och den tillhörande databehandlingen bör i förekommande fall inbegripa säker radering av uppgifter från molntjänstleverantörens och eventuella underleverantörers system.

text: 32. När företaget utarbetar utträdesplaner och lösningar som avses i punkter a och b ovan (utträdesstrategin) bör företaget tänka på följande: a) Definiera målsättningarna i utträdesstrategin. b) Definiera de triggerhändelser som kan aktivera utträdesstrategin. Dessa bör åtminstone omfatta företagets eller molntjänstleverantörens uppsägning av uppdragsavtalet om molntjänster samt konkurs eller annat allvarligt upphörande av molntjänstleverantörens affärsverksamhet. 17 c) Utföra en verksamhetsanalys som står i proportion till den utkontrakterade funktionen, för att utröna vilka mänskliga och övriga resurser som krävs för att genomföra utträdesstrategin. d) Tilldela roller och ansvarsområden för hantering av utträdesstrategin. e) Testa utträdesstrategins lämplighet med hjälp av en riskbaserad metod (t.ex. genom att göra en analys av de potentiella kostnaderna, konsekvenserna, resurserna och tidseffekterna av att överföra en utkontrakterad tjänst till en annan leverantör). f) Definiera framgångskriterier för övergången.

text: 33. Företagets fortlöpande övervakning och tillsyn av de tjänster som molntjänstleverantören tillhandahåller inom ramen för uppdragsavtalet om molntjänster bör omfatta indikatorer för triggerhändelser som utlöser utträdesstrategin.

text: Riktlinje 6. Åtkomst- och revisionsrättigheter

text: 34. Ett företag bör se till att det skriftliga uppdragsavtalet om molntjänster inte begränsar företagets och den behöriga myndighetens rätt till inspektion och revision av molntjänstleverantören samt begränsar effektiv tillsyn.

text: 35. När företaget fastställer hur ofta och i vilken omfattning det ska utöva sina åtkomsteller revisionsrättigheter bör företaget beakta huruvida utkontrakteringen avser en kritisk eller viktig operativ funktion, riskernas art och omfattning samt påverkan på företaget genom utkontrakteringslösningar till molntjänster.

text: 36. Om utövande av åtkomst- eller revisionsrättigheter, eller användningen av vissa revisionsmetoder, skapar en risk för molntjänstleverantörens miljö och/eller en annan molntjänstleverantörs kund (t.ex. genom att påverka servicenivåer, uppgifters konfidentialitet, integritets- och tillgångsaspekter), bör molntjänstleverantören ge företaget en tydlig motivering till varför detta skulle skapa en risk och komma överens med företaget om alternativa sätt att uppnå ett liknande resultat (t.ex. genom att särskilda kontroller testas i molntjänstleverantörens rapporter/certifieringar).

text: 37. Utan att det påverkar företagets slutliga ansvar för de verksamheter som utförs av molntjänstleverantörerna kan företaget, i syfte att använda revisionsresurserna på ett effektivare sätt och minska den organisatoriska bördan för molntjänstleverantören och dess kunder, använda a) tredjepartscertifieringar och externa eller interna revisionsrapporter som har gjorts tillgängliga av molntjänstleverantören, b) gemensamma revisioner som utförs tillsammans med andra av molntjänsteleverantörens kunder eller gemensamma revisioner som utförs av en tredje part revisor som utsetts av flera kunder till samma molntjänstleverantör.

text: 38. Vid utkontraktering av kritiska eller viktiga funktioner bör företaget bedöma huruvida de tredjepartscertifieringar och externa eller interna revisionsrapporter som avses i punkt 18 37(a) är adekvata och tillräckliga för att uppfylla deras lagstadgade skyldigheter, och bör med tiden sträva efter att inte enbart förlita sig på dessa certifieringar och rapporter.

text: 39. Vid utkontraktering av kritiska eller viktiga funktioner bör företaget använda sig av de tredjepartscertifieringar och externa eller interna revisionsrapporter som avses i punkt 37(a) endast om företaget a) är helt säkert på att certifieringarna eller revisionsrapporterna avser molntjänstleverantörens viktiga system (t.ex. processer, applikationer, infrastruktur, datacenter), de viktiga kontroller som identifierats av företaget samt efterlevnad av relevanta regleringskrav, b) noggrant och regelbundet bedömer innehållet i certifieringarna eller revisionsrapporterna och kontrollerar att certifieringarna eller rapporterna inte är inaktuella, c) säkerställer att molntjänstleverantörens centrala system och kontroller omfattas av framtida versioner av certifieringar eller revisionsrapporter, d) är tillfreds med den certifierande eller granskande partens lämplighet (t.ex. när det gäller kvalifikationer, sakkunskap, upprepning/verifiering av bevisen i den underliggande revisionsdokumentationen samt rotation av certifierings- eller revisionsföretag), e) är tillfreds med att certifieringarna och revisionerna utförs på grundval av lämpliga standarder och omfattar ett test av den operativa effektiviteten hos de centrala kontroller som har införts, f) har den avtalsmässiga rätten att begära att certifieringarnas eller revisionsrapporternas omfattning utökas till molntjänstleverantörens andra relevanta system och kontroller, antalet sådana begäranden om ändrad omfattning och hur ofta de görs bör vara rimligt och motiverat ur ett riskhanteringsperspektiv, g) behåller den avtalsmässiga rätten att efter eget godtycke utföra enskilda revisioner på plats med avseende på den utkontrakterade funktionen.

text: 40. Innan ett planerat besök på plats äger rum, inbegripet av en tredje part som utsetts av företaget (t.ex. en revisor), bör företaget skäligen meddela detta till molntjänstleverantören, tillräckligt långt i förväg, såvida inte detta är omöjligt på grund av en nöd- eller krissituation eller skulle leda till att revisionen inte längre är ändamålsenlig. Ett sådant meddelande bör omfatta uppgifter om platsen för besöket, syfte samt den personal som kommer att närvara vid besöket.

text: 41. Med tanke på att molntjänster är tekniskt komplexa och medför särskilda jurisdiktionsmässiga utmaningar bör den personal som utför revisionen – dvs. företagets internrevisorer eller revisorer som agerar för dess räkning – ha rätt kompetens och kunskap för att korrekt kunna bedöma de relevanta molntjänsterna och utföra en ändamålsenlig och relevant revision. Detta bör också gälla företagets personal som granskar molntjänstleverantörens certifieringar eller revisionsrapporter. 19

text: Riktlinje 7. Underentreprenad

text: 42. Om underentreprenad tillåts för kritiska eller viktiga funktioner (eller väsentliga delar av dem) bör man i det skriftliga uppdragsavtalet om molntjänster mellan företaget och molntjänstleverantören a) ange vilka delar eller aspekter av den utkontrakterade funktionen som är undantagna från potentiell underentreprenad, b) specificera de villkor som ska efterlevas vid underentreprenad, c) specificera att molntjänstleverantören behåller fullt ansvar och är skyldig att kontrollera de tjänster som den har utkontrakterat, för att säkerställa att alla avtalsförpliktelser mellan molntjänstleverantören och företaget kontinuerligt uppfylls, d) innehålla en skyldighet för molntjänstleverantören att informera företaget om all planerad underentreprenad eller väsentliga ändringar av en sådan, särskilt om detta kan påverka molntjänstleverantörens förmåga att fullgöra sina skyldigheter enligt uppdragsavtalet om molntjänster med företaget. Anmälningsperioden som anges i det skriftliga avtalet bör ge företaget tillräckligt med tid för att åtminstone göra en riskbedömning av den föreslagna underentreprenaden eller väsentliga förändringar av denna samt invända mot förändringarna eller uttryckligen godkänna dem, i enlighet med punkt (e) nedan, e) säkerställa att företaget har rätt att invända mot den planerade underentreprenaden eller väsentliga förändringar av denna, eller att ett uttryckligt godkännande krävs innan den föreslagna underentreprenaden eller de väsentliga ändringarna träder i kraft, f) säkerställa att företaget har avtalsenlig rätt att säga upp uppdragsavtalet om molntjänster med molntjänstleverantören om det invänder mot den föreslagna underentreprenaden eller väsentliga förändringar av denna samt vid otillbörlig underentreprenad (t.ex. om molntjänstleverantören inte informerar företaget om underentreprenaden eller inte respekterar de villkor för underentreprenad som anges i uppdragsavtalet).

text: 43. Företaget bör se till att molntjänstleverantören övervakar underentreprenören på lämpligt sätt.

text: Riktlinje 8. Skriftlig anmälan till behöriga myndigheter

text: 44. Företaget bör i god tid skriftligen informera sin behöriga myndighet om planerade utkontrakteringslösningar om molntjänster som rör en kritisk eller viktig funktion. Företaget bör också i god tid och skriftligen informera sin behöriga myndighet om de utkontrakteringslösningar om molntjänster som avser en funktion som tidigare klassificerades som icke-kritisk eller icke-viktig och som därefter blev kritisk eller viktig.

text: 45. Företagets skriftliga information bör i enlighet med proportionalitetsprincipen åtminstone innefatta följande: 20 a) Startdatum för uppdragsavtalet om molntjänster och, i tillämpliga fall, datum för nästa kontraktsförnyelse, slutdatum och/eller uppsägningstider för molntjänstleverantören och för företaget. b) En kortfattad beskrivning av den utkontrakterade funktionen. c) En kort sammanfattning av anledningarna till att den utkontrakterade funktionen anses vara kritisk eller viktig. d) Molntjänstleverantörens namn och eventuella varumärkesnamn, registreringslandet, organisationsnumret, identifieringskoden för juridisk person (när sådan finns), den registrerade adressen och andra relevanta kontaktuppgifter, samt namnet på leverantörens moderföretag (om sådant finns). e) Tillämplig lag för uppdragsavtalet om molntjänster och, i förekommande fall, valet av jurisdiktion. f) Modellerna för molnanvändning, och den särskilda karaktären på uppgifterna som ska lagras och platserna (dvs. länder eller regioner) där sådana uppgifter kommer att lagras. g) Datumet för den senaste bedömningen av om den utkontrakterade funktionen är kritisk eller viktig. h) Datumet för den senaste riskbedömningen eller revisionen av molntjänstleverantören, tillsammans med en kort sammanfattning av de viktigaste resultaten och datum för nästa planerade riskbedömning eller revision. i) Det enskilda eller beslutsfattande organ i företaget som godkände uppdragsavtalet om molntjänster. j) I tillämpliga fall namnen på eventuella underentreprenörer som väsentliga delar av en kritisk eller viktig funktion vidareutkontrakteras till, däribland det land eller den region där underentreprenörerna är registrerade, var tjänsten kommer att utföras och där uppgifterna kommer att lagras.

text: Riktlinje 9. Tillsyn över utkontrakteringslösningar till molntjänster

text: 46. Behöriga myndigheter bör som ett led i sin tillsyn analysera riskerna med företagens utkontrakteringslösningar till molntjänster. Denna bedömning bör särskilt inriktas på överenskommelser som avser utkontraktering av kritiska eller viktiga funktioner.

text: 47. De behöriga myndigheterna bör vara helt säkra på att de kan utföra en ändamålsenlig tillsyn, särskilt när företagen utkontrakterar kritiska eller viktiga funktioner som utförs utanför EU.

text: 48. De behöriga myndigheterna bör genom en riskbaserad metod bedöma om företagen a) har infört relevanta styrnings-, resurs- och driftsprocesser för att på lämpligt och effektivt sätt ingå, genomföra och övervaka uppdragsavtal om molntjänster, b) identifierar och bedömer alla relevanta risker med utkontrakteringen.

text: 49. Om koncentrationsrisker identifieras bör de behöriga myndigheterna övervaka utvecklingen av sådana risker och utvärdera både deras potentiella inverkan på andra företag som de utövar tillsyn över och finansmarknadens stabilitet. 21